Registre d'activitats de tractament (art. 30 RGPD)

Aquest document es publica en diverses llengües. En cas de discrepància entre les versions lingüístiques, la versió polonesa és la vinculant.

Versió 1.2 · Última actualització: 29 d'octubre de 2026

1. Com llegir aquest registre

Aquest és el registre d'activitats de tractament en virtut de l'art. 30 RGPD de formexposed. No és una política de privacitat ni publicitat. La seva funció és mostrar a una autoritat de control, a un Client que ens audita com a encarregat del tractament o a la pròxima persona que hagi de respondre una pregunta què es tracta realment, on es conserva, qui ho rep i quant de temps es manté. El publiquem perquè un servei que comprova i supervisa formularis també hauria de poder ser comprovat.

La redacció es va regir per tres regles.

1. Allò mesurat, no allò previst. Una afirmació sobre camps de dades, terminis de conservació, destinataris o garanties només hi apareix quan el codi del programa, l'esquema de la base de dades o un mesurament la sustenta. El que està previst s'anomena «previst». El que està desactivat per defecte s'anomena «desactivat per defecte». Quan no podem demostrar alguna cosa, ho diem.
2. La conservació s'indica dues vegades. Una vegada per a cada activitat de tractament i una altra a la secció 6 com a visió global: quina execució nocturna suprimeix quines dades i a quines dades no arriba. Un registre que afirma un termini de conservació que només s'aplica a una part de les dades és pitjor que un que esmenta el punt pendent.
3. Els punts pendents s'indiquen al text, no en una nota al peu. La secció 8.1 enumera les mesures que encara no s'han implementat, i la secció 10, els punts pendents amb les mesures previstes. Un registre és una eina de treball, no un certificat.

Camps de dades en lloc de noms de taules. Per a cada activitat de tractament enumerem les dades emmagatzemades com a camps en llenguatge planer. El nom de la taula de la base de dades apareix després entre parèntesis perquè un auditor pugui trobar-ne el lloc, per exemple «intents d'inici de sessió (login_attempts)». Les llistes de camps s'han obtingut de l'esquema de la base de dades, no de memòria.

Terminis de conservació com a marcadors de posició. Quan es pot establir un termini de conservació a l'àrea d'administració, aquí apareix exactament tal com el llegeix l'execució nocturna: el nombre que veu prové de la mateixa configuració que regeix la supressió. Els terminis de conservació fixats al programa s'indiquen com a nombres.

Base del mesurament. L'esquema, el codi i la configuració es van mesurar l'11 d'octubre de 2026 al sistema de desenvolupament, que coincideix amb el sistema de producció pel que fa al codi i a l'esquema. No donem recomptes de files del sistema de desenvolupament; contenen dades de prova i no indiquen res sobre el funcionament en producció.

Omissions deliberades. Aquest registre no indica noms d'amfitrió, adreces de xarxa internes, ports, noms d'usuari ni versions del programari dels nostres servidors. Aquests detalls ajuden un atacant i no ajuden cap persona interessada. Pel mateix motiu, només descrivim els punts pendents de seguretat dels nostres propis servidors de manera general (secció 8.1): indiquem el risc, no la via per arribar-hi. Facilitem els detalls a una autoritat de control a petició.

Naturalesa jurídica. Aquest registre és la documentació que mantenim en virtut de l'art. 30 RGPD per a l'autoritat de control; es publica voluntàriament. No forma part de cap contracte ni constitueix cap declaració, garantia o acord sobre la qualitat davant dels Clients o de tercers. Les Condicions del servei, l'Acord d'encàrrec del tractament i els seus annexos regulen el que devem als Clients; pel que fa a aquestes obligacions, prevalen sobre aquest registre. El registre descriu la situació en la data d'aquesta versió. Qualificacions com ara «punt pendent» o «avaluació» reflecteixen la nostra pròpia visió i no anticipen cap valoració jurídica d'una autoritat de control o d'un tribunal; les mesures descrites com a «previstes» són intencions sense una data compromesa.

2. L'entitat jurídica i per què aquest registre té dues meitats

Camp	Dada
Entitat jurídica	LW IT Solutions Company Lukas Wójcik, empresa individual inscrita al registre empresarial polonès (CEIDG); propietari Lukas Wójcik
Adreça	al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland
Identificadors fiscals	NIP 7252266190, número d'IVA PL7252266190
Contacte	contact@lukaswojcik.com; la finestra de suport (signe d'interrogació a la navegació); la pàgina de contacte
Servei	formexposed: comprovació, supervisió i protecció de formularis de contacte en llocs web (aplicació a formexposed.com, pàgina de destinació a form.exposed)
Representant segons l'art. 27 RGPD	No és aplicable. L'entitat jurídica està establerta a la Unió (Polònia).
Delegat de protecció de dades	No designat. L'avaluació segons l'art. 37 es troba a la secció 9.
Autoritat de control competent	Prezes Urzędu Ochrony Danych Osobowych (UODO, l'autoritat polonesa de protecció de dades), ul. Moniuszki 1A, 00-014 Warszawa
Allotjament	Els nostres propis servidors a Polònia: un servidor web amb l'aplicació i la base de dades i un servidor d'escaneig amb un model de llenguatge local a la mateixa xarxa interna. Cap proveïdor extern de centre de dades o de núvol.

formexposed exerceix rols diferents davant de grups de persones diferents. Barrejar-los produeix un registre que no és correcte per a cap d'ells.

• Responsable del tractament (part B, art. 30(1)). Nosaltres mateixos som el responsable del tractament de les dades dels nostres propis Clients i dels membres dels seus equips (compte, inici de sessió, facturació, suport, registres), dels visitants del nostre propi lloc web, de les comprovacions sense compte (comprovació gratuïta, eina de capçaleres, estudi, comprovació de clients potencials) i de la prevenció d'abusos.
• Encarregat del tractament (part A, art. 30(2)). Per a les dades personals de tercers que un Client introdueix al servei o que es generen quan prestem un servei al Client, actuem per compte del Client: còpies de correus electrònics reals de formularis a la comprovació del lliurament, subscriptors del portal de clients del Client, destinataris de els avisos del Client, persones visibles incidentalment a les pàgines comprovades del Client, les credencials del compte de prova del Client i el codi de formulari que el Client hi enganxa. La base és l'Acord d'encàrrec del tractament, que es formalitza amb tots els Clients en registrar-se.
• Només en l’entorn del Client. Algunes funcions del connector de WordPress i de l'extensió de TYPO3 tracten dades exclusivament al lloc web del Client, sense que les dades ens arribin mai (quarantena, xarxa de seguretat, repte de càlcul, configuració de conservació, comptadors locals, enregistrador). No són un tractament per part nostra i, per tant, no apareixen en cap de les dues parts. Tot i així, les descrivim al final de la part A perquè el límit sigui visible.

La separació està integrada al codi, no només al text: d'un correu electrònic real d'un formulari, la comprovació del lliurament només escriu a la base de dades el moment, l'assignació i el resultat d'autenticació; les captures de pantalla de les comprovacions al navegador emmascaren els camps d'entrada; les credencials dels comptes de prova estan xifrades de manera que el servidor web ja no les pot llegir. Els detalls s'indiquen a les entrades.

Les seccions 6 a 11 s'apliquen a totes dues meitats: conservació, decisions automatitzades, mesures tècniques i organitzatives, delegat de protecció de dades, punts pendents i manteniment d'aquest registre.

Àmbit d'aplicació. Aquest document és la part del registre relativa al servei formexposed. El tractament que fa la mateixa entitat jurídica per a altres serveis es documenta als seus propis registres; la comptabilitat general i l'administració empresarial fora del servei no estan cobertes per aquesta part.

3. Part A – Art. 30(2): tractament per compte dels Clients

A.0 Parts implicades

Camp	Dada
Encarregat del tractament	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland; contact@lukaswojcik.com
Responsables del tractament	Els Clients de formexposed: empreses i agències que tenen dominis al seu compte i utilitzen funcions en què es generen dades de tercers. En el cas de les agències, el client propi de l'agència també pot ser el responsable del tractament; aleshores, l'agència actua com a encarregada del tractament davant d'aquest client i nosaltres actuem com a subencarregat del tractament.
Llista de responsables del tractament	Forma part d'aquest registre, es manté en format electrònic (art. 30(3) RGPD) al sistema del servei i no es reprodueix en aquesta versió pública perquè conté dades personals dels Clients i quedaria desactualitzada amb cada Client nou: el propietari de cada espai de treball amb el nom, l'adreça de correu electrònic i l'empresa del compte de client (adreça i número d'IVA només a Stripe) (users, workspaces, workspace_users), més els dominis de l'espai de treball (domains). La facilitem a una autoritat de control com a extracte a petició.
Representants i delegats de protecció de dades dels responsables del tractament	No hi ha cap camp específic per a això al sistema. Si un Client ha designat un representant segons l'art. 27 RGPD o un delegat de protecció de dades, ens els pot comunicar; conservem la comunicació juntament amb la llista de responsables del tractament.
Representant de l'encarregat del tractament	No és aplicable (establert a Polònia).
Delegat de protecció de dades	No designat (secció 9).
Instruccions	La instrucció es desprèn de l'Acord d'encàrrec del tractament i de la configuració que estableix el Client: el Client activa la comprovació del lliurament, configura destinacions d'avís, emmagatzema un compte de prova i configura un portal de clients. Sense aquesta acció, no es fa el tractament corresponent.
Mesures tècniques i organitzatives	La secció 8 i la pàgina Mesures tècniques i organitzatives s'apliquen a totes les activitats de tractament de la part A. Les mesures especials s'indiquen a l'entrada corresponent.

A.1 Comprovació del lliurament – còpia de control dels correus electrònics de formularis

Camp	Dada
Finalitat	Comprovar si el correu electrònic del formulari de contacte del Client s'envia realment i com s'autentica (SPF, DKIM, DMARC, alineament). Després d'un enviament de prova actiu acceptat, la còpia corresponent ha d'arribar a la bústia de control dins d'un temps d'espera ajustable (actualment 3 hores); en cas contrari, es genera l'avís «Correu de prova no rebut». Les capçaleres també s'utilitzen per deduir l'autenticitat del correu electrònic del formulari, el servei de correu utilitzat i l'adreça remitent per a la comprovació de llistes de bloqueig.
Requisit previ	Pla de pagament, domini verificat, activació pel Client. El Client introdueix la seva pròpia adreça de control amb un identificador (de la forma «delivery+identifier@…») com a còpia oculta a la notificació del seu formulari. Sense una bústia de control configurada, la funció no està disponible.
Categories de persones interessades	Visitants del lloc web del Client que envien el formulari del Client; persones les dades de les quals un visitant escriu al missatge; personal del Client que apareix com a destinatari a les capçaleres.
Categories de dades personals	A la bústia de control (al proveïdor de serveis de correu): la còpia completa de cada correu electrònic de formulari, incloses les consultes reals amb nom, adreça de correu electrònic, número de telèfon i text lliure, fins a la supressió. Llegit durant la recuperació: les capçaleres i com a màxim els primers 8 KB del cos. A la base de dades: moment de recepció, assignació al domini i, si escau, a l'execució de prova (delivery_log); l'últim resultat d'autenticació per domini amb el resultat de SPF, DKIM i DMARC, l'alineament, el domini del remitent, els dominis de signatura i l'adreça del servidor de correu remitent (camp d'autenticació del domini a domains). El contingut, l'assumpte i l'adreça del remitent visitant no s'escriuen a la base de dades.
Nota sobre el domini del remitent	Si un formulari introdueix l'adreça del visitant com a remitent (una configuració incorrecta que la comprovació està dissenyada per detectar), el resultat d'autenticació conté el domini d'aquesta adreça, no l'adreça mateixa. Quan un visitant utilitza un domini personal, això també pot ser una dada personal. Se sobreescriu en la pròxima recepció.
Origen	El formulari del lloc web del Client, mitjançant la còpia oculta introduïda pel Client.
Base jurídica (determinada pel responsable del tractament)	La determina el Client. El nostre text suggerit per a la política de privacitat del Client basa la còpia en l'art. 6(1)(f) RGPD (interès legítim a rebre consultes de manera fiable). El Client informa els seus visitants d'aquest flux de dades; l'Acord d'encàrrec del tractament l'obliga a fer-ho.
Destinataris	El proveïdor de serveis de correu que fa funcionar la bústia de control (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). La còpia hi va directament: només arriba si els registres MX del nostre domini apunten a aquesta bústia (la llista de comprovació prèvia al llançament ho verifica); no arriba a la bústia mitjançant un reenviament. A la pàgina del domini, el Client només veu el moment, l'assignació i el resultat d'autenticació. Si el resultat d'autenticació empitjora, l'avís al Client i als canals que ha triat esmenta el domini del remitent si no pertany al lloc web (A.3, 4.1).
Tercer país	Depèn del proveïdor de serveis de correu; vegi la secció 4. El contracte amb el proveïdor previst i la base de la transferència encara no estan documentats.
Conservació	Després d'un tractament correcte, el correu electrònic es marca per a la supressió i s'elimina de la bústia en la mateixa execució, encara que no es pugui assignar a cap domini. La recuperació s'executa amb el procés d'estat cada cinc minuts mentre la supervisió està activada a l'àrea d'administració (srv/cron_status.php, cfg/zustellung_lib.php). Si la recuperació o la supressió falla, el correu electrònic roman a la bústia fins a la pròxima execució correcta. La mateixa recuperació suprimeix les assignacions a delivery_log al cap de 180 dies. El resultat d'autenticació es conserva mentre existeix el domini.
Què demostra la prova	Només la recepció, a la bústia de control, de la còpia assignada a l'execució de prova concreta. No demostra la recepció pel destinatari real ni una entrada al CRM. No s'ofereix confirmació nativa de HubSpot.
Mesures tècniques i organitzatives	Secció 8. Especialment: el contingut només s'avalua en memòria; no s'emmagatzemen el cos, l'assumpte ni les adreces completes dels remitents; la supressió es fa independentment de si l'assignació ha estat correcta.

La comprovació del lliurament és l'única funció per la qual ens arriben missatges reals dels visitants dels nostres Clients. Per això és un tractament per compte del Client i no un servei sota la nostra pròpia responsabilitat, i per això el temps de permanència a la bústia és la mesura real del risc: normalment minuts; si la recuperació pateix una interrupció, fins que torna a executar-se. Les còpies no haurien de contenir categories especials de dades personals; no ho podem impedir tècnicament perquè el visitant decideix què escriu.

A.2 Portal de clients i informe mensual als subscriptors

Camp	Contingut
Finalitat	Una agència (pla Business) mostra als seus clients l'estat dels seus dominis sota la seva pròpia marca (un portal en una adreça aleatòria, opcionalment amb contrasenya i opcionalment sota un subdomini propi de l'agència). El client hi pot sol·licitar un informe mensual per correu electrònic. L'informe s'envia en nom de l'agència.
Categories de persones interessades	Els clients de l'agència i els membres del seu personal que sol·liciten l'informe; les persones que obren el portal.
Categories de dades personals	Subscriptor: adreça de correu electrònic, idioma, identificador de confirmació, moment de la sol·licitud i adreça IP en el moment de la sol·licitud, moment de la confirmació (doble confirmació de la subscripció), moment de la baixa i últim mes enviat (client_subscribers). Portal: nom, selecció de dominis, identificador aleatori, contrasenya només en forma de hash, persona que l'ha creat, moment i revocació (client_portals). Les visites al portal apareixen al registre de visualitzacions de pàgina (B.2).
Origen	Els mateixos subscriptors introdueixen les dades al portal.
Base jurídica (determinada pel responsable del tractament)	El consentiment del subscriptor, obtingut mitjançant un procediment de doble confirmació de la subscripció; el responsable del tractament és l'agència. No escrivim a ningú que no s'hagi inscrit i hagi confirmat personalment la seva inscripció.
Destinataris	L'agència (pot veure els seus subscriptors); el prestador del servei de correu (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) per al correu de confirmació i l'informe.
País tercer	A través del prestador del servei de correu; vegi la secció 4.
Conservació	Execució nocturna de supressió (cfg/fristen_lib.php, apartat «subscriptors del portal»): les sol·licituds que mai no s'han confirmat se suprimeixen al cap de 30 dies; els subscriptors que s'han donat de baixa, tres anys després de la baixa, com a prova del consentiment anterior. Els subscriptors confirmats que no s'han donat de baixa es conserven mentre existeixi l'espai de treball de l'agència. Un portal revocat només es bloqueja, no se suprimeix; els seus subscriptors deixen de rebre informes, però les seves dades es conserven (secció 10). Els portals i els subscriptors se suprimeixen immediatament juntament amb l'espai de treball (fe_arbeitsbereich_daten_loeschen()). Els informes enviats es conserven a la safata de sortida durant 30 dies (B.25).
Mesures tècniques i organitzatives	Secció 8. En particular: la contrasenya del portal només es conserva en forma de hash; els intents d'endevinar-la estan limitats (deu per portal i adreça IP, 50 per portal en 15 minuts); tots els correus electrònics inclouen una opció per donar-se de baixa amb un sol clic; el portal només mostra l'estat i les xifres clau, sense resultats individuals de comprovació amb proves.

A.3 Destinataris de els avisos, persones que en confirmen la recepció i persones assignades del Client

Camp	Contingut
Finalitat	Notificacions d'avaries i canvis a les destinacions que el Client configura per a un domini: correu electrònic, webhook, Slack, Discord, Microsoft Teams, Google Chat i Telegram. Segons la destinació, s'envien immediatament o agrupades diàriament o setmanalment; també hi ha destinacions exclusives per a les escalades. Cada notificació d'un problema es converteix en una incidència, la recepció del qual el destinatari pot confirmar mitjançant un enllaç. Per als formularis supervisats, el Client pot especificar una persona responsable i una data de venciment.
Categories de persones interessades	Els membres del personal i els prestadors de serveis del Client que aquest introdueix com a destinacions d'avisos o designa com a persones assignades; les persones que confirmen la recepció d'una incidència. Els membres de l'equip amb un compte propi també figuren a la part B.
Categories de dades personals	Destinació d'avís: canal, adreça de destinació (adreça de correu electrònic, adreça de webhook o de xat, identificador del xat de Telegram), esdeveniments seleccionats, mode de lliurament, secret de signatura per als webhooks, últim lliurament i últim error (alerts). Registre de lliuraments: destinació, esdeveniments, estat, error i moment (alert_log). Cua de resums: línies de notificació i enllaç fins al lliurament (alert_queue). Incidència: títol, línies de notificació, enllaç, identificador de confirmació de recepció, moment i nom o adreça de correu electrònic de la persona que confirma la recepció, tal com els introdueix al formulari; si no els hi introdueix, l'adreça del membre que ha iniciat la sessió (alert_incidents). Intents de lliurament d'escalades per incidència i destinació: nombre d'intents (com a màxim cinc), moments de l'últim intent, del següent intent i del lliurament satisfactori, referència al correu electrònic de la safata de sortida i error (taula alert_escalation_deliveries). Assignació: compte de la persona responsable i data de venciment (a monitored_forms).
Contingut de les notificacions	Domini, esdeveniment, una explicació breu i un enllaç a la pàgina del domini. No inclouen el contingut dels missatges dels visitants.
Origen	El Client introdueix les dades; la persona que confirma la recepció introdueix personalment el seu nom; l'identificador del xat de Telegram es crea quan el destinatari prem «Start» al bot (B.32).
Base jurídica (determinada pel responsable del tractament)	La determina el Client; generalment, l'organització de les pròpies operacions del Client (art. 6(1)(b) o (f) del RGPD en relació amb els membres del personal i els prestadors de serveis del Client).
Destinataris	Els operadors dels canals escollits; vegi 4.1. Els avisos per correu electrònic s'envien a través del prestador del servei de correu (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
País tercer	Depèn del canal escollit; diversos prestadors tenen la seu als EUA, i Telegram, fora de la UE sense una decisió d'adequació. Vegi 4.1.
Conservació	El registre de lliuraments se suprimeix al cap de 90 dies (cada nit, fe_alert_log_aufraeumen() des de srv/cron_status.php). Les notificacions de resum se suprimeixen 30 dies després del lliurament (cfg/kanal_lib.php, en cada lliurament de resums). Les incidències es conserven mentre no estiguin resolts; els resolts se suprimeixen 180 dies després de la resolució (cfg/vorfall_lib.php, execució d'escalades), juntament amb els seus intents de lliurament d'escalades. Les destinacions d'avisos i les assignacions es conserven fins que el Client les suprimeix o se suprimeixen juntament amb el domini.
Mesures tècniques i organitzatives	Secció 8. En particular: els webhooks se signen amb un secret independent per a cada destinació; la recepció només es confirma després d'un clic (POST), de manera que les previsualitzacions d'enllaços dels programes de xat no activin res; durant una finestra de manteniment, els avisos només es registren, no s'envien.

