Modes de confidentialité et RGPD dans le suivi des liens

Toute conversation sur la confidentialité dans le suivi des liens finit par buter sur la même question d’un client : que savez-vous exactement des gens qui cliquent sur nos liens ? La réponse est en général improvisée, et c’est pour cela qu’elle est en général fausse dans un sens ou dans l’autre — rassurante au-delà de ce que le système garantit, ou assez vague pour sembler évasive.

Cet article fournit la matière d’une meilleure réponse : ce que contient un événement de clic, pourquoi le niveau de détail se décide à l’écriture plutôt qu’en filtrant un rapport, ce qu’il advient de l’adresse réseau, comment fonctionne réellement la conservation, ce que couvre le consentement, et les documents que réclamera le service conformité d’un client. Ce n’est pas un avis juridique — les obligations dépendent de votre juridiction, de votre audience et de ce que vous faites ensuite des données.

Ce qu’un clic enregistre

Au moment de la redirection, avant qu’aucune page n’ait chargé, le moteur voit une requête. Il peut en tirer l’instant du clic, le lien et le domaine, la destination, une localisation approximative déduite de l’adresse réseau, le type d’appareil, le navigateur et le système d’exploitation lus dans l’agent utilisateur, le domaine référent quand il en est envoyé un, la langue du navigateur et les éventuelles balises de campagne présentes sur l’URL.

Là où l’espace de travail a activé la couche détaillée, le même événement peut aussi porter la région et la ville avec leurs identifiants GeoNames, des coordonnées et un rayon de précision, le fuseau horaire et l’heure locale du visiteur, le numéro de système autonome et le nom du fournisseur, ainsi qu’un verdict sur le type de trafic assorti d’un score de qualité. À quoi sert cette couche est expliqué dans la documentation des règles de trafic.

Deux choses sont délibérément absentes. Le code postal est résolu par la base géographique puis n’est pas enregistré, parce qu’en habitat dense un code postal est très proche d’une adresse. Et l’adresse réseau elle-même n’est jamais écrite, ce qui fait l’objet d’une section entière plus bas.

Ce que l’événement ne contient pas compte tout autant. Il n’identifie personne, ne dit pas si la page de destination a chargé ni si un achat a suivi, et ne porte aucun identifiant inter-sites. Tout ce qui va au-delà exige une seconde source de données du côté de la destination, comme l’explique notre guide sur le suivi des clics.

Deux façons très différentes de limiter les données

Les confondre est l’erreur la plus coûteuse du domaine, et les fournisseurs les séparent rarement.

Un forfait limite jusqu’où un espace de travail peut remonter. Les lignes existent toujours ; un forfait plus grand en montre davantage. C’est une limite commerciale, réversible en montant en gamme. Un mode de confidentialité limite ce qui est noté, tout court : ce qu’il désactive n’atteint jamais le stockage, si bien qu’aucun rapport, aucun export, aucune demande au support et aucune requête future ne peuvent le ramener — un changement d’avis non plus.

| | Conservation du forfait | Mode de confidentialité | | --- | --- | --- | | Ce qu’il contrôle | Jusqu’où vous pouvez remonter | Ce qui est enregistré, tout court | | Où il s’applique | À la lecture | À l’écriture | | Réversible | Oui, en montant en gamme | Non, pour les lignes déjà écrites | | Qui le change | Celui qui gère la facturation | Propriétaire ou administrateur de l’espace de travail |

Les deux s’appliquent en même temps, et c’est la partie que l’on oublie. Un espace de travail dont le forfait offre deux ans de profondeur de consultation mais qui a fixé sa propre conservation à 30 jours garde 30 jours.

Le détail se choisit à l’écriture

Le réglage se trouve dans Réglages → Données du visiteur et confidentialité : trois niveaux de localisation et trois interrupteurs indépendants.

| Niveau | Ce que porte l’événement | | --- | --- | | Complet | Pays, continent, région, ville, identifiants GeoNames, coordonnées, rayon de précision, fuseau horaire, heure locale | | Ville sans coordonnées | Tout ce qui précède sauf les coordonnées et le rayon de précision | | Pays seulement | Pays et continent |

Au niveau pays seulement, la base géographique n’est même pas interrogée pour l’événement — le pays et le continent arrivent déjà du CDN sans coût. Le réglage retire du travail autant que des données : le choix le plus protecteur est donc aussi le moins cher à faire tourner.

Les interrupteurs sont plus étroits. Stocker le réseau du visiteur contrôle le numéro de système autonome et le nom du fournisseur ; désactivé, la répartition Réseaux est vide. Stocker l’adresse référente complète ne contrôle que le chemin et la chaîne de requête de la page référente — le domaine référent est toujours conservé, car c’est sur lui qu’est bâti le rapport Sources. Détecter le type de trafic arrête les vérifications elles-mêmes, et pas seulement les champs : plus de recherches de plages, plus de contrôles de nom inverse, plus de compteurs de comportement.

