Spotify

Spotify Technology S.A., société anonyme luxembourgeoise (RCS Luxembourg B 123052), est la maison mère du groupe et l'entité cotée au NYSE sous le ticker SPOT depuis le 3 avril 2018. Les opérations quotidiennes sont pilotées depuis Spotify AB à Stockholm (Bolagsverket org-nr 556703-7485, numéro de TVA SE556703748501). Pour les utilisateurs de l'EEE et du Royaume-Uni, le responsable de traitement désigné est Spotify AB ; pour les utilisateurs américains, il s'agit de Spotify USA Inc. (4 World Trade Center, 150 Greenwich Street, New York, NY 10007, constituée au Delaware). Des filiales régionales prennent en charge les ventes et le marketing locaux en Allemagne, en France, au Royaume-Uni, en Espagne, en Italie et ailleurs.

Spotify indique dans son 20-F pour l'exercice 2025 que Google Cloud Platform héberge « the vast majority of our primary data storage (including personal data of users and audio data licensed from rights holders) and computing ». La couche de périphérie est assurée par Fastly, avec des points de présence européens (par exemple Munich pour le trafic DACH). Spotify ne publie pas de région GCP spécifique pour les utilisateurs de l'UE et ne propose pas d'offre de résidence des données limitée à l'UE ; les transferts internationaux reposent sur les clauses contractuelles types (CCT), assorties de protections techniques comme le chiffrement et la pseudonymisation.

Oui, à trois titres. (1) La maison mère luxembourgeoise Spotify Technology S.A. dépose chaque année un rapport 20-F auprès de la SEC en tant qu'émetteur privé étranger et est soumise au droit boursier américain. (2) Spotify USA Inc. (Delaware) est le responsable de traitement désigné pour les utilisateurs américains et tombe directement sous le coup du CLOUD Act, de FISA 702 et d'autres procédures américaines de sécurité nationale. (3) Le principal fournisseur cloud de Spotify (Google LLC) ainsi que plusieurs sous-traitants opérationnels nommément cités (Okta Inc., Fastly Inc., OneTrust) sont constitués aux États-Unis. Pour les utilisateurs de l'EEE, le responsable de traitement direct est Spotify AB en Suède, mais le stockage et le calcul sous-jacents s'exécutent sur une infrastructure opérée depuis les États-Unis.

Les fondateurs Daniel Ek et Martin Lorentzon détenaient ensemble 69,3 % des droits de vote au 31 décembre 2025 (respectivement 28,8 % et 40,5 %) via la structure à double classe de certificats bénéficiaires. Tencent Holdings possède environ 9 % du capital économique au travers de plusieurs entités de portage à Hong Kong (Tencent Music Entertainment Hong Kong, Image Frame Investment, Tencent Mobility, Distribution Pool), mais ces actions sont soumises à une procuration irrévocable au profit de D.G.E. Investments, la société de Daniel Ek, et ne confèrent donc aucun droit de vote. Le flottant restant est détenu par des investisseurs institutionnels américains et internationaux.

Seul Spotify for Backstage, le SaaS de portail développeur, maintient publiquement un examen SOC 2 annuel réalisé par un auditeur tiers (rapport disponible sous NDA via [email protected]). Pour le service de streaming grand public, Spotify ne publie pas de page de certifications ; les affirmations d'agrégateurs tiers concernant une couverture ISO 27001, SOC 2, PCI DSS, HIPAA ou FedRAMP du produit de streaming ne sont corroborées par aucune URL publiée par Spotify. Les engagements publics de Spotify pour le service grand public sont formulés en termes de conformité au RGPD et au règlement DSA de l'UE, plutôt qu'en termes de certifications de sécurité indépendantes du fournisseur.

Oui. La page des paramètres de confidentialité de Spotify propose trois archives d'export RGPD -- données du compte, historique d'écoute étendu et journaux techniques -- livrées sous 30 jours. La suppression du compte est en libre-service via le même parcours. La politique de confidentialité décrit les critères de conservation de façon catégorielle plutôt que de citer une durée de conservation post-suppression précise ; le contact protection des données est [email protected], et le responsable de traitement pour l'EEE est Spotify AB (aucun représentant distinct au titre de l'article 27 du RGPD n'est désigné, puisque Spotify AB est établi au sein de l'EEE).