Isikuandmete töötlemise toimingute register (IKÜM Art. 30)

See dokument on avaldatud mitmes keeles. Keeleversioonide vahelise lahknevuse korral on siduv poolakeelne versioon.

Versioon 1.2 · Viimati uuendatud: 29. oktoober 2026

1. Kuidas seda registrit lugeda

See on teenuse formexposed isikuandmete töötlemise toimingute register IKÜM Art. 30 alusel. See ei ole privaatsuspoliitika ega turundus. Selle ülesanne on näidata järelevalveasutusele, meid volitatud töötlejana auditeerivale kliendile või järgmisele inimesele, kes peab küsimusele vastama, mida tegelikult töödeldakse, kus seda hoitakse, kes seda saab ja kui kaua see säilib. Avaldame selle, sest teenus, mis kontrollib ja jälgib vorme, peaks ise olema kontrollitav.

Selle koostamisel kehtisid kolm reeglit.

1. Mõõdetud, mitte kavatsetud. Väide andmeväljade, säilitamistähtaegade, vastuvõtjate või kaitsemeetmete kohta esineb ainult seal, kus seda toetab programmikood, andmebaasi skeem või mõõtmine. Kavandatut nimetatakse „kavandatud“. Vaikimisi välja lülitatut nimetatakse „vaikimisi välja lülitatud“. Kui me midagi tõendada ei saa, ütleme seda.
2. Säilitamine on esitatud kaks korda. Üks kord iga töötlemistoimingu juures ja üks kord jaos 6 üldpildina: milline öine käivitus kustutab millised andmed ja milliseid andmeid see ei hõlma. Register, mis väidab säilitamistähtaega, mis kehtib ainult osa andmete kohta, on halvem kui register, mis nimetab lahtise küsimuse.
3. Lahtised küsimused on esitatud tekstis, mitte joonealuses märkuses. Jaos 8.1 on loetletud meetmed, mida pole veel rakendatud, jaos 10 lahtised küsimused koos kavandatud meetmetega. Register on töövahend, mitte sertifikaat.

Andmeväljad tabelinimede asemel. Iga töötlemistoimingu kohta loetleme salvestatud andmed lihtsas keeles väljadena. Andmebaasi tabeli nimi järgneb sulgudes, et audiitor leiaks koha, näiteks „sisselogimiskatsed (login_attempts)“. Väljade loetelud on tuletatud andmebaasi skeemist, mitte mälu järgi.

Säilitamistähtajad kohatäitjatena. Kui säilitamistähtaega saab haldusalas seadistada, esineb see siin täpselt nii, nagu öine käivitus seda loeb: arv, mida näete, pärineb samast seadest, mis reguleerib kustutamist. Programmis fikseeritud säilitamistähtajad on esitatud arvudena.

Mõõtmise alus. Skeem, kood ja seaded mõõdeti 11. oktoobril 2026 arendussüsteemis, mis vastab koodi ja skeemi poolest tootmissüsteemile. Me ei esita arendussüsteemi ridade arvu; need sisaldavad testandmeid ega ütle tegeliku käitamise kohta midagi.

Teadlikult välja jäetud. See register ei nimeta meie serverite hostinimesid, sisevõrgu aadresse, porte, kasutajanimesid ega tarkvaraversioone. Sellised andmed aitavad ründajat ja mitte ühtegi andmesubjekti. Samal põhjusel kirjeldame oma serverite turvamise lahtisi küsimusi ainult üldsõnaliselt (jagu 8.1): nimetame riski, mitte teed selleni. Järelevalveasutusele esitame üksikasjad soovi korral.

Õiguslik olemus. See register on dokumentatsioon, mida peame IKÜM Art. 30 alusel järelevalveasutuse jaoks; see avaldatakse vabatahtlikult. See ei ole ühegi lepingu osa ega kujuta endast klientide ega kolmandate isikute suhtes kinnitust, garantiid ega kokkulepet kvaliteedi kohta. Seda, mida me klientidele võlgneme, reguleerivad kasutustingimused, andmetöötlusleping ja selle lisad; nende kohustuste osas on need selle registri suhtes ülimuslikud. Register kirjeldab olukorda selle versiooni kuupäeva seisuga. Liigitused nagu „lahtine küsimus“ või „hinnang“ väljendavad meie enda seisukohta ega eelda järelevalveasutuse või kohtu õiguslikku hinnangut; „kavandatud“ meetmed on kavatsused ilma kohustusliku kuupäevata.

2. Juriidiline isik ja miks sellel registril on kaks poolt

Väli	Kanne
Juriidiline isik	LW IT Solutions Company Lukas Wójcik, Poola äriregistris (CEIDG) registreeritud füüsilisest isikust ettevõtja; omanik Lukas Wójcik
Aadress	al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poola
Maksunumbrid	NIP 7252266190, käibemaksukohustuslase registreerimisnumber PL7252266190
Kontakt	contact@lukaswojcik.com; tugiaken (küsimärk navigeerimisribal); kontaktileht
Teenus	formexposed: veebisaitide kontaktivormide kontrollimine, jälgimine ja turvamine (rakendus aadressil formexposed.com, maandumisleht aadressil form.exposed)
Esindaja IKÜM Art. 27 alusel	Ei kohaldata. Juriidiline isik on asutatud liidus (Poolas).
Andmekaitseametnik	Ei ole määratud. Art. 37 kohane hinnang on jaos 9.
Pädev järelevalveasutus	Prezes Urzędu Ochrony Danych Osobowych (UODO, Poola andmekaitseasutus), ul. Moniuszki 1A, 00-014 Warszawa
Majutus	Meie oma serverid Poolas: üks veebiserver rakenduse ja andmebaasiga ning üks skanneriserver kohaliku keelemudeliga samas sisevõrgus. Ühtegi kolmanda isiku andmekeskust ega pilveteenuse pakkujat.

formexposed täidab eri isikurühmade suhtes erinevaid rolle. Nende segiajamine annab registri, mis ei ole õige mitte ühegi rühma jaoks.

• Vastutav töötleja (B-osa, Art. 30(1)). Oleme ise vastutav töötleja oma klientide ja nende meeskonnaliikmete andmete puhul (konto, sisselogimine, arveldamine, tugi, logid), meie enda veebisaidi külastajate puhul, ilma kontota tehtavate kontrollide puhul (tasuta kontroll, päiste tööriist, uuring, potentsiaalse kliendi kontroll) ja kuritarvitamise vältimisel.
• Volitatud töötleja (A-osa, Art. 30(2)). Kolmandate isikute isikuandmete puhul, mille klient teenusesse toob või mis tekivad, kui osutame kliendile teenust, tegutseme kliendi nimel: päris vormi e-kirjade koopiad kohaletoimetamise kontrollis, kliendi kliendiportaali tellijad, kliendi hoiatuste vastuvõtjad, kliendi kontrollitud lehtedel juhuslikult nähtavad inimesed, kliendi testkonto sisselogimisandmed ja vormi kood, mille klient sisse kleebib. Aluseks on andmetöötlusleping, mis sõlmitakse iga kliendiga registreerimisel.
• Ainult kliendi poolel. Mõned WordPressi plugina ja TYPO3 laienduse funktsioonid töötlevad andmeid eranditult kliendi veebisaidil, ilma et andmed kunagi meieni jõuaksid (karantiin, turvavõrk, aritmeetikamõistatus, säilitamisseaded, kohalikud loendurid, salvesti). Need ei ole meie tehtav töötlemine ja seetõttu ei esine need kummaski osas. Kirjeldame neid siiski A-osa lõpus, et piir oleks nähtav.

Eraldus on sisse ehitatud koodi, mitte ainult teksti: päris vormi e-kirjast kirjutab kohaletoimetamise kontroll andmebaasi ainult aja, seose ja autentimise tulemuse; brauserikontrollide ekraanipildid maskeerivad sisestusväljad; testkonto sisselogimisandmed krüpteeritakse nii, et veebiserver ei saa neid enam lugeda. Üksikasjad on esitatud kannetes.

Jaod 6–11 kehtivad mõlema poole kohta: säilitamine, automatiseeritud otsused, tehnilised ja korralduslikud meetmed, andmekaitseametnik, lahtised küsimused ja selle registri pidamine.

Kohaldamisala. See dokument on registri see osa, mis puudutab teenust formexposed. Sama juriidilise isiku tehtav töötlemine muude teenuste jaoks on kantud nende enda registritesse; üldine raamatupidamine ja äritegevuse korraldamine väljaspool teenust ei ole selle osaga hõlmatud.

3. A-osa – Art. 30(2): töötlemine klientide nimel

A.0 Osalised

Väli	Kanne
Volitatud töötleja	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poola; contact@lukaswojcik.com
Vastutavad töötlejad	Teenuse formexposed kliendid: ettevõtted ja agentuurid, kelle kontol on domeenid ja kes kasutavad funktsioone, mille käigus tekivad kolmandate isikute andmed. Agentuuride puhul võib vastutav töötleja olla lisaks agentuuri enda klient; agentuur tegutseb siis selle kliendi suhtes volitatud töötlejana ja meie täiendava volitatud töötlejana.
Vastutavate töötlejate loetelu	Selle registri osa, mida peetakse elektrooniliselt (IKÜM Art. 30(3)) teenuse süsteemis ja mida selles avalikus versioonis ei esitata, sest see sisaldab klientide isikuandmeid ja oleks iga uue kliendiga aegunud: iga tööruumi omanik koos nime, e-posti aadressi ja ettevõttega kliendikontolt (aadress ja käibemaksukohustuslase registreerimisnumber ainult Stripe’is) (users, workspaces, workspace_users) ning tööruumi domeenid (domains). Esitame selle järelevalveasutusele soovi korral väljavõttena.
Vastutavate töötlejate esindajad ja andmekaitseametnikud	Süsteemis ei ole selleks eraldi välja. Kui klient on määranud IKÜM Art. 27 kohase esindaja või andmekaitseametniku, võib ta neist meile teatada; hoiame teadet koos vastutavate töötlejate loeteluga.
Volitatud töötleja esindaja	Ei kohaldata (asutatud Poolas).
Andmekaitseametnik	Ei ole määratud (jagu 9).
Juhised	Juhis tuleneb andmetöötluslepingust ja kliendi tehtud seadetest: klient lülitab sisse kohaletoimetamise kontrolli, seadistab hoiatuste sihtkohad, salvestab testkonto ja seadistab kliendiportaali. Ilma selle toiminguta asjaomast töötlemist ei toimu.
Tehnilised ja korralduslikud meetmed	Iga A-osa töötlemistoimingu kohta kehtivad jagu 8 ja leht Tehnilised ja korralduslikud meetmed. Erimeetmed on märgitud asjaomases kandes.

A.1 Kohaletoimetamise kontroll – vormi e-kirjade kontrollkoopia

Väli	Kanne
Eesmärk	Kontrollimine, kas kliendi kontaktivormi e-kiri tegelikult saadetakse ja kuidas see on autenditud (SPF, DKIM, DMARC, joondus). Pärast aktsepteeritud aktiivset testsaatmist peab selle koopia jõudma kontrollpostkasti seadistatava ooteaja jooksul (praegu 3 tundi); vastasel juhul käivitub hoiatus „Testkirja ei saadud kätte“. Päistest tuletatakse ka vormi e-kirja autentsus, kasutatav e-posti teenus ja saatev aadress blokeerimisloendi kontrolli jaoks.
Eeltingimus	Tasuline pakett, kinnitatud domeen, kliendi poolt sisse lülitatud. Klient sisestab oma vormi teavitusse pimekoopiana oma kontrollaadressi koos tunnusega (kujul „delivery+tunnus@…“). Ilma seadistatud kontrollpostkastita funktsioon ei ole saadaval.
Andmesubjektide kategooriad	Kliendi veebisaidi külastajad, kes kliendi vormi saadavad; inimesed, kelle andmed külastaja sõnumisse kirjutab; kliendi töötajad, kes esinevad päistes vastuvõtjatena.
Isikuandmete kategooriad	Kontrollpostkastis (e-posti teenuse pakkuja juures): iga vormi e-kirja täielik koopia, sealhulgas päris päringud nime, e-posti aadressi, telefoninumbri ja vaba tekstiga, kuni kustutamiseni. Allalaadimisel loetakse: päised ja kõige rohkem sisu esimesed 8 KB. Andmebaasis: kättesaamise aeg, seos domeeniga ja vajaduse korral testkäivitusega (delivery_log); iga domeeni viimane autentimise tulemus koos SPF-, DKIM- ja DMARC-tulemuse, joonduse, saatja domeeni, allkirjastavate domeenide ja saatva meiliserveri aadressiga (domeeni autentimisväli tabelis domains). Sisu, teemat ega külastaja saatja aadressi andmebaasi ei kirjutata.
Märkus saatja domeeni kohta	Kui vorm sisestab saatjaks külastaja aadressi (väärseadistus, mille paljastamiseks kontroll on loodud), sisaldab autentimise tulemus selle aadressi domeeni, mitte aadressi ennast. Kui külastaja kasutab isiklikku domeeni, võib ka see olla isikuandmed. See kirjutatakse järgmisel kättesaamisel üle.
Allikas	Kliendi veebisaidil olev vorm kliendi sisestatud pimekoopia kaudu.
Õiguslik alus (määrab vastutav töötleja)	Määrab klient. Meie soovituslik tekst kliendi privaatsuspoliitika jaoks tugineb koopia puhul IKÜM Art. 6(1)(f) (õigustatud huvi päringute usaldusväärse kättesaamise vastu). Klient teavitab oma külastajaid sellest andmevoost; andmetöötlusleping kohustab teda seda tegema.
Vastuvõtjad	E-posti teenuse pakkuja, kes haldab kontrollpostkasti (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Koopia läheb otse sinna: see jõuab kohale ainult siis, kui meie domeeni MX-kirjed osutavad sellele postkastile (seda kontrollib käivituseelne kontroll-loend); edasisuunamise kaudu postkasti ei jõua. Domeeni lehel näeb klient ainult aega, seost ja autentimise tulemust. Kui autentimise tulemus halveneb, nimetab hoiatus kliendile ja tema valitud kanalitele saatja domeeni, kui see ei kuulu veebisaidile (A.3, 4.1).
Kolmas riik	Sõltub e-posti teenuse pakkujast; vt jagu 4. Leping kavandatud teenuseosutajaga ja edastamise alus ei ole veel dokumenteeritud.
Säilitamine	Pärast edukat töötlemist märgitakse e-kiri kustutamiseks ja eemaldatakse postkastist samal käivitusel, ka siis, kui seda ei saa ühegi domeeniga seostada. Allalaadimine toimub koos olekukäivitusega iga viie minuti järel, kui jälgimine on haldusalas sisse lülitatud (srv/cron_status.php, cfg/zustellung_lib.php). Kui allalaadimine või kustutamine ebaõnnestub, jääb e-kiri postkasti kuni järgmise eduka käivituseni. Sama allalaadimine kustutab seosed tabelis delivery_log 180 päeva pärast. Autentimise tulemus elab sama kaua kui domeen.
Mida tõend tõendab	Ainult konkreetse testkäivitusega seotud koopia kättesaamist kontrollpostkastis. See ei tõenda kättesaamist tegeliku vastuvõtja poolt ega kirjet CRM-is. HubSpoti omakinnitust ei pakuta.
Tehnilised ja korralduslikud meetmed	Jagu 8. Eelkõige: sisu hinnatakse ainult mälus; sisu, teemat ega täielikke saatja aadresse ei salvestata; kustutamine sõltumata sellest, kas seostamine õnnestus.

Kohaletoimetamise kontroll on ainus funktsioon, mille kaudu jõuavad meieni meie klientide külastajate päris sõnumid. Seetõttu on see töötlemine kliendi nimel, mitte teenus meie enda vastutusel, ja seetõttu on postkastis veedetud aeg tegelik riski mõõt: tavaliselt minutid; kui allalaadimine on häiritud, kuni see uuesti käivitub. Koopiad ei tohiks sisaldada eriliiki isikuandmeid; me ei saa seda tehniliselt takistada, sest see, mida külastaja kirjutab, on külastaja otsustada.

A.2 Kliendiportaal ja igakuine aruanne tellijatele

Väli	Kanne
Eesmärk	Agentuur (Business-pakett) näitab oma klientidele nende domeenide olekut oma kaubamärgi all (portaal juhuslikul aadressil, valikuliselt parooliga, valikuliselt agentuuri enda alamdomeeni all). Klient saab seal tellida igakuise aruande e-kirjaga. Aruanne saadetakse agentuuri nimel.
Andmesubjektide kategooriad	Agentuuri kliendid ja nende töötajad, kes aruande tellivad; inimesed, kes portaali avavad.
Isikuandmete kategooriad	Tellija: e-posti aadress, keel, kinnitustunnus, tellimise aeg ja IP-aadress tellimise ajal, kinnitamise aeg (topeltkinnitus), tellimusest loobumise aeg, viimane saadetud kuu (client_subscribers). Portaal: nimi, domeenide valik, juhuslik tunnus, parool ainult räsina, looja, aeg, tühistamine (client_portals). Portaali külastused ilmuvad lehevaatamiste logis (B.2).
Allikas	Tellijad sisestavad ise portaalis.
Õiguslik alus (määrab vastutav töötleja)	Tellija nõusolek, mis saadakse topeltkinnituse menetlusega; vastutav töötleja on agentuur. Me ei kirjuta kellelegi, kes ei ole ise registreerunud ega kinnitanud.
Vastuvõtjad	Agentuur (näeb oma tellijaid); e-posti teenuse pakkuja (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) kinnituskirja ja aruande jaoks.
Kolmas riik	E-posti teenuse pakkuja kaudu; vt jagu 4.
Säilitamine	Öine kustutamiskäivitus (cfg/fristen_lib.php, osa „portaali tellijad“): kunagi kinnitamata tellimused 30 päeva pärast; tellimusest loobunud tellijad kolm aastat pärast loobumist varasema nõusoleku tõendina. Kinnitatud tellijad, kes ei ole loobunud, jäävad alles seni, kuni agentuuri tööruum on olemas. Tühistatud portaal ainult blokeeritakse, mitte ei kustutata; selle tellijad ei saa enam aruandeid, kuid nende andmed jäävad alles (jagu 10). Portaalid ja tellijad kustuvad koos tööruumiga viivitamata (fe_arbeitsbereich_daten_loeschen()). Saadetud aruanded jäävad väljuvate kirjade kausta 30 päevaks (B.25).
Tehnilised ja korralduslikud meetmed	Jagu 8. Eelkõige: portaali parool ainult räsina, arvamiskatsed piiratud (kümme portaali ja IP-aadressi kohta, 50 portaali kohta 15 minuti jooksul); ühe klõpsuga tellimusest loobumine igas e-kirjas; portaal näitab ainult olekut ja põhinäitajaid, mitte üksikuid tähelepanekuid koos tõenditega.

