Pingdom (Surveillance de disponibilité)

Ce que fait réellement Pingdom

Pingdom est un SaaS de supervision de sites web opéré par SolarWinds Worldwide LLC depuis 2014. Il fournit trois capacités principales: contrôles de disponibilité synthétiques (HTTP, TCP, ping, enregistreur de transactions) depuis des sondes externes situées dans 70 villes; monitoring de la vitesse de page; et Real User Monitoring (RUM), un beacon JavaScript injecté sur les pages qui capture les temps de navigation pour chaque visiteur réel et les remonte vers le cloud SolarWinds.

Cookies et stockages déposés par le beacon RUM

Lorsque l'éditeur injecte le script Pingdom RUM (prum.min.js), le beacon écrit les cookies pa_user (identifiant aléatoire, persistant), pa_vid (identifiant visiteur, 1 an) et pa_id (identifiant page vue, session). Le beacon envoie ensuite un payload JSON à rum-collector.pingdom.net contenant l'adresse IP du visiteur, le user agent, le référent, les métriques Navigation Timing API, l'URL et les valeurs des cookies. Les contrôles synthétiques ne déposent aucun cookie car ils s'exécutent depuis les sondes Pingdom, pas depuis des visiteurs réels.

Base légale et consentement

Le monitoring synthétique Pingdom ne traite pas de données visiteur et peut s'appuyer sur l'intérêt légitime de l'éditeur (art. 6 1 f RGPD) à garder son site disponible. Pingdom RUM, à l'inverse, mesure le comportement réel des visiteurs et traite l'adresse IP comme une donnée personnelle (CJUE Breyer 2016, lignes directrices CNIL 2022). Le consentement est donc requis au titre de l'article 5(3) ePrivacy et de l'article 6 1 a RGPD avant le chargement de prum.min.js. L'exemption CNIL mesure d'audience ne s'applique pas car les données sont envoyées à un sous traitant US susceptible de les réutiliser dans ses tableaux de bord agrégés.

Transferts internationaux

SolarWinds Worldwide LLC est établie aux États Unis et adhère au Data Privacy Framework UE États Unis depuis le 18 décembre 2023. Les données de compte client, le routage des alertes et les beacons RUM sont traités aux États Unis. L'addendum de traitement Pingdom intègre les clauses contractuelles types (module 2 responsable à sous traitant) et une évaluation d'impact des transferts. Les éditeurs doivent conserver la référence active de la certification DPF (vérifiable sur dataprivacyframework.gov) et rafraîchir l'EIDT chaque année, notamment au vu des contentieux en cours sur les lois US de surveillance.

Liste de contrôle conformité

Bloquez le script prum.min.js avant tout consentement (le CMP doit le retirer du DOM tant que la catégorie performance n'est pas acceptée). Documentez Pingdom et SolarWinds Worldwide LLC dans le registre des traitements (art. 30 RGPD) et dans la politique de confidentialité. Signez l'addendum DPA Pingdom incluant les CCT. Réalisez une AIPD si le RUM est combiné à des dimensions personnalisées révélant le comportement de l'utilisateur (identifiant connecté, plan, mots clés de recherche). Limitez la conservation des logs RUM bruts à 14 mois maximum, conformément à la doctrine CNIL.

Alternatives

Pour la supervision sans RUM: Better Stack (ex Better Uptime), Uptime Kuma (open source), Cronitor, StatusCake et Hetrix Tools sont compatibles UE. Pour le Real User Monitoring hébergé en Europe: Plausible Web Vitals, Cabin Real User Monitoring, Sentry Performance et SpeedCurve. Le monitoring serveur (logs Apache, Nginx vers un ELK auto hébergé) évite toute problématique de consentement.