Outils de heatmap en 2026 : ce qu'un seul enregistrement de session révèle de vos visiteurs
Un seul enregistrement de session peut en dire plus sur une personne qu'une dizaine de cookies. Chaque mouvement de souris, chaque hésitation, chaque clic de frustration et chaque défilement est consigné, horodaté et stocké, souvent avec une localisation déduite de l'adresse IP et une empreinte de l'appareil. Hotjar, l'outil qui a démocratisé les cartes de chaleur auprès des petites entreprises, revendique plus d'un million de sites utilisateurs au cours de son histoire. Chacun de ces sites prend en silence une décision de chaîne d'approvisionnement au nom de ses visiteurs : où voyagent leurs données comportementales, quelle entreprise les conserve et quels tribunaux, de quel État, peuvent y accéder. La plupart des éditeurs ne se posent jamais la question. Pour une entreprise européenne en 2026, après une décennie de contentieux sur les transferts de données et de contrôles des scripts d'analyse par les régulateurs, ne pas se la poser est devenu un risque de conformité autant qu'un risque éthique. Ce comparatif examine Hotjar et Heatmap, l'outil plus récent orienté chiffre d'affaires, référencé dans notre catalogue sous le nom Heatmap.ai, à travers la grille que Democratic Market applique à tous les produits : qui le fabrique, où vont les données et quel système politique se trouve derrière l'un et l'autre.
Pourquoi l'origine démocratique compte pour les outils de heatmap et d'enregistrement de sessions
Les outils de heatmap occupent une place singulière dans la chaîne d'approvisionnement numérique. C'est l'éditeur du site qui les installe, mais ce sont les visiteurs qui fournissent les données, le plus souvent sans savoir que l'outil existe. Cette asymétrie rend la juridiction du fournisseur déterminante. Si les données comportementales sont traitées dans une démocratie pleine, les visiteurs conservent des droits opposables : accès, effacement, opposition et une autorité de contrôle auprès de laquelle porter plainte. Si elles sont traitées dans un État autoritaire, ces droits n'existent que sur le papier, et les services de sécurité peuvent disposer d'un accès légal sans contrôle réel. Democratic Market évalue donc les fournisseurs d'analyse d'abord selon le score à l'indice de démocratie de l'EIU du pays où siège la société qui les contrôle et où les données sont stockées. La France, dont le groupe Contentsquare possède aujourd'hui Hotjar, obtient 7,99. Les États-Unis, siège de Heatmap et de Microsoft Clarity, obtiennent 7,85. Le Danemark, où est développé l'outil concurrent Mouseflow, obtient 9,28. La Russie, patrie de Yandex Metrica et de sa fonction de relecture de sessions Webvisor, obtient 2,22. La carte de chaleur produite par ces outils peut sembler identique. Les protections juridiques entourant les données brutes qui la composent ne le sont pas. Pour un lecteur français, la question a d'ailleurs un écho particulier : la CNIL est l'une des autorités européennes les plus actives sur les traceurs, et ses sanctions ont touché des acteurs de toutes tailles.
Hotjar : origine maltaise, actionnaire français, hébergement européen
Hotjar a été fondé en 2014 à Malte, État membre de l'Union européenne que l'EIU classe parmi les démocraties imparfaites avec un score de 6,70, et s'est développé rapidement en proposant cartes de chaleur, enregistrements de sessions et sondages sur page à un prix accessible aux petites entreprises. En 2021, il a été racheté par Contentsquare, la société parisienne d'analyse de l'expérience numérique, qui l'a depuis intégré à sa plateforme plus large tout en conservant la marque pour les petits clients. Hotjar indique stocker les données de ses clients dans l'Union européenne, sur une infrastructure cloud en Irlande, ce qui place l'essentiel du traitement sous l'empire direct du RGPD. Ses réglages de confidentialité par défaut sont plutôt prudents pour la catégorie : la saisie dans les champs de formulaire est supprimée par défaut, les chiffres et les chaînes ressemblant à des adresses e-mail peuvent être masqués automatiquement, et l'éditeur peut désigner d'autres éléments à occulter. Les adresses IP complètes ne sont pas enregistrées par défaut. Les faiblesses sont ailleurs. Hotjar est un SaaS propriétaire : la logique de masquage ne peut pas être vérifiée de manière indépendante, et certains sous-traitants chargés du support ou de l'infrastructure sont des entreprises américaines, ce qui fait entrer le Data Privacy Framework UE–États-Unis dans l'analyse de conformité. L'offre gratuite est limitée à un petit nombre de sessions quotidiennes, et les offres payantes pour un trafic significatif démarrent à quelques dizaines d'euros par mois avant de grimper fortement avec le volume. Pour la plupart des PME européennes, la combinaison d'un hébergement dans l'UE et d'un actionnaire français donne néanmoins à Hotjar un profil démocratique respectable.
