Netlify

Qu'est ce que Netlify et où s'intègre il dans une stack web

Netlify est l'un des pionniers de l'hébergement JAMstack. Il construit un site depuis un dépôt Git, distribue les actifs statiques via son edge network mondial, héberge des fonctions serverless et edge (Netlify Functions, Netlify Edge Functions) et propose des services intégrés pour les formulaires, l'identité et l'optimisation d'images. Netlify est largement utilisé pour des sites Next.js, Gatsby, Hugo, Astro, Eleventy et Nuxt, aussi bien pour des pages marketing que pour des applications SaaS complètes.

Données traitées par Netlify

Netlify traite l'adresse IP du visiteur, l'URL de la requête, la méthode HTTP, les en têtes (User Agent, Referer, cookies transmis), les paramètres TLS, la géolocalisation déduite et des métadonnées d'exécution lorsque des Functions traitent la requête. Les journaux d'accès et de fonctions sont conservés pour une durée définie. Netlify Analytics, lorsqu'il est activé, lit des données de requêtes agrégées depuis les serveurs d'edge sans poser de cookies. Netlify Forms conserve les soumissions dans le dashboard pour que le client les consulte.

Implications RGPD et ePrivacy

Les adresses IP traitées par Netlify sont des données personnelles au sens du RGPD. Netlify agit en sous traitant pour le client et en responsable pour des finalités limitées d'exploitation. L'hébergement et la diffusion CDN n'écrivant pas d'information sur le terminal, la règle de consentement ePrivacy n'est pas déclenchée et un consentement explicite n'est pas requis pour l'hébergement lui même. Netlify Analytics, côté serveur et sans cookies, reste compatible avec l'intérêt légitime mais doit être listé dans la politique de confidentialité. Netlify Identity, Netlify Forms et tout JavaScript personnalisé chargé via Netlify peuvent requérir leur propre base légale.

Transferts internationaux de données

Netlify opère un edge network mondial avec des points de présence en Europe, mais le plan de contrôle, le support client et les données de compte restent aux États Unis. Les transferts s'appuient sur l'Addendum Netlify au traitement, les Clauses Contractuelles Types européennes au sens de l'article 46, paragraphe 2, point c) du RGPD et le Data Privacy Framework UE États Unis, avec TLS 1.3, chiffrement au repos, SOC 2 Type II, ISO 27001 et contrôles HIPAA pour les clients entreprise. Netlify Functions peut être déployé dans des régions UE pour limiter les flux de données personnelles.

Étapes pratiques de conformité

Signez l'Addendum Netlify, documentez Netlify comme sous traitant dans le registre des activités de traitement, mentionnez Netlify Inc., la destination américaine et les garanties CCT et DPF dans la politique de confidentialité et configurez une rétention courte pour les journaux d'accès et de fonctions. Déployez Netlify Functions dans des régions UE lorsque c'est possible, conditionnez tout script non essentiel chargé via Netlify à une plateforme de gestion du consentement et passez en revue Netlify Forms pour traiter les données personnelles et leur conservation.