Seloste käsittelytoimista (GDPR Art. 30)

Tämä asiakirja on julkaistu useilla kielillä. Jos kieliversioiden välillä on ristiriitaa, puolankielinen versio on sitova.

Versio 1.2 · Päivitetty viimeksi: 29. lokakuuta 2026

1. Näin luet tätä selostetta

Tämä on formexposed-palvelun GDPR Art. 30 mukainen seloste käsittelytoimista. Se ei ole tietosuojaseloste eikä markkinointia. Sen tehtävä on näyttää valvontaviranomaiselle, meitä käsittelijänä auditoivalle Asiakkaalle tai seuraavalle, jonka on vastattava johonkin kysymykseen, mitä todellisuudessa käsitellään, missä sitä säilytetään, kuka sen saa ja kuinka kauan se säilyy. Julkaisemme sen, koska palvelun, joka tarkistaa ja valvoo lomakkeita, tulisi itsekin olla tarkistettavissa.

Sen laatimista ohjasi kolme sääntöä.

1. Mitattua, ei aiottua. Tietokenttiä, säilytysaikoja, vastaanottajia tai suojatoimia koskeva toteamus esitetään vain, jos ohjelmakoodi, tietokantaskeema tai mittaus tukee sitä. Suunniteltua kutsutaan ”suunnitelluksi”. Oletuksena pois käytöstä olevaa kutsutaan ”oletuksena pois käytöstä” olevaksi. Jos emme voi todistaa jotain, kerromme sen.
2. Säilytysaika esitetään kahdesti. Kerran kunkin käsittelytoimen kohdalla ja kerran osiossa 6 kokonaiskuvana: mikä öinen ajo poistaa mitkä tiedot ja mihin tietoihin se ei ulotu. Seloste, joka väittää säilytysajan, joka koskee vain osaa tiedoista, on huonompi kuin seloste, joka nimeää avoimen kohdan.
3. Avoimet kohdat mainitaan tekstissä, ei alaviitteessä. Osiossa 8.1 luetellaan toimenpiteet, joita ei ole vielä toteutettu, osiossa 10 avoimet kohdat suunniteltuine toimenpiteineen. Seloste on työväline, ei todistus.

Tietokentät taulujen nimien sijaan. Kunkin käsittelytoimen kohdalla luettelemme tallennetut tiedot selkokielisinä kenttinä. Tietokantataulun nimi seuraa suluissa, jotta auditoija löytää kohdan, esimerkiksi ”kirjautumisyritykset (login_attempts)”. Kenttäluettelot on johdettu tietokantaskeemasta, ei muistinvaraisesti.

Säilytysajat paikkamerkkeinä. Jos säilytysaika voidaan asettaa hallinta-alueella, se näkyy tässä täsmälleen sellaisena kuin öinen ajo sen lukee: näkemäsi luku tulee samasta asetuksesta, joka ohjaa poistamista. Ohjelmaan kiinteästi asetetut säilytysajat ilmoitetaan lukuina.

Mittausperuste. Skeema, koodi ja asetukset mitattiin 11. lokakuuta 2026 kehitysjärjestelmästä, joka vastaa tuotantojärjestelmää koodiltaan ja skeemaltaan. Emme ilmoita kehitysjärjestelmän rivimääriä; ne sisältävät testitietoja eivätkä kerro mitään todellisesta toiminnasta.

Tarkoituksella pois jätetty. Tässä selosteessa ei mainita palvelintemme isäntänimiä, sisäisiä verkko-osoitteita, portteja, käyttäjätunnuksia tai ohjelmistoversioita. Tällaiset tiedot auttavat hyökkääjää eivätkä yhtään rekisteröityä. Samasta syystä kuvaamme omien palvelintemme suojaamisen avoimia kohtia vain yleisellä tasolla (osio 8.1): nimeämme riskin, emme reittiä siihen. Annamme yksityiskohdat valvontaviranomaiselle pyynnöstä.

Oikeudellinen luonne. Tämä seloste on dokumentaatio, jota ylläpidämme GDPR Art. 30 mukaisesti valvontaviranomaista varten; se julkaistaan vapaaehtoisesti. Se ei ole osa mitään sopimusta eikä muodosta mitään vakuutusta, takuuta tai laatua koskevaa sopimusta suhteessa Asiakkaisiin tai kolmansiin osapuoliin. Se, mitä olemme velkaa Asiakkaille, määräytyy käyttöehtojen, henkilötietojen käsittelysopimuksen ja sen liitteiden mukaan; näiden velvoitteiden osalta ne ovat ensisijaisia tähän selosteeseen nähden. Seloste kuvaa tilannetta tämän version päivämääränä. Luokittelut kuten ”avoin kohta” tai ”arvio” kuvastavat omaa näkemystämme eivätkä ennakoi valvontaviranomaisen tai tuomioistuimen oikeudellista arviota; ”suunnitelluiksi” kuvatut toimenpiteet ovat aikomuksia ilman sitovaa päivämäärää.

2. Oikeushenkilö ja miksi tässä selosteessa on kaksi puoliskoa

Kenttä	Merkintä
Oikeushenkilö	LW IT Solutions Company Lukas Wójcik, Puolan elinkeinorekisteriin (CEIDG) merkitty yksityinen elinkeinotoiminta; omistaja Lukas Wójcik
Osoite	al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Puola
Verotunnisteet	NIP 7252266190, ALV-tunniste PL7252266190
Yhteystiedot	contact@lukaswojcik.com; tukiikkuna (kysymysmerkki navigoinnissa); yhteydenottosivu
Palvelu	formexposed: verkkosivustojen yhteydenottolomakkeiden tarkistaminen, valvonta ja suojaaminen (sovellus osoitteessa formexposed.com, aloitussivu osoitteessa form.exposed)
GDPR Art. 27 mukainen edustaja	Ei sovellu. Oikeushenkilö on sijoittautunut unioniin (Puola).
Tietosuojavastaava	Ei nimitetty. Art. 37 mukainen arvio on osiossa 9.
Toimivaltainen valvontaviranomainen	Prezes Urzędu Ochrony Danych Osobowych (UODO, Puolan tietosuojaviranomainen), ul. Moniuszki 1A, 00-014 Warszawa
Hosting	Omat palvelimemme Puolassa: yksi verkkopalvelin sovelluksineen ja tietokantoineen sekä yksi skannauspalvelin paikallisine kielimalleineen samassa sisäverkossa. Ei kolmannen osapuolen konesalia tai pilvipalveluntarjoajaa.

formexposed on eri rooleissa eri henkilöryhmiin nähden. Niiden sekoittaminen tuottaa selosteen, joka ei ole oikea yhdellekään niistä.

• Rekisterinpitäjä (osa B, Art. 30(1)). Olemme itse rekisterinpitäjä omien Asiakkaidemme ja heidän tiimiensä jäsenten tietojen (tili, kirjautuminen, laskutus, tuki, lokit), oman verkkosivustomme kävijöiden, ilman tiliä tehtävien tarkistusten (ilmainen tarkistus, otsaketyökalu, tutkimus, mahdollisen asiakkaan tarkistus) ja väärinkäytösten estämisen osalta.
• Käsittelijä (osa A, Art. 30(2)). Kolmansien osapuolten henkilötietojen osalta, jotka Asiakas tuo palveluun tai jotka syntyvät, kun suoritamme palvelua Asiakkaalle, toimimme Asiakkaan lukuun: kopiot todellisista lomakesähköposteista toimitustarkistuksessa, Asiakkaan asiakasportaalin tilaajat, Asiakkaan hälytysten vastaanottajat, Asiakkaan tarkistetuilla sivuilla sattumalta näkyvät henkilöt, Asiakkaan testitilin tunnukset ja Asiakkaan liittämä lomakekoodi. Perusteena on henkilötietojen käsittelysopimus, joka tehdään jokaisen Asiakkaan kanssa rekisteröitymisen yhteydessä.
• Vain Asiakkaan puolella. Jotkin WordPress-lisäosan ja TYPO3-laajennuksen toiminnot käsittelevät tietoja yksinomaan Asiakkaan verkkosivustolla ilman, että tiedot koskaan päätyvät meille (karanteeni, turvaverkko, laskutehtävä, säilytysasetukset, paikalliset laskurit, tallennin). Ne eivät ole meidän suorittamaamme käsittelyä, eivätkä ne siksi näy kummassakaan osassa. Kuvaamme ne kuitenkin osan A lopussa, jotta raja on näkyvissä.

Erottelu on rakennettu koodiin, ei pelkästään tekstiin: todellisesta lomakesähköpostista toimitustarkistus kirjoittaa tietokantaan vain ajankohdan, liitoksen ja todennuksen tuloksen; selaintarkistusten kuvakaappaukset peittävät syöttökentät; testitilin tunnukset salataan niin, ettei verkkopalvelin voi enää lukea niitä. Yksityiskohdat esitetään merkinnöissä.

Osiot 6–11 koskevat molempia puoliskoja: säilytys, automaattiset päätökset, tekniset ja organisatoriset toimenpiteet, tietosuojavastaava, avoimet kohdat ja tämän selosteen ylläpito.

Soveltamisala. Tämä asiakirja on se selosteen osa, joka koskee formexposed-palvelua. Saman oikeushenkilön muita palveluja varten tekemä käsittely kirjataan niiden omiin selosteisiin; palvelun ulkopuolinen yleinen kirjanpito ja liiketoiminnan hallinto eivät kuulu tähän osaan.

3. Osa A – Art. 30(2): käsittely Asiakkaiden lukuun

A.0 Osapuolet

Kenttä	Merkintä
Käsittelijä	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Puola; contact@lukaswojcik.com
Rekisterinpitäjät	formexposed-palvelun Asiakkaat: yritykset ja toimistot, joiden tilillä on verkkotunnuksia ja jotka käyttävät toimintoja, joissa syntyy kolmansien osapuolten tietoja. Toimistojen kohdalla myös toimiston oma asiakas voi olla rekisterinpitäjä; toimisto toimii tällöin käsittelijänä suhteessa tähän asiakkaaseen, ja me toimimme seuraavana käsittelijänä.
Luettelo rekisterinpitäjistä	Osa tätä selostetta, jota pidetään sähköisessä muodossa (GDPR Art. 30(3)) palvelun järjestelmässä ja jota ei toisteta tässä julkisessa versiossa, koska se sisältää Asiakkaiden henkilötietoja ja olisi vanhentunut jokaisen uuden Asiakkaan myötä: kunkin työtilan omistaja nimineen, sähköpostiosoitteineen ja yrityksineen asiakastililtä (osoite ja ALV-tunniste vain Stripessä) (users, workspaces, workspace_users) sekä työtilan verkkotunnukset (domains). Toimitamme sen valvontaviranomaiselle otteena pyynnöstä.
Rekisterinpitäjien edustajat ja tietosuojavastaavat	Järjestelmässä ei ole tätä varten erillistä kenttää. Jos Asiakas on nimennyt GDPR Art. 27 mukaisen edustajan tai tietosuojavastaavan, se voi ilmoittaa heistä meille; säilytämme ilmoituksen rekisterinpitäjien luettelon yhteydessä.
Käsittelijän edustaja	Ei sovellu (sijoittautunut Puolaan).
Tietosuojavastaava	Ei nimitetty (osio 9).
Ohjeet	Ohje perustuu henkilötietojen käsittelysopimukseen ja Asiakkaan tekemiin asetuksiin: Asiakas ottaa käyttöön toimitustarkistuksen, määrittää hälytyskohteet, tallentaa testitilin ja perustaa asiakasportaalin. Ilman tätä toimenpidettä kyseistä käsittelyä ei tapahdu.
Tekniset ja organisatoriset toimenpiteet	Osio 8 ja sivu Tekniset ja organisatoriset toimenpiteet koskevat jokaista osan A käsittelytointa. Erityiset toimenpiteet mainitaan kyseisessä merkinnässä.

A.1 Toimitustarkistus – lomakesähköpostien valvontakopio

Kenttä	Merkintä
Tarkoitus	Tarkistetaan, lähteekö Asiakkaan yhteydenottolomakkeen sähköposti todella ja miten se todennetaan (SPF, DKIM, DMARC, kohdistus). Hyväksytyn aktiivisen testilähetyksen jälkeen sen kopion on saavuttava valvontapostilaatikkoon säädettävän odotusajan kuluessa (tällä hetkellä 3 tuntia); muuten annetaan hälytys ”Testisähköpostia ei vastaanotettu”. Otsakkeista johdetaan myös lomakesähköpostin aitous, käytetty sähköpostipalvelu ja lähettäjän osoite estolistatarkistusta varten.
Edellytys	Maksullinen tilaus, vahvistettu verkkotunnus, Asiakkaan käyttöön ottama. Asiakas lisää oman valvontaosoitteensa tunnisteineen (muotoa ”delivery+tunniste@…”) piilokopiona lomakkeensa ilmoitukseen. Ilman määritettyä valvontapostilaatikkoa toiminto ei ole käytettävissä.
Rekisteröityjen ryhmät	Asiakkaan verkkosivuston kävijät, jotka lähettävät Asiakkaan lomakkeen; henkilöt, joiden tietoja kävijä kirjoittaa viestiin; Asiakkaan henkilöstö, joka näkyy otsakkeissa vastaanottajina.
Henkilötietoryhmät	Valvontapostilaatikossa (sähköpostipalvelun tarjoajalla): kunkin lomakesähköpostin täydellinen kopio, mukaan lukien todelliset yhteydenotot nimineen, sähköpostiosoitteineen, puhelinnumeroineen ja vapaine teksteineen, poistamiseen asti. Noudon lukemat: otsakkeet ja enintään rungon 8 ensimmäistä kilotavua. Tietokannassa: vastaanottoajankohta, liitos verkkotunnukseen ja tarvittaessa testiajoon (delivery_log); viimeisin todennustulos verkkotunnusta kohden SPF-, DKIM- ja DMARC-tuloksineen, kohdistuksineen, lähettäjän verkkotunnuksineen, allekirjoittavine verkkotunnuksineen ja lähettävän postipalvelimen osoitteineen (verkkotunnuksen todennuskenttä taulussa domains). Sisältöä, aihetta ja kävijän lähettäjäosoitetta ei kirjoiteta tietokantaan.
Huomautus lähettäjän verkkotunnuksesta	Jos lomake asettaa kävijän osoitteen lähettäjäksi (virheellinen määritys, jonka paljastamiseen tarkistus on suunniteltu), todennustulos sisältää kyseisen osoitteen verkkotunnuksen, ei itse osoitetta. Jos kävijä käyttää henkilökohtaista verkkotunnusta, myös se voi olla henkilötieto. Se korvataan seuraavan vastaanoton yhteydessä.
Lähde	Asiakkaan verkkosivuston lomake Asiakkaan lisäämän piilokopion kautta.
Oikeusperuste (rekisterinpitäjän määrittämä)	Asiakkaan määrittämä. Asiakkaan tietosuojaselosteeseen ehdottamamme teksti perustaa kopion GDPR Art. 6(1)(f):ään (oikeutettu etu vastaanottaa yhteydenotot luotettavasti). Asiakas informoi kävijöitään tästä tietovirrasta; henkilötietojen käsittelysopimus velvoittaa sen tekemään niin.
Vastaanottajat	Valvontapostilaatikkoa ylläpitävä sähköpostipalvelun tarjoaja (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Kopio menee suoraan sinne: se saapuu vain, jos verkkotunnuksemme MX-tietueet osoittavat tähän postilaatikkoon (ennen käyttöönottoa käytävä tarkistuslista tarkistaa tämän); edelleenlähetyksen kautta se ei päädy postilaatikkoon. Verkkotunnuksen sivulla Asiakas näkee vain ajankohdan, liitoksen ja todennustuloksen. Jos todennustulos heikkenee, Asiakkaalle ja sen valitsemiin kanaviin lähetettävä hälytys mainitsee lähettäjän verkkotunnuksen, jos se ei kuulu verkkosivustoon (A.3, 4.1).
Kolmas maa	Riippuu sähköpostipalvelun tarjoajasta; katso osio 4. Suunnitellun palveluntarjoajan kanssa tehtävää sopimusta ja siirtoperustetta ei ole vielä dokumentoitu.
Säilytys	Onnistuneen käsittelyn jälkeen sähköposti merkitään poistettavaksi ja poistetaan postilaatikosta samassa ajossa, vaikka sitä ei voitaisi liittää mihinkään verkkotunnukseen. Nouto suoritetaan tilaa tarkistavan ajon yhteydessä viiden minuutin välein, kun valvonta on käytössä hallinta-alueella (srv/cron_status.php, cfg/zustellung_lib.php). Jos nouto tai poisto epäonnistuu, sähköposti jää postilaatikkoon seuraavaan onnistuneeseen ajoon asti. Sama nouto poistaa taulun delivery_log liitokset 180 päivän kuluttua. Todennustulos säilyy yhtä kauan kuin verkkotunnus.
Mitä näyttö todistaa	Vain sen, että tiettyyn testiajoon liitetty kopio on vastaanotettu valvontapostilaatikkoon. Se ei todista varsinaisen vastaanottajan vastaanottamaa viestiä eikä kirjausta CRM-järjestelmään. HubSpotin omaa vahvistusta ei tarjota.
Tekniset ja organisatoriset toimenpiteet	Osio 8. Erityisesti: sisältöä arvioidaan vain muistissa; rungon, aiheen tai täydellisten lähettäjäosoitteiden tallennusta ei tehdä; poistaminen riippumatta siitä, onnistuiko liittäminen.

Toimitustarkistus on ainoa toiminto, jonka kautta Asiakkaidemme kävijöiden todellisia viestejä päätyy meille. Siksi se on Asiakkaan lukuun suoritettavaa käsittelyä eikä omalla vastuullamme tarjottava palvelu, ja siksi postilaatikossa vietetty aika on todellinen riskin mittari: tavallisesti minuutteja; jos nouto häiriintyy, kunnes se toimii taas. Kopiot eivät saisi sisältää erityisiä henkilötietoryhmiä; emme voi estää sitä teknisesti, koska se, mitä kävijä kirjoittaa, on kävijän päätettävissä.

A.2 Asiakasportaali ja kuukausiraportti tilaajille

Kenttä	Merkintä
Tarkoitus	Toimisto (Business-tilaus) näyttää asiakkailleen niiden verkkotunnusten tilan omalla brändillään (portaali satunnaisessa osoitteessa, valinnaisesti salasanalla, valinnaisesti toimiston oman verkkotunnuksen alitunnuksessa). Asiakas voi tilata siellä kuukausiraportin sähköpostitse. Raportti lähetetään toimiston nimissä.
Rekisteröityjen ryhmät	Toimiston asiakkaat ja niiden henkilöstö, jotka tilaavat raportin; henkilöt, jotka avaavat portaalin.
Henkilötietoryhmät	Tilaaja: sähköpostiosoite, kieli, vahvistustunniste, tilauksen ajankohta ja IP-osoite tilaushetkellä, vahvistuksen ajankohta (double opt-in), tilauksen perumisen ajankohta, viimeisin lähetetty kuukausi (client_subscribers). Portaali: nimi, valitut verkkotunnukset, satunnainen tunniste, salasana vain tiivisteenä, luoja, ajankohta, peruutus (client_portals). Käynnit portaalissa näkyvät sivunäyttölokissa (B.2).
Lähde	Tilaajien itsensä portaaliin syöttämät.
Oikeusperuste (rekisterinpitäjän määrittämä)	Tilaajan suostumus, joka saadaan double opt-in -menettelyllä; rekisterinpitäjä on toimisto. Emme kirjoita kenellekään, joka ei ole itse tilannut ja vahvistanut tilausta.
Vastaanottajat	Toimisto (näkee tilaajansa); sähköpostipalvelun tarjoaja (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) vahvistussähköpostia ja raporttia varten.
Kolmas maa	Sähköpostipalvelun tarjoajan kautta; katso osio 4.
Säilytys	Öinen poistoajo (cfg/fristen_lib.php, osa ”portaalin tilaajat”): koskaan vahvistamattomat tilaukset 30 päivän kuluttua; tilauksensa perunet tilaajat kolme vuotta perumisen jälkeen aiemman suostumuksen todisteena. Vahvistetut tilaajat, jotka eivät ole perunet tilausta, säilyvät niin kauan kuin toimiston työtila on olemassa. Peruutettu portaali vain estetään, ei poisteta; sen tilaajat eivät enää saa raportteja, mutta heidän tietonsa säilyvät (osio 10). Portaalit ja tilaajat poistetaan välittömästi työtilan mukana (fe_arbeitsbereich_daten_loeschen()). Lähetetyt raportit säilyvät lähtevien postien kansiossa 30 päivää (B.25).
Tekniset ja organisatoriset toimenpiteet	Osio 8. Erityisesti: portaalin salasana vain tiivisteenä, arvausyritykset rajoitettu (kymmenen portaalia ja IP-osoitetta kohden, 50 portaalia kohden 15 minuutissa); yhden napsautuksen tilauksen peruminen jokaisessa sähköpostissa; portaali näyttää vain tilan ja tunnusluvut, ei yksittäisiä havaintoja todisteineen.