A.4 Persones visibles incidentalment a les pàgines del Client comprovades i a les captures de pantalla

Camp	Contingut
Finalitat	La comprovació dels dominis del compte del Client (escaneig, supervisió i comprovació activa) llegeix les pàgines públiques del Client i fa captures de pantalla dels formularis. El contingut que mostra la mateixa pàgina pot afectar persones que no tenen cap relació amb la comprovació. Aquestes dades s'obtenen incidentalment; no són la finalitat de la comprovació.
Categories de persones interessades	Les persones el nom, la fotografia o les dades de contacte de les quals apareixen a la pàgina comprovada (la persona de contacte al costat del formulari, fotografies de l'equip a la pàgina d'inici i dades del prestador).
Categories de dades personals	Captures de pantalla: la zona visible de la pàgina d'inici, cada formulari visible com a retall i la imatge de la pàgina posterior a l'enviament d'una prova activa; es desen com a fitxers fora del directori web, i a la base de dades només se'n desa la referència (scan_screenshots). Estructura del formulari: adreça de la pàgina, selector, noms dels camps, tipus de camp, etiquetes dels camps, indicadors d'obligatorietat i visibilitat i etiquetes dels botons d'enviament (forms, camp «mapa de camps»); no s'hi inclouen els valors dels camps. L'escàner només llegeix el començament dels camps ocults (fins a 24 caràcters) i dels atributs de dades (fins a 60 caràcters) durant la comprovació, per reconèixer marques de temps i testimonis; només se'n desa el resultat. Resultats de comprovació amb proves (findings) i resum amb els títols de les pàgines (scans). En les comprovacions de comptes de pagament que compleixen els requisits, un model local genera un pla d'acció prioritzat a partir de resultats de comprovació seleccionats i metadades de l'escaneig; el text, l'idioma, l'estat i la marca de temps del pla es desen al resum de l'escaneig. Si al formulari apareix una adreça de correu electrònic com a destinatària, només se'n desa el domini, mai l'adreça.
Origen	Les pàgines públiques del domini del Client, recuperades per l'escàner.
Base jurídica (determinada pel responsable del tractament)	La determina el Client per al contingut del seu propi lloc web. Per a nosaltres, el tractament forma part de la comprovació encarregada.
Destinataris	El Client; en el cas de les agències, el seu client a través del portal o d'un informe de marca pròpia; qualsevol persona que rebi un enllaç a un informe (els informes tenen adreces aleatòries i no apareixen als motors de cerca). Quan el tipus de formulari no és clar, un model de llenguatge local al nostre propi servidor rep l'estructura del formulari, amb el títol de la pàgina, l'adreça de la pàgina i el text visible del formulari (fins a 400 caràcters), per classificar-lo; no rep imatges. En les comprovacions de pagament que compleixen els requisits, el model local també rep el nom de l'amfitrió, el resultat global i la puntuació, el CMS, el tipus de formulari i l'adreça de pàgina pertinents, qualsevol connector identificat i resultats de comprovació seleccionats que hagin fallat o no siguin clars, per elaborar un pla d'acció. La sol·licitud es conserva temporalment a la cua interna de tasques i se suprimeix després de la recollida o mitjançant la neteja programada de les entrades de més d'una hora d'antiguitat.
País tercer	Cap.
Conservació	Els resultats de comprovació d'un domini es conserven durant un màxim de 13 mesos; es conserva l'última comprovació completada de cada domini (execució nocturna de supressió, apartat «resultats antics de comprovació»). Els formularis, els resultats de comprovació, les referències d'imatge i els fitxers d'imatge se suprimeixen juntament amb el resultat de la comprovació. Quan se suprimeix el domini, aquestes dades se suprimeixen immediatament (cadena de supressió a B.15; excepcions a la secció 6.4).
Límits de l'emmascarament	Les captures de pantalla de la comprovació completa no emmascaren res: mostren el que la pàgina mostra a qualsevol visitant. Els camps dels formularis estan buits quan es recupera la pàgina, perquè l'escàner no hi introdueix res; els valors emplenats prèviament serien visibles. No es fan captures de pantalla a les àrees que requereixen iniciar sessió (A.5). Les imatges de les comprovacions amb navegador emmascaren els camps d'entrada (A.6).
Mesures tècniques i organitzatives	Secció 8. En particular: només es pot accedir a les imatges a través de l'informe, i un identificador d'imatge d'una altra persona retorna «no s'ha trobat»; els informes incorporen noindex; cada comprovació s'executa en el seu propi contenidor aïllat.

Les mateixes dades s'obtenen en les comprovacions sense compte (comprovació gratuïta, estudi i comprovació de client potencial). En aquests casos no hi ha cap Client per compte del qual actuem; per tant, aquests casos figuren a la part B (B.5, B.7, B.8).

A.5 Credencials del compte de prova per a l'escaneig que requereix iniciar sessió

Camp	Contingut
Finalitat	Llegir formularis que només apareixen després d'iniciar sessió (àrea de clients, àrea de membres). L'escàner inicia sessió amb un compte de prova que el Client ha creat al seu propi lloc web i llegeix les pàgines especificades. A part del formulari d'inici de sessió, no envia res, no hi duu a terme cap prova activa, no fa captures de pantalla i no visita adreces de tancament de sessió, supressió o cancel·lació. Si el formulari d'inici de sessió té un CAPTCHA, s'atura; no s'eludeixen els CAPTCHA.
Condició prèvia	Un domini verificat, un pla de pagament, el rol de Propietari o Administrador i la confirmació expressa que es tracta d'un compte de prova. Com a màxim cinc pàgines, totes al mateix domini.
Categories de persones interessades	La persona a nom de la qual està el compte de prova (idealment, ningú; el Client hauria d'utilitzar un compte funcional); les persones les dades de les quals apareixen a les pàgines que requereixen iniciar sessió.
Categories de dades personals	Nom d'usuari i contrasenya del compte de prova, només xifrats; una pista del nom d'usuari (primer caràcter i longitud); adreça d'inici de sessió, llista de pàgines, noms dels camps d'inici de sessió, indicador d'èxit, persona que l'ha creat, moments i últim resultat com a codi breu (domain_logins). Per a una tasca en execució, una còpia del text xifrat (camp «paquet d'inici de sessió» a scan_jobs). De les pàgines que requereixen iniciar sessió: l'estructura del formulari com a A.4, sense captures de pantalla ni galetes.
Origen	El Client introdueix les dades al compte.
Base jurídica (determinada pel responsable del tractament)	La determina el Client. El Client garanteix que té dret a utilitzar el compte de prova.
Destinataris	Cap. Ni el Client, ni el servei d'assistència, ni la interfície de programació poden llegir les credencials emmagatzemades; la interfície només mostra la pista del nom d'usuari.
País tercer	Cap.
Protecció de les credencials	El nom d'usuari i la contrasenya es xifren immediatament en desar-los amb la clau pública del servidor d'escaneig (X25519, HKDF-SHA256, AES-256-GCM; el domini queda vinculat com a dades associades, de manera que un text xifrat no es pot associar a un domini diferent). Només el servidor d'escaneig té la clau privada. El servidor web, la base de dades i les còpies de seguretat només contenen text xifrat; nosaltres tampoc no el podem desxifrar en aquests entorns. El servidor d'escaneig només el desxifra per a l'execució, transmet les credencials al contenidor aïllat de comprovació únicament a través de l'entrada estàndard, suprimeix immediatament la còpia de la tasca i no les escriu en cap resultat, registre o text d'error. Durant la transmissió al lloc web del Client, només les protegeix el xifratge d'aquest lloc web; els límits d'aquesta transmissió s'exposen a la secció 10.
Conservació	Les credencials emmagatzemades es conserven fins que el Client les suprimeix. En suprimir-les, el text xifrat se sobreescriu amb dades aleatòries de la mateixa longitud i se suprimeix la fila; les tasques en espera es netegen (fe_login_loeschen()). Quan se suprimeix el domini, la fila se suprimeix mitjançant una clau forana. El servidor d'escaneig elimina les còpies de les tasques després de l'execució; qualsevol resta (tasca interrompuda o servidor d'escaneig fora de servei) és eliminada per l'execució d'estat al cap d'una hora com a màxim (fe_login_aufraeumen(), apartat «login_jobs»). Les còpies de seguretat de la base de dades contenen el text xifrat fins que la còpia de seguretat caduca al cap de 14 dies.
Mesures tècniques i organitzatives	Secció 8. En particular: xifratge asimètric amb claus separades; llista de bloqueig per a les rutes de tancament de sessió i supressió; cap captura de pantalla a les àrees que requereixen iniciar sessió; funció disponible només per als plans de pagament i els dominis verificats; cada canvi queda al registre d'activitat (sense credencials).

Deliberadament, no hem incorporat cap manera de desar credencials del servidor del Client, de l'àrea d'administració del CMS o de comptes d'allotjament. El compte de prova és un compte de visitant al lloc web del Client, no un accés al sistema del Client.

A.6 Recorreguts de formulari configurats, comprovacions amb navegador i prova independent

Camp	Contingut
Finalitat	Es recorre un formulari supervisat en un navegador real (Chromium, WebKit o tots dos) fins al punt immediatament anterior a l'enviament: es carrega la pàgina, es fan els clics previs (com a màxim cinc, mai en un camp d'entrada ni en un botó d'enviament), s'emplenen els camps amb valors clarament sintètics (com ara una adreça sota la terminació reservada .invalid) i s'avança pels formularis de diversos passos. La comprovació amb navegador no envia res; l'enviament està bloquejat tècnicament al navegador. A més, es mesuren els temps i es fan comparacions visuals del formulari.
Categories de persones interessades	Com a A.4 (persones visibles a la pàgina del formulari); els membres del personal del Client introduïts com a persones assignades (A.3).
Categories de dades personals	Configuració: adreça del formulari, selectors, adreça d'entrada, passos de clic, selecció de navegador, etiqueta, criticitat, assignació i data de venciment (monitored_forms). Resultats de cada execució: estat, motiu tècnic de la fallada, missatges d'error depurats, mesuraments de xarxa i de temps i una imatge del formulari en format JPEG de com a màxim 32 KB amb els camps d'entrada emmascarats (form_browser_runs). Observacions per comprovació (form_observations) i sèries temporals (form_performance). Tasques amb una llista de destinacions (camps «targets» i «result» a scan_jobs).
Accés de prova	Si el Client ha desat un compte de prova (A.5), la comprovació completa també l'utilitza per als recorreguts de formulari configurats. Segons el codi mesurat, les comprovacions amb navegador independents entre dues comprovacions completes funcionen sense compte de prova.
Prova independent	Es preveu un segon punt de comprovació en una ubicació diferent, que faria una comprovació creuada abans d'un avís. Rebria el domini, la configuració depurada i l'identificador de la tasca, sense entrades de visitants ni credencials. Actualment no està configurat (desactivat per defecte). Sense aquest punt de comprovació no hi ha evidències d'una segona ubicació; en aquest cas, un avís es basa en el nostre propi mesurament.
Origen	El Client en configura els paràmetres; els resultats provenen de la recuperació de la pàgina del Client.
Base jurídica (determinada pel responsable del tractament)	La determina el Client per al contingut del seu lloc web i per a les responsabilitats del seu personal.
Destinataris	El Client; si es configura un punt de prova independent, el seu operador (actualment, ningú).
País tercer	Cap.
Conservació	Els resultats de les execucions amb navegador, les tasques de navegador completades i les sèries temporals se suprimeixen al cap de 13 mesos (execució nocturna de supressió, apartats «browser_runs», «browser_jobs» i «form_performance»). Les configuracions es conserven fins que se suprimeix el domini (individualment es poden modificar o desactivar, però no suprimir); quan se suprimeix el domini, se suprimeixen juntament amb les execucions, les observacions i les sèries temporals mitjançant claus foranes.
Què demostra el mesurament	Els temps i els estats del nostre navegador de comprovació. No mesuren l'experiència dels visitants reals ni demostren les taxes de finalització o les consultes perdudes.
Mesures tècniques i organitzatives	Secció 8. En particular: l'enviament s'impedeix tècnicament; només s'utilitzen adreces del mateix domini; les imatges estan emmascarades; el contenidor de comprovació està aïllat.

A.7 «Fix it for me»: codi de formulari enganxat

Camp	Contingut
Finalitat	El Client enganxa el codi del seu formulari; un model de llenguatge al nostre propi maquinari hi incorpora el mòdul de protecció. Es retornen el fitxer modificat, un pedaç, el resultat d'una comprovació de sintaxi i una indicació de si realment s'ha incorporat la crida de comprovació. Si no s'enganxa codi, el servei proporciona un mòdul ja preparat amb els noms dels camps de l'últim escaneig.
Categories de persones interessades	Les persones les dades de les quals es troben incidentalment al codi enganxat (com ara una adreça destinatària, noms als comentaris o credencials d'un servidor de correu).
Categories de dades personals	El codi enganxat, amb un màxim de 30.000 caràcters. A la base de dades només hi ha una entrada al registre d'activitat (acció «fix_ai» amb l'espai de treball i el moment), que compta per al límit diari actual de deu crides per espai de treball.
Origen	El Client enganxa el codi.
Base jurídica	L'execució del contracte amb el Client (art. 6(1)(b) del RGPD) per al codi mateix; per a les dades de tercers que hi apareguin incidentalment, el Client determina la base jurídica.
Destinataris	Cap. El model de llenguatge s'executa al nostre propi servidor d'escaneig a la xarxa interna; no s'utilitza cap servei extern d'IA, ni tan sols com a alternativa en cas de fallada.
País tercer	Cap.
Conservació	El codi no s'emmagatzema. Es crea un fitxer temporal per a la comprovació de sintaxi i se suprimeix immediatament després. L'entrada del registre d'activitat se suprimeix al cap de 365 dies.
Nota per al Client	El codi que contingui contrasenyes, claus API o dades personals s'hauria de netejar abans d'enganxar-lo. No en comprovem el contingut.
Mesures tècniques i organitzatives	Secció 8. En particular: només hi poden accedir els Propietaris i els Administradors de plans de pagament; el codi enganxat es transmet al model identificat com a dades i mai no s'executa; no es carrega a servidors de tercers.

A.8 Marca pròpia i persones de contacte de l'agència

Camp	Contingut
Finalitat	Els informes, els informes breus, els registres de proves i el portal de clients d'una agència (pla Business) es mostren sota la seva marca i, si ho sol·licita, sota un subdomini propi de l'agència.
Categories de persones interessades	Les persones de contacte de l'agència el nom o les dades de contacte de les quals apareixen a la línia de contacte.
Categories de dades personals	Nom de l'empresa, lloc web, línia de contacte, nota per al client, color d'accent, aparença, fitxer del logotip, commutador de la referència a formexposed i domini propi amb l'identificador i l'estat de verificació (workspace_branding).
Origen	L'agència introdueix les dades.
Base jurídica	L'execució del contracte amb l'agència (art. 6(1)(b) del RGPD). Si la línia de contacte esmenta membres del personal de l'agència, l'agència determina la base jurídica.
Destinataris	Qualsevol persona a qui l'agència faciliti un informe, un informe breu o un enllaç al portal.
País tercer	Cap.
Conservació	Fins que l'agència modifica les dades; la marca i el fitxer del logotip se suprimeixen juntament amb l'espai de treball (fe_arbeitsbereich_daten_loeschen()). Un domini propi la verificació DNS del qual falla durant set dies es desactiva. El domini propi està desactivat per defecte.
Mesures tècniques i organitzatives	Secció 8.

A.9 Recomptes, indicadors d'estat i errors de camps del connector i de l'extensió

Camp	Contingut
Finalitat	Un cop al dia, el connector de WordPress i l'extensió de TYPO3 comuniquen xifres sobre els formularis del lloc web connectat: enviaments bloquejats per motiu, enviaments, correus electrònics enviats i fallits, indicadors d'estat de la configuració dels formularis i consultes emmagatzemades per origen i termini de conservació. Opcionalment, amb l'opció desactivada per defecte: esdeveniments dels formularis i categories d'errors dels camps per posició del camp. Aquestes xifres serveixen per elaborar «Protecció en xifres», l'informe mensual, l'avís de silenci i els avisos de configuracions de risc.
Classificació	Les xifres estan concebudes per no descriure cap persona. Les incloem a la part A perquè provenen d'esdeveniments al lloc web del Client activats pels seus visitants; al nostre entendre, només serien dades personals, com a màxim, en casos límit (un lloc web amb molt pocs enviaments en un dia determinat). La transmissió mateixa (claus, versions i amfitrió) figura a la part B (B.20).
Categories de persones interessades	Els visitants del lloc web del Client que envien un formulari.
Categories de dades personals	Xifres diàries per amfitrió: bloquejos totals i per motiu, enviaments, correus electrònics enviats i fallits, categoria d'error de l'enviament de correu electrònic (només una de quatre categories, mai el text de l'error, perquè pot contenir adreces destinatàries), recomptes de respostes de reCAPTCHA i consultes suprimides i alliberades (plugin_stats). Estat: versions d'una llista fixa de connectors de formularis, CAPTCHA i correu, indicadors de configuració en forma de nombres i terminis de conservació (plugin_health). Notificacions de canvis: nom i versió d'un connector actualitzat (plugin_changes). Opcionalment: comptadors per formulari i dia amb categories d'error per posició del camp (form_metrics). Mai: entrades, noms dels camps, contrasenyes, fitxers, adreces de correu electrònic, noms, adreces IP ni identificadors persistents dels visitants.
Origen	El connector del lloc web del Client, a través d'una interfície de programació que utilitza el secret de connexió del lloc web.
Base jurídica (determinada pel responsable del tractament)	La determina el Client; el Client decideix si activa els recomptes opcionals i com informa els seus visitants.
Destinataris	El Client. Els dominis dels enllaços dels missatges bloquejats s'incorporen a la protecció col·lectiva (B.21).
País tercer	Cap.
Conservació	Les xifres diàries, les notificacions de canvis i els comptadors de formularis se suprimeixen al cap de 13 mesos (execució nocturna de supressió, apartats «plugin_stats» i «form_metrics»). Els indicadors d'estat se sobreescriuen amb cada comunicació. Totes les dades del connector corresponents a un amfitrió se suprimeixen tan bon punt cap domini del sistema ja no fa referència a aquell amfitrió (immediatament en suprimir l'últim domini; les dades antigues, cada nit, apartat «orphan_hosts»).
Què demostren les xifres	El que ha comptat el connector. No demostren les taxes de finalització ni les consultes perdudes.
Mesures tècniques i organitzatives	Secció 8. En particular: només s'accepten dades amb el parell de claus vinculat al lloc web; només s'accepten claus conegudes i nombres, i es descarta tota la resta; es rebutgen els dies fora d'una finestra de 14 dies.

