formexposed
Alusta

Tehnilised ja korralduslikud meetmed

See dokument on avaldatud mitmes keeles. Keeleversioonide vahelise lahknevuse korral on siduv poolakeelne versioon.

Versioon 1.1 · Viimati uuendatud: 22. oktoober 2026

IKÜM Art. 32 kohased meetmed, millega LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poola, kaitseb teenust formexposed. See leht on andmetöötluslepingu osa lisana 2.

1. Kohaldamisala ja põhimõte

Meetmed kehtivad kõigi teenuses töödeldavate andmete kohta: andmete kohta, mida töötleme oma klientide nimel (kirjeldatud andmetöötluslepingus), ja andmete kohta, mille puhul oleme ise vastutav töötleja, näiteks kliendikontod ja logid. Nende kahe jaoks ei ole eraldi kaitsetasemeid; mis kaitseb kontot, kaitseb ka volitatud töötleja andmeid.

Ülesehitus IKÜM Art. 32(1) järgi. Pseudonüümimist ja krüpteerimist (punkt a) käsitletakse jaos 4; süsteemide pidevat konfidentsiaalsust, terviklust, kättesaadavust ja vastupidavust (punkt b) jagudes 3, 5, 6 ja 7; võimet taastada intsidendi korral õigeaegselt kättesaadavus (punkt c) jaos 7.1; tõhususe korrapärase testimise, hindamise ja analüüsimise protsessi (punkt d) jaos 9. Valisime meetmed meie andmekaitsealases mõjuhinnangus kirjeldatud riskide põhjal, võttes arvesse tehnika taset ja rakendamise kulusid.

Põhimõte: mõõdetud, mitte kavatsetud. Siin on esitatud ainult see, mis on koodis või käitamises tegelikult rakendatud. Kavandatu, mida pole veel rakendatud, on jaos 10 sõnaselgelt loetletud kui „kavandatud“. Meede, mida siin pole, ei ole vaikimisi olemas.

Masinate nimesid, sisevõrgu aadresse, porte, kasutajanimesid ja tarkvaraversioone teadlikult ei esitata. Need ei aita kellelgi meetmeid hinnata, küll aga aitavad neid, kes tahavad neist mööda minna. Kes vajab neid andmetöötluslepingu kohase auditi jaoks, saab need selle auditi käigus konfidentsiaalselt niivõrd, kuivõrd need on auditiks vajalikud.

2. Teenuse ülesehitus

Teenus töötab kahes teenuseosutaja enda serveris Poolas, mis asuvad samas sisevõrgus:

  • Veebiserver koos andmebaasiga. See edastab rakenduse, hoiab andmebaasi, saadab teavitusi ja teeb andmetest varukoopiaid. Ainult see on seadistatud võtma vastu päringuid internetist.
  • Skanneriserver. See teeb kolmandate isikute ja enda veebisaitide kontrolle brauseris ning käitab keelemudelit, mis liigitab üksikuid vorme ja lisab koodi funktsioonis „Fix it for me“. See ei ole seadistatud võtma vastu päringuid internetist, vaid laadib oma tööd ise veebiserverist ja tagastab tulemused sinna.

Käitamisse ei ole kaasatud ühtegi majutus-, andmekeskuse ega pilveteenuse pakkujat ning midagi ei lähe välisele tehisintellekti teenusele. Millised kolmandad isikud andmeid saavad, on esitatud lehel Alamtöötlejad.

3. Konfidentsiaalsus

3.1 Füüsilise juurdepääsu kontroll

Serverid asuvad teenuseosutaja ruumides Poolas, mis ei ole avalikkusele avatud. Juurdepääs on ainult omanikul (haldaja andmetel). Asukoha täpset aadressi siin teadlikult ei avaldata.

