Neos Flow

Qu'est ce que Neos Flow

Neos Flow est un framework PHP open source né comme socle du CMS Neos et utilisé désormais pour construire un large éventail d'applications web sur mesure. Il propose des conventions et des composants pour le routage, l'injection de dépendances, la sécurité, la persistance, la validation et les outils en ligne de commande. Flow étant installé et exploité sur l'infrastructure du responsable de traitement, les mainteneurs ne reçoivent aucune donnée des déploiements en production.

Cookies et données déposés par Neos Flow

Par défaut, Neos Flow n'émet qu'un cookie de session utilisé pour conserver un état côté serveur, par exemple pour suivre un utilisateur authentifié ou un formulaire multi étapes. Le framework n'embarque pas de code analytique, marketing ou de fingerprinting. Tout cookie additionnel, script tiers ou traceur est introduit par l'équipe de développement de l'application spécifique construite sur Flow.

Implications RGPD et ePrivacy

Le cookie de session par défaut est strictement nécessaire au sens de l'article 5(3) de la directive ePrivacy et peut donc être déposé sans consentement préalable. La base légale RGPD du traitement associé est généralement l'intérêt légitime ou, lorsque l'utilisateur est authentifié, l'exécution du contrat. Les données traitées par l'application bâtie sur Flow doivent respecter les principes du RGPD de licéité, de limitation des finalités, de minimisation et d'intégrité.

Exigences de consentement

Aucun consentement n'est requis pour le cookie de session par défaut. Le consentement devient nécessaire lorsque les développeurs ajoutent des modules analytiques, marketing, d'intégration sociale ou de tests A B. Dans ce cas, les scripts additionnels doivent être bloqués jusqu'à l'opt in via une plateforme de gestion du consentement.

Transferts internationaux

Neos Flow étant auto hébergé, la localisation des données dépend de l'hébergeur retenu par le responsable de traitement. Aucun transfert automatique n'a lieu vers les mainteneurs ou un backend SaaS. Les responsables de traitement doivent veiller à ce que leur hébergeur respecte les exigences de résidence des données dans l'UE lorsque c'est pertinent.

Étapes pratiques de conformité

Documentez le cookie de session dans la politique cookies comme strictement nécessaire, configurez les attributs de sécurité HttpOnly et SameSite, définissez des durées de session réalistes, journalisez uniquement le strict nécessaire et évaluez l'impact en protection des données de tout module tiers ajouté à l'application avant la mise en production.