Integrare Friendly Captcha in conformità al GDPR

Friendly Captcha (friendlycaptcha.com, Friendly Captcha GmbH, Germania) rinuncia a rompicapi per l'utente e al tracciamento: invece di un'interazione, il browser risolve in background un calcolo (proof of work). I server si trovano nell'UE.

Friendly Captcha segue un approccio diverso dai CAPTCHA classici: non c'è alcun rompicapo con immagini né alcuna analisi comportamentale. Invece, al caricamento del modulo, il browser riceve un calcolo crittografico che risolve in background. Per le persone è invisibile; per le botnet l'invio di massa diventa oneroso in termini di calcolo e quindi costoso. Non vengono impostati cookie e non viene creato alcun profilo utente.

Il grande vantaggio per il GDPR è la sede del fornitore e l'hosting: Friendly Captcha è un'azienda tedesca e il trattamento avviene nell'UE secondo il fornitore. Ciò elimina la problematica del paese terzo che reCAPTCHA e hCaptcha comportano. Un accordo sul trattamento dei dati è comunque necessario, perché l'indirizzo IP viene trattato durante la verifica del token.

Da tenere presente è la differenza di versione: le integrazioni più vecchie (v1) usavano in parte altri endpoint e periodi di conservazione. L'integrazione v2 è progettata per il trattamento nell'UE e una conservazione più breve. Per un'integrazione esistente vale la pena guardare nel codice sorgente quale URL dello script e quale endpoint API vengono effettivamente contattati, e confrontarlo con la documentazione attuale del fornitore.

È un rischio?

Friendly Captcha è nettamente più parsimonioso nei dati di reCAPTCHA o hCaptcha, ma non del tutto privo di trattamento di dati: il widget carica uno script dal CDN di Friendly Captcha e il browser contatta l'API per l'emissione e la verifica del token. In tale occasione viene trattato l'indirizzo IP. Nella versione 2 il fornitore pubblicizza il trattamento dei dati nell'UE; l'integrazione esatta (v1 vs. v2, endpoint) dovrebbe essere verificata.

Cosa puoi fare

• Usare la versione attuale del widget (v2) con l'endpoint UE e verificare l'integrazione rispetto alla documentazione del fornitore.
• Caricare lo script solo sulle pagine dei moduli, idealmente in lazy load al focus sul modulo.
• Stipulare un accordo sul trattamento dei dati (DPA) con Friendly Captcha GmbH.
• Nominare Friendly Captcha nell'informativa con la finalità (protezione antibot), la base giuridica (di norma legittimo interesse / necessità) e una nota sul breve trattamento dell'IP.

Domande frequenti

Friendly Captcha necessita di un banner di consenso?

Di norma no. Poiché non vengono impostati cookie, il trattamento avviene nell'UE e la protezione antibot è necessaria per l'invio del modulo richiesto dall'utente, l'uso può di solito basarsi sull'art. 25, comma 2 TDDDG o sull'art. 6, par. 1, lett. f GDPR.

Friendly Captcha tratta dati personali?

Sì, brevemente l'indirizzo IP durante l'emissione e la verifica del token. Ma non viene impostato alcun identificatore persistente e non viene creato alcun profilo. È necessario un DPA con il fornitore.

Friendly Captcha è accessibile?

Sì. Poiché non ci sono rompicapi visivi o sonori, viene meno la barriera tipica dei CAPTCHA con immagini. Il proof of work viene eseguito automaticamente in background.

Qual è la differenza tra Friendly Captcha v1 e v2?

La v2 è progettata per il trattamento dei dati nell'UE, periodi di conservazione più brevi e un widget rivisto. Le integrazioni v1 esistenti dovrebbero essere migrate alla v2 e l'informativa adeguata di conseguenza.

Come aiuta consentglass

La scansione gratuita verifica l'HTML fornito e mostra quali servizi sono integrati, se viene rilevato un banner cookie e se i link a privacy e note legali sono presenti — con inquadramento per ogni riscontro. Non sostituisce una consulenza legale.