Firebase

Firebase Authentication émet un ID token (1 heure) et un refresh token longue durée. Firebase Installations crée un identifiant d'instance d'application persistant utilisé par Analytics, Crashlytics et Cloud Messaging. Firebase Cloud Messaging stocke un token d'appareil. Firebase Analytics et Crashlytics écrivent aussi des payloads d'événements avec des informations d'appareil et d'IP lorsqu'ils sont actifs.

Firebase Authentication et les bases qui rendent simplement la fonctionnalité demandée ne requièrent pas de bandeau cookies dédié. Firebase Analytics, Crashlytics et les campagnes marketing Cloud Messaging nécessitent un consentement libre et éclairé au titre de l'art. 6(1)(a) RGPD et de l'article 5(3) ePrivacy. Utilisez Firebase Consent Mode pour conditionner la collecte.

L'Authentification, Cloud Firestore et Realtime Database utilisés pour rendre l'app reposent sur l'exécution du contrat (art. 6(1)(b)). Firebase Analytics, Crashlytics et le marketing Cloud Messaging reposent sur le consentement (art. 6(1)(a)). La conservation fiscale peut relever de l'obligation légale (art. 6(1)(c)). Les identifiants strictement nécessaires reposent sur l'article 5(3) ePrivacy.

Oui pour plusieurs produits Firebase. Cloud Firestore, Cloud Storage et Cloud Functions peuvent être épinglés en régions UE. Firebase Authentication, Firebase Analytics et Cloud Messaging traitent actuellement les données globalement avec stockage aux US. Les transferts reposent sur la certification Google au Data Privacy Framework UE-US et sur les clauses contractuelles types du DPA Google Cloud.

Une AIPD est recommandée pour les déploiements Firebase combinant Authentication, Analytics et Crashlytics avec des volumes utilisateurs importants, compte tenu du traitement global Google Cloud et des identifiants persistants utilisés. Une AIPD n'est normalement pas requise pour un projet Authentication seul ou hébergement seul.

Signez le DPA Google Cloud depuis la console Firebase. Épinglez Cloud Firestore et Cloud Storage en région UE. Activez Firebase Consent Mode et conditionnez Firebase Analytics et Crashlytics à votre CMP. Pour les apps mobiles, demandez l'App Tracking Transparency iOS avant d'activer Analytics. Documentez les services Firebase, les régions et la base DPF dans votre politique.

Côté UE : Supabase (géré sur régions UE chez AWS), Appwrite (open source, auto-hébergé ou cloud UE), Hasura avec hébergement UE et Nhost (hébergement UE). Pour l'analytique uniquement, préférez Plausible, Matomo, Pirsch ou Posthog avec hébergement UE. Le choix dépend du besoin global (backend complet) ou ponctuel (produits Firebase spécifiques).

Listez les services Firebase utilisés (Authentication, Cloud Firestore, Storage, Functions, Cloud Messaging, Analytics, Crashlytics) avec leur finalité, les régions configurées et les identifiants persistants émis. Précisez que les données peuvent être transférées sur l'infrastructure Google hors EEE au titre du Data Privacy Framework UE-US ou des SCC, et référencez le DPA Google Cloud.