Cette page présente les principales informations de sécurité et de confidentialité de Firebase. Que vous souhaitiez lancer un nouveau projet avec Firebase ou que vous soyez curieux de savoir comment Firebase fonctionne avec votre projet existant, poursuivez votre lecture pour découvrir comment Firebase peut vous protéger, vous et vos utilisateurs.
Dernière modification : 25 juillet 2023
Protection des données
Prise en charge de Firebase pour le RGPD et le CCPA
Le 25 mai 2018, le règlement général sur la protection des données (RGPD) de l'UE a remplacé la directive européenne sur la protection des données de 1995. Le 1er janvier 2020, la California Consumer Privacy Act (CCPA) est entrée en vigueur. Le 1er janvier 2023, la California Privacy Rights Act (CPRA), qui est une loi sur la confidentialité des données qui modifie et développe la CCPA, est entrée en vigueur. Google s'engage à aider ses clients à respecter ces réglementations en matière de confidentialité, qu'il s'agisse de grands éditeurs de logiciels ou de développeurs indépendants.
Le RGPD impose des obligations aux contrôleurs de données et aux sous-traitants, et le CCPA/CPRA impose des obligations aux entreprises et à leurs prestataires de services. Les clients Firebase agissent généralement en tant que « contrôleur de données » (RGPD) ou « entreprise » (CCPA/CPRA) pour toutes les données personnelles ou informations sur leurs utilisateurs finaux qu'ils fournissent à Google dans le cadre de leur utilisation de Firebase, et Google agit généralement comme un « sous-traitant » (RGPD) ou un « fournisseur de services » (CCPA/CPRA).
Cela signifie que les données sont sous le contrôle du client. Les clients sont responsables d'obligations telles que le respect des droits d'un individu concernant ses données ou informations personnelles.
Conditions de traitement des données et de sécurité de Firebase
Lorsque les clients utilisent Firebase, Google est généralement un sous-traitant au sens du RGPD et traite les données personnelles en leur nom. De même, lorsque les clients utilisent Firebase, Google agit généralement en tant que fournisseur de services en vertu de la CCPA/CPRA et gère les informations personnelles en leur nom. Les termes Firebase incluent les conditions de traitement des données et de sécurité détaillant ces responsabilités.
Certains services Firebase régis par les conditions d'utilisation de Google Cloud Platform (GCP) sont déjà couverts par les conditions de traitement des données associées, l' addendum sur le traitement des données dans le cloud . Une liste complète des services Firebase actuellement régis par les conditions d'utilisation de GCP est disponible dans les conditions d'utilisation des services Firebase .
Google Analytics est un service distinct qui peut être utilisé avec Firebase et est soumis à des conditions distinctes .
Firebase est certifié selon les principales normes de confidentialité et de sécurité
Conformité ISO et SOC
Tous les services Firebase (à l'exception de l'indexation des applications) ont terminé avec succès le processus d'évaluation ISO 27001 et SOC 1 , SOC 2 et SOC 3 , et certains ont également terminé le processus de certification ISO 27017 et ISO 27018 . Les rapports de conformité et les certificats pour les services Firebase régis par les conditions d'utilisation de GCP peuvent être demandés via le gestionnaire de rapports de conformité.
| Nom du service | OIN 27001 | OIN 27017 | OIN 27018 | SOC1 | SOC2 | SOC3 |
|---|---|---|---|---|---|---|
| Firebase ML | ||||||
| Laboratoire de tests Firebase | ||||||
| Cloud Firestore | ||||||
| Fonctions cloud pour Firebase | ||||||
| Stockage cloud pour Firebase | ||||||
| Authentification Firebase | ||||||
| Firebase Crashlytics | ||||||
| Vérification de l'application Firebase | ||||||
| Distribution d'applications Firebase | ||||||
| Messagerie intégrée à l'application Firebase | ||||||
| Messagerie cloud Firebase | ||||||
| Surveillance des performances de Firebase | ||||||
| Hébergement Firebase | ||||||
| Liens dynamiques Firebase | ||||||
| Configuration à distance Firebase | ||||||
| Base de données en temps réel Firebase | ||||||
| Plateforme Firebase | ||||||
| Tests A/B Firebase |
Transferts de données internationaux
Les cadres du Bouclier de protection des données fournissent un mécanisme permettant de se conformer aux exigences en matière de protection des données lors du transfert de données personnelles de l'EEE, du Royaume-Uni ou de la Suisse vers les États-Unis et au-delà. À la lumière de l'arrêt de la Cour de justice de l'Union européenne sur les transferts de données, invalidant le bouclier de protection des données UE-États-Unis, Firebase a commencé à s'appuyer sur des clauses contractuelles types pour les transferts de données concernés, qui, selon l'arrêt, peuvent continuer à être un mécanisme juridique valide pour transférer des données en vertu du RGPD. La Commission européenne a approuvé le 4 juin 2021 de nouvelles versions des clauses contractuelles types, que nous intégrons dans nos contrats avec les clients Firebase pour les transferts de données concernés.
