Tietosuojaa koskeva vaikutustenarviointi (tietosuoja-asetuksen Art. 35)

Tämä asiakirja on julkaistu useilla kielillä. Jos kieliversioiden välillä on ristiriitaa, puolankielinen versio on sitova.

Versio 1.0 · Päivitetty viimeksi: 16. lokakuuta 2026

1. Mistä on kyse ja mikä tämä sivu on

Tämä sivu on palvelun formexposed tietosuojaa koskeva vaikutustenarviointi (DPIA) tietosuoja-asetuksen Art. 35 mukaisesti. Ensin se vastaa alustavaan kysymykseen siitä, tarvitaanko vaikutustenarviointia lainkaan – kunkin käsittelytoimen osalta erikseen, ei palvelun osalta kokonaisuutena. Jos vastaus on myönteinen, se tekee arvioinnin Art. 35(7)(a)–(d) mukaisesti: järjestelmällinen kuvaus, tarpeellisuus ja oikeasuhteisuus, rekisteröityihin kohdistuvat riskit ja toimenpiteet niiden käsittelemiseksi. Tämän jälkeen esitetään jäännösriski, Art. 36 mukaisen ennakkokuulemisen kysymys ja uudelleentarkastelun säännöt.

Art. 35 ei edellytä vaikutustenarvioinnin julkaisemista. Julkaisemme sen kahdesta syystä. Ensinnäkin Asiakkaat, jotka käyttävät toimitustarkistusta tai kirjautumisen takana tehtävää skannausta, tarvitsevat omaa arviointiaan varten tosiasioita, jotka vain me tiedämme; olemme joka tapauksessa velvollisia toimittamaan ne heille henkilötietojen käsittelijänä (tietosuoja-asetuksen Art. 28(3)(f)). Toiseksi indeksointirobottimme tarkistaa verkkosivustoja, joiden ylläpitäjät eivät tunne meitä. Heidän pitäisi voida lukea, mitä riskejä näemme heille ja heidän sivuillaan oleville ihmisille ja mitä teemme niiden suhteen.

Oikeudellinen luonne. Tämä vaikutustenarviointi on rekisterinpitäjän tietosuoja-asetuksen Art. 35 mukaista dokumentaatiota, jonka julkaisemme vapaaehtoisesti. Se ei ole osa mitään sopimusta eikä muodosta mitään vakuutusta, takuuta tai laatua koskevaa sopimusta Asiakkaita tai kolmansia osapuolia kohtaan. Se, mitä palveluja ja suojatoimia olemme velvollisia tarjoamaan Asiakkaille, määräytyy käyttöehtojen, tietojenkäsittelysopimuksen ja sen liitteiden mukaan; näiden velvoitteiden osalta ne ovat ensisijaisia tähän sivuun nähden. Sivu kuvaa tilannetta tämän version päivämääränä. Riskiluokitukset ja arviot ovat omaa näkemystämme eivätkä ennakoi valvontaviranomaisen tai tuomioistuimen oikeudellista arviointia; ”suunnitelluiksi” kuvatut toimenpiteet ovat aikomuksia ilman sitovaa päivämäärää. Asiakkaille sivu on perusta heidän omalle arvioinnilleen, ei oikeudellista neuvontaa.

Tämä on kynnysarvion ensimmäinen versio. Siinä tarkastellaan käsittelytoimi kerrallaan, tarvitaanko vaikutustenarviointia, ja tulos kirjataan kohtaan 3.5.

Jokaiseen tosiasiaväitteeseen sovelletaan samaa periaatetta kuin muissa oikeudellisissa asiakirjoissamme: mitattu, ei aiottu. Se, mikä on todennettu koodista tai tietokannasta, esitetään tässä lähdeviitteineen. Se, mitä ei ole voitu todentaa, merkitään ”ei todennettu”. Se, mikä on vasta suunnitteilla, merkitään ”suunniteltu”. Kerromme avoimista kohdista avoimesti yhdessä suunnitellun toimenpiteen kanssa; vaikutustenarviointi, jossa luetellaan vain vahvuuksia, ei auta niitä ihmisiä, joita se koskee.

Käsitteet: ylläpitäjä on se, joka ylläpitää tarkistettua verkkosivustoa. Asiakkaalla on tili palvelussa formexposed. Kävijä on se, joka käyttää Asiakkaan verkkosivustoa, esimerkiksi sen yhteydenottolomaketta. Lähdeviite tarkoittaa lähdekoodin tiedostoa, funktiota tai asetusta kehitysjärjestelmän tilan mukaan 11. lokakuuta 2026 mitattuna.

Vedämme avoimuudelle tietoisesti yhden rajan: omien palvelintemme suojaamisen avoimet kohdat kuvataan vain yleisellä tasolla (R13). Nimeämme riskin ja sen tason, mutta emme reittiä tiettyyn haavoittuvuuteen; toimitamme yksityiskohdat valvontaviranomaiselle pyynnöstä.

2. Roolit: kenellä velvollisuus on ja mistä

Art. 35 asettaa velvollisuuden rekisterinpitäjälle. formexposed on rekisterinpitäjä joidenkin käsittelytoimien osalta, Asiakkaidensa henkilötietojen käsittelijä toisten osalta, eikä kumpaakaan niiden tietojen osalta, joita WordPress-lisäosamme ja TYPO3-laajennuksemme tallentavat Asiakkaan verkkosivustolle. Lähes jokaisen tämän asiakirjan kysymyksen vastaus riippuu siitä, mitä roolia kysymys koskee. Jako noudattaa tietosuojaselostetta ja tietojenkäsittelysopimusta.

Käsittelytoimi	Palvelun formexposed rooli	Kenellä on Art. 35 mukainen velvollisuus
Kolmansien osapuolten verkkosivustojen tarkistaminen ilman niiden ylläpitäjän ohjeita: ilmainen tarkistus, prospektitarkistus toimistoille, tutkimus	Rekisterinpitäjä	formexposed
Asiakastilin verkkotunnusten tarkistaminen: valvonta, aktiiviset testilähetykset, selainpolut, julkisesti näkyvät tiedostot, lomakkeen pulssi	Rekisterinpitäjä Asiakkaan tili- ja tarkistustietojen osalta; henkilötietojen käsittelijä Asiakkaan todennetulla verkkosivustolla näkyvien kolmansien osapuolten henkilötietojen osalta; niin kauan kuin verkkotunnusta ei ole todennettu, rekisterinpitäjä kuten ilmaisessa tarkistuksessa	formexposed omalta osaltaan; Asiakas verkkosivustollaan olevien kolmansien osapuolten tietojen osalta
Kirjautumisen takana tehtävä skannaus testitilillä	Henkilötietojen käsittelijä: tunnistetiedot ja kirjautumisen takana oleva sisältö kuuluvat Asiakkaan verkkosivustoon	Asiakas; formexposed avustaa
Toimitustarkistus valvontakopiolla	Henkilötietojen käsittelijä	Asiakas; formexposed avustaa
Parvisuojaus: estetystä roskapostista koottu yhteinen linkkiverkkotunnusten luettelo	Rekisterinpitäjä: yhdistämme monien verkkosivustojen ilmoitukset, kokoamme luettelon ja jaamme sen	formexposed
Asiakastilit, kirjautuminen, lokit, tuki, sähköpostien lähetys, maksut, todistekirjaukset	Rekisterinpitäjä	formexposed
Asiakasportaali ja kuukausiraportti toimiston tilaajille	Henkilötietojen käsittelijä	Toimisto
Tiedot, jotka lisäosa ja laajennus tallentavat Asiakkaan verkkosivustolle (karanteeni, turvaverkko, tallennetut yhteydenotot)	Ei kumpaakaan: tiedot eivät koskaan poistu verkkosivustolta	Verkkosivuston ylläpitäjä

Tästä seuraa erottelu, jonka esitämme nimenomaisesti, koska se ymmärretään usein väärin kumpaankin suuntaan. Kun formexposed on rekisterinpitäjä, teemme arvioinnin itse ja vastaamme sen tuloksesta. Kun olemme henkilötietojen käsittelijä, emme voi tehdä Asiakkaan arviointia sen puolesta, ratkaista tarpeellisuuskysymystä sen puolesta emmekä kuulla valvontaviranomaista Art. 36 mukaisesti sen puolesta. Sen, mitä siinä voimme ja meidän on tehtävä, on toimittaa Asiakkaalle kaikki, mitä se tarvitsee: (a) alakohdan mukainen kuvaus, (c) alakohdan mukaiset mitatut tosiasiat riskeistä ja (d) alakohdan mukainen rehellinen tilaluettelo toimenpiteistä. Toimitustarkistuksen ja kirjautumisen takana tehtävän skannauksen osalta tämä sivu on juuri sitä.

Asiakas, joka ottaa toimitustarkistusta koskevat kohdat sellaisenaan omaksi vaikutustenarvioinnikseen, ei ole tehnyt arviointia. Sen, onko valvontakopio perusteltu sen lomakkeiden osalta, onko niissä odotettavissa erityisiä henkilötietoryhmiä ja miten se informoi kävijöitään, voi ratkaista vain Asiakas itse. Kohdassa 11 kootaan, mitä tätä varten on selvitettävä.

3. Kynnysarvio: tarvitaanko vaikutustenarviointia?

3.1 Art. 35(1) ja Art. 35(3)

Art. 35(1) edellyttää vaikutustenarviointia, jos tietynlainen käsittely, erityisesti uutta teknologiaa käytettäessä, todennäköisesti aiheuttaa luonteensa, laajuutensa, asiayhteytensä ja tarkoitustensa perusteella korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille. Art. 35(3) mainitsee kolme tapausta, joissa näin on erityisesti. Mikään niistä ei sovi palveluun formexposed, ja tämä on syytä perustella eikä vain todeta:

• Alakohta (a) – luonnollisten henkilöiden henkilökohtaisten ominaisuuksien järjestelmällinen ja laaja arviointi, joka perustuu automaattiseen käsittelyyn ja johon perustuvilla päätöksillä on henkilöitä koskevia oikeusvaikutuksia tai joilla on vastaavalla tavalla merkittäviä vaikutuksia heihin. Arvioimme lomakkeita ja verkkosivustoja, emme ihmisten henkilökohtaisia ominaisuuksia. Palvelu ei tee yhtään henkilöä koskevaa päätöstä, jolla on oikeusvaikutuksia. Lähimpänä tätä on parvisuojaus: viestit, joissa on linkki luettelossa olevaan verkkotunnukseen, päätyvät yhdistettyjen verkkosivustojen karanteeniin. Se on viestiin kohdistuva automaattinen seuraus, ei henkilön laaja arviointi; käsittelemme sitä kriteerin ”Arviointi tai pisteytys” kohdalla kohdassa 3.3.
• Alakohta (b) – Art. 9 tarkoitettujen erityisten henkilötietoryhmien tai Art. 10 tarkoitettujen rikostuomioihin ja rikkomuksiin liittyvien tietojen laajamittainen käsittely. Ei tarkoitettu eikä toteutettu. Tällaisia tietoja voi kuitenkin päätyä meille yhtä reittiä: toimitustarkistuksen aitojen kävijäviestien valvontakopiossa. Tämä riippuu yksittäistapauksesta eikä ole tässä säännöksessä tarkoitetulla tavalla laajamittaista; se otetaan kuitenkin huomioon riskiarvioinnissa (R1).
• Alakohta (c) – yleisölle avoimen alueen laajamittainen järjestelmällinen valvonta. Tällä tarkoitetaan paikkojen fyysistä tarkkailua, ei julkisten verkkosivujen hakemista. Tähän säännökseen vetoaminen verkkosivustoja indeksoivan robotin yhteydessä olisi virheellistä.

Oikea reitti on siksi itse Art. 35(1), jota sovelletaan 29 artiklan mukaisen tietosuojatyöryhmän vaikutustenarviointia koskevien suuntaviivojen (WP248 rev.01, Euroopan tietosuojaneuvoston vahvistamat) yhdeksän kriteerin ja Puolan valvontaviranomaisen Art. 35(4) mukaisen luettelon (kohta 3.4) avulla.

3.2 WP248-suuntaviivojen yhdeksän kriteeriä

Suuntaviivoissa nimetään yhdeksän piirrettä, jotka viittaavat todennäköiseen korkeaan riskiin. Nyrkkisääntönä käsittelytoimi, joka täyttää niistä kaksi, edellyttää useimmissa tapauksissa vaikutustenarviointia. Rekisterinpitäjä voi yksittäistapauksessa päätyä toiseen johtopäätökseen, mutta sen on tällöin perusteltava ja dokumentoitava se. Toisaalta yksikin kriteeri voi riittää. Käytämme tällä sivulla seuraavia lyhyitä nimityksiä:

1. C1 – Arviointi tai pisteytys, mukaan lukien profilointi ja ennakointi, esimerkiksi työsuorituksen, taloudellisen tilanteen, luotettavuuden tai käyttäytymisen osalta.
2. C2 – Automaattinen päätöksenteko, jolla on oikeusvaikutuksia tai vastaavia merkittäviä vaikutuksia.
3. C3 – Järjestelmällinen seuranta eli käsittely, jota käytetään rekisteröityjen tarkkailuun, seurantaan tai valvontaan, myös verkkojen kautta. Suuntaviivat perustelevat tämän kriteerin nimenomaisesti sillä, että rekisteröidyt eivät usein tiedä, kuka heidän tietojaan kerää ja mihin tarkoitukseen.
4. C4 – Arkaluonteiset tiedot tai erittäin henkilökohtaiset tiedot: Art. 9 ja 10 tarkoitetut erityiset ryhmät, mutta myös tiedot, joiden paljastuminen vaikuttaa merkittävästi päivittäiseen elämään, mukaan lukien sähköinen viestintä, jonka luottamuksellisuutta on suojattava.
5. C5 – Laajamittainen tietojenkäsittely, mitattuna rekisteröityjen määrällä, tietojen määrällä ja kirjolla, kestolla ja maantieteellisellä laajuudella.
6. C6 – Tietojoukkojen yhteensovittaminen tai yhdistäminen, kun ne ovat peräisin eri käsittelytoimista tai eri rekisterinpitäjiltä, tavalla, jota rekisteröidyt eivät odottaisi.
7. C7 – Haavoittuvassa asemassa olevia rekisteröityjä koskevat tiedot, esimerkiksi työntekijät, lapset, potilaat tai muut epätasapainoisessa valta-asemassa olevat henkilöt.
8. C8 – Innovatiivinen käyttö tai uusien teknologisten tai organisatoristen ratkaisujen soveltaminen; valvontakäytännössä tekoälyn käyttöä pidetään säännönmukaisesti tämän kriteerin piiriin kuuluvana.
9. C9 – Käsittely, joka estää rekisteröityjä käyttämästä oikeuttaan tai palvelua tai sopimusta.

Arvioimme kunkin kriteerin luokkaan ”täyttyy”, ”rajatapaus” tai ”ei täyty” ja perustelemme arvion koodin perusteella. Rajatapausta ei lasketa kokonaismäärässä täyttyneeksi, mutta se mainitaan tuloksessa; jos useat rajatapaukset osoittavat samaan suuntaan, otamme käsittelytoimen mukaan arviointiin.

3.3 Arviointi käsittelytoimittain

P1 – Ilmainen tarkistus ilman tiliä (minkä tahansa kolmannen osapuolen verkkosivuston tarkistaminen pyynnöstä)

Kuka tahansa voi syöttää verkkotunnuksen etusivulla. Tämän jälkeen indeksointirobotti hakee enintään kahdeksan kyseisen verkkosivuston julkista sivua, lukee lomakkeet, ottaa kuvakaappauksia ja laatii raportin, jonka voi nähdä kuka tahansa, joka tietää sen satunnaisen linkin. Verkkosivuston ylläpitäjä ei saa tästä tietoa, ellei hän huomaa robotin tunnistetta lokeissaan.

