Permutive

Qu'est-ce que Permutive

Permutive est une plateforme d'audience et de données fondée en 2014 et basée à Londres. Elle est utilisée principalement par les grands éditeurs digitaux (BBC, Penske Media, News Corp, BuzzFeed) et les annonceurs pour construire des segments first party, activer des audiences sur le web ouvert et monétiser l'inventaire de manière privacy first après la disparition des cookies tiers.

Le parti pris architectural est l'edge computing : un SDK JavaScript s'exécute dans le navigateur et calcule localement les segments d'audience, n'envoyant à Permutive que des signaux agrégés ou pseudonymisés. Cela réduit la bande passante et le volume de données personnelles sortant de l'appareil.

Données traitées

Permutive traite l'IP du visiteur (géolocalisation, antifraude), l'User Agent, l'URL, les métadonnées de contenu, les mots-clés de recherche, le temps passé, la profondeur de défilement, les clics et tout événement personnalisé. Optionnellement, des identifiants d'utilisateurs connectés (e-mails hachés, customer IDs) peuvent enrichir les segments.

Cookies et localStorage conservent l'identifiant visiteur et les segments entre sessions, typiquement 1 an. L'ID Permutive est partagé avec les partenaires adtech via des identity graphs standard.

RGPD, ePrivacy et TCF v2.2

Permutive est enregistré comme vendor IAB Europe TCF v2.2. Les éditeurs doivent transmettre une TC string valide avec les bonnes finalités consenties (typiquement finalités 1 à 4, 7 à 10, plus les finalités d'intérêt légitime que le vendor déclare). Permutive doit être listé explicitement dans la configuration vendors de votre CMP.

Suite à l'arrêt CJUE C-252/21 (Meta v. Bundeskartellamt) et aux dernières lignes directrices de l'EDPB, l'intérêt légitime n'est pas défendable pour le profilage publicitaire. Le consentement est la seule base art. 6 RGPD sûre pour l'activation publicitaire alimentée par Permutive.

Transferts et sous-traitants

Permutive Ltd est responsable de traitement britannique. Le UK bénéficie de l'adéquation UE (2021), donc les transferts UE UK ne nécessitent pas de garanties supplémentaires. Permutive utilise AWS avec des clusters UK, UE (Irlande) et US. Les flux ultérieurs vers les partenaires adtech (SSP, DSP, identity graphs) traversent souvent les États-Unis sous CCT et EU US DPF.

Listez Permutive et tous les destinataires adtech dans votre politique et votre vendor list. Le framework TCF v2.2 fournit des catégories standards et une global vendor list maintenue par IAB Europe.

AIPD et profilage

Une AIPD est généralement requise pour tout éditeur ou annonceur utilisant Permutive à l'échelle. Elle doit couvrir la logique de catégorisation des segments (notamment les contenus sensibles relevant de l'art. 9 RGPD), la chaîne de transferts, la configuration TCF v2.2, la durée de conservation des segments et la revue art. 22 RGPD si les segments alimentent des décisions d'enchères automatisées.

Les contrôles récents (CNIL, ICO, AEPD) ont porté sur la qualité du consentement, la divulgation des vendors et les contenus sensibles. Documentez les mesures empêchant le profilage sur la base de contenus santé, religieux ou politiques.

Checklist de conformité

Signez le DPA Permutive. Enregistrez-le comme vendor dans votre CMP TCF v2.2 et transmettez la TC string correcte. Différez le SDK jusqu'au consentement. Configurez la catégorisation pour exclure les contenus sensibles sans consentement explicite. Documentez la chaîne de sous-traitants et destinataires.

Menez une AIPD et révisez-la chaque année. Proposez un opt out clair au niveau CMP qui se propage à Permutive (plus d'événements, plus d'activation, suppression des segments stockés).