A.10 Delimitació: què es queda exclusivament al lloc web del Client

Les funcions següents del connector de WordPress i de l'extensió de TYPO3 tracten les dades exclusivament al servidor del Client. Les dades no ens arriben i no hi tenim accés. L'operador del lloc web n'és l'únic responsable; decideix sobre l'activació, els terminis de conservació i la manera d'informar els seus visitants. Amb aquesta finalitat, el connector suggereix paràgrafs per a la política de privacitat de l'operador.

Funció	Què es tracta localment	Conservació per part del Client
Quarantena	Enviaments aturats amb el motiu corresponent, que es poden alliberar per correu electrònic a l'adreça del lloc web	14 dies
Xarxa de seguretat	Enviaments el correu de formulari dels quals ha fallat, per tornar-los a enviar (activada per defecte)	30 dies
Repte de càlcul en lloc de reCAPTCHA	Una operació aritmètica al navegador del visitant, sense servei de tercers (desactivat per defecte)	–
Configuració de conservació	Supressió de les consultes emmagatzemades als connectors de formularis després del termini escollit per l'operador (desactivada per defecte)	segons la configuració
Limitació de freqüència	un identificador de curta durada derivat de l'adreça IP, que no se'ns transmet	curta durada
Comptadors diaris locals	Valors dels comptadors abans de la transmissió	com a màxim 14 dies
Enregistrador per a administradors	selectors tècnics i passos de navegació a l'emmagatzematge de sessió del navegador d'un administrador que ha iniciat sessió; no es llegeixen les entrades. Només es transmet la configuració seleccionada (aleshores, A.6)	com a màxim 15 minuts
Ajuda al visitant	es pot activar per separat; no desa esborranys ni torna a enviar automàticament	–
Observació de noves regles contra els missatges brossa	les coincidències addicionals es compten localment, sense activació automàtica	set dies

A.11 Protecció de formularis (formconfirmed)

Camp	Contingut
Finalitat	Avaluació dels enviaments fets mitjançant formularis dels llocs web del Client per reconèixer els enviaments automatitzats: emissió i verificació de tasques (prova de treball), testimonis de verificació d'un sol ús, temps d'emplenament, camp trampa, sol·licituds acumulades; a petició del Client, avaluació del text del missatge per part d'un model de llenguatge. Només per als Clients que activen la protecció de formularis.
Categories de persones interessades	Visitants dels llocs web del Client que obren una pàgina amb un formulari protegit o l'envien.
Categories de dades personals	Adreça IP (emmagatzemada només de forma escurçada i convertida en hash amb una clau que canvia cada dia), adreça i domini de la pàgina, moments i temps d'emplenament, camp trampa emplenat sí/no, identificador del navegador al registre del servidor web; només amb la comprovació del contingut activada, el text del missatge (només a la memòria de treball).
Origen	Navegador del visitant (tasca, testimoni de verificació); servidor del Client (sol·licitud de verificació i, si escau, text).
Destinataris	El Client (puntuació, acció, motius). Cap altre; cap subencarregat del tractament per a aquest tractament.
País tercer	Cap.
Conservació	Identificador convertit en hash, 1 hora; testimonis de verificació utilitzats, 11 minuts com a màxim; resultats de la verificació sense adreça IP i sense text, 30 dies; xifres diàries, 400 dies; registre del servidor web, 14 dies; text, cap emmagatzematge.
Mesures tècniques i organitzatives	Secció 8; a més, escurçament i hash amb clau diària, tasques signades, ús únic, model de llenguatge en maquinari propi sense registre del text.

4. Part A: destinataris, subencarregats del tractament i transferències a països tercers

La taula següent enumera els destinataris que contractem nosaltres mateixos i que poden rebre dades de la part A. La llista de referència, actualitzada contínuament, és la pàgina Subencarregats del tractament; si difereix d'aquesta taula, es tracta d'una incidència detectada, no d'una qüestió de format.

Destinatari	Què rep	País tercer	Base	Estat
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Bústia de control de la comprovació del lliurament (A.1); enviament de correus d'avís (A.3), confirmacions i informes als subscriptors del portal (A.2)	Encara cal verificar el lloc de tractament; vegi la pàgina «Subencarregats del tractament»	Acord d'encàrrec del tractament; encara cal verificar la base de la transferència	Pendent. El contracte corresponent, els llocs efectius de tractament i la base de la transferència encara no estan documentats. Aquest registre no confirma cap certificació ni cap contracte subscrit.
Namecheap, Inc. (registrador, DNS; reenviament de correu electrònic fins que es configuri la bústia)	Fins que es configuri la bústia, el correu entrant general a les adreces del nostre domini; no les còpies de la comprovació del lliurament, que només arriben amb registres MX que apunten directament a la bústia (A.1)	EUA	cal verificar: certificació en virtut del Marc de privacitat de dades UE-EUA o clàusules contractuals tipus	En ús; base pendent.
El nostre propi servidor d'escaneig amb un model de llenguatge local	Estructura del formulari per a la classificació i resultats de comprovació seleccionats amb metadades de l'escaneig per als plans d'acció dels comptes de pagament (A.4), codi enganxat (A.7) i credencials de prova desxifrades només durant l'execució (A.5)	–	L'operem nosaltres, no és un tercer	En ús.
Punt de prova independent en una segona ubicació	Domini, configuració depurada i identificador de la tasca (A.6)	segons la ubicació	cal determinar-la abans de la posada en servei	No està configurat.

Allotjament: sense tercers. L'aplicació, la base de dades, les captures de pantalla i les còpies de seguretat s'allotgen als nostres propis servidors a Polònia. Si ens traslladem a un centre de dades o a un prestador de serveis al núvol, cal reescriure aquest paràgraf.

4.1 Canals d'avís escollits pel Client

A més dels destinataris que contractem, hi ha els canals que el Client escull per a els seus avisos (A.3). El nostre servidor inicia la transmissió; el Client determina la destinació i el prestador. L'elecció d'un canal no ens eximeix de les nostres pròpies obligacions com a encarregat del tractament. Per a cada prestador cal determinar el rol, el contracte i les garanties exigides per als països tercers; en el cas dels serveis de xat, aquesta tasca encara no s'ha completat (qüestió pendent de la revisió jurídica).

Canal	Què s'envia	Seu del prestador
Correu electrònic	Domini, esdeveniment, explicació i enllaç; a l'adreça introduïda	a través de Namecheap, Inc. (Private Email), Phoenix, Arizona, USA
Webhook a una adreça escollida lliurement	Esdeveniment en format JSON (domini, esdeveniments, línies, enllaç i marca de temps), signat amb el secret de la destinació	la determina el Client
Slack, Discord, Microsoft Teams, Google Chat	la mateixa notificació com a missatge de xat a l'adreça de webhook introduïda	principalment als EUA
Telegram	destinació escollida pel Client; enviem el missatge a través del nostre bot a l'identificador de xat vinculat	fora de la UE, sense decisió d'adequació; la base de la transferència és una qüestió pendent de la revisió jurídica

En cap cas no s'envia el contingut d'un missatge d'un visitant. Les notificacions inclouen el domini, l'esdeveniment i l'enllaç.

5. Part B: art. 30(1): tractament sota la nostra pròpia responsabilitat

El responsable del tractament de tot el que figura en aquesta part és LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, contact@lukaswojcik.com. No cal cap representant (establiment a la Unió). No s'ha designat cap delegat de protecció de dades (secció 9). Mesures tècniques i organitzatives: secció 8 i la pàgina Mesures tècniques i organitzatives. La pàgina Accés, supressió i els seus altres drets descriu com les persones interessades poden exercir els seus drets; els titulars de comptes poden descarregar les seves dades en un fitxer (Configuració).

Quan ens basem en interessos legítims (art. 6(1)(f) del RGPD), indiquem l'interès i el motiu pel qual no n'hi ha prou amb un mitjà menys intrusiu. La ponderació és la nostra valoració; forma part de la revisió jurídica.

B.1 Visitants del nostre lloc web: registres del servidor web

Camp	Contingut
Finalitat	Funcionament i seguretat del lloc web i de l'aplicació: lliurament, resolució de problemes i detecció d'atacs i sobrecàrregues.
Categories de persones interessades	Tothom que obre una pàgina de formexposed.com o form.exposed, inclosos els visitants de pàgines del Client el navegador dels quals carrega la imatge del nostre distintiu (B.18), els destinataris que obren un enllaç d'informe o de confirmació de recepció i els llocs web el connector dels quals crida la nostra interfície.
Categories de dades personals	Adreça IP completa, moment, adreça sol·licitada, codi d'estat, bytes transferits, pàgina de procedència (referrer) i identificador del navegador (user agent).
Lloc d'emmagatzematge	Registres d'accés del servidor intermediari que precedeix el servidor web i del mateix servidor web, en fitxers al servidor web, no a la base de dades.
Origen	El navegador o programa que fa la sol·licitud.
Base jurídica	Art. 6(1)(f) del RGPD. Interès: un funcionament segur i ininterromput. Ponderació: sense l'adreça completa, no es poden relacionar les sol·licituds repetides d'un mateix emissor ni repel·lir els atacs; una adreça truncada no permet aquesta distinció. Els registres no es combinen amb altres dades i se suprimeixen al cap d'un termini curt.
Destinataris	Cap.
País tercer	Cap.
Conservació	14 dies: rotació diària amb 14 generacions i sobreescriptura posterior (servei del sistema de rotació de registres, no l'execució nocturna de supressió de l'aplicació).
Mesures tècniques i organitzatives	Secció 8.

B.2 Registre de visualitzacions de pàgina de l'aplicació

Camp	Contingut
Finalitat	Seguretat i detecció d'abusos (qui sol·licita què i amb quina freqüència), traçabilitat de l'accés als comptes i estadístiques senzilles d'ús sense cap servei d'analítica.
Categories de persones interessades	Tots els visitants del lloc web i els usuaris de l'aplicació en visualitzacions reals de pàgina (sense sol·licituds en segon pla ni enviaments de formularis).
Categories de dades personals	Adreça IP completa, país que se'n deriva en escriure el registre (base de dades geogràfica local, sense consultes a tercers), identificador del compte per als usuaris que han iniciat sessió, adreça sol·licitada i pàgina de procedència (amb els testimonis d'accés que contenen, com ara els dels enllaços d'informes o portals, emmascarats), identificador del navegador i tipus de dispositiu, sistema operatiu i navegador que se'n deriven, idioma i moment (access_logs). Durant «Veure com a client» (B.14) no s'estableix cap identificador de compte, perquè les visualitzacions de pàgina del servei d'assistència no apareguin al registre del Client.
Origen	La sol·licitud del navegador.
Base jurídica	Art. 6(1)(f) del RGPD. Interès: prevenció d'abusos i traçabilitat. Ponderació: com a B.1; el termini de conservació és més llarg perquè els patrons d'abús es fan visibles al llarg de setmanes. La qüestió de si s'hauria de truncar l'adreça IP o escurçar el termini de conservació està pendent de la revisió jurídica.
Destinataris	Cap. Els titulars de comptes reben les seves pròpies visualitzacions de pàgina a l'exportació de dades.
País tercer	Cap.
Conservació	60 dies (cada nit entre les 03:00 i les 03:05, srv/cron_status.php, configuració «registre de visualitzacions de pàgina»).
Mesures tècniques i organitzatives	Secció 8. Només es pren l'adreça IP d'una capçalera de reenviament si la sol·licitud prové del nostre propi servidor intermediari, i aleshores només es pren l'entrada afegida per aquest servidor intermediari; altrament, qualsevol persona podria indicar l'origen que volgués.

B.3 Galetes i emmagatzematge al navegador

Camp	Contingut
Finalitat	Emmagatzematge tècnicament necessari: sessió, protecció contra la falsificació de sol·licituds entre llocs web (CSRF), recompte dels límits de comprovacions sense compte, inici de sessió, manteniment de la sessió iniciada a petició de l'usuari i visualització clara o fosca.
Categories de persones interessades	Visitants i usuaris de formexposed.com.
Categories de dades personals	Galeta de sessió bpid (identificador de sessió; finalitza quan es tanca el navegador; HttpOnly, SameSite=Lax, Secure amb HTTPS). Galeta bp_remember només després d'escollir «Mantenir la sessió iniciada» (selector i verificador; 30 dies). Emmagatzematge local bp_theme (clar, fosc o sistema). A l'àrea d'administració, a més, configuracions locals de visualització dels operadors. Per als límits es genera un hash a partir de l'identificador de sessió; l'identificador mateix no s'emmagatzema.
No s'estableixen	No s'estableixen galetes d'analítica, publicitat ni seguiment. El programa de col·laboradors (B.33) funciona sense galeta. La imatge del distintiu a les pàgines del Client no estableix cap galeta (B.18). reCAPTCHA pot establir galetes de Google quan s'envia un formulari protegit (B.23).
Base jurídica	Accés al dispositiu terminal: estrictament necessari per al servei sol·licitat per l'usuari (§ 25(2) núm. 2 TDDDG, la Llei alemanya de protecció de dades dels serveis digitals de telecomunicacions; art. 399(3) PKE, la Llei polonesa de comunicacions electròniques (Prawo komunikacji elektronicznej)). Tractament: art. 6(1)(b) del RGPD (compte) i (f) (seguretat i límits).
Destinataris	Cap.
País tercer	Cap.
Conservació	La durada de la sessió; 30 dies per al testimoni de manteniment de la sessió iniciada. L'execució nocturna suprimeix els testimonis de manteniment de la sessió iniciada caducats de la base de dades (remember_tokens); en tancar la sessió, canviar la contrasenya o revocar un dispositiu, se suprimeixen immediatament.
Mesures tècniques i organitzatives	Secció 8.

B.4 Comprovació gratuïta sense compte: acceptació, límits i supervisió d'abusos

Camp	Contingut
Finalitat	Qualsevol persona pot fer comprovar un domini sense compte. Per evitar que el camp d'entrada es converteixi en una arma contra llocs web de tercers, s'apliquen límits escalonats: una comprovació anònima per domini en set dies (després es mostra el mateix informe), límits per adreça IP i per sessió en 24 hores, un límit diari per a tot el sistema, el bloqueig de dominis molt recents, una llista de bloqueig i l'exclusió voluntària, i només adreces públiques. Els patrons sospitosos es registren i es comuniquen a l'operador. Els límits per adreça IP, per sessió i per a tot el sistema, comptats cadascun per separat, també s'apliquen a la comprovació des del connector sense compte (un connector amb un parell de claus vinculat compta per lloc web en lloc de per adreça) i a l'exclusió voluntària (B.30); l'eina gratuïta de capçaleres (B.9) té els seus propis límits per adreça IP i dia i per a tot el sistema.
Categories de persones interessades	Les persones que inicien una comprovació, una sol·licitud a l'eina de capçaleres o una exclusió voluntària; els servidors on hi ha instal·lat un connector.
Categories de dades personals	Registre de cada sol·licitud: origen (comprovació, connector, eina de capçaleres o exclusió voluntària), adreça IP completa, hash de l'identificador de sessió, amfitrió comprovat, país derivat de l'adreça IP, acceptació o rebuig amb el motiu corresponent i moment (check_throttle). Anomalies: tipus (adreça IP, sessió, país o sistema), clau (per al tipus «IP», l'adreça IP completa), patró, gravetat, descripció breu, moments de detecció i resolució i persona que les resol (abuse_flags). Tasca: amfitrió, mode, nivell de confiança i un hash de sessió truncat com a identificador del sol·licitant (scan_jobs). Informe: identificador aleatori, amfitrió, idioma, caducitat, primera visualització i nombre de visualitzacions (reports). Antiguitat del domini emmagatzemada a la memòria cau a partir de la consulta al registre (domain_age_cache).
Origen	Les dades introduïdes per la persona; la seva sol·licitud; consulta al registre (RDAP) per a l'antiguitat del domini.
Base jurídica	Realització de la comprovació sol·licitada: art. 6(1)(b) del RGPD (ús de la comprovació gratuïta d'acord amb les Condicions del servei); subsidiàriament, (f). Límits i supervisió: art. 6(1)(f). Interès: impedir que el servei s'utilitzi com a eina contra llocs web de tercers o com a mecanisme d'enviament massiu de missatges brossa. Ponderació: sense vincular les sol·licituds a l'adreça i a la sessió, no es podrien aplicar els límits; el període de set dies és tan curt com el límit més llarg que s'hi compta.
Destinataris	Google (reCAPTCHA en l'enviament, B.23). Per a l'antiguitat del domini, l'escàner consulta el servei de redirecció RDAP rdap.org, que remet al registre competent; només es transmet el nom del domini. Quan es produeix una anomalia, l'operador rep un avís a través de Telegram sense cap variable (ni amfitrió ni adreça). Qualsevol persona que tingui l'enllaç aleatori de l'informe el pot veure.
País tercer	EUA a través de reCAPTCHA (B.23).
Conservació	El registre de sol·licituds es conserva 7 dies (cada nit, srv/cron_status.php). Les anomalies resoltes se suprimeixen 90 dies després de la resolució; les no resoltes es conserven fins que algú les resol (secció 10). Els informes anònims caduquen al cap de 30 dies; l'execució nocturna suprimeix aleshores l'informe, la tasca, el resultat de la comprovació, els formularis, els resultats de comprovació i les imatges (fe_reports_aufraeumen()). Un administrador pot desbloquejar manualment les entrades d'una adreça; això suprimeix el registre d'aquesta adreça de les últimes 24 hores.
Mesures tècniques i organitzatives	Secció 8. Aturada d'emergència de totes les comprovacions anònimes des de l'àrea d'administració; mecanisme de contrapressió que no accepta noves comprovacions gratuïtes quan hi ha tasques acumulades.

