Flagsmith
Flagsmith est une plateforme open source britannique de feature flags et configuration distante, concurrente de LaunchDarkly, Unleash et GrowthBook. Les équipes ingénierie l'utilisent pour déployer progressivement, tester des A/B et cibler des segments utilisateurs. Côté RGPD, Flagsmith est l'une des options les plus respectueuses : auto-hébergeable, SaaS UE disponible, et adéquation UE-UK qui simplifie les transferts.
Que fait Flagsmith ?
Qu'est-ce que Flagsmith
Flagsmith est une plateforme open source de feature flags et configuration distante d'une entreprise britannique. Les équipes ingénierie l'utilisent pour lancer progressivement, tester en A/B, segmenter et configurer à distance sans redéployer.
Quelles données Flagsmith traite
À l'évaluation, le SDK envoie un identifiant utilisateur (anonyme ou authentifié) et un ensemble de traits au serveur Flagsmith. Le serveur retourne les valeurs de flags applicables. Logs d'évaluation conservés pour audit. Aucun cookie navigateur par défaut.
Implications RGPD et ePrivacy
Flagsmith ne dépose pas de cookies, l'art. 5(3) ePrivacy ne s'applique pas. L'impact privacy vient des traits envoyés. Évitez les attributs sensibles sauf base art. 9 RGPD claire. Base légale : intérêt légitime.
Options d'hébergement
Trois options : (1) SaaS UK ; (2) SaaS UE (Francfort) ; (3) auto-hébergement Kubernetes/Docker. L'auto-hébergement élimine les flux tiers. La SaaS UK bénéficie de l'adéquation UE, pas de CCT nécessaire.
Considérations ingénierie
Documentez les traits utilisés par flag. Évitez les traits sensibles. Identifiants anonymes quand possible. Rétention de logs minimale. Process DSR pour supprimer les identités utilisateurs de Flagsmith.
Checklist de conformité pratique
1. Choisir l'hébergement (SaaS UE, UK ou auto-hébergé). 2. Signer DPA (SaaS). 3. Documenter dans le registre. 4. Auditer les traits, exclure les sensibles. 5. Configurer la rétention. 6. Intégrer Flagsmith au workflow DSR. 7. Divulguer Flagsmith dans la notice (SaaS).
Flagsmith et le RGPD
- Base légale
- Legitimate interest (Art. 6(1)(f) GDPR) for non-personalised flag evaluation; Consent (Art. 6(1)(a)) when flags are tied to behavioural identifiers used for product personalisation
- Niveau de risque
- low
- Textes applicables
- GDPR, ePrivacy Directive (only if behavioural identifiers are used)
Analyse d'impact (AIPD)
Flagsmith traite des identifiants utilisateur (anonymes ou authentifiés) et des traits (attributs de segmentation comme plan, pays, beta_user). Points clés : (1) l'impact privacy dépend des traits envoyés ; éviter les attributs sensibles sauf base art. 9 ; (2) l'auto-hébergement élimine les flux tiers ; (3) la SaaS UK bénéficie de l'adéquation UE ; (4) les logs d'évaluation conservent des identifiants ; politique de rétention nécessaire. AIPD allégée suffisante.
Exemple de texte pour votre bannière
Nous utilisons Flagsmith pour activer, désactiver ou tester des fonctionnalités sur notre site. Flagsmith évalue un identifiant utilisateur (anonyme ou ID compte) et des traits basiques (langue, plan) sur son infrastructure UK ou UE. Le Royaume-Uni bénéficie d'une décision d'adéquation UE donc les données sont protégées au niveau européen. Aucun cookie de tracking n'est déposé.
Ce que Flagsmith dépose et contacte
- Méthode de suivi
- Feature flag and remote configuration platform with JavaScript and server-side SDKs. Sends evaluation requests with user identifiers and trait attributes; can be self-hosted to avoid third-party data flows
- Localisation des serveurs
- Flagsmith Ltd., United Kingdom. SaaS infrastructure available in EU (Frankfurt) and US regions; full self-hosting option supported
- Mode sans cookie disponible
- Oui
- Transfert de données hors UE
- For Flagsmith SaaS, evaluation requests with user identifier and traits are sent to Flagsmith infrastructure. Customers can choose the EU region. The UK has an EU adequacy decision so transfers to Flagsmith UK do not require SCCs. Self-hosted deployment keeps all data on the customer's servers.
Domaines tiers contactés (4)
flagsmith.comapi.flagsmith.comedge.api.flagsmith.comapp.flagsmith.com
Questions fréquentes sur Flagsmith
Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite.
Flagsmith dépose-t-il des cookies ?
Non, par défaut Flagsmith ne dépose pas de cookies. Le SDK communique server-to-server ou via requêtes Ajax avec un identifiant utilisateur et des traits.
Faut-il un consentement utilisateur ?
Pas pour l'évaluation de flag elle-même. Si le flag est lié à un identifiant comportemental (cohort analytics), le tracking sous-jacent doit avoir le bon consentement.
Base légale ?
Intérêt légitime pour une évaluation basée sur des traits non sensibles. Pour traits sensibles, base art. 9 RGPD requise.
Transferts ?
SaaS UK : adéquation UE couvre sans CCT. SaaS UE : pas de transfert hors UE. Auto-hébergé : pas de transfert tiers.
AIPD ?
AIPD allégée suffisante. Complète si traits sensibles ou entité critique NIS2.
Déploiement conforme ?
Choisir SaaS UE/UK ou auto-hébergement, auditer les traits, anonymiser les identifiants quand possible, documenter dans le registre, configurer la rétention, intégrer au DSR.
Alternatives ?
UE-friendly : GrowthBook (US, open source auto-hébergeable), Unleash (Norvège, open source), ConfigCat (Hongrie). LaunchDarkly est le concurrent US dominant.
Mise à jour politique ?
Pour SaaS, divulguer Flagsmith Ltd. comme sous-traitant et la région UK/UE. Pour auto-hébergé, documenter Flagsmith comme mesure technique interne.
Mettez votre site en conformité aujourd'hui.
Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement.