DataDome

Ce que fait DataDome

DataDome est une plateforme de détection de bots et de protection contre la fraude en ligne en temps réel. Le produit se déploie comme module CDN ou serveur web (Cloudflare Workers, Fastly Compute@Edge, AWS Lambda@Edge, Akamai EdgeWorkers, Nginx, Apache, connecteurs cloud natifs) et comme tag JavaScript côté client. Chaque requête est scorée en 2 millisecondes à partir de plus de 5 000 milliards de signaux par jour; les bots sont challengés, autorisés, bloqués ou envoyés vers un CAPTCHA. La plateforme propose aussi Account Protection (authentification continue), API Protection et Online Fraud detection en complément de la mitigation de base.

Cookies et empreinte

DataDome écrit un unique cookie de première partie nommé datadome (1 an, HTTPOnly, Secure) sur le domaine de l'éditeur. Le cookie stocke un jeton de session chiffré que l'edge DataDome utilise pour reconnaître le visiteur entre requêtes. Le tag JavaScript collecte une empreinte d'appareil (canvas, user agent, écran, audio context, WebGL) qui est envoyée aux serveurs de détection DataDome pour la décision bot. L'empreinte et l'IP ne sont conservées que le temps nécessaire à la décision sécurité et aux analytics de threat intelligence.

Intérêt légitime et exemption ePrivacy

Le cookie datadome et l'empreinte bénéficient de l'exemption de stricte nécessité de l'article 5(3) ePrivacy au titre des recommandations CNIL (2020) sur les cookies de sécurité et des lignes directrices 2/2023 du CEPD. Le traitement repose sur l'intérêt légitime au titre de l'article 6(1)(f) RGPD: la protection contre bots, credential stuffing, scraping et fraude est un objectif légitime de l'éditeur, et le visiteur peut raisonnablement attendre la présence d'une telle mesure. Le consentement n'est requis que si DataDome est utilisé au delà de la pure sécurité, par exemple pour alimenter un tableau de bord analytics ou fraude publicitaire.

Résidence UE et transferts US

DataDome propose un déploiement uniquement UE où le cluster de détection, les journaux et l'agrégation de threat intelligence restent en UE (Paris, Francfort, Irlande). Les équipes customer success et threat research à New York et Singapour peuvent accéder à des signatures bot anonymisées. Les clauses contractuelles types 2021 couvrent tout transfert incident et DataDome figure au EU US Data Privacy Framework. Comme société française, DataDome est directement soumis au RGPD avec la CNIL comme autorité chef de file.

Comment déployer DataDome en conformité

Signer l'addendum sous traitance DataDome, demander le déploiement uniquement UE, lister le cookie datadome dans la mention d'information dans la catégorie strictement nécessaire, documenter la mise en balance d'intérêt légitime, customiser la page challenge DataDome avec votre branding pour la transparence, configurer la rétention des journaux au minimum nécessaire et documenter le traitement de détection de bots au registre des traitements au titre de l'article 30 RGPD.