Confidentialité
RGPD & CNIL
Qui est responsable de quoi, comment le mode sans cookie relève de l’exemption CNIL de mesure d’audience, et un modèle pour votre politique de confidentialité.
Globatics est conçu en tenant compte de l’exemption de consentement prévue par la CNIL pour la mesure d’audience ; quelques réglages par défaut vont plus loin que la grille CNIL de 2025 (voir plus bas). Cette page explique qui est responsable de quoi, comment le mode par défaut répond aux conditions de la CNIL, quelles fonctionnalités vous en font sortir, et vous fournit un paragraphe pour votre propre politique de confidentialité.
Qui est responsable
- Vous êtes responsable du traitement des données de vos visiteurs : c’est vous qui décidez de mesurer votre site, et de quelle manière.
- Globatics est votre sous-traitant : il ne traite les données que sur vos instructions, dans le cadre de l’accord de traitement des données que vous acceptez avec les conditions. Ses prestataires sont listés sur la page Sous-traitants ultérieurs ; les données restent dans l’UE (Irlande).
- Vous devez informer vos visiteurs (voir le paragraphe ci-dessous) et, hors exemption, recueillir leur consentement.
L’exemption de la CNIL
La loi Informatique et Libertés (article 82, qui transpose la directive ePrivacy) impose le consentement avant toute lecture ou écriture sur l’appareil d’un visiteur, sauf pour les traceurs strictement nécessaires. La CNIL considère la mesure d’audience comme telle lorsqu’elle est :
- utilisée uniquement pour mesurer l’audience de votre propre site ou application, pour votre seul compte ;
- limitée à la production de statistiques anonymes ;
- non utilisée pour suivre une personne d’un site ou d’une application à l’autre, et non croisée avec d’autres traitements ;
- sans transmission de données non anonymes à des tiers ;
- portée à la connaissance des visiteurs, qui peuvent s’y opposer ;
- limitée dans le temps : traceurs limités à 13 mois, données collectées conservées 25 mois au plus.
Une auto-évaluation, pas un label
Il n’existe aucun certificat de la CNIL à obtenir : vous vérifiez vous-même les conditions et en restez responsable. Sans cookie ne veut pas automatiquement dire exempté, et les autres pays de l’UE interprètent les règles différemment. En cas de doute, interrogez votre DPO ou votre avocat.
Où se situe le mode par défaut
| Condition | Globatics, mode par défaut |
|---|---|
| Mesure d’audience uniquement | Statistiques pour le propriétaire du site ; ni publicité, ni profilage, ni réutilisation par Globatics pour ses propres besoins |
| Statistiques anonymes | Aucun cookie, rien de stocké sur l’appareil ; IP utilisée en mémoire uniquement, jamais enregistrée ; localisation à l’échelle de la ville |
| Aucun suivi entre sites | Identifiant du visiteur = empreinte d’un daily salt (sel quotidien), de l’identifiant du site, de l’IP et du navigateur : il change chaque jour et diffère sur chaque site |
| Aucun croisement | Données jamais combinées à d’autres sources ; les liens de partage publics n’affichent ni noms ni identifiants |
| Aucune transmission à des tiers | Sous-traitants ultérieurs uniquement, encadrés par un DPA ; données hébergées dans l’UE. Les services d’icônes qui affichent le logo d’un site référent ne reçoivent que son nom de domaine |
| Conservation | 760 jours (environ 25 mois) par défaut, réglable par site, purge automatique |
| Droit d’opposition | Lien de désinscription #globatics-ignore ou commande optout (ci-dessous) |
Vérifiez ces réglages par rapport à la grille CNIL de 2025
L’outil d’auto-évaluation de la CNIL pour la mesure d’audience (juillet 2025) demande aussi de désactiver la collecte d’identifiants clients, d’UTM ou d’identifiants de campagne dans les URL, et de limiter le référent au seul domaine. Par défaut, Globatics enregistre les paramètres UTM et le chemin de la page d’origine, et votre tableau de bord permet de suivre un visiteur en direct. Si vous vous appuyez sur l’exemption, examinez ces points avec votre DPO avant de la revendiquer, ou traitez-les comme soumis au consentement.