A.3 Asiakkaan hälytysten vastaanottajat, kuittaajat ja vastuuhenkilöt

Kenttä	Merkintä
Tarkoitus	Ilmoitukset vioista ja muutoksista kohteisiin, jotka Asiakas määrittää verkkotunnukselle: sähköposti, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram. Kohteittain välittömästi tai koottuna päivittäin tai viikoittain, sekä kohteet pelkkiä eskalaatioita varten. Jokaisesta ongelmailmoituksesta tulee häiriötapaus, jonka vastaanottaja voi kuitata linkin kautta. Valvotuille lomakkeille Asiakas voi määrittää vastuuhenkilön ja määräpäivän.
Rekisteröityjen ryhmät	Asiakkaan henkilöstö ja palveluntarjoajat, jotka Asiakas syöttää hälytyskohteiksi tai nimeää vastuuhenkilöiksi; henkilöt, jotka kuittaavat häiriötapauksen. Tiimin jäsenet, joilla on oma tili, näkyvät myös osassa B.
Henkilötietoryhmät	Hälytyskohde: kanava, kohdeosoite (sähköpostiosoite, webhook- tai chat-osoite, Telegram-chatin tunnus), valitut tapahtumat, toimitustapa, webhookien allekirjoitussalaisuus, viimeisin toimitus ja viimeisin virhe (alerts). Toimitusloki: kohde, tapahtumat, tila, virhe, ajankohta (alert_log). Koostejono: ilmoitusrivit ja linkki toimitukseen asti (alert_queue). Häiriötapaus: otsikko, ilmoitusrivit, linkki, kuittaustunniste, ajankohta sekä kuittaavan henkilön nimi tai sähköpostiosoite lomakkeeseen syötettynä, muuten kirjautuneen jäsenen osoite (alert_incidents). Eskalaation toimitusyritykset häiriötapausta ja kohdetta kohden: yritysten määrä (enintään viisi), viimeisimmän ja seuraavan yrityksen sekä onnistumisen ajankohdat, viittaus lähtevien postien kansion sähköpostiin, virhe (taulu alert_escalation_deliveries). Osoittaminen: vastuuhenkilön tili ja määräpäivä (taulussa monitored_forms).
Ilmoitusten sisältö	Verkkotunnus, tapahtuma, lyhyt selitys ja linkki verkkotunnuksen sivulle. Ei kävijöiden viestien sisältöä.
Lähde	Asiakkaan syöttämät; kuittaava henkilö syöttää nimensä itse; Telegram-chatin tunnus luodaan, kun vastaanottaja painaa botissa ”Start” (B.32).
Oikeusperuste (rekisterinpitäjän määrittämä)	Asiakkaan määrittämä; yleensä Asiakkaan oman toiminnan järjestäminen (GDPR Art. 6(1)(b) tai (f) suhteessa Asiakkaan henkilöstöön ja palveluntarjoajiin).
Vastaanottajat	Valittujen kanavien ylläpitäjät; katso 4.1. Sähköpostihälytykset sähköpostipalvelun tarjoajan (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) kautta.
Kolmas maa	Riippuu valitusta kanavasta; useiden palveluntarjoajien kotipaikka on Yhdysvalloissa, Telegramin EU:n ulkopuolella ilman tietosuojan riittävyyttä koskevaa päätöstä. Katso 4.1.
Säilytys	Toimitusloki 90 päivän kuluttua (öisin, fe_alert_log_aufraeumen() tiedostosta srv/cron_status.php). Koosteilmoitukset 30 päivää toimituksen jälkeen (cfg/kanal_lib.php, jokaisen koosteen toimituksen yhteydessä). Häiriötapaukset niin kauan kuin ne ovat ratkaisematta; ratkaistut 180 päivää ratkaisemisen jälkeen (cfg/vorfall_lib.php, eskalaatioajo) eskalaation toimitusyrityksineen. Hälytyskohteet ja osoitukset, kunnes Asiakas poistaa ne, tai verkkotunnuksen mukana.
Tekniset ja organisatoriset toimenpiteet	Osio 8. Erityisesti: webhookit allekirjoitetaan kohdekohtaisella erillisellä salaisuudella; kuittaus vasta napsautuksen jälkeen (POST), jotta chat-ohjelmien linkkien esikatselut eivät käynnistä mitään; huoltoikkunan aikaiset hälytykset vain kirjataan lokiin, niitä ei lähetetä.

A.4 Asiakkaan tarkistetuilla sivuilla ja kuvakaappauksissa sattumalta näkyvät henkilöt

Kenttä	Merkintä
Tarkoitus	Asiakkaan tilillä olevien verkkotunnusten tarkistaminen (skannaus, valvonta, aktiivinen tarkistus) lukee Asiakkaan julkisia sivuja ja ottaa kuvakaappauksia lomakkeista. Se, mitä sivu itse näyttää, voi koskea henkilöitä, joilla ei ole mitään tekemistä tarkistuksen kanssa. Nämä tiedot syntyvät sivutuotteena; ne eivät ole tarkistuksen tarkoitus.
Rekisteröityjen ryhmät	Henkilöt, joiden nimi, valokuva tai yhteystiedot näkyvät tarkistetulla sivulla (yhteyshenkilö lomakkeen vieressä, tiimikuvat etusivulla, julkaisutiedot).
Henkilötietoryhmät	Kuvakaappaukset: etusivun näkyvä alue, jokainen näkyvä lomake rajattuna ja aktiivisen testilähetyksen jälkeisen seurantasivun kuva; tallennetaan tiedostoina verkkohakemiston ulkopuolelle, ja tietokannassa on vain viittaus (scan_screenshots). Lomakkeen rakenne: sivun osoite, valitsin, kenttien nimet, kenttätyypit, kenttien nimiöt, pakollisuus- ja näkyvyysliput, lähetyspainikkeiden nimiöt (forms, kenttä ”kenttäkartta”); ei kenttien arvoja. Skanneri lukee piilokenttien (enintään 24 merkkiä) ja data-attribuuttien (enintään 60 merkkiä) alkuosat vain tarkistuksen aikana tunnistaakseen aikaleimat ja tokenit; vain tulos tallennetaan. Havainnot todisteineen (findings), yhteenveto sivujen otsikkoineen (scans). Jos lomakkeessa esiintyy sähköpostiosoite vastaanottajana, tallennetaan vain sen verkkotunnus, ei koskaan osoitetta.
Lähde	Asiakkaan verkkotunnuksen julkiset sivut skannerin hakemina.
Oikeusperuste (rekisterinpitäjän määrittämä)	Asiakkaan määrittämä Asiakkaan oman verkkosivuston sisällön osalta. Meille käsittely on osa tilattua tarkistusta.
Vastaanottajat	Asiakas; toimistojen kohdalla niiden asiakas portaalin tai white-label-raportin kautta; jokainen, joka saa raporttilinkin (raportit satunnaisissa osoitteissa, eivät hakukoneissa). Jos lomakkeen tyyppi on epäselvä, omalla palvelimellamme toimiva paikallinen kielimalli saa luokittelua varten lomakkeen rakenteen sivun otsikkoineen, sivun osoitteineen ja lomakkeen näkyvine teksteineen (enintään 400 merkkiä); se ei saa kuvia.
Kolmas maa	Ei ole.
Säilytys	Verkkotunnuksen tarkistustulokset enintään 13 kuukautta; viimeisin valmistunut tarkistus verkkotunnusta kohden säilyy (öinen poistoajo, osa ”vanhat tarkistustulokset”). Lomakkeet, havainnot, kuvaviittaukset ja kuvatiedostot poistuvat tarkistustuloksen mukana. Verkkotunnuksen mukana nämä tiedot poistuvat välittömästi (poistoketju kohdassa B.15; poikkeukset osiossa 6.4).
Peittämisen rajat	Täyden tarkistuksen kuvakaappaukset eivät peitä mitään: ne näyttävät sen, mitä sivu näyttää jokaiselle kävijälle. Lomakekentät ovat haettaessa tyhjiä, koska skanneri ei syötä mitään; esitäytetyt arvot olisivat näkyvissä. Kirjautumisen takana ei oteta kuvakaappauksia (A.5). Selaintarkistusten kuvat peittävät syöttökentät (A.6).
Tekniset ja organisatoriset toimenpiteet	Osio 8. Erityisesti: kuvat ovat haettavissa vain raportin kautta, ja jonkun toisen kuvatunniste palauttaa vastauksen ”ei löydy”; raportit noindex-merkinnällä; jokainen tarkistus suoritetaan omassa eristetyssä säiliössään.

Samat tiedot syntyvät tarkistuksissa ilman tiliä (ilmainen tarkistus, tutkimus, mahdollisen asiakkaan tarkistus). Niissä ei ole Asiakasta, jonka lukuun toimisimme; nämä tapaukset näkyvät siksi osassa B (B.5, B.7, B.8).

A.5 Testitilin tunnukset kirjautumisen takana tehtävää skannausta varten

Kenttä	Merkintä
Tarkoitus	Lomakkeiden lukeminen, jotka näkyvät vasta kirjautumisen jälkeen (asiakasalue, jäsenalue). Skanneri kirjautuu sisään testitilillä, jonka Asiakas on luonut omalle verkkosivustolleen, ja lukee määritetyt sivut. Kirjautumislomaketta lukuun ottamatta se ei lähetä mitään, ei tee siellä aktiivista testiä, ei ota kuvakaappauksia eikä käy uloskirjautumis-, poisto- tai peruutusosoitteissa. Jos kirjautumislomakkeessa on CAPTCHA, se pysähtyy; CAPTCHAja ei ohiteta.
Edellytys	Vahvistettu verkkotunnus, maksullinen tilaus, omistajan tai ylläpitäjän rooli, nimenomainen vahvistus siitä, että tili on testitili. Enintään viisi sivua, kaikki samassa verkkotunnuksessa.
Rekisteröityjen ryhmät	Henkilö, jonka nimissä testitili on (mieluiten ei kukaan; Asiakkaan tulisi käyttää toiminnallista tiliä); henkilöt, joiden tietoja näkyy kirjautumisen takana olevilla sivuilla.
Henkilötietoryhmät	Testitilin käyttäjätunnus ja salasana, vain salattuina; vihje käyttäjätunnuksesta (ensimmäinen merkki ja pituus); kirjautumisosoite, sivuluettelo, kirjautumiskenttien nimet, onnistumisen ilmaisin, luoja, ajankohdat, viimeisin tulos lyhyenä koodina (domain_logins). Käynnissä olevaa työtä varten kopio salatekstistä (kenttä ”kirjautumispaketti” taulussa scan_jobs). Kirjautumisen takana olevilta sivuilta: lomakkeen rakenne kuten kohdassa A.4, ilman kuvakaappauksia ja ilman evästeitä.
Lähde	Asiakkaan tilille syöttämät.
Oikeusperuste (rekisterinpitäjän määrittämä)	Asiakkaan määrittämä. Asiakas vakuuttaa, että sillä on oikeus käyttää testitiliä.
Vastaanottajat	Ei ole. Asiakas, tuki tai ohjelmointirajapinta eivät voi lukea tunnuksia; käyttöliittymä näyttää vain käyttäjätunnuksen vihjeen.
Kolmas maa	Ei ole.
Tunnusten suojaus	Käyttäjätunnus ja salasana salataan heti tallennettaessa skannauspalvelimen julkisella avaimella (X25519, HKDF-SHA256, AES-256-GCM; verkkotunnus sidotaan liitännäisdatana, joten salatekstiä ei voi liittää toiseen verkkotunnukseen). Vain skannauspalvelimella on yksityinen avain. Verkkopalvelin, tietokanta ja varmuuskopiot sisältävät vain salatekstiä; emmekä mekään voi purkaa sen salausta siellä. Skannauspalvelin purkaa salauksen vain ajoa varten, välittää tunnukset eristettyyn tarkistussäiliöön vain vakiosyötteen kautta, poistaa työssä olevan kopion välittömästi eikä kirjoita niitä mihinkään tulokseen, lokiin tai virhetekstiin. Matkalla Asiakkaan verkkosivustolle niitä suojaa vain kyseisen verkkosivuston salaus; tämän siirron rajat esitetään osiossa 10.
Säilytys	Tallennetut tunnukset, kunnes Asiakas poistaa ne. Poistettaessa salateksti ylikirjoitetaan samanpituisella satunnaisdatalla ja rivi poistetaan; odottavat työt tyhjennetään (fe_login_loeschen()). Verkkotunnuksen mukana rivi poistuu viiteavaimen kautta. Skannauspalvelin tyhjentää töissä olevat kopiot ajon jälkeen; mahdolliset jäänteet (työ keskeytynyt, skannauspalvelin alhaalla) tyhjentää tilaa tarkistava ajo viimeistään tunnin kuluttua (fe_login_aufraeumen(), osa ”login_jobs”). Tietokannan varmuuskopiot sisältävät salatekstin, kunnes varmuuskopio vanhenee 14 päivän kuluttua.
Tekniset ja organisatoriset toimenpiteet	Osio 8. Erityisesti: epäsymmetrinen salaus erillisillä avaimilla; estolista uloskirjautumis- ja poistopoluille; ei kuvakaappauksia kirjautumisen takana; toiminto vain maksullisilla tilauksilla ja vahvistetuille verkkotunnuksille; jokainen muutos toimintalokissa (ilman tunnuksia).

Emme ole tarkoituksella rakentaneet mitään tapaa tallentaa tunnuksia Asiakkaan palvelimelle, sisällönhallintajärjestelmän hallinta-alueelle tai hosting-tileille. Testitili on kävijätili Asiakkaan verkkosivustolla, ei pääsy Asiakkaan järjestelmään.

A.6 Määritetyt lomakepolut, selaintarkistukset ja riippumaton mittauspiste

Kenttä	Merkintä
Tarkoitus	Valvottu lomake käydään läpi oikeassa selaimessa (Chromium, WebKit tai molemmat) lähettämistä välittömästi edeltävään vaiheeseen asti: sivun lataaminen, edeltävien napsautusten suorittaminen (enintään viisi, ei koskaan syöttökenttään tai lähetyspainikkeeseen), kenttien täyttäminen tunnistettavasti synteettisillä arvoilla (kuten osoite varatun päätteen .invalid alla), monivaiheisten lomakkeiden eteneminen. Selaintarkistus ei lähetä mitään; lähettäminen on teknisesti estetty selaimessa. Lisäksi lomakkeen ajoitusmittaukset ja visuaaliset vertailut.
Rekisteröityjen ryhmät	Kuten A.4 (lomakesivulla näkyvät henkilöt); vastuuhenkilöiksi syötetty Asiakkaan henkilöstö (A.3).
Henkilötietoryhmät	Määritys: lomakkeen osoite, valitsimet, aloitusosoite, napsautusvaiheet, selaimen valinta, nimiö, kriittisyys, osoitus, määräpäivä (monitored_forms). Ajokohtaiset tulokset: tila, tekninen epäonnistumisen syy, siistityt virheilmoitukset, verkko- ja ajoitusmittaukset, lomakkeesta kuva enintään 32 kt:n JPEG-tiedostona syöttökentät peitettyinä (form_browser_runs). Tarkistuskohtaiset havainnot (form_observations), aikasarjat (form_performance). Työt kohdeluetteloineen (kentät ”kohteet” ja ”tulos” taulussa scan_jobs).
Testipääsy	Jos Asiakas on tallentanut testitilin (A.5), täysi tarkistus käyttää sitä myös määritetyissä lomakepoluissa. Mitatun koodin mukaan kahden täyden tarkistuksen välillä tehtävät erilliset selaintarkistukset toimivat ilman testitiliä.
Riippumaton mittauspiste	Suunnitteilla on toinen mittauspiste eri sijainnissa, joka tekisi ristiintarkistuksen ennen hälytystä. Se saisi verkkotunnuksen, siistityn määrityksen ja työn tunnisteen, ei kävijöiden syötteitä eikä tunnuksia. Sitä ei ole tällä hetkellä otettu käyttöön (oletuksena pois käytöstä). Ilman mittauspistettä ei ole näyttöä toisesta sijainnista; hälytys perustuu tällöin omaan mittaukseemme.
Lähde	Asiakkaan määrittämät; tulokset Asiakkaan sivun hakemisesta.
Oikeusperuste (rekisterinpitäjän määrittämä)	Asiakkaan määrittämä Asiakkaan verkkosivuston sisällön ja Asiakkaan henkilöstön vastuiden osalta.
Vastaanottajat	Asiakas; jos mittauspiste otetaan käyttöön, sen ylläpitäjä (tällä hetkellä ei kukaan).
Kolmas maa	Ei ole.
Säilytys	Selainajojen tulokset, valmistuneet selaintyöt ja aikasarjat 13 kuukauden kuluttua (öinen poistoajo, osat ”browser_runs”, ”browser_jobs”, ”form_performance”). Määritykset verkkotunnuksen poistamiseen asti (yksitellen niitä voi muuttaa tai kytkeä pois, mutta ei poistaa); verkkotunnuksen mukana ne poistuvat ajoineen, havaintoineen ja aikasarjoineen viiteavainten kautta.
Mitä mittaus todistaa	Tarkistusselaimemme ajat ja tilat. Ne eivät mittaa sitä, mitä todelliset kävijät kokevat, eivätkä todista lomakkeiden täyttöasteita tai menetettyjä yhteydenottoja.
Tekniset ja organisatoriset toimenpiteet	Osio 8. Erityisesti: lähettäminen teknisesti estetty; vain saman verkkotunnuksen osoitteet; peitetyt kuvat; eristetty tarkistussäiliö.

A.7 ”Fix it for me” – liitetty lomakekoodi

Kenttä	Merkintä
Tarkoitus	Asiakas liittää lomakkeensa koodin; omalla laitteistollamme toimiva kielimalli rakentaa siihen suojausmoduulin. Takaisin tulee muokattu tiedosto, korjaustiedosto (patch), syntaksitarkistuksen tulos ja tieto siitä, onko tarkistuskutsu todella rakennettu mukaan. Ilman liitettyä koodia palvelu toimittaa valmiin moduulin viimeisimmän skannauksen kenttien nimillä.
Rekisteröityjen ryhmät	Henkilöt, joiden tietoja sattuu olemaan liitetyssä koodissa (kuten vastaanottajan osoite, nimiä kommenteissa, postipalvelimen tunnukset).
Henkilötietoryhmät	Liitetty koodi, enintään 30 000 merkkiä. Tietokannassa vain merkintä toimintalokissa (toiminto ”fix_ai” työtiloineen ja ajankohtineen), joka lasketaan päivittäiseen rajaan, joka on tällä hetkellä kymmenen kutsua työtilaa kohden.
Lähde	Asiakkaan liittämä.
Oikeusperuste	Asiakkaan kanssa tehdyn sopimuksen täytäntöönpano (GDPR Art. 6(1)(b)) itse koodin osalta; siihen sattumalta sisältyvien kolmansien osapuolten tietojen osalta perusteen määrittää Asiakas.
Vastaanottajat	Ei ole. Kielimalli toimii omalla skannauspalvelimellamme sisäverkossa; ei ulkoista tekoälypalvelua, ei edes varajärjestelmänä.
Kolmas maa	Ei ole.
Säilytys	Koodia ei tallenneta. Syntaksitarkistusta varten luodaan väliaikainen tiedosto, joka poistetaan heti sen jälkeen. Toimintalokin merkintä poistetaan 365 päivän kuluttua.
Huomautus Asiakkaalle	Koodi, joka sisältää salasanoja, API-avaimia tai henkilötietoja, tulisi siistiä ennen liittämistä. Emme tarkista sisältöä.
Tekniset ja organisatoriset toimenpiteet	Osio 8. Erityisesti: vain maksullisten tilausten omistajat ja ylläpitäjät; liitetty koodi välitetään mallille datana merkittynä, eikä sitä koskaan suoriteta; ei latausta kolmansien osapuolten palvelimille.

A.8 White-label-brändi ja toimiston yhteyshenkilöt

Kenttä	Merkintä
Tarkoitus	Toimiston (Business-tilaus) raportit, lyhytraportit, todistelokit ja asiakasportaali näkyvät sen brändillä, pyynnöstä toimiston oman verkkotunnuksen alitunnuksessa.
Rekisteröityjen ryhmät	Toimiston yhteyshenkilöt, joiden nimi tai yhteystiedot näkyvät yhteystietorivillä.
Henkilötietoryhmät	Yrityksen nimi, verkkosivusto, yhteystietorivi, huomautus asiakkaalle, korostusväri, ulkoasu, logotiedosto, kytkin formexposed-viittaukselle, oma verkkotunnus vahvistustunnisteineen ja vahvistuksen tiloineen (workspace_branding).
Lähde	Toimiston syöttämät.
Oikeusperuste	Toimiston kanssa tehdyn sopimuksen täytäntöönpano (GDPR Art. 6(1)(b)). Jos yhteystietorivillä mainitaan toimiston henkilöstöä, perusteen määrittää toimisto.
Vastaanottajat	Kaikki, joille toimisto antaa raportin, lyhytraportin tai portaalilinkin.
Kolmas maa	Ei ole.
Säilytys	Kunnes toimisto muuttaa tiedot; brändi ja logotiedosto poistuvat työtilan mukana (fe_arbeitsbereich_daten_loeschen()). Oma verkkotunnus, jonka DNS-vahvistus epäonnistuu seitsemän päivän ajan, kytketään pois. Oma verkkotunnus on oletuksena pois käytöstä.
Tekniset ja organisatoriset toimenpiteet	Osio 8.

A.9 Lisäosan ja laajennuksen määrät, tilailmaisimet ja kenttävirheet

Kenttä	Merkintä
Tarkoitus	Kerran päivässä WordPress-lisäosa ja TYPO3-laajennus raportoivat lukuja yhdistetyn verkkosivuston lomakkeista: estetyt lähetykset syittäin, lähetykset, lähetetyt ja epäonnistuneet sähköpostit, lomakeasetusten tilailmaisimet, tallennetut yhteydenotot lähteittäin ja säilytysaika. Valinnaisesti, oletuksena pois käytöstä: lomaketapahtumat ja kenttävirheluokat kentän sijainnin mukaan. Näistä luvuista muodostuvat ”Suojaus lukuina”, kuukausiraportti, hiljaisuushälytys ja huomautukset riskialttiista asetuksista.
Luokittelu	Luvut on suunniteltu niin, etteivät ne kuvaa ketään henkilöä. Luettelemme ne osassa A, koska ne syntyvät Asiakkaan kävijöiden käynnistämistä tapahtumista Asiakkaan verkkosivustolla; näkemyksemme mukaan ne ovat henkilötietoja korkeintaan rajatapauksissa (verkkosivusto, jolla on hyvin vähän lähetyksiä tiettynä päivänä). Itse välitys (avaimet, versiot, isäntä) on osassa B (B.20).
Rekisteröityjen ryhmät	Asiakkaan verkkosivuston kävijät, jotka lähettävät lomakkeen.
Henkilötietoryhmät	Päivittäiset luvut isäntää kohden: estetyt yhteensä ja syittäin, lähetykset, lähetetyt ja epäonnistuneet sähköpostit, sähköpostin lähetyksen virheluokka (vain yksi neljästä luokasta, ei koskaan virhetekstiä, koska se voi sisältää vastaanottajaosoitteita), reCAPTCHA-vastausten määrät, poistetut ja vapautetut yhteydenotot (plugin_stats). Tila: versiot kiinteästä lomake-, CAPTCHA- ja sähköpostilisäosien luettelosta, asetusten ilmaisimet lukuina, säilytysajat (plugin_health). Muutosilmoitukset: päivitetyn lisäosan nimi ja versio (plugin_changes). Valinnaisesti: lomake- ja päiväkohtaiset laskurit virheluokkineen kentän sijainnin mukaan (form_metrics). Ei koskaan: kävijöiden syötteitä, kenttien nimiä, salasanoja, tiedostoja, sähköpostiosoitteita, nimiä, IP-osoitteita tai pysyviä tunnisteita.
Lähde	Asiakkaan verkkosivuston lisäosa ohjelmointirajapinnan kautta verkkosivuston yhteyssalaisuutta käyttäen.
Oikeusperuste (rekisterinpitäjän määrittämä)	Asiakkaan määrittämä; Asiakas päättää, ottaako se käyttöön valinnaiset määrät ja miten se informoi kävijöitään.
Vastaanottajat	Asiakas. Estettyjen viestien linkkien verkkotunnukset menevät parviosuojaukseen (B.21).
Kolmas maa	Ei ole.
Säilytys	Päivittäiset luvut, muutosilmoitukset ja lomakelaskurit 13 kuukauden kuluttua (öinen poistoajo, osat ”plugin_stats” ja ”form_metrics”). Tilailmaisimet korvataan jokaisen raportin yhteydessä. Kaikki isännän lisäosatiedot poistuvat heti, kun mikään järjestelmän verkkotunnus ei enää viittaa kyseiseen isäntään (välittömästi viimeisen verkkotunnuksen poistamisen yhteydessä; vanhat tiedot öisin, osa ”orphan_hosts”).
Mitä luvut todistavat	Sen, mitä lisäosa laski. Ne eivät todista lomakkeiden täyttöasteita eivätkä menetettyjä yhteydenottoja.
Tekniset ja organisatoriset toimenpiteet	Osio 8. Erityisesti: vastaanotto vain verkkosivustoon sidotulla avainparilla; vain tunnetut avaimet ja luvut hyväksytään, kaikki muu hylätään; 14 päivän ikkunan ulkopuoliset päivät hylätään.