• C1 – rajatapaus. Raportti arvioi lomakkeen suojauksen tasolla (”Altis”, ”Osittain suojattu”, ”Suojattu”) ja pisteillä. Osakeyhtiön kohdalla tämä ei koske luonnollista henkilöä. Elinkeinonharjoittajien ja freelancereiden kohdalla verkkotunnus voidaan yhdistää yksittäiseen henkilöön, ja taso kertoo tällöin jotain heidän ammattitoimintansa huolellisuudesta. Arvioinnin kohteena on kuitenkin tekninen kokoonpano, ei henkilön käyttäytyminen tai ominaisuudet. Pidämme tätä rajatapauksena.
• C2 – ei täyty. Ylläpitäjää koskien ei päätetä mitään. Tarkistusta pyytävään henkilöön sovelletaan IP-osoite- ja istuntokohtaisia rajoja (cfg/check_lib.php); hylätyllä tarkistuksella ei ole merkittävää vaikutusta.
• C3 – ei täyty. Kyse on yksittäisestä hausta pyynnöstä, enintään kerran verkkotunnusta ja viikkoa kohden (cfg/check_lib.php, asetus fc_domain_days = 7). Ihmisiä ei tarkkailla. Olosuhde, jolla suuntaviivat perustelevat C3:n – rekisteröidyt eivät tiedä käsittelystä mitään – on kuitenkin olemassa. Se otetaan huomioon riskiarvioinnissa (R5).
• C4 – ei täyty. Tallennetaan lomakkeen rakenne ja havainnot, ei syötettyjä arvoja (scanner/src/crawl.js tallentaa näkyvistä kentistä vain arvon pituuden). Skanneri lukee esitäytettyjen piilokenttien alkuja (enintään 24 merkkiä) ja data-attribuutteja (enintään 60 merkkiä) vain tarkistuksen aikana tunnisteiden ja aikaleimojen havaitsemiseksi; niitä ei tallenneta. Kuvakaappauksissa voi satunnaisesti näkyä ihmisiä ja nimiä; lääkärivastaanoton verkkosivusto näyttää kuvassa erikoisalansa. Nämä ovat julkisia ammatillisia tietoja, eivät tietyn henkilön terveystietoja.
• C5 – rajatapaus. Päivittäinen enimmäismäärä on 200 hyväksyttyä tarkistusta (fc_daily_cap), eli laskennallisesti noin 73 000 verkkosivustoa vuodessa. Verkkosivustoa kohden syntyy vain muutama henkilötieto, ja kesto on lyhyt (30 päivää). Kehitysjärjestelmässä mitattuna aineistossa on 2 anonyymiä tarkistusta. Ei täyty tänään; rajatapaus suunnitellun kapasiteetin perusteella.
• C6 – ei täyty. Sivujen hakemisen lisäksi palvelu kysyy verkkotunnuksen iän RDAP-palvelusta rdap.org (vain verkkotunnuksen nimi välitetään; vain rekisteröintipäivä tallennetaan välimuistiin) ja selvittää DNS-tiedot. Nämä ovat verkkotunnusta koskevia teknisiä tietoja, eivät ihmisiä koskevien tietojoukkojen yhdistämistä.
• C7 – ei täyty.
• C8 – täyttyy heikossa muodossa. Automatisoitu selain tarkistaa sivut, ja omalla palvelimellamme toimiva kielimalli luokittelee lomakkeet, joita säännöt eivät tunnista (scanner/src/classify.js). Malli näkee sivun otsikon, osoitteen, kenttien nimiöt ja enintään 400 merkkiä lomakkeen tekstiä. Se ei voi koskaan tehdä lomakkeesta ”lähetettävää”.
• C9 – ei täyty.

Välitulos P1: yksi kriteeri heikossa muodossa (C8), kaksi rajatapausta (C1, C5). Nyrkkisäännön mukaan ei velvollisuutta. Koska molemmat rajatapaukset osoittavat samaan suuntaan ja rekisteröidyt eivät tiedä käsittelystä mitään, otamme P1:n mukaan arviointiin.

P2 – Prospektitarkistus toimistoille

Business-paketin toimisto, jolla on oma brändi määritettynä, voi teettää prospektin verkkosivustosta passiivisen tarkistuksen. Se saa lyhyen havainnon brändinsä alla ja yksityiskohtaisen raportin ja välittää linkin itse eteenpäin (cfg/akquise_lib.php). Emme ota yhteyttä keneenkään.

• C1 – rajatapaus, vahvempi kuin P1:ssä. Lyhyt havainto on nimenomaisesti tarkoitettu ”oven avaajaksi ensimmäiseen keskusteluun”. Verkkosivuston arvioinnista tulee näin perusta henkilöön kohdistuvalle kaupalliselle yhteydenotolle.
• C5 – ei täyty. Enintään 30 tarkistusta toimistoa ja kuukautta kohden (prospect_monthly), poistetaan 90 päivän kuluttua.
• C8 – täyttyy heikossa muodossa (sama teknologia kuin P1:ssä).
• Muut kriteerit – eivät täyty. Havainto esitetään toimiston brändillä, mutta sitä ei yhdistetä muihin ylläpitäjää koskeviin tietoihin.

Välitulos P2: nyrkkisäännön mukaan ei velvollisuutta; otetaan mukaan samoista syistä kuin P1 ja koska tarkoitukseen – asiakashankintaan – liittyy oma riskinsä (R6).

P3 – Tutkimus ”Form Security Index”

Tutkimusta varten tarkistetaan passiivisesti luettelo verkkosivustoja rajoitettuna enintään viiteen avoimeen työhön kutakin tilaprosessin ajoa kohden; tilaprosessi käynnistyy viiden minuutin välein (cfg/studie_lib.php). Vain kokonaismäärät julkaistaan, ja segmentit vain, jos niissä on vähintään 20 lomakkeellista verkkosivustoa (study_min_segment, cfg/studie_lib.php). Raakatiedot poistetaan julkaistaessa (cfg/studie_lib.php).

• C5 – rajatapaus, suurilla luetteloilla täyttyy. Luettelon kokoa ei ole rajoitettu koodissa; rajoitus sallii laskennallisesti yli tuhat tarkistusta päivässä. Kansallista markkinaa koskeva tutkimus kattaa tuhansia verkkosivustoja, joista monia ylläpitävät elinkeinonharjoittajat. Tällaisesta koosta alkaen katsomme kriteerin täyttyvän.
• C8 – täyttyy heikossa muodossa.
• C1 – ei täyty. Vaikka yksittäinen verkkosivusto arvioidaan, vain kokonaismäärä julkaistaan; arvio ei palvele yksittäistä ylläpitäjää koskevan väitteen esittämistä.
• Muut kriteerit – eivät täyty.

Välitulos P3: suunnitellun kokoisissa tutkimuksissa kaksi kriteeriä (C5, C8). Tutkimus ylittää siis kynnyksen; formexposed tekee arvioinnin rekisterinpitäjänä. Kehitysjärjestelmässä mitattuna yhtään tutkimusta ei ole toistaiseksi luotu.

P4 – Asiakastilin verkkotunnusten tarkistaminen

Asiakas teettää tilinsä verkkotunnusten säännöllisen tarkistuksen. Kun se on osoittanut olevansa oikeutettu hallitsemaan verkkotunnusta, mukaan tulevat aktiiviset testilähetykset (enintään viisi tarkistusta kohden), julkisesti näkyvien tiedostojen haku ja määritetyt selainpolut.

• C3 – ei täyty. Tarkistus on ajoitettu ja toistuva, mutta se koskee Asiakkaan omaa verkkosivustoa ja tehdään sen pyynnöstä, ei ihmisten tarkkailemiseksi.
• C4 – rajatapaus, ei. Julkisesti näkyvien tiedostojen haku lukee enintään ensimmäiset 8 kt poluista kuten /backup.sql tai virheenkorjausloki, jotta sisällöstä voidaan päätellä, onko tiedosto todella julkisesti saatavilla (cfg/dateien_lib.php). Tällainen ote voi sisältää kävijöiden tekemiä lomakesyötteitä. Se tarkistetaan vain muistissa eikä sitä koskaan tallenneta; tallennetaan polku, tyyppi ja vakavuus.
• C8 – täyttyy heikossa muodossa.
• Muut kriteerit – eivät täyty.

Välitulos P4: ei velvollisuutta. Otetaan mukaan, koska aktiiviset testilähetykset ja tiedostotarkistus riippuvat todisteesta, jota ei koskaan uusita (R7).

P5 – Kirjautumisen takana tehtävä skannaus

Todennetun verkkotunnuksen osalta Asiakas voi tallentaa verkkosivustoaan varten testitilin. Skanneri kirjautuu sillä sisään ja lukee lomakkeet jäsenalueen enintään viideltä määritetyltä sivulta (cfg/login_lib.php, scanner/src/login.js).

• C4 – rajatapaus. Tunnistetiedot eivät ole suuntaviivoissa tarkoitettuja erittäin henkilökohtaisia tietoja, mutta niiden väärinkäyttö avaa pääsyn jäsenalueelle. Verkkosivustosta riippuen kirjautumisen takana voi olla luottamuksellista sisältöä, esimerkiksi jäsen- tai potilasportaalissa. Tämä riippuu Asiakkaasta, ei meistä.
• C8 – ei täyty. Automatisoidut kirjautumiset ovat yleisiä valvontapalveluissa.
• Muut kriteerit – eivät täyty.

Välitulos P5: nyrkkisäännön mukaan ei velvollisuutta. Asiakkaiden osalta, joiden jäsenalue näyttää luottamuksellista sisältöä, tämä voi muuttua; päätös on tällöin heidän. Otetaan mukaan tietoturvariskien vuoksi (R8).

P6 – Toimitustarkistus valvontakopiolla

Asiakas lisää palvelun formexposed valvontaosoitteen piilokopioksi lomakkeensa sähköpostiasetuksiin. Tämän seurauksena jokainen lomakesähköposti menee myös valvontapostilaatikkoomme – testiviestimme samoin kuin jokainen kävijän aito viesti. Automaattinen nouto lukee otsakkeet ja ensimmäiset 8 kt, kohdistaa sähköpostin, arvioi SPF:n, DKIM:n ja DMARCin ja poistaa sen (cfg/zustellung_lib.php).

• C4 – täyttyy. Se, mitä kävijät kirjoittavat yhteydenottolomakkeeseen, on yritykselle suunnattua sähköistä viestintää mielivaltaisella sisällöllä. Lääkärivastaanoton, asianajotoimiston, neuvontapalvelun tai koulun verkkosivustolla on odotettavissa Art. 9 tarkoitettuja tai lapsia koskevia tietoja. Suuntaviivat mainitsevat tämän kriteerin kohdalla nimenomaisesti luottamuksellisen sähköisen viestinnän.
• C3 – rajatapaus, pikemminkin täyttyy. Jokainen viesti kopioidaan suunnitelmallisesti ja jatkuvasti ja arvioidaan automaattisesti lähettäjän huomaamatta. Tarkoituksena on tarkistaa postireitti, ei tarkkailla ihmisiä. Olosuhde, jolla suuntaviivat perustelevat kriteerin – rekisteröidyt eivät tiedä, kuka heidän tietonsa vastaanottaa – on kuitenkin täysin olemassa niin kauan kuin Asiakas ei informoi kävijöitään.
• C7 – Asiakkaasta riippuen. Potilaat, asianajotoimistojen asiakkaat, työnhakijat, vanhemmat ja oppilaat ovat usein riippuvuussuhteessa viestinsä vastaanottajaan.
• C5 – rajatapaus, ei. Ei laajamittaista yksittäisen Asiakkaan kannalta. Palvelussa formexposed monien Asiakkaiden kopiot kohtaavat yhdessä postilaatikossa; tämä lisää tietoturvaloukkauksen painoarvoa, ei määrää rekisterinpitäjää kohden.
• Muut kriteerit – eivät täyty. Kohdistaminen verkkotunnukseen ja testiin ei ole ihmisiä koskevien tietojoukkojen yhteensovittamista; teknologia ei ole uutta.

Välitulos P6: C4 täyttyy, C3 on rajatapaus ja pikemminkin täyttyy, C7 täyttyy monien tyypillisten Asiakkaiden kohdalla. Tyypillisessä tilanteessa täyttyy siis kaksi tai useampia kriteerejä. Vaikutustenarviointi tarvitaan – Asiakkaan velvollisuutena, koska Asiakas on rekisterinpitäjä. Kohdat 6–11 tarjoavat sille tähän tarvittavat tosiasiat.

P7 – Parvisuojaus

Yhdistetyt WordPress-verkkosivustot ilmoittavat kerran päivässä niiden viestien linkkien verkkotunnukset, jotka niiden suojauskerros on pysäyttänyt. Verkkotunnus, joka esiintyy vähintään kolmella eri verkkosivustolla vähintään viidellä osumalla seitsemän päivän aikana, lisätään yhteiseen luetteloon; luettelo lähetetään takaisin kaikille yhdistetyille verkkosivustoille, jotka siirtävät tämän jälkeen kyseiseen verkkotunnukseen linkittävät viestit karanteeniin (cfg/swarm_lib.php).

• C6 – täyttyy. Monien toisistaan riippumattomien verkkosivustojen eli eri rekisterinpitäjien ilmoitukset yhdistetään ja palautetaan kaikille niille yhteisenä luettelona.
• C1 – täyttyy, sikäli kuin verkkotunnus voidaan yhdistää luonnolliseen henkilöön. Luettelo on luokittelu roskapostin lähteeksi. Suuntaviivat mainitsevat tämän kriteerin esimerkkinä tarkistuksen yhteistä petostietokantaa vasten. Useimmat tällaisen luettelon verkkotunnukset kuuluvat yrityksille tai ovat kertakäyttöisiä; luetteloon voi kuitenkin päätyä yksityishenkilön verkkotunnus, aiheellisesti tai tahallisesti istutettujen väärien ilmoitusten seurauksena.
• C9 – rajatapaus. Viesti, jossa on luettelossa oleva linkki, ei tavoita vastaanottajaa välittömästi, vaan odottaa tämän karanteenissa, kunnes hän vapauttaa sen. Se ei katoa.
• C2 – ei täyty. Karanteeni on viestiin kohdistuva automaattinen seuraus ilman oikeusvaikutuksia, ja vastaanottaja voi vapauttaa viestin.
• Muut kriteerit – eivät täyty. IP-verkot ovat pois päältä (swarm_ip_enabled = 0, cfg/swarm_lib.php).

Välitulos P7: kaksi kriteeriä (C6, C1) ja yksi rajatapaus (C9). Kynnys ylittyy; formexposed tekee arvioinnin rekisterinpitäjänä. Jos IP-verkot otettaisiin käyttöön, C1 ja C6 täyttyisivät rajoituksetta; niiden käyttöönotto edellyttää tämän arvioinnin uutta versiota (kohta 12). Kehitysjärjestelmässä mitattuna ilmoituksia tai luettelomerkintöjä ei ole.

P8 – Asiakastilit, kirjautuminen, lokit, tuki, sähköposti, maksut

• C1 ja C9 – eivät täyty. Ilmaisen tarkistuksen yhteydessä havaittu poikkeava käyttäytyminen johtaa merkintään IP-osoitteineen (cfg/check_lib.php) ja tarvittaessa lisätarkistusten hylkäämiseen. Kyse on vähävaikutteisesta väärinkäytösten estämisestä, ei henkilökohtaisten ominaisuuksien arvioinnista.
• Muut kriteerit – eivät täyty. Kyse on yrityksille suunnatun palvelun tavanomaisista tiedoista.

