Tento dokument je zveřejněn v několika jazycích. V případě rozporu mezi jazykovými verzemi je závazná polská verze.
Verze 1.2 · Poslední aktualizace: 29. října 2026
1. Jak tento záznam číst
Toto je záznam o činnostech zpracování podle čl. 30 GDPR pro formexposed. Nejsou to zásady ochrany osobních údajů ani marketing. Jeho úkolem je ukázat dozorovému úřadu, Zákazníkovi, který nás prověřuje jako zpracovatele, nebo další osobě, která musí odpovědět na otázku, co se skutečně zpracovává, kde je to uloženo, kdo to dostává a jak dlouho to zůstává. Zveřejňujeme jej, protože služba, která kontroluje a monitoruje formuláře, by měla být sama otevřená kontrole.
Při jeho psaní platila tři pravidla.
- Změřeno, nikoli zamýšleno. Tvrzení o datových polích, dobách uložení, příjemcích nebo zárukách se objevuje pouze tam, kde je podkládá programový kód, databázové schéma nebo měření. Co je plánováno, je označeno jako „plánováno“. Co je ve výchozím nastavení vypnuto, je označeno jako „ve výchozím nastavení vypnuto“. Kde něco nedokážeme prokázat, říkáme to.
- Doba uložení je uvedena dvakrát. Jednou u každé činnosti zpracování a jednou v oddílu 6 jako celkový obraz: který noční běh maže které údaje a ke kterým údajům se nedostane. Záznam, který uvádí dobu uložení platnou jen pro část údajů, je horší než záznam, který otevřený bod pojmenuje.
- Otevřené body jsou uvedeny v textu, nikoli v poznámce pod čarou. Oddíl 8.1 uvádí opatření, která dosud nebyla zavedena, oddíl 10 otevřené body s plánovanými opatřeními. Záznam je pracovní nástroj, nikoli certifikát.
Datová pole místo názvů tabulek. U každé činnosti zpracování uvádíme uložené údaje jako srozumitelně pojmenovaná pole. Název databázové tabulky následuje v závorce, aby auditor mohl místo najít, například „pokusy o přihlášení (login_attempts)“. Seznamy polí byly odvozeny z databázového schématu, nikoli z paměti.
Doby uložení jako zástupné symboly. Kde lze dobu uložení nastavit v administrační oblasti, objevuje se zde přesně tak, jak ji čte noční běh: číslo, které vidíte, pochází ze stejného nastavení, které řídí mazání. Doby uložení pevně dané v programu jsou uvedeny jako čísla.
Základ měření. Schéma, kód a nastavení byly změřeny 11. října 2026 na vývojovém systému, který se kódem a schématem shoduje s produkčním systémem. Počty řádků z vývojového systému neuvádíme; obsahují testovací data a o živém provozu nic nevypovídají.
Záměrně vynecháno. Tento záznam neuvádí názvy hostitelů, interní síťové adresy, porty, uživatelská jména ani verze softwaru našich serverů. Takové podrobnosti pomáhají útočníkovi a žádnému subjektu údajů. Ze stejného důvodu popisujeme otevřené body v zabezpečení našich vlastních serverů pouze obecně (oddíl 8.1): pojmenováváme riziko, nikoli cestu k němu. Podrobnosti poskytneme dozorovému úřadu na požádání.
Právní povaha. Tento záznam je dokumentace, kterou vedeme podle čl. 30 GDPR pro dozorový úřad; je zveřejněn dobrovolně. Není součástí žádné smlouvy a nepředstavuje žádné prohlášení, záruku ani ujednání o jakosti vůči Zákazníkům nebo třetím osobám. Co Zákazníkům dlužíme, upravují Obchodní podmínky, Smlouva o zpracování osobních údajů a její přílohy; pokud jde o tyto povinnosti, mají před tímto záznamem přednost. Záznam popisuje stav ke dni této verze. Klasifikace jako „otevřený bod“ nebo „posouzení“ odrážejí náš vlastní názor a nepředjímají žádné právní hodnocení dozorovým úřadem nebo soudem; opatření označená jako „plánováno“ jsou záměry bez závazného termínu.
2. Právní subjekt a proč má tento záznam dvě poloviny
| Pole | Záznam |
|---|
| Právní subjekt | LW IT Solutions Company Lukas Wójcik, podnikatel – fyzická osoba zapsaný v polském rejstříku podnikatelů (CEIDG); vlastník Lukas Wójcik |
| Adresa | al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polsko |
| Daňové identifikátory | NIP 7252266190, DIČ pro účely DPH PL7252266190 |
| Kontakt | contact@lukaswojcik.com; okno podpory (otazník v navigaci); kontaktní stránka |
| Služba | formexposed: kontrola, monitorování a zabezpečení kontaktních formulářů na webech (aplikace na formexposed.com, vstupní stránka na form.exposed) |
| Zástupce podle čl. 27 GDPR | Nepoužije se. Právní subjekt je usazen v Unii (Polsko). |
| Pověřenec pro ochranu osobních údajů | Nejmenován. Posouzení podle čl. 37 je v oddílu 9. |
| Příslušný dozorový úřad | Prezes Urzędu Ochrony Danych Osobowych (UODO, polský úřad pro ochranu osobních údajů), ul. Moniuszki 1A, 00-014 Warszawa |
| Hosting | Naše vlastní servery v Polsku: jeden webový server s aplikací a databází a jeden skenovací server s lokálním jazykovým modelem ve stejné interní síti. Žádné datové centrum třetí strany ani poskytovatel cloudu. |
formexposed hraje vůči různým skupinám osob různé role. Jejich smíchání vede k záznamu, který nesedí pro žádnou z nich.
- Správce (část B, čl. 30 odst. 1). Sami jsme správcem údajů našich vlastních Zákazníků a členů jejich týmů (účet, přihlášení, fakturace, podpora, protokoly), návštěvníků našeho vlastního webu, kontrol bez účtu (bezplatná kontrola, nástroj hlaviček, studie, kontrola potenciálního klienta) a předcházení zneužití.
- Zpracovatel (část A, čl. 30 odst. 2). U osobních údajů třetích osob, které Zákazník do služby přinese nebo které vzniknou při poskytování služby Zákazníkovi, jednáme jménem Zákazníka: kopie skutečných e-mailů z formulářů v kontrole doručení, odběratelé klientského portálu Zákazníka, příjemci upozornění Zákazníka, osoby náhodně viditelné na kontrolovaných stránkách Zákazníka, přihlašovací údaje testovacího účtu Zákazníka a kód formuláře, který Zákazník vloží. Základem je Smlouva o zpracování osobních údajů, která se uzavírá s každým Zákazníkem při registraci.
- Pouze na straně Zákazníka. Některé funkce pluginu pro WordPress a rozšíření pro TYPO3 zpracovávají údaje výhradně na webu Zákazníka, aniž by se údaje k nám kdy dostaly (karanténa, záchranná síť, početní hádanka, nastavení doby uložení, místní počítadla, záznamník). Nejde o zpracování námi, a proto se neobjevují v žádné z částí. Přesto je popisujeme na konci části A, aby byla hranice viditelná.
Oddělení je zabudováno v kódu, nejen v textu: ze skutečného e-mailu z formuláře zapíše kontrola doručení do databáze pouze čas, přiřazení a výsledek ověření pravosti; snímky obrazovky z kontrol v prohlížeči maskují vstupní pole; přihlašovací údaje testovacího účtu jsou šifrovány tak, že je webový server již nedokáže přečíst. Podrobnosti jsou uvedeny v jednotlivých záznamech.
Oddíly 6 až 11 platí pro obě poloviny: doba uložení, automatizovaná rozhodování, technická a organizační opatření, pověřenec pro ochranu osobních údajů, otevřené body a vedení tohoto záznamu.
Rozsah. Tento dokument je částí záznamu, která se týká služby formexposed. Zpracování týmž právním subjektem pro jiné služby je zaznamenáno v jejich vlastních záznamech; obecné účetnictví a správa podniku mimo službu touto částí pokryty nejsou.
3. Část A – čl. 30 odst. 2: zpracování jménem Zákazníků
A.0 Zúčastněné strany
| Pole | Záznam |
|---|
| Zpracovatel | LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polsko; contact@lukaswojcik.com |
| Správci | Zákazníci formexposed: podniky a agentury, které mají ve svém účtu domény a využívají funkce, při nichž vznikají údaje třetích osob. U agentur může být správcem navíc vlastní klient agentury; agentura pak vůči tomuto klientovi jedná jako zpracovatel a my jako další zpracovatel. |
| Seznam správců | Součást tohoto záznamu, vedená v elektronické podobě (čl. 30 odst. 3 GDPR) v systému služby a nereprodukovaná v této veřejné verzi, protože obsahuje osobní údaje Zákazníků a s každým novým Zákazníkem by byla zastaralá: vlastník každého pracovního prostoru se jménem, e-mailovou adresou a společností ze zákaznického účtu (adresa a DIČ pro účely DPH pouze u Stripe) (users, workspaces, workspace_users), dále domény pracovního prostoru (domains). Dozorovému úřadu jej na požádání poskytneme jako výpis. |
| Zástupci a pověřenci pro ochranu osobních údajů správců | V systému pro to neexistuje samostatné pole. Jmenoval-li Zákazník zástupce podle čl. 27 GDPR nebo pověřence pro ochranu osobních údajů, může nám je oznámit; oznámení uchováváme spolu se seznamem správců. |
| Zástupce zpracovatele | Nepoužije se (usazen v Polsku). |
| Pověřenec pro ochranu osobních údajů | Nejmenován (oddíl 9). |
| Pokyny | Pokyn vyplývá ze Smlouvy o zpracování osobních údajů a z nastavení, která Zákazník provede: Zákazník zapne kontrolu doručení, nastaví cíle upozornění, uloží testovací účet a zřídí klientský portál. Bez tohoto úkonu dotčené zpracování neprobíhá. |
| Technická a organizační opatření | Pro každou činnost zpracování v části A platí oddíl 8 a stránka Technická a organizační opatření. Zvláštní opatření jsou uvedena v příslušném záznamu. |
A.1 Kontrola doručení – kontrolní kopie e-mailů z formulářů
| Pole | Záznam |
|---|
| Účel | Kontrola, zda je e-mail z kontaktního formuláře Zákazníka skutečně odeslán a jak je ověřen (SPF, DKIM, DMARC, alignment). Po přijatém aktivním testovacím odeslání musí jeho kopie dorazit do kontrolní schránky v nastavitelné čekací době (v současnosti 3 hodiny); jinak se vyvolá upozornění „Testovací e-mail nedorazil“. Z hlaviček se dále odvozuje pravost e-mailu z formuláře, použitá e-mailová služba a odesílací adresa pro kontrolu blokovacích seznamů. |
| Předpoklad | Placený tarif, ověřená doména, zapnuto Zákazníkem. Zákazník zadá svou vlastní kontrolní adresu s identifikátorem (ve tvaru „delivery+identifikátor@…“) jako skrytou kopii do oznámení svého formuláře. Bez nastavené kontrolní schránky není funkce k dispozici. |
| Kategorie subjektů údajů | Návštěvníci webu Zákazníka, kteří odešlou formulář Zákazníka; osoby, jejichž údaje návštěvník napíše do zprávy; zaměstnanci Zákazníka, kteří se v hlavičkách objevují jako příjemci. |
| Kategorie osobních údajů | V kontrolní schránce (u poskytovatele e-mailové služby): úplná kopie každého e-mailu z formuláře, včetně skutečných dotazů se jménem, e-mailovou adresou, telefonním číslem a volným textem, až do smazání. Čteno načítáním: hlavičky a nejvýše prvních 8 KB těla. V databázi: čas přijetí, přiřazení k doméně a případně k testovacímu běhu (delivery_log); nejnovější výsledek ověření pravosti pro každou doménu s výsledkem SPF, DKIM a DMARC, alignmentem, doménou odesílatele, podepisujícími doménami a adresou odesílajícího poštovního serveru (pole ověření pravosti domény v domains). Obsah, předmět a adresa odesílatele z řad návštěvníků se do databáze nezapisují. |
| Poznámka k doméně odesílatele | Zadává-li formulář jako odesílatele adresu návštěvníka (chybná konfigurace, kterou má kontrola odhalit), obsahuje výsledek ověření pravosti doménu této adresy, nikoli adresu samotnou. Používá-li návštěvník osobní doménu, může i to být osobní údaj. Při dalším přijetí se přepíše. |
| Zdroj | Formulář na webu Zákazníka, prostřednictvím skryté kopie zadané Zákazníkem. |
| Právní základ (určený správcem) | Určuje Zákazník. Náš navrhovaný text pro zásady ochrany osobních údajů Zákazníka zakládá kopii na čl. 6 odst. 1 písm. f) GDPR (oprávněný zájem na spolehlivém přijímání dotazů). Zákazník o tomto toku údajů informuje své návštěvníky; ukládá mu to Smlouva o zpracování osobních údajů. |
| Příjemci | Poskytovatel e-mailové služby, který provozuje kontrolní schránku (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Kopie jde přímo tam: dorazí pouze tehdy, směřují-li MX záznamy naší domény na tuto schránku (to kontroluje kontrolní seznam před spuštěním); přes přeposílání se do schránky nedostane. Na stránce domény vidí Zákazník pouze čas, přiřazení a výsledek ověření pravosti. Zhorší-li se výsledek ověření pravosti, uvádí upozornění Zákazníkovi a do jím zvolených kanálů doménu odesílatele, pokud nepatří k webu (A.3, 4.1). |
| Třetí země | Závisí na poskytovateli e-mailové služby; viz oddíl 4. Smlouva se zamýšleným poskytovatelem a základ předání dosud nejsou zdokumentovány. |
| Doba uložení | Po úspěšném zpracování se e-mail označí ke smazání a ve stejném běhu se ze schránky odstraní, i když jej nelze přiřadit k žádné doméně. Načítání běží se stavovým během každých pět minut, pokud je v administrační oblasti zapnuto monitorování (srv/cron_status.php, cfg/zustellung_lib.php). Selže-li načtení nebo mazání, zůstane e-mail ve schránce až do dalšího úspěšného běhu. Stejné načítání maže přiřazení v delivery_log po 180 dnech. Výsledek ověření pravosti existuje, dokud existuje doména. |
| Co doklad prokazuje | Pouze přijetí kopie přiřazené ke konkrétnímu testovacímu běhu v kontrolní schránce. Neprokazuje ani přijetí skutečným příjemcem, ani zápis do CRM. Nativní potvrzení z HubSpotu se nenabízí. |
| TOO | Oddíl 8. Zejména: obsah se vyhodnocuje pouze v paměti; žádné ukládání těla, předmětu ani úplných adres odesílatelů; smazání bez ohledu na to, zda se přiřazení podařilo. |
Kontrola doručení je jedinou funkcí, jejímž prostřednictvím se k nám dostávají skutečné zprávy návštěvníků našich Zákazníků. Proto jde o zpracování jménem Zákazníka, nikoli o službu na naši vlastní odpovědnost, a proto je skutečnou mírou rizika doba strávená ve schránce: běžně minuty; je-li načítání narušeno, až do jeho dalšího běhu. Kopie by neměly obsahovat zvláštní kategorie osobních údajů; technicky tomu zabránit nemůžeme, protože co návštěvník napíše, je na něm.
