CAKE.com Inc. (cake.com) Adatvédelmi szabályzat — 62/100 (Közepes adatvédelmi kockázat)
Utolsó elemzés
CAKE.com Inc. · cake.com
Jelentés részletei
Közepes adatvédelmi kockázatA CAKE.com az EU alapvető adatok védelmét és az adatok átvitelének védelmét biztosítja, de a munkahelyi megfigyelésre vonatkozóan nagyon invazív adatokat gyűjt – például képernyőképeket, háttérben történő helymeghatározást és alkalmazáshasználatot – a munkáltatók nevében, akik az alkalmazottak adatait kezelő felekként működnek.
Az adatvédelmi irányelv a CAKE.com termékcsomagját fedi le (Clockify, Pumble, Plaky). Megkülönbözteti a Vállalkozási Felhasználókat (munkáltatók) és a Jogosult Felhasználókat (alkalmazottak). Habár tartalmaz egy részletes fejezetet az EGT-beli felhasználók számára, amely részletezi az Általános Adatvédelmi Rendelet (GDPR) jogait, jogalapokat és a nemzetközi adatok átvitelére vonatkozó Szabványos Szerződéses Záradékokat (SCCs), a termékek magja az alkalmazottak részletes megfigyelésén alapszik. A Jogosult Felhasználók nagyrészt a munkáltatóikra (Vállalkozási Felhasználók) vannak utalva az adatvédelmi tájékoztatók, a hozzájárulás gyűjtése és az adatkezelési jogok gyakorlása tekintetében, ami potenciális hatalmi egyensúlytalanságot és feszültséget teremt az egyéni adatvédelem terén.
Kategória szerinti értékelés
A szabályzat bontása a fő megfelelőségi területekre. Jó = erős, közepes = vegyes, gyenge = aggasztó.
Az irányelv leírja, hogy az alkalmazottak megfigyeléséhez nagyon invazív adatokat gyűjtenek, például pontos háttérhely-meghatározást, asztali képernyőképeket és folytonos alkalmazás- és weboldalhasználat nyomon követést, ami messze meghaladja azt, ami szigorúan szükséges az alapvető projektmenedzsmenthez.
Az irányelv világosan megkülönbözteti a Vállalkozási Felhasználókat és a Jogosult Felhasználókat, felsorolja a gyűjtött adatfajtákat termékjellemzőnként, és egy dedikált, részletes fejezetet biztosít az EGT-beli személyek számára a jogalapok és jogok tekintetében.
Az adatok egy közzétett alvállalkozói listával megosztásra kerülnek legitím üzemeltetési célokból, de az irányelv engedélyezi az adatok megosztását személyre szabott hirdetés céljára és széles körű megosztást a Vállalkozási Felhasználó utasítása alapján explicit korlátok nélkül.
Habár az alapértelmezett feldolgozás az Egyesült Államokban történik, a CAKE.com alkalmazza az SCC-ket és az Egyesült Királyság kiegészítőt az EU átvitelekre, valamint EGT-alapú adattárolási lehetőséget kínál bizonyos szolgáltatások esetében, habár sok alvállalkozó az Egyesült Államokban működik.
Az irányelv teljesen hallgat arról, hogy az személyes adatok használata MI- vagy modellek képzésére, ami hiányt hagy abban, hogy az alkalmazottak üzenetei, fájljai vagy nyomon követési adatai használhatók-e algoritmusok képzésére.
A teljes GDPR jogok felsorolásra kerülnek az EGT-beli felhasználók számára, de a Jogosult Felhasználókat expresszisen arra utasítják, hogy a Vállalkozási Felhasználójukkal (munkáltatójukkal) lépjenek kapcsolatba ezeknek a jogoknak a gyakorlása érdekében, ami korlátozza a közvetlen jogorvoslatot a CAKE.com ellen mint feldolgozóval szemben.