Heatmap.ai : des cartes de chaleur du chiffre d'affaires made in USA et une couche d'optimisation par IA
Heatmap, le produit désigné dans ce comparatif sous le nom Heatmap.ai et commercialisé sous le domaine heatmap.com, est une entreprise bien plus jeune. Les bases de données sectorielles situent sa création en 2023, la présentent comme américaine et mentionnent un tour d'amorçage d'environ quatre millions de dollars en 2024. Sa promesse diffère de celle de Hotjar : au lieu de montrer où les gens cliquent, il attribue un chiffre d'affaires à chaque élément d'une page, si bien qu'une boutique en ligne voit quelle bannière, quel bouton ou quelle vignette produit est associé au plus grand nombre de ventes. S'y ajoutent des cartes de défilement, des enregistrements de sessions et un moteur d'IA qui génère des recommandations pour améliorer le taux de conversion. Pour les marques en vente directe, notamment sur Shopify, la proposition est séduisante. Du point de vue de l'origine démocratique, le tableau est contrasté plutôt que négatif. Les États-Unis, à 7,85, dépassent largement notre seuil de 6,0, et les entreprises américaines peuvent se certifier au titre du Data Privacy Framework. Mais d'anciennes descriptions de notre propre catalogue laissaient entendre que Heatmap.ai traitait les sessions localement ; nous n'avons pas pu le vérifier, et le produit tel qu'il est commercialisé aujourd'hui est un service cloud. Sa documentation publique sur la localisation des données, les sous-traitants et les réglages de masquage par défaut est plus mince que celle de Hotjar, ce qui est courant pour une start-up mais compte pour un acheteur européen. Notre appréciation : origine acceptable, transparence insuffisante, et un produit que les marchands établis dans l'UE ne devraient déployer qu'après avoir obtenu un accord de traitement des données qui désigne explicitement les lieux de stockage.
Outils de heatmap à risque démocratique : Yandex Metrica et Baidu Tongji
Deux services d'analyse gratuits illustrent ce qu'est une origine à haut risque dans cette catégorie. Yandex Metrica, édité par le premier groupe technologique russe, propose gratuitement une puissante fonction de relecture de sessions baptisée Webvisor, ainsi que des cartes de clics et de défilement. C'est précisément cette gratuité qui pose problème. La Russie obtient 2,22 à l'indice de l'EIU, et les lois russes sur la localisation des données et la surveillance, dont le système SORM, ouvrent aux services de sécurité un large accès aux données détenues par les entreprises nationales. Utiliser Webvisor revient à enregistrer le comportement de vos visiteurs et à l'envoyer à une entreprise soumise à ce cadre. Plusieurs régulateurs européens et de nombreuses équipes de sécurité bloquent désormais purement et simplement les scripts Yandex. Baidu Tongji, l'outil d'analyse du moteur de recherche dominant en Chine, propose des cartes de chaleur pour les sites visant un public chinois et relève de la loi sur le renseignement national de 2017, qui oblige les organisations à soutenir le travail de renseignement de l'État ; la Chine obtient 2,12. Un troisième groupe de risque est plus discret : les outils de heatmap vendus en « offre à vie » sur des places de marché, sans société identifiable derrière eux. Si les conditions d'un fournisseur ne mentionnent ni entité juridique, ni pays, ni lieu de stockage, Democratic Market le considère comme d'origine opaque et l'exclut.
