Widgets Spotify

Que sont les widgets Spotify ?

Les widgets Spotify sont des lecteurs en iframe intégrables qui permettent aux propriétaires de sites d'afficher une piste, un album, une liste de lecture ou un épisode de podcast Spotify directement sur une page. Le lecteur est servi depuis open.spotify.com et lorsqu'il se charge, le navigateur du visiteur établit une connexion directe avec les serveurs Spotify, exposant l'adresse IP du visiteur et permettant à Spotify de déposer des cookies.

Données et cookies collectés

Lors du chargement d'un widget Spotify, plusieurs cookies peuvent être déposés : sp_t (identifiant de suivi, valable un an), sp_landing (stocke les données de la page d'atterrissage, valable un jour), sp_dc (routage du compte lorsque le visiteur est connecté à Spotify, valable un an) et des cookies de préférence du lecteur. L'adresse IP du visiteur, les informations sur l'appareil et les événements de lecture sont également transmis à Spotify.

Implications RGPD et ePrivacy

Les widgets Spotify déclenchent des obligations au titre du RGPD et de la directive ePrivacy. La directive ePrivacy exige un consentement préalable avant de déposer des cookies sur l'appareil du visiteur. Au titre du RGPD, le transfert d'adresses IP et de données personnelles à Spotify constitue un traitement qui doit avoir une base juridique. Comme le widget se charge automatiquement au rendu de la page, le consentement doit être obtenu avant l'injection de l'iframe.

Exigences en matière de consentement

Le consentement est requis avant le chargement de tout widget Spotify. Il doit être libre, spécifique, éclairé et non ambigu. Une mise en oeuvre conforme remplace l'iframe par un espace réservé qui ne charge le lecteur Spotify qu'après l'acceptation active du visiteur. Catégorisez le service sous la catégorie médias ou cookies fonctionnels dans votre plateforme de gestion du consentement.

Transferts de données hors UE

Spotify AB est basé en Suède mais opère sur une infrastructure mondiale incluant des serveurs aux Etats Unis. Les données des visiteurs, notamment les adresses IP, les identifiants d'appareils et les événements de lecture, peuvent être transférées et traitées aux Etats Unis. Spotify s'appuie sur les clauses contractuelles types et, le cas échéant, sur le cadre de confidentialité des données UE Etats Unis. Documentez ces transferts dans votre registre des activités de traitement.

Étapes pratiques pour la conformité

Pour utiliser les widgets Spotify en conformité : bloquez l'iframe derrière une plateforme de gestion du consentement et ne l'injectez qu'après l'acceptation du visiteur ; affichez un espace réservé explicite ; catégorisez le service dans votre politique de cookies sous lecteurs médias ; documentez le transfert de données vers les Etats Unis et le mécanisme de transfert ; révisez les conditions de traitement de données de Spotify annuellement.