Le DPO valide un hébergement français « 100 % UE ». Le responsable technique active ensuite Cloudflare pour le cache et la protection DDoS — sans DPA, sans restriction région, journaux visibles depuis le tableau de bord américain. La résidence production est européenne ; la couche edge ne l'est pas.
La résidence européenne est une promesse sur toute la chaîne de traitement. Un CDN, un pare-feu applicatif managé ou un équilibreur global redistribue copies, journaux et parfois corps de requêtes — souvent oubliés dans le registre.
Les politiques de confidentialité copient-coller « nos données sont hébergées en France chez [hébergeur] » sans mentionner Cloudflare, reCAPTCHA ou Polylang analytics. Le DPO lit le registre ; l'utilisateur lit la politique ; l'auditeur trace le DNS. Les trois doivent raconter la même histoire — sinon la résidence UE est une fiction marketing.
Chaîne production → edge → journaux
| Maillon | Données typiques | Question résidence |
|---|---|---|
| Origin (hébergeur UE) | Fichiers, HTML, API | DC documenté |
| CDN edge | Cache, IP visiteurs | POP hors EEE ? |
| Journaux CDN | IP, URL, UA | Rétention où ? |
| WAF / lutte bots | Requêtes bloquées | Sous-traitant US ? |
| Support CDN | Tickets avec journaux | Accès global |
Encadrer un CDN sous RGPD
Signez un DPA avec le fournisseur CDN. Restreignez les régions si disponible (PoP UE uniquement). Minimisez les journaux : durée, anonymisation IP. Mettez à jour le registre : CDN = sous-traitant distinct de l'hébergeur. Réalisez une analyse de transfert si entité ou journaux hors EEE — voir Schrems II.
Certains hébergeurs intègrent un CDN européen — vérifiez si les journaux restent chez eux ou chez un tiers.
Scénarios A vs B
Scénario A — Strict UE : origin UE plus CDN avec PoP UE contractuels plus journaux UE plus pas de support US. Coût et performance edge parfois moindres — choix assumé.
Scénario B — Performance globale encadrée : CDN mondial plus clauses contractuelles types plus mesures complémentaires plus analyse d'impact documentée. Plus lourd juridiquement ; acceptable si justifié.
Comparez avec consentement cookies CDN si suivi couplé.
Audit DNS pratique
Depuis votre poste, résolvez le domaine public et notez les adresses IP des edges. Utilisez des outils de traçage de requêtes pour voir si le corps de réponse transite par un réseau hors UE. Demandez au CDN un export des régions activées sur votre compte — la carte marketing « présence mondiale » ne dit pas quelles zones sont actives pour vous.
En cas de client exigeant résidence stricte, archivez ces preuves avec le DPA : l'audit se joue sur des captures datées, pas sur une déclaration marketing.
Le DPO doit pouvoir répondre : où sont journalisées les IP aujourd'hui, combien de temps, qui y accède, sur quel fondement juridique. Sans réponse edge, la promesse « 100 % européen » s'effondre à la première question de due diligence.
Les clients B2B demandent de plus en plus un schéma de flux et la liste des sous-traitants y compris CDN. Intégrez cette cartographie dans votre processus commercial — pas seulement dans le registre interne après signature.
Le sommet : la promesse UE s'arrête au premier CNAME
C'est l'écart des politiques de confidentialité copiées-collées : origin ≠ parcours utilisateur.
Décider et avancer sans angle mort
Inventoriez d'abord tous les CNAME et proxys devant votre origin. Signez le DPA CDN et configurez le mode UE uniquement si requis. Mettez à jour registre et politique de confidentialité en conséquence. Testez en-têtes et résolution DNS pour voir où répond réellement l'edge. Comparez enfin les CDN européens via l'annuaire et le comparateur.
Questions fréquentes
CDN invalide résidence UE ?
Peut créer transferts et traitements hors EEE — analysez DPA, régions activées et contenu des journaux.
Quelles métadonnées le CDN voit-il ?
IP, URLs, en-têtes, cookies possibles, agent utilisateur, journaux sécurité — souvent données personnelles.
Limiter CDN à l'UE ?
Possible sur certaines offres — vérifiez contrat et configuration, pas les valeurs par défaut.
Hébergeur UE + Cloudflare gratuit ?
Possible avec DPA, clauses types et configuration UE — jamais automatique ni exempté d'analyse Schrems.
Tracez le CNAME avant de signer la promesse « 100 % européen » — c'est souvent là que partent les journaux.