cursor.com — 62/100 (Średnie ryzyko prywatności)
Ostatnia analiza
Anysphere, Inc. · cursor.com
Szczegóły raportu
Średnie ryzyko prywatnościCursor (Anysphere) obiecuje, że domyślnie nie będzie używać wprowadzonych przez Ciebie kodów do trenowania AI, oraz że nie sprzedaje Twoich danych, ale zbiera szeroki zakres danych osobowych i dotyczących użytkowania, przesyła je do USA z niejasnymi zabezpieczeniami transferu oraz pomija kluczowe szczegóły, takie jak okresy przechowywania i podstawy prawne.
Polityka prywatności dla Cursor (Anysphere, Inc.) obejmuje szeroki zakres zbierania danych, od informacji o koncie po wszystkie wprowadzone dane i sugestie użytkowników. Polityka wyróżnia się pozytywnie domyślnym zakazem używania wprowadzonych danych/sugestii do trenowania modeli oraz zobowiązaniem, że nie sprzedaje danych ani nie prowadzi ukierunkowanej reklamy. Istnieją jednak znaczne luki: okresy przechowywania nie są zdefiniowane, podstawy prawne przetwarzania są wymienione w pustej tabeli, mechanizmy międzynarodowych transferów są nieokreślone poza ogólnymi zapewnieniami, a kilka kluczowych dokumentów (Przegląd prywatności, Polityka ciasteczek, lista podwykonawców) jest wymienionych, ale niedostępnych. Szerokie zbieranie wprowadzonych danych – które w narzędziu programistycznym mogą zawierać poufne lub wrażliwe informacje – w połączeniu z udostępnianiem ich dostawcom modeli i partnerom infrastruktury chmurowej budzi obawy dotyczące minimalizacji danych.
Ocena według kategorii
Podział polityki na kluczowe obszary zgodności. Dobry = silny, umiarkowany = mieszany, słaby = niepokojący.
Polityka zbiera wszystkie wprowadzone dane i sugestie użytkowników, dane urządzenia/dzienniki/użytkowania oraz informacje o lokalizacji bez jasnego ograniczenia zbierania do tego, co jest bezwzględnie konieczne do świadczenia usługi.
Polityka jest jasno sformułowana i zorganizowana, ale odnosi się do wielu zewnętrznych dokumentów (Przegląd prywatności, Polityka ciasteczek, lista podwykonawców), które nie są dołączone, a tabela z podstawami prawnymi dla poszczególnych jurysdykcji wydaje się pusta.
Dane są udostępniane szerokiemu gronu dostawców usług, w tym dostawcom modeli i infrastruktury chmurowej, ale w samej polityce nie wymieniono żadnych konkretnych podwykonawców, a odnośna lista jest zewnętrzna.
Dane użytkowników z Europejskiego Obszaru Gospodarczego (EOG) są przesyłane na serwery w USA z jedynie ogólnym zobowiązaniem do „prawidłowych mechanizmów transferu” i „odpowiedniego poziomu ochrony danych” – nie zidentyfikowano konkretnego mechanizmu (SKU, Ramy ochrony prywatności danych UE-USA, Wiążące reguły korporacyjne).
Wprowadzone dane i sugestie nie są domyślnie używane do trenowania modeli, z wyjątkiem wąskich przypadków (przegląd bezpieczeństwa, jawne zgłoszenie opinii lub jawna zgoda użytkownika), a użytkownicy mogą zarządzać swoimi preferencjami.
Polityka wymienia prawa do dostępu, usunięcia, sprostowania, przenoszenia, sprzeciwu, ograniczenia oraz wycofania zgody, ale podaje jedynie ogólny adres e-mail do kontaktu i nie wymienia Inspektora Ochrony Danych (IOD) ani przedstawiciela w UE.
Kluczowe ustalenia
Istotne klauzule, problemy lub dobre praktyki (krytyczne na początku)
Szerokie zbieranie wprowadzonych danych i sugestii użytkowników bez jasnej minimalizacji
Sekcja 1(A) stwierdza, że zbierane są wszystkie wprowadzone dane (treści przesłane przez użytkownika) i sugestie (odpowiedzi generowane przez AI). W przypadku narzędzia programistycznego wprowadzone dane mogą zawierać własnościowy kod źródłowy, klucze API, dane uwierzytelniające lub inne wrażliwe informacje. Polityka nie opisuje żadnych środków technicznych mających na celu filtrowanie lub minimalizację tego, co jest przechowywane z wprowadzonych danych – podkreśla jedynie, że są one zbierane w całości.
Niejasne i nieokreślone okresy przechowywania
Sekcja 4 stwierdza jedynie, że dane są przechowywane „tak długo, jak jest to konieczne do skutecznego funkcjonowania Usługi oraz wsparcia uzasadnionych potrzeb biznesowych” i że „odpowiedni okres przechowywania się różni”. Nie podano konkretnych ram czasowych ani kryteriów dla żadnej kategorii danych, co uniemożliwia użytkownikom zrozumienie, jak długo ich dane są przechowywane.