B.5 Comprovació de llocs web de tercers amb el rastrejador

Camp	Contingut
Finalitat	Comprovació de seguretat dels formularis de contacte públics: mesures de protecció contra els missatges brossa i els abusos, funcions de protecció de dades i accessibilitat, scripts de tercers incrustats, comportament després de rebutjar les galetes al bàner i visualització mòbil. S'aplica a les comprovacions sense compte (B.4), als dominis d'un compte que encara no estan verificats i com a base de l'estudi (B.7) i de la comprovació de clients potencials (B.8). En els dominis verificats d'un compte, actuem per compte del Client (A.4).
Comportament del rastrejador	Un identificador propi amb una referència a la pàgina del rastrejador; llegeix robots.txt abans de la comprovació i s'atura si una regla de prohibició inclou la pàgina d'inici (també si no es pot accedir a robots.txt o hi ha un error del servidor); no es tenen en compte per separat les regles de prohibició de subrutes individuals. La comprovació periòdica del formulari, la recuperació de la prova, l'eina de capçaleres i la cerca de fitxers exposats no llegeixen robots.txt. Com a màxim vuit pàgines públiques per comprovació, més fins a tres pàgines amb un clic a «Rebutjar» al bàner de galetes, fins a tres pàgines en vista de telèfon, proves actives per a dominis verificats i fins a cinc pàgines que requereixen iniciar sessió (A.5); les pàgines es carreguen una rere l'altra, no en paral·lel; només adreces públiques, cap xarxa interna, i les redireccions es tornen a comprovar; la llista de bloqueig i l'exclusió voluntària es comproven abans de l'acceptació i una segona vegada a l'escàner. Passiu: sense prova de control, no s'envia res per als Clients (excepció: comprovacions internes dels nostres propis dominis de prova i demostració, B.6).
Categories de persones interessades	Els operadors dels llocs web comprovats (quan són persones físiques, com ara empresaris individuals); les persones que són visibles incidentalment a les pàgines comprovades.
Categories de dades personals	Com a A.4: adreces i títols de pàgines, estructura dels formularis (noms, tipus i etiquetes dels camps, sense els valors dels camps), mesures de protecció, scripts de tercers (adreces; els identificadors de compte dels píxels i de les eines d'enregistrament se substitueixen abans de l'emmagatzematge), comportament del bàner de galetes i captures de pantalla (zona visible de la pàgina d'inici i formularis). Si al formulari apareix una adreça destinatària, només se'n desa el domini (scans, forms, findings, scan_screenshots).
Origen	Pàgines accessibles públicament.
Base jurídica	Art. 6(1)(f) del RGPD. Interès: dur a terme la comprovació de seguretat sol·licitada; advertir els operadors de llocs web de debilitats que poden perjudicar els seus visitants. Ponderació: només es llegeix el que veu qualsevol visitant, en una extensió reduïda i sense enviar res; l'operador pot excloure permanentment el seu domini en qualsevol moment sense aportar proves. La informació prevista a l'art. 14 del RGPD es facilita a través de la pàgina del rastrejador, de l'exclusió voluntària i de la Política de privacitat; si això és suficient d'acord amb l'art. 14(5)(b) és una qüestió pendent de la revisió jurídica.
Destinataris	Qui inicia l'informe i qualsevol persona a qui faciliti l'enllaç aleatori; el model de llenguatge local al nostre propi servidor quan el tipus de formulari no és clar (estructura del formulari, títol i adreça de la pàgina i text visible del formulari). Els avisos de vulnerabilitats derivats de les versions dels connectors no apareixen mai als informes anònims.
País tercer	Cap.
Conservació	Comprovació anònima: 30 dies (B.4). Comprovació de client potencial: 90 dies (B.8). Estudi: fins a la publicació (B.7). Domini d'un compte: com a màxim 13 mesos, i es conserva l'última comprovació; les dades se suprimeixen immediatament juntament amb el domini. Comprovacions internes de l'operador sense domini ni informe (com ara les creades des de la línia d'ordres): sense termini de conservació (secció 10). Els fitxers temporals del servidor d'escaneig se suprimeixen després de cada execució.
Mesures tècniques i organitzatives	Secció 8. En particular: contenidor de comprovació separat amb privilegis reduïts, sistema de fitxers de només lectura, límit de memòria i xarxa pròpia; doble comprovació de la destinació.

B.6 Enviaments de prova actius

Camp	Contingut
Finalitat	Comprovar si un formulari de contacte accepta un enviament sense protecció, si el CAPTCHA, el camp trampa (honeypot), el testimoni, la validació de l'adreça de correu electrònic i la limitació de freqüència tenen efecte al servidor, i si és possible injectar capçaleres.
Condició prèvia	Per als Clients, només en dominis dels quals s'ha aportat una prova de control (registre DNS, metaetiqueta, fitxer o connector connectat); a més, l'operador utilitza una eina interna de línia d'ordres per crear comprovacions amb el nivell «verified» per als nostres propis dominis de prova i demostració. Només amb el commutador global activat i només per a un formulari classificat de manera fiable com a formulari de contacte general. Mai per a comandes, reserves, inscripcions, butlletins, pagaments, càrregues de fitxers, camps obligatoris amb dades personals reals ni dominis d'autoritats públiques, institucions sanitàries o centres educatius.
Categories de persones interessades	Els membres del personal del Client que reben els correus electrònics dels formularis.
Categories de dades personals	L'enviament de prova no conté dades personals: l'emissor «FormExposed Security Scanner», la nostra pròpia adreça emissora o una adreça sota .invalid, un assumpte identificat com a prova i un text en l'idioma de la pàgina amb una referència a la pàgina del rastrejador i a l'exclusió voluntària i el número de la comprovació. Nosaltres desem la resposta de la pàgina, els resultats de comprovació i una imatge de la pàgina posterior a l'enviament (com a A.4).
Abast	Com a màxim cinc enviaments per comprovació (configuració, valor per defecte 5); es repeteixen amb la freqüència de comprovació del pla, diàriament en el pla més alt.
Origen	La instrucció del Client.
Base jurídica	L'execució del contracte amb el Client (art. 6(1)(b) del RGPD); els enviaments van al formulari propi del Client. Per als destinataris del Client: l'organització del Client.
Destinataris	El Client (el correu electrònic del seu formulari).
País tercer	Cap a través nostre.
Conservació	Resultats com a A.4.
Mesures tècniques i organitzatives	Secció 8. La injecció de capçaleres només es detecta, mai no es duu a terme amb un destinatari real; la validació de l'adreça de correu electrònic només utilitza un domini que no pot existir.

B.7 Estudi «Índex de seguretat dels formularis»

Camp	Contingut
Finalitat	Estadístiques sobre la protecció dels formularis de contacte en un país o sector. Només es publiquen totals, sense noms de llocs web; només es publiquen segments a partir de 20 pàgines amb formulari.
Categories de persones interessades	Els operadors dels llocs web de la llista; les persones visibles incidentalment.
Categories de dades personals	Com a B.5, només de manera passiva. A més, la llista: amfitrió, segment, estat i tasca (study_domains); estudi amb títol, país i totals de resultats (studies).
Origen	Una llista de llocs web públics elaborada per l'operador; les pàgines mateixes.
Base jurídica	Art. 6(1)(f) del RGPD. Interès: afirmacions estadístiques sobre l'estat de la seguretat dels formularis. Ponderació: funcionament passiu i limitat (poques tasques per execució), aplicació de la llista de bloqueig i de l'exclusió voluntària, publicació només de totals i supressió de les dades brutes.
Destinataris	El públic, només els totals.
País tercer	Cap.
Conservació	Les dades brutes (resultats de comprovació, formularis, resultats detallats, imatges i tasques) se suprimeixen en publicar l'estudi (fe_studie_veroeffentlichen()). La llista d'amfitrions amb el segment es conserva després; no hi ha cap termini de conservació ni per a aquesta llista ni per als estudis que no es publiquen mai (secció 10). L'operador decideix quines llistes es comproven i si es publiquen els estudis.
Mesures tècniques i organitzatives	Secció 8.

B.8 Comprovació de clients potencials (mode de captació per a agències)

Camp	Contingut
Finalitat	Una agència (pla Business) comprova passivament el lloc web d'un client potencial i rep un informe breu sota la seva marca i l'informe passiu. Nosaltres no contactem amb ningú; l'agència facilita l'enllaç pel seu compte.
Categories de persones interessades	L'operador del lloc web comprovat; les persones visibles incidentalment; els membres del personal de l'agència que inicien la comprovació.
Categories de dades personals	Com a B.5, només de manera passiva. A més: espai de treball, persona que inicia la comprovació, amfitrió, identificador aleatori de l'informe i moment (prospect_checks).
Origen	Les dades introduïdes per l'agència; les pàgines públiques.
Base jurídica	Art. 6(1)(f) del RGPD (el nostre interès a prestar el servei i l'interès de l'agència a establir un contacte comercial fonamentat). Els rols de l'agència i els nostres i les obligacions de l'agència en facilitar l'informe són qüestions pendents de la revisió jurídica: si l'agència envia l'informe per correu electrònic sense que l'hi hagin sol·licitat o fa una trucada telefònica, això constitueix màrqueting directe que exigeix consentiment d'acord amb l'art. 398 PKE i el § 7(2) UWG (la Llei alemanya contra la competència deslleial), també entre empreses. Això és responsabilitat de l'agència; les Condicions del servei li imposen l'obligació corresponent.
Destinataris	L'agència i qualsevol persona a qui faciliti l'enllaç.
País tercer	Cap.
Conservació	L'informe i el resultat de la comprovació caduquen al cap de 90 dies i l'execució nocturna els suprimeix aleshores (fe_reports_aufraeumen()); l'entrada de la comprovació se suprimeix al cap de 90 dies durant l'execució diària de protecció col·lectiva a partir de les 04:00 (srv/cron_status.php). Quan se suprimeix l'espai de treball, se suprimeixen immediatament.
Mesures tècniques i organitzatives	Secció 8. Quota mensual (configuració, valor per defecte 30); la mateixa pàgina dins de set dies retorna el mateix informe; s'aplica l'exclusió voluntària.

B.9 Eina de capçaleres sense compte

Camp	Contingut
Finalitat	Qualificació gratuïta (d'A+ a F) de les capçaleres de seguretat de la pàgina d'inici d'un domini. Dues sol·licituds, sense navegador, sense formulari i sense enviament.
Categories de persones interessades	Les persones que utilitzen l'eina; els operadors del domini comprovat.
Categories de dades personals	Registre de sol·licituds com a B.4 (origen «headers», adreça IP, hash de sessió i amfitrió). Resultat: amfitrió, qualificació, punts i capçaleres avaluades (header_checks).
Base jurídica	Art. 6(1)(f) del RGPD, com a B.4 i B.5.
Destinataris	Google (reCAPTCHA, B.23).
País tercer	EUA a través de reCAPTCHA.
Conservació	El registre de sol·licituds es conserva 7 dies; els resultats se suprimeixen actualment al cap de 90 dies (execució nocturna de supressió, apartat «header_checks», configuració «headers_keep_days»). Per als dominis d'un compte, la qualificació es torna a determinar diàriament i es desa amb el domini.
Mesures tècniques i organitzatives	Secció 8. Límits per adreça IP i dia; s'aplica l'exclusió voluntària.

B.10 Comptes de clients

Camp	Contingut
Finalitat	Gestionar els comptes de clients, els espais de treball i els plans.
Categories de persones interessades	Els Clients (empreses) i els membres dels seus equips amb un compte propi.
Categories de dades personals	Adreça de correu electrònic i la seva forma normalitzada, contrasenya només en forma de hash, nom (obligatori), cognoms i empresa (si es faciliten); l'aplicació no emmagatzema l'adreça ni el número d'identificació a efectes de l'IVA, que només es faciliten a Stripe (B.26); estat, idioma, mode de visualització, moneda, pla i estat de facturació, identificadors de client i de subscripció de Stripe, final del període de facturació, cancel·lació al final del període, identificadors de confirmació i restabliment amb caducitat, nova adreça de correu electrònic fins que es confirma, moment del registre, últim inici de sessió i última adreça IP, moment de revocació de totes les sessions, dades del segon factor (B.11), activació o desactivació de l'informe mensual, moment del correu de recordatori, desbloqueigs mitjançant codis, codi de recomanació i recomanació (users). Espais de treball amb nom, moments i estat (workspaces); vinculació amb rol i data d'incorporació (workspace_users).
Origen	El registre i la configuració fets per la persona; l'estat de facturació comunicat per Stripe.
Base jurídica	Art. 6(1)(b) del RGPD (contracte). Última adreça IP: (f) (seguretat del compte).
Destinataris	Stripe (B.26); prestador del servei de correu per als correus electrònics del compte (B.25). Els membres d'un mateix espai de treball veuen el nom, l'adreça de correu electrònic i el rol dels altres membres.
País tercer	A través de Stripe i del prestador del servei de correu.
Conservació	Fins que el titular del compte el suprimeix. En suprimir-lo, els espais de treball propis del titular que no utilitza ningú més se suprimeixen amb tots els dominis i les seves dades; els espais de treball amb altres membres passen a un altre membre, primer als Administradors i, entre aquests, al de més antiguitat. Se suprimeixen les vinculacions dels membres, els testimonis de manteniment de la sessió iniciada, els dispositius, les claus API, els codis oberts de Telegram, els comentaris sobre informes (B.35) i la fila del compte; una subscripció de pagament activa s'extingeix primer immediatament a Stripe, sense reemborsament (www/ajax.php, fe_konto_reste_loeschen()). En canvi, una cancel·lació a l'àrea de facturació té efecte al final del període; després, el compte continua amb el pla gratuït. La secció 6.4 exposa què es conserva. Els comptes que mai no s'han confirmat i en els quals mai no s'ha iniciat sessió se suprimeixen al cap de 30 dies, llevat que hi hagi un altre membre vinculat al seu espai de treball (execució nocturna de supressió, apartat «pending_accounts»). Els comptes inactius no se suprimeixen. Si el contracte del compte s'extingeix d'una altra manera, per exemple per una resolució per part nostra, suprimim el compte com a màxim 30 dies després de la fi del contracte; actualment això es fa manualment (compromís establert a l'Acord d'encàrrec del tractament).
Mesures tècniques i organitzatives	Secció 8.

B.11 Inici de sessió, dispositius, segon factor i registre d'activitat

Camp	Contingut
Finalitat	Protegir els comptes: limitar els intents d'inici de sessió i altres intents de contrasenya, mostrar i revocar els dispositius amb sessió iniciada, permetre l'inici de sessió amb segon factor i garantir la traçabilitat dels canvis.
Categories de persones interessades	Els titulars de comptes i els membres dels equips; les persones que intenten iniciar sessió, registrar-se o introduir la contrasenya d'un portal de clients.
Categories de dades personals	Intents d'inici de sessió: adreça IP, adreça de correu electrònic introduïda, èxit i moment (login_attempts). Dispositius: hash de l'identificador de sessió (mai l'identificador mateix), vinculació amb el testimoni de manteniment de la sessió iniciada, adreça IP, identificador del navegador i navegador, sistema operatiu i tipus de dispositiu que se'n deriven, moments d'inici de sessió, última activitat i revocació, i, per a «Veure com a client», l'identificador de la persona del servei d'assistència (login_sessions). Testimonis de manteniment de la sessió iniciada per a «Mantenir la sessió iniciada»: selector, verificador i caducitat (remember_tokens). Segon factor: secret xifrat, moment d'activació, últim interval temporal utilitzat i codis de recuperació només en forma de hash (a users). Registre d'activitat: compte, espai de treball, acció, destinació, detalls, adreça IP, país i moment (audit_logs). Comptadors d'intents per a l'inici de sessió, el segon factor, la confirmació de contrasenya, el restabliment de contrasenya, el registre i les contrasenyes dels portals de clients: una clau HMAC derivada de la finalitat i de l'identificador del compte (per a una adreça desconeguda o un restabliment, l'adreça de correu electrònic en minúscules), de l'adreça IP, del compte i l'adreça IP conjuntament, o de l'identificador del portal (també conjuntament amb l'adreça IP), nombre d'intents i caducitat; les adreces de correu electrònic i IP no s'hi emmagatzemen en text clar (taula auth_attempt_buckets).
Base jurídica	Art. 6(1)(b) del RGPD en relació amb l'art. 32 (llista de dispositius i segon factor) i (f) (intents d'inici de sessió i registre d'activitat). Interès: protegir els comptes contra l'apropiació indeguda i documentar els canvis (art. 5(2)). Ponderació: una adreça truncada no respon a la pregunta «he estat jo?»; el registre d'activitat ha de perdurar més enllà d'un litigi que només sorgeixi mesos després.
Destinataris	Cap. El titular del compte veu els seus dispositius i rep els intents d'inici de sessió, els dispositius i les activitats a l'exportació de dades; durant una sessió de «Veure com a client», no hi apareixen ni l'adreça IP ni el navegador de la persona del servei d'assistència.
País tercer	Cap.
Conservació	Els intents d'inici de sessió es conserven 7 dies; després d'un inici de sessió correcte, els intents fallits de la mateixa adreça se suprimeixen immediatament. Els comptadors d'intents caduquen al final de la seva finestra temporal (actualment 15 minuts, una hora per al restabliment de contrasenya i el registre); els caducats se suprimeixen amb l'accés següent i amb l'execució nocturna. Els dispositius se suprimeixen 90 dies després de l'últim ús o de la revocació (execució nocturna de supressió, apartat «sessions»), i immediatament juntament amb el compte. Els testimonis de manteniment de la sessió iniciada caduquen al cap de 30 dies. El registre d'activitat es conserva 365 dies (supressió nocturna); quan se suprimeix un compte, les seves entrades es conserven fins al final del termini de conservació (secció 6.4).
Mesures tècniques i organitzatives	Secció 8.

B.12 Prova de la celebració del contracte

Camp	Contingut
Finalitat	Acreditar quina versió de les Condicions del servei, de l'Acord d'encàrrec del tractament i de la Política de privacitat va acceptar o de quina es va donar per assabentat un Client en registrar-se, i que el Client utilitza el servei per a la seva activitat empresarial.
Categories de persones interessades	Els Clients.
Categories de dades personals	Per document: compte, document, versió (hash del text mostrat), ocasió, adreça IP, identificador del navegador i moment (legal_consents). La versió mostrada mateixa amb el text complet, l'idioma, el títol i l'adreça, una vegada per versió (legal_versions; no conté dades personals).
Base jurídica	Art. 6(1)(b) i (f) del RGPD (prova de la celebració del contracte i defensa davant de reclamacions).
Destinataris	Cap. El titular del compte rep els seus registres a l'exportació de dades.
País tercer	Cap.
Conservació	Mentre existeix el compte; després de la supressió del compte, quatre anys a partir del consentiment, i després supressió nocturna (srv/cron_status.php). Justificació al codi: termini de prescripció de tres anys des del final de l'any, arrodonit a l'alça. La qüestió de si el dret polonès aconsella un termini diferent forma part de la revisió jurídica.
Mesures tècniques i organitzatives	Secció 8. Si falta qualsevol dels tres documents, el registre està tancat.

B.13 Invitacions a l'equip

Camp	Contingut
Finalitat	Convidar altres persones a un espai de treball.
Categories de persones interessades	Les persones convidades.
Categories de dades personals	Adreça de correu electrònic, rol, identificador de la invitació, persona que convida, caducitat i moment d'acceptació (workspace_invites); el correu d'invitació a la safata de sortida (B.25).
Origen	El membre que convida introdueix les dades.
Base jurídica	Art. 6(1)(b) del RGPD en relació amb el Client; envers la persona convidada, (f) (l'interès del Client a involucrar el seu equip).
Destinataris	Prestador del servei de correu (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
País tercer	A través del prestador del servei de correu.
Conservació	Una invitació és vàlida durant 14 dies i només mentre la persona que convida sigui Propietària o Administradora de l'espai de treball. Les invitacions no acceptades se suprimeixen després de la caducitat, i les acceptades, 30 dies després de l'acceptació (cada nit, srv/cron_status.php i apartat «invites» a cfg/fristen_lib.php). Quan se suprimeix l'espai de treball, se suprimeixen immediatament.
Mesures tècniques i organitzatives	Secció 8.

