TrustCaptcha
Synthèse de la propriété et de l’exposition au CLOUD Act.
-
Souverain UE Détenu et exploité dans l’UE/EEE/Suisse, sans exposition au CLOUD Act identifiée.
-
Basé UE Cette fiche Exploité dans l’UE, avec au plus une exposition américaine mineure ou transitoire.
-
Hébergé UE Hébergement UE disponible, mais une maison mère américaine ou un sous-traitant hyperscaler crée une exposition matérielle.
-
Lié aux US Exploité par une entité constituée aux États-Unis, directement soumise à la juridiction américaine.
Trustcaptcha GmbH, Hans-Böckler-Straße 32, 80995 Munich, Germany (HRB 287710, Munich Local Court)
Captcha à preuve de travail munichois (Trustcaptcha GmbH) sur Hetzner Nuremberg, à partir de 8 EUR/mois, avec journaux d'audit mais sans DPA ni liste de sous-traitants publiés.
TrustCaptcha est un service européen hébergé en Allemagne, avec tout au plus une exposition américaine mineure et transitoire au titre du CLOUD Act. Référencé dans la catégorie Captcha et protection anti-bots.
Notes d’évaluation
TrustCaptcha is a proof-of-work CAPTCHA from Trustcaptcha GmbH in Munich, now sold under the TrustComponent brand alongside a status page and a VAT checker. The jurisdiction and infrastructure are straightforward: German GmbH, and the service resolves to Hetzner in Nuremberg, so both the operator and the servers are in Germany. Every plan is advertised as including "GDPR, EU hosted & DPA". What we could not do is verify the paperwork, and that is what holds the score at 3/5: there is no public DPA URL and no named sub-processor list, only a privacy policy that describes recipients by role (hosting providers, error logging, accounting, analytics, payment processors, advertising networks). The named third parties that do appear are Stripe Payments Europe Ltd. (Ireland) for billing, plus a Google Ads conversion cookie and an OpenReplay session-replay cookie on the vendor's own marketing site: Mineure. The proof-of-work design is worth noting on its own, because it shifts the work to the visitor's browser instead of profiling the visitor.
Constats
- CLOUD Act
- Exposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Cette fiche Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
-
- Actionnariat
- Propriété
Où se situe le contrôle ultime de la société exploitante.
-
Propriété UE Cette fiche Établie et contrôlée dans l'UE ; pas de participation américaine notable.
-
Siège UE, financement US Siège dans l'UE mais contrôlée par des capitaux américains (VC/PE).
-
Filiale UE, maison mère US Société d'exploitation européenne détenue par une société mère américaine.
-
Propriété US La société exploitante a elle-même son siège aux États-Unis.
-
Autre Une juridiction hors UE. La propriété suisse/EEE compte ici comme européenne ; le Royaume-Uni et d'autres non.
-
- Sous-traitants
- 4 · 3 US
Signaux vérifiés
-
Hébergement UE / adéquation: Oui
-
Opérateur UE / adéquation: Oui
-
Aucune exposition au CLOUD Act: Non évalué
-
DPA public: Non évalué
-
Sous-traitants divulgués: Non
-
Clients open source: Non
-
Certification tierce: Non
Aller à
À propos de TrustCaptcha
TrustCaptcha est un CAPTCHA fondé sur une preuve de travail dynamique, exploité par Trustcaptcha GmbH à Munich et vendu sous la marque plus large TrustComponent, qui couvre également une page de statut et un vérificateur de numéro de TVA. Plutôt que de faire identifier des feux tricolores ou de profiler le comportement du visiteur au regard d'un graphe global de signaux, le widget fait calculer au navigateur une petite énigme cryptographique dont la difficulté s'adapte au risque estimé. Ce choix de conception explique qu'il fonctionne sans profil comportemental, et il s'accompagne d'une vérification par pot de miel, d'une détection de bots avec score de risque, de listes d'autorisation et de blocage d'IP, de règles d'accès personnalisées et de géoblocage, de clés de contournement, d'environnements, de sièges d'équipe avec rôles et de journaux d'audit sur les offres supérieures.
Sur la juridiction, la lecture est simple : une GmbH allemande enregistrée à Munich, le service se résolvant vers une infrastructure Hetzner à Nuremberg, l'exploitant et les serveurs sont donc tous deux en Allemagne. Chaque offre est présentée comme « GDPR, EU hosted & DPA », avec un engagement de disponibilité de 99,9 % dès l'offre d'entrée.
La lacune porte sur la documentation. Il n'existe aucun DPA accessible publiquement ni liste nominative de sous-traitants : la politique de confidentialité énumère les destinataires par fonction (hébergeurs, journalisation d'erreurs, comptabilité, prestataires informatiques, analytique, stockage, prestataires de paiement, régies publicitaires) sans en nommer aucun. Les tiers nommés que nous avons pu confirmer sont Stripe Payments Europe Ltd. en Irlande pour les paiements, un identifiant de clic Google Ads stocké comme cookie publicitaire optionnel et un cookie de rejeu de session OpenReplay, ces deux derniers sur le site marketing du fournisseur et non dans le parcours du widget : Mineure. Les tarifs sont les plus accessibles de la catégorie, à partir de 8 € par mois pour 1 000 vérifications et un site, puis Advanced à 36 EUR (10 000 vérifications, 5 sites) et Team à 168 EUR (50 000 vérifications).
Carte des sous-traitants · 4
-
Google Ireland Limited (Google Ads) USIrlande
Advertising conversion tracking on the vendor's own marketing site (optional cookie, stores the gclid)
-
OpenReplay USÉtats-Unis
Session replay on the vendor's own marketing site (optional analytics cookie)
-
Stripe Payments Europe Ltd. USIrlande
Card payments and billing
-
Hetzner Online GmbH EUAllemagne
Infrastructure hosting (Nuremberg; determined from live infrastructure, not named by the vendor)
| Prestataire | Pays | Finalité | Propriétaire |
|---|---|---|---|
| Google Ireland Limited (Google Ads) | Irlande | Advertising conversion tracking on the vendor's own marketing site (optional cookie, stores the gclid) | US |
| OpenReplay | États-Unis | Session replay on the vendor's own marketing site (optional analytics cookie) | US |
| Stripe Payments Europe Ltd. | Irlande | Card payments and billing | US |
| Hetzner Online GmbH | Allemagne | Infrastructure hosting (Nuremberg; determined from live infrastructure, not named by the vendor) | EU |
Source : liste publiée des sous-traitants de l’éditeur, lue le 10 août 2026.
Référentiels & certifications · aucune répertoriée
Matrice de fonctionnalités
Tableau 2Fonctionnalités de TrustCaptcha
Intégration & accès
Conformité & gouvernance
Tarifs & paliers
Documents publics
-
sur demandeContrat de sous-traitance (DPA)— sur demande
-
manquantListe des sous-traitants— manquant
-
OuvrirConditions d'utilisationtrustcaptcha.com/en…
Alternatives dans cette catégorie
-
TchéquieHébergé UEExposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Cette fiche Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
DPA public: Oui Sous-traitants: Non Open source: Oui -
-
Belgique · 2 $/moisHébergé UEExposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Cette fiche Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
DPA public: Non Sous-traitants: Oui Open source: Non -
-
Autriche · 9 €/moisHébergé UEExposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Cette fiche Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
DPA public: Non Sous-traitants: Oui Open source: Non -
| Produit | Souveraineté | CLOUD Act | Signaux | À partir de |
|---|---|---|---|---|
ALTCHA
Tchéquie
|
Hébergé UE | Exposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
|
DPA public: Oui
Sous-traitants: Non
Open source: Oui
|
— |
Botpoison
Belgique
|
Hébergé UE | Exposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
|
DPA public: Non
Sous-traitants: Oui
Open source: Non
|
2 $/mois |
captcha.eu
Autriche
|
Hébergé UE | Exposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
|
DPA public: Non
Sous-traitants: Oui
Open source: Non
|
9 €/mois |