Τεχνικά και Οργανωτικά Μέτρα

Το παρόν έγγραφο δημοσιεύεται σε περισσότερες γλώσσες. Σε περίπτωση απόκλισης μεταξύ των γλωσσικών εκδόσεων, δεσμευτική είναι η πολωνική έκδοση.

Έκδοση 1.1 · Τελευταία ενημέρωση: 22 Οκτωβρίου 2026

Μέτρα σύμφωνα με το άρθρο 32 ΓΚΠΔ με τα οποία η LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, προστατεύει την υπηρεσία formexposed. Η σελίδα αυτή αποτελεί μέρος της Σύμβασης Επεξεργασίας Δεδομένων ως Παράρτημα 2.

1. Πεδίο εφαρμογής και αρχή

Τα μέτρα ισχύουν για όλα τα δεδομένα που επεξεργάζεται η υπηρεσία: για τα δεδομένα που επεξεργαζόμαστε για λογαριασμό των Πελατών μας (όπως περιγράφονται στη Σύμβαση Επεξεργασίας Δεδομένων) και για τα δεδομένα για τα οποία είμαστε εμείς οι ίδιοι υπεύθυνοι επεξεργασίας, όπως οι λογαριασμοί πελατών και τα αρχεία καταγραφής. Δεν υπάρχουν χωριστά επίπεδα προστασίας για τις δύο κατηγορίες· ό,τι προστατεύει τον λογαριασμό προστατεύει και τα δεδομένα που επεξεργαζόμαστε ως εκτελών την επεξεργασία.

Διάρθρωση σύμφωνα με το άρθρο 32(1) ΓΚΠΔ. Η ψευδωνυμοποίηση και η κρυπτογράφηση (στοιχείο (a)) καλύπτονται στην ενότητα 4· η διαρκής εμπιστευτικότητα, ακεραιότητα, διαθεσιμότητα και αξιοπιστία των συστημάτων (στοιχείο (b)) στις ενότητες 3, 5, 6 και 7· η ικανότητα αποκατάστασης της διαθεσιμότητας εγκαίρως σε περίπτωση συμβάντος (στοιχείο (c)) στην ενότητα 7.1· η διαδικασία για την τακτική δοκιμή, εκτίμηση και αξιολόγηση της αποτελεσματικότητας (στοιχείο (d)) στην ενότητα 9. Επιλέξαμε τα μέτρα με βάση τους κινδύνους που περιγράφονται στην Εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων μας, λαμβάνοντας υπόψη τις τελευταίες εξελίξεις και το κόστος εφαρμογής.

Αρχή: μετρημένο αντί για προβλεπόμενο. Εδώ αναφέρεται μόνο ό,τι έχει πράγματι εφαρμοστεί στον κώδικα ή στη λειτουργία. Ό,τι έχει προγραμματιστεί αλλά δεν έχει ακόμη εφαρμοστεί παρατίθεται ρητά ως «προγραμματισμένο» στην ενότητα 10. Ένα μέτρο που λείπει εδώ δεν υφίσταται σιωπηρά.

Ονόματα μηχανημάτων, εσωτερικές διευθύνσεις, θύρες, ονόματα χρηστών και εκδόσεις λογισμικού σκόπιμα δεν αναφέρονται. Δεν βοηθούν κανέναν να αξιολογήσει τα μέτρα, βοηθούν όμως όποιον θέλει να τα παρακάμψει. Όποιος τα χρειάζεται για έλεγχο σύμφωνα με τη Σύμβαση Επεξεργασίας Δεδομένων θα τα λάβει στο πλαίσιο του ελέγχου αυτού υπό καθεστώς εμπιστευτικότητας, στον βαθμό που είναι αναγκαία για τον έλεγχο.

2. Δομή της υπηρεσίας

Η υπηρεσία λειτουργεί σε δύο ιδιόκτητους διακομιστές του παρόχου στην Πολωνία, οι οποίοι βρίσκονται στο ίδιο εσωτερικό δίκτυο:

Διακομιστής ιστού με βάση δεδομένων. Παρέχει την εφαρμογή, φιλοξενεί τη βάση δεδομένων, αποστέλλει ειδοποιήσεις και δημιουργεί αντίγραφα ασφαλείας των δεδομένων. Μόνο αυτός είναι ρυθμισμένος ώστε να δέχεται αιτήματα από το διαδίκτυο.
Διακομιστής σάρωσης. Διενεργεί τους ελέγχους ιστότοπων τρίτων και δικών μας σε πρόγραμμα περιήγησης και εκτελεί το γλωσσικό μοντέλο που ταξινομεί μεμονωμένες φόρμες και προσθέτει κώδικα στο «Fix it for me». Δεν είναι ρυθμισμένος ώστε να δέχεται αιτήματα από το διαδίκτυο, αλλά ανακτά ο ίδιος τις εργασίες του από τον διακομιστή ιστού και επιστρέφει εκεί τα αποτελέσματα.

Στη λειτουργία δεν εμπλέκεται κανένας πάροχος φιλοξενίας, κέντρου δεδομένων ή cloud, και τίποτα δεν αποστέλλεται σε εξωτερική υπηρεσία ΤΝ. Ποιοι τρίτοι λαμβάνουν δεδομένα περιγράφεται στη σελίδα Υπεκτελούντες την επεξεργασία.

3. Εμπιστευτικότητα

3.1 Έλεγχος φυσικής πρόσβασης

Οι διακομιστές βρίσκονται σε χώρους του παρόχου στην Πολωνία που δεν είναι ανοιχτοί στο κοινό. Πρόσβαση έχει μόνο ο ιδιοκτήτης (σύμφωνα με δήλωση του φορέα λειτουργίας). Η ακριβής διεύθυνση της τοποθεσίας σκόπιμα δεν αναφέρεται εδώ.