B.14 «Veure com a client» per part del servei d'assistència

Camp	Contingut
Finalitat	Un superadministrador veu l'aplicació tal com la veu un Client per resoldre una consulta d'assistència («a mi no em surt el botó»).
Categories de persones interessades	El Client afectat; el superadministrador.
Categories de dades personals	Tot el que el Client veu a l'aplicació. Es registren: una fila de dispositiu separada amb l'identificador del superadministrador (login_sessions) i l'inici i el final al registre d'activitat (audit_logs).
Base jurídica	Art. 6(1)(b) del RGPD (assistència com a part del servei); alternativament, (f).
Límits	Com a màxim una hora; després es tanca completament la sessió. Finalitzar aquesta vista també tanca completament la sessió del superadministrador, inclosa la sessió des de la qual hi havia accedit; només pot tornar a l'àrea d'administració iniciant sessió de nou amb la contrasenya i el segon factor. La vista finalitza immediatament si es redueixen els privilegis del superadministrador o se'l bloqueja. Es bloqueja tot el que modifica el compte del Client: contrasenya, adreça de correu electrònic, segon factor, dispositius, subscripció, exportació, supressió i transferència. L'àrea d'administració està tancada durant la sessió. El Client veu l'accés a la seva llista de dispositius i a l'exportació de dades com a accés d'assistència.
Destinataris	Cap.
País tercer	Cap.
Conservació	Fila de dispositiu: 90 dies; registre d'activitat: 365 dies.
Mesures tècniques i organitzatives	Secció 8.

B.15 Dominis, prova de control i supervisió

Camp	Contingut
Finalitat	El servei principal per als Clients: mantenir dominis al compte, aportar una prova de control, comprovar-los periòdicament i detectar canvis. Això inclou la comprovació periòdica del formulari (una sol·licitud lleugera sense navegador a intervals d’entre 10 i 30 minuts segons el pla), la supervisió diària del DNS del correu i dels certificats, la data de caducitat del domini, les llistes de bloqueig, els fitxers exposats, les versions visibles des de l'exterior, l'inventari de scripts, els canvis visuals del formulari, les interrupcions dels serveis de CAPTCHA i de correu i la supervisió de vulnerabilitats dels connectors de formularis.
Categories de persones interessades	Els Clients i els membres dels seus equips; els operadors dels dominis, quan són persones físiques.
Categories de dades personals	Domini amb amfitrió, identificador públic, nota, etiqueta del client, tipus i identificador de prova, freqüència de comprovació, activació o desactivació de la supervisió, finestres de manteniment, valor d'una consulta, identificadors del distintiu, de la comprovació del lliurament i del hook de desplegament, clau del connector, estats i últims resultats de les supervisions (DNS, certificat, autenticitat del correu del formulari, llistes de bloqueig, fitxers exposats, capçaleres i versions) (domains). Comprovació periòdica per pàgina de formulari (form_pulse). Vulnerabilitats derivades de les versions dels connectors (vuln_hits). Inventari de scripts amb adreça, hash, mida i aprovació amb la persona que aprova i el motiu (script_inventory, script_changes). Comprovacions com a A.4. Per als fitxers exposats, es desen la ruta, la gravetat i el tipus, mai el contingut.
Sol·licituds a tercers	Consultes DNS (SPF, DMARC, MX i registre de prova). Consulta al registre a través de RDAP segons el directori d'IANA: només el nom del domini. Llistes de bloqueig DNS (SpamCop, PSBL, Mailspike, SURBL; Spamhaus només amb credencials d'accés desades, cosa que actualment no ocorre): les adreces IP del servidor web i del servidor de correu i el nom del domini, sense dades de visitants. Google Web Risk només si està configurat (actualment no ho està): l'adreça de la pàgina d'inici. Autoritat de segellament de temps: només un valor hash (B.19). WPVulnerability: només l'identificador d'un connector o tema, o la versió de WordPress; la comparació amb la versió del connector instal·lada la fem nosaltres mateixos. Pàgines d'estat de Cloudflare, hCaptcha, Google Cloud, SendGrid, Mailgun i Brevo: no es transmet res excepte la sol·licitud mateixa.
Origen	El Client; les sol·licituds a la pàgina del Client; els directoris públics.
Base jurídica	Art. 6(1)(b) del RGPD.
Destinataris	Els serveis esmentats no reben dades personals dels nostres Clients en la mesura que els noms de domini i les adreces de servidor d'una empresa no siguin dades personals; en el cas d'empresaris individuals, el nom del domini pot ser una dada personal. Els membres de l'espai de treball veuen el domini.
País tercer	Les sol·licituds poden arribar a serveis de països tercers (com ara consultes als registres o llistes de bloqueig). Només es transmet el que s'indica a la fila «Sol·licituds a tercers».
Conservació	Fins que se suprimeix el domini. Aleshores fe_domain_loeschen() suprimeix immediatament els resultats de comprovació, els formularis, els resultats detallats, les imatges, els informes, les tasques, les destinacions d'avisos i el registre d'avisos, les incidències, els codis de Telegram, els lliuraments, les comprovacions periòdiques, les vulnerabilitats i les proves; mitjançant claus foranes, els formularis supervisats, les execucions amb navegador, el compte de prova i els comptadors de formularis; i les dades del connector de l'amfitrió si cap altre domini no hi fa referència. També se suprimeixen l'inventari de scripts i els canvis de scripts del domini; no tenen un termini de conservació propi (secció 6.4). Els resultats de comprovació es conserven durant un màxim de 13 mesos, i es conserva l'últim.
Mesures tècniques i organitzatives	Secció 8. La supervisió de fitxers exposats i de versions només està disponible per als dominis verificats, amb un màxim d'una sol·licitud per ruta i només els primers 8 KB; sondejar rutes de tercers sense que ho hagin sol·licitat constituiria una eina d'atac.

B.16 Avisos, incidències i escalada cap al titular del compte

Camp	Contingut
Finalitat	Informar el Client d'avaries i canvis, respectar les finestres de manteniment i confirmar la recepció de les incidències i escalar-les. Quan les destinacions són tercers, actuem per compte del Client (A.3); quan es tracta del mateix titular del compte, el tractament s'exposa aquí.
Categories de persones interessades	Els titulars de comptes i els membres dels equips com a destinataris.
Categories de dades personals	Com a A.3. Les notificacions es mostren en l'idioma del titular del compte.
Base jurídica	Art. 6(1)(b) del RGPD.
Destinataris	El prestador del servei de correu; els serveis de xat escollits (4.1).
País tercer	Segons el canal (4.1).
Conservació	Com a A.3: el registre de lliuraments es conserva 90 dies; les notificacions de resum, 30 dies després del lliurament; les incidències, fins a la resolució i després 180 dies. Les destinacions d'avisos se suprimeixen juntament amb el domini.
Mesures tècniques i organitzatives	Secció 8.

B.17 Informe mensual als comptes

Camp	Contingut
Finalitat	El dia 1 de cada mes a partir de les 08:00 (amb recuperació dels enviaments pendents fins al dia 3), un correu electrònic per compte que inclou tots els seus dominis: nivell, puntuació i canvi, avisos, bots bloquejats, enviament de correu electrònic i valor de comparació.
Categories de persones interessades	Els titulars de comptes actius amb l'informe mensual activat.
Categories de dades personals	Adreça de correu electrònic, idioma i xifres clau dels dominis.
Base jurídica	Art. 6(1)(b) del RGPD (part del servei). Es pot donar de baixa des de la configuració; es pot desactivar de manera centralitzada.
Destinataris	Prestador del servei de correu (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
País tercer	A través del prestador del servei de correu.
Conservació	No hi ha emmagatzematge separat; el correu electrònic es conserva a la safata de sortida durant 30 dies (B.25).
Mesures tècniques i organitzatives	Secció 8.

B.18 Distintiu i pàgina pública de confirmació

Camp	Contingut
Finalitat	Un Client pot incrustar una imatge del distintiu al seu lloc web i enllaçar-la a una pàgina pública de confirmació. El distintiu només mostra «Protegit» si el domini està verificat, la supervisió està en funcionament i l'última comprovació completada té una antiguitat màxima de 45 dies i ha donat el resultat «Protegit» o «Parcialment protegit»; altrament, mostra de manera neutral «Comprovació del formulari de contacte». La pàgina de confirmació indica el nivell i la data, sense resultats individuals de comprovació.
Categories de persones interessades	Els visitants del lloc web del Client el navegador dels quals carrega la imatge; els visitants de la pàgina de confirmació.
Categories de dades personals	Quan es carrega la imatge: adreça IP, moment, adreça sol·licitada, pàgina de procedència i identificador del navegador al registre del servidor web (B.1). L'adreça de la imatge no inicia cap sessió, no estableix cap galeta ni escriu al registre de visualitzacions de pàgina. La pàgina de confirmació és una pàgina normal (B.2, B.3).
Base jurídica	Art. 6(1)(f) del RGPD. Interès: lliurar la imatge i mantenir la seguretat del funcionament. Determinar si el Client i nosaltres som corresponsables del tractament per la transmissió de l'adreça IP del visitant, en el sentit de la jurisprudència sobre continguts de tercers incrustats, i si cal un acord en virtut de l'art. 26 és una qüestió pendent de la revisió jurídica. El Client rep un text suggerit per a la seva política de privacitat.
Destinataris	Cap.
País tercer	Cap.
Conservació	14 dies (registre del servidor web). La imatge es desa a la memòria cau durant una hora. Quan es desactiva el distintiu, l'identificador deixa de ser vàlid.
Mesures tècniques i organitzatives	Secció 8.

B.19 Registre de proves i segell de temps

Camp	Contingut
Finalitat	Un registre per domini i mes (plans de pagament): què s'ha comprovat, amb quin resultat, què s'ha comunicat i què ha canviat, com a prova per a la responsabilitat proactiva, les asseguradores o les auditories de proveïdors. Cada versió rep un número de comprovació; una pàgina pública confirma el domini, el període i les xifres clau, sense detalls. Des del 7 d'octubre de 2026, una autoritat de segellament de temps d'acord amb RFC 3161 confirma el moment.
Categories de persones interessades	Els Clients; indirectament, les persones que poden constar al registre com a persones que aproven o confirmen la recepció.
Categories de dades personals	Domini, mes, número de comprovació, hash del contingut (SHA-512), resum i dades del registre, resposta del segell de temps, autoritat de segellament de temps i moment, intents fallits (proof_docs).
Base jurídica	Art. 6(1)(b) del RGPD.
Destinataris	L'autoritat de segellament de temps (Certum per defecte, DigiCert com a alternativa en cas de fallada) rep només el hash del registre, no el contingut. Públic: les xifres clau a través de la pàgina de confirmació. El Client i qualsevol persona a qui el Client faciliti el registre o el número de comprovació.
País tercer	No es transfereixen dades personals: un hash no permet deduir el contingut. L'autoritat alternativa té la seu als EUA.
Conservació	Fins que se suprimeix el domini (fe_domain_loeschen()). El segell de temps no és un segell de temps qualificat en el sentit d'eIDAS.
Mesures tècniques i organitzatives	Secció 8.

B.20 Connector i extensió: comprovació, connexió i transmissió

Camp	Contingut
Finalitat	El connector de WordPress i l'extensió de TYPO3 poden sol·licitar una comprovació (també sense compte), connectar-se a un compte (la instal·lació compta com a prova de control amb un clic al compte), desbloquejar funcions de protecció, comunicar xifres diàriament (A.9) i comunicar immediatament els errors de correu electrònic i el mode de manteniment.
Categories de persones interessades	Els Clients; els operadors de llocs web que utilitzen el connector sense compte.
Categories de dades personals	Per amfitrió: versió del connector i del CMS, nombre de comprovacions, identificador de l'últim informe, hash del secret de connexió i primer i últim contacte (plugin_sites). Codis de connexió d'un sol ús en forma de hash amb caducitat (plugin_connect_tokens). Codis de connexió d'una agència en forma de hash amb prefix, etiqueta, usos i persona que els ha creat (workspace_connect_codes). Registre de sol·licituds amb l'adreça IP del servidor que fa la crida (B.4). La clau del connector és visible públicament a la capçalera del lloc web; és un hash del secret, i el secret mateix només s'emmagatzema en forma de hash i mai no es retorna.
Base jurídica	Art. 6(1)(b) del RGPD (compte); sense compte, (f) (comprovació sol·licitada i prevenció d'abusos).
Destinataris	Cap.
País tercer	Cap.
Conservació	Les dades d'un amfitrió se suprimeixen tan bon punt cap domini ja no hi fa referència; la fila d'un connector sense compte només se suprimeix després de 90 dies sense contacte (execució nocturna de supressió, apartat «orphan_hosts»). Els codis d'un sol ús se suprimeixen un dia després de la caducitat. Els codis de connexió se suprimeixen juntament amb l'espai de treball.
Mesures tècniques i organitzatives	Secció 8. Des del 27 de setembre de 2026, el servidor només accepta parells de claus vinculats al lloc web; els secrets de connexió antics no vinculats es van suprimir.

B.21 Protecció col·lectiva

Camp	Contingut
Finalitat	Defensa compartida contra els missatges brossa: els llocs web connectats comuniquen els dominis dels enllaços dels missatges que la seva capa de protecció ha aturat. Un domini que apareix en almenys tres llocs web amb un mínim de cinc coincidències en set dies s'incorpora a una llista que es retorna a tots els llocs web connectats; la seva capa de protecció trasllada els missatges amb aquests enllaços a la quarantena, mai no els fa desaparèixer.
Categories de persones interessades	Els titulars dels dominis dels enllaços comunicats, quan són persones físiques (com ara l'operador d'un lloc de missatges brossa sota el seu propi nom). No els emissors ni els destinataris dels missatges: no es comuniquen adreces, textos ni noms.
Categories de dades personals	Senyals: tipus, domini, amfitrió que el comunica, dia i coincidències (swarm_signals). Llista: tipus, domini, nombre de llocs web i de coincidències i moments (swarm_list). Els grans serveis, els dominis dels nostres Clients i les excepcions establertes per l'operador no s'inclouen mai a la llista.
Xarxes IP	S'ha preparat la compartició de xarxes IP (/24, /48). Està desactivada i el connector no en comunica cap; només s'activarà després d'una revisió jurídica, perquè les adreces IP són dades personals.
Base jurídica	Art. 6(1)(f) del RGPD. Interès: protegir els formularis de tots els Clients contra onades de missatges brossa. Ponderació: només dominis, llindars mínims contra la manipulació de la llista, cap pèrdua de missatges i possibilitat de retirada en qualsevol moment.
Destinataris	Tots els llocs web connectats (la llista de dominis).
País tercer	Depèn de la ubicació dels llocs web connectats; la llista també pot arribar a llocs web de fora de l'EEE. Només constitueix dades personals en casos límit (dominis de persones físiques). Encara cal determinar la base de la transferència prevista al capítol V del RGPD per a aquests casos (qüestió pendent de la revisió jurídica).
Conservació	Els senyals es conserven 30 dies (execució diària de protecció col·lectiva a partir de les 04:00, cfg/swarm_lib.php). La llista es recalcula diàriament; en desapareix tot allò que ja no assoleix el llindar.
Mesures tècniques i organitzatives	Secció 8.

B.22 Claus API, interfície de programació i servidor MCP

Camp	Contingut
Finalitat	Accés de les eines pròpies del Client (API REST, Zapier, Make i servidor MCP per a assistents d'IA) als dominis, les comprovacions i les incidències del Client.
Categories de persones interessades	Els Clients que creen claus.
Categories de dades personals	Clau només en forma de hash, prefix, etiqueta i moments de creació, últim ús i revocació (api_keys). Crides per minut (api_usage).
Base jurídica	Art. 6(1)(b) del RGPD.
Destinataris	L'eina a la qual el Client proporciona la clau; la determina el Client.
País tercer	Depèn de l'eina del Client.
Conservació	Les claus es conserven fins que es revoquen i se suprimeixen immediatament juntament amb el compte; les claus sense compte (dades antigues) se suprimeixen cada nit. Els comptadors de crides se suprimeixen al cap d'un dia (la neteja es fa ocasionalment durant una crida).
Mesures tècniques i organitzatives	Secció 8.

B.23 reCAPTCHA i la nostra pròpia protecció de formularis

Camp	Contingut
Finalitat	Defensa contra l'accés automatitzat als nostres propis formularis: comprovació gratuïta, eina de capçaleres, exclusió voluntària, inici de sessió, registre, oblit i restabliment de contrasenya, assistència i contacte. A més, protecció pròpia sense tercers: camp trampa (camp ocult), comprovació temporal signada i testimoni CSRF. Des del 29 d'octubre de 2026, també la nostra protecció de formularis formconfirmed (prova de treball i testimoni de verificació d'un sol ús) a la comprovació gratuïta, el registre, l'inici de sessió i «He oblidat la contrasenya».
Categories de persones interessades	Les persones que envien aquests formularis.
Categories de dades personals	A Google: adreça IP, dades del navegador i del dispositiu, dades de comportament i galetes de Google. Amb nosaltres: la valoració de Google (puntuació i acció) només en el moment de la comprovació, sense emmagatzematge, ni tan sols quan es rebutja un enviament. A la protecció pròpia de formularis: adreça IP (emmagatzemada només de forma escurçada i convertida en hash), pàgina, moments, camp trampa emplenat sí/no; cap contingut.
Moment	L'script de Google només es carrega quan s'envia un formulari protegit, no quan s'obre la pàgina. La protecció pròpia de formularis obté la seva tasca en obrir-se la pàgina i fa el càlcul tan bon punt s'utilitza el formulari. Al sistema de desenvolupament, reCAPTCHA està desactivat.
Base jurídica	Art. 6(1)(f) del RGPD. Interès: protecció contra els bots, especialment per a la comprovació gratuïta, que altrament es podria utilitzar contra llocs web de tercers. Si l'accés al dispositiu terminal exigeix consentiment d'acord amb el § 25 TDDDG o l'art. 399 PKE, tot i que l'script només es carrega en enviar el formulari, és una qüestió pendent de la revisió jurídica. La protecció pròpia de formularis no instal·la galetes, no emmagatzema res al navegador i no genera cap empremta digital; està previst que substitueixi reCAPTCHA de manera permanent.
Destinataris	Google Ireland Limited; Google LLC. A la protecció pròpia de formularis, cap.
País tercer	EUA (només reCAPTCHA). Base: certificació en virtut del Marc de privacitat de dades UE-EUA o clàusules contractuals tipus; cal documentar-la detalladament.
Conservació	reCAPTCHA: no emmagatzemem les dades; Google les conserva segons les seves normes. Protecció pròpia de formularis: identificador convertit en hash, 1 hora; testimonis de verificació utilitzats, 11 minuts com a màxim; resultats de la verificació sense adreça IP, 30 dies.
Interrupció del servei	Si Google no respon en tres segons o la seva resposta no es pot utilitzar, es rebutja l'enviament; també es rebutgen un testimoni buit i una resposta corresponent a una acció diferent de la del formulari. Només s'omet la comprovació quan reCAPTCHA està desactivat. A la protecció pròpia de formularis, es rebutja un enviament sense testimoni de verificació vàlid; si el servei no estava disponible per a la tasca, s'admet.
Mesures tècniques i organitzatives	Secció 8.

