Strumenti di heatmap nel 2026: cosa rivela dei vostri visitatori una sola registrazione di sessione
Una sola registrazione di sessione può raccogliere su una persona più informazioni di una dozzina di cookie. Ogni movimento del mouse, ogni esitazione, ogni clic di frustrazione e ogni scorrimento viene registrato, marcato temporalmente e archiviato, spesso insieme a una posizione ricavata dall'indirizzo IP e a un'impronta del dispositivo. Hotjar, lo strumento che ha reso le mappe di calore accessibili alle piccole imprese, dichiara di essere stato usato su oltre un milione di siti nel corso della sua storia. Ognuno di questi siti prende in silenzio una decisione di filiera per conto dei propri visitatori: dove viaggiano i loro dati comportamentali, quale azienda li conserva e quali tribunali, di quale Stato, possono raggiungerli. La maggior parte dei gestori non si pone mai la domanda. Per un'impresa europea nel 2026, dopo un decennio di contenziosi sui trasferimenti di dati e di controlli delle autorità sugli script di analisi, non porsela è diventato un rischio di conformità oltre che etico. Questo confronto esamina Hotjar e Heatmap, lo strumento più recente orientato al fatturato, presente nel nostro catalogo con il nome Heatmap.ai, attraverso la lente che Democratic Market applica a ogni prodotto: chi lo produce, dove vanno i dati e quale sistema politico sta dietro a entrambi.
Perché l'origine democratica conta negli strumenti di heatmap e registrazione delle sessioni
Gli strumenti di heatmap occupano una posizione particolare nella filiera digitale. Li installa il gestore del sito, ma i dati che raccolgono appartengono ai visitatori, che raramente sanno dell'esistenza dello strumento. Questa asimmetria rende decisiva la giurisdizione del fornitore. Se i dati comportamentali sono trattati in una democrazia piena, i visitatori conservano diritti esigibili: accesso, cancellazione, opposizione e un'autorità di controllo a cui presentare reclamo. Se sono trattati in uno Stato autoritario, quei diritti esistono solo sulla carta e i servizi di sicurezza possono avere un accesso previsto per legge senza un controllo effettivo. Per questo Democratic Market valuta i fornitori di analisi anzitutto in base al punteggio nell'indice di democrazia dell'EIU del Paese in cui ha sede la società controllante e in cui sono conservati i dati. La Francia, il cui gruppo Contentsquare possiede oggi Hotjar, ottiene 7,99. Gli Stati Uniti, sede di Heatmap e di Microsoft Clarity, ottengono 7,85. La Danimarca, dove viene sviluppato lo strumento concorrente Mouseflow, ottiene 9,28. La Russia, patria di Yandex Metrica e della sua funzione di riproduzione delle sessioni Webvisor, ottiene 2,22. La mappa di calore prodotta da questi strumenti può sembrare identica. Le tutele giuridiche dei dati grezzi che la compongono non lo sono. In Italia la questione ha un rilievo particolare: il Garante per la protezione dei dati personali è stato tra le prime autorità europee a pronunciarsi sull'uso di strumenti di analisi statunitensi, e le sue linee guida sui cookie del 2021 restano un riferimento per i gestori di siti.
Hotjar: origine maltese, proprietà francese, archiviazione europea
Hotjar è stato fondato nel 2014 a Malta, Stato membro dell'Unione europea che l'EIU classifica come democrazia imperfetta con un punteggio di 6,70, ed è cresciuto rapidamente offrendo mappe di calore, registrazioni di sessione e sondaggi in pagina a un prezzo alla portata delle piccole imprese. Nel 2021 è stato acquisito da Contentsquare, la società parigina di analisi dell'esperienza digitale, che da allora lo ha integrato nella sua piattaforma più ampia mantenendo il marchio per i clienti più piccoli. Hotjar dichiara di conservare i dati dei clienti nell'Unione europea, su infrastruttura cloud in Irlanda, il che colloca il trattamento principale sotto la diretta applicazione del GDPR. Le sue impostazioni predefinite sulla privacy sono piuttosto prudenti per la categoria: i dati digitati nei campi dei moduli vengono soppressi per impostazione predefinita, numeri e stringhe simili a indirizzi e-mail possono essere mascherati automaticamente e il gestore può contrassegnare altri elementi da oscurare. Gli indirizzi IP completi non vengono registrati per impostazione predefinita. I punti deboli stanno altrove. Hotjar è un SaaS a codice chiuso, quindi la logica di mascheramento non può essere verificata in modo indipendente, e alcuni sub-responsabili coinvolti nell'assistenza e nell'infrastruttura sono aziende statunitensi, il che fa rientrare il Data Privacy Framework UE-USA nel quadro di conformità. Il piano gratuito è limitato a un piccolo numero di sessioni giornaliere, e i piani a pagamento per un traffico significativo partono da alcune decine di euro al mese e crescono rapidamente con il volume. Per la maggior parte delle piccole e medie imprese europee, tuttavia, la combinazione di archiviazione nell'UE e proprietà francese conferisce a Hotjar un profilo democratico rispettabile.
Heatmap.ai: mappe di calore del fatturato made in USA e lo strato di ottimizzazione con IA
Heatmap, il prodotto indicato in questo confronto come Heatmap.ai e venduto con il dominio heatmap.com, è un'azienda molto più giovane. Le banche dati di settore ne collocano la fondazione nel 2023, la indicano come statunitense e registrano un round seed di circa quattro milioni di dollari nel 2024. La sua proposta è diversa da quella di Hotjar: invece di mostrare dove le persone cliccano, attribuisce un fatturato a ogni elemento della pagina, così che un negozio online possa vedere quale banner, quale pulsante o quale scheda prodotto è associato al maggior numero di vendite. A questo si aggiungono mappe di scorrimento, registrazioni di sessione e un motore di IA che genera raccomandazioni per migliorare il tasso di conversione. Per i marchi direct-to-consumer, in particolare su Shopify, è una proposta convincente. Dal punto di vista dell'origine democratica, il quadro è misto più che negativo. Gli Stati Uniti, con 7,85, superano ampiamente la nostra soglia di 6,0, e le aziende statunitensi possono certificarsi nell'ambito del Data Privacy Framework. Tuttavia descrizioni precedenti nel nostro stesso catalogo suggerivano che Heatmap.ai trattasse le sessioni in locale; non siamo riusciti a verificarlo, e il prodotto, così come è commercializzato oggi, è un servizio cloud. La sua documentazione pubblica su localizzazione dei dati, sub-responsabili e impostazioni di mascheramento è più scarna di quella di Hotjar, cosa comune per una startup ma rilevante per un acquirente europeo. La nostra valutazione: origine accettabile, trasparenza insufficiente, e un prodotto che i commercianti con sede nell'UE dovrebbero adottare solo dopo aver ottenuto un accordo sul trattamento dei dati che indichi esplicitamente i luoghi di conservazione.
Strumenti di heatmap a rischio democratico: Yandex Metrica e Baidu Tongji
Due servizi di analisi gratuiti mostrano che aspetto ha un'origine ad alto rischio in questa categoria. Yandex Metrica, prodotto del maggiore gruppo tecnologico russo, offre gratuitamente una potente funzione di riproduzione delle sessioni chiamata Webvisor, insieme a mappe di clic e di scorrimento. Proprio la gratuità è il problema. La Russia ottiene 2,22 nell'indice dell'EIU, e le leggi russe sulla localizzazione dei dati e sulla sorveglianza, tra cui il sistema SORM, garantiscono ai servizi di sicurezza un ampio accesso ai dati detenuti dalle aziende nazionali. Usare Webvisor significa registrare il comportamento dei propri visitatori e inviarlo a un'azienda soggetta a quel quadro. Diverse autorità europee e molti team di sicurezza aziendale ormai bloccano del tutto gli script di Yandex. Baidu Tongji, lo strumento di analisi del motore di ricerca dominante in Cina, offre mappe di calore per i siti rivolti al pubblico cinese ed è soggetto alla legge sull'intelligence nazionale del 2017, che obbliga le organizzazioni a sostenere il lavoro di intelligence dello Stato; la Cina ottiene 2,12. Un terzo gruppo di rischio è più sottile: gli strumenti di heatmap economici venduti con offerte «a vita» sui marketplace, senza un'azienda identificabile alle spalle. Se le condizioni di un fornitore non indicano un'entità giuridica, un Paese e un luogo di conservazione, Democratic Market lo considera di origine opaca e lo esclude.
