tugraz.at Politică de confidențialitate — 78/100 (Risc mediu pentru confidențialitate)
Ultima analiză
Technische Universität Graz (TU Graz) · tugraz.at
Detalii raport
Risc mediu pentru confidențialitateTU Graz gestionează datele dvs. legal, cu controale stricte de confidențialitate, dar unele instrumente terțe și practici de date de jurnal ar putea fi mai prietenoase cu confidențialitatea.
TU Graz's privacy policy is highly transparent and GDPR-compliant in many areas, particularly regarding user rights and consent mechanisms. However, gaps exist in data minimization (e.g., MAC addresses in logs), international transfer safeguards, and clarity on third-party data sharing. The use of US-based marketing tools, even with consent, introduces compliance risks under Schrems II.
Nu am putut traduce acest raport acum, așa că detaliile de mai jos sunt în engleză.
Evaluare pe categorii
Defalcare a politicii pe domenii cheie de conformitate. Bun = solid, rezonabil = mixt, slab = îngrijorător.
Log data includes MAC addresses, which may exceed necessity; analytics data is anonymized (e.g., IP truncation in Matomo).
Detailed breakdown of data categories, purposes, and legal bases, with clear references to GDPR and TKG 2021.
Extensive use of third-party marketing/analytics tools (Meta, Google, LinkedIn, Reddit) with consent, but transfers to US raise concerns.
Relies on Data Privacy Framework for US transfers but lacks explicit mention of SCCs or supplementary measures for non-DPF providers.
No evidence of user data being used for AI/model training; analytics are aggregated and anonymized.
All GDPR rights are explicitly described, with a dedicated form for requests and clear instructions for cookie consent withdrawal.
Constatări cheie
Clauze notabile, probleme sau practici pozitive identificate (critice primele)
Ambiguity in International Transfer Safeguards
Third-party marketing tools (Meta Pixel, Google Ads, LinkedIn Insight Tag, Reddit Pixel) are used with user consent, but data may be transferred to the US. While the policy cites the Data Privacy Framework (DPF) for US transfers, it does not explicitly mention Standard Contractual Clauses (SCCs) or supplementary measures for non-DPF-certified providers, which could be a compliance gap under Schrems II.
Overbroad Log Data Retention
Log data (including IP and MAC addresses) is collected for system security and stored for up to 12 months, which is justified under Art. 6(1)(f) DSGVO (legitimate interest). However, MAC addresses are highly identifiable and their necessity for security logging is debatable under data minimization principles.
Unclear Necessity of Functional Cookies
The policy clearly states that functional cookies (e.g., session cookies) are exempt from consent under § 165 Abs. 3 TKG 2021, but it does not explicitly confirm whether these cookies are strictly necessary for the service, which is a GDPR requirement for consent exemption.
Potential Re-Identification Risk in Study Explorer
The Study Explorer tool uses functional cookies for basic functionality (e.g., storing anonymous user codes) and optional analytics cookies. The policy does not specify whether the anonymous user codes could be linked to other data, raising potential re-identification concerns.
Lack of Clarity on Payment Data Handling
The policy mentions that payment data is processed for electronic transactions (e.g., via PAYONE GmbH) but does not specify whether payment data is stored or shared with other third parties beyond the payment processor.
Consent-Dependent Social Media Integration
Social media plugins (e.g., X, YouTube) require explicit user consent before activation, and data is only transmitted upon user interaction (e.g., clicking 'Video aktivieren'). This is a privacy-friendly approach, but the policy does not clarify whether third-party cookies from these plugins are blocked by default.
Comprehensive User Rights Documentation
User rights (access, rectification, erasure, restriction, portability, objection) are explicitly listed, and a dedicated form is provided for exercising these rights. This is a strong compliance signal.
Rezumat pentru utilizator
TU Graz processes personal data lawfully under GDPR, with strong transparency and user rights, but some third-party transfers and marketing practices require scrutiny.
Postură de conformitate
GDPR-compliant with minor gaps
Transferuri UE
Mixed: Data mostly processed in EU/EEA, but some third-party tools (e.g., Meta, Google, LinkedIn, Reddit) may transfer data to the US under Data Privacy Framework or SCCs.
