Ocena skutków transferu danych

§1. Wprowadzenie i zakres

HumanKey (AI Traffic Intelligence) zapewnia wydawcom internetowym i operatorom e-commerce wykrywanie i klasyfikację crawlerów AI oraz innych zautomatyzowanych odwiedzających, a także analitykę ruchu. Do świadczenia usług HumanKey korzysta z ograniczonego grona podmiotów przetwarzających, z których część ma siedzibę poza EOG. Niniejsza ocena dokumentuje analizę wpływu tych transferów oraz środki uzupełniające stosowane przez HumanKey w celu zapewnienia poziomu ochrony zasadniczo równoważnego z RODO.

Niniejszy dokument należy czytać łącznie z Umową powierzenia przetwarzania danych, podsumowaniem Oceny skutków dla ochrony danych (DPIA) oraz listą podmiotów przetwarzających.

1.1 Podstawa prawna transferu

HumanKey opiera transfery danych na następujących mechanizmach z Rozdziału V RODO:

• Standardowe klauzule umowne (SCC). Standardowe klauzule umowne Komisji Europejskiej (Decyzja wykonawcza (UE) 2021/914) stanowią mechanizm domyślny dla transferów do podmiotów przetwarzających nieposiadających certyfikatu DPF.
• Ramy Ochrony Danych UE–USA (Data Privacy Framework). W przypadku podmiotów przetwarzających aktywnie certyfikowanych w ramach DPF, HumanKey opiera się na decyzji stwierdzającej odpowiedni stopień ochrony z 10 lipca 2023, stosując ją równolegle ze standardowymi klauzulami umownymi (a nie zamiast nich) jako obronę w głąb.

1.2 Zakres oceny

Ocena obejmuje każdy podmiot przetwarzający z opublikowanej listy HumanKey, który: (a) ma siedzibę poza EOG lub (b) jest kontrolowaną spółką zależną podmiotu macierzystego z siedzibą poza EOG i tym samym może podlegać procesom prawnym państw trzecich. Neon (Frankfurt), Railway (Amsterdam) i Sentry (region UE) przechowują dane produkcyjne HumanKey w obrębie EOG. Są to jednak podmioty inkorporowane w Stanach Zjednoczonych; wszelki dostęp do tych danych z terytorium Stanów Zjednoczonych (np. dostęp do płaszczyzny zarządzania lub dostęp serwisowy) jest objęty standardowymi klauzulami umownymi, dlatego podmioty te są objęte zakresem niniejszej oceny.

§2. Analiza kraju docelowego

Jedynym krajem docelowym transferów podmiotów przetwarzających HumanKey są Stany Zjednoczone Ameryki. Kategorie danych, cel, częstotliwość oraz mechanizm transferu zostały udokumentowane poniżej zgodnie z metodologią Aneksu 3 Rekomendacji EROD.

2.1 Stany Zjednoczone

Niniejsza ocena opiera się na publicznie dostępnych źródłach prawnych. Nie rozstrzyga toczącej się dyskusji o adekwatności prawa Stanów Zjednoczonych po wyroku Schrems II i nie stanowi porady prawnej.

§3. Środki uzupełniające

HumanKey stosuje techniczne, umowne oraz organizacyjne środki uzupełniające, aby zapewnić danym osobowym przekazywanym do amerykańskich podmiotów przetwarzających poziom ochrony zasadniczo równoważny z tym gwarantowanym przez RODO.

