Datenverarbeitung & Datenschutz-Position (DSGVO)
SCaptcha ist selbst gehostet. SoftCreatR erhält oder verarbeitet im Normalbetrieb keine Endnutzerdaten.
Positionsbeschreibung
SCaptcha läuft vollständig innerhalb Ihrer WoltLab Suite Installation. Alle Verifizierungsdaten bleiben in Ihrer Infrastruktur, sofern Sie keine optionalen externen Abfragen aktivieren.
Für Standard-Self-Hosting entsteht keine Auftragsverarbeitungsbeziehung zwischen Ihnen und SoftCreatR.
Wohin SCaptcha Daten sendet
Kernprüfung
Jede Aufgabe verwendet ein eigenes, kryptografisch zufälliges Salt mit 32 Byte. Ihre WoltLab-Installation prüft Salt, Hash, Algorithmus, Lösung und HMAC gegen die ausstellende Sitzung. Die Aufgabe läuft nach 60 Sekunden ab; ein externer CAPTCHA-Anbieter ist nicht nötig.
Proxy-Prüfung
Diese Option ist standardmäßig ausgeschaltet. Nach der Aktivierung sendet SCaptcha die öffentliche IP-Adresse des Besuchers für Proxy-, VPN- und Tor-Hinweise an proxycheck.io. SCaptcha 2.3.0 übermittelt standardmäßig tag=0; Betreiber können die Protokollierung beim Anbieter einschalten. Die IP-Adresse wird für jede Abfrage übertragen.
Sicherheits-Cookies
Ein Marker vor dem Absenden und der optionale Text-/Audio-Nachweis gelten 5 Minuten. Der Under-Attack-Modus nutzt ein signiertes, an den User-Agent gebundenes Zugangs-Cookie für 5 bis 30 Minuten; voreingestellt sind 10. Sentinel kann eine serverseitige Ablehnung 10 Minuten in einem eigenen signierten Cookie speichern und ist standardmäßig ausgeschaltet.
Analyse und Aufbewahrung
Die Anfrageanalyse ist standardmäßig eingeschaltet. Protokolle können verknüpfbare Betriebsdaten wie IP-Adresse, User-Agent, Anfrage-, Netzwerk- und Standortfelder, Gründe und übermittelte Browser-Telemetrie enthalten. Voreingestellt sind 90 Tage; im ACP lassen sich 1 bis 3.650 Tage wählen. Das Ausschalten stoppt neue Einträge, löscht aber keine vorhandenen Zeilen oder Exporte.
Rollen nach DSGVO
Sie sind der Datenverantwortliche für alle personenbezogenen Daten, die SCaptcha verarbeitet. SoftCreatR ist im normalen Self-Hosting-Betrieb kein Auftragsverarbeiter, da wir die Daten nicht erhalten.
Daher ist eine Auftragsverarbeitungsvereinbarung nach DSGVO Art. 28 für Standard-Deployments in der Regel nicht erforderlich.
Datenverarbeitungsvereinbarung (DPA) herunterladen