3.2 Έλεγχος πρόσβασης: σύνδεση στην υπηρεσία

Οι κωδικοί πρόσβασης αποθηκεύονται μόνο ως hash με την τυπική μέθοδο της PHP (bcrypt). Αν αλλάξει η τυπική μέθοδος, το hash ανανεώνεται κατά την επόμενη σύνδεση. Για μια απόπειρα σύνδεσης με άγνωστη διεύθυνση, ο διακομιστής υπολογίζει παρ' όλα αυτά ένα hash, ώστε ο χρόνος απόκρισης να μην αποκαλύπτει αν υπάρχει λογαριασμός. Ομοίως, η απάντηση σε αίτημα επαναφοράς κωδικού πρόσβασης δεν αποκαλύπτει ούτε με τη διατύπωσή της ούτε με τη διάρκειά της αν υπάρχει ο λογαριασμός· τα e-mail επαναφοράς αποστέλλονται στην ίδια διεύθυνση το πολύ τρεις φορές την ώρα. Οι νέοι κωδικοί πρόσβασης πρέπει να έχουν μήκος τουλάχιστον δέκα χαρακτήρων και δεν επιτρέπεται να υπερβαίνουν τα 72 bytes (UTF-8), επειδή το bcrypt δεν λαμβάνει υπόψη περισσότερα bytes. Η αλλαγή του κωδικού πρόσβασης αποσυνδέει όλες τις άλλες συσκευές· η επαναφορά του μέσω του συνδέσμου αποσυνδέει όλες τις συσκευές, και ο σύνδεσμος ισχύει μόνο μία φορά.
Κλείδωμα μετά από αποτυχημένες απόπειρες. Οι αποτυχημένες συνδέσεις καταμετρώνται ανά διεύθυνση IP· μετά από υπερβολικά πολλές σε σύντομο χρόνο (προς το παρόν οκτώ σε 15 λεπτά), η σύνδεση από τη διεύθυνση αυτή αποκλείεται προσωρινά. Μια επιτυχής σύνδεση μηδενίζει αυτόν τον μετρητή. Οι απόπειρες διαγράφονται μετά από επτά ημέρες. Επιπλέον, πριν από κάθε έλεγχο κωδικού πρόσβασης καταμετράται μία απόπειρα ανά λογαριασμό (για άγνωστη διεύθυνση, ανά διεύθυνση που εισήχθη) και ανά διεύθυνση IP, συμπεριλαμβανομένων των επιτυχών απόπειρων: προς το παρόν το πολύ οκτώ ανά λογαριασμό από την ίδια διεύθυνση IP και 80 ανά διεύθυνση IP σε 15 λεπτά· ένα σημαντικά υψηλότερο όριο ισχύει ανά λογαριασμό για όλες τις διευθύνσεις μαζί, κατά των κατανεμημένων απόπειρων μαντεύματος. Έτσι, αποτυχημένες απόπειρες από άλλη διεύθυνση δεν κλειδώνουν πλέον τον κάτοχο έξω από τον λογαριασμό του. Οι μετρητές αυτοί περιέχουν μόνο ένα κλειδί HMAC, καμία διεύθυνση e-mail ή IP σε απλό κείμενο, και λήγουν με το χρονικό τους παράθυρο. Αν ο χώρος αποθήκευσης των μετρητών δεν είναι διαθέσιμος, η σύνδεση απορρίπτεται και δεν επιτρέπεται. Το ίδιο είδος ορίου ισχύει για την επιβεβαίωση του κωδικού πρόσβασης πριν από αλλαγή κωδικού πρόσβασης ή διεύθυνσης, την ενεργοποίηση ή απενεργοποίηση του δεύτερου παράγοντα, τη μεταβίβαση χώρου εργασίας, την εξαγωγή δεδομένων και τη διαγραφή του λογαριασμού (πέντε απόπειρες ανά λογαριασμό σε 15 λεπτά), για τις εγγραφές (δέκα ανά διεύθυνση IP ανά ώρα) και για τους κωδικούς πρόσβασης των πυλών πελατών (δέκα απόπειρες ανά πύλη και διεύθυνση IP, 50 ανά πύλη σε 15 λεπτά).
Δεύτερος παράγοντας. Κάθε λογαριασμός μπορεί να ενεργοποιήσει τη σύνδεση με κωδικό μίας χρήσης σύμφωνα με το RFC 6238 (TOTP). Το μυστικό για τον σκοπό αυτό αποθηκεύεται κρυπτογραφημένο στη βάση δεδομένων· το κλειδί δεν αποθηκεύεται στη βάση δεδομένων, οπότε ένα απόσπασμα της βάσης δεδομένων από μόνο του δεν αρκεί. Ένας κωδικός που έχει γίνει δεκτός δεν ισχύει δεύτερη φορά. Δέκα κωδικοί ανάκτησης αποθηκεύονται μόνο ως hash. Οι κωδικοί μίας χρήσης και ανάκτησης περιορίζονται σε δέκα απόπειρες ανά λογαριασμό σε 15 λεπτά, και κατά τη ρύθμιση.
Περιοχή διαχείρισης μόνο με δεύτερο παράγοντα. Η περιοχή διαχείρισης του φορέα λειτουργίας ανοίγει μόνο σε λογαριασμούς με ενεργοποιημένο δεύτερο παράγοντα. Η λίστα ελέγχου ρύθμισης αναφέρει κάθε λογαριασμό διαχειριστή χωρίς δεύτερο παράγοντα.
Συνεδρίες. Το cookie συνεδρίας δεν μπορεί να διαβαστεί από scripts (HttpOnly), αποστέλλεται μόνο μέσω HTTPS (Secure) και δεν αποστέλλεται με αιτήματα από ιστότοπους τρίτων που θα μπορούσαν να αλλάξουν κάτι (SameSite=Lax). Κατά τη σύνδεση δημιουργείται νέο αναγνωριστικό συνεδρίας, ώστε ένα αναγνωριστικό που έχει τοποθετηθεί εκ των προτέρων να μην ισχύει πλέον· ο διακομιστής δεν δέχεται αναγνωριστικό συνεδρίας που δεν έχει εκδώσει ο ίδιος. Κάθε λογαριασμός βλέπει τις συνδεδεμένες συσκευές του και μπορεί να τις αποσυνδέσει μεμονωμένα.
«Να παραμείνω συνδεδεμένος» είναι προαιρετικό και ισχύει για 30 ημέρες, όχι όμως για λογαριασμούς με δικαιώματα διαχείρισης· αυτοί συνδέονται πάντοτε με κωδικό πρόσβασης και δεύτερο παράγοντα. Το token αποτελείται από δύο μέρη· το μέρος επαλήθευσης αποθηκεύεται στη βάση δεδομένων μόνο ως hash. Κάθε χρήση το αντικαθιστά με νέο, και ακόμη και σε ταυτόχρονα αιτήματα κάθε token ισχύει μόνο μία φορά, ώστε ένα κλεμμένο token να γίνεται αντιληπτό το αργότερο κατά την επόμενη γνήσια επίσκεψη.
Σύνδεσμοι σε e-mail. Οι σύνδεσμοι για την επιβεβαίωση της διεύθυνσης και την επαναφορά του κωδικού πρόσβασης αποθηκεύονται στη βάση δεδομένων μόνο ως hash. Ο σύνδεσμος επαναφοράς ισχύει για μία ώρα, ο σύνδεσμος επιβεβαίωσης εγγραφής για 72 ώρες, ο σύνδεσμος επιβεβαίωσης αλλαγμένης διεύθυνσης για 24 ώρες. Αν αλλάξει η διεύθυνση e-mail, ένας ανοιχτός σύνδεσμος επαναφοράς καθίσταται άκυρος.
Διεπαφές. Τα κλειδιά API, οι κωδικοί σύνδεσης των επεκτάσεων και οι κωδικοί διάθεσης (rollout) αποθηκεύονται μόνο ως hash. Τα κλειδιά API μπορούν να χρησιμοποιηθούν μόνο περιορισμένο αριθμό φορών ανά λεπτό· οι κωδικοί σύνδεσης των επεκτάσεων ισχύουν για 15 λεπτά και μόνο μία φορά.
Προστασία από bots στις δημόσιες φόρμες (εγγραφή, σύνδεση, κωδικός πρόσβασης, έλεγχος, εργαλείο κεφαλίδων, opt-out, υποστήριξη και επικοινωνία): Google reCAPTCHA, το οποίο φορτώνεται μόνο κατά την υποβολή. Γίνεται δεκτή μόνο έγκυρη απάντηση από τη Google με επαρκή βαθμολογία για ακριβώς την ενέργεια της φόρμας· αν η Google δεν απαντήσει εντός τριών δευτερολέπτων, η υποβολή απορρίπτεται. Λεπτομέρειες θα βρείτε στην Πολιτική Απορρήτου.

