ALTCHA

Qué es ALTCHA y para qué sirve

ALTCHA es una alternativa de captcha de código abierto desarrollada por Daniel Regeci y el equipo de BAU.PLUS en Eslovaquia. En lugar de basarse en el seguimiento del comportamiento, en el fingerprinting o en pruebas de imágenes, hace que el navegador del visitante calcule localmente un reto de prueba de trabajo antes de enviar el formulario. A continuación, el servidor verifica el token firmado y acepta o rechaza el envío, bloqueando así la gran mayoría de los bots de spam sin perfilar nunca al usuario humano.

Datos y cookies que recopila ALTCHA

En su configuración por defecto, ALTCHA no instala cookies, no realiza fingerprinting y no crea perfiles de comportamiento. Los únicos datos tratados son la dirección IP del visitante (inevitable en cualquier solicitud HTTP al endpoint de verificación), el reto de prueba de trabajo y el token firmado de corta duración que devuelve el navegador. Cuando se utiliza la variante alojada en eu.altcha.org o us.altcha.org, puede mantenerse en el servidor un valor temporal altcha_session para limitar la tasa de peticiones, pero no se almacenan identificadores persistentes en el dispositivo del cliente.

Implicaciones para el RGPD y ePrivacy

Dado que ALTCHA solo realiza cálculos locales en el navegador y un único intercambio firmado con el endpoint de verificación, encaja con holgura en la excepción de estrictamente necesario del art. 5(3) ePrivacy, tal y como se ha transpuesto en las legislaciones nacionales. No hay perfilado en el sentido del art. 22 RGPD, no se tratan categorías especiales de datos y, cuando se utiliza el endpoint europeo o una instancia autoalojada, no se produce ninguna transferencia internacional. Las obligaciones restantes del RGPD se limitan a la transparencia en la política de privacidad y a una breve evaluación de interés legítimo.

Requisitos de consentimiento y base jurídica

En la mayoría de los despliegues no se exige consentimiento previo. ALTCHA puede cargarse al amparo de la excepción ePrivacy porque es esencial para proteger el envío del formulario solicitado por el usuario frente a abusos, y el tratamiento se apoya en el art. 6(1)(f) RGPD (interés legítimo en la prevención del fraude) o en el art. 6(1)(b) RGPD (ejecución del contrato que representa el formulario). Conviene incluirlo en la categoría de estrictamente necesarias del banner de cookies y explicarlo brevemente en la política de privacidad. El consentimiento solo resulta relevante si el despliegue se combina con funciones opcionales de análisis o puntuación de riesgo que vayan más allá de la mera protección antispam.

Transferencias internacionales y pasos prácticos

Cuando ALTCHA se autoaloja o se utiliza a través de eu.altcha.org, ningún dato personal sale de la UE, lo que elimina por completo la cuestión de las transferencias del capítulo V del RGPD. Si el editor opta por us.altcha.org, el tratamiento se basa en las Cláusulas Contractuales Tipo y en una evaluación de impacto de transferencias, lo que debe reflejarse en la política de privacidad y en el registro de actividades. Pasos prácticos: documentar la LIA, preferir la variante europea o autoalojada, mencionar ALTCHA en la política de privacidad bajo seguridad, listarlo como estrictamente necesario en el banner y revisar la configuración cada año para confirmar que no se han activado funciones opcionales de seguimiento.