3.2 Juurdepääsukontroll: teenusesse sisselogimine

  • Paroolid salvestatakse ainult räsina PHP standardmeetodiga (bcrypt). Kui standardmeetod muutub, uuendatakse räsi järgmisel sisselogimisel. Tundmatu aadressiga sisselogimiskatse korral arvutab server siiski räsi, et vastuseaeg ei paljastaks, kas konto on olemas. Samuti ei paljasta parooli lähtestamise taotluse vastus oma sõnastuse ega kestusega, kas konto on olemas; lähtestamise e-kirju saadetakse samale aadressile kõige rohkem kolm korda tunnis. Uued paroolid peavad olema vähemalt kümme märki pikad ega tohi ületada 72 baiti (UTF-8), sest bcrypt rohkem baite arvesse ei võta. Parooli muutmine logib välja kõik teised seadmed; selle lähtestamine lingi kaudu logib välja kõik seadmed ja link kehtib ainult üks kord.
  • Lukustamine pärast ebaõnnestunud katseid. Ebaõnnestunud sisselogimisi loetakse IP-aadressi kaupa; pärast liiga paljusid lühikese aja jooksul (praegu kaheksa 15 minuti jooksul) blokeeritakse sisselogimine sellelt aadressilt ajutiselt. Edukas sisselogimine nullib selle loenduri. Katsed kustutatakse seitsme päeva pärast. Lisaks loetakse enne iga paroolikontrolli üks katse konto kohta (tundmatu aadressi puhul sisestatud aadressi kohta) ja IP-aadressi kohta, sealhulgas edukad katsed: praegu kõige rohkem kaheksa konto kohta samalt IP-aadressilt ja 80 IP-aadressi kohta 15 minuti jooksul; hajutatud arvamise vastu kehtib konto kohta kõigilt aadressidelt kokku tunduvalt kõrgem piirang. Teiselt aadressilt tehtud ebaõnnestunud katsed ei lukusta seega omanikku enam kontost välja. Need loendurid sisaldavad ainult HMAC-võtit, mitte e-posti ega IP-aadressi avatekstina, ja aeguvad koos oma ajaaknaga. Kui loendurite salvestusruum ei ole kättesaadav, lükatakse sisselogimine tagasi, mitte ei lasta läbi. Sama tüüpi piirang kehtib parooli kinnitamisele enne parooli või aadressi muutmist, teise teguri sisse- või väljalülitamist, tööruumi üleandmist, andmeeksporti ja konto kustutamist (viis katset konto kohta 15 minuti jooksul), registreerimistele (kümme IP-aadressi kohta tunnis) ja kliendiportaalide paroolidele (kümme katset portaali ja IP-aadressi kohta, 50 portaali kohta 15 minuti jooksul).
  • Teine tegur. Iga konto saab lubada sisselogimise ühekordse koodiga RFC 6238 (TOTP) alusel. Selle saladus salvestatakse andmebaasi krüpteeritult; võtit andmebaasi ei salvestata, seega ainult andmebaasi väljavõttest ei piisa. Aktsepteeritud kood ei kehti teist korda. Kümme taastekoodi salvestatakse ainult räsina. Ühekordsed ja taastekoodid on piiratud kümne katsega konto kohta 15 minuti jooksul, ka seadistamise ajal.
  • Haldusala ainult teise teguriga. Haldaja haldusala avaneb ainult kontodele, millel on teine tegur lubatud. Seadistamise kontroll-loend teatab igast administraatori kontost, millel teist tegurit pole.
  • Seansid. Seansiküpsist ei saa skriptidega lugeda (HttpOnly), see saadetakse ainult HTTPS-i kaudu (Secure) ja seda ei saadeta kolmandate isikute saitidelt tulevate päringutega, mis võiksid midagi muuta (SameSite=Lax). Sisselogimisel luuakse uus seansi ID, nii et eelnevalt istutatud ID enam ei kehti; server ei aktsepteeri seansi ID-d, mida ta ise väljastanud ei ole. Iga konto näeb oma sisselogitud seadmeid ja saab neid ükshaaval välja logida.
  • „Jäta mind sisselogituks“ on valikuline ja kehtib 30 päeva, kuid mitte haldusõigustega kontode puhul; need logivad alati sisse parooli ja teise teguriga. Token koosneb kahest osast; kontrolliv osa salvestatakse andmebaasi ainult räsina. Iga kasutus asendab selle uuega ja ka samaaegsete päringute korral kehtib iga token ainult üks kord, nii et varastatud token avastatakse hiljemalt järgmisel tõelisel külastusel.
  • Lingid e-kirjades. Aadressi kinnitamise ja parooli lähtestamise lingid salvestatakse andmebaasi ainult räsina. Lähtestamislink kehtib ühe tunni, registreerimise kinnitamise link 72 tundi, muudetud aadressi kinnitamise link 24 tundi. Kui e-posti aadressi muudetakse, muutub avatud lähtestamislink kehtetuks.
  • Liidesed. API-võtmed, laienduste ühenduskoodid ja juurutuskoodid salvestatakse ainult räsina. API-võtmeid saab kasutada minutis ainult piiratud arv kordi; laienduste ühenduskoodid kehtivad 15 minutit ja ainult üks kord.
  • Kaitse bottide eest avalikel vormidel (registreerimine, sisselogimine, parool, kontroll, päiste tööriist, välistamine, tugi ja kontakt): Google reCAPTCHA, mis laaditakse alles saatmisel. Aktsepteeritakse ainult Google’i kehtivat vastust piisava skooriga täpselt selle vormi toimingu jaoks; kui Google ei vasta kolme sekundi jooksul, lükatakse saatmine tagasi. Üksikasjad on privaatsuspoliitikas.

