Cloudflare
Cloudflare es una empresa global de infraestructura de internet que ofrece CDN, protección DDoS, DNS, WAF (Firewall de Aplicaciones Web), gestión de bots y servicios de seguridad. Sus servicios de infraestructura principal no requieren consentimiento de cookies. Las cookies de seguridad (__cf_bm, cf_clearance) son estrictamente necesarias para la protección contra bots. Cloudflare actúa como procesador de infraestructura, no como recopilador de datos para publicidad. Hay opciones de localización de datos en la UE disponibles. Cloudflare está certificado bajo el Marco de Privacidad de Datos UE-EE.UU.
¿Qué hace Cloudflare?
¿Qué es Cloudflare?
Cloudflare es una empresa global de infraestructura de internet cuyos productos se sitúan entre los visitantes del sitio web y el servidor de origen, proporcionando: distribución de contenido (CDN) que acelera la carga de páginas, protección DDoS que absorbe el tráfico de ataques, un Firewall de Aplicaciones Web (WAF) que bloquea solicitudes maliciosas, gestión de bots, servicios DNS y Cloudflare Workers (computación sin servidor). Más del 20 % de internet utiliza Cloudflare como capa CDN y de seguridad.
Cookies de Cloudflare y el RGPD
Cloudflare establece dos cookies de seguridad: __cf_bm (gestión de bots, 30 minutos) y cf_clearance (autorización de desafío de seguridad, 1 día). Ambas son estrictamente necesarias para las funciones de seguridad de Cloudflare y se requieren técnicamente para que funcionen el WAF y la protección contra bots. Estas cookies no requieren consentimiento según la Directiva ePrivacy ya que son estrictamente necesarias para el legítimo servicio de seguridad. Cloudflare también establece __cflb para el equilibrio de carga, que también es estrictamente necesario.
¿Qué datos procesa Cloudflare?
Cloudflare procesa encabezados de solicitudes HTTP (incluyendo direcciones IP, User-Agent, Referer), códigos de respuesta y datos de temporización. Las direcciones IP son datos personales bajo el RGPD. Cloudflare retiene los registros durante períodos definidos (normalmente 24 a 72 horas para los planes estándar). La base legal es el interés legítimo para los servicios de seguridad y rendimiento. Cloudflare no vende ni utiliza estos datos para publicidad.
Localización de datos en la UE
Cloudflare ofrece la Suite de Localización de Datos para clientes empresariales, permitiendo restringir el procesamiento de datos a puntos de presencia de la UE. Para los despliegues estándar, la red Anycast de Cloudflare puede enrutar el tráfico a través de centros de datos fuera de la UE. Cloudflare está certificado bajo el Marco de Privacidad de Datos UE-EE.UU. y proporciona CCT en su APD para transferencias fuera de la UE/EEE.
Pasos prácticos de cumplimiento
Firme el APD de Cloudflare (disponible en el Panel de Cloudflare en Cuenta, Configuraciones). Clasifique __cf_bm y cf_clearance como estrictamente necesarias en su política de cookies, sin necesidad de consentimiento. Divulgue Cloudflare como procesador de CDN y seguridad en su política de privacidad. Para los despliegues empresariales que requieren procesamiento exclusivo en la UE, configure la Suite de Localización de Datos.
Cloudflare y el RGPD
- Base jurídica
- Legitimate interest (Art. 6(1)(f)) for CDN, DDoS protection, WAF, and security services as strictly necessary infrastructure. Cloudflare does not set advertising or tracking cookies for its core infrastructure services. The __cf_bm and cf_clearance cookies are strictly necessary for bot protection and security.
- Nivel de riesgo
- low
- Normativa aplicable
- GDPR, SCCs for US transfers. Cloudflare DPA available. EU-US Data Privacy Framework certified.
Evaluación de impacto (EIPD)
Generalmente no se requiere una EIPD para los despliegues estándar de CDN y seguridad de Cloudflare. Puede ser relevante para los despliegues de Cloudflare Workers o R2 que procesan volúmenes significativos de datos personales, o para los despliegues de Cloudflare Access/Zero Trust que gestionan la autenticación de empleados.
Texto de ejemplo para su banner
Este sitio web utiliza Cloudflare para seguridad y rendimiento. Cloudflare establece cookies estrictamente necesarias (__cf_bm, cf_clearance) para la protección contra bots. Estas no requieren consentimiento ya que son esenciales para la seguridad del sitio web. Cloudflare puede procesar su dirección IP y datos de solicitud con fines de seguridad.
