Mesure et observabilité
RGPD Hotjar
Dans une stack indie, Hotjar sert à cartes de chaleur, enregistrements de session et enquêtes. Entité citée : Pour un bon de commande Hotjar (Ask, Observe ou Engage), le tableau des entités indique Content Square SAS, 7 rue de Madrid, 75008 Paris, si le client n’est pas domicilié dans les Amériques, et Content Square, Inc., 60 Hudson St, New York, NY 10013, pour les Amériques (sauf Cuba).. Les sections reprennent ce que l’éditeur publie, sans compléter un trou. Dernière mise à jour des faits : 5 octobre 2026. Vérifié le 5 octobre 2026.
DPA Hotjar
Oui. Data Processing Agreement Contentsquare, publié sur le site Hotjar et incorporé au contrat.
Rôle indiqué
Le DPA publié sur hotjar.com prévoit, pour les finalités de l’annexe 1, que le client est responsable et Contentsquare sous-traitant. Il prévoit aussi le module sous-traitant à sous-traitant. Contentsquare peut en outre traiter des données en tant que responsable, selon la politique des services citée par le DPA.
Données personnelles
L’annexe CSQ Experience Platform cite, selon l’usage : adresses IP (site web), identifiants, noms, e-mails, données de comportement (mouvements, clics, défilement), données techniques (pages, système, navigateur, URL de provenance, géolocalisation jusqu’à la ville) et, si le client l’active, des données supplémentaires saisies dans le service. La conservation par défaut indiquée est de 13 mois après la collecte, sauf accord écrit.
Sous-traitants de Hotjar
Le DPA renvoie la liste vers le centre de confidentialité Contentsquare. Le tableau nominatif n’est pas recopié ici.
Transferts hors UE
Hébergement / localisation
Le DPA ne fixe pas un pays unique : il renvoie la localisation du traitement et du stockage vers la liste des sous-traitants. Pour les transferts hors EEE, il incorpore les clauses contractuelles types, droit français, tribunaux français.
Data Privacy Framework UE–États-Unis
Le DPA définit le Data Privacy Framework comme un mécanisme possible et retient les clauses contractuelles types pour les transferts depuis l’EEE. Inscription de Content Square SAS ou de Content Square, Inc. sur la liste officielle, lue le 5 octobre 2026 : non communiqué.
Cookies
L’aide « Cookies Set by the Hotjar Tracking Code » nomme, sur le site du client, _hjSessionUser_{site_id} (cookie, 365 jours, identifiant Hotjar propre à ce site) et _hjSession_{site_id} (cookie, 30 minutes, session). La page en liste d’autres. Hotjar indique ne pas suivre un utilisateur d’un site à l’autre via _hjSessionUser.
Usage typique, rédigé par StackLégal et non par l’éditeur : Cartes de chaleur, enregistrements de session et enquêtes.
Historique
Dernière mise à jour : 5 octobre 2026.
Première publication. Les faits viennent des pages officielles citées en sources. Ce qui n’y figure pas reste « non communiqué ».
Clause à coller
À placer dans la section sous-traitants de votre politique de confidentialité. Relisez-la : un champ « non communiqué » doit être complété avant publication.
Clause sous-traitants
Sources
Vérifié le 5 octobre 2026.
Questions fréquentes
Hotjar est-il sous-traitant au sens du RGPD ?
Le DPA publié sur hotjar.com prévoit, pour les finalités de l’annexe 1, que le client est responsable et Contentsquare sous-traitant. Il prévoit aussi le module sous-traitant à sous-traitant. Contentsquare peut en outre traiter des données en tant que responsable, selon la politique des services citée par le DPA.
Quel DPA Hotjar publie-t-il ?
Oui. Data Processing Agreement Contentsquare, publié sur le site Hotjar et incorporé au contrat. https://www.hotjar.com/legal/support/dpa/
Quels sous-traitants ultérieurs Hotjar publie-t-il ?
Le DPA renvoie la liste vers le centre de confidentialité Contentsquare. Le tableau nominatif n’est pas recopié ici. https://contentsquare.com/privacy-center/subprocessors/
Où Hotjar indique-t-il traiter les données, y compris hors UE ?
Le DPA ne fixe pas un pays unique : il renvoie la localisation du traitement et du stockage vers la liste des sous-traitants. Pour les transferts hors EEE, il incorpore les clauses contractuelles types, droit français, tribunaux français.
Hotjar est-il inscrit au Data Privacy Framework UE–États-Unis ?
Le DPA définit le Data Privacy Framework comme un mécanisme possible et retient les clauses contractuelles types pour les transferts depuis l’EEE. Inscription de Content Square SAS ou de Content Square, Inc. sur la liste officielle, lue le 5 octobre 2026 : non communiqué.
Quelles données personnelles Hotjar mentionne-t-il ?
L’annexe CSQ Experience Platform cite, selon l’usage : adresses IP (site web), identifiants, noms, e-mails, données de comportement (mouvements, clics, défilement), données techniques (pages, système, navigateur, URL de provenance, géolocalisation jusqu’à la ville) et, si le client l’active, des données supplémentaires saisies dans le service. La conservation par défaut indiquée est de 13 mois après la collecte, sauf accord écrit.
Souvent dans la même stack
Ces fiches reviennent dans les recherches d’un SaaS Next.js. Next.js lui-même n’est pas un sous-traitant : RGPD Next.js.
Outils proches
Pack complet, à partir de 39 € TTC
La clause ci-dessus ne couvre qu’un outil. StackLégal génère les mentions, CGU, CGV, confidentialité, DPA article 28 et la liste publique, en ne citant que les cases cochées. Paiement unique via Gumroad. Ce n’est pas un conseil juridique.