3.3 Juurdepääsukontroll: serverite haldamine

  • Internetist kättesaadav server lubab paketifiltri abil ainult neid teenuseid, mida see pakub, ning blokeerib automaatselt aadressid pärast korduvaid ebaõnnestunud sisselogimisi serveri haldusesse.
  • Serveritevahelised automatiseeritud protsessid kasutavad oma võtmeid kitsalt piiratud õigustega. Võti, millega veebiserver edastab skanneri uusi versioone, võib skanneriserveris käivitada ainult kindla loetelu käske ja võib ainult kopeerida, üksnes kirjutamiseks, skanneri kataloogi; interaktiivne sisselogimine sellega ei ole võimalik ja iga tagasi lükatud käsk logitakse. Samamoodi võib skanneriserver kirjutada ekraanipilte ainult veebiserveri kindlasse kataloogi.
  • Protsessil, mis veebisaiti teenindab, ei ole kirjutusõigust tootmispaigaldusele ega võtit skanneriserverile. Haldusalas käivitatud juurutus ainult registreerib töö, mille täidab eraldi käivitus.
  • Saladusi, näiteks andmebaasi sisselogimisandmeid ja võtmeid, hoitakse konfiguratsioonifailides väljaspool teenindatavat kataloogi ja neid juurutamisel kaasa ei kopeerita. Veebiserveri konfiguratsiooni veebiliidese kaudu ei levitata.

3.4 Õiguste kontroll: õigused teenuses

  • Rollid. Igal tööruumil on rollid omanik, administraator ja lugeja. Muutmine, kustutamine, kutsumine ja sisselogimisandmete salvestamine on reserveeritud omanikele ja administraatoritele; ainult omanik võib rolle muuta ja liikmeid eemaldada. Kutse kehtib ainult seni, kuni selle saatnud isik on endiselt omanik või administraator. Lugejad näevad veebihaakide ja vestluskanalite aadresse ainult hostini lühendatuna, sest ainuüksi aadress võimaldab kanalisse postitada. Kontroll toimub serveris, mitte ainult liideses.
  • Seotus tööruumiga. Domeenid ja seaded on kättesaadavad ainult tööruumi liikmetele. Iga kontrolli kohta loob teenus aruande juhusliku lingi all, mida ei saa ära arvata; kontrolli tulemusi ja ekraanipilte saab selle lingi kaudu vaadata ilma sisselogimiseta, ekraanipilte ainult koos nende aruande lingiga. Link ilmub kontol ja hoiatustes; kes selle edasi annab, annab edasi aruande.
  • Olekut muutvad päringud nõuavad seansipõhist turvatokenit (CSRF-kaitse), mida võrreldakse konstantse ajaga.
  • „Vaata kliendina“. Toe jaoks saab haldaja näha rakendust nii, nagu klient seda näeb. Vaade lõpeb ühe tunni pärast, blokeerib parooli, aadressi, teise teguri, seadmete, tellimuse, ekspordi ja kustutamise muudatused, sulgeb vahepeal haldusala ja seda logitakse. Selle lõpetamine logib haldaja täielikult välja; haldusalasse saab ta naasta ainult uuesti parooli ja teise teguriga sisse logides. Klient näeb seda oma andmeekspordis.
  • Haldus. Haldusõigused on ainult mõnel sõnaselgelt volitatud kontol; iga teise teguri lähtestamine halduse poolt logitakse.

3.5 Eraldamise kontroll

  • Klientide andmed on tööruumide kaupa loogiliselt eraldatud. Iga lugemis- ja kirjutamistee sisselogitud alas kannab seda seost endaga kaasas; aruanded on lisaks kättesaadavad nende lingi kaudu (jagu 3.4).
  • Arendus ja käitamine toimuvad eraldi paigaldustes eraldi andmebaaside ja eraldi andmebaasikasutajatega. Arenduskasutajal ei ole juurdepääsu tootmisandmebaasile. Päris kliendiandmeid arendusse ei kopeerita; seal töötame genereeritud näidisandmetega.
  • Igas keskkonnas on skanneril oma sisselogimisandmed õigustega ainult nendele andmetele, mida ta oma tööde jaoks vajab. See ei saa lugeda kontosid, arveldust ega logisid.
  • Veebiserveris töötavad ka sama teenuseosutaja muud teenused. Neil on oma andmebaasid ja oma andmebaasikasutajad ilma juurdepääsuta selle teenuse andmetele.

