X Ads (anciennement Twitter Ads)

Qu'est-ce que X Ads ?

X Ads (anciennement Twitter Ads) est la plateforme publicitaire self serve de X Corp, qui permet aux annonceurs de promouvoir tweets, comptes et tendances dans le feed X. Pour mesurer les conversions et constituer des audiences côté éditeur, les annonceurs ajoutent le pixel X (snippet JavaScript) et, en option, la Conversion API pour les événements côté serveur. La plateforme propose du ciblage par mot-clé, follower et comportemental, ainsi que des Tailored Audiences (custom et lookalike).

Quelles données et quels cookies le pixel X collecte-t-il ?

Le pixel X dépose et lit plusieurs cookies tiers sur les domaines X (twitter.com et x.com) : muc_ads (identifiant publicité, 2 ans), personalization_id (personnalisation sur X, 2 ans), guest_id_ads (session publicité invité, 2 ans), ads_prefs et _twitter_sess. Quand un utilisateur est connecté à X, le pixel associe l'activité de navigation au compte X. Le pixel envoie l'URL de page, le type d'événement (page view, content view, add to cart, purchase), des paramètres personnalisés et, si Enhanced Conversions est actif, des e-mails ou téléphones hachés.

Implications RGPD et ePrivacy

Le pixel X est un traceur publicitaire tiers qui relève pleinement de l'article 5(3) ePrivacy et de l'article 6 RGPD. Seul le consentement est une base légale valable. X et l'éditeur sont co-responsables pour le ciblage d'audience et la mesure de conversion, comme détaillé dans l'accord de co-responsabilité X Ads. La CNIL, la DSK et l'AEPD rappellent régulièrement que les pixels publicitaires exigent un consentement opt in préalable et que les cases pré-cochées ou le scroll consent ne sont pas valables.

Gestion du consentement avec le pixel X

Bloquez le pixel X dans votre CMP jusqu'au consentement à la finalité Marketing ou Publicité. X intègre le IAB TCF v2.2 : transmettez la TC string via le mécanisme global addEventListener. Pour la Conversion API, n'envoyez que des identifiants hachés d'utilisateurs consentants. Utilisez le endpoint d'opt out X et désactivez le pixel pour les utilisateurs ayant retiré leur consentement. Utilisez event_id pour dédupliquer les événements navigateur et serveur.

Transferts de données et certification DPF de X

X Corp est basée aux États-Unis et traite les données X Ads sur l'infrastructure US. Les données personnelles européennes quittent donc l'EEE. Les transferts reposent sur le DPA X, les CCT UE et le EU US Data Privacy Framework. Vérifiez le statut DPF de X Corp avant de vous en prévaloir, et documentez un mécanisme de secours dans le registre des traitements.

Checklist conformité pratique

Signez l'accord de co-responsabilité X Ads et le DPA standard. Bloquez le pixel X derrière une consent gate. Transmettez la chaîne IAB TCF v2.2. Limitez la rétention des Tailored Audiences et évitez les données sensibles. Réservez les événements Conversion API aux utilisateurs consentants. Listez les cookies X dans la politique cookies et identifiez X Corp comme co-responsable dans la mention d'information avec la mention des transferts vers les États-Unis.