B.24 Assistència i formulari de contacte

Camp	Contingut
Finalitat	Rebre i respondre consultes a través de la finestra d'assistència i de la pàgina de contacte. Totes dues utilitzen la mateixa ruta i la mateixa taula.
Categories de persones interessades	Les persones que fan consultes, amb sessió iniciada o sense.
Categories de dades personals	Compte (si s'ha iniciat sessió; en aquest cas s'aplica l'adreça del compte, no la introduïda), adreça de correu electrònic, motiu d'una llista fixa, text de fins a 4.000 caràcters, estat, adreça IP completa, país, identificador del navegador, pàgina de procedència (només rutes pròpies), idioma i moments de recepció i resposta (support_requests); entrada al registre d'activitat (sense text); confirmació de recepció a la persona que fa la consulta a la safata de sortida (B.25), amb el text de fins a 2.000 caràcters només per als emissors amb sessió iniciada i sense el text per a les sol·licituds fetes sense iniciar sessió.
Base jurídica	Art. 6(1)(b) del RGPD quan la consulta afecta un contracte; altrament, (f). Adreça IP completa: (f) (límit de tres consultes per hora i adreça, prevenció d'abusos).
Destinataris	Prestador del servei de correu (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) per a la confirmació de recepció i la resposta. Telegram rep un avís fix sense cap variable («hi ha una nova sol·licitud d'assistència») i, per tant, sense dades personals.
País tercer	A través del prestador del servei de correu.
Conservació	24 mesos (execució nocturna de supressió, apartat «support»); manualment, abans. Quan se suprimeix un compte, les consultes es conserven fins al final del termini de conservació (secció 6.4).
Mesures tècniques i organitzatives	Secció 8. reCAPTCHA, protecció pròpia de formularis i limitació de freqüència.

B.25 Enviament de correu electrònic (safata de sortida)

Camp	Contingut
Finalitat	Correus electrònics transaccionals: confirmació del registre i de noves adreces de correu electrònic, restabliment de contrasenya, invitacions, avisos, informes mensuals, confirmacions i informes del portal, confirmacions de recepció i respostes d'assistència, recordatoris del període de prova i de la configuració i notificacions operatives als operadors. Sense publicitat ni correus electrònics a persones que ni s'hagin inscrit personalment ni hagin estat introduïdes pel Client com a destinatàries.
Categories de persones interessades	Els destinataris d'aquests correus electrònics.
Categories de dades personals	Adreça destinatària, assumpte, contingut complet, adreça de resposta, finalitat, ruta d'enviament, estat, error, intents i moments (mail_outbox). El contingut pot incloure enllaços de confirmació i de restabliment amb identificadors vàlids.
Base jurídica	Art. 6(1)(b) del RGPD; per a les notificacions operatives, (f).
Destinataris	Namecheap, Inc. (Private Email), Phoenix, Arizona, USA (enviament); el titular del compte veu els seus correus electrònics enviats a l'exportació de dades (sense contingut).
País tercer	Depèn del lloc de tractament del prestador del servei de correu; encara cal documentar el contracte i la base de la transferència (secció 4).
Conservació	30 dies (cada nit, srv/cron_status.php). Deliberadament, aquest termini és el més curt dels registres: un registre d'enviaments de llarga durada seria una col·lecció de claus vàlides. L'execució d'estat comprova cada cinc minuts si correspon tornar a intentar un enviament.
Estat	Cal configurar l'enviament de correu electrònic abans del llançament. Fins que no s'hagin concretat el prestador del servei de correu, la seva seu i la base jurídica, els textos legals mostren un marcador.
Mesures tècniques i organitzatives	Secció 8. Es torna a intentar l'enviament dels correus fallits a intervals creixents i s'abandona després d'un nombre màxim d'intents.

B.26 Pagaments i facturació

Camp	Contingut
Finalitat	Contractar i gestionar subscripcions (mensuals o anuals, amb pagament anticipat), període de prova de 14 dies sense targeta amb un recordatori tres dies abans del final, pagament contra factura per a subscripcions anuals (desactivat per defecte), desbloqueigs mitjançant codis de proveïdors d'allotjament i de col·laboradors sense pagament, facturació i conservació amb finalitats fiscals.
Categories de persones interessades	Els Clients.
Categories de dades personals	A Stripe: adreça de correu electrònic, nom, adreça de facturació, número d'identificació a efectes de l'IVA, dades de pagament i factures; com a metadades, el nostre identificador de compte i el pla. Amb nosaltres: identificadors de client i de subscripció de Stripe, pla, estat, final del període i cancel·lació al final del període (users); esdeveniments de Stripe rebuts només amb identificador, tipus, estat i moments, sense contingut (stripe_events); bescanvis de codis de proveïdors d'allotjament amb compte, campanya i caducitat (bundle_redemptions). Les dades de targeta no ens arriben mai.
Origen	El Client al procés de pagament de Stripe; els esdeveniments de Stripe.
Base jurídica	Art. 6(1)(b) del RGPD; per a la conservació amb finalitats fiscals, (c).
Destinataris	Stripe Payments Europe Limited (Irlanda); Stripe, Inc. (EUA). Per a algunes parts del processament de pagaments, Stripe actua sota la seva pròpia responsabilitat; l'assignació precisa dels rols forma part de la revisió jurídica.
País tercer	EUA a través de Stripe, Inc.; base: Marc de privacitat de dades o clàusules contractuals tipus segons les condicions de Stripe.
Conservació	Els camps de facturació se suprimeixen juntament amb el compte; una subscripció activa s'extingeix abans de suprimir el compte. Les factures i els registres de facturació es conserven d'acord amb la legislació fiscal polonesa durant cinc anys des del final de l'any en què va vèncer el termini de pagament de l'impost; es conserven a Stripe i es poden recuperar al portal de clients de Stripe. Els esdeveniments de Stripe i els bescanvis de codis no tenen termini de conservació (secció 6.4).
Mesures tècniques i organitzatives	Secció 8. Els esdeveniments de Stripe només s'accepten amb una signatura vàlida; cada esdeveniment es processa una vegada.

B.27 Còpies de seguretat

Camp	Contingut
Finalitat	Recuperació després d'un error: supressió indeguda o migració malmesa.
Categories de persones interessades	Tothom les dades del qual figuren a la base de dades.
Categories de dades personals	Bolcat complet i comprimit de la base de dades de l'aplicació. Les captures de pantalla i els fitxers de logotip es conserven fora de la base de dades i no formen part d'aquesta còpia de seguretat. Les credencials dels comptes de prova només hi figuren com a text xifrat (A.5).
Procediment	Cada nit a les 03:00, després de l'execució de supressió, perquè la còpia de seguretat no inclogui allò que els terminis de conservació acaben de fer suprimir. El bolcat només es conserva després de comprovar-ne el contingut (codi de sortida, nombre de taules i línia final). Els diumenges, una prova de restauració carrega l'última còpia de seguretat en una base de dades d'un sol ús i la compara taula per taula. Si alguna cosa falla, els operadors reben un avís i un correu electrònic.
Base jurídica	Art. 6(1)(f) del RGPD en relació amb l'art. 32(1)(c).
Destinataris	Cap.
País tercer	Cap.
Conservació	14 dies; els bolcats més antics només s'eliminen després de completar correctament una nova còpia de seguretat (cfg/backup_lib.php). Les supressions que es fan durant aquest temps només es fan efectives a la còpia de seguretat quan aquesta caduca; si es restauren dades d'una còpia de seguretat, les sol·licituds de supressió es tornen a aplicar després.
Ubicació	Actualment, les còpies de seguretat es conserven a la mateixa ubicació que la base de dades i no es xifren per separat; es preveu una còpia xifrada en una segona ubicació (seccions 8.1 i 10).
Mesures tècniques i organitzatives	Secció 8.

B.28 Registre d'errors i alerta d'errors

Camp	Contingut
Finalitat	Detectar i corregir errors abans que un Client els comuniqui. Els tipus d'error nous i les onades d'errors es comuniquen als operadors, a més d'un resum diari a partir de les 08:00.
Categories de persones interessades	Els usuaris la sol·licitud dels quals provoca un error; indirectament, les persones les dades de les quals apareixen en un missatge d'error.
Categories de dades personals	Nivell, origen, missatge, context en format JSON, identificador del compte de la sessió i moment (error_logs). Tipus d'error: empremta, patró (del qual s'han eliminat adreces de correu electrònic, adreces, nombres i identificadors), un missatge de mostra sense modificar de fins a 2.000 caràcters, primera i última aparició i recompte (error_kinds).
Base jurídica	Art. 6(1)(f) del RGPD (seguretat operativa, art. 32).
Destinataris	Els operadors, per correu electrònic a través del prestador del servei de correu: per a un tipus d'error nou, l'origen i el text en brut del missatge de fins a 400 caràcters (sense depurar), a més del correu electrònic de resum diari; per a una onada d'errors, només s'envia l'avís de Telegram. Telegram només rep frases fixes sense variables («S'ha produït un nou tipus d'error», «Molts errors en poc temps»).
País tercer	A través del prestador del servei de correu.
Conservació	El registre d'errors es conserva 90 dies (supressió nocturna). Els tipus d'error no tenen termini de conservació (secció 10). L'alerta d'errors està activada al sistema de producció i desactivada al sistema de desenvolupament.
Mesures tècniques i organitzatives	Secció 8.

B.29 Avisos operatius i supervisió d'estat

Camp	Contingut
Finalitat	Detectar interrupcions: cada cinc minuts es comproven els components (pàgina d'inici, base de dades, espai en disc, senyal periòdic de l'escàner i tasques acumulades a la cua), pàgina d'estat, avís d'avaria i de restabliment del servei, senyal periòdic a un servei extern de supervisió perquè fins i tot es detecti una interrupció completa; tasques acumulades pendents de l'escàner.
Categories de persones interessades	En general, cap.
Categories de dades personals	Cap. Files diàries per component amb el nombre de comprovacions i l'últim error (system_status_logs), senyal periòdic de l'escàner (scanner_heartbeat) i xifres clau diàries sense referència personal (daily_stats). Els avisos a Telegram són frases fixes sense variables; el senyal periòdic és una sol·licitud sense contingut.
Base jurídica	No és aplicable, perquè no hi ha dades personals; per precaució, art. 6(1)(f).
Destinataris	Telegram (frases fixes); el servei extern de supervisió (només la sol·licitud); els operadors per correu electrònic.
País tercer	Telegram fora de la UE; no es transmeten dades personals.
Conservació	Les files d'estat es conserven 400 dies (supressió nocturna).
Mesures tècniques i organitzatives	Secció 8.

B.30 Exclusió voluntària: excloure un domini

Camp	Contingut
Finalitat	Qualsevol persona pot excloure permanentment qualsevol domini de les comprovacions sense aportar proves; el bloqueig té efecte immediat per a totes les vies de comprovació (comprovació gratuïta, connector sense compte, estudi, comprovació de clients potencials i eina de capçaleres) i també per als dominis de Clients de pagament amb prova de control; la seva supervisió en curs finalitza amb la comprovació programada següent. S'aplica al domini i a la seva variant www, no a altres subdominis. Només nosaltres l'aixequem, a petició i amb proves. Per poder detectar i revertir els abusos (com ara que un competidor bloquegi dominis d'altres persones), el bloqueig es registra.
Categories de persones interessades	Les persones que exclouen un domini.
Categories de dades personals	Domini, motiu voluntari de fins a 250 caràcters, origen, adreça IP, país, identificador del navegador i moment; quan s'aixeca el bloqueig, moment, persona que l'aixeca i motiu (blocklist). Registre de sol·licituds com a B.4.
Base jurídica	Per a l'exclusió, art. 6(1)(f) del RGPD. Interès: fer efectiva, permanentment i per a totes les vies de comprovació, la voluntat que no es comprovi un domini. Si la persona que l'exclou és ella mateixa una persona interessada, l'exclusió també fa efectiva la seva oposició d'acord amb l'art. 21 (art. 6(1)(c)). Per a l'adreça, el país i l'identificador del navegador, (f) (detecció d'abusos).
Destinataris	Google (reCAPTCHA, B.23).
País tercer	EUA a través de reCAPTCHA.
Conservació	L'adreça IP, el país i l'identificador del navegador se suprimeixen al cap de 12 mesos (execució nocturna de supressió, apartat «optout_ip»). L'exclusió mateixa es conserva permanentment perquè sigui efectiva.
Mesures tècniques i organitzatives	Secció 8. Molts bloqueigs procedents d'un mateix país en poc temps generen una anomalia (B.4).

B.31 Recordatori després del registre

Camp	Contingut
Finalitat	Un únic correu electrònic entre dos i 14 dies després del registre als comptes confirmats sense cap domini confirmat: «Afegir un lloc web» o «Confirmar el domini». Sense oferta, preu ni canvi a un pla superior; amb la indicació que no es tornarà a enviar. Els dies feiners de les 09:00 a les 18:00, com a màxim 50 per execució.
Categories de persones interessades	Els nous titulars de comptes.
Categories de dades personals	Adreça de correu electrònic, idioma, moment d'enviament (camp «recordatori enviat» a users), domini i estat de confirmació.
Base jurídica	Art. 6(1)(b) del RGPD (indicació sobre la configuració del compte propi). Determinar si el correu electrònic es considera una comunicació relativa a la relació contractual o informació comercial que exigiria consentiment (art. 10 UŚUDE, la Llei polonesa de prestació de serveis per via electrònica (ustawa o świadczeniu usług drogą elektroniczną); art. 398 PKE; § 7 UWG) és una qüestió pendent de la revisió jurídica; l'operador el pot desactivar de manera centralitzada.
Destinataris	Prestador del servei de correu (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
País tercer	A través del prestador del servei de correu.
Conservació	El moment es conserva mentre existeix el compte; el correu electrònic, 30 dies a la safata de sortida.
Mesures tècniques i organitzatives	Secció 8. El moment s'estableix abans de l'enviament, perquè una interrupció no provoqui un segon correu electrònic.

B.32 Bot de Telegram per als avisos del Client

Camp	Contingut
Finalitat	Es vincula un xat de Telegram com a destinació d'avisos: el Client rep un enllaç al nostre bot amb un codi d'un sol ús; quan el destinatari prem «Start», el nostre servidor llegeix el codi dels missatges nous al bot i desa l'identificador del xat. Per a això no cal cap punt d'accés obert a la nostra infraestructura (webhook).
Categories de persones interessades	Els Clients i les persones el xat de Telegram de les quals es vincula.
Categories de dades personals	Codi d'un sol ús, domini, compte que el crea, esdeveniments, mode de lliurament, identificador del xat i moments (telegram_links); l'identificador del xat com a destinació (alerts). Telegram proporciona altres dades de perfil amb el missatge; només s'avaluen i es desen el codi i l'identificador del xat.
Base jurídica	Art. 6(1)(b) del RGPD; per als tercers com a destinataris, A.3.
Destinataris	Telegram.
País tercer	Fora de la UE, sense decisió d'adequació; l'elecció la fa el Client (4.1). La base jurídica i la informació a facilitar són qüestions pendents de la revisió jurídica.
Conservació	Un codi és vàlid durant 30 minuts; les files de vinculació de més d'un dia se suprimeixen quan es crea un codi nou, i els codis oberts se suprimeixen juntament amb el compte i el domini. L'identificador del xat com a destinació es conserva fins que se suprimeix la destinació d'avisos o el domini.
Mesures tècniques i organitzatives	Secció 8.

B.33 Programa de col·laboradors i codis de desbloqueig

Camp	Contingut
Finalitat	Un compte pot recomanar nous Clients mitjançant un codi de recomanació i rep una comissió sobre les seves factures pagades durant un nombre limitat de mesos. El codi es transmet a l'adreça fins al registre; no s'estableix cap galeta. Els proveïdors d'allotjament i els col·laboradors poden emetre codis que desbloquegen un pla durant un període sense pagament; una setmana abans del final, el Client rep un recordatori.
Estat	El programa de col·laboradors està desactivat per defecte fins que estiguin establertes les Condicions per als col·laboradors.
Categories de persones interessades	Els col·laboradors i els Clients recomanats.
Categories de dades personals	Codi de recomanació, col·laborador que recomana i moment de la recomanació (a users); comissió amb col·laborador, Client, identificador de factura de Stripe, import, moneda, comissió, estat i moments (partner_commissions). Desbloqueig amb pla, final, origen i recordatori (a users); campanyes i bescanvis (bundle_campaigns, bundle_redemptions).
Base jurídica	Art. 6(1)(b) del RGPD (acord de col·laborador); per al Client, (f) (liquidació de la comissió, sense transmetre al col·laborador dades del Client més enllà de l'import de la comissió); registres fiscals, (c).
Destinataris	El col·laborador veu les seves comissions.
País tercer	Cap.
Conservació	La recomanació i el desbloqueig se suprimeixen juntament amb el compte. Les comissions i els bescanvis no tenen termini de conservació al codi; com a registres comptables, les comissions estan subjectes a conservació amb finalitats fiscals (secció 6.4).
Mesures tècniques i organitzatives	Secció 8.

B.34 Punt de comunicació de vulnerabilitats

Camp	Contingut
Finalitat	Rebre comunicacions de vulnerabilitats de formexposed, d'acord amb les normes de la pàgina de Seguretat i de /.well-known/security.txt.
Categories de persones interessades	Les persones que comuniquen vulnerabilitats; les persones les dades de les quals figuren com a prova en una comunicació.
Categories de dades personals	Adreça de correu electrònic, nom, contingut de la comunicació i fitxers adjunts, tal com els envia la persona que fa la comunicació. La comunicació ens arriba per correu electrònic a l'adreça que s'hi indica; l'aplicació no l'emmagatzema.
Base jurídica	Art. 6(1)(f) del RGPD (seguretat del servei, art. 32); si una comunicació conté dades personals de tercers com a prova, igualment (f), amb la finalitat de corregir la vulnerabilitat.
Destinataris	El prestador del servei de correu i, fins que es configuri la bústia, el reenviament del domini a Namecheap (secció 4).
País tercer	A través del prestador del servei de correu i, fins al canvi, del reenviament.
Conservació	No s'ha establert cap termini de conservació ni se n'aplica cap tècnicament (secció 10). L'operador encara ha de fixar el termini; una opció evident seria suprimir les proves de tercers un cop corregida la vulnerabilitat i tractar la correspondència com les consultes d'assistència.
Mesures tècniques i organitzatives	Secció 8.

