signal.org — 72/100 (Keskitasoinen tietosuojariski)
Viimeksi analysoitu
Signal Messenger LLC · signal.org
Raportin tiedot
Keskitasoinen tietosuojariskiSignal kerää todella lähes mitään ja salaa kaiken, mutta sen oikeudellinen dokumentaatio on vanhentunut ja puuttuu kriittisiä EU:n yleisen tietosuoja-asetuksen (GDPR) vaatimia ilmoituksia, kuten siirtojen suojatoimet, säilytysajat ja käyttäjien oikeuksien menettelyt.
Signalin arkkitehtuuri ja tietokäytännöt kuuluvat alalla parhaisiin tietosuojaa kunnioittaviin: oletusarvoisesti päästä pääteen salattu, ei tietojen kaupallista hyödyntämistä ja minimaalinen keräys. Tietosuojakäytäntöä ei kuitenkaan ole päivitetty toukokuusta 2018 lähtien, ja siinä puuttuu GDPR:n vaatimat formaalit elementit: ei tietosubjektin oikeuksien kuvauksia, ei käsittelyn oikeusperusteita, ei säilytysaikoja, ei tietosuojavastaavan (DPO) yhteystietoja eikä mainintaa Yhdysvalloihin tehtävien siirtojen asianmukaisista suojatoimista. Pakollinen Kalifornian oikeusvaltaan liittyvä lausekkeet on myös ongelmallinen EU:n kuluttajille.
Kategoria-arviointi
Käytännön jakautuminen keskeisille vaatimustenmukaisuusalueille. Hyvä = vahva, kohtalainen = ristiriitainen, heikko = huolestuttava.
Vain puhelinnumero on pakollinen; profiilitiedot ovat vapaaehtoisia ja päästä pääteen salattuja; tekniset metatiedot rajoittuvat palvelun toiminnan kannalta välttämättömään minimiin.
Käytäntö on selkeä salaamisesta ja kerätyistä tiedoista, mutta siinä puuttuvat säilytysajat, käsittelyn oikeusperusteet, eikä sitä ole päivitetty toukokuusta 2018 lähtien.
Jakaminen rajoittuu varmistuskoodien tarjoajiin ja vapaaehtoisiin kolmannen osapuolen palveluihin kuten Giphyyn, mutta alihankkijoiden luetteloa ei ole annettu eikä sopimuksellisia suojatoimia kuvata.
Tiedot siirretään nimenomaisesti Yhdysvalloihin ja muihin maihin, mutta GDPR-yhteensopivaa siirtomekanismia (standardisopimusehdot, riittävyyspäätös, sitovat yrityssäännöt) ei mainita missään käytännössä.
Käytäntö ei ota kantaa tekoälykoulutukseen, mutta Signalin lujan ei-kaupallistamisen kannan ja minimaalisen tietojen keräyksen vuoksi tämä on epätodennäköistä; kuitenkin sitä ei ole nimenomaisesti kielletty.
Ei nimenomaista kuvausa GDPR-oikeuksista (pääsy, oikaisu, poisto, siirrettävyys, vastustaminen, rajoittaminen); vain epämääräinen viittaus tietojen hallintaan sovelluksen asetuksissa.
Keskeiset havainnot
Huomionarvoiset ehdot, ongelmat tai hyvät käytännöt (kriittiset ensin)
Ei GDPR:n siirtojen suojatoimia Yhdysvalloihin tehtäville tietosiirroille
Käyttöehdot toteavat, että käyttäjät hyväksyvät 'salattujen tietojesi ja metatietojesi siirron Yhdysvalloihin ja muihin maihin, joissa meillä on tai käytämme tiloja, palveluntarjoajia tai kumppaneita', mutta käytännössä ei mainita standardisopimusehtoja, riittävyyspäätöksiä tai sitovia yrityssääntöjä. Schrems II -päätöksen jälkeen tämä on merkittävä yhteensopivuusaukko EU:n käyttäjille.
GDPR:n tietosubjektin oikeuksia ei kuvata
Tietosuojakäytäntö ei luettele eikä selitä mitään GDPR-oikeuksia (Artiklat 15–22): ei oikeutta pääsyyn, oikaisuun, poistoon, rajoittamiseen, siirrettävyyteen tai vastustamiseen. Ainoa maininta on, että käyttäjät voivat 'hallita henkilökohtaisia tietojasi Signalin sovelluksen asetuksissa', mikä ei ole riittävä GDPR:n artiklan 13(2)(b) mukaan.