Nous nous engageons à disposer d'une base légale pour les transferts de données, conformément aux lois applicables en matière de protection des données.
Informations sur le traitement des données
Exemples de données d'utilisateur final traitées par Firebase
Certains services Firebase traitent les données de vos utilisateurs finaux pour fournir leur service. Le tableau ci-dessous présente des exemples de la manière dont divers services Firebase utilisent et traitent les données des utilisateurs finaux susceptibles d'être identifiées. De plus, de nombreux services Firebase offrent la possibilité de demander la suppression de données spécifiques ou de contrôler la manière dont les données sont traitées.
| Service Firebase | Données de l'utilisateur final | Comment les données contribuent à fournir le service |
|---|---|---|
| Fonctions cloud pour Firebase |
| Comment cela aide : Cloud Functions utilise des adresses IP pour exécuter des fonctions de gestion d'événements et des fonctions HTTP basées sur les actions de l'utilisateur final. Rétention : les fonctions Cloud enregistrent uniquement les adresses IP temporairement, pour fournir le service. |
| Authentification Firebase |
| Comment cela aide : Firebase Authentication utilise les données pour activer l'authentification de l'utilisateur final et faciliter la gestion des comptes d'utilisateur final. Il utilise également des chaînes d'agent utilisateur et des adresses IP pour fournir une sécurité supplémentaire et éviter les abus lors de l'inscription et de l'authentification. Rétention : l'authentification Firebase conserve les adresses IP enregistrées pendant quelques semaines. Il conserve d'autres informations d'authentification jusqu'à ce que le client Firebase lance la suppression de l'utilisateur associé, après quoi les données sont supprimées des systèmes en direct et de sauvegarde dans un délai de 180 jours. |
| Vérification de l'application Firebase |
| Comment cela aide : Firebase App Check utilise le matériel d'attestation requis par le fournisseur d'attestation correspondant et reçu des appareils de l'utilisateur final pour aider à établir l'intégrité de l'appareil et/ou de l'application. Les documents d'attestation sont envoyés au fournisseur d'attestation correspondant pour validation en fonction de la configuration du développeur. Les jetons App Check obtenus à partir d'attestations réussies sont envoyés avec chaque demande aux services Firebase pris en charge pour accéder aux ressources protégées par App Check. Conservation : le matériel d'attestation n'est pas conservé par App Check, mais lorsqu'il est envoyé aux fournisseurs d'attestation, il est soumis aux conditions de ces fournisseurs d'attestation. Les jetons App Check renvoyés par des attestations réussies sont valables pendant toute leur durée TTL, qui ne peut pas dépasser 7 jours. Pour les développeurs qui utilisent les fonctionnalités de protection contre la relecture, App Check stocke les jetons App Check utilisés avec ces fonctionnalités pendant 30 jours maximum. Les autres jetons App Check non utilisés avec les fonctionnalités de protection contre la relecture ne sont pas conservés par les services Firebase. |
| Distribution d'applications Firebase |
| Comment cela aide : Firebase App Distribution utilise les données pour distribuer les versions d'applications aux testeurs, surveiller l'activité des testeurs, activer les fonctionnalités des testeurs telles que les commentaires dans l'application et associer les données aux appareils des testeurs. Rétention : Firebase App Distribution conserve les informations utilisateur jusqu'à ce que le client Firebase demande leur suppression, après quoi les données sont supprimées des systèmes en direct et de sauvegarde dans un délai de 180 jours. |
| Messagerie cloud Firebase |
| Comment cela aide : Firebase Cloud Messaging utilise les ID d'installation de Firebase pour déterminer les appareils auxquels envoyer les messages. Rétention : Firebase conserve les ID d'installation de Firebase jusqu'à ce que le client Firebase effectue un appel d'API pour supprimer l'ID. Après l'appel, les données sont supprimées des systèmes en direct et de sauvegarde dans un délai de 180 jours. |
| Firebase Crashlytics |
| Comment cela aide : Firebase Crashlytics utilise les traces de la pile de plantages pour associer les plantages à un projet, envoyer des alertes par e-mail aux membres du projet et les afficher dans la console Firebase, et aider les clients Firebase à déboguer les plantages. Il utilise les UUID d'installation de Crashlytics pour mesurer le nombre d'utilisateurs touchés par un crash et les données minidump pour traiter les crashs du NDK. Les données du minidump sont stockées pendant le traitement de la session de crash, puis supprimées. L'ID d'installation de Firebase active les fonctionnalités à venir qui amélioreront les services de reporting et de gestion des accidents. Reportez-vous à Exemples d'informations sur l'appareil stockées pour plus de détails sur les types d'informations utilisateur collectées. Rétention : Firebase Crashlytics conserve les traces de pile de crash, les données de minidump extraites et les identifiants associés (y compris les UUID d'installation de Crashlytics et les ID d'installation de Firebase) pendant 90 jours avant de commencer le processus de suppression des systèmes actifs et de sauvegarde. |