A.2 Klientský portál a měsíční zpráva pro odběratele
| Pole | Záznam |
|---|
| Účel | Agentura (tarif Business) ukazuje svým klientům stav jejich domén pod svou vlastní značkou (portál na náhodné adrese, volitelně s heslem, volitelně pod vlastní subdoménou agentury). Klient si tam může objednat měsíční zprávu e-mailem. Zpráva se odesílá jménem agentury. |
| Kategorie subjektů údajů | Klienti agentury a jejich zaměstnanci, kteří si zprávu objednají; osoby, které portál otevřou. |
| Kategorie osobních údajů | Odběratel: e-mailová adresa, jazyk, potvrzovací identifikátor, čas objednávky a IP adresa v době objednávky, čas potvrzení (double opt-in), čas odhlášení, poslední odeslaný měsíc (client_subscribers). Portál: název, výběr domén, náhodný identifikátor, heslo pouze jako hash, osoba, která jej vytvořila, čas, zrušení (client_portals). Návštěvy portálu se objevují v protokolu zobrazení stránek (B.2). |
| Zdroj | Zadávají sami odběratelé v portálu. |
| Právní základ (určený správcem) | Souhlas odběratele získaný postupem double opt-in; správcem je agentura. Nepíšeme nikomu, kdo se sám nepřihlásil a nepotvrdil. |
| Příjemci | Agentura (vidí své odběratele); poskytovatel e-mailové služby (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) pro potvrzovací e-mail a zprávu. |
| Třetí země | Prostřednictvím poskytovatele e-mailové služby; viz oddíl 4. |
| Doba uložení | Noční běh mazání (cfg/fristen_lib.php, část „odběratelé portálu“): nikdy nepotvrzené objednávky po 30 dnech; odhlášení odběratelé tři roky po odhlášení, jako doklad dřívějšího souhlasu. Potvrzení odběratelé, kteří se neodhlásili, zůstávají, dokud existuje pracovní prostor agentury. Zrušený portál je pouze zablokován, nikoli smazán; jeho odběratelé již nedostávají zprávy, jejich údaje však zůstávají (oddíl 10). Portály a odběratelé zanikají okamžitě s pracovním prostorem (fe_arbeitsbereich_daten_loeschen()). Odeslané zprávy zůstávají v odchozí poště 30 dní (B.25). |
| TOO | Oddíl 8. Zejména: heslo portálu pouze jako hash, omezené pokusy o uhodnutí (deset na portál a IP adresu, 50 na portál za 15 minut); odhlášení jedním kliknutím v každém e-mailu; portál ukazuje pouze stav a klíčová čísla, žádná jednotlivá zjištění s důkazy. |
A.3 Příjemci upozornění, potvrzující osoby a odpovědné osoby Zákazníka
| Pole | Záznam |
|---|
| Účel | Oznámení o poruchách a změnách do cílů, které Zákazník pro doménu nastaví: e-mail, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram. Pro každý cíl okamžitě nebo shromážděně denně či týdně, dále cíle pouze pro eskalace. Každé oznámení o problému se stane incidentem, který příjemce může potvrdit prostřednictvím odkazu. U monitorovaných formulářů může Zákazník určit odpovědnou osobu a termín. |
| Kategorie subjektů údajů | Zaměstnanci a poskytovatelé služeb Zákazníka, které Zákazník zadá jako cíl upozornění nebo určí jako odpovědné osoby; osoby, které incident potvrdí. Členové týmu s vlastním účtem se objevují také v části B. |
| Kategorie osobních údajů | Cíl upozornění: kanál, cílová adresa (e-mailová adresa, adresa webhooku nebo chatu, ID chatu v Telegramu), zvolené události, režim doručování, podpisové tajemství pro webhooky, poslední doručení a poslední chyba (alerts). Protokol doručení: cíl, události, stav, chyba, čas (alert_log). Fronta přehledů: řádky oznámení a odkaz až do doručení (alert_queue). Incident: název, řádky oznámení, odkaz, identifikátor potvrzení, čas a jméno nebo e-mailová adresa potvrzující osoby, jak byly zadány do formuláře, jinak adresa přihlášeného člena (alert_incidents). Pokusy o doručení eskalace pro každý incident a cíl: počet pokusů (nejvýše pět), časy posledního a dalšího pokusu a úspěchu, odkaz na e-mail v odchozí poště, chyba (tabulka alert_escalation_deliveries). Přiřazení: účet odpovědné osoby a termín (v monitored_forms). |
| Obsah oznámení | Doména, událost, krátké vysvětlení a odkaz na stránku domény. Žádný obsah zpráv návštěvníků. |
| Zdroj | Zadává Zákazník; potvrzující osoba zadává své jméno sama; ID chatu v Telegramu vznikne, když příjemce v botu stiskne „Start“ (B.32). |
| Právní základ (určený správcem) | Určuje Zákazník; zpravidla organizace vlastního provozu Zákazníka (čl. 6 odst. 1 písm. b) nebo f) GDPR ve vztahu k zaměstnancům a poskytovatelům služeb Zákazníka). |
| Příjemci | Provozovatelé zvolených kanálů; viz 4.1. E-mailová upozornění prostřednictvím poskytovatele e-mailové služby (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). |
| Třetí země | V závislosti na zvoleném kanálu; několik poskytovatelů sídlí v USA, Telegram mimo EU bez rozhodnutí o odpovídající ochraně. Viz 4.1. |
| Doba uložení | Protokol doručení po 90 dnech (každou noc, fe_alert_log_aufraeumen() ze srv/cron_status.php). Oznámení v přehledech 30 dní po doručení (cfg/kanal_lib.php, při každém doručení přehledu). Incidenty po dobu, kdy nejsou vyřešeny; vyřešené 180 dní po vyřešení (cfg/vorfall_lib.php, běh eskalace), spolu s jejich pokusy o doručení eskalace. Cíle upozornění a přiřazení do smazání Zákazníkem nebo spolu s doménou. |
| TOO | Oddíl 8. Zejména: webhooky podepsané samostatným tajemstvím pro každý cíl; potvrzení pouze po kliknutí (POST), aby náhledy odkazů v chatovacích programech nic nespustily; upozornění během okna údržby se pouze protokolují, neodesílají. |
A.4 Osoby náhodně viditelné na kontrolovaných stránkách Zákazníka a na snímcích obrazovky
| Pole | Záznam |
|---|
| Účel | Kontrola domén v účtu Zákazníka (kontrola, monitorování, aktivní kontrola) čte veřejné stránky Zákazníka a pořizuje snímky obrazovky formulářů. To, co stránka sama zobrazuje, se může týkat osob, které s kontrolou nemají nic společného. Tyto údaje vznikají náhodně; nejsou účelem kontroly. |
| Kategorie subjektů údajů | Osoby, jejichž jméno, fotografie nebo kontaktní údaje se objevují na kontrolované stránce (kontaktní osoba vedle formuláře, týmové fotografie na domovské stránce, údaje v impressu). |
| Kategorie osobních údajů | Snímky obrazovky: viditelná oblast domovské stránky, každý viditelný formulář jako výřez a obraz navazující stránky po aktivním testovacím odeslání; ukládají se jako soubory mimo webový adresář, v databázi pouze odkaz (scan_screenshots). Struktura formuláře: adresa stránky, selektor, názvy polí, typy polí, popisky polí, příznaky povinnosti a viditelnosti, popisky tlačítek pro odeslání (forms, pole „mapa polí“); žádné hodnoty polí. Začátek skrytých polí (do 24 znaků) a datových atributů (do 60 znaků) skener čte pouze během kontroly, aby rozpoznal časová razítka a tokeny; ukládá se pouze výsledek. Zjištění s důkazy (findings), souhrn s názvy stránek (scans). Objeví-li se ve formuláři e-mailová adresa jako příjemce, ukládá se pouze její doména, nikdy adresa. |
| Zdroj | Veřejné stránky domény Zákazníka, načtené skenerem. |
| Právní základ (určený správcem) | Pro obsah vlastního webu Zákazníka určuje Zákazník. Pro nás je zpracování součástí zadané kontroly. |
| Příjemci | Zákazník; u agentur jejich klient prostřednictvím portálu nebo zprávy white-label; kdokoli, kdo obdrží odkaz na zprávu (zprávy na náhodných adresách, nikoli ve vyhledávačích). Je-li typ formuláře nejasný, obdrží lokální jazykový model na našem vlastním serveru ke klasifikaci strukturu formuláře s názvem stránky, adresou stránky a viditelným textem formuláře (až 400 znaků); obrázky nedostává. |
| Třetí země | Žádná. |
| Doba uložení | Výsledky kontrol domény nejdéle 13 měsíců; poslední dokončená kontrola pro každou doménu zůstává (noční běh mazání, část „staré výsledky kontrol“). Formuláře, zjištění, odkazy na obrázky a soubory obrázků zanikají s výsledkem kontroly. S doménou tyto údaje zanikají okamžitě (řetězec mazání v B.15; výjimky v oddílu 6.4). |
| Meze maskování | Snímky obrazovky z úplné kontroly nic nemaskují: ukazují to, co stránka ukazuje každému návštěvníkovi. Pole formuláře jsou při načtení prázdná, protože skener nic nezadává; předvyplněné hodnoty by byly viditelné. Za přihlášením se nepořizují žádné snímky obrazovky (A.5). Obrázky z kontrol v prohlížeči maskují vstupní pole (A.6). |
| TOO | Oddíl 8. Zejména: obrázky lze načíst pouze prostřednictvím zprávy a cizí identifikátor obrázku vrátí „nenalezeno“; zprávy s noindex; každá kontrola běží ve vlastním izolovaném kontejneru. |
Stejné údaje vznikají při kontrolách bez účtu (bezplatná kontrola, studie, kontrola potenciálního klienta). Tam neexistuje Zákazník, jehož jménem jednáme; tyto případy se proto objevují v části B (B.5, B.7, B.8).
A.5 Přihlašovací údaje testovacího účtu pro kontrolu za přihlášením
| Pole | Záznam |
|---|
| Účel | Čtení formulářů, které se zobrazí až po přihlášení (zákaznická sekce, členská sekce). Skener se přihlásí testovacím účtem, který Zákazník vytvořil na svém vlastním webu, a přečte zadané stránky. Kromě přihlašovacího formuláře nic neodesílá, neprovádí tam žádný aktivní test, nepořizuje snímky obrazovky a nenavštěvuje adresy pro odhlášení, smazání nebo zrušení. Má-li přihlašovací formulář CAPTCHA, zastaví se; CAPTCHA se neobcházejí. |
| Předpoklad | Ověřená doména, placený tarif, role vlastníka nebo administrátora, výslovné potvrzení, že jde o testovací účet. Nejvýše pět stránek, všechny na stejné doméně. |
| Kategorie subjektů údajů | Osoba, na jejíž jméno je testovací účet veden (ideálně nikdo; Zákazník by měl použít funkční účet); osoby, jejichž údaje se objevují na stránkách za přihlášením. |
| Kategorie osobních údajů | Uživatelské jméno a heslo testovacího účtu, pouze šifrovaně; nápověda k uživatelskému jménu (první znak a délka); přihlašovací adresa, seznam stránek, názvy přihlašovacích polí, indikátor úspěchu, osoba, která záznam vytvořila, časy, poslední výsledek jako krátký kód (domain_logins). U běžící úlohy kopie šifrového textu (pole „přihlašovací balíček“ v scan_jobs). Ze stránek za přihlášením: struktura formuláře jako v A.4, bez snímků obrazovky a bez cookies. |
| Zdroj | Zadává Zákazník v účtu. |
| Právní základ (určený správcem) | Určuje Zákazník. Zákazník zaručuje, že je oprávněn testovací účet používat. |
| Příjemci | Žádní. Přihlašovací údaje nemůže přečíst ani Zákazník, ani podpora, ani programové rozhraní; rozhraní ukazuje pouze nápovědu k uživatelskému jménu. |
| Třetí země | Žádná. |
| Ochrana přihlašovacích údajů | Uživatelské jméno a heslo se ihned při uložení šifrují veřejným klíčem skenovacího serveru (X25519, HKDF-SHA256, AES-256-GCM; doména je vázána jako přidružená data, takže šifrový text nelze připojit k jiné doméně). Soukromý klíč má pouze skenovací server. Webový server, databáze a zálohy obsahují pouze šifrový text; ani my jej tam nedokážeme dešifrovat. Skenovací server dešifruje pouze pro běh, předává přihlašovací údaje do izolovaného kontrolního kontejneru pouze přes standardní vstup, kopii v úloze ihned maže a nezapisuje ji do žádného výsledku, protokolu ani chybového textu. Na cestě k webu Zákazníka jsou chráněny pouze šifrováním tohoto webu; meze tohoto přenosu jsou uvedeny v oddílu 10. |
| Doba uložení | Uložené přihlašovací údaje do smazání Zákazníkem. Při smazání se šifrový text přepíše náhodnými daty stejné délky a řádek se smaže; čekající úlohy se vyčistí (fe_login_loeschen()). S doménou zaniká řádek prostřednictvím cizího klíče. Skenovací server čistí kopie v úlohách po běhu; cokoli zbude (úloha přerušena, skenovací server mimo provoz), vyčistí stavový běh nejpozději po jedné hodině (fe_login_aufraeumen(), část „login_jobs“). Zálohy databáze obsahují šifrový text do vypršení zálohy po 14 dnech. |
| TOO | Oddíl 8. Zejména: asymetrické šifrování s oddělenými klíči; blokovací seznam pro cesty odhlášení a smazání; žádné snímky obrazovky za přihlášením; funkce pouze pro placené tarify a ověřené domény; každá změna v protokolu aktivit (bez přihlašovacích údajů). |
Záměrně jsme nevytvořili žádnou možnost ukládat přihlašovací údaje k serveru Zákazníka, k administrační oblasti jeho CMS nebo k hostingovým účtům. Testovací účet je návštěvnický účet na webu Zákazníka, nikoli přístup do systému Zákazníka.
A.6 Nastavené průchody formuláři, kontroly v prohlížeči a nezávislá sonda
| Pole | Záznam |
|---|
| Účel | Monitorovaný formulář se prochází ve skutečném prohlížeči (Chromium, WebKit nebo oba) až do okamžiku těsně před odesláním: načtení stránky, provedení předcházejících kliknutí (nejvýše pět, nikdy na vstupní pole nebo tlačítko pro odeslání), vyplnění polí rozpoznatelně syntetickými hodnotami (například adresou pod rezervovanou koncovkou .invalid), posun ve vícekrokových formulářích. Kontrola v prohlížeči nic neodesílá; odeslání je v prohlížeči technicky zablokováno. Navíc měření časů a vizuální srovnání formuláře. |
| Kategorie subjektů údajů | Jako A.4 (osoby viditelné na stránce s formulářem); zaměstnanci Zákazníka zadaní jako odpovědné osoby (A.3). |
| Kategorie osobních údajů | Konfigurace: adresa formuláře, selektory, vstupní adresa, kroky kliknutí, volba prohlížeče, popisek, kritičnost, přiřazení, termín (monitored_forms). Výsledky každého běhu: stav, technický důvod selhání, očištěná chybová hlášení, síťová a časová měření, obrázek formuláře jako JPEG o velikosti nejvýše 32 KB s maskovanými vstupními poli (form_browser_runs). Pozorování pro každou kontrolu (form_observations), časové řady (form_performance). Úlohy se seznamem cílů (pole „cíle“ a „výsledek“ v scan_jobs). |
| Testovací přístup | Uložil-li Zákazník testovací účet (A.5), používá jej úplná kontrola i pro nastavené průchody formuláři. Podle změřeného kódu pracují samostatné kontroly v prohlížeči mezi dvěma úplnými kontrolami bez testovacího účtu. |
| Nezávislá sonda | Je předvídán druhý kontrolní bod na jiném místě, který by před upozorněním provedl křížové ověření. Obdržel by doménu, očištěnou konfiguraci a identifikátor úlohy, žádné vstupy návštěvníků ani přihlašovací údaje. V současnosti není zřízen (ve výchozím nastavení vypnuto). Bez sondy neexistuje doklad z druhého místa; upozornění se pak zakládá na našem vlastním měření. |
| Zdroj | Nastavuje Zákazník; výsledky z načtení stránky Zákazníka. |
| Právní základ (určený správcem) | Pro obsah webu Zákazníka a pro odpovědnosti zaměstnanců Zákazníka určuje Zákazník. |
| Příjemci | Zákazník; je-li zřízena sonda, její provozovatel (v současnosti nikdo). |
| Třetí země | Žádná. |
| Doba uložení | Výsledky běhů v prohlížeči, dokončené úlohy prohlížeče a časové řady po 13 měsících (noční běh mazání, části „browser_runs“, „browser_jobs“, „form_performance“). Konfigurace do smazání domény (jednotlivě je lze měnit nebo vypínat, nikoli mazat); s doménou zanikají spolu s běhy, pozorováními a časovými řadami prostřednictvím cizích klíčů. |
| Co měření prokazuje | Časy a stavy z našeho kontrolního prohlížeče. Neměří, co zažívají skuteční návštěvníci, a neprokazují ani míru dokončení, ani ztracené dotazy. |
| TOO | Oddíl 8. Zejména: odeslání technicky znemožněno; pouze adresy na stejné doméně; maskované obrázky; izolovaný kontrolní kontejner. |
A.7 „Fix it for me“ – vložený kód formuláře
| Pole | Záznam |
|---|
| Účel | Zákazník vloží kód svého formuláře; jazykový model na našem vlastním hardwaru zabuduje ochranný modul. Zpět přijde upravený soubor, patch, výsledek kontroly syntaxe a údaj, zda bylo volání kontroly skutečně zabudováno. Bez vloženého kódu služba dodá hotový modul s názvy polí z poslední kontroly. |
| Kategorie subjektů údajů | Osoby, jejichž údaje se náhodou nacházejí ve vloženém kódu (například adresa příjemce, jména v komentářích, přihlašovací údaje k poštovnímu serveru). |
| Kategorie osobních údajů | Vložený kód, nejvýše 30 000 znaků. V databázi pouze záznam v protokolu aktivit (akce „fix_ai“ s pracovním prostorem a časem), který se započítává do denního limitu, v současnosti deseti volání na pracovní prostor. |
| Zdroj | Vkládá Zákazník. |
| Právní základ | Plnění smlouvy se Zákazníkem (čl. 6 odst. 1 písm. b) GDPR) pro samotný kód; pro údaje třetích osob v něm náhodně obsažené určuje základ Zákazník. |
| Příjemci | Žádní. Jazykový model běží na našem vlastním skenovacím serveru v interní síti; žádná externí služba AI, ani jako záložní řešení. |
| Třetí země | Žádná. |
| Doba uložení | Kód se neukládá. Pro kontrolu syntaxe se vytvoří dočasný soubor, který se ihned poté smaže. Záznam v protokolu aktivit se smaže po 365 dnech. |
| Upozornění pro Zákazníka | Kód obsahující hesla, klíče API nebo osobní údaje by měl být před vložením očištěn. Obsah nekontrolujeme. |
| TOO | Oddíl 8. Zejména: pouze vlastníci a administrátoři v placených tarifech; vložený kód se modelu předává označený jako data a nikdy se nespouští; žádné nahrávání na servery třetích stran. |
A.8 Značka white-label a kontaktní osoby agentury
| Pole | Záznam |
|---|
| Účel | Zprávy, krátké zprávy, důkazní protokoly a klientský portál agentury (tarif Business) se zobrazují pod její značkou, na přání pod vlastní subdoménou agentury. |
| Kategorie subjektů údajů | Kontaktní osoby v agentuře, jejichž jméno nebo kontaktní údaje se objevují v kontaktním řádku. |
| Kategorie osobních údajů | Název společnosti, web, kontaktní řádek, poznámka pro klienta, zvýrazňující barva, vzhled, soubor loga, přepínač odkazu na formexposed, vlastní doména s ověřovacím identifikátorem a stavem ověření (workspace_branding). |
| Zdroj | Zadává agentura. |
| Právní základ | Plnění smlouvy s agenturou (čl. 6 odst. 1 písm. b) GDPR). Uvádí-li kontaktní řádek zaměstnance agentury, určuje základ agentura. |
| Příjemci | Kdokoli, komu agentura předá zprávu, krátkou zprávu nebo odkaz na portál. |
| Třetí země | Žádná. |
| Doba uložení | Do změny agenturou; značka a soubor loga zanikají s pracovním prostorem (fe_arbeitsbereich_daten_loeschen()). Vlastní doména, jejíž ověření DNS selhává po dobu sedmi dní, se vypne. Vlastní doména je ve výchozím nastavení vypnuta. |
| TOO | Oddíl 8. |
A.9 Počty, stavové indikátory a chyby polí z pluginu a rozšíření
| Pole | Záznam |
|---|
| Účel | Plugin pro WordPress a rozšíření pro TYPO3 jednou denně hlásí čísla o formulářích na připojeném webu: zablokovaná odeslání podle důvodu, odeslání, odeslané a neúspěšné e-maily, stavové indikátory nastavení formulářů, uložené dotazy podle zdroje a doby uložení. Volitelně, ve výchozím nastavení vypnuto: události formulářů a kategorie chyb polí podle pozice pole. Z těchto čísel vzniká „Ochrana v číslech“, měsíční zpráva, upozornění na ticho a upozornění na riziková nastavení. |
| Klasifikace | Čísla jsou navržena tak, aby nepopisovala žádnou osobu. Uvádíme je v části A, protože vznikají z událostí na webu Zákazníka vyvolaných návštěvníky Zákazníka; podle našeho názoru jsou osobními údaji nanejvýš v hraničních případech (web s velmi malým počtem odeslání v daném dni). Samotný přenos (klíče, verze, hostitel) je v části B (B.20). |
| Kategorie subjektů údajů | Návštěvníci webu Zákazníka, kteří odešlou formulář. |
| Kategorie osobních údajů | Denní čísla pro každého hostitele: celkem zablokováno a podle důvodu, odeslání, odeslané a neúspěšné e-maily, kategorie chyby při odesílání e-mailu (pouze jedna ze čtyř kategorií, nikdy text chyby, protože může obsahovat adresy příjemců), počty odpovědí reCAPTCHA, smazané a uvolněné dotazy (plugin_stats). Stav: verze z pevně daného seznamu pluginů pro formuláře, CAPTCHA a poštu, indikátory nastavení jako čísla, doby uložení (plugin_health). Oznámení o změnách: název a verze aktualizovaného pluginu (plugin_changes). Volitelně: počítadla pro každý formulář a den s kategoriemi chyb podle pozice pole (form_metrics). Nikdy: zadané hodnoty, názvy polí, hesla, soubory, e-mailové adresy, jména, IP adresy ani trvalé identifikátory návštěvníků. |
| Zdroj | Plugin na webu Zákazníka, prostřednictvím programového rozhraní s použitím připojovacího tajemství webu. |
| Právní základ (určený správcem) | Určuje Zákazník; Zákazník rozhoduje, zda aktivuje volitelné počty a jak informuje své návštěvníky. |
| Příjemci | Zákazník. Domény z odkazů v zablokovaných zprávách jdou do rojové ochrany (B.21). |
| Třetí země | Žádná. |
| Doba uložení | Denní čísla, oznámení o změnách a počítadla formulářů po 13 měsících (noční běh mazání, části „plugin_stats“ a „form_metrics“). Stavové indikátory se přepisují s každým hlášením. Všechna data pluginu pro hostitele zanikají, jakmile na tohoto hostitele již neodkazuje žádná doména v systému (okamžitě při smazání poslední domény; starší data každou noc, část „orphan_hosts“). |
| Co čísla prokazují | Co plugin napočítal. Neprokazují ani míru dokončení, ani ztracené dotazy. |
| TOO | Oddíl 8. Zejména: přijetí pouze s vázaným párem klíčů webu; přijímají se pouze známé klíče a čísla, vše ostatní se zahazuje; dny mimo 14denní okno se odmítají. |
A.10 Hranice: co zůstává pouze na webu Zákazníka
Následující funkce pluginu pro WordPress a rozšíření pro TYPO3 zpracovávají údaje výhradně na serveru Zákazníka. K nám se nedostanou a nemáme k nim přístup. Odpovědný je výhradně provozovatel webu; provozovatel rozhoduje o aktivaci, dobách uložení a o tom, jak informuje své návštěvníky. Za tímto účelem plugin navrhuje odstavce pro zásady ochrany osobních údajů provozovatele.
