Оценка на въздействието върху защитата на данните (чл. 35 от ОРЗД)

Този документ е публикуван на няколко езика. В случай на несъответствие между езиковите версии меродавна е полската версия.

Версия 1.0 · Последна актуализация: 16 октомври 2026 г.

1. За какво става дума и какво представлява тази страница

Тази страница е оценката на въздействието върху защитата на данните (ОВЗД) на formexposed съгласно чл. 35 от ОРЗД. Първо тя отговаря на предварителния въпрос дали изобщо е необходима ОВЗД – отделно за всяка операция по обработване, а не за услугата като цяло. Когато отговорът е положителен, тя извършва оценката съгласно чл. 35, пар. 7, букви „а“ до „г“: систематично описание, необходимост и пропорционалност, рисковете за субектите на данните и мерките за справяне с тях. След това следват остатъчният риск, въпросът за предварителна консултация съгласно чл. 36 и правилата за преглед.

Чл. 35 не изисква ОВЗД да бъде публикувана. Публикуваме я по две причини. Първо, Клиентите, които използват проверката на доставката или сканирането зад вход, се нуждаят за собствената си оценка от факти, които знаем само ние; като обработващ лични данни им дължим тези факти във всеки случай (чл. 28, пар. 3, буква „е“ от ОРЗД). Второ, нашият робот проверява уебсайтове, чиито оператори не ни познават. Те трябва да могат да прочетат какви рискове виждаме за тях и за хората на техните страници и какво правим по отношение на тях.

Правно естество. Тази ОВЗД е документация на администратора съгласно чл. 35 от ОРЗД, която публикуваме доброволно. Тя не е част от какъвто и да е договор и не представлява изявление, гаранция или споразумение за качество спрямо Клиенти или трети лица. Какви услуги и гаранции дължим на Клиентите, се урежда от Общите условия, Споразумението за обработване на данни и приложенията към него; по отношение на тези задължения те имат предимство пред тази страница. Страницата описва положението към датата на тази версия. Оценките на риска и преценките са наше собствено становище и не предрешават правната оценка от надзорен орган или съд; мерките, описани като „планирани“, са намерения без обвързващ срок. За Клиентите страницата е основа за собствената им оценка, а не правен съвет.

Това е първата версия на предварителната преценка. Тя разглежда за всяка операция по обработване поотделно дали е необходима ОВЗД и записва резултата в раздел 3.5.

За всяко фактическо твърдение важи същият принцип, както в другите ни правни документи: измерено, а не предвидено. Каквото е доказано в кода или в базата данни, е посочено тук с препратка към източника. Каквото не е могло да бъде доказано, е отбелязано като „непроверено“. Каквото е само планирано, е наречено „планирано“. Посочваме откритите въпроси открито, заедно с планираната мярка; ОВЗД, която изброява само силните страни, не помага на хората, които засяга.

Понятия: оператор е всеки, който поддържа проверен уебсайт. Клиент е всеки, който има акаунт в formexposed. Посетител е всеки, който използва уебсайта на Клиент, например неговия формуляр за контакт. Препратка към източника означава файл, функция или настройка в изходния код, измерени спрямо състоянието на системата за разработка към 11 октомври 2026 г.

Съзнателно поставяме една граница на откритостта: откритите въпроси при защитата на собствените ни сървъри са описани само в общи линии (R13). Посочваме риска и неговото ниво, но не и пътя до конкретна уязвимост; ще предоставим подробностите на надзорен орган при поискване.

2. Роли: кой носи задължението и за какво

Чл. 35 възлага задължението на администратора. formexposed е администратор за някои операции по обработване, обработващ лични данни за своите Клиенти за други и нито едното, нито другото за данните, които нашият плъгин за WordPress и нашето разширение за TYPO3 съхраняват на уебсайта на Клиент. Отговорът на почти всеки въпрос в този документ зависи от това за коя роля се задава въпросът. Разпределението следва Политиката за поверителност и Споразумението за обработване на данни.

Операция по обработване	Роля на formexposed	Кой носи задължението по чл. 35
Проверка на уебсайтове на трети лица без указания от техния оператор: безплатна проверка, проверка на потенциални клиенти за агенции, проучване	Администратор	formexposed
Проверка на домейни в акаунта на Клиента: наблюдение, активни тестови изпращания, браузърни сценарии, публично достъпни файлове, пулс на формуляра	Администратор за данните от акаунта и проверките на Клиента; обработващ лични данни за личните данни на трети лица, видими на потвърдения уебсайт на Клиента; докато домейнът не е потвърден – администратор, както при безплатната проверка	formexposed за своята част; Клиентът за данните на трети лица на своя уебсайт
Сканиране зад вход с тестов акаунт	Обработващ лични данни: данните за достъп и съдържанието зад входа принадлежат на уебсайта на Клиента	Клиентът; formexposed оказва съдействие
Проверка на доставката с контролно копие	Обработващ лични данни	Клиентът; formexposed оказва съдействие
Роева защита: споделен списък с домейни на връзки от блокиран спам	Администратор: обединяваме докладите на много уебсайтове, съставяме списъка и го разпространяваме	formexposed
Клиентски акаунти, вход, дневници, поддръжка, изпращане на имейли, плащания, доказателствени протоколи	Администратор	formexposed
Клиентски портал и месечен отчет до абонатите на агенция	Обработващ лични данни	Агенцията
Данни, които плъгинът и разширението съхраняват на уебсайта на Клиента (карантина, предпазна мрежа, съхранени запитвания)	Нито едното, нито другото: данните никога не напускат уебсайта	Операторът на уебсайта

От това произтича разграничение, което посочваме изрично, защото често се прави погрешно и в двете посоки. Когато formexposed е администратор, извършваме оценката сами и носим отговорност за резултата от нея. Когато сме обработващ лични данни, не можем да извършим оценката на Клиента вместо него, да решим въпроса за необходимостта вместо него или да се консултираме от негово име с надзорния орган съгласно чл. 36. Това, което можем и трябва да направим там, е да му предоставим всичко необходимо: описанието по буква „а“, измерените факти за рисковете по буква „в“ и честен списък със състоянието на мерките по буква „г“. За проверката на доставката и сканирането зад вход тази страница е именно това.

Клиент, който възприеме разделите относно проверката на доставката без промени като своя собствена ОВЗД, не е извършил такава. Дали контролното копие е оправдано за неговите формуляри, дали там могат да се очакват специални категории лични данни и как той информира посетителите си, може да реши само той. Раздел 11 обобщава какво трябва да бъде изяснено за тази цел.

3. Предварителна преценка: необходима ли е ОВЗД?

3.1 Чл. 35, пар. 1 и чл. 35, пар. 3

Чл. 35, пар. 1 изисква ОВЗД, когато даден вид обработване, по-специално при използване на нови технологии, и предвид естеството, обхвата, контекста и целите на обработването, има вероятност да породи висок риск за правата и свободите на физическите лица. Чл. 35, пар. 3 посочва три случая, в които това е така по-специално. Нито един от трите не се отнася до formexposed, като това следва да бъде обосновано, а не само заявено:

Буква „а“ – систематична и подробна оценка на лични аспекти по отношение на физически лица, която се базира на автоматизирано обработване и служи за основа на решения, които имат правни последици или по подобен начин засягат в значителна степен лицата. Ние оценяваме формуляри и уебсайтове, а не лични аспекти на хора. Услугата не взема решения с правни последици за което и да е лице. Най-близо до това е роевата защита: съобщенията, съдържащи връзка към домейн от списъка, попадат в карантина на свързаните уебсайтове. Това е автоматизирана последица за съобщението, а не подробна оценка на лице; разглеждаме я в критерия „Оценяване или присъждане на точки“ в раздел 3.3.
Буква „б“ – мащабно обработване на специални категории данни съгласно чл. 9 или на данни, свързани с присъди и нарушения, съгласно чл. 10. Не е предвидено и не е изградено. Такива данни все пак могат да достигнат до нас по един път: в контролното копие на истински съобщения от посетители при проверката на доставката. Това зависи от конкретния случай и не е мащабно по смисъла на тази разпоредба; то обаче се взема предвид при оценката на риска (R1).
Буква „в“ – систематично мащабно наблюдение на публично достъпна зона. Това означава физическо наблюдение на места, а не извличане на публични уеб страници. Позоваването на тази разпоредба като основание по отношение на уеб робот би било неправилно.

Следователно правилният път е самият чл. 35, пар. 1, приложен чрез деветте критерия от Насоките относно оценката на въздействието върху защитата на данните на Работната група по член 29 (WP248 rev.01, одобрени от Европейския комитет по защита на данните), и списъкът на полския надзорен орган съгласно чл. 35, пар. 4 (раздел 3.4).

3.2 Деветте критерия от насоките WP248

Насоките посочват девет характеристики, които показват вероятен висок риск. Като общо правило операция по обработване, която отговаря на два от тях, в повечето случаи ще изисква ОВЗД. Администраторът може да стигне до различно заключение в отделен случай, но тогава трябва да го обоснове и документира. Обратно, и един-единствен критерий може да бъде достатъчен. На тази страница използваме следните кратки означения:

C1 – Оценяване или присъждане на точки, включително профилиране и прогнозиране, например на представянето в работата, икономическото положение, надеждността или поведението.
C2 – Автоматизирано вземане на решения с правни или подобни значителни последици.
C3 – Систематично наблюдение, т.е. обработване, използвано за наблюдение, мониторинг или контрол на субектите на данни, включително чрез мрежи. Насоките изрично обосновават този критерий с факта, че субектите на данни често не знаят кой събира данните им и с каква цел.
C4 – Чувствителни данни или данни с изключително личен характер: специални категории съгласно чл. 9 и 10, но също и данни, чието разкриване засяга значително ежедневието, включително електронни съобщения, чиято поверителност следва да бъде защитена.
C5 – Данни, обработвани в голям мащаб, измерен чрез броя на субектите на данни, обема и обхвата на данните, продължителността и географския обхват.
C6 – Съпоставяне или комбиниране на набори от данни, произхождащи от различни операции по обработване или от различни администратори, по начин, който субектите на данни не биха очаквали.
C7 – Данни относно уязвими субекти на данни, например служители, деца, пациенти или други лица в положение на неравнопоставеност.
C8 – Иновативно използване или прилагане на нови технологични или организационни решения; в надзорната практика използването на изкуствен интелект редовно се разглежда като попадащо в този критерий.
C9 – Обработване, което възпрепятства субектите на данни да упражняват право или да използват услуга или договор.

Оценяваме всеки критерий като „изпълнен“, „граничен“ или „неизпълнен“ и обосноваваме оценката с кода. Граничният случай не се отчита като изпълнен в общия резултат, но се посочва в резултата; когато няколко гранични случая сочат в една и съща посока, включваме операцията по обработване в оценката.

3.3 Преценка по операции по обработване

P1 – Безплатна проверка без акаунт (проверка на произволен уебсайт на трето лице при поискване)

Всеки може да въведе домейн на началната страница. След това роботът извлича най-много осем публични страници от този уебсайт, прочита формулярите, прави екранни снимки и създава отчет, който може да види всеки, който знае неговата случайна връзка. Операторът на уебсайта не научава нищо за това, освен ако не забележи идентификатора на робота в своите дневници.

C1 – граничен. Отчетът оценява защитата на формуляра с ниво („Незащитен“, „Частично защитен“, „Защитен“) и оценка в точки. За дружество с ограничена отговорност това не засяга физическо лице. При едноличните търговци и свободните професии домейнът може да бъде отнесен към конкретното лице и тогава нивото казва нещо за грижата, полагана в професионалната му дейност. Оценява се обаче техническа конфигурация, а не поведението или характеристиките на дадено лице. Разглеждаме това като граничен случай.
C2 – неизпълнен. По отношение на оператора не се взема никакво решение. По отношение на лицето, заявило проверката, важат ограничения за IP адрес и сесия (cfg/check_lib.php); отхвърлената проверка няма значителни последици.
C3 – неизпълнен. Става дума за еднократно извличане при поискване, най-много веднъж на домейн седмично (cfg/check_lib.php, настройка fc_domain_days = 7). Не се наблюдават хора. Обстоятелството, с което насоките обосновават C3 – субектите на данни не знаят нищо за обработването – обаче е налице. То се взема предвид при оценката на риска (R5).
C4 – неизпълнен. Съхраняват се структурата на формуляра и констатациите, а не въведени стойности (scanner/src/crawl.js съхранява само дължината на стойността за видимите полета). Скенерът чете началото на предварително попълнени скрити полета (до 24 знака) и data атрибути (до 60 знака) само по време на проверката, за да разпознава токени и времеви отпечатъци; те не се съхраняват. Екранните снимки може случайно да показват хора и имена; уебсайтът на медицинска практика показва нейната специалност в изображението. Това са публични професионални данни, а не данни за здравето на конкретно лице.
C5 – граничен. Дневният лимит е 200 приети проверки (fc_daily_cap), т.е. аритметично до около 73 000 уебсайта годишно. За всеки уебсайт възникват само малко лични данни, а продължителността е кратка (30 дни). Измерено в системата за разработка, в набора от данни има 2 анонимни проверки. Днес не е изпълнен; граничен с оглед на проектирания капацитет.
C6 – неизпълнен. Освен извличането на страниците услугата проверява възрастта на домейна чрез RDAP услугата rdap.org (предава се само името на домейна; съхранява се само датата на регистрация, кеширана) и извършва DNS резолюция. Това са технически данни за домейна, а не комбиниране на набори от данни за хора.
C7 – неизпълнен.
C8 – изпълнен в слаба форма. Автоматизиран браузър проверява страниците, а езиков модел на собствения ни сървър класифицира формулярите, които правилата не разпознават (scanner/src/classify.js). Моделът вижда заглавието на страницата, адреса, етикетите на полетата и до 400 знака текст от формуляра. Той никога не може да направи даден формуляр „подходящ за изпращане“.
C9 – неизпълнен.