A.3 Kliendi hoiatuste vastuvõtjad, kinnitajad ja vastutajad

Väli	Kanne
Eesmärk	Teavitused tõrgetest ja muudatustest sihtkohtadesse, mille klient domeeni jaoks seadistab: e-post, veebihaak, Slack, Discord, Microsoft Teams, Google Chat, Telegram. Iga sihtkoha kohta kohe või kogutuna iga päev või iga nädal, lisaks sihtkohad ainult eskaleerimiste jaoks. Iga probleemiteavitus muutub intsidendiks, mida vastuvõtja saab lingi kaudu kinnitada. Jälgitavate vormide puhul saab klient määrata vastutava isiku ja tähtaja.
Andmesubjektide kategooriad	Kliendi töötajad ja teenuseosutajad, kelle klient sisestab hoiatuste sihtkohaks või nimetab vastutajaks; inimesed, kes intsidendi kinnitavad. Oma kontoga meeskonnaliikmed esinevad ka B-osas.
Isikuandmete kategooriad	Hoiatuse sihtkoht: kanal, sihtaadress (e-posti aadress, veebihaagi või vestluse aadress, Telegrami vestluse ID), valitud sündmused, edastusviis, veebihaakide allkirjastamise saladus, viimane edastamine ja viimane viga (alerts). Saatmislogi: sihtkoht, sündmused, olek, viga, aeg (alert_log). Kokkuvõtete järjekord: teavituse read ja link kuni edastamiseni (alert_queue). Intsident: pealkiri, teavituse read, link, kinnitustunnus, aeg ning kinnitanud isiku nimi või e-posti aadress nii, nagu see vormi sisestati, muidu sisselogitud liikme aadress (alert_incidents). Eskaleerimise kohaletoimetamiskatsed intsidendi ja sihtkoha kohta: katsete arv (kõige rohkem viis), viimase ja järgmise katse ning õnnestumise ajad, viide e-kirjale väljuvate kirjade kaustas, viga (tabel alert_escalation_deliveries). Määramine: vastutava isiku konto ja tähtaeg (tabelis monitored_forms).
Teavituste sisu	Domeen, sündmus, lühike selgitus ja link domeeni lehele. Külastajate sõnumite sisu mitte.
Allikas	Sisestab klient; kinnitav isik sisestab oma nime ise; Telegrami vestluse ID tekib, kui vastuvõtja vajutab botis „Start“ (B.32).
Õiguslik alus (määrab vastutav töötleja)	Määrab klient; reeglina kliendi enda tegevuse korraldamine (IKÜM Art. 6(1)(b) või (f) seoses kliendi töötajate ja teenuseosutajatega).
Vastuvõtjad	Valitud kanalite haldajad; vt 4.1. E-posti hoiatused e-posti teenuse pakkuja (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) kaudu.
Kolmas riik	Sõltuvalt valitud kanalist; mitu teenuseosutajat asub USA-s, Telegram väljaspool ELi ilma kaitse piisavuse otsuseta. Vt 4.1.
Säilitamine	Saatmislogi 90 päeva pärast (igal ööl, fe_alert_log_aufraeumen() failist srv/cron_status.php). Kokkuvõtte teavitused 30 päeva pärast edastamist (cfg/kanal_lib.php, iga kokkuvõtte edastamisel). Intsidendid lahendamata olekus; lahendatud intsidendid 180 päeva pärast lahendamist (cfg/vorfall_lib.php, eskaleerimiskäivitus) koos nende eskaleerimise kohaletoimetamiskatsetega. Hoiatuste sihtkohad ja määramised kuni kliendi poolt kustutamiseni või koos domeeniga.
Tehnilised ja korralduslikud meetmed	Jagu 8. Eelkõige: veebihaagid allkirjastatakse iga sihtkoha jaoks eraldi saladusega; kinnitamine ainult pärast klõpsu (POST), et vestlusprogrammide lingieelvaated midagi ei käivitaks; hooldusakna ajal hoiatused ainult logitakse, mitte ei saadeta.

A.4 Kontrollitud kliendilehtedel ja ekraanipiltidel juhuslikult nähtavad inimesed

Väli	Kanne
Eesmärk	Kliendi kontol olevate domeenide kontrollimine (skannimine, jälgimine, aktiivne kontroll) loeb kliendi avalikke lehti ja teeb vormidest ekraanipilte. See, mida leht ise kuvab, võib puudutada inimesi, kellel pole kontrolliga mingit pistmist. Need andmed tekivad juhuslikult; need ei ole kontrolli eesmärk.
Andmesubjektide kategooriad	Inimesed, kelle nimi, foto või kontaktandmed esinevad kontrollitud lehel (kontaktisik vormi kõrval, meeskonnafotod avalehel, ettevõtte andmed).
Isikuandmete kategooriad	Ekraanipildid: avalehe nähtav ala, iga nähtav vorm väljalõikena ja jätkulehe pilt pärast aktiivset testsaatmist; salvestatakse failidena väljaspool veebikataloogi, andmebaasis on ainult viide (scan_screenshots). Vormi struktuur: lehe aadress, selektor, väljade nimed, väljade tüübid, väljade sildid, kohustuslikkuse ja nähtavuse lipud, saatmisnuppude sildid (forms, väli „väljade kaart“); mitte väljade väärtusi. Skanner loeb peidetud väljade (kuni 24 tähemärki) ja data-atribuutide (kuni 60 tähemärki) algust ainult kontrolli ajal, et tuvastada ajatemplid ja tokenid; salvestatakse ainult tulemus. Tähelepanekud koos tõenditega (findings), kokkuvõte koos lehtede pealkirjadega (scans). Kui vormis esineb vastuvõtjana e-posti aadress, salvestatakse ainult selle domeen, mitte kunagi aadress.
Allikas	Kliendi domeeni avalikud lehed, mille skanner laadib.
Õiguslik alus (määrab vastutav töötleja)	Kliendi enda veebisaidi sisu puhul määrab klient. Meie jaoks on töötlemine tellitud kontrolli osa.
Vastuvõtjad	Klient; agentuuride puhul nende klient portaali või white-label aruande kaudu; igaüks, kes saab aruande lingi (aruanded juhuslikel aadressidel, mitte otsingumootorites). Kui vormi tüüp on ebaselge, saab meie oma serveris töötav kohalik keelemudel liigitamiseks vormi struktuuri koos lehe pealkirja, lehe aadressi ja vormi nähtava tekstiga (kuni 400 tähemärki); pilte see ei saa.
Kolmas riik	Puudub.
Säilitamine	Domeeni kontrolli tulemused kõige rohkem 13 kuud; iga domeeni viimane lõpetatud kontroll jääb alles (öine kustutamiskäivitus, osa „vanad kontrollitulemused“). Vormid, tähelepanekud, pildiviited ja pildifailid kustuvad koos kontrollitulemusega. Koos domeeniga kustuvad need andmed viivitamata (kustutamisahel punktis B.15; erandid jaos 6.4).
Maskeerimise piirid	Täieliku kontrolli ekraanipildid ei maskeeri midagi: need näitavad seda, mida leht igale külastajale näitab. Vormiväljad on laadimisel tühjad, sest skanner ei sisesta midagi; eeltäidetud väärtused oleksid nähtavad. Sisselogimise taga ekraanipilte ei tehta (A.5). Brauserikontrollide pildid maskeerivad sisestusväljad (A.6).
Tehnilised ja korralduslikud meetmed	Jagu 8. Eelkõige: pilte saab vaadata ainult aruande kaudu ja kellegi teise pildi tunnus annab vastuse „ei leitud“; aruanded noindex-märgisega; iga kontroll töötab oma isoleeritud konteineris.

Samad andmed tekivad ilma kontota tehtavates kontrollides (tasuta kontroll, uuring, potentsiaalse kliendi kontroll). Seal ei ole klienti, kelle nimel me tegutseksime; seetõttu esinevad need juhtumid B-osas (B.5, B.7, B.8).

A.5 Testkonto sisselogimisandmed sisselogimise taguse ala skannimiseks

Väli	Kanne
Eesmärk	Vormide lugemine, mis ilmuvad alles pärast sisselogimist (kliendiala, liikmete ala). Skanner logib sisse testkontoga, mille klient on oma veebisaidil loonud, ja loeb määratud lehti. Peale sisselogimisvormi ei saada see midagi, ei tee seal aktiivset testi, ei tee ekraanipilte ega külasta väljalogimise, kustutamise või tühistamise aadresse. Kui sisselogimisvormil on CAPTCHA, see peatub; CAPTCHA-dest ei minda mööda.
Eeltingimus	Kinnitatud domeen, tasuline pakett, omaniku või administraatori roll, sõnaselge kinnitus, et konto on testkonto. Kõige rohkem viis lehte, kõik samas domeenis.
Andmesubjektide kategooriad	Isik, kelle nimel testkonto on (ideaaljuhul mitte keegi; klient peaks kasutama funktsionaalset kontot); inimesed, kelle andmed esinevad sisselogimise taga olevatel lehtedel.
Isikuandmete kategooriad	Testkonto kasutajanimi ja parool, ainult krüpteeritult; vihje kasutajanime kohta (esimene märk ja pikkus); sisselogimisaadress, lehtede loetelu, sisselogimisväljade nimed, edukuse indikaator, looja, ajad, viimane tulemus lühikoodina (domain_logins). Käimasoleva töö puhul šifrteksti koopia (väli „sisselogimispakett“ tabelis scan_jobs). Sisselogimise taga olevatelt lehtedelt: vormi struktuur nagu punktis A.4, ilma ekraanipiltide ja küpsisteta.
Allikas	Sisestab klient kontol.
Õiguslik alus (määrab vastutav töötleja)	Määrab klient. Klient kinnitab, et tal on õigus testkontot kasutada.
Vastuvõtjad	Puuduvad. Sisselogimisandmeid ei saa välja lugeda ei klient, tugi ega programmeerimisliides; liides näitab ainult kasutajanime vihjet.
Kolmas riik	Puudub.
Sisselogimisandmete kaitse	Kasutajanimi ja parool krüpteeritakse salvestamisel kohe skanneriserveri avaliku võtmega (X25519, HKDF-SHA256, AES-256-GCM; domeen on seotud seotud andmetena, nii et šifrteksti ei saa lisada teisele domeenile). Privaatvõti on ainult skanneriserveril. Veebiserver, andmebaas ja varukoopiad sisaldavad ainult šifrteksti; ka meie ei saa seda seal dekrüpteerida. Skanneriserver dekrüpteerib ainult käivituse ajaks, edastab sisselogimisandmed isoleeritud kontrollikonteinerisse ainult standardsisendi kaudu, kustutab töös oleva koopia kohe ega kirjuta neid ühtegi tulemusse, logisse ega veateksti. Teel kliendi veebisaidile kaitseb neid ainult selle veebisaidi krüpteerimine; selle edastuse piirid on esitatud jaos 10.
Säilitamine	Salvestatud sisselogimisandmed kuni kliendi poolt kustutamiseni. Kustutamisel kirjutatakse šifrtekst üle sama pikkusega juhuslike andmetega ja rida kustutatakse; ootel tööd tühjendatakse (fe_login_loeschen()). Koos domeeniga kustub rida võõrvõtme kaudu. Skanneriserver tühjendab töödes olevad koopiad pärast käivitust; kõik allesjäänu (töö katkestatud, skanneriserver maas) tühjendab olekukäivitus hiljemalt ühe tunni pärast (fe_login_aufraeumen(), osa „login_jobs“). Andmebaasi varukoopiad sisaldavad šifrteksti kuni varukoopia aegumiseni 14 päeva pärast.
Tehnilised ja korralduslikud meetmed	Jagu 8. Eelkõige: asümmeetriline krüpteerimine eraldi võtmetega; väljalogimise ja kustutamise teede blokeerimisloend; sisselogimise taga ekraanipilte ei tehta; funktsioon ainult tasulistele pakettidele ja kinnitatud domeenidele; iga muudatus tegevuslogis (ilma sisselogimisandmeteta).

Me ei ole teadlikult loonud võimalust salvestada sisselogimisandmeid kliendi serveri, sisuhaldussüsteemi haldusala või majutuskontode jaoks. Testkonto on külastajakonto kliendi veebisaidil, mitte juurdepääs kliendi süsteemile.

A.6 Seadistatud vormiteekonnad, brauserikontrollid ja sõltumatu sond

Väli	Kanne
Eesmärk	Jälgitav vorm läbitakse päris brauseris (Chromium, WebKit või mõlemad) kuni hetkeni vahetult enne saatmist: lehe laadimine, eelnevate klõpsude tegemine (kõige rohkem viis, mitte kunagi sisestusväljal ega saatmisnupul), väljade täitmine äratuntavalt sünteetiliste väärtustega (näiteks aadress reserveeritud lõpuga .invalid), mitmeastmeliste vormide edasiliikumine. Brauserikontroll ei saada midagi; saatmine on brauseris tehniliselt blokeeritud. Lisaks vormi ajastusmõõtmised ja visuaalsed võrdlused.
Andmesubjektide kategooriad	Nagu A.4 (vormilehel nähtavad inimesed); vastutajateks sisestatud kliendi töötajad (A.3).
Isikuandmete kategooriad	Seadistus: vormi aadress, selektorid, sisenemisaadress, klõpsusammud, brauseri valik, silt, kriitilisus, määramine, tähtaeg (monitored_forms). Tulemused käivituse kohta: olek, tehniline tõrke põhjus, puhastatud veateated, võrgu- ja ajastusmõõtmised, vormi pilt JPEG-vormingus kuni 32 KB maskeeritud sisestusväljadega (form_browser_runs). Tähelepanekud kontrolli kohta (form_observations), aegread (form_performance). Tööd koos sihtmärkide loeteluga (väljad „sihtmärgid“ ja „tulemus“ tabelis scan_jobs).
Testjuurdepääs	Kui klient on salvestanud testkonto (A.5), kasutab täielik kontroll seda ka seadistatud vormiteekondade jaoks. Mõõdetud koodi järgi töötavad kahe täieliku kontrolli vahel tehtavad iseseisvad brauserikontrollid ilma testkontota.
Sõltumatu sond	Ette on nähtud teine kontrollpunkt teises asukohas, mis teeks enne hoiatust ristkontrolli. See saaks domeeni, puhastatud seadistuse ja töö tunnuse, mitte külastajate sisestusi ega sisselogimisandmeid. See ei ole praegu seadistatud (vaikimisi välja lülitatud). Ilma sondita puudub tõend teisest asukohast; hoiatus põhineb siis meie enda mõõtmisel.
Allikas	Seadistab klient; tulemused kliendi lehe laadimisest.
Õiguslik alus (määrab vastutav töötleja)	Määrab klient oma veebisaidi sisu ja oma töötajate vastutusalade osas.
Vastuvõtjad	Klient; kui sond on seadistatud, selle haldaja (praegu mitte keegi).
Kolmas riik	Puudub.
Säilitamine	Brauserikäivituste tulemused, lõpetatud brauseritööd ja aegread 13 kuu pärast (öine kustutamiskäivitus, osad „browser_runs“, „browser_jobs“, „form_performance“). Seadistused kuni domeeni kustutamiseni (ükshaaval saab neid muuta või välja lülitada, mitte kustutada); koos domeeniga kustuvad need koos käivituste, tähelepanekute ja aegridadega võõrvõtmete kaudu.
Mida mõõtmine tõendab	Meie kontrollibrauseri ajad ja olekud. Need ei mõõda, mida tõelised külastajad kogevad, ega tõenda täitmismäärasid ega kaotatud päringuid.
Tehnilised ja korralduslikud meetmed	Jagu 8. Eelkõige: saatmine on tehniliselt takistatud; ainult sama domeeni aadressid; maskeeritud pildid; isoleeritud kontrollikonteiner.

A.7 „Fix it for me“ – sisse kleebitud vormi kood

Väli	Kanne
Eesmärk	Klient kleebib sisse oma vormi koodi; meie enda riistvaras töötav keelemudel ehitab sisse kaitsemooduli. Tagasi tuleb muudetud fail, paik, süntaksikontrolli tulemus ja märge selle kohta, kas kontrollikutse on tegelikult sisse ehitatud. Ilma sisse kleebitud koodita pakub teenus valmis moodulit viimase skannimise väljade nimedega.
Andmesubjektide kategooriad	Inimesed, kelle andmed juhtuvad olema sisse kleebitud koodis (näiteks vastuvõtja aadress, nimed kommentaarides, meiliserveri sisselogimisandmed).
Isikuandmete kategooriad	Sisse kleebitud kood, kõige rohkem 30 000 tähemärki. Andmebaasis ainult kanne tegevuslogis (toiming „fix_ai“ koos tööruumi ja ajaga), mis arvestatakse päevase piirangu hulka, milleks on praegu kümme kutset tööruumi kohta.
Allikas	Kleebib sisse klient.
Õiguslik alus	Kliendiga sõlmitud lepingu täitmine (IKÜM Art. 6(1)(b)) koodi enda osas; selles juhuslikult sisalduvate kolmandate isikute andmete puhul määrab aluse klient.
Vastuvõtjad	Puuduvad. Keelemudel töötab meie oma skanneriserveris sisevõrgus; välist tehisintellekti teenust ei kasutata, isegi mitte varuvariandina.
Kolmas riik	Puudub.
Säilitamine	Koodi ei salvestata. Süntaksikontrolli jaoks luuakse ajutine fail, mis kustutatakse kohe pärast seda. Tegevuslogi kanne kustutatakse 365 päeva pärast.
Märkus kliendile	Paroole, API-võtmeid või isikuandmeid sisaldav kood tuleks enne sisse kleepimist puhastada. Me ei kontrolli sisu.
Tehnilised ja korralduslikud meetmed	Jagu 8. Eelkõige: ainult tasuliste pakettide omanikud ja administraatorid; sisse kleebitud kood antakse mudelile andmetena märgistatult ja seda ei käivitata kunagi; üleslaadimist kolmandate isikute serveritesse ei toimu.

A.8 White-label kaubamärk ja agentuuri kontaktisikud

Väli	Kanne
Eesmärk	Agentuuri (Business-pakett) aruanded, lühiaruanded, tõendilogid ja kliendiportaal ilmuvad tema kaubamärgi all, soovi korral agentuuri enda alamdomeeni all.
Andmesubjektide kategooriad	Agentuuri kontaktisikud, kelle nimi või kontaktandmed ilmuvad kontaktireal.
Isikuandmete kategooriad	Ettevõtte nimi, veebisait, kontaktirida, märkus kliendile, rõhuvärv, välimus, logofail, lüliti viitele teenusele formexposed, oma domeen koos kinnitustunnuse ja kinnitamise olekuga (workspace_branding).
Allikas	Sisestab agentuur.
Õiguslik alus	Agentuuriga sõlmitud lepingu täitmine (IKÜM Art. 6(1)(b)). Kui kontaktirida nimetab agentuuri töötajaid, määrab aluse agentuur.
Vastuvõtjad	Igaüks, kellele agentuur annab aruande, lühiaruande või portaali lingi.
Kolmas riik	Puudub.
Säilitamine	Kuni agentuur seda muudab; kaubamärk ja logofail kustuvad koos tööruumiga (fe_arbeitsbereich_daten_loeschen()). Oma domeen, mille DNS-kinnitamine ebaõnnestub seitse päeva, lülitatakse välja. Oma domeen on vaikimisi välja lülitatud.
Tehnilised ja korralduslikud meetmed	Jagu 8.

A.9 Plugina ja laienduse loendused, olekunäitajad ja väljavead

Väli	Kanne
Eesmärk	Kord päevas teatavad WordPressi plugin ja TYPO3 laiendus ühendatud veebisaidi vormide kohta arve: blokeeritud saatmised põhjuste kaupa, saatmised, saadetud ja ebaõnnestunud e-kirjad, vormi seadete olekunäitajad, salvestatud päringud allika ja säilitamistähtaja kaupa. Valikuliselt, vaikimisi välja lülitatud: vormisündmused ja väljavigade kategooriad välja asukoha kaupa. Nende arvude põhjal koostatakse „Kaitse arvudes“, igakuine aruanne, vaikushoiatus ja märkused riskantsete seadete kohta.
Liigitus	Arvud on loodud nii, et need ei kirjelda ühtegi isikut. Loetleme need A-osas, sest need tekivad kliendi veebisaidil toimuvatest sündmustest, mille käivitavad kliendi külastajad; meie hinnangul on need isikuandmed kõige rohkem piirjuhtudel (veebisait, kus on konkreetsel päeval väga vähe saatmisi). Edastamine ise (võtmed, versioonid, host) on B-osas (B.20).
Andmesubjektide kategooriad	Kliendi veebisaidi külastajad, kes saadavad vormi.
Isikuandmete kategooriad	Päevased arvud hosti kohta: blokeeritud kokku ja põhjuste kaupa, saatmised, saadetud ja ebaõnnestunud e-kirjad, e-kirjade saatmise veakategooria (ainult üks neljast kategooriast, mitte kunagi veatekst, sest see võib sisaldada vastuvõtjate aadresse), reCAPTCHA vastuste arvud, kustutatud ja vabastatud päringud (plugin_stats). Olek: vormi-, CAPTCHA- ja e-posti pluginate versioonid kindlast loetelust, seadete näitajad arvudena, säilitamistähtajad (plugin_health). Muudatusteated: uuendatud plugina nimi ja versioon (plugin_changes). Valikuliselt: loendurid vormi ja päeva kohta koos väljavigade kategooriatega välja asukoha kaupa (form_metrics). Mitte kunagi: külastajate sisestusi, väljade nimesid, paroole, faile, e-posti aadresse, nimesid, IP-aadresse ega püsivaid tunnuseid.
Allikas	Plugin kliendi veebisaidil programmeerimisliidese kaudu veebisaidi ühendussaladust kasutades.
Õiguslik alus (määrab vastutav töötleja)	Määrab klient; klient otsustab, kas aktiveerida valikulised loendused ja kuidas oma külastajaid teavitada.
Vastuvõtjad	Klient. Blokeeritud sõnumite linkide domeenid lähevad parvekaitsesse (B.21).
Kolmas riik	Puudub.
Säilitamine	Päevased arvud, muudatusteated ja vormiloendurid 13 kuu pärast (öine kustutamiskäivitus, osad „plugin_stats“ ja „form_metrics“). Olekunäitajad kirjutatakse iga teatega üle. Kõik hosti pluginaandmed kustuvad niipea, kui ükski süsteemis olev domeen sellele hostile enam ei viita (viimase domeeni kustutamisel viivitamata; pärandandmed igal ööl, osa „orphan_hosts“).
Mida arvud tõendavad	Seda, mida plugin loendas. Need ei tõenda täitmismäärasid ega kaotatud päringuid.
Tehnilised ja korralduslikud meetmed	Jagu 8. Eelkõige: vastuvõtmine ainult veebisaidiga seotud võtmepaariga; aktsepteeritakse ainult teadaolevaid võtmeid ja arve, kõik muu visatakse ära; 14-päevasest aknast väljapoole jäävad päevad lükatakse tagasi.

