Integrar Friendly Captcha de forma conforme al RGPD

Friendly Captcha (friendlycaptcha.com, Friendly Captcha GmbH, Alemania) prescinde de acertijos para la persona usuaria y de seguimiento: en lugar de una interacción, el navegador resuelve en segundo plano una tarea de cálculo (prueba de trabajo). Los servidores están en la UE.

Friendly Captcha sigue un enfoque distinto al de los CAPTCHA clásicos: no hay acertijo de imágenes ni análisis del comportamiento. En su lugar, al cargar el formulario, el navegador recibe una tarea de cálculo criptográfica que resuelve en segundo plano. Para las personas es invisible; para las redes de bots, el envío masivo se vuelve intensivo en cálculo y, por tanto, caro. No se fijan cookies ni se elabora un perfil de usuario.

La gran ventaja para el RGPD es la ubicación del proveedor y el alojamiento: Friendly Captcha es una empresa alemana y el tratamiento tiene lugar en la UE según el proveedor. Con ello desaparece la problemática del tercer país que traen consigo reCAPTCHA y hCaptcha. Aun así se necesita un contrato de encargo de tratamiento, porque la dirección IP se trata durante la verificación del token.

Hay que tener en cuenta la diferencia de versión: las integraciones más antiguas (v1) usaban en parte otros endpoints y plazos de conservación. La integración v2 está diseñada para el tratamiento en la UE y una conservación más corta. En una integración existente vale la pena mirar en el código fuente qué URL de script y qué endpoint de API se utilizan realmente, y contrastarlo con la documentación actual del proveedor.

¿Es un riesgo?

Friendly Captcha es claramente más frugal en datos que reCAPTCHA o hCaptcha, pero no del todo sin tratamiento de datos: el widget carga un script desde el CDN de Friendly Captcha y el navegador contacta con la API para emitir y verificar el token. En ese proceso se trata la dirección IP. En la versión 2, el proveedor anuncia un tratamiento de datos en la UE; conviene comprobar la integración concreta (v1 frente a v2, endpoint).

Qué puedes hacer

• Usar la versión actual del widget (v2) con el endpoint de la UE y comprobar la integración frente a la documentación del proveedor.
• Cargar el script solo en las páginas de formulario, idealmente con lazy load al enfocar el formulario.
• Firmar un contrato de encargo de tratamiento con Friendly Captcha GmbH.
• Nombrar Friendly Captcha en la política de privacidad con la finalidad (protección antibot), la base jurídica (por regla general interés legítimo / necesidad) y una nota sobre el tratamiento breve de la IP.

Preguntas frecuentes

¿Friendly Captcha necesita un banner de consentimiento?

Por regla general, no. Como no se fijan cookies, el tratamiento tiene lugar en la UE y la protección antibot es necesaria para el envío del formulario solicitado por la persona usuaria, el uso puede basarse en la mayoría de los casos en el art. 25.2 TDDDG o el art. 6.1.f RGPD.

¿Friendly Captcha trata datos personales?

Sí, brevemente la dirección IP durante la emisión y verificación del token. Pero no se fija ningún identificador persistente ni se elabora un perfil. Es necesario un contrato de encargo de tratamiento con el proveedor.

¿Friendly Captcha es accesible?

Sí. Como no hay acertijos visuales ni sonoros, desaparece la barrera típica de los CAPTCHA de imágenes. La prueba de trabajo se ejecuta automáticamente en segundo plano.

¿Cuál es la diferencia entre Friendly Captcha v1 y v2?

La v2 está diseñada para el tratamiento de datos en la UE, plazos de conservación más cortos y un widget revisado. Las integraciones v1 existentes deberían migrarse a la v2 y adaptar la política de privacidad en consecuencia.

Cómo ayuda consentglass

El análisis gratuito comprueba el HTML entregado y muestra qué servicios están integrados, si se detecta un banner de cookies y si hay enlaces a la privacidad y al aviso legal — con contexto para cada hallazgo. No sustituye el asesoramiento jurídico.