Междинен резултат P1: един критерий в слаба форма (C8), два гранични случая (C1, C5). Няма задължение според общото правило. Тъй като двата гранични случая сочат в една и съща посока и субектите на данни не знаят нищо за обработването, включваме P1 в оценката.

P2 – Проверка на потенциални клиенти за агенции

Агенция с план Business и настроена собствена марка може да възложи пасивна проверка на уебсайта на потенциален клиент. Тя получава кратка констатация под своята марка и подробен отчет и сама предава връзката (cfg/akquise_lib.php). Ние не се свързваме с никого.

C1 – граничен, в по-силна степен, отколкото при P1. Кратката констатация е изрично предназначена да „отвори вратата за първия разговор“. Така оценката на уебсайта се превръща в основа за търговско обръщение към дадено лице.
C5 – неизпълнен. Най-много 30 проверки на агенция месечно (prospect_monthly), изтриват се след 90 дни.
C8 – изпълнен в слаба форма (същата технология като при P1).
Останалите критерии – неизпълнени. Констатацията се представя с марката на агенцията, но не се свързва с други данни за оператора.

Междинен резултат P2: няма задължение според общото правило; включена по същите причини като P1 и защото целта – привличане на клиенти – носи собствен риск (R6).

P3 – Проучване „Form Security Index“

За целите на проучване се проверява пасивно списък с уебсайтове, ограничено до най-много пет отворени задачи на всяко изпълнение на процедурата за състоянието, която се стартира на всеки пет минути (cfg/studie_lib.php). Публикуват се само сборни данни, а сегменти – само при поне 20 уебсайта с формуляр (study_min_segment, cfg/studie_lib.php). Необработените данни се изтриват при публикуването (cfg/studie_lib.php).

C5 – граничен, изпълнен при големи списъци. Размерът на списъка не е ограничен в кода; ограничаването аритметично позволява повече от хиляда проверки дневно. Проучване на национален пазар обхваща хиляди уебсайтове, много от които се поддържат от еднолични търговци. При такъв размер считаме критерия за изпълнен.
C8 – изпълнен в слаба форма.
C1 – неизпълнен. Въпреки че отделният уебсайт се оценява, публикува се само сборният резултат; оценката не служи за изявление относно отделния оператор.
Останалите критерии – неизпълнени.

Междинен резултат P3: при проучвания с проектирания размер – два критерия (C5, C8). Следователно проучването достига прага; formexposed извършва оценката като администратор. Измерено в системата за разработка, досега не е създадено нито едно проучване.

P4 – Проверка на домейни в акаунта на Клиента

Клиентът възлага редовна проверка на домейните в своя акаунт. След като докаже, че има право да контролира домейна, се добавят активни тестови изпращания (най-много пет на проверка), търсене на публично достъпни файлове и конфигурирани браузърни сценарии.

C3 – неизпълнен. Проверката е планирана и повтаряща се, но тя засяга собствения уебсайт на Клиента и се извършва по негово искане, а не с цел наблюдение на хора.
C4 – граничен, по-скоро не. Търсенето на публично достъпни файлове чете най-много първите 8 KB от пътища като /backup.sql или дневник за отстраняване на грешки, за да установи по съдържанието дали файлът наистина е публично достъпен (cfg/dateien_lib.php). Такъв откъс може да съдържа данни, въведени от посетители във формуляри. Той се проверява само в паметта и никога не се съхранява; съхраняват се пътят, видът и степента на сериозност.
C8 – изпълнен в слаба форма.
Останалите критерии – неизпълнени.

Междинен резултат P4: няма задължение. Включена, тъй като активните тестови изпращания и проверката на файлове зависят от доказателство, което никога не се подновява (R7).

P5 – Сканиране зад вход

За потвърден домейн Клиентът може да съхрани тестов акаунт за своя уебсайт. Скенерът влиза с него и прочита формулярите на до пет посочени страници от зоната за членове (cfg/login_lib.php, scanner/src/login.js).

C4 – граничен. Данните за достъп не са данни с изключително личен характер по смисъла на насоките, но злоупотребата с тях отваря зоната за членове. В зависимост от уебсайта зад входа може да има поверително съдържание, например в портал за членове или пациенти. Това зависи от Клиента, а не от нас.
C8 – неизпълнен. Автоматизираните входове са обичайни при услугите за наблюдение.
Останалите критерии – неизпълнени.

Междинен резултат P5: няма задължение според общото правило. За Клиенти, чиято зона за членове показва поверително съдържание, това може да се промени; тогава решението е тяхно. Включена поради рисковете за сигурността (R8).

P6 – Проверка на доставката с контролно копие

Клиентът въвежда контролен адрес на formexposed като скрито копие в имейл настройките на своя формуляр. В резултат на това всеки имейл от формуляра отива и в нашата контролна пощенска кутия – както нашето тестово съобщение, така и всяко истинско съобщение от посетител. Автоматизирано изтегляне прочита заглавките и първите 8 KB, съпоставя имейла, оценява SPF, DKIM и DMARC и го изтрива (cfg/zustellung_lib.php).

C4 – изпълнен. Това, което посетителите пишат във формуляр за контакт, е електронна комуникация към предприятие с произволно съдържание. На уебсайта на медицинска практика, адвокатска кантора, консултантска служба или училище могат да се очакват данни съгласно чл. 9 или данни за деца. Насоките изрично посочват поверителните електронни съобщения в този критерий.
C3 – граничен, по-скоро изпълнен. Всяко съобщение се копира планомерно и непрекъснато и се оценява автоматично, без подателят да забележи. Целта е проверка на пощенския маршрут, а не наблюдение на хора. Обстоятелството обаче, с което насоките обосновават критерия – субектите на данни не знаят кой получава данните им – е изцяло налице, докато Клиентът не информира своите посетители.
C7 – в зависимост от Клиента. Пациентите, клиентите на адвокатски кантори, кандидатите за работа, родителите и учениците често са в отношения на зависимост спрямо получателя на тяхното съобщение.
C5 – граничен, по-скоро не. Не е мащабно за отделния Клиент. При formexposed копията на много Клиенти се събират в една пощенска кутия; това увеличава тежестта на едно нарушение, но не и броя за всеки администратор.
Останалите критерии – неизпълнени. Съпоставянето с домейн и тест не е съпоставяне на набори от данни за хора; технологията не е нова.

Междинен резултат P6: C4 е изпълнен, C3 е граничен и по-скоро изпълнен, C7 е изпълнен за много типични Клиенти. Следователно в типичната конфигурация са изпълнени два или повече критерия. ОВЗД е необходима – като задължение на Клиента, който е администратор. Раздели 6 до 11 му предоставят фактите за това.

P7 – Роева защита

Свързаните уебсайтове с WordPress докладват веднъж дневно домейните на връзките от съобщения, които техният защитен слой е спрял. Домейн, който се появи на поне три различни уебсайта с поне пет попадения в рамките на седем дни, се включва в споделен списък; списъкът се изпраща обратно до всички свързани уебсайтове, които след това поставят съобщенията с връзки към този домейн в карантина (cfg/swarm_lib.php).

C6 – изпълнен. Доклади от много независими един от друг уебсайтове, т.е. от различни администратори, се обединяват и връщат на всички тях като споделен списък.
C1 – изпълнен, доколкото даден домейн може да бъде отнесен към физическо лице. Списъкът представлява класифициране като източник на спам. Насоките посочват проверката спрямо споделена база данни за измами като пример за този критерий. Повечето домейни в такъв списък принадлежат на предприятия или са домейни за еднократна употреба; домейн на физическо лице обаче може да попадне в него – основателно или чрез умишлено подхвърлени неверни доклади.
C9 – граничен. Съобщение с връзка от списъка не достига веднага до получателя, а остава в неговата карантина, докато той не го освободи. То не се губи.
C2 – неизпълнен. Карантината е автоматизирана последица за дадено съобщение, без правни последици и с освобождаване от човек – получателя.
Останалите критерии – неизпълнени. IP мрежите са изключени (swarm_ip_enabled = 0, cfg/swarm_lib.php).

Междинен резултат P7: два критерия (C6, C1) и един граничен случай (C9). Прагът е достигнат; formexposed извършва оценката като администратор. При включени IP мрежи C1 и C6 биха били изпълнени без ограничение; включването им изисква нова версия на тази оценка (раздел 12). Измерено в системата за разработка, няма нито доклади, нито записи в списъка.

P8 – Клиентски акаунти, вход, дневници, поддръжка, имейли, плащания

C1 и C9 – неизпълнени. Подозрителното поведение при безплатната проверка води до бележка с IP адреса (cfg/check_lib.php) и евентуално до отхвърляне на следващи проверки. Това е предотвратяване на злоупотреби с малко въздействие, а не оценка на лични аспекти.
Останалите критерии – неизпълнени. Това са обичайните данни на услуга за предприятия.

Междинен резултат P8: не е необходима ОВЗД. Операциите по обработване са описани в Регистъра на дейностите по обработване.

P9 – Показатели от плъгина, грешки в полета, рекордер, значка, клиентски портал, „Fix it for me“

Плъгинът и разширението предават ежедневни показатели, инвентара на плъгините и категории грешки, а плъгинът за WordPress допълнително предава домейни на връзки за роевата защита (включено по подразбиране) (P7) – без съдържание, адреси, имена или IP адреси на посетители; рекордерът пази селектори най-много 15 минути в браузъра на администратора. Не са изпълнени критерии.
При зареждане значката пренася обичайните данни за връзката в дневника на уеб сървъра, без бисквитка. Не са изпълнени критерии.
Клиентският портал обработва имейл адресите на абонатите с двойно потвърждение (double opt-in) от името на агенцията. Не са изпълнени критерии.
„Fix it for me“ дава поставения код на формуляр за пренаписване от езиков модел на собствения ни сървър; кодът не се съхранява. C8 в слаба форма, нищо друго.

Междинен резултат P9: не е необходима ОВЗД.

3.4 Списъкът на полския надзорен орган съгласно чл. 35, пар. 4

Компетентният орган е Председателят на Службата за защита на личните данни (Prezes Urzędu Ochrony Danych Osobowych, UODO). Председателят е публикувал списъка на видовете операции по обработване, изискващи ОВЗД, в съобщението от 17 юни 2019 г. (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, поз. 666). Списъкът отнася своите записи към критериите от насоките WP248, дава примери и изрично не е изчерпателен; той не замества преценката съгласно чл. 35, пар. 1.

Според нашия прочит следните видове обработване от списъка съответстват по същество на операции по обработване на formexposed:

Вид обработване според списъка (преразказ)	Съответен критерий	Операция по обработване при formexposed	Преценка
Съпоставяне, оценяване или извеждане на изводи въз основа на анализ на данни от различни източници	C6	P7 Роева защита	приложимо
Оценяване или присъждане на точки, включително профилиране	C1	P7 Роева защита; P1 и P2 като гранични случаи	приложимо за P7
Обработване на специални категории лични данни	C4	P6 Проверка на доставката	приложимо в зависимост от Клиента
Иновативно използване или прилагане на технологични решения	C8	P1 до P4 (езиков модел за класифициране)	приложимо в слаба форма
Мащабно обработване	C5	P3 Проучване	приложимо при големи списъци
Систематично наблюдение на публично достъпни места, включително с разпознаване на характеристики	C3	–	неприложимо: имат се предвид места, а не уебсайтове

Това съпоставяне е прочит, а не цитат; формулировката на записите следва да бъде сверена с него при правния преглед. То потвърждава резултата от раздел 3.3, но не го променя. Доколкото ни е известно, UODO не е публикувал списък съгласно чл. 35, пар. 5 – на операциите по обработване, за които не се изисква ОВЗД.

3.5 Резултат от предварителната преценка

Операция по обработване	Изпълнени	Гранични	Резултат
P1 Безплатна проверка	C8 (слабо)	C1, C5	не е задължителна; включена
P2 Проверка на потенциални клиенти	C8 (слабо)	C1	не е задължителна; включена
P3 Проучване	C8 (слабо), C5 при големи списъци	–	необходима (задължение на formexposed)
P4 Проверка на домейни на Клиенти	C8 (слабо)	C4 (проверка на файлове)	не е задължителна; включена
P5 Сканиране зад вход	–	C4	не е задължителна; включена; за Клиента – в зависимост от съдържанието
P6 Проверка на доставката	C4; C7 в зависимост от Клиента	C3 (по-скоро изпълнен), C5	необходима (задължение на Клиента; тази страница оказва съдействие съгласно чл. 28, пар. 3, буква „е“)
P7 Роева защита	C6, C1	C9	необходима (задължение на formexposed)
P8 Акаунти, дневници, поддръжка, плащания	–	–	не е необходима
P9 Показатели от плъгина, значка, портал, „Fix it for me“	C8 (слабо, само „Fix it for me“)	–	не е необходима

Резултат по чл. 35, пар. 1: ОВЗД е необходима за отделни операции по обработване на formexposed. Тя е необходима за роевата защита и за проучванията с проектирания размер и formexposed я извършва като администратор. За проверката на доставката тя е необходима в типичната конфигурация, но като задължение на Клиента; formexposed предоставя основата. За останалите проверки на уебсайтове на трети лица и на собствени уебсайтове тя не е задължителна. Въпреки това ги включваме, защото използват същата технология, защото няколко гранични случая сочат в една и съща посока и защото субектите на данни – оператори без акаунт и хора на проверените страници – не знаят нищо за обработването. За акаунтите, дневниците, поддръжката и плащанията не се изисква оценка.

Следователно раздели 6 до 10 се прилагат за P1 до P7. Когато дадено твърдение се отнася само до една от тези операции по обработване, това е отбелязано.

4. Длъжностно лице по защита на данните: преценката съгласно чл. 37

Не е определено длъжностно лице по защита на данните. Чл. 37, пар. 1 обвързва както администратора, така и обработващия лични данни; следователно въпросът е наш собствен. Трите законови случая:

Чл. 37, пар. 1	Условие	Резултат
буква „а“	Публичен орган или структура	Неприложимо; LW IT Solutions Company Lukas Wójcik е частен едноличен търговец.
буква „б“	Основните дейности се състоят от операции по обработване, които изискват редовно и систематично мащабно наблюдение на субектите на данни	Основната дейност е проверката и наблюдението на уебсайтове и формуляри – редовно и систематично. Не се наблюдават обаче хора: роботът не наблюдава поведение, а проверката на доставката оценява имейлите само по отношение на доставката и автентичността. Не е изпълнено.
буква „в“	Основните дейности се състоят от мащабно обработване на данни съгласно чл. 9 или 10	Не по замисъл. Специални категории могат да достигнат до нас чрез контролното копие при проверката на доставката; това е случайно, а не основна дейност. Не е изпълнено.

Следователно според нашата преценка не съществува задължение за определяне на такова лице. Дали полското право изисква определяне извън това съгласно чл. 37, пар. 4, е открит въпрос за правния преглед. Тъй като не е определено длъжностно лице по защита на данните, консултацията съгласно чл. 35, пар. 2 не е приложима. Ако правният преглед установи, че съществува задължение за определяне, преди одобряването на тази оценка ще бъде поискано становището на определеното тогава длъжностно лице по защита на данните (раздел 12). Лицето за контакт по въпроси относно тази оценка е собственикът на contact@lukaswojcik.com.

5. Метод, източници и ограничения на тази версия

Фактите в този документ произхождат от изходния код на приложението и скенера, от схемата на базата данни, както и от броя на редовете и настройките на системата за разработка, измерени на 11 октомври 2026 г. Достъпът до базата данни и сървърите беше само за четене. Когато дадено измерване противоречи на намерение – включително на твърдение в собствените ни правни документи – докладваме измерването. Не прилагаме одобрени кодекси за поведение съгласно чл. 40, чието спазване би трябвало да се вземе предвид съгласно чл. 35, пар. 8.

Измерена е системата за разработка. Услугата все още не е стартирала. Затова числата са малки и отчасти са артефакти от тестването: 112 проверки, от които 110 без домейн на Клиент; 432 екранни снимки; 2 домейна, от които 1 потвърден; няма включена проверка на доставката; няма съхранен тестов акаунт за сканиране зад вход; няма проучване; няма доклади в роевата защита. Измерванията трябва да бъдат повторени преди старта и на редовни интервали след това.
В тази версия не са измерени и трябва да бъдат добавени преди одобряването: конфигурацията на производствената система, включително дали и как е настроена контролната пощенска кутия и дали там е настроена двойката ключове за сканирането зад вход; дали софтуерът на езиковия модел записва заявките; състоянието на администрирането на сървърите (R13); договорът с доставчика на имейл услуги.
Не можеше да бъде измерено колко истински съобщения от посетители ще преминат през контролното копие и от кои сектори ще бъдат Клиентите. И двете определят тежестта на R1 и R2 и трябва да бъдат установени след старта.
Препратките към източника сочат към файлове и функции в изходния код на системата за разработка. Решаваща е описаната функция, а не нейното местоположение във файла.

Този документ е проект. Той все още не е одобрен от администратора (раздел 12), а две от заключенията му – преценката на мащаба за P1 и P3 и тежестта на проверката на доставката – зависят от числа, които ще съществуват едва след старта.

6. (a) Систематично описание на операциите по обработване и целите

6.1 Как е изградена системата за проверка

formexposed работи на собствени сървъри в Полша, без външен хостинг доставчик: уеб сървър с приложението и базата данни и сървър за сканиране с услугата за проверка и локален езиков модел, като и двата са в една и съща вътрешна мрежа. Проверката протича по следния начин:

Приложението създава задача в базата данни – при спазване на ограниченията и блокиранията, описани в раздел 6.3.
Услугата за проверка на сървъра за сканиране взема задачата, проверява повторно черния списък, имената на хостове и – при анонимни проверки – възрастта на домейна и стартира изолиран контейнер точно за тази задача: собствена мрежа със собствени правила за филтриране, без специални привилегии, файлова система само за четене, ограничения на паметта и процесите и времево ограничение (scanner/src/worker.js).
В контейнера автоматизиран браузър извлича най-много осем публични страници – първо началната страница, след това с предимство страници за контакт, импресум и поддръжка. Преди това той прочита robots.txt; изключване за FormExposedBot или за всички роботи, което обхваща началната страница, прекратява проверката, както и недостъпен robots.txt или сървърна грешка при извличането (scanner/src/net.js). Забраните за отделни подпътища не се спазват отделно. Пулсът на формуляра, извличането на доказателството, инструментът за заглавки и търсенето на публично достъпни файлове не четат robots.txt. Освен осемте страници има до три страници с щракване върху „Отхвърляне“ в банера за бисквитки, до три страници в изглед за телефон, активни проби за потвърдени домейни и до пет страници зад вход; страниците се зареждат една след друга, а не паралелно. Всяка заявка от браузъра – включително пренасочванията и вграденото съдържание – преминава през филтър, който отхвърля частни мрежи и други портове.
Контейнерът записва резултат и екранните снимки във временна директория. Услугата за проверка предава резултата и изображенията на приложението през вътрешната мрежа и изтрива временната директория, дори след грешка (scanner/src/worker.js).
Приложението обработва резултата, сравнява го с предишната проверка при домейни на Клиенти и съобщава промените на целите, които Клиентът е настроил.

6.2 Какво съхранява роботът – и какво не

Елемент	Какво се съхранява	Какво не се съхранява	Препратка към източника
Страници	Адрес, HTTP статус, заглавки, Content Security Policy, заявени хостове на трети страни (най-много 120)	Съдържание на страницата като текст или HTML	`scanner/src/crawl.js`
Полета на формуляри	Вид, име, етикет, текст в полето (placeholder), задължително поле, видимост, дължина на съществуваща стойност	Стойности на полетата; при скритите полета първите 24 знака от стойността само се прочитат по време на проверката (за разпознаване на токени)	`scanner/src/crawl.js`
Адреси на получатели във формуляра	само домейнът	адресът	`scanner/src/crawl.js`
Скриптове	Инвентар с контролна сума; адреси и начален текст без идентификатори на акаунти в рекламни и аналитични услуги	Идентификатори на акаунти и пиксели	`scanner/src/crawl.js`
Подслушвачи	кои рекламни пиксели и инструменти за записване се зареждат преди и след щракване върху „Отхвърляне“ в банера за бисквитки и дали маскират въведените данни	Идентификатори на акаунтите в тези услуги	`scanner/src/mitleser.js`, `scanner/src/einwilligung.js`
Текст на формуляра	до 400 знака се предават на локалния езиков модел, ако правилата не разпознаят вида	Разкриване на трети лица; съхраняване на текста	`scanner/src/classify.js`
Екранни снимки (робот)	видимата област на първата страница; за всеки видим формуляр – изображение на елемента на формуляра	–	`scanner/src/crawl.js`
Екранни снимки (активна проверка)	Изображение на страницата с отговор на тестовото изпращане; освен това статусът, целевият адрес, заглавието и първите 300 знака от текста ѝ	–	`scanner/src/active.js`
Екранни снимки (браузърни сценарии)	Изображение на формуляра със зачернени полета за въвеждане, компресирано, най-много 32 KB	Въведени данни	`scanner/src/browser.js`
Зад вход	както при полетата на формуляри по-горе	Екранни снимки, бисквитки, връзки	`scanner/src/login.js`

По замисъл тези елементи не съдържат лични данни, но случайно ги съдържат: името на лице за контакт до формуляра, снимка на екипа на началната страница, телефонен номер в етикет, имейл домейнът на физическо лице, име в текста на поле. Зад вход се добавят данни за тестовия акаунт и, в зависимост от уебсайта, за други потребители.

6.3 Кой задейства проверка и какво важи тогава

Задействане	Ниво на доверие в задачата	Тестови изпращания	Резултатът е достъпен чрез	Изтриване
Някой въвежда домейн на началната страница (безплатна проверка)	анонимно	не	Отчет под случайна връзка	30 дни, включително изображенията (`cfg/check_lib.php`)
Плъгин или разширение без акаунт	плъгин	не	Отчет под случайна връзка	30 дни
Агенция за потенциален клиент	регистрирано	не	Кратка констатация и отчет под случайна връзка	90 дни (`cfg/akquise_lib.php`)
Клиент, домейн без доказателство	регистрирано	не	Акаунт; отчет под случайна връзка	13 месеца, последната проверка се запазва
Клиент, домейн с доказателство	потвърдено	да, най-много пет на проверка	Акаунт; отчет под случайна връзка	13 месеца, последната проверка се запазва (`cfg/fristen_lib.php`)
Проучване	вътрешно	не	само сборни данни след публикуване	при публикуване; без публикуване – без срок (R4)
Вътрешна проверка от командния ред от доставчика	вътрешно; за собствените ни тестови и демонстрационни домейни също „потвърдено“	не; при ниво „потвърдено“ – да (само собствените ни тестови и демонстрационни домейни)	само вътрешно	без срок (R4)

Пред безплатната проверка има няколко нива (cfg/check_lib.php): аварийно спиране; reCAPTCHA; един и същ домейн най-много веднъж на седем дни (след това се показва съществуващият отчет); ограничения за IP адрес, за сесия (като хеш стойност, никога самият идентификатор на сесията) и за цялата услуга на ден; черният списък от opt-out и robots.txt; проверката дали домейнът сочи към публични адреси; и блокиране на много нови или неизвестни домейни. Аномалиите – много различни домейни от един IP адрес, много заявки за кратко време – се отбелязват с IP адреса и задействат сигнал без съдържание (cfg/check_lib.php).

6.4 Проверка на домейни в акаунта на Клиента

Клиентът доказва, че има право да контролира домейн: чрез DNS запис, мета таг, файл или чрез нашия плъгин (cfg/verify_lib.php). Едва тогава домейнът се третира като потвърден. Планировчикът на наблюдението планира редовни проверки само за активни, наблюдавани и потвърдени домейни (cfg/monitor_lib.php).

Активните тестови изпращания са обвързани с две прегради: приложението задава активния режим за Клиенти само за потвърдени домейни (за собствените ни тестови и демонстрационни домейни доставчикът може да създаде проверка с ниво „потвърдено“ чрез вътрешен инструмент от командния ред), а услугата за проверка проверява отново нивото на доверие и аварийното спиране fc_active_enabled (scanner/src/worker.js). Може да бъде изпратен само формуляр, който правилата разпознават с висока степен на сигурност като общ формуляр за контакт, който няма задължителни полета за реални лични данни и чийто домейн не изглежда като такъв на публичен орган, образователна институция, клиника, медицинска практика, полиция или съд (scanner/src/classify.js). Езиковият модел не може да направи формуляр подходящ за изпращане (scanner/src/classify.js). На проверка се изпращат най-много пет изпращания (fc_active_max_posts), ясно маркирани, с подател dummy@formexposed.com, адрес под .invalid за проверка на валидирането на имейли и безобиден допълнителен ред в заглавката за откриване на инжектиране в заглавки (scanner/src/active.js).
Браузърните сценарии проверяват конфигурирани последователности във формуляри в браузър до момента точно преди изпращането. Разрешени са само заявки GET и HEAD; всичко останало се прекъсва, както и адресите, съдържащи думи за излизане, изтриване, купуване или плащане (scanner/src/browser.js). За проверката задължителните полета се попълват с измислени стойности, които никога не напускат браузъра.
Публично достъпни файлове се търсят ежеседмично, само за потвърдени домейни, с най-много едно извличане на път, най-много 8 KB, като съдържанието никога не се съхранява (cfg/dateien_lib.php).
Независима втора сонда е подготвена и е изключена по подразбиране (browser_probe_enabled = 0). Ако бъде включена, тя би получавала само домейна, адреса, селектора, стъпките и избора на браузър, никога данни за достъп, екранни снимки или данни за посетители (cfg/formular_probe_lib.php).

6.5 Сканиране зад вход

Предпоставки: функцията е настроена, домейнът е потвърден, а Клиентът е на платен план и е собственик или администратор на работното пространство (cfg/login_lib.php); той потвърждава, че акаунтът е тестов акаунт с възможно най-малко права (cfg/login_lib.php).

Потребителското име и паролата се шифроват незабавно на уеб сървъра с публичния ключ на сървъра за сканиране: еднократен ключ за всеки запис (X25519), извеждане на ключ (HKDF-SHA256), AES-256-GCM, обвързан с домейна (cfg/login_lib.php). Само услугата за проверка на сървъра за сканиране притежава частния ключ (scanner/src/geheim.js). Който разполага с уеб сървъра, базата данни или резервно копие, има само шифрован текст.
Интерфейсът показва само първия знак и дължината на потребителското име (cfg/login_lib.php). Данните за достъп никога не се показват, никога не се записват в дневници и никога не се извеждат чрез API.
За дадена проверка приложението прикачва шифрования текст към задачата. Услугата за проверка го дешифрира, незабавно изчиства полето в задачата и предава данните за достъп на контейнера само чрез стандартния вход, никога като аргументи на командния ред (scanner/src/worker.js). Остатъците в прекъснати задачи се изчистват от процедурата за състоянието след един час (cfg/login_lib.php).
В контейнера браузърът влиза в системата. Той прекъсва, ако страницата за вход пренасочва към друг хост, ако формулярът за вход съдържа CAPTCHA (ние не заобикаляме CAPTCHA) или ако след изпращането все още се вижда поле за парола (scanner/src/login.js). След това изчиства полето за парола в паметта на страницата и забравя данните за достъп (scanner/src/login.js).
Той прочита най-много пет страници от същия домейн, посочени от Клиента. Адресите, съдържащи думи за излизане, изтриване, премахване или анулиране, са блокирани (scanner/src/login.js). Зад входа нищо не се изпраща, не се правят екранни снимки, а бисквитките и връзките не попадат в резултата (scanner/src/login.js).
Изтриването е окончателно: шифрованият текст се презаписва със случайни данни със същата дължина, редът се изтрива, а чакащите задачи се изчистват (cfg/login_lib.php). При изтриване на домейна редът изчезва автоматично чрез външен ключ.

6.6 Проверка на доставката

Проверката на доставката отговаря на въпроса дали имейлът от формуляра за контакт наистина пристига и оценява неговите признаци за автентичност. Тя е незадължителна, изключена по подразбиране и изисква настроена контролна пощенска кутия (cfg/zustellung_lib.php).

Ако Клиентът я включи, домейнът получава случаен маркер. Клиентът въвежда контролния адрес с този маркер като скрито копие в своя формуляр.
Оттогава всеки имейл от формуляра отива и в контролната пощенска кутия: нашите маркирани тестови изпращания и всички истински съобщения от посетители. Имейлите отиват директно в пощенската кутия при Namecheap, Inc. (Private Email), Phoenix, Arizona, USA – те пристигат само ако MX записите на нашия домейн сочат там; чрез пренасочване, например при регистратора на домейни Namecheap, Inc., те не достигат до пощенската кутия – и остават там, докато не бъдат изтеглени.
Процедурата за състоянието изтегля пощенската кутия на всеки пет минути (srv/cron_status.php). За всеки имейл тя прочита заглавките и най-много първите 8 KB от текста, без да ги маркира като прочетени (cfg/zustellung_lib.php).
От заглавките тя определя маркера и съответно домейна, а от текста – при наличие – идентификатора на нашия тест (cfg/zustellung_lib.php). Съхраняват се времето, домейнът и при наличие идентификаторът на теста (cfg/zustellung_lib.php), за 180 дни (cfg/zustellung_lib.php).
От заглавките тя оценява SPF, DKIM и DMARC и съхранява резултата към домейна: резултатите от проверката, домейна на адреса на подателя, домейните на подписите и адреса на изпращащия пощенски сървър (cfg/zustellung_lib.php). Ако резултатът се влоши, на Клиента еднократно се изпраща известие, което може да посочва домейна на подателя (cfg/zustellung_lib.php).
След това тя маркира всеки изтеглен имейл за изтриване, включително такъв, който не е могъл да бъде съпоставен с никой домейн, и го премахва от пощенската кутия в края на изпълнението (cfg/zustellung_lib.php). Ако изпълнението прекъсне преди това, имейлите остават до следващото успешно изпълнение.
Като доказателство за доставка се зачита само копието точно на съответния тест (cfg/zustellung_lib.php). Ако то не пристигне в рамките на три часа (delivery_wait_h), услугата съобщава „Липсва доставка“.

Текстът на истинските съобщения никога не се записва в базата данни, както и адресът на посетителя. И двете обаче се прочитат: изтеглянето зарежда първите 8 KB от всеки имейл в паметта, за да търси идентификатора на теста.

6.7 Роева защита

Защитният слой на плъгина за WordPress спира съобщение като спам и преброява домейните на връзките в него. Веднъж дневно плъгинът ни докладва тези домейни с броя на попаденията им, най-много 60 на ден; без адреси, без текст, без IP адреси (cfg/swarm_lib.php).
Веднъж дневно съставяме от това списъка: домейн се включва в него, ако в рамките на седем дни е докладван от поне три различни уебсайта и с поне пет попадения (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Големите услуги от фиксиран списък с изключения и домейните на нашите Клиенти, във всеки случай включително поддомейните, никога не попадат в списъка (cfg/swarm_lib.php).
Списъкът отива до всички свързани уебсайтове заедно с отговора на ежедневния доклад. Техният защитен слой поставя съобщенията с връзки към домейни от списъка в карантина, а не в кошчето.
Каквото вече не фигурира в новия списък, отпада; докладите се изтриват след 30 дни (cfg/swarm_lib.php).
IP мрежите (/24 или /48) са подготвени, но са изключени до приключване на правния преглед (cfg/swarm_lib.php).

6.8 Използване на изкуствен интелект

Езиков модел работи на собствения ни сървър за сканиране, а не при доставчик на ИИ. Той се използва на две места: в услугата за проверка класифицира формуляри, чийто вид правилата не разпознават; при това вижда заглавието на страницата, адреса на страницата, етикетите на бутоните за изпращане, видовете полета, имената, етикетите и текстовете в полетата, както и до 400 знака текст от формуляра (scanner/src/classify.js). Той се използва само ако правилата върнат „неизвестен“; така класифицираните формуляри никога не се изпращат и не се отчитат при оценката и заключението. Оценката, заключението, предотвратяването на злоупотреби, роевата защита и правилата за спам са фиксирани правила, а не ИИ. При „Fix it for me“ той пренаписва поставен код на формуляр; кодът не се съхранява. Моделът не взема решения за хора. Повече за това на страницата Акт за ИИ на ЕС: как formexposed използва ИИ.

6.9 Правни основания

Операция по обработване	Правно основание
P1 Безплатна проверка: проверка на заявения домейн; ограничения и предотвратяване на злоупотреби	по отношение на заявителя – чл. 6, пар. 1, буква „б“; по отношение на оператора и изобразените лица – чл. 6, пар. 1, буква „е“; предотвратяване на злоупотреби – чл. 6, пар. 1, буква „е“
P2 Проверка на потенциални клиенти	чл. 6, пар. 1, буква „е“ (законен интерес на агенцията и на formexposed)
P3 Проучване	чл. 6, пар. 1, буква „е“
P4 Проверка на домейни на Клиенти	чл. 6, пар. 1, буква „б“ по отношение на Клиента; за данните на трети лица на неговия уебсайт – указанията на Клиента съгласно чл. 28
P5 Сканиране зад вход	указанията на Клиента съгласно чл. 28; правното основание на Клиента
P6 Проверка на доставката	указанията на Клиента съгласно чл. 28; правното основание на Клиента (в предложения от нас текст за Клиенти – чл. 6, пар. 1, буква „е“)
P7 Роева защита	чл. 6, пар. 1, буква „е“ (съвместна защита срещу спам в много уебсайтове)

Нашият законен интерес при P1 до P3 се състои в това да покажем на операторите и техните доставчици на услуги слабостите в техните формуляри, преди те да бъдат използвани за спам или злоупотреби, и в предоставянето на услугата. Данните произхождат от публично достъпни източници. Претеглянето на интересите е изложено в раздел 7; дали чл. 6, пар. 1, буква „е“ обосновава проверката на уебсайтове на трети лица при поискване, е открит въпрос за правния преглед.

6.10 Получатели и предаване на данни на трети държави

Получател	Какво	Операция по обработване	Статус
Никой извън formexposed	Резултати от проверки, екранни снимки, класификация от езиковия модел	P1–P5	Услугата за проверка и езиковият модел работят на собствените ни сървъри; в пътя на проверка на робота не е открито извикване към трета страна освен към самия проверяван уебсайт, към услугите, чието съдържание той вгражда (както при всеки посетител), и към RDAP услугата rdap.org за възрастта на домейна (само името на домейна); наблюденията в рамките на мониторинга са посочени в следващия ред
Всеки, който знае връзката	Отчет с констатации и екранни снимки	P1, P2, P4	случайна връзка със 128 бита (`cfg/check_lib.php`), страници с `noindex` (`www/report.php`)
Услуги, към които се обръща наблюдението на домейн на Клиент	DNS черни списъци (SpamCop, PSBL, Mailspike, SURBL): домейни и IP адреси на сървъри, без данни за посетители; Google Web Risk само ако е настроен: адресът на началната страница; органи за удостоверяване на време Certum и DigiCert: само хеш стойност на доказателствения протокол; RDAP чрез регистъра на IANA: само името на домейна; страници за състоянието на доставчици: не се предава нищо; wpvulnerability.net: идентификатор на плъгин (без версия) или тема и версията на WordPress	P4	използват се; подробности в Регистъра на дейностите по обработване и на страницата Подобработващи
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Контролни копия, включително истински съобщения от посетители	P6	Договорът все още не е сключен; мястото на обработване и механизмът за предаване тепърва трябва да бъдат проучени
Namecheap, Inc. (САЩ)	Регистратор и DNS; докато пощенската кутия не бъде настроена – пренасочване на общите имейли до адреси на нашия домейн, но не и на контролните копия (те достигат до пощенската кутия само чрез MX записи, които сочат директно към нея)	– (без контролни копия)	Механизмът за предаване трябва да бъде проучен
Канали за известяване, избрани от Клиента (имейл, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	Събитие, домейн, връзка; при проверката на автентичността – домейнът на подателя, ако не принадлежи на уебсайта	P4, P6	целта се избира от Клиента; отчасти извън ЕС. Изпращаме съобщенията в Telegram чрез нашия бот; механизмът за предаване за това е открит въпрос за правния преглед
Всички свързани уебсайтове	Списък с домейни на връзки	P7	чрез отговора към плъгина
Втора сонда	Домейн, адрес на формуляра, селектор, стъпки	P4	изключена

6.11 Съхранение – измерено, а не предвидено

Изтриването се извършва предимно през нощта в 03:00 ч. в процедурата за състоянието (srv/cron_status.php, cfg/fristen_lib.php); докладите в роевата защита и редовете за потенциални клиенти се изтриват ежедневно от 04:00 ч., съпоставянията при проверката на доставката – при всяко изтегляне; анонимните отчети и отчетите за потенциални клиенти се изтриват според датата на изтичането им (cfg/check_lib.php). Екранните снимки се изтриват от диска заедно с тяхното сканиране (cfg/fristen_lib.php).

Данни	Срок според кода	Препратка към източника	Констатация
Безплатна проверка, включително изображенията	30 дни	`cfg/check_lib.php`	действа
Проверка на потенциални клиенти, включително изображенията	90 дни	`cfg/akquise_lib.php`; `srv/cron_status.php` (редове за потенциални клиенти)	действа
Проверки на домейн на Клиент	13 месеца; последната се запазва, докато съществува домейнът	`cfg/fristen_lib.php`	действа
Резултати от браузърни сценарии, включително зачернените изображения	13 месеца	`cfg/fristen_lib.php`	действа
Данни на изтрит домейн	незабавно; остатъците – през нощта	`cfg/fristen_lib.php` (`fe_domain_loeschen()`, `fe_fristen_lauf()`)	действа, включително за инвентара на скриптовете и промените в скриптовете, които извън това нямат собствен срок на съхранение (вж. Регистъра на дейностите по обработване)
Проучване: необработени данни, включително изображенията	при публикуване	`cfg/studie_lib.php`	без публикуване – без срок; списъкът с проверените хостове остава без срок дори след публикуването
Вътрешни проверки без домейн и без отчет	няма	–	няма изтриване; измерено: 85 проверки с 369 изображения от 22 септември 2026 г. (R4)
Съпоставяния при проверката на доставката	180 дни	`cfg/zustellung_lib.php`	действа
Резултат от проверката на автентичността към домейна	до следващия резултат или изтриването на домейна	`cfg/zustellung_lib.php`	презаписва се, без срок
Контролни копия в пощенската кутия	до следващото успешно изтегляне (интервал от пет минути)	`cfg/zustellung_lib.php`	копията и резервните копия при доставчика на пощенската кутия не са проверени
Данни за достъп за сканирането зад вход	до изтриване от Клиента или изтриване на домейна; в задачата най-много до края на изпълнението, остатъците – след един час	`cfg/login_lib.php`	действа; в резервните копия само като шифрован текст до 14 дни
Доклади в роевата защита	30 дни	`cfg/swarm_lib.php`	действа
Ограничения на безплатната проверка (IP, държава, хеш на сесията)	7 дни	`srv/cron_status.php`	действа
Бележки за подозрително поведение с IP адрес	90 дни след разрешаването	`srv/cron_status.php`	неразрешените бележки – без срок; измерено: 3 бележки, всички разрешени
IP адрес, държава, браузър във връзка с opt-out	12 месеца; изключването остава	`cfg/fristen_lib.php`	действа
Резервни копия на базата данни	14 дни	`cfg/backup_lib.php`	действа; понастоящем резервните копия се съхраняват на същото място като базата данни и не са отделно шифровани; планира се шифровано копие на второ място (R13)

7. (b) Оценка на необходимостта и пропорционалността

Мерило са посочените цели: да се покаже на операторите дали техните формуляри са защитени срещу спам и злоупотреби (P1 до P5), да се провери дали имейлите от формулярите пристигат и изглеждат автентични (P6) и да се осигури съвместна защита срещу спам в много уебсайтове (P7). Тези цели са легитимни. Въпросът по чл. 35, пар. 7, буква „б“ е по-тесен: необходимо ли е това обработване в тази дълбочина за целта и съразмерна ли е намесата спрямо ползата?

Компонент	Необходим ли е за целта?	Пропорционален ли е във вида, в който е изграден?
Извличане на няколко публични страници, структура на формулярите, разпознати защитни мерки	Да. Без тях няма констатация.	Да. Най-много осем страници (плюс изгледите от раздел 6.1), забрана за началната страница в robots.txt се спазва, без стойности на видими полета, адресите на получатели само като домейн.
Екранна снимка за всеки формуляр	Да, като доказателство в отчета: операторът вижда за кой формуляр става дума.	В голяма степен. Полетата са празни, защото роботът не въвежда нищо. Изображението обаче показва обкръжението на елемента на формуляра, без нищо да е зачернено (R3).
Екранна снимка на началната страница	Не е необходима за самата констатация. Тя служи за разпознаване на проверения уебсайт в отчета.	Само в ограничена степен; планира се допълнително минимизиране. Началните страници често показват хора: снимки на екипа, лица за контакт, отзиви на клиенти с имена. Вж. R3 и раздел 9.3.
Прочитане на стойностите на скрити полета (първите 24 знака, само по време на проверката)	Да: от тях се разпознават токени и времеви отпечатъци.	Да. Съхранява се само резултатът от разпознаването, а не стойността, включително зад вход (R8).
Страница с отговор на тестовото изпращане (изображение и 300 знака текст)	Да, като доказателство за това как е реагирал формулярът.	Да. Отговорът се отнася до нашето маркирано тестово съобщение без лични данни.
Класификация от езиковия модел	Полезна, но не необходима: без нея повече формуляри остават „неизвестни“.	Да. Локално, без разкриване, без право на изпращане.
Активни тестови изпращания	Да. Дали дадена защита действа, става ясно едва когато бъде тествана.	Да, с горна граница и маркиране. Предпоставката – доказването на контрол – обаче никога не се подновява (R7).
Търсене на публично достъпни файлове	Да – за Клиента, чиито данни от формуляри може да са изложени там.	Да. Само потвърдени домейни, най-много 8 KB, съдържанието никога не се съхранява.
Сканиране зад вход	Да – за формуляри в зоната за членове, които иначе биха останали непроверени.	В голяма степен. Шифроването и изтриването са изградени внимателно; входът обаче приема нешифровани връзки и дефектни сертификати (R8).
Контролно копие на истински съобщения от посетители	Не и за доказване на доставката. То се основава само на копието на нашия тест (`cfg/zustellung_lib.php`). Истинските съобщения идват заедно с него, защото скритото копие във формуляра не прави разлика между тест и истинско съобщение. Те са полезни за проверката на автентичността (SPF, DKIM, DMARC), защото показват реалния маршрут на изпращане.	Отчасти. Съдържанието не се съхранява, но се прочита и до изтеглянето остава при доставчика на пощенската кутия, чийто договор все още е открит въпрос (R1, R2). Технически е възможен по-малко инвазивен вариант: с нашия плъгин скритото копие би могло да бъде ограничено до маркирани тестови съобщения (раздел 9.3).
Съхраняване на домейна на подателя на истински съобщения	Отчасти: показва дали формулярът изпраща с адреса на посетителя като подател (честа причина за класифициране като спам).	Условно. За физическо лице със собствен домейн домейнът представлява лични данни и той попада в известието до Клиента и неговите канали (R1).
Споделен списък с домейни на връзки	Да. Спам връзка, която се появява едновременно на много уебсайтове, е силен сигнал, с който отделният уебсайт не разполага.	Да, с минимални бройки, изключения и карантина вместо изтриване. IP мрежите не биха били пропорционални без нова оценка.
Необработени данни от проучването	До анализа – да.	Без максимален срок – не (R4).
Отчет под случайна връзка	Да. Предаването на отчета – например на доставчика на услуги, който поддържа уебсайта – е целта на безплатната проверка.	Да. Случайна връзка със 128 бита, `noindex`, безплатният отчет само като извадка (`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`), изтриване след 30 дни.

Законосъобразност. За P1 до P3 и P7 се основаваме на чл. 6, пар. 1, буква „е“. В полза на претеглянето: данните са публични и се извличат по същия начин, както от всеки посетител; нищо не се изпраща; личните данни са случайни и незначителни; сроковете са кратки; операторът може да изключи по-нататъшни проверки от робота чрез забрана за началната страница в robots.txt и всяка по-нататъшна проверка чрез нашата страница за opt-out – незабавно и без доказателство; ползата – защитен формуляр – е и за оператора и неговите посетители. Против: операторът не научава нищо за проверката, отчетът е предназначен за трети лица, а при едноличните търговци той оценява физическо лице. Считаме претеглянето за обосновано, докато мерките от раздел 9.1 остават в сила; правното потвърждение предстои.

Информиране на субектите на данни (чл. 13 и 14). Информираме операторите и хората на проверените страници чрез страницата за робота, която е посочена в идентификатора на всяко извличане, чрез Политиката за поверителност и чрез страницата за opt-out. Индивидуалното информиране на хора, които случайно се появяват на екранна снимка, би било възможно само ако ги идентифицираме – което би било допълнителна, по-сериозна намеса. В тази степен се основаваме на чл. 14, пар. 5, буква „б“. Посетителите, чиито съобщения преминават през контролното копие, се информират от Клиента; Споразумението за обработване на данни изисква това и ние предоставяме текстов блок за целта.

Свеждане на данните до минимум (чл. 5, пар. 1, буква „в“). То е видимо на много места и е заложено в кода: без стойности на полета, адресите на получатели само като домейн, идентификаторите на акаунти в адресите на скриптове са скрити, без съдържание от контролното копие в базата данни, без екранни снимки зад вход, само домейни в роевата защита. На две места е възможно и планирано допълнително минимизиране (раздел 9.3): при екранната снимка на началната страница без зачерняване и при домейна на подателя на истински съобщения.

Ограничение на съхранението (чл. 5, пар. 1, буква „д“). От 27 септември 2026 г. нощното изпълнение спазва сроковете от Политиката за поверителност за данните на Клиентите и изчиства данните, останали без свързан домейн от периода преди това (cfg/fristen_lib.php). Остават открити два пътя без срок: вътрешните проверки и непубликуваните проучвания (R4).

Точност (чл. 5, пар. 1, буква „г“). Констатацията може да бъде погрешна: даден формуляр изглежда незащитен, защото защитата се зарежда едва след взаимодействие, или роботът е бил третиран от защитна стена по различен начин от посетител. За оператор, чийто уебсайт публично се разпространява като „Незащитен“, това е въпрос на репутация. Затова отчетът посочва метода, показва доказателства и обръща внимание на ограниченията на проверката отвън.

Резултат относно пропорционалността: Проверката на уебсайтове на трети лица и на собствени уебсайтове във вида, в който е изградена, по същество е пропорционална. На три места има нужда от подобрение, която може да бъде отстранена с обичайни средства и за която са планирани мерки (раздел 9.3): екранните снимки на началната страница, вътрешните проверки без срок и нешифрованият вход при сканирането зад вход. Проверката на доставката е пропорционална за тестовото копие и за проверката на автентичността; за истинските съобщения от посетители това важи само докато тяхното съдържание не се съхранява, маршрутът през доставчика на пощенската кутия е договорно обезпечен и Клиентът информира своите посетители. Днес липсва втората от тези три точки.

8. (c) Оценка на рисковете за правата и свободите на субектите на данни

Оценява се рискът за субектите на данни, а не за formexposed. Вероятността се оценява като малка, възможна, голяма или настъпила; „настъпила“ означава, че събитието не е прогноза, а измерено състояние. Тежестта се оценява като ограничена, значителна, сериозна или много сериозна в зависимост от това какво може да загуби лицето: поверителността на своето съобщение, контрола над акаунт, деловата си репутация, възможността да упражни право. Нивото произтича от двете и описва текущото състояние с мерките от раздел 9.1.

№	Риск	Операция по обработване	Вероятност	Тежест	Ниво
R1	Истински съобщения от посетители в контролното копие, включително възможни специални категории	P6	Настъпила след включване	Сериозна	Високо
R2	Маршрут на контролното копие през доставчика на пощенската кутия без сключен договор и с възможна връзка с трета държава	P6	Голяма, докато липсва договорът	Сериозна	Високо
R3	Екранни снимки на уебсайтове на трети лица без зачерняване	P1–P4	Голяма	Ограничена	Средно
R4	Данни от проверки и екранни снимки без път за изтриване	P3, вътрешни проверки	Настъпила	Значителна	Високо
R5	Проверка и публична оценка на уебсайтове на трети лица без знанието на оператора; злоупотреба като инструмент за разузнаване	P1	Възможна	Значителна	Средно
R6	Проверката на потенциални клиенти като основа за непоискани обръщения	P2	Голяма	Ограничена	Средно
R7	Доказването на контрол никога не се подновява	P4, P5	Възможна	Значителна	Средно
R8	Данни за достъп и съдържание при сканирането зад вход	P5	Възможна	Сериозна	Средно; високо при реални акаунти
R9	Активни тестови изпращания и проверка на файлове на уебсайта на Клиента	P4	Малка	Значителна	Ниско
R10	Класификация от езиков модел	P1–P4	Малка	Ограничена	Ниско
R11	Споделен черен списък от доклади на много уебсайтове	P7	Възможна	Ограничена	Ниско до средно; високо при IP мрежи
R12	Отчети и екранни снимки под публична връзка	P1, P2, P4	Възможна	Ограничена	Ниско
R13	Слабости в инфраструктурата: резервни копия, достъп до сървърите, сървър за сканиране	всички	Възможна	Сериозна	Високо
R14	Права на субектите на данни за хора, които не ни познават	P1–P6	Голяма	Ограничена	Ниско

R1 – Истински съобщения от посетители в контролното копие

Това е най-сериозният риск на услугата и той произтича не от грешка, а от самия замисъл. Скритото копие във формуляра не прави разлика между нашето тестово съобщение и съобщението на посетител. Ако Клиент включи проверката на доставката, всяко съобщение, изпратено чрез този формуляр, достига до нашата контролна пощенска кутия (cfg/zustellung_lib.php). Изтеглянето зарежда в паметта заглавките и първите 8 KB от текста, за да търси идентификатора на нашия тест (cfg/zustellung_lib.php). При обикновен формуляр за контакт това означава име, имейл адрес, телефонен номер и цялото съобщение.

Какво пише посетителят, зависи от него, а полето подканва към лично съдържание: молба за час с описание на симптоми до медицинска практика, описание на правен спор до адвокатска кантора, кандидатура за работа, запитване за дете до училище. Нашите правни документи посочват, че копията „не следва да съдържат специални категории лични данни“. Това е молба към Клиента, а не защитна мярка: нито той, нито ние знаем предварително какво ще напише посетителят.

Към това спадат два странични пътя. Първо, проверката на автентичността съхранява домейна на адреса на подателя към домейна (cfg/zustellung_lib.php). Ако формулярът изпраща с адреса на посетителя като подател, това е домейнът на посетителя – без значение при голям доставчик на имейл, но лични данни при физическо лице със собствен домейн. Този домейн се появява и в известието, което отива до Клиента и до избраните от него канали (cfg/zustellung_lib.php). Второ, тя съхранява адреса на изпращащия пощенски сървър (cfg/zustellung_lib.php); по правило това е сървърът на уебсайта, а не на посетителя.

Вероятност – настъпила след включване. Въпросът не е дали пристигат истински съобщения, а колко. Измерено в системата за разработка, функцията не е включена за нито един домейн. Тежест – сериозна. Поверителността на съобщение до предприятие е важна за много хора, а при някои от типичните Клиенти могат да се очакват данни съгласно чл. 9. Тежестта се смекчава от факта, че съдържанието не попада в базата данни, остава в пощенската кутия само за кратко и не се чете от никое лице в formexposed. Ниво – високо.

R2 – Маршрут на контролното копие през доставчика на пощенската кутия без сключен договор

Преди нашето изтегляне да види контролно копие, то се намира в пощенската кутия при Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. То пристига там само ако MX записите на нашия домейн сочат директно към тази пощенска кутия; пренасочването при регистратора на домейни Namecheap, Inc. не е станция на контролните копия (чрез пренасочване те не достигат до пощенската кутия). За оставащата станция договорните условия все още са открити: договорът с доставчика на пощенската кутия не е сключен, местата му на съхранение, подобработващите и сроковете за резервни копия не са установени, а дали за мястото му на обработване е необходимо и приложимо решение относно адекватното ниво на защита или стандартни договорни клаузи, е открит въпрос. За собствените ни транзакционни имейли това е въпрос на оформяне на договора. За контролните копия е по-сериозно: там става дума за данни, които получаваме като обработващ лични данни, и всеки доставчик на услуги по маршрута е подобработващ, за когото носим отговорност съгласно чл. 28, пар. 4.

Освен това „изтрито след изтеглянето“ важи само за нашия изглед на пощенската кутия. Дали доставчикът пази изтритите имейли в собствени резервни копия или в кошче и колко дълго, не е проверено. Ако изтеглянето прекъсне, имейлите остават до следващото успешно изпълнение (cfg/zustellung_lib.php); ако процедурата за състоянието спре да работи, те остават за неопределено време. Накрая, защитата на самото изтегляне е една от точките, които трябва да бъдат проверени в производствената система преди старта (раздел 9.3).

Вероятност – голяма, докато липсва договорът: всяко контролно копие минава по този маршрут. Тежест – сериозна, по същите причини като при R1. Ниво – високо. Списъкът за настройка на приложението съобщава липсващата пощенска кутия като предупреждение; няма блокировка, която да спира проверката на доставката без документиран договор.

R3 – Екранни снимки на уебсайтове на трети лица без зачерняване

Роботът прави екранна снимка на видимата област на първата страница и изображение на елемента на формуляра за всеки видим формуляр (scanner/src/crawl.js). При това нищо не се зачернява. При браузърните сценарии е различно: там полетата за въвеждане се маскират преди екранната снимка (scanner/src/browser.js). Следователно „почистени“ са само изображенията от браузърните сценарии, но не и тези от робота, нито изображението на страницата с отговор при активна проверка.

Тъй като роботът не въвежда нищо, полетата на формулярите са празни. Началната страница на малко предприятие обаче често показва собственика, екипа, отзиви на клиенти с имена и снимки или прозорец за чат със снимка на служител. Всичко това е публично; екранната снимка го превръща в копие, което се съхранява при нас, появява се в отчета и може да бъде предадено заедно с връзката.

Вероятност – голяма. В набора от данни на системата за разработка са измерени 432 екранни снимки. Тежест – ограничена: съдържанието вече е публично, а сроковете за проверки без акаунт са кратки. Ниво – средно, защото изобразените хора не знаят за това, а изображението на началната страница не е необходимо за констатацията.

R4 – Данни от проверки и екранни снимки без път за изтриване

Нощното изпълнение изтрива проверки по два пътя: чрез датата на изтичане на отчет (cfg/check_lib.php) и чрез срока за проверки на домейн на Клиент (cfg/fristen_lib.php, само за проверки с домейн). Проверка, която няма нито отчет, нито домейн, минава през двете мрежи. Това са проверките с ниво на доверие „вътрешно“: проучвания и проверки, които доставчикът създава от командния ред.

Проучванията изтриват необработените си данни при публикуване (cfg/studie_lib.php). Ако дадено проучване никога не бъде публикувано – защото има твърде малко уебсайтове с формуляр (тогава cfg/studie_lib.php отказва публикуването) или защото е изоставено – проверките, формулярите, констатациите и екранните снимки остават без срок.
Вътрешните проверки от командния ред изобщо нямат път за изтриване. Измерено на 11 октомври 2026 г.: 85 такива проверки на уебсайтове на трети лица с 978 формуляра и 369 екранни снимки, най-старата от 22 септември 2026 г., нито една с отчет или домейн.
Бележките за подозрително поведение при безплатната проверка съдържат IP адреса и се изтриват 90 дни след разрешаването им (srv/cron_status.php). Бележка, която никога не бъде разрешена, остава. Измерено: три бележки, всички разрешени.

Вероятност – настъпила. 85-те проверки не са сценарий, а съществуващи данни. В системата за разработка това са проверки от полеви тест; в производствената система важи същият код. Тежест – значителна: за тези данни няма срок на съхранение. По отношение на принципа на ограничение на съхранението (чл. 5, пар. 1, буква „д“) това е открит въпрос с планирана мярка (раздел 9.3, приоритет „първи“) и засяга именно хора, които не знаят нищо за проверката. Вътрешните проверки са описани в Регистъра на дейностите по обработване; Политиката за поверителност все още не ги посочва отделно (раздел 9.4). Ниво – високо.

R5 – Проверка и публична оценка на уебсайтове на трети лица без знанието на оператора

Всеки може да възложи проверка на всеки публично достъпен уебсайт, без акаунт и без каквато и да е връзка с него. Операторът не се уведомява. Резултатът е отчет, който оценява уебсайта като „Незащитен“, „Частично защитен“ или „Защитен“ и който може да види всеки с връзката. За субектите на данни са възможни две последици. Едноличен търговец получава публично – макар и само за получателите на връзката – оценка, която може да е погрешна констатация. А отчетът показва на спамъра кой формуляр може да бъде попълнен безпрепятствено.

Срещу това стоят редица прегради (cfg/check_lib.php): най-много една проверка на домейн на седем дни, след това същият отчет; ограничения за IP адрес и сесия; дневен лимит за цялата услуга; без проверки на много нови домейни, които са типични за злоупотреби; бележка и сигнал при подозрително поведение; robots.txt и opt-out, проверени двукратно (cfg/check_lib.php и в услугата за проверка). Безплатният отчет е извадка: той показва само основните констатации, а не доказателствата от всички детектори. И не казва нищо, което бот не би могъл да установи сам за секунди – незащитеният формуляр се вижда отвън.

Вероятност – възможна. Тежест – значителна за едноличен търговец, чийто формуляр бъде атакуван след отчет или чиято оценка е погрешна. Ниво – средно.

R6 – Проверката на потенциални клиенти като основа за непоискани обръщения

В интерфейса проверката на потенциални клиенти е описана като начин да се „отвори вратата за първия разговор“. Как агенцията използва кратката констатация, решава агенцията; технически тя може да я изпрати и на оператор, който не я е поискал. Ние не се свързваме с никого (cfg/akquise_lib.php), а Общите условия задължават агенцията да спазва правилата за реклама и търговски съобщения. Непоискан имейл с констатацията обаче е директен маркетинг дори между предприятия, който в Полша (чл. 398 от Закона за електронните съобщения (Prawo komunikacji elektronicznej, PKE)) и в Германия (§ 7, ал. 2 от германския Закон срещу нелоялната конкуренция (Gesetz gegen den unlauteren Wettbewerb, UWG)) изисква предварително съгласие. Интерфейсът не обръща внимание на това; текстовете на проверката на потенциални клиенти говорят само за „пасивна“ проверка и „списък за opt-out“.

Вероятност – голяма, защото функцията служи за привличане на клиенти и не можем да проверим дали получателят е дал съгласие. Тежест – ограничена: за оператора това е досаден маркетингов имейл с оценка на неговия уебсайт. Ниво – средно. Рискът е в поведението на агенцията; тъй като функцията идва от нас, се планира указание в интерфейса (раздел 9.3).

R7 – Доказването на контрол никога не се подновява

Активните тестови изпращания, търсенето на публично достъпни файлове и сканирането зад вход изискват Клиентът да е доказал, че има право да контролира домейна. Това доказателство се проверява веднъж (cfg/verify_lib.php) и никога повече. В кода няма път, по който даден домейн да загуби доказателството си. Ако домейнът смени собственика си, агенция прекрати ангажимента си или операторът премахне DNS записа, проверките продължават – до ежедневно, с до пет тестови изпращания и, ако е съхранен, с входа на тестов акаунт, за който новият оператор може да не знае. Невъзможно е обаче доказателството да бъде пренесено към друг хост чрез преименуване: името на хоста на домейн с доказан контрол не може да бъде променяно.

Вероятност – възможна: смяната на домейни и на ангажименти е ежедневие за агенциите. Тежест – значителна за новия оператор и неговите служители, които получават маркирани тестови съобщения и чийто уебсайт се претърсва за публично достъпни файлове без тяхно съгласие. Ниво – средно. Тестовите съобщения се обясняват сами и препращат към страницата за робота и към opt-out; opt-out действа и срещу проверки от Клиенти.

R8 – Данни за достъп и съдържание при сканирането зад вход

Шифроването на данните за достъп е изградено внимателно: уеб сървърът вече не може да ги прочете след съхраняването, базата данни и резервното копие съдържат само шифрован текст, записът е обвързан със своя домейн, данните за достъп влизат в контейнера само чрез стандартния вход и след това се изчистват от паметта (раздел 6.5). Остават два пропуска; трета точка засяга само четенето, а не съхраняването.

Разрешен е нешифрован вход. Проверката на адреса допуска http наред с https (cfg/login_lib.php, scanner/src/login.js). Ако Клиентът въведе страница за вход с http, потребителското име и паролата преминават през интернет в явен вид при всяка проверка.
Грешките в сертификата не спират входа. Понастоящем входът не се прекъсва, когато сертификатът на сайта на Клиента е невалиден (scanner/src/login.js). Следователно сертификатът не защитава напълно данните за достъп по пътя им до сайта на Клиента. Планира се прекъсване при грешки в сертификата (раздел 9.3, приоритет „първи“).
Стойностите на скритите полета зад входа се прочитат, но не се съхраняват. Роботът чете първите 24 знака от стойността на скритите полета (scanner/src/crawl.js), а същата функция за извличане работи и зад входа (scanner/src/login.js). Там скритите полета често съдържат номер на акаунт, потребителски идентификатор или имейл адреса на акаунта, с който е извършен входът; в картата на полетата и в констатациите обаче попадат само името на полето, видът, етикетът и резултатът от разпознаването.

Към това се добавя онова, което кодът не може да предотврати: Клиентът потвърждава, че използва тестов акаунт с възможно най-малко права (cfg/login_lib.php), но може да въведе и реален администраторски акаунт. Страниците, които скенерът след това чете, се определят от Клиента; адресите, съдържащи думи за излизане и изтриване, са блокирани, но други действия, които уебсайтът задейства чрез обикновена заявка, не са.

Вероятност – възможна. Тежест – сериозна, ако е засегнат акаунт с широки права; тогава зоната за членове с данните на всички потребители е отворена. Ниво – средно за тестов акаунт с малко права, високо за реален акаунт. Измерено в системата за разработка, не е съхранен тестов акаунт.

R9 – Активни тестови изпращания и проверка на файлове на уебсайта на Клиента

Тестовото изпращане отива до хората, които четат имейлите от формуляра на Клиента – неговите служители или доставчик на услуги. То не съдържа лични данни: подателят е dummy@formexposed.com, текстът и темата са маркирани и посочват идентификатора на проверката (scanner/src/active.js). Рискът е в погрешна класификация: ако скенерът сбърка формуляр за кандидатстване, резервация или консултация с формуляр за контакт, тестовото съобщение би попаднало в процес с последици. Срещу това стоят строгите правила за „подходящ за изпращане“ (scanner/src/classify.js), блокирането на домейни на публични органи, образователни институции, клиники, медицински практики, полиция и съдилища (scanner/src/classify.js) и изключването на езиковия модел от това решение (scanner/src/classify.js). От отговора се съхраняват статусът, целевият адрес, заглавието, 300 знака текст и изображение; те се отнасят до нашето тестово съобщение.

Проверката на файлове чете най-много 8 KB от типични пътища. Ако там наистина е изложен дъмп на база данни, тези 8 KB може да съдържат данни, въведени от посетители във формуляри. Те само се проверяват за сигнатура и се отхвърлят (cfg/dateien_lib.php); съхраняват се пътят, видът и степента на сериозност.

Вероятност – малка. Тежест – значителна. Ниво – ниско. Измерено в системата за разработка, в набора от данни има една активна проверка, без прието изпращане.

R10 – Класификация от езиков модел

За формуляри, които правилата не разпознават, езиковият модел получава заглавието на страницата, адреса, текстовете на бутоните, описанията на полетата и до 400 знака текст от формуляра (scanner/src/classify.js). Това може да включва име, например „Вашето лице за контакт: …“. Той работи на собствения ни сървър; в кода нищо не отива към трета страна. Дали софтуерът на модела записва заявките, не е проверено. Резултатът му определя само показвания вид формуляр и не може да направи формуляр подходящ за изпращане; погрешната класификация води до по-лоша констатация, а не до действие.

Вероятност – малка. Тежест – ограничена. Ниво – ниско.

R11 – Споделен черен списък от доклади на много уебсайтове

Домейн в списъка води до това съобщенията с връзки към него да попадат в карантина на всички свързани уебсайтове. Ако домейнът принадлежи на физическо лице – занаятчия, фотограф, блог – неговите съобщения с връзка към собствения му уебсайт достигат до получателите със закъснение. Такъв домейн може да попадне в списъка, защото спамъри злоупотребяват с него или защото някой умишлено изпраща до няколко уебсайта съобщения, съдържащи го, които биват спрени.

Срещу това стоят (cfg/swarm_lib.php): минимум три различни уебсайта и пет попадения в рамките на седем дни; фиксирани изключения за големи услуги; никога домейните на нашите Клиенти; ръчно премахване чрез инструмент на сървъра; карантина вместо изтриване; списъкът се изгражда наново ежедневно и каквото вече не се докладва, отпада. Засегнатите не могат да видят списъка и нямат собствен път да поискат премахване, освен чрез нас.

Вероятност – възможна. Тежест – ограничена, защото нищо не се губи и получателят може да освободи съобщението. Ниво – ниско до средно. При включени IP мрежи биха били засегнати мрежи на цели доставчици, IP адресите са лични данни, а тежестта би нараснала до значителна: високо.

R12 – Отчети и екранни снимки под публична връзка

Отчетите от безплатната проверка, проверката на потенциални клиенти и проверките на домейни на Клиенти са достъпни без вход под случайна връзка. Връзката съдържа 128 бита случайност и не може да бъде отгатната (cfg/check_lib.php). Страниците носят noindex, приложението изпраща политика за препращача (referrer policy), която предава само произхода (www/.htaccess), а екранните снимки се доставят само заедно с отчета, към който принадлежат; друг номер на изображение връща „не е намерено“ (www/shot.php). Рискът не е криптографски, а човешки: връзката се предава, копира се в заявка за поддръжка, споделя се в чат. Който я отвори, се записва само в дневника на достъпа до страници като всеки преглед на страница (60 дни), в който самата връзка се появява само в маскиран вид; няма списък на читателите за всеки отчет.

Вероятност – възможна. Тежест – ограничена, защото отчетът показва само публична информация и изтича съответно след 30 или 90 дни; отчетите за домейни на Клиенти остават достъпни, докато съществува проверката (13 месеца, последната – по-дълго). Ниво – ниско.

R13 – Слабости в инфраструктурата

Следващите точки са посочени като открити в нашия вътрешен пакет за преглед и не се омаловажават тук. Описваме ги толкова точно, колкото е необходимо на Клиентите за собствената им оценка, но не толкова точно, че описанието да покаже пътя на нападател; ще предоставим подробностите на надзорен орган при поискване.

Резервните копия на базата данни понастоящем се съхраняват на същото място като базата данни и не са отделно шифровани; планира се шифровано копие на второ място (cfg/backup_lib.php). Дотогава те не защитават от загуба на местоположението и всеки, който се добере до базата данни, се добира и до резервните копия. Данните за достъп за сканирането зад вход се съдържат в тях само като шифрован текст.
Няма шифроване на базата данни в покой. Изключение правят полетата, които се шифроват поотделно (данни за достъп до тестовите акаунти, тайна за двуфакторния вход).
Връзките в рамките на вътрешната ни мрежа не са шифровани навсякъде.
Администриране на сървърите. Сигурността на административния достъп до нашите сървъри все още не отговаря на стандарта, който възнамеряваме да прилагаме при експлоатацията; укрепването на администрирането на сървърите продължава.
Среда за проверка. Сървърът за сканиране отваря уебсайтове на трети лица в браузър. Контейнерите за проверка са изолирани – собствена мрежа, без специални привилегии, само за четене, с ограничения (scanner/src/worker.js). Разделението между средата за проверка и останалите части на услугата се укрепва допълнително (раздел 9.3).

Вероятност – възможна. Тежест – сериозна, защото при извънреден случай всичко би било засегнато наведнъж. Ниво – високо. Отделните точки могат да бъдат отстранени с обичайни средства (раздел 9.3).

R14 – Права на субектите на данни за хора, които не ни познават

Който се появява случайно на екранна снимка или чието съобщение е преминало през контролно копие, обикновено не знае, че съществуваме. Дори и да знае, той няма ключ към „своите“ данни: ние не ги съхраняваме по лица, а по домейн и проверка. Можем да отговорим на искане за достъп съгласно чл. 15 само ако лицето посочи домейна; тогава можем да прегледаме съществуващите проверки и изображения. За истинските съобщения от посетители няма какво да бъде разкрито, защото не ги съхраняваме – с изключение на домейна на подателя от R1. Opt-out действа само за оператори на домейн, а не за изобразени лица; за тях остава пътят чрез contact@lukaswojcik.com.

Вероятност – голяма като структурна ситуация. Тежест – ограничена, защото данните са краткотрайни и не са организирани по лица. Ниво – ниско.

9. (d) Мерки за справяне с рисковете

Всяка мярка има статус и статусите не са декоративни. Въведено днес – проверено означава: прочетено в кода на системата за разработка и, където е възможно, измерено спрямо базата данни. Частично означава: механизмът съществува, но все още не постига напълно целта си. Планирано означава: предложено от тази оценка и неизградено; дали и кога, решава собственикът. Предстои да бъдат определени са процедурите и решенията, които никой код не замества. ОВЗД, която представя планирани мерки като въведени, губи стойността си точно в ситуацията, в която е необходима.

9.1 Въведено днес – проверено

Мярка	Отнася се до	Препратка към източника
robots.txt се прочита от робота преди всяка проверка; изключване, обхващащо началната страница, недостъпен robots.txt или сървърна грешка прекратява проверката (подпътищата не се спазват поотделно; пулсът, извличането на доказателството, инструментът за заглавки и търсенето на файлове не го четат)	R5, законосъобразност	`scanner/src/net.js`
Opt-out без доказателство, с незабавно действие, за домейна и неговия вариант с www, за анонимни проверки, потенциални клиенти, проучвания и проверки на Клиенти (текущото наблюдение приключва със следващата планирана проверка); проверява се двукратно (приложение и услуга за проверка); отменя се само от нас по искане и срещу доказателство	R5, R7, чл. 21	`cfg/check_lib.php`; `cfg/akquise_lib.php`; `cfg/studie_lib.php`; `scanner/src/worker.js`
Безплатна проверка: аварийно спиране, reCAPTCHA, една проверка на домейн седмично, ограничения за IP адрес и сесия, дневен лимит, без нови домейни, само публични адреси, бележка и сигнал без съдържание при аномалии	R5	`cfg/check_lib.php`
За ограниченията сесията се съхранява само като хеш стойност, никога идентификаторът на сесията	Минимизиране	`cfg/check_lib.php`
Без стойности на полета (началата на скрити полета и data атрибути само се прочитат по време на проверката, раздел 6.2); адресите на получатели само като домейн; идентификаторите на акаунти в адресите на скриптове са скрити	Минимизиране	`scanner/src/crawl.js`
Безплатният отчет е извадка: само основни констатации, без доказателства от всички детектори	R5	`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`
Отчети под 128-битова случайна връзка, `noindex`, изображенията само за собствения им отчет, извън публичната уеб директория; връзката се появява в дневника на достъпа до страници само в маскиран вид	R12	`cfg/check_lib.php`; `www/report.php`; `www/shot.php`
Изтриване: анонимни отчети след 30 дни, потенциални клиенти след 90 дни, проверки на Клиенти след 13 месеца (последната за всеки домейн се запазва, докато съществува домейнът), данните на изтрит домейн – незабавно (за изключенията вж. раздел 6.11), изображенията – във всеки случай заедно с тях	Ограничение на съхранението	`cfg/check_lib.php`; `cfg/fristen_lib.php`
Проучване: публикуване само като сбор, сегменти само при поне 20 уебсайта с формуляр, необработените данни се изтриват при публикуване	R4 отчасти, P3	`cfg/studie_lib.php`
Контейнери за проверка: собствена изолирана мрежа, без специални привилегии, само за четене, ограничения на паметта и процесите, времево ограничение; филтър срещу частни цели при всяка заявка, service workers са блокирани, а WebSocket връзките се затварят, така че нищо да не заобикаля филтъра; заявките от уеб сървъра само през уеб портове и само към точно предварително проверения публичен адрес	R13	`scanner/src/worker.js`; `scanner/src/net.js`
Активна проверка за Клиенти само за потвърден домейн (вътрешно и за собствените ни тестови и демонстрационни домейни) и при включено аварийно спиране, проверено двукратно; най-много пет изпращания; само ясно разпознати формуляри за контакт без задължителни лични данни; без домейни на публични органи, образователни институции, клиники, медицински практики, полиция или съдилища; езиковият модел не може да разрешава нищо; тестово съобщение без лични данни, маркирано, с препратка към страницата за робота и opt-out	R9	`scanner/src/worker.js`; `scanner/src/classify.js`; `scanner/src/active.js`
Браузърни сценарии: само GET и HEAD, опасните адреси са блокирани, измислените стойности не напускат браузъра, изображения със зачернени полета за въвеждане	R3 (за тези изображения), R9	`scanner/src/browser.js`
Проверка на файлове: само потвърдени домейни, едно извличане на път, най-много 8 KB, съдържанието никога не се съхранява	R9	`cfg/dateien_lib.php`
Втора сонда: изключена по подразбиране; би получавала само фиксиран списък от безобидни елементи, подписан	Получатели	`cfg/formular_probe_lib.php`
Сканиране зад вход: само потвърден домейн, платен план, собственик или администратор, потвърждение „тестов акаунт“; шифроване с публичния ключ на сървъра за сканиране, обвързано с домейна; данните за достъп никога не се показват, не се записват в дневници и не се извеждат чрез API; предаване само чрез стандартния вход; полето в задачата се изчиства незабавно, остатъците – след един час; без екранни снимки, без изпращания, без адреси за излизане или изтриване, прекъсване при CAPTCHA; окончателно изтриване с презаписване	R8	`cfg/login_lib.php`; `scanner/src/login.js`; `scanner/src/geheim.js`; `scanner/src/worker.js`
Проверка на доставката: изключена по подразбиране; изтеглянето чете само заглавките и 8 KB, без маркиране като прочетено; съдържанието и адресът на посетителя никога не попадат в базата данни; всеки изтеглен имейл се изтрива, включително несъпоставимите; съпоставянията се изтриват след 180 дни; доказателство само чрез копието точно на този тест	R1, R2	`cfg/zustellung_lib.php`
Роева защита: само домейни, IP мрежите са изключени; минимални бройки; изключения за големи услуги и домейни на Клиенти; карантина вместо изтриване; списъкът се изгражда наново ежедневно; докладите се изтриват след 30 дни	R11	`cfg/swarm_lib.php`
Езиков модел на собствения ни сървър, без право на изпращане	R10	`scanner/src/classify.js`
Сигналите чрез Telegram съдържат само фиксирано изречение без променливи	Получатели	`cfg/check_lib.php`
Ежеседмичен тест за възстановяване на резервното копие с известие при неуспех	Наличност	`cfg/backup_lib.php`; `srv/cron_status.php`

9.2 Частично – налице, но все още не постига целта си

Мярка	Защо все още не е напълно ефективна
„Почистени“ екранни снимки	Зачерняват се само изображенията от браузърните сценарии. Изображенията на робота – начална страница и елементи на формуляри – и изображението на страницата с отговор при активна проверка не се зачерняват (R3).
Срокове за данните от проверки	Действат за анонимни проверки, проверки на потенциални клиенти и проверки на Клиенти; не и за вътрешните проверки и непубликуваните проучвания; неразрешените бележки за аномалии – без срок (R4).
Изтриване на контролните копия	Действа в нашия изглед на пощенската кутия. Ако изпълнението прекъсне, имейлите остават; какво пази доставчикът на пощенската кутия в собствените си резервни копия, не е проверено (R2).
Защита на данните за достъп при сканирането зад вход	Силна в покой и в услугата за проверка; не и по пътя към уебсайта: `http` е разрешен, грешките в сертификата се пренебрегват (R8).
Доказване на контрол	Проверява се веднъж и след това важи завинаги; името на хоста на домейн с доказан контрол обаче не може да бъде променяно, така че доказателството да не премине към друг хост (R7).
Информиране на субектите на данни	Налице е за операторите чрез страницата за робота, идентификатора, Политиката за поверителност и opt-out; за посетителите при проверката на доставката зависи от това дали Клиентът възприеме текстовия блок; приложението не проверява това.
Молба към Клиентите да не допускат специални категории в контролното копие	Посочена е в правните документи, но не е подкрепена технически: при настройката приложението не пита за вида на уебсайта и не предупреждава за домейни, които изглеждат като свързани със здравеопазване, право или образование (R1).

9.3 Планирано – не е въведено

Мярка	Отнася се до	Приоритет
Път за изтриване на вътрешни проверки: изтриване на проверки без домейн и без отчет след фиксиран срок (предложение: 30 дни); изтриване на необработените данни от проучване най-късно след фиксиран срок от приключването му, дори без публикуване (предложение: 90 дни); еднократно изтриване на съществуващите 85 проверки с 369 изображения	R4	Първи
Активиране на проверката на доставката едва след като договорът с доставчика на пощенската кутия бъде сключен, местата на съхранение, подобработващите и сроковете за резервни копия бъдат документирани, механизмът за предаване за доставчика на пощенската кутия бъде изяснен и MX записите на нашия домейн сочат директно към пощенската кутия; дотогава функцията остава блокирана в производствената система	R2	Първи
Проверка на сигурността на изтеглянето от пощенската кутия в производствената система и документирането ѝ преди активирането на проверката на доставката	R2	Първи
Сканиране зад вход само чрез `https` и с валиден сертификат; отхвърляне на адреси с `http`; грешките в сертификата при вход като причина за прекъсване	R8	Първи
Стойностите на скрити полета зад входа да не се съхраняват (само име, вид и дължина) – вече е въведено по този начин, не е необходима допълнителна стъпка	R8	Изпълнено
Ограничаване на контролното копие до тестови съобщения, когато се използва плъгинът или разширението: скрито копие само за изпращания с нашия тестов идентификатор	R1	Висок
Домейнът на подателя на истински съобщения да не се съхранява и да не се записва в известията, ако не е нито домейнът на уебсайта, нито този на известна услуга за изпращане; вместо това в известието – „чужд домейн на подателя“	R1	Висок
Предупреждение при настройване на проверката на доставката за домейни, които изглеждат като свързани със здравеопазване, право, социални услуги или образование, с препратка към собствената ОВЗД на Клиента	R1	Висок
Редовно подновяване на доказването на контрол (предложение: преди всяка активна проверка да се проверява дали DNS записът, мета тагът, файлът или връзката с плъгина все още съществуват; в противен случай да се продължава пасивно и да се уведомява Клиентът)	R7	Висок
Прекратяване на снимането на началната страница или само със зачернени изображения и лица; ограничаване на изображенията на формуляри до елемента на формуляра (както днес) и маскиране на полетата за въвеждане, както при браузърните сценарии	R3	Висок
Указание в интерфейса на проверката на потенциални клиенти: непоисканото изпращане на кратката констатация по имейл или телефон е директен маркетинг дори между предприятия и изисква предварително съгласие (чл. 398 от полския Закон за електронните съобщения; в Германия § 7, ал. 2 UWG, макар че при обаждания до предприятия е достатъчно предполагаемо съгласие)	R6	Висок
Инфраструктура: завършване на укрепването на администрирането на сървърите; шифровано копие на резервното копие на второ място; шифроване на връзките във вътрешната мрежа навсякъде; допълнително укрепване на разделението между сървъра за сканиране и приложението	R13	Висок
Срок за неразрешените бележки за аномалии (предложение: разрешаване в рамките на 30 дни, в противен случай изтриване на IP адреса)	R4	Среден
Страница или формуляр, чрез които някой може да поиска премахване на домейн от роевата защита	R11, R14	Среден
Преди включване на IP мрежи в роевата защита: нова версия на тази оценка	R11	Условие
Установяване дали софтуерът на езиковия модел съхранява заявките и, ако е така, изключване на тези дневници	R10	Нисък

9.4 Процедури и решения, които предстои да бъдат определени

Освен технически гаранции чл. 35, пар. 7, буква „г“ изисква и процедури. Все още предстоят следните:

Нарушение на сигурността на личните данни. Откриване: собственикът, известяването за грешки на приложението, сигнали чрез точката за докладване на уязвимости или на contact@lukaswojcik.com. Решение относно уведомяването на UODO в рамките на 72 часа (чл. 33, пар. 1): собственикът. Информиране на засегнатите Клиенти като администратори: без ненужно забавяне, по възможност в рамките на 48 часа, както е обещано в Споразумението за обработване на данни. Предстои да бъде определено: писмено описание на процедурата и първо упражнение; за проверката на доставката освен това – как да се установи кои Клиенти са засегнати от нарушение при доставчика на пощенската кутия.
Сектори. Предстои да бъде определено: дали проверката на доставката се предлага, предлага се с предупреждение или се изключва за уебсайтове в областта на здравеопазването, правото, социалните услуги и образованието.
Вътрешни проверки. Предстои да бъде определено: за какво доставчикът използва вътрешни проверки от командния ред, кой може да ги създава и колко дълго остават резултатите им; както и дали освен в Регистъра на дейностите по обработване те трябва да бъдат посочени и в Политиката за поверителност.
Проучвания. Предстои да бъде определено: кой съставя списъците, от кои източници, с какъв максимален размер, както и проверка преди всяко проучване дали то съответства на допусканията на тази оценка.
Мнения на субектите на данни (чл. 35, пар. 9). За тази версия те не са търсени. Чл. 35, пар. 9 изисква те да бъдат търсени само „когато е целесъобразно“; според нашата преценка понастоящем случаят тук не е такъв. Операторите на проверени уебсайтове и посетителите на уебсайтове на Клиенти нямат собствен канал към нас; целенасоченото обръщане към тях само по себе си би било ново обработване на техните данни, а услугата все още не е стартирала, така че все още няма група от действителни субекти на данни. Интересите им се вземат предвид косвено: чрез robots.txt и opt-out, чрез кратките срокове и чрез факта, че съдържанието на контролните копия не се съхранява. При всеки преглед съгласно раздел 12 преценяваме отново дали търсенето на техните мнения е целесъобразно, например чрез обратна връзка на страницата за робота или от Клиенти на проверката на доставката.

10. Остатъчен риск и предварителна консултация съгласно чл. 36

Чл. 36, пар. 1 изисква предварителна консултация с надзорния орган, когато ОВЗД покаже, че обработването ще породи висок риск, ако администраторът не предприеме мерки за ограничаване на риска. Следователно въпросът не е дали са установени високи рискове – установени са четири, – а дали остава висок риск, след като мерките бъдат въведени.

За операциите по обработване, за които formexposed е администратор (P1 до P4, P7), високите рискове R4 и R13 могат да бъдат отстранени с обичайни средства: път за изтриване и почистване на съществуващите данни, шифровано резервно копие на друго място и укрепване на два сървъра. С мерките от 9.3 те спадат до ниско до средно ниво. R3, R5, R6 и R7 са на средно ниво и спадат до ниско с предложените мерки. Роевата защита без IP мрежи остава на ниско до средно ниво. Предварителна консултация за тази част не е необходима, ако мерките с приоритет „първи“ и „висок“ бъдат въведени преди старта. Ако някоя от тези мерки не бъде въведена преди старта, за съответната операция по обработване остава висок риск. Тогава тази операция по обработване ще бъде стартирана едва след въвеждането на мярката или първо ще бъде проведена консултация с UODO съгласно чл. 36, пар. 1.

За проверката на доставката (P6) положението е различно поради причина, която никоя мярка не отстранява напълно: какво пише посетителят, зависи от него. При сключен договор, защитено изтегляне, ограничаване до тестови съобщения, където е възможно, и отказ от домейна на подателя R2 спада до ниско, а R1 – до средно ниво. За Клиенти, чиито посетители обичайно предоставят данни съгласно чл. 9, R1 все пак може да остане високо. Тогава задължението за консултация е на Клиента като администратор, а не на formexposed. Нашата препоръка към такива Клиенти е да не настройват контролното копие за общия формуляр за контакт, а само за формуляри без чувствително съдържание, или да се откажат от проверката на доставката.

Остатъчният риск, посочен честно. Днес, с мерките от 9.1, четири риска са на високо ниво: R1 и R2 (проверка на доставката), R4 (данни от проверки без път за изтриване) и R13 (инфраструктура). С мерките от 9.3 R2, R4 и R13 спадат до ниско до средно ниво. R1 остава на средно ниво и трайно зависи от решенията на Клиентите. Нито един от останалите рискове не е над средното ниво след мерките.

Чл. 36 не е наказание, а консултацията не е признание. Това е пътят, който Регламентът предвижда за ситуацията, в която полезна процедура носи риск, който администраторът не контролира напълно. Клиент, който иска да използва проверката на доставката за съобщения, съдържащи данни за здравето, ще намери тук фактите за това решение.

11. От какво се нуждаят Клиентите за собствената си ОВЗД (чл. 28, пар. 3, буква „е“)

За проверката на доставката и сканирането зад вход Клиентът е администратор. Тази страница му предоставя описанието (раздели 6.5 и 6.6), рисковете от наша гледна точка (R1, R2, R8) и състоянието на мерките (раздел 9). Само Клиентът може да отговори на следните въпроси:

Какво пишат моите посетители? Може ли да се очаква чрез формуляра да постъпват данни за здравето, религията, произхода, членството в синдикати, сексуалната ориентация, престъпленията или за деца? Тогава по правило е необходима ОВЗД за контролното копие и контролното копие за този формуляр следва да бъде преосмислено.
Нужно ли ми е контролното копие за всички съобщения? За да се докаже, че нашето тестово съобщение пристига, е достатъчно то да се отнася до това съобщение. Когато формулярът позволява, задайте скритото копие само за тестови съобщения.
Как информирам посетителите си? Споразумението за обработване на данни го изисква; Текстът за политиката за поверителност на Вашия уебсайт описва пътя на копието и нашата роля.
Какво правно основание имам? Предложеният от нас текст посочва чл. 6, пар. 1, буква „е“ (надеждно получаване на запитвания). За данни съгласно чл. 9 само това основание не е достатъчно.
Кои канали за известяване избирам? Известията от проверката на автентичността могат да посочват домейна на подателя. Който изпраща известия до чат услуги извън ЕС, го предава там.
За сканирането зад вход: Наистина ли тестовият акаунт е тестов акаунт с минимално необходимите права? Достъпна ли е страницата за вход само чрез https? Вижда ли тестовият акаунт данни на други потребители? Ако да: на коя от посочените страници?
Кога изтривам? Проверката на доставката и тестовият акаунт могат да бъдат изключени и изтрити по всяко време; тогава тестовият акаунт се презаписва окончателно.

Други документи за оценката на Клиента: Споразумението за обработване на данни, техническите и организационни мерки, списъкът на подобработващите и Регистърът на дейностите по обработване. На въпроси относно отделни факти отговаряме на contact@lukaswojcik.com.

12. Преглед, версия и одобрение

Чл. 35, пар. 11 изисква преглед, за да се прецени дали обработването се извършва в съответствие с ОВЗД, най-малко когато има промяна в риска. Преглеждаме тази оценка поне веднъж годишно, както и преди всяко от следните събития; всяко от тях задейства ново измерване, а не само прочит:

стартиране на производствената експлоатация, с данни от производствената система вместо от системата за разработка;
първо активиране на проверката на доставката в производствената система и сключване на договора с доставчика на пощенската кутия;
включване на IP мрежи в роевата защита;
първото проучване и всяко проучване с по-голям списък от предишното;
включване на втората сонда или на нов получател в пътя на проверка;
всяко ново използване на езиковия модел, което надхвърля класифицирането на формуляри и „Fix it for me“;
всяка промяна в екранните снимки, сроковете или предпоставките за активни проверки.

Елемент	Съдържание
Администратор	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Полша · NIP 7252266190 · contact@lukaswojcik.com
Компетентен надзорен орган	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Полша
Длъжностно лице по защита на данните	Не е определено; преценка съгласно чл. 37 в раздел 4
Основа на фактите	Изходният код на приложението и на услугата за проверка, схемата на базата данни, броят на редовете и настройките на системата за разработка, измерени на 11 октомври 2026 г., само за четене
Свързани документи	Политика за поверителност, Споразумение за обработване на данни, Технически и организационни мерки, Подобработващи, Регистър на дейностите по обработване, Акт за ИИ на ЕС, Допустимо използване и злоупотреби, FormExposedBot, Opt-out
Версия	1.0 от 11 октомври 2026 г., първа версия
Прегледи съгласно чл. 35, пар. 11	Все още няма (първа версия). Всеки преглед се вписва тук с дата, повод и резултат.
Одобрение	Все още не е одобрена. Одобрение от собственика след правен преглед и след решение относно мерките от раздел 9.3 и въпросите от раздел 9.4. Досега не е търсена външна консултация по защита на данните.

Едно заключително наблюдение принадлежи към документа, а не към придружително писмо. Частите на formexposed, които навлизат най-дълбоко в чужди области – тестовите изпращания и входът с чужди данни за достъп – са изградени с най-голяма предпазливост: две прегради, твърди горни граници, шифроване, което не допуска дори нас. Рисковете в тази оценка се намират предимно другаде: в онова, което идва случайно – истински съобщения в скрито копие, хора на екранна снимка, проверки, които никой вече не изтрива. Това е благоприятна изходна позиция, защото случайното може да бъде спряно, без да се променя услугата.

С какво можем да помогнем?