3.1 Środki techniczne

• Pseudonimizacja adresów IP na warstwie aplikacji. HumanKey pseudonimizuje adresy IP odwiedzających, zanim zostaną zapisane lub przekazane jakiemukolwiek podmiotowi przetwarzającemu do przechowywania lub analizy (z wyjątkiem krótkotrwałych liczników bezpieczeństwa), przy użyciu kluczowanego HMAC-SHA256 z tajnym kluczem i codziennie rotowaną solą. Klucz jest przechowywany oddzielnie od zapisanych danych, a rozwiązanie ma uniemożliwiać łączenie zapisów z różnych dni. Dostawcy warstwy brzegowej sieci (CDN, ochrona przed DDoS, hosting) z konieczności widzą adres IP w tranzycie, aby przekierować i chronić żądanie.
• Skracanie user-agent. Ciągi user-agent są skracane do 200 znaków przed zapisem, co ogranicza możliwości tworzenia odcisku palca urządzenia, zachowując jednocześnie sygnał potrzebny do klasyfikacji botów.
• Maskowanie danych wejściowych w nagraniach sesji (funkcja zawieszona). Rejestrator HumanKey maskuje pola haseł oraz każdy element oznaczony atrybutem data-privacy="mask" po stronie klienta, zanim zdarzenia zostaną przesłane do magazynu danych. Zamaskowana treść nigdy nie opuszcza przeglądarki odwiedzającego. Uwaga: nagrywanie sesji jest obecnie zawieszone we wszystkich planach (zastąpione przez Raporty Dowodów Botów / Bot Evidence Reports); kod potoku pozostaje zachowany, jednak jego ponowne włączenie wymagałoby wieloetapowej zmiany kodu, a nie przełącznika na żądanie.
• Jurysdykcja UE dla przechowywania nagrań sesji (funkcja zawieszona). Gdyby potok nagrywania sesji został kiedykolwiek ponownie włączony, przechowywałby zdarzenia w buckecie Cloudflare R2 skonfigurowanym z ograniczeniami jurysdykcji UE; odtwarzanie odbywałoby się za pośrednictwem API HumanKey, dzięki czemu bezpośredni URL bucketu nie byłby nigdy udostępniany przeglądarkom klientów. Potok nie jest aktywny w żadnym planie w następstwie naszego strategicznego przeglądu z 2025 r.
• Zminimalizowany przepływ danych do podmiotu AI. Każda funkcja AI przekazuje Anthropic wyłącznie niezbędne dane. Publiczny Asystent AI przekazuje tekst wpisany przez użytkownika, prompt systemowy przygotowany przez HumanKey oraz — w przypadku zalogowanych użytkowników — ogólny kontekst konta (np. poziom planu, liczbę witryn, korzystanie z funkcji, przedział wolumenu ruchu); nigdy nie przekazuje adresu e-mail, imienia i nazwiska, domeny, adresu IP ani identyfikatora sesji. Wpisany tekst zawiera dane osobowe tylko wtedy, gdy wprowadzi je użytkownik. Analityka doradcza i automatyczne rozpoznawanie botów przekazują zagregowane statystyki, ciągi User-Agent wizyt sklasyfikowanych jako zautomatyzowane oraz liczbowe cechy sesji pozbawione identyfikatorów — nigdy adresu IP, skrótu adresu IP ani identyfikatora sesji. Funkcje AI dla klienta (analizy ruchu, rekomendacje dotyczące crawlerów, zdanie w raporcie dziennym) przekazują zagregowane liczby wizyt dla strony i poszczególnych crawlerów oraz — zależnie od funkcji — domenę strony, jej publiczny plik robots.txt i ustawienia zezwoleń i blokad crawlerów.
• Krótkotrwałe tokeny uwierzytelniające. Krótkotrwałe tokeny dostępu z automatyczną rotacją tokenów odświeżających.
• Szyfrowanie w tranzycie i w spoczynku. TLS 1.2 lub wyższy z HSTS dla całego transportu; AES-256 w spoczynku poprzez zarządzaną platformę bazodanową.

3.2 Środki umowne

• Podstawa przekazania danych każdemu podmiotowi przetwarzającemu jest wskazana w jego wpisie na liście podmiotów przetwarzających HumanKey.
• Przed dodaniem lub zastąpieniem podmiotu przetwarzającego dane Administratora Administrator jest informowany z wyprzedzeniem e-mailem i na stronie rejestru i może wnieść sprzeciw (umowa powierzenia, pkt 5.4).
• Prawo do informacji i audytu zgodnie z pkt 5.8 umowy powierzenia.
• Wsparcie w wykonywaniu obowiązków dotyczących naruszeń ochrony danych osobowych zgodnie z pkt 5.6 umowy powierzenia (art. 33 ust. 2 RODO).
• Doradczy podmiot AI (Anthropic) przechowuje dane wejściowe i wyjściowe przez maksymalnie 30 dni do celów bezpieczeństwa, po czym co do zasady je usuwa (z zastrzeżeniem ograniczonych wyjątków dotyczących bezpieczeństwa), i nie wykorzystuje ich do trenowania swoich modeli.

3.3 Środki organizacyjne

• Publikowana lista podmiotów przetwarzających utrzymywana jako jedyne źródło prawdy, aktualizowana przed dodaniem lub zastąpieniem podmiotu przetwarzającego dane Administratora, z wcześniejszą informacją dla posiadaczy kont (umowa powierzenia, pkt 5.4).
• Udokumentowany kanał obsługi żądań organów ścigania i organów nadzorczych. Wszystkie tego rodzaju żądania wpływają przez formularz kontaktowy HumanKey.
• Przegląd DPIA, gdy zmienia się ryzyko wynikające z operacji przetwarzania — w tym przy istotnej zmianie w zestawie podmiotów przetwarzających lub w prawie kraju docelowego.
• Narzędzia realizujące prawa osób, których dane dotyczą (eksport JSON, kaskadowe usuwanie, sprostowanie), są dostępne dla każdego Administratora niezależnie od planu i nie zależą od dostępności jakiegokolwiek amerykańskiego podmiotu przetwarzającego.