Un bouton unique pose la combinaison prévue pour les juridictions aux exigences strictes : pays seulement, réseau non stocké, adresse référente complète non stockée, détection du type de trafic désactivée, conservation à 30 jours. Ce qui survit, c’est la couche agrégée — pays, appareil, navigateur, système d’exploitation, domaine référent, balises de campagne et l’empreinte quotidienne du visiteur. Cette dernière est conservée délibérément : sans elle, la notion même de visiteur unique disparaît, avec tous les agrégats bâtis dessus.

Deux conséquences jouent dans les deux sens. L’enregistrement réécrit la configuration mise en cache de chaque lien et de chaque page bio publiée de l’espace de travail : le clic suivant est donc enregistré sous le nouveau mode, et non à la prochaine expiration de cache — « j’ai désactivé les coordonnées et elles ont été collectées un jour de plus » n’est pas une réponse acceptable pour un réglage dont le but est de ne pas collecter. Et le changement n’est pas rétroactif : les lignes déjà écrites gardent ce avec quoi elles ont été écrites. Le filtrage n’est affecté ni dans un sens ni dans l’autre : une règle de trafic qui route par ville continue de router par ville quand la ville n’est pas enregistrée, parce que les règles décident où va un visiteur, pas ce qui est stocké à son sujet.

L’adresse : tronquer, ou ne pas la garder

L’approche courante dans le secteur est la troncature — mettre à zéro le dernier octet d’une adresse IPv4, ou un préfixe plus large en IPv6 — et c’est mieux que de tout stocker. C’est aussi plus faible que cela n’en a l’air : une adresse tronquée identifie encore un réseau de taille limitée, resserre encore considérablement un visiteur de petite ville, et peut être recoupée avec les autres champs de la même ligne. La troncature réduit la résolution ; elle ne retire pas le champ du système.

L’autre voie consiste à ne pas la garder. Ici, l’adresse vit à l’intérieur d’une seule fonction juste le temps de faire exactement deux choses, puis elle est jetée. Le condensat est à sens unique et porte sur l’adresse, l’agent utilisateur, le domaine du lien et un sel secret renouvelé chaque nuit à minuit UTC, le sel précédent étant détruit.

address + user agent + link domain + daily salt  ->  one-way hash  ->  stored
address                                          ->  range lookup  ->  country, city, network
address                                          ->  discarded

Deux conséquences honnêtes en découlent, et toutes deux ont leur place dans la conversation avec le client plutôt qu’en note de bas de page.

D’abord, la métrique porte sur les visiteurs uniques par jour. Comme le sel est renouvelé chaque nuit, la même personne est un autre condensat le lendemain : un chiffre mensuel est donc une somme d’uniques quotidiens et non un décompte de personnes distinctes. Tout fournisseur qui annonce des uniques mensuels exacts sans cookies conserve un identifiant plus longtemps qu’il ne l’admet, ou estime.

Ensuite, l’adresse ne peut être produite plus tard pour personne — ni pour vous, ni pour une demande au support. C’est tout l’intérêt de cette conception, et aussi une limite à connaître avant de promettre à un client une enquête qui l’exigerait.

Le principe se poursuit à la frontière de sortie. La page de statistiques publique d’un lien ne reçoit de la couche géographique que le pays et la ville : ni réseaux, ni type de trafic, ni score de qualité, ni coordonnées — une frontière tenue par un test sur le corps de la réponse plutôt que laissée à la convention. Ce que chaque répartition expose est documenté dans l’analyse géographique et sur la page géographie et qualité du trafic.

La conservation est un réglage de l’espace de travail

Laissez le champ de conservation vide pour le maximum de la plateforme, 730 jours, ou indiquez un nombre de jours.

Le mécanisme compte plus que le nombre. La valeur voyage à l’intérieur de chaque événement, et l’expiration du stockage s’exprime en fonction de cette valeur. Une ligne écrite sous un réglage de 30 jours est supprimée au bout de 30 jours même si l’espace de travail passe ensuite à 730, parce que c’est le réglage en vigueur au moment de l’écriture qui la gouverne.

C’est ce qui fait de la conservation une réponse utilisable plutôt qu’une vague assurance. « Nous gardons 90 jours » est défendable si le 90 est inscrit sur chaque ligne au moment de son écriture ; cela ne l’est pas si la phrase décrit un filtre de rapport posé sur des lignes réellement gardées deux ans. En comparant des plateformes, ne demandez pas quelle est la durée de conservation mais où elle est appliquée — et séparément quelle est la profondeur de consultation du forfait, puisque cette limite joue aussi. Les deux sont décrites dans les données du visiteur et les modes de confidentialité.

Le consentement porte sur les données, pas sur la redirection

La confusion la plus fréquente consiste à traiter la redirection elle-même comme l’objet du consentement. Un visiteur qui touche un lien court a demandé qu’on l’emmène quelque part, et l’y emmener est précisément le service rendu. Les questions de consentement portent sur deux autres choses : ce qui est enregistré au sujet de cette visite, et toute technologie déposée sur l’appareil du visiteur qui n’est pas strictement nécessaire.