A.10 Raja: mikä jää vain Asiakkaan verkkosivustolle

Seuraavat WordPress-lisäosan ja TYPO3-laajennuksen toiminnot käsittelevät tietoja yksinomaan Asiakkaan palvelimella. Ne eivät päädy meille, eikä meillä ole pääsyä niihin. Vastuu on yksin verkkosivuston ylläpitäjällä; ylläpitäjä päättää käyttöönotosta, säilytysajoista ja kävijöidensä informoinnista. Tätä varten lisäosa ehdottaa kappaleita ylläpitäjän tietosuojaselosteeseen.

Toiminto	Mitä käsitellään paikallisesti	Säilytys Asiakkaan puolella
Karanteeni	Pysäytetyt lähetykset syineen, vapautettavissa sähköpostitse verkkosivuston osoitteeseen	14 päivää
Turvaverkko	Lähetykset, joiden lomakesähköposti epäonnistui, uudelleenlähettämistä varten (oletuksena käytössä)	30 päivää
Laskutehtävä reCAPTCHAn sijaan	Laskutehtävä kävijän selaimessa, ei kolmannen osapuolen palvelua (oletuksena pois käytöstä)	–
Säilytysasetukset	Tallennettujen yhteydenottojen poistaminen lomakelisäosista ylläpitäjän valitseman ajan jälkeen (oletuksena pois käytöstä)	määrityksen mukaan
Pyyntömäärien rajoitus	IP-osoitteesta johdettu lyhytikäinen tunniste, jota ei välitetä meille	lyhytikäinen
Paikalliset päivittäiset laskurit	Laskurien arvot ennen välitystä	enintään 14 päivää
Tallennin ylläpitäjille	tekniset valitsimet ja navigointivaiheet kirjautuneen ylläpitäjän selaimen istuntotallennustilassa; syötteitä ei lueta. Vain valittu määritys välitetään (sen jälkeen A.6)	enintään 15 minuuttia
Kävijäapu	voidaan ottaa käyttöön erikseen; ei tallenna luonnoksia eikä lähetä automaattisesti uudelleen	–
Uusien roskapostisääntöjen seuranta	lisäosumat lasketaan paikallisesti ilman automaattista käyttöönottoa	seitsemän päivää

A.11 Lomakesuojaus (formconfirmed)

Kenttä	Merkintä
Käyttötarkoitus	Asiakkaiden verkkosivustojen lomakkeiden kautta tehtyjen lähetysten arviointi automatisoitujen lähetysten tunnistamiseksi: tehtävien jakaminen ja tarkistaminen (laskentatodiste), kertakäyttöiset tarkistustunnisteet, täyttöaika, ansakenttä, toistuvat pyynnöt; Asiakkaan pyynnöstä viestin tekstin arviointi kielimallilla. Vain Asiakkaille, jotka ottavat lomakesuojauksen käyttöön.
Rekisteröityjen ryhmät	Asiakkaiden verkkosivustojen kävijät, jotka avaavat suojatun lomakkeen sisältävän sivun tai lähettävät lomakkeen.
Henkilötietoryhmät	IP-osoite (tallennetaan vain lyhennettynä ja päivittäin vaihtuvalla avaimella tiivistettynä), sivun osoite ja verkkotunnus, ajankohdat ja täyttöaika, ansakenttä täytetty kyllä/ei, selaintunniste verkkopalvelimen lokissa; vain sisällöntarkistuksen ollessa käytössä viestin teksti (vain keskusmuistissa).
Lähde	Kävijän selain (tehtävä, tarkistustunniste); Asiakkaan palvelin (tarkistuspyyntö, tarvittaessa teksti).
Vastaanottajat	Asiakas (pistemäärä, toiminto, syyt). Ei muita; tähän käsittelyyn ei käytetä alikäsittelijöitä.
Kolmas maa	Ei mitään.
Säilytysaika	Tiivistetty tunniste 1 tunti; käytetyt tarkistustunnisteet enintään 11 minuuttia; tarkistustulokset ilman IP-osoitetta ja ilman tekstiä 30 päivää; päivittäiset luvut 400 päivää; verkkopalvelimen loki 14 päivää; tekstiä ei tallenneta.
Tekniset ja organisatoriset toimenpiteet	Kohta 8; lisäksi lyhentäminen ja tiivistäminen päiväkohtaisella avaimella, allekirjoitetut tehtävät, kertakäyttöisyys, kielimalli omalla laitteistolla ilman tekstin kirjaamista lokiin.

4. Osa A – vastaanottajat, alikäsittelijät ja siirrot kolmansiin maihin

Seuraavassa taulukossa luetellaan vastaanottajat, joita itse käytämme ja jotka voivat saada osan A tietoja. Määräävä, jatkuvasti päivitettävä luettelo on sivu Alikäsittelijät; jos se poikkeaa tästä taulukosta, kyse on havainnosta eikä muotoiluongelmasta.

Vastaanottaja	Mitä se saa	Kolmas maa	Peruste	Tila
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Toimitustarkistuksen valvontapostilaatikko (A.1); hälytyssähköpostien (A.3) sekä portaalin tilaajille lähetettävien vahvistusten ja raporttien lähettäminen (A.2)	Käsittelypaikka vielä tarkistettava; katso sivu ”Alikäsittelijät”	Henkilötietojen käsittelysopimus; siirtoperuste vielä tarkistettava	Avoin. Asiaankuuluvaa sopimusta, todellisia käsittelypaikkoja ja siirtoperustetta ei ole vielä dokumentoitu. Tämä seloste ei vahvista sertifiointia eikä tehtyä sopimusta.
Namecheap, Inc. (rekisteröijä, DNS; sähköpostin edelleenlähetys, kunnes postilaatikko on otettu käyttöön)	Kunnes postilaatikko on otettu käyttöön, verkkotunnuksemme osoitteisiin saapuva yleinen posti; ei toimitustarkistuksen kopioita, jotka saapuvat vain MX-tietueiden osoittaessa suoraan postilaatikkoon (A.1)	USA	tarkistettava: EU:n ja Yhdysvaltojen välisen tietosuojakehyksen (EU-US Data Privacy Framework) mukainen sertifiointi tai vakiosopimuslausekkeet	Käytössä; peruste avoin.
Oma skannauspalvelimemme paikallisine kielimalleineen	Lomakkeen rakenne luokittelua varten (A.4), liitetty koodi (A.7), purettu testipääsy vain ajon aikana (A.5)	–	Meidän ylläpitämämme, ei kolmas osapuoli	Käytössä.
Riippumaton mittauspiste toisessa sijainnissa	Verkkotunnus, siistitty määritys, työn tunniste (A.6)	sijainnista riippuen	määritetään ennen käyttöönottoa	Ei otettu käyttöön.

Hosting: ei kolmatta osapuolta. Sovellus, tietokanta, kuvakaappaukset ja varmuuskopiot säilytetään omilla palvelimillamme Puolassa. Jos siirrymme konesali- tai pilvipalveluntarjoajalle, tämä kappale on kirjoitettava uudelleen.

4.1 Asiakkaan valitsemat hälytyskanavat

Käyttämiemme vastaanottajien lisäksi on kanavia, jotka Asiakas valitsee hälytyksilleen (A.3). Palvelimemme käynnistää välityksen; Asiakas määrittää kohteen ja palveluntarjoajan. Kanavan valinta ei vapauta meitä omista velvoitteistamme käsittelijänä. Rooli, sopimus ja kolmansia maita varten vaadittavat suojatoimet on määritettävä kunkin palveluntarjoajan osalta; chat-palvelujen osalta tämä ei ole vielä valmis (avoin kysymys oikeudellista tarkastusta varten).

Kanava	Mitä lähetetään	Palveluntarjoajan kotipaikka
Sähköposti	Verkkotunnus, tapahtuma, selitys, linkki; syötettyyn osoitteeseen	palveluntarjoajan Namecheap, Inc. (Private Email), Phoenix, Arizona, USA kautta
Webhook vapaasti valittuun osoitteeseen	Tapahtuma JSON-muodossa (verkkotunnus, tapahtumat, rivit, linkki, aikaleima), allekirjoitettuna kohteen salaisuudella	Asiakkaan määrittämä
Slack, Discord, Microsoft Teams, Google Chat	sama ilmoitus chat-viestinä syötettyyn webhook-osoitteeseen	pääosin USA
Telegram	Asiakkaan valitsema kohde; lähetämme viestin bottimme kautta yhdistettyyn chatin tunnukseen	EU:n ulkopuolella, ei tietosuojan riittävyyttä koskevaa päätöstä; siirtoperuste on avoin kysymys oikeudellista tarkastusta varten

Missään tapauksessa kävijän viestin sisältöä ei lähetetä. Ilmoitukset sisältävät verkkotunnuksen, tapahtuman ja linkin.

5. Osa B – Art. 30(1): käsittely omalla vastuullamme

Rekisterinpitäjä kaikelle tässä osassa: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Puola, contact@lukaswojcik.com. Edustajaa ei tarvita (sijoittautunut unioniin). Tietosuojavastaavaa ei ole nimitetty (osio 9). Tekniset ja organisatoriset toimenpiteet: osio 8 ja sivu Tekniset ja organisatoriset toimenpiteet. Rekisteröityjen oikeuksien käyttäminen kuvataan sivulla Tietojen tarkastus, poistaminen ja muut oikeutesi; tilin haltijat voivat ladata tietonsa itse tiedostona (Asetukset).

Kun vetoamme oikeutettuun etuun (GDPR Art. 6(1)(f)), nimeämme edun ja syyn, miksi vähemmän puuttuva keino ei riitä. Intressipunninta on oma arviomme; se on osa oikeudellista tarkastusta.

B.1 Verkkosivustomme kävijät – verkkopalvelimen lokit

Kenttä	Merkintä
Tarkoitus	Verkkosivuston ja sovelluksen toiminta ja tietoturva: toimittaminen, vianmääritys, hyökkäysten ja ylikuormituksen havaitseminen.
Rekisteröityjen ryhmät	Kaikki, jotka avaavat sivun osoitteessa formexposed.com tai form.exposed, mukaan lukien Asiakkaiden sivujen kävijät, joiden selain lataa merkkikuvamme (B.18), vastaanottajat, jotka avaavat raportti- tai kuittauslinkin, sekä verkkosivustot, joiden lisäosa kutsuu rajapintaamme.
Henkilötietoryhmät	Täydellinen IP-osoite, ajankohta, pyydetty osoite, tilakoodi, siirretyt tavut, viittaava sivu (referrer), selaintunniste (user agent).
Tallennuspaikka	Edustavan välityspalvelimen ja verkkopalvelimen käyttölokit tiedostoina verkkopalvelimella, ei tietokannassa.
Lähde	Pyynnön tekevä selain tai ohjelma.
Oikeusperuste	GDPR Art. 6(1)(f). Etu: turvallinen ja keskeytyksetön toiminta. Intressipunninta: ilman täydellistä osoitetta saman lähettäjän toistuvia pyyntöjä ei voida yhdistää eikä hyökkäyksiä torjua; katkaistu osoite ei mahdollista tätä erottelua. Lokeja ei yhdistetä muihin tietoihin, ja ne poistetaan lyhyen ajan kuluttua.
Vastaanottajat	Ei ole.
Kolmas maa	Ei ole.
Säilytys	14 päivää: päivittäinen kierrätys 14 sukupolvella, sitten ylikirjoitus (järjestelmän lokien kierrätyspalvelu, ei sovelluksen öinen poistoajo).
Tekniset ja organisatoriset toimenpiteet	Osio 8.

B.2 Sovelluksen sivunäyttöloki

Kenttä	Merkintä
Tarkoitus	Tietoturva ja väärinkäytösten havaitseminen (kuka pyytää mitä ja kuinka usein), tilin käytön jäljitettävyys, yksinkertaiset käyttötilastot ilman analytiikkapalvelua.
Rekisteröityjen ryhmät	Kaikki verkkosivuston kävijät ja sovelluksen käyttäjät todellisten sivunäyttöjen osalta (ei taustapyyntöjä, ei lomakelähetyksiä).
Henkilötietoryhmät	Täydellinen IP-osoite, siitä kirjoitushetkellä johdettu maa (paikallinen sijaintitietokanta, ei kyselyä kolmannelle osapuolelle), kirjautuneiden käyttäjien tilitunnus, pyydetty osoite ja viittaava sivu (niissä olevat käyttötunnisteet, kuten raportti- tai portaalilinkkien tunnisteet, peitettyinä), selaintunniste ja siitä johdetut laitetyyppi, käyttöjärjestelmä ja selain, kieli, ajankohta (access_logs). ”Näytä asiakkaana” -tilan aikana (B.14) tilitunnusta ei aseteta, jotta tuen sivunäytöt eivät näy Asiakkaan lokissa.
Lähde	Selaimen pyyntö.
Oikeusperuste	GDPR Art. 6(1)(f). Etu: väärinkäytösten estäminen ja jäljitettävyys. Intressipunninta: kuten B.1; säilytysaika on pidempi, koska väärinkäytösten mallit tulevat näkyviin viikkojen kuluessa. Se, pitäisikö IP-osoite katkaista tai säilytysaikaa lyhentää, on avoin kysymys oikeudellista tarkastusta varten.
Vastaanottajat	Ei ole. Tilin haltijat saavat omat sivunäyttönsä tietojen viennissä.
Kolmas maa	Ei ole.
Säilytys	60 päivää (öisin klo 03.00–03.05, srv/cron_status.php, asetus ”sivunäyttöloki”).
Tekniset ja organisatoriset toimenpiteet	Osio 8. IP-osoite otetaan välitetystä otsakkeesta vain, jos pyyntö tulee omalta edustavalta välityspalvelimeltamme, ja silloinkin vain tämän välityspalvelimen lisäämä merkintä; muuten kuka tahansa voisi ilmoittaa alkuperänsä mielensä mukaan.

B.3 Evästeet ja selaimen tallennustila

Kenttä	Merkintä
Tarkoitus	Teknisesti välttämätön tallennus: istunto, suojaus sivustojen väliseltä pyyntöväärennökseltä (CSRF), ilman tiliä tehtävien tarkistusten rajojen laskeminen, kirjautuminen, kirjautuneena pysyminen pyynnöstä, vaalea tai tumma näyttötila.
Rekisteröityjen ryhmät	Sivuston formexposed.com kävijät ja käyttäjät.
Henkilötietoryhmät	Istuntoeväste bpid (istuntotunniste; päättyy, kun selain suljetaan; HttpOnly, SameSite=Lax, Secure HTTPS-yhteydellä). Eväste bp_remember vasta, kun on valittu ”Pidä minut kirjautuneena” (valitsin ja varmentaja; 30 päivää). Paikallinen tallennustila bp_theme (vaalea, tumma tai järjestelmä). Hallinta-alueella lisäksi ylläpitäjien paikalliset näyttöasetukset. Rajoja varten istuntotunnisteesta muodostetaan tiiviste; itse tunnistetta ei tallenneta.
Ei asetettu	Ei analytiikka-, mainos- tai seurantaevästeitä. Kumppaniohjelma (B.33) toimii ilman evästettä. Asiakkaiden sivujen merkkikuva ei aseta evästettä (B.18). reCAPTCHA voi asettaa Googlen evästeitä, kun suojattu lomake lähetetään (B.23).
Oikeusperuste	Pääsy päätelaitteeseen: ehdottoman välttämätön käyttäjän pyytämää palvelua varten (Saksan televiestinnän ja digipalvelujen tietosuojalain, TDDDG, § 25(2) nro 2; Puolan sähköisen viestinnän lain (Prawo komunikacji elektronicznej, PKE) Art. 399(3)). Käsittely: GDPR Art. 6(1)(b) (tili) ja (f) (tietoturva, rajat).
Vastaanottajat	Ei ole.
Kolmas maa	Ei ole.
Säilytys	Istunto; muistamistunnisteella 30 päivää. Öinen ajo poistaa vanhentuneet muistamistunnisteet tietokannasta (remember_tokens); uloskirjautumisen, salasanan vaihdon ja laitteen kumoamisen yhteydessä välittömästi.
Tekniset ja organisatoriset toimenpiteet	Osio 8.

B.4 Ilmainen tarkistus ilman tiliä – vastaanotto, rajat ja väärinkäytösten seuranta

Kenttä	Merkintä
Tarkoitus	Kuka tahansa voi tarkistuttaa verkkotunnuksen ilman tiliä. Jotta syöttökentästä ei tulisi asetta kolmansien osapuolten verkkosivustoja vastaan, sovelletaan porrastettuja rajoja: yksi anonyymi tarkistus verkkotunnusta kohden seitsemässä päivässä (sen jälkeen sama raportti), rajat IP-osoitetta ja istuntoa kohden 24 tunnissa, koko järjestelmän päivittäinen raja, esto hyvin nuorille verkkotunnuksille, estolista ja opt-out, vain julkiset osoitteet. Epäilyttävät mallit kirjataan ja niistä ilmoitetaan ylläpitäjälle. IP-osoite-, istunto- ja koko järjestelmän rajat, kukin erikseen laskettuna, koskevat myös lisäosasta ilman tiliä tehtävää tarkistusta (sidotulla avainparilla varustettu lisäosa lasketaan verkkosivustoittain osoitteen sijaan) ja opt-outia (B.30); ilmaisella otsaketyökalulla (B.9) on omat rajansa IP-osoitetta ja päivää kohden sekä koko järjestelmälle.
Rekisteröityjen ryhmät	Henkilöt, jotka käynnistävät tarkistuksen, otsaketyökalun pyynnön tai opt-outin; palvelimet, joille lisäosa on asennettu.
Henkilötietoryhmät	Jokaisen pyynnön loki: lähde (tarkistus, lisäosa, otsaketyökalu, opt-out), täydellinen IP-osoite, istuntotunnisteen tiiviste, tarkistettu isäntä, IP-osoitteesta johdettu maa, hyväksytty tai hylätty syineen, ajankohta (check_throttle). Poikkeamat: tyyppi (IP-osoite, istunto, maa, järjestelmä), avain (tyypillä ”IP” täydellinen IP-osoite), malli, vakavuus, lyhyt kuvaus, havaitsemisen ja ratkaisemisen ajankohdat, ratkaisija (abuse_flags). Työ: isäntä, tila, luottamustaso ja katkaistu istuntotiiviste pyytäjän tunnisteena (scan_jobs). Raportti: satunnainen tunniste, isäntä, kieli, vanhenemisaika, ensimmäinen katselu, katselujen määrä (reports). Rekisterihausta välimuistiin tallennettu verkkotunnuksen ikä (domain_age_cache).
Lähde	Henkilön syöte; hänen pyyntönsä; rekisterihaku (RDAP) verkkotunnuksen iän selvittämiseksi.
Oikeusperuste	Pyydetyn tarkistuksen suorittaminen: GDPR Art. 6(1)(b) (ilmaisen tarkistuksen käyttö käyttöehtojen mukaisesti); toissijaisesti (f). Rajat ja seuranta: Art. 6(1)(f). Etu: estää palvelun käyttäminen työkaluna kolmansien osapuolten verkkosivustoja vastaan tai roskapostitykkinä. Intressipunninta: ilman yhteyttä osoitteeseen ja istuntoon rajoja ei voitaisi valvoa; seitsemän päivän aika on yhtä lyhyt kuin pisin siitä laskettu raja.
Vastaanottajat	Google (reCAPTCHA lähetettäessä, B.23). Verkkotunnuksen iän selvittämiseksi skanneri tekee kyselyn RDAP-uudelleenohjauspalveluun rdap.org, joka ohjaa sen vastuulliseen rekisteriin; vain verkkotunnuksen nimi välitetään. Poikkeaman sattuessa ylläpitäjä saa Telegramin kautta signaalin ilman muuttujia (ei isäntää, ei osoitetta). Raportin näkee jokainen, jolla on sen satunnainen linkki.
Kolmas maa	USA reCAPTCHAn kautta (B.23).
Säilytys	Pyyntöloki 7 päivää (öisin, srv/cron_status.php). Ratkaistut poikkeamat 90 päivää ratkaisemisen jälkeen; ratkaisemattomat säilyvät, kunnes joku ratkaisee ne (osio 10). Anonyymit raportit vanhenevat 30 päivän kuluttua; öinen ajo poistaa tämän jälkeen raportin, työn, tarkistustuloksen, lomakkeet, havainnot ja kuvat (fe_reports_aufraeumen()). Ylläpitäjä voi vapauttaa osoitteen merkinnät manuaalisesti; tämä poistaa sen lokin viimeisten 24 tunnin ajalta.
Tekniset ja organisatoriset toimenpiteet	Osio 8. Hätäpysäytys kaikille anonyymeille tarkistuksille hallinta-alueella; vastapaine, joka ei hyväksy uusia ilmaisia tarkistuksia, kun jonoa on kertynyt.