Välitulos P8: vaikutustenarviointia ei tarvita. Käsittelytoimet on kuvattu seloste käsittelytoimista -asiakirjassa.

P9 – Lisäosan luvut, kenttävirheet, tallennin, merkki, asiakasportaali, ”Fix it for me”

• Lisäosa ja laajennus välittävät päivittäiset luvut, lisäosaluettelon ja virheluokat, ja WordPress-lisäosa välittää lisäksi linkkiverkkotunnukset parvisuojausta varten (oletuksena päällä) (P7), ei sisältöä, osoitteita, nimiä eikä kävijöiden IP-osoitteita; tallennin säilyttää valitsimia enintään 15 minuuttia ylläpitäjän selaimessa. Mikään kriteeri ei täyty.
• Merkki siirtää ladattaessa tavanomaiset yhteystiedot verkkopalvelimen lokiin ilman evästettä. Mikään kriteeri ei täyty.
• Asiakasportaali käsittelee tilaajien sähköpostiosoitteita kaksoisvahvistuksella (double opt-in) toimiston puolesta. Mikään kriteeri ei täyty.
• ”Fix it for me” antaa omalla palvelimellamme toimivan kielimallin kirjoittaa liitetyn lomakekoodin uudelleen; koodia ei tallenneta. C8 heikossa muodossa, ei muuta.

Välitulos P9: vaikutustenarviointia ei tarvita.

3.4 Puolan valvontaviranomaisen Art. 35(4) mukainen luettelo

Toimivaltainen viranomainen on Puolan tietosuojaviraston puheenjohtaja (Prezes Urzędu Ochrony Danych Osobowych, UODO). Puheenjohtaja julkaisi luettelon vaikutustenarviointia edellyttävistä käsittelytoimien tyypeistä 17. kesäkuuta 2019 annetussa tiedonannossa (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, kohta 666). Luettelo kohdistaa merkintänsä WP248-suuntaviivojen kriteereihin, antaa esimerkkejä eikä ole nimenomaisesti tyhjentävä; se ei korvaa Art. 35(1) mukaista arviointia.

Tulkintamme mukaan seuraavat luettelon käsittelytyypit vastaavat sisällöltään palvelun formexposed käsittelytoimia:

Käsittelytyyppi luettelon mukaan (mukaillen)	Kohdistettu kriteeri	Käsittelytoimi palvelussa formexposed	Arvio
Eri lähteistä peräisin olevien tietojen analyysiin perustuva vertailu, arviointi tai päättely	C6	P7 Parvisuojaus	soveltuu
Arviointi tai pisteytys, mukaan lukien profilointi	C1	P7 Parvisuojaus; P1 ja P2 rajatapauksina	soveltuu P7:ään
Erityisten henkilötietoryhmien käsittely	C4	P6 Toimitustarkistus	soveltuu Asiakkaasta riippuen
Teknologisten ratkaisujen innovatiivinen käyttö tai soveltaminen	C8	P1–P4 (kielimalli luokittelussa)	soveltuu heikossa muodossa
Laajamittainen käsittely	C5	P3 Tutkimus	soveltuu suuriin luetteloihin
Yleisölle avointen paikkojen järjestelmällinen valvonta, myös piirteiden tunnistuksella	C3	–	ei sovellu: tarkoitetaan paikkoja, ei verkkosivustoja

Tämä kohdistus on tulkinta, ei lainaus; merkintöjen sanamuoto on tarkistettava sitä vasten oikeudellisessa tarkastelussa. Se vahvistaa kohdan 3.3 tuloksen mutta ei muuta sitä. Tietojemme mukaan UODO ei ole julkaissut Art. 35(5) mukaista luetteloa käsittelytoimista, joille vaikutustenarviointia ei vaadita.

3.5 Kynnysarvion tulos

Käsittelytoimi	Täyttyy	Rajatapaus	Tulos
P1 Ilmainen tarkistus	C8 (heikko)	C1, C5	ei pakollinen; otettu mukaan
P2 Prospektitarkistus	C8 (heikko)	C1	ei pakollinen; otettu mukaan
P3 Tutkimus	C8 (heikko), C5 suurilla luetteloilla	–	vaaditaan (palvelun formexposed velvollisuus)
P4 Asiakkaiden verkkotunnusten tarkistaminen	C8 (heikko)	C4 (tiedostotarkistus)	ei pakollinen; otettu mukaan
P5 Kirjautumisen takana tehtävä skannaus	–	C4	ei pakollinen; otettu mukaan; Asiakkaalle sisällöstä riippuen
P6 Toimitustarkistus	C4; C7 Asiakkaasta riippuen	C3 (pikemminkin täyttyy), C5	vaaditaan (Asiakkaan velvollisuus; tämä sivu avustaa Art. 28(3)(f) mukaisesti)
P7 Parvisuojaus	C6, C1	C9	vaaditaan (palvelun formexposed velvollisuus)
P8 Tilit, lokit, tuki, maksut	–	–	ei vaadita
P9 Lisäosan luvut, merkki, portaali, ”Fix it for me”	C8 (heikko, vain ”Fix it for me”)	–	ei vaadita

Tulos Art. 35(1) osalta: Vaikutustenarviointi vaaditaan palvelun formexposed yksittäisille käsittelytoimille. Se vaaditaan parvisuojaukselle ja suunnitellun kokoisille tutkimuksille, ja formexposed tekee sen rekisterinpitäjänä. Toimitustarkistuksen osalta se vaaditaan tyypillisessä tilanteessa, mutta Asiakkaan velvollisuutena; formexposed toimittaa perustan. Muiden kolmansien osapuolten ja omien verkkosivustojen tarkistusten osalta se ei ole pakollinen. Otamme ne kuitenkin mukaan, koska niissä käytetään samaa teknologiaa, koska useat rajatapaukset osoittavat samaan suuntaan ja koska rekisteröidyt – ylläpitäjät ilman tiliä ja tarkistettujen sivujen ihmiset – eivät tiedä käsittelystä mitään. Tilien, lokien, tuen ja maksujen osalta arviointia ei vaadita.

Kohtia 6–10 sovelletaan siksi käsittelytoimiin P1–P7. Jos väite koskee vain yhtä näistä käsittelytoimista, se on merkitty sellaiseksi.

4. Tietosuojavastaava: Art. 37 mukainen arvio

Tietosuojavastaavaa ei ole nimetty. Art. 37(1) sitoo yhtä lailla rekisterinpitäjää ja henkilötietojen käsittelijää; kysymys koskee siis meitä itseämme. Kolme lakisääteistä tapausta:

Art. 37(1)	Edellytys	Tulos
alakohta (a)	Viranomainen tai julkishallinnon elin	Ei sovellu; LW IT Solutions Company Lukas Wójcik on yksityinen toiminimi.
alakohta (b)	Ydintehtävät koostuvat käsittelytoimista, jotka edellyttävät rekisteröityjen laajamittaista, säännöllistä ja järjestelmällistä seurantaa	Ydintehtävä on verkkosivustojen ja lomakkeiden tarkistaminen ja valvonta, säännöllisesti ja järjestelmällisesti. Ihmisiä ei kuitenkaan seurata: indeksointirobotti ei tarkkaile käyttäytymistä, ja toimitustarkistus arvioi sähköposteja vain toimituksen ja aitouden osalta. Ei täyty.
alakohta (c)	Ydintehtävät koostuvat Art. 9 tai 10 tarkoitettujen tietojen laajamittaisesta käsittelystä	Ei suunnitellusti. Erityisiä henkilötietoryhmiä voi päätyä meille toimitustarkistuksen valvontakopion kautta; se on satunnaista, ei ydintehtävä. Ei täyty.

Arviomme mukaan nimeämisvelvollisuutta ei siis ole. Se, edellyttääkö Puolan lainsäädäntö tämän lisäksi nimeämistä Art. 37(4) nojalla, on avoin kysymys oikeudelliselle tarkastelulle. Koska tietosuojavastaavaa ei ole nimetty, Art. 35(2) mukaista neuvoa ei sovelleta. Jos oikeudellisessa tarkastelussa todetaan nimeämisvelvollisuus, tällöin nimetyn tietosuojavastaavan neuvoa pyydetään ennen tämän arvioinnin hyväksymistä (kohta 12). Tätä arviointia koskevissa kysymyksissä yhteyshenkilö on omistaja osoitteessa contact@lukaswojcik.com.

5. Menetelmä, lähteet ja tämän version rajoitukset

Tämän asiakirjan tosiasiat perustuvat sovelluksen ja skannerin lähdekoodiin, tietokantaskeemaan sekä kehitysjärjestelmän rivimääriin ja asetuksiin, mitattuna 11. lokakuuta 2026. Tietokantaa ja palvelimia käytettiin vain lukutilassa. Jos mittaus on ristiriidassa aikomuksen kanssa – myös omien oikeudellisten asiakirjojemme väitteen kanssa – raportoimme mittauksen. Emme sovella Art. 40 mukaisia hyväksyttyjä käytännesääntöjä, joiden noudattaminen olisi otettava huomioon Art. 35(8) mukaisesti.

• Mitattiin kehitysjärjestelmää. Palvelua ei ole vielä julkaistu. Luvut ovat siksi pieniä ja osittain testauksen sivutuotteita: 112 tarkistusta, joista 110 ilman Asiakkaan verkkotunnusta; 432 kuvakaappausta; 2 verkkotunnusta, joista 1 todennettu; toimitustarkistus ei käytössä; kirjautumisen takana tehtävää skannausta varten ei tallennettua testitiliä; ei tutkimusta; ei ilmoituksia parvisuojauksessa. Mittaukset on toistettava ennen julkaisua ja sen jälkeen säännöllisin väliajoin.
• Tässä versiossa ei ole mitattu, ja ennen hyväksymistä on lisättävä: tuotantojärjestelmän konfiguraatio, mukaan lukien se, onko valvontapostilaatikko määritetty ja miten, sekä se, onko kirjautumisen takana tehtävän skannauksen avainpari määritetty siellä; kirjaako kielimallin ohjelmisto pyyntöjä; palvelinten hallinnan tila (R13); sopimus sähköpostipalvelun tarjoajan kanssa.
• Ei voitu mitata, kuinka monta aitoa kävijäviestiä kulkee valvontakopion kautta ja miltä toimialoilta Asiakkaat tulevat. Molemmat määräävät R1:n ja R2:n painoarvon, ja ne on selvitettävä julkaisun jälkeen.
• Lähdeviitteet osoittavat kehitysjärjestelmän lähdekoodin tiedostoihin ja funktioihin. Ratkaisevaa on kuvattu toiminto, ei sen sijainti tiedostossa.

Tämä asiakirja on luonnos. Rekisterinpitäjä ei ole vielä hyväksynyt sitä (kohta 12), ja kaksi sen johtopäätöksistä – P1:n ja P3:n laajuutta koskeva arvio sekä toimitustarkistuksen painoarvo – riippuvat luvuista, jotka ovat olemassa vasta julkaisun jälkeen.

6. (a) Käsittelytoimien ja käyttötarkoitusten järjestelmällinen kuvaus

6.1 Miten tarkistusjärjestelmä on rakennettu

formexposed toimii omilla palvelimillamme Puolassa ilman ulkoista hosting-palveluntarjoajaa: verkkopalvelin, jossa ovat sovellus ja tietokanta, sekä skannauspalvelin, jossa ovat tarkistuspalvelu ja paikallinen kielimalli, molemmat samassa sisäverkossa. Tarkistus etenee seuraavasti:

1. Sovellus luo tietokantaan työn – kohdassa 6.3 esitettyjen rajoitusten ja estojen mukaisesti.
2. Skannauspalvelimen tarkistuspalvelu noutaa työn, tarkistaa estolistan, isäntänimet ja anonyymeissä tarkistuksissa verkkotunnuksen iän toiseen kertaan ja käynnistää eristetyn kontin juuri tätä työtä varten: oma verkko omine suodatussääntöineen, ei erityisoikeuksia, vain luku -tiedostojärjestelmä, muisti- ja prosessirajat sekä aikaraja (scanner/src/worker.js).
3. Kontin sisällä automatisoitu selain hakee enintään kahdeksan julkista sivua, ensin etusivun, sitten ensisijaisesti yhteystieto-, yritystieto- ja tukisivut. Sitä ennen se lukee robots.txt-tiedoston; FormExposedBotia tai kaikkia robotteja koskeva poissulku, joka kattaa etusivun, lopettaa tarkistuksen, samoin tavoittamaton robots.txt tai palvelinvirhe haettaessa (scanner/src/net.js). Yksittäisiä alipolkuja koskevia kieltoja ei huomioida erikseen. Lomakkeen pulssi, todisteen haku, otsaketyökalu ja julkisesti näkyvien tiedostojen haku eivät lue robots.txt-tiedostoa. Kahdeksan sivun lisäksi haetaan enintään kolme sivua evästebannerin ”Hylkää”-painikkeen napsauttamisen jälkeen, enintään kolme sivua puhelinnäkymässä, aktiivisia testejä todennetuille verkkotunnuksille ja enintään viisi sivua kirjautumisen takaa; sivut ladataan peräkkäin, ei rinnakkain. Jokainen selaimen pyyntö – myös uudelleenohjaukset ja upotettu sisältö – kulkee suodattimen läpi, joka hylkää yksityiset verkot ja muut portit.
4. Kontti kirjoittaa tuloksen ja kuvakaappaukset väliaikaiseen hakemistoon. Tarkistuspalvelu välittää tuloksen ja kuvat sovellukselle sisäverkon kautta ja poistaa väliaikaisen hakemiston, myös virheen jälkeen (scanner/src/worker.js).
5. Sovellus käsittelee tuloksen, vertaa sitä Asiakkaiden verkkotunnusten osalta edelliseen tarkistukseen ja ilmoittaa muutoksista Asiakkaan määrittämiin kohteisiin.

6.2 Mitä indeksointirobotti tallentaa – ja mitä ei

Kohde	Mitä tallennetaan	Mitä ei tallenneta	Lähdeviite
Sivut	Osoite, HTTP-tila, otsakkeet, Content Security Policy, pyydetyt kolmansien osapuolten isännät (enintään 120)	Sivun sisältö tekstinä tai HTML:nä	scanner/src/crawl.js
Lomakekentät	Tyyppi, nimi, nimiö, paikkamerkki, pakollinen kenttä, näkyvyys, olemassa olevan arvon pituus	Kenttien arvot; piilokenttien arvon ensimmäiset 24 merkkiä vain luetaan tarkistuksen aikana (tunnisteiden havaitsemiseksi)	scanner/src/crawl.js
Lomakkeen vastaanottajaosoitteet	vain verkkotunnus	osoite	scanner/src/crawl.js
Skriptit	Luettelo tarkistussummineen; osoitteet ja alkuteksti ilman mainos- ja analytiikkapalvelujen tilitunnisteita	Tili- ja pikselitunnisteet	scanner/src/crawl.js
Salakuuntelijat	mitkä mainospikselit ja tallennustyökalut latautuvat ennen evästebannerin ”Hylkää”-painikkeen napsauttamista ja sen jälkeen ja peittävätkö ne syötteet	Näiden palvelujen tilien tunnisteet	scanner/src/mitleser.js, scanner/src/einwilligung.js
Lomakkeen teksti	enintään 400 merkkiä menee paikalliselle kielimallille, jos säännöt eivät tunnista tyyppiä	Luovuttaminen kolmansille osapuolille; tekstin tallentaminen	scanner/src/classify.js
Kuvakaappaukset (indeksointirobotti)	ensimmäisen sivun näkyvä alue; kustakin näkyvästä lomakkeesta kuva lomake-elementistä	–	scanner/src/crawl.js
Kuvakaappaukset (aktiivinen tarkistus)	Kuva testilähetyksen vastaussivusta; lisäksi sen tila, kohdeosoite, otsikko ja tekstin ensimmäiset 300 merkkiä	–	scanner/src/active.js
Kuvakaappaukset (selainpolut)	Kuva lomakkeesta, jossa syöttökentät on peitetty mustalla, pakattuna, enintään 32 kt	Syötteet	scanner/src/browser.js
Kirjautumisen takana	kuten lomakekentät edellä	Kuvakaappaukset, evästeet, linkit	scanner/src/login.js

Henkilötietoja ei sisälly näihin kohteisiin suunnitellusti, mutta niitä sisältyy satunnaisesti: yhteyshenkilön nimi lomakkeen vieressä, tiimikuva etusivulla, puhelinnumero nimiössä, yksityishenkilön sähköpostiverkkotunnus, nimi paikkamerkissä. Kirjautumisen takana mukaan tulevat testitilin ja verkkosivustosta riippuen muiden käyttäjien tiedot.

