signal.org — 72/100 (Közepes adatvédelmi kockázat)
Utolsó elemzés
Signal Messenger LLC · signal.org
Jelentés részletei
Közepes adatvédelmi kockázatA Signal valójában szinte semmit sem gyűjt, és mindent titkosít, de jogi dokumentációja elavult, és hiányoznak a lényeges, az Általános Adatvédelmi Rendelet (GDPR) által előírt kötelező feltételek, például az adatátviteli biztonsági intézkedések, az adatmegtartási időtartamok és a felhasználói jogok eljárásai.
A Signal architektúrája és adatkezelési gyakorlata az iparág legadatvédelmibbjei közé tartozik – alapértelmezett végpont-végpont titkosítás, nincs adatmonetizáció, és minimális az adatgyűjtés. Azonban az adatvédelmi irányelv 2018. május óta nem frissült, és hiányoznak belőle a formális GDPR-compliance elemek: nincs leírás az érintett személyek jogairól, nincs jogi alap a feldolgozásra, nincs adatmegtartási időtartam, nincs adatvédelmi tisztviselő (DPO) elérése, és nincs említés a megfelelő biztonsági intézkedésekről az USA-ba történő átvitelnél. A kötelező kaliforniai joghatóságra vonatkozó záradék is problémás az EU-fogyasztóknak.
Kategória szerinti értékelés
A szabályzat bontása a fő megfelelőségi területekre. Jó = erős, közepes = vegyes, gyenge = aggasztó.
Csak a telefonszám kötelező; a profiladatok opcionálisak és végpont-végpont titkosítottak; a műszaki metaadatok a szolgáltatás üzemeltetéséhez szükséges minimumra korlátozódnak.
Az irányelv egyértelmű a titkosítás és a gyűjtött adatok tekintetében, de hiányoznak az adatmegtartási időtartamok, a feldolgozás jogi alapjai, és 2018. május óta nem frissült.
A megosztás az ellenőrző kód szolgáltatókra és opcionális harmadik fél szolgáltatásokra (pl. Giphy) korlátozódik, de nincs alvállalkozói lista, és nincs leírás a szerződéses biztonsági intézkedésekről.
Az adatok expresszisen az USA-ba és más országokba kerülnek átvitelre, de az irányelv sehol sem említ GDPR-nek megfelelő átviteli mechanizmusokat (SZS, megfelelőségi döntés, vállalati szabályzatok).
Az irányelv hallgat az MI-képzésről, de a Signal határozott nem-monetizációs álláspontja és minimális adatgyűjtése miatt ez valószínűtlen; azonban ez nincs expresszisen tiltva.
Nincs expressz leírás a GDPR-jogokról (hozzáférés, javítás, törlés, hordozhatóság, tiltakozás, korlátozás); csak egy homályos utalás van az alkalmazás beállításain belül történő információkezelésre.
Fő megállapítások
Fontos záradékok, problémák vagy jó gyakorlatok (kritikusak először)
Nincsenek GDPR-nek megfelelő átviteli biztonsági intézkedések az USA-ba történő adatáramláshoz
A Feltételek kimondják, hogy a felhasználók egyetértenek 'a titkosított információk és metaadatok átvitelével az Egyesült Államokba és más országokba, ahol van vagy használunk létesítményeket, szolgáltatókat vagy partnereket', de az irányelv nem említ Standard Contractual Clauses (SZS), megfelelőségi döntéseket vagy Binding Corporate Rules (vállalati szabályzatok) formájában semmilyen átviteli mechanizmust. A Schrems II utáni időszakban ez jelentős compliance hiány az EU-felhasználók számára.
A GDPR érintett személyek jogai nincsenek leírva
Az adatvédelmi irányelv nem sorolja fel vagy nem magyarázza a GDPR-jogokat (15–22. cikk): nincs jog a hozzáférésre, javításra, törlésre, korlátozásra, hordozhatóságra vagy tiltakozásra. Az egyetlen említés, hogy a felhasználók 'kezelhetik személyes információikat a Signal alkalmazás Beállításai menüpontjában', ami nem felel meg a GDPR 13(2)(b) cikkének.