Ei tietojen säilytysaikoja määritelty
Käytäntö toteaa, että tukitiedot 'säilytetään ainoastaan ongelman tutkimista varten' ja että tekniset tiedot 'rajoittuvat palvelun toiminnan kannalta välttämättömään minimiin', mutta ei anneta mitään tiettyjä säilytysaikoja millekään tietoluokalle, kuten GDPR:n artiklan 13(2)(a) vaatii.
Pakollinen Yhdysvaltain oikeusvaltaan liittyvä lausekkeet on ristiriidassa EU:n kuluttajien oikeuksien kanssa
Käyttöehdot vaativat kiistojen ratkaisemista yksinomaan 'Yhdysvaltain Pohjois-Kalifornian piirikunnan tuomioistuimessa tai Kalifornian osavaltion San Mateon piirikunnan tuomioistuimessa', mikä voi olla täytäntöönpanokelvoton EU:n kuluttajia vastaan Bryssel I -asetuksen mukaan ja on ristiriidassa GDPR:n artiklan 79(2) kanssa.
Tietosuojakäytäntö vanhentunut — viimeksi päivitetty toukokuussa 2018
Tietosuojakäytäntöä ei ole päivitetty toukokuun 25. päivän 2018 jälkeen, mikä herättää kysymyksiä siitä, heijastaako se nykyisiä tietokäytäntöjä, kolmannen osapuolen suhteita ja sääntelyvaatimuksia, jotka ovat kehittyneet siitä lähtien.
Ei käsittelyn oikeusperustetta määritelty
Käytäntö ei tunnista mitään käsittelyn oikeusperustetta GDPR:n artiklan 6 mukaisesti millekään käsittelytoiminnolle (esimerkiksi sopimuksen täytäntöönpano tilin rekisteröinnissä, oikeutettu etu turvallisuuden vuoksi), kuten GDPR:n artiklan 13(1)(c) vaatii.
Kolmannen osapuolen palveluntarjoajien sopimukselliset yksityiskohdat puuttuvat
Käytäntö mainitsee 'kolmannen osapuolen palveluntarjoajat', jotka lähettävät varmistuskoodit, ja toteaa, että he 'ovat sitoutuneet omien tietosuojakäytäntöjensä mukaan suojaamaan näitä tietoja', mutta ei nimeä heitä, kuvaa sopimuksellisia suojatoimia eikä tarjoa alihankkijoiden luetteloa, kuten GDPR:n vastuullisuusperiaatteiden mukaan odotettaisiin.
Vahva sitoutuminen ei-kaupallistamiseen
Käyttöehdot toteavat nimenomaisesti: 'Signal ei myy, vuokraa eikä kaupallista henkilökohtaisia tietojasi tai sisältöäsi millään tavalla – koskaan.' Tämä on vahva, ehdoton sitoutuminen, joka ylittää tyypillisen alan kielen.
Yhteenveto käyttäjälle
Viestisi ja puhelusi ovat aidosti yksityisiä ja salattuja, mutta jos haluat käyttää GDPR-oikeuksiasi tai haluat selkeyttä siihen, miten tietosi siirtyvät Yhdysvalloihin, käytäntö jättää sinut ilman selkeitä vastauksia.
Vaatimustenmukaisuusasento
Vahva teknisessä tietosuoja-asetelmassa, heikko oikeudellisessa dokumentaatiossa. Aineellisesti erinomainen, mutta formaali GDPR-yhteensopivuuden viitekehys on puutteellinen.
EU-siirrot
Käyttöehdot tunnustavat nimenomaisesti siirrot Yhdysvalloihin ja muihin maihin, mutta eivät mainitse mitään GDPR:n siirtomekanismeista (standardisopimusehdot, riittävyyspäätös tai sitovat yrityssäännöt). Tämä on merkittävä yhteensopivuusaukko Schrems II -päätöksen jälkeen.
Havaitut signaalit
Tekstistä tunnistetut erityiset tiedot ja käytännöt
Todisteiden otteet
Suorat lainaukset käytännöstä näiden havaintojen tueksi
Signal does not sell, rent or monetize your personal data or content in any way – ever.
you agree to our data practices as described in our Privacy Policy, as well as the transfer of your encrypted information and metadata to the United States and other countries where we have or use facilities, service providers or partners.
You can manage your personal information in Signal's application Settings. For example, you can update your profile information or choose to enable additional privacy features like a Registration Lock PIN.
Signal limits this additional technical information to the minimum required to operate the Services.
You agree to resolve any Claim you have with us relating to or arising out of our Terms, us, or our Services exclusively in the United States District Court for the Northern District of California or a state court in San Mateo County, California.