A.10 Piir: mis jääb ainult kliendi veebisaidile

Järgmised WordPressi plugina ja TYPO3 laienduse funktsioonid töötlevad andmeid eranditult kliendi serveris. Need ei jõua meieni ja meil puudub neile juurdepääs. Vastutab ainult veebisaidi haldaja; haldaja otsustab aktiveerimise, säilitamistähtaegade ja oma külastajate teavitamise üle. Selleks pakub plugin haldaja privaatsuspoliitika jaoks soovituslikke lõike.

Funktsioon	Mida töödeldakse kohapeal	Säilitamine kliendi poolel
Karantiin	Peatatud saatmised koos põhjusega, vabastatavad e-kirjaga veebisaidi aadressile	14 päeva
Turvavõrk	Saatmised, mille vormi e-kiri ebaõnnestus, uuesti saatmiseks (vaikimisi sisse lülitatud)	30 päeva
Aritmeetikamõistatus reCAPTCHA asemel	Arvutusülesanne külastaja brauseris, ilma kolmanda isiku teenuseta (vaikimisi välja lülitatud)	–
Säilitamisseaded	Vormipluginates salvestatud päringute kustutamine pärast haldaja valitud tähtaega (vaikimisi välja lülitatud)	vastavalt seadistusele
Päringusageduse piiramine	IP-aadressist tuletatud lühiajaline tunnus, mida meile ei edastata	lühiajaline
Kohalikud päevaloendurid	Loendurite väärtused enne edastamist	kõige rohkem 14 päeva
Salvesti administraatoritele	tehnilised selektorid ja navigeerimissammud sisselogitud administraatori brauseri seansimälus; sisestusi ei loeta. Edastatakse ainult valitud seadistus (siis A.6)	kõige rohkem 15 minutit
Külastajaabi	saab eraldi aktiveerida; ei salvesta mustandeid ega saada automaatselt uuesti	–
Uute rämpspostireeglite jälgimine	täiendavaid tabamusi loetakse kohapeal, ilma automaatse aktiveerimiseta	seitse päeva

A.11 Vormikaitse (formconfirmed)

Väli	Kanne
Eesmärk	Klientide veebisaitidel olevate vormide kaudu tehtud saatmiste hindamine automatiseeritud saatmiste tuvastamiseks: ülesannete väljastamine ja kontrollimine (töötõend), ühekordsed kontrollitõendid, täitmisaeg, lõksuväli, korduvad päringud; kliendi soovil sõnumi teksti hindamine keelemudeli abil. Ainult klientidele, kes lülitavad vormikaitse sisse.
Andmesubjektide kategooriad	Klientide veebisaitide külastajad, kes avavad kaitstud vormiga lehe või saadavad selle vormi.
Isikuandmete kategooriad	IP-aadress (salvestatakse ainult kärbitult ja iga päev vahetuva võtmega räsitult), lehe aadress ja domeen, ajahetked ja täitmisaeg, lõksuväli täidetud jah/ei, brauseri tunnus veebiserveri logis; ainult sisselülitatud sisukontrolli korral sõnumi tekst (ainult mälus).
Allikas	Külastaja brauser (ülesanne, kontrollitõend); kliendi server (kontrollipäring, vajaduse korral tekst).
Vastuvõtjad	Klient (skoor, toiming, põhjused). Teisi ei ole; selle töötlemise jaoks alamtöötlejaid ei ole.
Kolmas riik	Puudub.
Säilitamine	Räsitud tunnus 1 tund; kasutatud kontrollitõendid kõige rohkem 11 minutit; kontrollitulemused ilma IP-aadressi ja tekstita 30 päeva; päevased arvud 400 päeva; veebiserveri logi 14 päeva; teksti ei salvestata.
TKM	Jaotis 8; lisaks kärpimine ja räsimine päevavõtmega, allkirjastatud ülesanded, ühekordne kasutamine, keelemudel meie oma riistvaral ilma teksti logimiseta.

4. A-osa – vastuvõtjad, alamtöötlejad ja edastamine kolmandatesse riikidesse

Järgmises tabelis on loetletud vastuvõtjad, keda me ise kaasame ja kes võivad saada A-osa andmeid. Määrav, pidevalt ajakohastatav loetelu on leht Alamtöötlejad; kui see erineb sellest tabelist, on see tähelepanek, mitte vorminduse küsimus.

Vastuvõtja	Mida see saab	Kolmas riik	Alus	Olek
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Kohaletoimetamise kontrolli kontrollpostkast (A.1); hoiatuskirjade (A.3), kinnituste ja portaali tellijatele mõeldud aruannete saatmine (A.2)	Töötlemise koht on veel kontrollimisel; vt leht „Alamtöötlejad“	Andmetöötlusleping; edastamise alus on veel kontrollimisel	Lahtine. Asjaomane leping, tegelikud töötlemiskohad ja edastamise alus ei ole veel dokumenteeritud. See register ei kinnita sertifitseerimist ega sõlmitud lepingut.
Namecheap, Inc. (registripidaja, DNS; e-kirjade edasisuunamine kuni postkasti seadistamiseni)	Kuni postkasti seadistamiseni meie domeeni aadressidele saabuv üldine post; mitte kohaletoimetamise kontrolli koopiad, mis jõuavad kohale ainult otse postkastile osutavate MX-kirjetega (A.1)	USA	kontrollimisel: ELi-USA andmekaitseraamistiku kohane sertifikaat või lepingu tüüptingimused	Kasutusel; alus lahtine.
Meie oma skanneriserver kohaliku keelemudeliga	Vormi struktuur liigitamiseks (A.4), sisse kleebitud kood (A.7), dekrüpteeritud testjuurdepääs ainult käivituse ajal (A.5)	–	Käitame ise, mitte kolmas isik	Kasutusel.
Sõltumatu sond teises asukohas	Domeen, puhastatud seadistus, töö tunnus (A.6)	sõltuvalt asukohast	määratakse enne kasutuselevõttu	Ei ole seadistatud.

Majutus: kolmandat isikut ei ole. Rakendust, andmebaasi, ekraanipilte ja varukoopiaid hoitakse meie oma serverites Poolas. Kui kolime andmekeskusesse või pilveteenuse pakkuja juurde, tuleb see lõik ümber kirjutada.

4.1 Kliendi valitud hoiatuskanalid

Lisaks meie kaasatud vastuvõtjatele on kanaleid, mille klient oma hoiatuste jaoks valib (A.3). Edastamise käivitab meie server; sihtkoha ja teenuseosutaja määrab klient. Kanali valimine ei vabasta meid meie enda kohustustest volitatud töötlejana. Roll, leping ja kolmandate riikide puhul nõutavad kaitsemeetmed tuleb määrata iga teenuseosutaja kohta; vestlusteenuste puhul ei ole see veel lõpule viidud (lahtine küsimus õigusliku ülevaatuse jaoks).

Kanal	Mida saadetakse	Teenuseosutaja asukoht
E-post	Domeen, sündmus, selgitus, link; sisestatud aadressile	teenuse Namecheap, Inc. (Private Email), Phoenix, Arizona, USA kaudu
Veebihaak vabalt valitud aadressile	Sündmus JSON-vormingus (domeen, sündmused, read, link, ajatempel), allkirjastatud sihtkoha saladusega	määrab klient
Slack, Discord, Microsoft Teams, Google Chat	sama teavitus vestlussõnumina sisestatud veebihaagi aadressile	valdavalt USA
Telegram	kliendi valitud sihtkoht; saadame sõnumi oma boti kaudu seotud vestluse ID-le	väljaspool ELi, kaitse piisavuse otsust ei ole; edastamise alus on lahtine küsimus õigusliku ülevaatuse jaoks

Mitte ühelgi juhul ei saadeta külastaja sõnumi sisu. Teavitused sisaldavad domeeni, sündmust ja linki.

5. B-osa – Art. 30(1): töötlemine meie enda vastutusel

Kõige selle osa puhul on vastutav töötleja LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poola, contact@lukaswojcik.com. Esindaja ei ole nõutav (asutatud liidus). Andmekaitseametnikku ei ole määratud (jagu 9). Tehnilised ja korralduslikud meetmed: jagu 8 ja leht Tehnilised ja korralduslikud meetmed. Kuidas andmesubjektid oma õigusi kasutavad, on kirjeldatud lehel Juurdepääs, kustutamine ja teie muud õigused; kontoomanikud saavad oma andmed ise failina alla laadida (Seaded).

Kui tugineme õigustatud huvile (IKÜM Art. 6(1)(f)), nimetame huvi ja põhjuse, miks vähem sekkuvast vahendist ei piisa. Kaalumine on meie hinnang; see on õigusliku ülevaatuse osa.

B.1 Meie veebisaidi külastajad – veebiserveri logid

Väli	Kanne
Eesmärk	Veebisaidi ja rakenduse käitamine ja turvalisus: edastamine, tõrkeotsing, rünnakute ja ülekoormuse avastamine.
Andmesubjektide kategooriad	Kõik, kes avavad formexposed.com või form.exposed lehe, sealhulgas klientide lehtede külastajad, kelle brauser laadib meie märgi pildi (B.18), vastuvõtjad, kes avavad aruande või kinnituse lingi, ning veebisaidid, mille plugin kutsub meie liidest.
Isikuandmete kategooriad	Täielik IP-aadress, aeg, päritud aadress, olekukood, edastatud baidid, viitav leht (referrer), brauseri tunnus (user agent).
Salvestuskoht	Eelneva puhverserveri ja veebiserveri pöördumislogid failidena veebiserveris, mitte andmebaasis.
Allikas	Päringu tegev brauser või programm.
Õiguslik alus	IKÜM Art. 6(1)(f). Huvi: turvaline ja katkematu käitamine. Kaalumine: ilma täieliku aadressita ei saa sama saatja korduvaid päringuid omavahel siduda ega rünnakuid tõrjuda; kärbitud aadress seda eristamist ei võimalda. Logisid ei ühendata muude andmetega ja need kustutatakse lühikese aja pärast.
Vastuvõtjad	Puuduvad.
Kolmas riik	Puudub.
Säilitamine	14 päeva: igapäevane rotatsioon 14 põlvkonnaga, seejärel üle kirjutatud (süsteemi logirotatsiooniteenus, mitte rakenduse öine kustutamiskäivitus).
Tehnilised ja korralduslikud meetmed	Jagu 8.

B.2 Rakenduse lehevaatamiste logi

Väli	Kanne
Eesmärk	Turvalisus ja kuritarvitamise avastamine (kes mida ja kui sageli pärib), kontole juurdepääsu jälgitavus, lihtne kasutusstatistika ilma analüüsiteenuseta.
Andmesubjektide kategooriad	Kõik veebisaidi külastajad ja rakenduse kasutajad tegelike lehevaatamiste puhul (mitte taustapäringud ega vormide saatmised).
Isikuandmete kategooriad	Täielik IP-aadress, sellest kirjutamisel tuletatud riik (kohalik geoandmebaas, kolmandale isikule päringut ei tehta), sisselogitud kasutajate konto ID, päritud aadress ja viitav leht (neis olevad juurdepääsutokenid, näiteks aruande- või portaalilinkide omad, maskeeritud), brauseri tunnus ja sellest tuletatud seadme tüüp, operatsioonisüsteem ja brauser, keel, aeg (access_logs). „Vaata kliendina“ ajal (B.14) konto ID-d ei seata, et toe lehevaatamised ei ilmuks kliendi logisse.
Allikas	Brauseri päring.
Õiguslik alus	IKÜM Art. 6(1)(f). Huvi: kuritarvitamise vältimine ja jälgitavus. Kaalumine: nagu B.1; säilitamistähtaeg on pikem, sest kuritarvitamise mustrid ilmnevad nädalate jooksul. Kas IP-aadressi tuleks kärpida või säilitamistähtaega lühendada, on lahtine küsimus õigusliku ülevaatuse jaoks.
Vastuvõtjad	Puuduvad. Kontoomanikud saavad oma lehevaatamised andmeekspordis.
Kolmas riik	Puudub.
Säilitamine	60 päeva (igal ööl kella 03:00 ja 03:05 vahel, srv/cron_status.php, seade „lehevaatamiste logi“).
Tehnilised ja korralduslikud meetmed	Jagu 8. IP-aadress võetakse edastatud päisest ainult siis, kui päring tuleb meie enda eelnevast puhverserverist, ja siis ainult selle puhverserveri lisatud kirje; muidu saaks igaüks oma päritolu meelevaldselt märkida.

B.3 Küpsised ja salvestamine brauseris

Väli	Kanne
Eesmärk	Tehniliselt vajalik salvestamine: seanss, kaitse saidiülese päringu võltsimise (CSRF) eest, ilma kontota kontrollide piirangute loendamine, sisselogimine, soovi korral sisselogituks jäämine, hele või tume kuva.
Andmesubjektide kategooriad	formexposed.com külastajad ja kasutajad.
Isikuandmete kategooriad	Seansiküpsis bpid (seansi tunnus; lõpeb brauseri sulgemisel; HttpOnly, SameSite=Lax, Secure HTTPS-i kaudu). Küpsis bp_remember ainult pärast valikut „Jäta mind sisselogituks“ (selektor ja kontrollija; 30 päeva). Kohalik mälu bp_theme (hele, tume või süsteemi oma). Haldusalas lisaks haldajate kohalikud kuvaseaded. Piirangute jaoks moodustatakse seansi tunnusest räsi; tunnust ennast ei salvestata.
Ei seata	Analüüsi-, reklaami- ega jälgimisküpsiseid ei ole. Partnerprogramm (B.33) töötab ilma küpsiseta. Klientide lehtedel olev märgi pilt ei sea küpsist (B.18). reCAPTCHA võib kaitstud vormi saatmisel seada Google’i küpsiseid (B.23).
Õiguslik alus	Juurdepääs lõppseadmele: rangelt vajalik kasutaja taotletud teenuse jaoks (Saksamaa telekommunikatsiooni ja digiteenuste andmekaitse seaduse (TDDDG) § 25(2) nr 2; Poola elektroonilise side seaduse (Prawo komunikacji elektronicznej, PKE) Art. 399(3)). Töötlemine: IKÜM Art. 6(1)(b) (konto) ja (f) (turvalisus, piirangud).
Vastuvõtjad	Puuduvad.
Kolmas riik	Puudub.
Säilitamine	Seanss; meelespidamise tokeni puhul 30 päeva. Öine käivitus kustutab andmebaasist aegunud meelespidamise tokenid (remember_tokens); väljalogimisel, parooli muutmisel ja seadme tühistamisel viivitamata.
Tehnilised ja korralduslikud meetmed	Jagu 8.

B.4 Tasuta kontroll ilma kontota – vastuvõtmine, piirangud ja kuritarvitamise jälgimine

Väli	Kanne
Eesmärk	Igaüks saab lasta domeeni kontrollida ilma kontota. Et sisestusväli ei muutuks relvaks kolmandate isikute veebisaitide vastu, kehtivad astmelised piirangud: üks anonüümne kontroll domeeni kohta seitsme päeva jooksul (seejärel sama aruanne), piirangud IP-aadressi ja seansi kohta 24 tunni jooksul, kogu süsteemi päevane piirang, väga noorte domeenide blokeerimine, blokeerimisloend ja välistamine, ainult avalikud aadressid. Silmatorkavad mustrid registreeritakse ja neist teatatakse haldajale. IP-aadressi, seansi ja kogu süsteemi piirangud, igaüks eraldi loendatuna, kehtivad ka plugina kaudu ilma kontota tehtavale kontrollile (seotud võtmepaariga plugin loendab veebisaidi, mitte aadressi kaupa) ja välistamisele (B.30); tasuta päiste tööriistal (B.9) on oma piirangud IP-aadressi ja päeva kohta ning kogu süsteemi kohta.
Andmesubjektide kategooriad	Inimesed, kes käivitavad kontrolli, päiste tööriista päringu või välistamise; serverid, kuhu on paigaldatud plugin.
Isikuandmete kategooriad	Iga päringu logi: allikas (kontroll, plugin, päiste tööriist, välistamine), täielik IP-aadress, seansi tunnuse räsi, kontrollitud host, IP-aadressi järgi riik, aktsepteeritud või tagasi lükatud koos põhjusega, aeg (check_throttle). Anomaaliad: tüüp (IP-aadress, seanss, riik, süsteem), võti (tüübi „IP“ puhul täielik IP-aadress), muster, raskusaste, lühikirjeldus, tuvastamise ja lahendamise ajad, lahendaja (abuse_flags). Töö: host, režiim, usaldustase ja kärbitud seansiräsi taotleja tunnusena (scan_jobs). Aruanne: juhuslik tunnus, host, keel, aegumine, esimene vaatamine, vaatamiste arv (reports). Registripäringust saadud domeeni vanus vahemälus (domain_age_cache).
Allikas	Isiku sisestus; tema päring; registripäring (RDAP) domeeni vanuse kohta.
Õiguslik alus	Taotletud kontrolli tegemine: IKÜM Art. 6(1)(b) (tasuta kontrolli kasutamine kasutustingimuste alusel); teise võimalusena (f). Piirangud ja jälgimine: Art. 6(1)(f). Huvi: vältida teenuse kasutamist tööriistana kolmandate isikute veebisaitide vastu või rämpspostikahurina. Kaalumine: ilma aadressi ja seansiga sidumiseta ei saaks piiranguid jõustada; seitsmepäevane tähtaeg on sama lühike kui pikim sellest loendatav piirang.
Vastuvõtjad	Google (reCAPTCHA saatmisel, B.23). Domeeni vanuse saamiseks teeb skanner päringu RDAP-i ümbersuunamisteenusele rdap.org, mis suunab edasi vastutavale registrile; edastatakse ainult domeeninimi. Anomaalia ilmnemisel saab haldaja Telegrami kaudu signaali ilma ühegi muutujata (ilma hosti ja aadressita). Aruannet näeb igaüks, kellel on selle juhuslik link.
Kolmas riik	USA reCAPTCHA kaudu (B.23).
Säilitamine	Päringulogi 7 päeva (igal ööl, srv/cron_status.php). Lahendatud anomaaliad 90 päeva pärast lahendamist; lahendamata anomaaliad jäävad alles, kuni keegi need lahendab (jagu 10). Anonüümsed aruanded aeguvad 30 päeva pärast; seejärel kustutab öine käivitus aruande, töö, kontrolli tulemuse, vormid, tähelepanekud ja pildid (fe_reports_aufraeumen()). Administraator saab aadressi kirjed käsitsi vabastada; see kustutab selle viimase 24 tunni logi.
Tehnilised ja korralduslikud meetmed	Jagu 8. Haldusalas kõigi anonüümsete kontrollide hädaseiskamine; vastusurve, mis ei võta ummiku korral uusi tasuta kontrolle vastu.

