ALTCHA

Ce qu'est ALTCHA et ce qu'il fait

ALTCHA est une alternative open source aux captchas classiques, développée par Daniel Regeci et l'équipe BAU.PLUS en Slovaquie. Au lieu de s'appuyer sur le suivi comportemental, le fingerprinting ou la résolution d'images, il fait calculer dans le navigateur du visiteur un défi de preuve de travail avant l'envoi du formulaire. Le serveur vérifie ensuite le jeton signé et accepte ou rejette la soumission, ce qui bloque la grande majorité des bots de spam sans jamais profiler l'utilisateur humain.

Données et cookies collectés par ALTCHA

Dans sa configuration par défaut, ALTCHA ne dépose aucun cookie, n'effectue pas de fingerprinting et ne construit aucun profil comportemental. Les seules données traitées sont l'adresse IP du visiteur (inévitable pour toute requête HTTP vers le point de vérification), le défi de preuve de travail et le jeton signé de courte durée renvoyé par le navigateur. En cas d'utilisation de la variante hébergée sur eu.altcha.org ou us.altcha.org, une valeur altcha_session temporaire peut être conservée côté serveur pour la limitation de débit, mais aucun identifiant client persistant n'est stocké sur l'appareil.

Implications RGPD et ePrivacy

Parce qu'ALTCHA n'effectue qu'un calcul local dans le navigateur et un seul échange signé avec le point de vérification, il entre confortablement dans l'exception du strictement nécessaire de l'art. 5(3) ePrivacy, telle que transposée dans les droits nationaux. Il n'y a pas de profilage au sens de l'art. 22 RGPD, aucune donnée sensible et, lorsque le point d'accès européen ou une instance auto hébergée est utilisé, aucun transfert de données personnelles vers un pays tiers. Les obligations RGPD restantes se limitent à la transparence dans la politique de confidentialité et à une brève analyse d'intérêt légitime.

Exigences de consentement et base légale

Dans la plupart des déploiements, aucun consentement préalable n'est exigé. ALTCHA peut être chargé au titre de l'exception ePrivacy car il est essentiel pour protéger l'envoi du formulaire demandé contre les abus, et le traitement repose sur l'art. 6(1)(f) RGPD (intérêt légitime à prévenir la fraude et les abus) ou l'art. 6(1)(b) RGPD (exécution du contrat que représente le formulaire). Il convient de le placer dans la catégorie strictement nécessaire de la bannière de cookies, avec une courte explication dans la politique de confidentialité. Le consentement ne devient pertinent que si le déploiement est combiné à des fonctions optionnelles d'analyse ou de scoring qui dépassent la simple protection antispam.

Transferts hors UE et étapes pratiques de conformité

Lorsque ALTCHA est auto hébergé ou utilisé via le point d'accès eu.altcha.org, aucune donnée personnelle ne quitte l'UE, ce qui élimine totalement la question des transferts au titre du chapitre V du RGPD. Si l'éditeur choisit us.altcha.org, le traitement s'appuie sur les clauses contractuelles types et une étude d'impact des transferts, qui doivent figurer dans la politique de confidentialité et le registre des traitements. En pratique: documentez la LIA, privilégiez la variante européenne ou auto hébergée, mentionnez ALTCHA dans la politique de confidentialité sous sécurité, listez le dans le strictement nécessaire de la bannière et révisez la configuration chaque année pour vérifier qu'aucune fonction optionnelle de suivi n'a été activée.