3.3 Έλεγχος πρόσβασης: διαχείριση διακομιστών

Ο διακομιστής που είναι προσβάσιμος από το διαδίκτυο χρησιμοποιεί φίλτρο πακέτων ώστε να επιτρέπει μόνο τις υπηρεσίες που προσφέρει, και αποκλείει αυτόματα διευθύνσεις μετά από επανειλημμένες αποτυχημένες συνδέσεις στη διαχείριση του διακομιστή.
Οι αυτοματοποιημένες διεργασίες μεταξύ των διακομιστών χρησιμοποιούν δικά τους κλειδιά με αυστηρά περιορισμένα δικαιώματα. Το κλειδί με το οποίο ο διακομιστής ιστού παραδίδει νέες εκδόσεις του σαρωτή μπορεί να εκτελεί μόνο μια σταθερή λίστα εντολών στον διακομιστή σάρωσης και μπορεί μόνο να αντιγράφει, μόνο με δικαίωμα εγγραφής, στον κατάλογο του σαρωτή· διαδραστική σύνδεση δεν είναι δυνατή με αυτό, και κάθε εντολή που απορρίπτεται καταγράφεται. Ομοίως, ο διακομιστής σάρωσης μπορεί να γράφει στιγμιότυπα οθόνης μόνο σε συγκεκριμένο κατάλογο του διακομιστή ιστού.
Η διεργασία που εξυπηρετεί τον ιστότοπο δεν έχει ούτε δικαίωμα εγγραφής στην παραγωγική εγκατάσταση ούτε κλειδί για τον διακομιστή σάρωσης. Μια ανάπτυξη που ενεργοποιείται στην περιοχή διαχείρισης απλώς καταχωρίζει μια εργασία, την οποία εκτελεί μια χωριστή διεργασία.
Μυστικά όπως τα διαπιστευτήρια της βάσης δεδομένων και τα κλειδιά φυλάσσονται σε αρχεία διαμόρφωσης εκτός του καταλόγου που εξυπηρετείται και δεν αντιγράφονται κατά την ανάπτυξη. Η διαμόρφωση του διακομιστή ιστού δεν διανέμεται μέσω της διαδικτυακής διεπαφής.

3.4 Έλεγχος εξουσιοδότησης: δικαιώματα εντός της υπηρεσίας

Ρόλοι. Κάθε χώρος εργασίας έχει τους ρόλους κατόχου, διαχειριστή και αναγνώστη. Οι αλλαγές, οι διαγραφές, οι προσκλήσεις και η αποθήκευση διαπιστευτηρίων επιφυλάσσονται στους κατόχους και τους διαχειριστές· μόνο ο κάτοχος μπορεί να αλλάζει ρόλους και να αφαιρεί μέλη. Μια πρόσκληση ισχύει μόνο για όσο το πρόσωπο που την έστειλε παραμένει κάτοχος ή διαχειριστής. Οι αναγνώστες βλέπουν τις διευθύνσεις των webhooks και των καναλιών συνομιλίας μόνο συντομευμένες έως τον host, επειδή η διεύθυνση από μόνη της επιτρέπει την ανάρτηση στο κανάλι. Ο έλεγχος γίνεται στον διακομιστή, όχι μόνο στη διεπαφή.
Σύνδεση με τον χώρο εργασίας. Τα domains και οι ρυθμίσεις είναι προσβάσιμα μόνο στα μέλη του χώρου εργασίας. Για κάθε έλεγχο, η Υπηρεσία δημιουργεί αναφορά υπό τυχαίο σύνδεσμο που δεν μπορεί να μαντευτεί· τα αποτελέσματα και τα στιγμιότυπα οθόνης ενός ελέγχου είναι προσβάσιμα μέσω αυτού του συνδέσμου χωρίς σύνδεση, τα στιγμιότυπα οθόνης μόνο μαζί με τον σύνδεσμο της αναφοράς τους. Ο σύνδεσμος εμφανίζεται στον λογαριασμό και στις ειδοποιήσεις· όποιος τον προωθεί προωθεί την αναφορά.
Τα αιτήματα που μεταβάλλουν την κατάσταση απαιτούν token ασφαλείας ανά συνεδρία (προστασία CSRF), το οποίο συγκρίνεται σε σταθερό χρόνο.
«Προβολή ως πελάτης». Για την υποστήριξη, ο φορέας λειτουργίας μπορεί να δει την εφαρμογή όπως τη βλέπει ένας Πελάτης. Η προβολή λήγει μετά από μία ώρα, αποκλείει αλλαγές σε κωδικό πρόσβασης, διεύθυνση, δεύτερο παράγοντα, συσκευές, συνδρομή, εξαγωγή και διαγραφή, κλείνει στο μεταξύ την περιοχή διαχείρισης και καταγράφεται. Ο τερματισμός της αποσυνδέει πλήρως τον φορέα λειτουργίας· αυτός μπορεί να επιστρέψει στην περιοχή διαχείρισης μόνο συνδεόμενος ξανά με κωδικό πρόσβασης και δεύτερο παράγοντα. Ο Πελάτης μπορεί να τη δει στην εξαγωγή των δεδομένων του.
Διαχείριση. Μόνο λίγοι ρητά εξουσιοδοτημένοι λογαριασμοί έχουν δικαιώματα διαχείρισης· κάθε επαναφορά δεύτερου παράγοντα από τη διαχείριση καταγράφεται.