Niesprecyzowany mechanizm międzynarodowego transferu
Sekcja 6 przyznaje, że dane użytkowników z EOG są przesyłane na serwery w USA, ale stwierdza jedynie, że „przesyłamy dane zgodnie z prawidłowymi mechanizmami transferu” i „wymagamy odpowiedniego poziomu ochrony danych”. Konkrety mechanizm prawny (Standardowe klauzule umowne, certyfikacja Ram ochrony prywatności danych UE-USA, Wiążące reguły korporacyjne) nie został zidentyfikowany, co jest wymogiem przejrzystości RODO.
Tabela podstaw prawnych dla poszczególnych jurysdykcji jest pusta lub niedostępna
Sekcja 7 odnosi się do tabeli, która „uzupełnia niniejszą Politykę prywatności, dostarczając dodatkowych informacji na temat celu zbierania danych, rodzaju zbieranych danych i podstawy prawnej”, ale treść tabeli nie została dołączona do udostępnionego tekstu. Bez niej wymogi RODO (art. 13) dotyczące określenia podstaw prawnych nie są spełnione.
Wyjątek dotyczący przeglądu bezpieczeństwa może poszerzać użycie danych poza oczekiwaniami użytkowników
Pierwszy wyjątek od zakazu trenowania w Sekcji 2 zezwala na użycie wprowadzonych danych/sugestii „oznaczonych do przeglądu bezpieczeństwa” w celu „poprawy naszej zdolności do wykrywania i egzekwowania naszych Warunków Usługi”. Jest to potencjalnie szeroki wyjątek, który mógłby zezwalać na trenowanie modeli na danych użytkowników bez jawnej zgody, jeśli zostaną uznane za kwestię bezpieczeństwa.
Nie zidentyfikowano Inspektora Ochrony Danych ani przedstawiciela w UE
Polityka podaje jedynie ogólny adres e-mail do kontaktu (hi@cursor.com) i nie identyfikuje Inspektora Ochrony Danych, przedstawiciela w UE zgodnie z RODO (art. 27) ani żadnej dedykowanej roli kontaktowej ds. prywatności, co może być wymagane w przypadku przetwarzania danych mieszkańców EOG.
Domyślne wyłączenie trenowania AI to mocna zaleta
Sekcja 2 wyraźnie stwierdza: „Nie używamy wprowadzonych danych ani sugestii do trenowania naszych modeli ani nie zezwalamy stronom trzecim na ich użycie do trenowania, chyba że: (1) zostały oznaczone do przeglądu bezpieczeństwa... (2) jawnie je nam zgłosisz... lub (3) jawnie zgodziłeś się na ich użycie do takich celów trenowania.” Jest to domyślne ustawienie chroniące prywatność, które wykracza poza standardy branżowe dla narzędzi AI.
Podsumowanie dla użytkownika
Twoje kody i polecenia nie są domyślnie używane do trenowania AI Cursor, co jest rzadką i mile widzianą ochroną, ale wszystko, co wpiszesz, nadal przechodzi przez ich systemy i może być dostępne do przeglądu bezpieczeństwa, a Twoje dane są przesyłane do USA bez jasnych zabezpieczeń prawnych.
Postawa zgodności
Częściowo zgodna z zasadami RODO (Ogólne rozporządzenie o ochronie danych osobowych); mocna w zakresie ograniczenia celu dla trenowania AI, ale słaba w zakresie minimalizacji danych, ograniczenia przechowywania i szczegółowości międzynarodowych transferów.
Transfery UE
Dane są jawne przesyłane do USA. Polityka stwierdza, że transfery wykorzystują „prawidłowe mechanizmy transferu” i wymagają „odpowiedniego poziomu ochrony danych”, ale nie precyzuje, czy są to Standardowe klauzule umowne, Ramy ochrony prywatności danych UE-USA, czy inne mechanizmy. Jest to istotna luka w zakresie zgodności z RODO.
Wykryte sygnały
Konkretne dane i praktyki zidentyfikowane w tekście
Fragmenty dowodowe
Bezpośrednie cytaty z polityki potwierdzające te ustalenia
We do not use Inputs or Suggestions to train our models, or permit third parties to use them for training, unless: (1) they are flagged for security review (in which case we may analyze them to improve our ability to detect and enforce our Terms of Service), (2) you explicitly report them to us (for example, as Feedback), or (3) you've explicitly agreed to their use for such training purposes.
Anysphere retains your personal data only for as long as necessary to operate the Service effectively and to support legitimate business needs such as legal compliance, safety, dispute resolution, and enforcement of our agreements.
For users in the European Economic Area, ('EEA'), when you access our Service, your personal data may be transferred to our United States servers to other countries outside the EEA and the UK. Where information is transferred outside the EEA or the UK, we require an adequate level of data protection.
We do not 'sell' or 'share' personal data for cross-contextual behavioral advertising, and we do not process personal data for 'targeted advertising' purposes (as those terms are defined under applicable US state privacy laws).