4. Krüpteerimine, pseudonüümimine ja võimalikult väheste andmete kogumine

4.1 Sisselogimisandmed sisselogimise taguse ala skannimiseks

Selle funktsiooni jaoks salvestab klient testkonto kasutajanime ja parooli. Need on teenuse kõige tundlikumad andmed ja on seetõttu kaitstud teisiti kui kõik muu:

  • Salvestamisel krüpteerib veebiserver need skanneriserveri avaliku võtmega (ECIES: X25519 ühekordse võtmega iga kirje kohta, HKDF-SHA256, AES-256-GCM). Privaatvõti on olemas ainult skanneriserveris. Veebiserver, andmebaas ja varukoopiad sisaldavad ainult šifrteksti; ka meie ei saa seda seal lugeda.
  • Iga kirje on krüptograafiliselt seotud oma domeeniga. Teisele domeenile teisaldamisel dekrüpteerimine ebaõnnestub.
  • Skannimiseks lisatakse šifrtekst tööle. Skanneriserver dekrüpteerib selle ja edastab sisselogimisandmed kontrollikonteinerile ainult standardsisendi kaudu, mitte kunagi käsurea argumendina, mis oleks protsessiloendites nähtav. Niipea kui skanneriserver on selle lugenud, kustutatakse šifrtekst töölt; käivitus koristab võimalikud jäägid hiljemalt ühe tunni pärast.
  • Sisselogimisandmeid ei kuvata, ei logita ega väljastata kunagi API kaudu ning neid ei ekspordita. Liides näitab ainult kasutajanime esimest märki ja pikkust. Nende eemaldamine kirjutab šifrteksti üle.
  • Sisselogimise taga skanner ainult loeb: ei saada midagi, ei tee aktiivset testi, ei võta ekraanipilte, ei külasta väljalogimise, kustutamise või tühistamise lehti.

4.2 Muu krüpteerimine ja räsid

  • Paroolid, taastekoodid, kliendiportaalide paroolid, API-võtmed, ühendus- ja juurutuskoodid, „Jäta mind sisselogituks“ tokenid, seadmete loendis olevad seansi ID-d ning kinnitamise ja lähtestamise lingid salvestatakse ainult räsina.
  • Teise teguri saladused salvestatakse krüpteeritult (jagu 3.2).
  • Me ei väida, et kogu andmebaas on puhkeolekus krüpteeritud. Tundlikud väärtused on kaitstud eraldi, nagu eespool kirjeldatud.

4.3 Võimalikult väheste andmete kogumine lõimitud kujul

  • Kohaletoimetamise kontroll: loetakse ainult päised ja kõige rohkem teksti esimesed 8 KB. Andmebaasi jõuavad ainult aeg, seos, vajaduse korral testsaatmise ID ja autentsuskontrolli tulemus (SPF, DKIM, DMARC), mitte kunagi sisu ega täielik saatja aadress. Viimase e-kirja autentsuse tulemust säilitatakse domeeni juures ja järgmine kirjutab selle üle; see sisaldab saatva meiliserveri IP-aadressi ja saatja e-posti domeeni. E-kiri kustutatakse postkastist pärast edukat töötlemist; kui allalaadimine või kustutamine ebaõnnestub, toimub see järgmisel edukal käivitusel.
  • Kontrollid: vormide struktuur salvestatakse koos väljade nimede, tüüpide ja siltidega, kohustuslikkuse ja nähtavuse atribuutidega, ilma väärtusteta; skanner loeb eeltäidetud peidetud väljade (kuni 24 tähemärki) ja data-atribuutide (kuni 60 tähemärki) algusi ainult kontrolli ajal ega salvesta neid. Täieliku kontrolli ekraanipilte ei redigeerita; ainult brauserikontrollid katavad sisestusväljad. Vormide saajate aadressid salvestatakse ainult domeenina. Aktiivsed testsaatmised sisaldavad ainult märgistatud testtekste ilma isikuandmeteta.
  • WordPressi ja TYPO3 laiendused edastavad ainult päevaseid arve ja tunnuseid, näiteks pluginate loetelu, ning ühendatud WordPressi plugina puhul ka blokeeritud sõnumite linkide domeene parvekaitse jaoks (vaikimisi sisse lülitatud); muud sisu, külastajate nimesid, aadresse ega IP-aadresse mitte. Valikulised vormi- ja väljavigade loendused on vaikimisi välja lülitatud.
  • „Fix it for me“: sisse kleebitud koodi töödeldakse ainult päringu kestuse ajal ja seda ei salvestata.
  • Märk: klientide veebisaitidel olev märgi pilt ei sea küpsist ega alusta seanssi.
  • Käitamisteavitused haldaja telefonile on muutujateta kindlad tekstid, st ilma nimede, aadresside või sisuta. Haldajale e-kirjaga saadetavad veateavitused sisaldavad veateate toorteksti, mis ei ole puhastatud ja on kärbitud 400 tähemärgini; üksikjuhtudel võib see sisaldada aadresse või linke.
  • Parvekaitse: klientide laienduste vahel jagatakse ainult blokeeritud rämpsposti linkide domeene; IP-võrkude vahetamine on välja lülitatud.
  • Asukoht: IP-aadressi riik määratakse kohaliku andmebaasifaili põhjal; ükski aadress ei lähe geolokatsiooniteenusele.