Hotjar vs Heatmap.ai vs alternatives : fonctionnalités, prix et profil démocratique
Côté fonctionnalités, Hotjar est l'outil de recherche UX le plus complet : cartes de chaleur, enregistrements, entonnoirs, sondages sur site, widgets de retour et planification d'entretiens utilisateurs dans une même interface, avec des intégrations pour la plupart des grandes plateformes. Heatmap est plus étroit mais plus profond sur un axe, en reliant directement le comportement au chiffre d'affaires dans l'e-commerce ; ses recommandations par IA s'adressent davantage aux équipes marketing qu'aux chercheurs UX. Côté prix, les deux proposent des essais ou un usage gratuit limité et évoluent selon les sessions ou le trafic ; Heatmap se positionne sur le haut de gamme pour les boutiques en croissance. Côté profil démocratique, Hotjar prend un léger avantage grâce à l'hébergement dans l'UE et à son actionnaire français (7,99), tandis que la base américaine de Heatmap (7,85) est acceptable mais sa documentation sur la localisation des données plus faible. Deux alternatives méritent l'attention. Mouseflow, développé à Copenhague, associe la juridiction danoise (9,28) et un hébergement européen à un ensemble de fonctions proche de celui de Hotjar. Matomo, la plateforme d'analyse open source dont le gestionnaire commercial, InnoCraft, est basé en Nouvelle-Zélande (9,61), propose une extension de heatmaps et d'enregistrement de sessions qui fonctionne sur votre propre serveur : les données comportementales n'ont jamais à quitter une infrastructure que vous contrôlez. Matomo figure d'ailleurs parmi les solutions que la CNIL a reconnues comme pouvant être configurées pour bénéficier de l'exemption de consentement pour la mesure d'audience, même si cette exemption ne couvre pas l'enregistrement de sessions. Microsoft Clarity est gratuit et performant, mais son hébergement américain et l'utilisation des données pour les propres produits de Microsoft en font un choix plus faible pour les sites européens attentifs à la vie privée.
Il existe aussi une dimension pratique qui apparaît rarement dans les tableaux comparatifs. Chaque script d'analyse comportementale alourdit la page et dispute au code du site la bande passante et le processeur du visiteur, ce qui peut affecter les Core Web Vitals et, indirectement, le référencement. Hotjar, Heatmap et Mouseflow se chargent de manière asynchrone et n'échantillonnent qu'une partie des sessions sur les offres d'entrée de gamme, mais le coût croît avec les fonctions activées, en particulier l'enregistrement continu. Une instance Matomo auto-hébergée évite toute requête vers des tiers, ce qui réduit aussi le nombre de domaines externes interceptés par les bloqueurs de publicité et les navigateurs protecteurs de la vie privée, et améliore la complétude des données. Pour les éditeurs, le choix démocratique et le choix techniquement sobre coïncident donc souvent : moins de fournisseurs, moins de transferts et moins de scripts donnent un site plus rapide et une surface de conformité plus réduite. Avant de signer, nous recommandons un essai de deux semaines avec le taux d'échantillonnage que vous paieriez réellement, puis une comparaison des rapports de vitesse de page avec et sans le script.
Réglementation européenne 2026 : RGPD, ePrivacy et transferts de données
L'enregistrement de sessions est l'une des formes d'analyse web les plus encadrées en Europe. L'article 5, paragraphe 3, de la directive ePrivacy, transposé en France à l'article 82 de la loi Informatique et Libertés, impose un consentement préalable pour stocker des informations sur le terminal de l'utilisateur ou y accéder, et les autorités de protection des données s'accordent à dire que les scripts de relecture de sessions entrent dans ce champ. Contrairement à certaines mesures d'audience minimales, les enregistrements ne peuvent pas bénéficier d'exemptions de consentement comme celle que la CNIL accorde aux outils d'analyse configurés de manière restrictive. Une fois le consentement obtenu, le RGPD s'applique pleinement : limitation des finalités, minimisation des données, durées de conservation limitées et obligation de masquer les champs sensibles. Les transferts internationaux restent la question centrale. L'arrêt Schrems II de 2020 a invalidé le Privacy Shield et, en 2022, plusieurs autorités, dont la DSB autrichienne et la CNIL, ont jugé illicites des usages précis d'outils d'analyse américains. Le Data Privacy Framework UE–États-Unis, adopté en juillet 2023 et validé par le Tribunal de l'Union européenne en septembre 2025, a rouvert une voie légale pour les fournisseurs américains certifiés, mais il reste politiquement fragile et un nouveau recours devant la Cour de justice est largement attendu. Pour les outils dotés de fonctions d'optimisation par IA, le règlement sur l'IA ajoute des obligations de transparence dans certains cas. Conséquence pratique : l'hébergement dans l'UE et l'actionnariat européen constituent désormais un véritable avantage commercial sur ce marché.