| Funkce | Co se zpracovává lokálně | Doba uložení na straně Zákazníka |
|---|
| Karanténa | Zastavená odeslání s důvodem, uvolnitelná e-mailem na adresu webu | 14 dní |
| Záchranná síť | Odeslání, jejichž e-mail z formuláře selhal, pro opětovné odeslání (ve výchozím nastavení zapnuto) | 30 dní |
| Početní hádanka místo reCAPTCHA | Početní úloha v prohlížeči návštěvníka, žádná služba třetí strany (ve výchozím nastavení vypnuto) | – |
| Nastavení doby uložení | Mazání uložených dotazů v pluginech formulářů po lhůtě zvolené provozovatelem (ve výchozím nastavení vypnuto) | podle nastavení |
| Omezení četnosti | krátkodobý identifikátor odvozený z IP adresy, nepředává se nám | krátkodobě |
| Místní denní počítadla | Hodnoty počítadel před přenosem | nejvýše 14 dní |
| Záznamník pro administrátory | technické selektory a navigační kroky v úložišti relace prohlížeče přihlášeného administrátora; vstupy se nečtou. Předává se pouze zvolená konfigurace (pak A.6) | nejvýše 15 minut |
| Pomoc pro návštěvníky | lze aktivovat samostatně; neukládá koncepty a automaticky neodesílá znovu | – |
| Sledování nových pravidel proti spamu | dodatečné zásahy se počítají lokálně, bez automatické aktivace | sedm dní |
A.11 Ochrana formulářů (formconfirmed)
| Položka | Údaj |
|---|
| Účel | Hodnocení odeslání prostřednictvím formulářů na webech Zákazníka za účelem rozpoznání automatizovaných odeslání: vydávání a kontrola úloh (výpočetní důkaz), jednorázové kontrolní tokeny, doba vyplňování, pole-past, opakované požadavky; na přání Zákazníka hodnocení textu zprávy jazykovým modelem. Pouze pro Zákazníky, kteří ochranu formulářů zapnou. |
| Kategorie subjektů údajů | Návštěvníci webů Zákazníka, kteří otevřou stránku s chráněným formulářem nebo jej odešlou. |
| Kategorie osobních údajů | IP adresa (ukládaná pouze zkrácená a hashovaná s denně měněným klíčem), adresa a doména stránky, časové údaje a doba vyplňování, vyplnění pole-pasti ano/ne, identifikace prohlížeče v protokolu webového serveru; pouze při zapnuté kontrole obsahu text zprávy (pouze v operační paměti). |
| Původ | Prohlížeč návštěvníka (úloha, kontrolní token); server Zákazníka (žádost o kontrolu, případně text). |
| Příjemci | Zákazník (skóre, akce, důvody). Žádní další; pro toto zpracování žádní další zpracovatelé. |
| Třetí země | Žádná. |
| Doba uložení | Hashovaný identifikátor 1 hodina; použité kontrolní tokeny nejvýše 11 minut; výsledky kontrol bez IP adresy a bez textu 30 dní; denní čísla 400 dní; protokol webového serveru 14 dní; text se neukládá. |
| TOO | Oddíl 8; navíc zkracování a hash s denním klíčem, podepsané úlohy, jednorázové použití, jazykový model na vlastním hardwaru bez protokolování textu. |
4. Část A – příjemci, další zpracovatelé a předávání do třetích zemí
Následující tabulka uvádí příjemce, které sami zapojujeme a kteří mohou dostávat údaje z části A. Rozhodujícím, průběžně aktualizovaným seznamem je stránka Další zpracovatelé; liší-li se od této tabulky, jde o zjištění, nikoli o problém formátování.
| Příjemce | Co dostává | Třetí země | Základ | Stav |
|---|
| Namecheap, Inc. (Private Email), Phoenix, Arizona, USA | Kontrolní schránka kontroly doručení (A.1); odesílání e-mailů s upozorněními (A.3), potvrzení a zpráv odběratelům portálu (A.2) | Místo zpracování ještě k ověření; viz stránka „Další zpracovatelé“ | Smlouva o zpracování osobních údajů; základ předání ještě k ověření | Otevřené. Příslušná smlouva, skutečná místa zpracování a základ předání dosud nejsou zdokumentovány. Tento záznam nepotvrzuje ani certifikaci, ani uzavřenou smlouvu. |
| Namecheap, Inc. (registrátor, DNS; přeposílání e-mailů do zřízení schránky) | Do zřízení schránky obecná příchozí pošta na adresy v naší doméně; nikoli kopie z kontroly doručení, které dorazí pouze s MX záznamy směřujícími přímo na schránku (A.1) | USA | k ověření: certifikace podle EU-US Data Privacy Framework nebo standardní smluvní doložky | Používá se; základ otevřený. |
| Náš vlastní skenovací server s lokálním jazykovým modelem | Struktura formuláře pro klasifikaci (A.4), vložený kód (A.7), dešifrovaný testovací přístup pouze během běhu (A.5) | – | Provozováno námi, nikoli třetí stranou | Používá se. |
| Nezávislá sonda na druhém místě | Doména, očištěná konfigurace, identifikátor úlohy (A.6) | podle umístění | bude určen před uvedením do provozu | Není zřízena. |
Hosting: žádná třetí strana. Aplikace, databáze, snímky obrazovky a zálohy jsou uloženy na našich vlastních serverech v Polsku. Přejdeme-li k datovému centru nebo poskytovateli cloudu, musí být tento odstavec přepsán.
4.1 Kanály upozornění zvolené Zákazníkem
Kromě příjemců, které zapojujeme my, existují kanály, které si pro svá upozornění volí Zákazník (A.3). Přenos spouští náš server; cíl a poskytovatele určuje Zákazník. Volba kanálu nás nezbavuje našich vlastních povinností zpracovatele. Role, smlouva a záruky požadované pro třetí země musí být určeny pro každého poskytovatele; u chatovacích služeb to dosud nebylo dokončeno (otevřená otázka pro právní přezkum).
| Kanál | Co se odesílá | Sídlo poskytovatele |
|---|
| E-mail | Doména, událost, vysvětlení, odkaz; na zadanou adresu | prostřednictvím Namecheap, Inc. (Private Email), Phoenix, Arizona, USA |
| Webhook na libovolně zvolenou adresu | Událost jako JSON (doména, události, řádky, odkaz, časové razítko), podepsaná tajemstvím cíle | určuje Zákazník |
| Slack, Discord, Microsoft Teams, Google Chat | stejné oznámení jako chatová zpráva na zadanou adresu webhooku | převážně USA |
| Telegram | cíl zvolený Zákazníkem; zprávu posíláme prostřednictvím našeho bota na propojené ID chatu | mimo EU, bez rozhodnutí o odpovídající ochraně; základ předání je otevřenou otázkou pro právní přezkum |
V žádném případě se neodesílá obsah zprávy návštěvníka. Oznámení nesou doménu, událost a odkaz.
5. Část B – čl. 30 odst. 1: zpracování na naši vlastní odpovědnost
Správce pro vše v této části: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polsko, contact@lukaswojcik.com. Zástupce není vyžadován (usazen v Unii). Pověřenec pro ochranu osobních údajů není jmenován (oddíl 9). Technická a organizační opatření: oddíl 8 a stránka Technická a organizační opatření. Jak subjekty údajů uplatňují svá práva, popisuje stránka Přístup, výmaz a vaše další práva; držitelé účtů si mohou své údaje sami stáhnout jako soubor (Nastavení).
Opíráme-li se o oprávněné zájmy (čl. 6 odst. 1 písm. f) GDPR), uvádíme zájem a důvod, proč nestačí méně invazivní prostředek. Vážení zájmů je naším posouzením; je součástí právního přezkumu.
B.1 Návštěvníci našeho webu – protokoly webového serveru
| Pole | Záznam |
|---|
| Účel | Provoz a zabezpečení webu a aplikace: doručování, odstraňování chyb, odhalování útoků a přetížení. |
| Kategorie subjektů údajů | Každý, kdo otevře stránku formexposed.com nebo form.exposed, včetně návštěvníků stránek Zákazníků, jejichž prohlížeč načte náš obrázek odznaku (B.18), příjemců, kteří otevřou odkaz na zprávu nebo potvrzení, a webů, jejichž plugin volá naše rozhraní. |
| Kategorie osobních údajů | Úplná IP adresa, čas, požadovaná adresa, stavový kód, přenesené bajty, odkazující stránka (referrer), identifikátor prohlížeče (user agent). |
| Kde jsou uloženy | Přístupové protokoly předřazené proxy a webového serveru jako soubory na webovém serveru, nikoli v databázi. |
| Zdroj | Prohlížeč nebo program, který požadavek odesílá. |
| Právní základ | Čl. 6 odst. 1 písm. f) GDPR. Zájem: bezpečný a nepřerušený provoz. Vážení zájmů: bez úplné adresy nelze opakované požadavky od stejného odesílatele propojit a útoky odrazit; zkrácená adresa toto rozlišení neumožňuje. Protokoly se nespojují s jinými údaji a po krátké době se mažou. |
| Příjemci | Žádní. |
| Třetí země | Žádná. |
| Doba uložení | 14 dní: denní rotace se 14 generacemi, poté přepsání (systémová služba rotace protokolů, nikoli noční běh mazání aplikace). |
| TOO | Oddíl 8. |
B.2 Protokol zobrazení stránek aplikace
| Pole | Záznam |
|---|
| Účel | Zabezpečení a odhalování zneužití (kdo co a jak často požaduje), dohledatelnost přístupů k účtu, jednoduchá statistika používání bez analytické služby. |
| Kategorie subjektů údajů | Všichni návštěvníci webu a uživatelé aplikace při skutečných zobrazeních stránek (žádné požadavky na pozadí, žádná odeslání formulářů). |
| Kategorie osobních údajů | Úplná IP adresa, z ní při zápisu odvozená země (místní geodatabáze, žádný dotaz na třetí stranu), ID účtu u přihlášených uživatelů, požadovaná adresa a odkazující stránka (přístupové tokeny v nich, například tokeny odkazů na zprávy nebo portály, maskovány), identifikátor prohlížeče a z něj odvozený typ zařízení, operační systém a prohlížeč, jazyk, čas (access_logs). Během „Zobrazit jako zákazník“ (B.14) se ID účtu nenastavuje, aby se zobrazení stránek podporou neobjevila v protokolu Zákazníka. |
| Zdroj | Požadavek prohlížeče. |
| Právní základ | Čl. 6 odst. 1 písm. f) GDPR. Zájem: předcházení zneužití a dohledatelnost. Vážení zájmů: jako B.1; doba uložení je delší, protože vzorce zneužití se ukazují v průběhu týdnů. Zda by měla být IP adresa zkrácena nebo doba uložení zkrácena, je otevřenou otázkou pro právní přezkum. |
| Příjemci | Žádní. Držitelé účtů dostávají svá vlastní zobrazení stránek v exportu dat. |
| Třetí země | Žádná. |
| Doba uložení | 60 dní (každou noc mezi 03:00 a 03:05, srv/cron_status.php, nastavení „protokol zobrazení stránek“). |
| TOO | Oddíl 8. IP adresa se z přeposlané hlavičky přebírá pouze tehdy, pochází-li požadavek z naší vlastní předřazené proxy, a pak pouze záznam připojený touto proxy; jinak by kdokoli mohl libovolně uvádět svůj původ. |
B.3 Cookies a úložiště v prohlížeči
| Pole | Záznam |
|---|
| Účel | Technicky nezbytné ukládání: relace, ochrana proti podvržení požadavků mezi weby (CSRF), počítání limitů pro kontroly bez účtu, přihlášení, zůstat přihlášen na požádání, světlé nebo tmavé zobrazení. |
| Kategorie subjektů údajů | Návštěvníci a uživatelé formexposed.com. |
| Kategorie osobních údajů | Cookie relace bpid (identifikátor relace; končí zavřením prohlížeče; HttpOnly, SameSite=Lax, Secure přes HTTPS). Cookie bp_remember pouze po zvolení „Zůstat přihlášen“ (selektor a ověřovač; 30 dní). Místní úložiště bp_theme (světlé, tmavé nebo systémové). V administrační oblasti navíc místní nastavení zobrazení provozovatelů. Pro limity se z identifikátoru relace vytváří hash; samotný identifikátor se neukládá. |
| Nenastavuje se | Žádné analytické, reklamní ani sledovací cookies. Partnerský program (B.33) funguje bez cookie. Obrázek odznaku na stránkách Zákazníků nenastavuje žádnou cookie (B.18). reCAPTCHA může při odeslání chráněného formuláře nastavit cookies od Googlu (B.23). |
| Právní základ | Přístup ke koncovému zařízení: nezbytně nutný pro službu požadovanou uživatelem (§ 25 odst. 2 bod 2 TDDDG, německého zákona o ochraně údajů v telekomunikacích a digitálních službách; čl. 399 odst. 3 PKE, polského zákona o elektronických komunikacích (Prawo komunikacji elektronicznej)). Zpracování: čl. 6 odst. 1 písm. b) GDPR (účet) a písm. f) (zabezpečení, limity). |
| Příjemci | Žádní. |
| Třetí země | Žádná. |
| Doba uložení | Relace; 30 dní u tokenu pro zapamatování. Noční běh maže v databázi tokeny pro zapamatování s prošlou platností (remember_tokens); při odhlášení, změně hesla a odvolání zařízení okamžitě. |
| TOO | Oddíl 8. |
B.4 Bezplatná kontrola bez účtu – přijetí, limity a sledování zneužití
| Pole | Záznam |
|---|
| Účel | Kdokoli si může nechat zkontrolovat doménu bez účtu. Aby se vstupní pole nestalo zbraní proti webům třetích stran, platí odstupňované limity: jedna anonymní kontrola na doménu za sedm dní (poté stejná zpráva), limity na IP adresu a na relaci za 24 hodin, denní limit pro celý systém, blokace velmi mladých domén, blokovací seznam a opt-out, pouze veřejné adresy. Nápadné vzorce se zaznamenávají a hlásí provozovateli. Limity na IP adresu, na relaci a pro celý systém, každý počítaný samostatně, platí také pro kontrolu z pluginu bez účtu (plugin s vázaným párem klíčů se počítá na web místo na adresu) a pro opt-out (B.30); bezplatný nástroj hlaviček (B.9) má vlastní limity na IP adresu a den a pro celý systém. |
| Kategorie subjektů údajů | Osoby, které spustí kontrolu, požadavek nástroje hlaviček nebo opt-out; servery, na nichž je nainstalován plugin. |
| Kategorie osobních údajů | Protokol každého požadavku: zdroj (kontrola, plugin, nástroj hlaviček, opt-out), úplná IP adresa, hash identifikátoru relace, kontrolovaný hostitel, země podle IP adresy, přijato nebo odmítnuto s důvodem, čas (check_throttle). Anomálie: typ (IP adresa, relace, země, systém), klíč (u typu „IP“ úplná IP adresa), vzorec, závažnost, krátký popis, časy zjištění a vyřešení, řešící osoba (abuse_flags). Úloha: hostitel, režim, úroveň důvěry a zkrácený hash relace jako identifikátor žadatele (scan_jobs). Zpráva: náhodný identifikátor, hostitel, jazyk, vypršení, první zobrazení, počet zobrazení (reports). Uložené stáří domény z dotazu do registru (domain_age_cache). |
| Zdroj | Zadání osoby; její požadavek; dotaz do registru (RDAP) na stáří domény. |
| Právní základ | Provedení požadované kontroly: čl. 6 odst. 1 písm. b) GDPR (využití bezplatné kontroly podle Obchodních podmínek); podpůrně písm. f). Limity a sledování: čl. 6 odst. 1 písm. f). Zájem: zabránit tomu, aby byla služba použita jako nástroj proti webům třetích stran nebo jako spamové dělo. Vážení zájmů: bez vazby na adresu a relaci by limity nebylo možné prosadit; sedmidenní lhůta je tak krátká jako nejdelší limit od ní počítaný. |
| Příjemci | Google (reCAPTCHA při odeslání, B.23). Ohledně stáří domény se skener dotazuje přesměrovací služby RDAP rdap.org, která přeposílá na příslušný registr; předává se pouze název domény. Při výskytu anomálie obdrží provozovatel signál přes Telegram bez jakékoli proměnné (žádný hostitel, žádná adresa). Zprávu vidí ten, kdo má její náhodný odkaz. |
| Třetí země | USA prostřednictvím reCAPTCHA (B.23). |
| Doba uložení | Protokol požadavků 7 dní (každou noc, srv/cron_status.php). Vyřešené anomálie 90 dní po vyřešení; nevyřešené zůstávají, dokud je někdo nevyřeší (oddíl 10). Anonymní zprávy vyprší po 30 dnech; noční běh pak smaže zprávu, úlohu, výsledek kontroly, formuláře, zjištění a obrázky (fe_reports_aufraeumen()). Administrátor může záznamy pro určitou adresu ručně uvolnit; tím se smaže její protokol za posledních 24 hodin. |
| TOO | Oddíl 8. Nouzové zastavení všech anonymních kontrol v administrační oblasti; zpětný tlak, který při nahromadění nepřijímá žádné nové bezplatné kontroly. |
B.5 Kontrola webů třetích stran crawlerem
| Pole | Záznam |
|---|
| Účel | Bezpečnostní kontrola veřejných kontaktních formulářů: ochrana proti spamu a zneužití, prvky ochrany osobních údajů a přístupnosti, vložené skripty třetích stran, chování po odmítnutí v cookie liště, mobilní zobrazení. Vztahuje se na kontroly bez účtu (B.4), na domény v účtu, které dosud nejsou ověřeny, a jako základ pro studii (B.7) a kontrolu potenciálního klienta (B.8). U ověřených domén v účtu jednáme jménem Zákazníka (A.4). |
| Chování crawleru | Vlastní identifikátor s odkazem na stránku crawleru; před kontrolou čte robots.txt a zastaví se, pokud pravidlo disallow pokrývá domovskou stránku (stejně tak, pokud robots.txt není dostupný nebo dojde k chybě serveru); pravidla disallow pro jednotlivé podcesty se samostatně nerespektují. Puls formulářů, načítání dokladu, nástroj hlaviček a hledání odhalených souborů robots.txt nečtou. Nejvýše osm veřejných stránek na kontrolu, plus až tři stránky s kliknutím na „Odmítnout“ v cookie liště, až tři stránky v zobrazení pro telefon, aktivní sondy u ověřených domén a až pět stránek za přihlášením (A.5); stránky se načítají jedna po druhé, nikoli paralelně; pouze veřejné adresy, žádné interní sítě, přesměrování se znovu ověřují; blokovací seznam a opt-out se kontrolují před přijetím a podruhé ve skeneru. Pasivně: bez prokázání kontroly nad doménou se pro Zákazníky nic neodesílá (výjimka: interní kontroly našich vlastních testovacích a ukázkových domén, B.6). |
| Kategorie subjektů údajů | Provozovatelé kontrolovaných webů (jsou-li fyzickými osobami, například podnikající fyzické osoby); osoby náhodně viditelné na kontrolovaných stránkách. |
| Kategorie osobních údajů | Jako A.4: adresy a názvy stránek, struktura formulářů (názvy, typy a popisky polí, žádné hodnoty polí), ochranná opatření, skripty třetích stran (adresy; ID účtů pixelů a nahrávacích nástrojů se před uložením nahrazují), chování cookie lišty, snímky obrazovky (viditelná oblast domovské stránky, formuláře). Objeví-li se ve formuláři adresa příjemce, pouze její doména (scans, forms, findings, scan_screenshots). |
