Guide de conformité RGPD de TrustCaptcha

Conformité RGPD de TrustCaptcha

TrustCaptcha est conçu pour aider les organisations à protéger les formulaires, les connexions et les services numériques contre les abus automatisés tout en restant alignées sur les exigences du RGPD. Cette page explique notre approche des exigences du RGPD, ce que nous traitons, les contrôles que nous proposons, et ce que vous devez documenter de votre côté pour rester conforme.

La conformité RGPD d’un CAPTCHA renvoie aux implications du RGPD en matière de protection contre les bots. En pratique, la conformité au RGPD revient à bien appliquer les fondamentaux : finalité claire, base légale, transparence, minimisation, sécurité, discipline de conservation et cadre contractuel adéquat.

Ce que fait TrustCaptcha

TrustCaptcha distingue les humains des bots en générant une évaluation du risque (« trust score ») pour les interactions entrantes. Nous utilisons des signaux techniques et comportementaux pour détecter les schémas typiques du trafic automatisé, du credential stuffing, du scraping, du spam et d’autres usages abusifs.

Nous concevons TrustCaptcha pour réduire le risque en matière de vie privée tout en maintenant une sécurité efficace — afin que vous puissiez protéger les workflows critiques sans recourir à des approches fortement basées sur le suivi. (Art. 5(1)(c) RGPD)

Quand le RGPD s’applique-t-il à un CAPTCHA

Un CAPTCHA peut impliquer des données personnelles lorsque les informations traitées se rapportent à une personne identifiable — directement ou indirectement. Dans un environnement web classique, certains identifiants techniques et certaines données d’événements peuvent être considérés comme des données personnelles selon le contexte.

C’est pourquoi nous considérons les opérations de TrustCaptcha comme relevant du RGPD et fournissons les contrôles ainsi que la documentation que les clients attendent pour un déploiement conforme.

Rôles et responsabilités

Rôles de responsable du traitement et de sous-traitant

Dans la plupart des déploiements :

• Vous décidez d’utiliser ou non TrustCaptcha, des endroits où il s’exécute et de la raison pour laquelle il est utilisé (sécurité, prévention du spam, intégrité du service). Dans ce contexte, vous agissez en tant que responsable du traitement pour cette décision.
• Nous (TrustCaptcha) traitons certaines données pour fournir la fonctionnalité de protection contre les bots. Dans ce contexte, nous agissons en tant que sous-traitant, conformément à vos instructions telles que documentées dans le Data Processing Agreement (DPA). (Art. 28 RGPD)

Ce que cela signifie en pratique

• Vous documentez votre base légale, mettez à jour votre politique de confidentialité et déterminez comment TrustCaptcha s’intègre dans votre posture globale de conformité.
• Nous fournissons les engagements du sous-traitant, les mesures de sécurité, l’approche de conservation et les obligations d’assistance via notre DPA et nos contrôles opérationnels.

Quelles données TrustCaptcha traite

TrustCaptcha est conçu pour fonctionner sans utiliser ses propres cookies et sans construire de profils de suivi intersites. Nous nous concentrons sur les signaux qui soutiennent la décision de sécurité : « cette interaction est-elle probablement humaine ou relève-t-elle d’un abus automatisé ? »

Selon votre configuration et votre environnement, TrustCaptcha peut traiter des catégories telles que :

• Données de connexion et de requête : adresse IP, horodatage, en-têtes / informations de référent
• Données d’appareil et de navigateur : caractéristiques d’appareil / navigateur nécessaires à la détection des bots
• Signaux d’interaction : indicateurs comportementaux comme les schémas de clics et les mouvements de souris utilisés pour détecter l’automatisation
• Indicateurs de répétition : données permettant de détecter des schémas d’attaque, par exemple un grand nombre de CAPTCHA démarrés en peu de temps

