Cloudflare Stream

En la mayoría de despliegues en la UE, sí. El reproductor iframe por defecto en cloudflarestream.com se carga automáticamente, deposita al menos una cookie CDN de Cloudflare (__cf_bm y, en su caso, _cfuvid) y transmite la dirección IP del espectador a Cloudflare Inc. El artículo 5(3) de la directiva ePrivacy exige consentimiento previo para cualquier almacenamiento no estrictamente necesario en el terminal, y las autoridades europeas consideran que un iframe de terceros cargado automáticamente requiere consentimiento. El patrón click-to-load con un aviso claro es la opción por defecto recomendada; no existe un modo totalmente sin cookies de fábrica.

Sin la Data Localisation Suite, los originales se almacenan y los segmentos se cachean en la red anycast global de Cloudflare (más de 300 centros de datos en más de 100 países, incluidos Estados Unidos). La entrega se realiza desde el edge más próximo al espectador. Con el complemento Regional Services para Stream, el procesamiento y el almacenamiento pueden limitarse a la UE; el Customer Metadata Boundary mantiene logs y metadatos en Europa. Es la configuración que deben preferir los editores europeos preocupados por los transferencias a EE. UU.

Las cookies más frecuentes en el dominio del reproductor son __cf_bm (gestión de bots, ~30 minutos), cf_clearance (clearance CAPTCHA, hasta un año, depositada sólo tras un challenge) y ocasionalmente _cfuvid (estadísticas de visitantes, sesión). Cloudflare considera __cf_bm estrictamente necesaria; numerosas autoridades europeas lo cuestionan cuando la cookie procede de un iframe de tercero y no del dominio first-party. Por defecto, considere que requieren consentimiento salvo análisis contrario formalizado por su DPO.

Sí. Cloudflare publica un Data Processing Addendum (DPA) conforme al artículo 28 del RGPD, integrado automáticamente en los contratos de clientes de pago. Incorpora las Cláusulas Contractuales Tipo europeas (módulo 2, responsable a encargado) para transferencias fuera del EEE, el UK IDTA y la LPD suiza. Cloudflare Inc. está además autocertificada bajo el EU-US Data Privacy Framework, que actúa como instrumento de transferencia complementario. Los editores deben aun así realizar un Transfer Impact Assessment, dado que Cloudflare encaja en la categoría de 'electronic communication service provider' bajo la FISA 702.

Por defecto Stream expone métricas por vídeo: minutos vistos, audiencia única, porcentaje visto, país y errores de reproducción, calculados a partir de logs de servidor (IP, user-agent, URL de segmento) y de la cookie de reproducción. Cuando el editor usa URLs firmadas con un userId, este identificador seudónimo se asocia a los eventos de reproducción y queda accesible vía la API de Stream. No hay perfil publicitario first-party, ni identificador entre sitios, ni conexión por defecto con ecosistemas publicitarios.

En gran medida sí, pero requiere activar la Data Localisation Suite (Regional Services para Stream, Customer Metadata Boundary, Geo Key Manager) en las zonas correspondientes, un complemento de pago. Con esa configuración, el procesamiento de vídeo, el material criptográfico y los metadatos permanecen en la UE. Cloudflare Inc. sigue siendo una empresa estadounidense sujeta al derecho estadounidense, por lo que persiste un riesgo Schrems II residual; debe documentarse en el Transfer Impact Assessment y ponderarse frente a las salvaguardas técnicas y contractuales aplicadas.

Vimeo OTT ofrece un modo do-not-track pero está en EE. UU. Bunny Stream se opera desde Eslovenia y almacena por defecto en regiones europeas, lo que facilita el cumplimiento de Schrems II. Mux Video es estadounidense y orientado a desarrolladores, con preocupaciones de transferencia similares a Cloudflare. PeerTube y MediaCMS son opciones de código abierto autoalojadas que dan al editor el control total a cambio de esfuerzo operativo (codificación, escalado, monitorización). Cloudflare Stream se sitúa entre ambos: comodidad gestionada y CDN global, con riesgos de transferencia serios pero configurables.

Realizar una EIPD que cubra categorías de datos, finalidades, plazos de conservación y riesgos. Actualizar el registro de actividades del tratamiento y la política de privacidad para mencionar a Cloudflare Inc. como encargado, el instrumento de transferencia internacional empleado (CCT + DPF, opcionalmente residencia UE) y las cookies depositadas por el reproductor. Configurar el banner de cookies para que Cloudflare Stream quede bloqueado hasta el consentimiento, idealmente con un placeholder click-to-load. Documentar el TIA, activar la Data Localisation Suite cuando sea posible y conservar la prueba de aceptación del DPA de Cloudflare.