Overtracking : avis RGPD sur l'analytics sans cookies

Overtracking est un outil espagnol d’analytics web sans cookies, avec cartes de chaleur, objectifs, Core Web Vitals et détection d’erreurs, hébergé dans l’Union européenne. « Sans cookies » ne veut pas dire « sans consentement » : son propre contrat de sous-traitance le dit noir sur blanc, et son identifiant visiteur est un hash de l’adresse IP qui ne change pas d’un jour à l’autre. Il peut remplacer GA4 sur un site qui veut des rapports simples, mais il ne doit pas être présenté comme exempté de bandeau sans une vérification au cas par cas.

Transparence : l’éditeur m’a contacté le 9 novembre 2026 pour me présenter l’outil. Je ne l’ai pas testé. Cet article s’appuie uniquement sur ses documents publics, lus le même jour (page d’accueil et tarifs, contrat de sous-traitance, liste des sous-traitants), confrontés aux textes de la CNIL et du Comité européen de la protection des données.

Ce que fait Overtracking

Overtracking se présente comme une alternative simple à Google Analytics. Un seul script à installer, pas de cookie déposé, et des rapports lisibles sans configuration longue.

D’après sa page d’accueil, l’outil couvre :

• Mesure d’audience : pages, sources, pays, appareils, temps réel, sessions.
• Objectifs : conversions définies sans code, avec des intégrations WooCommerce et PrestaShop.
• Cartes de chaleur : zones cliquées et ignorées, par appareil.
• Performance : LCP, INP, CLS et TTFB mesurés sur les vrais visiteurs, par pays, appareil et URL.
• Erreurs : détection automatique des 404, 500 et liens cassés.
• Trafic IA : une rubrique dédiée au trafic venu des assistants IA, que je n’ai pas pu examiner sans compte.

L’éditeur annonce plus de 3 000 sites utilisateurs. Le DPA indique que le service est exploité par un entrepreneur individuel établi à Vigo, en Espagne : c’est une information utile pour une grande entreprise qui évalue le risque fournisseur.

Prix : un seul plan, indexé sur le trafic

Toutes les fonctions sont incluses dans tous les plans, avec sites, objectifs et membres illimités et un accès API. Le prix dépend uniquement du nombre de pages vues analysées par mois.

Élément	Ce que publie Overtracking (9 novembre 2026)
Plan affiché par défaut	12,95 € par mois pour 300 000 pages vues, TVA incluse si applicable
Paliers proposés	100 k, 300 k, 1 M, 2 M et 5 M pages vues par mois
Essai	7 jours gratuits, sans carte bancaire
Engagement	Facturation mensuelle, résiliable à tout moment
Gros volumes	Plans Entreprise sur demande

Je n’ai relevé que le prix du palier affiché par défaut ; les autres paliers sont à consulter sur la page tarifs.

Où passent les données

C’est le point le mieux documenté de l’outil. La liste des sous-traitants distingue les données des clients et celles des visiteurs de leurs sites, ce que beaucoup d’éditeurs ne font pas.

D'après le DPA (4 novembre 2026) et la liste des sous-traitants (9 novembre 2026) publiés par Overtracking.

Les données de visite restent dans l’Union européenne : réception en Espagne, stockage en Allemagne et en Finlande, captures de cartes de chaleur en Allemagne. Cloudflare, Stripe, l’envoi d’e-mails et la connexion Google ne traitent que des données clients, selon l’éditeur. Les clients sont prévenus par e-mail avant tout ajout ou remplacement de sous-traitant et peuvent s’y opposer.

Le DPA décrit aussi des mesures de minimisation que je trouve sérieuses pour un outil de cette taille. Le pixel retire les paramètres d’URL sauf les UTM, détecte les adresses e-mail, limite les valeurs d’événements à des nombres. Les captures masquent le texte, et les éléments marqués data-private, data-ovt-private ou de classe ovt-private sont bloqués.

Sans cookies ne veut pas dire exempté de consentement

C’est le point qui compte pour un site français, et c’est là que je m’écarte du discours commercial de la page d’accueil. La FAQ de l’éditeur répète elle-même qu’il faut « obtenir le consentement lorsque c’est requis » et que l’absence de cookies ne garantit pas une exemption. Le DPA va plus loin et décrit précisément l’identifiant utilisé.

