O hCaptcha está envolvido em transferências internacionais de dados.
Como a hCaptcha é uma empresa sediada nos EUA, a sua utilização em sítios Web na UE/EEE, no Reino Unido ou na Suíça envolve a transferência internacional de dados. Este facto desencadeia obrigações específicas do Capítulo V do RGPD e o controlo de Schrems II.
Os proprietários de sítios Web continuam a ser totalmente responsáveis pela conformidade com o RGPD.
A utilização do hCaptcha exige normalmente uma base jurídica válida e informações claras e acessíveis na sua política de privacidade e na faixa cookie que explica o serviço, os seus objectivos e os destinos dos dados.
hCaptcha RGPD: Andar na corda bamba da conformidade
A arquitetura do hCaptcha cria desafios de conformidade com o GDPR que o Friendly Captcha elimina por meio de um design que prioriza a privacidade.
Simplifique a sua conformidade com o RGPD com o Friendly Captcha
As alternativas CAPTCHA hospedadas na UE e que priorizam a privacidade, como o Friendly Captcha, podem simplificar significativamente a conformidade com o GDPR. Experimentar agora ›
Porque é que é importante pensar na conformidade com o RGPD do hCaptcha
O hCaptcha é um serviço CAPTCHA desenvolvido pela Intuition Machines, Inc., uma empresa com sede em Miami, Florida, EUA. O serviço hCaptcha é implementado em páginas de início de sessão, formulários de registo e formulários de contacto em todo o mundo para distinguir humanos de bots e proteger as aplicações Web contra abusos automatizados.
Introdução ao hCaptcha como imagem CAPTCHA fornecedor pode ser encontrado aqui.
Quando um utilizador encontra um widget hCaptcha, o serviço CAPTCHA processa normalmente várias categorias de dados que ser considerados dados pessoais ao abrigo do Regulamento Geral sobre a Proteção de Dados. Isto inclui :
Endereços IP
caraterísticas do dispositivo e do navegador
dados de interação do utilizador, tais como movimentos do rato e padrões de tempo,
informações sobre a resposta ao desafio.
Abaixo de Art. 4(1) DO RGPD, qualquer informação relativa a um ipessoa singular identificada ou identificável constitui um dado pessoal - e estes identificadores satisfazem claramente esse limiar.
Uma vez que a empresa-mãe do hCaptcha opera a partir dos Estados Unidos, qualquer utilização do hCaptcha num sítio Web da UE/EEE, do Reino Unido ou da Suíça normalmente resulta na transferência de dados para um país terceiro. Este facto desencadeia Obrigações do Capítulo V do RGPD, que exige que os responsáveis pelo tratamento assegurem um nível adequado de proteção dos dados pessoais que saem da União Europeia.
Mesmo quando o hCaptcha afirma dar prioridade à privacidade e minimizar o rastreio, os próprios operadores do sítio Web continuam a ser os responsáveis pelo controlo dos dados. Isto significa que o utilizador é responsável por garantir uma base jurídica adequada, fornecer transparência aos utilizadores e implementar princípios de minimização de dados, independentemente do que os materiais de marketing do fornecedor prometem.
Processamento de dados do hCaptcha: O que é recolhido?
Quando um utilizador se depara com um widget hCaptcha, o serviço hCaptcha processa uma combinação de dados técnicos, comportamentais e potencialmente relacionados com a conta.
