Jitsi

Qu'est, ce que Jitsi

Jitsi est une suite de visioconférence open source maintenue par 8x8 et la communauté. Sa partie visible est Jitsi Meet, expérience 100 % navigateur basée sur WebRTC, complétée par Jitsi Videobridge (relais média), Jicofo (focus de conférence) et Prosody (signalisation XMPP). On peut s'auto, héberger ou utiliser le service public meet.jit.si.

Quelles données Jitsi collecte

Un appel Jitsi traite l'audio et la vidéo des participants, l'IP, l'empreinte du navigateur, le pseudonyme affiché, les messages de chat, le partage d'écran et les fichiers envoyés. Le localStorage sert à mémoriser les préférences de périphériques, la langue, le dernier nom de réunion et l'identifiant de participant. Avec enregistrement ou diffusion en direct, les fichiers média deviennent des données personnelles persistantes.

Implications RGPD et ePrivacy

Intégrer une iframe Jitsi ou charger son API externe entraîne le téléchargement de JavaScript depuis votre serveur Jitsi (ou meet.jit.si) et l'écriture en localStorage. L'article 5(3) de la directive ePrivacy exige un consentement préalable pour tout accès ou stockage sur l'équipement de l'utilisateur, sauf strict nécessaire. La visioconférence n'est pas strictement nécessaire à la consultation d'une page : le consentement est la bonne base.

Consentement et base légale

Pour un widget Jitsi intégré dans une page marketing ou un blog, recueillez un consentement explicite avant chargement de l'iframe. Pour un produit payant où Jitsi sert d'infrastructure d'appel, l'exécution du contrat (art. 6(1)(b) RGPD) est la base appropriée. L'enregistrement ajoute une finalité et une obligation d'information renforcée envers tous les participants, y compris ceux qui rejoignent ensuite.

Transferts et hébergement

Un cluster Jitsi auto, hébergé dans des datacenters UE (Hetzner, OVHcloud, Scaleway, Infomaniak, NetCup, infra interne) garde la signalisation et les médias en UE. meet.jit.si est exploité par 8x8, société américaine ; même avec des serveurs médias UE, des transferts peuvent survenir et doivent être couverts par le Data Privacy Framework UE US ou des Clauses Contractuelles Types.

Étapes de mise en conformité

Auto, hébergez sur infra UE si possible. Désactivez les services externes dans config.js (callstats, analytics tiers, Gravatar). Désactivez les remontées Sentry ou Matomo non maîtrisées. Utilisez des noms de salons courts qui ne sont pas des identifiants. Imposez TLS partout, stockez les enregistrements sur stockage objet UE chiffré avec rétention courte, et joignez les participants en micro/caméra désactivés par défaut.