Tencent Analytics

Qu'est, ce que Tencent Analytics ?

Tencent Analytics (TA), héritière du produit Mobile Analytics (MTA), est la plateforme d'analytique web et mobile interne de Tencent Holdings Ltd, l'entreprise basée à Shenzhen qui exploite également WeChat, QQ et Tencent Cloud. Le produit est principalement utilisé par les éditeurs et marques chinois pour mesurer le trafic de leurs sites et mini, programmes, avec une intégration étroite à l'écosystème WeChat (analytics mini, programmes, comptes officiels, suivi Mini Game). Tencent Analytics propose les métriques classiques (pages vues, visiteurs uniques, sessions, évènements, entonnoirs, rétention, analyses de cohortes) plus des dimensions spécifiques à la Chine telles que le canal d'acquisition WeChat et les segments d'utilisateurs QQ. Le traceur est chargé depuis tajs.qq.com ou, en déploiements legacy, hm.cnzz.com.

Cookies et données collectés par Tencent Analytics

Tencent Analytics écrit plusieurs cookies first, party sur le domaine de l'éditeur. qccr_fpa est l'identifiant anonyme first, party (typiquement 2 ans), ta_distinct_id est l'identifiant visiteur du SDK TA et qccr_session conserve la session courante. Tencent collecte aussi l'IP du visiteur, l'user, agent, le referrer, l'URL de page, le comportement de scroll, les évènements personnalisés et toute propriété utilisateur transmise au SDK. Lorsque le SDK est utilisé dans un Mini Program WeChat, des identifiants supplémentaires (openid, unionid) peuvent être échangés avec le backend Tencent pour relier l'activité mini, programme aux visites web.

Implications RGPD et ePrivacy

Pour les visiteurs européens, l'embarquement de Tencent Analytics soulève trois problèmes empilés. Premièrement, les cookies qccr_fpa et ta_distinct_id relèvent de l'article 5(3) ePrivacy et requièrent un consentement préalable. Deuxièmement, le transfert de données personnelles vers la Chine continentale relève du chapitre V du RGPD : la Chine ne figure pas sur la liste d'adéquation, le PIPL n'est pas considéré comme essentiellement équivalent au RGPD par le CEPD, et la loi sur la cybersécurité et le DSL accordent de larges pouvoirs d'accès aux autorités chinoises. Troisièmement, la recommandation 01/2020 du CEPD exige des mesures supplémentaires (typiquement chiffrement bout, en, bout avec clés détenues en UE) pour les transferts vers une juridiction de cette portée de surveillance, ce que Tencent Analytics ne supporte pas nativement.

Exigences de consentement

Un consentement préalable, libre, éclairé et spécifique est requis avant le chargement du SDK Tencent Analytics. Le bandeau CMP doit indiquer clairement que les données partent en Chine continentale et que les lois locales de surveillance s'appliquent. Le consentement au sens de l'article 49(1)(a) du RGPD peut être invoqué comme dérogation pour les transferts, mais uniquement pour des transferts occasionnels et non répétitifs ; utiliser le consentement pour légitimer un transfert systématique de tout le trafic vers la Chine est en règle générale rejeté par les autorités européennes. La CNIL et le BfDI ont mis en garde contre cette pratique. Le consentement doit donc s'accompagner d'une analyse d'impact des transferts sérieuse.

Transferts internationaux de données

L'ensemble des données Tencent Analytics est hébergé en Chine continentale par Tencent Holdings Ltd et ses filiales. Aucune option de résidence des données en UE n'existe pour le produit standard. Des CCT peuvent être signées en théorie, mais l'analyse d'impact des transferts devra traiter de la loi sur la cybersécurité (article 35 sur la revue des transferts transfrontaliers), du DSL (catégories de données classifiées, article 21) et du PIPL (article 41, ordre obligatoire de production aux autorités chinoises). Après Schrems II, il est très difficile pour un éditeur européen de démontrer une protection essentiellement équivalente. La conclusion pratique est de réserver Tencent Analytics aux contenus qui ciblent explicitement la Chine continentale.

Étapes pratiques de mise en conformité

Si vous devez utiliser Tencent Analytics pour un site qui s'adresse à des audiences chinoises (Chinois d'outre, mer, expansion en Chine continentale, Mini Programs WeChat), isolez le déploiement : ne servez le SDK que sur la version .cn du site ou sur le sous, domaine spécifique à la Chine, conditionnez, le derrière une CMP stricte, ne le chargez jamais pour des visiteurs détectés UE/EEE et documentez une analyse d'impact des transferts complète. Pour le suivi d'audience européenne, remplacez, le par Matomo, Plausible, Umami ou une autre alternative hébergée en UE. Documentez la décision dans le registre des activités de traitement et signalez le risque résiduel au DPO.