| Liens dynamiques Firebase |
| Comment cela aide : Dynamic Links utilise les spécifications de l'appareil et les adresses IP sur iOS pour ouvrir les applications nouvellement installées sur une page ou un contexte spécifique. Rétention : Dynamic Links ne stocke que temporairement les spécifications des appareils et les adresses IP, pour fournir le service. |
| Hébergement Firebase |
| Comment cela aide-t-il : l'hébergement utilise les adresses IP des demandes entrantes pour détecter les abus et fournir aux clients une analyse détaillée des données d'utilisation. Rétention : L'hébergement conserve les données IP pendant quelques mois. |
| Surveillance des performances de Firebase |
| Comment cela aide : La surveillance des performances utilise les ID d'installation de Firebase pour calculer le nombre d'installations Firebase uniques qui accèdent aux ressources réseau, afin de garantir que les modèles d'accès sont suffisamment anonymes. Il utilise également les ID d'installation Firebase avec Firebase Remote Config pour gérer le taux de reporting des événements de performances. De plus, il utilise les adresses IP pour mapper les événements de performance aux pays d'où ils proviennent. Pour plus d'informations, voir Collecte de données . Rétention : La surveillance des performances conserve les événements associés à l'IP pendant 30 jours, ainsi que les données de performances associées à l'installation et anonymisées pendant 90 jours avant de commencer le processus de suppression des systèmes actifs et de sauvegarde. |
| Messagerie intégrée à l'application Firebase |
| Comment cela peut-il aider : La messagerie Firebase In-App utilise les ID d'installation Firebase pour déterminer les appareils auxquels envoyer les messages. Rétention : Firebase conserve les ID d'installation de Firebase jusqu'à ce que le client Firebase effectue un appel d'API pour supprimer l'ID. Après l'appel, les données sont supprimées des systèmes en direct et de sauvegarde dans un délai de 180 jours. |
| Base de données en temps réel Firebase |
| Comment cela aide : Realtime Database utilise des adresses IP et des agents utilisateurs pour activer l' outil de profilage , qui aide les clients de Firebase à comprendre les tendances d'utilisation et les pannes de la plate-forme. Rétention : Realtime Database conserve les adresses IP et les informations de l'agent utilisateur pendant quelques jours, à moins qu'un client ne choisisse de les conserver plus longtemps. |
| Configuration à distance Firebase |
| Comment cela aide : Remote Config utilise les ID d'installation de Firebase pour sélectionner les valeurs de configuration à renvoyer aux appareils des utilisateurs finaux. Rétention : Firebase conserve les ID d'installation de Firebase jusqu'à ce que le client Firebase effectue un appel d'API pour supprimer l'ID. Après l'appel, les données sont supprimées des systèmes en direct et de sauvegarde dans un délai de 180 jours. |
| Firebase ML |
| Comment cela aide : Les API basées sur le cloud stockent temporairement les images téléchargées, pour traiter et vous renvoyer l'analyse. Les images stockées sont généralement supprimées en quelques heures. Consultez la FAQ sur l'utilisation des données Cloud Vision pour plus d'informations. les jetons d'authentification d'installation sont utilisés par Firebase ML pour l'authentification des appareils lors de l'interaction avec des instances d'application, par exemple pour distribuer des modèles de développeur aux instances d'application. Rétention : les jetons d'authentification d'installation restent valides jusqu'à leur date d'expiration. La durée de vie par défaut du jeton est d'une semaine. |
Exemples d'informations collectées par Crashlytics
- Un UUID RFC-4122 qui permet de dédupliquer les crashs
- L'UUID d'installation de Crashlytics
- L'ID d'installation Firebase (FID)
- L'ID de session Firebase, qui est un UUID aléatoire généré pour marquer les événements avec une session
- L'horodatage du moment où l'accident s'est produit
- L'identifiant du bundle de l'application et le numéro de version complet
- Le nom du système d'exploitation et le numéro de version de l'appareil
- Un booléen indiquant si l'appareil a été jailbreaké/rooté
- Le nom du modèle de l'appareil, l'architecture du processeur, la quantité de RAM et l'espace disque
- Le pointeur d'instruction uint64 de chaque image de chaque thread en cours d'exécution
- Si disponible dans le runtime, la méthode en texte brut ou le nom de fonction contenant chaque pointeur d'instruction.
