Avaluació d'impacte relativa a la protecció de dades (art. 35 del RGPD)

Aquest document es publica en diverses llengües. En cas de discrepància entre les versions lingüístiques, la versió polonesa és la vinculant.

Versió 1.1 · Última actualització: 23 d'octubre de 2026

1. De què tracta i què és aquesta pàgina

Aquesta pàgina és l'avaluació d'impacte relativa a la protecció de dades (AIPD) de formexposed d'acord amb l'art. 35 del RGPD. Primer respon a la qüestió prèvia de si cal una AIPD: per a cada operació de tractament per separat, no per al servei en conjunt. Quan la resposta és afirmativa, duu a terme l'avaluació prevista a l'art. 35(7)(a) a (d): una descripció sistemàtica, la necessitat i la proporcionalitat, els riscos per a les persones interessades i les mesures per abordar-los. A continuació s'exposen el risc residual, la qüestió de la consulta prèvia d'acord amb l'art. 36 i les regles de revisió.

L'art. 35 no exigeix publicar una AIPD. La publiquem per dos motius. Primer, els Clients que utilitzen la comprovació del lliurament o l'escaneig que requereix iniciar sessió necessiten, per a la seva pròpia valoració, fets que només nosaltres coneixem; en tot cas, com a encarregat del tractament els hem de facilitar aquests fets (art. 28(3)(f) del RGPD). Segon, el nostre rastrejador comprova llocs web els operadors dels quals no ens coneixen. Haurien de poder llegir quins riscos hi veiem per a ells i per a les persones de les seves pàgines i què fem per abordar-los.

Naturalesa jurídica. Aquesta AIPD és documentació del responsable del tractament d'acord amb l'art. 35 del RGPD, que publiquem voluntàriament. No forma part de cap contracte ni constitueix cap declaració, garantia o acord sobre la qualitat envers els Clients o tercers. Les Condicions del servei, l'Acord d'encàrrec del tractament i els seus annexos regulen quins serveis i mesures de protecció devem als Clients; pel que fa a aquestes obligacions, prevalen sobre aquesta pàgina. La pàgina descriu la situació a la data d'aquesta versió. Les qualificacions de risc i les valoracions són el nostre propi criteri i no anticipen cap avaluació jurídica d'una autoritat de control o d'un tribunal; les mesures descrites com a «previstes» són intencions sense data compromesa. Per als Clients, la pàgina és una base per a la seva pròpia valoració, no assessorament jurídic.

Aquesta és la primera versió de la valoració del llindar. Examina, operació de tractament per operació de tractament, si cal una AIPD i en recull el resultat a la secció 3.5.

Cada afirmació de fet està subjecta al mateix principi que als nostres altres documents legals: mesurat, no previst. Allò que està acreditat al codi o a la base de dades s'indica aquí amb la referència a la font corresponent. Allò que no s'ha pogut acreditar s'identifica com a «no verificat». Allò que només està previst s'anomena «previst». Exposem obertament els punts pendents, juntament amb la mesura prevista; una AIPD que només enumera punts forts no ajuda les persones a qui afecta.

Termes: un operador és qui gestiona un lloc web comprovat. Un Client té un compte amb formexposed. Un visitant és qui utilitza el lloc web d'un Client, per exemple el seu formulari de contacte. Una referència a la font és un fitxer, una funció o una configuració del codi font, mesurats respecte de l'estat del sistema de desenvolupament de l'11 d'octubre de 2026.

Deliberadament, posem un límit a la transparència: els punts pendents de la seguretat dels nostres propis servidors només es descriuen en termes generals (R13). Indiquem el risc i el seu nivell, però no la via cap a una vulnerabilitat concreta; facilitarem els detalls a una autoritat de control si els sol·licita.

2. Rols: qui té l'obligació i respecte de què

L'art. 35 imposa l'obligació al responsable del tractament. formexposed és responsable del tractament per a algunes operacions, encarregat del tractament per als seus Clients en altres i no té cap d'aquests rols respecte de les dades que el nostre connector de WordPress i la nostra extensió de TYPO3 emmagatzemen al lloc web d'un Client. La resposta a gairebé totes les preguntes d'aquest document depèn del rol respecte del qual es planteja la pregunta. L'assignació segueix la Política de privacitat i l'Acord d'encàrrec del tractament.

Operació de tractament	Rol de formexposed	Qui té l'obligació prevista a l'art. 35
Comprovació de llocs web de tercers sense instruccions del seu operador: comprovació gratuïta, comprovació de clients potencials per a agències i estudi	Responsable del tractament	formexposed
Comprovació de dominis al compte del Client: supervisió, enviaments de prova actius, recorreguts amb navegador, fitxers exposats i comprovació periòdica del formulari	Responsable del tractament per al compte i les dades de comprovació del Client; encarregat del tractament per a les dades personals de tercers visibles al lloc web verificat del Client; mentre un domini no està verificat, responsable del tractament com en la comprovació gratuïta	formexposed per a la seva pròpia part; el Client per a les dades de tercers del seu lloc web
Escaneig que requereix iniciar sessió amb un compte de prova	Encarregat del tractament: les credencials i el contingut de l'àrea que requereix iniciar sessió pertanyen al lloc web del Client	El Client; formexposed hi dona assistència
Comprovació del lliurament amb còpia de control	Encarregat del tractament	El Client; formexposed hi dona assistència
Protecció col·lectiva: llista compartida de dominis d'enllaços de missatges brossa bloquejats	Responsable del tractament: combinem les comunicacions de molts llocs web, elaborem la llista i la distribuïm	formexposed
Comptes de clients, inici de sessió, registres, assistència, enviament de correu electrònic, pagaments i registres probatoris	Responsable del tractament	formexposed
Portal de clients i informe mensual als subscriptors d'una agència	Encarregat del tractament	L'agència
Dades que el connector i l'extensió emmagatzemen al lloc web del Client (quarantena, xarxa de seguretat i consultes emmagatzemades)	Cap dels dos rols: les dades no surten mai del lloc web	L'operador del lloc web

Això comporta una distinció que indiquem expressament, perquè sovint s'interpreta malament en tots dos sentits. Quan formexposed és responsable del tractament, duem a terme nosaltres mateixos l'avaluació i n'assumim el resultat. Quan som encarregat del tractament, no podem dur a terme l'avaluació del Client en lloc seu, decidir per ell si és necessària ni consultar l'autoritat de control d'acord amb l'art. 36 en nom seu. El que podem i hem de fer en aquest cas és facilitar-li tot el que necessita: la descripció de la lletra (a), els fets mesurats sobre els riscos de la lletra (c) i una llista honesta de l'estat de les mesures de la lletra (d). Per a la comprovació del lliurament i l'escaneig que requereix iniciar sessió, aquesta pàgina és precisament això.

Un Client que adopti sense canvis els apartats sobre la comprovació del lliurament com a AIPD pròpia no n'ha dut a terme cap. Si la còpia de control està justificada per als seus formularis, si s'hi poden esperar categories especials de dades personals i com informa els seus visitants són qüestions que només ell pot decidir. La secció 11 resumeix què cal aclarir amb aquesta finalitat.

3. Valoració del llindar: cal una AIPD?

3.1 Art. 35(1) i art. 35(3)

L'art. 35(1) exigeix una AIPD quan és probable que un tipus de tractament, en particular si utilitza noves tecnologies, tenint en compte la naturalesa, l'abast, el context i les finalitats del tractament, comporti un risc alt per als drets i les llibertats de les persones físiques. L'art. 35(3) enumera tres casos en què això ocorre en particular. Cap dels tres no s'ajusta a formexposed, i això s'hauria de justificar, no simplement afirmar:

Lletra (a): una avaluació sistemàtica i exhaustiva d'aspectes personals de persones físiques basada en un tractament automatitzat i sobre la qual es fonamenten decisions que produeixen efectes jurídics o les afecten significativament de manera similar. Avaluem formularis i llocs web, no aspectes personals de les persones. El servei no pren cap decisió amb efectes jurídics sobre cap persona. El mecanisme més proper és la protecció col·lectiva: els missatges que contenen un enllaç a un domini inclòs a la llista acaben a la quarantena dels llocs web connectats. Això és una conseqüència automatitzada per al missatge, no una avaluació exhaustiva d'una persona; ho tractem sota el criteri «Avaluació o puntuació» de la secció 3.3.
Lletra (b): tractament a gran escala de categories especials de l'art. 9 o de dades relatives a infraccions penals de l'art. 10. No està previst ni implementat. Tanmateix, aquestes dades ens poden arribar per una via: a la còpia de control de missatges autèntics de visitants de la comprovació del lliurament. Això depèn de cada cas i no és a gran escala en el sentit d'aquesta disposició; no obstant això, es té en compte en l'avaluació del risc (R1).
Lletra (c): observació sistemàtica a gran escala d'una zona d'accés públic. Això es refereix a l'observació física de llocs, no a la recuperació de pàgines web públiques. Invocar aquesta disposició com a fonament per a un rastrejador de llocs web seria incorrecte.

Per tant, la via correcta és el mateix art. 35(1), aplicat mitjançant els nou criteris de les directrius del Grup de Treball de l'Article 29 sobre l'avaluació d'impacte relativa a la protecció de dades (WP248 rev.01, avalades pel Comitè Europeu de Protecció de Dades) i la llista de l'autoritat de control polonesa d'acord amb l'art. 35(4) (secció 3.4).

3.2 Els nou criteris de les directrius WP248

Les directrius enumeren nou característiques que indiquen la probabilitat d'un risc alt. Com a regla orientativa, una operació de tractament que en compleixi dues necessitarà una AIPD en la majoria dels casos. Un responsable del tractament pot arribar a una conclusió diferent en un cas concret, però aleshores l'ha de justificar i documentar. A la inversa, un sol criteri pot ser suficient. En aquesta pàgina utilitzem les denominacions breus següents:

C1: Avaluació o puntuació, incloses l'elaboració de perfils i la predicció, per exemple del rendiment laboral, la situació econòmica, la fiabilitat o el comportament.
C2: Presa de decisions automatitzades amb efectes jurídics o efectes significatius similars.
C3: Observació sistemàtica, és a dir, tractament utilitzat per observar, supervisar o controlar persones interessades, també a través de xarxes. Les directrius justifiquen expressament aquest criteri pel fet que sovint les persones interessades no saben qui recull les seves dades ni amb quina finalitat.
C4: Dades sensibles o de naturalesa molt personal: categories especials dels art. 9 i 10, però també dades la divulgació de les quals afecta significativament la vida quotidiana, incloses les comunicacions electròniques la confidencialitat de les quals s'hauria de protegir.
C5: Dades tractades a gran escala, mesurada pel nombre de persones interessades, el volum i la varietat de les dades, la durada i l'extensió geogràfica.
C6: Encreuament o combinació de conjunts de dades procedents de diferents operacions de tractament o de diferents responsables del tractament, d'una manera que les persones interessades no esperarien.
C7: Dades relatives a persones interessades vulnerables, per exemple treballadors, infants, pacients o altres persones en una situació de desequilibri de poder.
C8: Ús innovador o aplicació de noves solucions tecnològiques o organitzatives; en la pràctica de les autoritats de control, l'ús de la intel·ligència artificial es considera habitualment inclòs en aquest criteri.
C9: Tractament que impedeix a les persones interessades exercir un dret o utilitzar un servei o un contracte.

Valorem cada criteri com a «complert», «cas límit» o «no complert» i justifiquem la qualificació a partir del codi. Un cas límit no es compta com a complert en el total, però s'indica en el resultat; quan diversos casos límit apunten en la mateixa direcció, incloem l'operació de tractament a l'avaluació.

3.3 Valoració per operació de tractament

P1: Comprovació gratuïta sense compte (comprovació de qualsevol lloc web de tercers a petició)

Qualsevol persona pot introduir un domini a la pàgina d'inici. Aleshores, el rastrejador recupera com a màxim vuit pàgines públiques d'aquell lloc web, llegeix els formularis, fa captures de pantalla i elabora un informe que pot veure qualsevol persona que en conegui l'enllaç aleatori. L'operador del lloc web no en sap res, tret que detecti l'identificador del rastrejador als seus registres.

C1: cas límit. L'informe valora la protecció d'un formulari amb un nivell («Desprotegit», «Parcialment protegit», «Protegit») i una puntuació. En el cas d'una societat de responsabilitat limitada, això no afecta una persona física. Per als empresaris individuals i els professionals autònoms, el domini es pot atribuir a la persona, i aleshores el nivell diu alguna cosa sobre la diligència en la seva activitat professional. Tanmateix, s'avalua una configuració tècnica, no el comportament ni les característiques d'una persona. Ho considerem un cas límit.
C2: no complert. No es decideix res respecte de l'operador. Respecte de la persona que sol·licita la comprovació, s'apliquen límits per adreça IP i sessió (cfg/check_lib.php); una comprovació rebutjada no té cap efecte significatiu.
C3: no complert. És una única recuperació a petició, com a màxim una vegada per domini i setmana (cfg/check_lib.php, configuració fc_domain_days = 7). No s'observen persones. Tanmateix, sí que es dona la circumstància que les directrius invoquen per justificar C3: les persones interessades no saben res del tractament. Això es té en compte en l'avaluació del risc (R5).
C4: no complert. S'emmagatzemen l'estructura del formulari i els resultats de comprovació, no els valors introduïts (scanner/src/crawl.js només emmagatzema la longitud d'un valor per als camps visibles). L'escàner només llegeix el començament dels camps ocults emplenats prèviament (fins a 24 caràcters) i els atributs de dades (fins a 60 caràcters) durant la comprovació per detectar testimonis i marques de temps; no s'emmagatzemen. Les captures de pantalla poden mostrar incidentalment persones i noms; el lloc web d'una consulta mèdica mostra la seva especialitat a la imatge. Són dades professionals públiques, no dades de salut d'una persona concreta.
C5: cas límit. El límit diari és de 200 comprovacions acceptades (fc_daily_cap), és a dir, aritmèticament fins a uns 73.000 llocs web a l'any. Només s'obtenen unes poques dades personals per lloc web i la durada és curta (30 dies). Segons el mesurament al sistema de desenvolupament, hi ha 2 comprovacions anònimes al conjunt de dades. Actualment no es compleix; és un cas límit tenint en compte la capacitat prevista en el disseny.
C6: no complert. A més de recuperar les pàgines, el servei consulta l'antiguitat del domini a través del servei RDAP rdap.org (només es transmet el nom del domini; només es desa la data de registre, a la memòria cau) i resol el DNS. Són dades tècniques sobre el domini, no una combinació de conjunts de dades sobre persones.
C7: no complert.
C8: complert, de manera feble. Un navegador automatitzat comprova les pàgines i un model de llenguatge al nostre propi servidor classifica els formularis que les regles no reconeixen (scanner/src/classify.js). El model veu el títol de la pàgina, l'adreça, les etiquetes dels camps i fins a 400 caràcters de text del formulari. Mai no pot fer que un formulari «es pugui enviar».
C9: no complert.