5. Kaitse skanneri kuritarvitamise eest

Skanner laadib kolmandate isikute lehti päris brauseriga. Ilma kaitseta oleks see tööriist, millega keegi väljastpoolt võiks jõuda meie sisevõrku või muude mitteavalike sihtmärkideni (serveripoolne päringu võltsimine, SSRF). Seetõttu on kaks sõltumatut kihti ja iga üksiku käivituse isoleerimine.

5.1 Isoleeritud käivitus

  • Iga kontroll töötab oma konteineris, mis pärast eemaldatakse. See töötab ilma administraatoriõigusteta, ilma täiendavate operatsioonisüsteemi võimekusteta ja ilma õiguste suurendamise võimaluseta. Selle failisüsteem on kirjutuskaitstud, välja arvatud väikesed ajutised alad.
  • Mälu, protsesside arv ja tööaeg on piiratud; ajapiirangut ületav käivitus lõpetatakse.

5.2 Võrk: kaks kihti

  • Esimene kiht, skanneris: enne skannimist ja seejärel brauseri iga üksiku päringu puhul, sealhulgas ümbersuunamiste ja manustatud sisu puhul, kontrollitakse, kuhu aadress lahendub. Privaat-, kohalikud, reserveeritud ja dokumentatsioonivõrgud (IPv4 ja IPv6) lükatakse tagasi, samuti muud pordid peale veebis tavapäraste. Brauser ei luba teenindustöötajaid (service worker) ja WebSocket-ühendused suletakse, sest mõlemad võiksid sellest kontrollist mööda minna.
  • Teine kiht, võrgus: konteinerid töötavad oma võrgus. Tulemüürireeglid lubavad sealt ühendusi internetti ainult veebiportidel; ühendused privaatvõrkudesse, sealhulgas meie sisevõrku veebiserveri ja andmebaasiga, on blokeeritud. Erandid, mida kontrollikäivitus ise vajab, on piiratud vajalikuga ja kirjeldatud meie sisedokumentatsioonis. See kiht toimib ka siis, kui nimi lahendub teisiti alles pärast esimest kontrolli.

5.3 Veebiserveri tehtavad päringud

Kui veebiserver ise teeb päringuid kolmandate isikute aadressidele – domeeni üle kontrolli tõendamiseks, päiste tööriista jaoks, avatud failide otsimiseks, pulsipäringuteks, RDAP-päringuteks ja sertifikaatide kontrollimiseks, veebihaakide ja vestlushoiatuste jaoks ning valikulise teise kontrollpunkti jaoks –, kehtivad samad reeglid: ainult veebiprotokollid tavapärastel veebiportidel (veebihaagid ja vestlushoiatused ainult HTTPS-i kaudu standardpordil), ainult avalikud aadressid, ühendus ainult täpselt eelnevalt kontrollitud aadressiga, et nime ei saaks hiljem sisemisele sihtmärgile ümber suunata, ümbersuunamisi kas ei järgita üldse või järgitakse ainult käsitsi ja kontrollitakse iga kord uuesti, lühikesed ajapiirangud; domeeni üle kontrolli tõendamise, pulsipäringute ja brauserikontrollide teise kontrollpunkti puhul ka piiratud vastuse suurus.