These providers are bound by their Privacy Policies to safeguard that information.
Puuttuu tai epäselvä
- Ei GDPR:n käsittelyn oikeusperusteita
- Ei tietojen säilytysaikoja
- Ei alihankkijoiden luetteloa
- Ei tietosuojavastaavan (DPO) yhteystietoja
- Ei GDPR:n siirtomekanismia (standardisopimusehdot, riittävyyspäätös, sitovat yrityssäännöt)
- Ei nimenomaista tekoäly/mallin koulutuskäytäntöä
- Ei evästeiden tai seurannan teknologioiden ilmoitusta
- Ei viitteitä tietosuoja-vaikutusten arviointiin (DPIA)
- Ei tietomurron ilmoitusmenettelyä
- Ei nimenomaista GDPR-oikeuksien luetteloa
Kysyttävät kysymykset
- Mitä standardisopimusehtoja tai muita siirtomekanismeja Signal käyttää EU:sta Yhdysvalloihin tehtäviin tietosiirtoihin, ja voitko tarjota asiaankuuluvan dokumentaation?
- Mitkä ovat tiettyjen tietoluokkien (puhelinnumerot, tekniset metatiedot, tukitiedot) säilytysajat?
- Kuka ovat 'kolmannen osapuolen palveluntarjoajat', jotka käsittelevät varmistuskoodit, ja mitkä sopimukselliset tietosuoja-velvoitteet heillä on omien tietosuojakäytäntöjensä lisäksi?
- Miten EU:n käyttäjä voi käyttää GDPR-oikeuksiaan (pääsy, poisto, siirrettävyys, vastustaminen) — onko olemassa omistettu prosessi tai yhteystieto yleisen privacy@signal.org -sähköpostiosoitteen lisäksi?
- Onko Signal suorittanut tietosuoja-vaikutusten arvioinnin (DPIA) yhteystietojen löytämisominaisuudelle, kun otetaan huomioon, että se sisältää osoitekirjan tietojen tiivistämisen ja lähettämisen?
- Miksi tietosuojakäytäntöä ei ole päivitetty toukokuusta 2018 lähtien, ja heijastaako se tarkasti kaikkia nykyisiä tietojen käsittelytoimintoja ja kolmannen osapuolen suhteita?
Jaa tämä analyysi
Kuka tahansa, jolla on tämä linkki, voi nähdä yllä olevan tuloksen.
DentroChatin rakentama
100 % eurooppalainen tekoälychat kaikille
Keskustele tekoälyn kanssa, käsittele tiedostoja, luo kuvia ja hae verkosta. Tiedot pysyvät Euroopassa.
Muut analysoidut tietosuojakäytännöt
Näytä kaikkiapple.com
72/100
Keskitasoinen tietosuojariskiApplen Messages-tietosuojailmoitus osoittaa vahvaa salausta ja lyhyttä tietojen säilytysaikaa, mutta jättää kriittisiä EU-vaatimustenmukaisuuden aukkoja – ei mainintaa kansainvälisistä siirroista, tietosuoja-asetuksen (GDPR) mukaisista käyttäjäoikeuksista tai siitä, koulutetaanko viestien metatiedoilla tekoälymalleja.
Näytä raportti →about.qwant.com
72/100
Keskitasoinen tietosuojariskiQwant tarjoaa vahvan yksityisyydensuojan oletuksena ilman seurantakakkeja, mutta tilin luominen tai kakkuhyväksyntä jakaa merkittävästi tietoja Microsoftin kanssa, ja käytännöstä puuttuu selkeyttä kansainvälisistä siirroista ja tekoälyn koulutuksesta.
Näytä raportti →slack.com
72/100
Keskitasoinen tietosuojariskiSlack kerää laajasti henkilö- ja käyttötietoja ja nojaa vahvasti laajoihin oikeutettuihin etuihin tietojen käsittelyssä ja maailmanlaajuisessa siirrossa, vaikka se tarjoaakin vakiintuneet yleisen tietosuoja-asetuksen (GDPR) mukaiset oikeudet ja suojatoimet, kuten vakioidut sopimusehdot.
Näytä raportti →swipesign.io
75/100
Keskitasoinen tietosuojariskiswipesign kerää paljon tietojasi ja jakaa niitä monien kolmansien osapuolten (kuten Stripe ja Twilio) kanssa, mutta tallentaa suurimman osan niistä EU:ssa ja antaa sinun käyttää GDPR-oikeuksiasi.
Näytä raportti →