Вбудовування Friendly Captcha відповідно до GDPR

Friendly Captcha (friendlycaptcha.com, Friendly Captcha GmbH, Німеччина) відмовляється від користувацьких головоломок і відстеження: замість взаємодії браузер у фоні розв'язує обчислювальне завдання (proof of work). Сервери розташовані в ЄС.

Friendly Captcha застосовує інший підхід, ніж класичні CAPTCHA: немає головоломки із зображеннями і немає аналізу поведінки. Натомість браузер під час завантаження форми отримує криптографічне обчислювальне завдання, яке розв'язує у фоні. Для людей це невидимо, для ботнетів масове надсилання стає обчислювально витратним і тим самим дорогим. Файли cookie не встановлюються, і профіль користувача не формується.

Велика перевага для GDPR — розташування постачальника й хостинг: Friendly Captcha — німецька компанія, а оброблення, за даними постачальника, відбувається в ЄС. Тим самим відпадає проблематика третіх країн, яку несуть reCAPTCHA та hCaptcha. Договір про оброблення даних усе ж потрібен, оскільки IP-адреса обробляється під час перевірки токена.

Слід зважати на різницю між версіями: старіші інтеграції (v1) частково використовували інші кінцеві точки та строки зберігання. Інтеграція v2 розрахована на оброблення в ЄС і коротше зберігання. За наявної інтеграції варто зазирнути у вихідний код, який URL скрипта і яка кінцева точка API насправді використовуються, і звірити з актуальною документацією постачальника.

Це ризик?

Friendly Captcha помітно економніша до даних, ніж reCAPTCHA або hCaptcha, але не зовсім без оброблення даних: віджет завантажує скрипт з CDN Friendly Captcha, і браузер звертається до API для видачі та перевірки токена. При цьому обробляється IP-адреса. У версії 2 постачальник рекламує оброблення даних у ЄС; точну інтеграцію (v1 проти v2, кінцева точка) слід перевірити.

Що ви можете зробити

• Використовувати актуальну версію віджета (v2) з кінцевою точкою в ЄС і перевірити інтеграцію за документацією постачальника.
• Завантажувати скрипт лише на сторінках з формами, в ідеалі через Lazy Load при фокусі на формі.
• Укласти договір про оброблення даних із Friendly Captcha GmbH.
• Зазначити Friendly Captcha в політиці конфіденційності з метою (захист від ботів), правовою підставою (як правило, законний інтерес / необхідність) і вказівкою на короткочасне оброблення IP.

Поширені запитання

Чи потрібен Friendly Captcha банер згоди?

Як правило, ні. Оскільки файли cookie не встановлюються, оброблення відбувається в ЄС, а захист від ботів потрібен для бажаного користувачем надсилання форми, використання здебільшого можна обґрунтувати § 25 абз. 2 TDDDG або ст. 6 абз. 1 п. «f» GDPR.

Чи обробляються у Friendly Captcha персональні дані?

Так, короткочасно IP-адреса під час видачі та перевірки токена. Але постійний ідентифікатор не встановлюється, і профіль не формується. Договір про оброблення з постачальником потрібен.

Чи доступна Friendly Captcha для людей з інвалідністю?

Так. Оскільки немає візуальних чи звукових головоломок, відпадає типовий бар'єр CAPTCHA із зображеннями. Proof of work виконується автоматично у фоні.

Яка різниця між Friendly Captcha v1 і v2?

v2 розрахована на оброблення даних у ЄС, коротші строки зберігання та перероблений віджет. Наявні інтеграції v1 слід перевести на v2 і відповідно адаптувати політику конфіденційності.

Як допомагає consentglass

Безкоштовна перевірка аналізує наданий HTML і показує, які сервіси вбудовано, чи виявлено банер cookie і чи є посилання на конфіденційність і контактні дані — з класифікацією для кожного висновку. Не замінює юридичну консультацію.