Fő megállapítások
Fontos záradékok, problémák vagy jó gyakorlatok (kritikusak először)
Invazív alkalmazotti megfigyelési funkciók
Az irányelv részletezi a pontos helymeghatározás (akár háttérben is), időzített képernyőképek készítését és az összes alkalmazás és weboldal automatikus nyomon követését. Ez a megfigyelési szint magas kockázatot jelent az alkalmazottak adatvédelme szempontjából, és gondos egyensúlyozást igényel az Általános Adatvédelmi Rendelet (GDPR) 5. cikk (1) bekezdés b) és c) pontja alapján.
A GDPR felelősség áthelyezése a munkáltatókra
A CAKE.com expresszisen kijelenti, hogy a Vállalkozási Felhasználók felelősek a tájékoztatók biztosításáért és a Jogosult Felhasználók hozzájárulásának gyűjtéséért, valamint hogy a Jogosult Felhasználóknak a munkáltatójukkal kell felvenniük a kapcsolatot az adatkezelési jogok gyakorlása érdekében. Ez védi a CAKE.com-ot, de az alkalmazottak a munkáltatóik compliance erőfeszítéseire vannak utalva.
Viselkedéses hirdetés harmadik féleknél
Az irányelv kijelenti, hogy az információkat a 'harmadik féleknél és weboldalakon látható hirdetések személyre szabásához' használják, és a legitím érdekre támaszkodnak az adatanalitika terén, ami gondos vizsgálatot igényel a GDPR alatt, hogy a munkavállalók nyomon követése hirdetések személyre szabásához valóban legitím érdeket jelent-e.
Egységes adattárolási időtartam az érzékeny kategóriákra vonatkozóan
Habár az irányelv említi, hogy a képernyőképek, a GPS-helymeghatározás és az automatikus nyomon követési információk 'automatikusan és rutin szerint törlődnek egy meghatározott idő után', nem határozza meg, hogy mi ez a meghatározott idő, így a Jogosult Felhasználók nem tudják, meddig maradnak fenn érzékeny megfigyelési adataik.
Összefoglaló a felhasználónak
Ha alkalmazottként a Clockifyt használod, a munkáltatód nyomon követheti a helyedet, képernyőképeket készíthet a számítógépedről, és figyelheti az alkalmazások használatát; az adataid törléséhez a munkáltatóddal kell felvenned a kapcsolatot, nem a CAKE.com-mal.
Megfelelőségi helyzet
A CAKE.com megpróbálja elkerülni a GDPR felelősségét az alkalmazottak adataival kapcsolatban azzal, hogy a munkáltatót jelöli meg adatok kezelőjeként, de a megfigyelő eszközök invazív természete (háttérben történő helymeghatározás, képernyőképek) szigorú betartást igényel az adatok minimalizálásának és a célok korlátozásának elveit illetően a munkáltatók részéről, amit a CAKE.com csak lazán érvényesít.
EU-s átvitelek
Az adatok alapvetően az Egyesült Államokban kerülnek feldolgozásra, de a CAKE.com alkalmazza a Szabványos Szerződéses Záradékokat (SCCs) és az Egyesült Királyság Nemzetközi Adatátviteli Kiegészítőt. Emellett lehetőséget kínál az EGT-alapú adattárolásra bizonyos szolgáltatások esetében, ami pozitív lépés, habár az Egyesült Államok alvállalkozói továbbra is kezelik a támogatást, a fizetéseket és az elemzéseket.
Észlelt jelek
A szövegben azonosított konkrét adatok és gyakorlatok
Bizonyító részletek
Közvetlen idézetek a szabályzatból e megállapítások alátámasztására
Location Tracker tool information (Clockify only): in accordance with your device permissions, we may collect information about the precise location of your device... Locations are collected even if the mobile application works in the background.
CAKE.com does not directly control the processing of Authorized User personal information, but rather Business Users are responsible for providing their Authorized Users any required notices and collecting any necessary consents...
Personalize the advertisements you see on third-party platforms and websites (for more information, see the Advertising and Analytics section below)
Additionally, some information, including but not limited to screenshots, GPS location, auto-tracking, and audit-log information are automatically and routinely deleted after a designated time as part of our data retention policies.
Hiányzó vagy nem egyértelmű
- Konkrét adattárolási időtartamok a megfigyelési adatokra vonatkozóan (képernyőképek, helymeghatározás, automatikus nyomon követés)
- A CAKE.com végrehajt-e Adatvédelmi Hatásvizsgálatokat (DPIA) a magas kockázatú nyomon követési funkciókra vonatkozóan?
