Mesure et observabilité
RGPD Matomo
Dans une stack indie, Matomo sert à mesure d’audience, en cloud ou sur vos serveurs. Entité citée : InnoCraft Ltd, 7 Waterloo Quay, PO Box 625, 6140 Wellington, Nouvelle-Zélande. Les sections reprennent ce que l’éditeur publie, sans compléter un trou. Dernière mise à jour des faits : 5 octobre 2026. Vérifié le 5 octobre 2026.
DPA Matomo
Oui pour Matomo Cloud. DPA public, partie des conditions. Pas de DPA InnoCraft pour l’auto-hébergement : InnoCraft indique ne pas traiter ces données.
Rôle indiqué
Pour Matomo Cloud, le DPA indique que le client est responsable et InnoCraft sous-traitant. La FAQ indique qu’en auto-hébergement, InnoCraft ne traite pas les données des visiteurs et n’est pas sous-traitant : l’hébergeur du client peut l’être.
Données personnelles
Le DPA Cloud (version 3.0, 9 octobre 2025) énumère, selon la configuration, notamment l’adresse IP (anonymisée, hachée ou complète), une localisation, le navigateur et l’appareil, les pages visitées, le référent, un identifiant utilisateur et, si la fonction est activée, un enregistrement de session. La liste complète est dans le DPA.
Sous-traitants de Matomo
Liste publique (dernière mise à jour indiquée : 9 octobre 2025) : Amazon Web Services EMEA SARL (infrastructure et CDN), Oblivion Cloud Control B.V. (Pays-Bas) et Tideways GmbH (Allemagne).
Transferts hors UE
Hébergement / localisation
La liste des sous-traitants place l’infrastructure serveurs, bases et journaux chez Amazon Web Services EMEA SARL, en Europe : Francfort, avec sauvegardes à Dublin. Le CDN JavaScript, optionnel, est aussi chez AWS Europe, le trafic UE restant dans l’UE. La Privacy Policy Cloud indique qu’InnoCraft reçoit les données en Nouvelle-Zélande sur le fondement d’une décision d’adéquation.
Data Privacy Framework UE–États-Unis
Recherche officielle « InnoCraft » et « Matomo » sur la liste : aucun participant. Non inscrit. Le transfert vers la Nouvelle-Zélande est présenté, dans la Privacy Policy Cloud, comme fondé sur une décision d’adéquation. Pour les sous-traitants hors UE, la même politique cite une décision d’adéquation ou des clauses contractuelles types.
Cookies
Noms des cookies : non communiqué.
Usage typique, rédigé par StackLégal et non par l’éditeur : Mesure d’audience, en cloud ou sur vos serveurs.
Historique
Dernière mise à jour : 5 octobre 2026.
Première publication. Les faits viennent des pages officielles citées en sources. Ce qui n’y figure pas reste « non communiqué ».
Clause à coller
À placer dans la section sous-traitants de votre politique de confidentialité. Relisez-la : un champ « non communiqué » doit être complété avant publication.
Clause sous-traitants
Sources
Vérifié le 5 octobre 2026.
Questions fréquentes
Matomo est-il sous-traitant au sens du RGPD ?
Pour Matomo Cloud, le DPA indique que le client est responsable et InnoCraft sous-traitant. La FAQ indique qu’en auto-hébergement, InnoCraft ne traite pas les données des visiteurs et n’est pas sous-traitant : l’hébergeur du client peut l’être.
Quel DPA Matomo publie-t-il ?
Oui pour Matomo Cloud. DPA public, partie des conditions. Pas de DPA InnoCraft pour l’auto-hébergement : InnoCraft indique ne pas traiter ces données. https://matomo.org/matomo-cloud-dpa/
Quels sous-traitants ultérieurs Matomo publie-t-il ?
Liste publique (dernière mise à jour indiquée : 9 octobre 2025) : Amazon Web Services EMEA SARL (infrastructure et CDN), Oblivion Cloud Control B.V. (Pays-Bas) et Tideways GmbH (Allemagne). https://matomo.org/matomo-cloud-dpa/subprocessors/
Où Matomo indique-t-il traiter les données, y compris hors UE ?
La liste des sous-traitants place l’infrastructure serveurs, bases et journaux chez Amazon Web Services EMEA SARL, en Europe : Francfort, avec sauvegardes à Dublin. Le CDN JavaScript, optionnel, est aussi chez AWS Europe, le trafic UE restant dans l’UE. La Privacy Policy Cloud indique qu’InnoCraft reçoit les données en Nouvelle-Zélande sur le fondement d’une décision d’adéquation.
Matomo est-il inscrit au Data Privacy Framework UE–États-Unis ?
Recherche officielle « InnoCraft » et « Matomo » sur la liste : aucun participant. Non inscrit. Le transfert vers la Nouvelle-Zélande est présenté, dans la Privacy Policy Cloud, comme fondé sur une décision d’adéquation. Pour les sous-traitants hors UE, la même politique cite une décision d’adéquation ou des clauses contractuelles types.
Quelles données personnelles Matomo mentionne-t-il ?
Le DPA Cloud (version 3.0, 9 octobre 2025) énumère, selon la configuration, notamment l’adresse IP (anonymisée, hachée ou complète), une localisation, le navigateur et l’appareil, les pages visitées, le référent, un identifiant utilisateur et, si la fonction est activée, un enregistrement de session. La liste complète est dans le DPA.
Souvent dans la même stack
Ces fiches reviennent dans les recherches d’un SaaS Next.js. Next.js lui-même n’est pas un sous-traitant : RGPD Next.js.
Outils proches
Pack complet, à partir de 39 € TTC
La clause ci-dessus ne couvre qu’un outil. StackLégal génère les mentions, CGU, CGV, confidentialité, DPA article 28 et la liste publique, en ne citant que les cases cochées. Paiement unique via Gumroad. Ce n’est pas un conseil juridique.