# Integritetspolicy för maca Sec

**Dokumentversion:** 2026-07-06-1  
**Senast uppdaterad:** 2026-07-06  
**Personuppgiftsansvarig:** maca Development  
**Webbplats:** [https://maca.se/](https://maca.se/)  
**Plugin:** maca Sec (WordPress-tillägg)

---

## 1. Översikt

Denna integritetspolicy beskriver hur **maca Sec** hanterar information. Det finns två huvudsakliga roller:

| Roll | Vem | Vad |
|------|-----|-----|
| **Webbplatsägare** | Du som installerar Tillägget | Personuppgiftsansvarig för besökares och användares uppgifter som lagras på din server |
| **maca Development** | Utgivare av Tillägget | Personuppgiftsansvarig för viss telemetri till api.maca.se (se avsnitt 4) |

Som webbplatsägare ansvarar du för att informera dina besökare om hur du behandlar personuppgifter, inklusive data som maca Sec samlar in lokalt på din webbplats.

---

## 2. Uppgifter som lagras lokalt på din webbplats

När maca Sec är aktivt kan följande uppgifter lagras i din WordPress-databas och filsystem:

### 2.1 Säkerhetslogg

- IP-adress för besökare och inloggningsförsök
- Händelsetyp, allvarlighetsgrad och meddelande
- WordPress-användar-ID (om inloggad)
- Tidpunkt
- Kontextdata (t.ex. landskod, blockeringsorsak)

### 2.2 IP-blockering och vitlista

- IP-adresser eller CIDR-intervall
- Etikett/beskrivning
- Blockeringstid eller permanent status

### 2.3 Inloggningsskydd

- Antal misslyckade inloggningsförsök per IP
- Tillfälliga spärrar (transients)

### 2.4 Tvåfaktorsautentisering (2FA)

- TOTP-hemlighet (krypterad lagring i användarmeta)
- Återställningskoder
- Aktiveringsstatus per användare

### 2.5 Skanning och filövervakning

- Resultat från säkerhetsskanning
- Filhashar för övervakade filer
- **Redigerade** innehållssnapshots och rad-diff för kritiska filer (`.htaccess`, `wp-config.php`) — lösenord och salts ersätts med `[REDACTED]` innan lagring och innan data skickas till maca Hub
- Godkända skanningsfynd

### 2.6 Inställningar

- Plugin-konfiguration
- Eventuella API-nycklar du anger (t.ex. WPScan, reCAPTCHA, Turnstile)
- E-postadress för säkerhetslarm (om du konfigurerar det)

### Lagringstid

Loggar och blockeringar rensas enligt Tilläggets inställningar och schemalagda uppgifter. Vid avinstallation av Tillägget raderas plugin-data enligt `uninstall.php`, inklusive loggtabeller, IP-listor och 2FA-metadata.

---

## 3. Rättslig grund för webbplatsägaren (GDPR)

Som webbplatsägare måste du själv fastställa rättslig grund för behandling av besökares IP-adresser och loggar. Vanliga grunder är:

- **Berättigat intresse** — att skydda webbplatsen mot angrepp och missbruk
- **Rättslig förpliktelse** — om du är skyldig att logga viss aktivitet
- **Samtycke** — i vissa fall, t.ex. om du använder captcha-tjänster som kräver det

Du bör dokumentera detta i din egen integritetspolicy för webbplatsen.

---

## 4. Telemetri till maca Development (api.maca.se)

maca Sec skickar **begränsad telemetri** till `https://api.maca.se/v1/sec/events.php` vid vissa händelser:

| Händelse | När |
|----------|-----|
| `activated` | Tillägget aktiveras |
| `deactivated` | Tillägget avaktiveras |
| `uninstalled` | Tillägget avinstalleras |
| `protection_enabled` | Säkerhetsskydd slås på |
| `protection_disabled` | Säkerhetsskydd slås av |

### Uppgifter som kan skickas

- Plugin-slug och version
- Webbplatsens URL (normaliserad publik adress)
- WordPress-version
- PHP-version
- Språk/locale
- Vid avaktivering: valfri avaktiveringsorsak (om du anger en i dialogen)
- Källa för skyddsväxling (`admin`, `hub` eller `api`)

**Inga lösenord, innehåll från säkerhetsloggen, besökares IP-adresser eller personliga användaruppgifter skickas** i denna telemetri.

### Rättslig grund

maca Development behandlar telemetrin med stöd av **berättigat intresse** (art. 6.1 f GDPR) för att förstå användning, förbättra produkten och upprätthålla drift. Du kan invända mot denna behandling genom att kontakta oss (se avsnitt 9).

### Lagringstid

Telemetridata lagras så länge det behövs för statistik och produktförbättring, normalt högst **24 månader**, om inte kortare lagring krävs eller begärs.

---

## 5. Tredjepartstjänster

Om du aktiverar vissa funktioner kan Tillägget skicka uppgifter till externa tjänster:

### 5.1 ip-api.com

- **Syfte:** Landskodsuppslag för IP-adresser (landskodsblockering)
- **Uppgift:** Besökarens IP-adress
- **Obs:** ip-api.com har begränsningar för kommersiell användning; resultat cachelagras lokalt i upp till 7 dagar

### 5.2 Google reCAPTCHA

- **Syfte:** Bot-skydd vid inloggning
- **Uppgift:** Interaktionsdata enligt Googles villkor
- **Policy:** [Google Privacy Policy](https://policies.google.com/privacy)

### 5.3 Cloudflare Turnstile

- **Syfte:** Bot-skydd vid inloggning
- **Uppgift:** Interaktionsdata enligt Cloudflares villkor
- **Policy:** [Cloudflare Privacy Policy](https://www.cloudflare.com/privacypolicy/)

### 5.4 WPScan API

- **Syfte:** CVE-skanning av installerade tillägg och teman
- **Uppgift:** Plugin/tema-slug och version (via din API-token)
- **Policy:** [WPScan](https://wpscan.com/)

### 5.5 maca Hub (valfritt)

Om du använder maca Hub kan säkerhetsstatus, logghändelser och webbplatsinformation delas med maca Hub-appen enligt din konfiguration. Detta styrs av maca Hubs egna villkor.

### 5.6 Kollektiv hot-intelligens (valfritt)

Om aktiverat kan Tillägget använda lokalt cachad information om IP-adresser som setts i angrepp mot flera maca Sec-installationer. Ingen automatisk överföring av din fullständiga logg sker via denna funktion i nuvarande version.

---

## 6. Cookies och spårning i webbläsaren

maca Sec:s admin-gränssnitt använder WordPress standardcookies för inloggade administratörer.

På inloggningssidan (`wp-login.php`) kan tredjepartstjänster (reCAPTCHA, Turnstile) sätta egna cookies om du aktiverat captcha. Informera besökare om detta i din webbplats cookie-/integritetspolicy.

---

## 7. Säkerhetsåtgärder

maca Sec implementerar tekniska åtgärder som syftar till att skydda lagrad data, till exempel:

- Sanering av indata i loggar
- Hash-baserad filövervakning
- Möjlighet att radera all data vid avinstallation

Ingen metod är dock 100 % säker. Du ansvarar för serversäkerhet, HTTPS, backup och begränsad administratörsåtkomst.

---

## 8. Dina rättigheter (mot maca Development)

Om maca Development behandlar personuppgifter om dig i telemetrin (t.ex. som representant för en webbplats) har du enligt GDPR rätt att:

- begära **tillgång** till dina uppgifter
- begära **rättelse** av felaktiga uppgifter
- begära **radering** ("rätten att bli glömd")
- begära **begränsning** av behandling
- invända mot behandling baserad på berättigat intresse
- begära **dataportabilitet** (där tillämpligt)
- lämna **klagomål** till Integritetsskyddsmyndigheten (IMY)

Kontakta oss via uppgifterna i avsnitt 9. Vi svarar inom 30 dagar om inte annat anges.

---

## 9. Kontakt

**maca Development**  
Webbplats: [https://maca.se/](https://maca.se/)  
E-post: kontakt via webbplatsen

För uppgifter som lagras **lokalt på din webbplats** (besökarloggar, IP-blockering m.m.) ska du som webbplatsägare vara kontaktpunkt för dina besökare.

---

## 10. Ändringar

Vi kan uppdatera denna policy. Den senaste versionen publiceras på [maca.se/maca-sec-integritet](https://maca.se/maca-sec-integritet) med angivet datum.

---

## Relaterade dokument

- [Användarvillkor för maca Sec](https://maca.se/maca-sec-villkor)
- [Användarguide](anvandarguide.md)