3.5 Έλεγχος διαχωρισμού

Τα δεδομένα των Πελατών διαχωρίζονται λογικά ανά χώρο εργασίας. Κάθε διαδρομή ανάγνωσης και εγγραφής στη συνδεδεμένη περιοχή φέρει αυτή τη σύνδεση· οι αναφορές είναι επιπλέον προσβάσιμες μέσω του συνδέσμου τους (ενότητα 3.4).
Η ανάπτυξη και η λειτουργία εκτελούνται σε χωριστές εγκαταστάσεις με χωριστές βάσεις δεδομένων και χωριστούς χρήστες βάσης δεδομένων. Ο χρήστης ανάπτυξης δεν έχει πρόσβαση στην παραγωγική βάση δεδομένων. Πραγματικά δεδομένα πελατών δεν αντιγράφονται στο περιβάλλον ανάπτυξης· εκεί εργαζόμαστε με παραγόμενα δείγματα δεδομένων.
Για κάθε περιβάλλον, ο σαρωτής έχει δικά του διαπιστευτήρια με δικαιώματα μόνο στα δεδομένα που χρειάζεται για τις εργασίες του. Δεν μπορεί να διαβάσει λογαριασμούς, τιμολόγηση ή αρχεία καταγραφής.
Στον διακομιστή ιστού λειτουργούν και άλλες υπηρεσίες του ίδιου παρόχου. Έχουν δικές τους βάσεις δεδομένων και δικούς τους χρήστες βάσης δεδομένων, χωρίς πρόσβαση στα δεδομένα της παρούσας υπηρεσίας.

4. Κρυπτογράφηση, ψευδωνυμοποίηση και ελαχιστοποίηση των δεδομένων

4.1 Διαπιστευτήρια για τη σάρωση πίσω από τη σύνδεση

Για τη λειτουργία αυτή, ο Πελάτης αποθηκεύει το όνομα χρήστη και τον κωδικό πρόσβασης ενός δοκιμαστικού λογαριασμού. Αποτελούν τα πιο ευαίσθητα δεδομένα της υπηρεσίας και γι' αυτό προστατεύονται διαφορετικά από όλα τα άλλα:

Κατά την αποθήκευσή τους, ο διακομιστής ιστού τα κρυπτογραφεί με το δημόσιο κλειδί του διακομιστή σάρωσης (ECIES: X25519 με κλειδί μίας χρήσης ανά εγγραφή, HKDF-SHA256, AES-256-GCM). Το ιδιωτικό κλειδί υπάρχει μόνο στον διακομιστή σάρωσης. Ο διακομιστής ιστού, η βάση δεδομένων και τα αντίγραφα ασφαλείας περιέχουν μόνο κρυπτογραφημένο κείμενο· ούτε εμείς μπορούμε να το διαβάσουμε εκεί.
Κάθε εγγραφή συνδέεται κρυπτογραφικά με το domain της. Αν μεταφερθεί σε άλλο domain, η αποκρυπτογράφηση αποτυγχάνει.
Για μια σάρωση, το κρυπτογραφημένο κείμενο επισυνάπτεται στην εργασία. Ο διακομιστής σάρωσης το αποκρυπτογραφεί και διαβιβάζει τα διαπιστευτήρια στο container ελέγχου μόνο μέσω της τυπικής εισόδου, ποτέ ως όρισμα γραμμής εντολών που θα ήταν ορατό στις λίστες διεργασιών. Μόλις ο διακομιστής σάρωσης το διαβάσει, το κρυπτογραφημένο κείμενο διαγράφεται από την εργασία· μια διεργασία εκκαθαρίζει τυχόν υπολείμματα το αργότερο μετά από μία ώρα.
Τα διαπιστευτήρια δεν εμφανίζονται ποτέ, δεν καταγράφονται ποτέ, δεν εξάγονται ποτέ μέσω του API και δεν περιλαμβάνονται στην εξαγωγή. Η διεπαφή εμφανίζει μόνο τον πρώτο χαρακτήρα και το μήκος του ονόματος χρήστη. Η αφαίρεσή τους αντικαθιστά το κρυπτογραφημένο κείμενο.
Πίσω από τη σύνδεση, ο σαρωτής μόνο διαβάζει: καμία υποβολή, καμία ενεργή δοκιμή, κανένα στιγμιότυπο οθόνης, καμία σελίδα αποσύνδεσης, διαγραφής ή ακύρωσης.

4.2 Περαιτέρω κρυπτογράφηση και hashes

Οι κωδικοί πρόσβασης, οι κωδικοί ανάκτησης, οι κωδικοί πρόσβασης των πυλών πελατών, τα κλειδιά API, οι κωδικοί σύνδεσης και διάθεσης, τα tokens «Να παραμείνω συνδεδεμένος», τα αναγνωριστικά συνεδριών στη λίστα συσκευών και οι σύνδεσμοι επιβεβαίωσης και επαναφοράς αποθηκεύονται μόνο ως hash.
Τα μυστικά για τον δεύτερο παράγοντα αποθηκεύονται κρυπτογραφημένα (ενότητα 3.2).
Δεν ισχυριζόμαστε κρυπτογράφηση ολόκληρης της βάσης δεδομένων σε κατάσταση ηρεμίας. Οι ευαίσθητες τιμές προστατεύονται μεμονωμένα, όπως περιγράφεται παραπάνω.

4.3 Ελαχιστοποίηση των δεδομένων ήδη από τον σχεδιασμό

Έλεγχος παράδοσης: Διαβάζονται μόνο οι κεφαλίδες και το πολύ τα πρώτα 8 KB του κειμένου. Στη βάση δεδομένων καταλήγουν μόνο η ώρα, η αντιστοίχιση, κατά περίπτωση το ID της δοκιμαστικής υποβολής και το αποτέλεσμα του ελέγχου γνησιότητας (SPF, DKIM, DMARC), ποτέ το περιεχόμενο ή μια πλήρης διεύθυνση αποστολέα. Το αποτέλεσμα γνησιότητας του πιο πρόσφατου e-mail διατηρείται μαζί με το domain και αντικαθίσταται από το επόμενο· περιέχει τη διεύθυνση IP του διακομιστή αλληλογραφίας που παρέδωσε το μήνυμα και το domain e-mail του αποστολέα. Το e-mail διαγράφεται από το γραμματοκιβώτιο μετά την επιτυχή επεξεργασία· αν η ανάκτηση ή η διαγραφή αποτύχει, αυτό γίνεται κατά την επόμενη επιτυχή εκτέλεση.
Έλεγχοι: Η δομή των φορμών αποθηκεύεται με ονόματα πεδίων, τύπους και ετικέτες, χαρακτηριστικά υποχρεωτικότητας και ορατότητας, χωρίς τιμές· ο σαρωτής διαβάζει τα αρχικά τμήματα προσυμπληρωμένων κρυφών πεδίων (έως 24 χαρακτήρες) και χαρακτηριστικών data (έως 60 χαρακτήρες) μόνο κατά τον έλεγχο και δεν τα αποθηκεύει. Τα στιγμιότυπα οθόνης του πλήρους ελέγχου δεν αποκρύπτονται· μόνο οι έλεγχοι με πρόγραμμα περιήγησης καλύπτουν τα πεδία εισαγωγής. Οι διευθύνσεις παραληπτών των φορμών αποθηκεύονται μόνο ως domain. Οι ενεργές δοκιμαστικές υποβολές περιέχουν μόνο επισημασμένα δοκιμαστικά κείμενα χωρίς δεδομένα προσωπικού χαρακτήρα.
Οι επεκτάσεις για WordPress και TYPO3 διαβιβάζουν μόνο ημερήσια αριθμητικά στοιχεία και χαρακτηριστικά, όπως την απογραφή των πρόσθετων, και για συνδεδεμένο πρόσθετο WordPress επίσης τα domains των συνδέσμων από αποκλεισμένα μηνύματα για την προστασία σμήνους (ενεργοποιημένη από προεπιλογή)· κανένα άλλο περιεχόμενο, κανένα όνομα, καμία διεύθυνση ή διεύθυνση IP επισκεπτών. Οι προαιρετικές καταμετρήσεις σφαλμάτων φορμών και πεδίων είναι απενεργοποιημένες από προεπιλογή.
«Fix it for me»: Ο κώδικας που επικολλάται υποβάλλεται σε επεξεργασία μόνο για τη διάρκεια του αιτήματος και δεν αποθηκεύεται.
Σήμα (badge): Η εικόνα του σήματος στους ιστότοπους των πελατών δεν ορίζει cookie και δεν ξεκινά συνεδρία.
Οι λειτουργικές ειδοποιήσεις στο τηλέφωνο του φορέα λειτουργίας είναι σταθερά κείμενα χωρίς μεταβλητές, δηλαδή χωρίς ονόματα, διευθύνσεις ή περιεχόμενο. Οι ειδοποιήσεις σφαλμάτων μέσω e-mail προς τον φορέα λειτουργίας περιέχουν το ακατέργαστο κείμενο του μηνύματος σφάλματος, χωρίς εκκαθάριση και περικομμένο στους 400 χαρακτήρες· σε μεμονωμένες περιπτώσεις μπορεί να περιέχει διευθύνσεις ή συνδέσμους.
Προστασία σμήνους: Μεταξύ των επεκτάσεων των Πελατών κοινοποιούνται μόνο domains από συνδέσμους σε αποκλεισμένο spam· η ανταλλαγή δικτύων IP είναι απενεργοποιημένη.
Τοποθεσία: Η χώρα μιας διεύθυνσης IP προσδιορίζεται από ένα τοπικό αρχείο βάσης δεδομένων· καμία διεύθυνση δεν αποστέλλεται σε υπηρεσία γεωεντοπισμού.

