PIPEDA / CPPA
Privacy-by-design voor Canadese eisen.
Scope
SCaptcha ondersteunt PIPEDA/CPPA-uitrollen via self-hosted verwerking, optionele logging en duidelijke controle over dataresidentie.
This page maps SCaptcha 2.3.0 behavior to the named framework. It is not a certification or legal advice.
Verantwoordelijkheid en doelbinding
SCaptcha is bedoeld voor misbruikpreventie, niet voor profilering. U bepaalt welke beveiligingssignalen worden verzameld.
Self-hosting houdt de verantwoordelijkheid bij uw organisatie in plaats van bij een externe leverancier.
Dataresidency en transfers
Alle verificatiegegevens blijven in uw infrastructuur. Er zijn geen verplichte grensoverschrijdende transfers.
Als u externe proxy-intelligentie inschakelt, documenteer de transfer en borg contractuele waarborgen die aansluiten bij CPPA.
Minimale verzameling en retentie
Proof-of-Work en gedragschecks vereisen geen persoonsgegevens. Logging is optioneel en kan worden geminimaliseerd of uitgeschakeld.
Retentieperiodes zijn configureerbaar zodat u kunt aansluiten op intern beleid en behoeften bij incidentrespons.
Implementatiechecklist
Leg beveiligingsverwerking uit in uw privacyverklaring, houd logs minimaal en beperk toegang tot geautoriseerd personeel.
Beoordeel optionele derde‑partij lookups en documenteer ze waar nodig.
SCaptcha 2.3.0 behavior
Elke challenge gebruikt een onafhankelijk, cryptografisch willekeurig salt van 32 bytes. De WoltLab-installatie valideert salt, hash, algoritme, oplossing en HMAC in de uitgevende sessie. De challenge verloopt na 60 seconden en vereist geen externe CAPTCHA-provider.
Standaard uitgeschakeld. Na inschakeling stuurt SCaptcha het openbare IP-adres naar proxycheck.io voor aanwijzingen over proxy, VPN of Tor. SCaptcha 2.3.0 stuurt standaard tag=0; de beheerder kan providerlogging inschakelen. Het IP-adres wordt in beide gevallen verzonden.
De marker vóór verzending en het optionele tekst- of audiobewijs gelden 5 minuten. Under-Attack gebruikt een ondertekende, aan de user-agent gebonden cookie voor 5–30 minuten (standaard 10). Sentinel kan een serverbesluit tot weigering 10 minuten bewaren en staat standaard uit.
Verzoekanalyse staat standaard aan en kan koppelbare operationele gegevens opslaan, waaronder IP, user-agent, verzoek-, netwerk- en locatievelden, redenen en verzonden telemetrie. De bewaartermijn is standaard 90 dagen en instelbaar van 1 tot 3.650. Uitschakelen verwijdert geen bestaande regels of exports.
What operators need to review
Document enabled features, limit access to security logs, and assess optional external services separately. SCaptcha does not replace legal review or accessibility testing of the complete website.
Enable only the options you need. Update privacy and cookie notices, restrict access to analytics and logs, and test the actual form integration before launch.