Chartbeat
Chartbeat est une plateforme d'analytique éditoriale en temps réel pour éditeurs, qui mesure les visiteurs simultanés, le temps d'attention, le scroll, les sources de trafic et la performance des titres, avec des tableaux de bord utilisés par les rédactions.
Que fait Chartbeat ?
Présentation de Chartbeat
Chartbeat est une plateforme d'analytique éditoriale en temps réel destinée aux éditeurs, rédactions et équipes de production de contenu. Sa fonction emblématique est le tableau de bord live qui affiche le nombre de lectrices simultanées sur chaque article, le temps d'attention, l'origine du trafic, la profondeur de scroll et la performance de chaque titre. Les rédactions s'en servent pour choisir les emplacements en page d'accueil, retravailler les titres sous performants ou orienter la couverture. En coulisses, un petit script JavaScript présent sur chaque page envoie périodiquement des pings aux serveurs Chartbeat, qui consolident l'activité en tableaux de bord, alertes et rapports historiques.
Cookies et identifiants utilisés
Chartbeat dépose des cookies persistants et de session qui identifient les visiteuses récurrentes et relient les sessions entre pages, ainsi que du stockage de courte durée pour la mesure d'engagement. On retrouve typiquement l'identifiant long terme _chartbeat2, le cookie de session _chartbeat4 et le cookie de referrer _cb_svref. La plateforme traite aussi adresse IP, user agent, URL, scroll, événements de focus et métadonnées éditoriales envoyés par le snippet. Même majoritairement comportementale, la combinaison identifiant et IP relève des données personnelles au sens de l'article 4 RGPD.
Obligations RGPD et ePrivacy
Chartbeat est un service analytique non essentiel selon les positions de la CNIL, de l'AEPD et du BfDI, donc ses cookies et pings nécessitent un consentement préalable au titre de l'article 5(3) ePrivacy. Le RGPD s'applique aux données envoyées à Chartbeat, l'éditeur restant responsable de traitement et Chartbeat agissant en sous-traitant. Certaines autorités reconnaissent des exemptions étroites pour la mesure d'audience first-party sans identifiant, mais la configuration par défaut de Chartbeat utilise des identifiants et un suivi multi-pages, et sort donc de l'exemption.
Transferts vers les États-Unis
Chartbeat est basée à New York et exécute son pipeline d'analyse sur AWS aux États-Unis. IP, identifiants et événements d'engagement sont donc transférés vers un pays tiers. Depuis Schrems II, le responsable doit réaliser une analyse d'impact des transferts, s'appuyer sur des Clauses Contractuelles Types et, le cas échéant, sur le Data Privacy Framework UE: USA. Des mesures supplémentaires comme la troncation d'IP, la réduction d'échantillon et des ajouts contractuels sont recommandées et doivent être documentées.
Gestion du consentement et configuration
Ne chargez Chartbeat qu'après acceptation de l'analytique, en bloquant le snippet via votre plateforme de gestion du consentement. Configurez la pour offrir un refus aussi accessible que l'acceptation, conservez la preuve du consentement et proposez un lien pour modifier les préférences. Pour conserver un signal en cas de refus, basculez vers un outil analytique sans identifiant ou sur une configuration Chartbeat sans identifiant persistant, avec un test de mise en balance documenté.
Checklist de conformité
Ajoutez Chartbeat au registre des traitements et à la politique cookies, en précisant catégories de données, rétention et mécanisme de transfert. Signez l'addendum de sous-traitance avec Chartbeat et examinez la liste des sous-traitants. Réalisez une AIPD, complétez une analyse d'impact des transferts et documentez les mesures supplémentaires. Réglez la rétention, testez le site en consentement refusé pour vérifier qu'aucun cookie ni ping Chartbeat n'est envoyé avant opt in, et révisez la configuration à chaque évolution.
Chartbeat et le RGPD
Chartbeat est classé dans la catégorie « Mesure d'audience ». Sur un site qui vise des visiteurs européens, il ne doit se charger qu'après le consentement du visiteur, et doit figurer dans votre politique de cookies.
- Base légale
- Article 6(1)(a) GDPR consent for non essential analytics cookies and similar identifiers, in line with ePrivacy Article 5(3) and the CNIL, AEPD, and BfDI guidance. Aggregated, identifier free counters might rely on Article 6(1)(f) legitimate interest with a documented balancing test, but the standard Chartbeat configuration uses identifiers and therefore requires consent.
- Niveau de risque
- medium
- Textes applicables
- GDPR, ePrivacy Directive 2002/58/EC, French Data Protection Act, German TDDDG, Spanish LSSI Article 22.2, UK PECR, EU: US Data Privacy Framework where applicable, EDPB guidelines on cookies and consent.
Analyse d'impact (AIPD)
Une AIPD est recommandée pour les éditeurs disposant d'une audience UE significative car Chartbeat opère un suivi comportemental systématique, utilise des identifiants persistants et transfère les données aux États-Unis. Documentez les catégories de données, les cookies et stockages, la base légale, le recours aux CCT et au Data Privacy Framework UE: USA, la durée de conservation des données d'engagement et le risque résiduel après gating de consentement. Référencez les positions de la CNIL, de l'AEPD et de l'EDPB sur les transferts.
Exemple de texte pour votre bannière
Nous utilisons Chartbeat pour mesurer en temps réel l'engagement de nos lecteurs, notamment les visiteurs simultanés, le temps d'attention et le scroll. Avec votre consentement, Chartbeat dépose des cookies et transfère des données à son infrastructure aux États-Unis. Vous pouvez accepter, refuser ou modifier votre choix à tout moment depuis le lien de gestion des cookies en pied de page.
