Google Sign-In

Ce qu'est Google Sign-In

Google Sign-In, présente aussi comme Se connecter avec Google, permet aux personnes de s'authentifier sur votre site avec leur compte Google existant. Il repose sur la bibliothèque Google Identity Services et propose un bouton, une fenêtre contextuelle et l'invite One Tap qui peut apparaître automatiquement. Après autorisation, Google renvoie un jeton d'identité contenant des détails de profil comme le nom, l'email et l'avatar.

Données et cookies concernés

Le chargement du script Identity contacte des domaines Google et expose l'adresse IP et l'agent utilisateur du visiteur. Le flux One Tap utilise un cookie première partie g_state pour mémoriser le rejet, tandis que les sessions authentifiées reposent sur des cookies de compte Google comme SID, HSID, SSID et NID déposés dans le contexte google.com. Les données de profil renvoyées après connexion sont des données personnelles dont vous devenez responsable.

Implications RGPD et ePrivacy

L'authentification que l'utilisateur lance volontairement peut reposer sur le contrat comme base légale, et les cookies de session nécessaires au maintien de la connexion sont strictement nécessaires. En revanche, charger automatiquement le script Identity et afficher One Tap avant toute action traite des données à des fins propres à Google et relève de l'article 5(3) de la directive ePrivacy, ce qui exige un consentement. Les deux situations doivent être traitées séparément.

Consentement et invite One Tap

N'affichez pas One Tap automatiquement et ne chargez pas le script Identity avant que le visiteur ait pu choisir. Déclenchez le script uniquement lorsque l'utilisateur clique sur un contrôle de connexion clairement libellé, ou conditionnez les invites automatiques à un consentement pour les fonctions fonctionnelles ou marketing. Veillez à ce que l'invite ne pousse pas à accepter, car un consentement non libre est invalide.

Transferts vers les États-Unis

Les données d'authentification et de profil sont traitées par Google aux États-Unis au titre du cadre de protection des données UE États-Unis et de clauses contractuelles types. Divulguez ce transfert dans votre politique de confidentialité, ne demandez que les autorisations réellement nécessaires et conservez les données de profil de manière sécurisée avec une durée définie. Considérez Google comme un responsable distinct pour les données liées au compte.

Étapes pratiques de conformité

Chargez le script Google Identity sur action de l'utilisateur ou après consentement, désactivez One Tap automatique à la première visite, demandez des autorisations minimales et décrivez la fonction de connexion, les cookies et le transfert vers les États-Unis dans vos politiques. Proposez une autre méthode de connexion pour ne pas imposer un compte Google et revoyez périodiquement les permissions demandées.