Smartlook

Smartlook dépose des cookies propriétaires SL_C_<clé>_VID (id visiteur), SL_C_<clé>_SID (id session) et SL_C_<clé>_KEY (configuration), ainsi qu'un cookie tiers sur smartlook.com pour le tableau de bord. Tous les cookies sont décrits dans la documentation Smartlook et doivent figurer dans la politique cookies de l'opérateur.

Les cookies first party SL_C_{key}_KEY, SL_C_{key}_SID et SL_GWPT_Show_Hide_tmp stockent l'identifiant visiteur, la session et les préférences du dashboard.

Smartlook pose jusqu'à trois cookies de première partie sur le domaine de l'éditeur : SL_C_..._KEY (clé visiteur, 1 an), SL_C_..._VID (identifiant visiteur, 1 an) et SL_C_..._SID (identifiant de session). Ils sont pseudonymes et servent à recoller les fragments d'enregistrement.

Oui. Le session replay n'est pas strictement nécessaire, un consentement est requis au titre de l'article 5(3) ePrivacy.

Oui. Le session replay, les heatmaps et clickmaps relèvent d'une surveillance systématique au sens du RGPD et nécessitent un consentement préalable, granulaire et révocable au titre de l'Art. 5(3) ePrivacy et de l'Art. 6(1)(a) RGPD. CNIL, Garante et BfDI ont toutes confirmé cette position.

Oui. Smartlook implémente le session replay, qualifié de surveillance systématique du comportement par l'EDPB et les autorités européennes. Le SDK lit et écrit des informations dans le terminal du visiteur et doit donc rester bloqué tant que le visiteur n'a pas accepté les cookies analytiques dans le CMP.

Consentement au titre de l'article 6(1)(a) du RGPD et de l'article 5(3) ePrivacy.

La base légale est l'article 6(1)(a) du RGPD (consentement). L'intérêt légitime n'est pas adapté car le session replay capture les mutations du DOM et peut traiter incidemment des données personnelles ; les autorités européennes exigent un consentement explicite pour cette catégorie d'analytique.

Consentement (Art. 6(1)(a) RGPD + Art. 5(3) ePrivacy). L'intérêt légitime n'est pas approprié au session replay : la captation systématique du comportement crée un risque élevé pour les droits des personnes et les Lignes directrices 8/2020 du CEPD recommandent le consentement pour tout suivi allant au delà de la mesure agrégée stricte.

Smartlook conserve les replays sur AWS Francfort, dans l'EEE. En tant que filiale de Cisco, Smartlook peut donner accès aux données à la maison mère depuis les États-Unis ou l'Inde au titre du DPA Cisco. Consultez la liste actuelle des sous-traitants et signez les clauses contractuelles types adéquates.

Non pour les clients UE. Smartlook héberge les données des clients UE à Brno (République tchèque) et AWS Irlande et le DPA stipule l'absence de transfert hors EEE. Cisco est la maison mère US mais les opérations UE sont menées indépendamment. Les clients nord américains disposent d'un datacenter US distinct.

Non en configuration standard. Smartlook est hébergé sur AWS UE.

Oui. Le session replay figure parmi les critères de l'AIPD obligatoire selon les Lignes directrices CEPD sur les AIPD (surveillance systématique, traitement à grande échelle). Couvrez la stratégie de masquage, la durée de conservation, l'échantillonnage, les destinataires et l'exercice des droits.

Oui, une AIPD est vivement recommandée. Le session replay est considéré par l'EDPB comme une surveillance systématique du comportement, l'un des critères de traitement à haut risque. Réalisez et documentez l'AIPD avant d'activer Smartlook en production.

Recommandée vu la granularité des replays. Masquez les éléments sensibles pour réduire le risque.

Signez le DPA depuis le tableau de bord, choisissez la résidence UE à l'inscription, configurez le masquage sur chaque champ contenant des données personnelles, activez l'anonymisation IP, encadrez le SDK derrière la catégorie analyse ou session replay de votre CMP et utilisez smartlook.consent ou smartlook.disable selon la décision du visiteur.

Signez le DPA Smartlook, activez l'anonymisation IP, conditionnez le SDK à votre CMP, marquez chaque formulaire et donnée personnelle avec smartlook hide, excluez les pages de paiement et de santé, fixez une rétention courte et documentez l'ensemble dans le registre des traitements.

Bloquez le script avant consentement, utilisez smartlook.consentAPI, masquez par défaut les champs de formulaires et limitez les enregistrements à certaines pages.

Autres outils de session replay : Hotjar (rachetée par Contentsquare), Microsoft Clarity (gratuit, hébergé US), FullStory (hébergé US), LogRocket, Mouseflow (Danemark, hébergé UE) et l'open source OpenReplay auto hébergeable sur infrastructure UE.

Parmi les alternatives européennes ou auto hébergées on trouve Matomo Heatmaps et Session Recording, Mouseflow EU, Contentsquare avec résidence UE, PostHog auto hébergé et Plausible (sans replay). Chaque solution offre un compromis différent en fonctionnalités, rétention et localisation.

Hotjar, Microsoft Clarity, PostHog session replay, Mouseflow, FullStory. Les options européennes simplifient la conformité.

Listez les cookies SL_C_<clé>_VID, SL_C_<clé>_SID et SL_C_<clé>_KEY avec leur finalité et leur durée, signalez le cookie tiers sur smartlook.com, indiquez que Smartlook enregistre des sessions et renvoyez à la politique de confidentialité Smartlook et au centre de préférences de votre CMP.

Listez les trois cookies SL_C_... avec leur durée et leur finalité. Relancez un scan après chaque mise à jour du SDK Smartlook car la convention de nommage peut évoluer. Mettez à jour la politique quand vous modifiez la stratégie de masquage, la durée de conservation ou le taux d'échantillonnage.

Documentez les cookies SL_C_* et SL_S_*, leur finalité, leur durée et l'hébergement UE.