Autres

Mapbox

Préférences

Mapbox est un fournisseur commercial majeur de cartes vectorielles, géocodage et navigation. Le SDK Mapbox GL JS transmet l'IP visiteur et un signal de télémétrie anonymisé aux serveurs Mapbox US. Consentement requis dans l'UE; la télémétrie SDK peut être désactivée.

Bloquer Mapbox jusqu'au consentement Scanner mon site

Présentation

Que fait Mapbox ?

Ce qu'est Mapbox

Mapbox est un fournisseur commercial majeur de cartes vectorielles, géocodage, navigation et services développeurs basés sur la localisation. La gamme couvre Mapbox GL JS (SDK web), Mapbox Studio (éditeur visuel de styles), Mapbox Geocoding API, Mapbox Directions API, Mapbox Map Matching, Static Images, Navigation SDK mobile, Search Box et les Boundaries tilesets. Les tuiles vectorielles Mapbox sont rendues côté serveur à partir d'OpenStreetMap, OpenAddresses et de jeux de données propriétaires combinés.

Quelles données le SDK transmet

À l'initialisation, Mapbox GL JS envoie l'IP visiteur, le user agent, l'URL référente, le token d'accès et les coordonnées de tuiles demandées à api.mapbox.com. Par défaut le SDK envoie aussi une télémétrie anonymisée (échantillons de mouvement, changements de viewport) à events.mapbox.com pour améliorer les produits Mapbox. La télémétrie peut être désactivée avec map.setConfigProperty(basemap, telemetry, false) ou en désactivant l'EventManager. Le stockage local conserve le choix d'opt out de l'attribution telemetry.

Consentement RGPD et ePrivacy

Charger le SDK Mapbox avec la télémétrie par défaut nécessite un consentement préalable au titre de l'article 6(1)(a) RGPD et de l'article 5(3) ePrivacy car le SDK écrit dans le stockage local, envoie une télémétrie anonymisée et transfère l'IP aux États Unis. Avec la télémétrie désactivée et uniquement les tuiles récupérées, l'intérêt légitime peut être invoqué pour une carte nécessaire à la livraison du service, mais la logique de l'arrêt Google Fonts de Munich s'applique car l'IP va toujours vers un serveur US. Un wrapper click to load est recommandé.

Résidence et transferts US

Mapbox exploite l'endpoint api.mapbox.com depuis les États Unis par défaut. Les clients UE des plans entreprise peuvent demander une livraison de tuiles UE, mais l'API account, l'API events et Mapbox Studio restent aux États Unis. Mapbox est certifié au titre du EU US Data Privacy Framework avec CCT 2021 en repli. Une analyse d'impact des transferts doit être au dossier. Mapbox publie sa liste de sous traitants et un rapport d'audit (SOC 2 type II).

Schéma d'intégration conforme

Désactiver la télémétrie Mapbox à l'initialisation du SDK, utiliser un wrapper click to load, intégrer une CMP TCF v2.2, demander la livraison de tuiles UE sur le plan entreprise, lister Mapbox comme sous traitant dans la mention d'information, signer le DPA Mapbox, mentionner la certification Data Privacy Framework et envisager une migration vers MapLibre GL JS avec un fournisseur de tuiles UE (Stadia, MapTiler) pour une résidence UE complète.

Conformité

Mapbox et le RGPD

Mapbox est classé dans la catégorie « Préférences ». Sur un site qui vise des visiteurs européens, il ne doit se charger qu'après le consentement du visiteur, et doit figurer dans votre politique de cookies.

Base légale: Consent under GDPR art. 6(1)(a) and ePrivacy art. 5(3) for the Mapbox GL JS map because the SDK telemetry collects anonymised location samples by default and the visitor IP is transferred to the United States. The mapbox-telemetry flag can be disabled at SDK initialisation, reducing the data flow to the tile request itself; in that case legitimate interest plus a click to load wrapper can be defended. The Munich Google Fonts ruling logic applies given the US infrastructure.
Niveau de risque: medium
Textes applicables: GDPR, ePrivacy Directive, CNIL guidance on web maps, EU US Data Privacy Framework, Munich Google Fonts ruling logic, German TTDSG, AEPD geolocation guidelines

Analyse d'impact (AIPD)

Une AIPD est recommandée pour tout déploiement Mapbox dans l'UE car le SDK transmet l'IP visiteur, le token d'accès et le signal de télémétrie anonymisé à l'infrastructure US de Mapbox. L'AIPD doit couvrir le toggle télémétrie SDK Mapbox, l'utilisation de l'API Geocoding ou Directions Mapbox (qui peut contenir des adresses freeform), l'option de livraison de tuiles UE, l'intégration à une CMP et la certification Data Privacy Framework de Mapbox.

Exemple de texte pour votre bannière

Notre site affiche des cartes Mapbox, exploitées par Mapbox Inc. (États Unis). Au chargement de la carte, le SDK Mapbox GL JS transmet votre adresse IP, votre user agent et le token d'accès aux serveurs Mapbox aux États Unis et envoie une télémétrie anonymisée pour améliorer le service. Avec votre consentement, nous activons la carte; un refus affiche une image statique de repli. Les données sont traitées dans le cadre du EU US Data Privacy Framework.