6.3 Kuka käynnistää tarkistuksen ja mitä silloin sovelletaan

Käynnistäjä	Työn luottamustaso	Testilähetykset	Tulos saatavilla	Poisto
Joku syöttää verkkotunnuksen etusivulla (ilmainen tarkistus)	anonyymi	ei	Raportti satunnaisen linkin takana	30 päivää, kuvat mukaan lukien (cfg/check_lib.php)
Lisäosa tai laajennus ilman tiliä	lisäosa	ei	Raportti satunnaisen linkin takana	30 päivää
Toimisto prospektia varten	rekisteröitynyt	ei	Lyhyt havainto ja raportti satunnaisen linkin takana	90 päivää (cfg/akquise_lib.php)
Asiakas, verkkotunnus ilman todistetta	rekisteröitynyt	ei	Tili; raportti satunnaisen linkin takana	13 kuukautta, viimeisin tarkistus säilytetään
Asiakas, verkkotunnus todisteella	todennettu	kyllä, enintään viisi tarkistusta kohden	Tili; raportti satunnaisen linkin takana	13 kuukautta, viimeisin tarkistus säilytetään (cfg/fristen_lib.php)
Tutkimus	sisäinen	ei	vain kokonaismäärät julkaisun jälkeen	julkaistaessa; ilman julkaisua ei aikarajaa (R4)
Palveluntarjoajan sisäinen tarkistus komentoriviltä	sisäinen; omille testi- ja esittelyverkkotunnuksillemme myös ”todennettu”	ei; ”todennettu”-tasolla kyllä (vain omat testi- ja esittelyverkkotunnuksemme)	vain sisäisesti	ei aikarajaa (R4)

Ilmaisen tarkistuksen edessä on useita kerroksia (cfg/check_lib.php): hätäpysäytys; reCAPTCHA; sama verkkotunnus enintään kerran seitsemässä päivässä (sen jälkeen näytetään olemassa oleva raportti); rajat IP-osoitetta kohden, istuntoa kohden (tiivistearvona, ei koskaan itse istuntotunnisteena) ja koko palvelulle päivässä; opt-outin ja robots.txt:n estolista; tarkistus siitä, että verkkotunnus osoittaa julkisiin osoitteisiin; sekä esto hyvin uusille tai tuntemattomille verkkotunnuksille. Poikkeamat – monta eri verkkotunnusta yhdestä IP-osoitteesta, paljon pyyntöjä lyhyessä ajassa – merkitään IP-osoitteineen ja laukaisevat sisällöttömän signaalin (cfg/check_lib.php).

6.4 Asiakastilin verkkotunnusten tarkistaminen

Asiakas osoittaa olevansa oikeutettu hallitsemaan verkkotunnusta: DNS-tietueella, meta-tagilla, tiedostolla tai lisäosamme kautta (cfg/verify_lib.php). Vasta sitten verkkotunnusta käsitellään todennettuna. Valvonnan ajastin suunnittelee säännölliset tarkistukset vain aktiivisille, valvotuille ja todennetuille verkkotunnuksille (cfg/monitor_lib.php).

• Aktiiviset testilähetykset on sidottu kahteen porttiin: sovellus asettaa aktiivisen tilan Asiakkaille vain todennetuille verkkotunnuksille (omille testi- ja esittelyverkkotunnuksillemme palveluntarjoaja voi luoda ”todennettu”-tasoisen tarkistuksen sisäisellä komentorivityökalulla), ja tarkistuspalvelu tarkistaa luottamustason ja hätäpysäytyksen fc_active_enabled uudelleen (scanner/src/worker.js). Lähettää voidaan vain lomake, jonka säännöt tunnistavat suurella varmuudella yleiseksi yhteydenottolomakkeeksi, jossa ei ole pakollisia kenttiä todellisille henkilötiedoille ja jonka verkkotunnus ei näytä viranomaiselta, oppilaitokselta, klinikalta, lääkärivastaanotolta, poliisilta tai tuomioistuimelta (scanner/src/classify.js). Kielimalli ei voi tehdä lomakkeesta lähetettävää (scanner/src/classify.js). Tarkistusta kohden lähtee enintään viisi lähetystä (fc_active_max_posts), selvästi merkittyinä, lähettäjänä dummy@formexposed.com, .invalid-osoite sähköpostin validoinnin testaamiseksi ja harmiton ylimääräinen otsakerivi otsakeinjektion havaitsemiseksi (scanner/src/active.js).
• Selainpolut tarkistavat määritetyt lomakepolut selaimessa juuri ennen lähettämistä olevaan vaiheeseen asti. Vain GET- ja HEAD-pyynnöt sallitaan; kaikki muu keskeytetään, samoin osoitteet, jotka sisältävät uloskirjautumista, poistamista, ostamista tai maksamista tarkoittavia sanoja (scanner/src/browser.js). Tarkistusta varten pakolliset kentät täytetään keksityillä arvoilla, jotka eivät koskaan poistu selaimesta.
• Julkisesti näkyviä tiedostoja haetaan viikoittain, vain todennetuille verkkotunnuksille, enintään yksi haku polkua kohden, enintään 8 kt, eikä sisältöä koskaan tallenneta (cfg/dateien_lib.php).
• Riippumaton toinen mittausasema on valmisteltu ja oletuksena pois päältä (browser_probe_enabled = 0). Käyttöön otettuna se saisi vain verkkotunnuksen, osoitteen, valitsimen, vaiheet ja selainvalinnan, ei koskaan tunnistetietoja, kuvakaappauksia tai kävijätietoja (cfg/formular_probe_lib.php).

6.5 Kirjautumisen takana tehtävä skannaus

Edellytykset: toiminto on otettu käyttöön, verkkotunnus on todennettu ja Asiakkaalla on maksullinen paketti ja hän on työtilan omistaja tai ylläpitäjä (cfg/login_lib.php); hän vahvistaa, että tili on testitili, jolla on mahdollisimman vähän oikeuksia (cfg/login_lib.php).

1. Käyttäjänimi ja salasana salataan heti verkkopalvelimella skannauspalvelimen julkisella avaimella: kertakäyttöinen avain tietuetta kohden (X25519), avaimen johtaminen (HKDF-SHA256), AES-256-GCM, sidottuna verkkotunnukseen (cfg/login_lib.php). Vain skannauspalvelimen tarkistuspalvelulla on yksityinen avain (scanner/src/geheim.js). Sillä, jolla on verkkopalvelin, tietokanta tai varmuuskopio, on vain salatekstiä.
2. Käyttöliittymä näyttää vain käyttäjänimen ensimmäisen merkin ja pituuden (cfg/login_lib.php). Tunnistetietoja ei koskaan näytetä, kirjata lokiin eikä anneta API:n kautta.
3. Tarkistusta varten sovellus liittää salatekstin työhön. Tarkistuspalvelu purkaa sen salauksen, tyhjentää kentän työstä välittömästi ja välittää tunnistetiedot konttiin vain vakiosyötteen kautta, ei koskaan komentoriviargumentteina (scanner/src/worker.js). Keskeytyneiden töiden jäänteet tyhjentää tilaprosessi tunnin kuluttua (cfg/login_lib.php).
4. Kontin sisällä selain kirjautuu sisään. Se keskeyttää, jos kirjautumissivu ohjaa toiselle isännälle, jos kirjautumislomakkeessa on CAPTCHA (emme ohita CAPTCHAja) tai jos salasanakenttä on edelleen näkyvissä lähettämisen jälkeen (scanner/src/login.js). Sen jälkeen se tyhjentää salasanakentän sivun muistista ja unohtaa tunnistetiedot (scanner/src/login.js).
5. Se lukee enintään viisi Asiakkaan määrittämää saman verkkotunnuksen sivua. Osoitteet, jotka sisältävät uloskirjautumista, poistamista tai peruuttamista tarkoittavia sanoja, on estetty (scanner/src/login.js). Kirjautumisen takana ei lähetetä mitään, kuvakaappauksia ei oteta, eivätkä evästeet ja linkit päädy tulokseen (scanner/src/login.js).
6. Poisto on lopullinen: salateksti ylikirjoitetaan samanpituisella satunnaisdatalla, rivi poistetaan ja odottavat työt tyhjennetään (cfg/login_lib.php). Kun verkkotunnus poistetaan, rivi katoaa automaattisesti viiteavaimen kautta.

6.6 Toimitustarkistus

Toimitustarkistus vastaa kysymykseen, saapuuko yhteydenottolomakkeen sähköposti todella perille, ja arvioi sen aitouspiirteet. Se on valinnainen, oletuksena pois päältä ja edellyttää valvontapostilaatikon määrittämistä (cfg/zustellung_lib.php).

1. Jos Asiakas ottaa sen käyttöön, verkkotunnus saa satunnaisen tunnisteen. Asiakas lisää tällä tunnisteella varustetun valvontaosoitteen piilokopioksi lomakkeeseensa.
2. Siitä lähtien jokainen lomakesähköposti menee myös valvontapostilaatikkoon: merkityt testilähetyksemme ja kaikki kävijöiden aidot viestit. Sähköpostit menevät suoraan postilaatikkoon palvelussa Namecheap, Inc. (Private Email), Phoenix, Arizona, USA – ne saapuvat vain, jos verkkotunnuksemme MX-tietueet osoittavat sinne; edelleenlähetyksen kautta, esimerkiksi verkkotunnusrekisteröijä Namecheap, Inc.:n kautta, ne eivät tavoita postilaatikkoa – ja pysyvät siellä, kunnes ne noudetaan.
3. Tilaprosessi noutaa postilaatikon viiden minuutin välein (srv/cron_status.php). Kustakin sähköpostista se lukee otsakkeet ja enintään tekstin ensimmäiset 8 kt merkitsemättä niitä luetuiksi (cfg/zustellung_lib.php).
4. Otsakkeista se selvittää tunnisteen ja siten verkkotunnuksen ja tekstistä tarvittaessa testimme tunnisteen (cfg/zustellung_lib.php). Tallennetaan aika, verkkotunnus ja tarvittaessa testin tunniste (cfg/zustellung_lib.php) 180 päivän ajaksi (cfg/zustellung_lib.php).
5. Otsakkeista se arvioi SPF:n, DKIM:n ja DMARCin ja tallentaa tuloksen verkkotunnuksen yhteyteen: tarkistustulokset, lähettäjäosoitteen verkkotunnuksen, allekirjoitusten verkkotunnukset ja lähettävän postipalvelimen osoitteen (cfg/zustellung_lib.php). Jos tulos heikkenee, Asiakkaalle lähetetään kerran hälytys, jossa voidaan mainita lähettäjän verkkotunnus (cfg/zustellung_lib.php).
6. Sen jälkeen se merkitsee jokaisen noudetun sähköpostin poistettavaksi, myös sellaisen, jota ei voitu kohdistaa mihinkään verkkotunnukseen, ja poistaa sen postilaatikosta ajon lopussa (cfg/zustellung_lib.php). Jos ajo keskeytyy ennen sitä, sähköpostit säilyvät seuraavaan onnistuneeseen ajoon asti.
7. Vain juuri kyseisen testin kopio kelpaa todisteeksi toimituksesta (cfg/zustellung_lib.php). Jos se ei saavu kolmen tunnin kuluessa (delivery_wait_h), palvelu ilmoittaa ”Toimitus puuttuu”.

Aitojen viestien tekstiä ei koskaan kirjoiteta tietokantaan, eikä myöskään kävijän osoitetta. Molemmat kuitenkin luetaan: nouto lataa jokaisen sähköpostin ensimmäiset 8 kt muistiin testitunnisteen etsimiseksi.

6.7 Parvisuojaus

1. WordPress-lisäosan suojauskerros pysäyttää viestin roskapostina ja laskee siinä olevien linkkien verkkotunnukset. Kerran päivässä lisäosa ilmoittaa nämä verkkotunnukset osumamäärineen meille, enintään 60 päivässä; ei osoitteita, ei tekstiä, ei IP-osoitteita (cfg/swarm_lib.php).
2. Kerran päivässä kokoamme näistä luettelon: verkkotunnus lisätään siihen, jos vähintään kolme eri verkkosivustoa on ilmoittanut sen seitsemän päivän aikana vähintään viidellä osumalla (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Kiinteän poikkeusluettelon suuria palveluja ja Asiakkaidemme verkkotunnuksia, kummassakin tapauksessa aliverkkotunnukset mukaan lukien, ei koskaan lisätä luetteloon (cfg/swarm_lib.php).
3. Luettelo lähetetään kaikille yhdistetyille verkkosivustoille vastauksena päivittäiseen ilmoitukseen. Niiden suojauskerros siirtää luettelossa oleviin verkkotunnuksiin linkittävät viestit karanteeniin, ei roskakoriin.
4. Mikä ei enää esiinny uudessa luettelossa, poistuu; ilmoitukset poistetaan 30 päivän kuluttua (cfg/swarm_lib.php).
5. IP-verkot (/24 tai /48) on valmisteltu, mutta ne ovat pois päältä, kunnes oikeudellinen tarkastelu on valmis (cfg/swarm_lib.php).

6.8 Tekoälyn käyttö

Kielimalli toimii omalla skannauspalvelimellamme, ei tekoälypalvelun tarjoajalla. Sitä käytetään kahdessa paikassa: tarkistuspalvelussa se luokittelee lomakkeet, joiden tyyppiä säännöt eivät tunnista; tällöin se näkee sivun otsikon, sivun osoitteen, lähetyspainikkeiden tekstit, kenttätyypit, nimet, nimiöt ja paikkamerkit sekä enintään 400 merkkiä lomakkeen tekstiä (scanner/src/classify.js). Siltä kysytään vain, jos säännöt palauttavat ”tuntematon”; näin luokiteltuja lomakkeita ei koskaan lähetetä, eivätkä ne vaikuta pisteisiin eivätkä tulokseen. Pisteet, tulos, väärinkäytösten estäminen, parvisuojaus ja roskapostisäännöt ovat kiinteitä sääntöjä, eivät tekoälyä. ”Fix it for me” -toiminnossa se kirjoittaa liitetyn lomakekoodin uudelleen; koodia ei tallenneta. Malli ei tee ihmisiä koskevia päätöksiä. Lisätietoja sivulla EU:n tekoälysäädös: miten formexposed käyttää tekoälyä.

