Heroku

Non. Heroku est une plateforme d'hébergement et ne pose pas de cookies sur les visiteurs publics des applications clientes. Les cookies présents sur un site hébergé sur Heroku proviennent du code de l'application ou de scripts tiers que l'application charge.

Non. L'hébergement et le routage HTTP n'écrivent pas d'information sur le terminal, la règle de consentement ePrivacy n'est donc pas déclenchée. Les obligations de consentement proviennent de l'application qui fonctionne sur Heroku, pas de Heroku lui même.

Pour l'hébergement et le routage de l'application, la base légale est l'intérêt légitime au sens de l'article 6, paragraphe 1, point f) du RGPD. Le contrat avec Heroku relève de l'article 6, paragraphe 1, point b) du RGPD. Les données personnelles stockées dans Heroku Postgres ou Heroku Connect suivent la base légale choisie par l'opérateur de l'application.

Heroku est exploité par Salesforce. Salesforce signe les Clauses Contractuelles Types européennes au sens de l'article 46, paragraphe 2, point c) du RGPD via son Addendum et confirme son adhésion au Data Privacy Framework UE États Unis. Les mesures complémentaires comprennent TLS 1.3, le chiffrement au repos, ISO 27001 et SOC 2 Type II, avec Heroku Shield pour les charges HIPAA et PCI.

Une AIPD n'est pas requise pour une application standard sur Heroku. Elle est recommandée lorsque l'application hébergée procède à un profilage systématique des utilisateurs européens, lorsque Heroku Postgres stocke de gros volumes de données personnelles, lorsque Heroku Shield est utilisé pour des charges HIPAA ou lorsque l'application cible des secteurs régulés.

Signez l'Addendum Salesforce, lancez la production en région eu-west-1 ou dans un Private Space à Francfort ou Dublin, configurez la rétention des logs, chiffrez les colonnes sensibles dans Heroku Postgres et inscrivez Heroku comme sous traitant dans le registre des activités de traitement. Mentionnez le transfert américain vers Salesforce dans la politique de confidentialité et auditez tout add on traitant des données personnelles.

Les alternatives européennes ou open source incluent Scaleway Serverless (France), Clever Cloud (France), Web PaaS d'OVHcloud (France), Render avec régions UE, Fly.io avec régions européennes, Coolify (auto hébergé, open source) et Kubernetes auto hébergé sur Hetzner ou Scaleway.

Listez Heroku (Salesforce) comme sous traitant d'hébergement, indiquez que l'application est déployée en région Irlande UE ou dans un Private Space, précisez que des données dont l'adresse IP peuvent être transférées aux États Unis sous CCT et Data Privacy Framework et renvoyez vers la Politique de confidentialité de Salesforce.