Resultat provisional P1: un criteri de manera feble (C8), dos casos límit (C1, C5). No hi ha obligació segons la regla orientativa. Com que tots dos casos límit apunten en la mateixa direcció i les persones interessades no saben res del tractament, incloem P1 a l'avaluació.

P2: Comprovació de clients potencials per a agències

Una agència amb el pla Business que tingui configurada la seva pròpia marca pot fer comprovar passivament el lloc web d'un client potencial. Rep un resultat breu sota la seva marca i un informe detallat, i facilita l'enllaç pel seu compte (cfg/akquise_lib.php). Nosaltres no contactem amb ningú.

C1: cas límit, més marcat que a P1. El resultat breu està expressament pensat com a «porta d'entrada per a la primera conversa». Així, l'avaluació del lloc web es converteix en la base per abordar comercialment una persona.
C5: no complert. Com a màxim 30 comprovacions per agència i mes (prospect_monthly), suprimides al cap de 90 dies.
C8: complert, de manera feble (la mateixa tecnologia que P1).
Altres criteris: no complerts. El resultat es presenta amb la marca de l'agència, però no es vincula a altres dades sobre l'operador.

Resultat provisional P2: no hi ha obligació segons la regla orientativa; s'inclou pels mateixos motius que P1 i perquè la finalitat —la captació de clients— comporta un risc propi (R6).

P3: Estudi «Índex de seguretat dels formularis»

Per a un estudi, es comprova passivament una llista de llocs web, amb una limitació de com a màxim cinc tasques obertes per execució del procés d'estat, que s'executa cada cinc minuts (cfg/studie_lib.php). Només es publiquen totals, i els segments, només a partir de 20 llocs web amb formulari (study_min_segment, cfg/studie_lib.php). Les dades brutes se suprimeixen en publicar l'estudi (cfg/studie_lib.php).

C5: cas límit, complert per a llistes grans. La mida de la llista no està limitada al codi; la limitació de freqüència permet aritmèticament més de mil comprovacions al dia. Un estudi d'un mercat nacional abasta milers de llocs web, molts dels quals són gestionats per empresaris individuals. A partir d'una mida així, considerem que el criteri es compleix.
C8: complert, de manera feble.
C1: no complert. Tot i que es valora cada lloc web individualment, només es publica el total; la valoració no serveix per fer una afirmació sobre l'operador concret.
Altres criteris: no complerts.

Resultat provisional P3: per als estudis de la mida prevista en el disseny, dos criteris (C5, C8). Per tant, l'estudi assoleix el llindar; formexposed duu a terme l'avaluació com a responsable del tractament. Segons el mesurament al sistema de desenvolupament, fins ara no s'ha creat cap estudi.

P4: Comprovació de dominis al compte del Client

El Client fa comprovar periòdicament els dominis del seu compte. Un cop ha acreditat que té dret a controlar el domini, s'hi afegeixen els enviaments de prova actius (com a màxim cinc per comprovació), la cerca de fitxers exposats i els recorreguts amb navegador configurats.

C3: no complert. La comprovació és programada i periòdica, però afecta el lloc web propi del Client i es duu a terme a petició seva, no per observar persones.
C4: cas límit, no. La cerca de fitxers exposats llegeix com a màxim els primers 8 KB de rutes com ara /backup.sql o un registre de depuració per determinar, a partir del contingut, si el fitxer està realment exposat (cfg/dateien_lib.php). Un extracte així pot contenir entrades de formulari fetes per visitants. Només es comprova a la memòria i mai no s'emmagatzema; es desen la ruta, el tipus i la gravetat.
C8: complert, de manera feble.
Altres criteris: no complerts.

Etapa afegida del pla d'acció. Els informes de pagament que compleixen els requisits poden contenir un text orientatiu generat localment a partir de resultats de comprovació seleccionats i metadades de l'escaneig. Es desa amb la comprovació i es mostra amb un avís d'IA; els resultats individuals de comprovació continuen sent la referència. No modifica automàticament llocs web ni pren decisions sobre persones amb efectes jurídics o efectes significatius similars. L'ús d'un model de llenguatge, per si sol, no determina si cal una AIPD separada. Cal avaluar-ne les entrades, els destinataris, l'escala i els riscos residuals juntament amb la comprovació de base, incloses la possible repetició de dades personals d'URL o notes i les recomanacions incorrectes en un informe que es pot compartir per enllaç. Les seccions 7 a 9 següents inclouen aquesta etapa; aquest afegit de fets no afirma que s'hagi completat un mesurament en producció, que hi hagi aprovació del propietari ni que s'hagi establert una nova qualificació del risc residual.

Resultat provisional P4: la comprovació tècnica de base no assoleix el llindar segons els fets descrits anteriorment. L'etapa orientativa local afegida no estableix per si mateixa una obligació separada, però el resultat anterior del llindar no substitueix l'examen de les seves dades d'entrada reals, l'escala, els destinataris i els efectes. S'inclou perquè els enviaments de prova actius i la comprovació de fitxers depenen d'una prova que no es renova mai (R7).

P5: Escaneig que requereix iniciar sessió

Per a un domini verificat, el Client pot desar un compte de prova del seu lloc web. L'escàner hi inicia sessió i llegeix els formularis de fins a cinc pàgines especificades de l'àrea de membres (cfg/login_lib.php, scanner/src/login.js).

C4: cas límit. Les credencials no són dades de naturalesa molt personal en el sentit de les directrius, però el seu ús indegut obre l'àrea de membres. Segons el lloc web, en una àrea que requereix iniciar sessió hi pot haver contingut confidencial, per exemple en un portal de membres o de pacients. Això depèn del Client, no de nosaltres.
C8: no complert. Els inicis de sessió automatitzats són habituals als serveis de supervisió.
Altres criteris: no complerts.

Resultat provisional P5: no hi ha obligació segons la regla orientativa. Per als Clients l'àrea de membres dels quals mostra contingut confidencial, això pot canviar; aleshores els correspon decidir-ho. S'inclou pels riscos de seguretat (R8).

P6: Comprovació del lliurament amb còpia de control

El Client introdueix una adreça de control de formexposed com a còpia oculta a la configuració de correu del seu formulari. Així, tots els correus electrònics del formulari també arriben a la nostra bústia de control: tant el nostre missatge de prova com qualsevol missatge autèntic d'un visitant. Una recuperació automatitzada llegeix les capçaleres i els primers 8 KB, assigna el correu electrònic, avalua SPF, DKIM i DMARC i el suprimeix (cfg/zustellung_lib.php).

C4: complert. Allò que els visitants escriuen en un formulari de contacte és una comunicació electrònica a una empresa amb contingut arbitrari. Al lloc web d'una consulta mèdica, un despatx d'advocats, un servei d'assessorament o una escola, es poden esperar dades de l'art. 9 o relatives a infants. Les directrius esmenten expressament les comunicacions electròniques confidencials en aquest criteri.
C3: cas límit, més aviat complert. Cada missatge es copia de manera planificada i contínua i s'avalua automàticament, sense que l'emissor se n'adoni. La finalitat és comprovar la ruta de correu, no observar persones. Tanmateix, la circumstància amb què les directrius justifiquen el criteri —les persones interessades no saben qui rep les seves dades— es dona plenament mentre el Client no informa els seus visitants.
C7: depèn del Client. Els pacients, els clients de despatxos d'advocats, els candidats a llocs de treball, els pares i els alumnes sovint tenen una relació de dependència respecte del destinatari del seu missatge.
C5: cas límit, no. No és a gran escala per a cada Client individual. A formexposed, les còpies de molts Clients conflueixen en una mateixa bústia; això augmenta el pes d'una violació de seguretat, no el nombre per responsable del tractament.
Altres criteris: no complerts. L'assignació al domini i a la prova no és un encreuament de conjunts de dades sobre persones; la tecnologia no és nova.

Resultat provisional P6: C4 complert, C3 cas límit i més aviat complert, C7 complert per a molts Clients típics. Per tant, en la configuració habitual es compleixen dos criteris o més. Cal una AIPD, com a obligació del Client, que és el responsable del tractament. Les seccions 6 a 11 li proporcionen els fets necessaris.

P7: Protecció col·lectiva

Els llocs web de WordPress connectats comuniquen un cop al dia els dominis dels enllaços dels missatges que la seva capa de protecció ha aturat. Un domini que apareix en almenys tres llocs web diferents amb un mínim de cinc coincidències en set dies s'incorpora a una llista compartida; la llista es retorna a tots els llocs web connectats, que aleshores posen a la quarantena els missatges amb enllaços a aquell domini (cfg/swarm_lib.php).

C6: complert. Les comunicacions de molts llocs web mútuament independents, és a dir, de responsables del tractament diferents, es combinen i es retornen a tots com a llista compartida.
C1: complert, en la mesura que un domini es pugui atribuir a una persona física. La llista és una classificació com a font de missatges brossa. Les directrius esmenten la comprovació respecte d'una base de dades compartida de frau com a exemple d'aquest criteri. La majoria dels dominis d'una llista així pertanyen a empreses o són dominis d'un sol ús; tanmateix, el domini d'una persona hi pot acabar, amb raó o a causa de comunicacions falses introduïdes deliberadament.
C9: cas límit. Un missatge amb un enllaç inclòs a la llista no arriba immediatament al destinatari, sinó que queda a la seva quarantena fins que l'allibera. No es perd.
C2: no complert. La quarantena és una conseqüència automatitzada per a un missatge, sense efectes jurídics i amb alliberament per part d'una persona, el destinatari.
Altres criteris: no complerts. Les xarxes IP estan desactivades (swarm_ip_enabled = 0, cfg/swarm_lib.php).

Resultat provisional P7: dos criteris (C6, C1) i un cas límit (C9). S'assoleix el llindar; formexposed duu a terme l'avaluació com a responsable del tractament. Amb les xarxes IP activades, C1 i C6 es complirien sense restriccions; activar-les exigeix una nova versió d'aquesta avaluació (secció 12). Segons el mesurament al sistema de desenvolupament, no hi ha ni comunicacions ni entrades a la llista.

P8: Comptes de clients, inici de sessió, registres, assistència, correu electrònic i pagaments

C1 i C9: no complerts. Un comportament sospitós a la comprovació gratuïta genera una nota amb l'adreça IP (cfg/check_lib.php) i, si escau, el rebuig de comprovacions posteriors. És prevenció d'abusos amb poc efecte, no una avaluació d'aspectes personals.
Altres criteris: no complerts. Es tracta de les dades habituals d'un servei per a empreses.

Resultat provisional P8: no cal una AIPD. Les operacions de tractament es descriuen al Registre d'activitats de tractament.

P9: Xifres dels connectors, errors de camps, enregistrador, distintiu, portal de clients i «Fix it for me»

El connector i l'extensió transmeten xifres diàries, l'inventari de connectors i categories d'error, i el connector de WordPress també transmet dominis d'enllaços per a la protecció col·lectiva (activada per defecte) (P7), sense contingut, adreces, noms ni adreces IP de visitants; l'enregistrador conserva selectors durant un màxim de 15 minuts al navegador de l'administrador. No es compleix cap criteri.
Quan es carrega, el distintiu transfereix les dades habituals de connexió al registre del servidor web, sense galeta. No es compleix cap criteri.
El portal de clients tracta les adreces de correu electrònic dels subscriptors amb doble confirmació de la subscripció per compte de l'agència. No es compleix cap criteri.
«Fix it for me» fa que un model de llenguatge al nostre propi servidor reescrigui el codi de formulari enganxat; el codi no s'emmagatzema. C8 de manera feble, res més.

Resultat provisional P9: no cal una AIPD.

3.4 La llista de l'autoritat de control polonesa d'acord amb l'art. 35(4)

L'autoritat competent és el president de l'Oficina de Protecció de Dades Personals (Prezes Urzędu Ochrony Danych Osobowych, UODO). El president va publicar la llista dels tipus d'operacions de tractament que exigeixen una AIPD al comunicat de 17 de juny de 2019 (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, punt 666). La llista assigna les seves entrades als criteris de les directrius WP248, dona exemples i expressament no és exhaustiva; no substitueix la valoració de l'art. 35(1).

Segons la nostra lectura, els tipus de tractament següents de la llista corresponen substancialment a operacions de tractament de formexposed:

Tipus de tractament segons la llista (parafrasejat)	Criteri assignat	Operació de tractament a formexposed	Valoració
Comparació, avaluació o inferència basada en l'anàlisi de dades de diferents fonts	C6	P7 Protecció col·lectiva	aplicable
Avaluació o puntuació, inclosa l'elaboració de perfils	C1	P7 Protecció col·lectiva; P1 i P2 com a casos límit	aplicable a P7
Tractament de categories especials de dades personals	C4	P6 Comprovació del lliurament	aplicable segons el Client
Ús innovador o aplicació de solucions tecnològiques	C8	P1 a P4 (model de llenguatge per a la classificació)	aplicable de manera feble
Tractament a gran escala	C5	P3 Estudi	aplicable a llistes grans
Observació sistemàtica de llocs d'accés públic, també amb reconeixement de característiques	C3	–	no és aplicable: es refereix a llocs, no a llocs web

Aquesta assignació és una lectura, no una citació; cal contrastar-hi la redacció de les entrades durant la revisió jurídica. Confirma el resultat de la secció 3.3, però no el modifica. Pel que sabem, UODO no ha publicat cap llista d'acord amb l'art. 35(5): operacions de tractament per a les quals no cal una AIPD.

3.5 Resultat de la valoració del llindar

Operació de tractament	Complerts	Casos límit	Resultat
P1 Comprovació gratuïta	C8 (feble)	C1, C5	no obligatòria; inclosa
P2 Comprovació de clients potencials	C8 (feble)	C1	no obligatòria; inclosa
P3 Estudi	C8 (feble), C5 per a llistes grans	–	necessària (obligació de formexposed)
P4 Comprovació de dominis del Client	C8 (feble)	C4 (comprovació de fitxers)	no obligatòria; inclosa
P5 Escaneig que requereix iniciar sessió	–	C4	no obligatòria; inclosa; per al Client, segons el contingut
P6 Comprovació del lliurament	C4; C7 segons el Client	C3 (més aviat complert), C5	necessària (obligació del Client; aquesta pàgina hi dona assistència d'acord amb l'art. 28(3)(f))
P7 Protecció col·lectiva	C6, C1	C9	necessària (obligació de formexposed)
P8 Comptes, registres, assistència i pagaments	–	–	no necessària
P9 Xifres dels connectors, distintiu, portal i «Fix it for me»	C8 (feble, només «Fix it for me»)	–	no necessària

Resultat sobre l'art. 35(1): cal una AIPD per a operacions de tractament concretes de formexposed. És necessària per a la protecció col·lectiva i per als estudis de la mida prevista en el disseny, i formexposed la duu a terme com a responsable del tractament. Per a la comprovació del lliurament és necessària en la configuració habitual, però com a obligació del Client; formexposed proporciona la base. Per a les altres comprovacions de llocs web de tercers i propis no és obligatòria. Tanmateix, les incloem perquè utilitzen la mateixa tecnologia, perquè diversos casos límit apunten en la mateixa direcció i perquè les persones interessades —operadors sense compte i persones de les pàgines comprovades— no saben res del tractament. No cal cap avaluació per als comptes, els registres, l'assistència i els pagaments.

Per tant, les seccions 6 a 10 s'apliquen a P1 a P7. Quan una afirmació només s'aplica a una d'aquestes operacions de tractament, s'indica expressament.

4. Delegat de protecció de dades: la valoració de l'art. 37

No s'ha designat cap delegat de protecció de dades. L'art. 37(1) obliga tant el responsable com l'encarregat del tractament; per tant, la qüestió ens correspon a nosaltres. Els tres casos legals:

Art. 37(1)	Condició	Resultat
lletra (a)	Autoritat o organisme públic	No és aplicable; LW IT Solutions Company Lukas Wójcik és una empresa individual privada.
lletra (b)	Les activitats principals consisteixen en operacions de tractament que exigeixen una observació habitual i sistemàtica de persones interessades a gran escala	L'activitat principal és la comprovació i la supervisió de llocs web i formularis, de manera periòdica i sistemàtica. Tanmateix, no se supervisen persones: el rastrejador no observa el comportament i la comprovació del lliurament només avalua els correus electrònics pel que fa al lliurament i l'autenticitat. No es compleix.
lletra (c)	Les activitats principals consisteixen en el tractament a gran escala de dades dels art. 9 o 10	No segons el disseny. Ens poden arribar categories especials a través de la còpia de control de la comprovació del lliurament; això és incidental, no una activitat principal. No es compleix.

Segons la nostra valoració, per tant, no hi ha obligació de designar-ne un. Determinar si el dret polonès exigeix una designació addicional d'acord amb l'art. 37(4) és una qüestió pendent de la revisió jurídica. Com que no s'ha designat cap delegat de protecció de dades, l'assessorament de l'art. 35(2) no és aplicable. Si la revisió jurídica conclou que hi ha obligació de designar-ne un, es demanarà l'assessorament del delegat de protecció de dades que aleshores es designi abans d'aprovar aquesta avaluació (secció 12). La persona de contacte per a preguntes sobre aquesta avaluació és el propietari, a contact@lukaswojcik.com.

5. Mètode, fonts i límits d'aquesta versió

Els fets d'aquest document provenen del codi font de l'aplicació i de l'escàner, de l'esquema de la base de dades i dels recomptes de files i la configuració del sistema de desenvolupament, mesurats l'11 d'octubre de 2026. Es va accedir a la base de dades i als servidors només en mode de lectura. Quan un mesurament contradiu una intenció —inclosa una afirmació dels nostres propis documents legals—, indiquem el mesurament. No apliquem codis de conducta aprovats de l'art. 40, el compliment dels quals caldria tenir en compte d'acord amb l'art. 35(8).

S'ha mesurat el sistema de desenvolupament. El servei encara no s'ha llançat. Per tant, les xifres són petites i, en part, producte de les proves: 112 comprovacions, 110 de les quals sense un domini de Client; 432 captures de pantalla; 2 dominis, 1 dels quals verificat; cap comprovació del lliurament activada; cap compte de prova desat per a l'escaneig que requereix iniciar sessió; cap estudi; cap comunicació a la protecció col·lectiva. Cal repetir els mesuraments abans del llançament i a intervals regulars després.
No s'han mesurat en aquesta versió i s'han d'afegir abans de l'aprovació: la configuració del sistema de producció, inclòs si la bústia de control està configurada i com, i si el parell de claus per a l'escaneig que requereix iniciar sessió hi està configurat; si el programari del model de llenguatge registra les sol·licituds; l'estat de l'administració dels servidors (R13); el contracte amb el prestador del servei de correu electrònic.
No s'ha pogut mesurar quants missatges autèntics de visitants passaran per la còpia de control ni de quins sectors procediran els Clients. Tots dos factors determinen el pes de R1 i R2 i cal establir-los després del llançament.
Les referències a les fonts apunten a fitxers i funcions del codi font del sistema de desenvolupament. El que és decisiu és la funció descrita, no la seva ubicació al fitxer.

Aquest document és un esborrany. Encara no l'ha aprovat el responsable del tractament (secció 12), i dues de les seves conclusions —la valoració de l'escala per a P1 i P3 i el pes de la comprovació del lliurament— depenen de xifres que només existiran després del llançament.

6. (a) Descripció sistemàtica de les operacions de tractament i de les finalitats

6.1 Com s'estructura el sistema de comprovació

formexposed funciona als seus propis servidors a Polònia, sense prestador extern d'allotjament: un servidor web amb l'aplicació i la base de dades i un servidor d'escaneig amb el servei de comprovació i un model de llenguatge local, tots dos a la mateixa xarxa interna. Una comprovació es desenvolupa així:

L'aplicació crea una tasca a la base de dades, subjecta als límits i bloqueigs exposats a la secció 6.3.
El servei de comprovació del servidor d'escaneig recull la tasca, comprova per segona vegada la llista de bloqueig, els noms d'amfitrió i, per a les comprovacions anònimes, l'antiguitat del domini, i inicia un contenidor aïllat per a aquella tasca exacta: xarxa pròpia amb regles de filtratge pròpies, sense privilegis especials, sistema de fitxers de només lectura, límits de memòria i de processos i un límit de temps (scanner/src/worker.js).
Dins del contenidor, un navegador automatitzat recupera com a màxim vuit pàgines públiques: primer la pàgina d'inici i després, preferentment, les pàgines de contacte, de dades del prestador i d'assistència. Abans llegeix robots.txt; una exclusió per a FormExposedBot o per a tots els rastrejadors que inclogui la pàgina d'inici finalitza la comprovació, igual que un robots.txt inaccessible o un error del servidor en recuperar-lo (scanner/src/net.js). No es tenen en compte per separat les prohibicions de subrutes individuals. La comprovació periòdica del formulari, la recuperació de la prova, l'eina de capçaleres i la cerca de fitxers exposats no llegeixen robots.txt. A més de les vuit pàgines, hi ha fins a tres pàgines amb un clic a «Rebutjar» al bàner de galetes, fins a tres pàgines en vista de telèfon, proves actives per a dominis verificats i fins a cinc pàgines que requereixen iniciar sessió; les pàgines es carreguen una rere l'altra, no en paral·lel. Totes les sol·licituds del navegador, incloses les redireccions i el contingut incrustat, passen per un filtre que rebutja les xarxes privades i altres ports.
El contenidor escriu un resultat i les captures de pantalla en un directori temporal. El servei de comprovació transmet el resultat i les imatges a l'aplicació a través de la xarxa interna i suprimeix el directori temporal, també després d'un error (scanner/src/worker.js).
L'aplicació processa el resultat, el compara amb la comprovació anterior en el cas dels dominis de Clients i comunica els canvis a les destinacions configurades pel Client.

6.2 Què emmagatzema el rastrejador i què no

Element	Què s'emmagatzema	Què no s'emmagatzema	Referència a la font
Pàgines	Adreça, estat HTTP, capçaleres, Content Security Policy i amfitrions de tercers sol·licitats (com a màxim 120)	Contingut de la pàgina en text o HTML	`scanner/src/crawl.js`
Camps de formulari	Tipus, nom, etiqueta, text indicatiu, obligatorietat del camp, visibilitat i longitud d'un valor existent	Valors dels camps; per als camps ocults, els primers 24 caràcters del valor només es llegeixen durant la comprovació (per detectar testimonis)	`scanner/src/crawl.js`
Adreces destinatàries del formulari	només el domini	l'adreça	`scanner/src/crawl.js`
Scripts	Inventari amb suma de verificació; adreces i text inicial sense identificadors de compte de serveis de publicitat i analítica	Identificadors de compte i de píxel	`scanner/src/crawl.js`
Eines que escolten les entrades	quins píxels publicitaris i eines d'enregistrament es carreguen abans i després de fer clic a «Rebutjar» al bàner de galetes i si emmascaren les entrades	Identificadors dels comptes d'aquests serveis	`scanner/src/mitleser.js`, `scanner/src/einwilligung.js`
Text del formulari	fins a 400 caràcters es transmeten al model de llenguatge local si les regles no reconeixen el tipus	Comunicació a tercers; emmagatzematge del text	`scanner/src/classify.js`
Captures de pantalla (rastrejador)	zona visible de la primera pàgina; per a cada formulari visible, una imatge de l'element del formulari	–	`scanner/src/crawl.js`
Captures de pantalla (comprovació activa)	Imatge de la pàgina de resposta a l'enviament de prova; a més, l'estat, l'adreça de destinació, el títol i els primers 300 caràcters del text	–	`scanner/src/active.js`
Captures de pantalla (recorreguts amb navegador)	Imatge del formulari amb els camps d'entrada tapats en negre, comprimida, de com a màxim 32 KB	Entrades	`scanner/src/browser.js`
A l'àrea que requereix iniciar sessió	com per als camps de formulari anteriors	Captures de pantalla, galetes i enllaços	`scanner/src/login.js`

Aquests elements no contenen dades personals pel seu disseny, però sí incidentalment: el nom d'una persona de contacte al costat del formulari, una fotografia de l'equip a la pàgina d'inici, un número de telèfon en una etiqueta, el domini de correu electrònic d'una persona o un nom en un text indicatiu. A l'àrea que requereix iniciar sessió s'hi afegeixen dades del compte de prova i, segons el lloc web, d'altres usuaris.

6.3 Qui inicia una comprovació i què s'aplica aleshores

Desencadenant	Nivell de confiança de la tasca	Enviaments de prova	Accés al resultat a través de	Supressió
Algú introdueix un domini a la pàgina d'inici (comprovació gratuïta)	anonymous	no	Informe en un enllaç aleatori	30 dies, incloses les imatges (`cfg/check_lib.php`)
Connector o extensió sense compte	plugin	no	Informe en un enllaç aleatori	30 dies
Agència per a un client potencial	registered	no	Resultat breu i informe en un enllaç aleatori	90 dies (`cfg/akquise_lib.php`)
Client, domini sense prova	registered	no	Compte; informe en un enllaç aleatori	13 mesos, es conserva l'última comprovació
Client, domini amb prova	verified	sí, com a màxim cinc per comprovació	Compte; informe en un enllaç aleatori	13 mesos, es conserva l'última comprovació (`cfg/fristen_lib.php`)
Estudi	internal	no	només totals després de la publicació	en publicar-lo; sense publicació no hi ha límit temporal (R4)
Comprovació interna del prestador des de la línia d'ordres	internal; per als nostres propis dominis de prova i demostració també «verified»	no; amb el nivell «verified», sí (només els nostres propis dominis de prova i demostració)	només internament	sense límit temporal (R4)

Diverses capes precedeixen la comprovació gratuïta (cfg/check_lib.php): una aturada d'emergència; reCAPTCHA; el mateix domini com a màxim una vegada en set dies (després es mostra l'informe existent); límits per adreça IP, per sessió (com a valor hash, mai l'identificador de sessió mateix) i per a tot el servei per dia; la llista de bloqueig de l'exclusió voluntària i robots.txt; la comprovació que el domini apunti a adreces públiques; i un bloqueig dels dominis molt recents o desconeguts. Les anomalies —molts dominis diferents des d'una adreça IP, moltes sol·licituds en poc temps— s'anoten amb l'adreça IP i generen un avís sense contingut (cfg/check_lib.php).

6.4 Comprovació de dominis al compte del Client

El Client acredita que té dret a controlar un domini: mitjançant un registre DNS, una metaetiqueta, un fitxer o el nostre connector (cfg/verify_lib.php). Només aleshores es tracta el domini com a verificat. El planificador de supervisió només programa comprovacions periòdiques per a dominis actius, supervisats i verificats (cfg/monitor_lib.php).

Els enviaments de prova actius estan sotmesos a dos controls d'accés: l'aplicació només estableix el mode actiu per als Clients en dominis verificats (per als nostres propis dominis de prova i demostració, el prestador pot crear una comprovació amb el nivell «verified» mitjançant una eina interna de línia d'ordres), i el servei de comprovació torna a comprovar el nivell de confiança i l'aturada d'emergència fc_active_enabled (scanner/src/worker.js). Només es pot enviar un formulari que les regles reconeguin amb un grau alt de certesa com a formulari de contacte general, que no tingui camps obligatoris de dades personals reals i el domini del qual no sembli d'una autoritat pública, un centre educatiu, una clínica, una consulta mèdica, la policia o un tribunal (scanner/src/classify.js). El model de llenguatge no pot fer que un formulari es pugui enviar (scanner/src/classify.js). S'envien com a màxim cinc enviaments per comprovació (fc_active_max_posts), clarament identificats, amb l'emissor dummy@formexposed.com, una adreça sota .invalid per provar la validació del correu electrònic i una línia addicional de capçalera inofensiva per detectar la injecció de capçaleres (scanner/src/active.js).
Els recorreguts amb navegador comproven els recorreguts de formulari configurats en un navegador fins al punt immediatament anterior a l'enviament. Només es permeten sol·licituds GET i HEAD; tota la resta s'interromp, igual que les adreces que contenen paraules relatives a tancar sessió, suprimir, comprar o pagar (scanner/src/browser.js). Per a la comprovació, els camps obligatoris s'emplenen amb valors inventats que mai no surten del navegador.
Els fitxers exposats es cerquen setmanalment, només per a dominis verificats, amb un màxim d'una recuperació per ruta i un màxim de 8 KB, i sense emmagatzemar mai el contingut (cfg/dateien_lib.php).
S'ha preparat un segon punt de prova independent i està desactivat per defecte (browser_probe_enabled = 0). Si s'activés, només rebria el domini, l'adreça, el selector, els passos i la selecció de navegador, mai credencials, captures de pantalla ni dades de visitants (cfg/formular_probe_lib.php).

6.5 Escaneig que requereix iniciar sessió

Requisits previs: la funció està configurada, el domini està verificat i el Client té un pla de pagament i és el Propietari o l'Administrador de l'espai de treball (cfg/login_lib.php); confirma que el compte és un compte de prova amb els mínims drets possibles (cfg/login_lib.php).

El nom d'usuari i la contrasenya es xifren immediatament al servidor web amb la clau pública del servidor d'escaneig: una clau d'un sol ús per registre (X25519), derivació de clau (HKDF-SHA256), AES-256-GCM, amb vinculació al domini (cfg/login_lib.php). Només el servei de comprovació del servidor d'escaneig té la clau privada (scanner/src/geheim.js). Qui tingui el servidor web, la base de dades o una còpia de seguretat només té text xifrat.
La interfície només mostra el primer caràcter i la longitud del nom d'usuari (cfg/login_lib.php). Les credencials no es mostren mai, no es registren mai ni s'emeten mai a través de l'API.
Per a una comprovació, l'aplicació adjunta el text xifrat a la tasca. El servei de comprovació el desxifra, buida immediatament el camp de la tasca i transmet les credencials al contenidor només a través de l'entrada estàndard, mai com a arguments de línia d'ordres (scanner/src/worker.js). El procés d'estat elimina les restes de tasques interrompudes al cap d'una hora (cfg/login_lib.php).
Dins del contenidor, el navegador inicia sessió. S'interromp si la pàgina d'inici de sessió redirigeix a un altre amfitrió, si el formulari d'inici de sessió conté un CAPTCHA (no eludim els CAPTCHA) o si després de l'enviament encara és visible un camp de contrasenya (scanner/src/login.js). Després buida el camp de contrasenya a la memòria de la pàgina i oblida les credencials (scanner/src/login.js).
Llegeix com a màxim cinc pàgines del mateix domini especificades pel Client. Les adreces que contenen paraules relatives a tancar sessió, suprimir, eliminar o cancel·lar es bloquegen (scanner/src/login.js). No s'envia res a l'àrea que requereix iniciar sessió, no es fan captures de pantalla i les galetes i els enllaços no s'incorporen al resultat (scanner/src/login.js).
La supressió és definitiva: el text xifrat se sobreescriu amb dades aleatòries de la mateixa longitud, se suprimeix la fila i es netegen les tasques pendents (cfg/login_lib.php). Quan se suprimeix el domini, la fila desapareix automàticament mitjançant una clau forana.

6.6 Comprovació del lliurament

La comprovació del lliurament respon si un correu electrònic del formulari de contacte arriba realment i avalua les seves característiques d'autenticitat. És opcional, està desactivada per defecte i exigeix configurar una bústia de control (cfg/zustellung_lib.php).

Si el Client l'activa, el domini rep una etiqueta aleatòria. El Client introdueix l'adreça de control amb aquesta etiqueta com a còpia oculta al seu formulari.
A partir d'aleshores, tots els correus electrònics del formulari també arriben a la bústia de control: els nostres enviaments de prova identificats i tots els missatges autèntics dels visitants. Els correus electrònics van directament a la bústia de Namecheap, Inc. (Private Email), Phoenix, Arizona, USA —només arriben si els registres MX del nostre domini hi apunten; mitjançant reenviament, per exemple al registrador de dominis Namecheap, Inc., no arriben a la bústia— i s'hi conserven fins que es recuperen.
El procés d'estat recupera el correu de la bústia cada cinc minuts (srv/cron_status.php). Per a cada correu electrònic, llegeix les capçaleres i com a màxim els primers 8 KB del text, sense marcar-lo com a llegit (cfg/zustellung_lib.php).
A partir de les capçaleres determina l'etiqueta i, per tant, el domini i, si escau, a partir del text, l'identificador de la nostra prova (cfg/zustellung_lib.php). Es desen el moment, el domini i, si escau, l'identificador de la prova (cfg/zustellung_lib.php), durant 180 dies (cfg/zustellung_lib.php).
A partir de les capçaleres avalua SPF, DKIM i DMARC i desa el resultat associat al domini: els resultats de comprovació, el domini de l'adreça emissora, els dominis de les signatures i l'adreça del servidor emissor de correu (cfg/zustellung_lib.php). Si el resultat empitjora, s'envia una sola vegada al Client un avís que pot esmentar el domini emissor (cfg/zustellung_lib.php).
Després marca tots els correus electrònics recuperats per a la supressió, inclosos els que no s'han pogut assignar a cap domini, i els elimina de la bústia al final de l'execució (cfg/zustellung_lib.php). Si l'execució s'interromp abans, els correus electrònics es conserven fins a l'execució correcta següent.
Només la còpia de la prova exacta de què es tracta compta com a prova de lliurament (cfg/zustellung_lib.php). Si no arriba en tres hores (delivery_wait_h), el servei informa «Falta el lliurament».

El text dels missatges autèntics no s'escriu mai a la base de dades, ni tampoc l'adreça del visitant. Tanmateix, tots dos es llegeixen: la recuperació carrega els primers 8 KB de cada correu electrònic a la memòria per cercar-hi l'identificador de la prova.

6.7 Protecció col·lectiva

La capa de protecció del connector de WordPress atura un missatge com a missatge brossa i compta els dominis dels enllaços que conté. Un cop al dia, el connector ens comunica aquests dominis amb el seu nombre de coincidències, com a màxim 60 al dia; sense adreces, sense text ni adreces IP (cfg/swarm_lib.php).
Un cop al dia elaborem la llista a partir d'aquestes dades: s'hi incorpora un domini si en set dies l'han comunicat almenys tres llocs web diferents i amb un mínim de cinc coincidències (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Els grans serveis d'una llista fixa d'excepcions i els dominis dels nostres Clients, en tots dos casos inclosos els subdominis, no s'incorporen mai a la llista (cfg/swarm_lib.php).
La llista arriba a tots els llocs web connectats amb la resposta a la comunicació diària. La seva capa de protecció posa els missatges amb enllaços a dominis inclosos a la llista a la quarantena, no a la paperera.
Tot allò que ja no apareix a la llista nova en desapareix; les comunicacions se suprimeixen al cap de 30 dies (cfg/swarm_lib.php).
S'han preparat les xarxes IP (/24 o /48), però estan desactivades fins que es completi la revisió jurídica (cfg/swarm_lib.php).

6.8 Ús de la intel·ligència artificial

Un model de llenguatge s'executa al nostre propi servidor d'escaneig, no amb un proveïdor d'IA. S'utilitza en tres punts: al servei de comprovació classifica els formularis el tipus dels quals les regles no reconeixen; per fer-ho veu el títol de la pàgina, l'adreça de la pàgina, les etiquetes dels botons d'enviament, els tipus, noms, etiquetes i textos indicatius dels camps i fins a 400 caràcters de text del formulari (scanner/src/classify.js). Només se li consulta si les regles retornen «unknown»; els formularis classificats així no s'envien mai i no compten per a la puntuació ni per a la valoració. La puntuació, la valoració, la prevenció d'abusos, la protecció col·lectiva i les regles contra els missatges brossa són regles fixes, no IA. A «Fix it for me», reescriu el codi de formulari enganxat; el codi no s'emmagatzema. Per a les comprovacions de dominis de comptes de pagament que compleixen els requisits, també genera un pla d'acció prioritzat a partir del nom d'amfitrió, el resultat global i la puntuació, el CMS, el tipus de formulari i l'adreça de pàgina pertinents, qualsevol connector identificat i resultats de comprovació seleccionats que hagin fallat o no siguin clars. La sol·licitud s'emmagatzema temporalment a la cua interna de tasques i se suprimeix després de la recollida o de la neteja programada de les entrades de més d'una hora d'antiguitat. El text generat, l'idioma, l'estat i la marca de temps es conserven amb el resultat de l'escaneig segons les seves regles de conservació. L'informe identifica el pla com a resum d'IA i estableix els resultats individuals de comprovació com a referència; el pla no modifica el lloc web ni el resultat de l'escaneig. El model no pren decisions sobre persones. Més informació a la pàgina Reglament d'intel·ligència artificial de la UE: com formexposed utilitza la IA.

6.9 Bases jurídiques

Operació de tractament	Base jurídica
P1 Comprovació gratuïta: comprovació del domini sol·licitat; límits i prevenció d'abusos	en relació amb la persona sol·licitant, art. 6(1)(b); en relació amb l'operador i les persones representades, art. 6(1)(f); prevenció d'abusos, art. 6(1)(f)
P2 Comprovació de clients potencials	Art. 6(1)(f) (interès legítim de l'agència i de formexposed)
P3 Estudi	Art. 6(1)(f)
P4 Comprovació de dominis del Client	Art. 6(1)(b) en relació amb el Client; per a les dades de tercers del seu lloc web, les instruccions del Client d'acord amb l'art. 28
P5 Escaneig que requereix iniciar sessió	Instruccions del Client d'acord amb l'art. 28; la base jurídica del Client
P6 Comprovació del lliurament	Instruccions del Client d'acord amb l'art. 28; la base jurídica del Client (al nostre text suggerit per als Clients, art. 6(1)(f))
P7 Protecció col·lectiva	Art. 6(1)(f) (defensa conjunta contra els missatges brossa en molts llocs web)

El nostre interès legítim a P1 a P3 consisteix a mostrar als operadors i als seus prestadors de serveis les debilitats dels seus formularis abans que s'explotin per enviar missatges brossa o cometre abusos, i a prestar el servei. Les dades provenen de fonts accessibles públicament. La ponderació dels interessos s'exposa a la secció 7; si l'art. 6(1)(f) empara la comprovació de llocs web de tercers a petició és una qüestió pendent de la revisió jurídica.

6.10 Destinataris i transferències a països tercers

Destinatari	Què	Operació de tractament	Estat
Ningú extern a formexposed	Resultats de comprovació, captures de pantalla i classificació pel model de llenguatge	P1–P5	El servei de comprovació i el model de llenguatge s'executen als nostres propis servidors; en el recorregut de comprovació del rastrejador no s'ha trobat cap crida a un tercer excepte al lloc web comprovat mateix, als serveis el contingut dels quals aquest incrusta (com amb qualsevol visitant) i al servei RDAP rdap.org per a l'antiguitat del domini (només el nom del domini); les supervisions s'enumeren a la fila següent
Qualsevol persona que conegui l'enllaç	Informe amb resultats de comprovació i captures de pantalla	P1, P2, P4	enllaç aleatori de 128 bits (`cfg/check_lib.php`), pàgines amb `noindex` (`www/report.php`)
Serveis consultats per la supervisió d'un domini del Client	Llistes de bloqueig DNS (SpamCop, PSBL, Mailspike, SURBL): dominis i adreces IP dels servidors, sense dades de visitants; Google Web Risk només si està configurat: l'adreça de la pàgina d'inici; autoritats de segellament de temps Certum i DigiCert: només un valor hash del registre de proves; RDAP a través del registre d'IANA: només el nom del domini; pàgines d'estat dels prestadors: no es transmet res; wpvulnerability.net: identificador d'un connector (sense versió) o d'un tema i la versió de WordPress	P4	en ús; detalls al Registre d'activitats de tractament i a la pàgina Subencarregats del tractament
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Còpies de control, inclosos missatges autèntics de visitants	P6	Contracte encara no subscrit; lloc de tractament i mecanisme de transferència encara pendents d'examen
Namecheap, Inc. (EUA)	Registrador i DNS; fins que es configuri la bústia, reenviament dels correus electrònics generals a les adreces del nostre domini, no de les còpies de control (aquestes només arriben a la bústia mitjançant registres MX que hi apunten directament)	– (sense còpies de control)	Mecanisme de transferència pendent d'examen
Canals d'avís escollits pel Client (correu electrònic, webhook, Slack, Discord, Microsoft Teams, Google Chat i Telegram)	Esdeveniment, domini i enllaç; per a la comprovació d'autenticitat, el domini emissor si no pertany al lloc web	P4, P6	destinació escollida pel Client; parcialment fora de la UE. Enviem missatges de Telegram a través del nostre bot; el mecanisme de transferència corresponent és una qüestió pendent de la revisió jurídica
Tots els llocs web connectats	Llista de dominis d'enllaços	P7	a través de la resposta al connector
Segon punt de prova	Domini, adreça del formulari, selector i passos	P4	desactivat

6.11 Conservació: mesurada, no prevista

La supressió es fa principalment de nit a les 03:00 en el procés d'estat (srv/cron_status.php, cfg/fristen_lib.php); les comunicacions de protecció col·lectiva i les files de clients potencials se suprimeixen diàriament a partir de les 04:00, i les assignacions de la comprovació del lliurament, en cada recuperació; els informes anònims i de clients potencials se suprimeixen segons la seva data de caducitat (cfg/check_lib.php). Les captures de pantalla se suprimeixen del disc juntament amb el seu escaneig (cfg/fristen_lib.php).

Dades	Termini segons el codi	Referència a la font	Resultat de la comprovació
Comprovació gratuïta, incloses les imatges	30 dies	`cfg/check_lib.php`	efectiu
Comprovació de clients potencials, incloses les imatges	90 dies	`cfg/akquise_lib.php`; `srv/cron_status.php` (files de clients potencials)	efectiu
Comprovacions d'un domini del Client	13 mesos; es conserva l'última mentre existeix el domini	`cfg/fristen_lib.php`	efectiu
Resultats dels recorreguts amb navegador, incloses les imatges amb camps tapats en negre	13 mesos	`cfg/fristen_lib.php`	efectiu
Dades d'un domini suprimit	immediatament; les dades òrfenes, de nit	`cfg/fristen_lib.php` (`fe_domain_loeschen()`, `fe_fristen_lauf()`)	efectiu, inclosos l'inventari de scripts i els canvis de scripts, que no tenen cap termini de conservació propi més enllà d'això (vegi el Registre d'activitats de tractament)
Estudi: dades brutes, incloses les imatges	en publicar-lo	`cfg/studie_lib.php`	sense publicació, no hi ha límit temporal; la llista d'amfitrions comprovats es conserva sense límit temporal també després de la publicació
Comprovacions internes sense domini ni informe	cap	–	sense supressió; mesurat: 85 comprovacions amb 369 imatges des del 22 de setembre de 2026 (R4)
Assignacions de la comprovació del lliurament	180 dies	`cfg/zustellung_lib.php`	efectiu
Resultat de la comprovació d'autenticitat associat al domini	fins al resultat següent o a la supressió del domini	`cfg/zustellung_lib.php`	se sobreescriu, no està limitat en el temps
Còpies de control a la bústia	fins a la recuperació correcta següent (interval de cinc minuts)	`cfg/zustellung_lib.php`	còpies i còpies de seguretat al prestador de la bústia no verificades
Credencials per a l'escaneig que requereix iniciar sessió	fins que el Client les suprimeix o se suprimeix el domini; a la tasca, com a màxim fins al final de l'execució, i les restes, al cap d'una hora	`cfg/login_lib.php`	efectiu; a les còpies de seguretat només com a text xifrat durant un màxim de 14 dies
Comunicacions de la protecció col·lectiva	30 dies	`cfg/swarm_lib.php`	efectiu
Límits de la comprovació gratuïta (IP, país i hash de sessió)	7 dies	`srv/cron_status.php`	efectiu
Notes de comportament sospitós amb adreça IP	90 dies després de la resolució	`srv/cron_status.php`	notes no resoltes sense límit temporal; mesurat: 3 notes, totes resoltes
Adreça IP, país i navegador relatius a una exclusió voluntària	12 mesos; l'exclusió es conserva	`cfg/fristen_lib.php`	efectiu
Còpies de seguretat de la base de dades	14 dies	`cfg/backup_lib.php`	efectiu; actualment, les còpies de seguretat es conserven a la mateixa ubicació que la base de dades i no es xifren per separat; es preveu una còpia xifrada en una segona ubicació (R13)

7. (b) Avaluació de la necessitat i la proporcionalitat

El criteri són les finalitats indicades: mostrar als operadors si els seus formularis estan protegits contra els missatges brossa i els abusos (P1 a P5), comprovar si els correus electrònics dels formularis arriben i semblen autèntics (P6) i defensar-se conjuntament contra els missatges brossa en molts llocs web (P7). Aquestes finalitats són legítimes. La pregunta de l'art. 35(7)(b) és més concreta: és necessari aquest tractament amb aquest grau de profunditat per a la finalitat, i és la ingerència proporcional al benefici?

Component	Necessari per a la finalitat?	Proporcional en la forma implementada?
Recuperació d'unes poques pàgines públiques, estructura dels formularis i mesures de protecció detectades	Sí. Sense aquests elements no hi ha cap resultat de comprovació.	Sí. Com a màxim vuit pàgines (més les vistes de la secció 6.1), es respecta una prohibició de la pàgina d'inici a robots.txt, no es desen valors de camps visibles i les adreces destinatàries només es desen com a domini.
Captura de pantalla per formulari	Sí, com a prova a l'informe: l'operador pot veure de quin formulari es tracta.	En gran part. Els camps estan buits perquè el rastrejador no hi escriu res. Tanmateix, la imatge mostra l'entorn de l'element del formulari sense tapar res en negre (R3).
Captura de pantalla de la pàgina d'inici	No és necessària per al resultat de comprovació mateix. Serveix per reconèixer el lloc web comprovat a l'informe.	Només de manera limitada; es preveu una minimització addicional. Les pàgines d'inici sovint mostren persones: fotografies d'equip, persones de contacte i testimonis de clients amb noms. Vegi R3 i la secció 9.3.
Lectura dels valors dels camps ocults (primers 24 caràcters, només durant la comprovació)	Sí: s'hi detecten testimonis i marques de temps.	Sí. Només es desa el resultat de la detecció, no el valor, també a les àrees que requereixen iniciar sessió (R8).
Pàgina de resposta a l'enviament de prova (imatge i 300 caràcters de text)	Sí, com a prova de com ha respost el formulari.	Sí. La resposta es refereix al nostre missatge de prova identificat i sense dades personals.
Classificació pel model de llenguatge	Útil, no necessària: sense aquesta, més formularis queden com a «unknown».	Sí. Local, sense comunicació de dades i sense dret a enviar.
Pla d'acció local a partir de resultats de comprovació seleccionats i metadades de l'escaneig	Útil per prioritzar les correccions, no necessari per elaborar els resultats individuals de comprovació.	Limitat a metadades d'escaneig existents i com a màxim 18 resultats de comprovació diferents que hagin fallat o no siguin clars, sense captures de pantalla ni valors introduïts als camps en la instrucció al model. El pla és orientatiu i s'identifica com a generat per IA; els resultats individuals de comprovació continuen sent la referència. Les URL i les notes encara poden contenir dades personals, i el text generat segueix la conservació de l'escaneig i l'accés de qui té l'enllaç. Aquests límits redueixen l'exposició, però no demostren l'exactitud factual (R10).
Enviaments de prova actius	Sí. Només es fa evident si una protecció funciona quan es prova.	Sí, amb un límit màxim i una identificació clara. Tanmateix, el requisit previ —la prova de control— no es renova mai (R7).
Cerca de fitxers exposats	Sí per al Client, les dades dels formularis del qual poden estar-hi exposades.	Sí. Només dominis verificats, com a màxim 8 KB, sense emmagatzemar mai el contingut.
Escaneig que requereix iniciar sessió	Sí per als formularis de l'àrea de membres que altrament quedarien sense comprovar.	En gran part. El xifratge i la supressió estan implementats amb cura; tanmateix, l'inici de sessió accepta connexions sense xifrar i certificats defectuosos (R8).
Còpia de control de missatges autèntics de visitants	No per a la prova de lliurament. Aquesta només es basa en la còpia de la nostra prova (`cfg/zustellung_lib.php`). Els missatges autèntics també arriben perquè una còpia oculta al formulari no distingeix entre una prova i un missatge autèntic. Són útils per a la comprovació d'autenticitat (SPF, DKIM, DMARC) perquè mostren la ruta d'enviament real.	Parcialment. El contingut no s'emmagatzema, però es llegeix, i es conserva amb el prestador de la bústia, el contracte del qual encara està pendent, fins que es recupera (R1, R2). És tècnicament possible un disseny menys intrusiu: amb el nostre connector, la còpia oculta es podria limitar als missatges de prova identificats (secció 9.3).
Emmagatzematge del domini emissor de missatges autèntics	Parcialment: mostra si el formulari envia amb l'adreça del visitant com a emissor (una causa freqüent de classificació com a missatge brossa).	Condicionalment. Per a una persona amb un domini propi, el domini és una dada personal i s'inclou a l'avís al Client i als seus canals (R1).
Llista compartida de dominis d'enllaços	Sí. Un enllaç de missatges brossa que apareix en molts llocs web al mateix temps és un senyal fort del qual un únic lloc web no disposa.	Sí, amb nombres mínims, excepcions i quarantena en lloc de supressió. Les xarxes IP no serien proporcionals sense una nova avaluació.
Dades brutes de l'estudi	Fins a l'avaluació, sí.	Sense un termini màxim, no (R4).
Informe en un enllaç aleatori	Sí. Facilitar l'informe, per exemple al prestador de serveis que s'encarrega del lloc web, és la finalitat de la comprovació gratuïta.	Sí. Enllaç aleatori de 128 bits, `noindex`, informe gratuït només com a extracte (`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`) i supressió al cap de 30 dies.

Licitud. Per a P1 a P3 i P7 ens basem en l'art. 6(1)(f). A favor en la ponderació: les dades són públiques i es recuperen de la mateixa manera que ho fa qualsevol visitant; no s'envia res; les dades personals són incidentals i d'escassa entitat; els terminis són curts; l'operador pot excloure noves comprovacions del rastrejador mitjançant una prohibició de la pàgina d'inici a robots.txt i qualsevol nova comprovació a través de la nostra pàgina d'exclusió voluntària, immediatament i sense aportar proves; el benefici —un formulari protegit— també recau en l'operador i els seus visitants. En contra: l'operador no sap res de la comprovació, l'informe està destinat a tercers i, en el cas d'empresaris individuals, avalua una persona. Considerem que la ponderació és justificable mentre es mantinguin les mesures de la secció 9.1; la confirmació jurídica està pendent.

Informació a les persones interessades (art. 13 i 14). Informem els operadors i les persones de les pàgines comprovades a través de la pàgina del rastrejador, que s'indica a l'identificador de cada recuperació, de la Política de privacitat i de la pàgina d'exclusió voluntària. Informar individualment les persones que apareixen incidentalment en una captura de pantalla només seria possible si les identifiquéssim, cosa que constituiria una ingerència addicional i més greu. En aquesta mesura, ens basem en l'art. 14(5)(b). El Client informa els visitants els missatges dels quals passen per la còpia de control; l'Acord d'encàrrec del tractament ho exigeix i proporcionem un bloc de text amb aquesta finalitat.

Minimització de dades (art. 5(1)(c)). És visible en molts punts i es fonamenta en el codi: no es desen valors de camps, les adreces destinatàries només es desen com a domini, els identificadors de compte de les adreces de scripts s'oculten, no hi ha contingut de la còpia de control a la base de dades, no es fan captures de pantalla a les àrees que requereixen iniciar sessió i només s'utilitzen dominis a la protecció col·lectiva. En dos punts és possible i es preveu una minimització addicional (secció 9.3): la captura de pantalla de la pàgina d'inici sense tapar contingut en negre i el domini emissor dels missatges autèntics.

Limitació del termini de conservació (art. 5(1)(e)). Des del 27 de setembre de 2026, l'execució nocturna compleix els terminis de la Política de privacitat per a les dades dels Clients i elimina les dades que han quedat sense domini associat del període anterior (cfg/fristen_lib.php). Continuen obertes dues vies sense límit temporal: les comprovacions internes i els estudis no publicats (R4).

Exactitud (art. 5(1)(d)). Un resultat de comprovació pot ser incorrecte: un formulari sembla desprotegit perquè la protecció només es carrega després d'una interacció, o un tallafoc ha tractat el rastrejador de manera diferent que un visitant. Per a un operador el lloc web del qual es difon públicament com a «Desprotegit», això és una qüestió de reputació. Per això, l'informe indica el mètode, mostra proves i assenyala els límits d'una comprovació des de l'exterior.

Resultat sobre la proporcionalitat: la comprovació de llocs web de tercers i propis és, en la forma implementada, essencialment proporcional. En tres punts hi ha una necessitat de millora que es pot abordar amb mitjans ordinaris i per a la qual es preveuen mesures (secció 9.3): les captures de pantalla de la pàgina d'inici, les comprovacions internes sense límit temporal i l'inici de sessió sense xifrar per a l'escaneig que requereix iniciar sessió. La comprovació del lliurament és proporcional per a la còpia de prova i per a la comprovació d'autenticitat; per als missatges autèntics dels visitants, només ho és mentre no s'emmagatzemi el contingut, la via a través del prestador de la bústia estigui assegurada contractualment i el Client informi els seus visitants. Actualment falta el segon d'aquests tres punts.

8. (c) Avaluació dels riscos per als drets i les llibertats de les persones interessades

S'avalua el risc per a les persones interessades, no per a formexposed. La probabilitat es qualifica de remota, possible, probable o materialitzada; «materialitzada» significa que l'esdeveniment no és una previsió, sinó un estat mesurat. La gravetat es qualifica de limitada, significativa, greu o molt greu, segons el que la persona pot perdre: la confidencialitat del seu missatge, el control d'un compte, la seva reputació professional o la possibilitat d'exercir un dret. El nivell deriva de totes dues i descriu l'estat actual amb les mesures de la secció 9.1.

Núm.	Risc	Operació de tractament	Probabilitat	Gravetat	Nivell
R1	Missatges autèntics de visitants a la còpia de control, incloses possibles categories especials	P6	Materialitzada un cop activada	Greu	Alt
R2	Via de la còpia de control a través del prestador de la bústia sense contracte subscrit i amb una possible vinculació a un país tercer	P6	Probable mentre falti el contracte	Greu	Alt
R3	Captures de pantalla de llocs web de tercers sense tapar contingut en negre	P1–P4	Probable	Limitada	Mitjà
R4	Dades de comprovació i captures de pantalla sense via de supressió	P3, comprovacions internes	Materialitzada	Significativa	Alt
R5	Comprovació i valoració pública de llocs web de tercers sense que l'operador ho sàpiga; ús indegut com a eina de reconeixement	P1	Possible	Significativa	Mitjà
R6	Comprovació de clients potencials com a base per a contactes no sol·licitats	P2	Probable	Limitada	Mitjà
R7	La prova de control no es renova mai	P4, P5	Possible	Significativa	Mitjà
R8	Credencials i contingut en l'escaneig que requereix iniciar sessió	P5	Possible	Greu	Mitjà; alt per a comptes reals
R9	Enviaments de prova actius i comprovació de fitxers al lloc web del Client	P4	Remota	Significativa	Baix
R10	Classificació per un model de llenguatge	P1–P4	Remota	Limitada	Baix
R11	Llista de bloqueig compartida a partir de comunicacions de molts llocs web	P7	Possible	Limitada	De baix a mitjà; alt amb xarxes IP
R12	Informes i captures de pantalla en un enllaç públic	P1, P2, P4	Possible	Limitada	Baix
R13	Debilitats de la infraestructura: còpies de seguretat, accés als servidors i servidor d'escaneig	totes	Possible	Greu	Alt
R14	Drets de les persones interessades per a persones que no ens coneixen	P1–P6	Probable	Limitada	Baix

R1: Missatges autèntics de visitants a la còpia de control

Aquest és el risc més greu del servei, i no prové d'un error, sinó del disseny. Una còpia oculta al formulari no distingeix entre el nostre missatge de prova i el missatge d'un visitant. Si un Client activa la comprovació del lliurament, tots els missatges enviats a través d'aquell formulari arriben a la nostra bústia de control (cfg/zustellung_lib.php). La recuperació llegeix les capçaleres i els primers 8 KB del text a la memòria per cercar-hi el nostre identificador de prova (cfg/zustellung_lib.php). Per a un formulari de contacte ordinari, això significa el nom, l'adreça de correu electrònic, el número de telèfon i el missatge complet.

El que escriu el visitant depèn d'ell, i el camp convida a introduir contingut personal: una petició de visita que descriu símptomes a una consulta mèdica, el relat d'un litigi a un despatx d'advocats, una candidatura laboral o una consulta sobre un infant a una escola. Els nostres documents legals diuen que les còpies «no haurien de contenir cap categoria especial de dades personals». És una petició al Client, no una mesura de protecció: ni ell ni nosaltres sabem per endavant què escriurà un visitant.

Hi ha dues vies addicionals vinculades a això. Primer, la comprovació d'autenticitat desa el domini de l'adreça emissora associat al domini (cfg/zustellung_lib.php). Si el formulari envia amb l'adreça del visitant com a emissor, es tracta del domini del visitant: no és significatiu en el cas d'un gran prestador de correu, però és una dada personal per a una persona amb un domini propi. Aquest domini també apareix a l'avís que arriba al Client i als canals que ha escollit (cfg/zustellung_lib.php). Segon, es desa l'adreça del servidor emissor de correu (cfg/zustellung_lib.php); generalment és el servidor del lloc web, no el del visitant.

Probabilitat: materialitzada un cop activada. La qüestió no és si arriben missatges autèntics, sinó quants. Segons el mesurament al sistema de desenvolupament, la funció no està activada per a cap domini. Gravetat: greu. La confidencialitat d'un missatge a una empresa és important per a moltes persones, i per a alguns dels Clients típics es poden esperar dades de l'art. 9. La gravetat es mitiga perquè el contingut no acaba a la base de dades, es conserva a la bústia només breument i cap persona de formexposed no el llegeix. Nivell: alt.

R2: Via de la còpia de control a través del prestador de la bústia sense contracte subscrit

Abans que la nostra recuperació vegi una còpia de control, aquesta es conserva a la bústia de Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Només hi arriba si els registres MX del nostre domini apunten directament a aquesta bústia; el reenviament al registrador de dominis Namecheap, Inc. no és una etapa de les còpies de control (mitjançant reenviament no arriben a la bústia). Per a l'etapa que queda, els acords contractuals encara estan pendents: no s'ha subscrit el contracte amb el prestador de la bústia, no s'han establert les seves ubicacions d'emmagatzematge, els subencarregats del tractament ni els terminis de les còpies de seguretat, i continua obert si per al seu lloc de tractament calen i són aplicables una decisió d'adequació o clàusules contractuals tipus. Per als nostres propis correus electrònics transaccionals, això és una qüestió de configuració contractual. Per a les còpies de control és més greu: són dades que rebem com a encarregat del tractament, i cada prestador de serveis de la ruta és un subencarregat del tractament pel qual responem d'acord amb l'art. 28(4).

A més, «suprimit després de la recuperació» només s'aplica a la nostra visió de la bústia. No s'ha verificat si el prestador conserva els correus electrònics suprimits a les seves pròpies còpies de seguretat o en una paperera, ni durant quant de temps. Si una recuperació s'interromp, els correus electrònics es conserven fins a l'execució correcta següent (cfg/zustellung_lib.php); si el procés d'estat falla, es conserven indefinidament. Finalment, la seguretat de la recuperació mateixa és un dels punts que cal comprovar al sistema de producció abans del llançament (secció 9.3).

Probabilitat: probable mentre falti el contracte: totes les còpies de control segueixen aquesta ruta. Gravetat: greu, pels mateixos motius que R1. Nivell: alt. La llista de configuració de l'aplicació comunica com a advertiment que falta la bústia; no hi ha cap bloqueig que impedeixi la comprovació del lliurament sense un contracte documentat.

R3: Captures de pantalla de llocs web de tercers sense tapar contingut en negre

El rastrejador fa una captura de pantalla de la zona visible de la primera pàgina i una imatge de l'element del formulari de cada formulari visible (scanner/src/crawl.js). No es tapa res en negre en aquest procés. En els recorreguts amb navegador és diferent: s'hi emmascaren els camps d'entrada abans de la captura de pantalla (scanner/src/browser.js). Per tant, només estan «depurades» les imatges dels recorreguts amb navegador, no les del rastrejador ni la imatge de la pàgina de resposta d'una comprovació activa.

Com que el rastrejador no hi escriu res, els camps dels formularis estan buits. Tanmateix, la pàgina d'inici d'una petita empresa sovint mostra el propietari, l'equip, testimonis de clients amb noms i fotografies o una finestra de xat amb la fotografia d'un empleat. Tot això és públic; la captura de pantalla ho converteix en una còpia que emmagatzemem nosaltres, apareix a l'informe i es pot compartir amb l'enllaç.

Probabilitat: probable. S'han mesurat 432 captures de pantalla al conjunt de dades del sistema de desenvolupament. Gravetat: limitada: el contingut ja és públic i els terminis de les comprovacions sense compte són curts. Nivell: mitjà, perquè les persones representades no en tenen coneixement i la imatge de la pàgina d'inici no és necessària per al resultat de comprovació.

R4: Dades de comprovació i captures de pantalla sense via de supressió

L'execució nocturna suprimeix les comprovacions per dues vies: segons la data de caducitat d'un informe (cfg/check_lib.php) i segons el termini de les comprovacions d'un domini del Client (cfg/fristen_lib.php, només per a comprovacions amb domini). Una comprovació que no té ni informe ni domini queda fora de totes dues vies. Són les comprovacions amb el nivell de confiança «internal»: estudis i comprovacions que el prestador crea des de la línia d'ordres.

Els estudis suprimeixen les dades brutes en publicar-se (cfg/studie_lib.php). Si un estudi no es publica mai —perquè té massa pocs llocs web amb formulari (cfg/studie_lib.php aleshores rebutja la publicació) o perquè queda abandonat—, les comprovacions, els formularis, els resultats de comprovació i les captures de pantalla es conserven sense límit temporal.
Les comprovacions internes des de la línia d'ordres no tenen cap via de supressió. Mesurat l'11 d'octubre de 2026: 85 comprovacions d'aquest tipus de llocs web de tercers amb 978 formularis i 369 captures de pantalla, la més antiga del 22 de setembre de 2026, cap amb informe ni domini.
Les notes de comportament sospitós a la comprovació gratuïta contenen l'adreça IP i se suprimeixen 90 dies després de resoldre's (srv/cron_status.php). Una nota que no es resol mai es conserva. Mesurat: tres notes, totes resoltes.

Probabilitat: materialitzada. Les 85 comprovacions no són un escenari, sinó dades existents. Al sistema de desenvolupament són comprovacions d'una prova de camp; el mateix codi s'aplica al sistema de producció. Gravetat: significativa: no hi ha termini de conservació per a aquestes dades. Pel que fa al principi de limitació del termini de conservació (art. 5(1)(e)), és un punt pendent amb una mesura prevista (secció 9.3, prioritat «primer»), i afecta precisament persones que no saben res de la comprovació. Les comprovacions internes es descriuen al Registre d'activitats de tractament; la Política de privacitat encara no les esmenta per separat (secció 9.4). Nivell: alt.

R5: Comprovació i valoració pública de llocs web de tercers sense que l'operador ho sàpiga

Qualsevol persona pot fer comprovar qualsevol lloc web accessible públicament, sense compte ni cap relació amb el lloc. No es notifica a l'operador. El resultat és un informe que qualifica el lloc web com a «Desprotegit», «Parcialment protegit» o «Protegit» i que pot veure qualsevol persona que tingui l'enllaç. Es poden concebre dues conseqüències per a les persones interessades. Un empresari individual rep públicament una valoració —encara que només sigui per als destinataris de l'enllaç— que pot ser un resultat de comprovació incorrecte. I l'informe mostra a qui envia missatges brossa quin formulari es pot emplenar sense obstacles.

Diversos bloqueigs contraresten això (cfg/check_lib.php): com a màxim una comprovació per domini en set dies i, després, el mateix informe; límits per adreça IP i sessió; un límit diari per a tot el servei; cap comprovació de dominis molt recents, que són típics dels abusos; una nota i un avís en cas de comportament sospitós; robots.txt i exclusió voluntària, comprovats dues vegades (cfg/check_lib.php i al servei de comprovació). L'informe gratuït és un extracte: només mostra els resultats bàsics de comprovació, no les proves de tots els detectors. I no diu res que un bot no pugui descobrir pel seu compte en segons: un formulari desprotegit és visible des de l'exterior.

Probabilitat: possible. Gravetat: significativa per a un empresari individual el formulari del qual sigui objecte d'atacs després d'un informe o la valoració del qual sigui incorrecta. Nivell: mitjà.

R6: Comprovació de clients potencials com a base per a contactes no sol·licitats

A la interfície, la comprovació de clients potencials es descriu com una «porta d'entrada per a la primera conversa». Correspon a l'agència decidir com utilitza el resultat breu; tècnicament, també el pot enviar a un operador que no l'ha sol·licitat. Nosaltres no contactem amb ningú (cfg/akquise_lib.php), i les Condicions del servei obliguen l'agència a complir les normes sobre publicitat i captació. Tanmateix, un correu electrònic no sol·licitat amb el resultat de comprovació constitueix màrqueting directe també entre empreses, que a Polònia (art. 398 de la Llei de comunicacions electròniques (Prawo komunikacji elektronicznej, PKE)) i a Alemanya (§ 7(2) de la Llei alemanya contra la competència deslleial (Gesetz gegen den unlauteren Wettbewerb, UWG)) exigeix consentiment previ. La interfície no ho assenyala; els textos de la comprovació de clients potencials només parlen de «passiu» i de «llista d'exclusió voluntària».

Probabilitat: probable, perquè la funció serveix per captar clients i no podem verificar si el destinatari ha donat el consentiment. Gravetat: limitada: per a l'operador és un correu electrònic de màrqueting molest amb una valoració del seu lloc web. Nivell: mitjà. El risc rau en la conducta de l'agència; com que la funció prové de nosaltres, es preveu un avís a la interfície (secció 9.3).

R7: La prova de control no es renova mai

Els enviaments de prova actius, la cerca de fitxers exposats i l'escaneig que requereix iniciar sessió exigeixen que el Client hagi acreditat que té dret a controlar el domini. Aquesta prova es comprova una vegada (cfg/verify_lib.php) i mai més. No hi ha cap via al codi per la qual un domini perdi la prova. Si el domini canvia de titular, una agència finalitza el seu encàrrec o l'operador retira el registre DNS, les comprovacions continuen: fins a diàriament, amb fins a cinc enviaments de prova i, si s'ha desat, amb l'inici de sessió d'un compte de prova que el nou operador pot desconèixer. En canvi, no és possible transferir la prova a un altre amfitrió canviant-li el nom: el nom d'amfitrió d'un domini amb prova de control no es pot modificar.

Probabilitat: possible: els canvis de domini i d'encàrrec són habituals per a les agències. Gravetat: significativa per al nou operador i els seus empleats, que reben missatges de prova identificats i el lloc web dels quals és objecte d'una cerca de fitxers exposats sense el seu consentiment. Nivell: mitjà. Els missatges de prova s'expliquen per si mateixos i remeten a la pàgina del rastrejador i a l'exclusió voluntària; l'exclusió voluntària també és efectiva contra les comprovacions dels Clients.

R8: Credencials i contingut en l'escaneig que requereix iniciar sessió

El xifratge de les credencials està implementat amb cura: el servidor web ja no les pot llegir després de desar-les, la base de dades i la còpia de seguretat només contenen text xifrat, el registre està vinculat al seu domini i les credencials entren al contenidor només a través de l'entrada estàndard i després s'eliminen de la memòria (secció 6.5). Queden dues mancances; un tercer punt afecta només la lectura, no l'emmagatzematge.

Es permet l'inici de sessió sense xifrar. La comprovació de l'adreça permet http a més d'https (cfg/login_lib.php, scanner/src/login.js). Si el Client introdueix una pàgina d'inici de sessió amb http, el nom d'usuari i la contrasenya circulen per Internet en text clar en cada comprovació.
Els errors de certificat no aturen l'inici de sessió. Actualment, l'inici de sessió no s'interromp quan el certificat del lloc del Client no és vàlid (scanner/src/login.js). Per tant, el certificat no protegeix plenament les credencials durant la transmissió al lloc del Client. Es preveu interrompre l'inici de sessió en cas d'errors de certificat (secció 9.3, prioritat «primer»).
Els valors dels camps ocults de l'àrea que requereix iniciar sessió es llegeixen, no s'emmagatzemen. El rastrejador llegeix els primers 24 caràcters del valor dels camps ocults (scanner/src/crawl.js), i la mateixa funció d'extracció s'executa a l'àrea que requereix iniciar sessió (scanner/src/login.js). En aquest entorn, els camps ocults sovint contenen un número de compte, un identificador d'usuari o l'adreça de correu electrònic del compte amb sessió iniciada; tanmateix, només el nom, el tipus i l'etiqueta del camp i el resultat de la detecció s'incorporen al mapa de camps i als resultats de comprovació.

A això s'afegeix allò que el codi no pot impedir: el Client confirma que utilitza un compte de prova amb els mínims drets possibles (cfg/login_lib.php), però pot introduir un compte real d'administrador. El Client determina les pàgines que l'escàner llegeix aleshores; les adreces que contenen paraules relatives a tancar sessió i suprimir es bloquegen, però no altres accions que un lloc web activa mitjançant una simple sol·licitud.

Probabilitat: possible. Gravetat: greu si es veu afectat un compte amb drets amplis; en aquest cas, queda oberta l'àrea de membres amb les dades de tots els usuaris. Nivell: mitjà per a un compte de prova amb pocs drets, alt per a un compte real. Segons el mesurament al sistema de desenvolupament, no hi ha cap compte de prova desat.

R9: Enviaments de prova actius i comprovació de fitxers al lloc web del Client

Un enviament de prova arriba a les persones que llegeixen els correus electrònics dels formularis del Client: els seus empleats o un prestador de serveis. No conté dades personals: l'emissor és dummy@formexposed.com, el text i l'assumpte estan identificats com a prova i indiquen l'identificador de la comprovació (scanner/src/active.js). El risc rau en una classificació incorrecta: si l'escàner prengués un formulari de candidatura, reserva o assessorament per un de contacte, el missatge de prova acabaria en un procés amb conseqüències. Això es contraresta amb les regles estrictes sobre quins formularis «es poden enviar» (scanner/src/classify.js), el bloqueig dels dominis d'autoritats públiques, centres educatius, clíniques, consultes mèdiques, policia i tribunals (scanner/src/classify.js) i l'exclusió del model de llenguatge d'aquesta decisió (scanner/src/classify.js). De la resposta es desen l'estat, l'adreça de destinació, el títol, 300 caràcters de text i una imatge; es refereixen al nostre missatge de prova.

La comprovació de fitxers llegeix com a màxim 8 KB de rutes típiques. Si realment hi ha exposat un bolcat de base de dades, aquests 8 KB poden contenir entrades de formulari fetes per visitants. Només es comprova si contenen una signatura i es descarten (cfg/dateien_lib.php); es desen la ruta, el tipus i la gravetat.

Probabilitat: remota. Gravetat: significativa. Nivell: baix. Segons el mesurament al sistema de desenvolupament, hi ha una comprovació activa al conjunt de dades, sense cap enviament acceptat.

R10: Classificació per un model de llenguatge

Per als formularis que les regles no reconeixen, el model de llenguatge rep el títol de la pàgina, l'adreça, els textos dels botons, les descripcions dels camps i fins a 400 caràcters de text del formulari (scanner/src/classify.js). Això pot incloure un nom, per exemple «La seva persona de contacte: …». S'executa al nostre propi servidor; segons el codi, no es transmet res a tercers. No s'ha verificat si el programari del model registra les sol·licituds. El seu resultat només determina el tipus de formulari mostrat i no pot fer que un formulari es pugui enviar; una classificació incorrecta comporta un resultat de comprovació pitjor, no una acció.

Probabilitat: remota. Gravetat: limitada. Nivell: baix.

R10: Etapa addicional del pla d'acció

Per als informes de pagament que compleixen els requisits, el mateix model local també genera passos orientatius a partir de resultats de comprovació seleccionats i metadades de l'escaneig. A diferència de la classificació, la sortida és un resum en llenguatge natural que es conserva amb l'escaneig. Els noms d'amfitrió, les adreces de pàgina i les notes poden contenir dades personals que el model podria repetir. Una recomanació incorrecta pot portar un lector a debilitar la protecció o a fer un canvi innecessari; facilitar l'enllaç d'un informe pot comunicar dades personals repetides a un altre destinatari. El codi no executa automàticament la recomanació, no modifica la puntuació ni la valoració, ni comprova l'exactitud factual del text. Limita la longitud d'entrada i de sortida, identifica el resum com a generat per IA i indica que els resultats individuals de comprovació són la referència. Són controls, no una prova que les recomanacions siguin correctes o que l'informe sigui anònim. La qualificació anterior de probabilitat i gravetat per a la classificació no qualifica per si mateixa aquesta etapa de generació afegida; cal avaluar-ne el risc residual amb les dades i l'ús reals de la comprovació de base.

R11: Llista de bloqueig compartida a partir de comunicacions de molts llocs web

Un domini inclòs a la llista fa que els missatges amb enllaços a aquell domini acabin a la quarantena de tots els llocs web connectats. Si el domini pertany a una persona —un professional d'un ofici, un fotògraf o un blog—, els seus missatges amb un enllaç al seu propi lloc web arriben tard als destinataris. Un domini així pot acabar a la llista perquè els emissors de missatges brossa en fan un ús indegut o perquè algú envia deliberadament missatges amb aquest domini que no superen la protecció a diversos llocs web.

Això es contraresta amb (cfg/swarm_lib.php): un mínim de tres llocs web diferents i cinc coincidències en set dies; excepcions fixes per als grans serveis; mai els dominis dels nostres Clients; retirada manual mitjançant una eina al servidor; quarantena en lloc de supressió; la llista es reconstrueix diàriament i tot allò que ja no es comunica en desapareix. Les persones afectades no poden veure la llista i no tenen cap via pròpia per exigir-ne la retirada, excepte a través de nosaltres.

Probabilitat: possible. Gravetat: limitada, perquè no es perd res i el destinatari pot alliberar el missatge. Nivell: de baix a mitjà. Amb les xarxes IP activades, es veurien afectades xarxes de prestadors sencers, les adreces IP són dades personals i la gravetat augmentaria a significativa: alt.

R12: Informes i captures de pantalla en un enllaç públic

Es pot accedir als informes de la comprovació gratuïta, de la comprovació de clients potencials i de les comprovacions de dominis dels Clients sense iniciar sessió, mitjançant un enllaç aleatori. L'enllaç conté 128 bits d'aleatorietat i no es pot endevinar (cfg/check_lib.php). Les pàgines incorporen noindex, l'aplicació envia una política de referència que només transmet l'origen (www/.htaccess) i les captures de pantalla només es lliuren juntament amb l'informe al qual pertanyen; un altre número d'imatge retorna «no s'ha trobat» (www/shot.php). El risc no és criptogràfic, sinó humà: un enllaç es facilita a una altra persona, es copia en un tiquet o es comparteix en un xat. Qui l'obre només queda registrat al registre d'accés a pàgines com qualsevol visualització de pàgina (60 dies), on l'enllaç mateix només apareix emmascarat; no hi ha cap llista de lectors per informe.

Probabilitat: possible. Gravetat: limitada, perquè l'informe només mostra informació pública i caduca al cap de 30 o 90 dies, respectivament; els informes de dominis dels Clients continuen accessibles mentre existeix la comprovació (13 mesos, l'última durant més temps). Nivell: baix.

R13: Debilitats de la infraestructura

Els punts següents figuren com a pendents al nostre paquet intern de revisió i aquí no es dissimulen. Els descrivim amb la precisió que els Clients necessiten per a la seva pròpia valoració, però no amb tanta precisió que la descripció indiqui el camí a un atacant; facilitarem els detalls a una autoritat de control si els sol·licita.

Les còpies de seguretat de la base de dades es conserven actualment a la mateixa ubicació que la base de dades i no es xifren per separat; es preveu una còpia xifrada en una segona ubicació (cfg/backup_lib.php). Fins aleshores, no protegeixen contra la pèrdua de la ubicació, i qui obté la base de dades també obté les còpies de seguretat. Les credencials per a l'escaneig que requereix iniciar sessió només hi figuren com a text xifrat.
No hi ha xifratge de la base de dades en repòs. Les excepcions són els camps que es xifren individualment (credencials dels comptes de prova i secret del segon factor).
Les connexions dins de la nostra xarxa interna no estan xifrades en tot el recorregut.
Administració dels servidors. La seguretat de l'accés administratiu als nostres servidors encara no compleix l'estàndard que pretenem per al funcionament; l'enduriment de la seguretat de l'administració dels servidors continua.
Entorn de comprovació. El servidor d'escaneig obre llocs web de tercers en un navegador. Els contenidors de comprovació estan aïllats: xarxa pròpia, sense privilegis especials, de només lectura i amb límits (scanner/src/worker.js). Es continua reforçant la separació entre l'entorn de comprovació i les altres parts del servei (secció 9.3).

Probabilitat: possible. Gravetat: greu, perquè en una emergència tot es veuria afectat alhora. Nivell: alt. Els punts individuals es poden corregir amb mitjans ordinaris (secció 9.3).

R14: Drets de les persones interessades per a persones que no ens coneixen

Qualsevol persona que aparegui incidentalment en una captura de pantalla o el missatge de la qual hagi passat per una còpia de control generalment no sap que existim. Encara que ho sàpiga, no té cap clau per localitzar les «seves» dades: no les emmagatzemem per persona, sinó per domini i comprovació. Només podem respondre a una sol·licitud d'accés de l'art. 15 si la persona indica el domini; aleshores podem revisar les comprovacions i les imatges existents. Per als missatges autèntics dels visitants no hi ha res a comunicar, perquè no els emmagatzemem, excepte el domini emissor de R1. L'exclusió voluntària només funciona per als operadors d'un domini, no per a les persones representades; per a aquestes, queda la via de contact@lukaswojcik.com.

Probabilitat: probable com a situació estructural. Gravetat: limitada, perquè les dades tenen una durada curta i no estan organitzades per persona. Nivell: baix.

9. (d) Mesures per abordar els riscos

Cada mesura té un estat, i els estats no són decoratius. Implementada avui: verificada significa que s'ha llegit al codi del sistema de desenvolupament i, quan ha estat possible, s'ha mesurat respecte de la base de dades. Parcial significa que el mecanisme existeix, però encara no assoleix plenament la seva finalitat. Prevista significa que aquesta avaluació la proposa i no està implementada; el propietari decideix si s'implementa i quan. Encara cal determinar els procediments i les decisions que cap codi no substitueix. Una AIPD que presenta mesures previstes com a implementades perd el seu valor precisament en la situació en què es necessita.

9.1 Implementades avui: verificades

Mesura	Aborda	Referència a la font
El rastrejador llegeix robots.txt abans de cada comprovació; una exclusió que inclogui la pàgina d'inici, un robots.txt inaccessible o un error del servidor finalitza la comprovació (les subrutes no es tenen en compte individualment; la comprovació periòdica, la recuperació de la prova, l'eina de capçaleres i la cerca de fitxers no el llegeixen)	R5, licitud	`scanner/src/net.js`
Exclusió voluntària sense proves, d'efecte immediat, per al domini i la seva variant www, per a les comprovacions anònimes, de clients potencials, d'estudis i dels Clients (la supervisió en curs finalitza amb la comprovació programada següent); comprovada dues vegades (aplicació i servei de comprovació); només nosaltres l'aixequem a petició i amb proves	R5, R7, art. 21	`cfg/check_lib.php`; `cfg/akquise_lib.php`; `cfg/studie_lib.php`; `scanner/src/worker.js`
Comprovació gratuïta: aturada d'emergència, reCAPTCHA, una comprovació per domini i setmana, límits per adreça IP i sessió, límit diari, cap domini nou, només adreces públiques, nota i avís sense contingut en cas d'anomalies	R5	`cfg/check_lib.php`
Per als límits, la sessió només s'emmagatzema com a valor hash, mai l'identificador de sessió	Minimització	`cfg/check_lib.php`
No es desen valors de camps (el començament dels camps ocults i els atributs de dades només es llegeixen durant la comprovació, secció 6.2); les adreces destinatàries només es desen com a domini; els identificadors de compte de les adreces de scripts s'oculten	Minimització	`scanner/src/crawl.js`
L'informe gratuït és un extracte: només resultats bàsics de comprovació, sense proves de tots els detectors	R5	`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`
Informes en un enllaç aleatori de 128 bits, `noindex`, imatges només per al seu propi informe, fora del directori web públic; l'enllaç només apareix emmascarat al registre d'accés a pàgines	R12	`cfg/check_lib.php`; `www/report.php`; `www/shot.php`
Supressió: informes anònims al cap de 30 dies, de clients potencials al cap de 90 dies, comprovacions dels Clients al cap de 13 mesos (es conserva l'última de cada domini mentre existeix el domini), dades d'un domini suprimit immediatament (per a les excepcions, vegi la secció 6.11), i en cada cas les imatges juntament amb aquestes dades	Limitació del termini de conservació	`cfg/check_lib.php`; `cfg/fristen_lib.php`
Estudi: publicació només com a total, segments només a partir de 20 llocs web amb formulari i dades brutes suprimides en publicar-lo	R4 parcialment, P3	`cfg/studie_lib.php`
Contenidors de comprovació: xarxa aïllada pròpia, sense privilegis especials, de només lectura, amb límits de memòria i processos i límit de temps; filtre contra destinacions privades per a cada sol·licitud, service workers bloquejats i connexions WebSocket tancades perquè res no eludeixi el filtre; sol·licituds del servidor web només en ports web i només a l'adreça pública exacta comprovada prèviament	R13	`scanner/src/worker.js`; `scanner/src/net.js`
Comprovació activa per als Clients només per a un domini verificat (internament també per als nostres propis dominis de prova i demostració) i amb l'aturada d'emergència activada, comprovada dues vegades; com a màxim cinc enviaments; només formularis de contacte clarament reconeguts sense dades personals obligatòries; cap domini d'autoritats públiques, centres educatius, clíniques, consultes mèdiques, policia o tribunals; el model de llenguatge no pot autoritzar res; missatge de prova sense dades personals, identificat i amb una referència a la pàgina del rastrejador i a l'exclusió voluntària	R9	`scanner/src/worker.js`; `scanner/src/classify.js`; `scanner/src/active.js`
Recorreguts amb navegador: només GET i HEAD, adreces perilloses bloquejades, els valors inventats no surten del navegador i les imatges tenen els camps d'entrada tapats en negre	R3 (per a aquestes imatges), R9	`scanner/src/browser.js`
Comprovació de fitxers: només dominis verificats, una recuperació per ruta, com a màxim 8 KB i contingut mai no emmagatzemat	R9	`cfg/dateien_lib.php`
Segon punt de prova: desactivat per defecte; només rebria una llista fixa d'elements innocus, amb transmissió signada	Destinataris	`cfg/formular_probe_lib.php`
Escaneig que requereix iniciar sessió: només un domini verificat, pla de pagament, Propietari o Administrador i confirmació de «compte de prova»; xifratge amb la clau pública del servidor d'escaneig, vinculat al domini; credencials mai no mostrades, registrades ni emeses a través de l'API; transmissió només a través de l'entrada estàndard; camp de la tasca buidat immediatament i restes al cap d'una hora; sense captures de pantalla, enviaments ni adreces de tancament de sessió o supressió, amb interrupció en cas de CAPTCHA; supressió definitiva amb sobreescriptura	R8	`cfg/login_lib.php`; `scanner/src/login.js`; `scanner/src/geheim.js`; `scanner/src/worker.js`
Comprovació del lliurament: desactivada per defecte; la recuperació només llegeix capçaleres i 8 KB, sense marca de lectura; el contingut i l'adreça del visitant mai no figuren a la base de dades; se suprimeixen tots els correus electrònics recuperats, inclosos els no assignables; les assignacions se suprimeixen al cap de 180 dies; la prova només es fa mitjançant la còpia d'aquesta prova exacta	R1, R2	`cfg/zustellung_lib.php`
Protecció col·lectiva: només dominis, xarxes IP desactivades; nombres mínims; excepcions per als grans serveis i els dominis dels Clients; quarantena en lloc de supressió; llista reconstruïda diàriament; comunicacions suprimides al cap de 30 dies	R11	`cfg/swarm_lib.php`
Model de llenguatge al nostre propi servidor, sense dret a enviar	R10	`scanner/src/classify.js`
Pla d'acció: generació local a partir de resultats de comprovació seleccionats, sense captures de pantalla ni valors introduïts als camps en la instrucció al model; nombre de resultats de comprovació i longitud de notes limitats; text pla depurat amb longitud limitada; avís d'IA visible, resultats individuals de comprovació com a referència; cap canvi automàtic del lloc web ni decisió sobre puntuació o valoració	R10 parcialment; continuen sent possibles els consells incorrectes i les dades personals incidentals	`cfg/plan_lib.php`; `www/report.php`
Els avisos a través de Telegram només contenen una frase fixa sense variables	Destinataris	`cfg/check_lib.php`
Prova de restauració setmanal de la còpia de seguretat, amb alerta en cas de fallada	Disponibilitat	`cfg/backup_lib.php`; `srv/cron_status.php`

9.2 Parcials: existents, però encara sense assolir la seva finalitat

Mesura	Per què encara no és plenament efectiva
Captures de pantalla «depurades»	Només es tapa contingut en negre a les imatges dels recorreguts amb navegador. No es fa a les imatges del rastrejador —pàgina d'inici i elements dels formularis— ni a la imatge de la pàgina de resposta d'una comprovació activa (R3).
Terminis per a les dades de comprovació	Efectius per a les comprovacions anònimes, de clients potencials i dels Clients; no per a les comprovacions internes ni els estudis no publicats; notes d'anomalies no resoltes sense límit temporal (R4).
Supressió de les còpies de control	Efectiva des de la nostra visió de la bústia. Si l'execució s'interromp, els correus electrònics es conserven; no s'ha verificat què conserva el prestador de la bústia a les seves pròpies còpies de seguretat (R2).
Protecció de les credencials en l'escaneig que requereix iniciar sessió	Forta en repòs i al servei de comprovació; no durant la transmissió al lloc web: es permet `http` i s'ignoren els errors de certificat (R8).
Prova de control	Es comprova una vegada i després és vàlida per sempre; tanmateix, el nom d'amfitrió d'un domini amb prova de control no es pot modificar, de manera que la prova no passa a un altre amfitrió (R7).
Informació a les persones interessades	Disponible per als operadors a través de la pàgina del rastrejador, l'identificador, la Política de privacitat i l'exclusió voluntària; per als visitants de la comprovació del lliurament, depèn que el Client adopti el bloc de text; l'aplicació no ho comprova.
Petició als Clients de no incloure categories especials a la còpia de control	Indicada als documents legals, però sense suport tècnic: durant la configuració, l'aplicació no pregunta pel tipus de lloc web ni avisa sobre dominis que semblen de salut, dret o educació (R1).

9.3 Previstes: no implementades

Mesura	Aborda	Prioritat
Via de supressió per a les comprovacions internes: suprimir les comprovacions sense domini ni informe després d'un termini fix (proposta: 30 dies); suprimir les dades brutes d'un estudi com a màxim després d'un termini fix des de la seva finalització, també sense publicació (proposta: 90 dies); suprimir una vegada les 85 comprovacions existents amb 369 imatges	R4	Primer
Habilitar la comprovació del lliurament només quan s'hagi subscrit el contracte amb el prestador de la bústia, s'hagin documentat les ubicacions d'emmagatzematge, els subencarregats del tractament i els terminis de les còpies de seguretat, s'hagi aclarit el mecanisme de transferència del prestador de la bústia i els registres MX del nostre domini apuntin directament a la bústia; fins aleshores, mantenir la funció bloquejada al sistema de producció	R2	Primer
Comprovar la seguretat de la recuperació del correu de la bústia al sistema de producció i documentar-la abans d'habilitar la comprovació del lliurament	R2	Primer
Escaneig que requereix iniciar sessió només a través d'`https` i amb certificat vàlid; rebutjar les adreces `http`; errors de certificat a l'inici de sessió com a motiu d'interrupció	R8	Primer
No emmagatzemar els valors dels camps ocults de l'àrea que requereix iniciar sessió (només nom, tipus i longitud): ja està implementat així, sense cap pas addicional	R8	Fet
Limitar la còpia de control als missatges de prova quan s'utilitza el connector o l'extensió: còpia oculta només per als enviaments amb el nostre identificador de prova	R1	Alta
No emmagatzemar el domini emissor dels missatges autèntics ni escriure'l als avisos si no és ni el domini del lloc web ni el d'un servei emissor conegut; a l'avís, indicar en lloc seu «domini emissor extern»	R1	Alta
Advertiment en configurar la comprovació del lliurament per a dominis que semblen de salut, dret, serveis socials o educació, amb una referència a l'AIPD pròpia del Client	R1	Alta
Renovar periòdicament la prova de control (proposta: abans de cada comprovació activa, verificar si el registre DNS, la metaetiqueta, el fitxer o la connexió del connector encara existeixen; altrament, continuar de manera passiva i notificar-ho al Client)	R7	Alta
Deixar de fotografiar la pàgina d'inici o fer-ho només amb les imatges i les cares tapades en negre; limitar les imatges dels formularis a l'element del formulari (com ara) i emmascarar els camps d'entrada com en els recorreguts amb navegador	R3	Alta
Avís a la interfície de la comprovació de clients potencials: enviar el resultat breu sense que s'hagi sol·licitat per correu electrònic o per telèfon constitueix màrqueting directe també entre empreses i exigeix consentiment previ (art. 398 de la Llei polonesa de comunicacions electròniques; a Alemanya, § 7(2) UWG, tot i que per a les trucades a empreses n'hi ha prou amb el consentiment presumpte)	R6	Alta
Infraestructura: completar l'enduriment de la seguretat de l'administració dels servidors; còpia de seguretat xifrada en una segona ubicació; xifrar les connexions de la xarxa interna en tot el recorregut; continuar reforçant la separació entre el servidor d'escaneig i l'aplicació	R13	Alta
Termini per a les notes d'anomalies no resoltes (proposta: resolució en 30 dies; altrament, supressió de l'adreça IP)	R4	Mitjana
Una pàgina o un formulari a través dels quals es pugui sol·licitar la retirada d'un domini de la protecció col·lectiva	R11, R14	Mitjana
Abans d'activar les xarxes IP a la protecció col·lectiva: una nova versió d'aquesta avaluació	R11	Condició
Documentar si el programari del model de llenguatge emmagatzema les sol·licituds i, si ho fa, desactivar aquests registres	R10	Baixa

9.4 Procediments i decisions encara pendents de determinar

A més de les mesures tècniques de protecció, l'art. 35(7)(d) també exigeix procediments. Encara estan pendents els següents:

Violació de la seguretat de les dades personals. Detecció: el propietari, l'alerta d'errors de l'aplicació, comunicacions a través del punt de comunicació de vulnerabilitats o de contact@lukaswojcik.com. Decisió sobre la notificació a UODO en 72 hores (art. 33(1)): el propietari. Informació als Clients afectats com a responsables del tractament: sense dilació indeguda, si és possible en 48 hores, tal com es promet a l'Acord d'encàrrec del tractament. Cal determinar: una descripció escrita del procediment i un primer simulacre; per a la comprovació del lliurament, a més, com establir quins Clients es veuen afectats per una violació de seguretat al prestador de la bústia.
Sectors. Cal determinar: si la comprovació del lliurament s'ofereix, s'ofereix amb un advertiment o s'exclou per als llocs web de salut, dret, serveis socials i educació.
Comprovacions internes. Cal determinar: per a què utilitza el prestador les comprovacions internes des de la línia d'ordres, qui les pot crear i durant quant de temps es conserven els resultats; i si, més enllà del Registre d'activitats de tractament, cal esmentar-les a la Política de privacitat.
Estudis. Cal determinar: qui elabora les llistes, de quines fonts, amb quina mida màxima i una comprovació abans de cada estudi de si compleix els supòsits d'aquesta avaluació.
Opinions de les persones interessades (art. 35(9)). No s'han recollit per a aquesta versió. L'art. 35(9) només exigeix recollir-les «quan escaigui»; segons la nostra valoració, actualment no és el cas aquí. Els operadors dels llocs web comprovats i els visitants dels llocs web dels Clients no tenen cap canal propi amb nosaltres; adreçar-nos-hi específicament constituiria en si mateix un nou tractament de les seves dades, i el servei encara no s'ha llançat, de manera que encara no hi ha cap grup de persones interessades reals. Els seus interessos es tenen en compte indirectament: mitjançant robots.txt i l'exclusió voluntària, els terminis curts i el fet que no s'emmagatzemi el contingut de les còpies de control. En cada revisió de la secció 12 reconsiderem si és adequat recollir-ne les opinions, per exemple mitjançant comentaris a la pàgina del rastrejador o dels Clients de la comprovació del lliurament.

10. Risc residual i consulta prèvia d'acord amb l'art. 36

L'art. 36(1) exigeix consultar prèviament l'autoritat de control quan l'AIPD indiqui que el tractament comportaria un risc alt en absència de mesures adoptades pel responsable del tractament per mitigar-lo. Per tant, la qüestió no és si s'han identificat riscos alts —se n'han identificat quatre—, sinó si continua havent-hi un risc alt un cop les mesures estan implementades.

Per a les operacions de tractament de les quals formexposed és responsable del tractament (P1 a P4, P7), els riscos alts R4 i R13 es poden corregir amb mitjans ordinaris: una via de supressió i una neteja de les dades existents, una còpia de seguretat xifrada fora de la ubicació i l'enduriment de la seguretat de dos servidors. Amb les mesures de 9.3, baixen a un nivell de baix a mitjà. R3, R5, R6 i R7 són de nivell mitjà i baixen a baix amb les mesures proposades. El risc de la protecció col·lectiva sense xarxes IP es manté de baix a mitjà. La consulta prèvia no està indicada per a aquesta part si les mesures marcades com a «primer» i d'«alta» prioritat s'implementen abans del llançament. Si alguna d'aquestes mesures no s'ha implementat abans del llançament, continua havent-hi un risc alt per a l'operació de tractament afectada. Aquesta operació de tractament només s'iniciarà aleshores un cop implementada la mesura, o bé es consultarà primer UODO d'acord amb l'art. 36(1).

Per a la comprovació del lliurament (P6), la situació és diferent per un motiu que cap mesura no elimina del tot: el que escriu un visitant depèn d'ell. Amb un contracte subscrit, una recuperació segura, la limitació als missatges de prova quan sigui possible i la renúncia al domini emissor, R2 baixa a un nivell baix i R1 a un nivell mitjà. Tanmateix, per als Clients els visitants dels quals proporcionen habitualment dades de l'art. 9, R1 pot continuar sent alt. Aleshores, l'obligació de consultar correspon al Client com a responsable del tractament, no a formexposed. La nostra recomanació a aquests Clients és no configurar la còpia de control per al formulari de contacte general, sinó només per a formularis sense contingut sensible, o prescindir de la comprovació del lliurament.

Risc residual, exposat amb honestedat. Actualment, amb les mesures de 9.1, quatre riscos són alts: R1 i R2 (comprovació del lliurament), R4 (dades de comprovació sense via de supressió) i R13 (infraestructura). Amb les mesures de 9.3, R2, R4 i R13 baixen a un nivell de baix a mitjà. R1 es manté en mitjà i depèn permanentment de les decisions dels Clients. Després de les mesures, cap dels altres riscos no supera el nivell mitjà.

L'art. 36 no és una sanció i consultar no és una admissió. És la via que preveu el Reglament per a la situació en què un procediment útil comporta un risc que el responsable del tractament no controla plenament. Un Client que vulgui utilitzar la comprovació del lliurament per a missatges que continguin dades de salut trobarà aquí els fets necessaris per prendre aquesta decisió.

11. Què necessiten els Clients per a la seva pròpia AIPD (art. 28(3)(f))

Per a la comprovació del lliurament i l'escaneig que requereix iniciar sessió, el Client és el responsable del tractament. Aquesta pàgina li proporciona la descripció (seccions 6.5 i 6.6), els riscos des de la nostra perspectiva (R1, R2, R8) i l'estat de les mesures (secció 9). Només el Client pot respondre les preguntes següents:

Què escriuen els meus visitants? Es pot esperar que arribin a través del formulari dades sobre salut, religió, origen, afiliació sindical, orientació sexual, infraccions penals o infants? En aquest cas, generalment cal una AIPD per a la còpia de control, i s'hauria de reconsiderar la còpia de control per a aquest formulari.
Necessito la còpia de control per a tots els missatges? Per acreditar que el nostre missatge de prova arriba, n'hi ha prou amb la còpia d'aquest missatge. Quan el formulari ho permeti, configuri la còpia oculta només per als missatges de prova.
Com informo els meus visitants? L'Acord d'encàrrec del tractament ho exigeix; el Text de política de privacitat per al seu lloc web descriu la ruta de la còpia i el nostre rol.
Quina base jurídica tinc? El nostre text suggerit esmenta l'art. 6(1)(f) (recepció fiable de consultes). Per a dades de l'art. 9, aquesta base per si sola no és suficient.
Quins canals d'avís escullo? Els avisos de la comprovació d'autenticitat poden esmentar el domini emissor. Qui envia avisos a serveis de xat fora de la UE el transfereix allà.
Per a l'escaneig que requereix iniciar sessió: el compte de prova és realment un compte de prova amb els mínims drets necessaris? Només es pot accedir a la pàgina d'inici de sessió a través d'https? El compte de prova veu dades d'altres usuaris? Si és així, a quines de les pàgines especificades?
Quan suprimeixo? La comprovació del lliurament i el compte de prova es poden desactivar i suprimir en qualsevol moment; aleshores, el compte de prova se sobreescriu de manera permanent.

Altres documents per a la valoració del Client: l'Acord d'encàrrec del tractament, les Mesures tècniques i organitzatives, la llista de Subencarregats del tractament i el Registre d'activitats de tractament. Responem preguntes sobre fets concrets a contact@lukaswojcik.com.

12. Revisió, versió i aprovació

L'art. 35(11) exigeix una revisió per avaluar si el tractament es duu a terme d'acord amb l'AIPD, almenys quan canvia el risc. Revisem aquesta avaluació com a mínim anualment i també abans de cadascun dels esdeveniments següents; cadascun implica un nou mesurament, no només una lectura:

llançament del funcionament en producció, amb xifres del sistema de producció en lloc del de desenvolupament;
primera activació de la comprovació del lliurament al sistema de producció i subscripció del contracte amb el prestador de la bústia;
activació de les xarxes IP a la protecció col·lectiva;
el primer estudi i cada estudi amb una llista més gran que l'anterior;
activació del segon punt de prova o d'un nou destinatari al recorregut de comprovació;
qualsevol ús nou del model de llenguatge que vagi més enllà dels usos coberts per aquesta avaluació; el pla d'acció prioritzat dels informes de pagament és un ús afegit i exigeix revisar l'avaluació;
qualsevol canvi en les captures de pantalla, els terminis o els requisits previs de les comprovacions actives.

Element	Contingut
Responsable del tractament	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland · NIP 7252266190 · contact@lukaswojcik.com
Autoritat de control competent	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Poland
Delegat de protecció de dades	No designat; valoració de l'art. 37 a la secció 4
Base dels fets	Codi font de l'aplicació i del servei de comprovació, esquema de la base de dades, recomptes de files i configuració del sistema de desenvolupament, mesurats l'11 d'octubre de 2026, només en mode de lectura
Documents relacionats	Política de privacitat, Acord d'encàrrec del tractament, Mesures tècniques i organitzatives, Subencarregats del tractament, Registre d'activitats de tractament, Reglament d'intel·ligència artificial de la UE, Ús acceptable i abusos, FormExposedBot, Exclusió voluntària
Versió	1.1 de 23 d'octubre de 2026; afegit de fets sobre l'etapa del pla d'acció local a la primera versió d'11 d'octubre de 2026
Revisions de l'art. 35(11)	23 d'octubre de 2026: revisió del codi font de l'etapa afegida del pla d'acció local. S'han afegit les entrades, l'emmagatzematge, els rols, la sortida orientativa i les mesures de protecció implementades a les seccions corresponents; no s'afirma que s'hagi completat un mesurament en producció ni que hi hagi una nova qualificació del risc residual. Els mesuraments anteriors de l'11 d'octubre de 2026 i l'estat d'aprovació següent no canvien. Les revisions posteriors s'hi anoten amb la data, el motiu i el resultat.
Aprovació	Encara no aprovada. Aprovació del propietari després de la revisió jurídica i després d'una decisió sobre les mesures de la secció 9.3 i les qüestions de la secció 9.4. Fins ara no s'ha sol·licitat assessorament extern en protecció de dades.

Una observació final correspon al document i no a una carta de presentació. Les parts de formexposed que més s'endinsen en dominis d'altres persones —els enviaments de prova i l'inici de sessió amb credencials d'altri— estan implementades amb la màxima cautela: dos controls d'accés, límits estrictes i xifratge que fins i tot ens impedeix l'accés a nosaltres. Els riscos d'aquesta avaluació es troben sobretot en altres punts: en allò que s'incorpora incidentalment, com ara missatges autèntics en una còpia oculta, persones en una captura de pantalla o comprovacions que ja ningú no suprimeix. És un punt de partida favorable, perquè el que és incidental es pot aturar sense canviar el servei.

Com el podem ajudar?