Dados típicos que são recolhidos pelo hCaptcha
| Categoria de dados | Exemplos | Relevância do RGPD |
|---|---|---|
|
Identificadores de rede |
Endereços IP, cabeçalhos HTTP |
Dados pessoais ao abrigo do Art. 4(1) |
|
Dados do dispositivo/navegador |
Agente do utilizador, resolução do ecrã, plugins |
Pode permitir recolha de impressões digitais |
|
Sinais comportamentais |
Movimentos do rato, tempo de acionamento das teclas |
Dados de interação do utilizador para definição de perfis |
|
Resultados do desafio |
Respostas do puzzle, carimbos de data/hora |
Tratamento para fins de segurança |
|
Cookies/tokens |
Identificadores de sessão, marcadores de deteção de fraude |
Nos termos do RGPD, muitos destes identificadores são considerados dados pessoais e algumas técnicas de recolha de impressões digitais podem mesmo atingir o limiar da definição de perfis, tal como definido no n.º 4 do artigo 4. 4(4). Quando o hCaptcha processa dados de uma forma que avalia aspectos pessoais - prevendo se alguém é um bot com base em padrões de comportamento - isso constitui definição de perfis que exige uma justificação jurídica cuidadosa.
Vários princípios fundamentais do RGPD aplicam-se diretamente a qualquer utilização do hCaptcha e devem ser tidos em conta:
Minimização de dados (Art. 5(1)(c)): Processar apenas dados adequados, relevantes e limitados ao que é necessário
Limitação da armazenagem (nº 1, alínea e), do artigo 5º): Conservar os dados apenas durante o tempo necessário para os fins indicados
Integridade e confidencialidade (nº 1, alínea f), do artigo 5º): Aplicar medidas de segurança adequadas.
O que devem fazer os operadores de sítios Web?
Para estabelecer os acordos de processamento de dados adequados e compreender que dados são recolhidos, é necessário aconselhamento e conhecimentos especializados. Mudar para um serviço CAPTCHA alternativo, como Friendly Captcha, que minimiza a recolha de dados e evita transferências internacionais, é sem dúvida uma opção mais rápida e eficaz.
hCaptcha e transferências internacionais de dados ao abrigo do RGPD
O Acórdão Schrems II de 16 de julho de 2020 (Processo C-311/18) alterou fundamentalmente a forma como os responsáveis pelo tratamento da UE devem avaliar as transferências de dados pessoais para países terceiros, incluindo os Estados Unidos. O Tribunal de Justiça da União Europeia (TJUE) invalidada o Escudo de Proteção da Privacidade UE-EUA e confirmou que instrumentos como as Cláusulas Contratuais-tipo (CCP) continuam a ser válidos apenas se os controladores avaliarem, caso a caso, se o país de destino assegura um nível de proteção essencialmente equivalente.
Mecanismos de transferência de corrente para o hCaptcha
De acordo com as declarações públicas do hCaptcha, a Intuition Machines participa na recolha de dados UE-EUA. Quadro de privacidade (DPF), incluindo a Extensão do Reino Unido e a DPF Suíça-EUA. Na sequência da decisão de adequação da Comissão Europeia decisão para o DPF UE-EUA em julho de 2023, isto pode servir como um mecanismo de adequação para transferências de dados pessoais do EEE para a Intuition Machines onde o DPF se aplica.
No entanto, os controladores devem ainda determinar:
se a sua utilização específica do hCaptcha (nível de produto, configuração e pontos finais) está abrangida pela certificação DPF da Intuition Machines e,
se também se baseiam em cláusulas contratuais-tipo e/ou salvaguardas adicionais no âmbito da sua avaliação de impacto das transferências Schrems II.
A DPF ainda não foi testada pelo TJUE, e os defensores da privacidade já anunciaram potenciais desafios legais (“Schrems III”). Além disso, as certificações da DPF exigem renovação anual. Autoridades de controlo, incluindo Baía da BavieraLDA, A Comissão Europeia, em nome da Comissão Europeia, alertou para o facto de a implantação de serviços CAPTCHA baseados nos EUA sem salvaguardas sólidas em matéria de transferências poder ser problemática, dado que os endereços IP e os dados dos dispositivos podem ser acessíveis às autoridades dos EUA ao abrigo de leis que não correspondem totalmente às protecções do EEE, como a FISA 702.
