La plate-forme d'analyse de produits qui s'est le plus développée cette décennie fonctionne sur un moteur de base de données né au sein de Yandex, le plus grand moteur de recherche de Russie. ClickHouse a été écrit à Moscou, publié en open source en 2016 et en 2021, il a été scindé en une société indépendante basée aujourd'hui aux États-Unis, et déplace actuellement PostHog, l'analytique de Cloudflare et des centaines d'autres services. Ce détail résume pourquoi l'analyse de produit mérite un audit démocratique. Chaque clic, chaque défilement et chaque panier abandonné dans votre application devient une ligne dans la base de données de quelqu'un, et la provenance de cette base de données, l'entreprise qui l'exploite et la loi qui la régit déterminent qui peut voir comment vos utilisateurs se comportent. Amplitude et PostHog réagissent très différemment.
L'analyse de produit n'est pas l'analyse Web sous un autre nom. Des outils tels que Amplitude et PostHog suivent les utilisateurs identifiés entre les sessions et les appareils, lient les événements aux identifiants de compte, enregistrent les sessions d'écran et alimentent les expériences qui décident quelles fonctionnalités sont lancées. Une entreprise SaaS de taille moyenne peut facilement envoyer des milliards d'événements par an, dont beaucoup sont liés à des e-mails, des noms d'entreprise et des plans d'abonnement. Cela fait des fournisseurs d'analyse certains des sous-traitants avec le plus de données de l'ensemble de la pile logicielle et, en Europe, parmi les plus surveillés. Depuis 2022, les autorités de protection des données d'Autriche, de France et d'Italie se sont prononcées contre des déploiements concrets d'outils américains. La question de Democratic Market est plus limitée et plus pratique : quelle plate-forme maintient les données comportementales dans des démocraties solides et sous le contrôle du client ?
Pourquoi importe l'origine des données d'analyse produit selon la loi européenne en 2026
L'indice de démocratie de l'EIU note les pays de 0 à 10, et Democratic Market ne soutient que les produits dont le lien décisif est dans un pays avec 6,0 ou plus. En analytique, ce maillon est l'endroit où les événements sont stockés et l'entreprise qui peut être obligée de les livrer. Les États-Unis notent 7,85, le Royaume-Uni 8,28 et l'Allemagne 8,58, de sorte que tous les grands acteurs dépassent la barre. Mais le surmonter n'est que le début. Les fournisseurs américains sont soumis au CLOUD Act et à la section 702 de la Foreign Intelligence Surveillance Act, qui permettent d'accéder aux données détenues par des entreprises américaines même si elles sont stockées à l'extérieur du pays. Les régulateurs européens se sont demandés à plusieurs reprises si les identifiants pseudonymes, les empreintes d'appareil et les adresses IP envoyées à ces fournisseurs étaient suffisamment protégés.
La résolution de référence est arrivée en janvier 2022, lorsque l'autorité autrichienne de protection des données a conclu que l'utilisation de Google Analytics sur un site Web enfreignait le RGPD car les données étaient transférées aux États-Unis sans garanties adéquates. La CNIL française la suivit quelques semaines plus tard et le Garant italien quelques mois plus tard. Le cadre de confidentialité des données UE-États-Unis. Adopté en juillet 2023, il a redonné une base légale aux entreprises américaines certifiées, et le Tribunal de l'UE l'a avalisé en septembre 2025. Pourtant, de nombreuses équipes de produits européennes ont conclu que l'architecture la plus sûre est celle dans laquelle la question ne se pose même pas : des événements collectés, stockés et traités au sein de l'UE par un fournisseur européen ou avec une véritable isolation régionale, idéalement avec la possibilité d'opérer toute la pile pour leur propre compte.
Amplitude analyse 2026 : analyse de produit d'entreprise depuis San Francisco
Amplitude a été fondée en 2012 par Spenser Skates, Curtis Liu et Jeffrey Wang, est entrée en bourse par cotation directe au Nasdaq en septembre 2021 et a son siège à San Francisco. C'est l'une des plateformes de référence en analyse comportementale : entonnoirs, courbes de rétention, analyse de cohortes, parcours utilisateur, expérimentation, enregistrement de sessions et une plateforme de données client pour envoyer des événements à d'autres outils. Son point fort est la profondeur. Les chefs de produit des grandes applications grand public l'utilisent pour répondre à des questions telles que quel parcours de bienvenue prédit une conversion payante au cours de la troisième semaine. Amplitude propose un plan Starter gratuit, un plan Plus de dizaines de dollars par mois et des contrats Growth et Enterprise qui atteignent généralement cinq ou six chiffres par an.
