Hotjar Incoming Feedback
Hotjar Incoming Feedback est un widget de notation par smiley ou emoji qui permet aux visiteurs d'évaluer une page et de laisser un commentaire libre. Il s'appuie sur les identifiants Hotjar partagés avec les autres outils de la suite, ce qui en fait un traceur non essentiel soumis au consentement préalable dans l'UE.
Que fait Hotjar Incoming Feedback ?
Présentation de Hotjar Incoming Feedback
Hotjar Incoming Feedback est le widget toujours actif de la suite Hotjar Insights, intégrée au groupe Contentsquare. Il propose au visiteur une échelle de smileys ou d'emojis pour noter une page, puis un champ de commentaire, une capture facultative et un email optionnel. Le script JavaScript est chargé depuis les domaines Hotjar et la réponse est enregistrée dans votre espace de travail. Bien qu'il soit présenté comme un outil léger, le widget partage le même identifiant Hotjar que Heatmaps, Recordings ou Surveys lorsqu'ils sont actifs, ce qui relie l'avis à un profil visiteur.
Cookies et identifiants déposés
Une fois chargé, le widget dépose plusieurs cookies première partie dans le navigateur, notamment _hjSessionUser_* (un an), _hjSession_* (30 minutes), _hjFirstSeen, _hjIncludedInSessionSample_* et _hjAbsoluteSessionInProgress. Ces identifiants, ainsi que l'agent utilisateur, l'adresse IP et l'URL de la page, sont envoyés à in.hotjar.com et static.hotjar.com. Même si le visiteur n'ouvre jamais le widget, le script Hotjar s'exécute généralement à chaque chargement et fixe ces identifiants, ce qui déclenche les obligations RGPD et ePrivacy.
Implications RGPD et ePrivacy
L'identifiant Hotjar est une donnée personnelle car il individualise un appareil entre les sessions, et l'email facultatif comme la réponse libre relèvent souvent de la donnée personnelle. L'article 5(3) de la directive ePrivacy impose un consentement préalable et éclairé avant tout dépôt ou lecture sur le terminal, et l'article 6(1)(a) du RGPD constitue la base légale naturelle. La CNIL et plusieurs autorités européennes considèrent que ce type d'outil ne peut pas s'appuyer sur l'intérêt légitime.
Consentement et paramétrage dans l'UE
Dans l'EEE et au Royaume-Uni, vous devez bloquer le script Hotjar tant que le consentement n'a pas été recueilli. Reliez le widget à la finalité mesure d'audience ou retours utilisateurs dans votre CMP, masquez les champs sensibles avec la classe de suppression, anonymisez l'IP et désactivez les attributs utilisateur qui transporteraient des identifiants CRM. Fournissez un moyen simple de retirer le consentement, qui supprime les cookies en temps réel. Évitez de croiser les avis avec le profil identifié sans consentement spécifique.
Transferts de données et Schrems II
Le trafic européen est traité à Dublin, mais Contentsquare et ses sous-traitants peuvent accéder aux données depuis les États-Unis et d'autres pays. Vérifiez dans votre registre que les clauses contractuelles types sont en place, que le destinataire américain est certifié au DPF si possible, et que l'analyse d'impact des transferts a été réalisée. Documentez les mesures supplémentaires telles que la pseudonymisation des identifiants et une rétention courte des captures.
Étapes pratiques de conformité
Listez _hjSessionUser_*, _hjSession_*, _hjFirstSeen et les autres identifiants dans votre politique cookies avec leur finalité et leur durée, citez Hotjar et Contentsquare comme destinataires dans la politique de confidentialité et alignez la durée sur le paramètre de l'espace (365 jours par défaut). Formez les équipes produit à la classe de suppression, contrôlez avec les outils navigateur que le script ne se déclenche pas avant le consentement et redemandez l'accord si la durée ou les sous-traitants changent.
Hotjar Incoming Feedback et le RGPD
Hotjar Incoming Feedback est classé dans la catégorie « Mesure d'audience ». Sur un site qui vise des visiteurs européens, il ne doit se charger qu'après le consentement du visiteur, et doit figurer dans votre politique de cookies.
- Base légale
- Article 6(1)(a) GDPR consent, combined with ePrivacy Directive Article 5(3) which requires prior opt in for non essential cookies and similar identifiers used by the widget. Legitimate interest is generally not appropriate because of cross site identification.
- Niveau de risque
- medium
- Textes applicables
- GDPR, ePrivacy Directive 2002/58/EC and national transpositions, EU US Data Privacy Framework where relevant, UK GDPR and PECR for UK visitors.
Analyse d'impact (AIPD)
Une AIPD est recommandée dès que Incoming Feedback est combiné avec Heatmaps, Recordings ou Surveys, car l'identifiant Hotjar partagé permet un profilage comportemental. Documentez les flux vers Contentsquare et ses sous-traitants américains, la durée de conservation des retours et des captures, la base de transfert et les mesures supplémentaires. Les recommandations de la CNIL sur les cookies et les lignes directrices du CEPD doivent être citées.