B.5 Kolmandate isikute veebisaitide kontrollimine veebiroomajaga

Väli	Kanne
Eesmärk	Avalike kontaktivormide turvakontroll: kaitse rämpsposti ja kuritarvitamise eest, andmekaitse- ja ligipääsetavusfunktsioonid, manustatud kolmandate isikute skriptid, käitumine pärast küpsiste bänneril keeldumist, mobiilivaade. Kehtib ilma kontota tehtavate kontrollide (B.4), kontol olevate veel kinnitamata domeenide kohta ning uuringu (B.7) ja potentsiaalse kliendi kontrolli (B.8) alusena. Kontol olevate kinnitatud domeenide puhul tegutseme kliendi nimel (A.4).
Veebiroomaja käitumine	Oma tunnus koos viitega veebiroomaja lehele; loeb enne kontrolli faili robots.txt ja peatub, kui disallow-reegel hõlmab avalehte (samuti siis, kui robots.txt ei ole kättesaadav või esineb serveriviga); üksikute alamteede disallow-reegleid eraldi ei järgita. Vormi pulss, tõendi laadimine, päiste tööriist ja avatud failide otsimine faili robots.txt ei loe. Kontrolli kohta kõige rohkem kaheksa avalikku lehte, lisaks kuni kolm lehte küpsiste bänneril „Keeldu“ klõpsamisega, kuni kolm lehte telefonivaates, aktiivsed sondid kinnitatud domeenide puhul ja kuni viis lehte sisselogimise taga (A.5); lehti laaditakse ükshaaval, mitte paralleelselt; ainult avalikud aadressid, mitte sisevõrgud, ümbersuunamisi kontrollitakse uuesti; blokeerimisloendit ja välistamist kontrollitakse enne vastuvõtmist ja teist korda skanneris. Passiivne: ilma kontrolli tõendita klientide jaoks midagi ei saadeta (erand: meie enda test- ja demodomeenide sisekontrollid, B.6).
Andmesubjektide kategooriad	Kontrollitud veebisaitide haldajad (kui nad on füüsilised isikud, näiteks füüsilisest isikust ettevõtjad); kontrollitud lehtedel juhuslikult nähtavad inimesed.
Isikuandmete kategooriad	Nagu A.4: lehtede aadressid ja pealkirjad, vormi struktuur (väljade nimed, tüübid ja sildid, mitte väljade väärtusi), kaitsemeetmed, kolmandate isikute skriptid (aadressid; pikslite ja salvestustööriistade konto ID-d asendatakse enne salvestamist), küpsiste bänneri käitumine, ekraanipildid (avalehe nähtav ala, vormid). Kui vormis esineb vastuvõtja aadress, ainult selle domeen (scans, forms, findings, scan_screenshots).
Allikas	Avalikult kättesaadavad lehed.
Õiguslik alus	IKÜM Art. 6(1)(f). Huvi: taotletud turvakontrolli tegemine; veebisaitide haldajate tähelepanu juhtimine nõrkustele, mis võivad nende külastajaid kahjustada. Kaalumine: loetakse ainult seda, mida näeb iga külastaja, väikeses ulatuses ja midagi saatmata; haldaja võib oma domeeni igal ajal ilma tõendita alaliselt välistada. IKÜM Art. 14 kohane teave antakse veebiroomaja lehe, välistamise ja privaatsuspoliitika kaudu; kas sellest piisab Art. 14(5)(b) alusel, on lahtine küsimus õigusliku ülevaatuse jaoks.
Vastuvõtjad	See, kes aruande käivitab, ja igaüks, kellele ta juhusliku lingi annab; ebaselge vormitüübi korral meie oma serveris töötav kohalik keelemudel (vormi struktuur, lehe pealkiri ja aadress, vormi nähtav tekst). Pluginaversioonide turvanõrkuste hoiatused ei ilmu kunagi anonüümsetesse aruannetesse.
Kolmas riik	Puudub.
Säilitamine	Anonüümne: 30 päeva (B.4). Potentsiaalse kliendi kontroll: 90 päeva (B.8). Uuring: kuni avaldamiseni (B.7). Kontol olev domeen: kõige rohkem 13 kuud, viimane kontroll jääb alles; koos domeeniga viivitamata. Haldaja sisekontrollid ilma domeeni ja aruandeta (näiteks käsurealt loodud): säilitamistähtaega ei ole (jagu 10). Skanneriserveri ajutised failid kustutatakse pärast iga käivitust.
Tehnilised ja korralduslikud meetmed	Jagu 8. Eelkõige: eraldi kontrollikonteiner vähendatud õigustega, kirjutuskaitstud failisüsteem, mälupiirang ja oma võrk; topelt sihtmärgi kontroll.

B.6 Aktiivsed testsaatmised

Väli	Kanne
Eesmärk	Kontrollimine, kas kontaktivorm võtab saatmise vastu ilma kaitseta, kas CAPTCHA, lõks (honeypot), token, e-posti aadressi valideerimine ja päringusageduse piiramine toimivad serveri poolel ning kas päiseid saab süstida.
Eeltingimus	Klientide puhul ainult domeenidel, mille üle on esitatud kontrolli tõend (DNS-kirje, metasilt, fail või ühendatud plugin); lisaks loob haldaja sisemise käsurea tööriista abil meie enda test- ja demodomeenide jaoks kontrolle tasemega „kinnitatud“. Ainult siis, kui üldlüliti on sees, ainult vormi puhul, mis on usaldusväärselt liigitatud üldiseks kontaktivormiks. Mitte kunagi tellimuste, broneeringute, registreerimiste, uudiskirjade, maksete, failide üleslaadimise, päris isikuandmeid nõudvate kohustuslike väljade ega ametiasutuste, tervishoiu- või haridusasutuste domeenide puhul.
Andmesubjektide kategooriad	Kliendi töötajad, kes saavad vormi e-kirju.
Isikuandmete kategooriad	Testsaatmine ei sisalda isikuandmeid: saatja „FormExposed Security Scanner“, meie enda saatja aadress või aadress domeenis .invalid, märgistatud teemarida ja lehe keeles tekst koos viitega veebiroomaja lehele ja välistamisele ning kontrolli numbriga. Meie salvestame: lehe vastuse, tähelepanekud, jätkulehe pildi (nagu A.4).
Ulatus	Kõige rohkem viis saatmist kontrolli kohta (seade, vaikimisi 5); korduvalt paketi kontrollisagedusega, kõrgeimas paketis iga päev.
Allikas	Kliendi juhis.
Õiguslik alus	Kliendiga sõlmitud lepingu täitmine (IKÜM Art. 6(1)(b)); saatmised lähevad kliendi enda vormi. Vastuvõtjate puhul kliendi juures: kliendi korraldus.
Vastuvõtjad	Klient (tema vormi e-kiri).
Kolmas riik	Meie kaudu puudub.
Säilitamine	Tulemused nagu A.4.
Tehnilised ja korralduslikud meetmed	Jagu 8. Päisesüsti ainult tuvastatakse, seda ei tehta kunagi päris vastuvõtjaga; e-posti aadressi valideerimine kasutab ainult domeeni, mis ei saa olemas olla.

B.7 Uuring „Vormide turvaindeks“

Väli	Kanne
Eesmärk	Statistika kontaktivormide kaitse kohta riigis või sektoris. Avaldatakse ainult koondsummad, ilma veebisaitide nimedeta; segmendid alates 20 vormiga lehest.
Andmesubjektide kategooriad	Loetelus olevate veebisaitide haldajad; juhuslikult nähtavad inimesed.
Isikuandmete kategooriad	Nagu B.5, ainult passiivne. Lisaks loetelu: host, segment, olek, töö (study_domains); uuring koos pealkirja, riigi ja tulemuste koondsummadega (studies).
Allikas	Haldaja koostatud avalike veebisaitide loetelu; lehed ise.
Õiguslik alus	IKÜM Art. 6(1)(f). Huvi: statistilised väited vormide turvalisuse olukorra kohta. Kaalumine: passiivne, piiratud kiirusega (käivituse kohta vähe töid), blokeerimisloend ja välistamine kehtivad, avaldamine ainult koondsummadena, toorandmed kustutatakse.
Vastuvõtjad	Avalikkus, ainult koondsummad.
Kolmas riik	Puudub.
Säilitamine	Toorandmed (kontrolli tulemused, vormid, tähelepanekud, pildid, tööd) kustutatakse avaldamisel (fe_studie_veroeffentlichen()). Hostide loetelu koos segmendiga jääb pärast alles; selle ega kunagi avaldamata uuringute jaoks säilitamistähtaega ei ole (jagu 10). Haldaja otsustab, milliseid loetelusid kontrollitakse ja kas uuringud avaldatakse.
Tehnilised ja korralduslikud meetmed	Jagu 8.

B.8 Potentsiaalse kliendi kontroll (agentuuride kliendihankerežiim)

Väli	Kanne
Eesmärk	Agentuur (Business-pakett) kontrollib passiivselt potentsiaalse kliendi veebisaiti ja saab oma kaubamärgi all lühiaruande ning passiivse aruande. Me ei võta kellegagi ühendust; agentuur annab lingi ise edasi.
Andmesubjektide kategooriad	Kontrollitud veebisaidi haldaja; juhuslikult nähtavad inimesed; agentuuri töötajad, kes kontrolli käivitavad.
Isikuandmete kategooriad	Nagu B.5, ainult passiivne. Lisaks: tööruum, kontrolli käivitaja, host, aruande juhuslik tunnus, aeg (prospect_checks).
Allikas	Agentuuri sisestus; avalikud lehed.
Õiguslik alus	IKÜM Art. 6(1)(f) (meie huvi teenust osutada ja agentuuri huvi põhjendatud pöördumise vastu). Agentuuri ja meie rollid ning agentuuri kohustused aruande edasiandmisel on lahtised küsimused õigusliku ülevaatuse jaoks: kui agentuur saadab aruande soovimatult e-kirjaga või helistab, on see nõusolekut nõudev otseturundus PKE Art. 398 ja UWG (Saksamaa kõlvatu konkurentsi vastane seadus) § 7(2) alusel, ka ettevõtjate vahel. See on agentuuri vastutus; kasutustingimused kohustavad teda vastavalt.
Vastuvõtjad	Agentuur ja igaüks, kellele ta lingi annab.
Kolmas riik	Puudub.
Säilitamine	Aruanne ja kontrolli tulemus aeguvad 90 päeva pärast ja seejärel kustutab need öine käivitus (fe_reports_aufraeumen()); kontrolli kirje kustutatakse 90 päeva pärast igapäevasel parvekäivitusel alates kella 04:00 (srv/cron_status.php). Koos tööruumiga viivitamata.
Tehnilised ja korralduslikud meetmed	Jagu 8. Kuukvoot (seade, vaikimisi 30); sama leht seitsme päeva jooksul annab sama aruande; välistamine kehtib.

B.9 Päiste tööriist ilma kontota

Väli	Kanne
Eesmärk	Tasuta hinne (A+ kuni F) domeeni avalehe turvapäistele. Kaks päringut, ilma brauserita, ilma vormita, ilma saatmiseta.
Andmesubjektide kategooriad	Inimesed, kes tööriista kasutavad; kontrollitud domeeni haldajad.
Isikuandmete kategooriad	Päringulogi nagu B.4 (allikas „headers“, IP-aadress, seansiräsi, host). Tulemus: host, hinne, punktid, hinnatud päised (header_checks).
Õiguslik alus	IKÜM Art. 6(1)(f), nagu B.4 ja B.5.
Vastuvõtjad	Google (reCAPTCHA, B.23).
Kolmas riik	USA reCAPTCHA kaudu.
Säilitamine	Päringulogi 7 päeva; tulemused praegu 90 päeva pärast (öine kustutamiskäivitus, osa „header_checks“, seade „headers_keep_days“). Kontol olevate domeenide puhul määratakse hinne iga päev uuesti ja salvestatakse domeeni juurde.
Tehnilised ja korralduslikud meetmed	Jagu 8. Piirangud IP-aadressi ja päeva kohta; välistamine kehtib.

B.10 Kliendikontod

Väli	Kanne
Eesmärk	Kliendikontode, tööruumide ja pakettide haldamine.
Andmesubjektide kategooriad	Kliendid (ettevõtjad) ja nende oma kontoga meeskonnaliikmed.
Isikuandmete kategooriad	E-posti aadress ja selle normaliseeritud kuju, parool ainult räsina, eesnimi (kohustuslik), perekonnanimi ja ettevõte (kui on esitatud); rakendus ei salvesta aadressi ega käibemaksukohustuslase registreerimisnumbrit, need esitatakse ainult Stripe’is (B.26); olek, keel, kuvarežiim, valuuta, pakett ja arveldusolek, Stripe’i kliendi- ja tellimuse ID, arveldusperioodi lõpp, lõpetamine perioodi lõpus, kinnitus- ja lähtestustunnused koos aegumisega, uus e-posti aadress kuni kinnitamiseni, registreerimise aeg, viimane sisselogimine ja viimane IP-aadress, kõigi seansside tühistamise aeg, kaheastmelise autentimise andmed (B.11), igakuine aruanne sees/väljas, meeldetuletuskirja aeg, koodidega avamised, soovituskood ja soovitus (users). Tööruumid koos nime, aegade ja olekuga (workspaces); liikmesus koos rolli ja liitumiskuupäevaga (workspace_users).
Allikas	Isiku registreerimine ja seaded; arveldusolek Stripe’ilt.
Õiguslik alus	IKÜM Art. 6(1)(b) (leping). Viimane IP-aadress: (f) (konto turvalisus).
Vastuvõtjad	Stripe (B.26); e-posti teenuse pakkuja kontokirjade jaoks (B.25). Sama tööruumi liikmed näevad teiste liikmete nime, e-posti aadressi ja rolli.
Kolmas riik	Stripe’i ja e-posti teenuse pakkuja kaudu.
Säilitamine	Kuni kontoomaniku poolt kustutamiseni. Kustutamisel kustuvad omaniku enda tööruumid, mida keegi teine ei kasuta, koos kõigi domeenide ja nende andmetega; tööruumid, kus on teisi liikmeid, lähevad üle teisele liikmele, eelkõige administraatoritele ja nende hulgast kõige kauem olnule. Liikmesused, meelespidamise tokenid, seadmed, API-võtmed, avatud Telegrami koodid, tagasiside aruannete kohta (B.35) ja konto rida kustutatakse; käimasolev tasuline tellimus lõpetatakse enne seda Stripe’is viivitamata, ilma tagasimakseta (www/ajax.php, fe_konto_reste_loeschen()). Arveldusalas tehtud lõpetamine seevastu jõustub perioodi lõpus; seejärel jätkub konto tasuta paketiga. Mis alles jääb, on esitatud jaos 6.4. Kunagi kinnitamata ja kunagi sisse logimata kontod kustutatakse 30 päeva pärast, välja arvatud juhul, kui nende tööruumiga on seotud teine liige (öine kustutamiskäivitus, osa „pending_accounts“). Mitteaktiivseid kontosid ei kustutata. Kui konto leping lõpeb muul viisil, näiteks meiepoolse ülesütlemisega, kustutame konto hiljemalt 30 päeva pärast lepingu lõppu; praegu tehakse seda käsitsi (andmetöötluslepingus võetud kohustus).
Tehnilised ja korralduslikud meetmed	Jagu 8.

B.11 Sisselogimine, seadmed, teine tegur ja tegevuslogi

Väli	Kanne
Eesmärk	Kontode kaitsmine: sisselogimise ja muude paroolikatsete piiramine, sisselogitud seadmete kuvamine ja tühistamine, kaheastmeline sisselogimine, muudatuste jälgitavus.
Andmesubjektide kategooriad	Kontoomanikud ja meeskonnaliikmed; inimesed, kes proovivad sisse logida, registreeruda või kliendiportaali parooli sisestada.
Isikuandmete kategooriad	Sisselogimiskatsed: IP-aadress, sisestatud e-posti aadress, õnnestumine, aeg (login_attempts). Seadmed: seansi tunnuse räsi (mitte kunagi tunnus ise), link meelespidamise tokenile, IP-aadress, brauseri tunnus ja sellest tuletatud brauser, operatsioonisüsteem ja seadme tüüp, sisselogimise, viimase tegevuse ja tühistamise ajad ning „Vaata kliendina“ puhul toeisiku tunnus (login_sessions). „Jäta mind sisselogituks“ meelespidamise tokenid: selektor, kontrollija, aegumine (remember_tokens). Teine tegur: saladus krüpteeritult, aktiveerimise aeg, viimane kasutatud ajasamm, taastekoodid ainult räsina (tabelis users). Tegevuslogi: konto, tööruum, toiming, sihtmärk, üksikasjad, IP-aadress, riik, aeg (audit_logs). Sisselogimise, teise teguri, parooli kinnitamise, parooli lähtestamise, registreerimise ja kliendiportaalide paroolide katseloendurid: HMAC-võti, mis on tuletatud eesmärgist ja konto ID-st (tundmatu aadressi või lähtestamise puhul väiketähtedega e-posti aadressist), IP-aadressist, kontost ja IP-aadressist koos või portaali ID-st (ka koos IP-aadressiga), katsete arv, aegumine; e-posti ja IP-aadresse seal avatekstina ei salvestata (tabel auth_attempt_buckets).
Õiguslik alus	IKÜM Art. 6(1)(b) koostoimes Art. 32-ga (seadmete loend, teine tegur) ja (f) (sisselogimiskatsed, tegevuslogi). Huvi: kontode kaitsmine ülevõtmise eest, muudatuste dokumenteerimine (Art. 5(2)). Kaalumine: kärbitud aadress ei vasta küsimusele „kas see olin mina?“; tegevuslogi peab üle elama vaidluse, mis tekib alles kuid hiljem.
Vastuvõtjad	Puuduvad. Kontoomanik näeb oma seadmeid ja saab sisselogimiskatsed, seadmed ja tegevused andmeekspordis; „Vaata kliendina“ seansi ajal ei ilmu sinna toeisiku IP-aadress ega brauser.
Kolmas riik	Puudub.
Säilitamine	Sisselogimiskatsed 7 päeva; pärast edukat sisselogimist kustutatakse samalt aadressilt tehtud ebaõnnestunud katsed viivitamata. Katseloendurid oma ajaakna lõpus (praegu 15 minutit, parooli lähtestamise ja registreerimise puhul üks tund); aegunud loendurid kustutab järgmine pöördumine ja öine käivitus. Seadmed 90 päeva pärast viimast kasutamist või tühistamist (öine kustutamiskäivitus, osa „sessions“), koos kontoga viivitamata. Meelespidamise tokenid aeguvad 30 päeva pärast. Tegevuslogi 365 päeva (igal ööl); konto kustutamisel jäävad selle kirjed alles kuni säilitamistähtaja lõpuni (jagu 6.4).
Tehnilised ja korralduslikud meetmed	Jagu 8.

B.12 Lepingu sõlmimise tõend

Väli	Kanne
Eesmärk	Tõendamine, millise kasutustingimuste, andmetöötluslepingu ja privaatsuspoliitika versiooniga klient registreerimisel nõustus või millega tutvus, ning et klient kasutab teenust oma ettevõtluses.
Andmesubjektide kategooriad	Kliendid.
Isikuandmete kategooriad	Iga dokumendi kohta: konto, dokument, versioon (kuvatud teksti räsi), sündmus, IP-aadress, brauseri tunnus, aeg (legal_consents). Kuvatud versioon ise koos täisteksti, keele, pealkirja ja aadressiga, üks kord versiooni kohta (legal_versions; ei sisalda isikuandmeid).
Õiguslik alus	IKÜM Art. 6(1)(b) ja (f) (lepingu sõlmimise tõendamine, nõuete vastu kaitsmine).
Vastuvõtjad	Puuduvad. Kontoomanik saab oma kirjed andmeekspordis.
Kolmas riik	Puudub.
Säilitamine	Seni, kuni konto on olemas; pärast konto kustutamist neli aastat alates nõusolekust, seejärel kustutatakse igal ööl (srv/cron_status.php). Põhjendus koodis: kolmeaastane aegumistähtaeg alates aasta lõpust, ülespoole ümardatud. Kas Poola õigus soovitab teistsugust tähtaega, on õigusliku ülevaatuse osa.
Tehnilised ja korralduslikud meetmed	Jagu 8. Kui mõni kolmest dokumendist puudub, on registreerimine suletud.

B.13 Meeskonnakutsed

Väli	Kanne
Eesmärk	Täiendavate inimeste kutsumine tööruumi.
Andmesubjektide kategooriad	Kutsutud isikud.
Isikuandmete kategooriad	E-posti aadress, roll, kutse tunnus, kutsuja, aegumine, vastuvõtmise aeg (workspace_invites); kutsekiri väljuvate kirjade kaustas (B.25).
Allikas	Sisestab kutsuv liige.
Õiguslik alus	IKÜM Art. 6(1)(b) seoses kliendiga; kutsutud isiku suhtes (f) (kliendi huvi kaasata oma meeskond).
Vastuvõtjad	E-posti teenuse pakkuja (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Kolmas riik	E-posti teenuse pakkuja kaudu.
Säilitamine	Kutse kehtib 14 päeva ja ainult seni, kuni kutsuja on tööruumi omanik või administraator. Vastu võtmata kutsed pärast aegumist, vastu võetud kutsed 30 päeva pärast vastuvõtmist (igal ööl, srv/cron_status.php ja osa „invites“ failis cfg/fristen_lib.php). Koos tööruumiga viivitamata.
Tehnilised ja korralduslikud meetmed	Jagu 8.

B.14 Kasutajatoe vaade „Vaata kliendina“

Väli	Kanne
Eesmärk	Superadministraator näeb rakendust nii, nagu Klient seda näeb, et lahendada kasutajatoe küsimus („mul puudub see nupp“).
Andmesubjektide kategooriad	Asjaomane Klient; superadministraator.
Isikuandmete kategooriad	Kõik, mida Klient rakenduses näeb. Logitakse: eraldi seadmerida superadministraatori identifikaatoriga (login_sessions), algus ja lõpp tegevuslogis (audit_logs).
Õiguslik alus	IKÜM art 6(1)(b) (kasutajatugi teenuse osana), alternatiivselt (f).
Piirangud	Kõige rohkem üks tund, seejärel täielik väljalogimine. Vaate lõpetamine logib ka superadministraatori täielikult välja, sealhulgas seansist, millest ta tuli; haldusalasse naaseb ta ainult uuesti sisse logides parooli ja teise teguriga. Lõpeb kohe, kui superadministraatori õigusi vähendatakse või ta blokeeritakse. Kõik, mis muudab Kliendi kontot, on blokeeritud: parool, e-posti aadress, teine tegur, seadmed, tellimus, eksport, kustutamine, üleandmine. Haldusala on seansi ajal suletud. Klient näeb juurdepääsu oma seadmete loendis ja andmeekspordis kasutajatoe juurdepääsuna.
Vastuvõtjad	Puuduvad.
Kolmas riik	Puudub.
Säilitamine	Seadmerida 90 päeva, tegevuslogi 365 päeva.
TKM	Jaotis 8.

B.15 Domeenid, kontrolli tõendamine ja seire

Väli	Kanne
Eesmärk	Klientidele osutatav põhiteenus: domeenide hoidmine kontol, kontrolli tõendamine, regulaarne kontrollimine ja muudatuste tuvastamine. Siia kuuluvad vormi pulss (kerge päring ilma brauserita iga 10 kuni 30 minuti järel olenevalt paketist), e-posti DNS-i ja sertifikaadi igapäevane jälgimine, domeeni aegumiskuupäev, blokeerimisloendid, avalikult kättesaadavad failid, väljastpoolt nähtavad versioonid, skriptide inventuur, vormi visuaalsed muudatused, CAPTCHA- ja e-posti teenusepakkujate katkestused ning vormipluginate haavatavuste jälgimine.
Andmesubjektide kategooriad	Kliendid ja nende meeskonnaliikmed; domeenide haldajad, kui nad on füüsilised isikud.
Isikuandmete kategooriad	Domeen koos hostiga, avalik identifikaator, märkus, kliendi silt, tõendi tüüp ja identifikaator, kontrollisagedus, seire sees/väljas, hooldusaknad, päringu väärtus, märgi, kohaletoimetamise kontrolli ja juurutuskonksu (deploy hook) identifikaatorid, pluginavõti, jälgimiste olekud ja viimased tulemused (DNS, sertifikaat, vormi e-kirja autentsus, blokeerimisloendid, avalikud failid, päised, versioonid) (domains). Pulss vormilehe kohta (form_pulse). Pluginaversioonidest tulenevad haavatavused (vuln_hits). Skriptide inventuur koos aadressi, räsi, suuruse, heakskiidu ning heakskiitja ja põhjusega (script_inventory, script_changes). Kontrollid nagu A.4. Avalike failide puhul salvestatakse tee, raskusaste ja tüüp, mitte kunagi sisu.
Päringud kolmandatele isikutele	DNS-päringud (SPF, DMARC, MX, tõendikirje). Registriotsing RDAP-i kaudu IANA kataloogi järgi: ainult domeeninimi. DNS-blokeerimisloendid (SpamCop, PSBL, Mailspike, SURBL; Spamhaus ainult salvestatud juurdepääsuandmetega, praegu mitte): veebi- ja meiliserveri IP-aadressid ja domeeninimi, külastajate andmeid mitte. Google Web Risk ainult siis, kui see on seadistatud (praegu mitte): avalehe aadress. Ajatempliteenuse osutaja: ainult räsiväärtus (B.19). WPVulnerability: ainult plugina või teema identifikaator või WordPressi versioon; võrdluse installitud plugina versiooniga teeme ise. Cloudflare'i, hCaptcha, Google Cloudi, SendGridi, Mailguni ja Brevo olekulehed: peale päringu enda ei edastata midagi.
Allikas	Klient; päringud Kliendi lehele; avalikud kataloogid.
Õiguslik alus	IKÜM art 6(1)(b).
Vastuvõtjad	Nimetatud teenused ei saa meie Klientide isikuandmeid, kuivõrd ettevõtte domeeninimed ja serveriaadressid ei ole isikuandmed; füüsilisest isikust ettevõtjate puhul võib domeeninimi olla isikuandmed. Tööruumi liikmed näevad domeeni.
Kolmas riik	Päringud võivad jõuda kolmandates riikides asuvate teenusteni (nt registriotsingud, blokeerimisloendid). Edastatakse ainult see, mis on märgitud real „Päringud kolmandatele isikutele“.
Säilitamine	Kuni domeeni kustutamiseni. fe_domain_loeschen() kustutab seejärel kohe kontrollitulemused, vormid, leiud, pildid, aruanded, tööd, hoiatuste sihtkohad ja hoiatuste logi, intsidendid, Telegrami koodid, kohaletoimetamised, pulsi, haavatavused ja tõendid; võõrvõtmete kaudu jälgitavad vormid, brauserikäivitused, testkonto ja vormiloendurid; hosti pluginaandmed, kui ükski teine domeen sellele ei viita. Samuti kustutatakse domeeni skriptide inventuur ja skriptimuudatused; neil ei ole oma säilitamistähtaega (jaotis 6.4). Kontrollitulemused kõige rohkem 13 kuud, viimane jääb alles.
TKM	Jaotis 8. Avalike failide ja versioonide jälgimine ainult kinnitatud domeenidel, kõige rohkem üks päring tee kohta, ainult esimesed 8 KB; kolmandate isikute teede küsimata uurimine oleks ründetööriist.

B.16 Hoiatused, intsidendid ja eskaleerimine kontoomaniku suhtes

Väli	Kanne
Eesmärk	Kliendi teavitamine riketest ja muudatustest, hooldusakende arvestamine, intsidentide kinnitamine ja eskaleerimine. Kui sihtkohad on kolmandad isikud, tegutseme Kliendi nimel (A.3); kui see on kontoomanik ise, on see kirjeldatud siin.
Andmesubjektide kategooriad	Kontoomanikud ja meeskonnaliikmed saajatena.
Isikuandmete kategooriad	Nagu A.3. Teavitused kuvatakse kontoomaniku keeles.
Õiguslik alus	IKÜM art 6(1)(b).
Vastuvõtjad	E-posti teenusepakkuja; valitud vestlusteenused (4.1).
Kolmas riik	Olenevalt kanalist (4.1).
Säilitamine	Nagu A.3: kohaletoimetamise logi 90 päeva, kokkuvõtlikud teavitused 30 päeva pärast kohaletoimetamist, intsidendid kuni lahendamiseni ja seejärel 180 päeva. Hoiatuste sihtkohad koos domeeniga.
TKM	Jaotis 8.

B.17 Igakuine aruanne kontodele

Väli	Kanne
Eesmärk	Iga kuu 1. kuupäeval alates kell 08:00 (järelsaatmine kuni 3. kuupäevani) üks e-kiri konto kohta, mis hõlmab kõiki selle domeene: tase, skoor ja selle muutus, hoiatused, blokeeritud robotid, e-kirjade saatmine, võrdlusväärtus.
Andmesubjektide kategooriad	Aktiivsed kontoomanikud, kellel on igakuine aruanne sisse lülitatud.
Isikuandmete kategooriad	E-posti aadress, keel, domeenide põhinäitajad.
Õiguslik alus	IKÜM art 6(1)(b) (teenuse osa). Tellimusest saab seadetes loobuda; saab keskselt välja lülitada.
Vastuvõtjad	E-posti teenusepakkuja (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Kolmas riik	E-posti teenusepakkuja kaudu.
Säilitamine	Eraldi salvestamist ei toimu; e-kiri jääb väljuvate kirjade kausta 30 päevaks (B.25).
TKM	Jaotis 8.

B.18 Märk ja avalik kinnitusleht

Väli	Kanne
Eesmärk	Klient saab oma veebisaidile manustada märgi pildi ja linkida selle avalikule kinnituslehele. Märk näitab „Kaitstud“ ainult siis, kui domeen on kinnitatud, seire töötab ja viimane lõpetatud kontroll on kõige rohkem 45 päeva vana ning selle tulemus oli „Kaitstud“ või „Osaliselt kaitstud“; muul juhul näitab see neutraalselt „Kontaktivormi kontroll“. Kinnitusleht näitab taset ja kuupäeva, mitte üksikuid leide.
Andmesubjektide kategooriad	Kliendi veebisaidi külastajad, kelle brauser pildi laadib; kinnituslehe külastajad.
Isikuandmete kategooriad	Pildi laadimisel: IP-aadress, aeg, päritud aadress, viitav leht ja brauseri identifikaator veebiserveri logis (B.1). Pildi aadress ei alusta seanssi, ei sea küpsist ega kirjuta lehevaatamiste logisse. Kinnitusleht on tavaline leht (B.2, B.3).
Õiguslik alus	IKÜM art 6(1)(f). Huvi: pildi edastamine ja turvalise toimimise tagamine. Kas Klient ja meie oleme külastaja IP-aadressi edastamisel kaasvastutavad töötlejad manustatud kolmandate isikute sisu käsitleva kohtupraktika tähenduses ja kas on vaja artikli 26 kohast kokkulepet, on õigusliku läbivaatuse lahtine küsimus. Klient saab oma privaatsuspoliitika jaoks tekstisoovituse.
Vastuvõtjad	Puuduvad.
Kolmas riik	Puudub.
Säilitamine	14 päeva (veebiserveri logi). Pilt puhverdatakse üheks tunniks. Märgi väljalülitamisel kaotab identifikaator kehtivuse.
TKM	Jaotis 8.

B.19 Tõendilogi ja ajatempel

Väli	Kanne
Eesmärk	Üks logi domeeni ja kuu kohta (tasulised paketid): mida kontrolliti, millise tulemusega, millest teatati ja mis muutus – tõendina vastutuse põhimõtte täitmiseks, kindlustusandjatele või tarnijaauditite jaoks. Iga versioon saab kontrollnumbri; avalik leht kinnitab domeeni, perioodi ja põhinäitajad, ilma üksikasjadeta. Alates 7. oktoobrist 2026 kinnitab aega RFC 3161 kohane ajatempliteenuse osutaja.
Andmesubjektide kategooriad	Kliendid; kaudselt isikud, kes võivad olla logis nimetatud heakskiitjate või kinnitajatena.
Isikuandmete kategooriad	Domeen, kuu, kontrollnumber, sisu räsi (SHA-512), logi kokkuvõte ja andmed, ajatempli vastus, ajatempliteenuse osutaja ja aeg, ebaõnnestunud katsed (proof_docs).
Õiguslik alus	IKÜM art 6(1)(b).
Vastuvõtjad	Ajatempliteenuse osutaja (vaikimisi Certum, varuvariant DigiCert) saab ainult logi räsi, mitte selle sisu. Avalikult: põhinäitajad kinnituslehe kaudu. Klient ja kõik, kellele Klient logi või kontrollnumbri annab.
Kolmas riik	Isikuandmeid ei edastata: räsi ei võimalda sisu kohta järeldusi teha. Varuteenuse osutaja asub USA-s.
Säilitamine	Kuni domeeni kustutamiseni (fe_domain_loeschen()). Ajatempel ei ole eIDAS-määruse kohane kvalifitseeritud ajatempel.
TKM	Jaotis 8.

B.20 Plugin ja laiendus: kontroll, ühendamine ja edastamine

Väli	Kanne
Eesmärk	WordPressi plugin ja TYPO3 laiendus saavad taotleda kontrolli (ka ilma kontota), ühenduda kontoga (installimine loetakse kontol ühe klõpsuga kontrolli tõendiks), avada kaitsefunktsioone, teatada näitajatest iga päev (A.9) ning teatada e-posti vigadest ja hooldusrežiimist kohe.
Andmesubjektide kategooriad	Kliendid; veebisaitide haldajad, kes kasutavad pluginat ilma kontota.
Isikuandmete kategooriad	Hosti kohta: plugina ja CMS-i versioon, kontrollide arv, viimase aruande identifikaator, ühendussaladuse räsi, esimene ja viimane kontakt (plugin_sites). Ühekordsed ühenduskoodid räsina koos aegumisega (plugin_connect_tokens). Agentuuri juurutuskoodid räsina koos eesliite, sildi, kasutuskordade ja looja isikuga (workspace_connect_codes). Päringulogi koos pöörduva serveri IP-aadressiga (B.4). Pluginavõti on avalikult nähtav veebisaidi päises (head); see on saladuse räsi ning saladust ennast hoitakse ainult räsina ja seda ei tagastata kunagi.
Õiguslik alus	IKÜM art 6(1)(b) (konto); ilma kontota (f) (taotletud kontroll, kuritarvitamise vältimine).
Vastuvõtjad	Puuduvad.
Kolmas riik	Puudub.
Säilitamine	Hosti andmed kustutatakse niipea, kui ükski domeen sellele enam ei viita; ilma kontota plugina rida alles pärast 90 päeva ilma kontaktita (öine kustutamiskäivitus, osa „orphan_hosts“). Ühekordsed koodid üks päev pärast aegumist. Juurutuskoodid koos tööruumiga.
TKM	Jaotis 8. Alates 27. septembrist 2026 aktsepteerib server ainult veebisaidiga seotud võtmepaare; vanemad, sidumata ühendussaladused kustutati.

B.21 Parvekaitse

Väli	Kanne
Eesmärk	Ühine rämpspostitõrje: ühendatud veebisaidid teatavad nende sõnumite linkide domeenidest, mille nende kaitsekiht on peatanud. Domeen, mis esineb seitsme päeva jooksul vähemalt kolmel veebisaidil vähemalt viie tabamusega, kantakse loendisse, mis läheb tagasi kõigile ühendatud veebisaitidele; nende kaitsekiht suunab selliste linkidega sõnumid karantiini, mitte kunagi unustusse.
Andmesubjektide kategooriad	Teatatud linkide domeenide omanikud, kui nad on füüsilised isikud (nt oma nime all tegutseva rämpspostisaidi haldaja). Mitte sõnumite saatjad ja saajad: aadresse, tekste ja nimesid ei teatata.
Isikuandmete kategooriad	Signaalid: tüüp, domeen, teatav host, päev, tabamused (swarm_signals). Loend: tüüp, domeen, veebisaitide ja tabamuste arv, ajad (swarm_list). Suuri teenuseid, meie Klientide domeene ja haldaja määratud erandeid ei kanta loendisse kunagi.
IP-võrgud	IP-võrkude (/24, /48) jagamine on ette valmistatud. See on välja lülitatud ja plugin neid ei teata; see lülitatakse sisse alles pärast õiguslikku läbivaatust, sest IP-aadressid on isikuandmed.
Õiguslik alus	IKÜM art 6(1)(f). Huvi: kõigi Klientide vormide kaitsmine rämpspostilainete eest. Kaalumine: ainult domeenid, miinimumlävendid mürgitamise vastu, sõnumeid kaduma ei lähe, eemaldamine on igal ajal võimalik.
Vastuvõtjad	Kõik ühendatud veebisaidid (domeenide loend).
Kolmas riik	Olenevalt ühendatud veebisaitide asukohast; loend võib jõuda ka EMP-väliste veebisaitideni. Isikuandmetega on tegemist ainult piirjuhtudel (füüsiliste isikute domeenid). IKÜMi V peatüki kohane edastamise alus nendel juhtudel on veel kindlaks määramata (õigusliku läbivaatuse lahtine küsimus).
Säilitamine	Signaalid 30 päeva (igapäevane parvekäivitus alates kell 04:00, cfg/swarm_lib.php). Loend arvutatakse iga päev ümber; mis enam lävendini ei ulatu, langeb välja.
TKM	Jaotis 8.

B.22 API-võtmed, programmeerimisliides ja MCP-server

Väli	Kanne
Eesmärk	Kliendi enda tööriistade (REST API, Zapier, Make, MCP-server tehisintellekti assistentidele) juurdepääs Kliendi domeenidele, kontrollidele ja intsidentidele.
Andmesubjektide kategooriad	Kliendid, kes loovad võtmeid.
Isikuandmete kategooriad	Võti ainult räsina, eesliide, silt, loomise, viimase kasutamise ja tühistamise ajad (api_keys). Päringud minutis (api_usage).
Õiguslik alus	IKÜM art 6(1)(b).
Vastuvõtjad	Tööriist, millele Klient võtme annab; selle määrab Klient.
Kolmas riik	Olenevalt Kliendi tööriistast.
Säilitamine	Võtmed kuni tühistamiseni, koos kontoga kohe; ilma kontota võtmed (pärandandmed) öösel. Päringuloendurid ühe päeva pärast (aeg-ajalt puhastatakse ka päringu käigus).
TKM	Jaotis 8.

B.23 reCAPTCHA ja meie oma vormikaitse

Väli	Kanne
Eesmärk	Meie oma vormidele automatiseeritud juurdepääsu tõrjumine: tasuta kontroll, päisetööriist, opt-out, sisselogimine, registreerumine, unustatud ja lähtestatav parool, kasutajatugi ja kontakt. Lisaks meie oma kaitse ilma kolmandate isikuteta: lõks (peidetud väli), allkirjastatud ajastuskontroll ja CSRF-tõend. Alates 29. oktoobrist 2026 lisaks meie vormikaitse formconfirmed (töötõend ja ühekordne kontrollitõend) tasuta kontrolli, registreerumise, sisselogimise ja funktsiooni „Unustasin parooli“ juures.
Andmesubjektide kategooriad	Isikud, kes neid vorme esitavad.
Isikuandmete kategooriad	Google'is: IP-aadress, brauseri ja seadme andmed, käitumisandmed, Google'i küpsised. Meil: Google'i hinnang (skoor ja toiming) ainult kontrolli hetkel, ilma salvestamiseta, isegi mitte siis, kui esitus tagasi lükatakse. Meie oma vormikaitse puhul: IP-aadress (salvestatakse ainult kärbitult ja räsitult), leht, ajahetked, lõksuväli täidetud jah/ei; sisu mitte.
Ajastus	Google'i skript laaditakse alles kaitstud vormi esitamisel, mitte lehe avamisel. Meie oma vormikaitse toob oma ülesande lehe avamisel ja arvutab, niipea kui vormi kasutatakse. Arendussüsteemis on reCAPTCHA välja lülitatud.
Õiguslik alus	IKÜM art 6(1)(f). Huvi: kaitse robotite eest, eriti tasuta kontrolli puhul, mida võiks muidu kasutada kolmandate isikute veebisaitide vastu. Kas juurdepääs lõppseadmele nõuab TDDDG § 25 või PKE art 399 kohast nõusolekut, kuigi skript laaditakse alles esitamisel, on õigusliku läbivaatuse lahtine küsimus. Meie oma vormikaitse ei kasuta küpsiseid, ei salvesta brauserisse midagi ega loo sõrmejälge; selle eesmärk on pikas plaanis reCAPTCHA asendada.
Vastuvõtjad	Google Ireland Limited; Google LLC. Meie oma vormikaitse puhul puuduvad.
Kolmas riik	USA (ainult reCAPTCHA). Alus: sertifitseerimine ELi-USA andmekaitseraamistiku alusel või lepingu tüüptingimused; tuleb üksikasjalikult dokumenteerida.
Säilitamine	reCAPTCHA: meil ei salvestata; Google'is vastavalt selle reeglitele. Meie oma vormikaitse: räsitud tunnus 1 tund, kasutatud kontrollitõendid kõige rohkem 11 minutit, kontrollitulemused ilma IP-aadressita 30 päeva.
Katkestus	Kui Google ei vasta kolme sekundi jooksul või vastab kasutuskõlbmatult, lükatakse esitus tagasi; samuti lükatakse tagasi tühi tõend ja vastus muule toimingule kui vormi oma. Kontroll jäetakse vahele ainult siis, kui reCAPTCHA on välja lülitatud. Meie oma vormikaitse puhul lükatakse kehtiva kontrollitõendita esitus tagasi; kui teenus ei olnud ülesande toomiseks kättesaadav, esitus lubatakse.
TKM	Jaotis 8.