5. Προστασία από κατάχρηση του σαρωτή

Ο σαρωτής φορτώνει σελίδες τρίτων με πραγματικό πρόγραμμα περιήγησης. Χωρίς προστασία, θα ήταν ένα εργαλείο με το οποίο κάποιος από έξω θα μπορούσε να φθάσει στο εσωτερικό μας δίκτυο ή σε άλλους μη δημόσιους στόχους (server-side request forgery). Υπάρχουν επομένως δύο ανεξάρτητα επίπεδα και απομόνωση κάθε μεμονωμένης εκτέλεσης.

5.1 Απομονωμένη εκτέλεση

Κάθε έλεγχος εκτελείται σε δικό του container, το οποίο αφαιρείται στη συνέχεια. Εκτελείται χωρίς δικαιώματα διαχειριστή, χωρίς πρόσθετες δυνατότητες του λειτουργικού συστήματος και χωρίς δυνατότητα κλιμάκωσης προνομίων. Το σύστημα αρχείων του είναι μόνο για ανάγνωση, εκτός από μικρές πτητικές περιοχές.
Η μνήμη, ο αριθμός διεργασιών και ο χρόνος εκτέλεσης είναι περιορισμένοι· μια εκτέλεση που υπερβαίνει τον χρόνο τερματίζεται.

5.2 Δίκτυο: δύο επίπεδα

Πρώτο επίπεδο, στον σαρωτή: Πριν από τη σάρωση και στη συνέχεια για κάθε μεμονωμένο αίτημα του προγράμματος περιήγησης, συμπεριλαμβανομένων των ανακατευθύνσεων και του ενσωματωμένου περιεχομένου, ελέγχεται σε ποια διεύθυνση επιλύεται η διεύθυνση. Τα ιδιωτικά, τοπικά, δεσμευμένα δίκτυα και τα δίκτυα τεκμηρίωσης (IPv4 και IPv6) απορρίπτονται, όπως και οι θύρες πέραν των συνήθων για τον ιστό. Το πρόγραμμα περιήγησης δεν επιτρέπει service workers, και οι συνδέσεις WebSocket κλείνουν, επειδή και τα δύο θα μπορούσαν να παρακάμψουν αυτόν τον έλεγχο.
Δεύτερο επίπεδο, στο δίκτυο: Τα containers εκτελούνται σε δικό τους δίκτυο. Οι κανόνες firewall επιτρέπουν συνδέσεις από εκεί προς το διαδίκτυο μόνο σε θύρες ιστού· οι συνδέσεις προς ιδιωτικά δίκτυα, συμπεριλαμβανομένου του εσωτερικού μας δικτύου με τον διακομιστή ιστού και τη βάση δεδομένων, αποκλείονται. Οι εξαιρέσεις που απαιτεί η ίδια η εκτέλεση του ελέγχου περιορίζονται στα αναγκαία και περιγράφονται στην εσωτερική μας τεκμηρίωση. Το επίπεδο αυτό λειτουργεί και όταν ένα όνομα επιλύεται διαφορετικά μόνο μετά τον πρώτο έλεγχο.

5.3 Αιτήματα που υποβάλλει ο διακομιστής ιστού

Όπου ο ίδιος ο διακομιστής ιστού ζητά διευθύνσεις τρίτων – για την απόδειξη κατοχής του domain, για το εργαλείο κεφαλίδων, για την αναζήτηση εκτεθειμένων αρχείων, για αιτήματα παλμού, για ερωτήματα RDAP και για τον έλεγχο πιστοποιητικών, για webhooks και ειδοποιήσεις συνομιλίας και για το προαιρετικό δεύτερο σημείο ελέγχου – ισχύουν οι ίδιοι κανόνες: μόνο πρωτόκολλα ιστού, στις συνήθεις θύρες ιστού (webhooks και ειδοποιήσεις συνομιλίας μόνο μέσω HTTPS στην τυπική θύρα), μόνο δημόσιες διευθύνσεις, σύνδεση μόνο ακριβώς στη διεύθυνση που ελέγχθηκε προηγουμένως, ώστε ένα όνομα να μην μπορεί να ανακατευθυνθεί εκ των υστέρων σε εσωτερικό στόχο, ανακατευθύνσεις που είτε δεν ακολουθούνται καθόλου είτε ακολουθούνται μόνο χειροκίνητα και ελέγχονται εκ νέου κάθε φορά, σύντομα χρονικά όρια· για την απόδειξη κατοχής του domain, για αιτήματα παλμού και για το δεύτερο σημείο ελέγχου στους ελέγχους με πρόγραμμα περιήγησης, επίσης περιορισμένο μέγεθος απάντησης.