B.5 Kolmansien osapuolten verkkosivustojen tarkistus indeksointirobotilla

Kenttä	Merkintä
Tarkoitus	Julkisten yhteydenottolomakkeiden tietoturvatarkistus: suojaus roskapostia ja väärinkäyttöä vastaan, tietosuoja- ja saavutettavuusominaisuudet, upotetut kolmansien osapuolten skriptit, toiminta evästebannerissa tehdyn hylkäämisen jälkeen, mobiilinäkymä. Koskee tarkistuksia ilman tiliä (B.4), tilillä olevia verkkotunnuksia, joita ei ole vielä vahvistettu, sekä perustana tutkimukselle (B.7) ja mahdollisen asiakkaan tarkistukselle (B.8). Tilillä olevien vahvistettujen verkkotunnusten osalta toimimme Asiakkaan lukuun (A.4).
Indeksointirobotin toiminta	Oma tunniste, jossa viittaus indeksointirobotin sivulle; lukee robots.txt-tiedoston ennen tarkistusta ja pysähtyy, jos disallow-sääntö kattaa etusivun (samoin, jos robots.txt-tiedostoa ei tavoiteta tai tapahtuu palvelinvirhe); yksittäisiä alipolkuja koskevia disallow-sääntöjä ei noudateta erikseen. Lomakepulssi, todisteen haku, otsaketyökalu ja paljastuneiden tiedostojen etsintä eivät lue robots.txt-tiedostoa. Enintään kahdeksan julkista sivua tarkistusta kohden sekä enintään kolme sivua, joilla napsautetaan evästebannerin ”Hylkää”, enintään kolme sivua puhelinnäkymässä, aktiiviset kokeet vahvistetuille verkkotunnuksille ja enintään viisi sivua kirjautumisen takana (A.5); sivut ladataan peräkkäin, ei rinnakkain; vain julkiset osoitteet, ei sisäverkkoja, uudelleenohjaukset tarkistetaan uudelleen; estolista ja opt-out tarkistetaan ennen hyväksymistä ja toisen kerran skannerissa. Passiivinen: ilman hallintatodistetta Asiakkaille ei lähetetä mitään (poikkeus: omien testi- ja demoverkkotunnustemme sisäiset tarkistukset, B.6).
Rekisteröityjen ryhmät	Tarkistettujen verkkosivustojen ylläpitäjät (jos he ovat luonnollisia henkilöitä, kuten yksityisiä elinkeinonharjoittajia); tarkistetuilla sivuilla sattumalta näkyvät henkilöt.
Henkilötietoryhmät	Kuten A.4: sivujen osoitteet ja otsikot, lomakkeiden rakenne (kenttien nimet, tyypit ja nimiöt, ei kenttien arvoja), suojatoimet, kolmansien osapuolten skriptit (osoitteet; pikseleiden ja tallennustyökalujen tilitunnukset korvataan ennen tallennusta), evästebannerin toiminta, kuvakaappaukset (etusivun näkyvä alue, lomakkeet). Jos lomakkeessa esiintyy vastaanottajan osoite, vain sen verkkotunnus (scans, forms, findings, scan_screenshots).
Lähde	Julkisesti saatavilla olevat sivut.
Oikeusperuste	GDPR Art. 6(1)(f). Etu: pyydetyn tietoturvatarkistuksen suorittaminen; verkkosivustojen ylläpitäjien huomion kiinnittäminen heikkouksiin, jotka voivat vahingoittaa heidän kävijöitään. Intressipunninta: vain se, minkä jokainen kävijä näkee, luetaan, vähäisessä laajuudessa ja lähettämättä mitään; ylläpitäjä voi milloin tahansa sulkea verkkotunnuksensa pysyvästi pois ilman todistetta. GDPR Art. 14 mukaiset tiedot annetaan indeksointirobotin sivulla, opt-out-sivulla ja tietosuojaselosteessa; se, riittääkö tämä Art. 14(5)(b):n mukaisesti, on avoin kysymys oikeudellista tarkastusta varten.
Vastaanottajat	Raportin käynnistäjä ja jokainen, jolle hän antaa satunnaisen linkin; omalla palvelimellamme toimiva paikallinen kielimalli, jos lomakkeen tyyppi on epäselvä (lomakkeen rakenne, sivun otsikko ja osoite, lomakkeen näkyvä teksti). Lisäosaversioihin perustuvat haavoittuvuusvaroitukset eivät koskaan näy anonyymeissä raporteissa.
Kolmas maa	Ei ole.
Säilytys	Anonyymit: 30 päivää (B.4). Mahdollisen asiakkaan tarkistus: 90 päivää (B.8). Tutkimus: julkaisuun asti (B.7). Tilillä oleva verkkotunnus: enintään 13 kuukautta, viimeisin tarkistus säilyy; välittömästi verkkotunnuksen mukana. Ylläpitäjän sisäiset tarkistukset ilman verkkotunnusta ja ilman raporttia (kuten komentoriviltä luodut): ei säilytysaikaa (osio 10). Skannauspalvelimen väliaikaiset tiedostot poistetaan jokaisen ajon jälkeen.
Tekniset ja organisatoriset toimenpiteet	Osio 8. Erityisesti: erillinen tarkistussäiliö pudotetuin oikeuksin, vain luku -tilassa oleva tiedostojärjestelmä, muistiraja ja oma verkko; kaksinkertainen kohteen tarkistus.

B.6 Aktiiviset testilähetykset

Kenttä	Merkintä
Tarkoitus	Tarkistetaan, hyväksyykö yhteydenottolomake lähetyksen ilman suojausta, toimivatko CAPTCHA, ansa (honeypot), token, sähköpostiosoitteen validointi ja pyyntömäärien rajoitus palvelinpuolella ja voiko otsakkeita syöttää.
Edellytys	Asiakkaille vain verkkotunnuksiin, joiden hallinnasta on esitetty todiste (DNS-tietue, meta-tagi, tiedosto tai yhdistetty lisäosa); lisäksi ylläpitäjä luo sisäisellä komentorivityökalulla tarkistuksia tasolla ”vahvistettu” omille testi- ja demoverkkotunnuksillemme. Vain yleisen kytkimen ollessa päällä, vain luotettavasti yleiseksi yhteydenottolomakkeeksi luokitellulle lomakkeelle. Ei koskaan tilauksille, varauksille, rekisteröitymisille, uutiskirjeille, maksuille, tiedostojen latauksille, pakollisille kentille, joissa on todellisia henkilötietoja, eikä viranomaisten, terveydenhuolto- tai oppilaitosten verkkotunnuksille.
Rekisteröityjen ryhmät	Asiakkaan henkilöstö, joka vastaanottaa lomakesähköpostit.
Henkilötietoryhmät	Testilähetys ei sisällä henkilötietoja: lähettäjä ”FormExposed Security Scanner”, oma lähettäjäosoitteemme tai osoite .invalid-päätteen alla, merkitty aiherivi ja sivun kielinen teksti, jossa viittaus indeksointirobotin sivulle ja opt-outiin sekä tarkistuksen numero. Meillä tallennettuna: sivun vastaus, havainnot, kuva seurantasivusta (kuten A.4).
Laajuus	Enintään viisi lähetystä tarkistusta kohden (asetus, oletus 5); toistuvasti tilauksen tarkistustiheydellä, korkeimmassa tilauksessa päivittäin.
Lähde	Asiakkaan ohje.
Oikeusperuste	Asiakkaan kanssa tehdyn sopimuksen täytäntöönpano (GDPR Art. 6(1)(b)); lähetykset menevät Asiakkaan omaan lomakkeeseen. Asiakkaan puolella olevien vastaanottajien osalta: Asiakkaan organisaatio.
Vastaanottajat	Asiakas (sen lomakesähköposti).
Kolmas maa	Ei meidän kauttamme.
Säilytys	Tulokset kuten A.4.
Tekniset ja organisatoriset toimenpiteet	Osio 8. Otsakeinjektio vain havaitaan, sitä ei koskaan toteuteta todellisella vastaanottajalla; sähköpostiosoitteen validointi käyttää vain verkkotunnusta, jota ei voi olla olemassa.

B.7 Tutkimus ”Lomakkeiden tietoturvaindeksi”

Kenttä	Merkintä
Tarkoitus	Tilastot yhteydenottolomakkeiden suojauksesta tietyssä maassa tai tietyllä toimialalla. Vain kokonaismäärät julkaistaan, ilman verkkosivustojen nimiä; segmentit vain, kun lomakkeen sisältäviä sivuja on vähintään 20.
Rekisteröityjen ryhmät	Luettelossa olevien verkkosivustojen ylläpitäjät; sattumalta näkyvät henkilöt.
Henkilötietoryhmät	Kuten B.5, vain passiivinen. Lisäksi luettelo: isäntä, segmentti, tila, työ (study_domains); tutkimus otsikkoineen, maineen ja tulosten kokonaismäärineen (studies).
Lähde	Ylläpitäjän kokoama luettelo julkisista verkkosivustoista; itse sivut.
Oikeusperuste	GDPR Art. 6(1)(f). Etu: tilastolliset toteamukset lomakkeiden tietoturvan tilasta. Intressipunninta: passiivinen, kuristettu (vähän töitä ajoa kohden), estolista ja opt-out ovat voimassa, julkaisu vain kokonaismäärinä, raakatiedot poistetaan.
Vastaanottajat	Yleisö, vain kokonaismäärät.
Kolmas maa	Ei ole.
Säilytys	Raakatiedot (tarkistustulokset, lomakkeet, havainnot, kuvat, työt) poistetaan julkaisun yhteydessä (fe_studie_veroeffentlichen()). Isäntien luettelo segmentteineen säilyy sen jälkeen; sille tai koskaan julkaisemattomille tutkimuksille ei ole säilytysaikaa (osio 10). Ylläpitäjä päättää, mitkä luettelot tarkistetaan ja julkaistaanko tutkimukset.
Tekniset ja organisatoriset toimenpiteet	Osio 8.

B.8 Mahdollisen asiakkaan tarkistus (toimistojen hankintatila)

Kenttä	Merkintä
Tarkoitus	Toimisto (Business-tilaus) tarkistaa passiivisesti mahdollisen asiakkaan verkkosivuston ja saa lyhytraportin omalla brändillään sekä passiivisen raportin. Emme ota yhteyttä kehenkään; toimisto välittää linkin itse.
Rekisteröityjen ryhmät	Tarkistetun verkkosivuston ylläpitäjä; sattumalta näkyvät henkilöt; tarkistuksen käynnistävä toimiston henkilöstö.
Henkilötietoryhmät	Kuten B.5, vain passiivinen. Lisäksi: työtila, tarkistuksen käynnistäjä, isäntä, raportin satunnainen tunniste, ajankohta (prospect_checks).
Lähde	Toimiston syöte; julkiset sivut.
Oikeusperuste	GDPR Art. 6(1)(f) (etumme tarjota palvelu ja toimiston etu perusteltuun yhteydenottoon). Toimiston ja meidän roolimme sekä toimiston velvollisuudet raporttia välitettäessä ovat avoimia kysymyksiä oikeudellista tarkastusta varten: jos toimisto lähettää raportin pyytämättä sähköpostitse tai soittaa puhelun, kyse on suoramarkkinoinnista, joka edellyttää suostumusta PKE:n Art. 398:n ja UWG:n (Saksan sopimattoman kilpailun vastainen laki) § 7(2):n mukaisesti, myös yritysten välillä. Tämä on toimiston vastuulla; käyttöehdot velvoittavat sen tähän.
Vastaanottajat	Toimisto ja jokainen, jolle se antaa linkin.
Kolmas maa	Ei ole.
Säilytys	Raportti ja tarkistustulos vanhenevat 90 päivän kuluttua, minkä jälkeen öinen ajo poistaa ne (fe_reports_aufraeumen()); tarkistusmerkintä poistetaan 90 päivän kuluttua päivittäisessä parviajossa klo 04.00 alkaen (srv/cron_status.php). Työtilan mukana välittömästi.
Tekniset ja organisatoriset toimenpiteet	Osio 8. Kuukausikiintiö (asetus, oletus 30); sama sivu seitsemän päivän kuluessa palauttaa saman raportin; opt-out on voimassa.

B.9 Otsaketyökalu ilman tiliä

Kenttä	Merkintä
Tarkoitus	Ilmainen arvosana (A+–F) verkkotunnuksen etusivun tietoturvaotsakkeille. Kaksi pyyntöä, ei selainta, ei lomaketta, ei lähetystä.
Rekisteröityjen ryhmät	Henkilöt, jotka käyttävät työkalua; tarkistetun verkkotunnuksen ylläpitäjät.
Henkilötietoryhmät	Pyyntöloki kuten B.4 (lähde ”headers”, IP-osoite, istuntotiiviste, isäntä). Tulos: isäntä, arvosana, pisteet, arvioidut otsakkeet (header_checks).
Oikeusperuste	GDPR Art. 6(1)(f), kuten B.4 ja B.5.
Vastaanottajat	Google (reCAPTCHA, B.23).
Kolmas maa	USA reCAPTCHAn kautta.
Säilytys	Pyyntöloki 7 päivää; tulokset tällä hetkellä 90 päivän kuluttua (öinen poistoajo, osa ”header_checks”, asetus ”headers_keep_days”). Tilillä olevien verkkotunnusten arvosana määritetään päivittäin uudelleen ja tallennetaan verkkotunnuksen yhteyteen.
Tekniset ja organisatoriset toimenpiteet	Osio 8. Rajat IP-osoitetta ja päivää kohden; opt-out on voimassa.

B.10 Asiakastilit

Kenttä	Merkintä
Tarkoitus	Asiakastilien, työtilojen ja tilausten ylläpito.
Rekisteröityjen ryhmät	Asiakkaat (yritykset) ja heidän tiiminsä jäsenet, joilla on oma tili.
Henkilötietoryhmät	Sähköpostiosoite ja sen normalisoitu muoto, salasana vain tiivisteenä, etunimi (pakollinen), sukunimi ja yritys (jos annettu); sovellus ei tallenna osoitetta eikä ALV-tunnistetta, ne annetaan vain Stripelle (B.26); tila, kieli, näyttötila, valuutta, tilaus ja laskutuksen tila, Stripen asiakas- ja tilaustunnus, laskutuskauden päättyminen, irtisanominen kauden lopussa, vahvistus- ja palautustunnisteet vanhenemisaikoineen, uusi sähköpostiosoite vahvistamiseen asti, rekisteröitymisen ajankohta, viimeisin kirjautuminen ja viimeisin IP-osoite, ajankohta, jolloin kaikki istunnot kumottiin, kaksivaiheisen tunnistautumisen tiedot (B.11), kuukausiraportti päällä/pois, muistutussähköpostin ajankohta, koodeilla tehdyt avaukset, suosituskoodi ja suositus (users). Työtilat nimineen, ajankohtineen ja tiloineen (workspaces); jäsenyys rooleineen ja liittymispäivineen (workspace_users).
Lähde	Henkilön rekisteröityminen ja asetukset; laskutuksen tila Stripeltä.
Oikeusperuste	GDPR Art. 6(1)(b) (sopimus). Viimeisin IP-osoite: (f) (tilin turvallisuus).
Vastaanottajat	Stripe (B.26); sähköpostipalvelun tarjoaja tilin sähköposteja varten (B.25). Saman työtilan jäsenet näkevät muiden jäsenten nimen, sähköpostiosoitteen ja roolin.
Kolmas maa	Stripen ja sähköpostipalvelun tarjoajan kautta.
Säilytys	Kunnes tilin haltija poistaa tilin. Poistettaessa haltijan omat työtilat, joita kukaan muu ei käytä, poistuvat kaikkine verkkotunnuksineen ja niiden tietoineen; työtilat, joissa on muita jäseniä, siirtyvät toiselle jäsenelle, ensisijaisesti ylläpitäjille ja heistä pisimpään mukana olleelle. Jäsenyydet, muistamistunnisteet, laitteet, API-avaimet, avoimet Telegram-koodit, raporttipalautteet (B.35) ja tilirivi poistetaan; käynnissä oleva maksullinen tilaus päätetään ensin välittömästi Stripessä ilman hyvitystä (www/ajax.php, fe_konto_reste_loeschen()). Laskutusalueella tehty irtisanominen sen sijaan tulee voimaan kauden lopussa; sen jälkeen tili jatkuu ilmaisella tilauksella. Se, mitä säilyy, esitetään osiossa 6.4. Tilit, joita ei ole koskaan vahvistettu eikä joille ole koskaan kirjauduttu, poistetaan 30 päivän kuluttua, ellei niiden työtilaan ole liitetty muuta jäsentä (öinen poistoajo, osa ”pending_accounts”). Passiivisia tilejä ei poisteta. Jos tiliä koskeva sopimus päättyy muulla tavalla, esimerkiksi irtisanomisellamme, poistamme tilin viimeistään 30 päivän kuluttua sopimuksen päättymisestä; tämä tehdään tällä hetkellä manuaalisesti (sitoumus henkilötietojen käsittelysopimuksessa).
Tekniset ja organisatoriset toimenpiteet	Osio 8.

B.11 Kirjautuminen, laitteet, toinen tunnistautumistekijä ja toimintaloki

Kenttä	Merkintä
Tarkoitus	Tilien suojaaminen: kirjautumis- ja muiden salasanayritysten rajoittaminen, kirjautuneiden laitteiden näyttäminen ja kumoaminen, kaksivaiheinen kirjautuminen, muutosten jäljitettävyys.
Rekisteröityjen ryhmät	Tilin haltijat ja tiimin jäsenet; henkilöt, jotka yrittävät kirjautua, rekisteröityä tai syöttää asiakasportaalin salasanan.
Henkilötietoryhmät	Kirjautumisyritykset: IP-osoite, syötetty sähköpostiosoite, onnistuminen, ajankohta (login_attempts). Laitteet: istuntotunnisteen tiiviste (ei koskaan itse tunnistetta), linkki muistamistunnisteeseen, IP-osoite, selaintunniste ja siitä johdetut selain, käyttöjärjestelmä ja laitetyyppi, kirjautumisen, viimeisimmän toiminnan ja kumoamisen ajankohdat sekä ”Näytä asiakkaana” -tilassa tukihenkilön tunniste (login_sessions). Muistamistunnisteet ”Pidä minut kirjautuneena” -toimintoa varten: valitsin, varmentaja, vanhenemisaika (remember_tokens). Kaksivaiheinen tunnistautuminen: salaisuus salattuna, käyttöönoton ajankohta, viimeisin käytetty aika-askel, palautuskoodit vain tiivisteenä (taulussa users). Toimintaloki: tili, työtila, toiminto, kohde, yksityiskohdat, IP-osoite, maa, ajankohta (audit_logs). Yrityslaskurit kirjautumiselle, toiselle tunnistautumistekijälle, salasanan vahvistukselle, salasanan palautukselle, rekisteröitymiselle ja asiakasportaalien salasanoille: tarkoituksesta ja tilitunnuksesta (tuntemattoman osoitteen tai palautuksen kohdalla pienaakkosiksi muunnetusta sähköpostiosoitteesta), IP-osoitteesta, tilistä ja IP-osoitteesta yhdessä tai portaalin tunnuksesta (myös yhdessä IP-osoitteen kanssa) johdettu HMAC-avain, yritysten määrä, vanhenemisaika; sähköposti- ja IP-osoitteita ei tallenneta sinne selväkielisinä (taulu auth_attempt_buckets).
Oikeusperuste	GDPR Art. 6(1)(b) yhdessä Art. 32:n kanssa (laiteluettelo, toinen tunnistautumistekijä) ja (f) (kirjautumisyritykset, toimintaloki). Etu: tilien suojaaminen kaappaukselta, muutosten dokumentointi (Art. 5(2)). Intressipunninta: katkaistu osoite ei vastaa kysymykseen ”olinko se minä?”; toimintalokin on kestettävä pidempään kuin riita, joka syntyy vasta kuukausien kuluttua.
Vastaanottajat	Ei ole. Tilin haltija näkee laitteensa ja saa kirjautumisyritykset, laitteet ja toiminnot tietojen viennissä; ”Näytä asiakkaana” -istunnon aikana tukihenkilön IP-osoite tai selain ei näy siellä.
Kolmas maa	Ei ole.
Säilytys	Kirjautumisyritykset 7 päivää; onnistuneen kirjautumisen jälkeen saman osoitteen epäonnistuneet yritykset poistetaan välittömästi. Yrityslaskurit aikaikkunansa lopussa (tällä hetkellä 15 minuuttia, salasanan palautuksessa ja rekisteröitymisessä yksi tunti); vanhentuneet poistetaan seuraavan käytön yhteydessä ja öisessä ajossa. Laitteet 90 päivää viimeisimmän käytön tai kumoamisen jälkeen (öinen poistoajo, osa ”sessions”), välittömästi tilin mukana. Muistamistunnisteet vanhenevat 30 päivän kuluttua. Toimintaloki 365 päivää (öisin); kun tili poistetaan, sen merkinnät säilyvät säilytysajan loppuun (osio 6.4).
Tekniset ja organisatoriset toimenpiteet	Osio 8.

B.12 Todiste sopimuksen tekemisestä

Kenttä	Merkintä
Tarkoitus	Osoitetaan, minkä version käyttöehdoista, henkilötietojen käsittelysopimuksesta ja tietosuojaselosteesta Asiakas hyväksyi tai otti tiedoksi rekisteröityessään ja että Asiakas käyttää palvelua elinkeinotoiminnassaan.
Rekisteröityjen ryhmät	Asiakkaat.
Henkilötietoryhmät	Asiakirjakohtaisesti: tili, asiakirja, versio (näytetyn tekstin tiiviste), tilanne, IP-osoite, selaintunniste, ajankohta (legal_consents). Itse näytetty versio koko tekstineen, kielineen, otsikkoineen ja osoitteineen, kerran versiota kohden (legal_versions; ei sisällä henkilötietoja).
Oikeusperuste	GDPR Art. 6(1)(b) ja (f) (todiste sopimuksen tekemisestä, vaatimusten torjuminen).
Vastaanottajat	Ei ole. Tilin haltija saa tietueensa tietojen viennissä.
Kolmas maa	Ei ole.
Säilytys	Niin kauan kuin tili on olemassa; tilin poistamisen jälkeen neljä vuotta suostumuksesta, minkä jälkeen poistetaan öisin (srv/cron_status.php). Peruste koodissa: kolmen vuoden vanhentumisaika vuoden lopusta laskettuna, ylöspäin pyöristettynä. Se, edellyttääkö Puolan laki eri aikaa, on osa oikeudellista tarkastusta.
Tekniset ja organisatoriset toimenpiteet	Osio 8. Jos jokin kolmesta asiakirjasta puuttuu, rekisteröityminen suljetaan.

B.13 Tiimikutsut

Kenttä	Merkintä
Tarkoitus	Muiden henkilöiden kutsuminen työtilaan.
Rekisteröityjen ryhmät	Kutsutut.
Henkilötietoryhmät	Sähköpostiosoite, rooli, kutsutunniste, kutsuja, vanhenemisaika, hyväksymisen ajankohta (workspace_invites); kutsusähköposti lähtevien postien kansiossa (B.25).
Lähde	Kutsuvan jäsenen syöttämät.
Oikeusperuste	GDPR Art. 6(1)(b) suhteessa Asiakkaaseen; kutsutun henkilön osalta (f) (Asiakkaan etu ottaa tiiminsä mukaan).
Vastaanottajat	Sähköpostipalvelun tarjoaja (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Kolmas maa	Sähköpostipalvelun tarjoajan kautta.
Säilytys	Kutsu on voimassa 14 päivää ja vain niin kauan kuin kutsuja on työtilan omistaja tai ylläpitäjä. Hyväksymättömät kutsut vanhenemisen jälkeen, hyväksytyt 30 päivää hyväksymisen jälkeen (öisin, srv/cron_status.php ja osa ”invites” tiedostossa cfg/fristen_lib.php). Työtilan mukana välittömästi.
Tekniset ja organisatoriset toimenpiteet	Osio 8.