D'un point de vue démocratique, Amplitude est une société cotée et transparente dans un pays de 7,85, avec des comptes audités et des actionnaires connus. Elle propose un centre de données européen à Francfort, de sorte que les clients européens peuvent stocker leurs événements en Allemagne, et adhère au cadre de confidentialité des données. La limitation est qu'Amplitude Inc. reste une entité américaine, de sorte que le CLOUD Act s'applique quel que soit l'emplacement du serveur, et que le personnel de support et certains sous-traitants peuvent accéder aux données depuis l'extérieur de l'UE. Le code est propriétaire, les clients ne peuvent pas l'auditer et la plateforme ne peut pas s'auto-héberger. Pour la plupart des applications grand public, c'est acceptable. Pour les produits de santé, financiers ou du secteur public, c'est une dépendance qui doit être documentée et justifiée.
PostHog analyse 2026 : analyse open source, cloud européen et auto-hébergement
PostHog a été fondée en 2020 par James Hawkins et Tim Glaser et est passée par l'accélérateur Y Combinator le même hiver. Elle est constituée aux États-Unis, mais ses fondateurs et une bonne partie de son équipe, totalement distante, résident au Royaume-Uni et en Europe. PostHog réunit l'analyse de produit, l'enregistrement de session, les bannières de fonctionnalité, les tests A/B, les enquêtes, le suivi des erreurs et un entrepôt de données sur une seule plate-forme, avec des prix par utilisation publiés et une tranche gratuite généreuse d'environ un million d'événements d'analyse et cinq mille enregistrements de session par mois. Son code principal est publié sur GitHub sous licence mit, avec les fonctions commerciales sous une autre licence, de sorte que tout ingénieur peut vérifier exactement ce que le script de suivi recueille et comment les événements sont traités.
PostHog propose deux régions cloud, les États-Unis et l'UE, avec l'instance européenne hébergée à Francfort. Les clients peuvent également exécuter la version ouverte sur leur propre infrastructure, bien que depuis 2023 PostHog présente l'auto-hébergement comme une installation pour de petits volumes plutôt que comme un produit d'entreprise pris en charge. Cependant, l'option compte : une startup européenne peut commencer sur PostHog EU Cloud et, si la réglementation ou un grand client public l'exige, passer à une instance propre à Hetzner, en Allemagne, ou à OVHcloud, en France, fournisseurs situés dans des pays avec 8,58 et 7,99 respectivement. L'héritage de ClickHouse mérite d'être mentionné pour son exhaustivité. Le code moteur est ouvert, a été audité de manière indépendante et est aujourd'hui gouverné par une société américaine, de sorte que Democratic Market ne considère pas son origine russe comme un risque actuel.
Meilleures alternatives analytiques européennes : Matomo, Plausible et Piwik PRO
Pour les équipes qui veulent un fournisseur totalement étranger à la juridiction américaine, trois outils européens ou centrés sur l'Europe se distinguent. Matomo, anciennement Piwik, est développé par InnoCraft en Nouvelle-Zélande, qui obtient un score de 9,61, l'un des résultats les plus élevés au monde, et peut être auto-hébergé ou utilisé dans un nuage hébergé en Allemagne. Il couvre l'analyse Web et applicative, les entonnoirs, les cartes thermiques et l'enregistrement de sessions, et est utilisé par la Commission européenne et de nombreuses administrations nationales. Plausible, créé par une petite équipe en Estonie et hébergé sur une infrastructure allemande, offre une analyse Web respectueuse de la vie privée et sans cookies, idéale pour les sites Web de contenu mais trop légère pour une analyse approfondie des produits. Piwik PRO, développé en Pologne, s'adresse à des secteurs réglementés tels que la banque et la santé, avec une gestion intégrée du consentement.
Aucun de ces outils n'égale la profondeur de comportement d'Amplitude ni l'ampleur tout-en-un de PostHog, et c'est l'échange honnête. Matomo est celle qui se rapproche le plus des équipements de produits, en particulier avec ses compléments d'entonnoirs et de cohortes, et son édition auto-hébergée est gratuite. En Scandinavie, où le Danemark note 9,28, la Suède 9,39 et la Norvège 9,81, plusieurs organismes publics ont standardisé Matomo suite aux résolutions autrichienne et française. Pour une société SaaS européenne qui décide en 2026, une liste courte réaliste serait PostHog EU Cloud pour la profondeur de produit open source, Matomo pour une indépendance juridictionnelle maximale et Amplitude EU pour les équipes d'entreprise déjà implantées dans leur écosystème et confortables avec une exposition américaine documentée.