Consentimento, interesse legítimo e retenção de dados: Porque é que a conformidade com o RGPD da hCaptcha é uma aposta
Os responsáveis pelo tratamento devem estabelecer uma base jurídica válida ao abrigo de Art. 6 do RGPD antes de proceder ao tratamento de dados pessoais. Os debate sobre a conformidade do hCaptcha centra-se consistentemente em duas opções: consentimento e interesses legítimos.
hCaptcha & Consentimento: A opção mais “segura”?
Como hCaptcha define cookies não essenciais, utiliza browser fingerprinting ou perfis comportamentais e transfere dados pessoais para os Estados Unidos, então consentimento explícito nos termos do Art. 6(1)(a) do RGPD - e potencialmente Art. 49(1)(a) do RGPD para as transferências internacionais - é frequentemente apresentada como a base jurídica “mais segura”. Mas este enquadramento merece ser analisado.
O consentimento ao abrigo do RGPD não é uma formalidade de uma caixa de verificação. Tem de o ser:
Livremente dado - sem coação, sem penalizações ocultas
Específico - ligados a objectivos de tratamento claramente definidos
Informado - transparência na utilização e transferência de dados
Sem ambiguidade - apenas opt-in ativo
Anterior - obtido antes de quaisquer pedidos são acionados
Retirável - tão fácil de revogar como de dar
Na prática, o cumprimento destas normas é exigente - especialmente porque o hCaptcha carrega automaticamente na visita à página ou transfere dados para o estrangeiro.
Isto levanta uma questão estrutural: Se uma ferramenta de proteção de bots requer fluxos de consentimento complexos e divulgações de transferências internacionais para ser legal, é de facto privacidade desde a conceção?
hCaptcha e interesse legítimo
Algumas organizações tentam justificar a proteção de garrafas com base em interesses legítimos (art. 6.º, n.º 1, alínea f), do RGPD), mas as autoridades de proteção de dados examinam cada vez mais esta abordagem.
O argumento do interesse legítimo exige um teste de equilíbrio documentado e enfrenta desafios quando o rastreio se estende para além dos objectivos de segurança pura, quando se utilizam impressões digitais extensivas ou quando estão envolvidas transferências internacionais de dados. Um argumento Avaliação do interesse legítimo (LIA) devem separar claramente a segurança da análise ou da rentabilização, demonstrar a sua estrita necessidade e limitar o âmbito do tratamento.
A ideia básica do hCaptcha era utilizar os testes do CAPTCHA para fins de aprendizagem automática da empresa-mãe. O hCaptcha utiliza os dados de proteção de bots para dois fins: segurança e formação de modelos de aprendizagem automática. Por conseguinte, o hCaptcha pode ter dificuldade em sustentar argumentos de interesse legítimo.
A história triste do hCaptcha Cookies
O Diretiva Privacidade e Comunicações Electrónicas - implementada através de leis nacionais como a TTDSG da Alemanha ou a Lei Informatique et Libertés de França - exige normalmente o consentimento prévio para o cookies não essencial e para muitas tecnologias de rastreio. Isto aplica-se plenamente ao hCaptcha, uma vez que armazena informações sobre os dispositivos dos utilizadores ou acede a informações dos dispositivos para além do estritamente necessário.
Se utilizar uma plataforma de gestão de consentimento (também conhecida como cookie banner), esta deve apresentar hCaptcha claramente para estar em conformidade com o RGPD, o que significa nomear o fornecedor, declarar a finalidade, listar os tipos de dados, divulgar os destinos e fornecer escolhas claras.
Os utilizadores devem poder recusar o hCaptcha a partir da primeira camada do banner, sem ser empurrado ou enfrentar “padrões escuros”. Uma recusa deve impedir todos os pedidos aos domínios hCaptcha e parar completamente o carregamento dos seus scripts, o que pode causar o mau funcionamento do sítio Web e impedir os utilizadores de acederem aos formulários.
O mesmo se aplica a retirada do consentimento, que o RGPD exige que seja tão fácil como dar o consentimento. Deve existir uma funcionalidade que desactive o hCaptcha cookies existente e interrompa os pedidos de hCaptcha até que o consentimento seja obtido novamente.