B.35 Comentaris sobre un informe

Camp	Contingut
Finalitat	Rebre comentaris a sota d'un informe («Hi ha alguna cosa incorrecta en aquest informe?») per detectar errors en la detecció de formularis. El superadministrador els classifica (nous, confirmats, corregits o rebutjats) i pot descarregar les dades de comprovació de l'informe com a cas de prova (formularis amb camps, motius i resultats de comprovació, sense captures de pantalla ni textos enviats activament).
Categories de persones interessades	Les persones que visualitzen un informe, amb sessió iniciada o sense.
Categories de dades personals	Categoria i comprovació de llistes fixes, adreça de pàgina de fins a 500 caràcters, text de fins a 1.000 caràcters, idioma, moment, identificador de l'informe, comprovació i amfitrió; identificador del compte si s'ha iniciat sessió; HMAC-SHA256 de l'adreça IP amb una clau secreta per al límit; estat, persona que ho tramita i moment de la tramitació (report_feedback). Registre d'activitat: canvis d'estat i descàrregues d'un cas de prova. Sense adreça de correu electrònic ni adreça IP en text clar.
Base jurídica	Art. 6(1)(f) del RGPD (detectar i corregir errors de detecció; límit contra els abusos).
Destinataris	Cap.
País tercer	Cap.
Conservació	24 mesos (execució nocturna de supressió, apartat «report_feedback»); la suma de verificació de l'adreça IP s'elimina al cap de 2 dies (apartat «report_feedback_ip»); les dades se suprimeixen immediatament quan se suprimeix un compte. Els casos de prova descarregats no contenen dades sobre la persona que ha enviat els comentaris.
Mesures tècniques i organitzatives	Secció 8. Protecció pròpia del formulari (camp trampa, temps signat i CSRF), com a màxim 5 comunicacions per hora i 20 per dia per suma de verificació, 10 per informe; només els superadministradors les poden llegir.

6. Conservació: què cobreix l'execució nocturna de supressió i què no cobreix

Hi ha supressió automàtica, i té un àmbit d'aplicació. Cada cinc minuts, el crontab del servidor web inicia una execució d'estat (srv/cron_status.php), tant al sistema de producció com al de desenvolupament. Comprova els components, recupera el correu de la comprovació del lliurament, programa comprovacions i envia avisos. Un cop al dia, a la finestra de les 03:00 a les 03:04, suprimeix les dades d'acord amb els terminis de conservació i després crea la còpia de seguretat. Des del 27 de setembre de 2026 també crida l'execució de conservació a cfg/fristen_lib.php (fe_fristen_lauf()), els apartats de la qual s'executen independentment entre si: si un falla, els altres continuen, i l'error es registra al registre d'errors.

Prova que l'execució funciona: l'estat de les còpies de seguretat del sistema de desenvolupament mostra una còpia de seguretat completada correctament a les 03:00 de l'11 d'octubre de 2026; la còpia es crea en el mateix bloc immediatament després de la supressió. L'execució escriu un registre per taula de la qual ha suprimit dades només a la sortida estàndard, que el crontab descarta; no hi ha un registre permanent de què es va suprimir i quan (secció 10).

Els terminis de conservació que apareixen com a marcadors es configuren a l'àrea d'administració, a la configuració de conservació. L'execució llegeix la mateixa configuració; per tant, els textos sempre mostren el termini després del qual les dades se suprimeixen realment.

6.1 Cobert per l'execució diària

Dades	Termini de conservació i desencadenant	Ubicació al codi
Registre de visualitzacions de pàgina (access_logs)	60 dies	srv/cron_status.php
Registre d'activitat (audit_logs)	365 dies	srv/cron_status.php
Registre d'errors (error_logs)	90 dies	srv/cron_status.php
Safata de sortida (mail_outbox)	30 dies	srv/cron_status.php
Testimonis de «Mantenir la sessió iniciada» (remember_tokens)	després de la caducitat (30 dies)	srv/cron_status.php
Invitacions no acceptades (workspace_invites)	després de la caducitat (14 dies)	srv/cron_status.php
Intents d'inici de sessió (login_attempts); comptadors d'intents (auth_attempt_buckets)	7 dies; els comptadors, quan caduca la seva finestra temporal (actualment 15 minuts, una hora per al restabliment de contrasenya i el registre), també amb l'accés següent	srv/cron_status.php
Registre de sol·licituds de comprovacions sense compte (check_throttle)	7 dies	srv/cron_status.php
Codis d'un sol ús per connectar el connector (plugin_connect_tokens)	1 dia després de la caducitat	srv/cron_status.php
Anomalies resoltes (abuse_flags)	90 dies després de la resolució	srv/cron_status.php
Informes caducats juntament amb el resultat de la comprovació, els formularis, els resultats detallats, les imatges i la tasca (només sense domini en un compte)	anònims: 30 dies; clients potencials: 90 dies	fe_reports_aufraeumen()
Registre de lliuraments d'avisos (alert_log)	90 dies	fe_alert_log_aufraeumen()
Files d'estat (system_status_logs)	400 dies	srv/cron_status.php
Registres de consentiment dels comptes suprimits (legal_consents)	un cop suprimit el compte i quan el consentiment té 4 anys d'antiguitat	srv/cron_status.php
Dades òrfenes de dominis suprimits: resultats de comprovació, tasques, dades d'avisos, incidències, codis de Telegram, lliuraments, comprovacions periòdiques, vulnerabilitats, proves, inventari de scripts i canvis de scripts	immediatament en l'execució següent	fe_fristen_lauf(), apartats «orphan_scans» i «orphan_rows»
Dades del connector d'amfitrions sense domini; fila del connector sense compte	immediatament; la fila, al cap de 90 dies sense contacte	apartat «orphan_hosts»
Resultats de l'eina de capçaleres (header_checks)	actualment 90 dies	apartat «header_checks»
Resultats de comprovació d'un domini amb formularis, resultats detallats, imatges, informes i tasques	13 mesos; es conserva l'última comprovació completada de cada domini	apartat «old_scans»
Execucions amb navegador, tasques de navegador completades i sèries temporals (form_browser_runs, scan_jobs, form_performance)	13 mesos	apartats «browser_runs», «browser_jobs» i «form_performance»
Comptadors de formularis (form_metrics), xifres diàries del connector i notificacions de canvis (plugin_stats, plugin_changes)	13 mesos	apartats «form_metrics» i «plugin_stats»
Dispositius amb sessió iniciada (login_sessions)	90 dies després de l'últim ús o de la revocació	apartat «sessions»
Invitacions acceptades	30 dies després de l'acceptació	apartat «invites»
Sol·licituds d'assistència (support_requests)	24 mesos	apartat «support»
Comentaris sobre informes (report_feedback)	24 mesos; suma de verificació de l'adreça IP: 2 dies	apartats «report_feedback» i «report_feedback_ip»
Versions PDF dels informes a la memòria cau (var/pdf)	7 dies	apartat «pdf_cache»
Adreça IP, país i identificador del navegador a l'exclusió voluntària (blocklist)	12 mesos; l'exclusió es conserva	apartat «optout_ip»
Subscriptors del portal (client_subscribers)	no confirmats: 30 dies; donats de baixa: 3 anys	apartat «subscribers»
Comptes que mai no s'han confirmat, juntament amb l'espai de treball	30 dies sense iniciar sessió, llevat que hi hagi un altre membre vinculat	apartat «pending_accounts»
Claus API sense compte (dades antigues)	immediatament	apartat «api_keys»

6.2 Fora de la finestra de les 03:00

Dades	Termini de conservació i desencadenant	Ubicació al codi
Còpies a la bústia de control de la comprovació del lliurament	després del tractament, cada cinc minuts	fe_zustellung_abholen()
Assignacions de la comprovació del lliurament (delivery_log)	180 dies, en cada recuperació	fe_zustellung_abholen()
Text xifrat del compte de prova a les tasques (scan_jobs)	després de l'execució, com a màxim al cap d'una hora	servidor d'escaneig; fe_login_aufraeumen()
Incidències (alert_incidents) amb els seus intents de lliurament d'escalades	mentre no estiguin resoltes; 180 dies després de la resolució	fe_vorfaelle_aufraeumen() a cfg/vorfall_lib.php
Notificacions de resum enviades (alert_queue)	30 dies després del lliurament	cfg/kanal_lib.php
Senyals de protecció col·lectiva (swarm_signals)	30 dies, diàriament a partir de les 04:00	cfg/swarm_lib.php
Comprovacions de clients potencials (prospect_checks)	90 dies, diàriament a partir de les 04:00	srv/cron_status.php
Codis de vinculació de Telegram (telegram_links)	1 dia, quan es crea un codi nou	cfg/kanal_lib.php
Comptadors de crides API (api_usage)	1 dia, ocasionalment durant una crida	cfg/agentur_lib.php
Interrupcions resoltes de prestadors (provider_incidents), memòria cau de vulnerabilitats (vuln_cache)	90 i 30 dies, respectivament; sense dades personals	cfg/anbieter_lib.php, cfg/luecken_lib.php
Dades brutes dels estudis	en publicar-los	fe_studie_veroeffentlichen()
Còpies de seguretat	14 dies, després de completar correctament una nova còpia de seguretat	cfg/backup_lib.php
Registres del servidor web	14 dies	rotació de registres del sistema

6.3 Quan el Client suprimeix dades

• Supressió d'un domini (fe_domain_loeschen()): se suprimeixen els resultats de comprovació amb els formularis, els resultats detallats i els fitxers d'imatge, els informes, les tasques, les destinacions d'avisos, el registre de lliuraments, la cua de resums, els incidències, els codis de Telegram, els lliuraments, les comprovacions periòdiques, les vulnerabilitats, els registres de proves i el domini dels portals de clients amb una selecció fixa; mitjançant claus foranes, els formularis supervisats amb les execucions amb navegador, les observacions i les sèries temporals, el compte de prova i els comptadors de formularis; les dades del connector de l'amfitrió si cap altre domini no hi fa referència. L'inventari de scripts i els canvis de scripts del domini també se suprimeixen juntament amb el domini; no tenen un termini de conservació propi (seccions 6.4 i 10). Les dades que han quedat sense un domini associat del període anterior al 27 de setembre de 2026 s'eliminen amb l'execució nocturna (apartats «orphan_scans» i «orphan_rows»).
• Supressió d'un espai de treball (fe_arbeitsbereich_daten_loeschen()): a més, se suprimeixen la marca, inclòs el logotip, els portals de clients, inclosos els subscriptors, els codis de connexió i les comprovacions de clients potencials; també les invitacions i les vinculacions dels membres.
• Supressió d'un compte: s'extingeix immediatament una subscripció de pagament activa a Stripe, sense reemborsament; es transfereixen o se suprimeixen els espais de treball propis del titular; se suprimeixen les vinculacions dels membres, els testimonis de manteniment de la sessió iniciada, els dispositius, les claus API amb els comptadors, els codis oberts de Telegram i la fila del compte.
• Supressió d'un compte de prova (fe_login_loeschen()): se sobreescriu el text xifrat, se suprimeix la fila i es netegen les tasques en espera.

6.4 Què no cobreix l'execució

Aquesta és la llista més important. Enumera les dades per a les quals no hi ha un termini de conservació automàtic o que perduren després d'una supressió.

Dades	Regla aplicable	Valoració
Dades del compte, inclosa l'última adreça IP (users)	fins que el titular del compte el suprimeix; els comptes inactius no se suprimeixen	dades contractuals; falta una regla per als comptes permanentment inactius sense subscripció
Registre d'activitat, visualitzacions de pàgina i registre d'errors d'un compte suprimit	es conserven amb l'identificador del compte i l'adreça IP fins al final del seu termini de conservació	deliberat (prova de les accions també després de l'extinció); l'identificador ja no apunta a cap compte
Sol·licituds d'assistència d'un compte suprimit	es conserven fins a 24 mesos amb l'identificador antic del compte	deliberat; l'identificador no s'elimina
Registres de consentiment d'un compte suprimit	fins que el consentiment té 4 anys d'antiguitat (comptats des del consentiment, no des de la supressió del compte)	deliberat (secció B.12)
Anomalies no resoltes amb adreça IP (abuse_flags)	fins que algú les resol	punt pendent (secció 10)
Tipus d'error amb un missatge de mostra sense modificar (error_kinds)	sense termini de conservació	punt pendent (secció 10)
Inventari de scripts i canvis de scripts (script_inventory, script_changes)	sense termini de conservació propi; es conserven mentre existeix el domini i se suprimeixen juntament amb aquest	punt pendent (secció 10)
Subscriptors de portals de clients revocats	fins que se suprimeix l'espai de treball	punt pendent (secció 10)
Claus API i codis de connexió revocats	fins que se suprimeix el compte o l'espai de treball	només hashes, prefix i etiqueta; importància menor
Llista d'amfitrions d'estudis (study_domains), estudis que no es publiquen mai	sense termini de conservació	punt pendent (secció 10)
Comprovacions internes sense domini ni informe (resultats de comprovació, formularis, resultats detallats i captures de pantalla)	sense termini de conservació; cap via de supressió no les cobreix	punt pendent (secció 10)
Comissions, bescanvis de codis i esdeveniments de Stripe	sense termini de conservació	rellevància comptable; cal fixar el termini d'acord amb la legislació fiscal
Antiguitat del domini emmagatzemada a la memòria cau (domain_age_cache)	sense termini de conservació	només el nom del domini i la data de registre
Resultat d'autenticació del correu del formulari amb el domini emissor	se suprimeix juntament amb el domini; se sobreescriu en cada recepció	vegi A.1
Exclusions voluntàries	permanents	deliberat; sense permanència, cap exclusió no és efectiva
Correus electrònics a la bústia del punt de comunicació i a la bústia general	sense termini tècnic de conservació	punt pendent (secció 10)

6.5 Fora de la base de dades

• Les captures de pantalla es conserven com a fitxers fora del directori web i se suprimeixen juntament amb el resultat de la comprovació (totes les vies de supressió anteriors també suprimeixen els fitxers).
• Els fitxers de logotip de la marca se suprimeixen quan se substitueixen i juntament amb l'espai de treball.
• Al servidor d'escaneig es crea un directori temporal amb el resultat i les imatges per a cada tasca; se suprimeix després de cada execució, també després d'un error.
• Les còpies de seguretat es conserven al servidor web (B.27).
• Els registres del servidor web amb l'adreça IP completa es conserven durant 14 dies (B.1).

7. Decisions automatitzades, elaboració de perfils i avaluació

formexposed avalua llocs web, no persones. Segons la nostra valoració, el servei no pren cap decisió que produeixi efectes jurídics sobre una persona o l'afecti significativament de manera similar (art. 22(1) del RGPD). Tanmateix, hi ha avaluacions automatitzades i bloqueigs automàtics. Els enumerem perquè es pugui comprovar aquesta classificació.

Mecanisme	Què fa	A qui afecta
Puntuació i valoració d'una comprovació	Suma ponderada de les capes de protecció que falten (CAPTCHA, camp trampa, testimoni, comprovació temporal, CAPTCHA ineficaç i configuració exposada coneguda), de 0 a 100; d'aquí se'n deriva «Desprotegit», «Parcialment protegit» o «Protegit». La valoració del lloc web segueix el pitjor formulari de contacte reconegut com a tal per les regles (no pel model de llenguatge); sense formulari de contacte no hi ha valoració. Els pesos es poden configurar a l'àrea d'administració.	Els operadors de llocs web; en el cas d'empresaris individuals, indirectament una persona. La valoració no té cap conseqüència jurídica; és un resultat de comprovació amb proves i instruccions.
Classificació del tipus de formulari	Primer les regles; un model de llenguatge local només si les regles retornen «unknown». Decideix si es permet un enviament de prova actiu (només per a un formulari de contacte reconegut de manera fiable per les regles). Els formularis classificats pel model de llenguatge no s'envien mai i no compten per a la puntuació ni per a la valoració.	El Client i els destinataris dels correus electrònics dels seus formularis; efecte protector: en cas de dubte, no s'envia res.
Pla d'acció prioritzat als informes de pagament	Un model de llenguatge local resumeix resultats de comprovació seleccionats que hagin fallat o no siguin clars i metadades de l'escaneig en passos breus numerats. El text s'identifica com a resum d'IA; els resultats individuals de comprovació continuen sent la referència. No modifica cap puntuació de l'escaneig, valoració ni configuració del lloc web.	El Client o un altre lector autoritzat de l'informe, que decideix quins passos adoptar.
Distintiu	Només mostra «Protegit» sota condicions fixes (B.18); altrament és neutral.	El Client; sense efecte sobre els visitants.
Límits i bloqueigs per a la comprovació gratuïta, l'eina de capçaleres i l'exclusió voluntària	Rebutgen les sol·licituds si s'assoleixen els límits per adreça, sessió, domini o sistema, si el domini és massa recent o d'antiguitat desconeguda o si és a la llista de bloqueig.	Els sol·licitants; efecte: es denega un servei gratuït durant hores o dies. Un administrador pot desbloquejar una adreça; les consultes a través de la pàgina de contacte arriben a una persona.
Anomalies	Es registren i es comuniquen patrons (molts dominis des d'una adreça, ràfegues de sol·licituds, molts rebutjos, moltes exclusions voluntàries des d'un país i límit diari assolit). No bloquegen per si sols; els bloqueigs deriven dels límits.	Els sol·licitants.
Bloqueig de l'inici de sessió	Actualment, després de vuit intents fallits d'inici de sessió des d'una adreça en 15 minuts, es rebutgen temporalment els inicis de sessió des d'aquella adreça. A més, tots els intents d'inici de sessió, inclosos els correctes, es compten per compte i adreça IP (actualment vuit), per compte en el conjunt de totes les adreces (un nombre considerablement més gran, contra els intents distribuïts d'endevinar la contrasenya) i per adreça IP (actualment 80) en 15 minuts, igual que els codis de segon factor (deu per compte en 15 minuts); si se superen aquests límits, es rebutgen els intents. Per tant, els intents fallits des d'una altra adreça ja no deixen el titular sense accés al compte. Les confirmacions de contrasenya (cinc per compte en 15 minuts), els correus de restabliment (tres per adreça i hora, amb una resposta invariable), els registres (deu per adreça IP i hora) i els intents d'introduir la contrasenya d'un portal de clients (deu per portal i adreça IP, 50 per portal en 15 minuts) es limiten de la mateixa manera.	Les persones que inicien sessió, es registren o obren un portal de clients; l'efecte és limitat en el temps i continua sent possible restablir la contrasenya.
Llindar de reCAPTCHA	Rebutja els enviaments per sota d'una puntuació de Google; llindar per punt d'ús (actualment 0.7 per a la comprovació i l'exclusió voluntària). També es rebutgen les respostes corresponents a una acció diferent i els enviaments per als quals Google no respon en tres segons.	Les persones que envien els nostres formularis; efecte: un nou intent o la via de la pàgina de contacte.
Protecció col·lectiva	Incorpora automàticament un domini d'enllaç a una llista quan s'assoleixen els llindars mínims; les capes de protecció dels llocs web connectats traslladen els missatges amb aquests enllaços a la quarantena.	Els emissors de missatges a pàgines del Client. Efecte: el missatge es reté, no se suprimeix, i l'operador del lloc web el pot alliberar. La decisió sobre el missatge la pren el connector de l'operador al lloc web d'aquest, no nosaltres.
Valors de comparació	«Més ben protegit que el X % dels llocs web comprovats», només a partir de totals d'almenys 20 amfitrions.	Els operadors de llocs web; sense efecte.

El mecanisme més proper a l'art. 22 és la capa de protecció del connector a les pàgines del Client, que reté automàticament els enviaments. És un tractament de l'operador del lloc web al seu propi servidor (A.10). No suprimeix res, sinó que trasllada els missatges a la quarantena, i l'operador pot alliberar qualsevol missatge. No s'elaboren perfils dels visitants ni en aquell entorn ni amb nosaltres; no hi ha cap identificador de visitant que vinculi un missatge amb un altre.

