hCaptcha

¿Qué es hCaptcha?

hCaptcha es un servicio captcha del proveedor estadounidense Intuition Machines, Inc. que detecta bots y abusos automatizados en sitios web. hCaptcha se posiciona como alternativa respetuosa con la privacidad frente a Google reCAPTCHA y se utiliza ampliamente en aplicaciones web europeas para proteger procesos de inicio de sesión, registro y formularios de contacto. Cloudflare lo utilizó como motor predeterminado antes de Turnstile en sus páginas de challenge.

¿Qué datos recopila hCaptcha?

hCaptcha instala habitualmente la cookie hcaptcha y, en su versión Enterprise, hmt_id. Recopila la dirección IP, el user agent, el idioma del navegador, los plugins instalados, el tamaño de pantalla, los movimientos del ratón, las pulsaciones del teclado y los eventos táctiles. Estas señales se envían a servidores en Estados Unidos y se evalúan con modelos de riesgo. A diferencia de reCAPTCHA, hCaptcha evita el seguimiento entre sitios y ofrece un mecanismo compatible con Privacy Pass.

Consentimiento conforme al RGPD y la LSSI

Como hCaptcha instala cookies y lee información del dispositivo del usuario, su uso entra en el ámbito del artículo 22.2 de la LSSI y exige el consentimiento previo. Puede aplicarse la excepción de cookies estrictamente necesarias en el inicio de sesión o en formularios sensibles para la seguridad, siempre que hCaptcha solo se cargue en esas ubicaciones y no con fines de tracking. La AEPD interpreta esta excepción de forma restrictiva, por lo que conviene cargar hCaptcha tras la aceptación del banner si está presente en todas las páginas.

Transferencia de datos a Estados Unidos

Intuition Machines, Inc. es una empresa estadounidense con sede en Delaware. Cuando el usuario interactúa con el widget de hCaptcha se produce una transferencia internacional de datos. El proveedor está adherido al EU US Data Privacy Framework y ofrece cláusulas contractuales tipo en su DPA. El responsable del tratamiento debe documentar una evaluación de impacto de la transferencia y, cuando sea posible, utilizar los endpoints europeos de hCaptcha.

Pasos prácticos de cumplimiento

Cargue el script de hCaptcha solo después de que el usuario acepte si está presente en todas las páginas. Si solo se utiliza en el login o en formularios concretos, puede invocarse el interés legítimo, debidamente documentado. Firme un Data Processing Addendum con Intuition Machines, complete la política de privacidad con las categorías de datos y las garantías para las transferencias internacionales y considere la versión Enterprise, que recopila menos señales del usuario.