Hotjar vs Heatmap.ai vs alternative: funzioni, prezzo e profilo democratico
Sul piano delle funzioni, Hotjar è lo strumento di ricerca sull'esperienza utente più completo: mappe di calore, registrazioni, funnel, sondaggi sul sito, widget di feedback e pianificazione di interviste agli utenti in un'unica interfaccia, con integrazioni per la maggior parte delle grandi piattaforme. Heatmap è più ristretto ma più profondo su un asse, perché collega direttamente il comportamento al fatturato nell'e-commerce; le sue raccomandazioni basate sull'IA si rivolgono più ai team di marketing che ai ricercatori UX. Sul prezzo, entrambi offrono prove o un uso gratuito limitato e crescono con le sessioni o il traffico; Heatmap si colloca nella fascia alta per i negozi in crescita. Sul profilo democratico, Hotjar è leggermente avanti grazie all'archiviazione nell'UE e alla proprietà francese (7,99), mentre la base statunitense di Heatmap (7,85) è accettabile ma la sua documentazione sulla localizzazione dei dati è più debole. Due alternative meritano attenzione. Mouseflow, sviluppato a Copenaghen, porta la giurisdizione danese (9,28) e l'hosting nell'UE su un insieme di funzioni simile a quello di Hotjar. Matomo, la piattaforma di analisi open source il cui gestore commerciale, InnoCraft, ha sede in Nuova Zelanda (9,61), offre un plugin per heatmap e registrazione delle sessioni che gira sul vostro server, quindi i dati comportamentali non devono mai lasciare un'infrastruttura che controllate voi. Microsoft Clarity è gratuito e capace, ma l'hosting negli Stati Uniti e l'uso dei dati per i prodotti di Microsoft lo rendono una scelta più debole per i siti europei attenti alla privacy.
C'è poi una dimensione pratica che raramente compare nelle tabelle delle funzioni. Ogni script di analisi comportamentale appesantisce la pagina e contende al codice del sito la banda e il processore del visitatore, il che può incidere sui Core Web Vitals e, indirettamente, sul posizionamento nei motori di ricerca. Hotjar, Heatmap e Mouseflow si caricano in modo asincrono e nei piani di base campionano solo una parte delle sessioni, ma il costo cresce con le funzioni attivate, soprattutto con la registrazione continua. Un'istanza di Matomo in self-hosting evita del tutto le richieste verso terze parti, riducendo anche il numero di domini esterni intercettati da ad blocker e browser orientati alla privacy, e migliora così la completezza dei dati. Per i gestori di siti, quindi, la scelta democratica e quella tecnicamente leggera spesso coincidono: meno fornitori, meno trasferimenti e meno script significano un sito più veloce e una superficie di conformità più piccola. Prima di firmare un contratto consigliamo una prova di due settimane con il tasso di campionamento che paghereste davvero, confrontando poi i rapporti sulla velocità di pagina con e senza lo script installato.
Normativa UE nel 2026: GDPR, ePrivacy e trasferimenti di dati
La registrazione delle sessioni è una delle forme di analisi web più regolamentate in Europa. L'articolo 5, paragrafo 3, della direttiva ePrivacy, recepito in Italia dall'articolo 122 del Codice della privacy, richiede il consenso preventivo per archiviare informazioni sul dispositivo dell'utente o accedervi, e le autorità di protezione dei dati concordano sul fatto che gli script di riproduzione delle sessioni rientrino in questa regola; a differenza di alcune misurazioni minime dell'audience, le registrazioni non possono beneficiare delle esenzioni dal consenso, come quella che il Garante e la CNIL francese riconoscono agli strumenti di analisi configurati in modo restrittivo. Una volta ottenuto il consenso, il GDPR si applica integralmente: limitazione della finalità, minimizzazione dei dati, limiti di conservazione e obbligo di mascherare i campi sensibili. I trasferimenti internazionali restano il nodo centrale. La sentenza Schrems II del 2020 ha invalidato il Privacy Shield e, nel 2022, diverse autorità, tra cui la DSB austriaca, la CNIL e lo stesso Garante italiano, hanno giudicato illeciti specifici utilizzi di strumenti di analisi statunitensi. Il Data Privacy Framework UE-USA, adottato nel luglio 2023 e confermato dal Tribunale dell'Unione europea nel settembre 2025, ha ripristinato una via legale per i fornitori statunitensi certificati, ma resta politicamente fragile e un nuovo ricorso davanti alla Corte di giustizia è ampiamente atteso. Per gli strumenti con funzioni di ottimizzazione basate sull'IA, l'AI Act aggiunge obblighi di trasparenza in casi limitati. Il risultato pratico: archiviazione e proprietà europee sono oggi un vero vantaggio commerciale in questo mercato.