Exemple de texte pour votre bannière
Nous utilisons Hotjar Incoming Feedback pour recueillir vos avis facultatifs sur cette page. Avec votre accord, Hotjar dépose des cookies et des identifiants susceptibles d'être transférés aux États-Unis. Vous pouvez accepter, refuser ou modifier votre choix à tout moment dans les préférences cookies.
Ce que Hotjar Incoming Feedback dépose et contacte
- Méthode de suivi
- Client side JavaScript widget loaded from static.hotjar.com that injects a feedback button (smiley/emoji rating) on the page. Drops first party cookies (_hjSessionUser_*, _hjSession_*, _hjFirstSeen, _hjIncludedInSessionSample) and posts feedback events plus optional screenshots and visitor metadata to in.hotjar.com. No video session replay in this widget, but the same Hotjar identifier is shared across other Hotjar tools when present.
- Localisation des serveurs
- Ireland (AWS Dublin) for EU traffic, with Contentsquare (parent company) headquartered in France and US infrastructure for support and analytics.
- Transfert de données hors UE
- Visitor identifiers, feedback content and optional screenshots may be processed by Contentsquare group entities and sub processors in the United States and other non EEA countries. Hotjar relies on Standard Contractual Clauses and supplementary measures, with the EU US Data Privacy Framework available for US recipients that are certified.
Cookies déposés (5)
| Nom | Type | Durée | Finalité |
|---|---|---|---|
| _hjSessionUser_* | first_party | 1 year | Persistent Hotjar user identifier shared across the Hotjar suite, used to recognise the visitor between sessions and to associate feedback with a device. |
| _hjSession_* | first_party | 30 minutes | Short lived Hotjar session identifier used to group feedback events within a single browsing session. |
| _hjFirstSeen | first_party | Session | Marks the first session of a visitor on the site so the widget can distinguish new users from returning ones. |
| _hjIncludedInSessionSample_* | first_party | 2 minutes | Indicates whether the visitor is included in the daily session quota for the workspace, used by the widget to throttle data collection. |
| _hjAbsoluteSessionInProgress | first_party | 30 minutes | Tracks whether the unique page view session is in progress, used by Hotjar internal counters. |
Domaines tiers contactés (5)
static.hotjar.comscript.hotjar.comin.hotjar.comvars.hotjar.cominsights.hotjar.com
Questions fréquentes sur Hotjar Incoming Feedback
Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite.
Hotjar Incoming Feedback dépose-t-il des cookies ?
Oui. Le widget partage la liste de cookies Hotjar standard: _hjSessionUser_* d'un an, _hjSession_* de 30 minutes, _hjFirstSeen, _hjIncludedInSessionSample_* et _hjAbsoluteSessionInProgress. Ils sont première partie sur votre domaine mais les données sont transmises aux serveurs Hotjar.
Le consentement est-il obligatoire dans l'UE ?
Oui. Le script écrit des identifiants sur le terminal et les transmet à un tiers, donc l'article 5(3) de la directive ePrivacy et l'article 6(1)(a) du RGPD s'appliquent. Le widget doit rester bloqué tant que la finalité mesure où retour n'a pas été acceptée.
Puis-je m'appuyer sur l'intérêt légitime ?
Non. La CNIL et le CEPD considèrent que les outils partageant un identifiant inter-sites et collectant du texte libre ne peuvent pas reposer sur l'intérêt légitime. Le consentement de l'article 6(1)(a) RGPD est requis, conformément aussi à ePrivacy.
Les retours sont-ils transférés hors de l'EEE ?
Le trafic UE est hébergé à Dublin mais Contentsquare et ses sous-traitants peuvent accéder aux données depuis les États-Unis et d'autres pays. Les clauses contractuelles types et le DPF sont les principaux outils, complétés par la pseudonymisation et le contrôle d'accès.
Quand réaliser une AIPD ?
Une AIPD est conseillée si Incoming Feedback est combiné à Recordings ou Heatmaps, si vous collectez des retours sur des parcours sensibles (santé, finance) ou si les captures peuvent contenir des données personnelles. Documentez les finalités, le volume, la conservation et l'analyse de transfert.
Comment intégrer le widget de manière conforme ?
Bloquez le tag par catégorie dans votre TMS, conditionnez-le au consentement, ajoutez la classe de suppression sur les champs sensibles, anonymisez l'IP, réduisez la conservation et désactivez les attributs utilisateurs non essentiels.
Quelles alternatives évitent les transferts vers les États-Unis ?
Des outils européens comme Mopinion, Survicate UE, Userback UE ou des scripts auto-hébergés réduisent ou suppriment les transferts. Un simple formulaire statique relié à votre analytics existant peut suffire pour de la notation par smiley.
Comment mentionner Hotjar dans la politique cookies ?
Listez le widget dans la catégorie mesure d'audience ou retours, citez Contentsquare et Hotjar, décrivez les cookies et leur durée, indiquez les États-Unis comme pays destinataire possible et renvoyez vers la politique de confidentialité Hotjar.
Mettez votre site en conformité aujourd'hui.
Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement.