Microsoft Azure Maps

Azure Maps définit peu de cookies traditionnels. Le mécanisme de stockage principal est le stockage de session ou local du navigateur utilisé par le SDK Web Azure Maps pour mettre en cache les jetons d'authentification (azureMapsToken). Cette mise en cache réduit le nombre d'appels de rafraîchissement de jetons mais constitue un accès au stockage de l'équipement terminal, déclenchant l'article 5(3) de la directive ePrivacy. Si vous utilisez un proxy de jetons côté serveur et désactivez la mise en cache côté client, l'empreinte de stockage est considérablement réduite, ce qui peut permettre de justifier un intérêt légitime pour la carte.

Cela dépend de votre implémentation. Si le SDK Web Azure Maps écrit des jetons d'authentification dans le stockage du navigateur, le consentement est requis en vertu de l'article 5(3) de la directive ePrivacy avant le chargement du SDK. Si vous proxifiez les requêtes de jetons côté serveur et évitez toute écriture dans le stockage du navigateur, et si la Limite de Données UE Microsoft est configurée pour votre compte Azure, l'intérêt légitime peut être défendable pour le transfert IP résiduel. En pratique, la plupart des implémentations de sites publics devraient utiliser le consentement comme base juridique.

Deux bases juridiques potentielles existent: (1) Le consentement au titre de l'article 6(1)(a) du RGPD et de l'article 5(3) de la directive ePrivacy lorsque le SDK stocke des jetons dans le stockage du navigateur. C'est la base la plus sûre et la plus recommandée pour les sites publics. (2) L'intérêt légitime au titre de l'article 6(1)(f) du RGPD lorsque le stockage du navigateur est évité via un proxy de jetons côté serveur, la Limite de Données UE est configurée et le transfert IP résiduel est divulgué. Dans les deux cas, vous devez documenter la base juridique dans votre registre de traitement.

Potentiellement oui, même avec la Limite de Données UE Microsoft activée. La Limite de Données UE conserve la plupart des traitements Azure Maps au sein de l'UE et de l'EEE, mais les opérations mondiales de Microsoft signifient que les données d'assistance, de télémétrie et d'opérations de sécurité peuvent encore impliquer des entités Microsoft aux États-Unis. Microsoft s'appuie sur le cadre de protection des données UE-États-Unis et les clauses contractuelles types pour ces transferts résiduels. Vous devez divulguer cela dans votre politique de confidentialité et référencer l'Accord de traitement des données des services en ligne Microsoft.

Une AIPD peut être requise dans certains contextes. Les facteurs déclenchants incluent: l'utilisation des API de recherche ou de routage Azure Maps qui traitent des requêtes de localisation à grande échelle, l'intégration d'Azure Maps dans des applications traitant des catégories de données sensibles (santé, finances, etc.), l'exploitation de pages publiques à fort trafic avec collecte systématique d'IP, et tout transfert résiduel vers Microsoft aux États-Unis malgré la Limite de Données UE. Consultez votre DPO et vérifiez si Azure Maps figure sur la liste obligatoire d'AIPD de votre autorité de contrôle.

Étapes pour une mise en œuvre conforme: (1) Conditionnez le SDK Azure Maps Web à votre CMP; ne le chargez qu'après consentement, ou implémentez un proxy de jetons côté serveur et documentez l'intérêt légitime si la Limite de Données UE est configurée. (2) Utilisez l'authentification par jeton Microsoft Entra (AAD) plutôt que d'exposer une clé d'abonnement côté client, et proxifiez les jetons côté serveur pour éviter les écritures dans le stockage côté client. (3) Divulguez le stockage azureMapsToken dans votre politique de cookies et de stockage si la mise en cache côté client est utilisée. (4) Mentionnez la Limite de Données UE, le cadre UE-États-Unis et les CCT dans votre politique de confidentialité. (5) Signez le DPA des services en ligne Microsoft. (6) Auditez tous les appels API Azure Maps.

Pour éviter le traitement des données Microsoft ou les transferts internationaux, envisagez: (1) Leaflet.js ou OpenLayers avec des tuiles OpenStreetMap auto-hébergées, éliminant entièrement les flux de données tiers. (2) MapLibre GL JS avec un fournisseur de tuiles hébergé dans l'UE ou des tuiles auto-hébergées. (3) HERE Maps, qui offre des options de résidentialité des données dans l'UE. (4) Maptiler Cloud configuré en région UE. Le bon choix dépend de vos exigences fonctionnelles, de votre budget et de votre capacité d'infrastructure.

Si le SDK Web Azure Maps utilise la mise en cache de jetons côté client, ajoutez une entrée pour: azureMapsToken (stockage de session ou local, Microsoft Corporation, finalité: cache de jeton d'authentification pour les appels API Azure Maps, durée: session ou jusqu'à expiration du jeton). Si vous avez éliminé le stockage côté client via un proxy côté serveur, notez-le dans votre politique et expliquez le transfert IP résiduel vers Microsoft. Liez toujours votre politique de cookies depuis votre bannière de consentement et mettez-la à jour en cas de changement de fournisseur de cartes ou de version SDK.