Akamai mPulse

Qu'est ce qu'Akamai mPulse

Akamai mPulse est un produit de Real User Monitoring (RUM) et d'analytique d'expérience numérique. Il utilise le script open source Boomerang (boomerang.js) injecté sur chaque page, qui mesure les timings de navigation, les Core Web Vitals, le chargement des ressources, les erreurs JavaScript et des événements applicatifs personnalisés, puis envoie ces données sous forme de balises à mpulse.akamai.com. mPulse est destiné aux grandes audiences pour analyser performance et conversion, souvent en complément du CDN Akamai pour corréler données edge et données navigateur.

Quelles données et cookies mPulse collecte

Chaque page génère une balise contenant l'adresse IP, le User Agent, le referrer, l'URL, l'écran et le viewport, le type de réseau et de nombreux timings. mPulse pose un cookie first party RT qui contient un identifiant persistant et l'URL précédente afin de reconstruire le parcours. Les dimensions personnalisées configurées par le marchand (utilisateur connecté, panier, variante A/B) sont attachées à la balise. La rétention par défaut est de 30 à 90 jours pour les balises brutes selon l'offre.

Implications RGPD et ePrivacy

Le cookie RT est posé dès la première visite et persiste un an : il relève de l'article 5(3) ePrivacy et requiert un consentement préalable. L'adresse IP est une donnée personnelle au sens du RGPD. Le transfert UE États Unis vers Akamai est encadré par le Data Privacy Framework et les CCT. Certaines lignes directrices (exemption mesure d'audience CNIL, recommandations BfDI) admettent une mesure strictement first party, agrégée et non partagée sans consentement, mais mPulse ne remplit pas ces critères dans sa configuration par défaut.

Le consentement est il requis

Dans la majorité des juridictions UE oui : mPulse pose un cookie persistant, transmet l'IP à un responsable américain et va au delà d'une mesure strictement agrégée. Bridez boomerang.js tant que le consentement n'est pas obtenu. La documentation Akamai permet un chargement asynchrone après un événement personnalisé, ce qui facilite l'intégration derrière une CMP. Pour conserver une mesure sans consentement, déployez un logging serveur sur votre infrastructure en parallèle.

Transferts vers les États Unis

Akamai Technologies, Inc. est basée à Cambridge (Massachusetts) et traite les balises mPulse sur une infrastructure américaine. Akamai est auto certifié au Data Privacy Framework UE États Unis, ce qui couvre les transferts vers les entités certifiées. Akamai propose également les CCT via son Data Processing Addendum. Les clients UE peuvent demander un résumé de Transfer Impact Assessment couvrant la position d'Akamai sur le droit US de surveillance et les garanties techniques et contractuelles.

Étapes pratiques de conformité

Bridez boomerang.js derrière la catégorie Analytics du consent manager. Signez le DPA Akamai et référencez le DPF ou les CCT dans la politique. Désactivez les dimensions personnalisées qui contiendraient des données directement identifiantes, préférez des identifiants hachés ou pseudonymes pour les utilisateurs connectés. Configurez la rétention au minimum nécessaire (30 jours suffisent souvent). Documentez l'intégration au registre article 30.