8. Mesures tècniques i organitzatives (art. 32): descripció general

Aquesta secció és la descripció general prevista a l'art. 30(1)(g) i (2)(d) del RGPD. La versió detallada és a la pàgina Mesures tècniques i organitzatives. Cada mesura següent està acreditada al codi o a la configuració. Les mesures que encara no s'han implementat figuren a la mateixa secció (8.1), perquè la descripció sigui completa.

Àmbit	Mesura vigent
Xifratge de les transmissions	HTTPS per al lloc web, l'aplicació i les interfícies; HSTS; galetes de sessió i de manteniment de la sessió iniciada només a través d'HTTPS, HttpOnly, SameSite=Lax.
Control d'accés (autenticació)	Contrasenyes només en forma de hash; les noves, amb almenys deu caràcters i com a màxim 72 bytes; bloqueig de l'inici de sessió després d'intents fallits repetits i límits d'intents per compte i adreça IP conjuntament, per compte i per adreça IP, perquè els intents fallits des d'una altra adreça no deixin el titular sense accés; límits d'intents també per a les confirmacions de contrasenya, el restabliment de contrasenya (amb la mateixa resposta i el mateix temps de resposta), els registres i les contrasenyes dels portals; inici de sessió amb segon factor (TOTP) amb secret xifrat, protecció contra la reutilització de codis i codis de recuperació en forma de hash; identificador de sessió nou en cada inici de sessió, sense acceptar identificadors no emesos pel servidor; «Mantenir la sessió iniciada» no està disponible per als superadministradors i cada testimoni només és vàlid una vegada; el canvi de l'adreça de correu electrònic invalida un enllaç de restabliment obert; els dispositius es poden revocar individualment o tots alhora; la llista de dispositius només conserva el hash de l'identificador de sessió.
Control d'accés (autorització)	Rols per espai de treball (Propietari, Administrador i Lector); els permisos es comproven respecte de l'objecte, mai respecte d'un identificador procedent del formulari; el compte de prova, «Fix it for me» i les comprovacions actives només estan disponibles per als Propietaris i els Administradors; «Veure com a client» està limitat en el temps i bloquejat per a les accions que modifiquen el compte, finalitzar aquesta vista tanca completament la sessió i només es pot tornar a l'àrea d'administració amb la contrasenya i el segon factor; les invitacions només són vàlides mentre la persona que convida sigui Propietària o Administradora; les adreces dels webhooks i dels canals de xat només es mostren als Lectors escurçades a l'amfitrió; el nom d'amfitrió d'un domini verificat no es pot modificar.
Seguretat de l'aplicació	Testimonis CSRF; sentències preparades de base de dades; protecció pròpia dels formularis (camp trampa i comprovació temporal signada); reCAPTCHA als formularis públics; limitació de freqüència per a l'assistència, les comprovacions i les interfícies; només una crida de «Fix it for me» per espai de treball alhora, perquè la quota també s'apliqui a les sol·licituds simultànies; Content Security Policy amb protecció contra la inclusió en marcs que només permet executar scripts que porten l'autorització (nonce) de la resposta corresponent; adreça IP de capçaleres de reenviament només del nostre propi servidor intermediari i només de l'entrada que aquest ha afegit; testimonis d'accés emmascarats al registre de visualitzacions de pàgina.
Secrets	Claus API, codis de connexió, secrets de connexió dels connectors, codis d'un sol ús i contrasenyes dels portals només en forma de hash; credencials dels comptes de prova xifrades asimètricament, amb la clau privada només al servidor d'escaneig; webhooks signats; esdeveniments de Stripe només amb una signatura vàlida.
Minimització de dades	La comprovació del lliurament no emmagatzema contingut ni adreces emissores completes; les adreces destinatàries dels formularis només es desen com a domini; els identificadors de compte de les adreces de scripts se substitueixen; les xifres dels connectors només provenen de llistes fixes; els textos d'error de l'enviament de correu electrònic només es desen com a categoria; avisos de Telegram sense variables; imatges de les comprovacions amb navegador amb les entrades emmascarades; cap captura de pantalla a les àrees que requereixen iniciar sessió.
Aïllament de l'escàner	Cada comprovació s'executa en el seu propi contenidor: es retiren totes les capacitats de Linux, sense escalada de privilegis, amb sistema de fitxers de només lectura, límits de memòria i de processos i xarxa pròpia; comprovació de la destinació per excloure les xarxes privades i locals abans de l'acceptació i a l'escàner, també després de les redireccions; service workers bloquejats i connexions WebSocket tancades. Les sol·licituds del servidor web (prova de control, eina de capçaleres, cerca de fitxers, comprovació periòdica, RDAP, certificats, webhooks i avisos de xat) només es fan als ports web habituals i només a l'adreça exacta comprovada; els webhooks i els avisos de xat, només a través d'HTTPS.
Emmagatzematge	Captures de pantalla fora del directori web, accessibles només a través de l'informe; informes en adreces aleatòries amb noindex; directori de còpies de seguretat llegible només pel servei.
Disponibilitat i recuperació	Còpia de seguretat nocturna amb comprovació del contingut, prova de restauració setmanal i alerta en cas de fallada; comprovació dels components cada cinc minuts amb avís i correu electrònic; senyal periòdic extern; aturada d'emergència de les comprovacions anònimes; contrapressió quan hi ha tasques acumulades.
Traçabilitat	Registre d'activitat per als inicis de sessió, els canvis, les supressions, els accessos d'assistència i les aprovacions; registre d'errors amb alerta.
Supressió	Terminis de conservació en un únic lloc del codi, a partir de la mateixa configuració que els textos (secció 6); cadenes de supressió per al domini, l'espai de treball i el compte, amb les excepcions de la secció 6.4.
Drets de les persones interessades	Exportació amb un clic de totes les dades del compte en un fitxer, basada en una llista de camps permesos, sense secrets.
Organització	Àrea d'administració només per als comptes amb drets de superadministrador, bloquejada durant «Veure com a client»; sistemes de desenvolupament i producció separats, amb el sistema de desenvolupament darrere d'una barrera d'accés addicional; transferència dels textos legals després de l'aprovació mitjançant una eina que rebutja esborranys i marcadors.

8.1 Mesures encara no implementades

• No hi ha xifratge de la base de dades en repòs (mesurat l'11 d'octubre de 2026). Les excepcions són les credencials dels comptes de prova i el secret del segon factor, que es xifren a nivell de camp.
• Les connexions internes no estan xifrades en tot el recorregut. Les connexions dins de la nostra xarxa interna no estan xifrades en tot el recorregut. Les credencials dels comptes de prova només hi circulen com a text xifrat.
• No hi ha còpia de seguretat en una segona ubicació. Actualment, les còpies de seguretat es conserven a la mateixa ubicació que la base de dades i no es xifren per separat; es preveu una còpia xifrada en una segona ubicació. Fins aleshores, protegeixen contra una ordre de supressió errònia, no contra la pèrdua de la ubicació.
• L'enduriment de la seguretat de l'administració dels servidors no està complet. La seguretat de l'accés administratiu als nostres servidors encara no compleix l'estàndard que pretenem per al funcionament; l'enduriment continua. No en publiquem els detalls perquè ajudarien un atacant; els facilitem a una autoritat de control si els sol·licita.
• No hi ha un registre funcional de lectures a l'àrea d'administració. Les accions d'escriptura queden registrades al registre d'activitat; qui només ha visualitzat una sol·licitud d'assistència o un informe determinats només es pot determinar a partir del registre de visualitzacions de pàgina (60 dies).
• No hi ha un registre permanent de supressions. No es registra què ha suprimit l'execució nocturna (secció 6).
• No hi ha un segon punt de comprovació independent. El punt de prova en una segona ubicació no està configurat (A.6).

9. Delegat de protecció de dades: valoració d'acord amb l'art. 37 del RGPD

Resultat: segons la nostra valoració, no hi ha obligació de designar-ne un. La valoració forma part de la revisió jurídica i es repetirà tan bon punt canviï qualsevol de les circumstàncies enumerades a continuació.

L'art. 37(1) exigeix la designació en tres casos.

• Lletra (a) (autoritat o organisme públic): no és aplicable.
• Lletra (b) (activitats principals que exigeixen una observació habitual i sistemàtica de persones interessades a gran escala): la nostra activitat principal és la comprovació periòdica i sistemàtica de llocs web i formularis, no l'observació de persones. No creem perfils de visitants, no utilitzem seguiment ni vinculem un missatge amb un altre. La comprovació del lliurament (A.1) fa passar missatges reals de visitants per la nostra bústia, però només avalua les capçaleres i els primers 8 KB per assignar-los i no emmagatzema contingut; observa les rutes de lliurament, no les persones. Els comptes de clients i els registres són accessoris de l'activitat empresarial.
• Lletra (c) (tractament a gran escala de categories especials de l'art. 9 o de dades relatives a infraccions penals de l'art. 10 com a activitat principal): no es compleix. Les categories especials poden aparèixer incidentalment en còpies dels correus electrònics de formularis (A.1), a les pàgines que requereixen iniciar sessió (A.5) o al codi enganxat (A.7); la captació incidental no és una activitat principal.

L'art. 37(4) permet que el dret nacional afegeixi altres casos. Estem fent confirmar per un advocat si el dret polonès ens exigeix designar-ne un.

Desencadenants d'una nova valoració: activació de la protecció col·lectiva amb xarxes IP; una funció que reconegui visitants entre diversos missatges o llocs web; emmagatzematge del contingut de la comprovació del lliurament; un Client els formularis del qual tractin predominantment categories especials (salut, candidatures laborals) amb la comprovació del lliurament activada a gran escala; el primer empleat amb accés a dades de clients. Continua sent possible fer una designació voluntària; en aquest cas, els art. 37 a 39 s'apliquen íntegrament.

Separadament: la pàgina Avaluació d'impacte relativa a la protecció de dades respon si cal una avaluació d'impacte relativa a la protecció de dades d'acord amb l'art. 35 per a activitats de tractament concretes. La seva valoració del llindar conclou que cal una avaluació d'impacte relativa a la protecció de dades per a la protecció col·lectiva (B.21) i per als estudis a l'escala prevista (B.7), que duem a terme nosaltres, i que per a la comprovació del lliurament (A.1) és necessària en la configuració habitual, com a obligació del Client, al qual donem suport en aquesta tasca.

10. Punts pendents i mesures previstes

Els punts següents estan acreditats al codi, a l'esquema o a la configuració, no són suposicions. Descriuen la situació a la data d'aquesta versió; la classificació és pròpia i no anticipa cap avaluació jurídica. S'ordenen pel seu pes per a les persones interessades, no per la facilitat de corregir-los. Les mesures previstes i la seva prioritat s'exposen a l'Avaluació d'impacte relativa a la protecció de dades.

Punt pendent	Què està acreditat	Rellevància
Prestador del servei de correu sense contracte documentat	Per a Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, no estan documentats el contracte, els llocs de tractament ni la base de la transferència. Els correus electrònics dels comptes, els avisos i la bústia de control amb missatges reals de visitants passen per aquest prestador.	Les disposicions pertinents són l'art. 28(2) i (4) i el capítol V del RGPD. Es preveu subscriure el contracte i documentar aquests aspectes abans del llançament.
Bases dels serveis de xat i de reCAPTCHA pendents	Avisos a Telegram (sense decisió d'adequació), Slack, Discord, Microsoft Teams i Google Chat; reCAPTCHA sense sol·licitud de consentiment.	Qüestions pendents de la revisió jurídica; fins aleshores, la informació i la base jurídica no són definitives.
La bústia de control pot conservar missatges durant les interrupcions	La supressió es fa després d'un tractament correcte; si falla la recuperació, les còpies es conserven fins a l'execució correcta següent. No hi ha cap avís quan s'acumulen missatges pendents a la bústia durant un període prolongat.	Les còpies contenen consultes reals de visitants.
No hi ha còpia de seguretat en una segona ubicació ni xifratge de la base de dades en repòs	Secció 8.1. Es preveu una còpia de seguretat xifrada en una segona ubicació.	Un únic esdeveniment a la ubicació afectaria les dades i la còpia de seguretat alhora; un suport d'emmagatzematge robat seria llegible.
Anomalies no resoltes sense termini de conservació	Les anomalies amb l'adreça IP completa com a clau només se suprimeixen 90 dies després de la resolució; tot allò que no es resol mai es conserva.	Afecta el principi de limitació del termini de conservació (art. 5(1)(e)); la supressió depèn d'una resolució manual. Es preveu un termini de conservació fix (mesures de l'Avaluació d'impacte relativa a la protecció de dades).
Tipus d'error amb missatge de mostra sense termini de conservació	El missatge de mostra s'emmagatzema sense modificar fins a 2.000 caràcters; el patró depurat elimina adreces i nombres, la mostra no.	Els missatges d'error poden contenir adreces de correu electrònic, noms d'amfitrió o adreces IP.
Inventari de scripts sense termini de conservació propi	L'inventari de scripts i els canvis de scripts se suprimeixen juntament amb el domini (FE_DOMAIN_TABELLEN), també quan se suprimeix l'espai de treball o el compte i durant l'execució nocturna per a dades òrfenes; no tenen un termini de conservació propi. Contenen adreces de scripts, adreces de pàgines i, per a les aprovacions, la persona que aprova i un motiu en text lliure.	Afecta el principi de limitació del termini de conservació (art. 5(1)(e)); el registre de canvis amb les aprovacions continua creixent mentre existeix el domini.
Subscriptors de portals revocats	Un portal revocat es bloqueja, no se suprimeix; els seus subscriptors es conserven fins que se suprimeix l'espai de treball.	La finalitat (enviar l'informe) va cessar amb la revocació.
Llistes d'estudis sense termini de conservació	Després de la publicació, es conserven els amfitrions i els segments; els estudis que no es publiquen mai també conserven les dades brutes.	La promesa «les dades brutes se suprimeixen» només s'aplica als estudis publicats.
Comprovacions internes sense via de supressió	Les comprovacions amb el nivell de confiança «internal» que no tenen ni domini ni informe (estudis i comprovacions creats per l'operador des de la línia d'ordres) no estan cobertes per cap via de supressió; es conserven juntament amb aquestes els formularis, els resultats de comprovació i les captures de pantalla de llocs web de tercers.	Afecta el principi de limitació del termini de conservació (art. 5(1)(e)); afecta persones que no saben res de la comprovació. S'avalua com a risc alt a l'Avaluació d'impacte relativa a la protecció de dades.
La prova de control no es renova	La prova de control es comprova una vegada; no hi ha cap via al codi per la qual un domini la torni a perdre.	Els enviaments de prova actius, la cerca de fitxers i l'escaneig que requereix iniciar sessió continuen després d'un canvi de titular o d'encàrrec.
Escaneig que requereix iniciar sessió: transmissió a la pàgina del Client	Com a adreça d'inici de sessió es permet http a més d'https, i els errors de certificat de la pàgina del Client no aturen l'inici de sessió.	Les credencials dels comptes de prova es podrien interceptar durant la transmissió a la pàgina del Client.
La supressió depèn d'una finestra temporal	El bloc diari només s'executa si una execució d'estat s'inicia entre les 03:00 i les 03:04. Si aquesta única execució falla (base de dades inaccessible o servidor reiniciat), la supressió i la còpia de seguretat d'aquell dia no es fan; no hi ha recuperació de l'execució pendent. No es registra permanentment què s'ha suprimit.	En aquest cas, els terminis de conservació s'allarguen silenciosament un dia. Perdre una finestra no genera cap alerta; només es comunica una còpia de seguretat que s'executa i falla. La llista de configuració de l'àrea d'administració mostra la data de l'última còpia de seguretat completada correctament.
Algunes supressions depenen de la supervisió	El buidatge de la bústia de control de la comprovació del lliurament, la supressió d'incidències, de notificacions de resum enviades, de senyals de protecció col·lectiva i de comprovacions de clients potencials, i l'eliminació de les còpies residuals de comptes de prova a les tasques s'executen a la part de planificació de l'execució d'estat, que només funciona mentre la supervisió està activada a l'àrea d'administració; les assignacions de la comprovació del lliurament només se suprimeixen mentre hi ha una bústia de control configurada.	Si es desactiva la supervisió de manera centralitzada o es retira la bústia, aquests terminis de conservació deixen d'aplicar-se sense que ningú se n'adoni.
Punt de comunicació i bústies sense termini de conservació	Les comunicacions de vulnerabilitats i altres correus electrònics entrants es conserven fora de l'aplicació; no s'ha establert cap termini de conservació.	Les comunicacions poden contenir proves de tercers.
Els valors dels camps ocults es llegeixen durant la comprovació	L'escàner llegeix el valor dels camps ocults dels formularis fins a 24 caràcters i els atributs de dades fins a 60 caràcters per reconèixer marques de temps i testimonis. Només el nom, el tipus i l'etiqueta del camp i el resultat del reconeixement s'incorporen al mapa de camps i als resultats de comprovació, no el valor.	No hi ha una llacuna d'emmagatzematge; el valor només es conserva a la memòria de treball del contenidor d'escaneig durant la comprovació. En aquest procés es llegeix un valor emplenat prèviament (com ara un número de client), però no s'emmagatzema.
Domini emissor derivat al resultat d'autenticació	A.1.	En el cas dels dominis personals dels visitants, dades personals procedents d'un missatge real.
L'enduriment de la seguretat de l'administració dels servidors no està complet; les connexions internes no estan xifrades en tot el recorregut	Secció 8.1. L'enduriment continua; no n'indiquem els detalls públicament.	Un incident de seguretat a nivell de servidor afectaria l'aplicació, la base de dades i les còpies de seguretat alhora.
Mesurament al sistema de desenvolupament	L'esquema, el codi i la configuració s'han mesurat al sistema de desenvolupament.	El codi i l'esquema coincideixen amb els del sistema de producció; la configuració pot diferir i cal tornar-la a comprovar allà abans del llançament.

11. Manteniment d'aquest registre

L'art. 30 exigeix mantenir el registre per escrit i posar-lo a disposició de l'autoritat de control quan ho sol·liciti. Això requereix una persona responsable i un interval per contrastar-lo amb el sistema, no amb la seva versió anterior.

• Responsabilitat: Lukas Wójcik, propietari. Es revisa anualment i cada vegada que canvia una activitat de tractament.
• Esdeveniments que exigeixen una actualització: un subencarregat del tractament nou o modificat, en particular l'elecció del prestador del servei de correu; una taula nova o un camp nou amb dades personals; un canvi dels terminis de conservació o de les cadenes de supressió a cfg/fristen_lib.php o srv/cron_status.php; un canal d'avís nou o una sol·licitud nova a un tercer; l'activació d'una funció desactivada per defecte (protecció col·lectiva amb xarxes IP, punt de prova independent, dominis propis, programa de col·laboradors, pagament contra factura, Spamhaus o Google Web Risk); el trasllat a altres servidors.
• Procediment: cada afirmació d'aquí prové del codi, de l'esquema o d'un mesurament. Una revisió que només llegeix el text no ha revisat res: es tornen a mesurar l'esquema i les cadenes de supressió, els marcadors continuen sent marcadors i els punts pendents es tanquen o es mantenen amb una justificació.
• Relació amb altres documents: aquest registre no substitueix la Política de privacitat, l'Acord d'encàrrec del tractament, les Mesures tècniques i organitzatives ni la llista de Subencarregats del tractament. Quan aquests documents i aquest registre difereixen, la diferència és una incidència detectada.
• Els canvis d'aquest document s'enumeren a la pàgina Canvis als documents contractuals.