Votre site utilise des services tiers ? Soyez conforme au RGPD en quelques minutes.
Essayer FlowConsentPlan gratuit · Installation 10 min
L API Web de Spotify et le lecteur intégré permettent aux sites de diffuser de la musique et d afficher des playlists directement sur une page. Lorsque le lecteur ou l API se charge sur une page publique, il sollicite des domaines Spotify qui déposent des cookies tiers comme sp_t, sp_dc et sp_adid. Ces cookies mesurent l usage, maintiennent les sessions connectées et servent la publicité, ils ne sont donc pas strictement nécessaires. Leur utilisation requiert un consentement préalable au titre du RGPD et de la directive ePrivacy, et les données peuvent être traitées sur une infrastructure américaine.
L API Web de Spotify est l interface destinée aux développeurs qui permet aux sites et aux applications de lire des données du catalogue, de gérer des playlists et de contrôler la lecture, tandis que l embed Spotify est un lecteur iframe prêt à l emploi qui diffuse des titres et des albums sur une page. De nombreux sites utilisent le lecteur intégré pour partager des morceaux ou des playlists, et d autres appellent l API Web pour afficher du contenu musical enrichi. Dans les deux cas, le navigateur du visiteur se connecte à des domaines Spotify, qui déposent des cookies et traitent des données techniques au chargement du lecteur.
Au chargement de l embed, Spotify dépose des cookies tiers comme sp_t pour des statistiques d usage anonymes, sp_landing pour mémoriser la page d arrivée, sp_dc pour la continuité du compte et de l appareil des utilisateurs connectés, et sp_adid pour la publicité le cas échéant. Outre ces cookies, Spotify reçoit l adresse IP du visiteur, des informations sur le navigateur et l appareil, la page référente et les interactions de lecture. Pour les utilisateurs connectés à Spotify, cette activité peut être associée à leur compte, ce qui rend le traitement personnel au sens du RGPD.
Parce que ces cookies sont écrits et lus sur l appareil du visiteur à des fins de mesure et de publicité plutôt que pour des fonctions strictement nécessaires, l article 5(3) de la directive ePrivacy impose un consentement préalable. L adresse IP et le rattachement au compte rendent aussi les données personnelles au sens du RGPD, vous devez donc disposer d une base légale, d une information claire et d une inscription au registre des traitements. Le lecteur ne doit jamais se charger avant que le visiteur n ait accepté la catégorie de cookies concernée.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Le consentement doit être recueilli avant tout contact avec un domaine Spotify, ce qui signifie que l iframe du lecteur et les appels à l API Web doivent être bloqués tant que le visiteur n a pas activement consenti. Un schéma recommandé est un espace réservé de type clic pour charger, qui affiche une pochette statique et un bouton de lecture et ne charge le véritable embed qu après l obtention du consentement. Les cases pré cochées, le consentement implicite par défilement et les murs de cookies ne respectent pas la norme, et le consentement doit être aussi simple à retirer qu à donner.
Spotify est établi en Suède mais s appuie sur une infrastructure et des sous traitants aux États-Unis, documentez donc le transfert au titre des clauses contractuelles types et faites référence aux mesures supplémentaires de Spotify. En pratique, conditionnez l embed et l API à votre plateforme de gestion du consentement, utilisez un dispositif de clic pour charger et listez les cookies Spotify et leurs durées dans votre politique de cookies. Nommez Spotify comme destinataire, divulguez le traitement aux États-Unis et révisez régulièrement, car les noms et durées des cookies peuvent changer.
Les sites web utilisant Spotify Web API doivent obtenir le consentement des utilisateurs conformement au RGPD.
Considerations AIPD
L embed Spotify dépose des cookies tiers persistants (sp_t, sp_dc) et un identifiant publicitaire (sp_adid), relie l activité aux comptes Spotify des utilisateurs connectés et transmet adresses IP et données d appareil à une infrastructure incluant les États-Unis. Une AIPD doit évaluer l ampleur du suivi via les lecteurs intégrés, la combinaison de cookies de mesure et de publicité, le transfert international vers les États-Unis et la conservation, avec des mesures comme le clic pour charger, le contrôle du consentement et une divulgation claire des cookies.
