Magnite

Magnite est une Supply Side Platform (SSP) américaine qui permet aux éditeurs (sites web, applications mobiles, chaînes CTV, services audio) de vendre leur inventaire publicitaire de manière programmatique via l'enchère en temps réel. Elle est issue de la fusion de Rubicon Project et Telaria et figure parmi les plus grandes SSP indépendantes.

Oui. Magnite stockant et lisant des identifiants sur le terminal et traitant des données à des fins de profilage publicitaire, l'article 5(3) de la directive ePrivacy et l'article 6(1)(a) du RGPD imposent un consentement préalable, libre, spécifique, éclairé et univoque, conforme à l'article 7 RGPD. Le consentement doit être collecté via une CMP compatible TCF 2.2 avant tout appel à Magnite.

Magnite traite des identifiants pseudonymes (cookies tels que uids, khaos, kuid), l'adresse IP, le user-agent, les caractéristiques de l'appareil, une géolocalisation dérivée de l'IP, l'URL et le referrer, les signaux d'interaction et de visibilité publicitaires ainsi que des identifiants issus de solutions comme Unified ID 2.0 ou RampID. En CTV, il traite également les identifiants publicitaires (IFA).

Oui. Magnite à son siège aux États-Unis et transfère des données vers son infrastructure américaine ainsi que vers une chaîne mondiale de partenaires adtech. Les transferts reposent sur les clauses contractuelles types et, le cas échéant, sur le Data Privacy Framework UE-US. Une analyse d'impact des transferts est requise depuis l'arrêt Schrems II (CJUE C-311/18).

Les cookies d'identité de Magnite ont une durée de vie généralement comprise entre quelques jours et 12 mois (par exemple uids et khaos environ 12 mois). Les bid requests sont conservées pour de courtes durées à des fins de facturation et d'anti-fraude. Les responsables doivent configurer la conservation conformément à la finalité et au principe de limitation du stockage de l'article 5(1)(e) RGPD.

Les principaux risques sont la diffusion massive de données dans la chaîne RTB, la perte de contrôle sur les destinataires en aval, les transferts vers les États-Unis sous Schrems II, le profilage au sens de l'article 22 RGPD, la difficulté d'exercer les droits et les problèmes d'intégrité du consentement soulignés par la décision APD 21/2022 contre IAB Europe.

Les utilisateurs peuvent retirer leur consentement à tout moment via la CMP, qui propage le signal à Magnite et aux partenaires aval. Ils peuvent également contacter directement Magnite via son portail vie privée pour exercer les droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. L'éditeur reste responsable de la facilitation de ces droits, en qualité de responsable conjoint ou indépendant selon la configuration.

Les éditeurs doivent mettre en place un consent gating strict, une CMP certifiée TCF 2.2, un filtrage server-side des bids, des garanties contractuelles avec Magnite et ses partenaires, une analyse d'impact des transferts documentée, une AIPD, des revues régulières de la vendor list, une minimisation des partages et une information claire des utilisateurs sur la chaîne de destinataires.