Nous visons à maintenir un traitement limité à sa finalité (protection contre les bots uniquement) et minimisé en données (uniquement ce qui est nécessaire pour atteindre cette finalité). (Art. 5(1)(b) et Art. 5(1)(c) RGPD)

Limitation des finalités et minimisation des données

Le RGPD exige que les données personnelles soient collectées pour des finalités déterminées et limitées à ce qui est nécessaire. Notre approche est alignée sur cette attente :

• Finalité unique : prévenir les abus automatisés et protéger la disponibilité du service (Art. 5(1)(b) RGPD)
• Aucun usage « supplémentaire » : nous n’utilisons pas les données de TrustCaptcha pour constituer des audiences publicitaires ou des profils analytiques non liés (Art. 5(1)(b) RGPD)
• Minimisation : nous réduisons notre dépendance aux identifiants persistants et évitons tout stockage inutile (Art. 5(1)(c) RGPD)

Avis de minimisation des données : TrustCaptcha ne s’exécute que sur les endpoints qui ont besoin d’être protégés (connexion, réinitialisation de mot de passe, inscription, formulaires, checkout), plutôt que globalement sur chaque page. Cela permet une couverture complète avec un usage minimal des données. (Art. 5(1)(c) RGPD)

Base légale du traitement TrustCaptcha

Pour de nombreuses organisations, la protection contre les bots est légitimement fondée sur les intérêts légitimes (sécurité, prévention de la fraude, intégrité du service). C’est souvent la base la plus pratique lorsque le traitement est nécessaire pour protéger les systèmes et les utilisateurs, et lorsque des garanties limitent l’impact.

Ce que nous fournissons

• Une description claire de ce que fait TrustCaptcha et de la raison de son utilisation
• Un exemple de texte de politique de confidentialité que vous pouvez adapter
• Des contrôles favorisant une mise en balance à faible impact (minimisation, conservation courte, sécurité)

Ce que vous devez faire pour être conforme au RGPD

• Documenter votre choix de base légale (généralement consentement ou intérêts légitimes) (Art. 6 RGPD)
• Ajouter une mention relative au CAPTCHA dans votre politique de confidentialité (Art. 12–13 RGPD)
• Fournir aux utilisateurs une explication simple indiquant que TrustCaptcha est utilisé à des fins de sécurité et de prévention des abus (Art. 12–13 RGPD)

Transparence : ce qu’il faut divulguer dans votre politique de confidentialité

Les exigences de transparence du RGPD s’appliquent lorsque des données personnelles sont traitées. Nous soutenons cette transparence en fournissant des descriptions pratiques que vous pouvez intégrer dans votre documentation relative à la vie privée. (Art. 12 et 13 RGPD)

Une mention typique dans une politique de confidentialité concernant un CAPTCHA devrait couvrir :

• Le fait que vous utilisez un CAPTCHA (comme mesure anti-bot)
• La raison (protéger les formulaires / services contre le spam, les abus et les attaques automatisées)
• Les catégories de données susceptibles d’être traitées (des catégories générales suffisent généralement)
• La base légale (généralement intérêts légitimes ou consentement) (Art. 6 RGPD)
• La conservation (Art. 5(1)(e) RGPD)
• La manière dont les utilisateurs peuvent exercer leurs droits (votre moyen de contact) (Art. 12 et Art. 15–21 RGPD)

Nous recommandons de garder cette section courte et rédigée dans un langage clair, afin qu’elle soit facile à comprendre.

Limitation de la conservation : durée de conservation et suppression

TrustCaptcha supprime ou anonymise automatiquement les données dans une fenêtre de conservation définie, afin que les informations ne persistent pas plus longtemps que nécessaire à des fins de sécurité et de dépannage. (Art. 5(1)(e) RGPD)

Notre approche

• TrustCaptcha applique un nettoyage automatique aligné sur les besoins des opérations de sécurité.
• Nous mettons en place des contrôles de conservation afin que les données ne subsistent pas sans finalité.