Nincsenek megadva az adatmegtartási időtartamok
Az irányelv kimondja, hogy a támogatási adatok 'csak a probléma kutatásának céljából kerülnek megtartásra', és a műszaki információk 'a szükséges minimumra korlátozódnak', de egyetlen adatkategóriára sem vannak megadva konkrét megtartási időtartamok, ahogyan azt a GDPR 13(2)(a) cikke előírja.
A kötelező USA joghatóságra vonatkozó záradék ütközik az EU-fogyasztói jogokkal
A Feltételek kimondják, hogy a vitákat kizárólag 'az Egyesült Államok Észak-Kaliforniai Kerületi Bíróságán vagy a San Mateo megyei állami bíróságon' kell megoldani, ami az EU-fogyasztókkal szemben a Brüsszeli I Rendelet alapján érvénytelen lehet, és ellentmond a GDPR 79(2) cikkének.
Az adatvédelmi irányelv elavult – utolsó frissítés 2018. május
Az adatvédelmi irányelv 2018. május 25. óta nem frissült, felvetve a kérdést, hogy tükrözi-e a jelenlegi adatkezelési gyakorlatokat, harmadik féllel való kapcsolatok és a szabályozási követelmények evolúcióját.
Nincs megadva a feldolgozás jogi alapja
Az irányelv nem azonosítja a GDPR 6. cikk alapján a feldolgozás jogi alapját egyetlen feldolgozási tevékenységre sem (pl. szerződés teljesítése a fiók regisztrációjához, jogos érdekeltség a biztonság érdekében), ahogyan azt a GDPR 13(1)(c) cikke előírja.
A harmadik fél szolgáltatók hiányoznak a szerződéses részletek
Az irányelv említ 'Harmadik Fél Szolgáltatókat', akik ellenőrző kódokat küldenek, és kijelenti, hogy 'kötelezettséget vállalnak saját Adatvédelmi Irányelvük alapján az információk védelme érdekében', de nem nevezi meg őket, nem írja le a szerződéses biztonsági intézkedéseket, és nem biztosít alvállalkozói listát, ahogyan azt a GDPR felelősségi elvei elvárják.
Erős nem-monetizációs kötelezettség
A Feltételek expresszisen kimondják: 'A Signal nem ad el, nem bérbe ad és nem monetizálja a személyes adataidat vagy tartalmaidat semmilyen formában – soha.' Ez egy erős, feltétel nélküli kötelezettség, amely túllép a tipikus iparági nyelvhasználaton.
Összefoglaló a felhasználónak
Az üzeneteid és hívásaid valójában magánjellegűek és titkosítottak, de ha ki szeretnéd gyakorolni a GDPR-jogait, vagy tisztázást szeretnél az adataid USA-ba történő mozgatásáról, az irányelv nem ad egyértelmű válaszokat.
Megfelelőségi helyzet
Erős a műszaki adatvédelem, gyenge a jogi dokumentáció. A lényeg kifogástalan, de a formális GDPR-compliance keretrendszer hiányos.
EU-s átvitelek
A Feltételek expresszisen elismerik az USA-ba és más országokba történő adatátvitelt, de nem említik a GDPR-nek megfelelő átviteli mechanizmusokat (SZS, megfelelőségi döntés vagy vállalati szabályzatok). Ez jelentős compliance hiány a Schrems II után.
Észlelt jelek
A szövegben azonosított konkrét adatok és gyakorlatok
Bizonyító részletek
Közvetlen idézetek a szabályzatból e megállapítások alátámasztására
Signal does not sell, rent or monetize your personal data or content in any way – ever.
you agree to our data practices as described in our Privacy Policy, as well as the transfer of your encrypted information and metadata to the United States and other countries where we have or use facilities, service providers or partners.
You can manage your personal information in Signal's application Settings. For example, you can update your profile information or choose to enable additional privacy features like a Registration Lock PIN.
Signal limits this additional technical information to the minimum required to operate the Services.
You agree to resolve any Claim you have with us relating to or arising out of our Terms, us, or our Services exclusively in the United States District Court for the Northern District of California or a state court in San Mateo County, California.
These providers are bound by their Privacy Policies to safeguard that information.
Hiányzó vagy nem egyértelmű
- Nincsenek GDPR feldolgozási jogi alapok
- Nincsenek adatmegtartási időtartamok
- Nincs alvállalkozói lista
- Nincs adatvédelmi tisztviselő (DPO) elérése
- Nincs GDPR átviteli mechanizmus (SZS, megfelelőségi döntés, vállalati szabályzatok)
- Nincs expressz MI/modell képzési irányelv
- Nincs sütik vagy követő technológia nyilatkozat
- Nincsenek DPIA hivatkozások
- Nincs adatvédelmi incidens bejelentési eljárás
- Nincs expressz GDPR jogok felsorolása
Felteendő kérdések
- Milyen Standard Contractual Clauses (SZS) vagy más átviteli mechanizmusokra támaszkodik a Signal az EU-USA adatátvitelnél, és tudna biztosítani a releváns dokumentációt?
- Mik a konkrét adatmegtartási időtartamok az egyes gyűjtött adatkategóriákra (telefonszámok, műszaki metaadatok, támogatási adatok)?
- Kik az a 'Harmadik Fél Szolgáltatók', akik az ellenőrző kódokat feldolgozzák, és milyen szerződéses adatvédelmi kötelezettségeik vannak saját adatvédelmi irányelvükön túl?
- Hogyan gyakorolhatja ki egy EU-felhasználó a GDPR-jogait (hozzáférés, törlés, hordozhatóság, tiltakozás) – van-e dedikált folyamat vagy kapcsolat a privacy@signal.org e-mailen túl?
- Végezett-e a Signal egy Adatvédelmi Hatásvizsgálatot (DPIA) a kapcsolatok felfedezésére szolgáló funkcióra, tekintettel arra, hogy a címjegyzék adatok hash-elése és továbbítása is része?
- Miért nem frissült az adatvédelmi irányelv 2018. május óta, és tükrözi-e pontosan az összes jelenlegi adatfeldolgozási tevékenységet és harmadik féllel való kapcsolatot?
Elemzés megosztása
Bárki, aki rendelkezik ezzel a linkkel, megtekintheti a fenti eredményt.
A DentroChat készítette
100%-ban európai AI chat mindenkinek
Csevegj AI-val, dolgozz fájlokkal, generálj képeket és keress a weben. Az adatok Európában maradnak.
További elemzett adatvédelmi irányelvek
Összes megtekintéseapple.com
72/100
Közepes adatvédelmi kockázatAz Apple Messages adatvédelmi nyilatkozata erős titkosítást és rövid adatmegőrzést mutat, de kritikus EU-megfelelőségi hiányosságokat hagy – nem tesz említést a nemzetközi adattovábbításokról, a GDPR felhasználói jogokról, vagy arról, hogy az üzenetek metaadatai AI modellek betanítására szolgálnak-e.
Jelentés megtekintése →about.qwant.com
72/100
Közepes adatvédelmi kockázatA Qwant alapértelmezés szerint erős adatvédelmet kínál nyomkövető sütik nélkül, de fiók létrehozása vagy sütik elfogadása jelentős adatokat oszt meg a Microsofttal, és a szabályzat nem tartalmaz egyértelmű tájékoztatást a nemzetközi adattovábbításokról és az AI-képzésről.
Jelentés megtekintése →slack.com
72/100
Közepes adatvédelmi kockázatA Slack személyes és használati adatok széles körét gyűjti, és nagyrészt széleskörű jogos érdekekre támaszkodik azok feldolgozása és globális továbbítása során, bár biztosítja a szabványos GDPR jogokat és olyan biztosítékokat, mint a Szabványos Szerződési Klauzulák.
Jelentés megtekintése →swipesign.io
75/100
Közepes adatvédelmi kockázatA swipesign sok adatot gyűjt rólad, és megoszt másodlagos féllel (például Stripe és Twilio), de az adatokat többnyire az EU-ban tárolja, és lehetővé teszi a GDPR-jogok érvényesítését.
Jelentés megtekintése →