Встраивание Friendly Captcha в соответствии с GDPR

Friendly Captcha (friendlycaptcha.com, Friendly Captcha GmbH, Германия) отказывается от пользовательских головоломок и отслеживания: вместо взаимодействия браузер решает в фоне вычислительную задачу (proof of work). Серверы находятся в ЕС.

Friendly Captcha придерживается иного подхода, чем классические CAPTCHA: нет головоломки с картинками и нет анализа поведения. Вместо этого при загрузке формы браузер получает криптографическую вычислительную задачу, которую решает в фоне. Для людей это невидимо, для ботнетов массовая отправка становится вычислительно затратной и тем самым дорогой. Файлы cookie не устанавливаются, и профиль пользователя не формируется.

Большое преимущество для GDPR — местонахождение поставщика и хостинг: Friendly Captcha — немецкая компания, и обработка, по данным поставщика, происходит в ЕС. Тем самым отпадает проблематика третьих стран, которую несут reCAPTCHA и hCaptcha. Договор об обработке по поручению всё же необходим, поскольку IP-адрес обрабатывается во время проверки токена.

Следует учитывать различие версий: более старые интеграции (v1) частично использовали другие конечные точки и сроки хранения. Интеграция v2 рассчитана на обработку в ЕС и более короткое хранение. При существующей интеграции стоит заглянуть в исходный код, какой URL скрипта и какая конечная точка API действительно используются, и сверить с актуальной документацией поставщика.

Это риск?

Friendly Captcha заметно экономнее к данным, чем reCAPTCHA или hCaptcha, но не совсем без обработки данных: виджет загружает скрипт с CDN Friendly Captcha, и браузер обращается к API для выдачи и проверки токена. При этом обрабатывается IP-адрес. В версии 2 поставщик рекламирует обработку данных в ЕС; точную интеграцию (v1 против v2, конечная точка) следует проверить.

Что вы можете сделать

• Использовать актуальную версию виджета (v2) с конечной точкой в ЕС и проверить интеграцию по документации поставщика.
• Загружать скрипт только на страницах с формами, в идеале через Lazy Load при фокусе на форме.
• Заключить договор об обработке данных по поручению с Friendly Captcha GmbH.
• Указать Friendly Captcha в политике конфиденциальности с целью (защита от ботов), правовым основанием (как правило, законный интерес / необходимость) и указанием на кратковременную обработку IP.

Частые вопросы

Нужен ли Friendly Captcha баннер согласия?

Как правило, нет. Поскольку файлы cookie не устанавливаются, обработка происходит в ЕС, а защита от ботов необходима для желаемой пользователем отправки формы, использование чаще всего можно основывать на § 25 абз. 2 TDDDG либо ст. 6 абз. 1 п. «f» GDPR.

Обрабатываются ли в Friendly Captcha персональные данные?

Да, кратковременно IP-адрес во время выдачи и проверки токена. Но постоянный идентификатор не устанавливается, и профиль не формируется. Договор об обработке по поручению с поставщиком необходим.

Доступна ли Friendly Captcha для людей с ограниченными возможностями?

Да. Поскольку нет визуальных или звуковых головоломок, отпадает типичный барьер CAPTCHA с картинками. Proof of work выполняется автоматически в фоне.

В чём разница между Friendly Captcha v1 и v2?

v2 рассчитана на обработку данных в ЕС, более короткие сроки хранения и переработанный виджет. Существующие интеграции v1 следует перевести на v2 и соответствующим образом адаптировать политику конфиденциальности.

Как помогает consentglass

Бесплатная проверка анализирует предоставленный HTML и показывает, какие сервисы встроены, обнаружен ли баннер cookie и есть ли ссылки на конфиденциальность и контактные данные — с классификацией для каждого вывода. Не заменяет юридическую консультацию.