Alternative à Matomo conforme au RGPD

Pourquoi le RGPD compte pour la mesure d'audience#

Dès qu'un outil traite des données personnelles (une adresse IP, un identifiant de cookie, tout ce qui permet de distinguer une personne), le RGPD s'applique. Pour une mesure d'audience, cela revient à sept questions :

1. Base légale. Vous avez besoin d'une raison de traiter les données : en général l'intérêt légitime ou le consentement. Le choix vous appartient.
2. Minimisation. Ne collectez que le nécessaire.
3. Transparence. Dites ce que vous collectez dans votre politique de confidentialité.
4. Durée de conservation. Ne gardez pas les données plus longtemps que nécessaire.
5. Sous-traitants. Si une société traite les données pour vous, il faut un accord de sous-traitance (DPA).
6. Transferts. Des données qui quittent l'UE demandent un mécanisme juridique.
7. Droits des personnes. Un visiteur peut demander ce que vous détenez sur lui, et son effacement.

À part, les règles ePrivacy décident s'il faut demander avant de lire ou d'écrire quoi que ce soit sur l'appareil : c'est la question du bandeau de cookies. Nous la détaillons en anglais dans Do you need a cookie banner for analytics?.

La CNIL, le consentement et le « sans cookie »#

En France, la CNIL exempte de consentement la mesure d'audience qui remplit ses conditions : uniquement pour les statistiques propres au site, sans suivi d'un site à l'autre, sans autre usage des données, des visiteurs informés et libres de refuser, avec troncature de l'adresse IP et une durée de conservation limitée à 13 mois. Si toutes ces conditions sont remplies, un bandeau n'est souvent pas nécessaire pour la mesure elle-même.

Ce que cela change selon l'outil :

• Le mode sans cookie de trckable est un seul réglage : rien n'est stocké dans le navigateur, les visiteurs sont comptés avec un hash quotidien, la région et la ville sont écartées (le pays reste), et Do Not Track et Global Privacy Control sont respectés. Aucune adresse IP n'est enregistrée.
• La durée de conservation se règle site par site, de 30 jours à 3 ans, avec un nettoyage quotidien.
• Le hash quotidien ne permet pas de suivre quelqu'un d'un jour à l'autre ni d'un site à l'autre. Ne le présumez pas anonyme pour autant : un régulateur peut considérer un hash comme une donnée personnelle tant qu'il existe.
• Matomo indique que son code de suivi par défaut dépose des cookies first-party, que l'on peut désactiver, et que le consentement peut rester nécessaire selon les règles de l'UE. Sources et détails dans le comparatif trckable et Matomo.

Le mode sans cookie n'est pas, à lui seul, une exemption légale : le script lit encore l'adresse de la page, le référent, la largeur d'écran et la langue, et les régulateurs européens y voient un accès à l'appareil. C'est la réunion des conditions de la CNIL, dans votre configuration, qui compte. Les règles évoluent : vérifiez-les auprès de la CNIL et de votre conseil. Guide plus complet, en anglais : cookieless analytics and GDPR.

trckable et Matomo : auto-hébergé ou Cloud#

Chaque information sur Matomo est tirée de ses propres pages, citée et datée dans le comparatif complet. Les tarifs sont sur la page tarifs ; l'auto-hébergement est gratuit.

Si vous hébergez vous-même

Vous êtes alors le responsable du traitement : mises à jour, accès et sauvegardes relèvent de vous. trckable tient dans un seul conteneur, sans base de données, et le guide d'auto-hébergement explique l'installation.

Si vous choisissez le Cloud

trckable traite alors les données pour vous : un accord de sous-traitance (DPA) est publié. Rien n'est chargé depuis une autre société (ni polices, ni CDN, ni pixels, ni gestionnaire de balises), et aucune télémétrie n'est envoyée.

Ce que trckable prend en charge, et ce qui reste à vous#

trckable prend en charge :

• aucune adresse IP stockée (elle sert en mémoire pour déterminer le pays et écarter les robots) ;
• une conservation réglable, de 30 jours à 3 ans ;
• les demandes d'accès : retrouver, exporter ou effacer tout ce qui concerne un identifiant de visiteur ou une adresse e-mail ;
• un paragraphe de confidentialité rédigé à partir de vos réglages ;
• un code ouvert que chacun peut lire.

Cela reste à vous :

• votre base légale, et la nécessité ou non du consentement dans les pays que vous visez ;
• votre bandeau et votre politique : refuser doit être aussi simple qu'accepter, et le reste de vos pages compte aussi (publicités, vidéos intégrées, chat) ;
• ce que vous envoyez : les propriétés d'un objectif contiennent ce que vous y mettez, donc ni noms ni e-mails ;
• votre serveur, si vous hébergez vous-même.

Le détail, en anglais : GDPR and analytics, in plain words.

Migrer de Matomo vers trckable#

L'ordre le plus sûr, tiré de notre guide de migration :

1. Installez trckable à côté de Matomo. Les deux scripts ensemble pendant une semaine vous apprennent plus que n'importe quel tableau. L'installation prend quelques minutes.
2. Choisissez votre position sur le consentement : mode sans cookie, bandeau de trckable, ou lecture de votre bandeau actuel (Google Consent Mode v2 et IAB TCF v2.2).
3. Importez l'historique si vous le souhaitez. L'importeur lit un CSV avec une ligne par page vue. En Cloud, l'import passe par le support ; sur votre serveur, par la commande trckabled import.
4. Comparez la semaine où les deux ont tourné. Les chiffres ne seront pas identiques, ceux d'aucun outil ne le sont, et les écarts s'expliquent.
5. Retirez l'ancien script, puis mettez à jour votre politique de confidentialité avec le paragraphe généré.

FAQ#

trckable est-il conforme au RGPD ?

La conformité dépend de votre usage, pas de l'outil. trckable est conçu pour que vous puissiez respecter le RGPD : aucune adresse IP stockée, aucun tiers, conservation et demandes d'accès intégrées. Nous ne promettons pas que votre usage est conforme, et ceci n'est pas un avis juridique.

Faut-il un bandeau de cookies avec trckable ?

En mode sans cookie, le script ne stocke rien sur l'appareil du visiteur, ce qui retire une raison de demander. En France, la CNIL exempte la mesure d'audience qui remplit ses conditions ; l'Allemagne et l'Autriche demandent en général le consentement. Si vous gardez le cookie, demander d'abord est la règle habituelle dans l'UE. Vérifiez avec votre conseil.

Où trckable stocke-t-il les données ?

Sur le Cloud, dans l'UE : serveurs à Amsterdam, sauvegardes dans l'UE. En auto-hébergement, là où vous placez votre serveur.

Matomo utilise-t-il des cookies ?

Son code de suivi par défaut dépose des cookies first-party, que l'on peut désactiver, et Matomo précise que le consentement peut rester nécessaire selon les règles de l'UE. Les sources sont sur la page de comparaison.

Puis-je auto-héberger trckable gratuitement ?

Oui, gratuitement : c'est le même programme que celui de notre Cloud, open source (serveur AGPL-3.0, tracker et paquet npm MIT).

Comment répondre à un visiteur qui demande ce que je détiens sur lui ?

Ouvrez Réglages, Données et confidentialité, puis Demande de données : retrouvez tout ce qui concerne un identifiant de visiteur ou une adresse e-mail, exportez-le en JSON ou effacez-le.

Vérifiez votre site#

Avant de changer d'outil, voyez ce que votre site charge aujourd'hui : traceurs, cookies, poids de page. Le test est gratuit, ci-dessous.