B.24 Kasutajatugi ja kontaktivorm

Väli	Kanne
Eesmärk	Päringute vastuvõtmine ja neile vastamine kasutajatoe akna ja kontaktilehe kaudu. Mõlemad kasutavad sama marsruuti ja sama tabelit.
Andmesubjektide kategooriad	Päringu esitajad, sisse logitud või mitte.
Isikuandmete kategooriad	Konto (kui sisse logitud; siis kehtib konto aadress, mitte sisestatud aadress), e-posti aadress, põhjus kindlast loendist, tekst kuni 4000 tähemärki, olek, täielik IP-aadress, riik, brauseri identifikaator, viitav leht (ainult oma teed), keel, saabumise ja vastamise ajad (support_requests); kanne tegevuslogis (ilma tekstita); vastuvõtukinnitus päringu esitajale väljuvate kirjade kaustas (B.25), tekstiga kuni 2000 tähemärki ainult sisse loginud saatjatele, sisse logimata esitatud päringute puhul ilma tekstita.
Õiguslik alus	IKÜM art 6(1)(b), kui päring puudutab lepingut; muul juhul (f). Täielik IP-aadress: (f) (piirang kolm päringut tunnis aadressi kohta, kuritarvitamise vältimine).
Vastuvõtjad	E-posti teenusepakkuja (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) kinnituse ja vastuse jaoks. Telegram saab fikseeritud signaali ilma muutujata („on uus kasutajatoe päring“) ja seega mitte mingeid isikuandmeid.
Kolmas riik	E-posti teenusepakkuja kaudu.
Säilitamine	24 kuud (öine kustutamiskäivitus, osa „support“); käsitsi varem. Konto kustutamisel jäävad päringud alles säilitamistähtaja lõpuni (jaotis 6.4).
TKM	Jaotis 8. reCAPTCHA, meie oma vormikaitse, päringusageduse piiramine.

B.25 E-kirjade saatmine (väljuvate kirjade kaust)

Väli	Kanne
Eesmärk	Tehingupõhised e-kirjad: registreerumise ja uute e-posti aadresside kinnitamine, parooli lähtestamine, kutsed, hoiatused, igakuised aruanded, portaali kinnitused ja aruanded, kasutajatoe kinnitused ja vastused, meeldetuletused prooviperioodi ja seadistamise kohta, toimimisteavitused käitajatele. Reklaami ei saadeta ega saadeta e-kirju isikutele, kes ei ole ise registreerunud või keda Klient ei ole saajaks määranud.
Andmesubjektide kategooriad	Nende e-kirjade saajad.
Isikuandmete kategooriad	Saaja aadress, teema, täielik sisu, vastuse aadress, eesmärk, saatmistee, olek, viga, katsed, ajad (mail_outbox). Sisu võib sisaldada kehtivate identifikaatoritega kinnitus- ja lähtestuslinke.
Õiguslik alus	IKÜM art 6(1)(b); toimimisteavituste puhul (f).
Vastuvõtjad	Namecheap, Inc. (Private Email), Phoenix, Arizona, USA (saatmine); kontoomanik näeb oma saadetud e-kirju andmeekspordis (ilma sisuta).
Kolmas riik	Olenevalt e-posti teenusepakkuja töötlemiskohast; leping ja edastamise alus tuleb veel dokumenteerida (jaotis 4).
Säilitamine	30 päeva (öösel, srv/cron_status.php). See tähtaeg on teadlikult logidest lühim: pikk saatmislogi oleks kehtivate võtmete kogum. Olekukäivitus kontrollib iga viie minuti järel, kas korduskatse on kätte jõudnud.
Olek	E-kirjade saatmine tuleb enne käivitamist seadistada. Kuni e-posti teenusepakkuja koos asukoha ja alusega ei ole kindlaks määratud, näitavad õigustekstid tähist.
TKM	Jaotis 8. Ebaõnnestunud e-kirju proovitakse uuesti üha pikenevate vahedega ja neist loobutakse pärast maksimaalset katsete arvu.

B.26 Maksed ja arveldamine

Väli	Kanne
Eesmärk	Tellimuste sõlmimine ja haldamine (igakuiselt või iga-aastaselt ette), 14-päevane prooviperiood ilma kaardita koos meeldetuletusega kolm päeva enne lõppu, aastatellimuste puhul arvega tasumine (vaikimisi väljas), avamine hostingupakkuja ja partneri koodidega ilma makseta, arveldamine, säilitamine maksuarvestuse eesmärgil.
Andmesubjektide kategooriad	Kliendid.
Isikuandmete kategooriad	Stripe'is: e-posti aadress, nimi, arveldusaadress, käibemaksukohustuslasena registreerimise number, makseandmed, arved; metaandmetena meie konto ID ja pakett. Meil: Stripe'i kliendi ja tellimuse ID, pakett, olek, perioodi lõpp, tühistamine perioodi lõpus (users); vastuvõetud Stripe'i sündmused ainult identifikaatori, tüübi, oleku ja aegadega, ilma sisuta (stripe_events); hostingupakkuja koodide lunastamised koos konto, kampaania ja aegumisega (bundle_redemptions). Kaardiandmed ei jõua kunagi meieni.
Allikas	Klient Stripe'i makselehel; sündmused Stripe'ilt.
Õiguslik alus	IKÜM art 6(1)(b); maksuarvestuse eesmärgil säilitamiseks (c).
Vastuvõtjad	Stripe Payments Europe Limited (Iirimaa); Stripe, Inc. (USA). Maksete töötlemise teatud osades tegutseb Stripe omal vastutusel; rollide täpne jaotus on õigusliku läbivaatuse osa.
Kolmas riik	USA Stripe, Inc. kaudu; alus: andmekaitseraamistik või lepingu tüüptingimused Stripe'i tingimuste kohaselt.
Säilitamine	Arveldusväljad koos kontoga; kehtiv tellimus lõpetatakse enne konto kustutamist. Arveid ja arveldusdokumente säilitatakse Poola maksuõiguse kohaselt viis aastat alates selle aasta lõpust, mil maksu tasumise tähtaeg möödus; neid hoitakse Stripe'is ja need on kättesaadavad Stripe'i kliendiportaalis. Stripe'i sündmustel ja koodide lunastamistel säilitamistähtaeg puudub (jaotis 6.4).
TKM	Jaotis 8. Stripe'i sündmused võetakse vastu ainult kehtiva allkirjaga; iga sündmust töödeldakse üks kord.

B.27 Varukoopiad

Väli	Kanne
Eesmärk	Taastamine pärast viga: ekslik kustutamine, kahjustatud migratsioon.
Andmesubjektide kategooriad	Kõik, kelle andmed on andmebaasis.
Isikuandmete kategooriad	Rakenduse andmebaasi täielik tihendatud tõmmis. Ekraanipilte ja logofaile hoitakse väljaspool andmebaasi ja need ei kuulu sellesse varukoopiasse. Testkonto juurdepääsuandmed sisalduvad selles ainult krüpteeritud kujul (A.5).
Toimimisviis	Öösel kell 03:00, pärast kustutamiskäivitust, et varukoopia ei võtaks kaasa seda, mille säilitamistähtajad just kustutasid. Tõmmis säilitatakse alles siis, kui selle sisu on kontrollitud (väljumiskood, tabelite arv, viimane rida). Pühapäeviti laadib taastamistest viimase varukoopia ajutisse andmebaasi ja võrdleb seda tabelhaaval. Kui midagi ebaõnnestub, saadetakse käitajatele signaal ja e-kiri.
Õiguslik alus	IKÜM art 6(1)(f) koostoimes art 32(1)(c)-ga.
Vastuvõtjad	Puuduvad.
Kolmas riik	Puudub.
Säilitamine	14 päeva; vanemad tõmmised eemaldatakse alles pärast edukat uut varundust (cfg/backup_lib.php). Selle aja jooksul tehtud kustutamised jõuavad varukoopiasse alles selle aegumisel; kui andmed taastatakse varukoopiast, rakendatakse kustutamistaotlusi seejärel uuesti.
Asukoht	Varukoopiaid hoitakse praegu andmebaasiga samas asukohas ja neid ei krüpteerita eraldi; kavas on krüpteeritud koopia teises asukohas (jaotised 8.1 ja 10).
TKM	Jaotis 8.

B.28 Vealogi ja veahoiatus

Väli	Kanne
Eesmärk	Vigade leidmine ja parandamine enne, kui Klient neist teatab. Uutest veatüüpidest ja vealainetest teatatakse käitajatele, lisaks igapäevane ülevaade alates kell 08:00.
Andmesubjektide kategooriad	Kasutajad, kelle päring põhjustab vea; kaudselt isikud, kelle andmed ilmuvad veateates.
Isikuandmete kategooriad	Tase, allikas, teade, kontekst JSON-ina, seansi konto ID, aeg (error_logs). Veatüübid: sõrmejälg, muster (millest on eemaldatud e-posti aadressid, aadressid, numbrid ja identifikaatorid), üks muutmata näidisteade kuni 2000 tähemärki, esimene ja viimane esinemine, arv (error_kinds).
Õiguslik alus	IKÜM art 6(1)(f) (toimimise turvalisus, art 32).
Vastuvõtjad	Käitajad e-posti teel e-posti teenusepakkuja kaudu: uue veatüübi korral teate allikas ja toortekst kuni 400 tähemärki (puhastamata), lisaks igapäevane ülevaatekiri; vealaine korral läheb välja ainult Telegrami signaal. Telegram saab ainult fikseeritud lauseid ilma muutujateta („Tekkis uus veatüüp“, „Palju vigu lühikese aja jooksul“).
Kolmas riik	E-posti teenusepakkuja kaudu.
Säilitamine	Vealogi 90 päeva (öösel). Veatüübid ilma säilitamistähtajata (jaotis 10). Veahoiatus on tootmissüsteemis sees ja arendussüsteemis väljas.
TKM	Jaotis 8.

B.29 Toimimissignaalid ja olekuseire

Väli	Kanne
Eesmärk	Katkestuste märkamine: iga viie minuti järel komponentide kontroll (avaleht, andmebaas, kettaruum, skanneri elusignaal, järjekorra mahajäämus), olekuleht, signaal rikke ja ohu möödumise korral, elusignaal välisele seireteenusele, et ka täielik katkestus märgatud saaks; mahajäämus skanneri ees.
Andmesubjektide kategooriad	Reeglina puuduvad.
Isikuandmete kategooriad	Puuduvad. Igapäevased read komponendi kohta kontrollide arvu ja viimase veaga (system_status_logs), skanneri elusignaal (scanner_heartbeat), igapäevased põhinäitajad ilma isikuseoseta (daily_stats). Signaalid Telegramile on fikseeritud laused ilma muutujateta; elusignaal on sisuta päring.
Õiguslik alus	Ei kohaldu, kuna isikuandmeid ei ole; ettevaatusabinõuna art 6(1)(f).
Vastuvõtjad	Telegram (fikseeritud laused); väline seireteenus (ainult päring); käitajad e-posti teel.
Kolmas riik	Telegram väljaspool ELi; isikuandmeid ei edastata.
Säilitamine	Olekuread 400 päeva (öösel).
TKM	Jaotis 8.

B.30 Opt-out – domeeni väljaarvamine

Väli	Kanne
Eesmärk	Igaüks saab mis tahes domeeni kontrollidest jäädavalt välja arvata ilma tõendita; blokeering jõustub kohe kõigil kontrolliteedel (tasuta kontroll, plugin ilma kontota, uuring, potentsiaalse kliendi kontroll, päisetööriist) ning ka kontrolli tõendanud tasuliste Klientide domeenidele; nende käimasolev seire lõpeb järgmise plaanilise kontrolliga. See kehtib domeenile ja selle www-variandile, mitte teistele alamdomeenidele. Selle tühistame ainult meie, taotluse alusel ja tõendiga. Et kuritarvitamist (nt kui konkurent blokeerib teiste domeene) oleks võimalik avastada ja tagasi pöörata, blokeering logitakse.
Andmesubjektide kategooriad	Isikud, kes domeeni välja arvavad.
Isikuandmete kategooriad	Domeen, vabatahtlik põhjus kuni 250 tähemärki, allikas, IP-aadress, riik, brauseri identifikaator, aeg; tühistamisel aeg, blokeeringu tühistanud isik ja põhjus (blocklist). Päringulogi nagu B.4.
Õiguslik alus	Väljaarvamiseks IKÜM art 6(1)(f). Huvi: soovi, et domeeni ei kontrollitaks, jäädav ja kõigil kontrolliteedel elluviimine. Kui väljaarvaja on ise andmesubjekt, viib väljaarvamine ühtlasi ellu tema artikli 21 kohase vastuväite (art 6(1)(c)). Aadressi, riigi ja brauseri identifikaatori puhul (f) (kuritarvitamise avastamine).
Vastuvõtjad	Google (reCAPTCHA, B.23).
Kolmas riik	USA reCAPTCHA kaudu.
Säilitamine	IP-aadress, riik ja brauseri identifikaator 12 kuu pärast (öine kustutamiskäivitus, osa „optout_ip“). Väljaarvamine ise jääb jäädavalt alles, et see toimiks.
TKM	Jaotis 8. Paljud blokeeringud ühest riigist lühikese aja jooksul tekitavad anomaalia (B.4).

B.31 Meeldetuletus pärast registreerumist

Väli	Kanne
Eesmärk	Üksainus e-kiri kaks kuni 14 päeva pärast registreerumist kinnitatud kontodele, millel ei ole kinnitatud domeeni: „Lisa veebisait“ või „Kinnita domeen“. Ei pakkumist, hinda ega paketi täiendamist; märkusega, et seda uuesti ei saadeta. Tööpäevadel kell 09:00–18:00, kõige rohkem 50 käivituse kohta.
Andmesubjektide kategooriad	Uued kontoomanikud.
Isikuandmete kategooriad	E-posti aadress, keel, saatmise aeg (väli „meeldetuletus saadetud“ tabelis users), domeen ja kinnitusolek.
Õiguslik alus	IKÜM art 6(1)(b) (märkus oma konto seadistamise kohta). Kas e-kiri on lepingulist suhet puudutav teade või kommertsteave, mis nõuaks nõusolekut (UŚUDE art 10, Poola elektrooniliste teenuste osutamise seadus (ustawa o świadczeniu usług drogą elektroniczną); PKE art 398; UWG § 7), on õigusliku läbivaatuse lahtine küsimus; käitaja saab selle keskselt välja lülitada.
Vastuvõtjad	E-posti teenusepakkuja (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Kolmas riik	E-posti teenusepakkuja kaudu.
Säilitamine	Aeg säilib nii kaua kui konto; e-kiri 30 päeva väljuvate kirjade kaustas.
TKM	Jaotis 8. Aeg määratakse enne saatmist, et katkestus ei põhjustaks teist e-kirja.

B.32 Telegrami robot Klientide hoiatuste jaoks

Väli	Kanne
Eesmärk	Telegrami vestlus seotakse hoiatuste sihtkohana: Klient saab lingi meie robotile koos ühekordse koodiga; kui saaja vajutab „Start“, loeb meie server koodi robotile saabunud uutest sõnumitest ja salvestab vestluse ID. Selleks ei ole meie poolel vaja avatud lõpp-punkti (webhook).
Andmesubjektide kategooriad	Kliendid ja isikud, kelle Telegrami vestlus on seotud.
Isikuandmete kategooriad	Ühekordne kood, domeen, loonud konto, sündmused, edastusviis, vestluse ID, ajad (telegram_links); vestluse ID sihtkohana (alerts). Telegram edastab koos sõnumiga ka muid profiiliandmeid; hinnatakse ja salvestatakse ainult koodi ja vestluse ID-d.
Õiguslik alus	IKÜM art 6(1)(b); kolmandate isikute kui saajate puhul A.3.
Vastuvõtjad	Telegram.
Kolmas riik	Väljaspool ELi, kaitse piisavuse otsus puudub; valiku teeb Klient (4.1). Alus ja teave on õigusliku läbivaatuse lahtised küsimused.
Säilitamine	Kood kehtib 30 minutit; sidumisread kustutatakse uue koodi loomisel ühe päeva pärast, avatud koodid koos konto ja domeeniga. Vestluse ID sihtkohana kuni hoiatuse sihtkoha või domeeni kustutamiseni.
TKM	Jaotis 8.

B.33 Partnerprogramm ja avamiskoodid

Väli	Kanne
Eesmärk	Konto saab soovituskoodi kaudu suunata uusi Kliente ja saab nende tasutud arvetelt piiratud arvu kuude jooksul vahendustasu. Kood liigub aadressis kuni registreerumiseni; küpsist ei seata. Hostingupakkujad ja partnerid saavad väljastada koode, mis avavad paketi teatud perioodiks ilma makseta; nädal enne lõppu saab Klient meeldetuletuse.
Olek	Partnerprogramm on vaikimisi väljas, kuni partneritingimused on kehtestatud.
Andmesubjektide kategooriad	Partnerid ja suunatud Kliendid.
Isikuandmete kategooriad	Soovituskood, suunanud partner ja suunamise aeg (tabelis users); vahendustasu koos partneri, Kliendi, Stripe'i arve ID, summa, valuuta, tasumäära, oleku ja aegadega (partner_commissions). Avamine koos paketi, lõpu, allika ja meeldetuletusega (tabelis users); kampaaniad ja lunastamised (bundle_campaigns, bundle_redemptions).
Õiguslik alus	IKÜM art 6(1)(b) (partnerileping); Kliendi puhul (f) (vahendustasu arveldamine, ilma et Kliendi andmeid edastataks partnerile rohkem kui vahendustasu summa); maksuarvestuse dokumendid (c).
Vastuvõtjad	Partner näeb oma vahendustasusid.
Kolmas riik	Puudub.
Säilitamine	Suunamine ja avamine koos kontoga. Vahendustasudel ja lunastamistel ei ole koodis säilitamistähtaega; raamatupidamisdokumentidena kehtib vahendustasudele maksuarvestuse eesmärgil säilitamise kohustus (jaotis 6.4).
TKM	Jaotis 8.

B.34 Haavatavustest teatamise punkt

Väli	Kanne
Eesmärk	formexposed haavatavusi käsitlevate teadete vastuvõtmine vastavalt lehel Turvalisus ja failis /.well-known/security.txt toodud reeglitele.
Andmesubjektide kategooriad	Teatajad; isikud, kelle andmeid teade tõendina sisaldab.
Isikuandmete kategooriad	E-posti aadress, nimi, teate sisu ja manused, nii nagu teataja need saadab. Teade jõuab meieni e-kirjaga seal märgitud aadressile; rakendus seda ei salvesta.
Õiguslik alus	IKÜM art 6(1)(f) (teenuse turvalisus, art 32); kui teade sisaldab tõendina kolmandate isikute isikuandmeid, samuti (f), eesmärgiga haavatavus kõrvaldada.
Vastuvõtjad	E-posti teenusepakkuja ja kuni postkasti seadistamiseni domeeni edasisuunamine Namecheapis (jaotis 4).
Kolmas riik	E-posti teenusepakkuja ja kuni ümberlülitamiseni edasisuunamise kaudu.
Säilitamine	Säilitamistähtaega ei ole määratud ega tehniliselt rakendatud (jaotis 10). Käitaja peab tähtaja veel määrama; ilmne lähenemisviis oleks kustutada kolmandate isikute tõendid pärast haavatavuse kõrvaldamist ja käsitleda kirjavahetust nagu kasutajatoe päringuid.
TKM	Jaotis 8.

B.35 Tagasiside aruande kohta

Väli	Kanne
Eesmärk	Aruande all oleva tagasiside vastuvõtmine („Kas selles aruandes on midagi valesti?“), et leida vormituvastuse vigu. Superadministraator liigitab selle (uus, kinnitatud, parandatud, tagasi lükatud) ja saab aruande kontrolliandmed testjuhtumina alla laadida (vormid koos väljade, põhjuste ja leidudega, ilma ekraanipiltideta ja ilma aktiivselt saadetud tekstideta).
Andmesubjektide kategooriad	Isikud, kes vaatavad aruannet, sisse logitud või mitte.
Isikuandmete kategooriad	Kategooria ja kontroll kindlatest loenditest, lehe aadress kuni 500 tähemärki, tekst kuni 1000 tähemärki, keel, aeg, aruande identifikaator, kontroll, host; sisselogimise korral konto identifikaator; IP-aadressi HMAC-SHA256 salajase võtmega piirangu jaoks; olek, käsitleja, käsitlemise aeg (report_feedback). Tegevuslogi: olekumuudatused ja testjuhtumite allalaadimised. E-posti aadressi ega lihttekstina IP-aadressi ei salvestata.
Õiguslik alus	IKÜM art 6(1)(f) (tuvastusvigade leidmine ja parandamine; piirang kuritarvitamise vastu).
Vastuvõtjad	Puuduvad.
Kolmas riik	Puudub.
Säilitamine	24 kuud (öine kustutamiskäivitus, osa „report_feedback“); IP-aadressi kontrollsumma kustutatakse 2 päeva pärast (osa „report_feedback_ip“); konto kustutamisel kohe. Allalaaditud testjuhtumid ei sisalda andmeid teataja kohta.
TKM	Jaotis 8. Meie oma vormikaitse (lõks, allkirjastatud aeg, CSRF), kõige rohkem 5 teadet tunnis ja 20 päevas kontrollsumma kohta, 10 aruande kohta; loetav ainult superadministraatoritele.

6. Säilitamine – mida öine kustutamiskäivitus hõlmab ja mida mitte

Automaatne kustutamine on olemas ja sellel on kindel koht. Olekukäivitus (srv/cron_status.php) käivitatakse iga viie minuti järel veebiserveri crontabi kaudu nii tootmissüsteemis kui ka arendussüsteemis. See kontrollib komponente, toob kohaletoimetamise kontrolli kirjad, ajastab kontrolle ja saadab hoiatusi. Kord päevas, ajavahemikus 03:00–03:04, kustutab see andmed säilitamistähtaegade järgi ja teeb seejärel varukoopia. Alates 27. septembrist 2026 kutsub see lisaks välja säilitamistähtaegade käivituse failis cfg/fristen_lib.php (fe_fristen_lauf()), mille osad töötavad üksteisest sõltumatult: kui üks ebaõnnestub, jätkavad teised ja viga kantakse vealogisse.

Tõend käivituse toimimise kohta: arendussüsteemi varundusolek näitab 11. oktoobril 2026 kell 03:00 edukat varukoopiat; varukoopia tehakse samas plokis kohe pärast kustutamist. Käivitus kirjutab iga kustutatud tabeli kohta logi ainult standardväljundisse, mille crontab kõrvale heidab; püsivat ülestähendust selle kohta, mida ja millal kustutati, ei ole (jaotis 10).

Kohatäitjatena esitatud säilitamistähtajad määratakse haldusalas säilitamisseadete all. Käivitus loeb samu seadeid; seega näitavad tekstid alati tähtaega, mille möödudes andmed tegelikult kustutatakse.

6.1 Igapäevase käivitusega hõlmatud

Andmed	Säilitamistähtaeg ja käivitaja	Koht koodis
Lehevaatamiste logi (access_logs)	60 päeva	srv/cron_status.php
Tegevuslogi (audit_logs)	365 päeva	srv/cron_status.php
Vealogi (error_logs)	90 päeva	srv/cron_status.php
Väljuvate kirjade kaust (mail_outbox)	30 päeva	srv/cron_status.php
„Jää sisselogituks“ meelespidamistõendid (remember_tokens)	pärast aegumist (30 päeva)	srv/cron_status.php
Vastuvõtmata kutsed (workspace_invites)	pärast aegumist (14 päeva)	srv/cron_status.php
Sisselogimiskatsed (login_attempts); katseloendurid (auth_attempt_buckets)	7 päeva; loendurid nende ajavahemiku lõppemisel (praegu 15 minutit, parooli lähtestamisel ja registreerumisel üks tund), ka järgmisel pöördumisel	srv/cron_status.php
Kontota kontrollide päringulogi (check_throttle)	7 päeva	srv/cron_status.php
Plugina ühendamise ühekordsed koodid (plugin_connect_tokens)	1 päev pärast aegumist	srv/cron_status.php
Lahendatud anomaaliad (abuse_flags)	90 päeva pärast lahendamist	srv/cron_status.php
Aegunud aruanded koos kontrollitulemuse, vormide, leidude, piltide ja tööga (ainult ilma kontol oleva domeenita)	anonüümsed 30 päeva, potentsiaalsed kliendid 90 päeva	fe_reports_aufraeumen()
Hoiatuste kohaletoimetamise logi (alert_log)	90 päeva	fe_alert_log_aufraeumen()
Olekuread (system_status_logs)	400 päeva	srv/cron_status.php
Kustutatud kontode nõusolekukanded (legal_consents)	kui konto on kustutatud ja nõusolek on 4 aastat vana	srv/cron_status.php
Kustutatud domeenide jäägid: kontrollitulemused, tööd, hoiatuste andmed, intsidendid, Telegrami koodid, kohaletoimetamised, pulss, haavatavused, tõendid, skriptide inventuur ja skriptimuudatused	kohe järgmisel käivitusel	fe_fristen_lauf(), osad „orphan_scans“, „orphan_rows“
Domeenita hostide pluginaandmed; kontota plugina rida	kohe; rida pärast 90 päeva ilma kontaktita	osa „orphan_hosts“
Päisetööriista tulemused (header_checks)	praegu 90 päeva	osa „header_checks“
Domeeni kontrollitulemused koos vormide, leidude, piltide, aruannete ja töödega	13 kuud; iga domeeni viimane lõpetatud kontroll jääb alles	osa „old_scans“
Brauserikäivitused, lõpetatud brauseritööd, aegread (form_browser_runs, scan_jobs, form_performance)	13 kuud	osad „browser_runs“, „browser_jobs“, „form_performance“
Vormiloendurid (form_metrics), plugina päevanäitajad ja muudatusteated (plugin_stats, plugin_changes)	13 kuud	osad „form_metrics“, „plugin_stats“
Sisselogitud seadmed (login_sessions)	90 päeva pärast viimast kasutamist või tühistamist	osa „sessions“
Vastuvõetud kutsed	30 päeva pärast vastuvõtmist	osa „invites“
Kasutajatoe päringud (support_requests)	24 kuud	osa „support“
Tagasiside aruannetele (report_feedback)	24 kuud; IP-aadressi kontrollsumma 2 päeva	osad „report_feedback“ ja „report_feedback_ip“
Aruannete PDF-versioonid vahemälus (var/pdf)	7 päeva	osa „pdf_cache“
IP-aadress, riik ja brauseri identifikaator opt-out’is (blocklist)	12 kuud; väljaarvamine jääb alles	osa „optout_ip“
Portaali tellijad (client_subscribers)	kinnitamata 30 päeva; tellimusest loobunud 3 aastat	osa „subscribers“
Kunagi kinnitamata kontod koos tööruumiga	30 päeva ilma sisselogimiseta, kui sellega ei ole seotud mõnda teist liiget	osa „pending_accounts“
Kontota API-võtmed (pärandandmed)	kohe	osa „api_keys“

6.2 Väljaspool kella 03:00 ajavahemikku

Andmed	Säilitamistähtaeg ja käivitaja	Koht koodis
Koopiad kohaletoimetamise kontrolli kontrollpostkastis	pärast töötlemist, iga viie minuti järel	fe_zustellung_abholen()
Kohaletoimetamise kontrolli vastavused (delivery_log)	180 päeva, igal toomisel	fe_zustellung_abholen()
Testkonto krüptotekst töödes (scan_jobs)	pärast käivitust, hiljemalt ühe tunni pärast	skaneerimisserver; fe_login_aufraeumen()
Intsidendid (alert_incidents) koos nende eskaleerimise kohaletoimetamiskatsetega	kuni lahendamiseni; 180 päeva pärast lahendamist	fe_vorfaelle_aufraeumen() failis cfg/vorfall_lib.php
Saadetud kokkuvõtlikud teavitused (alert_queue)	30 päeva pärast kohaletoimetamist	cfg/kanal_lib.php
Parvesignaalid (swarm_signals)	30 päeva, iga päev alates kell 04:00	cfg/swarm_lib.php
Potentsiaalsete klientide kontrollid (prospect_checks)	90 päeva, iga päev alates kell 04:00	srv/cron_status.php
Telegrami sidumiskoodid (telegram_links)	1 päev, uue koodi loomisel	cfg/kanal_lib.php
API-päringute loendurid (api_usage)	1 päev, aeg-ajalt päringu käigus	cfg/agentur_lib.php
Lahendatud teenusepakkujate katkestused (provider_incidents), haavatavuste vahemälu (vuln_cache)	vastavalt 90 ja 30 päeva; isikuandmeid ei ole	cfg/anbieter_lib.php, cfg/luecken_lib.php
Uuringu toorandmed	avaldamisel	fe_studie_veroeffentlichen()
Varukoopiad	14 päeva, pärast edukat uut varundust	cfg/backup_lib.php
Veebiserveri logid	14 päeva	süsteemi logiroteerimine

6.3 Kliendipoolsel kustutamisel

• Domeeni kustutamine (fe_domain_loeschen()): kontrollitulemused koos vormide, leidude ja pildifailidega, aruanded, tööd, hoiatuste sihtkohad, kohaletoimetamise logi, kokkuvõtete järjekord, intsidendid, Telegrami koodid, kohaletoimetamised, pulss, haavatavused, tõendilogid, domeen fikseeritud valikuga kliendiportaalidest; võõrvõtmete kaudu jälgitavad vormid koos brauserikäivituste, vaatluste ja aegridadega, testkonto, vormiloendurid; hosti pluginaandmed, kui ükski teine domeen sellele ei viita. Domeeni skriptide inventuur ja skriptimuudatused kustutatakse samuti koos sellega; neil ei ole oma säilitamistähtaega (jaotised 6.4 ja 10). Enne 27. septembrit 2026 tekkinud ja seotud domeenita jäänud andmed puhastab öine käivitus (osad „orphan_scans“, „orphan_rows“).
• Tööruumi kustutamine (fe_arbeitsbereich_daten_loeschen()): lisaks bränd koos logoga, kliendiportaalid koos tellijatega, juurutuskoodid, potentsiaalsete klientide kontrollid; samuti kutsed ja liikmesused.
• Konto kustutamine: kehtiv tasuline tellimus lõpetatakse Stripe'is kohe, ilma tagasimakseta; omaniku enda tööruumid antakse üle või kustutatakse; kustutatakse liikmesused, meelespidamistõendid, seadmed, API-võtmed koos loenduritega, avatud Telegrami koodid ja konto rida.
• Testkonto kustutamine (fe_login_loeschen()): krüptotekst kirjutatakse üle, rida kustutatakse, ootel tööd puhastatakse.

6.4 Mida käivitus ei hõlma

See loend on olulisem. Selles on nimetatud andmed, millel ei ole automaatset säilitamistähtaega või mis jäävad kustutamise järel alles.

Andmed	Mis kehtib	Hinnang
Konto andmed koos viimase IP-aadressiga (users)	kuni kontoomanik need kustutab; mitteaktiivseid kontosid ei kustutata	lepinguandmed; püsivalt mitteaktiivsete ja tellimuseta kontode kohta puudub reegel
Kustutatud konto tegevuslogi, lehevaatamised ja vealogi	jäävad koos konto ID ja IP-aadressiga alles kuni oma säilitamistähtaja lõpuni	tahtlik (toimingute tõendamine ka pärast lõpetamist); ID ei viita enam ühelegi kontole
Kustutatud konto kasutajatoe päringud	jäävad vana konto ID-ga alles kuni 24 kuuks	tahtlik; ID-d ei kustutata
Kustutatud konto nõusolekukanded	kuni nõusolek on 4 aastat vana (arvestatakse nõusolekust, mitte konto kustutamisest)	tahtlik (jaotis B.12)
Lahendamata anomaaliad koos IP-aadressiga (abuse_flags)	kuni keegi need lahendab	lahtine punkt (jaotis 10)
Veatüübid koos muutmata näidisteatega (error_kinds)	säilitamistähtaeg puudub	lahtine punkt (jaotis 10)
Skriptide inventuur ja skriptimuudatused (script_inventory, script_changes)	oma säilitamistähtaeg puudub; säilitatakse seni, kuni domeen on olemas, ja kustutatakse koos sellega	lahtine punkt (jaotis 10)
Tühistatud kliendiportaalide tellijad	kuni tööruumi kustutamiseni	lahtine punkt (jaotis 10)
Tühistatud API-võtmed ja juurutuskoodid	kuni konto või tööruumi kustutamiseni	ainult räsid, eesliide ja silt; väheoluline
Uuringu hostide loend (study_domains), kunagi avaldamata uuringud	säilitamistähtaeg puudub	lahtine punkt (jaotis 10)
Sisemised kontrollid ilma domeeni ja aruandeta (kontrollitulemused, vormid, leiud, ekraanipildid)	säilitamistähtaeg puudub; ükski kustutamistee neid ei hõlma	lahtine punkt (jaotis 10)
Vahendustasud, koodide lunastamised, Stripe'i sündmused	säilitamistähtaeg puudub	raamatupidamislik tähtsus; tähtaeg tuleb määrata maksuõiguse alusel
Domeeni vanuse vahemälu (domain_age_cache)	säilitamistähtaeg puudub	ainult domeeninimi ja registreerimiskuupäev
Vormi e-kirja autentimistulemus koos saatja domeeniga	koos domeeniga; kirjutatakse igal vastuvõtmisel üle	vt A.1
Väljaarvamised opt-out’is	jäädavalt	tahtlik; ilma püsivuseta ei toimi ükski väljaarvamine
E-kirjad teatamispunkti postkastis ja üldpostkastis	tehniline säilitamistähtaeg puudub	lahtine punkt (jaotis 10)

6.5 Väljaspool andmebaasi

• Ekraanipilte hoitakse failidena väljaspool veebikataloogi ja need kustutatakse koos nende kontrollitulemusega (kõik ülaltoodud kustutamisteed kustutavad ka failid).
• Brändi logofailid kustutatakse asendamisel ja koos tööruumiga.
• Skaneerimisserveris luuakse iga töö jaoks ajutine kataloog tulemuse ja piltidega; see kustutatakse pärast iga käivitust, ka pärast viga.
• Varukoopiaid hoitakse veebiserveris (B.27).
• Täieliku IP-aadressiga veebiserveri logisid säilitatakse 14 päeva (B.1).

7. Automatiseeritud otsused, profiilianalüüs ja hindamine

formexposed hindab veebisaite, mitte inimesi. Meie hinnangul ei tee teenus ühtegi otsust, millel oleks isiku jaoks õiguslikud tagajärjed või mis avaldaks talle samamoodi märkimisväärset mõju (IKÜM art 22(1)). Siiski on olemas automatiseeritud hinnangud ja automaatsed blokeeringud. Loetleme need, et liigitust oleks võimalik kontrollida.

Mehhanism	Mida see teeb	Keda see puudutab
Kontrolli skoor ja hinnang	Puuduvate kaitsekihtide (CAPTCHA, lõks, tõend, ajastuskontroll, ebatõhus CAPTCHA, teadaolev avalikult kättesaadav konfiguratsioon) kaalutud summa vahemikus 0 kuni 100; sellest tuleneb „Avatud“, „Osaliselt kaitstud“ või „Kaitstud“. Veebisaidi hinnang lähtub halvimast kontaktivormist, mille reeglid (mitte keelemudel) on sellena ära tundnud; kontaktivormita hinnangut ei anta. Kaale saab muuta haldusalas.	Veebisaitide haldajad; füüsilisest isikust ettevõtjate puhul kaudselt ka isik. Hinnangul ei ole õiguslikke tagajärgi; see on leid koos tõendite ja juhistega.
Vormi tüübi liigitamine	Esmalt reeglid, kohalik keelemudel ainult siis, kui reeglid annavad tulemuseks „teadmata“. Otsustab, kas aktiivne testesitus on lubatud (ainult reeglitega usaldusväärselt tuvastatud kontaktivormi puhul). Keelemudeli liigitatud vorme ei esitata kunagi ja need ei mõjuta skoori ega hinnangut.	Klient ja tema vormi e-kirjade saajad; kaitsev mõju: kahtluse korral ei esitata midagi.
Märk	Näitab „Kaitstud“ ainult kindlatel tingimustel (B.18), muul juhul neutraalne.	Klient; külastajatele mõju ei ole.
Tasuta kontrolli, päisetööriista ja opt-out’i piirangud ja blokeeringud	Lükkavad päringud tagasi, kui aadressi, seansi, domeeni või süsteemi piirangud on täis, kui domeen on liiga noor või selle vanus on teadmata või kui see on blokeerimisloendis.	Päringu esitajad; mõju: tasuta teenusest keeldutakse tundideks kuni päevadeks. Administraator saab aadressi vabastada; kontaktilehe kaudu esitatud päringud jõuavad inimeseni.
Anomaaliad	Mustrid (palju domeene ühelt aadressilt, päringupursked, palju tagasilükkamisi, palju opt-out’e ühest riigist, päevalimiit täis) registreeritakse ja neist teatatakse. Need ise ei blokeeri; blokeeringud tulenevad piirangutest.	Päringu esitajad.
Sisselogimislukk	Pärast praegu kaheksat ebaõnnestunud sisselogimist ühelt aadressilt 15 minuti jooksul lükatakse sellelt aadressilt sisselogimised ajutiselt tagasi. Lisaks loendatakse 15 minuti jooksul kõiki sisselogimiskatseid, sealhulgas edukaid, konto ja IP-aadressi kohta (praegu kaheksa), konto kohta kõigilt aadressidelt kokku (tunduvalt rohkem, hajutatud arvamise vastu) ja IP-aadressi kohta (praegu 80), samuti teise teguri koode (kümme konto kohta 15 minuti jooksul); sellest üle minevad katsed lükatakse tagasi. Seega ei lukusta teiselt aadressilt tehtud ebaõnnestunud katsed omanikku enam kontost välja. Samamoodi on piiratud paroolikinnitused (viis konto kohta 15 minuti jooksul), lähtestamise e-kirjad (kolm aadressi kohta tunnis, muutumatu vastusega), registreerumised (kümme IP-aadressi kohta tunnis) ja kliendiportaali parooli proovimised (kümme portaali ja IP-aadressi kohta, 50 portaali kohta 15 minuti jooksul).	Isikud, kes logivad sisse, registreeruvad või avavad kliendiportaali; mõju on ajaliselt piiratud, parooli lähtestamine jääb võimalikuks.
reCAPTCHA lävend	Lükkab tagasi esitused, mis jäävad alla Google'i skoori; lävend kasutuskoha kohta (praegu 0,7 kontrolli ja opt-out’i puhul). Tagasi lükatakse ka vastused teisele toimingule ja esitused, millele Google ei vasta kolme sekundi jooksul.	Isikud, kes esitavad meie vorme; mõju: uus katse või pöördumine kontaktilehe kaudu.
Parvekaitse	Kannab miinimumlävendite saavutamisel lingi domeeni automaatselt loendisse; ühendatud veebisaitide kaitsekihid suunavad selliste linkidega sõnumid karantiini.	Kliendi lehtedele sõnumite saatjad. Mõju: sõnum peetakse kinni, mitte ei kustutata, ja veebisaidi haldaja saab selle vabastada. Sõnumi kohta teeb otsuse haldaja plugin haldaja veebisaidil, mitte meie.
Võrdlusväärtused	„Paremini kaitstud kui X % kontrollitud saitidest“, ainult vähemalt 20 hosti koondandmete põhjal.	Veebisaitide haldajad; mõju ei ole.

Artiklile 22 on kõige lähemal plugina kaitsekiht Klientide lehtedel, mis peab esitusi automaatselt kinni. See on veebisaidi haldaja poolt haldaja serveris tehtav töötlemine (A.10). See ei kustuta midagi, vaid suunab sõnumid karantiini, ja haldaja saab iga sõnumi vabastada. Profiilianalüüsi külastajate kohta ei tehta ei seal ega meil; puudub külastaja identifikaator, mis seoks ühe sõnumi teisega.

8. Tehnilised ja korralduslikud meetmed (art 32) – üldine kirjeldus

See jaotis on IKÜM art 30(1)(g) ja (2)(d) kohane üldine kirjeldus. Üksikasjalik versioon on lehel Tehnilised ja korralduslikud meetmed. Iga allpool toodud meede on tõendatud koodis või konfiguratsioonis. Veel rakendamata meetmed on samas jaotises (8.1), et kirjeldus oleks täielik.

