bsky.social — 55/100 (Mellem privatlivsrisiko)
Sidst analyseret
Bluesky Social, PBC · bsky.app
Rapportdetaljer
Mellem privatlivsrisikoBluesky indsamler bred adfærdsdata og gemmer dine direkte beskeder ukrypteret, men scorer point for at nægte at sælge dine data til målrettet reklame og for at have en solid infrastruktur for DSGVO-rettigheder.
Bluesky Social, PBC's privatlivspolitik præsenterer en blandet overholdelsesprofil. På den positive side afviser virksomheden eksplicit salg eller deling af personoplysninger til målrettet reklame, har udpeget både en databeskyttelsesansvarlig (DPO) og EU/UK-repræsentanter, og leverer en detaljeret supplerende meddelelse til EU/UK DSGVO-emner. Der er dog betydelige bekymringer: direkte beskeder gemmes ukrypteret og er tilgængelige internt for 'Trust & Safety', adfærdssporing omfatter opslag, der vises, og links, der klikkes på, opbevaringsperioder fastsættes på et vagt 'fra sag til sag'-grundlag uden specifikke tidsrammer, politikken er helt tavs om brug af brugerdata til AI/modeltræning, og internationale overførselsgarantier beskrives kun i generelle vendinger uden at specificere, hvilke SCC'er (Standard Contractual Clauses) eller tilstrækkelighedsafgørelser, der faktisk anvendes. Der er heller ingen liste over underleverandører. Den decentraliserede, offentligt designede arkitektur betyder desuden, at det meste af brugeraktiviteten er offentligt tilgængeligt.
Vurdering pr. kategori
Opdeling af politikken på vigtige compliance-områder. God = stærk, rimelig = blandet, dårlig = bekymrende.
Indsamler adfærdsdata ud over, hvad der er strengt nødvendigt – såsom opslag, der vises, og links, der klikkes på – selvom det undgår indsamling af data til målrettet reklame.
Politikken er detaljeret med jurisdiktionsspecifikke supplerende meddelelser, men forbliver vag med hensyn til opbevaringstidsrammer, underleverandørers identiteter og brug af data til AI-træning.
Afviser eksplicit salg af data til målrettet reklame, men deler bredt med uoplyste serviceudbydere, forretningspartnere og tilknyttede selskaber uden opremsning.
Anerkender verdensomspændende overførsler med kun generelle henvisninger til SCC'er og ingen detaljer om faktiske garantier, overførselsdestinationer eller supplerende foranstaltninger.
Politikken er helt tavs om, hvorvidt brugerdata anvendes til AI- eller maskinlæringsmodeltræning, og der gives ingen mulighed for at fravælge dette.
Omfattende DSGVO-rettigheder beskrives med en DPO, EU/UK-repræsentanter, klare svartidsrammer (30/60 dage) og kontaktoplysninger til tilsynsmyndigheder.
Vigtige fund
Bemærkelsesværdige klausuler, problemer eller gode praksisser (kritiske først)
Ukrypterede direkte beskeder tilgængelige for personale
Afsnit 8(A)(4) angiver eksplicit, at direkte beskeder er 'ukrypterede og kan tilgås til Trust & Safety-formål.' Dette betyder, at private kommunikationer mellem brugere ikke er beskyttet af ende-til-ende-kryptering og kan læses af Bluesky-medarbejdere, hvilket udgør et betydeligt privatlivsgab for en beskedfunktion.
Bred adfærdssporing ud over servicebehov
Afsnit 8(B)(1) oplyser om indsamling af 'de opslag, du ser på Bluesky, de links, du klikker på i Bluesky, og hyppigheden og varigheden af dine aktiviteter.' Dette går langt ud over, hvad der er nødvendigt for at levere en mikroblogging-tjeneste, og udgør overvågningsniveau-adfærdssporing uden en klar nødvendighedsbegrundelse i henhold til DSGVO artikel 5(1)(c).
Vage opbevaringsperioder uden specifikke tidsrammer
Afsnit 14 angiver, at opbevaring fastsættes på et 'fra sag til sag'-grundlag under hensyntagen til forskellige kriterier, men giver ingen konkrete opbevaringsperioder for nogen datakategori. I henhold til DSGVO artikel 5(1)(e) må personoplysninger ikke opbevares længere end nødvendigt, og fraværet af definerede perioder gør overholdelsen uvurderelig.
Tavshed om brug af brugerdata til AI/modeltræning
Politikken omtaler ikke, om personoplysninger – herunder opslag, DM'er og brugsdata – anvendes til træning af AI- eller maskinlæringsmodeller. Afsnit 10(B) nævner 'forskning og udvikling' og 'udvikling af nye produkter og tjenester', hvilket kunne omfatte AI-træning, men der er ingen eksplicit oplysning eller mulighed for at fravælge dette.
Internationale overførselsgarantier utilstrækkeligt specificeret
Afsnit 12 henviser til Standard Contractual Clauses som en potentiel garanti for EØS/UK/Brasilien-overførsler, men specificerer ikke, hvilke SCC-moduler der anvendes, hvilke lande data overføres til, eller om der er foretaget overførselsvurderinger eller implementeret supplerende foranstaltninger som krævet i henhold til Schrems II.
Ingen liste over underleverandører
Afsnit 11(A)(4) oplyser om deling med 'tredjeparts serviceudbydere og leverandører' til IT-support, hosting, betalingsbehandling og kundeservice, men ingen liste over underleverandører er inkluderet eller linket til. DSGVO artikel 28(2) og gennemsigtighedsprincipper kræver, at registrerede kan vide, hvem der behandler deres data.