| Zdroj | Veřejně přístupné stránky. |
| Právní základ | Čl. 6 odst. 1 písm. f) GDPR. Zájem: provedení požadované bezpečnostní kontroly; upozornění provozovatelů webů na slabiny, které mohou poškodit jejich návštěvníky. Vážení zájmů: čte se pouze to, co vidí každý návštěvník, v malém rozsahu a bez jakéhokoli odesílání; provozovatel může svou doménu kdykoli bez prokazování trvale vyloučit. Informace podle čl. 14 GDPR se poskytují prostřednictvím stránky crawleru, opt-outu a Zásad ochrany osobních údajů; zda to postačuje podle čl. 14 odst. 5 písm. b), je otevřenou otázkou pro právní přezkum. |
| Příjemci | Ten, kdo zprávu spustí, a kdokoli, komu předá náhodný odkaz; lokální jazykový model na našem vlastním serveru, je-li typ formuláře nejasný (struktura formuláře, název a adresa stránky, viditelný text formuláře). Varování o zranitelnostech z verzí pluginů se v anonymních zprávách nikdy neobjevují. |
| Třetí země | Žádná. |
| Doba uložení | Anonymně: 30 dní (B.4). Kontrola potenciálního klienta: 90 dní (B.8). Studie: do zveřejnění (B.7). Doména v účtu: nejvýše 13 měsíců, poslední kontrola zůstává; s doménou okamžitě. Interní kontroly provozovatele bez domény a bez zprávy (například vytvořené z příkazového řádku): žádná doba uložení (oddíl 10). Dočasné soubory na skenovacím serveru se mažou po každém běhu. |
| TOO | Oddíl 8. Zejména: samostatný kontrolní kontejner se sníženými oprávněními, souborový systém pouze pro čtení, limit paměti a vlastní síť; dvojí kontrola cíle. |
B.6 Aktivní testovací odeslání
| Pole | Záznam |
|---|
| Účel | Kontrola, zda kontaktní formulář přijme odeslání bez ochrany, zda CAPTCHA, past (honeypot), token, ověření e-mailové adresy a omezení četnosti působí na straně serveru a zda lze vložit hlavičky. |
| Předpoklad | U Zákazníků pouze pro domény, u nichž byla prokázána kontrola nad doménou (DNS záznam, meta tag, soubor nebo připojený plugin); kromě toho provozovatel interním nástrojem příkazového řádku vytváří kontroly s úrovní „ověřeno“ pro naše vlastní testovací a ukázkové domény. Pouze se zapnutým globálním přepínačem, pouze pro formulář spolehlivě klasifikovaný jako obecný kontaktní formulář. Nikdy pro objednávky, rezervace, registrace, newslettery, platby, nahrávání souborů, povinná pole se skutečnými osobními údaji ani pro domény orgánů veřejné moci, zdravotnických nebo vzdělávacích zařízení. |
| Kategorie subjektů údajů | Zaměstnanci Zákazníka, kteří dostávají e-maily z formulářů. |
| Kategorie osobních údajů | Testovací odeslání neobsahuje žádné osobní údaje: odesílatel „FormExposed Security Scanner“, naše vlastní adresa odesílatele nebo adresa pod .invalid, označený předmět a text v jazyce stránky s odkazem na stránku crawleru a opt-out a číslem kontroly. Ukládáme: odpověď stránky, zjištění, obrázek navazující stránky (jako A.4). |
| Rozsah | Nejvýše pět odeslání na kontrolu (nastavení, výchozí 5); opakovaně v četnosti kontrol podle tarifu, v nejvyšším tarifu denně. |
| Zdroj | Pokyn Zákazníka. |
| Právní základ | Plnění smlouvy se Zákazníkem (čl. 6 odst. 1 písm. b) GDPR); odeslání jdou do vlastního formuláře Zákazníka. Pro příjemce na straně Zákazníka: organizace Zákazníka. |
| Příjemci | Zákazník (jeho e-mail z formuláře). |
| Třetí země | Žádná z naší strany. |
| Doba uložení | Výsledky jako A.4. |
| TOO | Oddíl 8. Vkládání hlaviček se pouze zjišťuje, nikdy se neprovádí se skutečným příjemcem; ověření e-mailové adresy používá pouze doménu, která nemůže existovat. |
B.7 Studie „Index zabezpečení formulářů“
| Pole | Záznam |
|---|
| Účel | Statistiky o ochraně kontaktních formulářů v určité zemi nebo odvětví. Zveřejňují se pouze souhrny, bez názvů webů; segmenty pouze od 20 stránek s formulářem. |
| Kategorie subjektů údajů | Provozovatelé webů na seznamu; náhodně viditelné osoby. |
| Kategorie osobních údajů | Jako B.5, pouze pasivně. Navíc seznam: hostitel, segment, stav, úloha (study_domains); studie s názvem, zemí, souhrnnými výsledky (studies). |
| Zdroj | Seznam veřejných webů sestavený provozovatelem; samotné stránky. |
| Právní základ | Čl. 6 odst. 1 písm. f) GDPR. Zájem: statistické výpovědi o stavu zabezpečení formulářů. Vážení zájmů: pasivně, se škrcením (málo úloh na běh), platí blokovací seznam a opt-out, zveřejnění pouze jako souhrny, surová data se mažou. |
| Příjemci | Veřejnost, pouze souhrny. |
| Třetí země | Žádná. |
| Doba uložení | Surová data (výsledky kontrol, formuláře, zjištění, obrázky, úlohy) se při zveřejnění mažou (fe_studie_veroeffentlichen()). Seznam hostitelů se segmentem poté zůstává; pro něj ani pro studie, které nejsou nikdy zveřejněny, neexistuje žádná doba uložení (oddíl 10). O tom, které seznamy se kontrolují a zda se studie zveřejní, rozhoduje provozovatel. |
| TOO | Oddíl 8. |
B.8 Kontrola potenciálního klienta (akviziční režim pro agentury)
| Pole | Záznam |
|---|
| Účel | Agentura (tarif Business) pasivně zkontroluje web potenciálního klienta a obdrží krátkou zprávu pod svou značkou a pasivní zprávu. Nikoho nekontaktujeme; odkaz předává agentura sama. |
| Kategorie subjektů údajů | Provozovatel kontrolovaného webu; náhodně viditelné osoby; zaměstnanci agentury, kteří kontrolu spustí. |
| Kategorie osobních údajů | Jako B.5, pouze pasivně. Navíc: pracovní prostor, osoba, která kontrolu spustila, hostitel, náhodný identifikátor zprávy, čas (prospect_checks). |
| Zdroj | Zadání agentury; veřejné stránky. |
| Právní základ | Čl. 6 odst. 1 písm. f) GDPR (náš zájem na poskytování služby a zájem agentury na podloženém oslovení). Role agentury a naše a povinnosti agentury při předávání zprávy jsou otevřenými otázkami pro právní přezkum: pošle-li agentura zprávu e-mailem nevyžádaně nebo zatelefonuje-li, jde o přímý marketing vyžadující souhlas podle čl. 398 PKE a § 7 odst. 2 UWG (německý zákon proti nekalé soutěži), a to i mezi podnikateli. To je odpovědností agentury; Obchodní podmínky ji k tomu zavazují. |
| Příjemci | Agentura a kdokoli, komu předá odkaz. |
| Třetí země | Žádná. |
| Doba uložení | Zpráva a výsledek kontroly vyprší po 90 dnech a noční běh je poté smaže (fe_reports_aufraeumen()); záznam o kontrole se smaže po 90 dnech v denním běhu rojové ochrany od 04:00 (srv/cron_status.php). S pracovním prostorem okamžitě. |
| TOO | Oddíl 8. Měsíční kvóta (nastavení, výchozí 30); stejná stránka během sedmi dní vrací stejnou zprávu; opt-out platí. |
B.9 Nástroj hlaviček bez účtu
| Pole | Záznam |
|---|
| Účel | Bezplatné hodnocení (A+ až F) bezpečnostních hlaviček domovské stránky domény. Dva požadavky, žádný prohlížeč, žádný formulář, žádné odeslání. |
| Kategorie subjektů údajů | Osoby, které nástroj používají; provozovatelé kontrolované domény. |
| Kategorie osobních údajů | Protokol požadavků jako B.4 (zdroj „headers“, IP adresa, hash relace, hostitel). Výsledek: hostitel, hodnocení, body, vyhodnocené hlavičky (header_checks). |
| Právní základ | Čl. 6 odst. 1 písm. f) GDPR, jako B.4 a B.5. |
| Příjemci | Google (reCAPTCHA, B.23). |
| Třetí země | USA prostřednictvím reCAPTCHA. |
| Doba uložení | Protokol požadavků 7 dní; výsledky v současnosti po 90 dnech (noční běh mazání, část „header_checks“, nastavení „headers_keep_days“). U domén v účtu se hodnocení denně znovu určuje a ukládá u domény. |
| TOO | Oddíl 8. Limity na IP adresu a den; opt-out platí. |
B.10 Zákaznické účty
| Pole | Záznam |
|---|
| Účel | Provoz zákaznických účtů, pracovních prostorů a tarifů. |
| Kategorie subjektů údajů | Zákazníci (podnikatelé) a členové jejich týmů s vlastním účtem. |
| Kategorie osobních údajů | E-mailová adresa a její normalizovaná podoba, heslo pouze jako hash, křestní jméno (povinné), příjmení a společnost (pokud jsou uvedeny); adresu a DIČ pro účely DPH aplikace neukládá, uvádějí se pouze u Stripe (B.26); stav, jazyk, režim zobrazení, měna, tarif a stav fakturace, ID zákazníka a předplatného u Stripe, konec fakturačního období, výpověď ke konci období, potvrzovací a obnovovací identifikátory s vypršením, nová e-mailová adresa do potvrzení, čas registrace, posledního přihlášení a poslední IP adresa, čas odvolání všech relací, údaje dvoufázového ověření (B.11), měsíční zpráva zapnuta/vypnuta, čas připomínkového e-mailu, odemčení prostřednictvím kódů, doporučující kód a doporučení (users). Pracovní prostory s názvem, časy, stavem (workspaces); členství s rolí a datem vstupu (workspace_users). |
| Zdroj | Registrace a nastavení osobou; stav fakturace od Stripe. |
| Právní základ | Čl. 6 odst. 1 písm. b) GDPR (smlouva). Poslední IP adresa: písm. f) (zabezpečení účtu). |
| Příjemci | Stripe (B.26); poskytovatel e-mailové služby pro e-maily k účtu (B.25). Členové téhož pracovního prostoru vidí jméno, e-mailovou adresu a roli ostatních členů. |
| Třetí země | Prostřednictvím Stripe a poskytovatele e-mailové služby. |
| Doba uložení | Do smazání držitelem účtu. Při smazání zanikají vlastní pracovní prostory držitele, které nikdo jiný nepoužívá, se všemi doménami a jejich údaji; pracovní prostory s dalšími členy přecházejí na jiného člena, přednostně na administrátory a mezi nimi na toho, kdo je členem nejdéle. Členství, tokeny pro zapamatování, zařízení, klíče API, otevřené kódy pro Telegram, zpětná vazba ke zprávám (B.35) a řádek účtu se mažou; běžící placené předplatné se nejprve okamžitě ukončí u Stripe, bez vrácení peněz (www/ajax.php, fe_konto_reste_loeschen()). Výpověď ve fakturační oblasti naopak nabývá účinnosti ke konci období; poté účet pokračuje v bezplatném tarifu. Co zůstává, je uvedeno v oddílu 6.4. Nikdy nepotvrzené účty, do nichž se nikdo nikdy nepřihlásil, se mažou po 30 dnech, pokud k jejich pracovnímu prostoru není připojen jiný člen (noční běh mazání, část „pending_accounts“). Mazání neaktivních účtů neprobíhá. Skončí-li smlouva o účtu jiným způsobem, například naší výpovědí, smažeme účet nejpozději 30 dní po skončení smlouvy; v současnosti se tak děje ručně (závazek ve Smlouvě o zpracování osobních údajů). |
| TOO | Oddíl 8. |
B.11 Přihlášení, zařízení, druhý faktor a protokol aktivit
| Pole | Záznam |
|---|
| Účel | Ochrana účtů: omezení pokusů o přihlášení a jiných pokusů o heslo, zobrazení a odvolání přihlášených zařízení, dvoufázové přihlášení, dohledatelnost změn. |
| Kategorie subjektů údajů | Držitelé účtů a členové týmů; osoby, které se pokusí o přihlášení, registraci nebo o heslo klientského portálu. |
| Kategorie osobních údajů | Pokusy o přihlášení: IP adresa, zadaná e-mailová adresa, úspěch, čas (login_attempts). Zařízení: hash identifikátoru relace (nikdy identifikátor samotný), vazba na token pro zapamatování, IP adresa, identifikátor prohlížeče a z něj odvozený prohlížeč, operační systém a typ zařízení, časy přihlášení, poslední aktivity a odvolání a u „Zobrazit jako zákazník“ identifikátor pracovníka podpory (login_sessions). Tokeny pro zapamatování pro „Zůstat přihlášen“: selektor, ověřovač, vypršení (remember_tokens). Dvoufázové ověření: tajemství šifrovaně, čas aktivace, poslední použitý časový krok, záchranné kódy pouze jako hash (v users). Protokol aktivit: účet, pracovní prostor, akce, cíl, podrobnosti, IP adresa, země, čas (audit_logs). Počítadla pokusů pro přihlášení, druhý faktor, potvrzení hesla, obnovení hesla, registraci a hesla klientských portálů: klíč HMAC odvozený z účelu a ID účtu (u neznámé adresy nebo při obnovení z e-mailové adresy převedené na malá písmena), IP adresy, účtu a IP adresy dohromady nebo ID portálu (i spolu s IP adresou), počet pokusů, vypršení; e-mailové a IP adresy se tam v čitelné podobě neukládají (tabulka auth_attempt_buckets). |
| Právní základ | Čl. 6 odst. 1 písm. b) GDPR ve spojení s čl. 32 (seznam zařízení, druhý faktor) a písm. f) (pokusy o přihlášení, protokol aktivit). Zájem: ochrana účtů před převzetím, dokumentace změn (čl. 5 odst. 2). Vážení zájmů: zkrácená adresa nezodpoví otázku „byl jsem to já?“; protokol aktivit musí přetrvat spor, který vznikne až po měsících. |
| Příjemci | Žádní. Držitel účtu vidí svá zařízení a dostává pokusy o přihlášení, zařízení a aktivity v exportu dat; během relace „Zobrazit jako zákazník“ se tam neobjevuje ani IP adresa, ani prohlížeč pracovníka podpory. |
| Třetí země | Žádná. |
| Doba uložení | Pokusy o přihlášení 7 dní; po úspěšném přihlášení se neúspěšné pokusy ze stejné adresy okamžitě smažou. Počítadla pokusů na konci svého časového okna (v současnosti 15 minut, u obnovení hesla a registrace jedna hodina); prošlá maže další přístup a noční běh. Zařízení 90 dní po posledním použití nebo po odvolání (noční běh mazání, část „sessions“), s účtem okamžitě. Tokeny pro zapamatování vyprší po 30 dnech. Protokol aktivit 365 dní (každou noc); při smazání účtu zůstávají jeho záznamy do konce doby uložení (oddíl 6.4). |
| TOO | Oddíl 8. |
B.12 Doklad o uzavření smlouvy
| Pole | Záznam |
|---|
| Účel | Prokázání, kterou verzi Obchodních podmínek, Smlouvy o zpracování osobních údajů a Zásad ochrany osobních údajů Zákazník při registraci přijal nebo vzal na vědomí a že Zákazník službu využívá pro své podnikání. |
| Kategorie subjektů údajů | Zákazníci. |
| Kategorie osobních údajů | Pro každý dokument: účet, dokument, verze (hash zobrazeného textu), příležitost, IP adresa, identifikátor prohlížeče, čas (legal_consents). Samotná zobrazená verze s úplným textem, jazykem, názvem a adresou, jednou pro každou verzi (legal_versions; neobsahuje žádné osobní údaje). |
| Právní základ | Čl. 6 odst. 1 písm. b) a f) GDPR (doklad o uzavření smlouvy, obrana proti nárokům). |
| Příjemci | Žádní. Držitel účtu dostává své záznamy v exportu dat. |
| Třetí země | Žádná. |
| Doba uložení | Po dobu existence účtu; po smazání účtu čtyři roky od souhlasu, poté smazání v nočním běhu (srv/cron_status.php). Odůvodnění v kódu: tříletá promlčecí lhůta od konce roku, zaokrouhleno nahoru. Zda polské právo naznačuje jinou lhůtu, je součástí právního přezkumu. |
| TOO | Oddíl 8. Chybí-li některý ze tří dokumentů, je registrace uzavřena. |
B.13 Pozvánky do týmu
| Pole | Záznam |
|---|
| Účel | Pozvání dalších osob do pracovního prostoru. |
| Kategorie subjektů údajů | Pozvané osoby. |
| Kategorie osobních údajů | E-mailová adresa, role, identifikátor pozvánky, zvoucí osoba, vypršení, čas přijetí (workspace_invites); e-mail s pozvánkou v odchozí poště (B.25). |
| Zdroj | Zadává zvoucí člen. |
| Právní základ | Čl. 6 odst. 1 písm. b) GDPR ve vztahu k Zákazníkovi; vůči pozvané osobě písm. f) (zájem Zákazníka na zapojení svého týmu). |
| Příjemci | Poskytovatel e-mailové služby (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). |
| Třetí země | Prostřednictvím poskytovatele e-mailové služby. |
| Doba uložení | Pozvánka platí 14 dní a pouze tak dlouho, dokud je zvoucí osoba vlastníkem nebo administrátorem pracovního prostoru. Nepřijaté pozvánky po vypršení, přijaté 30 dní po přijetí (každou noc, srv/cron_status.php a část „invites“ v cfg/fristen_lib.php). S pracovním prostorem okamžitě. |
| TOO | Oddíl 8. |
B.14 „Zobrazit jako zákazník“ pro podporu
| Položka | Údaj |
|---|
| Účel | Superadministrátor vidí aplikaci tak, jak ji vidí Zákazník, aby mohl vyřešit dotaz podpory („chybí mi tlačítko“). |
| Kategorie subjektů údajů | Dotčený Zákazník; superadministrátor. |
| Kategorie osobních údajů | Vše, co Zákazník v aplikaci vidí. Zaznamenává se: samostatný řádek zařízení s identifikátorem superadministrátora (login_sessions), začátek a konec v protokolu činností (audit_logs). |
| Právní základ | čl. 6 odst. 1 písm. b) GDPR (podpora jako součást služby), případně písm. f). |
| Omezení | Nejvýše jedna hodina, poté úplné odhlášení. Ukončením zobrazení se superadministrátor rovněž zcela odhlásí, včetně relace, ze které přišel; do administrace se vrátí pouze novým přihlášením heslem a druhým faktorem. Končí okamžitě, pokud jsou superadministrátorovi odebrána oprávnění nebo je zablokován. Vše, co mění účet Zákazníka, je zablokováno: heslo, e-mailová adresa, druhý faktor, zařízení, předplatné, export, smazání, převod. Administrace je během relace uzavřena. Zákazník vidí přístup ve svém seznamu zařízení a v exportu dat jako přístup podpory. |
| Příjemci | Žádní. |
| Třetí země | Žádná. |
| Doba uložení | Řádek zařízení 90 dní, protokol činností 365 dní. |
| TOO | Oddíl 8. |
B.15 Domény, prokázání kontroly a monitorování
| Položka | Údaj |
|---|
| Účel | Hlavní služba pro Zákazníky: vedení domén v účtu, prokázání kontroly nad nimi, pravidelné kontroly a zjišťování změn. Patří sem puls formuláře (lehký požadavek bez prohlížeče každých 10 až 30 minut podle tarifu), denní hlídání poštovního DNS a certifikátu, datum vypršení domény, blocklisty, volně přístupné soubory, verze viditelné zvenčí, inventář skriptů, vizuální změny formuláře, výpadky poskytovatelů CAPTCHA a e-mailu a hlídání zranitelností formulářových pluginů. |
| Kategorie subjektů údajů | Zákazníci a členové jejich týmů; provozovatelé domén, pokud jsou fyzickými osobami. |
| Kategorie osobních údajů | Doména s hostitelem, veřejný identifikátor, poznámka, označení zákazníka, typ a identifikátor důkazu, četnost kontrol, monitorování zapnuto/vypnuto, okna údržby, hodnota poptávky, identifikátory pro odznak, kontrolu doručení a deploy hook, klíč pluginu, stavy a poslední výsledky hlídání (DNS, certifikát, pravost e-mailu z formuláře, blocklisty, volně přístupné soubory, hlavičky, verze) (domains). Puls pro každou stránku s formulářem (form_pulse). Zranitelnosti z verzí pluginů (vuln_hits). Inventář skriptů s adresou, hashem, velikostí, schválením se schvalující osobou a důvodem (script_inventory, script_changes). Kontroly jako A.4. U volně přístupných souborů se ukládá cesta, závažnost a typ, nikdy obsah. |
| Dotazy na třetí strany | Dotazy DNS (SPF, DMARC, MX, záznam důkazu). Vyhledání v registru přes RDAP podle adresáře IANA: pouze název domény. DNS blocklisty (SpamCop, PSBL, Mailspike, SURBL; Spamhaus pouze s uloženými přístupovými údaji, v současnosti ne): IP adresy webového a poštovního serveru a název domény, žádné údaje návštěvníků. Google Web Risk pouze, je-li nastaven (v současnosti ne): adresa domovské stránky. Autorita časových razítek: pouze hodnota hash (B.19). WPVulnerability: pouze identifikátor pluginu nebo šablony, nebo verze WordPressu; porovnání s nainstalovanou verzí pluginu provádíme sami. Stavové stránky Cloudflare, hCaptcha, Google Cloud, SendGrid, Mailgun a Brevo: nepředává se nic kromě samotného požadavku. |
| Zdroj | Zákazník; požadavky na stránku Zákazníka; veřejné adresáře. |
| Právní základ | čl. 6 odst. 1 písm. b) GDPR. |
| Příjemci | Uvedené služby nedostávají žádné osobní údaje našich Zákazníků, pokud názvy domén a adresy serverů podniku nejsou osobními údaji; u podnikajících fyzických osob může být název domény osobním údajem. Členové pracovního prostoru doménu vidí. |
| Třetí země | Požadavky mohou směřovat ke službám ve třetích zemích (např. vyhledávání v registru, blocklisty). Předává se pouze to, co je uvedeno v řádku „Dotazy na třetí strany“. |
| Doba uložení | Do smazání domény. fe_domain_loeschen() poté okamžitě smaže výsledky kontrol, formuláře, nálezy, obrázky, reporty, úlohy, cíle upozornění a protokol upozornění, incidenty, kódy Telegramu, doručení, puls, zranitelnosti a důkazy; prostřednictvím cizích klíčů monitorované formuláře, běhy prohlížeče, testovací účet a počítadla formulářů; data pluginu daného hostitele, pokud na něj neodkazuje žádná jiná doména. Rovněž se mažou inventář skriptů a změny skriptů domény; nemají vlastní dobu uložení (oddíl 6.4). Výsledky kontrol nejvýše 13 měsíců, poslední zůstává. |
| TOO | Oddíl 8. Hlídání volně přístupných souborů a verzí pouze u ověřených domén, nejvýše jeden požadavek na cestu, pouze prvních 8 KB; nevyžádané zkoumání cest třetích stran by bylo nástrojem útoku. |
B.16 Upozornění, incidenty a eskalace vůči držiteli účtu
| Položka | Údaj |
|---|
| Účel | Informování Zákazníka o poruchách a změnách, dodržování oken údržby, potvrzování a eskalace incidentů. Pokud jsou cíli třetí osoby, jednáme jménem Zákazníka (A.3); pokud jde o samotného držitele účtu, je to popsáno zde. |
| Kategorie subjektů údajů | Držitelé účtů a členové týmů jako příjemci. |
| Kategorie osobních údajů | Jako A.3. Oznámení se zobrazují v jazyce držitele účtu. |
| Právní základ | čl. 6 odst. 1 písm. b) GDPR. |
| Příjemci | Poskytovatel e-mailových služeb; zvolené chatovací služby (4.1). |
| Třetí země | V závislosti na kanálu (4.1). |
| Doba uložení | Jako A.3: protokol doručení 90 dní, souhrnná oznámení 30 dní po doručení, incidenty do vyřešení a poté 180 dní. Cíle upozornění spolu s doménou. |
| TOO | Oddíl 8. |
B.17 Měsíční report pro účty
| Položka | Údaj |
|---|
| Účel | Vždy 1. dne v měsíci od 08:00 (dohánění do 3. dne) jeden e-mail na účet za všechny jeho domény: úroveň, skóre a jeho změna, upozornění, zablokovaní boti, odesílání e-mailů, srovnávací hodnota. |
| Kategorie subjektů údajů | Aktivní držitelé účtů se zapnutým měsíčním reportem. |
| Kategorie osobních údajů | E-mailová adresa, jazyk, klíčové ukazatele domén. |
| Právní základ | čl. 6 odst. 1 písm. b) GDPR (součást služby). Lze odhlásit v nastavení; lze centrálně vypnout. |
| Příjemci | Poskytovatel e-mailových služeb (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). |
| Třetí země | Prostřednictvím poskytovatele e-mailových služeb. |
| Doba uložení | Žádné samostatné ukládání; e-mail zůstává v odchozí frontě 30 dní (B.25). |
| TOO | Oddíl 8. |
B.18 Odznak a veřejná potvrzovací stránka
| Položka | Údaj |
|---|
| Účel | Zákazník může na svůj web vložit obrázek odznaku a propojit jej s veřejnou potvrzovací stránkou. Odznak ukazuje „Chráněno“ pouze tehdy, je-li doména ověřena, běží monitorování a poslední dokončená kontrola není starší než 45 dní a skončila výsledkem „Chráněno“ nebo „Částečně chráněno“; jinak neutrálně ukazuje „Kontrola kontaktního formuláře“. Potvrzovací stránka uvádí úroveň a datum, žádné jednotlivé nálezy. |
| Kategorie subjektů údajů | Návštěvníci webu Zákazníka, jejichž prohlížeč obrázek načte; návštěvníci potvrzovací stránky. |
| Kategorie osobních údajů | Při načtení obrázku: IP adresa, čas, požadovaná adresa, odkazující stránka a identifikátor prohlížeče v protokolu webového serveru (B.1). Adresa obrázku nezakládá relaci, nenastavuje cookie a nezapisuje do protokolu zobrazení stránek. Potvrzovací stránka je běžná stránka (B.2, B.3). |
| Právní základ | čl. 6 odst. 1 písm. f) GDPR. Zájem: doručení obrázku a zajištění bezpečného provozu. Zda jsme spolu se Zákazníkem společnými správci při předání IP adresy návštěvníka ve smyslu judikatury k vloženému obsahu třetích stran a zda je nutné ujednání podle čl. 26, je otevřenou otázkou pro právní posouzení. Zákazník obdrží návrh textu pro své zásady ochrany osobních údajů. |
| Příjemci | Žádní. |
| Třetí země | Žádná. |
| Doba uložení | 14 dní (protokol webového serveru). Obrázek se ukládá do mezipaměti na jednu hodinu. Po vypnutí odznaku přestane identifikátor platit. |
| TOO | Oddíl 8. |
B.19 Důkazní protokol a časové razítko
| Položka | Údaj |
|---|
| Účel | Jeden protokol na doménu a měsíc (placené tarify): co bylo kontrolováno, s jakým výsledkem, co bylo nahlášeno a co se změnilo, jako důkaz pro účely odpovědnosti, pro pojistitele nebo audity dodavatelů. Každá verze obdrží kontrolní číslo; veřejná stránka potvrzuje doménu, období a klíčové ukazatele, žádné podrobnosti. Od 7. října 2026 potvrzuje čas autorita časových razítek podle RFC 3161. |
| Kategorie subjektů údajů | Zákazníci; nepřímo osoby, které mohou být v protokolu uvedeny jako schvalovatelé nebo jako osoby, které něco potvrdily. |
| Kategorie osobních údajů | Doména, měsíc, kontrolní číslo, hash obsahu (SHA-512), shrnutí a data protokolu, odpověď s časovým razítkem, autorita časových razítek a čas, neúspěšné pokusy (proof_docs). |
| Právní základ | čl. 6 odst. 1 písm. b) GDPR. |
| Příjemci | Autorita časových razítek (standardně Certum, záložně DigiCert) obdrží pouze hash protokolu, nikoli jeho obsah. Veřejně: klíčové ukazatele prostřednictvím potvrzovací stránky. Zákazník a každý, komu Zákazník protokol nebo kontrolní číslo předá. |
| Třetí země | Žádné předání osobních údajů: z hashe nelze nic vyvodit o obsahu. Záložní autorita sídlí v USA. |
| Doba uložení | Do smazání domény (fe_domain_loeschen()). Časové razítko není kvalifikovaným časovým razítkem podle nařízení eIDAS. |
| TOO | Oddíl 8. |
B.20 Plugin a rozšíření: kontrola, propojení a přenos
| Položka | Údaj |
|---|
| Účel | Plugin pro WordPress a rozšíření pro TYPO3 mohou vyžádat kontrolu (i bez účtu), propojit se s účtem (instalace se v účtu jedním kliknutím počítá jako prokázání kontroly), odemknout ochranné funkce, denně hlásit údaje (A.9) a okamžitě hlásit chyby e-mailu a režim údržby. |
| Kategorie subjektů údajů | Zákazníci; provozovatelé webů, kteří plugin používají bez účtu. |
| Kategorie osobních údajů | Pro každého hostitele: verze pluginu a CMS, počet kontrol, identifikátor posledního hlášení, hash tajného klíče propojení, první a poslední kontakt (plugin_sites). Jednorázové propojovací kódy jako hash s dobou platnosti (plugin_connect_tokens). Kódy agentury pro hromadné nasazení jako hash s prefixem, označením, počtem použití a osobou, která je vytvořila (workspace_connect_codes). Protokol požadavků s IP adresou volajícího serveru (B.4). Klíč pluginu je veřejně viditelný v hlavičce webu; jde o hash tajného klíče, přičemž samotný tajný klíč se ukládá pouze jako hash a nikdy se nevrací. |
| Právní základ | čl. 6 odst. 1 písm. b) GDPR (účet); bez účtu písm. f) (vyžádaná kontrola, prevence zneužití). |
| Příjemci | Žádní. |
| Třetí země | Žádná. |
| Doba uložení | Údaje hostitele zanikají, jakmile na něj neodkazuje žádná doména; řádek pluginu bez účtu až po 90 dnech bez kontaktu (noční mazací běh, část „orphan_hosts“). Jednorázové kódy jeden den po vypršení. Kódy pro hromadné nasazení spolu s pracovním prostorem. |
| TOO | Oddíl 8. Od 27. září 2026 server přijímá pouze páry klíčů vázané na web; starší, nevázané tajné klíče propojení byly smazány. |
B.21 Rojová ochrana
| Položka | Údaj |
|---|
| Účel | Společná obrana proti spamu: propojené weby hlásí domény odkazů ve zprávách, které zastavila jejich ochranná vrstva. Doména, která se během sedmi dní objeví alespoň na třech webech s alespoň pěti zásahy, se zařadí na seznam, který se vrací všem propojeným webům; jejich ochranná vrstva přesouvá zprávy s takovými odkazy do karantény, nikdy ne do zapomnění. |
| Kategorie subjektů údajů | Držitelé nahlášených domén odkazů, pokud jsou fyzickými osobami (např. provozovatel spamového webu pod vlastním jménem). Nikoli odesílatelé a příjemci zpráv: adresy, texty a jména se nehlásí. |
| Kategorie osobních údajů | Signály: typ, doména, hlásící hostitel, den, zásahy (swarm_signals). Seznam: typ, doména, počet webů a zásahů, časy (swarm_list). Velké služby, domény našich Zákazníků a výjimky nastavené provozovatelem se na seznam nikdy nezařazují. |
| IP sítě | Sdílení IP sítí (/24, /48) je připraveno. Je vypnuto a plugin žádné nehlásí; zapne se až po právním posouzení, protože IP adresy jsou osobní údaje. |
| Právní základ | čl. 6 odst. 1 písm. f) GDPR. Zájem: ochrana formulářů všech Zákazníků před vlnami spamu. Vážení zájmů: pouze domény, minimální prahy proti otrávení seznamu, žádná ztráta zpráv, odstranění kdykoli možné. |
| Příjemci | Všechny propojené weby (seznam domén). |
| Třetí země | V závislosti na umístění propojených webů; seznam se může dostat i k webům mimo EHP. Osobní údaje představuje pouze v hraničních případech (domény fyzických osob). Základ pro předání podle kapitoly V GDPR pro tyto případy teprve musí být určen (otevřená otázka pro právní posouzení). |
| Doba uložení | Signály 30 dní (denní běh rojové ochrany od 04:00, cfg/swarm_lib.php). Seznam se denně přepočítává; co již nedosahuje prahu, ze seznamu vypadne. |
| TOO | Oddíl 8. |
B.22 Klíče API, programové rozhraní a MCP server
| Položka | Údaj |
|---|
| Účel | Přístup vlastních nástrojů Zákazníka (REST API, Zapier, Make, MCP server pro AI asistenty) k doménám, kontrolám a incidentům Zákazníka. |
| Kategorie subjektů údajů | Zákazníci, kteří vytvářejí klíče. |
| Kategorie osobních údajů | Klíč pouze jako hash, prefix, označení, čas vytvoření, posledního použití a zneplatnění (api_keys). Volání za minutu (api_usage). |
| Právní základ | čl. 6 odst. 1 písm. b) GDPR. |
| Příjemci | Nástroj, kterému Zákazník klíč poskytne; určuje jej Zákazník. |
| Třetí země | V závislosti na nástroji Zákazníka. |
| Doba uložení | Klíče do zneplatnění, se zrušením účtu okamžitě; klíče bez účtu (starší data) v noci. Počítadla volání po jednom dni (příležitostně vyčištěna při volání). |
| TOO | Oddíl 8. |
B.23 reCAPTCHA a naše vlastní ochrana formulářů
| Položka | Údaj |
|---|
| Účel | Obrana proti automatizovanému přístupu k našim vlastním formulářům: bezplatná kontrola, nástroj pro hlavičky, opt-out, přihlášení, registrace, zapomenuté heslo a obnovení hesla, podpora a kontakt. Navíc naše vlastní ochrana bez třetích stran: past (skryté pole), podepsaná kontrola časování a token CSRF. Od 29. října 2026 navíc naše ochrana formulářů formconfirmed (výpočetní důkaz a jednorázový kontrolní token) u bezplatné kontroly, registrace, přihlášení a funkce „Zapomenuté heslo“. |
| Kategorie subjektů údajů | Osoby, které tyto formuláře odesílají. |
| Kategorie osobních údajů | U společnosti Google: IP adresa, údaje o prohlížeči a zařízení, údaje o chování, cookies Google. U nás: vyhodnocení společnosti Google (skóre a akce) pouze v okamžiku kontroly, bez uložení, a to ani při odmítnutí odeslání. U vlastní ochrany formulářů: IP adresa (ukládaná pouze zkrácená a hashovaná), stránka, časové údaje, vyplnění pole-pasti ano/ne; žádný obsah. |
| Načasování | Skript Google se načte až při odeslání chráněného formuláře, nikoli při otevření stránky. Vlastní ochrana formulářů si vyžádá úlohu při otevření stránky a počítá, jakmile je formulář používán. Ve vývojovém systému je reCAPTCHA vypnuta. |
| Právní základ | čl. 6 odst. 1 písm. f) GDPR. Zájem: ochrana proti botům, zejména u bezplatné kontroly, kterou by jinak bylo možné zneužít proti webům třetích stran. Zda přístup ke koncovému zařízení vyžaduje souhlas podle § 25 TDDDG nebo čl. 399 PKE, přestože se skript načítá až při odeslání, je otevřenou otázkou pro právní posouzení. Vlastní ochrana formulářů nenastavuje žádné cookies, nic neukládá v prohlížeči a nevytváří otisk zařízení; dlouhodobě má reCAPTCHA nahradit. |
| Příjemci | Google Ireland Limited; Google LLC. U vlastní ochrany formulářů žádní. |
| Třetí země | USA (pouze reCAPTCHA). Základ: certifikace podle rámce EU-USA pro ochranu osobních údajů (Data Privacy Framework) nebo standardní smluvní doložky; bude podrobně zdokumentováno. |
| Doba uložení | reCAPTCHA: u nás se neukládá; u společnosti Google podle jejích pravidel. Vlastní ochrana formulářů: hashovaný identifikátor 1 hodina, použité kontrolní tokeny nejvýše 11 minut, výsledky kontrol bez IP adresy 30 dní. |
| Výpadek | Pokud Google neodpoví do tří sekund nebo odpoví nepoužitelně, odeslání se odmítne; stejně tak při prázdném tokenu a při odpovědi pro jinou akci, než je akce formuláře. Kontrola se přeskočí pouze tehdy, je-li reCAPTCHA vypnuta. U vlastní ochrany formulářů se odeslání bez platného kontrolního tokenu odmítne; pokud služba nebyla při získávání úlohy dostupná, odeslání se povolí. |
| TOO | Oddíl 8. |
B.24 Podpora a kontaktní formulář
| Položka | Údaj |
|---|
| Účel | Přijímání a zodpovídání dotazů prostřednictvím okna podpory a kontaktní stránky. Obojí používá stejnou cestu a stejnou tabulku. |
| Kategorie subjektů údajů | Tazatelé, přihlášení i nepřihlášení. |
| Kategorie osobních údajů | Účet (je-li tazatel přihlášen; pak platí adresa účtu, nikoli zadaná adresa), e-mailová adresa, důvod z pevného seznamu, text do 4 000 znaků, stav, úplná IP adresa, země, identifikátor prohlížeče, odkazující stránka (pouze vlastní cesty), jazyk, čas přijetí a odpovědi (support_requests); záznam v protokolu činností (bez textu); potvrzení přijetí pro tazatele v odchozí frontě (B.25), s textem do 2 000 znaků pouze u přihlášených odesílatelů, bez textu u požadavků odeslaných bez přihlášení. |
| Právní základ | čl. 6 odst. 1 písm. b) GDPR, týká-li se dotaz smlouvy; jinak písm. f). Úplná IP adresa: písm. f) (limit tří dotazů za hodinu a adresu, prevence zneužití). |
| Příjemci | Poskytovatel e-mailových služeb (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) pro potvrzení a odpověď. Telegram obdrží pevný signál bez jakékoli proměnné („je tu nový požadavek na podporu“), a tedy žádné osobní údaje. |
| Třetí země | Prostřednictvím poskytovatele e-mailových služeb. |
| Doba uložení | 24 měsíců (noční mazací běh, část „support“); ručně i dříve. Při smazání účtu zůstávají dotazy uloženy do konce doby uložení (oddíl 6.4). |