6.9 Oikeusperusteet

Käsittelytoimi	Oikeusperuste
P1 Ilmainen tarkistus: pyydetyn verkkotunnuksen tarkistaminen; rajoitukset ja väärinkäytösten estäminen	pyytävän henkilön osalta Art. 6(1)(b); ylläpitäjän ja kuvissa näkyvien henkilöiden osalta Art. 6(1)(f); väärinkäytösten estäminen Art. 6(1)(f)
P2 Prospektitarkistus	Art. 6(1)(f) (toimiston ja palvelun formexposed oikeutettu etu)
P3 Tutkimus	Art. 6(1)(f)
P4 Asiakkaiden verkkotunnusten tarkistaminen	Art. 6(1)(b) Asiakkaan osalta; sen verkkosivustolla olevien kolmansien osapuolten tietojen osalta Asiakkaan ohjeet Art. 28 mukaisesti
P5 Kirjautumisen takana tehtävä skannaus	Asiakkaan ohjeet Art. 28 mukaisesti; Asiakkaan oikeusperuste
P6 Toimitustarkistus	Asiakkaan ohjeet Art. 28 mukaisesti; Asiakkaan oikeusperuste (Asiakkaille ehdottamassamme tekstissä Art. 6(1)(f))
P7 Parvisuojaus	Art. 6(1)(f) (yhteinen roskapostin torjunta monilla verkkosivustoilla)

Oikeutettu etumme P1–P3:ssa on näyttää ylläpitäjille ja heidän palveluntarjoajilleen heidän lomakkeidensa heikkoudet ennen kuin niitä käytetään hyväksi roskapostiin tai väärinkäyttöön, sekä tarjota palvelu. Tiedot ovat peräisin julkisesti saatavilla olevista lähteistä. Intressivertailu esitetään kohdassa 7; se, tukeeko Art. 6(1)(f) kolmansien osapuolten verkkosivustojen tarkistamista pyynnöstä, on avoin kysymys oikeudelliselle tarkastelulle.

6.10 Vastaanottajat ja siirrot kolmansiin maihin

Vastaanottaja	Mitä	Käsittelytoimi	Tila
Ei kukaan palvelun formexposed ulkopuolella	Tarkistustulokset, kuvakaappaukset, kielimallin luokittelu	P1–P5	Tarkistuspalvelu ja kielimalli toimivat omilla palvelimillamme; indeksointirobotin tarkistuspolulta ei löytynyt kutsuja kolmansille osapuolille lukuun ottamatta itse tarkistettavaa verkkosivustoa, palveluja, joiden sisältöä se upottaa (kuten minkä tahansa kävijän kohdalla), ja RDAP-palvelua rdap.org verkkotunnuksen iän selvittämiseksi (vain verkkotunnuksen nimi); valvonnan tarkkailijat luetellaan seuraavalla rivillä
Kuka tahansa, joka tietää linkin	Raportti havaintoineen ja kuvakaappauksineen	P1, P2, P4	128-bittinen satunnainen linkki (cfg/check_lib.php), sivut noindex-merkinnällä (www/report.php)
Palvelut, joilta Asiakkaan verkkotunnuksen valvonta tekee kyselyjä	DNS-estolistat (SpamCop, PSBL, Mailspike, SURBL): palvelinten verkkotunnukset ja IP-osoitteet, ei kävijätietoja; Google Web Risk vain, jos otettu käyttöön: etusivun osoite; aikaleimapalvelut Certum ja DigiCert: vain todistelokin tiivistearvo; RDAP IANA-rekisterin kautta: vain verkkotunnuksen nimi; palveluntarjoajien tilasivut: mitään ei välitetä; wpvulnerability.net: lisäosan (ilman versiota) tai teeman tunniste ja WordPress-versio	P4	käytössä; yksityiskohdat selosteessa käsittelytoimista ja sivulla Alikäsittelijät
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Valvontakopiot, mukaan lukien kävijöiden aidot viestit	P6	Sopimusta ei ole vielä tehty; käsittelypaikka ja siirtomekanismi on vielä selvitettävä
Namecheap, Inc. (Yhdysvallat)	Rekisteröijä ja DNS; kunnes postilaatikko on otettu käyttöön, yleisten sähköpostien edelleenlähetys verkkotunnuksemme osoitteisiin, ei valvontakopioiden (ne tavoittavat postilaatikon vain suoraan siihen osoittavien MX-tietueiden kautta)	– (ei valvontakopioita)	Siirtomekanismi on selvitettävä
Asiakkaan valitsemat hälytyskanavat (sähköposti, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	Tapahtuma, verkkotunnus, linkki; aitoustarkistuksessa lähettäjän verkkotunnus, jos se ei kuulu verkkosivustolle	P4, P6	Asiakkaan valitsema kohde; osittain EU:n ulkopuolella. Lähetämme Telegram-viestit bottimme kautta; tätä koskeva siirtomekanismi on avoin kysymys oikeudelliselle tarkastelulle
Kaikki yhdistetyt verkkosivustot	Linkkiverkkotunnusten luettelo	P7	lisäosalle annettavan vastauksen kautta
Toinen mittausasema	Verkkotunnus, lomakkeen osoite, valitsin, vaiheet	P4	pois päältä

6.11 Säilytysajat – mitattu, ei aiottu

Poisto tapahtuu enimmäkseen öisin klo 03.00 tilaprosessissa (srv/cron_status.php, cfg/fristen_lib.php); parvisuojauksen ilmoitukset ja prospektirivit poistetaan päivittäin klo 04.00 alkaen, toimitustarkistuksen kohdistukset jokaisen noudon yhteydessä; anonyymit raportit ja prospektiraportit poistetaan niiden vanhenemispäivän perusteella (cfg/check_lib.php). Kuvakaappaukset poistetaan levyltä yhdessä skannauksensa kanssa (cfg/fristen_lib.php).

Tiedot	Aika koodin mukaan	Lähdeviite	Havainto
Ilmainen tarkistus kuvineen	30 päivää	cfg/check_lib.php	toimii
Prospektitarkistus kuvineen	90 päivää	cfg/akquise_lib.php; srv/cron_status.php (prospektirivit)	toimii
Asiakkaan verkkotunnuksen tarkistukset	13 kuukautta; viimeisin säilytetään niin kauan kuin verkkotunnus on olemassa	cfg/fristen_lib.php	toimii
Selainpolkujen tulokset mustalla peitettyine kuvineen	13 kuukautta	cfg/fristen_lib.php	toimii
Poistetun verkkotunnuksen tiedot	välittömästi; orvot öisin	cfg/fristen_lib.php (fe_domain_loeschen(), fe_fristen_lauf())	toimii, mukaan lukien skriptiluettelo ja skriptimuutokset, joilla ei ole tämän lisäksi omaa säilytysaikaa (ks. seloste käsittelytoimista)
Tutkimus: raakatiedot kuvineen	julkaistaessa	cfg/studie_lib.php	ilman julkaisua ei aikarajaa; tarkistettujen isäntien luettelo säilyy ilman aikarajaa myös julkaisun jälkeen
Sisäiset tarkistukset ilman verkkotunnusta ja ilman raporttia	ei mitään	–	ei poistoa; mitattu: 85 tarkistusta ja 369 kuvaa 22. syyskuuta 2026 lähtien (R4)
Toimitustarkistuksen kohdistukset	180 päivää	cfg/zustellung_lib.php	toimii
Aitoustarkistuksen tulos verkkotunnuksen yhteydessä	seuraavaan tulokseen tai verkkotunnuksen poistamiseen asti	cfg/zustellung_lib.php	ylikirjoitetaan, ei aikarajaa
Valvontakopiot postilaatikossa	seuraavaan onnistuneeseen noutoon asti (viiden minuutin väli)	cfg/zustellung_lib.php	kopioita ja varmuuskopioita postilaatikkopalvelun tarjoajalla ei todennettu
Kirjautumisen takana tehtävän skannauksen tunnistetiedot	kunnes Asiakas poistaa ne tai verkkotunnus poistetaan; työssä enintään ajon loppuun asti, jäänteet tunnin kuluttua	cfg/login_lib.php	toimii; varmuuskopioissa vain salatekstinä enintään 14 päivää
Parvisuojauksen ilmoitukset	30 päivää	cfg/swarm_lib.php	toimii
Ilmaisen tarkistuksen rajat (IP, maa, istunnon tiiviste)	7 päivää	srv/cron_status.php	toimii
Merkinnät poikkeavasta käyttäytymisestä IP-osoitteineen	90 päivää selvittämisen jälkeen	srv/cron_status.php	selvittämättömät merkinnät ilman aikarajaa; mitattu: 3 merkintää, kaikki selvitetty
Opt-outiin liittyvä IP-osoite, maa ja selain	12 kuukautta; poissulkeminen säilyy	cfg/fristen_lib.php	toimii
Tietokannan varmuuskopiot	14 päivää	cfg/backup_lib.php	toimii; varmuuskopiot säilytetään tällä hetkellä samassa sijainnissa kuin tietokanta, eikä niitä ole erikseen salattu; salattu kopio toisessa sijainnissa on suunnitteilla (R13)

7. (b) Tarpeellisuuden ja oikeasuhteisuuden arviointi

Mittapuuna ovat ilmoitetut käyttötarkoitukset: näyttää ylläpitäjille, onko heidän lomakkeensa suojattu roskapostilta ja väärinkäytöltä (P1–P5), tarkistaa, saapuvatko lomakesähköpostit perille ja vaikuttavatko ne aidoilta (P6), ja torjua roskapostia yhdessä monilla verkkosivustoilla (P7). Nämä käyttötarkoitukset ovat oikeutettuja. Art. 35(7)(b) mukainen kysymys on suppeampi: onko tämä käsittely tarpeen tässä laajuudessa käyttötarkoituksen kannalta, ja onko puuttuminen oikeasuhteinen hyötyyn nähden?

Osa	Tarpeen käyttötarkoituksen kannalta?	Oikeasuhteinen toteutetussa muodossa?
Muutaman julkisen sivun haku, lomakkeiden rakenne, havaitut suojatoimet	Kyllä. Ilman niitä ei ole havaintoa.	Kyllä. Enintään kahdeksan sivua (sekä kohdan 6.1 näkymät), etusivua koskevaa robots.txt-kieltoa noudatetaan, ei näkyvien kenttien arvoja, vastaanottajaosoitteet vain verkkotunnuksena.
Kuvakaappaus lomaketta kohden	Kyllä, todisteena raportissa: ylläpitäjä näkee, mitä lomaketta tarkoitetaan.	Suurelta osin. Kentät ovat tyhjiä, koska indeksointirobotti ei kirjoita niihin mitään. Kuva näyttää kuitenkin lomake-elementin ympäristön peittämättä mitään (R3).
Etusivun kuvakaappaus	Ei tarpeen itse havainnon kannalta. Se auttaa tunnistamaan tarkistetun verkkosivuston raportissa.	Vain rajoitetusti; lisäminimointi suunnitteilla. Etusivuilla näkyy usein ihmisiä: tiimikuvia, yhteyshenkilöitä, asiakaslausuntoja nimineen. Ks. R3 ja kohta 9.3.
Piilokenttien arvojen lukeminen (ensimmäiset 24 merkkiä, vain tarkistuksen aikana)	Kyllä: niistä havaitaan tunnisteet ja aikaleimat.	Kyllä. Vain havaintotulos tallennetaan, ei arvoa, myös kirjautumisen takana (R8).
Testilähetyksen vastaussivu (kuva ja 300 merkkiä tekstiä)	Kyllä, todisteena siitä, miten lomake vastasi.	Kyllä. Vastaus liittyy merkittyyn testiviestiimme, jossa ei ole henkilötietoja.
Kielimallin luokittelu	Hyödyllinen, ei välttämätön: ilman sitä useampi lomake jää ”tuntemattomaksi”.	Kyllä. Paikallinen, ilman luovuttamista, ilman oikeutta lähettää.
Aktiiviset testilähetykset	Kyllä. Se, toimiiko suojaus, selviää vasta, kun sitä testataan.	Kyllä, enimmäismäärällä ja merkinnällä. Edellytystä – hallinnan todistetta – ei kuitenkaan koskaan uusita (R7).
Julkisesti näkyvien tiedostojen haku	Kyllä Asiakkaan kannalta, jonka lomaketietoja voi olla siellä julkisesti saatavilla.	Kyllä. Vain todennetut verkkotunnukset, enintään 8 kt, sisältöä ei koskaan tallenneta.
Kirjautumisen takana tehtävä skannaus	Kyllä jäsenalueen lomakkeille, jotka muuten jäisivät tarkistamatta.	Suurelta osin. Salaus ja poisto on rakennettu huolellisesti; kirjautuminen kuitenkin hyväksyy salaamattomat yhteydet ja virheelliset varmenteet (R8).
Aitojen kävijäviestien valvontakopio	Ei toimituksen todistamiseksi. Se perustuu vain testimme kopioon (cfg/zustellung_lib.php). Aidot viestit tulevat mukana, koska lomakkeen piilokopio ei erota testiä aidosta viestistä. Ne ovat hyödyllisiä aitoustarkistuksessa (SPF, DKIM, DMARC), koska ne näyttävät todellisen lähetysreitin.	Osittain. Sisältöä ei tallenneta, mutta se luetaan, ja se säilyy noutoon asti postilaatikkopalvelun tarjoajalla, jonka sopimus on vielä avoinna (R1, R2). Vähemmän puuttuva rakenne on teknisesti mahdollinen: lisäosamme avulla piilokopio voitaisiin rajata merkittyihin testiviesteihin (kohta 9.3).
Aitojen viestien lähettäjän verkkotunnuksen tallentaminen	Osittain: se osoittaa, lähettääkö lomake kävijän osoitteella lähettäjänä (yleinen syy roskapostiksi luokittelemiseen).	Ehdollisesti. Yksityishenkilön, jolla on oma verkkotunnus, kohdalla verkkotunnus on henkilötieto, ja se päätyy Asiakkaalle ja tämän kanaville lähetettävään hälytykseen (R1).
Yhteinen linkkiverkkotunnusten luettelo	Kyllä. Roskapostilinkki, joka esiintyy samanaikaisesti monilla verkkosivustoilla, on vahva signaali, jota yksittäisellä verkkosivustolla ei ole.	Kyllä, vähimmäismäärillä, poikkeuksilla ja karanteenilla poistamisen sijaan. IP-verkot eivät olisi oikeasuhteisia ilman uutta arviointia.
Tutkimuksen raakatiedot	Arviointiin asti kyllä.	Ilman enimmäisaikaa ei (R4).
Raportti satunnaisen linkin takana	Kyllä. Raportin välittäminen eteenpäin – esimerkiksi verkkosivustoa hoitavalle palveluntarjoajalle – on ilmaisen tarkistuksen tarkoitus.	Kyllä. 128-bittinen satunnainen linkki, noindex, ilmainen raportti vain otteena (cfg/check_lib.php, FE_FREE_DETEKTOREN), poisto 30 päivän kuluttua.

Lainmukaisuus. P1–P3:n ja P7:n osalta vetoamme Art. 6(1)(f):ään. Intressivertailun puolesta puhuu: tiedot ovat julkisia ja ne haetaan samalla tavalla kuin kuka tahansa kävijä tekee; mitään ei lähetetä; henkilötiedot ovat satunnaisia ja vähäisiä; ajat ovat lyhyitä; ylläpitäjä voi estää indeksointirobotin lisätarkistukset etusivua koskevalla robots.txt-kiellolla ja kaikki lisätarkistukset opt-out-sivullamme, välittömästi ja ilman todistetta; hyöty – suojattu lomake – koituu myös ylläpitäjälle ja tämän kävijöille. Sitä vastaan puhuu: ylläpitäjä ei saa tietoa tarkistuksesta, raportti on tarkoitettu kolmansille osapuolille, ja elinkeinonharjoittajien kohdalla se arvioi henkilöä. Pidämme intressivertailua perusteltuna niin kauan kuin kohdan 9.1 toimenpiteet pysyvät voimassa; oikeudellinen vahvistus on vielä kesken.

