Intégrer Friendly Captcha conformément au RGPD

Friendly Captcha (friendlycaptcha.com, Friendly Captcha GmbH, Allemagne) se passe d’énigmes pour l’utilisateur et de suivi : au lieu d’une interaction, le navigateur résout en arrière-plan un calcul (preuve de travail). Les serveurs se trouvent dans l’UE.

Friendly Captcha adopte une approche différente des CAPTCHAs classiques : il n’y a pas d’énigme d’image ni d’analyse comportementale. À la place, au chargement du formulaire, le navigateur reçoit un calcul cryptographique qu’il résout en arrière-plan. Pour les humains, c’est invisible ; pour les réseaux de bots, l’envoi en masse devient coûteux en calcul et donc onéreux. Aucun cookie n’est posé et aucun profil d’utilisateur n’est constitué.

Le grand avantage pour le RGPD est le lieu du fournisseur et l’hébergement : Friendly Captcha est une entreprise allemande, et le traitement a lieu dans l’UE selon le fournisseur. Cela supprime la problématique du pays tiers que comportent reCAPTCHA et hCaptcha. Un contrat de sous-traitance reste nécessaire, car l’adresse IP est traitée pendant la vérification du jeton.

Il faut prêter attention à la différence de version : les intégrations plus anciennes (v1) utilisaient parfois d’autres points de terminaison et durées de conservation. L’intégration v2 est conçue pour un traitement dans l’UE et une conservation plus courte. Pour une intégration existante, il vaut la peine de regarder dans le code source quelle URL de script et quel point de terminaison d’API sont réellement sollicités, et de comparer avec la documentation actuelle du fournisseur.

Est-ce un risque ?

Friendly Captcha est nettement plus économe en données que reCAPTCHA ou hCaptcha, mais pas totalement sans traitement de données : le widget charge un script depuis le CDN de Friendly Captcha et le navigateur contacte l’API pour l’émission et la vérification du jeton. L’adresse IP est traitée à cette occasion. Dans la version 2, le fournisseur met en avant un traitement des données dans l’UE ; l’intégration exacte (v1 vs. v2, point de terminaison) devrait être vérifiée.

Ce que vous pouvez faire

• Utiliser la version actuelle du widget (v2) avec le point de terminaison UE et vérifier l’intégration par rapport à la documentation du fournisseur.
• Ne charger le script que sur les pages de formulaire, idéalement en lazy load lors du focus sur le formulaire.
• Conclure un contrat de sous-traitance (DPA) avec Friendly Captcha GmbH.
• Nommer Friendly Captcha dans la politique de confidentialité avec la finalité (protection anti-bot), la base légale (en règle générale intérêt légitime / nécessité) et une mention du traitement bref de l’IP.

Questions fréquentes

Friendly Captcha nécessite-t-il un bandeau de consentement ?

En règle générale non. Comme aucun cookie n’est posé, que le traitement a lieu dans l’UE et que la protection anti-bot est nécessaire à l’envoi du formulaire souhaité par l’utilisateur, l’usage peut le plus souvent se fonder sur l’art. 25 al. 2 TDDDG ou l’art. 6 al. 1 let. f RGPD.

Friendly Captcha traite-t-il des données à caractère personnel ?

Oui, brièvement l’adresse IP pendant l’émission et la vérification du jeton. Mais aucun identifiant persistant n’est posé et aucun profil n’est constitué. Un contrat de sous-traitance avec le fournisseur est nécessaire.

Friendly Captcha est-il accessible ?

Oui. Comme il n’y a pas d’énigme visuelle ou sonore, la barrière typique des CAPTCHAs d’image disparaît. La preuve de travail s’exécute automatiquement en arrière-plan.

Quelle est la différence entre Friendly Captcha v1 et v2 ?

La v2 est conçue pour un traitement des données dans l’UE, des durées de conservation plus courtes et un widget revu. Les intégrations v1 existantes devraient être migrées vers la v2 et la politique de confidentialité adaptée en conséquence.

Comment consentglass aide

L'analyse gratuite vérifie le HTML livré et montre quels services sont intégrés, si une bannière cookies est détectée et si les liens vers la confidentialité et les mentions légales sont présents — avec un éclairage pour chaque constat. Elle ne remplace pas un conseil juridique.