B.14 Tuen ”Näytä asiakkaana” -toiminto

Kenttä	Merkintä
Käyttötarkoitus	Pääylläpitäjä näkee sovelluksen niin kuin Asiakas sen näkee ratkaistakseen tukikysymyksen (”minulta puuttuu painike”).
Rekisteröityjen ryhmät	Asianomainen Asiakas; pääylläpitäjä.
Henkilötietoryhmät	Kaikki, mitä Asiakas näkee sovelluksessa. Kirjataan: erillinen laiterivi, jossa on pääylläpitäjän tunniste (login_sessions), sekä alku ja loppu toimintalokiin (audit_logs).
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(b) (tuki osana palvelua), vaihtoehtoisesti (f).
Rajoitukset	Enintään yksi tunti, minkä jälkeen täydellinen uloskirjautuminen. Näkymän lopettaminen kirjaa pääylläpitäjän myös kokonaan ulos, mukaan lukien istunto, josta hän tuli; hallinta-alueelle hän palaa vain kirjautumalla uudelleen salasanalla ja toisella tunnistautumistekijällä. Päättyy välittömästi, jos pääylläpitäjän oikeuksia alennetaan tai hänet estetään. Kaikki, mikä muuttaa Asiakkaan tiliä, on estetty: salasana, sähköpostiosoite, toinen tunnistautumistekijä, laitteet, tilaus, tietojen vienti, poistaminen, siirto. Hallinta-alue on suljettu istunnon ajan. Asiakas näkee pääsyn laiteluettelossaan ja tietojen viennissä tukipääsynä.
Vastaanottajat	Ei ole.
Kolmas maa	Ei ole.
Säilytysaika	Laiterivi 90 päivää, toimintaloki 365 päivää.
Tekniset ja organisatoriset toimenpiteet	Kohta 8.

B.15 Verkkotunnukset, hallinnan todentaminen ja valvonta

Kenttä	Merkintä
Käyttötarkoitus	Asiakkaille tarjottava ydinpalvelu: verkkotunnusten pitäminen tilillä, hallinnan todentaminen, säännöllinen tarkistaminen ja muutosten havaitseminen. Tähän kuuluvat lomakkeen pulssi (kevyt pyyntö ilman selainta 10–30 minuutin välein paketista riippuen), päivittäinen sähköpostin DNS- ja varmennevalvonta, verkkotunnuksen vanhenemispäivä, estolistat, julkisesti näkyvät tiedostot, ulospäin näkyvät versiot, skriptiluettelo, lomakkeen visuaaliset muutokset, CAPTCHA- ja sähköpostipalveluntarjoajien käyttökatkot sekä lomakelisäosien haavoittuvuusvalvonta.
Rekisteröityjen ryhmät	Asiakkaat ja heidän tiiminsä jäsenet; verkkotunnusten ylläpitäjät, jos he ovat luonnollisia henkilöitä.
Henkilötietoryhmät	Verkkotunnus ja isäntä, julkinen tunniste, muistiinpano, asiakkaan nimike, todentamisen tyyppi ja tunniste, tarkistustiheys, valvonta päällä/pois, huoltoikkunat, yhteydenoton arvo, tunnisteet merkille, toimitustarkistukselle ja käyttöönottokoukulle (deploy hook), lisäosan avain, valvontojen tilat ja viimeisimmät tulokset (DNS, varmenne, lomakkeen sähköpostin aitous, estolistat, julkisesti näkyvät tiedostot, otsakkeet, versiot) (domains). Pulssi lomakesivua kohden (form_pulse). Haavoittuvuudet lisäosien versioiden perusteella (vuln_hits). Skriptiluettelo, jossa osoite, tiiviste, koko, hyväksyntä sekä hyväksyjä ja peruste (script_inventory, script_changes). Tarkistukset kuten A.4. Julkisesti näkyvistä tiedostoista tallennetaan polku, vakavuus ja tyyppi, ei koskaan sisältöä.
Pyynnöt kolmansille osapuolille	DNS-kyselyt (SPF, DMARC, MX, todentamistietue). Rekisterihaku RDAP:n kautta IANA-hakemiston mukaisesti: vain verkkotunnuksen nimi. DNS-estolistat (SpamCop, PSBL, Mailspike, SURBL; Spamhaus vain tallennetuilla käyttötunnuksilla, tällä hetkellä ei): verkko- ja sähköpostipalvelimen IP-osoitteet sekä verkkotunnuksen nimi, ei kävijätietoja. Google Web Risk vain, jos se on otettu käyttöön (tällä hetkellä ei): etusivun osoite. Aikaleimapalvelu: vain tiivistearvo (B.19). WPVulnerability: vain lisäosan tai teeman tunniste tai WordPress-versio; vertailun asennettuun lisäosaversioon teemme itse. Cloudflaren, hCaptchan, Google Cloudin, SendGridin, Mailgunin ja Brevon tilasivut: mitään ei välitetä itse pyynnön lisäksi.
Lähde	Asiakas; pyynnöt Asiakkaan sivulle; julkiset hakemistot.
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(b).
Vastaanottajat	Mainitut palvelut eivät saa Asiakkaidemme henkilötietoja, sikäli kuin yrityksen verkkotunnukset ja palvelinosoitteet eivät ole henkilötietoja; yksityisten elinkeinonharjoittajien kohdalla verkkotunnus voi olla henkilötieto. Työtilan jäsenet näkevät verkkotunnuksen.
Kolmas maa	Pyynnöt voivat kohdistua palveluihin kolmansissa maissa (kuten rekisterihaut, estolistat). Vain rivillä ”Pyynnöt kolmansille osapuolille” mainitut tiedot välitetään.
Säilytysaika	Kunnes verkkotunnus poistetaan. fe_domain_loeschen() poistaa tällöin välittömästi tarkistustulokset, lomakkeet, havainnot, kuvat, raportit, työt, hälytyskohteet ja hälytyslokin, häiriötapaukset, Telegram-koodit, toimitukset, pulssin, haavoittuvuudet ja todisteet; viiteavainten kautta valvotut lomakkeet, selainajot, testitilin ja lomakelaskurit; isännän lisäosatiedot, jos mikään muu verkkotunnus ei viittaa siihen. Lisäksi poistetaan verkkotunnuksen skriptiluettelo ja skriptimuutokset; niillä ei ole omaa säilytysaikaa (kohta 6.4). Tarkistustulokset enintään 13 kuukautta, viimeisin säilyy.
Tekniset ja organisatoriset toimenpiteet	Kohta 8. Julkisesti näkyvien tiedostojen ja versioiden valvonta vain todennetuille verkkotunnuksille, enintään yksi pyyntö polkua kohden, vain ensimmäiset 8 kt; kolmansien osapuolten polkujen pyytämätön koettelu olisi hyökkäystyökalu.

B.16 Hälytykset, häiriötapaukset ja eskalointi tilinhaltijalle

Kenttä	Merkintä
Käyttötarkoitus	Asiakkaalle tiedottaminen häiriöistä ja muutoksista, huoltoikkunoiden huomioiminen, häiriötapausten kuittaaminen ja eskalointi. Kun vastaanottajat ovat kolmansia osapuolia, toimimme Asiakkaan puolesta (A.3); kun kyse on tilinhaltijasta itsestään, asia on kuvattu tässä.
Rekisteröityjen ryhmät	Tilinhaltijat ja tiimin jäsenet vastaanottajina.
Henkilötietoryhmät	Kuten A.3. Ilmoitukset näytetään tilinhaltijan kielellä.
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(b).
Vastaanottajat	Sähköpostipalvelun tarjoaja; valitut chat-palvelut (4.1).
Kolmas maa	Kanavasta riippuen (4.1).
Säilytysaika	Kuten A.3: toimitusloki 90 päivää, koosteilmoitukset 30 päivää toimituksesta, häiriötapaukset ratkaisuun asti ja sen jälkeen 180 päivää. Hälytyskohteet verkkotunnuksen mukana.
Tekniset ja organisatoriset toimenpiteet	Kohta 8.

B.17 Kuukausiraportti tileille

Kenttä	Merkintä
Käyttötarkoitus	Kunkin kuukauden 1. päivänä klo 08.00 alkaen (jälkilähetys 3. päivään asti) yksi sähköposti tiliä kohden, joka kattaa kaikki sen verkkotunnukset: taso, pisteet ja niiden muutos, hälytykset, estetyt botit, sähköpostien lähetys, vertailuarvo.
Rekisteröityjen ryhmät	Aktiiviset tilinhaltijat, joilla kuukausiraportti on käytössä.
Henkilötietoryhmät	Sähköpostiosoite, kieli, verkkotunnusten tunnusluvut.
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(b) (osa palvelua). Tilauksen voi perua asetuksista; voidaan kytkeä pois päältä keskitetysti.
Vastaanottajat	Sähköpostipalvelun tarjoaja (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Kolmas maa	Sähköpostipalvelun tarjoajan kautta.
Säilytysaika	Ei erillistä tallennusta; sähköposti säilyy lähtevien jonossa 30 päivää (B.25).
Tekniset ja organisatoriset toimenpiteet	Kohta 8.

B.18 Merkki ja julkinen vahvistussivu

Kenttä	Merkintä
Käyttötarkoitus	Asiakas voi upottaa verkkosivustolleen merkkikuvan ja linkittää sen julkiseen vahvistussivuun. Merkki näyttää tekstin ”Suojattu” vain, jos verkkotunnus on todennettu, valvonta on käynnissä ja viimeisin valmistunut tarkistus on enintään 45 päivää vanha ja sen tulos oli ”Suojattu” tai ”Osittain suojattu”; muussa tapauksessa se näyttää neutraalisti tekstin ”Yhteydenottolomakkeen tarkistus”. Vahvistussivulla ilmoitetaan taso ja päivämäärä, ei yksittäisiä havaintoja.
Rekisteröityjen ryhmät	Asiakkaan verkkosivuston kävijät, joiden selain lataa kuvan; vahvistussivun kävijät.
Henkilötietoryhmät	Kuvaa ladattaessa: IP-osoite, aika, pyydetty osoite, viittaava sivu ja selaintunniste verkkopalvelimen lokissa (B.1). Kuvan osoite ei aloita istuntoa, ei aseta evästettä eikä kirjoita sivunäyttölokiin. Vahvistussivu on tavallinen sivu (B.2, B.3).
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(f). Oikeutettu etu: kuvan toimittaminen ja toiminnan turvallisuuden ylläpitäminen. Se, ovatko Asiakas ja me yhteisrekisterinpitäjiä kävijän IP-osoitteen välittämisen osalta upotettua kolmannen osapuolen sisältöä koskevan oikeuskäytännön tarkoittamalla tavalla ja tarvitaanko Art. 26:n mukainen järjestely, on avoin kysymys oikeudelliselle tarkastelulle. Asiakas saa tekstiehdotuksen tietosuojaselosteeseensa.
Vastaanottajat	Ei ole.
Kolmas maa	Ei ole.
Säilytysaika	14 päivää (verkkopalvelimen loki). Kuva tallennetaan välimuistiin tunniksi. Kun merkki poistetaan käytöstä, tunniste lakkaa olemasta voimassa.
Tekniset ja organisatoriset toimenpiteet	Kohta 8.

B.19 Todisteloki ja aikaleima

Kenttä	Merkintä
Käyttötarkoitus	Yksi loki verkkotunnusta ja kuukautta kohden (maksulliset paketit): mitä tarkistettiin, millä tuloksella, mitä raportoitiin ja mikä muuttui, todisteeksi osoitusvelvollisuutta, vakuutusyhtiöitä tai toimittaja-auditointeja varten. Jokainen versio saa tarkistusnumeron; julkinen sivu vahvistaa verkkotunnuksen, ajanjakson ja tunnusluvut, ei yksityiskohtia. 7. lokakuuta 2026 alkaen RFC 3161 -standardin mukainen aikaleimapalvelu on vahvistanut ajan.
Rekisteröityjen ryhmät	Asiakkaat; välillisesti henkilöt, jotka voidaan mainita lokissa hyväksyjinä tai kuittaajina.
Henkilötietoryhmät	Verkkotunnus, kuukausi, tarkistusnumero, sisällön tiiviste (SHA-512), lokin yhteenveto ja tiedot, aikaleimavastaus, aikaleimapalvelu ja aika, epäonnistuneet yritykset (proof_docs).
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(b).
Vastaanottajat	Aikaleimapalvelu (oletuksena Certum, varalla DigiCert) saa vain lokin tiivisteen, ei sen sisältöä. Julkisesti: tunnusluvut vahvistussivun kautta. Asiakas ja kuka tahansa, jolle Asiakas antaa lokin tai tarkistusnumeron.
Kolmas maa	Henkilötietoja ei siirretä: tiivisteestä ei voi päätellä sisältöä. Varapalvelu sijaitsee Yhdysvalloissa.
Säilytysaika	Kunnes verkkotunnus poistetaan (fe_domain_loeschen()). Aikaleima ei ole eIDAS-asetuksen mukainen hyväksytty sähköinen aikaleima.
Tekniset ja organisatoriset toimenpiteet	Kohta 8.

B.20 Lisäosa ja laajennus: tarkistus, yhdistäminen ja tietojen välitys

Kenttä	Merkintä
Käyttötarkoitus	WordPress-lisäosa ja TYPO3-laajennus voivat pyytää tarkistusta (myös ilman tiliä), yhdistyä tiliin (asennus kelpaa hallinnan todisteeksi yhdellä napsautuksella tilillä), ottaa käyttöön suojaustoimintoja, raportoida lukuja päivittäin (A.9) sekä ilmoittaa sähköpostivirheistä ja huoltotilasta välittömästi.
Rekisteröityjen ryhmät	Asiakkaat; verkkosivustojen ylläpitäjät, jotka käyttävät lisäosaa ilman tiliä.
Henkilötietoryhmät	Isäntää kohden: lisäosan ja CMS:n versio, tarkistusten määrä, viimeisimmän raportin tunniste, yhteyssalaisuuden tiiviste, ensimmäinen ja viimeisin yhteydenotto (plugin_sites). Kertakäyttöiset yhdistämiskoodit tiivisteenä vanhenemisaikoineen (plugin_connect_tokens). Toimiston käyttöönottokoodit tiivisteenä etuliitteen, nimikkeen, käyttökertojen ja luoneen henkilön kanssa (workspace_connect_codes). Pyyntöloki, jossa kutsuvan palvelimen IP-osoite (B.4). Lisäosan avain näkyy julkisesti verkkosivuston head-osassa; se on salaisuuden tiiviste, ja itse salaisuus tallennetaan vain tiivisteenä eikä sitä koskaan palauteta.
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(b) (tili); ilman tiliä (f) (pyydetty tarkistus, väärinkäytösten estäminen).
Vastaanottajat	Ei ole.
Kolmas maa	Ei ole.
Säilytysaika	Isännän tiedot poistuvat heti, kun mikään verkkotunnus ei enää viittaa siihen; ilman tiliä käytetyn lisäosan rivi vasta 90 päivän jälkeen ilman yhteydenottoa (öinen poistoajo, osa ”orphan_hosts”). Kertakäyttökoodit päivän kuluttua vanhenemisesta. Käyttöönottokoodit työtilan mukana.
Tekniset ja organisatoriset toimenpiteet	Kohta 8. 27. syyskuuta 2026 lähtien palvelin hyväksyy vain verkkosivustoon sidottuja avainpareja; vanhemmat, sitomattomat yhteyssalaisuudet poistettiin.

B.21 Parvisuojaus

Kenttä	Merkintä
Käyttötarkoitus	Yhteinen roskapostin torjunta: yhdistetyt verkkosivustot ilmoittavat niiden viestien linkkien verkkotunnukset, jotka niiden suojauskerros on pysäyttänyt. Verkkotunnus, joka esiintyy vähintään kolmella verkkosivustolla vähintään viidellä osumalla seitsemän päivän aikana, lisätään luetteloon, joka palautuu kaikille yhdistetyille verkkosivustoille; niiden suojauskerros siirtää tällaisia linkkejä sisältävät viestit karanteeniin eikä koskaan hävitä niitä.
Rekisteröityjen ryhmät	Ilmoitettujen linkkiverkkotunnusten haltijat, jos he ovat luonnollisia henkilöitä (kuten omalla nimellään roskapostisivustoa ylläpitävä henkilö). Eivät viestien lähettäjät ja vastaanottajat: osoitteita, tekstejä ja nimiä ei ilmoiteta.
Henkilötietoryhmät	Signaalit: tyyppi, verkkotunnus, ilmoittava isäntä, päivä, osumat (swarm_signals). Luettelo: tyyppi, verkkotunnus, verkkosivustojen ja osumien määrä, ajankohdat (swarm_list). Suuria palveluja, Asiakkaidemme verkkotunnuksia ja ylläpitäjän asettamia poikkeuksia ei koskaan lisätä luetteloon.
IP-verkot	IP-verkkojen (/24, /48) jakaminen on valmisteltu. Se on pois päältä, eikä lisäosa ilmoita niitä; se otetaan käyttöön vasta oikeudellisen tarkastelun jälkeen, koska IP-osoitteet ovat henkilötietoja.
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(f). Oikeutettu etu: kaikkien Asiakkaiden lomakkeiden suojaaminen roskapostiaalloilta. Intressivertailu: vain verkkotunnuksia, vähimmäiskynnykset myrkyttämistä vastaan, ei viestien menetystä, poistaminen mahdollista milloin tahansa.
Vastaanottajat	Kaikki yhdistetyt verkkosivustot (verkkotunnusten luettelo).
Kolmas maa	Yhdistettyjen verkkosivustojen sijainnista riippuen; luettelo voi päätyä myös ETA-alueen ulkopuolisille verkkosivustoille. Se sisältää henkilötietoja vain rajatapauksissa (luonnollisten henkilöiden verkkotunnukset). Tietosuoja-asetuksen V luvun mukainen siirtoperuste näissä tapauksissa on vielä määrittämättä (avoin kysymys oikeudelliselle tarkastelulle).
Säilytysaika	Signaalit 30 päivää (päivittäinen parviajo klo 04.00 alkaen, cfg/swarm_lib.php). Luettelo lasketaan uudelleen päivittäin; mikä ei enää ylitä kynnystä, poistuu.
Tekniset ja organisatoriset toimenpiteet	Kohta 8.

B.22 API-avaimet, ohjelmointirajapinta ja MCP-palvelin

Kenttä	Merkintä
Käyttötarkoitus	Asiakkaan omien työkalujen (REST API, Zapier, Make, MCP-palvelin tekoälyavustajille) pääsy Asiakkaan verkkotunnuksiin, tarkistuksiin ja häiriötapauksiin.
Rekisteröityjen ryhmät	Asiakkaat, jotka luovat avaimia.
Henkilötietoryhmät	Avain vain tiivisteenä, etuliite, nimike, luonti-, viimeisimmän käytön ja mitätöinnin ajankohdat (api_keys). Kutsut minuutissa (api_usage).
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(b).
Vastaanottajat	Työkalu, johon Asiakas asettaa avaimen; Asiakas päättää siitä.
Kolmas maa	Asiakkaan työkalusta riippuen.
Säilytysaika	Avaimet mitätöintiin asti, tilin mukana välittömästi; tilittömät avaimet (vanhat tiedot) öisin. Kutsulaskurit yhden päivän jälkeen (siivotaan satunnaisesti kutsun yhteydessä).
Tekniset ja organisatoriset toimenpiteet	Kohta 8.

B.23 reCAPTCHA ja oma lomakesuojauksemme

Kenttä	Merkintä
Käyttötarkoitus	Automaattisen käytön torjunta omissa lomakkeissamme: ilmainen tarkistus, otsaketyökalu, opt-out, kirjautuminen, rekisteröityminen, unohtunut ja nollattava salasana, tuki ja yhteydenotto. Lisäksi oma suojauksemme ilman kolmansia osapuolia: ansa (piilotettu kenttä), allekirjoitettu ajoitustarkistus ja CSRF-tunniste. 29. lokakuuta 2026 alkaen lisäksi oma lomakesuojauksemme formconfirmed (laskentatodiste ja kertakäyttöinen tarkistustunniste) ilmaisessa tarkistuksessa, rekisteröitymisessä, kirjautumisessa ja toiminnossa ”Unohtunut salasana”.
Rekisteröityjen ryhmät	Henkilöt, jotka lähettävät näitä lomakkeita.
Henkilötietoryhmät	Googlella: IP-osoite, selain- ja laitetiedot, käyttäytymistiedot, Googlen evästeet. Meillä: Googlen arvio (pisteet ja toiminto) vain tarkistushetkellä, ilman tallennusta, ei edes silloin, kun lähetys hylätään. Oma lomakesuojauksemme: IP-osoite (tallennetaan vain lyhennettynä ja tiivistettynä), sivu, ajankohdat, ansakenttä täytetty kyllä/ei; ei sisältöä.
Ajoitus	Googlen skripti latautuu vasta, kun suojattu lomake lähetetään, ei sivua avattaessa. Oma lomakesuojauksemme hakee tehtävänsä sivua avattaessa ja laskee heti, kun lomaketta käytetään. Kehitysjärjestelmässä reCAPTCHA on pois päältä.
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(f). Oikeutettu etu: suojautuminen boteilta, erityisesti ilmaisen tarkistuksen osalta, jota voitaisiin muuten käyttää kolmansien osapuolten verkkosivustoja vastaan. Se, edellyttääkö päätelaitteeseen pääsy suostumusta § 25 TDDDG:n tai Art. 399 PKE:n nojalla, vaikka skripti latautuu vasta lähetettäessä, on avoin kysymys oikeudelliselle tarkastelulle. Oma lomakesuojauksemme ei aseta evästeitä, ei tallenna mitään selaimeen eikä muodosta sormenjälkeä; sen on tarkoitus korvata reCAPTCHA pitkällä aikavälillä.
Vastaanottajat	Google Ireland Limited; Google LLC. Oman lomakesuojauksemme osalta ei vastaanottajia.
Kolmas maa	Yhdysvallat (vain reCAPTCHA). Peruste: EU:n ja Yhdysvaltojen välisen tietosuojakehyksen (EU-US Data Privacy Framework) mukainen sertifiointi tai vakiosopimuslausekkeet; dokumentoidaan yksityiskohtaisesti.
Säilytysaika	reCAPTCHA: ei tallennusta meillä; Googlella sen sääntöjen mukaisesti. Oma lomakesuojaus: tiivistetty tunniste 1 tunti, käytetyt tarkistustunnisteet enintään 11 minuuttia, tarkistustulokset ilman IP-osoitetta 30 päivää.
Käyttökatko	Jos Google ei vastaa kolmen sekunnin kuluessa tai sen vastaus on käyttökelvoton, lähetys hylätään; samoin hylätään tyhjä tunniste ja vastaus, joka koskee muuta toimintoa kuin lomakkeen omaa. Tarkistus ohitetaan vain, kun reCAPTCHA on pois päältä. Omassa lomakesuojauksessamme lähetys, jossa ei ole voimassa olevaa tarkistustunnistetta, hylätään; jos palvelu ei ollut tehtävää varten tavoitettavissa, lähetys hyväksytään.
Tekniset ja organisatoriset toimenpiteet	Kohta 8.

B.24 Tuki- ja yhteydenottolomake

Kenttä	Merkintä
Käyttötarkoitus	Tiedustelujen vastaanottaminen ja niihin vastaaminen tukiikkunan ja yhteystietosivun kautta. Molemmat käyttävät samaa reittiä ja samaa taulua.
Rekisteröityjen ryhmät	Tiedustelijat, kirjautuneet tai kirjautumattomat.
Henkilötietoryhmät	Tili (jos kirjautunut; tällöin sovelletaan tilin osoitetta, ei syötettyä), sähköpostiosoite, syy kiinteästä luettelosta, enintään 4 000 merkin teksti, tila, täydellinen IP-osoite, maa, selaintunniste, viittaava sivu (vain omat polut), kieli, vastaanotto- ja vastausajankohdat (support_requests); merkintä toimintalokiin (ilman tekstiä); vastaanottokuittaus tiedustelijalle lähtevien jonossa (B.25), jossa on teksti enintään 2 000 merkin pituisena vain kirjautuneille lähettäjille ja ilman tekstiä kirjautumatta tehdyissä pyynnöissä.
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(b), jos tiedustelu koskee sopimusta; muuten (f). Täydellinen IP-osoite: (f) (enintään kolme tiedustelua tunnissa osoitetta kohden, väärinkäytösten estäminen).
Vastaanottajat	Sähköpostipalvelun tarjoaja (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) kuittausta ja vastausta varten. Telegram saa kiinteän signaalin ilman muuttujia (”uusi tukipyyntö on saapunut”) eikä siten henkilötietoja.
Kolmas maa	Sähköpostipalvelun tarjoajan kautta.
Säilytysaika	24 kuukautta (öinen poistoajo, osa ”support”); manuaalisesti aiemmin. Kun tili poistetaan, tiedustelut säilyvät säilytysajan loppuun asti (kohta 6.4).
Tekniset ja organisatoriset toimenpiteet	Kohta 8. reCAPTCHA, oma lomakesuojauksemme, pyyntömäärien rajoitus.

B.25 Sähköpostien lähettäminen (lähtevien jono)

Kenttä	Merkintä
Käyttötarkoitus	Tapahtumaperusteiset sähköpostit: rekisteröitymisen ja uusien sähköpostiosoitteiden vahvistus, salasanan nollaus, kutsut, hälytykset, kuukausiraportit, portaalin vahvistukset ja raportit, tuen kuittaukset ja vastaukset, kokeilujaksoa ja käyttöönottoa koskevat muistutukset, toiminnalliset ilmoitukset palvelun ylläpitäjille. Ei mainontaa, ei sähköposteja henkilöille, jotka eivät ole itse rekisteröityneet tai joita Asiakas ei ole lisännyt vastaanottajiksi.
Rekisteröityjen ryhmät	Näiden sähköpostien vastaanottajat.
Henkilötietoryhmät	Vastaanottajan osoite, aihe, koko sisältö, vastausosoite, tarkoitus, lähetysreitti, tila, virhe, yritykset, ajankohdat (mail_outbox). Sisältö voi sisältää vahvistus- ja nollauslinkkejä, joissa on voimassa olevia tunnisteita.
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(b); toiminnallisissa ilmoituksissa (f).
Vastaanottajat	Namecheap, Inc. (Private Email), Phoenix, Arizona, USA (lähetys); tilinhaltija näkee hänelle lähetetyt sähköpostit tietojen viennissä (ilman sisältöä).
Kolmas maa	Sähköpostipalvelun tarjoajan käsittelypaikasta riippuen; sopimus ja siirtoperuste on vielä dokumentoitava (kohta 4).
Säilytysaika	30 päivää (öisin, srv/cron_status.php). Tämä aika on tarkoituksella lokeista lyhin: pitkä lähetysloki olisi kokoelma voimassa olevia avaimia. Tila-ajo tarkistaa viiden minuutin välein, onko uusintayritys ajankohtainen.
Tila	Sähköpostien lähetys on otettava käyttöön ennen julkaisua. Kunnes sähköpostipalvelun tarjoaja, sen kotipaikka ja siirtoperuste on selvitetty, oikeudellisissa teksteissä näkyy merkintä.
Tekniset ja organisatoriset toimenpiteet	Kohta 8. Epäonnistuneet sähköpostit yritetään lähettää uudelleen kasvavin välein, ja niistä luovutaan, kun yritysten enimmäismäärä on täynnä.

B.26 Maksut ja laskutus

Kenttä	Merkintä
Käyttötarkoitus	Tilausten tekeminen ja hallinnointi (kuukausittain tai vuosittain etukäteen), 14 päivän kokeilujakso ilman korttia ja muistutus kolme päivää ennen sen päättymistä, laskulla maksaminen vuositilauksissa (oletuksena pois päältä), maksuttomat aktivoinnit hosting- ja kumppanikoodeilla, laskutus, säilyttäminen verotusta varten.
Rekisteröityjen ryhmät	Asiakkaat.
Henkilötietoryhmät	Stripessä: sähköpostiosoite, nimi, laskutusosoite, ALV-tunniste, maksutiedot, laskut; metatietoina tilitunnuksemme ja paketti. Meillä: Stripen asiakas- ja tilaustunnus, paketti, tila, jakson loppu, peruutus jakson lopussa (users); vastaanotetut Stripe-tapahtumat vain tunnisteen, tyypin, tilan ja ajankohtien kanssa, ilman sisältöä (stripe_events); hosting-koodien lunastukset tilin, kampanjan ja voimassaolon päättymisen kanssa (bundle_redemptions). Korttitiedot eivät koskaan tule meille.
Lähde	Asiakas Stripen kassalla; Stripen tapahtumat.
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(b); verotusta varten säilyttämisen osalta (c).
Vastaanottajat	Stripe Payments Europe Limited (Irlanti); Stripe, Inc. (Yhdysvallat). Osassa maksujen käsittelyä Stripe toimii omalla vastuullaan; tarkka roolijako on osa oikeudellista tarkastelua.
Kolmas maa	Yhdysvallat Stripe, Inc.:n kautta; peruste: Data Privacy Framework tai vakiosopimuslausekkeet Stripen ehtojen mukaisesti.
Säilytysaika	Laskutuskentät tilin mukana; käynnissä oleva tilaus päätetään ennen tilin poistamista. Laskut ja laskutusasiakirjat Puolan verolainsäädännön mukaisesti viisi vuotta sen vuoden päättymisestä, jona veron maksun määräaika päättyi; niitä säilytetään Stripessä, ja ne ovat haettavissa Stripen asiakasportaalista. Stripe-tapahtumilla ja koodien lunastuksilla ei ole säilytysaikaa (kohta 6.4).
Tekniset ja organisatoriset toimenpiteet	Kohta 8. Stripe-tapahtumat hyväksytään vain kelvollisella allekirjoituksella; jokainen tapahtuma käsitellään kerran.

B.27 Varmuuskopiot

Kenttä	Merkintä
Käyttötarkoitus	Palautus virheen jälkeen: virheellinen poisto, vahingoittunut migraatio.
Rekisteröityjen ryhmät	Kaikki, joiden tietoja tietokannassa on.
Henkilötietoryhmät	Sovellustietokannan täydellinen, pakattu vedos. Kuvakaappaukset ja logotiedostot säilytetään tietokannan ulkopuolella, eivätkä ne kuulu tähän varmuuskopioon. Testitilien tunnistetiedot sisältyvät siihen vain salattuina (A.5).
Menettely	Öisin klo 03.00 poistoajon jälkeen, jotta varmuuskopio ei ota mukaan sitä, minkä säilytysajat ovat juuri poistaneet. Vedos säilytetään vasta, kun sen sisältö on tarkistettu (paluukoodi, taulujen määrä, viimeinen rivi). Sunnuntaisin palautustesti lataa viimeisimmän varmuuskopion kertakäyttöiseen tietokantaan ja vertaa sitä taulu taululta. Jos jokin epäonnistuu, palvelun ylläpitäjille lähtee signaali ja sähköposti.
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(f) yhdessä Art. 32(1)(c):n kanssa.
Vastaanottajat	Ei ole.
Kolmas maa	Ei ole.
Säilytysaika	14 päivää; vanhemmat vedokset poistetaan vasta onnistuneen uuden varmuuskopion jälkeen (cfg/backup_lib.php). Tänä aikana tehdyt poistot ulottuvat varmuuskopioon vasta sen vanhentuessa; jos tietoja palautetaan varmuuskopiosta, poistopyynnöt toteutetaan sen jälkeen uudelleen.
Sijainti	Varmuuskopiot säilytetään tällä hetkellä samassa sijainnissa kuin tietokanta, eikä niitä ole erikseen salattu; salattu kopio toisessa sijainnissa on suunnitteilla (kohdat 8.1 ja 10).
Tekniset ja organisatoriset toimenpiteet	Kohta 8.

B.28 Virheloki ja virhehälytys

Kenttä	Merkintä
Käyttötarkoitus	Virheiden löytäminen ja korjaaminen ennen kuin Asiakas ilmoittaa niistä. Uusista virhetyypeistä ja virheaalloista ilmoitetaan palvelun ylläpitäjille, ja lisäksi lähetetään päivittäinen yhteenveto klo 08.00 alkaen.
Rekisteröityjen ryhmät	Käyttäjät, joiden pyyntö aiheuttaa virheen; välillisesti henkilöt, joiden tietoja esiintyy virheilmoituksessa.
Henkilötietoryhmät	Taso, lähde, viesti, konteksti JSON-muodossa, istunnon tilitunnus, aika (error_logs). Virhetyypit: sormenjälki, malli (josta on poistettu sähköpostiosoitteet, osoitteet, numerot ja tunnisteet), yksi muuttamaton esimerkkiviesti, enintään 2 000 merkkiä, ensimmäinen ja viimeisin esiintymä, määrä (error_kinds).
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(f) (toiminnan turvallisuus, Art. 32).
Vastaanottajat	Palvelun ylläpitäjät sähköpostitse sähköpostipalvelun tarjoajan kautta: uudesta virhetyypistä lähde ja viestin raakateksti enintään 400 merkkiä (puhdistamaton) sekä päivittäinen yhteenvetosähköposti; virheaallosta lähtee vain Telegram-signaali. Telegram saa vain kiinteitä lauseita ilman muuttujia (”Uusi virhetyyppi on ilmennyt”, ”Paljon virheitä lyhyessä ajassa”).
Kolmas maa	Sähköpostipalvelun tarjoajan kautta.
Säilytysaika	Virheloki 90 päivää (öisin). Virhetyypit ilman säilytysaikaa (kohta 10). Virhehälytys on käytössä tuotantojärjestelmässä ja pois päältä kehitysjärjestelmässä.
Tekniset ja organisatoriset toimenpiteet	Kohta 8.

B.29 Toiminnalliset signaalit ja tilan valvonta

Kenttä	Merkintä
Käyttötarkoitus	Käyttökatkojen havaitseminen: viiden minuutin välein komponenttien tarkistus (etusivu, tietokanta, levytila, skannerin sydämenlyönti, jonon ruuhka), tilasivu, signaali häiriöstä ja sen päättymisestä, sydämenlyönti ulkoiseen valvontapalveluun, jotta täydellinenkin käyttökatko huomataan; skannerin edessä oleva jono.
Rekisteröityjen ryhmät	Pääsääntöisesti ei ole.
Henkilötietoryhmät	Ei ole. Päivittäiset rivit komponenttia kohden tarkistusten määrällä ja viimeisimmällä virheellä (system_status_logs), skannerin sydämenlyönti (scanner_heartbeat), päivittäiset tunnusluvut ilman henkilöön liittyvää yhteyttä (daily_stats). Telegramiin lähtevät signaalit ovat kiinteitä lauseita ilman muuttujia; sydämenlyönti on sisällötön pyyntö.
Oikeusperuste	Ei sovellu, koska henkilötietoja ei ole; varmuuden vuoksi Art. 6(1)(f).
Vastaanottajat	Telegram (kiinteät lauseet); ulkoinen valvontapalvelu (vain pyyntö); palvelun ylläpitäjät sähköpostitse.
Kolmas maa	Telegram EU:n ulkopuolella; henkilötietoja ei välitetä.
Säilytysaika	Tilarivit 400 päivää (öisin).
Tekniset ja organisatoriset toimenpiteet	Kohta 8.

B.30 Opt-out – verkkotunnuksen sulkeminen pois

Kenttä	Merkintä
Käyttötarkoitus	Kuka tahansa voi pysyvästi sulkea minkä tahansa verkkotunnuksen pois tarkistuksista ilman todistetta; esto tulee voimaan välittömästi kaikilla tarkistusreiteillä (ilmainen tarkistus, lisäosa ilman tiliä, tutkimus, prospektitarkistus, otsaketyökalu) ja myös sellaisten maksavien Asiakkaiden verkkotunnuksilla, joiden hallinta on todennettu; niiden käynnissä oleva valvonta päättyy seuraavan ajoitetun tarkistuksen yhteydessä. Esto koskee verkkotunnusta ja sen www-muotoa, ei muita aliverkkotunnuksia. Vain me voimme poistaa sen, pyynnöstä ja todisteen perusteella. Jotta väärinkäyttö (kuten kilpailija, joka estää muiden verkkotunnuksia) voidaan havaita ja peruuttaa, esto kirjataan.
Rekisteröityjen ryhmät	Henkilöt, jotka sulkevat verkkotunnuksen pois.
Henkilötietoryhmät	Verkkotunnus, vapaaehtoinen syy enintään 250 merkkiä, lähde, IP-osoite, maa, selaintunniste, aika; eston poistamisen yhteydessä aika, eston poistanut henkilö ja syy (blocklist). Pyyntöloki kuten B.4.
Oikeusperuste	Poissulkemisen osalta tietosuoja-asetuksen Art. 6(1)(f). Oikeutettu etu: sen toiveen toteuttaminen pysyvästi ja kaikilla tarkistusreiteillä, ettei verkkotunnusta tarkisteta. Jos poissulkeva henkilö on itse rekisteröity, poissulkeminen toteuttaa samalla hänen Art. 21:n mukaisen vastustamisensa (Art. 6(1)(c)). Osoitteen, maan ja selaintunnisteen osalta (f) (väärinkäytösten havaitseminen).
Vastaanottajat	Google (reCAPTCHA, B.23).
Kolmas maa	Yhdysvallat reCAPTCHAn kautta.
Säilytysaika	IP-osoite, maa ja selaintunniste 12 kuukauden jälkeen (öinen poistoajo, osa ”optout_ip”). Itse poissulkeminen säilyy pysyvästi, jotta se on voimassa.
Tekniset ja organisatoriset toimenpiteet	Kohta 8. Monet estot yhdestä maasta lyhyessä ajassa aiheuttavat poikkeamailmoituksen (B.4).

B.31 Muistutus rekisteröitymisen jälkeen

Kenttä	Merkintä
Käyttötarkoitus	Yksi ainoa sähköposti 2–14 päivää rekisteröitymisen jälkeen vahvistetuille tileille, joilla ei ole vahvistettua verkkotunnusta: ”Lisää verkkosivusto” tai ”Vahvista verkkotunnus”. Ei tarjousta, ei hintaa, ei päivitystä; mukana maininta, ettei viestiä lähetetä uudelleen. Arkipäivisin klo 09.00–18.00, enintään 50 ajoa kohden.
Rekisteröityjen ryhmät	Uudet tilinhaltijat.
Henkilötietoryhmät	Sähköpostiosoite, kieli, lähetysajankohta (kenttä ”muistutus lähetetty” taulussa users), verkkotunnus ja vahvistuksen tila.
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(b) (ohje oman tilin käyttöönotosta). Se, katsotaanko sähköposti sopimussuhdetta koskevaksi viestinnäksi vai kaupalliseksi tiedoksi, joka edellyttäisi suostumusta (Art. 10 UŚUDE, Puolan laki sähköisten palvelujen tarjoamisesta (ustawa o świadczeniu usług drogą elektroniczną); Art. 398 PKE; § 7 UWG), on avoin kysymys oikeudelliselle tarkastelulle; ylläpitäjä voi kytkeä sen pois päältä keskitetysti.
Vastaanottajat	Sähköpostipalvelun tarjoaja (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Kolmas maa	Sähköpostipalvelun tarjoajan kautta.
Säilytysaika	Ajankohta säilyy yhtä kauan kuin tili; sähköposti 30 päivää lähtevien jonossa.
Tekniset ja organisatoriset toimenpiteet	Kohta 8. Ajankohta asetetaan ennen lähettämistä, jotta keskeytys ei laukaise toista sähköpostia.

B.32 Telegram-botti Asiakkaiden hälytyksiä varten

Kenttä	Merkintä
Käyttötarkoitus	Telegram-keskustelu liitetään hälytyskohteeksi: Asiakas saa linkin bottiimme kertakäyttöisen koodin kanssa; kun vastaanottaja painaa ”Aloita” (Start), palvelimemme lukee koodin botille saapuneista uusista viesteistä ja tallentaa keskustelun tunnisteen (chat ID). Tätä varten ei tarvita avointa päätepistettä meidän puolellamme (webhook).
Rekisteröityjen ryhmät	Asiakkaat ja henkilöt, joiden Telegram-keskustelu liitetään.
Henkilötietoryhmät	Kertakäyttökoodi, verkkotunnus, luova tili, tapahtumat, toimitustapa, chat ID, ajankohdat (telegram_links); chat ID kohteena (alerts). Telegram toimittaa viestin mukana muita profiilitietoja; vain koodi ja chat ID käsitellään ja tallennetaan.
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(b); kolmansien osapuolten ollessa vastaanottajina A.3.
Vastaanottajat	Telegram.
Kolmas maa	EU:n ulkopuolella, ei tietosuojan riittävyyttä koskevaa päätöstä; valinnan tekee Asiakas (4.1). Peruste ja ilmoitus ovat avoimia kysymyksiä oikeudelliselle tarkastelulle.
Säilytysaika	Koodi on voimassa 30 minuuttia; linkkirivit poistetaan päivän kuluttua, kun uusi koodi luodaan, avoimet koodit tilin ja verkkotunnuksen mukana. Chat ID kohteena, kunnes hälytyskohde tai verkkotunnus poistetaan.
Tekniset ja organisatoriset toimenpiteet	Kohta 8.

B.33 Kumppaniohjelma ja aktivointikoodit

Kenttä	Merkintä
Käyttötarkoitus	Tili voi suositella uusia Asiakkaita suosituskoodilla ja saa provision heidän maksetuista laskuistaan rajoitetun määrän kuukausia. Koodi kulkee osoitteessa rekisteröitymiseen asti; evästettä ei aseteta. Hosting-palveluntarjoajat ja kumppanit voivat myöntää koodeja, jotka aktivoivat paketin määräajaksi ilman maksua; viikkoa ennen päättymistä Asiakas saa muistutuksen.
Tila	Kumppaniohjelma on oletuksena pois päältä, kunnes kumppaniehdot ovat voimassa.
Rekisteröityjen ryhmät	Kumppanit ja suositellut Asiakkaat.
Henkilötietoryhmät	Suosituskoodi, suositteleva kumppani ja suosittelun ajankohta (taulussa users); provisio, jossa kumppani, Asiakas, Stripe-laskun tunnus, summa, valuutta, provisio, tila, ajankohdat (partner_commissions). Aktivointi, jossa paketti, päättyminen, lähde, muistutus (taulussa users); kampanjat ja lunastukset (bundle_campaigns, bundle_redemptions).
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(b) (kumppanisopimus); Asiakkaan osalta (f) (provision tilitys luovuttamatta Asiakkaan tietoja kumppanille provision määrää pidemmälle); verokirjanpito (c).
Vastaanottajat	Kumppani näkee provisionsa.
Kolmas maa	Ei ole.
Säilytysaika	Suosittelu ja aktivointi tilin mukana. Provisioilla ja lunastuksilla ei ole koodissa säilytysaikaa; kirjanpitoaineistona provisioihin sovelletaan verotuksellista säilytysvelvollisuutta (kohta 6.4).
Tekniset ja organisatoriset toimenpiteet	Kohta 8.

B.34 Haavoittuvuuksien ilmoituskanava

Kenttä	Merkintä
Käyttötarkoitus	Palvelun formexposed haavoittuvuuksia koskevien ilmoitusten vastaanottaminen Tietoturva-sivun ja tiedoston /.well-known/security.txt sääntöjen mukaisesti.
Rekisteröityjen ryhmät	Ilmoittajat; henkilöt, joiden tietoja ilmoitus sisältää todisteena.
Henkilötietoryhmät	Sähköpostiosoite, nimi, ilmoituksen sisältö ja liitteet sellaisina kuin ilmoittaja ne lähettää. Ilmoitus tulee meille sähköpostitse siellä mainittuun osoitteeseen; sovellus ei tallenna sitä.
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(f) (palvelun turvallisuus, Art. 32); jos ilmoitus sisältää kolmansien osapuolten henkilötietoja todisteena, samoin (f), tavoitteena haavoittuvuuden korjaaminen.
Vastaanottajat	Sähköpostipalvelun tarjoaja ja, kunnes postilaatikko on otettu käyttöön, verkkotunnuksen edelleenlähetys Namecheapissa (kohta 4).
Kolmas maa	Sähköpostipalvelun tarjoajan ja siirtymään asti edelleenlähetyksen kautta.
Säilytysaika	Säilytysaikaa ei ole asetettu eikä teknisesti toteutettu (kohta 10). Ylläpitäjän on vielä määritettävä aika; ilmeinen ratkaisu olisi poistaa kolmansien osapuolten todisteet, kun haavoittuvuus on korjattu, ja käsitellä kirjeenvaihtoa kuten tukitiedusteluja.
Tekniset ja organisatoriset toimenpiteet	Kohta 8.