| TOO | Oddíl 8. reCAPTCHA, naše vlastní ochrana formulářů, omezení četnosti požadavků. |
B.25 Odesílání e-mailů (odchozí fronta)
| Položka | Údaj |
|---|
| Účel | Transakční e-maily: potvrzení registrace a nových e-mailových adres, obnovení hesla, pozvánky, upozornění, měsíční reporty, potvrzení a reporty portálu, potvrzení přijetí a odpovědi podpory, připomínky ke zkušební době a k nastavení, provozní oznámení provozovatelům. Žádná reklama, žádné e-maily osobám, které se samy nezaregistrovaly nebo které Zákazník nezadal jako příjemce. |
| Kategorie subjektů údajů | Příjemci těchto e-mailů. |
| Kategorie osobních údajů | Adresa příjemce, předmět, úplný obsah, adresa pro odpověď, účel, cesta odeslání, stav, chyba, pokusy, časy (mail_outbox). Obsah může zahrnovat potvrzovací odkazy a odkazy pro obnovení hesla s platnými identifikátory. |
| Právní základ | čl. 6 odst. 1 písm. b) GDPR; u provozních oznámení písm. f). |
| Příjemci | Namecheap, Inc. (Private Email), Phoenix, Arizona, USA (odesílání); držitel účtu vidí své odeslané e-maily v exportu dat (bez obsahu). |
| Třetí země | V závislosti na místě zpracování u poskytovatele e-mailových služeb; smlouva a základ pro předání teprve musí být zdokumentovány (oddíl 4). |
| Doba uložení | 30 dní (v noci, srv/cron_status.php). Tato lhůta je záměrně nejkratší ze všech protokolů: dlouhý protokol odesílání by byl sbírkou platných klíčů. Stavový běh každých pět minut kontroluje, zda je na řadě opakovaný pokus. |
| Stav | Odesílání e-mailů musí být nastaveno před spuštěním. Dokud nebude vyřešen poskytovatel e-mailových služeb včetně sídla a základu pro předání, zobrazují právní texty značku. |
| TOO | Oddíl 8. Neúspěšné e-maily se odesílají znovu v rostoucích intervalech a po dosažení maximálního počtu pokusů se od nich upustí. |
B.26 Platby a fakturace
| Položka | Údaj |
|---|
| Účel | Uzavírání a správa předplatného (měsíčně nebo ročně předem), 14denní zkušební doba bez karty s připomínkou tři dny před koncem, platba na fakturu u ročního předplatného (ve výchozím stavu vypnuta), odemčení prostřednictvím kódů hostingových společností a partnerů bez platby, fakturace, uchovávání pro daňové účely. |
| Kategorie subjektů údajů | Zákazníci. |
| Kategorie osobních údajů | U Stripe: e-mailová adresa, jméno, fakturační adresa, DIČ, platební údaje, faktury; jako metadata naše ID účtu a tarif. U nás: ID zákazníka a předplatného ve Stripe, tarif, stav, konec období, zrušení ke konci období (users); přijaté události Stripe pouze s identifikátorem, typem, stavem a časy, bez obsahu (stripe_events); uplatnění kódů hostingových společností s účtem, kampaní a koncem platnosti (bundle_redemptions). Údaje o platebních kartách se k nám nikdy nedostanou. |
| Zdroj | Zákazník v pokladně Stripe; události od Stripe. |
| Právní základ | čl. 6 odst. 1 písm. b) GDPR; pro uchovávání pro daňové účely písm. c). |
| Příjemci | Stripe Payments Europe Limited (Irsko); Stripe, Inc. (USA). U části zpracování plateb jedná Stripe na vlastní odpovědnost; přesné rozdělení rolí je součástí právního posouzení. |
| Třetí země | USA prostřednictvím Stripe, Inc.; základ: Data Privacy Framework nebo standardní smluvní doložky podle podmínek Stripe. |
| Doba uložení | Fakturační pole spolu s účtem; běžící předplatné se před smazáním účtu ukončí. Faktury a účetní záznamy podle polského daňového práva po dobu pěti let od konce roku, v němž uplynula lhůta pro zaplacení daně; jsou uloženy u Stripe a lze je získat v zákaznickém portálu Stripe. Události Stripe a uplatnění kódů nemají dobu uložení (oddíl 6.4). |
| TOO | Oddíl 8. Události Stripe se přijímají pouze s platným podpisem; každá událost se zpracuje jen jednou. |
B.27 Zálohy
| Položka | Údaj |
|---|
| Účel | Obnova po chybě: neoprávněné smazání, poškozená migrace. |
| Kategorie subjektů údajů | Všichni, jejichž údaje jsou v databázi. |
| Kategorie osobních údajů | Úplný, komprimovaný výpis aplikační databáze. Snímky obrazovky a soubory log jsou uloženy mimo databázi a nejsou součástí této zálohy. Přístupové údaje testovacích účtů jsou v ní obsaženy pouze jako šifrovaný text (A.5). |
| Postup | Každou noc ve 03:00, po mazacím běhu, aby záloha nepřevzala to, co doby uložení právě smazaly. Výpis se ponechá teprve poté, co byl zkontrolován jeho obsah (návratový kód, počet tabulek, poslední řádek). V neděli test obnovy načte nejnovější zálohu do dočasné databáze a porovná ji tabulku po tabulce. Pokud cokoli selže, odejde signál a e-mail provozovatelům. |
| Právní základ | čl. 6 odst. 1 písm. f) GDPR ve spojení s čl. 32 odst. 1 písm. c). |
| Příjemci | Žádní. |
| Třetí země | Žádná. |
| Doba uložení | 14 dní; starší výpisy se odstraní až po úspěšné nové záloze (cfg/backup_lib.php). Smazání, k nimž dojde v této době, se do zálohy promítnou až jejím vypršením; obnoví-li se data ze zálohy, žádosti o výmaz se poté uplatní znovu. |
| Umístění | Zálohy jsou v současnosti uloženy na stejném místě jako databáze a nejsou samostatně šifrovány; šifrovaná kopie na druhém místě je plánována (oddíly 8.1 a 10). |
| TOO | Oddíl 8. |
B.28 Protokol chyb a upozornění na chyby
| Položka | Údaj |
|---|
| Účel | Nalezení a oprava chyb dříve, než je nahlásí Zákazník. Nové typy chyb a vlny chyb se hlásí provozovatelům, navíc denní přehled od 08:00. |
| Kategorie subjektů údajů | Uživatelé, jejichž požadavek způsobí chybu; nepřímo osoby, jejichž údaje se objeví v chybové zprávě. |
| Kategorie osobních údajů | Úroveň, zdroj, zpráva, kontext jako JSON, ID účtu relace, čas (error_logs). Typy chyb: otisk, vzor (z něhož byly odstraněny e-mailové adresy, adresy, čísla a identifikátory), jedna nezměněná vzorová zpráva o délce do 2 000 znaků, první a poslední výskyt, počet (error_kinds). |
| Právní základ | čl. 6 odst. 1 písm. f) GDPR (provozní bezpečnost, čl. 32). |
| Příjemci | Provozovatelé e-mailem prostřednictvím poskytovatele e-mailových služeb: u nového typu chyby zdroj a nezpracovaný text zprávy do 400 znaků (nevyčištěný) a navíc denní přehledový e-mail; u vlny chyb odchází pouze signál přes Telegram. Telegram dostává pouze pevné věty bez proměnných („Vyskytl se nový typ chyby“, „Mnoho chyb v krátkém čase“). |
| Třetí země | Prostřednictvím poskytovatele e-mailových služeb. |
| Doba uložení | Protokol chyb 90 dní (v noci). Typy chyb bez doby uložení (oddíl 10). Upozornění na chyby je v produkčním systému zapnuto a ve vývojovém systému vypnuto. |
| TOO | Oddíl 8. |
B.29 Provozní signály a monitorování stavu
| Položka | Údaj |
|---|
| Účel | Zjišťování výpadků: každých pět minut kontrola komponent (domovská stránka, databáze, místo na disku, heartbeat skeneru, nevyřízené položky ve frontě), stavová stránka, signál při poruše a při jejím odeznění, heartbeat externí monitorovací službě, aby byl zaznamenán i úplný výpadek; nevyřízené úlohy před skenerem. |
| Kategorie subjektů údajů | Zpravidla žádné. |
| Kategorie osobních údajů | Žádné. Denní řádky pro každou komponentu s počtem kontrol a poslední chybou (system_status_logs), heartbeat skeneru (scanner_heartbeat), denní klíčové ukazatele bez vztahu k osobám (daily_stats). Signály do Telegramu jsou pevné věty bez proměnných; heartbeat je požadavek bez obsahu. |
| Právní základ | Nepoužije se, neboť nejde o osobní údaje; preventivně čl. 6 odst. 1 písm. f). |
| Příjemci | Telegram (pevné věty); externí monitorovací služba (pouze požadavek); provozovatelé e-mailem. |
| Třetí země | Telegram mimo EU; žádné osobní údaje se nepředávají. |
| Doba uložení | Stavové řádky 400 dní (v noci). |
| TOO | Oddíl 8. |
B.30 Opt-out – vyloučení domény
| Položka | Údaj |
|---|
| Účel | Kdokoli může bez důkazu trvale vyloučit libovolnou doménu z kontrol; blokace platí okamžitě pro všechny cesty kontroly (bezplatná kontrola, plugin bez účtu, studie, kontrola potenciálních zákazníků, nástroj pro hlavičky) a také pro domény platících Zákazníků s prokázanou kontrolou; jejich probíhající monitorování skončí s příští plánovanou kontrolou. Vztahuje se na doménu a její variantu s www, nikoli na jiné subdomény. Zrušit ji můžeme pouze my, na žádost a po předložení důkazu. Aby bylo možné zneužití (např. když konkurent blokuje cizí domény) odhalit a zvrátit, blokace se zaznamenává. |
| Kategorie subjektů údajů | Osoby, které doménu vylučují. |
| Kategorie osobních údajů | Doména, dobrovolně uvedený důvod do 250 znaků, zdroj, IP adresa, země, identifikátor prohlížeče, čas; při zrušení čas, osoba, která blokaci zrušila, a důvod (blocklist). Protokol požadavků jako B.4. |
| Právní základ | Pro vyloučení čl. 6 odst. 1 písm. f) GDPR. Zájem: trvale a napříč všemi cestami kontroly vyhovět přání, aby doména nebyla kontrolována. Je-li vylučující osoba sama subjektem údajů, vyloučení zároveň vyhovuje její námitce podle čl. 21 (čl. 6 odst. 1 písm. c)). Pro adresu, zemi a identifikátor prohlížeče písm. f) (odhalování zneužití). |
| Příjemci | Google (reCAPTCHA, B.23). |
| Třetí země | USA prostřednictvím reCAPTCHA. |
| Doba uložení | IP adresa, země a identifikátor prohlížeče po 12 měsících (noční mazací běh, část „optout_ip“). Samotné vyloučení zůstává trvale, aby mělo účinek. |
| TOO | Oddíl 8. Mnoho blokací z jedné země v krátké době vyvolá anomálii (B.4). |
B.31 Připomínka po registraci
| Položka | Údaj |
|---|
| Účel | Jediný e-mail dva až 14 dní po registraci potvrzeným účtům bez potvrzené domény: „Přidat web“ nebo „Potvrdit doménu“. Žádná nabídka, žádná cena, žádný upgrade; s upozorněním, že již nebude znovu zaslán. V pracovní dny od 09:00 do 18:00, nejvýše 50 na jeden běh. |
| Kategorie subjektů údajů | Noví držitelé účtů. |
| Kategorie osobních údajů | E-mailová adresa, jazyk, čas odeslání (pole „připomínka odeslána“ v users), doména a stav potvrzení. |
| Právní základ | čl. 6 odst. 1 písm. b) GDPR (upozornění na nastavení vlastního účtu). Zda se e-mail považuje za sdělení týkající se smluvního vztahu, nebo za obchodní sdělení, které by vyžadovalo souhlas (čl. 10 UŚUDE, polského zákona o poskytování služeb elektronickými prostředky (ustawa o świadczeniu usług drogą elektroniczną); čl. 398 PKE; § 7 UWG), je otevřenou otázkou pro právní posouzení; provozovatel jej může centrálně vypnout. |
| Příjemci | Poskytovatel e-mailových služeb (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). |
| Třetí země | Prostřednictvím poskytovatele e-mailových služeb. |
| Doba uložení | Čas zůstává uložen po dobu existence účtu; e-mail 30 dní v odchozí frontě. |
| TOO | Oddíl 8. Čas se nastaví před odesláním, aby přerušení nespustilo druhý e-mail. |
B.32 Telegram bot pro upozornění Zákazníků
| Položka | Údaj |
|---|
| Účel | Chat v Telegramu se propojí jako cíl upozornění: Zákazník obdrží odkaz na našeho bota s jednorázovým kódem; když příjemce stiskne „Start“, náš server přečte kód z nových zpráv pro bota a uloží ID chatu. Na naší straně k tomu není potřeba žádný otevřený koncový bod (webhook). |
| Kategorie subjektů údajů | Zákazníci a osoby, jejichž chat v Telegramu je propojen. |
| Kategorie osobních údajů | Jednorázový kód, doména, účet, který jej vytvořil, události, režim doručení, ID chatu, časy (telegram_links); ID chatu jako cíl (alerts). Telegram spolu se zprávou dodává další profilové údaje; vyhodnocuje a ukládá se pouze kód a ID chatu. |
| Právní základ | čl. 6 odst. 1 písm. b) GDPR; u třetích osob jako příjemců viz A.3. |
| Příjemci | Telegram. |
| Třetí země | Mimo EU, bez rozhodnutí o odpovídající ochraně; volbu činí Zákazník (4.1). Základ pro předání a informování jsou otevřenými otázkami pro právní posouzení. |
| Doba uložení | Kód platí 30 minut; řádky propojení se smažou po jednom dni při vytvoření nového kódu, otevřené kódy spolu s účtem a doménou. ID chatu jako cíl do smazání cíle upozornění nebo domény. |
| TOO | Oddíl 8. |
B.33 Partnerský program a odemykací kódy
| Položka | Údaj |
|---|
| Účel | Účet může doporučovat nové Zákazníky prostřednictvím doporučujícího kódu a po omezený počet měsíců dostává provizi z jejich zaplacených faktur. Kód je až do registrace předáván v adrese; nenastavuje se žádná cookie. Hostingové společnosti a partneři mohou vydávat kódy, které na určité období odemknou tarif bez platby; týden před koncem obdrží Zákazník připomínku. |
| Stav | Partnerský program je ve výchozím stavu vypnut, dokud nebudou zavedeny Partnerské podmínky. |
| Kategorie subjektů údajů | Partneři a doporučení Zákazníci. |
| Kategorie osobních údajů | Doporučující kód, doporučující partner a čas doporučení (v users); provize s partnerem, Zákazníkem, ID faktury Stripe, částkou, měnou, provizí, stavem, časy (partner_commissions). Odemčení s tarifem, koncem, zdrojem, připomínkou (v users); kampaně a uplatnění (bundle_campaigns, bundle_redemptions). |
| Právní základ | čl. 6 odst. 1 písm. b) GDPR (partnerská smlouva); u Zákazníka písm. f) (vyúčtování provize, aniž by byly partnerovi předávány údaje Zákazníka nad rámec výše provize); daňové záznamy písm. c). |
| Příjemci | Partner vidí své provize. |
| Třetí země | Žádná. |
| Doba uložení | Doporučení a odemčení spolu s účtem. Provize a uplatnění nemají v kódu stanovenu dobu uložení; jako účetní záznamy podléhají provize uchovávání pro daňové účely (oddíl 6.4). |
| TOO | Oddíl 8. |
B.34 Místo pro hlášení zranitelností
| Položka | Údaj |
|---|
| Účel | Přijímání hlášení o zranitelnostech v formexposed podle pravidel na stránce Bezpečnost a v /.well-known/security.txt. |
| Kategorie subjektů údajů | Oznamovatelé; osoby, jejichž údaje hlášení obsahuje jako důkaz. |
| Kategorie osobních údajů | E-mailová adresa, jméno, obsah hlášení a přílohy, tak jak je oznamovatel zašle. Hlášení k nám dorazí e-mailem na tam uvedenou adresu; aplikace je neukládá. |
| Právní základ | čl. 6 odst. 1 písm. f) GDPR (bezpečnost služby, čl. 32); obsahuje-li hlášení osobní údaje třetích osob jako důkaz, rovněž písm. f), s cílem zranitelnost odstranit. |
| Příjemci | Poskytovatel e-mailových služeb a do zřízení poštovní schránky přesměrování domény u společnosti Namecheap (oddíl 4). |
| Třetí země | Prostřednictvím poskytovatele e-mailových služeb a do přepnutí také prostřednictvím přesměrování. |
| Doba uložení | Doba uložení nebyla stanovena ani není technicky vynucována (oddíl 10). Provozovatel ji teprve musí stanovit; nabízí se smazat důkazy třetích osob po odstranění zranitelnosti a s korespondencí zacházet jako s dotazy na podporu. |
| TOO | Oddíl 8. |
B.35 Zpětná vazba k reportu
| Položka | Údaj |
|---|
| Účel | Přijímání zpětné vazby pod reportem („Je v tomto reportu něco špatně?“) za účelem nalezení chyb v rozpoznávání formulářů. Superadministrátor ji zařadí (nová, potvrzená, opravená, zamítnutá) a může si stáhnout data kontroly z reportu jako testovací případ (formuláře s poli, důvody a nálezy, bez snímků obrazovky a bez aktivně odeslaných textů). |
| Kategorie subjektů údajů | Osoby, které si prohlížejí report, přihlášené i nepřihlášené. |
| Kategorie osobních údajů | Kategorie a kontrola z pevných seznamů, adresa stránky do 500 znaků, text do 1 000 znaků, jazyk, čas, identifikátor reportu, kontrola, hostitel; identifikátor účtu, je-li osoba přihlášena; HMAC-SHA256 IP adresy s tajným klíčem pro limit; stav, osoba, která zpětnou vazbu vyřídila, čas vyřízení (report_feedback). Protokol činností: změny stavu a stažení testovacího případu. Žádná e-mailová adresa, žádná IP adresa v otevřeném textu. |
| Právní základ | čl. 6 odst. 1 písm. f) GDPR (nalezení a oprava chyb rozpoznávání; limit proti zneužití). |
| Příjemci | Žádní. |
| Třetí země | Žádná. |
| Doba uložení | 24 měsíců (noční mazací běh, část „report_feedback“); kontrolní součet IP adresy se vymaže po 2 dnech (část „report_feedback_ip“); při smazání účtu okamžitě. Stažené testovací případy neobsahují žádné údaje o oznamující osobě. |
| TOO | Oddíl 8. Vlastní ochrana formulářů (past, podepsaný čas, CSRF), nejvýše 5 hlášení za hodinu a 20 za den na kontrolní součet, 10 na report; čitelné pouze pro superadministrátory. |
6. Doba uložení – co noční mazací běh pokrývá a co ne
Automatické mazání existuje a má své pevné místo. Stavový běh (srv/cron_status.php) se spouští každých pět minut prostřednictvím crontabu webového serveru, v produkčním systému stejně jako ve vývojovém. Kontroluje komponenty, vyzvedává poštu kontroly doručení, plánuje kontroly a odesílá upozornění. Jednou denně, v okně od 03:00 do 03:04, maže podle dob uložení a poté vytváří zálohu. Od 27. září 2026 navíc volá běh dob uložení v cfg/fristen_lib.php (fe_fristen_lauf()), jehož části běží nezávisle na sobě: pokud jedna selže, ostatní pokračují a chyba se zaznamená do protokolu chyb.