5.4 Τι δεν κάνει ο σαρωτής σε ιστότοπους τρίτων

Ενεργές δοκιμαστικές υποβολές (το πολύ πέντε ανά έλεγχο) υπάρχουν για Πελάτες μόνο για domains για τα οποία έχει προσκομιστεί απόδειξη κατοχής (DNS, meta tag, αρχείο ή επέκταση)· η μόνη εξαίρεση είναι οι εσωτερικοί έλεγχοι των δικών μας δοκιμαστικών και demo domains. Το όνομα host ενός domain με απόδειξη κατοχής δεν μπορεί να αλλάξει, ώστε η απόδειξη να μη μεταφέρεται σε άλλο host. Όλα τα υπόλοιπα είναι παθητικά: ανάγνωση σελίδων όπως ένας επισκέπτης.
Οι έλεγχοι με πρόγραμμα περιήγησης φθάνουν έως το σημείο πριν από την υποβολή και δεν ενεργοποιούν καμία παραγγελία, πληρωμή ή υποβολή.
Τα domains της λίστας opt-out δεν ελέγχονται· η τρέχουσα παρακολούθηση λήγει με τον επόμενο προγραμματισμένο έλεγχο.

6. Ακεραιότητα: διαβίβαση και εισαγωγή

6.1 Μεταφορά

Η εφαρμογή είναι προσβάσιμη από το διαδίκτυο μόνο μέσω HTTPS· το πρόγραμμα περιήγησης λαμβάνει οδηγία να χρησιμοποιεί μόνο HTTPS για ένα έτος (HSTS). Τα πιστοποιητικά ανανεώνονται αυτόματα.
Περαιτέρω κεφαλίδες περιορίζουν την ενσωμάτωση της εφαρμογής σε σελίδες τρίτων, την εικασία τύπων αρχείων και την υποβολή φορμών σε στόχους τρίτων. Μια πολιτική ασφάλειας περιεχομένου (content security policy) επιτρέπει να εκτελούνται στην εφαρμογή μόνο τα scripts που εγκρίνει ο διακομιστής με την εκάστοτε απάντηση· τα τρέχοντα προγράμματα περιήγησης δεν εκτελούν scripts ή χειριστές συμβάντων που έχουν εισαχθεί στο HTML.
Το γραμματοκιβώτιο του ελέγχου παράδοσης ανακτάται μέσω κρυπτογραφημένης σύνδεσης με επαλήθευση πιστοποιητικού.
Τα webhooks μπορούν να υπογράφονται με μυστικό του Πελάτη (HMAC-SHA256 με χρονοσήμανση), ώστε ο παραλήπτης να μπορεί να επαληθεύσει την προέλευση και την ακεραιότητα. Τα αιτήματα προς το προαιρετικό δεύτερο σημείο ελέγχου υπογράφονται, και για τους ελέγχους με πρόγραμμα περιήγησης και οι απαντήσεις τους.
Το λέμε ανοιχτά: Οι συνδέσεις εντός του εσωτερικού μας δικτύου δεν είναι κρυπτογραφημένες σε όλη τη διαδρομή. Τα διαπιστευτήρια για τη σάρωση πίσω από τη σύνδεση παραμένουν κρυπτογραφημένα σε όλη τη διαδρομή (ενότητα 4.1).

6.2 Έλεγχος εισαγωγής και αρχεία καταγραφής

Σημαντικές ενέργειες σε λογαριασμούς και χώρους εργασίας (όπως σύνδεση, αλλαγές σε domains, προορισμούς ειδοποιήσεων και δικαιώματα, διαγραφές, πρόσβαση υποστήριξης) καταγράφονται στο αρχείο δραστηριότητας με λογαριασμό, ώρα, διεύθυνση IP και χώρα, και διαγράφονται μετά από 365 ημέρες.
Τα αρχεία πρόσβασης σε σελίδες που τηρούνται για την ασφάλεια και την πρόληψη κατάχρησης διαγράφονται μετά από 60 ημέρες, τα αρχεία καταγραφής σφαλμάτων μετά από 90 ημέρες, το περιεχόμενο των απεσταλμένων e-mail μετά από 30 ημέρες. Τα tokens πρόσβασης σε διευθύνσεις αιτημάτων και referrers, όπως εκείνα των συνδέσμων αναφορών ή πυλών, εμφανίζονται στα αρχεία πρόσβασης σε σελίδες μόνο σε συγκαλυμμένη μορφή.
Η αποδοχή των συμβατικών εγγράφων αποθηκεύεται με την έκδοση που εμφανίστηκε, το άθροισμα ελέγχου της, την ώρα, τη διεύθυνση IP και το αναγνωριστικό του προγράμματος περιήγησης.
Στα αρχεία αποδεικτικών στοιχείων μπορεί να προστεθεί χρονοσήμανση από εξωτερική αρχή χρονοσήμανσης· σε αυτήν αποστέλλεται μόνο ένα άθροισμα ελέγχου του περιεχομένου, όχι το ίδιο το περιεχόμενο.

7. Διαθεσιμότητα και αξιοπιστία

7.1 Αντίγραφα ασφαλείας

Η βάση δεδομένων αντιγράφεται κάθε νύχτα. Ένα αντίγραφο ασφαλείας λαμβάνει το τελικό του όνομα μόνο αφού ελεγχθεί το περιεχόμενό του: επιτυχής ολοκλήρωση του προγράμματος αντιγράφων ασφαλείας, τουλάχιστον μία εγγραφή, τόσοι πίνακες όσους έχει η βάση δεδομένων και η καταληκτική γραμμή μιας πλήρους εκτέλεσης. Τα παλαιότερα αντίγραφα ασφαλείας αφαιρούνται μόνο μετά από ένα επιτυχές νέο.
Κάθε αντίγραφο ασφαλείας διαγράφεται μετά από 14 ημέρες. Ο χώρος αποθήκευσης βρίσκεται εκτός οποιουδήποτε καταλόγου που εξυπηρετείται· ένας χώρος εντός του έργου απορρίπτεται.
Δοκιμή επαναφοράς: Μία φορά την εβδομάδα, το πιο πρόσφατο αντίγραφο ασφαλείας φορτώνεται σε μια βάση δεδομένων μίας χρήσης, συγκρίνεται πίνακα προς πίνακα με την παραγωγική και διαγράφεται ξανά. Το αποτέλεσμα αποθηκεύεται.
Αν ένα αντίγραφο ασφαλείας ή μια δοκιμή αποτύχει, αποστέλλεται ειδοποίηση μέσω e-mail και στο τηλέφωνο του φορέα λειτουργίας.
Αποκατάσταση μετά από συμβάν: Αν η βάση δεδομένων αστοχήσει ή αλλοιωθούν δεδομένα, επαναφέρουμε το πιο πρόσφατο ελεγμένο αντίγραφο ασφαλείας. Αλλαγές που έγιναν μετά από αυτό το αντίγραφο ασφαλείας, κατά κανόνα το πολύ εκείνες μιας ημέρας, ενδέχεται να χαθούν κατά τη διαδικασία· αν έχει αποτύχει ένα αντίγραφο ασφαλείας, αντιστοίχως περισσότερες. Στη συνέχεια εκτελούμε εκ νέου τα γνωστά μεταγενέστερα αιτήματα διαγραφής (ενότητα 8). Δεν δεσμευόμαστε για συγκεκριμένο χρόνο αποκατάστασης.
Όριο, το λέμε ανοιχτά: Τα αντίγραφα ασφαλείας αποθηκεύονται προς το παρόν στην ίδια τοποθεσία με τη βάση δεδομένων και δεν είναι χωριστά κρυπτογραφημένα. Προστατεύουν από λειτουργικά σφάλματα, λανθασμένες αλλαγές και αλλοιωμένα δεδομένα, όχι από την απώλεια του ίδιου του διακομιστή. Προγραμματίζεται κρυπτογραφημένο αντίγραφο σε δεύτερη τοποθεσία (ενότητα 10).
Τα διαπιστευτήρια για τη σάρωση πίσω από τη σύνδεση περιέχονται στα αντίγραφα ασφαλείας μόνο ως κρυπτογραφημένο κείμενο· το μυστικό του δεύτερου παράγοντα μόνο σε κρυπτογραφημένη μορφή, με κλειδί εκτός της βάσης δεδομένων.

