Glassbox

Qu'est-ce que Glassbox

Glassbox est une plateforme d'analytique d'expérience digitale destinée aux grandes entreprises. Fondée en 2010 à Petach Tikva (Israël), avec des bureaux à Londres, New York et Singapour, elle capture chaque interaction sur web et applications mobiles pour le replay, l'analyse de friction et l'investigation de réclamations. Très utilisée dans les secteurs régulés : banques, assureurs, telcos, santé, compagnies aériennes.

Le suivi repose sur un SDK JavaScript pour le web et des SDK natifs iOS et Android. Le SDK capture le DOM complet, toutes les interactions souris et clavier, les requêtes réseau et les erreurs JavaScript, puis les transmet à un tenant cloud Glassbox.

Données capturées

Par défaut, Glassbox capture tout ce qui est visible et interactif : IP, caractéristiques de l'appareil, géolocalisation, URL, referrer, profondeur de défilement, positions de clic, frappes clavier (si configuré), saisies de formulaires, métadonnées d'upload et de requêtes réseau. Sans masquage explicite, des données sensibles (santé, finance, identifiants officiels) peuvent finir dans les enregistrements.

Glassbox propose trois couches de masquage : masquage automatique de tous les champs de saisie, masquage manuel par attributs CSS (gb-mask, data-gb-sensitive) et redaction côté serveur après capture. Les trois doivent être combinées pour respecter la minimisation des données du RGPD.

RGPD, ePrivacy et Schrems II

Glassbox agit en sous-traitant au sens de l'art. 28 RGPD. Les clients UE doivent sélectionner la région Irlande à l'onboarding. Israël bénéficie d'une décision d'adéquation renouvelée (2024), mais des sous-traitants US (AWS US, outillage support) peuvent apparaître dans la chaîne et exiger CCT et TIA.

Cookies et SDK n'étant pas strictement nécessaires, l'art. 5(3) ePrivacy et le §25 TTDSG exigent un consentement préalable et éclairé. L'intérêt légitime n'est pas défendable pour le replay complet sur des utilisateurs UE.

AIPD, secteurs régulés et DORA

Une AIPD au sens de l'art. 35 RGPD est de facto obligatoire pour tout déploiement Glassbox sur du trafic UE. Elle doit couvrir la stratégie de masquage, la conservation, les sous-traitants, la résidence, les effets sur la surveillance des employés et les risques art. 22 lorsque des décisions automatisées (scoring, antifraude) sont alimentées par Glassbox.

Les déploiements financiers impliquent en plus DORA (résilience opérationnelle numérique), DSP2 et PCI DSS. Les enregistrements de flux d'authentification doivent masquer les credentials, les codes OTP et les numéros de carte ; le tenant Glassbox doit être inclus dans les tests de résilience.

Mise en oeuvre du consentement

Différez le SDK Glassbox jusqu'à acceptation de la catégorie Analytique ou Marketing dans votre CMP. Le bandeau doit citer Glassbox, décrire la finalité de session replay et lier sa politique de confidentialité. Si votre CMP supporte TCF v2.2, enregistrez Glassbox sous la finalité IAB appropriée.

Pour les portails B2B où l'intérêt légitime se défend avec un masquage strict, l'utilisateur doit toujours être clairement informé et disposer d'un opt out. Documentez la mise en balance et les mesures de protection dans l'AIPD.

Checklist de conformité

Choisissez le tenant Irlande pour le trafic UE. Signez le DPA et passez en revue les CCT pour Israël et les sous-traitants US. Activez le masquage automatique global puis ajoutez gb-mask aux éléments porteurs de données personnelles. Fixez une rétention minimale utile (souvent 30 jours pour le replay, plus pour les agrégats).

Menez une AIPD, inscrivez-la au registre, formez les équipes produit et engineering à utiliser les helpers de masquage et revoyez le taux d'adhésion au consentement chaque trimestre. Pour les marques multi-pays, documentez chaque déploiement régional et alignez-vous sur les obligations de comité d'entreprise lorsque des agents support peuvent être surveillés.