Rekisteröityjen informointi (Art. 13 ja 14). Informoimme ylläpitäjiä ja tarkistettujen sivujen ihmisiä robottisivun kautta, joka mainitaan jokaisen haun tunnisteessa, tietosuojaselosteen kautta ja opt-out-sivun kautta. Kuvakaappauksessa satunnaisesti näkyvien ihmisten yksilöllinen informointi olisi mahdollista vain, jos tunnistaisimme heidät – mikä olisi uusi, vakavampi puuttuminen. Siltä osin vetoamme Art. 14(5)(b):hen. Kävijät, joiden viestit kulkevat valvontakopion kautta, informoi Asiakas; tietojenkäsittelysopimus edellyttää tätä, ja tarjoamme sitä varten tekstilohkon.

Tietojen minimointi (Art. 5(1)(c)). Se näkyy monessa kohdassa ja perustuu koodiin: ei kenttien arvoja, vastaanottajaosoitteet vain verkkotunnuksena, skriptiosoitteiden tilitunnisteet piilotettu, ei valvontakopion sisältöä tietokannassa, ei kuvakaappauksia kirjautumisen takaa, parvisuojauksessa vain verkkotunnuksia. Kahdessa kohdassa lisäminimointi on mahdollista ja suunnitteilla (kohta 9.3): etusivun peittämätön kuvakaappaus ja aitojen viestien lähettäjän verkkotunnus.

Säilytyksen rajoittaminen (Art. 5(1)(e)). 27. syyskuuta 2026 lähtien öinen ajo on noudattanut tietosuojaselosteen määräaikoja Asiakkaiden tietojen osalta ja poistaa sitä edeltävältä ajalta jääneet tiedot, joihin ei liity verkkotunnusta (cfg/fristen_lib.php). Kaksi aikarajatonta reittiä on yhä avoinna: sisäiset tarkistukset ja julkaisemattomat tutkimukset (R4).

Täsmällisyys (Art. 5(1)(d)). Havainto voi olla väärä: lomake näyttää suojaamattomalta, koska suojaus latautuu vasta vuorovaikutuksen jälkeen, tai palomuuri kohteli indeksointirobottia eri tavalla kuin kävijää. Ylläpitäjälle, jonka verkkosivustoa levitetään julkisesti ”Altis”-merkinnällä, tämä on maineasia. Raportti nimeää siksi menetelmän, näyttää todisteet ja tuo esiin ulkopuolelta tehtävän tarkistuksen rajoitukset.

Tulos oikeasuhteisuudesta: Kolmansien osapuolten ja omien verkkosivustojen tarkistaminen on toteutetussa muodossaan olennaisilta osin oikeasuhteista. Kolmessa kohdassa on parantamisen tarvetta, joka voidaan korjata tavanomaisin keinoin ja jota varten on suunniteltu toimenpiteitä (kohta 9.3): etusivun kuvakaappaukset, aikarajattomat sisäiset tarkistukset ja kirjautumisen takana tehtävän skannauksen salaamaton kirjautuminen. Toimitustarkistus on oikeasuhteinen testikopion ja aitoustarkistuksen osalta; aitojen kävijäviestien osalta se pätee vain niin kauan kuin niiden sisältöä ei tallenneta, postilaatikkopalvelun tarjoajan kautta kulkeva reitti on sopimuksella turvattu ja Asiakas informoi kävijöitään. Tällä hetkellä näistä kolmesta puuttuu toinen.

8. (c) Rekisteröityjen oikeuksiin ja vapauksiin kohdistuvien riskien arviointi

Arvioinnin kohteena on rekisteröityihin kohdistuva riski, ei palveluun formexposed kohdistuva. Todennäköisyys luokitellaan epätodennäköiseksi, mahdolliseksi, todennäköiseksi tai toteutuneeksi; ”toteutunut” tarkoittaa, että tapahtuma ei ole ennuste vaan mitattu tila. Vakavuus luokitellaan rajalliseksi, merkittäväksi, vakavaksi tai erittäin vakavaksi sen mukaan, mitä henkilö voi menettää: viestinsä luottamuksellisuuden, tilin hallinnan, liiketoiminnallisen maineensa, mahdollisuuden käyttää oikeuttaan. Taso määräytyy molempien perusteella ja kuvaa nykytilaa kohdan 9.1 toimenpiteiden kanssa.

Nro	Riski	Käsittelytoimi	Todennäköisyys	Vakavuus	Taso
R1	Aidot kävijäviestit valvontakopiossa, mukaan lukien mahdolliset erityiset henkilötietoryhmät	P6	Toteutunut, kun otettu käyttöön	Vakava	Korkea
R2	Valvontakopion reitti postilaatikkopalvelun tarjoajan kautta ilman tehtyä sopimusta ja mahdollisella kolmasmaakytköksellä	P6	Todennäköinen niin kauan kuin sopimus puuttuu	Vakava	Korkea
R3	Kolmansien osapuolten verkkosivustojen kuvakaappaukset ilman peittämistä	P1–P4	Todennäköinen	Rajallinen	Keskitaso
R4	Tarkistustiedot ja kuvakaappaukset ilman poistoreittiä	P3, sisäiset tarkistukset	Toteutunut	Merkittävä	Korkea
R5	Kolmansien osapuolten verkkosivustojen tarkistaminen ja julkinen arviointi ylläpitäjän tietämättä; väärinkäyttö tiedustelutyökaluna	P1	Mahdollinen	Merkittävä	Keskitaso
R6	Prospektitarkistus pyytämättömien yhteydenottojen perustana	P2	Todennäköinen	Rajallinen	Keskitaso
R7	Hallinnan todistetta ei koskaan uusita	P4, P5	Mahdollinen	Merkittävä	Keskitaso
R8	Tunnistetiedot ja sisältö kirjautumisen takana tehtävässä skannauksessa	P5	Mahdollinen	Vakava	Keskitaso; korkea todellisilla tileillä
R9	Aktiiviset testilähetykset ja tiedostotarkistus Asiakkaan verkkosivustolla	P4	Epätodennäköinen	Merkittävä	Matala
R10	Kielimallin luokittelu	P1–P4	Epätodennäköinen	Rajallinen	Matala
R11	Monien verkkosivustojen ilmoituksista koottu yhteinen estolista	P7	Mahdollinen	Rajallinen	Matala tai keskitaso; korkea IP-verkkojen kanssa
R12	Raportit ja kuvakaappaukset julkisen linkin takana	P1, P2, P4	Mahdollinen	Rajallinen	Matala
R13	Infrastruktuurin heikkoudet: varmuuskopiot, palvelinpääsy, skannauspalvelin	kaikki	Mahdollinen	Vakava	Korkea
R14	Rekisteröidyn oikeudet ihmisille, jotka eivät tunne meitä	P1–P6	Todennäköinen	Rajallinen	Matala

R1 – Aidot kävijäviestit valvontakopiossa

Tämä on palvelun vakavin riski, eikä se johdu virheestä vaan rakenteesta. Lomakkeen piilokopio ei erota testiviestiämme kävijän viestistä. Jos Asiakas ottaa toimitustarkistuksen käyttöön, jokainen kyseisen lomakkeen kautta lähetetty viesti päätyy valvontapostilaatikkoomme (cfg/zustellung_lib.php). Nouto lukee otsakkeet ja tekstin ensimmäiset 8 kt muistiin testitunnisteemme etsimiseksi (cfg/zustellung_lib.php). Tavallisessa yhteydenottolomakkeessa tämä tarkoittaa nimeä, sähköpostiosoitetta, puhelinnumeroa ja koko viestiä.

Se, mitä kävijä kirjoittaa, on hänen päätettävissään, ja kenttä houkuttelee henkilökohtaiseen sisältöön: oireita kuvaava ajanvarauspyyntö lääkärivastaanotolle, selvitys oikeusriidasta asianajotoimistolle, työhakemus, lasta koskeva tiedustelu koululle. Oikeudellisissa asiakirjoissamme todetaan, että kopioiden ”ei tulisi sisältää erityisiä henkilötietoryhmiä”. Se on pyyntö Asiakkaalle, ei suojatoimi: kumpikaan meistä ei tiedä etukäteen, mitä kävijä kirjoittaa.

Tähän liittyy kaksi sivureittiä. Ensinnäkin aitoustarkistus tallentaa lähettäjäosoitteen verkkotunnuksen verkkotunnuksen yhteyteen (cfg/zustellung_lib.php). Jos lomake lähettää kävijän osoitteella lähettäjänä, tämä on kävijän verkkotunnus – merkityksetön suuren sähköpostipalvelun kohdalla, mutta henkilötieto yksityishenkilölle, jolla on oma verkkotunnus. Tämä verkkotunnus näkyy myös hälytyksessä, joka lähtee Asiakkaalle ja tämän valitsemille kanaville (cfg/zustellung_lib.php). Toiseksi se tallentaa lähettävän postipalvelimen osoitteen (cfg/zustellung_lib.php); yleensä tämä on verkkosivuston palvelin, ei kävijän.

Todennäköisyys – toteutunut, kun otettu käyttöön. Kysymys ei ole siitä, saapuuko aitoja viestejä, vaan siitä, kuinka monta. Kehitysjärjestelmässä mitattuna toiminto ei ole käytössä yhdelläkään verkkotunnuksella. Vakavuus – vakava. Yritykselle lähetetyn viestin luottamuksellisuus on monille tärkeää, ja joidenkin tyypillisten Asiakkaiden kohdalla on odotettavissa Art. 9 tarkoitettuja tietoja. Vakavuutta lieventää se, että sisältö ei päädy tietokantaan, säilyy postilaatikossa vain lyhyen aikaa eikä kukaan palvelun formexposed henkilö lue sitä. Taso – korkea.

R2 – Valvontakopion reitti postilaatikkopalvelun tarjoajan kautta ilman tehtyä sopimusta

Ennen kuin noutomme näkee valvontakopion, sitä säilytetään postilaatikossa palvelussa Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Se saapuu sinne vain, jos verkkotunnuksemme MX-tietueet osoittavat suoraan tähän postilaatikkoon; edelleenlähetys verkkotunnusrekisteröijä Namecheap, Inc.:n kautta ei ole valvontakopioiden kulkupiste (edelleenlähetyksen kautta ne eivät tavoita postilaatikkoa). Jäljelle jäävän kulkupisteen sopimusjärjestelyt ovat vielä avoinna: sopimusta postilaatikkopalvelun tarjoajan kanssa ei ole tehty, sen tallennuspaikkoja, alikäsittelijöitä ja varmuuskopioiden säilytysaikoja ei ole selvitetty, ja on avoinna, tarvitaanko sen käsittelypaikan osalta tietosuojan riittävyyttä koskeva päätös tai vakiosopimuslausekkeet ja soveltuvatko ne. Omien tapahtumaperusteisten sähköpostiemme osalta kyse on sopimuksen muotoilusta. Valvontakopioiden osalta asia on vakavampi: niissä on kyse tiedoista, jotka vastaanotamme henkilötietojen käsittelijänä, ja jokainen reitin varrella oleva palveluntarjoaja on alikäsittelijä, josta olemme vastuussa Art. 28(4) mukaisesti.

Lisäksi ”poistetaan noudon jälkeen” pätee vain omaan näkymäämme postilaatikkoon. Sitä, säilyttääkö palveluntarjoaja poistettuja sähköposteja omissa varmuuskopioissaan tai roskakorissa ja kuinka kauan, ei ole todennettu. Jos nouto keskeytyy, sähköpostit säilyvät seuraavaan onnistuneeseen ajoon asti (cfg/zustellung_lib.php); jos tilaprosessi lakkaa toimimasta, ne säilyvät määräämättömästi. Lopuksi itse noudon suojaaminen on yksi niistä kohdista, jotka on tarkistettava tuotantojärjestelmässä ennen julkaisua (kohta 9.3).

Todennäköisyys – todennäköinen niin kauan kuin sopimus puuttuu: jokainen valvontakopio kulkee tätä reittiä. Vakavuus – vakava samoista syistä kuin R1. Taso – korkea. Sovelluksen käyttöönoton tarkistuslista ilmoittaa puuttuvasta postilaatikosta varoituksena; ei ole lukitusta, joka estäisi toimitustarkistuksen ilman dokumentoitua sopimusta.

R3 – Kolmansien osapuolten verkkosivustojen kuvakaappaukset ilman peittämistä

Indeksointirobotti ottaa kuvakaappauksen ensimmäisen sivun näkyvästä alueesta ja kuvan jokaisen näkyvän lomakkeen lomake-elementistä (scanner/src/crawl.js). Mitään ei tällöin peitetä. Selainpoluissa tilanne on toinen: niissä syöttökentät peitetään ennen kuvakaappausta (scanner/src/browser.js). Vain selainpolkujen kuvat ovat siis ”puhdistettuja”, eivät indeksointirobotin kuvat eikä aktiivisen tarkistuksen vastaussivun kuva.

Koska indeksointirobotti ei kirjoita mitään, lomakekentät ovat tyhjiä. Pienyrityksen etusivulla näkyy kuitenkin usein omistaja, tiimi, asiakaslausuntoja nimineen ja kuvineen tai chat-ikkuna, jossa on työntekijän kuva. Kaikki tämä on julkista; kuvakaappaus tekee siitä kopion, joka tallennetaan meille, näkyy raportissa ja voidaan välittää linkin mukana eteenpäin.

Todennäköisyys – todennäköinen. Kehitysjärjestelmän aineistosta mitattiin 432 kuvakaappausta. Vakavuus – rajallinen: sisältö on jo julkista, ja tilittömien tarkistusten säilytysajat ovat lyhyitä. Taso – keskitaso, koska kuvissa näkyvät henkilöt eivät tiedä asiasta eikä etusivun kuvaa tarvita havaintoa varten.

R4 – Tarkistustiedot ja kuvakaappaukset ilman poistoreittiä

Öinen ajo poistaa tarkistuksia kahta reittiä: raportin vanhenemispäivän perusteella (cfg/check_lib.php) ja Asiakkaan verkkotunnuksen tarkistuksille asetetun ajan perusteella (cfg/fristen_lib.php, vain tarkistuksille, joilla on verkkotunnus). Tarkistus, jolla ei ole raporttia eikä verkkotunnusta, putoaa molempien verkkojen läpi. Nämä ovat luottamustason ”sisäinen” tarkistuksia: tutkimuksia ja tarkistuksia, jotka palveluntarjoaja luo komentoriviltä.

• Tutkimukset poistavat raakatietonsa julkaistaessa (cfg/studie_lib.php). Jos tutkimusta ei koskaan julkaista – koska siinä on liian vähän lomakkeellisia verkkosivustoja (cfg/studie_lib.php kieltäytyy tällöin julkaisemasta) tai koska se jää kesken – tarkistukset, lomakkeet, havainnot ja kuvakaappaukset säilyvät ilman aikarajaa.
• Sisäisillä komentorivitarkistuksilla ei ole lainkaan poistoreittiä. Mitattu 11. lokakuuta 2026: 85 tällaista kolmansien osapuolten verkkosivustojen tarkistusta, joissa 978 lomaketta ja 369 kuvakaappausta, vanhin 22. syyskuuta 2026, yhdelläkään ei raporttia eikä verkkotunnusta.
• Merkinnät poikkeavasta käyttäytymisestä ilmaisessa tarkistuksessa sisältävät IP-osoitteen, ja ne poistetaan 90 päivää selvittämisen jälkeen (srv/cron_status.php). Merkintä, jota ei koskaan selvitetä, säilyy. Mitattu: kolme merkintää, kaikki selvitetty.

