Confidentialité et collecte des données

Le traceur ne dépose aucun cookie et n’utilise ni localStorage, ni sessionStorage, ni IndexedDB. La compilation échoue si l’un des fichiers en mentionne un.

Les visiteurs sont déterminés sur le serveur. Pour chaque requête, le collecteur calcule une empreinte à clé de votre projet, de l’adresse IP du visiteur et de l’agent utilisateur de son navigateur, avec un secret qui change chaque semestre (du 1er janvier au 30 juin et du 1er juillet au 31 décembre, UTC). L’empreinte ne peut pas être inversée. Le secret de chaque semestre est supprimé un jour après la fin de ce semestre, et plus personne ne peut ensuite recalculer ces empreintes.

Une même personne, sur le même navigateur et le même réseau, compte comme un seul visiteur pendant tout le semestre. Un autre navigateur, appareil ou réseau donne un visiteur différent, tout comme un retour au semestre suivant. Une session se termine après 30 minutes sans activité.

Les visites ne peuvent pas être reliées à une personne identifiée. Le traceur ne collecte ni nom, ni adresse e-mail, ni identifiant de compte, ni identifiant d’appareil. Au cours d’un semestre, les visites venant du même navigateur et du même réseau partagent un identifiant de visiteur. Une fois le secret de ce semestre supprimé, personne, pas même nous, ne peut recalculer ces identifiants ni les rapprocher de visites d’un autre semestre.

L’adresse sert en mémoire à calculer l’empreinte du semestre et à trouver le pays, la région et la ville dans une copie de la base de géolocalisation DB-IP intégrée au collecteur. Elle est ensuite supprimée. Aucune colonne de base de données ne contient d’adresse IP.

Un navigateur qui envoie l’un de ces signaux n’envoie rien du tout : le traceur vérifie avant tout enregistrement. Le collecteur vérifie de nouveau les en-têtes de la requête et supprime tout ce qui arriverait encore.

Le traceur envoie chaque adresse de page sans ce qui suit un #, sans nom d’utilisateur ni mot de passe, et sans paramètres de requête autres que les balises de campagne utm_*. Les référents sont envoyés sous forme d’origine et de chemin uniquement. Le collecteur applique la même règle une seconde fois avant tout stockage, ce qui couvre aussi une ancienne version du traceur. Les chemins sont conservés tels quels : n’y placez pas de données personnelles comme des adresses e-mail.

Chaque champ de formulaire est masqué dans le navigateur avant tout envoi. Les champs de mot de passe et de paiement, et les champs dont le nom évoque un numéro de carte, un code de sécurité, un numéro d’identité, un passeport, un IBAN ou une date de naissance, ne sont jamais capturés. Les images ne sont jamais capturées.

• Ajoutez data-wm-mask ou la classe wm-mask à un élément pour masquer son texte.
• Ajoutez la classe wm-block pour exclure entièrement un élément.
• Ajoutez des sélecteurs dans Données et confidentialité pour les masquer sur tout le projet, ou listez-les dans data-mask sur une page.

Quand un visiteur clique sur un bouton, un lien, un onglet, un élément de menu, un interrupteur ou une option, le traceur envoie le type de contrôle et son libellé, pour que les rapports affichent Bouton « Commencer » plutôt qu’un sélecteur CSS. Le libellé est l’aria-label du contrôle, le texte d’un bouton d’envoi, son texte visible, son title ou le texte alternatif d’une image qu’il contient, coupé à 80 caractères.

Un libellé n’est jamais pris dans un champ de formulaire ni dans son contenu, dans un élément masqué par les relectures (les règles intégrées, data-wm-mask, wm-mask, wm-block et les sélecteurs de votre projet et de la page), ni dans une suggestion affichée sous un champ de texte. Aucun libellé n’est envoyé avant le chargement de la liste de masquage de votre projet. Les adresses e-mail et les suites de six chiffres ou plus sont remplacées par … dans le navigateur, puis de nouveau par le collecteur.

• Ajoutez data-wm-no-label à un élément pour exclure des événements son libellé et tous ceux qu’il contient.
• Ajoutez data-click-labels="false" à la balise script pour envoyer les clics de cette page sans libellé.

La relecture de session fonctionne avec les forfaits qui l’incluent. Une page peut la désactiver avec data-replay="false", ou attendre le consentement avec data-replay="consent". Les enregistrements sont conservés 30 jours au plus.

Les captures de page pour les cartes de chaleur enregistrent la mise en page avec tout son texte masqué, ainsi que les attributs lisibles comme alt, title et placeholder, pour y dessiner les clics sans aucun des mots. Chaque page est capturée une fois par largeur d’écran et par mise en page, lors d’une seule visite, pour les forfaits qui incluent des pages de carte de chaleur.

Ajoutez les adresses de votre bureau ou de votre VPN, ou des plages CIDR, dans Données et confidentialité. Le collecteur supprime leurs événements et ne les compte pas dans votre utilisation.

Les robots et robots d’indexation connus sont écartés au collecteur. Ils n’atteignent jamais vos rapports ni votre utilisation.

Les événements, les sessions, les enregistrements, les captures de page et les données de compte sont stockés dans l’Union européenne. La page des sous-traitants indique chaque prestataire et sa région.

La politique de confidentialité et l’accord de traitement des données précisent qui est responsable de quoi.