5.4 Mida skanner kolmandate isikute saitidel ei tee

  • Aktiivsed testsaatmised (kõige rohkem viis kontrolli kohta) on klientidele olemas ainult domeenide puhul, mille üle on esitatud kontrolli tõend (DNS, metasilt, fail või laiendus); ainus erand on meie enda test- ja demodomeenide sisekontrollid. Kontrolli tõendiga domeeni hostinime ei saa muuta, et tõend ei läheks üle teisele hostile. Kõik muu on passiivne: lehtede lugemine nagu külastaja.
  • Brauserikontrollid jõuavad saatmisele eelneva hetkeni ega käivita ühtegi tellimust, makset ega saatmist.
  • Välistamisloendis olevaid domeene ei kontrollita; käimasolev jälgimine lõpeb järgmise plaanilise kontrolliga.

6. Terviklus: edastamine ja sisestamine

6.1 Edastamine

  • Rakendusele pääseb internetist ligi ainult HTTPS-i kaudu; brauserile antakse juhis kasutada üheks aastaks ainult HTTPS-i (HSTS). Sertifikaate uuendatakse automaatselt.
  • Täiendavad päised piiravad rakenduse manustamist kolmandate isikute lehtedele, failitüüpide äraarvamist ja vormide saatmist kolmandate isikute sihtkohtadesse. Sisuturbepoliitika (CSP) laseb rakenduses töötada ainult neil skriptidel, mille server vastava vastusega vabastab; praegused brauserid ei käivita HTML-i süstitud skripte ega sündmuste käsitlejaid.
  • Kohaletoimetamise kontrolli postkasti loetakse krüpteeritud ühenduse kaudu koos sertifikaadi kontrollimisega.
  • Veebihaake saab allkirjastada kliendi saladusega (HMAC-SHA256 koos ajatempliga), et vastuvõtja saaks kontrollida päritolu ja terviklust. Valikulisele teisele kontrollpunktile tehtavad päringud on allkirjastatud ning brauserikontrollide puhul ka nende vastused.
  • Ütleme avameelselt: ühendused meie sisevõrgus ei ole läbivalt krüpteeritud. Sisselogimise taguse ala skannimise sisselogimisandmed jäävad läbivalt krüpteerituks (jagu 4.1).

6.2 Sisestuse kontroll ja logid

  • Olulised toimingud kontodel ja tööruumides (näiteks sisselogimine, domeenide, hoiatuste sihtkohtade ja õiguste muudatused, kustutamised, tugijuurdepääs) registreeritakse tegevuslogis koos konto, aja, IP-aadressi ja riigiga ning kustutatakse 365 päeva pärast.
  • Turvalisuse ja kuritarvitamise vältimise eesmärgil peetavad lehepöördumiste kirjed kustutatakse 60 päeva pärast, vealogid 90 päeva pärast, saadetud e-kirjade sisu 30 päeva pärast. Päritud aadressides ja viitajates (referrer) olevad juurdepääsutokenid, näiteks aruande- või portaalilinkide omad, ilmuvad lehepöördumiste kirjetes ainult maskeeritud kujul.
  • Lepingudokumentidega nõustumine salvestatakse koos kuvatud versiooni, selle kontrollsumma, aja, IP-aadressi ja brauseri tunnusega.
  • Tõendilogidele saab lisada välise ajatempliteenuse ajatempli; sinna läheb ainult sisu kontrollsumma, mitte sisu ise.

