ClickGuard

Qu'est ce que ClickGuard ?

ClickGuard est un service de protection contre la fraude au clic pour la publicité au coût par clic, principalement Google Ads et Microsoft Ads. Il est vendu en mode SaaS par une société qui indique une adresse postale à Wilmington, dans le Delaware, aux États Unis. L'annonceur connecte ses comptes publicitaires, installe un code de suivi JavaScript sur son site, puis ClickGuard note chaque clic, repère les robots, les concurrents et les cliqueurs répétitifs, et renvoie automatiquement des exclusions d'adresses IP vers la régie.

Beaucoup d'utilisateurs arrivent sur l'outil en cherchant ClickGuard analytics : le tableau de bord affiche la qualité des clics, le taux de trafic invalide, un suivi en direct des visites payantes et organiques et les conversions. Ce reporting n'existe que parce que le code observe chaque visiteur sur le site de l'annonceur, et c'est précisément ce qui le place dans le champ du RGPD.

Données et cookies collectés

Selon la page RGPD de ClickGuard, le service traite l'adresse IP, le système d'exploitation, le navigateur, une géolocalisation déduite de l'IP, le temps passé sur le site, les interactions et une empreinte du navigateur anonymisée ou hachée. Le code est conçu pour reconnaître l'appareil à l'origine d'un clic et le suivre d'un clic à l'autre, et il enregistre aussi le trafic organique. ClickGuard ajoute en outre un modèle de suivi et un suffixe d'URL finale au compte Google Ads pour que les paramètres de clic remontent jusqu'à ses serveurs.

ClickGuard ne publie ni noms ni durées de cookies pour son code de suivi. Sa politique de confidentialité évoque de façon générale cookies, scripts et stockage local HTML5 : il faut donc scanner ses propres pages après installation pour voir quels identifiants sont réellement écrits. Le script de conversion est chargé depuis pulse.clickguard.com et l'interface tourne sur app.clickguard.com.

Enjeux RGPD et ePrivacy

L'empreinte de navigateur comme le dépôt d'identifiants constituent un accès au terminal de l'utilisateur au sens de l'article 5(3) de la directive ePrivacy 2002/58/CE, transposé en France dans les règles que fait appliquer la CNIL, en Allemagne par le § 25 TDDDG et en Espagne par l'article 22.2 de la LSSI CE. Ce sont des données personnelles, puisque l'adresse IP associée à une empreinte permet d'isoler un appareil. ClickGuard se présente comme sous traitant et ses clients comme responsables de traitement : c'est donc l'annonceur qui répond de l'information, de la base légale et du contrat de sous traitance, proposé par ClickGuard sous forme de DPA public accepté avec ses conditions.

Consentement : ce qu'exige la CNIL

ClickGuard invoque l'intérêt légitime pour la détection de fraude, mais cela ne couvre que le traitement sur ses serveurs. L'accès au terminal relève des règles ePrivacy, qui n'exemptent que ce qui est strictement nécessaire à un service expressément demandé par l'internaute. Protéger le budget publicitaire de l'annonceur n'en fait pas partie : selon les lignes directrices de la CNIL, le code doit donc rester bloqué tant que le visiteur n'a pas accepté la catégorie correspondante dans le bandeau. Attendez vous à une couverture partielle, ClickGuard reconnaissant lui même que les réglages de consentement peuvent empêcher l'enregistrement des clics.

Transferts hors de l'EEE

ClickGuard indique pouvoir transférer et traiter des données hors de l'Union, notamment aux États Unis. Il s'appuie sur les clauses contractuelles types de la décision (UE) 2021/914 et sur des mesures complémentaires comme le chiffrement, sans mentionner de certification au titre du Data Privacy Framework UE États Unis. Depuis l'arrêt Schrems II, l'annonceur doit conserver une analyse d'impact des transferts et vérifier dans le DPA la liste des sous traitants et des lieux d'hébergement.

Mise en conformité pas à pas

Chargez le code ClickGuard via votre plateforme de gestion du consentement ou via Google Tag Manager avec un déclencheur conditionné au consentement, dans la catégorie marketing ou publicité, jamais en dur dans le gabarit. Décrivez ClickGuard dans votre politique de confidentialité et votre politique cookies, y compris l'empreinte de navigateur, le blocage automatique d'IP et le transfert vers les États Unis. Acceptez le DPA, fixez la durée de conservation et réalisez une AIPD si vous suivez le trafic organique à grande échelle. Vérifiez enfin, par un scan du navigateur, qu'aucune requête vers les domaines clickguard.com ne part avant le consentement.