- Si une exception a été levée, le nom de classe en texte brut et la valeur du message de l'exception
- Si un signal fatal a été émis, son nom et son code entier
- Pour chaque image binaire chargée dans l'application, son nom, son UUID, sa taille en octets et l'adresse de base uint64 à laquelle elle a été chargée dans la RAM
- Un booléen indiquant si l'application était ou non en arrière-plan au moment où elle a planté
- Une valeur entière indiquant la rotation de l'écran au moment du crash
- Un booléen indiquant si le capteur de proximité de l'appareil a été déclenché
- Le contenu de
version-control-info.textproto(uniquement pour les applications Android configurées pour utiliser l'intégration du système de contrôle de version (VCS) )
Exemples d'informations collectées par Performance Monitoring
- L'ID d'installation Firebase (FID)
- L'ID de session Firebase, qui est un UUID aléatoire généré pour marquer les événements avec une session
- Informations générales sur l'appareil, telles que le modèle, le système d'exploitation et l'orientation
- RAM et taille du disque
- l'utilisation du processeur
- Opérateur (basé sur le pays mobile et le code réseau)
- Informations radio/réseau (par exemple, WiFi, LTE, 3G)
- Pays (basé sur l'adresse IP)
- Paramètres régionaux/langue
- Version de l'application
- État de premier plan ou d’arrière-plan de l’application
- Nom du package d'application
- ID d'installation Firebase
- Durées des traces automatisées
- URL du réseau (sans compter les paramètres d'URL ou le contenu de la charge utile) et les informations correspondantes suivantes :
- Codes de réponse (par exemple, 403, 200)
- Taille de la charge utile en octets
- Temps de réponse
Consultez la liste complète des traces automatiques collectées par Performance Monitoring.
Guides pour activer l'adhésion au traitement des données des utilisateurs finaux
Les services du tableau ci-dessus ont besoin d'une certaine quantité de données d'utilisateur final pour fonctionner. Par conséquent, il n'est pas possible de désactiver entièrement la collecte de données lors de l'utilisation de ces services.
Si vous êtes un client qui souhaite offrir aux utilisateurs la possibilité d'adhérer à un service et à la collecte de données qui l'accompagne, dans la plupart des cas, il suffit d'ajouter une boîte de dialogue ou de basculer les paramètres avant d'utiliser le service.
Certains services démarrent cependant automatiquement lorsqu’ils sont inclus dans une application. Pour donner aux utilisateurs la possibilité de s'inscrire avant d'utiliser ces services, vous pouvez choisir de désactiver l'initialisation automatique pour chaque service et de les initialiser manuellement au moment de l'exécution. Pour savoir comment procéder, lisez les guides ci-dessous :
- Messagerie cloud : empêcher l'initialisation automatique (Android) ou empêcher l'initialisation automatique (iOS+)
- Crashlytics : Activer les rapports d'inscription (iOS+) ou Activer les rapports d'inscription (Android)
- Surveillance des performances : activer la surveillance opt-in
Si vous intégrez Firebase à Google Analytics, découvrez comment configurer la collecte de données Analytics .
Lieux de stockage et de traitement des données
À moins qu'un service ou une fonctionnalité ne propose la sélection de l'emplacement des données, Firebase peut traiter et stocker vos données partout où Google ou ses agents disposent d'installations. Les emplacements potentiels des installations varient selon le service.
Services réservés aux États-Unis
Le service d'authentification Firebase est exécuté uniquement à partir des centres de données américains. Par conséquent, Firebase Authentication traite les données exclusivement aux États-Unis.