Ce que Chartbeat dépose et contacte
- Méthode de suivi
- JavaScript snippet loaded on publisher pages that pings Chartbeat servers periodically to capture real time visitor counts, engaged time, scroll depth, viewport visibility, referrer, and content metadata. Persistent and session cookies and similar storage identify returning visitors and stitch sessions across pages and devices.
- Localisation des serveurs
- United States (Chartbeat is headquartered in New York and operates infrastructure on Amazon Web Services in US regions). A small operations footprint in Europe handles support, but the analytics processing pipeline and storage of long term data run primarily in the United States.
- Transfert de données hors UE
- Visitor IP addresses, page URLs, referrers, engagement metrics, and pseudonymous identifiers are transferred to Chartbeat infrastructure in the United States. Transfers rely on Standard Contractual Clauses and on the EU: US Data Privacy Framework where Chartbeat or its sub processors are certified, supported by a transfer impact assessment.
Cookies déposés (5)
| Nom | Type | Durée | Finalité |
|---|---|---|---|
| _chartbeat2 | first_party | 13 months | Long term identifier set by Chartbeat to recognise returning visitors and to attribute engaged time and scroll metrics to the same user across visits. |
| _chartbeat4 | first_party | Session | Session cookie used by Chartbeat to group page views and engagement events that belong to the same visit. |
| _cb_svref | first_party | 30 minutes | Cookie used by Chartbeat to capture the referrer information that brought the visitor to the site for source attribution. |
| _cb | first_party | 13 months | Cookie used by Chartbeat as a complementary identifier for engagement and audience metrics. |
| _cb_ls | first_party | 1 year | Cookie used by Chartbeat to keep a local state for engagement measurement and to support some real time dashboard features. |
Domaines tiers contactés (5)
chartbeat.comstatic.chartbeat.comping.chartbeat.netapi.chartbeat.commab.chartbeat.com
Questions fréquentes sur Chartbeat
Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite.
Chartbeat dépose-t-il des cookies sur le terminal ?
Oui. Chartbeat écrit des cookies persistants et de session, notamment _chartbeat2, _chartbeat4 et _cb_svref, ainsi que du stockage similaire utilisé pour identifier les visiteuses récurrentes et mesurer le temps d'attention et le scroll. Comme ces identifiants sont stockés sur le terminal, l'article 5(3) ePrivacy s'applique et un consentement préalable est requis.
Le consentement est-il requis en UE ?
Oui, dans la quasi-totalité des configurations. La CNIL, l'AEPD et le BfDI considèrent l'analytique d'audience généraliste avec identifiants persistants et suivi multi-pages comme non essentielle, donc soumise à consentement. L'exemption étroite de mesure d'audience couvre uniquement des compteurs strictement first-party sans identifiant, ce qui n'est pas le réglage par défaut de Chartbeat.
Quelle base légale pour Chartbeat ?
L'article 6(1)(a) RGPD, le consentement, est la base légale appropriée pour la configuration standard de Chartbeat avec cookies persistants et suivi d'engagement. Une mesure agrégée sans identifiant pourrait, en théorie, reposer sur l'article 6(1)(f) intérêt légitime avec un test documenté, mais cela demande une configuration sur mesure et des garanties supplémentaires.
Les transferts vers les États-Unis sont-ils conformes ?
Ils peuvent l'être avec les bonnes garanties. Chartbeat héberge sur AWS aux États-Unis, donc les transferts doivent reposer sur les Clauses Contractuelles Types et, le cas échéant, sur la certification au Data Privacy Framework UE: USA. Le responsable doit réaliser une analyse d'impact des transferts, documenter des mesures comme la troncation d'IP et revoir la documentation si l'infrastructure ou les sous-traitants changent.
Faut-il une AIPD avant de déployer Chartbeat ?
Une AIPD est recommandée pour les éditeurs avec une audience UE significative. La combinaison de surveillance comportementale à grande échelle, d'identifiants persistants et de transferts vers les États-Unis remplit plusieurs critères des lignes directrices EDPB. Documentez les flux, la base légale, les intégrations, la rétention et le risque résiduel après les mesures de consentement et de minimisation.
Comment mettre en place le gating de consentement ?
Bloquez le snippet Chartbeat via votre plateforme de gestion du consentement jusqu'à acceptation des cookies analytiques. Rendez le refus aussi simple que l'acceptation, conservez la preuve du consentement et proposez un lien pour modifier les préférences. Vérifiez que le snippet ne se charge pas et qu'aucun cookie ou ping Chartbeat n'est envoyé avant consentement.
Quelles alternatives en cas de refus de consentement ?
Si le consentement est refusé, basculez vers une analytique respectueuse de la vie privée, par exemple Matomo sans cookie, un compteur agrégé interne ou Chartbeat dans un mode réduit sans identifiant si le fournisseur le permet. Les décisions éditoriales peuvent aussi s'appuyer sur des signaux contextuels et des retours directs plutôt que sur des profils de lecteurs.
Comment décrire Chartbeat dans la politique cookies ?
Mentionnez Chartbeat comme sous-traitant analytique américain, listez chaque cookie avec sa durée et sa finalité et expliquez que les métriques d'engagement et identifiants sont transférés aux États-Unis. Indiquez la base légale, le recours aux CCT et au Data Privacy Framework UE: USA le cas échéant, les durées de conservation et les modalités d'exercice des droits.
Mettez votre site en conformité aujourd'hui.
Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement.