bsky.social — 55/100 (Średnie ryzyko prywatności)
Ostatnia analiza
Bluesky Social, PBC · bsky.app
Szczegóły raportu
Średnie ryzyko prywatnościBluesky zbiera szerokie dane behawioralne i przechowuje Twoje wiadomości prywatne w formie niezaszyfrowanej, ale zdobywa punkty za odmowę sprzedaży Twoich danych w celu reklam ukierunkowanych oraz za solidną infrastrukturę praw zgodną z RODO (Ogólnym Rozporządzeniem o Ochronie Danych Osobowych).
Polityka prywatności Bluesky Social, PBC przedstawia zróżnicowany profil zgodności. Pozytywnie należy odnotować, że firma wyraźnie zrzeka się sprzedaży lub udostępniania danych osobowych w celu reklam ukierunkowanych, powołała Inspektora Ochrony Danych Osobowych oraz przedstawicieli w UE i UK, a także dostarcza szczegółowe uzupełniające informacje dla podmiotów objętych RODO w UE/UK. Niemniej jednak pozostają istotne obawy: wiadomości prywatne są przechowywane w formie niezaszyfrowanej i dostępne wewnętrznie dla celów „Zaufania i Bezpieczeństwa”, śledzenie zachowań użytkowników obejmuje oglądane posty i kliknięte linki, okresy przechowywania danych są określane na podstawie niejasnego „indywidualnego podejścia” bez konkretnych ram czasowych, polityka nie zawiera żadnych informacji na temat wykorzystania danych użytkowników do trenowania modeli AI, a zabezpieczenia dotyczące międzynarodowych transferów danych są opisane jedynie w ogólnych terminach, bez wskazania, które standardowe klauzule umowne (SCC) lub decyzje o odpowiednim poziomie ochrony są faktycznie stosowane. Nie dostarczono również listy podwykonawców. Zdecentralizowana i publiczna z założenia architektura oznacza ponadto, że większość aktywności użytkowników jest z natury publiczna.
Ocena według kategorii
Podział polityki na kluczowe obszary zgodności. Dobry = silny, umiarkowany = mieszany, słaby = niepokojący.
Zbiera dane behawioralne wykraczające poza to, co absolutnie konieczne — np. oglądane posty i kliknięte linki — choć unika zbierania danych na potrzeby reklam ukierunkowanych.
Polityka jest szczegółowa z uzupełniającymi informacjami dla poszczególnych jurysdykcji, ale pozostaje niejasna w kwestii okresów przechowywania, tożsamości podwykonawców oraz wykorzystania danych do trenowania AI.
Wyraźnie nie sprzedaje danych na potrzeby reklam ukierunkowanych, ale szeroko udostępnia dane nienazwanym dostawcom usług, partnerom biznesowym i podmiotom powiązanym bez ich wymieniania.
Uznaje globalne transfery danych, ale odnosi się jedynie ogólnie do standardowych klauzul umownych, bez podawania szczegółów dotyczących faktycznych zabezpieczeń, miejsc docelowych transferu ani dodatkowych środków ochrony.
Polityka w ogóle nie porusza kwestii wykorzystania danych użytkowników do trenowania modeli AI lub uczenia maszynowego, ani nie zapewnia mechanizmu rezygnacji.
Szeroko opisane prawa zgodne z RODO, z powołanym Inspektorem Ochrony Danych Osobowych, przedstawicielami w UE/UK, jasnymi terminami odpowiedzi (30/60 dni) oraz informacjami kontaktowymi do organów nadzorczych.
Kluczowe ustalenia
Istotne klauzule, problemy lub dobre praktyki (krytyczne na początku)
Niezaszyfrowane wiadomości prywatne dostępne dla personelu
Sekcja 8(A)(4) wyraźnie stwierdza, że wiadomości prywatne są „niezaszyfrowane i mogą być dostępne w celach Zaufania i Bezpieczeństwa”. Oznacza to, że prywatne komunikacja między użytkownikami nie jest chroniona szyfrowaniem end-to-end i może być czytana przez pracowników Bluesky, co stanowi istotną lukę w ochronie prywatności dla funkcji wiadomości prywatnych.
Szerokie śledzenie zachowań wykraczające poza konieczność świadczenia usługi
Sekcja 8(B)(1) ujawnia zbieranie „postów, które oglądasz na Bluesky, linków, które klikasz w ramach Bluesky, oraz częstotliwości i czasu trwania Twoich działań”. To wykracza daleko poza to, co jest konieczne do świadczenia usługi mikroblogowej, i stanowi śledzenie zachowań na poziomie inwigilacji bez jasnego uzasadnienia konieczności zgodnie z art. 5 ust. 1 lit. c RODO.
Niejasne okresy przechowywania bez konkretnych ram czasowych
Sekcja 14 stwierdza, że okresy przechowywania są określane „indywidualnie” z uwzględnieniem różnych kryteriów, ale nie podaje konkretnych okresów przechowywania dla żadnej kategorii danych. Zgodnie z art. 5 ust. 1 lit. e RODO dane osobowe nie mogą być przechowywane dłużej niż jest to konieczne, a brak zdefiniowanych okresów uniemożliwia weryfikację zgodności.
Brak informacji na temat wykorzystania danych użytkowników do trenowania AI/modeli
Polityka nie porusza kwestii, czy dane osobowe — w tym posty, wiadomości prywatne i dane dotyczące użytkowania — są wykorzystywane do trenowania modeli AI lub uczenia maszynowego. Sekcja 10(B) wspomina o „badaniach i rozwoju” oraz „tworzeniu nowych produktów i usług”, co może obejmować trenowanie AI, ale nie ma jawnego ujawnienia ani mechanizmu rezygnacji.
Niedostatecznie sprecyzowane zabezpieczenia międzynarodowych transferów danych
Sekcja 12 odnosi się do standardowych klauzul umownych jako potencjalnego zabezpieczenia transferów z EOG/UK/Brazylii, ale nie precyzuje, które moduły SCC są stosowane, do których krajów dane są transferowane, ani czy przeprowadzono oceny wpływu transferu lub wdrożono dodatkowe środki ochrony, jak wymaga tego wyrok Schrems II.
Brak listy podwykonawców
Sekcja 11(A)(4) ujawnia udostępnianie danych „zewnętrznym dostawcom usług i sprzedawcom” w celu wsparcia IT, hostingu, przetwarzania płatności i obsługi klienta, ale nie zawiera ani nie linkuje do listy podwykonawców. Artykuł 28 ust. 2 RODO oraz zasady transparentności wymagają, aby osoby, których dane dotyczą, wiedziały, kto przetwarza ich dane.
Sygnały Do Not Track nie są honorowane
Sekcja 13(A)(3) stwierdza, że Bluesky „obecnie nie reaguje ani nie honoruje sygnałów DNT ani podobnych mechanizmów przesyłanych przez przeglądarki internetowe”. Choć DNT nie ma spójnego standardu, sygnalizuje to lekceważące podejście do preferencji prywatności wyrażanych przez użytkowników za pośrednictwem ustawień przeglądarki.
Podsumowanie dla użytkownika
Twoje posty i profil są publiczne z założenia, Twoje wiadomości prywatne nie są zaszyfrowane i mogą być czytane przez pracowników Bluesky, a firma śledzi, co oglądasz i klikasz – ale przynajmniej nie sprzedaje Twoich danych reklamodawcom.
Postawa zgodności
Częściowa zgodność z RODO z istniejącymi elementami strukturalnymi (IOD, przedstawiciel w UE, ujawnienie praw), ale z istotnymi lukami w zakresie minimalizacji danych, precyzji okresów przechowywania, zabezpieczeń transferu międzynarodowego oraz transparentności dotyczącej AI.
Transfery UE
Polityka uznaje międzynarodowe transfery danych z EOG/UK/Brazylii i odnosi się do standardowych klauzul umownych jako potencjalnego zabezpieczenia, ale nie podaje szczegółów, które SCC są faktycznie stosowane, do których krajów dane są transferowane, ani czy wdrożono dodatkowe środki ochrony. Jest to zbyt ogólne w świetle wymogów wynikających z wyroku Schrems II.
Wykryte sygnały
Konkretne dane i praktyki zidentyfikowane w tekście
Fragmenty dowodowe
Bezpośrednie cytaty z polityki potwierdzające te ustalenia
Your Direct Messages. We store and process your direct messages so you can communicate directly with other users on the Bluesky App. These are unencrypted and can be accessed for Trust & Safety purposes.
We may also collect personal information about your use of Bluesky, including the posts you view on Bluesky, the links you click within Bluesky, and the frequency and duration of your activities.
We do not sell or share Personal Data for the purpose of displaying advertisements that are selected based on Personal Data from your activities on or use of Bluesky ('Targeted Advertising').
We may transfer, process, and store all personal information we collect anywhere in the world.
When determining the retention period, we make case-by-case determinations, taking into account various criteria, like the type of products and services requested by or provided to you, the nature and length of our relationship with you...
We currently do not respond to or honor DNT signals or similar mechanisms transmitted by web browsers, as there is no consistent industry standard for compliance.
Brakujące lub niejasne
- Brak listy podwykonawców lub linku do niej
- Brak konkretnych okresów przechowywania danych
- Brak ujawnienia dotyczącego trenowania AI/modeli
- Brak szyfrowania end-to-end dla wiadomości prywatnych
- Brak szczegółów dotyczących międzynarodowych zabezpieczeń transferu poza ogólnym odniesieniem do SCC
- Brak banera zgody na cookie ani centrum preferencji
- Brak procedury powiadamiania o naruszeniu ochrony danych
- Brak odniesień do DPIA (Oceny wpływu na ochronę danych)
- Brak ujawnionych ocen uzasadnionego interesu
Pytania do zadania
- Jakie konkretne zewnętrzne dostawcy usług i podwykonawcy obecnie przetwarzają dane osobowe użytkowników Bluesky i gdzie się znajdują?
- Czy dane użytkowników — w szczególności posty, wiadomości prywatne i zachowania użytkowników — są wykorzystywane do trenowania modeli AI lub uczenia maszynowego, i jeśli tak, w jaki sposób użytkownicy mogą zrezygnować?
- Które konkretne moduły standardowych klauzul umownych zostały zawarte w przypadku transferów danych z EOG/UK, i czy przeprowadzono oceny wpływu transferu?
- Jakie są konkretne okresy przechowywania dla każdej kategorii danych osobowych, w szczególności dla wiadomości prywatnych, danych dotyczących użytkowania i adresów IP?
- Kiedy wiadomości prywatne będą chronione szyfrowaniem end-to-end, biorąc pod uwagę obecny niezaszyfrowany dostęp w celach Zaufania i Bezpieczeństwa?
- Jak Bluesky uzasadnia zbieranie oglądanych postów i klikniętych linków jako konieczne zgodnie z zasadą minimalizacji danych w RODO?
- Jaki jest proces i harmonogram odpowiedzi na żądania dostępu do danych osobowych zgodnie z RODO, i w jakim formacie dane są zwykle udostępniane?
Udostępnij tę analizę
Każda osoba z tym linkiem może zobaczyć wynik powyżej.
Stworzone przez DentroChat
100% europejski czat AI dla wszystkich
Rozmawiaj z AI, pracuj z plikami, generuj obrazy i przeszukuj sieć. Dane pozostają w Europie.
Inne analizowane polityki prywatności
Zobacz wszystkiescaleway.com
55/100
Średnie ryzyko prywatnościScaleway dużo mówi o europejskiej suwerenności danych, ale ta strona marketingowa nie dostarcza żadnej rzeczywistej treści polityki prywatności, która potwierdzałaby te twierdzenia.
Zobacz raport →linkedin.com
55/100
Średnie ryzyko prywatnościLinkedIn zbiera ogromne ilości Twoich danych — w tym z kontaktów, kalendarza i z całej sieci — używa ich do trenowania modeli AI bez jasnej opcji rezygnacji, szeroko udostępnia je Microsoftowi i reklamodawcom oraz przechowuje na dużą skalę, chociaż użytkownicy z UE mają pewne dodatkowe ochrony.
Zobacz raport →peerpush.com
55/100
Średnie ryzyko prywatnościPeerPush ma silne praktyki anonimizacji w swoich publicznych statystykach, ale nie spełnia podstawowych wymogów RODO (GDPR), nie ujawniając podstaw prawnych, brakuje przedstawiciela w UE i używając niejasnego języka w sprawie międzynarodowych transferów danych.
Zobacz raport →tella.com
55/100
Średnie ryzyko prywatnościTella zbiera wrażliwe dane wideo i udostępnia je licznym amerykańskim dostawcom usług AI i analityki, nie wyjaśniając jednoznacznie, czy Twoje dane służą do trenowania ich modeli, co czyni to rozwiązanie o mieszanym odbiorze dla użytkowników z UE.
Zobacz raport →