Utiliser Microsoft Clarity de façon conforme au RGPD

Microsoft Clarity (clarity.ms) fournit des cartes de chaleur et des enregistrements de session et transmet des données à Microsoft (États-Unis).

Le fait que Clarity soit gratuit ne change rien à la situation juridique : l'enregistrement de session et les heatmaps captent le comportement de visiteurs individuels et sont donc clairement soumis au consentement. Selon ses propres indications, Microsoft utilise aussi les données agrégées à ses propres fins — cela rend le classement comme simple sous-traitance discutable et rend d'autant plus important un contrat de sous-traitance propre ainsi que la vérification de la responsabilité conjointe.

Le levier technique le plus important est le masquage. S'il est réglé sur « Balanced » ou « Relaxed », des saisies en clair et des contenus de page peuvent se retrouver dans les enregistrements — y compris des données personnelles de tiers visibles par inadvertance. « Strict » masque tous les textes et saisies et constitue le réglage de base économe en données.

Pour le transfert vers les États-Unis, il en va de même que pour d'autres services Microsoft : via le EU-US Data Privacy Framework, le transfert vers Microsoft est en principe sécurisé tant que la certification existe. Cela doit figurer dans la politique de confidentialité comme base du transfert.

Clarity peut être lié à Google Analytics et à Microsoft Advertising. Ces intégrations élargissent la finalité : d'une simple compréhension du comportement, on passe à une base de données pour l'analyse et l'optimisation publicitaires. Qui active le lien doit refléter la finalité élargie dans le consentement et la politique de confidentialité — un consentement recueilli au titre des « statistiques » ne couvre pas les finalités publicitaires.

En pratique, Clarity peut être limité via les paramètres du projet : les enregistrements peuvent être restreints à certaines zones par règle d'URL ou exclus de pages sensibles (connexion, compte, caisse), et des éléments individuels peuvent être contrôlés spécifiquement via data-clarity-mask / data-clarity-unmask. Moins il y a d'enregistrement, plus la justification est simple.

Est-ce un risque ?

Comme pour d'autres enregistrements de session, § 25 al. 1 TDDDG s'applique : utilisation uniquement après consentement préalable. En outre, un contrat de sous-traitance avec Microsoft est nécessaire et le transfert vers un pays tiers doit être justifié.

Ce que vous pouvez faire

• Classer Clarity dans la catégorie soumise à consentement et ne le charger qu'ensuite.
• Régler le masquage sur « strict » pour que le texte et les saisies ne soient pas enregistrés.
• Conclure un contrat de sous-traitance ; dans la politique de confidentialité, nommer Microsoft comme destinataire et le transfert aux États-Unis.

Questions fréquentes

Microsoft Clarity est-il utilisable sans bandeau cookies ?

Non. Clarity pose des cookies et enregistre le comportement — cela est soumis au consentement selon l'art. 25 al. 1 TDDDG. Sans consentement actif, le script ne doit pas se charger.

Ai-je besoin d'un contrat de sous-traitance pour Clarity ?

Oui. Microsoft fournit les conditions contractuelles ; elles devraient être documentées et notées dans le registre des traitements. Comme Microsoft utilise en partie les données à ses propres fins, il faut en outre vérifier s'il existe une responsabilité conjointe.

Quel niveau de masquage devrais-je choisir ?

« Strict ». Cela masque tous les textes et saisies de formulaire dans les enregistrements, ce qui réduit nettement le risque de données personnelles captées par inadvertance.

En quoi Clarity diffère-t-il de Google Analytics du point de vue du RGPD ?

Les deux sont soumis au consentement. Clarity capte en plus des déroulements de session concrets (mouvement de la souris, clics, défilement), ce qui pénètre plus profondément dans la vie privée que la mesure d'audience agrégée de GA4.

Combien de temps Microsoft Clarity conserve-t-il les données ?

Microsoft indique une conservation des enregistrements et des données de heatmap d'environ 30 jours, après quoi elles sont supprimées ou agrégées. La durée concrète et les catégories de données traitées doivent malgré tout figurer dans la politique de confidentialité.

Clarity peut-il ne se charger que sur certaines pages ?

Oui, et c'est recommandé. Via des règles d'URL dans le projet Clarity, l'enregistrement peut être restreint aux pages non critiques et exclu des pages de connexion, de compte et de caisse. Cela réduit nettement le risque de données personnelles captées par inadvertance.

Comment consentglass aide

L'analyse gratuite vérifie le HTML livré et montre quels services sont intégrés, si une bannière cookies est détectée et si les liens vers la confidentialité et les mentions légales sont présents — avec un éclairage pour chaque constat. Elle ne remplace pas un conseil juridique.