ScapBot

Oui. ScapBot utilise des cookies et stockages similaires (typiquement un identifiant de session et un cookie persistant) pour maintenir la continuité conversationnelle, reconnaître les visiteurs récurrents et alimenter l'analyse. Comme ils ne sont pas strictement nécessaires à un service expressément demandé, l'article 5(3) de la directive ePrivacy impose un consentement préalable et granulaire avant toute lecture ou écriture.

Oui pour les identifiants d'analyse et de captation de leads et, dans la plupart des cas, pour la fonction chat elle même lorsqu'elle est déclenchée proactivement ou repose sur des identifiants persistants. Le script doit être bloqué via votre CMP jusqu'au consentement. Un chat strictement initié par le visiteur avec uniquement du stockage indispensable peut reposer sur l'intérêt légitime, sous réserve d'un test de mise en balance documenté.

Pour l'analyse, le profilage comportemental et la captation de leads marketing, la base appropriée est le consentement (article 6(1)(a)). Pour la fonction chat strictement nécessaire, l'intérêt légitime (article 6(1)(f)) peut s'appliquer après mise en balance. Si le chat capte des données sensibles relevant de l'article 9, une condition additionnelle telle que le consentement explicite est requise.

ScapBot est hébergé aux États Unis : les données personnelles de l'EEE et du Royaume Uni font l'objet de transferts internationaux. Ces transferts exigent des CCT, une analyse d'impact des transferts au sens de Schrems II et des mesures supplémentaires (chiffrement, contrôle d'accès). Si l'éditeur s'auto certifié sous le Data Privacy Framework UE US, vérifier sa certification active sur la liste officielle avant de s'en prévaloir.

Elle est fortement recommandée et souvent obligatoire. Critères déclencheurs : traitement à grande échelle de texte libre pouvant contenir des données sensibles (article 9), surveillance systématique des comportements visiteurs, profilage et transferts vers un pays tiers sans décision d'adéquation. Documenter risques, mesures d'atténuation et décision sur le risque résiduel avant mise en production.

Bloquer le script jusqu'au consentement, signer un contrat de sous traitance désignant ScapBot, mener une AIPD, fixer des durées de conservation courtes, restreindre les accès admin au strict nécessaire, rédiger ou filtrer le contenu sensible des transcripts lorsque possible, mentionner ScapBot et sa base de transfert US dans la politique de confidentialité, et ré auditer annuellement ou à chaque changement de version.

Des fournisseurs de chatbot et de captation de leads hébergés en UE réduisent le risque de transfert et la charge de gouvernance. Des solutions open source auto hébergées (Rasa, Botpress) déployées dans une région EEE offrent la meilleure souveraineté. Lors de l'évaluation, comparer garanties contractuelles, région d'hébergement, chaîne de sous traitants, contrôles de conservation et traitement de l'article 9.

Ajouter une entrée dédiée pour chaque cookie ou identifiant ScapBot avec nom, finalité, durée et catégorie (fonctionnel, analytique, marketing). Dans la politique de confidentialité, lister ScapBot comme sous traitant, décrire les catégories de données (y compris contenu potentiel article 9 du chat), expliquer le mécanisme de transfert US et les droits des visiteurs, et renvoyer à la politique et au DPA de ScapBot.