Trois raisons de ne pas supprimer son bandeau sur la seule promesse « no cookies » :

• Le droit ne vise pas que les cookies. La CNIL applique ses règles d’exemption à tous les « traceurs », quelle que soit leur technique. Les lignes directrices 2/2023 du Comité européen de la protection des données, adoptées le 7 octobre 2024, incluent dans leur champ le suivi par pixel et le suivi fondé sur la seule adresse IP. Voir aussi ma définition du fingerprinting et de son statut réglementaire.
• L’identifiant est pseudonyme, pas anonyme. Le DPA le qualifie lui-même ainsi : un hash de l’IP, du site, du navigateur et des en-têtes de langue, qui ne tourne pas chaque jour. L’adresse IP passe en clair dans les files de traitement et peut rester dans les files d’erreurs.
• L’exemption CNIL est une question de finalité et de configuration, pas de technologie. C’est ce que j’explique pour Matomo dans le guide de l’exemption CNIL avec Matomo : un outil n’est pas exempté, une configuration l’est.

Si votre DPO doit trancher, un audit conformité consent confronte la documentation de l’outil, votre paramétrage réel et vos mentions d’information.

Overtracking face aux critères CNIL d’exemption

La CNIL fixe des conditions pour qu’un traceur de mesure d’audience soit dispensé de consentement, et y ajoute des recommandations chiffrées sur sa page dédiée aux outils de mesure d’audience. Voici la grille que j’applique, remplie avec ce qu’Overtracking publie.

Critère CNIL	Overtracking publie	Lecture
Finalité : mesure d’audience	Audience, objectifs, erreurs, Core Web Vitals, heatmaps	Favorable, sauf heatmaps
Pour le seul éditeur du site	Client responsable, Overtracking sous-traitant	Favorable
Statistiques anonymes	Rapports agrégés, mais hash pseudonyme et IP en clair en amont	Point faible
Pas de suivi multi-sites	Hash propre à chaque site	Favorable
Traceur : 13 mois (recommandé)	Hash sans rotation, durée non annoncée	À demander
Conservation : 25 mois (recommandé)	Absente des documents lus	À demander
Transferts hors UE	Visites dans l’UE, clauses types pour Cloudflare et Google	Favorable

Deux lignes demandent une précision. Les cartes de chaleur ne sont pas citées par la CNIL : documentez-les, ou désactivez-les si vous visez l’exemption. Le caractère pseudonyme de l’identifiant est le point à faire trancher par votre DPO.

Mon avis : sur le papier, Overtracking coche plus de cases que GA4 pour un usage sans bandeau, mais moins que Matomo correctement configuré, dont la CNIL décrit le paramétrage. La CNIL publie un outil d’autoévaluation qui permet à l’éditeur de documenter sa conformité ; c’est la première chose que je lui demanderais.

Overtracking, Matomo ou GA4 : pour quel site ?

Profil de site	Mon choix	Pourquoi
Blog, média ou boutique qui veut des chiffres simples, des heatmaps et les Core Web Vitals sans configurer GA4	Overtracking	Tout est inclus pour 12,95 € par mois jusqu’à 300 000 pages vues, hébergement UE
Organisme public ou site qui doit prouver une mesure sans bandeau	Matomo	Configuration d’exemption décrite par la CNIL, voir le comparatif GA4 vs Matomo
Site qui achète du trafic Google Ads ou Meta	GA4 avec Consent Mode	Attribution et audiences publicitaires ; Overtracking ne les remplace pas

Overtracking et GA4 peuvent aussi cohabiter : le premier pour une vue d’audience simple, le second derrière le bandeau pour la publicité. Dans ce cas, chacun doit figurer dans votre politique de confidentialité avec sa base légale.

Questions fréquentes

Overtracking permet-il de supprimer le bandeau cookies ?

Pas automatiquement. L’éditeur le dit lui-même : sans cookies ne veut pas dire sans consentement. Son identifiant est un hash de l’adresse IP, et la CNIL juge sur la finalité et la configuration, pas sur l’absence de cookie.

Combien coûte Overtracking ?

12,95 € par mois pour 300 000 pages vues dans le plan affiché par défaut le 9 novembre 2026, toutes fonctions incluses, avec 7 jours d’essai sans carte bancaire.

Où sont stockées les données d’Overtracking ?

Les visites sont reçues à Barcelone et stockées en Allemagne et en Finlande ; les captures de cartes de chaleur sont à Francfort.

Overtracking est-il une alternative à Plausible ?

Les deux mesurent l’audience sans cookies. Overtracking ajoute, selon son éditeur, les cartes de chaleur, la détection d’erreurs et les objectifs sans code.

Sources

• Overtracking, page d’accueil et tarifs, consultée le 9 novembre 2026.
• Overtracking, contrat de sous-traitance (DPA), mis à jour le 4 novembre 2026.
• Overtracking, liste des sous-traitants, mise à jour le 9 novembre 2026.
• CNIL, cookies : solutions pour les outils de mesure d’audience.
• EDPB, lignes directrices 2/2023 sur le champ technique de l’article 5(3) de la directive ePrivacy, version 2.0 du 7 octobre 2024.