Mesures de sécurité

Le RGPD exige des mesures techniques et organisationnelles appropriées. TrustCaptcha est conçu avec des contrôles de sécurité adaptés à la nature du service et aux risques liés au traitement destiné à prévenir les abus. (Art. 32 RGPD)

Notre posture de sécurité comprend des mesures telles que :

• Chiffrement en transit pour les transmissions de données
• Contrôles d’accès pour limiter qui peut accéder aux données opérationnelles
• Supervision opérationnelle pour détecter les incidents et y répondre
• Séparation des environnements et gestion rigoureuse des changements

Nous détaillons ces obligations et ces mesures dans notre DPA et dans la documentation associée.

Data Processing Agreement

TrustCaptcha fournit un DPA formel pour répondre aux exigences contractuelles du RGPD applicables aux sous-traitants. (Art. 28 RGPD) Le DPA vise à couvrir :

• Les instructions de traitement et le périmètre autorisé
• Les obligations de confidentialité
• Les mesures de sécurité
• Les conditions et contrôles applicables aux sous-traitants ultérieurs
• L’assistance en matière d’exercice des droits des personnes concernées
• L’assistance concernant les DPIA lorsque cela s’applique
• Les attentes en matière de restitution / suppression à la fin du service

Si vous déployez TrustCaptcha en production, vous devez vous assurer que le DPA est bien signé et conservé dans le cadre de vos dossiers de conformité.

Sous-traitants ultérieurs et transferts internationaux

Les transferts internationaux peuvent accroître de manière significative l’effort de conformité. TrustCaptcha est conçu autour d’opérations centrées sur l’UE afin de réduire la complexité des transferts. (Art. 44–49 RGPD)

Toutes les données CAPTCHA de TrustCaptcha sont traitées dans des centres de données situés dans l’UE.

Assistance concernant les droits des personnes concernées

En tant que responsable du traitement, vous restez responsable de répondre aux demandes des personnes concernées (accès, suppression, opposition, etc.). En tant que sous-traitant, TrustCaptcha prend en charge ces workflows comme décrit dans le DPA, y compris une assistance pratique. (Art. 15–17 et Art. 21 RGPD)

Étapes internes recommandées :

• Mettre en place une procédure simple pour identifier si des données TrustCaptcha sont concernées
• Acheminer les demandes via votre équipe en charge de la confidentialité pour un traitement cohérent
• Conserver une piste d’audit du traitement des demandes

Checklist de conformité RGPD pour les CAPTCHA

Configuration et documentation

• Le CAPTCHA est activé sur les routes qui nécessitent une protection contre les bots (par ex. connexion, formulaire de contact, newsletter)
• La finalité est définie (par ex. sécurité / prévention du spam et des abus) (Art. 5(1)(b) RGPD)
• Une base légale est choisie (généralement intérêts légitimes ou consentement) (Art. 6 RGPD)
• Documentation de la base légale si nécessaire

Transparence

• La politique de confidentialité inclut TrustCaptcha, la finalité, les catégories de données, la base légale et la conservation (Art. 12–13 RGPD ; Art. 5(1)(e) RGPD)
• Le texte affiché aux utilisateurs correspond au déploiement réel
• Les utilisateurs disposent d’informations suffisantes pour être informés (par ex. une notice courte sur la page CAPTCHA) (Art. 12–13 RGPD)

Contrats

• Le DPA de TrustCaptcha est archivé et conservé (Art. 28 RGPD)
• Les informations relatives aux sous-traitants ultérieurs sont documentées

Prochaines étapes

TrustCaptcha est conçu pour prendre en charge une protection contre les bots alignée sur le RGPD grâce à un traitement minimisé, des contrôles de sécurité robustes, une conservation rigoureuse et une documentation claire du sous-traitant. Le résultat de conformité le plus efficace provient de l’association de ces contrôles avec votre gouvernance interne : documenter la base légale, fournir des informations transparentes aux utilisateurs et maintenir des enregistrements cohérents.