7. Kättesaadavus ja vastupidavus

7.1 Varundamine

  • Andmebaasist tehakse igal ööl varukoopia. Varukoopia saab oma lõpliku nime alles pärast selle sisu kontrollimist: varundusprogrammi edukas lõpetamine, vähemalt üks kirje, sama palju tabeleid kui andmebaasis ja täieliku käivituse lõpurida. Vanemad varukoopiad eemaldatakse alles pärast edukat uut varukoopiat.
  • Iga varukoopia kustutatakse 14 päeva pärast. Salvestuskoht asub väljaspool teenindatavaid katalooge; projekti sees olev asukoht lükatakse tagasi.
  • Taastamistest: kord nädalas laaditakse viimane varukoopia ühekordselt kasutatavasse andmebaasi, võrreldakse seda tabelhaaval tootmiskeskkonnaga ja kustutatakse uuesti. Tulemus salvestatakse.
  • Kui varundamine või test ebaõnnestub, saadetakse teavitus e-kirjaga ja haldaja telefonile.
  • Taastamine pärast intsidenti: kui andmebaas läheb rikki või andmed rikutakse, taastame viimase testitud varukoopia. Pärast seda varukoopiat tehtud muudatused, reeglina kõige rohkem ühe päeva omad, võivad selle käigus kaduda; kui varundamine on ebaõnnestunud, vastavalt rohkem. Seejärel täidame uuesti teadaolevad hilisemad kustutamistaotlused (jagu 8). Me ei võta kohustust konkreetse taastamisaja osas.
  • Piirang, ütleme avameelselt: varukoopiaid hoitakse praegu andmebaasiga samas asukohas ja neid ei ole eraldi krüpteeritud. Need kaitsevad käitamisvigade, ebaõnnestunud muudatuste ja rikutud andmete eest, mitte serveri enda kaotsimineku eest. Kavandatud on krüpteeritud koopia teises asukohas (jagu 10).
  • Sisselogimise taguse ala skannimise sisselogimisandmed sisalduvad varukoopiates ainult šifrtekstina; teise teguri saladus ainult krüpteeritud kujul, võtmega väljaspool andmebaasi.

7.2 Seire

  • Olekukäivitus kontrollib iga viie minuti järel teenuse komponente, sealhulgas andmebaasi, järjekorda ja skanneri südamelööki, mida skanner kirjutab regulaarselt ka jõude olles. Kui mõni komponent ütleb üles, saadetakse teavitus; kui see taastub, saadetakse ohu möödumise teade.
  • Ristvalve: olekukäivitus ei saa teatada selle masina rikkest, millel see ise töötab. Seetõttu kontrollib skanneriserver iga minuti järel, kas rakendus vastab, ja teatab pärast mitut järjestikust tõrget kindla tekstiga haldaja telefonile. Vastupidi jälgib veebiserver skanneri südamelööki; seadistamise kontroll-loend näitab, kas ristvalve töötab.
  • Veahoiatus: veatüübist, mida pole kunagi varem esinenud, teatatakse kohe üks kord; vigade kuhjumine käivitab haldaja telefonile ainult ühe signaali; kord päevas saadetakse ülevaade. See tähendab, et me ei saa veast esimesena teada kliendilt.
  • Piirang, ütleme avameelselt: mõlemad serverid asuvad samas asukohas. Kogu asukoha rikkest, näiteks voolu- või internetiühenduse katkestusest, ei teata ükski hoiatusmehhanism, vaid selle märkab inimene.

7.3 Muudatused ja juurutamine

  • Uued versioonid ehitatakse ja testitakse esmalt eraldi arenduskeskkonnas. Juurutamine kontrollib kõiki eeltingimusi enne esimese faili kirjutamist, teeb andmebaasi skeemi muudatused ja laseb käimasolevatel kontrollidel korrakohaselt lõppeda, enne kui skanner taaskäivitub.
  • Uue kliendi teekonna jaoks on olemas päris HTTP kaudu tehtav suitsutest, mis käivitatakse pärast ümberlülitusi. Me ei väida, et enne iga üksikut juurutamist käivitatakse automaatne testikomplekt.

8. Kustutamine ja säilitamistähtajad

  • Igaöine kustutamiskäivitus jõustab privaatsuspoliitikas ja andmetöötluslepingus märgitud tähtajad. See loeb samu seadeid, millest on võetud tekstides olevad arvud; nende tähtaegade puhul tekst ja käitumine seega ei lahkne.
  • Kontrolli tulemused koos ekraanipiltidega kustutatakse 13 kuu pärast (iga domeeni viimane jääb alles), laienduste arvud 13 kuu pärast, hoiatuste kohaletoimetamise logid 90 päeva pärast, tugipöördumised 24 kuu pärast.
  • Domeeni eemaldamine kustutab domeeni andmed, sealhulgas kontrollid, vormid, tähelepanekud, ekraanipildid, aruanded, tööd, hoiatuste sihtkohad ja logid, intsidendid, kohaletoimetamise andmed, sisselogimise taguse ala skannimise sisselogimisandmed ja tõendid.
  • Konto kustutamine toimub viivitamata; tööruumid, kus teisi liikmeid ei ole, kustutatakse koos nende andmetega, tööruumid, kus on teisi liikmeid, lähevad üle teisele liikmele, eelkõige administraatoritele ja nende hulgast kõige kauem olnule. Kuni nende enda tähtaegade lõpuni jäävad alles: logid, mille kirjetes säilib vana konto number, mis ei viita enam ühelegi olemasolevale kontole, sealhulgas kustutamiskirje, samuti saadetud e-kirjad, lepingu sõlmimise tõend, tugipöördumised, potentsiaalse kliendi kontrollide aruanded (kuni 90 päeva) ja arveldusandmed Stripe’is; üksikasjad on privaatsuspoliitikas.
  • Kustutatud andmed jäävad varukoopiatesse kuni nende aegumiseni 14 päeva pärast. Varukoopia sees sihipärast kustutamist ei toimu; kui varukoopia taastatakse, täidetakse teadaolevad hilisemad kustutamistaotlused uuesti käsitsi.