7.2 Παρακολούθηση

Μια εκτέλεση κατάστασης ελέγχει τα στοιχεία της υπηρεσίας κάθε πέντε λεπτά, συμπεριλαμβανομένων της βάσης δεδομένων, της ουράς και του σήματος ζωής (heartbeat) του σαρωτή, το οποίο ο σαρωτής γράφει τακτικά ακόμη και όταν είναι αδρανής. Αν ένα στοιχείο αστοχήσει, αποστέλλεται ειδοποίηση· αν επανέλθει, ειδοποίηση άρσης.
Αμοιβαία επιτήρηση: Μια εκτέλεση κατάστασης δεν μπορεί να αναφέρει την αστοχία του μηχανήματος στο οποίο εκτελείται. Γι' αυτό ο διακομιστής σάρωσης ελέγχει κάθε λεπτό αν η εφαρμογή αποκρίνεται και, μετά από αρκετές διαδοχικές αστοχίες, ειδοποιεί με σταθερό κείμενο το τηλέφωνο του φορέα λειτουργίας. Αντίστροφα, ο διακομιστής ιστού παρακολουθεί το σήμα ζωής του σαρωτή· η λίστα ελέγχου ρύθμισης δείχνει αν λειτουργεί η αμοιβαία επιτήρηση.
Ειδοποίηση σφαλμάτων: Ένας τύπος σφάλματος που δεν έχει εμφανιστεί ποτέ στο παρελθόν αναφέρεται αμέσως μία φορά· μια συσσώρευση σφαλμάτων προκαλεί μόνο ένα μεμονωμένο σήμα στο τηλέφωνο του φορέα λειτουργίας· μία φορά την ημέρα αποστέλλεται επισκόπηση. Έτσι δεν πληροφορούμαστε ένα σφάλμα πρώτα από έναν Πελάτη.
Όριο, το λέμε ανοιχτά: Και οι δύο διακομιστές βρίσκονται στην ίδια τοποθεσία. Μια αστοχία ολόκληρης της τοποθεσίας, για παράδειγμα του ρεύματος ή της σύνδεσης στο διαδίκτυο, δεν αναφέρεται από κανέναν μηχανισμό ειδοποίησης, αλλά γίνεται αντιληπτή από άνθρωπο.

7.3 Αλλαγές και ανάπτυξη

Οι νέες εκδόσεις κατασκευάζονται και δοκιμάζονται πρώτα στο χωριστό περιβάλλον ανάπτυξης. Η ανάπτυξη ελέγχει όλες τις προϋποθέσεις πριν γραφτεί το πρώτο αρχείο, εκτελεί τις αλλαγές στο σχήμα της βάσης δεδομένων και αφήνει τους εκτελούμενους ελέγχους να ολοκληρωθούν ομαλά πριν από την επανεκκίνηση του σαρωτή.
Για τη διαδρομή ενός νέου Πελάτη υπάρχει smoke test μέσω πραγματικού HTTP, το οποίο εκτελείται μετά από αλλαγές. Δεν ισχυριζόμαστε ότι υπάρχει αυτοματοποιημένη σουίτα δοκιμών πριν από κάθε μεμονωμένη ανάπτυξη.

8. Διαγραφή και περίοδοι διατήρησης

Μια εκτέλεση διαγραφής κάθε νύχτα επιβάλλει τις περιόδους που αναφέρονται στην Πολιτική Απορρήτου και στη Σύμβαση Επεξεργασίας Δεδομένων. Διαβάζει τις ίδιες ρυθμίσεις από τις οποίες προέρχονται οι αριθμοί στα κείμενα· για τις περιόδους αυτές, επομένως, κείμενο και συμπεριφορά δεν αποκλίνουν.
Τα αποτελέσματα ελέγχων, συμπεριλαμβανομένων των στιγμιοτύπων οθόνης, διαγράφονται μετά από 13 μήνες (το πιο πρόσφατο ανά domain παραμένει), τα αριθμητικά στοιχεία των επεκτάσεων μετά από 13 μήνες, τα αρχεία παράδοσης ειδοποιήσεων μετά από 90 ημέρες, τα αιτήματα υποστήριξης μετά από 24 μήνες.
Η αφαίρεση ενός domain διαγράφει τα δεδομένα του domain, συμπεριλαμβανομένων ελέγχων, φορμών, ευρημάτων, στιγμιοτύπων οθόνης, αναφορών, εργασιών, προορισμών και αρχείων ειδοποιήσεων, συμβάντων, δεδομένων παράδοσης, διαπιστευτηρίων για τη σάρωση πίσω από τη σύνδεση και αποδεικτικών στοιχείων.
Η διαγραφή ενός λογαριασμού γίνεται αμέσως· οι χώροι εργασίας χωρίς άλλα μέλη διαγράφονται μαζί με τα δεδομένα τους, οι χώροι εργασίας με άλλα μέλη μεταβιβάζονται σε άλλο μέλος, κατά προτεραιότητα σε διαχειριστές και, μεταξύ αυτών, στο παλαιότερο. Έως τη λήξη των δικών τους περιόδων παραμένουν: τα αρχεία καταγραφής των οποίων οι εγγραφές διατηρούν τον παλαιό αριθμό λογαριασμού, ο οποίος δεν παραπέμπει πλέον σε κανέναν υφιστάμενο λογαριασμό, συμπεριλαμβανομένης της εγγραφής διαγραφής, καθώς και τα απεσταλμένα e-mail, η απόδειξη σύναψης της σύμβασης, τα αιτήματα υποστήριξης, οι αναφορές ελέγχων δυνητικών πελατών (έως 90 ημέρες) και τα δεδομένα τιμολόγησης στη Stripe· λεπτομέρειες θα βρείτε στην Πολιτική Απορρήτου.
Τα διαγραμμένα δεδομένα παραμένουν στα αντίγραφα ασφαλείας έως τη λήξη τους μετά από 14 ημέρες. Στοχευμένη διαγραφή εντός αντιγράφου ασφαλείας δεν πραγματοποιείται· αν επαναφερθεί ένα αντίγραφο ασφαλείας, τα γνωστά μεταγενέστερα αιτήματα διαγραφής εκτελούνται ξανά χειροκίνητα.