Todennäköisyys – toteutunut. 85 tarkistusta eivät ole skenaario vaan olemassa olevia tietoja. Kehitysjärjestelmässä ne ovat kenttätestin tarkistuksia; tuotantojärjestelmässä sovelletaan samaa koodia. Vakavuus – merkittävä: näille tiedoille ei ole säilytysaikaa. Säilytyksen rajoittamisen periaatteen (Art. 5(1)(e)) kannalta tämä on avoin kohta, jolle on suunniteltu toimenpide (kohta 9.3, tärkeysjärjestys ”ensin”), ja se koskee juuri ihmisiä, jotka eivät tiedä tarkistuksesta mitään. Sisäiset tarkistukset on kuvattu selosteessa käsittelytoimista; tietosuojaseloste ei vielä mainitse niitä erikseen (kohta 9.4). Taso – korkea.

R5 – Kolmansien osapuolten verkkosivustojen tarkistaminen ja julkinen arviointi ylläpitäjän tietämättä

Kuka tahansa voi teettää tarkistuksen mistä tahansa julkisesti saatavilla olevasta verkkosivustosta ilman tiliä ja ilman mitään yhteyttä siihen. Ylläpitäjälle ei ilmoiteta. Tuloksena on raportti, joka arvioi verkkosivuston luokkaan ”Altis”, ”Osittain suojattu” tai ”Suojattu” ja jonka kuka tahansa linkin tietävä voi nähdä. Rekisteröityjen kannalta kaksi seurausta on mahdollista. Elinkeinonharjoittaja saa julkisesti – vaikkakin vain linkin vastaanottajien nähtäväksi – arvion, joka voi olla virheellinen havainto. Ja raportti näyttää roskapostittajalle, minkä lomakkeen voi täyttää esteettä.

Tätä vastaan on joukko estoja (cfg/check_lib.php): enintään yksi tarkistus verkkotunnusta kohden seitsemässä päivässä, sen jälkeen sama raportti; rajat IP-osoitetta ja istuntoa kohden; koko palvelun päivittäinen enimmäismäärä; ei tarkistuksia hyvin uusille verkkotunnuksille, jotka ovat tyypillisiä väärinkäytölle; merkintä ja signaali poikkeavasta käyttäytymisestä; robots.txt ja opt-out, tarkistettuna kahdesti (cfg/check_lib.php ja tarkistuspalvelussa). Ilmainen raportti on ote: se näyttää vain perushavainnot, ei kaikkien tunnistimien todisteita. Eikä se kerro mitään, mitä botti ei voisi itse selvittää sekunneissa – suojaamaton lomake näkyy ulospäin.

Todennäköisyys – mahdollinen. Vakavuus – merkittävä elinkeinonharjoittajalle, jonka lomake joutuu kohteeksi raportin jälkeen tai jonka arvio on virheellinen. Taso – keskitaso.

R6 – Prospektitarkistus pyytämättömien yhteydenottojen perustana

Käyttöliittymässä prospektitarkistusta kuvataan ”oven avaajaksi ensimmäiseen keskusteluun”. Se, miten toimisto käyttää lyhyttä havaintoa, on toimiston päätettävissä; teknisesti se voi lähettää sen myös ylläpitäjälle, joka ei ole sitä pyytänyt. Emme ota yhteyttä keneenkään (cfg/akquise_lib.php), ja käyttöehdot velvoittavat toimiston noudattamaan mainontaa ja markkinointia koskevia sääntöjä. Pyytämätön sähköposti, jossa havainto on, on kuitenkin suoramarkkinointia myös yritysten välillä, ja se edellyttää Puolassa (sähköisen viestinnän lain (Prawo komunikacji elektronicznej, PKE) Art. 398) ja Saksassa (Saksan sopimatonta kilpailua koskevan lain (Gesetz gegen den unlauteren Wettbewerb, UWG) § 7(2)) ennakkosuostumusta. Käyttöliittymä ei huomauta tästä; prospektitarkistuksen tekstit puhuvat vain ”passiivisesta” ja ”opt-out-luettelosta”.

Todennäköisyys – todennäköinen, koska toiminto palvelee asiakashankintaa emmekä voi todentaa, onko vastaanottaja antanut suostumuksensa. Vakavuus – rajallinen: ylläpitäjälle kyse on ärsyttävästä markkinointisähköpostista, jossa on arvio hänen verkkosivustostaan. Taso – keskitaso. Riski on toimiston toiminnassa; koska toiminto on meidän, käyttöliittymään on suunniteltu huomautus (kohta 9.3).

R7 – Hallinnan todistetta ei koskaan uusita

Aktiiviset testilähetykset, julkisesti näkyvien tiedostojen haku ja kirjautumisen takana tehtävä skannaus edellyttävät, että Asiakas on osoittanut olevansa oikeutettu hallitsemaan verkkotunnusta. Tämä todiste tarkistetaan kerran (cfg/verify_lib.php) eikä koskaan uudelleen. Koodissa ei ole reittiä, jonka kautta verkkotunnus menettäisi todisteensa. Jos verkkotunnuksen omistaja vaihtuu, toimisto lopettaa toimeksiantonsa tai ylläpitäjä poistaa DNS-tietueen, tarkistukset jatkuvat – jopa päivittäin, enintään viidellä testilähetyksellä ja, jos tallennettu, testitilin kirjautumisella, josta uusi ylläpitäjä ei ehkä tiedä. Sen sijaan todistetta ei voi siirtää toiselle isännälle nimeämällä uudelleen: verkkotunnuksen, jonka hallinta on todennettu, isäntänimeä ei voi muuttaa.

Todennäköisyys – mahdollinen: verkkotunnusten ja toimeksiantojen vaihtuminen on toimistoille arkipäivää. Vakavuus – merkittävä uudelle ylläpitäjälle ja tämän työntekijöille, jotka saavat merkittyjä testiviestejä ja joiden verkkosivustolta haetaan julkisesti näkyviä tiedostoja ilman heidän suostumustaan. Taso – keskitaso. Testiviestit selittävät itsensä ja viittaavat robottisivuun ja opt-outiin; opt-out toimii myös Asiakkaiden tarkistuksia vastaan.

R8 – Tunnistetiedot ja sisältö kirjautumisen takana tehtävässä skannauksessa

Tunnistetietojen salaus on rakennettu huolellisesti: verkkopalvelin ei voi enää lukea niitä tallentamisen jälkeen, tietokanta ja varmuuskopio sisältävät vain salatekstiä, tietue on sidottu verkkotunnukseensa, tunnistetiedot päätyvät konttiin vain vakiosyötteen kautta ja tyhjennetään sen jälkeen muistista (kohta 6.5). Kaksi aukkoa jää; kolmas kohta koskee vain lukemista, ei tallentamista.

• Salaamaton kirjautuminen on sallittu. Osoitetarkistus sallii https:n lisäksi http:n (cfg/login_lib.php, scanner/src/login.js). Jos Asiakas syöttää kirjautumissivun http-osoitteella, käyttäjänimi ja salasana kulkevat internetin yli selväkielisinä jokaisessa tarkistuksessa.
• Varmennevirheet eivät pysäytä kirjautumista. Kirjautuminen ei tällä hetkellä keskeydy, kun Asiakkaan sivuston varmenne on virheellinen (scanner/src/login.js). Varmenne ei siis suojaa tunnistetietoja täysin niiden matkalla Asiakkaan sivustolle. Keskeyttäminen varmennevirheiden yhteydessä on suunnitteilla (kohta 9.3, tärkeysjärjestys ”ensin”).
• Piilokenttien arvot kirjautumisen takana luetaan, niitä ei tallenneta. Indeksointirobotti lukee piilokenttien arvon ensimmäiset 24 merkkiä (scanner/src/crawl.js), ja sama poimintafunktio toimii kirjautumisen takana (scanner/src/login.js). Siellä piilokentissä on usein tilinumero, käyttäjätunniste tai kirjautuneen tilin sähköpostiosoite; kenttäkarttaan ja havaintoihin päätyvät kuitenkin vain kentän nimi, tyyppi, nimiö ja tunnistustulos.

Tähän lisätään se, mitä koodi ei voi estää: Asiakas vahvistaa käyttävänsä testitiliä, jolla on mahdollisimman vähän oikeuksia (cfg/login_lib.php), mutta hän voi syöttää todellisen ylläpitäjätilin. Sivut, jotka skanneri tällöin lukee, määrää Asiakas; osoitteet, jotka sisältävät uloskirjautumista ja poistamista tarkoittavia sanoja, on estetty, mutta muita toimintoja, jotka verkkosivusto käynnistää yksinkertaisella pyynnöllä, ei ole.

Todennäköisyys – mahdollinen. Vakavuus – vakava, jos kyseessä on laajat oikeudet omaava tili; jäsenalue kaikkien käyttäjien tietoineen on tällöin avoinna. Taso – keskitaso vähäisin oikeuksin varustetulle testitilille, korkea todelliselle tilille. Kehitysjärjestelmässä mitattuna testitiliä ei ole tallennettu.

R9 – Aktiiviset testilähetykset ja tiedostotarkistus Asiakkaan verkkosivustolla

Testilähetys menee ihmisille, jotka lukevat Asiakkaan lomakesähköposteja – sen työntekijöille tai palveluntarjoajalle. Se ei sisällä henkilötietoja: lähettäjä on dummy@formexposed.com, teksti ja aihe on merkitty ja niissä mainitaan tarkistuksen tunniste (scanner/src/active.js). Riski on virheellisessä luokittelussa: jos skanneri pitäisi hakemus-, varaus- tai neuvontalomaketta yhteydenottolomakkeena, testiviesti päätyisi prosessiin, jolla on seurauksia. Tätä vastaan ovat ”lähetettävän” tiukat säännöt (scanner/src/classify.js), viranomaisten, oppilaitosten, klinikoiden, lääkärivastaanottojen, poliisin ja tuomioistuinten verkkotunnusten esto (scanner/src/classify.js) sekä kielimallin rajaaminen tämän päätöksen ulkopuolelle (scanner/src/classify.js). Vastauksesta tallennetaan tila, kohdeosoite, otsikko, 300 merkkiä tekstiä ja kuva; ne liittyvät testiviestiimme.

Tiedostotarkistus lukee enintään 8 kt tyypillisistä poluista. Jos tietokantavedos todella on siellä julkisesti saatavilla, nämä 8 kt voivat sisältää kävijöiden tekemiä lomakesyötteitä. Ne vain tarkistetaan tunnisteen osalta ja hylätään (cfg/dateien_lib.php); tallennetaan polku, tyyppi ja vakavuus.

Todennäköisyys – epätodennäköinen. Vakavuus – merkittävä. Taso – matala. Kehitysjärjestelmässä mitattuna aineistossa on yksi aktiivinen tarkistus, jossa ei ole hyväksyttyä lähetystä.

R10 – Kielimallin luokittelu

Lomakkeista, joita säännöt eivät tunnista, kielimalli saa sivun otsikon, osoitteen, painikkeiden tekstit, kenttien kuvaukset ja enintään 400 merkkiä lomakkeen tekstiä (scanner/src/classify.js). Tämä voi sisältää nimen, esimerkiksi ”Yhteyshenkilösi: …”. Se toimii omalla palvelimellamme; koodissa mitään ei lähetetä kolmannelle osapuolelle. Sitä, kirjaako mallin ohjelmisto pyyntöjä, ei ole todennettu. Sen tulos määrää vain näytettävän lomaketyypin eikä voi tehdä lomakkeesta lähetettävää; virheellinen luokittelu johtaa huonompaan havaintoon, ei toimenpiteeseen.

Todennäköisyys – epätodennäköinen. Vakavuus – rajallinen. Taso – matala.

R11 – Monien verkkosivustojen ilmoituksista koottu yhteinen estolista

Luettelossa oleva verkkotunnus saa aikaan sen, että siihen linkittävät viestit päätyvät karanteeniin kaikilla yhdistetyillä verkkosivustoilla. Jos verkkotunnus kuuluu yksityishenkilölle – käsityöläiselle, valokuvaajalle, blogille – hänen viestinsä, joissa on linkki hänen omalle verkkosivustolleen, tavoittavat vastaanottajat myöhässä. Tällainen verkkotunnus voi päätyä luetteloon, koska roskapostittajat käyttävät sitä väärin tai koska joku tahallaan lähettää sitä sisältäviä hylkääntyviä viestejä useille verkkosivustoille.

Tätä vastaan ovat (cfg/swarm_lib.php): vähintään kolme eri verkkosivustoa ja viisi osumaa seitsemän päivän aikana; kiinteät poikkeukset suurille palveluille; ei koskaan Asiakkaidemme verkkotunnuksia; manuaalinen poisto palvelimella olevalla työkalulla; karanteeni poistamisen sijaan; luettelo rakennetaan uudelleen päivittäin, ja mitä ei enää ilmoiteta, poistuu. Asianomaiset eivät näe luetteloa, eikä heillä ole omaa reittiä vaatia poistoa muuten kuin meidän kauttamme.

Todennäköisyys – mahdollinen. Vakavuus – rajallinen, koska mitään ei menetetä ja vastaanottaja voi vapauttaa viestin. Taso – matala tai keskitaso. Jos IP-verkot otettaisiin käyttöön, kokonaisten palveluntarjoajien verkot joutuisivat kohteeksi, IP-osoitteet ovat henkilötietoja ja vakavuus nousisi merkittäväksi: korkea.

R12 – Raportit ja kuvakaappaukset julkisen linkin takana

Ilmaisen tarkistuksen, prospektitarkistuksen ja Asiakkaiden verkkotunnusten tarkistusten raportteihin pääsee ilman kirjautumista satunnaisen linkin kautta. Linkki sisältää 128 bittiä satunnaisuutta, eikä sitä voi arvata (cfg/check_lib.php). Sivuilla on noindex-merkintä, sovellus lähettää viittauskäytännön (referrer policy), joka välittää vain alkuperän (www/.htaccess), ja kuvakaappaukset toimitetaan vain yhdessä sen raportin kanssa, johon ne kuuluvat; toinen kuvanumero palauttaa ”ei löydy” (www/shot.php). Riski ei ole kryptografinen vaan inhimillinen: linkki välitetään eteenpäin, kopioidaan tikettiin, jaetaan chatissa. Se, kuka linkin avaa, kirjautuu vain sivunäyttölokiin kuten mikä tahansa sivunäyttö (60 päivää), ja siinä itse linkki näkyy vain peitettynä; raporttikohtaista lukijaluetteloa ei ole.

Todennäköisyys – mahdollinen. Vakavuus – rajallinen, koska raportti näyttää vain julkista tietoa ja vanhenee 30 tai 90 päivän kuluttua; Asiakkaiden verkkotunnuksia koskevat raportit ovat saatavilla niin kauan kuin tarkistus on olemassa (13 kuukautta, viimeisin pidempään). Taso – matala.

R13 – Infrastruktuurin heikkoudet

Seuraavat kohdat on merkitty avoimiksi sisäisessä tarkastusaineistossamme, eikä niitä kaunistella tässä. Kuvaamme ne niin tarkasti kuin Asiakkaat tarvitsevat omaa arviointiaan varten, mutta emme niin tarkasti, että kuvaus näyttäisi hyökkääjälle tien; toimitamme yksityiskohdat valvontaviranomaiselle pyynnöstä.

• Tietokannan varmuuskopiot säilytetään tällä hetkellä samassa sijainnissa kuin tietokanta, eikä niitä ole erikseen salattu; salattu kopio toisessa sijainnissa on suunnitteilla (cfg/backup_lib.php). Siihen asti ne eivät suojaa sijainnin menettämiseltä, ja se, joka saa tietokannan, saa myös varmuuskopiot. Kirjautumisen takana tehtävän skannauksen tunnistetiedot sisältyvät niihin vain salatekstinä.
• Tietokantaa ei ole salattu levossa. Poikkeuksia ovat yksitellen salatut kentät (testitilien tunnistetiedot, kaksivaiheisen tunnistautumisen salaisuus).
• Sisäverkkomme yhteyksiä ei ole salattu kauttaaltaan.
• Palvelinten hallinta. Palvelintemme hallinnollisen pääsyn turvallisuus ei vielä vastaa tasoa, jota tavoittelemme tuotantokäytössä; palvelinten hallinnan koventaminen jatkuu.
• Tarkistusympäristö. Skannauspalvelin avaa kolmansien osapuolten verkkosivustoja selaimessa. Tarkistuskontit on eristetty – oma verkko, ei erityisoikeuksia, vain luku, rajoitettu (scanner/src/worker.js). Tarkistusympäristön ja palvelun muiden osien erottelua vahvistetaan edelleen (kohta 9.3).

