Cloudflare Workers

Cloudflare puede colocar __cf_bm para distinguir humanos de bots y cf_clearance para recordar el resultado de un reto de seguridad. El código del Worker desplegado por el operador también puede colocar cookies arbitrarias, que deben clasificarse según su finalidad.

Workers como cómputo en el borde no exige consentimiento para cookies de seguridad estrictamente necesarias como __cf_bm y cf_clearance. Sí se requiere consentimiento para cualquier cookie u operación de almacenamiento que el código del Worker realice con fines de analítica, personalización o marketing.

La base jurídica es el interés legítimo del artículo 6.1.f del RGPD para la seguridad, el rendimiento y la prestación del sitio. Para las funcionalidades que exigen consentimiento conforme a la directiva ePrivacy, la base jurídica es el consentimiento explícito del usuario.

Sí. Aunque los Workers se ejecutan en el POP más cercano, incluidos los de la UE, el plano de control, la información de cuenta y algunos registros se procesan en EE. UU. Las transferencias se amparan en Cláusulas Contractuales Tipo y en el Data Privacy Framework UE EE. UU.

No suele exigirse una EIPD autónoma para Workers como mera infraestructura. Se recomienda una EIPD cuando los Workers traten datos sensibles, realicen perfilado, invoquen servicios en países terceros o implementen decisiones automatizadas.

Firme el DPA de Cloudflare, active la Data Localisation Suite para enrutar exclusivamente en la UE cuando sea necesario, audite las cookies y operaciones de almacenamiento de su código, registre solo lo imprescindible, hashee los identificadores y respete las señales de consentimiento procedentes de su CMP.

Las alternativas incluyen plataformas edge europeas como Scaleway Edge Services, Clever Cloud, Fastly Compute@Edge en regiones UE, OVHcloud o servicios Node o Rust autoalojados. La elección depende de la cobertura geográfica y del nivel de residencia de datos requerido.

Mencione a Cloudflare como encargado del tratamiento para hosting, rendimiento y seguridad. Describa __cf_bm y cf_clearance como estrictamente necesarias, advierta de posibles transferencias a EE. UU., enumere por separado sus propias cookies de aplicación y ofrezca una vía clara de opt out para tratamientos no estrictamente necesarios.