Confidentialité

Comment les analytics sans cookies mesurent sans pister les personnes

Chacune de nos affirmations sur la confidentialité a une explication technique. Cette page décrit exactement ce qu’il advient d’une page vue, ce que nous stockons, ce que nous ne stockons jamais, et comment vous pouvez le vérifier vous-même.

Le parcours des données

Chaque requête de visiteur, y compris celles provenant de l’UE, de l’EEE, du Royaume-Uni et de la Suisse, est traitée dans notre région américaine. L’adresse IP et le user agent sont utilisés en mémoire pendant le traitement de la requête, puis supprimés avant le stockage de l’événement minimisé.

Étape 1 · Partout

Navigateur du visiteur
- URL de la page et référent
- Paramètres UTM
- Largeur d’écran et langue
- Vos propriétés d’événement personnalisées
- Ni cookies ni stockage local
- Aucune API de fingerprinting
- Aucune requête vers des tiers
Étape 2 · États-Unis

Ingestion, en mémoire
- Pays d’après l’en-tête Cloudflare
- User agent → navigateur, OS, appareil
- Détection des bots et vos règles de trafic
- Clé de visite en mémoire
- Adresse IP supprimée après la requête
- User agent complet supprimé après la requête
- Données personnelles nettoyées, chaînes de requête réduites
Étape 3 · En file d’attente dans la région américaine

Événement minimisé
- Uniquement l’événement minimisé
- Aucune adresse IP
- Aucun user agent brut
- Ni clé de visite ni sel
Étape 4 · États-Unis

Stockage et tableau de bord
- Pages, sources, campagnes
- Pays et catégories d’appareils
- Identifiant de visite aléatoire (un jour au plus)
- Propriétés d’événement
- Rien qui identifie une personne
- Rien qui relie des jours, des sites ou des appareils

Ce que nous collectons, et ce que nous ne collectons jamais

Collecté (après minimisation)

Page. Nom d’hôte et chemin. Les chaînes de requête sont supprimées, sauf les paramètres de campagne et votre liste d’autorisation. Le fragment est supprimé sauf si vous utilisez le routage par hash.
Référent. Domaine et chemin de la page référente. Requête supprimée, référents internes effacés.
Campagne. Paramètres UTM et ref. Les identifiants de clic publicitaire (gclid, msclkid, fbclid) sont réduits à un indicateur oui/non.
Localisation. Pays uniquement, d’après l’en-tête de pays que notre fournisseur réseau (Cloudflare) ajoute à chaque requête. Ni région, ni ville, ni coordonnées.
Technologie. Navigateur, système d’exploitation (famille et version majeure), type d’appareil, plage de taille d’écran, langue.
Engagement. Temps visible sur la page et profondeur de défilement par tranches de 10 %.
Événements. Noms et jusqu’à 30 propriétés typées que vous choisissez d’envoyer, après nettoyage des données personnelles.

Jamais collecté ni stocké

Adresses IP. Utilisées en mémoire pour la détection des bots et la clé de visite quotidienne, puis supprimées. Jamais écrites sur disque, dans des journaux, des files d’attente ou des bases de données, pas même pour les bots.
User agents complets. Analysés en catégories en mémoire, puis supprimés.
Cookies et stockage sur l’appareil. Ni cookies, ni localStorage, ni sessionStorage, ni IndexedDB (sauf le choix de refus fait par le visiteur lui-même).
Empreintes numériques. Aucune API canvas, WebGL, de polices, audio ou de batterie, et aucun client hint supplémentaire.
Identifiants persistants. Rien qui dure plus d’un jour, ni qui relie des sites ou des appareils. Aucun profil utilisateur.
Localisation précise. Aucune coordonnée.
Requêtes vers des tiers. Le traqueur ne communique qu’avec Privatus Analytics.

Nettoyeur de données personnelles. Avant tout stockage, les chemins, référents, titres et propriétés d’événements sont inspectés à la recherche d’adresses e-mail, d’identifiants longs, de chaînes ressemblant à des jetons et de longues suites de chiffres, comme des numéros de téléphone ou de carte. Les correspondances sont remplacées par des marqueurs comme [redacted-email], et chaque site voit le nombre de masquages effectués afin de corriger les fuites à la source.