Exemple de texte de consentement
Nous utilisons le lecteur Spotify pour vous permettre d écouter de la musique sur notre site. Lorsque vous l autorisez, Spotify dépose des cookies sur votre appareil pour maintenir votre session, mesurer l usage et servir la publicité, et il peut recevoir votre adresse IP et des informations sur votre appareil. Ce contenu ne se charge qu après votre acceptation de la catégorie marketing, et les données peuvent être traitées aux États-Unis. Vous pouvez retirer votre consentement à tout moment via nos paramètres de cookies.
Domaines tiers contactes
open.spotify.comembed.spotify.comembed-cdn.spotifycdn.comaudio-ak.spotifycdn.comCookies deposes
| Nom | Type | Duree | Finalite |
|---|---|---|---|
| sp_t | analytics | 1 year | Anonymous usage analytics cookie set by Spotify to measure how the embedded player and content are used. |
| sp_landing | analytics | Session | Stores the landing page so that Spotify can attribute the entry point of the visit. Short lived and used for measurement. |
| sp_dc | marketing | 1 year | Maintains device and account continuity for users who are logged in to Spotify, linking embedded activity to their account. |
| sp_adid | marketing | 1 year | Advertising identifier set where applicable to support advertising and measurement across Spotify services. |
Spotify Web API utilise des cookies de preferences — informez vos visiteurs avec un bandeau de consentement.
Le lecteur Spotify dépose des cookies tiers comme sp_t pour des statistiques d usage anonymes d une durée d environ un an, sp_landing pour mémoriser brièvement la page d arrivée, sp_dc pour la continuité de l appareil et du compte des utilisateurs connectés pendant environ un an, et sp_adid pour la publicité le cas échéant. L ensemble exact dépend du fait que le visiteur soit connecté à Spotify.
Oui. Les cookies déposés par l embed sont des cookies de mesure et de marketing qui ne sont pas strictement nécessaires, donc au titre de l article 5(3) de la directive ePrivacy et du RGPD vous devez obtenir un consentement préalable et explicite avant que le lecteur ou l API Web ne contacte Spotify. L approche la plus simple et conforme est un espace réservé de type clic pour charger.
Le stockage et la lecture des cookies reposent sur le consentement au titre de la directive ePrivacy, et le traitement ultérieur de données personnelles comme les adresses IP repose sur le consentement au titre de l article 6(1)(a) du RGPD. L intérêt légitime n est généralement pas disponible car le consentement est déjà requis pour déposer les cookies et charger l embed.
Oui. Bien que Spotify ait son siège en Suède, il s appuie sur une infrastructure et des sous traitants aux États-Unis, de sorte que les adresses IP et les données d appareil peuvent y être transférées. Documentez le transfert au titre des clauses contractuelles types et faites référence aux mesures supplémentaires de Spotify dans votre politique de confidentialité.
Une AIPD complète n est pas toujours obligatoire, mais elle est conseillée lorsque vous intégrez Spotify sur de nombreuses pages ou que vous le combinez à d autres traceurs. Documentez les finalités, les cookies et leurs durées, le transfert international et la conservation, et appliquez des mesures comme le clic pour charger et le contrôle du consentement.
Bloquez l iframe du lecteur et tout appel à l API Web tant que le visiteur n a pas accepté la catégorie marketing dans votre plateforme de gestion du consentement. Utilisez un dispositif de clic pour charger qui affiche une pochette statique et ne charge le véritable embed qu après le consentement, listez les cookies Spotify dans votre politique de cookies et divulguez le traitement aux États-Unis.
Vous pouvez créer un lien vers Spotify au lieu de l intégrer, utiliser un lecteur audio auto hébergé pour vos propres morceaux, ou choisir un widget musical respectueux de la vie privée qui ne dépose pas de cookies de suivi. Ces options réduisent ou suppriment les cookies tiers et les transferts vers les États-Unis, au prix de l expérience de streaming native de Spotify.
Listez chaque cookie Spotify comme sp_t, sp_dc et sp_adid avec sa finalité et sa durée, nommez Spotify comme destinataire et divulguez le transfert vers les États-Unis. Maintenez les entrées à jour grâce à une analyse régulière des cookies, car les noms et durées des cookies Spotify peuvent évoluer.