Lo que Cloudflare instala y contacta
- Método de seguimiento
- CDN, DDoS protection, DNS, WAF, Bot Management, Cloudflare Analytics, Workers, Pages, R2 storage
- Ubicación de los servidores
- Global network including European Union data centres
- Modo sin cookies disponible
- Sí
- Transferencia de datos fuera de la UE
- Cloudflare is a US company (San Francisco) with a global network including EU data centres. Standard Cloudflare deployments may route traffic through non-EU points of presence. Cloudflare offers EU data localisation options for certain products. Cloudflare provides a GDPR-compliant DPA and is certified under the EU-US Data Privacy Framework.
Cookies instaladas (2)
| Nombre | Tipo | Duración | Finalidad |
|---|---|---|---|
| __cf_bm | session | 30 minutes | Cloudflare bot management cookie distinguishing legitimate users from automated bots: strictly necessary |
| cf_clearance | persistent | 1 day | Cloudflare security challenge clearance cookie confirming the visitor passed the security check: strictly necessary |
Dominios de terceros contactados (3)
cloudflare.comchallenges.cloudflare.comcdnjs.cloudflare.com
Preguntas frecuentes sobre Cloudflare
¿No encuentra su pregunta? Escríbanos, respondemos rápido.
¿Las cookies de Cloudflare requieren consentimiento del RGPD?
No. Las cookies de seguridad de Cloudflare (__cf_bm, cf_clearance) son estrictamente necesarias para la protección contra bots y los servicios de seguridad. No requieren consentimiento según la Directiva ePrivacy. Clasifíquelas como estrictamente necesarias en su política de cookies.
¿Qué hace Cloudflare con las direcciones IP de los visitantes?
Cloudflare procesa las direcciones IP como parte de sus servicios CDN y de seguridad: enrutamiento de solicitudes, mitigación de DDoS y análisis de seguridad. Las direcciones IP son datos personales bajo el RGPD. El interés legítimo de Cloudflare cubre este procesamiento como un servicio de infraestructura necesario. Cloudflare retiene los registros durante períodos definidos según su política de privacidad.
¿Cloudflare ofrece localización de datos en la UE?
Sí. La Suite de Localización de Datos de Cloudflare (Enterprise) restringe el procesamiento de datos a puntos de presencia de la UE. Para los despliegues estándar, la red Anycast de Cloudflare puede utilizar centros de datos fuera de la UE. Cloudflare está certificado bajo el Marco de Privacidad de Datos UE-EE.UU. y proporciona CCT para transferencias fuera de la UE/EEE.
¿Cloudflare es un encargado del tratamiento o un responsable?
Ambos, según el contexto. Para los servicios de CDN, WAF y seguridad en nombre de los operadores de sitios web, Cloudflare es un encargado del tratamiento. Para la inteligencia de seguridad propia de Cloudflare (datos agregados de amenazas), Cloudflare actúa como responsable independiente. Firme el APD de Cloudflare que cubre la relación de encargado del tratamiento.
¿Necesito un APD con Cloudflare?
Sí. Firme el Addendum de Procesamiento de Datos de Cloudflare disponible en el Panel de Cloudflare en Configuración de Cuenta. Esto cubre el procesamiento de datos personales (incluidas las IP de los visitantes) por parte de Cloudflare como proveedor de infraestructura.
¿Cloudflare Analytics recopila datos personales?
Cloudflare Web Analytics es respetuoso con la privacidad: no utiliza cookies, no rastrea personas entre sitios y no almacena direcciones IP más allá del procesamiento de solicitudes. No utiliza cookies y es compatible con el RGPD, similar a Plausible en su enfoque de privacidad.
¿Qué es la cookie __cf_bm?
__cf_bm es una cookie de gestión de bots de Cloudflare (sesión de 30 minutos). Distingue el tráfico humano legítimo del tráfico automatizado de bots. Es estrictamente necesaria para el servicio de protección de bots de Cloudflare y no requiere consentimiento.
¿Se puede usar Cloudflare sin preocupaciones del RGPD?
Los servicios principales de Cloudflare (CDN, DDoS, WAF) se pueden desplegar con mínimas fricciones del RGPD: cookies estrictamente necesarias, interés legítimo para la seguridad y un APD firmado. Es uno de los servicios de infraestructura más sencillos en términos de cumplimiento del RGPD. Los productos más complejos (Workers, R2, Access) requieren una evaluación adicional.
Haga que su sitio cumpla la normativa hoy mismo.
Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso.