cursor.com — 62/100 (Közepes adatvédelmi kockázat)
Utolsó elemzés
Anysphere, Inc. · cursor.com
Jelentés részletei
Közepes adatvédelmi kockázatA Cursor (Anysphere) alapértelmezetten nem használja a kódbeviteli adataidat AI-modellek képzésére, és nem adja el az adataidat, de széles körű személyes és használati adatot gyűjt, azokat az USA-ba küldi homályos átviteli garanciákkal, és kulcsfontosságú részleteket, mint a tárolási időtartamokat és a jogi alapokat nem határoz meg.
A Cursor (Anysphere, Inc.) adatok védelméről szóló irányelv széles körű adategyűjtést fed le a fiókadatoktól kezdve a felhasználói beviteli adatokig és javaslatokig. Az irányelv pozitívan kiemelkedik azzal, hogy alapértelmezetten tiltja a Beviteli adatok/Javaslatok modellek képzéséhez való használatát, valamint kötelezi magát, hogy nem adja el az adatokat és nem foglalkozik célzott reklámmal. Ugyanakkor jelentős hiányosságok maradnak: a tárolási időtartamok nincs meghatározva, a feldolgozás jogi alapjai egy üres táblázatra hivatkoznak, a nemzetközi átviteli mechanizmusok nem vannak részletezve a generikus biztosítékokon túl, és több kritikus dokumentum (Adatvédelmi áttekintés, Sütik irányelve, albeszállítói lista) hivatkozott, de nem lett közzétéve. A Beviteli adatok széles körű gyűjtése – amelyek egy kódolási eszközben tulajdonjogi vagy érzékeny információkat tartalmazhatnak – a modellek szolgáltatóival és a felhőinfrastruktúra partnereivel való megosztás adatok minimalizálásának aggodalmakat vet fel.
Kategória szerinti értékelés
A szabályzat bontása a fő megfelelőségi területekre. Jó = erős, közepes = vegyes, gyenge = aggasztó.
Az irányelv gyűjti az összes felhasználói Beviteli adatot és Javaslatot, eszköz/napló/használati adatot, valamint helymeghatározási információkat anélkül, hogy egyértelműen korlátozná a gyűjtést a szolgáltatás nyújtásához szigorúan szükségesre.
Az irányelv világosan és szerkezetesen van megfogalmazva, de több külső dokumentumra hivatkozik (Adatvédelmi áttekintés, Sütik irányelve, albeszállítói lista), amelyek nem lettek mellékelve, és a joghatóság-specifikus jogi alapok táblázata üresnek tűnik.
Az adatok széles körű szolgáltatókkal kerülnek megosztásra, beleértve a modellek szolgáltatóit és a felhőinfrastruktúráját, de az irányelvben nem neveznek meg konkrét albeszállítókat, és a hivatkozott lista külső.
Az EGT felhasználók adatai az USA szervereire kerülnek átvitelre, de csak egy generikus kötelezettség van a 'jogilag érvényes átviteli mechanizmusokra' és a 'megfelelő adatvédelmi szintre' – semmilyen konkrét mechanizmus (SCC, DPF, BCR) nincs azonosítva.
A Beviteli adatok és Javaslatok alapértelmezetten expresszisen nem kerülnek modellképzésre, kivéve a szűk kivételeket (biztonsági felülvizsgálat, expressz visszajelzés, vagy expressz beleegyezés), és a felhasználók kezelhetik a beállításaikat.
Az irányelv felsorolja a hozzáférés, törlés, javítás, átvihetőség, tiltakozás, korlátozás és beleegyezés visszavonásának jogait, de csak egy generikus e-mail címet biztosít, és nem említ Adatvédelmi tisztviselőt (DPO) vagy EU-képviselőt.
Fő megállapítások
Fontos záradékok, problémák vagy jó gyakorlatok (kritikusak először)
Széles körű felhasználói Beviteli adatok és Javaslatok gyűjtése minimalizáció nélkül
A 1(A) szakasz kimondja, hogy az összes Beviteli adat (a felhasználó által beküldött tartalom) és Javaslat (AI által generált válaszok) gyűjtésre kerül. Egy kódolási eszköz esetén a Beviteli adatok tartalmazhatnak tulajdonjogi forráskódot, API-kulcsokat, hitelesítő adatok vagy más érzékeny adatokat. Az irányelv nem ír le semmilyen műszaki intézkedést a Beviteli adatok szűrésére vagy minimalizálására, csak azt, hogy teljes egészében gyűjtik őket.
Homályos és meghatározatlan tárolási időtartamok
A 4. szakasz csak azt állítja, hogy az adatok 'ameddig szükséges a szolgáltatás hatékony üzemeltetéséhez és a legitim üzleti igények támogatásához' kerülnek tárolásra, és hogy 'a megfelelő tárolási időtartam változik.' Semmilyen konkrét időkeret vagy kritérium nincs megadva egyetlen adattípusra sem, így a felhasználók nem érthetik meg, hogy meddig maradnak fenn az adataik.
Nemzetközi átviteli mechanizmus nem lett meghatározva
A 6. szakasz elismeri, hogy az EGT felhasználók adatai az USA szervereire kerülnek átvitelre, de csak azt állítja, hogy 'csak a jogilag érvényes átviteli mechanizmusoknak megfelelően' és 'megfelelő adatvédelmi szintet' követelnek. A konkrét jogi mechanizmus (Szabványos Szerződéses Feltételek, EU-USA Adatvédelmi Keretrendszer tanúsítás, Kötelező Vállalati Szabályok) nincs azonosítva, ami a GDPR átláthatóságának követelménye.
A joghatóság-specifikus jogi alapok táblázata üres vagy nem lett biztosítva
A 7. szakasz hivatkozik egy táblázatra, amely 'kiegészíti ezt az Adatvédelmi Irányelvet az adatok gyűjtésének céljával, a gyűjtött adatok típusával és a jogi alapokkal kapcsolatos további részletek biztosításával', de a táblázat tartalma nem szerepel a megadott szövegben. Ez nélkül a GDPR 13. cikkének a jogi alapok megjelölésére vonatkozó követelményei nem teljesülnek.
A biztonsági felülvizsgálat kivétele kiterjesztheti az adatok használatát a felhasználói elvárásokon túl
A 2. szakasz első kivétele a 'nem-képzés' szabály alól lehetővé teszi a Beviteli adatok/Javaslatok 'biztonsági felülvizsgálatra jelölése' céljából való használatát, hogy 'javítsuk a képességünket a Szolgáltatási Feltételek érvényesítésének és betartásának ellenőrzésére.' Ez egy potenciálisan széles körű kivétel, amely lehetővé teheti a modellképzést a felhasználói adatokon anélkül, hogy expressz beleegyezés lenne, ha biztonsági aggályként van kezelve.
Nincs azonosított Adatvédelmi tisztviselő vagy EU-képviselő
Az irányelv csak egy generikus e-mail címet (hi@cursor.com) biztosít, és nem azonosít Adatvédelmi tisztviselőt, EU-képviselőt a GDPR 27. cikkelye alapján, vagy bármilyen dedikált adatvédelmi kapcsolattartót, ami szükséges lehet az EGT lakosok adatainak feldolgozása esetén.
Az AI-képzés alapértelmezett kilépése erős pozitívum
A 2. szakasz expresszisen kimondja: 'Nem használjuk a Beviteli adatokat vagy Javaslatokat a modelljeink képzésére, és nem engedjük meg harmadik feleknek, hogy azok képzésre használják őket, kivéve: (1) ha biztonsági felülvizsgálatra vannak jelölve... (2) ha expresszisen jelentette őket nekünk... vagy (3) ha expresszisen beleegyezett a képzésre való használatukba.' Ez egy adatvédelmet szolgáló alapértelmezés, amely meghaladja az AI-eszközök iparági normáit.
Összefoglaló a felhasználónak
A kódjaid és utasításaid alapértelmezetten nem kerülnek a Cursor AI-modelljeinek képzésére, ami egy ritka és üdvözölendő védelem, de mindaz, amit begépels, továbbra is átmegy a rendszereiken, és hozzáférhető a biztonsági felülvizsgálathoz, valamint az adataid az USA-ba kerülnek homályos jogi garanciák nélkül.
Megfelelőségi helyzet
Részben megfelel az Általános Adatvédelmi Rendelet (GDPR) elveinek; erős a célkorlátozás az AI-képzés terén, de gyenge az adatok minimalizálása, a tárolási korlátozás és a nemzetközi átviteli specifikációk terén.
EU-s átvitelek
Az adatok expresszisen az USA-ba kerülnek átvitelre. Az irányelv szerint az átviteli folyamatok 'jogilag érvényes átviteli mechanizmusokat' használnak, és 'megfelelő adatvédelmi szintet' követelnek, de nem részletezi, hogy a Szabványos Szerződéses Feltételek (SCC), az EU-USA Adatvédelmi Keretrendszer (DPF) vagy más mechanizmusok-e az alapjai. Ez jelentős hiányosság a GDPR-megfelelőség szempontjából.
Észlelt jelek
A szövegben azonosított konkrét adatok és gyakorlatok
Bizonyító részletek
Közvetlen idézetek a szabályzatból e megállapítások alátámasztására
We do not use Inputs or Suggestions to train our models, or permit third parties to use them for training, unless: (1) they are flagged for security review (in which case we may analyze them to improve our ability to detect and enforce our Terms of Service), (2) you explicitly report them to us (for example, as Feedback), or (3) you've explicitly agreed to their use for such training purposes.
Anysphere retains your personal data only for as long as necessary to operate the Service effectively and to support legitimate business needs such as legal compliance, safety, dispute resolution, and enforcement of our agreements.
For users in the European Economic Area, ('EEA'), when you access our Service, your personal data may be transferred to our United States servers to other countries outside the EEA and the UK. Where information is transferred outside the EEA or the UK, we require an adequate level of data protection.
We do not 'sell' or 'share' personal data for cross-contextual behavioral advertising, and we do not process personal data for 'targeted advertising' purposes (as those terms are defined under applicable US state privacy laws).
The Service allows you to submit content ('Inputs'), which generate responses ('Suggestions') based on your Inputs. If you include personal data or reference external content in your Inputs, we will collect that information and it may be reproduced in the Suggestions we provide.
Hiányzó vagy nem egyértelmű
- Konkrét jogi alapok minden feldolgozási célra (GDPR 13. cikk (1) bekezdés c) pont)
- Konkrét tárolási időtartamok vagy kritériumok adattípusonként
- Adatvédelmi tisztviselő azonosítása
- EU-képviselő azonosítása a GDPR 27. cikkelye alapján
- Konkrét nemzetközi átviteli mechanizmus (SCC, DPF, BCR)
- A 7. szakaszban hivatkozott joghatóság-specifikus feltárló táblázat tartalma
- Az Adatvédelmi áttekintés dokumentum tartalma, amelyre a Bevezetőben hivatkoznak a modellképzés részleteivel kapcsolatban
- A Sütik irányelve részletei
- Az albeszállítói lista tartalma
- Részletek arról, hogyan működik a biztonsági felülvizsgálat jelölése és annak körzete
- Végrehajtották-e az adatvédelmi hatásvizsgálatokat (DPIA)
Felteendő kérdések
- Milyen konkrét jogi átviteli mechanizmusra támaszkodik az EGT-USA közötti adatok átvitele (Szabványos Szerződéses Feltételek, EU-USA Adatvédelmi Keretrendszer vagy más), és tudja-e biztosítani a releváns dokumentációt?
- Mik a konkrét tárolási időtartamok minden személyes adattípusra, különösen a Beviteli adatokra és Javaslatokra?
- Milyen konkrét kritériumok alapján kerül egy Beviteli adat 'biztonsági felülvizsgálatra jelölésre', és tud-e statisztikákat biztosítani arról, hogyan gyakran kerül alkalmazásra ez a kivétel?
- Ki a kijelölt Adatvédelmi tisztviselő vagy EU-képviselő, és hogyan léphetnek velük közvetlenül kapcsolatba az érintett személyek?
- Tudja-e biztosítani a teljes albeszállítói listát, beleértve a modellek szolgáltatóit, és meg tudja-e jelölni, hogy melyik albeszállítónak van hozzáférése a felhasználói Beviteli adatokhoz?
- Végrehajtottak-e egy Adatvédelmi Hatásvizsgálatot (DPIA) a felhasználói Beviteli adatok feldolgozására, tekintettel az érzékeny vagy tulajdonjogi kódtartalom lehetőségére?
- Mik a konkrét jogi alapok (beleegyezés, legitim érdekeltség, szerződés teljesítése) minden feldolgozási célra, amely a 2. szakaszban szerepel?
- Hogyan működik műszaki szempontból a 'beállítások kezelése' mechanizmus az AI-képzésre vonatkozó beleegyezés/kilépés terén, és alapértelmezetten engedélyezve van-e minden felhasználónak?
Elemzés megosztása
Bárki, aki rendelkezik ezzel a linkkel, megtekintheti a fenti eredményt.
A DentroChat készítette
100%-ban európai AI chat mindenkinek
Csevegj AI-val, dolgozz fájlokkal, generálj képeket és keress a weben. Az adatok Európában maradnak.
További elemzett adatvédelmi irányelvek
Összes megtekintéseapp.klang.ai
62/100
Közepes adatvédelmi kockázatA Klang AI érzékeny hang- és videotartalmakat gyűjt, megosztja ezeket több AI-szolgáltatóval, és fenntartja magának a jogot, hogy a feltöltött adataidat saját algoritmusainak fejlesztésére használja anélkül, hogy lehetőséget biztosítana a lemondásra – bár a feldolgozás nagy részét az EU-n belül tartja, és nullás adattárolási politikát alkalmaz AI-alvállalkozóival.
Jelentés megtekintése →eustella.com
62/100
Közepes adatvédelmi kockázateustella erős adatvédelmi ígéreteket tesz — nem adnak el adatokat, nem osztanak meg harmadik féllel, nem képeznek AI-t az adataidból, és minden feldolgozás az EU-ban marad — de ez marketing szöveg, nem kötelező érvényű adatvédelmi szabályzat, és a kritikus részletek az adatgyűjtésről, adatmegőrzésről, al-feldolgozókról és felhasználói jogokról hiányoznak a megadott szövegből.
Jelentés megtekintése →lhv.com
62/100
Közepes adatvédelmi kockázatAz LHV Bank széles körű személyes és pénzügyi adatokat gyűjt, széles körben megosztja azokat csalásmegelőző ügynökségekkel és fizetési közvetítőkkel, valamint nagy mértékben támaszkodik a jogos érdekre marketing és elemzés céljából — de betartja a GDPR-jogokat, és kézi felülvizsgálatot alkalmaz a profilozási döntések esetén.
Jelentés megtekintése →cake.com
62/100
Közepes adatvédelmi kockázatA CAKE.com az EU standard adatok jogait és az adatok átvitelének védelmét biztosítja, de nagyon invazív munkahelyi megfigyelési adatokat gyűjt – például képernyőképeket, háttérben történő helymeghatározást és alkalmazások használatát – a munkaadók megbízásából, akik az alkalmazottaik adatait kezelik.
Jelentés megtekintése →