A conformidade com o RGPD é obviamente mais fácil com um CAPTCHA ferramenta que não armazena cookies. Friendly Captcha faz exatamente isso - experimentar.
hCaptcha e o dilema da conservação de dados
De acordo com o RGPD, a predefinição para os registos do CAPTCHA deve ser “tão breve quanto possível”. Os fornecedores de serviços do CAPTCHA podem conservar os dados pessoais durante o tempo que for realmente necessário para uma finalidade específica: decisões de segurança imediatas (segundos a minutos), análise de incidentes e investigação de fraudes (dias a semanas) ou obrigações legais.
A conservação por tempo indeterminado é difícil de justificar nos termos do art. 5(1)(e) do RGPD. Se a hCaptcha conservar os dados durante mais tempo do que o necessário, enfrenta riscos de conformidade com o RGPD. E isto é muito difícil de controlar.
hCaptcha vs. Alternativas que dão prioridade à privacidade (incluindo Friendly Captcha)
Alcançar a conformidade com o 100% GDPR pode ser um desafio quando se utiliza o hCaptcha. O equilíbrio entre a eficácia da segurança, a experiência do utilizador e a complexidade da conformidade é um verdadeiro desafio para muitas organizações e clientes. Vamos comparar rapidamente as soluções CAPTCHA tradicionais e modernas no contexto do GDPR.
Desafios tradicionais do CAPTCHA
Sistemas CAPTCHA tradicionais - incluindo hCaptcha e Google reCAPTCHA - muitas vezes dependem:
Seguimento comportamental nas interações da página
Cookies e identificadores persistentes
Extensa recolha de telemetria
Pontuação de risco do lado do servidor com base em dados agregados do utilizador
Esta abordagem torna a conformidade com o RGPD mais complexa, especialmente para entidades do sector público da UE, organizações de cuidados de saúde e empresas que servem cidadãos da UE em sectores regulamentados. A combinação de processamento de dados pessoais, transferências internacionais de dados e potencial criação de perfis cria vários pontos de pressão de conformidade.
Friendly Captcha: Uma abordagem que dá prioridade à privacidade
O Friendly Captcha toma um abordagem fundamentalmente diferente para proteção contra bots. Em vez de rastrear o comportamento do utilizador ou exigir desafios CAPTCHA, como puzzles de imagem, que são prejudiciais para a acessibilidade global do sítio Web e excluem os utilizadores, utiliza puzzles de prova de trabalho que são resolvidos de forma invisível no browser do utilizador.
As principais vantagens da privacidade incluem:
| Caraterística | Benefício de privacidade |
|---|---|
|
Centros de dados da UE |
Os dados permanecem no Espaço Económico Europeu |
|
Não é necessário o cookies |
Reduz os requisitos de consentimento da privacidade eletrónica |
|
Sem rastreio comportamental |
Tratamento mínimo de dados pessoais |
|
Operação invisível |
Não são recolhidos dados de interação com o utilizador |
|
Não há ligação ad-ecosistema |
Dados não partilhados para fins publicitários |
|
Acessibilidade WCAG |
Funciona para utilizadores com deficiência (o Friendly Captcha tem certificação WCAG 2.2 AA) |
Esta arquitetura reduz significativamente o impacto da proteção de dados. Quando os dados nunca saem da UE, não há preocupações com a transferência Schrems II, não há necessidade de manter uma plataforma de gestão de consentimentos e a proteção de dados é substancialmente simplificada documentação.
Garanta a sua conformidade com o RGPD com o Friendly Captcha
A implantação do hCaptcha em sítios Web dirigidos à UE introduz Desafios reais à conformidade com o RGPD que não podem ser resolvidos apenas com as garantias do fornecedor. Enquanto responsável pelo tratamento de dados, é totalmente responsável por garantir um consentimento válido, documentar as transferências internacionais de dados, implementar mecanismos que garantam os direitos dos utilizadores e manter a transparência sobre os fluxos de dados para os Estados Unidos.