Valdkond	Kehtiv meede
Edastuse krüpteerimine	HTTPS veebisaidi, rakenduse ja liideste jaoks; HSTS; seansi- ja meelespidamistõendi küpsised ainult HTTPS-i kaudu, HttpOnly, SameSite=Lax.
Juurdepääsukontroll (autentimine)	Paroolid ainult räsina, uued vähemalt kümne tähemärgi ja kõige rohkem 72 baidiga; sisselogimislukk pärast korduvaid ebaõnnestunud katseid ning katsepiirangud konto ja IP-aadressi kohta koos, konto kohta ja IP-aadressi kohta, et teiselt aadressilt tehtud ebaõnnestunud katsed ei lukustaks omanikku välja; katsepiirangud ka paroolikinnitustele, parooli lähtestamisele (sama vastuse ja vastamisajaga), registreerumistele ja portaalide paroolidele; kaheastmeline sisselogimine (TOTP) krüpteeritud saladuse, koodide korduskasutuse kaitse ja räsitud taastekoodidega; igal sisselogimisel uus seansi identifikaator, serveri poolt väljastamata identifikaatoreid ei aktsepteerita; „Jää sisselogituks“ ei ole superadministraatoritele saadaval, iga tõend kehtib ainult üks kord; e-posti aadressi muutmine muudab avatud lähtestuslingi kehtetuks; seadmeid saab tühistada ükshaaval või kõiki korraga; seadmete loend sisaldab ainult seansi identifikaatori räsi.
Juurdepääsukontroll (volitamine)	Rollid tööruumi kohta (omanik, administraator, lugeja); õigusi kontrollitakse objekti, mitte kunagi vormist saadud identifikaatori alusel; testkonto, „Fix it for me“ ja aktiivsed kontrollid ainult omanikele ja administraatoritele; „Vaata kliendina“ on ajaliselt piiratud ja kontot muutvad toimingud on blokeeritud, selle lõpetamine logib täielikult välja, haldusalasse naasmine ainult parooli ja teise teguriga; kutsed kehtivad ainult seni, kuni kutsuja on omanik või administraator; veebikonksude ja vestluskanalite aadresse näidatakse lugejatele ainult hostini lühendatult; kinnitatud domeeni hostinime ei saa muuta.
Rakenduse turvalisus	CSRF-tõendid; ettevalmistatud andmebaasilaused; meie oma vormikaitse (lõks, allkirjastatud ajastuskontroll); reCAPTCHA avalikel vormidel; päringusageduse piiramine kasutajatoe, kontrollide ja liideste puhul; korraga ainult üks „Fix it for me“ päring tööruumi kohta, et kvoot kehtiks ka samaaegsete päringute puhul; sisuturbepoliitika (Content Security Policy) koos raamimiskaitsega, mis lubab käivitada ainult vastava vastuse loaga (nonce) skripte; IP-aadress edastatud päistest ainult meie oma puhverserverist ja ainult selle lisatud kirjest; juurdepääsutõendid lehevaatamiste logis maskeeritud.
Saladused	API-võtmed, juurutuskoodid, plugina ühendussaladused, ühekordsed koodid ja portaalide paroolid ainult räsina; testkonto juurdepääsuandmed asümmeetriliselt krüpteeritud, privaatvõti ainult skaneerimisserveris; veebikonksud allkirjastatud; Stripe'i sündmused ainult kehtiva allkirjaga.
Võimalikult väheste andmete kogumine	Kohaletoimetamise kontroll ei salvesta sisu ega täielikke saatja aadresse; saaja aadressid vormides ainult domeenina; konto ID-d skriptiaadressides asendatakse; plugina näitajad ainult kindlatest loenditest; e-kirjade saatmise veatekstid ainult kategooriana; Telegrami signaalid ilma muutujateta; brauserikontrolli pildid maskeeritud sisestusega; ekraanipilte sisselogimise taga ei tehta.
Skanneri isoleerimine	Iga kontroll oma konteineris: kõik Linuxi võimekused (capabilities) eemaldatud, õiguste laiendamine keelatud, kirjutuskaitstud failisüsteem, mälu- ja protsessipiirang, oma võrk; sihtkoha kontroll privaat- ja kohtvõrkude suhtes enne vastuvõtmist ja skanneris, ka pärast ümbersuunamisi; service worker'id blokeeritud, WebSocket-ühendused suletud. Veebiserveri päringud (kontrolli tõendamine, päisetööriist, failiotsing, pulss, RDAP, sertifikaadid, veebikonksud ja vestlushoiatused) ainult tavapärastele veebiportidele ja ainult täpselt kontrollitud aadressile, veebikonksud ja vestlushoiatused ainult HTTPS-i kaudu.
Hoiustamine	Ekraanipildid väljaspool veebikataloogi, kättesaadavad ainult aruande kaudu; aruanded juhuslikel aadressidel märkega noindex; varunduskataloog loetav ainult teenusele.
Käideldavus ja taastamine	Öine varundus koos sisukontrolliga, iganädalane taastamistest, hoiatus ebaõnnestumise korral; komponentide kontroll iga viie minuti järel koos signaali ja e-kirjaga; väline elusignaal; anonüümsete kontrollide hädapeatamine; vastusurve mahajäämuse korral.
Jälgitavus	Tegevuslogi sisselogimiste, muudatuste, kustutamiste, kasutajatoe juurdepääsu ja heakskiitude kohta; vealogi koos hoiatusega.
Kustutamine	Säilitamistähtajad ühes kohas koodis, samadest seadetest kui tekstid (jaotis 6); domeeni, tööruumi ja konto kustutamisahelad koos jaotises 6.4 toodud eranditega.
Andmesubjekti õigused	Kõigi kontoandmete eksport failina ühe klõpsuga, väljade lubatud loendi alusel, ilma saladusteta.
Korraldus	Haldusala ainult superadministraatori õigustega kontodele, „Vaata kliendina“ ajal blokeeritud; arendus- ja tootmissüsteem eraldatud, arendussüsteem täiendava juurdepääsutõkke taga; õigustekstide ülekandmine pärast heakskiitu tööriistaga, mis keeldub mustanditest ja kohatäitjatest.

8.1 Veel rakendamata meetmed

• Andmebaasi ei krüpteerita puhkeolekus (mõõdetud 11. oktoobril 2026). Erandid on testkonto juurdepääsuandmed ja kaheastmelise autentimise saladus, mis on krüpteeritud välja tasandil.
• Sisemised ühendused ei ole läbivalt krüpteeritud. Ühendused meie sisevõrgus ei ole läbivalt krüpteeritud. Testkonto juurdepääsuandmed liiguvad seal ainult krüptotekstina.
• Varukoopiat teises asukohas ei ole. Varukoopiaid hoitakse praegu andmebaasiga samas asukohas ja neid ei krüpteerita eraldi; kavas on krüpteeritud koopia teises asukohas. Seni kaitsevad need ekslikult antud kustutamiskäsu, kuid mitte asukoha kaotuse eest.
• Serverihalduse turvamine ei ole lõpule viidud. Meie serverite haldusjuurdepääsu turvalisus ei vasta veel tasemele, mida me käitamiseks kavandame; turvamine jätkub. Me ei avalda üksikasju, sest need aitaksid ründajat; järelevalveasutusele esitame need taotluse korral.
• Haldusalas puudub funktsionaalne lugemislogi. Kirjutamistoimingud registreeritakse tegevuslogis; seda, kes üksnes vaatas millist kasutajatoe päringut või millist aruannet, saab kindlaks teha ainult lehevaatamiste logist (60 päeva).
• Püsiv kustutamislogi puudub. Seda, mida öine käivitus on kustutanud, ei registreerita (jaotis 6).
• Sõltumatut teist kontrollpunkti ei ole. Sond teises asukohas ei ole seadistatud (A.6).

9. Andmekaitseametnik – hinnang IKÜM art 37 alusel

Tulemus: Meie hinnangul ei ole kohustust andmekaitseametnikku määrata. Hinnang on õigusliku läbivaatuse osa ja seda korratakse, niipea kui mõni allpool loetletud asjaoludest muutub.

Art 37(1) nõuab määramist kolmel juhul.

• Punkt (a) (avaliku sektori asutus või organ) ei kohaldu.
• Punkt (b) (põhitegevused, mis nõuavad andmesubjektide korrapärast ja süstemaatilist ulatuslikku jälgimist): meie põhitegevus on veebisaitide ja vormide korrapärane, süstemaatiline kontrollimine, mitte inimeste jälgimine. Me ei loo külastajaprofiile, ei kasuta jälgimist ega seo ühtegi sõnumit teisega. Kohaletoimetamise kontroll (A.1) juhib tõelised külastajasõnumid läbi meie postkasti, kuid hindab vastavuse leidmiseks ainult päiseid ja esimesi 8 KB ning ei salvesta sisu; see jälgib kohaletoimetamise teid, mitte inimesi. Kliendikontod ja logid on äritegevuse suhtes kõrvalised.
• Punkt (c) (artikli 9 kohaste eriliigiliste isikuandmete või artikli 10 kohaste süüteoandmete ulatuslik töötlemine põhitegevusena): ei ole täidetud. Eriliigilised andmed võivad juhuslikult esineda vormi e-kirjade koopiates (A.1), sisselogimise taga olevatel lehtedel (A.5) või kleebitud koodis (A.7); juhuslik kogumine ei ole põhitegevus.

Art 37(4) lubab liikmesriigi õiguses ette näha täiendavaid juhtumeid. Laseme juristil kinnitada, kas Poola õigus kohustab meid andmekaitseametnikku määrama.

Uue hindamise ajendid: parvekaitse aktiveerimine koos IP-võrkudega; funktsioon, mis tuvastab külastajaid mitme sõnumi või veebisaidi lõikes; kohaletoimetamise kontrolli sisu salvestamine; Klient, kelle vormid puudutavad valdavalt eriliigilisi andmeid (tervis, tööle kandideerimine) ja kellel on kohaletoimetamise kontroll ulatuslikult sisse lülitatud; esimene töötaja, kellel on juurdepääs kliendiandmetele. Vabatahtlik määramine jääb võimalikuks; siis kohalduvad artiklid 37–39 täies ulatuses.

Eraldi: kas üksikute isikuandmete töötlemise toimingute puhul on vaja art 35 kohast andmekaitsealast mõjuhinnangut, sellele vastab leht Andmekaitsealane mõjuhinnang. Selle lävehinnangu järeldus on, et mõjuhinnang on vajalik parvekaitse (B.21) ja kavandatud ulatusega uuringute (B.7) puhul ning selle teeme meie, ning et kohaletoimetamise kontrolli (A.1) puhul on see tüüpilises olukorras vajalik Kliendi kohustusena ja meie toetame Klienti selles.

10. Lahtised punktid ja kavandatud meetmed

Järgmised punktid on tõendatud koodis, skeemis või konfiguratsioonis, mitte oletatud. Need kirjeldavad olukorda selle versiooni kuupäeva seisuga; liigitus on meie oma ega eelda mingit õiguslikku hinnangut. Need on järjestatud kaalu järgi andmesubjektide jaoks, mitte selle järgi, kui lihtne on neid parandada. Kavandatud meetmed ja nende prioriteet on esitatud dokumendis Andmekaitsealane mõjuhinnang.

Lahtine punkt	Mis on tõendatud	Tähendus
Dokumenteeritud lepinguta e-posti teenusepakkuja	Namecheap, Inc. (Private Email), Phoenix, Arizona, USA puhul ei ole leping, töötlemiskohad ja edastamise alus dokumenteeritud. Selle teenusepakkuja kaudu liiguvad konto e-kirjad, hoiatused ja tõeliste külastajasõnumitega kontrollpostkast.	Asjakohased sätted on IKÜM art 28(2) ja (4) ning V peatükk. Lepingu sõlmimine ja dokumenteerimine on kavas enne käivitamist.
Vestlusteenuste ja reCAPTCHA alused lahtised	Hoiatused Telegramile (kaitse piisavuse otsus puudub), Slackile, Discordile, Microsoft Teamsile ja Google Chatile; reCAPTCHA ilma nõusolekupäringuta.	Õigusliku läbivaatuse lahtised küsimused; seni ei ole teave ja alus lõplikud.
Kontrollpostkast võib häirete ajal sõnumeid hoida	Kustutamine toimub pärast edukat töötlemist; kui toomine ebaõnnestub, jäävad koopiad alles järgmise eduka käivituseni. Hoiatust ei anta, kui postkasti koguneb pikema aja jooksul mahajäämus.	Koopiad sisaldavad tõelisi külastajate päringuid.
Varukoopia teises asukohas puudub, andmebaasi ei krüpteerita puhkeolekus	Jaotis 8.1. Kavas on varukoopia krüpteeritud koopia teises asukohas.	Üksainus sündmus asukohas mõjutaks korraga andmeid ja varukoopiat; varastatud andmekandja oleks loetav.
Lahendamata anomaaliad ilma säilitamistähtajata	Täieliku IP-aadressiga kui võtmega anomaaliad kustutatakse alles 90 päeva pärast lahendamist; kõik, mida kunagi ei lahendata, jääb alles.	Puudutab säilitamise piirangu põhimõtet (art 5(1)(e)); kustutamine sõltub käsitsi lahendamisest. Kavas on kindel säilitamistähtaeg (andmekaitsealase mõjuhinnangu meetmed).
Veatüübid koos näidisteatega ilma säilitamistähtajata	Näidisteade salvestatakse muutmata kujul kuni 2000 tähemärgi ulatuses; puhastatud muster eemaldab aadressid ja numbrid, näidis mitte.	Veateated võivad sisaldada e-posti aadresse, hostinimesid või IP-aadresse.
Skriptide inventuur ilma oma säilitamistähtajata	Skriptide inventuur ja skriptimuudatused kustutatakse koos domeeniga (FE_DOMAIN_TABELLEN), sealhulgas tööruumi või konto kustutamisel ja öises jääkide käivituses; neil ei ole oma säilitamistähtaega. Need sisaldavad skriptiaadresse, lehtede aadresse ning heakskiitude puhul heakskiitjat ja vabatekstilist põhjendust.	Puudutab säilitamise piirangu põhimõtet (art 5(1)(e)); heakskiitudega muudatuste logi kasvab seni, kuni domeen on olemas.
Tühistatud portaalide tellijad	Tühistatud portaal blokeeritakse, mitte ei kustutata; selle tellijad jäävad alles kuni tööruumi kustutamiseni.	Eesmärk (aruande saatmine) lõppes tühistamisega.
Uuringuloendid ilma säilitamistähtajata	Pärast avaldamist jäävad hostid ja segmendid alles; kunagi avaldamata uuringud säilitavad ka oma toorandmed.	Lubadus „toorandmed kustutatakse“ kehtib ainult avaldatud uuringute kohta.
Sisemised kontrollid ilma kustutamisteeta	Usaldustasemega „sisemine“ kontrollid, millel ei ole ei domeeni ega aruannet (uuringud ja käitaja poolt käsurealt loodud kontrollid), ei ole hõlmatud ühegi kustutamisteega; nendega jäävad alles kolmandate isikute veebisaitide vormid, leiud ja ekraanipildid.	Puudutab säilitamise piirangu põhimõtet (art 5(1)(e)); mõjutab inimesi, kes kontrollist midagi ei tea. Hinnatud dokumendis Andmekaitsealane mõjuhinnang suure riskiga punktiks.
Kontrolli tõendamist ei uuendata	Kontrolli tõendamist kontrollitakse üks kord; koodis puudub tee, mille kaudu domeen selle uuesti kaotaks.	Aktiivsed testesitused, failiotsing ja skaneerimine sisselogimise taga jätkuvad ka pärast omaniku või volituse vahetumist.
Skaneerimine sisselogimise taga: edastus Kliendi lehele	Sisselogimisaadressina on lubatud https kõrval ka http ning sertifikaadivead Kliendi lehel ei peata sisselogimist.	Testkonto juurdepääsuandmeid võidakse teel Kliendi lehele pealt kuulata.
Kustutamine sõltub ajavahemikust	Igapäevane plokk käivitub ainult siis, kui olekukäivitus algab vahemikus 03:00–03:04. Kui see üks käivitus ebaõnnestub (andmebaas pole kättesaadav, server taaskäivitati), jäävad selle päeva kustutamine ja varundus tegemata; järeletegemist ei toimu. Kustutatut püsivalt ei logita.	Säilitamistähtajad pikenevad siis vaikselt ühe päeva võrra. Vahelejäänud ajavahemik ei käivita hoiatust; teatatakse ainult käivitunud ja ebaõnnestunud varundusest. Haldusala seadistusloend näitab viimase eduka varunduse kuupäeva.
Mõned kustutamised sõltuvad seirest	Kohaletoimetamise kontrolli kontrollpostkasti tühjendamine, intsidentide, saadetud kokkuvõtlike teavituste, parvesignaalide ja potentsiaalsete klientide kontrollide kustutamine ning töödesse jäänud testkonto koopiate puhastamine toimuvad olekukäivituse ajastajaosas, mis töötab ainult siis, kui seire on haldusalas sisse lülitatud; kohaletoimetamise kontrolli vastavused kustutatakse ainult siis, kui kontrollpostkast on seadistatud.	Kui seire keskselt välja lülitatakse või postkast eemaldatakse, lakkavad need säilitamistähtajad toimimast, ilma et keegi seda märkaks.
Teatamispunkt ja postkastid ilma säilitamistähtajata	Haavatavusteateid ja muid saabuvaid e-kirju hoitakse väljaspool rakendust; säilitamistähtaega ei ole määratud.	Teated võivad sisaldada kolmandaid isikuid puudutavaid tõendeid.
Peidetud väljade väärtusi loetakse kontrolli käigus	Skanner loeb peidetud vormiväljade väärtust kuni 24 tähemärgi ja andmeatribuute kuni 60 tähemärgi ulatuses, et tuvastada ajatemplid ja tõendid. Väljakaardile ja leidudesse lähevad ainult välja nimi, tüüp, silt ja tuvastustulemus, mitte väärtus.	Salvestamislünka ei ole; väärtust hoitakse kontrolli ajal ainult skaneerimiskonteineri töömälus. Eeltäidetud väärtus (nt kliendinumber) loetakse seejuures, kuid seda ei salvestata.
Tuletatud saatja domeen autentimistulemuses	A.1.	Külastajate isiklike domeenide puhul tõelisest sõnumist pärinevad isikuandmed.
Serverihalduse turvamine ei ole lõpule viidud; sisemised ühendused ei ole läbivalt krüpteeritud	Jaotis 8.1. Turvamine jätkub; üksikasju me avalikult ei esita.	Turvaintsident serveri tasandil mõjutaks korraga rakendust, andmebaasi ja varukoopiaid.
Mõõtmine arendussüsteemis	Skeem, kood ja seaded mõõdeti arendussüsteemis.	Kood ja skeem vastavad tootmissüsteemile; seaded võivad erineda ja need tuleb seal enne käivitamist uuesti kontrollida.

11. Selle registri pidamine

Art 30 nõuab, et registrit peetaks kirjalikult ja see tehtaks taotluse korral järelevalveasutusele kättesaadavaks. Selleks on vaja kedagi, kes selle eest vastutab, ja intervalli, mille järel seda kontrollitakse süsteemi, mitte selle eelmise versiooni alusel.

• Vastutus: Lukas Wójcik, omanik. Registrit vaadatakse läbi igal aastal ja alati, kui mõni isikuandmete töötlemise toiming muutub.
• Sündmused, mis nõuavad ajakohastamist: uus või muutunud alamtöötleja, eelkõige e-posti teenusepakkuja valik; uus tabel või uus isikuandmetega väli; säilitamistähtaegade või kustutamisahelate muutmine failis cfg/fristen_lib.php või srv/cron_status.php; uus hoiatuskanal või uus päring kolmandale isikule; vaikimisi välja lülitatud funktsiooni sisselülitamine (parvekaitse koos IP-võrkudega, sond, oma domeenid, partnerprogramm, arvega tasumine, Spamhaus või Google Web Risk); üleminek teistele serveritele.
• Toimimisviis: iga siinne väide pärineb koodist, skeemist või mõõtmisest. Läbivaatus, mis loeb ainult teksti, ei ole midagi läbi vaadanud: skeem ja kustutamisahelad mõõdetakse uuesti, kohatäitjad jäävad kohatäitjateks, lahtised punktid suletakse või kantakse põhjendusega edasi.
• Seos teiste dokumentidega: see register ei asenda dokumente Privaatsuspoliitika, Isikuandmete töötlemise leping, Tehnilised ja korralduslikud meetmed ega Alamtöötlejate loendit. Kui need ja see register erinevad, on erinevus leid.
• Selle dokumendi muudatused on loetletud lehel Lepingudokumentide muudatused.