Semnale detectate
Date și practici specifice identificate în text
Fragmente probatorii
Citate directe din politică care susțin aceste constatări
Wir verarbeiten Ihre Daten ausschließlich auf Grundlage der gesetzlichen Bestimmungen zum Datenschutz und zur Datensicherheit, insbesondere nach dem österreichischen Datenschutzgesetz („DSG“), der EU-Datenschutzgrundverordnung („DSGVO“), sowie nach dem Telekommunikationsgesetz („TKG 2021“).
Die Logdaten werden nicht mit anderen personenbezogenen Daten verknüpft.
Wir verwenden den Advanced Consent Mode. Ohne Ihre Zustimmung werden keine Cookies gesetzt.
Die Übermittlung dieser Daten in die USA erfolgt auf Grundlage eines Angemessenheitsbeschlusses (Art 45 DSGVO) an Unternehmen, die nach dem Data Privacy Framework zertifiziert sind.
Sie haben das Recht auf Auskunft, Berichtigung und Löschung Ihrer Daten. Zusätzlich haben Sie das Recht auf Einschränkung sowie das Recht auf Datenübertragbarkeit der von Ihnen bereitgestellten Daten.
Lipsă sau neclar
- Explicit confirmation that functional cookies are strictly necessary (GDPR requirement for consent exemption).
- Details on supplementary measures (e.g., encryption, pseudonymization) for international transfers to non-DPF-certified providers.
- Clarification on whether MAC addresses in log data are hashed or otherwise pseudonymized.
- Information on whether payment data is retained by TU Graz or only processed by PAYONE GmbH.
- Explicit statement on whether Study Explorer's anonymous user codes are truly unlinkable to other data.
Întrebări de pus
- Are MAC addresses in log data hashed or pseudonymized to comply with data minimization principles?
- What supplementary measures (e.g., SCCs, encryption) are in place for international transfers to non-DPF-certified third parties?
- Are functional cookies strictly necessary for the service, and if so, how is this documented?
- Is payment data retained by TU Graz after transaction processing, and if so, for how long?
- Can Study Explorer's anonymous user codes be linked to other data, and if so, under what circumstances?
- Are third-party cookies from social media plugins blocked by default until consent is given?
Distribuie această analiză
Oricine are acest link poate vedea rezultatul de mai sus.
Creat de DentroChat
Chat AI 100% european pentru toți
Discută cu AI, lucrează cu fișiere, generează imagini și caută pe web. Datele rămân în Europa.
Alte politici de confidențialitate analizate
Vezi toatesykik.ai
78/100
Risc mediu pentru confidențialitateSykik oferă agenți AI găzduiți în UE cu o puternică localizare a datelor și practici aliniate cu GDPR, dar lipsesc detalii explicite privind minimizarea datelor, opțiunile de renunțare la antrenarea AI și controalele privind partajarea cu terțe părți.
Vezi raportul →europealternatives.com
78/100
Risc scăzut pentru confidențialitateEurope Alternatives este un director prietenos cu confidențialitatea care colectează aproape niciun date personal, dar făcând clic pe linkurile partenerilor poate trimite datele tale către terțe părți — inclusiv potențial în afara UE — fără a descrie măsuri de protecție clare.
Vezi raportul →langdock.com
78/100
Risc scăzut pentru confidențialitateLangdock este o platformă AI cu sediul în UE, preocupată de confidențialitate, care interzice în mod explicit utilizarea conținutului dvs. pentru a antrena modele AI și păstrează datele în UE, deși se bazează pe unii sub-procesori din SUA și are perioade de retenție vagi în anumite privințe.
Vezi raportul →berlin.de
80/100
Risc scăzut pentru confidențialitatePolitica de confidențialitate a Cancelariei Senatului din Berlin este în general solidă, folosind consimțământul în două clicuri pentru conținut media de la terți și anonimizarea IP-urilor, deși se bazează pe clauze contractuale standard pentru unii subprocesori din afara SEE și lipsesc clarificările privind antrenarea AI.
Vezi raportul →