Cookies et traceurs

Ce que Mapbox dépose et contacte

Méthode de suivi: commercial_map_service_with_javascript_sdk_vector_tiles_geocoding_and_analytics_telemetry
Localisation des serveurs: Mapbox is operated by Mapbox Inc., a US company headquartered in Washington DC. The Mapbox platform runs on Amazon Web Services with primary regions in the United States (us-east-1) and Europe (eu-west-1 Ireland). Vector tile delivery uses a global CDN with European edge nodes. The Mapbox Account API, the Mapbox Studio editor and the Map Matching API run from the US data centres; EU customers can request EU residency for tile delivery but not for the corporate control plane.
Transfert de données hors UE: Mapbox Inc. is US headquartered. Every Mapbox GL JS or Mapbox SDK request transmits the visitor IP, the user agent and the access token to Mapbox servers in the United States. Mapbox is certified under the EU US Data Privacy Framework and uses the 2021 Standard Contractual Clauses as fallback. Telemetry data (anonymised aggregate movements when the Mapbox SDK telemetry is enabled) is processed in the US to improve the Mapbox products.

Cookies déposés (2)

Nom	Type	Durée	Finalité
mapbox.attribution.show (Local Storage)	First party (Mapbox GL JS local storage)	Persistent	Stores the visitor choice to dismiss the Mapbox attribution telemetry banner
mapbox.eventData.uuid (Local Storage)	First party (Mapbox GL JS local storage, when telemetry enabled)	Persistent	Stores a UUID used by the Mapbox SDK to deduplicate anonymous telemetry events; only present when telemetry is enabled

Domaines tiers contactés (7)

api.mapbox.com
events.mapbox.com
a.tiles.mapbox.com
b.tiles.mapbox.com
c.tiles.mapbox.com
d.tiles.mapbox.com
mapbox.com

Questions

Questions fréquentes sur Mapbox

Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite.

Nous écrire

Quels cookies Mapbox dépose t il?

Mapbox ne dépose pas de cookies classiques. Mapbox GL JS conserve une entrée de stockage local pour l'opt out de la télémétrie d'attribution. La carte envoie l'IP et un signal de télémétrie anonymisé à events.mapbox.com sauf si la télémétrie est désactivée à l'initialisation du SDK.

Le consentement est-il requis pour Mapbox?

Oui avec les réglages par défaut, car la télémétrie SDK transmet des échantillons de localisation anonymisés et l'IP aux serveurs Mapbox US. Avec télémétrie désactivée et seules les tuiles récupérées, la logique de l'arrêt Google Fonts de Munich suggère toujours le consentement car l'IP va vers un serveur US.

Quelle base légale pour Mapbox?

Consentement (article 6(1)(a) RGPD) pour le SDK par défaut avec télémétrie. L'intérêt légitime (article 6(1)(f)) est défendable uniquement si la télémétrie est désactivée, la carte est essentielle au service, une mise en balance documentée et le Data Privacy Framework en place.

Les données sont elles transférées vers les États Unis?

Oui par défaut. api.mapbox.com et events.mapbox.com sont exploités depuis les États Unis. La livraison de tuiles UE est disponible sur les plans entreprise mais les endpoints account et events restent aux États Unis. Mapbox est certifié au titre du EU US Data Privacy Framework avec CCT 2021 en repli.

Une AIPD est elle nécessaire pour Mapbox?

Recommandée dans la plupart des cas en raison du transfert US persistant et de la télémétrie. L'AIPD doit documenter le toggle télémétrie SDK, l'utilisation des APIs Geocoding ou Directions pouvant contenir des adresses freeform et l'option de livraison de tuiles UE.

Comment intégrer Mapbox en conformité?

Désactiver la télémétrie à l'initialisation du SDK, utiliser un wrapper click to load, intégrer une CMP TCF v2.2, demander la livraison de tuiles UE sur l'entreprise, signer le DPA Mapbox, lister Mapbox dans la mention d'information et envisager une migration vers MapLibre GL JS avec un fournisseur de tuiles UE pour une résidence UE complète.

Quelles alternatives à Mapbox?

MapLibre GL JS (fork open source de Mapbox GL JS) avec fournisseurs UE comme Stadia Maps, MapTiler, Geoapify ou CARTO Madrid. Autres options UE: Leaflet avec tuiles OpenStreetMap, OpenLayers. Pour la parité commerciale du côté US: Google Maps Platform, Apple MapKit JS, Microsoft Azure Maps.

Comment mettre à jour ma politique cookies après ajout de Mapbox?

Lister Mapbox Inc. comme sous traitant, déclarer l'entrée de stockage local pour l'opt out télémétrie, mentionner le transfert d'IP vers api.mapbox.com et events.mapbox.com aux États Unis dans le cadre du Data Privacy Framework, faire un lien vers la politique de confidentialité Mapbox et fournir un contact DSAR.

Mettez votre site en conformité aujourd'hui.

Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement.

Créer ma bannière Scanner mon site