- Explicit részletek a jogalapokról a konkrét nyomon követési funkciókra vonatkozóan (pl. a képernyőképezés legitím érdeken vagy szerződésen alapszik-e?)
- Az EGT-alapú adattárolási lehetőség alapértelmezett-e az EGT-beli ügyfelek számára, vagy opcionális funkció?
Felteendő kérdések
- Mi a pontos 'meghatározott idő', amely után a képernyőképek, a GPS-helymeghatározás és az automatikus nyomon követési adatok automatikusan törlődnek?
- Kötelezi-e a CAKE.com a Vállalkozási Felhasználókat, hogy Adatvédelmi Hatásvizsgálatot (DPIA) végezzenek a Helymeghatározó, Képernyőkép- vagy Automatikus Nyomonkövető eszközök aktiválása előtt a Jogosult Felhasználók számára?
- Hogyan indokolja a CAKE.com a Jogosult Felhasználók adatainak 'hirdetések személyre szabásához' való használatát a legitím érdeken alapuló jogalapon az EGT-ben?
- Alapértelmezett-e az a lehetőség, hogy az adatok kizárólag az EGT-n belül kerüljenek tárolásra és feldolgozásra a Vállalkozási Felhasználók és a Jogosult Felhasználók számára, akik az EGT-ben tartózkodnak?
- Használja-e a CAKE.com a Jogosult Felhasználók csevegési üzeneteit, fájljait vagy nyomon követési adatait MI-modellek képzésére vagy algoritmusok fejlesztésére?
Elemzés megosztása
Bárki, aki rendelkezik ezzel a linkkel, megtekintheti a fenti eredményt.
A DentroChat készítette
100%-ban európai AI chat mindenkinek
Csevegj AI-val, dolgozz fájlokkal, generálj képeket és keress a weben. Az adatok Európában maradnak.
További elemzett adatvédelmi irányelvek
Összes megtekintéseapp.klang.ai
62/100
Közepes adatvédelmi kockázatA Klang AI érzékeny hang- és videotartalmakat gyűjt, megosztja ezeket több AI-szolgáltatóval, és fenntartja magának a jogot, hogy a feltöltött adataidat saját algoritmusainak fejlesztésére használja anélkül, hogy lehetőséget biztosítana a lemondásra – bár a feldolgozás nagy részét az EU-n belül tartja, és nullás adattárolási politikát alkalmaz AI-alvállalkozóival.
Jelentés megtekintése →cursor.com
62/100
Közepes adatvédelmi kockázatA Cursor (Anysphere) ígéretet tesz arra, hogy alapértelmezés szerint nem használja a kódbeviteli adataidat AI-képzésre, és nem adja el az adataidat, de széles körű személyes és használati adatokat gyűjt, azokat az Egyesült Államokba küldi homályos átviteli garanciákkal, és nem tisztázza kulcsfontosságú részleteket, mint a tárolási időtartamok vagy a jogi alapok.
Jelentés megtekintése →eustella.com
62/100
Közepes adatvédelmi kockázateustella erős adatvédelmi ígéreteket tesz — nem adnak el adatokat, nem osztanak meg harmadik féllel, nem képeznek AI-t az adataidból, és minden feldolgozás az EU-ban marad — de ez marketing szöveg, nem kötelező érvényű adatvédelmi szabályzat, és a kritikus részletek az adatgyűjtésről, adatmegőrzésről, al-feldolgozókról és felhasználói jogokról hiányoznak a megadott szövegből.
Jelentés megtekintése →lhv.com
62/100
Közepes adatvédelmi kockázatAz LHV Bank széles körű személyes és pénzügyi adatokat gyűjt, széles körben megosztja azokat csalásmegelőző ügynökségekkel és fizetési közvetítőkkel, valamint nagy mértékben támaszkodik a jogos érdekre marketing és elemzés céljából — de betartja a GDPR-jogokat, és kézi felülvizsgálatot alkalmaz a profilozási döntések esetén.
Jelentés megtekintése →