Google Cloud CDN

Cloud CDN ne dépose pas de cookies de tracking en lui même. C'est une couche de cache qui traite les adresses IP, les en têtes et les URLs. Des cookies opérationnels comme NID ou __Secure peuvent apparaître si d'autres services Google sont actifs sur la même propriété.

Dans une configuration purement de cache, Cloud CDN est considéré comme strictement nécessaire à la fourniture du service et n'exige pas de consentement au sens de l'article 82 de la loi Informatique et Libertés. Tout composant analytics ou marketing ajouté doit obtenir son propre consentement.

La base légale est l'intérêt légitime au sens de l'article 6.1.f du RGPD, à savoir la fourniture technique, la performance et la sécurité du site. L'exécution du contrat peut aussi s'appliquer pour les espaces utilisateur authentifiés.

Oui, indirectement. Même si le trafic est servi depuis le POP le plus proche, Google est un responsable basé aux États Unis et peut y transférer des données opérationnelles, de journalisation et de sécurité. Les transferts sont encadrés par les Clauses Contractuelles Types et le Data Privacy Framework UE États Unis.

Une AIPD autonome n'est généralement pas requise pour Cloud CDN utilisé en pur cache. Elle devient utile quand Cloud CDN est combiné à Cloud Armor, à des journaux ou à des services marketing impliquant une surveillance systématique des utilisateurs.

Activez Cloud CDN uniquement sur des ressources sans données personnelles sensibles, restreignez le projet Google Cloud à des régions UE quand c'est possible, signez le DPA Google Cloud, activez Cloud Audit Logs et documentez le service dans votre registre des traitements.

Bunny.net, Fastly EU, Scaleway Edge Services ou Varnish auto hébergé offrent un cache avec une empreinte américaine moindre. Le choix dépend de la couverture géographique, des exigences de performance et du niveau de résidence des données requis.

Mentionnez Cloud CDN dans la rubrique hébergement et diffusion de contenu, expliquez qu'il traite IP et en têtes en tant que sous traitant, indiquez qu'aucun cookie marketing n'est posé par le CDN lui même, citez le DPA Google Cloud comme cadre juridique et précisez les éventuels transferts vers les États Unis.