The Service allows you to submit content ('Inputs'), which generate responses ('Suggestions') based on your Inputs. If you include personal data or reference external content in your Inputs, we will collect that information and it may be reproduced in the Suggestions we provide.
Brakujące lub niejasne
- Konkrety podstawy prawne dla każdego celu przetwarzania (RODO art. 13 ust. 1 lit. c)
- Konkrety okresy przechowywania lub kryteria dla każdej kategorii danych
- Identyfikacja Inspektora Ochrony Danych
- Identyfikacja przedstawiciela w UE zgodnie z RODO art. 27
- Konkrety mechanizm międzynarodowego transferu (SKU, Ramy ochrony prywatności danych UE-USA, Wiążące reguły korporacyjne)
- Treść tabeli ujawnień specyficznych dla jurysdykcji wymienionej w Sekcji 7
- Treść dokumentu Przegląd prywatności wymienionego we Wstępie dotycząca szczegółów trenowania modeli
- Szczegóły Polityki ciasteczek
- Treść listy podwykonawców
- Szczegóły dotyczące działania i zakresu oznaczania do przeglądu bezpieczeństwa
- Czy przeprowadzono oceny wpływu na ochronę danych (DPIA)
Pytania do zadania
- Na jakim konkretnym mechanizmie transferu opieracie się w przypadku transferów danych z EOG do USA (Standardowe klauzule umowne, Ramy ochrony prywatności danych UE-USA lub inny) i czy możecie udostępnić odpowiednią dokumentację?
- Jakie są konkretne okresy przechowywania dla każdej kategorii danych osobowych, w szczególności dla wprowadzonych danych i sugestii?
- Według jakich konkretnych kryteriów wprowadzone dane są „oznaczane do przeglądu bezpieczeństwa” i czy możecie podać statystyki dotyczące częstotliwości stosowania tego wyjątku?
- Kto jest wyznaczonym Inspektorem Ochrony Danych lub przedstawicielem w UE, i jak osoby, których dane dotyczą, mogą się z nimi skontaktować bezpośrednio?
- Czy możecie udostępnić pełną listę podwykonawców, w tym dostawców modeli, i określić, którzy podwykonawcy mają dostęp do wprowadzonych danych użytkowników?
- Czy przeprowadziliście Ocenę wpływu na ochronę danych (DPIA) dla przetwarzania wprowadzonych danych użytkowników, biorąc pod uwagę potencjalne ryzyko związane z wrażliwymi lub własnościowymi treściami kodu?
- Jakie są konkretne podstawy prawne (zgoda, uzasadniony interes, wykonanie umowy) dla każdego celu przetwarzania wymienionego w Sekcji 2?
- Jak działa mechanizm „zarządzania preferencjami” dotyczący opt-in/opt-out trenowania AI pod względem technicznym i czy jest domyślnie włączony dla wszystkich użytkowników?
Udostępnij tę analizę
Każda osoba z tym linkiem może zobaczyć wynik powyżej.
Stworzone przez DentroChat
100% europejski czat AI dla wszystkich
Rozmawiaj z AI, pracuj z plikami, generuj obrazy i przeszukuj sieć. Dane pozostają w Europie.
Inne analizowane polityki prywatności
Zobacz wszystkieapp.klang.ai
62/100
Średnie ryzyko prywatnościKlang AI zbiera potencjalnie wrażliwe treści audio i wideo, dzieli się nimi z wieloma dostawcami AI i zastrzega sobie prawo do wykorzystania przesłanych przez Ciebie danych w celu ulepszania własnych algorytmów bez możliwości rezygnacji — chociaż większość przetwarzania odbywa się w UE i stosuje zasadę zerowej retencji danych z podwykonawcami AI.
Zobacz raport →eustella.com
62/100
Średnie ryzyko prywatnościeustella składa mocne obietnice dotyczące prywatności — nie sprzedaje danych, nie udostępnia ich stronom trzecim, nie trenuje na nich AI i przetwarza wszystkie dane w UE — ale to jest tekst marketingowy, a nie wiążąca polityka prywatności, a kluczowe szczegóły dotyczące zbierania danych, ich przechowywania, podwykonawców i praw użytkowników nie zostały podane.
Zobacz raport →lhv.com
62/100
Średnie ryzyko prywatnościLHV Bank zbiera szeroki zakres danych osobowych i finansowych, szeroko je udostępnia agencjom zapobiegającym oszustwom i pośrednikom płatniczym oraz mocno opiera się na uzasadnionym interesie w marketingu i analizach — ale uwzględnia prawa RODO i stosuje ręczną weryfikację w przypadku decyzji profilujących.
Zobacz raport →cake.com
62/100
Średnie ryzyko prywatnościCAKE.com zapewnia standardowe prawa do danych w UE i zabezpieczenia transferu, ale w imieniu pracodawców, którzy pełnią rolę administratorów danych wobec swoich pracowników, gromadzi wysoce inwazyjne dane z nadzoru w miejscu pracy — takie jak zrzuty ekranu, lokalizacja w tle i użycie aplikacji.
Zobacz raport →