Votre site utilise des services tiers ? Soyez conforme au RGPD en quelques minutes.
Essayer FlowConsentPlan gratuit · Installation 10 min
Mapbox.js et Mapbox GL JS affichent des cartes interactives dans le navigateur en chargeant les tuiles et la télémétrie depuis des serveurs Mapbox situés aux États Unis, ce qui soulève des questions de transfert au regard du RGPD.
Mapbox est une plateforme de cartographie dont les bibliothèques JavaScript, Mapbox.js et le plus récent Mapbox GL JS, intègrent des cartes interactives, du géocodage et du calcul d'itinéraires dans les sites et applications. Lorsqu'une page charge une carte Mapbox, le navigateur du visiteur demande les tuiles, les polices et les styles directement à l'infrastructure Mapbox, et la bibliothèque peut renvoyer des données de télémétrie anonymes à Mapbox.
Mapbox GL JS ne dépose généralement pas de cookies, mais chaque requête de carte transmet l'adresse IP du visiteur, le lieu et les coordonnées demandés, ainsi que des détails techniques comme le navigateur et l'appareil. La bibliothèque collecte aussi une télémétrie sur les interactions, sauf si vous la désactivez. L'adresse IP et les données de localisation restent des données personnelles même sans cookie.
Comme aucune information n'est par défaut stockée ou lue sur l'appareil, la règle de consentement ePrivacy propre aux cookies peut ne pas s'appliquer strictement, mais le RGPD encadre toujours le transfert de l'adresse IP et de la localisation vers Mapbox. Des autorités comme la CNIL considèrent que les ressources tierces chargées automatiquement, dont les cartes, nécessitent le consentement lorsqu'elles exposent des données à un responsable étranger.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
L'approche la plus sûre consiste à ne charger la carte Mapbox qu'après le consentement du visiteur, par exemple derrière un espace réservé à activer au clic. Si vous vous appuyez plutôt sur l'intérêt légitime, vous devez documenter un test de mise en balance et offrir une opposition simple. La télémétrie doit être désactivée lorsqu'elle n'est pas nécessaire.
Mapbox est une société américaine qui sert les tuiles et traite les requêtes depuis une infrastructure aux États Unis ; utiliser ses cartes implique donc un transfert international. Ce transfert doit être couvert par le cadre de protection des données UE États Unis, auquel Mapbox peut adhérer, ou par des clauses contractuelles types assorties de mesures supplémentaires.
Utilisez un encapsulage à activer au clic pour qu'aucune requête Mapbox ne parte avant le consentement, désactivez la télémétrie dans les options de la carte, restreignez votre jeton d'accès et documentez le transfert dans votre politique de confidentialité. Envisagez une alternative cartographique européenne ou auto hébergée pour les pages où le taux de consentement est faible.
Les sites web utilisant Mapbox.js doivent obtenir le consentement des utilisateurs conformement au RGPD.
Considerations AIPD
Une AIPD mérite d'être envisagée lorsque Mapbox sert au suivi de localisation continu, au positionnement de flotte ou d'utilisateurs plutôt qu'à une simple carte statique. Évaluez le transfert vers les États Unis, le volume de données de localisation et l'intérêt d'une alternative européenne.
Exemple de texte de consentement
Nous utilisons Mapbox pour afficher des cartes interactives. Le chargement d'une carte envoie votre adresse IP et votre requête de localisation à Mapbox aux États Unis. Les cartes ne se chargent qu'après votre acceptation.
Domaines tiers contactes
api.mapbox.comevents.mapbox.comtiles.mapbox.comCookies deposes
| Nom | Type | Duree | Finalite |
|---|---|---|---|
| mapbox.eventData | Local storage | Persistent until cleared | Stores an anonymous identifier and event data used by Mapbox telemetry. Can be disabled in the map options. |
| mapbox.eventData.uuid | Local storage | Persistent until cleared | Holds the anonymous telemetry identifier associated with map interactions. |
Mapbox.js utilise des cookies de preferences — informez vos visiteurs avec un bandeau de consentement.
Mapbox GL JS ne dépose pas de cookies traditionnels par défaut, mais il stocke un identifiant anonyme dans le stockage local pour la télémétrie et envoie votre adresse IP à chaque requête de carte. Vous pouvez désactiver la télémétrie dans la configuration de la carte.
Dans la plupart des interprétations européennes, vous devez obtenir le consentement avant de charger une carte Mapbox, car la requête révèle l'adresse IP et la localisation du visiteur à un fournisseur américain. Un espace réservé à activer au clic est le moyen le plus propre de recueillir ce consentement.
Vous pouvez vous appuyer sur le consentement au titre de l'article 6(1)(a) du RGPD, ou sur un intérêt légitime documenté au titre de l'article 6(1)(f) si la carte est essentielle et la télémétrie désactivée. Les règles ePrivacy sont moins centrales ici car Mapbox ne stocke pas de cookies par défaut.
Oui, Mapbox est une société américaine qui sert les tuiles et traite les requêtes depuis une infrastructure aux États Unis ; l'IP et la localisation du visiteur y sont donc transférées. Appuyez-vous sur le cadre de protection des données UE États Unis ou sur des clauses contractuelles types.
Une simple carte décorative nécessite rarement une AIPD, mais un suivi de localisation continu, une surveillance de flotte ou un positionnement d'utilisateurs à grande échelle en demandent généralement une. Évaluez le transfert et la sensibilité des données de localisation.
Conditionnez la carte au consentement, désactivez la télémétrie, restreignez le jeton d'accès à vos domaines et documentez le transfert vers les États Unis dans votre politique de confidentialité. Prévoyez une solution de repli comme une image statique ou une adresse pour les utilisateurs qui refusent.
Les options européennes ou auto hébergées incluent MapLibre GL avec des tuiles auto hébergées, OpenStreetMap avec un serveur de tuiles européen, et des fournisseurs comme HERE ou des services cartographiques locaux. Elles peuvent réduire ou supprimer le transfert vers les États Unis.
Indiquez que les cartes Mapbox ne se chargent qu'après consentement, décrivez l'identifiant de télémétrie en stockage local et la requête de localisation basée sur l'IP, et signalez le transfert vers les États Unis. Mettez à jour la mention si vous activez la télémétrie ou changez de fournisseur.