Ce cadrage a des conséquences pratiques. Il n’y a pas de cookie de mesure inter-sites, parce que l’empreinte quotidienne remplace le mécanisme même que visent la plupart des régimes de consentement. Il y a exactement un cookie sur le chemin de la redirection — un marqueur de première visite sur votre propre domaine de redirection — et il n’est posé que lorsqu’une de vos règles demande réellement s’il s’agit d’une première visite ou d’un retour. La réponse à « vos liens posent-ils des cookies » dépend donc d’une configuration que vous pouvez montrer, et non d’une politique générale.

Les pixels de suivi sont l’exception nette. Quand un espace de travail attache un pixel de reciblage à un lien, ce pixel et tout ce qu’il dépose appartiennent au propriétaire du pixel et au tiers, pas au service de redirection. Le propriétaire du lien est le responsable de traitement pour ce traitement-là : c’est à lui de l’annoncer et de recueillir le consentement éventuellement requis — une agence qui pose des pixels pour le compte d’un client devrait l’avoir inscrit dans le contrat client, et non le découvrir pendant un contrôle.

Les rôles comptent pour la même raison. Pour les données de clic, l’espace de travail ou le partenaire qui a créé le lien est le responsable de traitement et la plateforme est le sous-traitant : la base légale, l’information des personnes et tout consentement relèvent donc du propriétaire du lien. Les agences qui exploitent des liens pour des clients se trouvent dans cette position plus souvent qu’elles ne le pensent, ce que notre guide des liens de marque pour les agences aborde par le côté commercial.

Les documents que réclamera un examen de conformité

Deux documents font l’essentiel du travail, et aucun des deux ne doit être improvisé.

Un accord de sous-traitance encadre les traitements effectués pour votre compte. Celui qui l’examine y cherche un ensemble précis de points : qui est responsable de traitement et qui est sous-traitant pour chaque catégorie de données, les catégories de personnes concernées et de données à caractère personnel, les mesures de sécurité, le délai de notification d’une violation, le mécanisme de transfert pour les données quittant l’Espace économique européen ou le Royaume-Uni, les droits d’audit, et le sort des données à la fin du contrat. Notre DPA fixe ces termes : notification d’une violation sous 72 heures, clauses contractuelles types accompagnées de l’addendum britannique le cas échéant, droit d’audit annuel sur préavis, et suppression dans les 30 jours suivant la fin de la fenêtre d’export.

Une liste des sous-traitants ultérieurs nomme les tiers qui traitent des données pour le compte de la plateforme, l’usage de chacun et le lieu où il héberge les données. Elle fait partie de l’accord de sous-traitance et non d’une page marketing, et c’est le mécanisme qui l’entoure que l’on évalue : au moins 30 jours de préavis avant qu’un tiers soit ajouté ou remplacé, un droit d’opposition documenté, et la résiliation sans pénalité de la partie concernée quand aucune solution de remplacement raisonnable n’existe. Notre liste des sous-traitants ultérieurs publie les prestataires actuels avec leur finalité et le lieu des données ; la description générale figure dans la politique de confidentialité.

Si un fournisseur ne peut produire les deux documents, ou produit une liste de sous-traitants ultérieurs dépourvue de tout mécanisme de préavis, c’est cela le constat — pas l’absence d’un logo de certification.

Une liste de contrôle pour la conversation client

1. Produisez la liste des champs du mode réellement en service — pas le maximum de la plateforme, mais ce que cet espace de travail écrit aujourd’hui.
2. Annoncez la conservation en jours et l’endroit où elle est appliquée, distinguée de la profondeur de consultation du forfait, en précisant laquelle s’impose actuellement.
3. Répondez en une phrase à la question de l’adresse : stockée en entier, tronquée ou non stockée — et si elle ne l’est pas, expliquez l’empreinte quotidienne et la nature quotidienne des visiteurs uniques.
4. Listez les cookies présents sur le chemin de la redirection et ce qui provoque la pose de chacun. « Aucun, sauf si une règle de première visite est configurée » vaut mieux que « cookies essentiels uniquement ».
5. Séparez ce que vous attachez de ce que fait la plateforme. Les pixels, les balises tierces et l’analytique côté destination sont vos traitements, pas ceux du redirecteur.
6. Remettez l’accord de sous-traitance et la liste des sous-traitants ultérieurs plutôt que d’en faire un résumé, et signalez le préavis applicable aux changements.
7. Réglez le mode de confidentialité au niveau le plus strict que votre reporting peut supporter, puis vérifiez quelles répartitions se sont vidées — c’est ainsi que l’on découvre si un réglage a été choisi ou seulement subi par défaut.

Ce que ce sujet a d’inconfortable, c’est que les décisions prises à l’écriture sont définitives dans les deux sens. Les données que vous avez choisi de ne pas collecter ne sont pas récupérables quand quelqu’un réclame ensuite une répartition par ville, et les données que vous avez collectées ne se décollectent pas quand quelqu’un demande ensuite pourquoi vous les détenez. C’est un argument pour décider en connaissance de cause au début d’une mission plutôt que d’hériter d’un réglage par défaut. Tout ce que contiennent les statistiques fonctionne encore à l’extrémité stricte de l’échelle ; ce qui change, c’est la part du visiteur que vous voyez, pas la part de la campagne.