Mapbox GL JS

Mapbox GL JS no utiliza principalmente cookies. En su lugar almacena datos en el almacenamiento local del navegador. La entrada clave es mapbox.eventData, que contiene un identificador persistente anónimo utilizado para la telemetría y un token de sesión. Estos se escriben en el almacenamiento local cuando se inicializa el mapa. El almacenamiento local del navegador esta sujeto al artículo 5(3) de la Directiva ePrivacy de la misma manera que las cookies, por lo que se requiere consentimiento previo antes de que la biblioteca escriba en el.

Si, generalmente se requiere consentimiento. Cuando la telemetría esta habilitada (por defecto), Mapbox GL JS escribe un identificador anónimo en el almacenamiento local durante la inicialización, lo que activa el artículo 5(3) de la Directiva ePrivacy. La posterior transferencia de la dirección IP a Mapbox en Estados Unidos también requiere una base jurídica bajo el RGPD. Si la telemetría se deshabilita programaticamente y el mapa es puramente funcional, algunas autoridades pueden aceptar el interés legítimo, pero esto no esta garantizado. El consentimiento es el enfoque más sencillo y defendible.

Cuando la telemetría esta activa, la base jurídica debe ser el consentimiento bajo el artículo 6(1)(a) del RGPD y el artículo 5(3) de la Directiva ePrivacy, ya que escribir en el almacenamiento local para propositos analíticos va mas allá de lo estrictamente necesario para el funcionamiento del mapa. Cuando la telemetría esta completamente deshabilitada, el interés legítimo bajo el artículo 6(1)(f) del RGPD puede ser argumentable para la transferencia de IP residual, pero requiere una prueba de ponderación documentada. El consentimiento sigue siendo la opción más segura.

Si. Cada solicitud de mosaico del mapa y evento de telemetría es procesado por Mapbox, Inc. en Estados Unidos, lo que significa que la dirección IP del visitante y los datos de interacción se transfieren a un tercer país bajo el Capítulo V del RGPD. Mapbox se basa en las cláusulas contractuales tipo (CCT) y, cuando aplica, en el Marco de Privacidad de Datos UE Estados Unidos como mecanismos de transferencia. Debe mencionar estas garantías en su política de privacidad y firmar el Adendo de Tratamiento de Datos de Mapbox si es requerido para su nivel de uso.

Debe considerarse una EIPD cuando Mapbox GL JS se usa en sitios de alto tráfico, cuando las interacciones del mapa podrían revelar datos sensibles (por ejemplo, búsquedas de centros de salud, mapas de lugares religiosos), o cuando la telemetría esta activa y perfila a un gran número de usuarios. Los principales desencadenantes de EIPD incluyen: tratamiento sistemático de datos relacionados con la ubicación, transferencia internacional a un encargado del tratamiento estadounidense y perfil analítico mediante eventos de telemetría. Consulte a su DPO y las directrices de EIPD de su autoridad supervisora.

Pasos para una implementación conforme: (1) Bloquee el script de Mapbox GL JS vía su CMP y cargelo solo tras obtener consentimiento. (2) Si persigue el interés legítimo para un mapa funcional, llame a la función de opt out de telemetría de Mapbox antes de map.load y documente su prueba de ponderación. (3) Divulgue la entrada de almacenamiento local mapbox.eventData en su política de cookies y almacenamiento. (4) Añade la transferencia de datos de Mapbox a Estados Unidos y las CCT en su política de privacidad. (5) Firme el Adendo de Tratamiento de Datos de Mapbox. (6) Muestre un marcador de posición estático antes de que se cargue el mapa. (7) Revise el cumplimiento en cada actualización de la biblioteca.

Si desea evitar la telemetría y las transferencias de datos a Estados Unidos, considere: (1) Leaflet.js con mosaicos de OpenStreetMap auto hospedados o servidos por un proveedor europeo, lo que evita completamente los flujos de datos de terceros de Estados Unidos. (2) MapLibre GL JS, el fork de código abierto mantenido por la comunidad de Mapbox GL JS que no incluye telemetría por defecto y no requiere cuenta de Mapbox. (3) Imágenes de mapas estáticas generadas en el servidor a partir de datos OSM. (4) Mapbox GL JS con telemetría explícitamente deshabilitada y mosaicos proxiados a través de su propio servidor. Cada opción tiene compensaciones en riqueza de funciones y esfuerzo de hospedaje.

Dado que Mapbox GL JS usa principalmente almacenamiento local en lugar de cookies, su política debería titularse política de cookies y almacenamiento o similar. Añade una entrada para mapbox.eventData (almacenamiento local, Mapbox Inc., propósito: identificador de telemetría anónimo y token de sesión, duración: persistente hasta que se borre). Si ha deshabilitado la telemetría, indíquelo y explique por que solo permanece la transferencia de IP de la solicitud de mosaico. Mencione la transferencia de datos de Mapbox a Estados Unidos y las CCT aplicables. Revise y actualice esta entrada cada vez que actualice la biblioteca Mapbox GL JS.