Embora o Quadro de Privacidade de Dados UE-EUA ofereça um potencial mecanismo de transferência, persiste o controlo regulamentar, A Comissão Europeia está a preparar um plano de ação para o hCaptcha, que exige que as organizações efectuem avaliações exaustivas do impacto da transferência e implementem anualmente salvaguardas suplementares. Garantir que as implementações hCaptcha permanecem em conformidade é complexo e requer recursos legais e técnicos contínuos. Isto inclui tudo, desde a gestão de consentimentos e limites de retenção até aos fluxos de trabalho de direitos dos utilizadores.
Para muitas organizações, especialmente as que pertencem a sectores regulamentados ou públicos, as alternativas que dão prioridade à privacidade, como Friendly Captcha oferecem um caminho mais simples manter os dados na UE, eliminação do rastreio comportamentale funcionamento sem cookies. Estas soluções reduzem drasticamente as despesas de conformidade, ao mesmo tempo que proporcionam uma proteção eficaz contra bots. Tentar Friendly Captcha como alternativa ao hCaptcha, gratuitamente durante 30 dias.
FAQ
Não, o hCaptcha não é totalmente compatível com o RGPD por defeito. Embora seja considerada uma alternativa mais favorável à privacidade do que o Google reCAPTCHA, os operadores de sítios Web deve ainda tomar medidas para cumprir o Regulamento Geral sobre a Proteção de Dados (RGPD).
Friendly Captcha é uma alternativa ao hCaptcha que está em conformidade com o RGPD desde a conceção. Experimente agora!
Se o consentimento explícito (opt-in através da faixa cookie) é sempre necessário para o hCaptcha não foi esclarecido de forma conclusiva em termos jurídicos, mas a utilização com consentimento é a opção mais segura.
O Friendly Captcha é um serviço CAPTCHA moderno que não necessita do cookies para funcionar, pelo que não é necessário consentimento e a proteção contra bots torna-se mais fácil. Experimentar com um teste gratuito de 30 dias.
Sim, tem de mencionar o hCaptcha nas suas políticas de privacidade e cookies. Esta secção deve explicar em linguagem simples a finalidade (proteção de bots, segurança), as categorias de dados processadas (endereço IP, dados do dispositivo, resultados do desafio), o destinatário (Intuition Machines, Inc., Miami, FL, EUA), as transferências internacionais e as salvaguardas aplicáveis, a sua base jurídica e os períodos de retenção e a forma como os utilizadores podem retirar o consentimento ou exercer os seus direitos
Os principais riscos incluem:
Controlo regulamentar: As DPAs podem questionar se as suas garantias de transferência são adequadas.
Ação de execução: Ordens para suspender as transferências ou mudar de fornecedor se as salvaguardas falharem.
Coimas: Até 4% do volume de negócios anual global por infracções graves.
Danos à reputação: Constatações públicas contra a sua organização.
Para atenuar estes riscos, conclua uma AIT documentada, implemente uma encriptação forte, configure o hCaptcha de forma restritiva e mantenha registos de conformidade abrangentes.
Em alternativa, considere soluções alojadas na UE como Friendly Captcha para evitar completamente cenários complexos de transferências para países terceiros.
Atualmente, muitas organizações combinam ou substituem os CAPTCHA visuais por modelos invisíveis e de baixo atrito. As abordagens modernas incluem puzzles de prova de trabalho que são desafios criptográficos resolvidos silenciosamente no browser, e pontuação de risco do lado do servidor.
Soluções como o Friendly Captcha são construídas em torno destas abordagens, fornecendo uma forte proteção contra abusos automatizados, ao mesmo tempo que reduzem a fricção do utilizador e a quantidade de dados pessoais processados. Para muitos serviços, Friendly Captcha representa um melhor equilíbrio entre segurança, facilidade de utilização e conformidade do que os desafios tradicionais do CAPTCHA.
English 
German 
French 
Spanish 
Italian 
Portuguese