Comment les visites sont comptées

Chaque jour UTC, nous générons un sel aléatoire de 256 bits. Il n’existe qu’en mémoire et est détruit à la fin de la journée, après un délai de grâce de 30 minutes.
Pour chaque hit, nous calculons HMAC(daily salt, site, IP, user agent) en mémoire et le recherchons dans un stockage en mémoire uniquement, avec un délai d’inactivité de 30 minutes, plafonné à minuit UTC.
Une nouvelle visite reçoit un identifiant de visite aléatoire qui n’est pas dérivé de cette clé. Seul l’identifiant aléatoire est stocké.
Une fois le sel détruit, plus rien ne permet de relier les visites stockées à un appareil, ni entre elles d’un jour à l’autre.

Ce sont des données pseudonymes : fortement minimisées et impossibles à relier au-delà d’une journée. Nous ne les qualifions pas d’anonymes.

Tous les champs que nous stockons

L’ajout d’un champ stocké exige un examen écrit de sa finalité, de sa minimisation et de sa durée de conservation. Voici la liste actuelle.

Champ	Finalité	Minimisation	Conservation
Nom d’hôte, chemin	Pages	Requête supprimée sauf liste d’autorisation, données personnelles nettoyées, masques de chemin	Forfait
Hôte et chemin du référent	Sources	www. et m. retirés, requête supprimée, référents internes effacés	Forfait
Paramètres UTM, ref, clic payant	Campagnes	Identifiants de clic réduits à un indicateur oui/non	Forfait
Pays	Localisation	D’après l’en-tête de pays de Cloudflare, IP supprimée	Forfait
Appareil, navigateur, OS (avec versions majeures), plage d’écran	Technologie	User agent brut supprimé, écran regroupé par plages	Forfait
Identifiant de visite	Visites	UUID aléatoire, un jour UTC au plus	Forfait
Propriétés d’événement	Événements	Jusqu’à 30 clés, typées, données personnelles nettoyées	Forfait
Compteurs de filtrage	Bots, règles, masquages	Agrégats uniquement, aucune IP	13 mois
Clé de visite (stockage en mémoire)	Continuité de la visite	Clé HMAC, expiration après 30 minutes	Un jour au plus
Sel quotidien (stockage en mémoire)	Clé de visite	Jamais persisté	1 jour + 30 minutes

Conservation « Forfait » : 6 mois avec Free, illimitée pendant l’abonnement avec les forfaits payants, avec des réglages possibles par site.

Vérifiez par vous-même

Ouvrez les outils de développement de cette page et allez dans l’onglet Application (ou Stockage). Vous n’y trouverez aucun cookie et rien dans le stockage local pour ce site.
Passez à l’onglet Réseau, filtrez sur /api/event et rechargez. Vous verrez une petite requête par page vue.
Ouvrez la charge utile de la requête. Elle ne contient que les champs affichés à droite : aucun identifiant, aucune empreinte.
Lisez le code source du traqueur. Il est sous licence MIT et assez court pour être lu d’une traite. Voir open source.

Essayez aussi le scanner de cookies et de traqueurs sur votre propre site.

Exemple de charge utile d’une requête (une page vue)

{
  "s": "pa_7Q2K9XH3AB",
  "t": "pageview",
  "u": "https://example.com/pricing?utm_source=newsletter",
  "r": "https://news.example.org/",
  "l": "en-US",
  "w": 1440
}

s est le site, t le type de hit, u la page, dont les paramètres de requête hors campagne sont retirés dans le navigateur, r le référent, l la langue et w la largeur d’écran. Référence complète dans la documentation.

Commencez à mesurer sans cookies

Ni cookies, ni fingerprinting, ni bandeau de consentement nécessaire pour la mesure.

Le forfait gratuit inclut 10 k événements par mois, 10 sites, 3 membres d’équipe et 6 mois d’historique. Sans carte bancaire.

Commencer gratuitement Voir les tarifs