Cloudflare Workers

Cloudflare lui même peut déposer __cf_bm pour distinguer humains et bots, et cf_clearance pour mémoriser le résultat d'un défi de sécurité. Le code Worker déployé par l'opérateur peut aussi déposer des cookies arbitraires, qui doivent être classifiés selon leur finalité.

Workers en tant que calcul edge n'exige pas de consentement pour les cookies de sécurité strictement nécessaires comme __cf_bm et cf_clearance. Le consentement est requis pour tout cookie ou opération de stockage déposé par le code du Worker à des fins analytics, de personnalisation ou de marketing.

La base légale est l'intérêt légitime au sens de l'article 6.1.f du RGPD pour la sécurité, la performance et la fourniture du site. Pour les fonctionnalités exigeant le consentement au titre de la directive ePrivacy, la base légale est le consentement explicite de l'utilisateur.

Oui. Même si les Workers s'exécutent sur le POP le plus proche, y compris dans l'UE, le plan de contrôle, les informations de compte et certains logs sont traités aux États Unis. Les transferts sont encadrés par les Clauses Contractuelles Types et le Data Privacy Framework UE États Unis.

Une AIPD autonome n'est pas requise pour des Workers utilisés en simple infrastructure. Elle est recommandée si vos Workers traitent des données sensibles, font du profilage, appellent des services hors UE ou implémentent des décisions automatisées.

Signez le DPA Cloudflare, activez la Data Localisation Suite pour un routage exclusivement UE si nécessaire, auditez les cookies et opérations de stockage de votre code Worker, journalisez le strict nécessaire, hachez les identifiants et respectez les signaux de consentement issus de votre CMP.

Les alternatives incluent des plateformes edge européennes comme Scaleway Edge Services, Clever Cloud, Fastly Compute@Edge en régions UE, OVHcloud ou des services Node ou Rust auto hébergés. Le choix dépend de la couverture géographique et du niveau de résidence des données souhaité.

Mentionnez Cloudflare comme sous traitant pour l'hébergement, la performance et la sécurité. Décrivez __cf_bm et cf_clearance comme strictement nécessaires, signalez les éventuels transferts vers les États Unis, listez séparément vos propres cookies applicatifs et offrez un chemin d'opt out clair pour les traitements non strictement nécessaires.