Důkaz, že běh probíhá: stav záloh vývojového systému ukazuje úspěšnou zálohu ve 03:00 dne 11. října 2026; záloha se vytváří ve stejném bloku bezprostředně po mazání. Běh zapisuje protokol pro každou smazanou tabulku pouze na standardní výstup, který crontab zahazuje; neexistuje trvalý záznam o tom, co bylo kdy smazáno (oddíl 10).
Doby uložení, které se zobrazují jako zástupné hodnoty, se nastavují v administraci v nastavení dob uložení. Běh čte stejná nastavení; texty proto vždy ukazují dobu, po jejímž uplynutí jsou údaje skutečně smazány.
6.1 Pokryto denním během
| Údaje | Doba uložení a spouštěč | Místo v kódu |
|---|
Protokol zobrazení stránek (access_logs) | 60 dní | srv/cron_status.php |
Protokol činností (audit_logs) | 365 dní | srv/cron_status.php |
Protokol chyb (error_logs) | 90 dní | srv/cron_status.php |
Odchozí fronta (mail_outbox) | 30 dní | srv/cron_status.php |
Tokeny „Zůstat přihlášen“ (remember_tokens) | po vypršení (30 dní) | srv/cron_status.php |
Nepřijaté pozvánky (workspace_invites) | po vypršení (14 dní) | srv/cron_status.php |
Pokusy o přihlášení (login_attempts); počítadla pokusů (auth_attempt_buckets) | 7 dní; počítadla po uplynutí jejich časového okna (v současnosti 15 minut, jedna hodina pro obnovení hesla a registraci), také při dalším přístupu | srv/cron_status.php |
Protokol požadavků kontrol bez účtu (check_throttle) | 7 dní | srv/cron_status.php |
Jednorázové kódy pro propojení pluginu (plugin_connect_tokens) | 1 den po vypršení | srv/cron_status.php |
Vyřešené anomálie (abuse_flags) | 90 dní po vyřešení | srv/cron_status.php |
| Vypršené reporty spolu s výsledkem kontroly, formuláři, nálezy, obrázky a úlohou (pouze bez domény v účtu) | anonymní 30 dní, potenciální zákazníci 90 dní | fe_reports_aufraeumen() |
Protokol doručení upozornění (alert_log) | 90 dní | fe_alert_log_aufraeumen() |
Stavové řádky (system_status_logs) | 400 dní | srv/cron_status.php |
Záznamy o souhlasu smazaných účtů (legal_consents) | jakmile je účet smazán a souhlas je starý 4 roky | srv/cron_status.php |
| Osiřelé záznamy smazaných domén: výsledky kontrol, úlohy, data upozornění, incidenty, kódy Telegramu, doručení, puls, zranitelnosti, důkazy, inventář skriptů a změny skriptů | okamžitě při dalším běhu | fe_fristen_lauf(), části „orphan_scans“, „orphan_rows“ |
| Data pluginu u hostitelů bez domény; řádek pluginu bez účtu | okamžitě; řádek po 90 dnech bez kontaktu | část „orphan_hosts“ |
Výsledky nástroje pro hlavičky (header_checks) | v současnosti 90 dní | část „header_checks“ |
| Výsledky kontrol domény s formuláři, nálezy, obrázky, reporty, úlohami | 13 měsíců; poslední dokončená kontrola každé domény zůstává | část „old_scans“ |
Běhy prohlížeče, dokončené úlohy prohlížeče, časové řady (form_browser_runs, scan_jobs, form_performance) | 13 měsíců | části „browser_runs“, „browser_jobs“, „form_performance“ |
Počítadla formulářů (form_metrics), denní údaje pluginu a oznámení o změnách (plugin_stats, plugin_changes) | 13 měsíců | části „form_metrics“, „plugin_stats“ |
Přihlášená zařízení (login_sessions) | 90 dní po posledním použití nebo odvolání | část „sessions“ |
| Přijaté pozvánky | 30 dní po přijetí | část „invites“ |
Požadavky na podporu (support_requests) | 24 měsíců | část „support“ |
Zpětná vazba k reportům (report_feedback) | 24 měsíců; kontrolní součet IP adresy 2 dny | části „report_feedback“ a „report_feedback_ip“ |
PDF verze reportů v mezipaměti (var/pdf) | 7 dní | část „pdf_cache“ |
IP adresa, země a identifikátor prohlížeče v opt-outu (blocklist) | 12 měsíců; vyloučení zůstává | část „optout_ip“ |
Odběratelé portálu (client_subscribers) | nepotvrzení 30 dní; odhlášení 3 roky | část „subscribers“ |
| Nikdy nepotvrzené účty spolu s pracovním prostorem | 30 dní bez přihlášení, pokud k nim není přiřazen jiný člen | část „pending_accounts“ |
| Klíče API bez účtu (starší data) | okamžitě | část „api_keys“ |
6.2 Mimo okno ve 03:00
| Údaje | Doba uložení a spouštěč | Místo v kódu |
|---|
| Kopie v kontrolní poštovní schránce kontroly doručení | po zpracování, každých pět minut | fe_zustellung_abholen() |
Přiřazení kontroly doručení (delivery_log) | 180 dní, při každém vyzvednutí | fe_zustellung_abholen() |
Šifrovaný text testovacího účtu v úlohách (scan_jobs) | po běhu, nejpozději po jedné hodině | skenovací server; fe_login_aufraeumen() |
Incidenty (alert_incidents) s pokusy o doručení eskalace | dokud nejsou vyřešeny; 180 dní po vyřešení | fe_vorfaelle_aufraeumen() v cfg/vorfall_lib.php |
Odeslaná souhrnná oznámení (alert_queue) | 30 dní po doručení | cfg/kanal_lib.php |
Signály rojové ochrany (swarm_signals) | 30 dní, denně od 04:00 | cfg/swarm_lib.php |
Kontroly potenciálních zákazníků (prospect_checks) | 90 dní, denně od 04:00 | srv/cron_status.php |
Propojovací kódy Telegramu (telegram_links) | 1 den, při vytvoření nového kódu | cfg/kanal_lib.php |
Počítadla volání API (api_usage) | 1 den, příležitostně při volání | cfg/agentur_lib.php |
Vyřešené výpadky poskytovatelů (provider_incidents), mezipaměť zranitelností (vuln_cache) | 90, resp. 30 dní; žádné osobní údaje | cfg/anbieter_lib.php, cfg/luecken_lib.php |
| Surová data studií | při zveřejnění | fe_studie_veroeffentlichen() |
| Zálohy | 14 dní, po úspěšné nové záloze | cfg/backup_lib.php |
| Protokoly webového serveru | 14 dní | systémová rotace protokolů |
6.3 Při smazání Zákazníkem
- Smazání domény (
fe_domain_loeschen()): výsledky kontrol s formuláři, nálezy a soubory obrázků, reporty, úlohy, cíle upozornění, protokol doručení, fronta souhrnů, incidenty, kódy Telegramu, doručení, puls, zranitelnosti, důkazní protokoly, doména z klientských portálů s pevným výběrem; prostřednictvím cizích klíčů monitorované formuláře s běhy prohlížeče, pozorováními a časovými řadami, testovací účet, počítadla formulářů; data pluginu daného hostitele, pokud na něj neodkazuje žádná jiná doména. Inventář skriptů a změny skriptů domény se smažou rovněž; nemají vlastní dobu uložení (oddíly 6.4 a 10). Data, která zůstala bez přiřazené domény z období před 27. zářím 2026, odstraní noční běh (části „orphan_scans“, „orphan_rows“).
- Smazání pracovního prostoru (
fe_arbeitsbereich_daten_loeschen()): navíc značka včetně loga, klientské portály včetně odběratelů, kódy pro hromadné nasazení, kontroly potenciálních zákazníků; dále pozvánky a členství.
- Smazání účtu: okamžitě ukončit běžící placené předplatné ve Stripe, bez vrácení peněz; převést nebo smazat vlastní pracovní prostory držitele; smazat členství, tokeny pro zapamatování přihlášení, zařízení, klíče API s počítadly, otevřené kódy Telegramu a řádek účtu.
- Smazání testovacího účtu (
fe_login_loeschen()): přepsat šifrovaný text, smazat řádek, vyčistit čekající úlohy.
6.4 Co běh nepokrývá
Tento seznam je ten důležitější. Uvádí údaje, pro které neexistuje automatická doba uložení nebo které přetrvají i po smazání.
| Údaje | Co platí | Hodnocení |
|---|
Údaje účtu včetně poslední IP adresy (users) | do smazání držitelem účtu; neaktivní účty se nemažou | smluvní údaje; chybí pravidlo pro trvale neaktivní účty bez předplatného |
| Protokol činností, zobrazení stránek, protokol chyb smazaného účtu | zůstávají s ID účtu a IP adresou do konce své doby uložení | záměrné (doložení úkonů i po ukončení); ID již neodkazuje na žádný účet |
| Požadavky na podporu smazaného účtu | zůstávají až 24 měsíců se starým ID účtu | záměrné; ID se nevymazává |
| Záznamy o souhlasu smazaného účtu | dokud souhlas není starý 4 roky (počítáno od udělení souhlasu, nikoli od smazání účtu) | záměrné (oddíl B.12) |
Nevyřešené anomálie s IP adresou (abuse_flags) | dokud je někdo nevyřeší | otevřený bod (oddíl 10) |
Typy chyb s nezměněnou vzorovou zprávou (error_kinds) | bez doby uložení | otevřený bod (oddíl 10) |
Inventář skriptů a změny skriptů (script_inventory, script_changes) | bez vlastní doby uložení; uchovávají se, dokud doména existuje, a mažou se spolu s ní | otevřený bod (oddíl 10) |
| Odběratelé zrušených klientských portálů | do smazání pracovního prostoru | otevřený bod (oddíl 10) |
| Zneplatněné klíče API a kódy pro hromadné nasazení | do smazání účtu nebo pracovního prostoru | pouze hashe, prefix a označení; nevýznamné |
Seznam hostitelů studií (study_domains), nikdy nezveřejněné studie | bez doby uložení | otevřený bod (oddíl 10) |
| Interní kontroly bez domény a bez reportu (výsledky kontrol, formuláře, nálezy, snímky obrazovky) | bez doby uložení; nepokrývá je žádná cesta mazání | otevřený bod (oddíl 10) |
| Provize, uplatnění kódů, události Stripe | bez doby uložení | účetní význam; dobu je třeba stanovit podle daňového práva |
Stáří domény v mezipaměti (domain_age_cache) | bez doby uložení | pouze název domény a datum registrace |
| Výsledek ověření pravosti e-mailu z formuláře s doménou odesílatele | spolu s doménou; přepisuje se při každém přijetí | viz A.1 |
| Vyloučení v opt-outu | trvale | záměrné; bez trvalosti by žádné vyloučení nemělo účinek |
| E-maily v poštovní schránce místa pro hlášení a v obecné poštovní schránce | bez technické doby uložení | otevřený bod (oddíl 10) |
6.5 Mimo databázi
- Snímky obrazovky jsou uloženy jako soubory mimo webový adresář a mažou se spolu s výsledkem kontroly (všechny výše uvedené cesty mazání mažou i soubory).
- Soubory s logy značky se mažou při nahrazení a spolu s pracovním prostorem.
- Na skenovacím serveru se pro každou úlohu vytváří dočasný adresář s výsledkem a obrázky; maže se po každém běhu, i po chybě.
- Zálohy jsou uloženy na webovém serveru (B.27).
- Protokoly webového serveru s úplnou IP adresou se uchovávají 14 dní (B.1).
7. Automatizovaná rozhodnutí, profilování a hodnocení
formexposed hodnotí webové stránky, nikoli osoby. Podle našeho posouzení služba nečiní žádné rozhodnutí, které by mělo pro osobu právní účinky nebo se jí obdobným způsobem významně dotýkalo (čl. 22 odst. 1 GDPR). Existují však automatizovaná hodnocení a automatické blokace. Uvádíme je, aby bylo možné toto zařazení ověřit.
| Mechanismus | Co dělá | Koho se týká |
|---|
| Skóre a verdikt kontroly | Vážený součet chybějících ochranných vrstev (CAPTCHA, past, token, kontrola časování, neúčinná CAPTCHA, známá odhalená konfigurace), 0 až 100; z toho „Nechráněno“, „Částečně chráněno“ nebo „Chráněno“. Verdikt webu se řídí nejhorším kontaktním formulářem, který jako takový rozpoznala pravidla (nikoli jazykový model); bez kontaktního formuláře verdikt není. Váhy lze nastavit v administraci. | Provozovatelé webů; u podnikajících fyzických osob nepřímo osoba. Verdikt nemá žádný právní následek; jde o zjištění s důkazy a návodem. |
| Klasifikace typu formuláře | Nejprve pravidla, místní jazykový model pouze tehdy, vrátí-li pravidla „neznámé“. Rozhoduje, zda je povoleno aktivní testovací odeslání (pouze u kontaktního formuláře spolehlivě rozpoznaného pravidly). Formuláře klasifikované jazykovým modelem se nikdy neodesílají a nezapočítávají se do skóre ani verdiktu. | Zákazník a příjemci e-mailů z jeho formulářů; ochranný účinek: v případě pochybností se nic neodesílá. |
| Odznak | Ukazuje „Chráněno“ pouze za pevně stanovených podmínek (B.18), jinak je neutrální. | Zákazník; žádný účinek na návštěvníky. |
| Limity a blokace u bezplatné kontroly, nástroje pro hlavičky a opt-outu | Odmítají požadavky, jsou-li dosaženy limity na adresu, relaci, doménu nebo systém, je-li doména příliš mladá nebo neznámého stáří, nebo je-li na seznamu blokovaných. | Žadatelé; účinek: bezplatná služba je odepřena na hodiny až dny. Administrátor může adresu odblokovat; dotazy přes kontaktní stránku se dostanou k člověku. |
| Anomálie | Vzorce (mnoho domén z jedné adresy, nárazy požadavků, mnoho odmítnutí, mnoho opt-outů z jedné země, dosažení denního limitu) se zaznamenávají a hlásí. Samy o sobě neblokují; blokace vyplývají z limitů. | Žadatelé. |
| Blokace přihlášení | Po v současnosti osmi neúspěšných přihlášeních z jedné adresy během 15 minut se přihlášení z této adresy dočasně odmítají. Navíc se během 15 minut počítají všechny pokusy o přihlášení, včetně úspěšných, na účet a IP adresu (v současnosti osm), na účet napříč všemi adresami (podstatně více, proti distribuovanému hádání) a na IP adresu (v současnosti 80), stejně jako kódy druhého faktoru (deset na účet během 15 minut); nad tento rámec se pokusy odmítají. Neúspěšné pokusy z jiné adresy tak již vlastníka z účtu nezablokují. Stejným způsobem jsou omezena potvrzení hesla (pět na účet během 15 minut), e-maily pro obnovení hesla (tři na adresu za hodinu, s nezměněnou odpovědí), registrace (deset na IP adresu za hodinu) a pokusy o zadání hesla klientského portálu (deset na portál a IP adresu, 50 na portál během 15 minut). | Osoby, které se přihlašují, registrují nebo otevírají klientský portál; účinek je časově omezený, obnovení hesla zůstává možné. |
| Práh reCAPTCHA | Odmítá odeslání pod hodnotou skóre Google; práh podle místa použití (v současnosti 0,7 pro kontrolu a opt-out). Odmítnuty jsou také odpovědi pro jinou akci a odeslání, u nichž Google neodpoví do tří sekund. | Osoby, které odesílají naše formuláře; účinek: nový pokus nebo cesta přes kontaktní stránku. |
| Rojová ochrana | Při dosažení minimálních prahů automaticky zařadí doménu odkazu na seznam; ochranné vrstvy propojených webů přesouvají zprávy s takovými odkazy do karantény. | Odesílatelé zpráv na stránky Zákazníků. Účinek: zpráva je zadržena, nikoli smazána, a provozovatel webu ji může uvolnit. O zprávě rozhoduje plugin provozovatele na webu provozovatele, nikoli my. |
| Srovnávací hodnoty | „Lépe chráněno než X % kontrolovaných webů“, pouze ze souhrnů nejméně 20 hostitelů. | Provozovatelé webů; žádný účinek. |
Nejblíže čl. 22 má ochranná vrstva pluginu na stránkách Zákazníků, která automaticky zadržuje odeslání. Jde o zpracování provozovatelem webu na serveru provozovatele (A.10). Nic nemaže, pouze přesouvá zprávy do karantény, a provozovatel může kteroukoli zprávu uvolnit. Ani tam, ani u nás nedochází k profilování návštěvníků; neexistuje žádný identifikátor návštěvníka, který by jednu zprávu propojoval s jinou.