B.35 Palaute raportista

Kenttä	Merkintä
Käyttötarkoitus	Raportin alla annettavan palautteen vastaanottaminen (”Onko tässä raportissa jotain vialla?”) lomakkeiden tunnistuksen virheiden löytämiseksi. Pääylläpitäjä luokittelee palautteen (uusi, vahvistettu, korjattu, hylätty) ja voi ladata raportin tarkistustiedot testitapaukseksi (lomakkeet kenttineen, perusteineen ja havaintoineen, ilman kuvakaappauksia ja ilman aktiivisesti lähetettyjä tekstejä).
Rekisteröityjen ryhmät	Raporttia katsovat henkilöt, kirjautuneet tai kirjautumattomat.
Henkilötietoryhmät	Luokka ja tarkistus kiinteistä luetteloista, sivun osoite enintään 500 merkkiä, teksti enintään 1 000 merkkiä, kieli, aika, raportin tunniste, tarkistus, isäntä; tilin tunniste, jos kirjautunut; IP-osoitteen HMAC-SHA256-tiiviste salaisella avaimella rajoitusta varten; tila, käsittelijä, käsittelyaika (report_feedback). Toimintaloki: tilamuutokset ja testitapausten lataukset. Ei sähköpostiosoitetta, ei IP-osoitetta selväkielisenä.
Oikeusperuste	Tietosuoja-asetuksen Art. 6(1)(f) (tunnistusvirheiden löytäminen ja korjaaminen; väärinkäytön estävä rajoitus).
Vastaanottajat	Ei ole.
Kolmas maa	Ei ole.
Säilytysaika	24 kuukautta (öinen poistoajo, osa ”report_feedback”); IP-osoitteen tarkistussumma tyhjennetään 2 päivän kuluttua (osa ”report_feedback_ip”); välittömästi, kun tili poistetaan. Ladatut testitapaukset eivät sisällä tietoja ilmoittajasta.
Tekniset ja organisatoriset toimenpiteet	Kohta 8. Oma lomakesuojaus (ansa, allekirjoitettu aika, CSRF), enintään 5 ilmoitusta tunnissa ja 20 päivässä tarkistussummaa kohden, 10 raporttia kohden; vain pääylläpitäjien luettavissa.

6. Säilytysajat – mitä öinen poistoajo kattaa ja mitä ei

Automaattinen poisto on olemassa, ja sillä on paikkansa. Tila-ajo (srv/cron_status.php) käynnistetään viiden minuutin välein verkkopalvelimen crontabin kautta, niin tuotantojärjestelmässä kuin kehitysjärjestelmässä. Se tarkistaa komponentit, noutaa toimitustarkistuksen postin, ajoittaa tarkistukset ja lähettää hälytykset. Kerran päivässä, aikaikkunassa klo 03.00–03.04, se poistaa tietoja säilytysaikojen mukaisesti ja luo sen jälkeen varmuuskopion. 27. syyskuuta 2026 lähtien se on lisäksi kutsunut säilytysajoa tiedostossa cfg/fristen_lib.php (fe_fristen_lauf()), jonka osat toimivat toisistaan riippumatta: jos yksi epäonnistuu, muut jatkavat, ja virhe kirjataan virhelokiin.

Näyttö siitä, että ajo toimii: kehitysjärjestelmän varmuuskopioinnin tila osoittaa onnistuneen varmuuskopion 11. lokakuuta 2026 klo 03.00; varmuuskopio luodaan samassa lohkossa välittömästi poiston jälkeen. Ajo kirjoittaa lokin kustakin poistetusta taulusta vain vakiotulosteeseen, jonka crontab hylkää; pysyvää kirjausta siitä, mitä on poistettu ja milloin, ei ole (kohta 10).

Paikkamerkkeinä näkyvät säilytysajat asetetaan hallinta-alueella säilytysaika-asetuksissa. Ajo lukee samoja asetuksia; tekstit näyttävät siksi aina ajan, jonka jälkeen tiedot todella poistetaan.

6.1 Päivittäisen ajon kattamat tiedot

Tiedot	Säilytysaika ja käynnistäjä	Sijainti koodissa
Sivunäyttöloki (access_logs)	60 päivää	srv/cron_status.php
Toimintaloki (audit_logs)	365 päivää	srv/cron_status.php
Virheloki (error_logs)	90 päivää	srv/cron_status.php
Lähtevien jono (mail_outbox)	30 päivää	srv/cron_status.php
”Pidä minut kirjautuneena” -muistitunnisteet (remember_tokens)	vanhenemisen jälkeen (30 päivää)	srv/cron_status.php
Hyväksymättömät kutsut (workspace_invites)	vanhenemisen jälkeen (14 päivää)	srv/cron_status.php
Kirjautumisyritykset (login_attempts); yrityslaskurit (auth_attempt_buckets)	7 päivää; laskurit, kun niiden aikaikkuna päättyy (tällä hetkellä 15 minuuttia, salasanan nollauksessa ja rekisteröitymisessä yksi tunti), myös seuraavan käytön yhteydessä	srv/cron_status.php
Tilittömien tarkistusten pyyntöloki (check_throttle)	7 päivää	srv/cron_status.php
Kertakäyttökoodit lisäosan yhdistämiseen (plugin_connect_tokens)	1 päivä vanhenemisen jälkeen	srv/cron_status.php
Selvitetyt poikkeamat (abuse_flags)	90 päivää selvittämisen jälkeen	srv/cron_status.php
Vanhentuneet raportit yhdessä tarkistustuloksen, lomakkeiden, havaintojen, kuvien ja työn kanssa (vain ilman tiliin kuuluvaa verkkotunnusta)	anonyymit 30 päivää, prospektit 90 päivää	fe_reports_aufraeumen()
Hälytysten toimitusloki (alert_log)	90 päivää	fe_alert_log_aufraeumen()
Tilarivit (system_status_logs)	400 päivää	srv/cron_status.php
Poistettujen tilien suostumuskirjaukset (legal_consents)	kun tili on poistettu ja suostumus on 4 vuotta vanha	srv/cron_status.php
Poistettujen verkkotunnusten orvot tiedot: tarkistustulokset, työt, hälytystiedot, häiriötapaukset, Telegram-koodit, toimitukset, pulssi, haavoittuvuudet, todisteet, skriptiluettelo ja skriptimuutokset	välittömästi seuraavassa ajossa	fe_fristen_lauf(), osat ”orphan_scans”, ”orphan_rows”
Isäntien, joilla ei ole verkkotunnusta, lisäosatiedot; tilittömän lisäosan rivi	välittömästi; rivi 90 päivän jälkeen ilman yhteydenottoa	osa ”orphan_hosts”
Otsaketyökalun tulokset (header_checks)	tällä hetkellä 90 päivää	osa ”header_checks”
Verkkotunnuksen tarkistustulokset lomakkeineen, havaintoineen, kuvineen, raportteineen ja töineen	13 kuukautta; viimeisin valmistunut tarkistus verkkotunnusta kohden säilyy	osa ”old_scans”
Selainajot, valmistuneet selaintyöt, aikasarjat (form_browser_runs, scan_jobs, form_performance)	13 kuukautta	osat ”browser_runs”, ”browser_jobs”, ”form_performance”
Lomakelaskurit (form_metrics), lisäosan päivittäiset luvut ja muutosilmoitukset (plugin_stats, plugin_changes)	13 kuukautta	osat ”form_metrics”, ”plugin_stats”
Kirjautuneet laitteet (login_sessions)	90 päivää viimeisestä käytöstä tai mitätöinnistä	osa ”sessions”
Hyväksytyt kutsut	30 päivää hyväksymisestä	osa ”invites”
Tukipyynnöt (support_requests)	24 kuukautta	osa ”support”
Raporttien palaute (report_feedback)	24 kuukautta; IP-osoitteen tarkistussumma 2 päivää	osat ”report_feedback” ja ”report_feedback_ip”
Raporttien PDF-versiot välimuistissa (var/pdf)	7 päivää	osa ”pdf_cache”
IP-osoite, maa ja selaintunniste opt-outissa (blocklist)	12 kuukautta; poissulkeminen säilyy	osa ”optout_ip”
Portaalin tilaajat (client_subscribers)	vahvistamattomat 30 päivää; tilauksen peruneet 3 vuotta	osa ”subscribers”
Koskaan vahvistamattomat tilit työtiloineen	30 päivää ilman kirjautumista, ellei mukana ole toista jäsentä	osa ”pending_accounts”
Tilittömät API-avaimet (vanhat tiedot)	välittömästi	osa ”api_keys”

6.2 Klo 03.00:n aikaikkunan ulkopuolella

Tiedot	Säilytysaika ja käynnistäjä	Sijainti koodissa
Kopiot toimitustarkistuksen valvontapostilaatikossa	käsittelyn jälkeen, viiden minuutin välein	fe_zustellung_abholen()
Toimitustarkistuksen kohdistukset (delivery_log)	180 päivää, jokaisen noudon yhteydessä	fe_zustellung_abholen()
Testitilin salateksti töissä (scan_jobs)	ajon jälkeen, viimeistään tunnin kuluttua	skannauspalvelin; fe_login_aufraeumen()
Häiriötapaukset (alert_incidents) eskaloinnin toimitusyrityksineen	niin kauan kuin ratkaisematta; 180 päivää ratkaisun jälkeen	fe_vorfaelle_aufraeumen() tiedostossa cfg/vorfall_lib.php
Lähetetyt koosteilmoitukset (alert_queue)	30 päivää toimituksesta	cfg/kanal_lib.php
Parvisignaalit (swarm_signals)	30 päivää, päivittäin klo 04.00 alkaen	cfg/swarm_lib.php
Prospektitarkistukset (prospect_checks)	90 päivää, päivittäin klo 04.00 alkaen	srv/cron_status.php
Telegram-linkkikoodit (telegram_links)	1 päivä, kun uusi koodi luodaan	cfg/kanal_lib.php
API-kutsulaskurit (api_usage)	1 päivä, satunnaisesti kutsun yhteydessä	cfg/agentur_lib.php
Ratkaistut palveluntarjoajien käyttökatkot (provider_incidents), haavoittuvuusvälimuisti (vuln_cache)	90 ja 30 päivää; ei henkilötietoja	cfg/anbieter_lib.php, cfg/luecken_lib.php
Tutkimusten raakatiedot	julkaistaessa	fe_studie_veroeffentlichen()
Varmuuskopiot	14 päivää, onnistuneen uuden varmuuskopion jälkeen	cfg/backup_lib.php
Verkkopalvelimen lokit	14 päivää	järjestelmän lokikierto

6.3 Kun Asiakas poistaa tietoja

• Verkkotunnuksen poistaminen (fe_domain_loeschen()): tarkistustulokset lomakkeineen, havaintoineen ja kuvatiedostoineen, raportit, työt, hälytyskohteet, toimitusloki, koostejono, häiriötapaukset, Telegram-koodit, toimitukset, pulssi, haavoittuvuudet, todistelokit, verkkotunnus asiakasportaaleista, joissa on kiinteä valikoima; viiteavainten kautta valvotut lomakkeet selainajoineen, havaintoineen ja aikasarjoineen, testitili, lomakelaskurit; isännän lisäosatiedot, jos mikään muu verkkotunnus ei viittaa siihen. Verkkotunnuksen skriptiluettelo ja skriptimuutokset poistetaan myös sen mukana; niillä ei ole omaa säilytysaikaa (kohdat 6.4 ja 10). Ajalta ennen 27. syyskuuta 2026 jääneet tiedot, joihin ei liity verkkotunnusta, poistaa öinen ajo (osat ”orphan_scans”, ”orphan_rows”).
• Työtilan poistaminen (fe_arbeitsbereich_daten_loeschen()): lisäksi brändi logoineen, asiakasportaalit tilaajineen, käyttöönottokoodit, prospektitarkistukset; sekä kutsut ja jäsenyydet.
• Tilin poistaminen: käynnissä oleva maksullinen tilaus päätetään Stripessä välittömästi ilman hyvitystä; haltijan omat työtilat siirretään tai poistetaan; jäsenyydet, muistitunnisteet, laitteet, API-avaimet laskureineen, avoimet Telegram-koodit ja tilirivi poistetaan.
• Testitilin poistaminen (fe_login_loeschen()): salateksti ylikirjoitetaan, rivi poistetaan, odottavat työt tyhjennetään.

6.4 Mitä ajo ei kata

Tämä luettelo on tärkeämpi. Siinä mainitaan tiedot, joille ei ole automaattista säilytysaikaa tai jotka säilyvät poistamisen jälkeenkin.

Tiedot	Mitä sovelletaan	Arvio
Tilitiedot, mukaan lukien viimeisin IP-osoite (users)	kunnes tilinhaltija poistaa ne; passiivisia tilejä ei poisteta	sopimustietoja; sääntö pysyvästi passiivisille tileille, joilla ei ole tilausta, puuttuu
Poistetun tilin toimintaloki, sivunäytöt ja virheloki	säilyvät tilitunnuksen ja IP-osoitteen kanssa säilytysaikansa loppuun	tarkoituksellista (näyttö toimista myös päättymisen jälkeen); tunnus ei enää viittaa tiliin
Poistetun tilin tukipyynnöt	säilyvät enintään 24 kuukautta vanhan tilitunnuksen kanssa	tarkoituksellista; tunnusta ei tyhjennetä
Poistetun tilin suostumuskirjaukset	kunnes suostumus on 4 vuotta vanha (laskettuna suostumuksesta, ei tilin poistamisesta)	tarkoituksellista (kohta B.12)
Selvittämättömät poikkeamat IP-osoitteineen (abuse_flags)	kunnes joku selvittää ne	avoin kohta (kohta 10)
Virhetyypit muuttamattomine esimerkkiviesteineen (error_kinds)	ei säilytysaikaa	avoin kohta (kohta 10)
Skriptiluettelo ja skriptimuutokset (script_inventory, script_changes)	ei omaa säilytysaikaa; säilytetään niin kauan kuin verkkotunnus on olemassa ja poistetaan sen mukana	avoin kohta (kohta 10)
Peruutettujen asiakasportaalien tilaajat	kunnes työtila poistetaan	avoin kohta (kohta 10)
Mitätöidyt API-avaimet ja käyttöönottokoodit	kunnes tili tai työtila poistetaan	vain tiivisteet, etuliite ja nimike; vähäinen
Tutkimusten isäntäluettelo (study_domains), koskaan julkaisemattomat tutkimukset	ei säilytysaikaa	avoin kohta (kohta 10)
Sisäiset tarkistukset ilman verkkotunnusta ja ilman raporttia (tarkistustulokset, lomakkeet, havainnot, kuvakaappaukset)	ei säilytysaikaa; mikään poistoreitti ei kata niitä	avoin kohta (kohta 10)
Provisiot, koodien lunastukset, Stripe-tapahtumat	ei säilytysaikaa	kirjanpidollinen merkitys; aika määritettävä verolainsäädännön mukaan
Välimuistiin tallennettu verkkotunnuksen ikä (domain_age_cache)	ei säilytysaikaa	vain verkkotunnuksen nimi ja rekisteröintipäivä
Lomakkeen sähköpostin todennustulos ja lähettäjän verkkotunnus	verkkotunnuksen mukana; ylikirjoitetaan jokaisen vastaanoton yhteydessä	ks. A.1
Opt-outin poissulkemiset	pysyvät	tarkoituksellista; ilman pysyvyyttä mikään poissulkeminen ei toimi
Sähköpostit ilmoituskanavan postilaatikossa ja yleisessä postilaatikossa	ei teknistä säilytysaikaa	avoin kohta (kohta 10)

6.5 Tietokannan ulkopuolella

• Kuvakaappaukset säilytetään tiedostoina verkkohakemiston ulkopuolella, ja ne poistetaan tarkistustuloksensa mukana (kaikki edellä mainitut poistoreitit poistavat myös tiedostot).
• Brändin logotiedostot poistetaan, kun ne korvataan, sekä työtilan mukana.
• Skannauspalvelimelle luodaan kutakin työtä varten väliaikainen hakemisto tuloksineen ja kuvineen; se poistetaan jokaisen ajon jälkeen, myös virheen jälkeen.
• Varmuuskopiot säilytetään verkkopalvelimella (B.27).
• Verkkopalvelimen lokeja, joissa on täydellinen IP-osoite, säilytetään 14 päivää (B.1).

7. Automaattiset päätökset, profilointi ja arviointi

formexposed arvioi verkkosivustoja, ei ihmisiä. Arviomme mukaan palvelu ei tee päätöksiä, joilla on henkilöä koskevia oikeusvaikutuksia tai jotka vaikuttavat häneen vastaavalla tavalla merkittävästi (tietosuoja-asetuksen Art. 22(1)). Automaattisia arviointeja ja automaattisia estoja kuitenkin on. Luettelemme ne, jotta luokittelu voidaan tarkistaa.

Mekanismi	Mitä se tekee	Ketä se koskee
Tarkistuksen pisteet ja tulos	Puuttuvien suojauskerrosten (CAPTCHA, ansa, tunniste, ajoitustarkistus, tehoton CAPTCHA, tunnettu julkisesti näkyvä konfiguraatio) painotettu summa, 0–100; tästä johdetaan ”Altis”, ”Osittain suojattu” tai ”Suojattu”. Verkkosivuston tulos määräytyy sääntöjen (ei kielimallin) yhteydenottolomakkeeksi tunnistaman heikoimman lomakkeen mukaan; ilman yhteydenottolomaketta tulosta ei ole. Painot voidaan asettaa hallinta-alueella.	Verkkosivustojen ylläpitäjät; elinkeinonharjoittajien kohdalla välillisesti henkilö. Tuloksella ei ole oikeudellisia seurauksia; se on havainto, jonka tukena on näyttö ja ohjeet.
Lomaketyypin luokittelu	Ensin säännöt, paikallinen kielimalli vain, jos säännöt palauttavat ”tuntematon”. Ratkaisee, onko aktiivinen testilähetys sallittu (vain sääntöjen luotettavasti tunnistamalle yhteydenottolomakkeelle). Kielimallin luokittelemia lomakkeita ei koskaan lähetetä, eivätkä ne vaikuta pisteisiin eivätkä tulokseen.	Asiakas ja hänen lomakesähköpostiensa vastaanottajat; suojaava vaikutus: epäselvässä tapauksessa mitään ei lähetetä.
Merkki	Näyttää tekstin ”Suojattu” vain kiinteillä ehdoilla (B.18), muuten neutraali.	Asiakas; ei vaikutusta kävijöihin.
Ilmaisen tarkistuksen, otsaketyökalun ja opt-outin rajoitukset ja estot	Hylkäävät pyynnöt, jos osoitetta, istuntoa, verkkotunnusta tai järjestelmää kohden asetetut rajat täyttyvät, jos verkkotunnus on liian uusi tai sen ikä on tuntematon tai jos se on estolistalla.	Pyytäjät; vaikutus: ilmainen palvelu evätään tunneiksi tai päiviksi. Ylläpitäjä voi vapauttaa osoitteen; yhteydenotot yhteystietosivun kautta tavoittavat ihmisen.
Poikkeamat	Kaavat (monta verkkotunnusta yhdestä osoitteesta, pyyntöpurskeet, monta hylkäystä, monta opt-outia yhdestä maasta, päivittäinen raja täynnä) kirjataan ja raportoidaan. Ne eivät itsessään estä; estot johtuvat rajoista.	Pyytäjät.
Kirjautumisen lukitus	Kun yhdestä osoitteesta on tullut 15 minuutin aikana tällä hetkellä kahdeksan epäonnistunutta kirjautumista, kirjautumiset kyseisestä osoitteesta hylätään tilapäisesti. Lisäksi kaikki kirjautumisyritykset, myös onnistuneet, lasketaan 15 minuutin aikana tiliä ja IP-osoitetta kohden (tällä hetkellä kahdeksan), tiliä kohden kaikista osoitteista (huomattavasti enemmän, hajautettua arvailua vastaan) ja IP-osoitetta kohden (tällä hetkellä 80), samoin toisen tunnistautumistekijän koodit (kymmenen tiliä kohden 15 minuutissa); rajan ylittävät yritykset hylätään. Toisesta osoitteesta tulevat epäonnistuneet yritykset eivät siten enää lukitse omistajaa ulos tililtään. Samalla tavalla on rajoitettu salasanan vahvistukset (viisi tiliä kohden 15 minuutissa), nollaussähköpostit (kolme osoitetta kohden tunnissa, muuttumattomalla vastauksella), rekisteröitymiset (kymmenen IP-osoitetta kohden tunnissa) ja asiakasportaalin salasanayritykset (kymmenen portaalia ja IP-osoitetta kohden, 50 portaalia kohden 15 minuutissa).	Henkilöt, jotka kirjautuvat, rekisteröityvät tai avaavat asiakasportaalin; vaikutus on ajallisesti rajattu, salasanan nollaus on edelleen mahdollinen.
reCAPTCHA-kynnys	Hylkää lähetykset, joiden Google-pisteet jäävät kynnyksen alle; kynnys käyttökohdittain (tällä hetkellä 0,7 tarkistuksessa ja opt-outissa). Myös vastaukset, jotka koskevat eri toimintoa, ja lähetykset, joihin Google ei vastaa kolmen sekunnin kuluessa, hylätään.	Henkilöt, jotka lähettävät lomakkeitamme; vaikutus: uusi yritys tai yhteydenotto yhteystietosivun kautta.
Parvisuojaus	Lisää linkin verkkotunnuksen automaattisesti luetteloon, kun vähimmäiskynnykset täyttyvät; yhdistettyjen verkkosivustojen suojauskerrokset siirtävät tällaisia linkkejä sisältävät viestit karanteeniin.	Asiakkaiden sivuille viestejä lähettävät henkilöt. Vaikutus: viesti pidätetään, sitä ei poisteta, ja verkkosivuston ylläpitäjä voi vapauttaa sen. Viestiä koskevan päätöksen tekee ylläpitäjän lisäosa ylläpitäjän verkkosivustolla, emme me.
Vertailuarvot	”Paremmin suojattu kuin X % tarkistetuista sivustoista”, vain vähintään 20 isännän kokonaismääristä.	Verkkosivustojen ylläpitäjät; ei vaikutusta.

Lähimpänä Art. 22:ta on lisäosan suojauskerros Asiakkaiden sivuilla, joka pidättää lähetyksiä automaattisesti. Kyse on verkkosivuston ylläpitäjän suorittamasta käsittelystä ylläpitäjän palvelimella (A.10). Se ei poista mitään vaan siirtää viestit karanteeniin, ja ylläpitäjä voi vapauttaa minkä tahansa viestin. Siellä tai meillä ei tapahdu kävijöiden profilointia; ei ole kävijätunnistetta, joka yhdistäisi yhden viestin toiseen.

8. Tekniset ja organisatoriset toimenpiteet (Art. 32) – yleiskuvaus

Tämä kohta on tietosuoja-asetuksen Art. 30(1)(g) ja (2)(d) mukainen yleiskuvaus. Yksityiskohtainen versio on sivulla Tekniset ja organisatoriset toimenpiteet. Jokainen alla mainittu toimenpide on todennettavissa koodista tai konfiguraatiosta. Toimenpiteet, joita ei ole vielä toteutettu, ovat samassa kohdassa (8.1), jotta kuvaus on täydellinen.

