Que traite un CAPTCHA, et que demande la nLPD à votre site ?

Que reçoit une vérification anti-bot ?

Dès que le navigateur d’un visiteur charge le script d’un service ou lui envoie une requête, ce service reçoit ce que reçoit tout serveur : l’adresse IP, le User-Agent et les en-têtes de la requête. Beaucoup de services y ajoutent des mesures faites dans le navigateur, et certains posent un cookie. Pour Antisy, la section Données de l’accueil donne chaque mesure et chaque durée.

Le script mesure ce que le navigateur déclare et la façon dont la page est utilisée ; le serveur d’Antisy lit l’adresse IP, le User-Agent, l’ordre des en-têtes HTTP et le contexte de la requête. Jamais l’image dessinée, le nom de la carte graphique ni le contenu des frappes et des champs. Votre site ne reçoit pas ces mesures : il reçoit un jeton, puis un verdict. Ces données comprennent des données personnelles.

Voir : Accueil : ce que le script mesure, et combien de temps · Documentation : données collectées et vie privée

Une énigme change-t-elle quelque chose ?

Pour la protection des données, ce qui compte est ce que le service lit et garde. Qu’il montre une énigme au visiteur ou non ne change pas ce qu’il reçoit de lui. Antisy n’en montre aucune, et traite pourtant des données personnelles.

Qui est responsable, qui sous-traite ?

La loi appelle responsable du traitement la personne qui, seule ou avec d’autres, décide des finalités et des moyens du traitement (art. 5, let. j), et sous-traitant celle qui traite des données personnelles pour le compte du responsable (art. 5, let. k). En plaçant un service sur son formulaire, votre site décide de ce traitement. Que le fournisseur soit votre sous-traitant dépend de son contrat et de ce qu’il fait des données : cherchez la réponse dans son contrat de traitement.

Pour Antisy, votre site est le responsable du traitement et Antisy est le sous-traitant. Elle traite les données pour une seule finalité, distinguer les visiteurs humains des programmes automatisés, et ne s’en sert jamais pour la publicité.

Voir : La nLPD et Antisy : qui est responsable, qui sous-traite · Modèle de contrat de traitement

Les six questions à poser à un fournisseur

Cherchez les réponses par écrit, dans sa documentation, sa politique de confidentialité et son contrat de traitement. Une réponse absente, ou qui change d’une page à l’autre, est déjà une information.

1. Que lit-il, et pour quoi faire ? Une liste des données famille par famille, la finalité de chacune, et ce qu’il ne lit pas.
2. Que garde-t-il, et combien de temps ? Une durée par donnée plutôt qu’une durée globale, et ce qui reste dans les sauvegardes.
3. Où sont-elles traitées ? Le nom de l’hébergeur, la ville, et si des données quittent la Suisse. La loi encadre la communication de données personnelles à l’étranger : la personne qui vous conseille dit ce que cela change pour vous.
4. Qui y accède ? Qui, chez le service, peut lire les données de vos visiteurs, et comment ces accès sont consignés.
5. Quels sont ses sous-traitants ? La liste nominative, ce que chacun reçoit, et comment un changement vous est annoncé.
6. Que devient la donnée à la fin du contrat ? La restitution, l’effacement, et une confirmation écrite.

Voir : Les réponses d’Antisy, question par question

Que doit dire votre site à ses visiteurs ?

La loi demande au responsable du traitement d’informer la personne concernée de la collecte de données personnelles : au moins son identité et ses coordonnées, la finalité du traitement et, le cas échéant, les destinataires ou les catégories de destinataires (art. 19, al. 1 et 2). Un fournisseur qui reçoit des données de vos visiteurs peut en faire partie.

Décrivez la vérification anti-bot dans votre propre politique de confidentialité et nommez le fournisseur. Le contrat de traitement d’Antisy propose un modèle de texte à adapter ; la politique de confidentialité d’Antisy décrit ce qu’Antisy fait de son côté.

Voir : Politique de confidentialité d’Antisy · Modèle de contrat de traitement

Où lire ce que chaque service documente ?

Les comparatifs reprennent, pour reCAPTCHA, Turnstile, hCaptcha et Friendly Captcha, ce que leur documentation dit de la société, des cookies et de l’intégration, avec l’adresse lue et la date de lecture. Si la documentation ne dit rien d’un point, la page ne le dit pas. Où est Antisy et où sont ses données : la page sur l’antibot suisse.

Voir : Comparatifs : Antisy et les autres services, sources datées · Antibot suisse : ce que « suisse » veut dire chez Antisy

Ce que cette page ne dit pas

• Elle ne dit pas qu’un service, ou votre site, respecte la LPD : seule une personne qui conseille en droit peut le dire.
• Elle ne classe pas les services sur la protection des données : chaque comparatif donne ce que le service documente, à la date de lecture.
• Elle ne dit rien du reste de votre site : ce qu’il garde, où il est, comment il traite ses visiteurs.

Antisy n’est ni un pare-feu, ni une protection contre les attaques par saturation, ni un outil antifraude de paiement. Aucun contrôle anti-bot n’est parfait, et Antisy n’annonce aucun taux de détection.

Voir : Questions fréquentes : Antisy arrête-t-il tous les robots ?

Où en est Antisy ?

L’accès se fait sur liste d’attente. L’API et le tableau de bord sont en service depuis le 27 octobre 2026, hébergés chez Infomaniak à Genève ; aucun client n’est encore en production. Le pilote a commencé le 9 novembre 2026 sur nos propres formulaires.

La protection d’une connexion ou d’une inscription passe par un SDK Node (Express, Fastify, Next.js) dont le nom est réservé sur npm ; sa version 1.0 n’est pas encore publiée.

Voir : Le pilote · Rejoindre la liste d’attente

Questions fréquentes