Do Not Track-signaler overholdes ikke
Afsnit 13(A)(3) angiver, at Bluesky 'i øjeblikket ikke reagerer på eller overholder DNT-signaler eller lignende mekanismer, der sendes af webbrowsere.' Selvom DNT mangler en ensartet standard, signalerer dette en afvisende holdning til brugeres privatlivsindstillinger udtrykt via browserindstillinger.
Resumé til brugeren
Dine opslag og profil er offentlige som standard, dine DM'er er ikke krypteret og kan læses af Bluesky-medarbejdere, og virksomheden sporer, hvad du ser og klikker på – men i det mindste sælger de ikke dine data til annoncører.
Compliance-stilling
Delvis overholdelse af DSGVO med strukturelle elementer på plads (DPO, EU-repræsentant, rettighedsoplysninger), men væsentlige huller i dataminimering, opbevaringsspecifikation, overførselsgarantier og AI-gennemsigtighed.
EU-overførsler
Politikken anerkender internationale overførsler fra EØS/UK/Brasilien og henviser til Standard Contractual Clauses som en potentiel garanti, men giver ingen detaljer om, hvilke SCC'er der faktisk er på plads, hvilke lande data overføres til, eller om der er implementeret supplerende foranstaltninger. Dette er utilstrækkeligt specifikt i henhold til Schrems II-kravene.
Registrerede signaler
Specifikke datapunkter og praksisser identificeret i teksten
Bevisuddrag
Direkte citater fra politikken, der understøtter disse fund
Your Direct Messages. We store and process your direct messages so you can communicate directly with other users on the Bluesky App. These are unencrypted and can be accessed for Trust & Safety purposes.
We may also collect personal information about your use of Bluesky, including the posts you view on Bluesky, the links you click within Bluesky, and the frequency and duration of your activities.
We do not sell or share Personal Data for the purpose of displaying advertisements that are selected based on Personal Data from your activities on or use of Bluesky ('Targeted Advertising').
We may transfer, process, and store all personal information we collect anywhere in the world.
When determining the retention period, we make case-by-case determinations, taking into account various criteria, like the type of products and services requested by or provided to you, the nature and length of our relationship with you...
We currently do not respond to or honor DNT signals or similar mechanisms transmitted by web browsers, as there is no consistent industry standard for compliance.
Mangler eller uklart
- Ingen liste over underleverandører eller link til en sådan
- Ingen specifikke opbevaringsperioder for data
- Ingen oplysning om AI/modeltræning
- Ingen ende-til-ende-kryptering for DM'er
- Ingen detaljer om internationale overførselsgarantier ud over generel SCC-henvisning
- Ingen cookie-samtykkebanner eller præferencecenter beskrevet
- Ingen procedure for datalækageunderretning
- Ingen henvisninger til DPIA (Data Protection Impact Assessment)
- Ingen oplysninger om vurderinger af berettiget interesse
Spørgsmål at stille
- Hvilke specifikke tredjeparts serviceudbydere og underleverandører behandler i øjeblikket personoplysninger for Bluesky-brugere, og hvor er de placeret?
- Anvendes brugerdata – specifikt opslag, direkte beskeder og brugsadfærd – til træning af AI- eller maskinlæringsmodeller, og hvordan kan brugere i givet fald fravælge dette?
- Hvilke specifikke Standard Contractual Clause-moduler er udført for EØS/UK-dataoverførsler, og er der foretaget overførselsvurderinger?
- Hvad er de konkrete opbevaringsperioder for hver kategori af personoplysninger, især for DM'er, brugsdata og IP-adresser?
- Hvornår vil direkte beskeder blive beskyttet med ende-til-ende-kryptering, givet den nuværende ukrypterede adgang for Trust & Safety-formål?
- Hvordan begrunder Bluesky indsamlingen af opslag, der vises, og links, der klikkes på, som nødvendig i henhold til DSGVO's dataminimeringsprincip?
- Hvad er processen og tidsrammen for at besvare DSGVO-anmodninger om indsigt i data, og i hvilket format leveres data typisk?
Del denne analyse
Alle med dette link kan se resultatet ovenfor.
Bygget af DentroChat
100 % europæisk AI-chat for alle
Chat med AI, arbejd med filer, generer billeder og søg på nettet. Data forbliver i Europa.
Andre analyserede privatlivspolitikker
Se allescaleway.com
55/100
Mellem privatlivsrisikoScaleway taler et stort spil om europæisk datasuverænitet, men denne marketing-side giver nul faktisk indhold i privatlivspolitikken til at bakke disse påstande op.
Se rapport →linkedin.com
55/100
Mellem privatlivsrisikoLinkedIn indsamler en enorm mængde af dine data – herunder fra dine kontakter, kalender og på tværs af nettet – bruger dem til at træne AI-modeller uden en klar mulighed for at fravælge, deler dem i vid udstrækning med Microsoft og annoncører og opbevarer dem bredt, selvom EU-brugere får nogle ekstra beskyttelser.
Se rapport →peerpush.com
55/100
Mellem privatlivsrisikoPeerPush har stærke anonymiseringspraksisser for sin offentlige analyse, men fejler i de grundlæggende GDPR-krav ved ikke at oplyse om behandlingsgrundlag, mangler en EU-repræsentant og bruger vagt sprog om internationale dataoverførsler.
Se rapport →tella.com
55/100
Mellem privatlivsrisikoTella indsammer følsom videodata og deler den med adskillige USA-baserede AI- og analyseudbydere uden tydeligt at angive, om dine data træner deres modeller, hvilket gør det til et blandet landkort for EU-brugere.
Se rapport →