8. Technická a organizační opatření (čl. 32) – obecný popis
Tento oddíl je obecným popisem podle čl. 30 odst. 1 písm. g) a odst. 2 písm. d) GDPR. Podrobná verze je na stránce Technická a organizační opatření. Každé níže uvedené opatření je doloženo v kódu nebo v konfiguraci. Opatření, která dosud nebyla zavedena, jsou ve stejném oddílu (8.1), aby byl popis úplný.
| Oblast | Účinné opatření |
|---|
| Šifrování přenosu | HTTPS pro web, aplikaci a rozhraní; HSTS; cookies relace a tokenu pro zapamatování přihlášení pouze přes HTTPS, HttpOnly, SameSite=Lax. |
| Řízení přístupu (autentizace) | Hesla pouze jako hash, nová s nejméně deseti znaky a nejvýše 72 bajty; blokace přihlášení po opakovaných neúspěšných pokusech a limity pokusů na kombinaci účtu a IP adresy, na účet a na IP adresu, aby neúspěšné pokusy z jiné adresy nezablokovaly vlastníka; limity pokusů také pro potvrzení hesla, obnovení hesla (se stejnou odpovědí a dobou odezvy), registrace a hesla portálů; dvoufázové přihlášení (TOTP) se šifrovaným tajným klíčem, ochranou proti opakovanému použití kódu a hashovanými záložními kódy; nový identifikátor relace při každém přihlášení, identifikátory, které nevydal server, se nepřijímají; „Zůstat přihlášen“ není k dispozici superadministrátorům, každý token platí jen jednou; změna e-mailové adresy zneplatní otevřený odkaz pro obnovení hesla; zařízení lze odvolat jednotlivě nebo všechna najednou; seznam zařízení obsahuje pouze hash identifikátoru relace. |
| Řízení přístupu (autorizace) | Role v rámci pracovního prostoru (vlastník, administrátor, čtenář); oprávnění se ověřují vůči objektu, nikdy vůči identifikátoru z formuláře; testovací účet, „Fix it for me“ a aktivní kontroly pouze pro vlastníky a administrátory; „Zobrazit jako zákazník“ časově omezeno a blokováno pro akce měnící účet, jeho ukončení znamená úplné odhlášení, návrat do administrace pouze s heslem a druhým faktorem; pozvánky platí pouze tak dlouho, dokud je zvoucí osoba vlastníkem nebo administrátorem; adresy webhooků a chatovacích kanálů se čtenářům zobrazují pouze zkrácené na hostitele; název hostitele ověřené domény nelze změnit. |
| Bezpečnost aplikace | Tokeny CSRF; připravené databázové dotazy; naše vlastní ochrana formulářů (past, podepsaná kontrola časování); reCAPTCHA na veřejných formulářích; omezení četnosti požadavků pro podporu, kontroly a rozhraní; v jednom pracovním prostoru vždy jen jedno volání „Fix it for me“ najednou, aby kvóta platila i při souběžných požadavcích; Content Security Policy s ochranou proti vkládání do rámců, která povoluje spuštění pouze skriptů nesoucích uvolnění (nonce) příslušné odpovědi; IP adresa z přeposlaných hlaviček pouze od našeho vlastního proxy serveru a pouze z položky, kterou připojil; přístupové tokeny jsou v protokolu zobrazení stránek maskovány. |
| Tajné údaje | Klíče API, kódy pro hromadné nasazení, tajné klíče propojení pluginu, jednorázové kódy a hesla portálů pouze jako hash; přístupové údaje testovacích účtů asymetricky šifrovány, soukromý klíč pouze na skenovacím serveru; webhooky podepsány; události Stripe pouze s platným podpisem. |
| Minimalizace údajů | Kontrola doručení neukládá žádný obsah ani úplné adresy odesílatelů; adresy příjemců ve formulářích pouze jako doména; ID účtů v adresách skriptů se nahrazují; údaje pluginu pouze z pevných seznamů; texty chyb odesílání e-mailů pouze jako kategorie; signály Telegramu bez proměnných; obrázky kontroly v prohlížeči s maskovanými vstupy; žádné snímky obrazovky za přihlášením. |
| Izolace skeneru | Každá kontrola ve vlastním kontejneru: odebrány všechny linuxové capabilities, žádné zvyšování oprávnění, souborový systém pouze pro čtení, limit paměti a procesů, vlastní síť; kontrola cíle vůči privátním a místním sítím před přijetím i ve skeneru, také po přesměrováních; service workery blokovány, spojení WebSocket uzavírána. Požadavky webového serveru (prokázání kontroly, nástroj pro hlavičky, vyhledávání souborů, puls, RDAP, certifikáty, webhooky a upozornění do chatu) pouze na obvyklé webové porty a pouze přesně na kontrolovanou adresu, webhooky a upozornění do chatu pouze přes HTTPS. |
| Ukládání | Snímky obrazovky mimo webový adresář, dostupné pouze prostřednictvím reportu; reporty na náhodných adresách s noindex; adresář záloh čitelný pouze pro službu. |
| Dostupnost a obnova | Noční záloha s kontrolou obsahu, týdenní test obnovy, upozornění při selhání; kontrola komponent každých pět minut se signálem a e-mailem; externí heartbeat; nouzové zastavení anonymních kontrol; zpětný tlak při nahromadění požadavků. |
| Dohledatelnost | Protokol činností pro přihlášení, změny, smazání, přístupy podpory a schválení; protokol chyb s upozorněním. |
| Mazání | Doby uložení na jednom místě v kódu, ze stejných nastavení jako texty (oddíl 6); řetězce mazání pro doménu, pracovní prostor a účet, s výjimkami uvedenými v oddílu 6.4. |
| Práva subjektů údajů | Export všech údajů účtu jedním kliknutím jako soubor, na základě seznamu povolených polí, bez tajných údajů. |
| Organizace | Administrace pouze pro účty s oprávněními superadministrátora, blokována během „Zobrazit jako zákazník“; vývojový a produkční systém odděleny, vývojový systém za dodatečnou přístupovou bariérou; přenos právních textů po schválení prostřednictvím nástroje, který odmítá koncepty a zástupné hodnoty. |
8.1 Dosud nezavedená opatření
- Žádné šifrování uložené databáze (zjištěno 11. října 2026). Výjimkou jsou přístupové údaje testovacích účtů a tajný klíč druhého faktoru, které jsou šifrovány na úrovni polí.
- Interní spojení nejsou šifrována všude. Spojení v naší interní síti nejsou šifrována všude. Přístupové údaje testovacích účtů jí putují pouze jako šifrovaný text.
- Žádná záloha na druhém místě. Zálohy jsou v současnosti uloženy na stejném místě jako databáze a nejsou samostatně šifrovány; šifrovaná kopie na druhém místě je plánována. Do té doby chrání před chybným příkazem ke smazání, nikoli před ztrátou celého místa.
- Zabezpečení správy serverů není dokončeno. Zabezpečení administrativního přístupu k našim serverům dosud neodpovídá standardu, který pro provoz zamýšlíme; zabezpečování pokračuje. Podrobnosti nezveřejňujeme, protože by pomohly útočníkovi; dozorovému úřadu je na žádost poskytneme.
- Žádný funkční protokol čtení v administraci. Zápisové akce se zaznamenávají do protokolu činností; kdo si pouze prohlížel který požadavek na podporu nebo který report, lze zjistit pouze z protokolu zobrazení stránek (60 dní).
- Žádný trvalý protokol mazání. Co noční běh smazal, se nezaznamenává (oddíl 6).
- Žádný nezávislý druhý kontrolní bod. Sonda na druhém místě není zřízena (A.6).
9. Pověřenec pro ochranu osobních údajů – posouzení podle čl. 37 GDPR
Výsledek: Podle našeho posouzení povinnost jmenovat pověřence neexistuje. Posouzení je součástí právního posouzení a bude zopakováno, jakmile se změní kterákoli z níže uvedených okolností.
Čl. 37 odst. 1 vyžaduje jmenování ve třech případech.
- Písm. a) (orgán veřejné moci či veřejný subjekt) se neuplatní.
- Písm. b) (hlavní činnosti spočívající v rozsáhlém pravidelném a systematickém monitorování subjektů údajů): naší hlavní činností je pravidelná, systematická kontrola webů a formulářů, nikoli pozorování osob. Nevytváříme profily návštěvníků, nepoužíváme sledování a nepropojujeme žádnou zprávu s jinou. Kontrola doručení (A.1) propouští skutečné zprávy návštěvníků přes naši poštovní schránku, ale vyhodnocuje pouze hlavičky a prvních 8 KB pro přiřazení a neukládá žádný obsah; pozoruje cesty doručení, nikoli osoby. Zákaznické účty a protokoly jsou k podnikatelské činnosti pouze doplňkové.
- Písm. c) (rozsáhlé zpracování zvláštních kategorií podle čl. 9 nebo osobních údajů týkajících se trestných činů podle čl. 10 jako hlavní činnost): není splněno. Zvláštní kategorie se mohou nahodile vyskytnout v kopiích e-mailů z formulářů (A.1), na stránkách za přihlášením (A.5) nebo ve vloženém kódu (A.7); nahodilé zachycení není hlavní činností.
Čl. 37 odst. 4 umožňuje vnitrostátnímu právu stanovit další případy. Necháváme si od advokáta potvrdit, zda nám polské právo jmenování pověřence ukládá.
Podněty pro nové posouzení: aktivace rojové ochrany s IP sítěmi; funkce, která rozpoznává návštěvníky napříč několika zprávami nebo weby; ukládání obsahu z kontroly doručení; Zákazník, jehož formuláře se převážně týkají zvláštních kategorií (zdraví, žádosti o zaměstnání), se zapnutou kontrolou doručení ve velkém rozsahu; první zaměstnanec s přístupem k zákaznickým údajům. Dobrovolné jmenování zůstává možné; čl. 37 až 39 se pak použijí v plném rozsahu.
Samostatně: zda je pro jednotlivé činnosti zpracování nutné posouzení vlivu na ochranu osobních údajů podle čl. 35, odpovídá stránka Posouzení vlivu na ochranu osobních údajů. Její prahové posouzení dospívá k závěru, že posouzení vlivu je nutné pro rojovou ochranu (B.21) a pro studie v zamýšleném rozsahu (B.7) a provádíme je my, a že pro kontrolu doručení (A.1) je v typické konstelaci nutné jako povinnost Zákazníka, kterého v tom podporujeme.
10. Otevřené body a plánovaná opatření
Následující body jsou doloženy v kódu, schématu nebo konfiguraci, nikoli předpokládány. Popisují stav ke dni této verze; zařazení je naše vlastní a nepředjímá žádné právní hodnocení. Jsou seřazeny podle své závažnosti pro subjekty údajů, nikoli podle snadnosti odstranění. Plánovaná opatření a jejich priorita jsou uvedeny v Posouzení vlivu na ochranu osobních údajů.
| Otevřený bod | Co je doloženo | Význam |
|---|
| Poskytovatel e-mailových služeb bez zdokumentované smlouvy | Pro Namecheap, Inc. (Private Email), Phoenix, Arizona, USA nejsou zdokumentovány smlouva, místa zpracování ani základ pro předání. Přes tohoto poskytovatele procházejí e-maily účtů, upozornění a kontrolní poštovní schránka se skutečnými zprávami návštěvníků. | Relevantními ustanoveními jsou čl. 28 odst. 2 a 4 a kapitola V GDPR. Uzavření a zdokumentování je plánováno před spuštěním. |
| Otevřené základy pro chatovací služby a reCAPTCHA | Upozornění do Telegramu (bez rozhodnutí o odpovídající ochraně), Slacku, Discordu, Microsoft Teams a Google Chat; reCAPTCHA bez žádosti o souhlas. | Otevřené otázky pro právní posouzení; do té doby nejsou informace a základ konečné. |
| Kontrolní poštovní schránka může při poruchách zadržovat zprávy | K mazání dochází po úspěšném zpracování; pokud vyzvednutí selže, kopie zůstávají až do dalšího úspěšného běhu. Neexistuje žádné varování, pokud se ve schránce po delší dobu hromadí nevyřízené zprávy. | Kopie obsahují skutečné dotazy návštěvníků. |
| Žádná záloha na druhém místě, žádné šifrování uložené databáze | Oddíl 8.1. Šifrovaná kopie zálohy na druhém místě je plánována. | Jediná událost na daném místě by zasáhla data i zálohu současně; odcizené paměťové médium by bylo čitelné. |
| Nevyřešené anomálie bez doby uložení | Anomálie s úplnou IP adresou jako klíčem se mažou až 90 dní po vyřešení; co nikdy nebylo vyřešeno, zůstává. | Týká se zásady omezení uložení (čl. 5 odst. 1 písm. e)); smazání závisí na ručním vyřešení. Pevná doba uložení je plánována (opatření Posouzení vlivu na ochranu osobních údajů). |
| Typy chyb se vzorovou zprávou bez doby uložení | Vzorová zpráva se ukládá nezměněná v délce do 2 000 znaků; očištěný vzor odstraňuje adresy a čísla, vzorová zpráva nikoli. | Chybové zprávy mohou obsahovat e-mailové adresy, názvy hostitelů nebo IP adresy. |
| Inventář skriptů bez vlastní doby uložení | Inventář skriptů a změny skriptů se mažou spolu s doménou (FE_DOMAIN_TABELLEN), a to i při smazání pracovního prostoru nebo účtu a v nočním běhu pro osiřelé záznamy; vlastní dobu uložení nemají. Obsahují adresy skriptů, adresy stránek a u schválení schvalující osobu a důvod ve volném textu. | Týká se zásady omezení uložení (čl. 5 odst. 1 písm. e)); protokol změn se schváleními roste, dokud doména existuje. |
| Odběratelé zrušených portálů | Zrušený portál je zablokován, nikoli smazán; jeho odběratelé zůstávají do smazání pracovního prostoru. | Účel (zasílání reportu) odpadl se zrušením. |
| Seznamy studií bez doby uložení | Po zveřejnění zůstávají hostitelé a segmenty; nikdy nezveřejněné studie si ponechávají i surová data. | Příslib „surová data se mažou“ platí pouze pro zveřejněné studie. |
| Interní kontroly bez cesty mazání | Kontroly s úrovní důvěry „interní“, které nemají doménu ani report (studie a kontroly vytvořené provozovatelem z příkazového řádku), nepokrývá žádná cesta mazání; zůstávají s nimi formuláře, nálezy a snímky obrazovky webů třetích stran. | Týká se zásady omezení uložení (čl. 5 odst. 1 písm. e)); dotýká se osob, které o kontrole nic nevědí. V Posouzení vlivu na ochranu osobních údajů hodnoceno jako vysoké riziko. |
| Prokázání kontroly se neobnovuje | Prokázání kontroly se ověřuje jednou; v kódu neexistuje cesta, kterou by o ně doména opět přišla. | Aktivní testovací odeslání, vyhledávání souborů a skenování za přihlášením pokračují i po změně vlastníka nebo mandátu. |
| Skenování za přihlášením: přenos na stránku Zákazníka | Jako přihlašovací adresa je vedle https povoleno i http a chyby certifikátu na stránce Zákazníka přihlášení nezastaví. | Přístupové údaje testovacího účtu by mohly být zachyceny na cestě ke stránce Zákazníka. |
| Mazání závisí na časovém okně | Denní blok proběhne pouze tehdy, spustí-li se stavový běh mezi 03:00 a 03:04. Pokud tento jediný běh selže (databáze nedostupná, server restartován), mazání a záloha toho dne neproběhnou; nic se nedohání. Co bylo smazáno, se trvale nezaznamenává. | Doby uložení se pak tiše prodlouží o den. Zmeškané okno nespustí žádné upozornění; hlásí se pouze záloha, která proběhne a selže. Seznam nastavení v administraci ukazuje datum poslední úspěšné zálohy. |
| Některá mazání závisí na monitorování | Vyprazdňování kontrolní poštovní schránky kontroly doručení, mazání incidentů, odeslaných souhrnných oznámení, signálů rojové ochrany a kontrol potenciálních zákazníků a odstraňování zbylých kopií testovacích účtů v úlohách probíhají v plánovací části stavového běhu, která funguje pouze tehdy, je-li v administraci zapnuto monitorování; přiřazení kontroly doručení se mažou pouze tehdy, je-li zřízena kontrolní poštovní schránka. | Pokud je monitorování centrálně vypnuto nebo je schránka odstraněna, tyto doby uložení se zastaví, aniž by si toho kdokoli všiml. |
| Místo pro hlášení a poštovní schránky bez doby uložení | Hlášení zranitelností a další příchozí e-maily jsou uloženy mimo aplikaci; doba uložení nebyla stanovena. | Hlášení mohou obsahovat důkazy týkající se třetích osob. |
| Hodnoty skrytých polí se při kontrole čtou | Skener čte hodnotu skrytých polí formuláře do 24 znaků a datových atributů do 60 znaků, aby rozpoznal časová razítka a tokeny. Do mapy polí a nálezů se dostane pouze název pole, typ, popisek a výsledek rozpoznání, nikoli hodnota. | Žádná mezera v ukládání; hodnota je během kontroly uložena pouze v operační paměti skenovacího kontejneru. Předvyplněná hodnota (např. zákaznické číslo) se přitom přečte, ale neuloží. |
| Odvozená doména odesílatele ve výsledku ověření pravosti | A.1. | U osobních domén návštěvníků jde o osobní údaje pocházející ze skutečné zprávy. |
| Zabezpečení správy serverů není dokončeno; interní spojení nejsou šifrována všude | Oddíl 8.1. Zabezpečování pokračuje; podrobnosti veřejně neuvádíme. | Bezpečnostní incident na úrovni serveru by zasáhl aplikaci, databázi i zálohy současně. |
| Měření ve vývojovém systému | Schéma, kód a nastavení byly změřeny ve vývojovém systému. | Kód a schéma odpovídají produkčnímu systému; nastavení se mohou lišit a musí být před spuštěním znovu ověřena tam. |
11. Vedení tohoto záznamu
Čl. 30 vyžaduje, aby byl záznam veden v písemné podobě a na žádost zpřístupněn dozorovému úřadu. K tomu je zapotřebí někdo, kdo za něj odpovídá, a interval, v němž se ověřuje vůči systému, nikoli vůči své předchozí verzi.
- Odpovědnost: Lukas Wójcik, vlastník. Záznam se přezkoumává jednou ročně a vždy, když se změní některá činnost zpracování.
- Události, které vyžadují aktualizaci: nový nebo změněný další zpracovatel, zejména volba poskytovatele e-mailových služeb; nová tabulka nebo nové pole s osobními údaji; změna dob uložení nebo řetězců mazání v
cfg/fristen_lib.php nebo srv/cron_status.php; nový kanál upozornění nebo nový požadavek na třetí stranu; zapnutí funkce, která je ve výchozím stavu vypnuta (rojová ochrana s IP sítěmi, sonda, vlastní domény, partnerský program, platba na fakturu, Spamhaus nebo Google Web Risk); přesun na jiné servery.
- Postup: každé zde uvedené tvrzení pochází z kódu, schématu nebo měření. Přezkum, který pouze čte text, nic nepřezkoumal: schéma a řetězce mazání se znovu změří, zástupné hodnoty zůstávají zástupnými hodnotami, otevřené body se uzavřou nebo se s odůvodněním převedou dál.
- Vztah k jiným dokumentům: tento záznam nenahrazuje Zásady ochrany osobních údajů, Smlouvu o zpracování osobních údajů, Technická a organizační opatření ani seznam Dalších zpracovatelů. Pokud se od tohoto záznamu liší, je tento rozdíl zjištěním.
- Změny tohoto dokumentu jsou uvedeny na stránce Změny smluvních dokumentů.
English 
Deutsch 
Polski 
Български 
Čeština 
Dansk 
Ελληνικά 
Español 
Eesti 
Suomi 
Français 
Gaeilge 
Hrvatski 
Magyar 
Italiano 
Lietuvių 
Latviešu 
Malti 
Nederlands 
Português 
Română 
Slovenčina 
Slovenščina 
Svenska 
العربية 
हिन्दी 
Bahasa Indonesia 
日本語 
한국어 
Русский 
简体中文 
Norsk (bokmål) 
Português (Brasil) 
Türkçe 
Українська 
Español (México) 
Tiếng Việt 
ไทย 
Íslenska 
עברית 
Bahasa Melayu 
Srpski (latinica)