Alue	Voimassa oleva toimenpide
Siirron salaus	HTTPS verkkosivustolle, sovellukselle ja rajapinnoille; HSTS; istunto- ja muistitunnisteevästeet vain HTTPS:n kautta, HttpOnly, SameSite=Lax.
Pääsynvalvonta (todentaminen)	Salasanat vain tiivisteinä, uudet vähintään kymmenen merkin ja enintään 72 tavun pituisina; kirjautumisen lukitus toistuvien epäonnistuneiden yritysten jälkeen sekä yritysrajat tiliä ja IP-osoitetta kohden yhdessä, tiliä kohden ja IP-osoitetta kohden, jotta toisesta osoitteesta tulevat epäonnistuneet yritykset eivät lukitse omistajaa ulos; yritysrajat myös salasanan vahvistuksille, salasanan nollaukselle (samalla vastauksella ja vastausajalla), rekisteröitymisille ja portaalien salasanoille; kaksivaiheinen kirjautuminen (TOTP) salatulla salaisuudella, suojauksella koodien uudelleenkäyttöä vastaan ja tiivistetyillä palautuskoodeilla; uusi istuntotunniste jokaisella kirjautumisella, tunnisteita, joita palvelin ei ole myöntänyt, ei hyväksytä; ”Pidä minut kirjautuneena” ei pääylläpitäjille, jokainen tunniste kelpaa vain kerran; sähköpostiosoitteen vaihtaminen mitätöi avoimen nollauslinkin; laitteet voidaan mitätöidä yksitellen tai kaikki kerralla; laiteluettelossa on vain istuntotunnisteen tiiviste.
Pääsynvalvonta (valtuutus)	Roolit työtilaa kohden (omistaja, ylläpitäjä, lukija); oikeudet tarkistetaan kohdetta vasten, ei koskaan lomakkeelta tulevaa tunnistetta vasten; testitili, ”Fix it for me” ja aktiiviset tarkistukset vain omistajille ja ylläpitäjille; ”Näytä asiakkaana” on ajallisesti rajattu ja estetty tiliä muuttavilta toimilta, sen lopettaminen kirjaa ulos kokonaan, paluu hallinta-alueelle vain salasanalla ja toisella tunnistautumistekijällä; kutsut ovat voimassa vain niin kauan kuin kutsuja on omistaja tai ylläpitäjä; webhookien ja chat-kanavien osoitteet näytetään lukijoille vain isäntänimeen lyhennettyinä; todennetun verkkotunnuksen isäntänimeä ei voi muuttaa.
Sovellusturvallisuus	CSRF-tunnisteet; valmistellut tietokantalausekkeet; oma lomakesuojauksemme (ansa, allekirjoitettu ajoitustarkistus); reCAPTCHA julkisissa lomakkeissa; pyyntömäärien rajoitus tuelle, tarkistuksille ja rajapinnoille; vain yksi ”Fix it for me” -kutsu työtilaa kohden kerrallaan, jotta kiintiö pitää myös samanaikaisissa pyynnöissä; Content Security Policy kehystyssuojauksella, joka sallii ajaa vain kyseisen vastauksen vapautuksen (nonce) sisältäviä skriptejä; IP-osoite välitetyistä otsakkeista vain omalta välityspalvelimeltamme ja vain sen lisäämästä merkinnästä; käyttötunnisteet peitetään sivunäyttölokissa.
Salaisuudet	API-avaimet, käyttöönottokoodit, lisäosan yhteyssalaisuudet, kertakäyttökoodit ja portaalien salasanat vain tiivisteinä; testitilien tunnistetiedot epäsymmetrisesti salattuina, yksityinen avain vain skannauspalvelimella; webhookit allekirjoitettuina; Stripe-tapahtumat vain kelvollisella allekirjoituksella.
Tietojen minimointi	Toimitustarkistus ei tallenna sisältöä eikä täydellisiä lähettäjäosoitteita; lomakkeiden vastaanottajaosoitteet vain verkkotunnuksena; skriptiosoitteiden tilitunnukset korvataan; lisäosan luvut vain kiinteistä luetteloista; sähköpostin lähetysvirheiden tekstit vain luokkana; Telegram-signaalit ilman muuttujia; selaintarkistuksen kuvissa syötteet peitetty; ei kuvakaappauksia kirjautumisen takaa.
Skannerin eristäminen	Jokainen tarkistus omassa kontissaan: kaikki Linux-capabilityt poistettu, ei oikeuksien korotusta, vain luku -tiedostojärjestelmä, muisti- ja prosessiraja, oma verkko; kohteen tarkistus yksityisiä ja paikallisia verkkoja vastaan ennen hyväksymistä ja skannerissa, myös uudelleenohjausten jälkeen; service workerit estetty, WebSocket-yhteydet suljettu. Verkkopalvelimen pyynnöt (hallinnan todentaminen, otsaketyökalu, tiedostohaku, pulssi, RDAP, varmenteet, webhookit ja chat-hälytykset) vain tavanomaisiin verkkoportteihin ja vain täsmälleen tarkistettuun osoitteeseen, webhookit ja chat-hälytykset vain HTTPS:n kautta.
Tallennus	Kuvakaappaukset verkkohakemiston ulkopuolella, haettavissa vain raportin kautta; raportit satunnaisissa osoitteissa noindex-merkinnällä; varmuuskopiohakemisto vain palvelun luettavissa.
Käytettävyys ja palautus	Öinen varmuuskopio sisällön tarkistuksella, viikoittainen palautustesti, hälytys epäonnistumisesta; komponenttien tarkistus viiden minuutin välein signaalilla ja sähköpostilla; ulkoinen sydämenlyönti; hätäpysäytys anonyymeille tarkistuksille; vastapaine, kun jonoa kertyy.
Jäljitettävyys	Toimintaloki kirjautumisista, muutoksista, poistoista, tukipääsyistä ja hyväksynnöistä; virheloki hälytyksineen.
Poistaminen	Säilytysajat yhdessä paikassa koodissa, samoista asetuksista kuin tekstit (kohta 6); poistoketjut verkkotunnukselle, työtilalle ja tilille, kohdassa 6.4 mainituin poikkeuksin.
Rekisteröidyn oikeudet	Kaikkien tilitietojen vienti tiedostona yhdellä napsautuksella sallittujen kenttien luettelon perusteella, ilman salaisuuksia.
Organisaatio	Hallinta-alue vain tileille, joilla on pääylläpitäjän oikeudet, estetty ”Näytä asiakkaana” -tilan aikana; kehitys- ja tuotantojärjestelmä erotettu toisistaan, kehitysjärjestelmä lisäpääsyesteen takana; oikeudellisten tekstien siirto hyväksynnän jälkeen työkalulla, joka hylkää luonnokset ja paikkamerkit.

8.1 Vielä toteuttamattomat toimenpiteet

• Tietokantaa ei ole salattu levossa (mitattu 11. lokakuuta 2026). Poikkeuksia ovat testitilien tunnistetiedot ja kaksivaiheisen tunnistautumisen salaisuus, jotka on salattu kenttätasolla.
• Sisäisiä yhteyksiä ei ole salattu kauttaaltaan. Sisäverkkomme yhteyksiä ei ole salattu kauttaaltaan. Testitilien tunnistetiedot kulkevat siellä vain salatekstinä.
• Ei varmuuskopiota toisessa sijainnissa. Varmuuskopiot säilytetään tällä hetkellä samassa sijainnissa kuin tietokanta, eikä niitä ole erikseen salattu; salattu kopio toisessa sijainnissa on suunnitteilla. Siihen asti ne suojaavat virheelliseltä poistokomennolta, eivät sijainnin menettämiseltä.
• Palvelinten hallinnan koventaminen on kesken. Palvelintemme hallinnollisen pääsyn turvallisuus ei vielä vastaa tasoa, jota tavoittelemme tuotantokäytössä; koventaminen jatkuu. Emme julkaise yksityiskohtia, koska ne auttaisivat hyökkääjää; toimitamme ne valvontaviranomaiselle pyynnöstä.
• Hallinta-alueella ei ole toimivaa lukulokia. Kirjoitustoiminnot kirjataan toimintalokiin; sen, kuka on vain katsonut minkäkin tukipyynnön tai raportin, voi selvittää vain sivunäyttölokista (60 päivää).
• Ei pysyvää poistolokia. Sitä, mitä öinen ajo on poistanut, ei kirjata (kohta 6).
• Ei riippumatonta toista tarkistuspistettä. Mittausasemaa toisessa sijainnissa ei ole otettu käyttöön (A.6).

9. Tietosuojavastaava – tietosuoja-asetuksen Art. 37 mukainen arvio

Tulos: Arviomme mukaan nimeämisvelvollisuutta ei ole. Arvio on osa oikeudellista tarkastelua, ja se toistetaan heti, kun jokin alla luetelluista olosuhteista muuttuu.

Art. 37(1) edellyttää nimeämistä kolmessa tapauksessa.

• Alakohta (a) (viranomainen tai julkishallinnon elin) ei sovellu.
• Alakohta (b) (ydintehtävät, jotka edellyttävät rekisteröityjen laajamittaista, säännöllistä ja järjestelmällistä seurantaa): ydintehtävämme on verkkosivustojen ja lomakkeiden säännöllinen, järjestelmällinen tarkistaminen, ei ihmisten tarkkailu. Emme luo kävijäprofiileja, emme käytä seurantaa emmekä yhdistä viestejä toisiinsa. Toimitustarkistus (A.1) kuljettaa todellisia kävijöiden viestejä postilaatikkomme kautta, mutta arvioi kohdistusta varten vain otsakkeet ja ensimmäiset 8 kt eikä tallenna sisältöä; se tarkkailee toimitusreittejä, ei ihmisiä. Asiakastilit ja lokit ovat liiketoiminnan liitännäistoimintoja.
• Alakohta (c) (Art. 9 mukaisiin erityisiin henkilötietoryhmiin tai Art. 10 mukaisiin rikostuomioihin ja rikkomuksiin liittyvien tietojen laajamittainen käsittely ydintehtävänä): ei täyty. Erityisiä henkilötietoryhmiä voi esiintyä satunnaisesti lomakesähköpostien kopioissa (A.1), kirjautumisen takana olevilla sivuilla (A.5) tai liitetyssä koodissa (A.7); satunnainen tallentuminen ei ole ydintehtävä.

Art. 37(4) sallii kansallisen lainsäädännön lisätä muita tapauksia. Selvitämme asianajajan kanssa, edellyttääkö Puolan lainsäädäntö meiltä nimeämistä.

Uuden arvion käynnistävät tekijät: parvisuojauksen käyttöönotto IP-verkkojen kanssa; toiminto, joka tunnistaa kävijät useiden viestien tai verkkosivustojen välillä; toimitustarkistuksen sisällön tallentaminen; Asiakas, jonka lomakkeet koskevat pääasiassa erityisiä henkilötietoryhmiä (terveys, työhakemukset) ja jolla toimitustarkistus on käytössä laajamittaisesti; ensimmäinen työntekijä, jolla on pääsy asiakastietoihin. Vapaaehtoinen nimeäminen on edelleen mahdollista; tällöin sovelletaan täysimääräisesti Art. 37–39.

Erikseen: sivu Tietosuojaa koskeva vaikutustenarviointi vastaa siihen, tarvitaanko yksittäisille käsittelytoimille Art. 35 mukainen tietosuojaa koskeva vaikutustenarviointi. Sen kynnysarvion johtopäätös on, että vaikutustenarviointi tarvitaan parvisuojaukselle (B.21) ja suunnitellun laajuisille tutkimuksille (B.7) ja että me teemme sen, ja että toimitustarkistuksen (A.1) osalta se tarvitaan tyypillisessä tilanteessa Asiakkaan velvollisuutena, jossa tuemme Asiakasta.

10. Avoimet kohdat ja suunnitellut toimenpiteet

Seuraavat kohdat on todennettu koodista, skeemasta tai konfiguraatiosta, ei oletettu. Ne kuvaavat tilannetta tämän version päivämääränä; luokittelu on oma arviomme eikä ennakoi oikeudellista arviointia. Ne on järjestetty sen mukaan, kuinka paljon ne painavat rekisteröityjen kannalta, ei sen mukaan, kuinka helppoja ne ovat korjata. Suunnitellut toimenpiteet ja niiden tärkeysjärjestys esitetään tietosuojaa koskevassa vaikutustenarvioinnissa.

Avoin kohta	Mitä on todennettu	Merkitys
Sähköpostipalvelun tarjoaja ilman dokumentoitua sopimusta	Palvelun Namecheap, Inc. (Private Email), Phoenix, Arizona, USA osalta sopimusta, käsittelypaikkoja ja siirtoperustetta ei ole dokumentoitu. Tilien sähköpostit, hälytykset ja valvontapostilaatikko todellisine kävijäviesteineen kulkevat tämän palveluntarjoajan kautta.	Asiaankuuluvat säännökset ovat tietosuoja-asetuksen Art. 28(2) ja (4) sekä V luku. Sopimuksen tekeminen ja dokumentointi on suunniteltu ennen julkaisua.
Chat-palvelujen ja reCAPTCHAn perusteet avoinna	Hälytykset Telegramiin (ei tietosuojan riittävyyttä koskevaa päätöstä), Slackiin, Discordiin, Microsoft Teamsiin ja Google Chatiin; reCAPTCHA ilman suostumuspyyntöä.	Avoimia kysymyksiä oikeudelliselle tarkastelulle; siihen asti ilmoitus ja peruste eivät ole lopullisia.
Valvontapostilaatikko voi säilyttää viestejä häiriöiden aikana	Poisto tapahtuu onnistuneen käsittelyn jälkeen; jos nouto epäonnistuu, kopiot säilyvät seuraavaan onnistuneeseen ajoon asti. Varoitusta ei tule, jos postilaatikkoon kertyy ruuhkaa pidemmän aikaa.	Kopiot sisältävät todellisia kävijöiden yhteydenottoja.
Ei varmuuskopiota toisessa sijainnissa, tietokantaa ei ole salattu levossa	Kohta 8.1. Varmuuskopion salattu kopio toisessa sijainnissa on suunnitteilla.	Yksittäinen tapahtuma sijainnissa vaikuttaisi tietoihin ja varmuuskopioon samanaikaisesti; varastettu tallennusväline olisi luettavissa.
Selvittämättömät poikkeamat ilman säilytysaikaa	Poikkeamat, joiden avaimena on täydellinen IP-osoite, poistetaan vasta 90 päivää selvittämisen jälkeen; koskaan selvittämättömät säilyvät.	Liittyy säilytyksen rajoittamisen periaatteeseen (Art. 5(1)(e)); poisto riippuu manuaalisesta selvittämisestä. Kiinteä säilytysaika on suunnitteilla (tietosuojaa koskevan vaikutustenarvioinnin toimenpiteet).
Virhetyypit esimerkkiviesteineen ilman säilytysaikaa	Esimerkkiviesti tallennetaan muuttamattomana enintään 2 000 merkin pituisena; puhdistettu malli poistaa osoitteet ja numerot, esimerkki ei.	Virheilmoitukset voivat sisältää sähköpostiosoitteita, isäntänimiä tai IP-osoitteita.
Skriptiluettelo ilman omaa säilytysaikaa	Skriptiluettelo ja skriptimuutokset poistetaan verkkotunnuksen mukana (FE_DOMAIN_TABELLEN), myös työtilaa tai tiliä poistettaessa ja orpojen tietojen öisessä ajossa; niillä ei ole omaa säilytysaikaa. Ne sisältävät skriptiosoitteita, sivuosoitteita sekä hyväksyntöjen osalta hyväksyjän ja vapaamuotoisen perusteen.	Liittyy säilytyksen rajoittamisen periaatteeseen (Art. 5(1)(e)); hyväksynnät sisältävä muutosloki kasvaa niin kauan kuin verkkotunnus on olemassa.
Peruutettujen portaalien tilaajat	Peruutettu portaali estetään, ei poisteta; sen tilaajat säilyvät, kunnes työtila poistetaan.	Käyttötarkoitus (raportin lähettäminen) päättyi peruutukseen.
Tutkimusluettelot ilman säilytysaikaa	Julkaisun jälkeen isännät ja segmentit säilyvät; myös koskaan julkaisemattomat tutkimukset säilyttävät raakatietonsa.	Lupaus ”raakatiedot poistetaan” koskee vain julkaistuja tutkimuksia.
Sisäiset tarkistukset ilman poistoreittiä	Luottamustason ”sisäinen” tarkistukset, joilla ei ole verkkotunnusta eikä raporttia (tutkimukset ja ylläpitäjän komentoriviltä luomat tarkistukset), eivät kuulu minkään poistoreitin piiriin; niiden mukana säilyvät kolmansien osapuolten verkkosivustojen lomakkeet, havainnot ja kuvakaappaukset.	Liittyy säilytyksen rajoittamisen periaatteeseen (Art. 5(1)(e)); koskee henkilöitä, jotka eivät tiedä tarkistuksesta mitään. Arvioitu suureksi riskiksi tietosuojaa koskevassa vaikutustenarvioinnissa.
Hallinnan todentamista ei uusita	Hallinta todennetaan kerran; koodissa ei ole reittiä, jonka kautta verkkotunnus menettäisi sen.	Aktiiviset testilähetykset, tiedostohaku ja kirjautumisen takana tehtävä skannaus jatkuvat omistajan tai toimeksiannon vaihtuessa.
Kirjautumisen takana tehtävä skannaus: siirto Asiakkaan sivulle	Kirjautumisosoitteeksi sallitaan https:n lisäksi http, eivätkä Asiakkaan sivun varmennevirheet pysäytä kirjautumista.	Testitilien tunnistetiedot voitaisiin siepata matkalla Asiakkaan sivulle.
Poisto riippuu aikaikkunasta	Päivittäinen lohko suoritetaan vain, jos tila-ajo käynnistyy klo 03.00–03.04. Jos tämä yksi ajo epäonnistuu (tietokanta ei tavoitettavissa, palvelin käynnistetty uudelleen), kyseisen päivän poisto ja varmuuskopio jäävät tekemättä; jälkiajoa ei ole. Poistetuista tiedoista ei ole pysyvää lokia.	Säilytysajat pitenevät tällöin huomaamatta päivällä. Väliin jäänyt aikaikkuna ei laukaise hälytystä; vain käynnistynyt ja epäonnistunut varmuuskopio raportoidaan. Hallinta-alueen käyttöönottoluettelo näyttää viimeisimmän onnistuneen varmuuskopion päivämäärän.
Osa poistoista riippuu valvonnasta	Toimitustarkistuksen valvontapostilaatikon tyhjentäminen, häiriötapausten, lähetettyjen koosteilmoitusten, parvisignaalien ja prospektitarkistusten poistaminen sekä töihin jääneiden testitilikopioiden siivoaminen suoritetaan tila-ajon ajastinosassa, joka toimii vain, kun valvonta on kytketty päälle hallinta-alueella; toimitustarkistuksen kohdistukset poistetaan vain, kun valvontapostilaatikko on määritetty.	Jos valvonta kytketään keskitetysti pois päältä tai postilaatikko poistetaan, nämä säilytysajat lakkaavat toimimasta kenenkään huomaamatta.
Ilmoituskanava ja postilaatikot ilman säilytysaikaa	Haavoittuvuusilmoitukset ja muut saapuvat sähköpostit säilytetään sovelluksen ulkopuolella; säilytysaikaa ei ole asetettu.	Ilmoitukset voivat sisältää kolmansia osapuolia koskevaa todistusaineistoa.
Piilokenttien arvot luetaan tarkistuksen aikana	Skanneri lukee piilotettujen lomakekenttien arvon enintään 24 merkkiin asti ja data-attribuutit enintään 60 merkkiin asti tunnistaakseen aikaleimat ja tunnisteet. Kenttäkarttaan ja havaintoihin tallentuvat vain kentän nimi, tyyppi, nimiö ja tunnistustulos, ei arvoa.	Ei tallennusaukkoa; arvo on vain skannauskontin työmuistissa tarkistuksen ajan. Esitäytetty arvo (kuten asiakasnumero) luetaan tässä yhteydessä, mutta sitä ei tallenneta.
Todennustuloksen johdettu lähettäjän verkkotunnus	A.1.	Kävijöiden henkilökohtaisten verkkotunnusten kohdalla todellisesta viestistä peräisin olevia henkilötietoja.
Palvelinten hallinnan koventaminen on kesken; sisäisiä yhteyksiä ei ole salattu kauttaaltaan	Kohta 8.1. Koventaminen jatkuu; emme kerro yksityiskohtia julkisesti.	Palvelintason tietoturvapoikkeama vaikuttaisi sovellukseen, tietokantaan ja varmuuskopioihin samanaikaisesti.
Mittaus kehitysjärjestelmässä	Skeema, koodi ja asetukset mitattiin kehitysjärjestelmässä.	Koodi ja skeema vastaavat tuotantojärjestelmää; asetukset voivat poiketa, ja ne on tarkistettava siellä uudelleen ennen julkaisua.

11. Tämän selosteen ylläpito

Art. 30 edellyttää, että seloste ylläpidetään kirjallisesti ja asetetaan pyynnöstä valvontaviranomaisen saataville. Se edellyttää henkilöä, joka vastaa siitä, ja väliä, jolla se tarkistetaan järjestelmää eikä edellistä versiota vasten.

• Vastuu: Lukas Wójcik, omistaja. Seloste tarkistetaan vuosittain ja aina, kun jokin käsittelytoimi muuttuu.
• Päivitystä edellyttävät tapahtumat: uusi tai muuttunut alikäsittelijä, erityisesti sähköpostipalvelun tarjoajan valinta; uusi taulu tai uusi henkilötietoja sisältävä kenttä; muutos säilytysaikoihin tai poistoketjuihin tiedostoissa cfg/fristen_lib.php tai srv/cron_status.php; uusi hälytyskanava tai uusi pyyntö kolmannelle osapuolelle; oletuksena pois päältä olevan toiminnon käyttöönotto (parvisuojaus IP-verkkojen kanssa, mittausasema, omat verkkotunnukset, kumppaniohjelma, laskulla maksaminen, Spamhaus tai Google Web Risk); siirtyminen muille palvelimille.
• Menettely: jokainen tässä esitetty väite perustuu koodiin, skeemaan tai mittaukseen. Tarkistus, jossa vain luetaan teksti, ei ole tarkistanut mitään: skeema ja poistoketjut mitataan uudelleen, paikkamerkit pysyvät paikkamerkkeinä, avoimet kohdat suljetaan tai siirretään eteenpäin perusteluineen.
• Suhde muihin asiakirjoihin: tämä seloste ei korvaa tietosuojaselostetta, tietojenkäsittelysopimusta, teknisiä ja organisatorisia toimenpiteitä eikä alikäsittelijöiden luetteloa. Jos ne poikkeavat tästä selosteesta, poikkeama on havainto.
• Muutokset tähän asiakirjaan luetellaan sivulla Sopimusasiakirjojen muutokset.