Une analyse éthique. Aussi peu de données que nécessaire.
Comprendre le comportement des utilisateurs ne devrait pas se faire au détriment de leur vie privée. Chez MousePlayer, nous créons des outils pour comprendre, pas pour surveiller.
Nous pensons qu’une analyse numérique solide et une protection stricte des données ne s’excluent pas. MousePlayer a été conçu dès le départ avec une architecture qui place la confidentialité au premier plan, pour que vous obteniez la télémétrie nécessaire à l’amélioration de votre UI/UX avec aussi peu de données personnelles que possible. Ces données ne sont pas anonymes - elles sont pseudonymes, et nous vous expliquons ci-dessous exactement ce que cela signifie.
Pseudonymes, pas nominatives
Ce qui nous intéresse, c’est *comment* on interagit avec les éléments, pas *qui* interagit avec eux. MousePlayer attribue aux visiteurs et aux sessions des identifiants aléatoires et pseudonymes, valables uniquement sur le site concerné. Il n’y a ni suivi intersites, ni empreinte numérique, ni tentative d’identifier vos visiteurs. Un nom ou votre propre identifiant client pour un visiteur n’existe que si vous, en tant qu’exploitant, l’envoyez ou l’attribuez vous-même. Les profils de comportement et les analyses IA décrivent des groupes de visites ou des visiteurs pseudonymes individuels au sein de votre projet ; ils ne sont pas reliés aux données d’autres projets ou d’autres clients.
Masquage dans le navigateur
Les saisies sont masquées à la source. Les mots de passe et les données de paiement à chaque niveau de masquage, ainsi que, par défaut, l’intégralité du texte saisi dans les champs de formulaire, sont rendus illisibles directement dans le navigateur du visiteur avant toute transmission de données à nos serveurs. Ce que votre page affiche elle-même n’est pas couvert ; c’est à cela que servent les marqueurs présentés plus bas.
Vos données, cloisonnées
Nous sommes un fournisseur d’outils, pas un courtier en données. Vos données de télémétrie sont strictement cloisonnées dans votre espace de travail. Nous ne vendons pas les données de vos visiteurs et ne les transmettons pas à des tiers à des fins de publicité, de profilage ou de marketing. Les données ne quittent MousePlayer que vers les destinataires que vous configurez vous-même (intégrations et liens de partage), vers les parties nommées dans la liste des sous-traitants ultérieurs et lorsque la loi nous oblige à les divulguer.
La mécanique d’un suivi éthique
1. Assainissement des saisies de formulaire & des frappes
Regarder la relecture d’une session doit révéler des frictions d’utilisabilité, pas des secrets personnels. Le script de suivi côté client de MousePlayer applique une logique d’assainissement rigoureuse. Lorsqu’un utilisateur interagit avec des champs de saisie standard, les données enregistrées sont masquées instantanément par défaut. Vous voyez qu’un utilisateur a saisi du texte dans un champ, ce qui vous permet d’évaluer le temps d’interaction, mais les caractères réels sont remplacés par des indicateurs illisibles ou entièrement supprimés. Les champs de mot de passe et de paiement restent masqués à chaque niveau de masquage. Deux limites s’appliquent, et nous les nommons plutôt que de les passer sous silence : les deux niveaux de masquage plus faibles ne sont activés qu’avec notre approbation écrite, et le masquage ne s’étend jamais à ce que votre propre page affiche dans le document. Ces deux points sont précisés dans l’accord de traitement des données (DPA).
2. Masquage des éléments du DOM
Pour les sites qui traitent des données très sensibles (portails médicaux ou tableaux de bord financiers, par exemple), MousePlayer permet aux développeurs de marquer les zones qui ne doivent jamais être enregistrées. Il existe deux marqueurs, et ils n’ont pas le même effet.
L’attribut data-mp-mask, ou la classe mp-masked, sur l’élément qui entoure une zone sensible. Dans cette zone, chaque caractère autre qu’une espace de chaque nœud de texte est remplacé par un astérisque avant que l’instantané de la page ne quitte le navigateur, et chaque valeur d’attribut, à l’exception d’une courte liste technique autorisée, est remplacée par [FILTERED]. Le remplacement se fait sur une copie ; la page que voit le visiteur n’est pas modifiée.
L’attribut data-mp-ignore, ou la classe mp-ignore, a une portée plus étroite : il supprime les valeurs des champs de formulaire. Il ne retire rien de l’instantané de la page.
Remarque : mp-mask — sans le préfixe data- et sans le suffixe ed — n’est pas un marqueur et n’a aucun effet. Si vous l’avez utilisé, remplacez-le par data-mp-mask.
« Notre philosophie est simple : ce que nous ne collectons jamais ne peut pas être exposé, divulgué ou détourné. La confidentialité n’est pas une fonction que l’on active ; elle fait partie des fondations de notre architecture. »
3. Géolocalisation transparente
À partir de l’adresse IP d’un visiteur, nous déterminons le pays, la ville et l’opérateur réseau lors de l’établissement de la connexion. L’adresse elle-même n’est conservée que sous forme tronquée (pour l’IPv4 sans le dernier octet, pour l’IPv6 sans le dernier bloc). L’adresse complète n’est conservée qu’en mémoire pendant la connexion, quelques secondes pour détecter les afflux de connexions et - lorsqu’elle est bloquée automatiquement en cas de soupçon d’attaque - jusqu’à 24 heures comme entrée de blocage dans notre cache.
4. Vue en direct éphémère
Notre Live Viewer transmet les coordonnées de la souris et les modifications de la page à la personne qui regarde via des connexions chiffrées (WSS). La vue en direct elle-même ne crée aucune copie supplémentaire ; seul ce qui est de toute façon conservé comme enregistrement de session est stocké. Dès que la connexion en direct prend fin, la mémoire tampon temporaire est vidée.