Comment Democratic Market évalue les outils de heatmap et d'analyse
Notre méthodologie pour l'analyse comportementale repose sur cinq critères pondérés. Le premier est le score EIU de la juridiction où est établie l'entité qui contrôle le fournisseur ; en dessous de 6,0, c'est l'exclusion. Le deuxième est la localisation des données : où les enregistrements et les événements sont stockés par défaut, si un hébergement exclusivement européen est disponible et quels sous-traitants peuvent y accéder. Le troisième est la protection des données par défaut, c'est-à-dire si le masquage des saisies, l'anonymisation des adresses IP et une conservation courte sont activés d'emblée ou exigent une configuration que de nombreux éditeurs n'effectueront jamais. Le quatrième est la vérifiabilité : code ouvert, audits publiés ou certifications comme ISO 27001 et SOC 2. Le cinquième est la maîtrise, en particulier la possibilité d'auto-héberger l'outil. Selon cette grille, Matomo obtient la meilleure note globale, Mouseflow et Hotjar s'en sortent bien grâce à l'hébergement européen et à de bons réglages par défaut, et Heatmap passe le critère d'origine mais est signalé pour son manque de transparence. Yandex Metrica et Baidu Tongji sont exclus. Nous révisons ces évaluations lors des changements d'actionnaire, comme celui de Hotjar en 2021, et chaque fois que le cadre des transferts entre l'UE et les États-Unis évolue.
Guide d'achat pas à pas : choisir un outil de heatmap démocratique
Commencez par définir votre besoin. Si votre objectif est de comprendre des problèmes d'utilisabilité, un outil généraliste avec sondages et enregistrements, comme Hotjar ou Mouseflow, vous servira mieux qu'un produit d'attribution du chiffre d'affaires. Si vous gérez une boutique Shopify et souhaitez relier vos choix de mise en page aux ventes, l'approche de Heatmap a du sens, à condition d'accepter sa base américaine. Deuxièmement, vérifiez l'entité juridique du fournisseur et le score EIU de son pays, puis lisez sa liste de sous-traitants. Troisièmement, confirmez que l'hébergement dans l'UE est disponible dans votre offre et sélectionnez-le. Quatrièmement, avant toute installation, mettez à jour votre plateforme de gestion du consentement pour que le script ne se charge qu'après accord, et documentez la finalité dans votre registre des activités de traitement. Cinquièmement, activez toutes les options de masquage et ajoutez une suppression manuelle pour tout élément susceptible de contenir des données personnelles, comme les pages de compte, les champs de paiement et les champs de recherche. Sixièmement, fixez la durée de conservation la plus courte compatible avec votre analyse, généralement entre 30 et 90 jours. Enfin, limitez le visionnage des enregistrements à une petite équipe identifiée, et supprimez les projets que vous n'utilisez plus : les scripts oubliés sont une source fréquente de collecte inutile.
Conclusion : quel outil de heatmap une entreprise démocratique doit-elle choisir ?
Pour la plupart des PME européennes, Hotjar reste un choix raisonnable : il appartient à un groupe français, stocke les données dans l'UE, masque par défaut les saisies sensibles et offre la boîte à outils de recherche la plus large pour un prix d'entrée accessible. Heatmap est une option crédible pour les équipes e-commerce qui recherchent l'attribution du chiffre d'affaires et l'optimisation assistée par IA, et son origine américaine franchit notre seuil ; nous recommandons toutefois d'obtenir une confirmation écrite du lieu de stockage et des réglages de masquage avant de le déployer sur un site européen. Si vous visez le profil démocratique le plus solide, Mouseflow au Danemark ou une instance Matomo auto-hébergée avec l'extension heatmaps maintiennent les données comportementales sous la protection de démocraties pleines notées au-dessus de 9. Quel que soit votre choix, évitez les outils gratuits dont le modèle économique repose sur l'envoi de données vers des juridictions autoritaires. Vos visiteurs ne peuvent pas voir quel script les enregistre. Le choix du fournisseur relève donc de votre responsabilité, et c'est l'un des cas les plus nets où une décision d'achat démocratique protège d'autres personnes que vous-même.