9. Korraldus ja ülevaatus

  • Inimesed: teenust haldab praegu omanik ise. Teised isikud saavad juurdepääsu ainult pärast konfidentsiaalsuskohustuse võtmist ja ainult vajalikus ulatuses ning töötlevad andmeid ainult meie juhiste alusel (IKÜM Art. 29 ja Art. 32(4)).
  • Alamtöötlejad: kaasame need ainult pärast nende tagatiste läbivaatamist ja IKÜM Art. 28(4) kohase lepingu alusel ning loetleme need lehel Alamtöötlejad; üksikasju reguleerib andmetöötlusleping.
  • Isikuandmetega seotud rikkumised: kui isikuandmetega seotud rikkumine mõjutab volitatud töötleja andmeid, teavitame klienti põhjendamatu viivituseta, võimaluse korral 48 tunni jooksul; üksikasju reguleerib andmetöötlusleping.
  • Turvanõrkustest teatamine: võtame teateid vastu lehel Turvalisus ja faili /.well-known/security.txt kaudu.
  • Seadistamise ja käivitamise kontroll-loend: haldusalas mõõdab kontroll-loend turvalisuse seisukohalt oluliste seadete olekut, näiteks varundamine, teise tegurita administraatorid, e-posti seadistus ja südamelöök, ning kuvab kõrvalekalded.
  • Nende meetmete ülevaatus (IKÜM Art. 32(1)(d)): iga teenuse olulise muudatuse korral, pärast iga turvaintsidenti ja muul juhul vähemalt kord aastas. Seejuures hindame, kas meetmed on tõhusad ja vastavad endiselt riskidele, ning registreerime tulemuse selle lehe uues versioonis või, kui midagi ei muutu, ülevaatuse kuupäevaga jaos 11. Pidevalt mõõdab seadistamise ja käivitamise kontroll-loend nende seadete olekut, mida see hõlmab.
  • Välisauditid: praegu ei ole tellitud väliseid läbistusteste ja turvasertifikaate ei ole. See on siin öeldud, et keegi ei eeldaks nende olemasolu.

10. Kavandatud, veel rakendamata

Need punktid ei ole kohustuslikud meetmed enne, kui need on uues versioonis siin rakendatutena loetletud:

  • Varukoopia teises asukohas: igaöise varukoopia krüpteeritud koopia väljaspool serverit, et ka serveri täielik kaotsiminek ei tooks kaasa andmekadu.
  • Teine kontrollpunkt: brauserikontrollide sõltumatu kinnitamine teisest asukohast on teenuses ette valmistatud, kuid ei ole seadistatud. Ilma selleta puudub kinnitus teisest asukohast.
  • Serverite halduse karmistamine: see jätkub. Jaos 1 toodud põhjustel me üksikasju ei avalda.

11. Seis ja versioon

  • Versioon 1.1 · Viimati uuendatud: 22. oktoober 2026 · keeleversioonide lahknevuste korral on saksakeelse asemel ülimuslik poolakeelne versioon; muid muudatusi ei ole.
  • Versioon 1.0 · Viimati uuendatud: 11. oktoober 2026 · esimene versioon eraldi lehena; varem andmetöötluslepingu lisa 2. Võrreldes varasema lisaga parandatud: taastamistest toimub kord nädalas, varukoopiad on samas serveris, enne iga juurutamist ei käivitata automaatset testikomplekti, ühendused sisevõrgus ei ole läbivalt krüpteeritud. Uuena kirjeldatud: sisselogimise taguse ala skannimise sisselogimisandmete krüpteerimine, skanneri isoleerimine, ristvalve ja veahoiatus.
  • Muudatused avaldatakse uue versiooninumbriga siin ja ülevaates Lepingudokumentide muudatused; meetmete mis tahes nõrgendamise korral kehtib andmetöötluslepingu etteteatamistähtaeg.
  • Keeleversioonide lahknevuste korral on ülimuslik poolakeelne versioon.