Mapbox GL JS

Mapbox GL JS n'utilise pas principalement des cookies. Il stocke plutôt des données dans le stockage local du navigateur. L'entrée clé est mapbox.eventData, qui contient un identifiant persistant anonyme utilisé pour la télémétrie et un jeton de session. Ces données sont écrites dans le stockage local lors de l'initialisation de la carte. Le stockage local du navigateur est soumis à l'article 5(3) de la directive ePrivacy de la même manière que les cookies, le consentement préalable est donc requis avant que la bibliothèque y écrive.

Oui, le consentement est généralement requis. Lorsque la télémétrie est activée (par défaut), Mapbox GL JS écrit un identifiant anonyme dans le stockage local lors de l'initialisation, ce qui déclenche l'article 5(3) de la directive ePrivacy. Le transfert ultérieur de l'adresse IP vers Mapbox aux États-Unis nécessite également une base juridique au titre du RGPD. Si la télémétrie est désactivée par programmation et que la carte est purement fonctionnelle, certaines autorités peuvent accepter l'intérêt légitime, mais cela n'est pas garanti. Le consentement reste l'approche la plus simple et défendable.

Lorsque la télémétrie est activée, la base juridique doit être le consentement au titre de l'article 6(1)(a) du RGPD et de l'article 5(3) de la directive ePrivacy, car l'écriture dans le stockage local à des fins analytiques va au-delà de ce qui est strictement nécessaire au fonctionnement de la carte. Lorsque la télémétrie est entièrement désactivée, l'intérêt légitime au titre de l'article 6(1)(f) du RGPD peut être défendable pour le transfert IP résiduel, mais cela nécessite un test de mise en balance documenté. Le consentement reste le choix le plus sûr.

Oui. Chaque requête de tuile cartographique et événement de télémétrie est traité par Mapbox, Inc. aux États-Unis, ce qui signifie que l'adresse IP du visiteur et les données d'interaction sont transférées vers un pays tiers au sens du chapitre V du RGPD. Mapbox s'appuie sur les clauses contractuelles types (CCT) et, le cas échéant, sur le cadre de protection des données UE-États-Unis. Vous devez mentionner ces garanties dans votre politique de confidentialité et signer l'avenant de traitement des données Mapbox si requis.

Une AIPD devrait être envisagée lorsque Mapbox GL JS est utilisé sur des sites à fort trafic, lorsque les interactions cartographiques pourraient révéler des données sensibles, ou lorsque la télémétrie est activée et profile un grand nombre d'utilisateurs. Les déclencheurs AIPD clés incluent: le traitement systématique de données liées à la localisation, le transfert international vers un sous-traitant américain, et le profilage analytique via des événements de télémétrie. Consultez votre DPO et les recommandations de votre autorité de contrôle sur les AIPD.

Étapes pour une mise en œuvre conforme: (1) Bloquez le script Mapbox GL JS via votre CMP et ne le chargez qu'après consentement. (2) Si vous poursuivez l'intérêt légitime pour une carte fonctionnelle, appelez la fonction opt-out de télémétrie Mapbox avant map.load et documentez votre test de mise en balance. (3) Divulguez l'entrée de stockage local mapbox.eventData dans votre politique de cookies et de stockage. (4) Ajoutez le transfert de données Mapbox vers les États-Unis et les CCT dans votre politique de confidentialité. (5) Signez l'avenant de traitement des données Mapbox. (6) Affichez un espace réservé statique avant le chargement de la carte. (7) Révisez la conformité à chaque mise à niveau de la bibliothèque.

Pour éviter la télémétrie et les transferts de données vers les États-Unis, envisagez: (1) Leaflet.js avec des tuiles OpenStreetMap auto-hébergées ou servies par un fournisseur européen, ce qui évite entièrement les flux de données tiers américains. (2) MapLibre GL JS, le fork open source maintenu par la communauté qui n'inclut pas de télémétrie par défaut et ne nécessite pas de compte Mapbox. (3) Des images de carte statiques générées côté serveur à partir de données OSM. (4) Mapbox GL JS avec la télémétrie explicitement désactivée et les tuiles proxifiées via votre propre serveur. Chaque option a ses compromis en termes de richesse fonctionnelle et d'effort d'hébergement.

Comme Mapbox GL JS utilise principalement le stockage local plutôt que des cookies, votre politique devrait être intitulée politique de cookies et de stockage ou similaire. Ajoutez une entrée pour mapbox.eventData (stockage local, Mapbox Inc., finalité: identifiant de télémétrie anonyme et jeton de session, durée: persistant jusqu'à suppression). Si vous avez désactivé la télémétrie, notez-le et expliquez pourquoi seul le transfert IP de la requête de tuile subsiste. Référencez le transfert de données Mapbox vers les États-Unis et les CCT applicables. Mettez à jour cette entrée à chaque mise à niveau de la bibliothèque Mapbox GL JS.