9. Οργάνωση και επανεξέταση

Πρόσωπα: Η υπηρεσία λειτουργεί προς το παρόν από τον ίδιο τον ιδιοκτήτη. Άλλα πρόσωπα αποκτούν πρόσβαση μόνο μετά από ανάληψη υποχρέωσης εμπιστευτικότητας και μόνο στον βαθμό που είναι αναγκαίο, και επεξεργάζονται δεδομένα μόνο κατόπιν εντολών μας (άρθρο 29 και άρθρο 32(4) ΓΚΠΔ).
Υπεκτελούντες την επεξεργασία: Προσφεύγουμε σε αυτούς μόνο μετά από έλεγχο των εγγυήσεών τους και βάσει σύμβασης σύμφωνα με το άρθρο 28(4) ΓΚΠΔ, και τους παραθέτουμε στη σελίδα Υπεκτελούντες την επεξεργασία· οι λεπτομέρειες διέπονται από τη Σύμβαση Επεξεργασίας Δεδομένων.
Παραβιάσεις δεδομένων προσωπικού χαρακτήρα: Αν μια παραβίαση δεδομένων προσωπικού χαρακτήρα επηρεάζει δεδομένα που επεξεργαζόμαστε ως εκτελών την επεξεργασία, ενημερώνουμε τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση, ει δυνατόν εντός 48 ωρών· οι λεπτομέρειες διέπονται από τη Σύμβαση Επεξεργασίας Δεδομένων.
Αναφορά ευπαθειών: Δεχόμαστε αναφορές στη σελίδα Ασφάλεια και μέσω του αρχείου /.well-known/security.txt.
Λίστα ελέγχου ρύθμισης και έναρξης λειτουργίας: Στην περιοχή διαχείρισης, μια λίστα ελέγχου μετρά την κατάσταση των ρυθμίσεων που σχετίζονται με την ασφάλεια, όπως τα αντίγραφα ασφαλείας, οι διαχειριστές χωρίς δεύτερο παράγοντα, η ρύθμιση αλληλογραφίας και το σήμα ζωής, και εμφανίζει τις αποκλίσεις.
Επανεξέταση των παρόντων μέτρων (άρθρο 32(1)(d) ΓΚΠΔ): σε κάθε σημαντική αλλαγή της υπηρεσίας, μετά από κάθε συμβάν ασφάλειας και κατά τα λοιπά τουλάχιστον μία φορά τον χρόνο. Στο πλαίσιο αυτό αξιολογούμε αν τα μέτρα είναι αποτελεσματικά και εξακολουθούν να ανταποκρίνονται στους κινδύνους, και καταγράφουμε το αποτέλεσμα σε νέα έκδοση της παρούσας σελίδας ή, αν δεν αλλάζει τίποτα, με την ημερομηνία της επανεξέτασης στην ενότητα 11. Σε συνεχή βάση, η λίστα ελέγχου ρύθμισης και έναρξης λειτουργίας μετρά την κατάσταση των ρυθμίσεων που καλύπτει.
Εξωτερικοί έλεγχοι: Προς το παρόν δεν έχουν ανατεθεί εξωτερικές δοκιμές διείσδυσης και δεν υπάρχουν πιστοποιήσεις ασφάλειας. Αυτό αναφέρεται εδώ ώστε να μην τις θεωρεί κανείς δεδομένες.

10. Προγραμματισμένα, δεν έχουν ακόμη εφαρμοστεί

Τα σημεία αυτά δεν αποτελούν δεσμευτικά μέτρα έως ότου αναφερθούν εδώ ως εφαρμοσμένα σε νέα έκδοση:

Αντίγραφο ασφαλείας σε δεύτερη τοποθεσία: κρυπτογραφημένο αντίγραφο του νυχτερινού αντιγράφου ασφαλείας εκτός του διακομιστή, ώστε ακόμη και η ολική απώλεια του διακομιστή να μην οδηγεί σε απώλεια δεδομένων.
Δεύτερο σημείο ελέγχου: Η ανεξάρτητη επιβεβαίωση των ελέγχων με πρόγραμμα περιήγησης από δεύτερη τοποθεσία έχει προετοιμαστεί στην υπηρεσία, αλλά δεν έχει ρυθμιστεί. Χωρίς αυτήν δεν υπάρχει επιβεβαίωση από δεύτερη τοποθεσία.
Θωράκιση της διαχείρισης διακομιστών: Συνεχίζεται. Για τους λόγους που αναφέρονται στην ενότητα 1, δεν δημοσιεύουμε λεπτομέρειες.

11. Κατάσταση και έκδοση

Έκδοση 1.1 · Τελευταία ενημέρωση: 22 Οκτωβρίου 2026 · σε περίπτωση αποκλίσεων μεταξύ των γλωσσικών εκδόσεων, υπερισχύει η πολωνική έκδοση αντί της γερμανικής· καμία άλλη αλλαγή.
Έκδοση 1.0 · Τελευταία ενημέρωση: 11 Οκτωβρίου 2026 · πρώτη έκδοση ως χωριστή σελίδα· προηγουμένως Παράρτημα 2 της Σύμβασης Επεξεργασίας Δεδομένων. Διορθώσεις σε σχέση με το προηγούμενο παράρτημα: η δοκιμή επαναφοράς εκτελείται εβδομαδιαία, τα αντίγραφα ασφαλείας βρίσκονται στον ίδιο διακομιστή, δεν εκτελείται αυτοματοποιημένη σουίτα δοκιμών πριν από κάθε ανάπτυξη, οι συνδέσεις στο εσωτερικό δίκτυο δεν είναι κρυπτογραφημένες σε όλη τη διαδρομή. Νέα περιγραφή: κρυπτογράφηση των διαπιστευτηρίων για τη σάρωση πίσω από τη σύνδεση, απομόνωση του σαρωτή, αμοιβαία επιτήρηση και ειδοποίηση σφαλμάτων.
Οι αλλαγές δημοσιεύονται με νέο αριθμό έκδοσης εδώ και στην επισκόπηση Αλλαγές στα συμβατικά έγγραφα· για κάθε αποδυνάμωση μέτρων ισχύει η προθεσμία ειδοποίησης της Σύμβασης Επεξεργασίας Δεδομένων.
Σε περίπτωση αποκλίσεων μεταξύ των γλωσσικών εκδόσεων, υπερισχύει η πολωνική έκδοση.

Πώς μπορούμε να βοηθήσουμε;