Où se cache le risque démocratique dans l'analytique : SDK, CDN et traceurs opaques
Le vrai risque démocratique en analytique est rarement sur la plateforme principale. C'est dans les SDK mobiles et les scripts de suivi que les développeurs intègrent sans lire le flux de données. La Chine, qui note 2,12 sur l'indice EIU, abrite une industrie analytique mature dirigée par des sociétés telles que Sensors Data et GrowingIO, à Pékin, et Umeng, du groupe Alibaba. Ces SDK sont courants dans les applications développées par des studios externalisés, dans les modèles de commerce électronique en marque blanche et dans les jeux distribués dans le monde entier. Selon la loi chinoise sur le renseignement national de 2017, ces entreprises doivent coopérer avec les demandes des services de renseignement de l'État, et aucun pouvoir judiciaire indépendant ne peut les examiner. Une application européenne comprenant l'un de ces SDK peut exporter des données comportementales vers une juridiction que Democratic Market juge incompatible.
Le deuxième risque caché est l'opacité. De nombreux widgets gratuits d'analyse et de cartes thermiques n'identifient pas votre entité juridique, ne publient pas de liste de sous-traitants et chargent des scripts à partir de réseaux de distribution de contenu dont les serveurs ne sont pas révélés. Certains sont financés par la revente de comportements agrégés à des intermédiaires de données. Pour Democratic Market, un fournisseur qui ne peut pas nommer son propriétaire ni l'emplacement de ses données est classé comme étant d'origine opaque et traité comme s'il avait un score inférieur à 6,0. La leçon pratique pour les équipes produit est d'auditer chaque SDK du pack d'application au moins une fois par an. Des outils comme Exodus Privacy, géré par une association française à but non lucratif, révèlent en quelques minutes les traceurs intégrés dans les applications Android, souvent à la surprise des équipes qui les ont publiées.
Amplitude vs PostHog comparative : prix, fonctions et profil démocratique
En profondeur analytique, Amplitude reste en avance pour les grandes organisations. Ses cohortes comportementales, ses audiences prédictives, ses outils de gouvernance des données et de gestion des taxonomies sont conçus pour les entreprises disposant de dizaines d'équipes produits et de définitions de données strictes. PostHog est plus large que profond : analytique, enregistrements, feature flags, expériences et enquêtes dans un outil, avec un accès SQL aux événements bruts et un entrepôt capable de croiser les données produit avec la facturation ou le CRM. En termes de prix, PostHog est généralement moins cher à petite et moyenne échelle grâce à sa section gratuite et à ses tarifs par événement publiés ouvertement sur son site Web. Amplitude devient compétitif sur les volumes d'affaires par le biais de contrats négociés, mais son prix est moins transparent et plus difficile à prévoir.
Sur le plan démocratique, les deux sociétés sont constituées aux États-Unis et donc soumises au CLOUD Act, et les deux offrent une région européenne à Francfort. La différence réside dans l'ouverture et les voies de sortie. Le code PostHog est public, de sorte que le client peut vérifier ce qui est collecté, et la plate-forme peut être auto-hébergée sur l'infrastructure européenne si nécessaire, en retirant l'entreprise américaine du parcours des données. Amplitude est propriétaire et ne fonctionne que dans le cloud. De plus, l'équipe de PostHog réside en grande partie au Royaume-Uni et dans l'UE, avec des pays notés entre 7,99 et 9,39 dans leurs principaux emplacements. Democratic Market qualifie les deux plates-formes d'acceptables, PostHog EU Cloud étant l'option privilégiée et une instance auto-hébergée de PostHog ou Matomo étant la mieux notée pour les secteurs sensibles.
Législation UE 2026 pour l'analyse des produits : RGPD, ePrivacy, Data Act et Cyber Resilience Act
Quatre cadres juridiques s'appliquent à l'analytique en 2026. Le RGPD réglemente le traitement des identifiants, des adresses IP et des profils comportementaux, exige un contrat de commande avec le fournisseur et réglemente les transferts dans son chapitre V. La directive ePrivacy exige un consentement préalable pour stocker ou lire des informations sur l'appareil de l'utilisateur, ce qui couvre la plupart des cookies d'analyse et de stockage local, bien que la CNIL française et d'autres régulateurs exemptent la mesure d'audience configurée de manière très restrictive. Le règlement sur les données, applicable depuis septembre 2025, oblige les fournisseurs de cloud et de SaaS à faciliter le changement, y compris l'exportation de données dans des formats structurés et la suppression progressive des frais de changement avant 2027, ce qui aide à abandonner les plates-formes propriétaires.
La loi sur la cyber-résilience, en vigueur depuis décembre 2024, ajoute une nouvelle couche aux logiciels vendus dans l'UE. Depuis septembre 2026, les fabricants de produits avec des éléments numériques doivent signaler les vulnérabilités activement exploitées, et les exigences de sécurité complètes s'appliquent à partir de décembre 2027. Les SDK analytiques intégrés dans les applications commerciales font partie des obligations du fabricant de l'application, ce qui signifie que les équipes produit doivent savoir exactement quel code tiers elles distribuent. Les projets open source reçoivent un régime plus léger grâce à la figure du gestionnaire de logiciels libres. Pour l'acheteur, la conséquence pratique est que les fournisseurs avec un code transparent, une politique de sécurité publiée et un représentant clair dans l'UE seront plus faciles à intégrer dans les produits conformes à partir de 2026.