Ce qui vous fait sortir de l’exemption
Ces fonctionnalités sont utiles, mais elles identifient ou reconnaissent des personnes dans la durée. Ne les activez qu’après le consentement du visiteur :
identify()avec vos propres identifiants d’utilisateur, et les profils de visiteur qui y sont rattachés (Identification et persistance) ;data-persist, qui stocke un identifiant aléatoire dans le localStorage du navigateur pour reconnaître les visiteurs d’un jour à l’autre ;- des données personnelles dans les propriétés d’événement ou les attributs (e-mail, nom, numéros de commande liés à une personne) ;
- l’utilisation des données à d’autres fins que la mesure de votre audience, ou leur combinaison avec votre CRM ou vos outils publicitaires ;
- la conservation des données brutes au-delà de 25 mois (une durée de conservation supérieure à 760 jours dans les réglages du site).
Le schéma le plus simple : conservez la balise par défaut pour tout le monde, et n’ajoutez data-persist ou n’appelez identify qu’une fois que votre outil de gestion du consentement a obtenu l’accord du visiteur.
// balise par défaut sur chaque page : <script defer data-site="SITE_ID" src="https://globatics.live/script.js"></script>
onConsentGranted(() => {
globatics("identify", user.id); // uniquement avec consentement
});Permettre aux visiteurs de s’opposer
Donnez aux visiteurs un moyen de s’opposer à la mesure, par exemple dans votre politique de confidentialité. Ouvrir https://your-site/#globatics-ignore arrête de compter ce navigateur sur votre site (un indicateur est enregistré dans le localStorage à la demande du visiteur) ; #globatics-unignore annule ce choix. Vous pouvez aussi relier un bouton :
<button onclick="globatics('optout')">Don’t count my visits</button>Ajoutez data-respect-dnt à la balise script pour ne plus suivre les navigateurs qui envoient Do Not Track. Les navigateurs qui envoient Global Privacy Control ne sont jamais suivis d’un jour à l’autre.
Paragraphe pour votre politique de confidentialité
Copiez l’un de ces textes dans votre politique de confidentialité. Dans le tableau de bord, Settings → Tracking vous donne le même texte rempli avec votre domaine et votre durée de conservation, ainsi qu’une variante pour les sites qui utilisent identify ou data-persist.
Mesure d’audience. Pour mesurer la fréquentation de example.com, nous utilisons Globatics, un outil de mesure d’audience édité par Penra (France), qui agit pour notre compte en tant que sous-traitant. Globatics ne dépose aucun cookie et n’enregistre pas votre adresse IP : elle sert uniquement, au moment de la visite, à déterminer la ville d’origine et à calculer un identifiant pseudonyme qui change chaque jour et ne permet pas de vous reconnaître d’un jour à l’autre. Les données recueillies (pages consultées, site de provenance, pays et ville, type d’appareil, navigateur et système) servent exclusivement à produire des statistiques anonymes de fréquentation pour notre propre usage ; elles ne sont ni croisées avec d’autres traitements ni transmises à des tiers, et sont conservées 25 mois au plus, dans l’Union européenne. Vous pouvez vous opposer à cette mesure en ouvrant ce lien : https://example.com/#globatics-ignore (vos visites ne seront plus comptées depuis ce navigateur).
Audience measurement. To measure traffic on example.com, we use Globatics, an audience measurement tool published by Penra (France), which acts on our behalf as a processor. Globatics sets no cookies and does not store your IP address: it is only used, at the time of the visit, to determine your city and compute a pseudonymous identifier that changes every day and cannot recognise you from one day to the next. The data collected (pages viewed, referring site, country and city, device type, browser and operating system) is used solely to produce anonymous traffic statistics for our own use; it is not combined with other processing or shared with third parties, and is kept for at most 25 months, in the European Union. You can object to this measurement by opening this link: https://example.com/#globatics-ignore (your visits will no longer be counted from this browser).
Liste de contrôle
- Votre politique de confidentialité mentionne Globatics, avec le paragraphe ci-dessus.
- La durée de conservation est de 25 mois ou moins (Settings → Data retention).
- Aucune donnée personnelle dans les propriétés d’événement ; identify et data-persist uniquement après consentement.
- Un lien ou un bouton d’opposition est à la disposition des visiteurs.
- Votre registre des traitements mentionne la mesure d’audience, avec Globatics comme sous-traitant (DPA).