Services mondiaux
La majorité des services Firebase fonctionnent sur l'infrastructure mondiale de Google. Ils pourraient traiter les données dans n'importe quel emplacement de Google Cloud Platform ou dans n'importe quel centre de données Google . Pour certains services, vous pouvez effectuer une sélection spécifique de l'emplacement des données qui limite le traitement à cet emplacement.
- Stockage cloud pour Firebase
- Cloud Firestore
- Fonctions cloud pour Firebase
- Hébergement Firebase
- Firebase Crashlytics
- Surveillance des performances de Firebase
- Liens dynamiques Firebase
- Configuration à distance Firebase
- Messagerie cloud Firebase
- Firebase ML
- Laboratoire de tests Firebase
- Vérification de l'application Firebase
Information de sécurité
Cryptage des données
Les services Firebase chiffrent les données en transit à l'aide de HTTPS et isolent logiquement les données des clients.
De plus, plusieurs services Firebase chiffrent également leurs données au repos :
- Cloud Firestore
- Fonctions cloud pour Firebase
- Stockage cloud pour Firebase
- Firebase Crashlytics
- Authentification Firebase
- Messagerie cloud Firebase
- Base de données en temps réel Firebase
- Laboratoire de tests Firebase
- Vérification de l'application Firebase
- Surveillance des performances de Firebase
Pratiques de sécurité
Pour assurer la sécurité des données personnelles, Firebase utilise des mesures de sécurité étendues pour minimiser l'accès :
- Firebase restreint l'accès à certains employés ayant pour objectif commercial d'accéder aux données personnelles.
- Firebase enregistre l'accès des employés aux systèmes contenant des données personnelles.
- Firebase autorise uniquement l'accès aux données personnelles aux employés qui se connectent avec Google Sign-In et l'authentification à 2 facteurs .
Données du service Firebase
Les données du service Firebase sont des informations personnelles que Google collecte et génère lors de la fourniture et de l'administration des services Firebase * , à l'exclusion des données client ** telles que définies dans nos contrats clients couvrant les services Firebase et les données du service Google Cloud . Les exemples de données de service Firebase incluent des informations sur l'utilisation du service, des identifiants de ressources tels que les ID d'application et les noms de packages/ID de bundle, des détails techniques et opérationnels d'utilisation tels que les adresses IP et les communications directes avec les développeurs à partir des commentaires et des conversations liées à l'assistance.
*Les services couverts incluent Firebase A/B Testing, Firebase App Check, Firebase App Distribution, Firebase Cloud Messaging, Firebase Crashlytics, Firebase Dynamic Links, Firebase Hosting, Firebase In-App Messaging, Firebase ML, Firebase Performance Monitoring, Firebase Realtime Database, Firebase. Configuration à distance et stockage de segmentation utilisateur Firebase.
**Pour plus d'informations sur la manière dont nous traitons les données client, consultez nos conditions de traitement et de sécurité des données Firebase .
Exemples de la façon dont les données du service Firebase sont traitées par Firebase
Google utilise les données du service Firebase conformément à notre politique de confidentialité et aux conditions applicables. Les données du service Firebase sont utilisées, par exemple, pour :
- Fournir les services Firebase que vous demandez
- Faire des recommandations pour optimiser l'utilisation des services Firebase
- Maintenir et améliorer les services Firebase
- Fournir et améliorer les autres services que vous demandez
- Comprendre votre utilisation de Firebase et d'autres services Google
- Mieux vous accompagner et communiquer avec vous
- Protégez-vous, nos utilisateurs, le public et Google
- Respecter les obligations légales
Utilisation des données du service Firebase par les services Google non Firebase
Vous pouvez contrôler si vos données de service Firebase peuvent être utilisées par Google pour fournir une analyse, des informations et des recommandations plus approfondies sur les services Google non Firebase et améliorer les services Google non Firebase . Vous pouvez configurer cela dans votre page des paramètres de confidentialité des données Firebase.
Si ce contrôle est désactivé, les données du service Firebase continueront à être utilisées à d'autres fins, telles que celles mentionnées ci-dessus, conformément à notre politique de confidentialité et aux conditions applicables, notamment pour formuler des recommandations sur et améliorer les services Firebase , et pour fournir et améliorer d'autres les services que vous demandez, tels que les produits Google que vous associez à votre projet Firebase.
Vous avez encore des questions ? Contactez-nous
Pour toute question relative à la confidentialité qui n'est pas abordée ici, contactez l'assistance Firebase . Si vous êtes un développeur Firebase, incluez votre identifiant d'application Firebase. Recherchez votre identifiant d'application Firebase dans la carte Vos applications de vos Paramètres du projet .