Come valuta Democratic Market gli strumenti di heatmap e di analisi
La nostra metodologia per l'analisi comportamentale si basa su cinque criteri ponderati. Il primo è il punteggio EIU della giurisdizione in cui ha sede l'entità che controlla il fornitore; sotto 6,0 scatta l'esclusione. Il secondo è la localizzazione dei dati: dove vengono conservati per impostazione predefinita registrazioni ed eventi, se è disponibile l'archiviazione esclusivamente nell'UE e quali sub-responsabili possono accedervi. Il terzo è la privacy per impostazione predefinita, cioè se mascheramento degli input, anonimizzazione dell'IP e conservazione breve sono attivi fin dall'inizio o richiedono una configurazione che molti gestori non faranno mai. Il quarto è la verificabilità: codice aperto, audit pubblicati o certificazioni come ISO 27001 e SOC 2. Il quinto è il controllo, in particolare la possibilità di ospitare lo strumento in proprio. Secondo questo schema, Matomo ottiene il punteggio complessivo più alto, Mouseflow e Hotjar ottengono buoni risultati grazie all'archiviazione nell'UE e a impostazioni predefinite solide, e Heatmap supera il criterio dell'origine ma viene segnalato per la trasparenza. Yandex Metrica e Baidu Tongji sono esclusi. Rivediamo queste valutazioni quando cambia la proprietà, come accaduto con Hotjar nel 2021, e ogni volta che si modifica il quadro dei trasferimenti tra UE e Stati Uniti.
Guida all'acquisto passo dopo passo per uno strumento di heatmap democratico
Cominciate definendo di cosa avete bisogno. Se il vostro obiettivo è capire i problemi di usabilità, uno strumento generalista con sondaggi e registrazioni, come Hotjar o Mouseflow, vi servirà meglio di un prodotto di attribuzione del fatturato. Se gestite un negozio Shopify e volete collegare le scelte di layout alle vendite, l'approccio di Heatmap ha senso, purché accettiate la sua base statunitense. Secondo, verificate l'entità giuridica del fornitore e il punteggio EIU del suo Paese, poi leggete l'elenco dei sub-responsabili. Terzo, accertatevi che l'archiviazione nell'UE sia disponibile nel vostro piano e selezionatela. Quarto, prima di installare qualsiasi cosa, aggiornate la piattaforma di gestione del consenso in modo che lo script si carichi solo dopo il consenso, e documentate la finalità nel registro delle attività di trattamento. Quinto, attivate tutte le opzioni di mascheramento e aggiungete una soppressione manuale per ogni elemento che possa contenere dati personali, come pagine dell'account, campi di pagamento e caselle di ricerca. Sesto, impostate il periodo di conservazione più breve compatibile con la vostra analisi, in genere tra 30 e 90 giorni. Infine, fate visionare le registrazioni a un gruppo ristretto e definito e cancellate i progetti che non usate più: gli script dimenticati sono una fonte frequente di raccolta di dati non necessaria.
Conclusione: quale strumento di heatmap dovrebbe scegliere un'impresa democratica
Per la maggior parte delle piccole e medie imprese europee, Hotjar resta una scelta sensata: appartiene a un gruppo francese, conserva i dati nell'UE, maschera per impostazione predefinita gli input sensibili e offre il kit di ricerca più ampio a un prezzo d'ingresso accessibile. Heatmap è un'opzione credibile per i team di e-commerce che vogliono l'attribuzione del fatturato e l'ottimizzazione assistita dall'IA, e la sua origine statunitense supera la nostra soglia; consigliamo però di ottenere una conferma scritta del luogo di conservazione dei dati e delle impostazioni di mascheramento prima di adottarlo su un sito europeo. Se cercate il profilo democratico più solido, Mouseflow in Danimarca o un'istanza di Matomo in self-hosting con il plugin heatmap mantengono i dati comportamentali sotto la tutela di democrazie piene con punteggi superiori a 9. Qualunque sia la scelta, evitate gli strumenti gratuiti il cui modello di business dipende dal flusso di dati verso giurisdizioni autoritarie. I vostri visitatori non possono vedere quale script li sta registrando. Questo rende la scelta del fornitore una vostra responsabilità, e uno dei casi più chiari in cui una decisione d'acquisto democratica protegge persone diverse da voi.