Вграждане на Friendly Captcha съобразно GDPR

Friendly Captcha (friendlycaptcha.com, Friendly Captcha GmbH, Германия) се отказва от потребителски пъзели и проследяване: вместо взаимодействие браузърът решава на заден план изчислителна задача (Proof of Work). Сървърите се намират в ЕС.

Friendly Captcha следва различен подход от класическите CAPTCHA: няма пъзел с картинки и няма поведенчески анализ. Вместо това при зареждане на формуляра браузърът получава криптографска изчислителна задача, която решава на заден план. За хората това е невидимо, за бот мрежите масовото изпращане става изчислително интензивно и с това скъпо. Не се задават бисквитки и не се изгражда потребителски профил.

Голямото предимство за GDPR е местоположението на доставчика и хостингът: Friendly Captcha е германска компания и обработката според данните на доставчика се извършва в ЕС. С това отпада проблематиката с трети държави, която носят reCAPTCHA и hCaptcha. Договор за възлагане на обработката все пак е необходим, защото IP адресът се обработва по време на проверката на токена.

Трябва да се внимава за разликата между версиите: по-старите интеграции (v1) отчасти използваха други крайни точки и срокове за съхранение. Интеграцията v2 е разчетена за обработка в ЕС и по-кратко съхранение. При съществуваща интеграция си струва да се погледне в изходния код кой URL на скрипта и коя API крайна точка се използват реално, и да се направи сверка с актуалната документация на доставчика.

Това риск ли е?

Friendly Captcha е значително по-пестелив към данните от reCAPTCHA или hCaptcha, но не е напълно без обработка на данни: уиджетът зарежда скрипт от CDN на Friendly Captcha и браузърът се свързва с API за издаване и проверка на токена. При това се обработва IP адресът. Във версия 2 доставчикът рекламира обработка на данни в ЕС; точната интеграция (v1 срещу v2, крайна точка) трябва да се провери.

Какво можете да направите

• Да се използва актуалната версия на уиджета (v2) с крайна точка в ЕС и интеграцията да се провери спрямо документацията на доставчика.
• Скриптът да се зарежда само на страници с формуляри, в идеалния случай чрез Lazy Load при фокус върху формуляра.
• Да се сключи договор за възлагане на обработката (ДВОД) с Friendly Captcha GmbH.
• Friendly Captcha да се посочи в декларацията за поверителност с цел (защита от ботове), правно основание (по правило законен интерес / необходимост) и указание за краткотрайната обработка на IP.

Често задавани въпроси

Нуждае ли се Friendly Captcha от банер за съгласие?

По правило не. Тъй като не се задават бисквитки, обработката се извършва в ЕС и защитата от ботове е необходима за желаното от потребителя изпращане на формуляра, използването обикновено може да се основе на § 25, ал. 2 TDDDG, съотв. чл. 6, ал. 1, б. „е“ GDPR.

Обработват ли се при Friendly Captcha лични данни?

Да, краткотрайно IP адресът по време на издаването и проверката на токена. Но не се задава траен идентификатор и не се изгражда профил. Необходим е ДВОД с доставчика.

Достъпен ли е Friendly Captcha за хора с увреждания?

Да. Тъй като няма визуални или звукови пъзели, отпада типичната бариера на CAPTCHA с картинки. Proof of Work тече автоматично на заден план.

Каква е разликата между Friendly Captcha v1 и v2?

v2 е разчетена за обработка на данни в ЕС, по-кратки срокове за съхранение и преработен уиджет. Съществуващите интеграции v1 трябва да се мигрират към v2 и декларацията за поверителност да се адаптира съответно.

Как помага consentglass

Безплатната проверка анализира предоставения HTML и показва кои услуги са вградени, разпозната ли е лентата за бисквитки и налични ли са връзките към поверителност и данни за контакт — с класификация към всяка констатация. Не замества правна консултация.