Alimama

Qu'est-ce qu'Alimama et comment ça marche

Alimama est la plateforme marketing et publicitaire interne du groupe Alibaba, l'entreprise derrière Tmall, Taobao et AliExpress. Elle alimente les annonces sponsorisées, le display, le retargeting et les campagnes de marque sur tout l'écosystème Alibaba et les réseaux d'éditeurs partenaires. Lorsqu'un marchand européen pose un pixel Alimama sur son site, le script capture les pages vues, les interactions produit, les ajouts au panier et les conversions, puis les envoie aux serveurs Alibaba pour l'attribution et la création d'audiences.

Alimama est connu pour son super ID multi-appareils, qui rattache une même personne à ses téléphones, tablettes et ordinateurs grâce aux comptes Alibaba authentifiés et à des signaux probabilistes. Cela en fait un outil de retargeting puissant, mais aussi un sous-traitant à haut risque au sens du RGPD.

Quelles données et quels cookies dépose Alimama

Sur un site marchand qui intègre Alimama, le script dépose des cookies sur des domaines comme mmstat.com, atanx.alicdn.com et tanx.com. Les identifiants courants sont cna (ID visiteur, environ 13 mois), isg (ID de session), t (suivi longue durée), tb_token (jeton de transaction) et miid (ID membre lorsque le visiteur est connecté à un compte Alibaba).

Le pixel collecte aussi : adresse IP, user agent, referer, URL de page, produits consultés, mots clés de recherche, événements panier, valeur d'achat et empreinte d'appareil (taille d'écran, langue). Si le visiteur est identifié côté Alibaba, l'ensemble peut être rattaché à un profil stable au niveau du compte.

Implications RGPD et ePrivacy

Alimama est un outil marketing et publicitaire : ses cookies ne sont pas strictement nécessaires au sens de l'article 5(3) de la directive ePrivacy. Ils exigent un consentement préalable, libre, spécifique, éclairé et univoque avant tout déclenchement. Les cases précochées, l'acceptation par défilement ou les cookie walls ont été sanctionnés à plusieurs reprises par la CNIL et d'autres autorités européennes.

Les données captées par Alimama (identifiants en ligne, données comportementales, données d'achat, parfois données de compte) sont des données personnelles au sens de l'article 4 du RGPD et sont traitées à des fins de publicité et de profilage couvertes par l'article 22.

Transferts de données vers la Chine

Les serveurs Alimama se trouvent en Chine continentale, qui ne bénéficie d'aucune décision d'adéquation de la Commission européenne. Tout déploiement implique donc un transfert international encadré par le chapitre V du RGPD. Des Clauses Contractuelles Types doivent être signées, complétées par une évaluation d'impact du transfert conformément aux recommandations du CEPD.

Au-delà des contrats, il faut tenir compte des lois chinoises (loi sur le renseignement national de 2017, loi sur la sécurité des données de 2021, PIPL) qui peuvent contraindre les fournisseurs locaux à remettre les données aux autorités publiques. Plusieurs autorités européennes considèrent ce contexte légal comme comparable, voire plus contraignant, que les préoccupations Schrems II concernant la surveillance américaine.

Comment déployer Alimama de façon conforme

Pour utiliser Alimama sur un site qui cible des visiteurs UE ou UK, il faut : bloquer tous les scripts Alimama tant que le consentement n'est pas obtenu via une CMP comme FlowConsent, documenter une base légale claire (consentement article 6(1)(a) et article 49(1)(a) pour le transfert vers la Chine), mettre à jour la politique de confidentialité et la politique cookies en nommant Alimama et le transfert, signer les Clauses Contractuelles Types avec Alibaba, réaliser une AIPD et une évaluation d'impact du transfert, et proposer un bouton tout refuser aussi accessible que tout accepter.

Configurez aussi votre CMP pour bloquer les domaines Alimama (mmstat.com, atanx.alicdn.com, tanx.com, alimama.com) tant que le visiteur n'a pas accepté les cookies publicitaires, et pour transmettre ce consentement immédiatement au gestionnaire de balises Alimama afin de préserver l'attribution.

Alternatives et réduction du risque

Pour les marques présentes sur Tmall et Taobao, Alimama est quasi incontournable sur la partie chinoise du tunnel, mais le suivi sur la vitrine européenne peut souvent être remplacé ou limité. Les API de conversion server side, les données first party hashées et le reporting agrégé réduisent le volume de données brutes envoyé en Chine. Lorsque c'est possible, isoler la mesure côté UE (Matomo, Plausible, GA4 server side en UE) du couche retargeting Alimama est une pratique saine.