Comment Democratic Market évalue les plateformes d'analyse
Democratic Market évalue les plateformes d'analyse avec quatre critères pondérés. La juridiction représente 40 pour cent : où les événements sont stockés et où l'entreprise qui les contrôle est constituée, mesurée avec les scores EIU ; tout maillon décisif inférieur à 6,0 implique l'exclusion. L'exposition extraterritoriale représente 25 % et comprend des lois telles que la loi américaine sur le CLOUD ou la loi chinoise sur le renseignement national. L'ouverture et la portabilité représentent 20 % : si le code est vérifiable, si les données brutes peuvent être exportées dans des formats standard et si l'outil peut fonctionner sur l'infrastructure du client. La transparence de la propriété apporte les 15 % restants, y compris la publication des investisseurs et des matrices. La qualité technique est rapportée séparément et ne compense jamais une note démocratique insuffisante.
Appliqué à ce cas, Amplitude note un haut niveau de transparence en tant que société cotée, de manière suffisante dans la juridiction grâce à son centre de données de Francfort et faible en ouverture car son code est fermé et ne prend pas en charge l'auto-hébergement. PostHog note bien dans la juridiction avec son nuage européen, très bien dans l'ouverture avec le code mit et l'auto-hébergement, et bien dans la transparence car il publie son historique de financement, son manuel interne et même son cadre salarial. Matomo auto-hébergé en Allemagne atteint la bande maximale dans tous les critères. La classification reflète les risques spécifiques des données comportementales, qui révèlent comment de vrais produits sont utilisés par de vraies personnes et qui sont précieux précisément parce qu'ils sont détaillés, liés et durables.
Guide d'achat : comment choisir une plateforme d'analyse produit démocratique étape par étape
Tout d'abord, cartographiez vos données. Énumérez chaque événement que vous enregistrez, lesquels portent des identifiants d'utilisateur ou des courriels et si l'un d'entre eux révèle des informations sanitaires, financières ou politiques. Deuxièmement, choisissez la région avant le fournisseur : si vous servez des utilisateurs européens, demandez un stockage dans l'UE et confirmez quelle entité juridique signe le contrat de commande et quels sous-traitants peuvent accéder aux données en dehors de l'UE. Troisièmement, lisez le script ou le SDK de suivi. Avec PostHog et Matomo, vous pouvez inspecter le code ; avec des outils propriétaires, demandez de la documentation pour chaque champ collecté. Quatrièmement, essayez la sortie. Exportez un mois d'événements bruts et confirmez que vous pouvez les télécharger dans un entrepôt de données ou un autre outil. Si vous ne pouvez pas, incluez dans le prix le coût futur du changement.
Pour une startup européenne en phase de démarrage, Democratic Market recommande de commencer sur PostHog EU Cloud avec le masquage des enregistrements activé par défaut et la capture IP désactivée, ce qui maintient le coût à zéro pendant des mois et conserve l'option d'auto-hébergement plus tard. Pour un organisme public, une application de santé ou une banque, il convient de commencer par Matomo auto-hébergé sur une infrastructure allemande, néerlandaise ou nordique, où les Pays-Bas obtiennent 9,01 et la Finlande 9,20. Pour une grande entreprise qui utilise déjà Amplitude, il est prudent de transférer le projet au centre de données européen, de documenter l'évaluation de l'impact du transfert et de minimiser les identifiants envoyés. Dans tous les cas, supprimez du package de votre application tout SDK analytique d'origine chinoise ou non identifié avant la prochaine version.
Conclusion : Amplitude ou PostHog pour une équipe produit démocratique ?
Amplitude est une plate-forme mature, transparente et puissante issue d'une démocratie à 7,85, et son centre de données de Francfort en fait une option défendable pour les entreprises qui ont besoin de sa profondeur analytique. PostHog est le meilleur choix par défaut pour la plupart des équipes produit européennes en 2026 : son open source permet de vérifier ce qui est collecté, son cloud européen conserve les données en Allemagne et son option d'auto-hébergement offre une réelle sortie de la juridiction américaine si la réglementation ou les clients l'exigent. Les équipes ayant des exigences plus strictes devraient se tourner vers Matomo. Quoi que vous choisissiez, le plus grand risque démocratique réside dans les SDK non audités, donc le conseil final de Democratic Market est simple : connaissez chaque ligne de code de suivi que vous distribuez et où vont vos données.