Todennäköisyys – mahdollinen. Vakavuus – vakava, koska hätätilanteessa kaikki olisi kerralla vaarassa. Taso – korkea. Yksittäiset kohdat voidaan korjata tavanomaisin keinoin (kohta 9.3).

R14 – Rekisteröidyn oikeudet ihmisille, jotka eivät tunne meitä

Se, joka näkyy satunnaisesti kuvakaappauksessa tai jonka viesti kulki valvontakopion kautta, ei yleensä tiedä meistä. Vaikka tietäisikin, hänellä ei ole avainta ”omiin” tietoihinsa: emme tallenna niitä henkilön vaan verkkotunnuksen ja tarkistuksen mukaan. Voimme vastata Art. 15 mukaiseen pääsypyyntöön vain, jos henkilö ilmoittaa verkkotunnuksen; tällöin voimme käydä läpi olemassa olevat tarkistukset ja kuvat. Aidoista kävijäviesteistä ei ole mitään luovutettavaa, koska emme tallenna niitä – lukuun ottamatta R1:ssä mainittua lähettäjän verkkotunnusta. Opt-out toimii vain verkkotunnusten ylläpitäjille, ei kuvissa näkyville henkilöille; heille jää reitti osoitteen contact@lukaswojcik.com kautta.

Todennäköisyys – todennäköinen rakenteellisena tilanteena. Vakavuus – rajallinen, koska tiedot ovat lyhytikäisiä eikä niitä ole järjestetty henkilöittäin. Taso – matala.

9. (d) Toimenpiteet riskien käsittelemiseksi

Jokaisella toimenpiteellä on tila, eivätkä tilat ole koristeita. Toteutettu tänään – todennettu tarkoittaa: luettu kehitysjärjestelmän koodista ja mahdollisuuksien mukaan mitattu tietokantaa vasten. Osittainen tarkoittaa: mekanismi on olemassa, mutta se ei vielä täysin saavuta tarkoitustaan. Suunniteltu tarkoittaa: tämän arvioinnin ehdottama eikä rakennettu; siitä, toteutetaanko se ja milloin, päättää omistaja. Vielä määritettävä ovat menettelyt ja päätökset, joita mikään koodi ei korvaa. Vaikutustenarviointi, joka esittää suunnitellut toimenpiteet toteutettuina, menettää arvonsa juuri siinä tilanteessa, jossa sitä tarvitaan.

9.1 Toteutettu tänään – todennettu

Toimenpide	Kohdistuu	Lähdeviite
Indeksointirobotti lukee robots.txt-tiedoston ennen jokaista tarkistusta; etusivun kattava poissulku, tavoittamaton robots.txt tai palvelinvirhe lopettaa tarkistuksen (alipolkuja ei huomioida yksitellen; pulssi, todisteen haku, otsaketyökalu ja tiedostohaku eivät lue sitä)	R5, lainmukaisuus	scanner/src/net.js
Opt-out ilman todistetta, voimassa välittömästi, verkkotunnukselle ja sen www-muodolle, anonyymeille tarkistuksille, prospekteille, tutkimuksille ja Asiakkaiden tarkistuksille (käynnissä oleva valvonta päättyy seuraavan ajoitetun tarkistuksen yhteydessä); tarkistetaan kahdesti (sovellus ja tarkistuspalvelu); vain me voimme poistaa sen pyynnöstä todisteen perusteella	R5, R7, Art. 21	cfg/check_lib.php; cfg/akquise_lib.php; cfg/studie_lib.php; scanner/src/worker.js
Ilmainen tarkistus: hätäpysäytys, reCAPTCHA, yksi tarkistus verkkotunnusta ja viikkoa kohden, rajat IP-osoitetta ja istuntoa kohden, päivittäinen enimmäismäärä, ei uusia verkkotunnuksia, vain julkiset osoitteet, merkintä ja sisällötön signaali poikkeamien yhteydessä	R5	cfg/check_lib.php
Rajoja varten istunto tallennetaan vain tiivistearvona, ei koskaan istuntotunnisteena	Minimointi	cfg/check_lib.php
Ei kenttien arvoja (piilokenttien ja data-attribuuttien alut vain luetaan tarkistuksen aikana, kohta 6.2); vastaanottajaosoitteet vain verkkotunnuksena; skriptiosoitteiden tilitunnisteet piilotettu	Minimointi	scanner/src/crawl.js
Ilmainen raportti on ote: vain perushavainnot, ei kaikkien tunnistimien todisteita	R5	cfg/check_lib.php, FE_FREE_DETEKTOREN
Raportit 128-bittisen satunnaisen linkin takana, noindex, kuvat vain omaan raporttiinsa, julkisen verkkohakemiston ulkopuolella; linkki näkyy sivunäyttölokissa vain peitettynä	R12	cfg/check_lib.php; www/report.php; www/shot.php
Poisto: anonyymit raportit 30 päivän kuluttua, prospektit 90 päivän kuluttua, Asiakkaiden tarkistukset 13 kuukauden kuluttua (viimeisin verkkotunnusta kohden säilytetään niin kauan kuin verkkotunnus on olemassa), poistetun verkkotunnuksen tiedot välittömästi (poikkeukset ks. kohta 6.11), kuvat kussakin tapauksessa mukana	Säilytyksen rajoittaminen	cfg/check_lib.php; cfg/fristen_lib.php
Tutkimus: julkaisu vain kokonaismääränä, segmentit vain vähintään 20 lomakkeellisesta verkkosivustosta, raakatiedot poistetaan julkaistaessa	R4 osittain, P3	cfg/studie_lib.php
Tarkistuskontit: oma eristetty verkko, ei erityisoikeuksia, vain luku, muisti- ja prosessirajat, aikaraja; suodatin yksityisiä kohteita vastaan jokaisessa pyynnössä, service workerit estetty ja WebSocket-yhteydet suljettu, jotta mikään ei ohita suodatinta; verkkopalvelimen pyynnöt vain verkkoportteihin ja vain täsmälleen etukäteen tarkistettuun julkiseen osoitteeseen	R13	scanner/src/worker.js; scanner/src/net.js
Aktiivinen tarkistus Asiakkaille vain todennetulle verkkotunnukselle (sisäisesti myös omille testi- ja esittelyverkkotunnuksillemme) ja hätäpysäytyksen ollessa päällä, tarkistettuna kahdesti; enintään viisi lähetystä; vain selvästi tunnistetut yhteydenottolomakkeet ilman pakollisia henkilötietoja; ei viranomaisten, oppilaitosten, klinikoiden, lääkärivastaanottojen, poliisin tai tuomioistuinten verkkotunnuksia; kielimalli ei saa vapauttaa mitään; testiviesti ilman henkilötietoja, merkitty, viittaus robottisivuun ja opt-outiin	R9	scanner/src/worker.js; scanner/src/classify.js; scanner/src/active.js
Selainpolut: vain GET ja HEAD, vaaralliset osoitteet estetty, keksityt arvot eivät poistu selaimesta, kuvat mustalla peitetyin syöttökentin	R3 (näiden kuvien osalta), R9	scanner/src/browser.js
Tiedostotarkistus: vain todennetut verkkotunnukset, yksi haku polkua kohden, enintään 8 kt, sisältöä ei koskaan tallenneta	R9	cfg/dateien_lib.php
Toinen mittausasema: oletuksena pois päältä; saisi vain kiinteän luettelon harmittomia tietoja, allekirjoitettuna	Vastaanottajat	cfg/formular_probe_lib.php
Kirjautumisen takana tehtävä skannaus: vain todennettu verkkotunnus, maksullinen paketti, omistaja tai ylläpitäjä, ”testitili”-vahvistus; salaus skannauspalvelimen julkisella avaimella, sidottuna verkkotunnukseen; tunnistetietoja ei koskaan näytetä, kirjata tai anneta API:n kautta; luovutus vain vakiosyötteen kautta; työn kenttä tyhjennetään välittömästi, jäänteet tunnin kuluttua; ei kuvakaappauksia, ei lähetyksiä, ei uloskirjautumis- tai poisto-osoitteita, keskeytys CAPTCHAn kohdalla; lopullinen poisto ylikirjoittamalla	R8	cfg/login_lib.php; scanner/src/login.js; scanner/src/geheim.js; scanner/src/worker.js
Toimitustarkistus: oletuksena pois päältä; nouto lukee vain otsakkeet ja 8 kt merkitsemättä luetuksi; sisältö ja kävijän osoite eivät koskaan tietokannassa; jokainen noudettu sähköposti poistetaan, myös kohdistamattomat; kohdistukset poistetaan 180 päivän kuluttua; todiste vain juuri tämän testin kopion kautta	R1, R2	cfg/zustellung_lib.php
Parvisuojaus: vain verkkotunnukset, IP-verkot pois päältä; vähimmäismäärät; poikkeukset suurille palveluille ja Asiakkaiden verkkotunnuksille; karanteeni poistamisen sijaan; luettelo rakennetaan uudelleen päivittäin; ilmoitukset poistetaan 30 päivän kuluttua	R11	cfg/swarm_lib.php
Kielimalli omalla palvelimellamme ilman oikeutta lähettää	R10	scanner/src/classify.js
Telegramin kautta lähetettävät signaalit sisältävät vain kiinteän lauseen ilman muuttujia	Vastaanottajat	cfg/check_lib.php
Varmuuskopion viikoittainen palautustesti ja hälytys epäonnistumisesta	Käytettävyys	cfg/backup_lib.php; srv/cron_status.php

9.2 Osittainen – käytössä, mutta ei vielä saavuta tarkoitustaan

Toimenpide	Miksi se ei vielä ole täysin tehokas
”Puhdistetut” kuvakaappaukset	Vain selainpolkujen kuvat peitetään. Indeksointirobotin kuvia – etusivua ja lomake-elementtejä – eikä aktiivisen tarkistuksen vastaussivun kuvaa peitetä (R3).
Tarkistustietojen säilytysajat	Toimivat anonyymeissä, prospekti- ja Asiakkaiden tarkistuksissa; eivät sisäisissä tarkistuksissa eivätkä julkaisemattomissa tutkimuksissa; selvittämättömät poikkeamamerkinnät ilman aikarajaa (R4).
Valvontakopioiden poisto	Toimii omassa näkymässämme postilaatikkoon. Jos ajo keskeytyy, sähköpostit säilyvät; sitä, mitä postilaatikkopalvelun tarjoaja säilyttää omissa varmuuskopioissaan, ei ole todennettu (R2).
Tunnistetietojen suojaus kirjautumisen takana tehtävässä skannauksessa	Vahva levossa ja tarkistuspalvelussa; ei matkalla verkkosivustolle: http on sallittu, varmennevirheet ohitetaan (R8).
Hallinnan todiste	Tarkistetaan kerran ja on sen jälkeen voimassa ikuisesti; verkkotunnuksen, jonka hallinta on todennettu, isäntänimeä ei kuitenkaan voi muuttaa, jotta todiste ei siirry toiselle isännälle (R7).
Rekisteröityjen informointi	Toteutettu ylläpitäjille robottisivun, tunnisteen, tietosuojaselosteen ja opt-outin kautta; toimitustarkistuksen kävijöille riippuu siitä, ottaako Asiakas tekstilohkon käyttöön; sovellus ei tarkista tätä.
Pyyntö Asiakkaille olla viemättä erityisiä henkilötietoryhmiä valvontakopioon	Mainittu oikeudellisissa asiakirjoissa, mutta ei teknisesti tuettu: käyttöönoton yhteydessä sovellus ei kysy verkkosivuston tyyppiä eikä varoita verkkotunnuksista, jotka vaikuttavat terveys-, oikeus- tai koulutusalan verkkotunnuksilta (R1).

9.3 Suunniteltu – ei toteutettu

Toimenpide	Kohdistuu	Tärkeysjärjestys
Poistoreitti sisäisille tarkistuksille: poistetaan tarkistukset ilman verkkotunnusta ja ilman raporttia kiinteän ajan jälkeen (ehdotus: 30 päivää); poistetaan tutkimuksen raakatiedot viimeistään kiinteän ajan kuluttua sen valmistumisesta, myös ilman julkaisua (ehdotus: 90 päivää); poistetaan kerran olemassa olevat 85 tarkistusta ja 369 kuvaa	R4	Ensin
Toimitustarkistus otetaan käyttöön vasta, kun sopimus postilaatikkopalvelun tarjoajan kanssa on tehty, tallennuspaikat, alikäsittelijät ja varmuuskopioiden säilytysajat on dokumentoitu, postilaatikkopalvelun tarjoajan siirtomekanismi on selvitetty ja verkkotunnuksemme MX-tietueet osoittavat suoraan postilaatikkoon; siihen asti toiminto pidetään estettynä tuotantojärjestelmässä	R2	Ensin
Postilaatikon noudon turvallisuus tarkistetaan tuotantojärjestelmässä ja dokumentoidaan ennen toimitustarkistuksen käyttöönottoa	R2	Ensin
Kirjautumisen takana tehtävä skannaus vain https:n kautta ja kelvollisella varmenteella; http-osoitteet hylätään; varmennevirheet kirjautumisessa keskeytyksen syynä	R8	Ensin
Piilokenttien arvoja kirjautumisen takana ei tallenneta (vain nimi, tyyppi ja pituus) – toteutettu jo näin, ei lisätoimia	R8	Valmis
Valvontakopio rajataan testiviesteihin, kun lisäosa tai laajennus on käytössä: piilokopio vain testitunnisteemme sisältäville lähetyksille	R1	Korkea
Aitojen viestien lähettäjän verkkotunnusta ei tallenneta eikä kirjoiteta hälytyksiin, jos se ei ole verkkosivuston eikä tunnetun lähetyspalvelun verkkotunnus; hälytyksessä sen sijaan ”vieras lähettäjän verkkotunnus”	R1	Korkea
Varoitus toimitustarkistusta käyttöön otettaessa verkkotunnuksille, jotka vaikuttavat terveys-, oikeus-, sosiaali- tai koulutusalan verkkotunnuksilta, viittauksella Asiakkaan omaan vaikutustenarviointiin	R1	Korkea
Hallinnan todiste uusitaan säännöllisesti (ehdotus: ennen jokaista aktiivista tarkistusta todennetaan, onko DNS-tietue, meta-tagi, tiedosto tai lisäosayhteys yhä olemassa; muussa tapauksessa jatketaan passiivisesti ja ilmoitetaan Asiakkaalle)	R7	Korkea
Etusivun kuvaamisesta luovutaan tai se tehdään vain kuvat ja kasvot peitettyinä; lomakekuvat rajataan lomake-elementtiin (kuten nykyään) ja syöttökentät peitetään kuten selainpoluissa	R3	Korkea
Huomautus prospektitarkistuksen käyttöliittymään: lyhyen havainnon lähettäminen pyytämättä sähköpostitse tai puhelimitse on suoramarkkinointia myös yritysten välillä ja edellyttää ennakkosuostumusta (Puolan sähköisen viestinnän lain Art. 398; Saksassa § 7(2) UWG, tosin yrityksille soitettaessa oletettu suostumus riittää)	R6	Korkea
Infrastruktuuri: palvelinten hallinnan koventaminen loppuun; varmuuskopion salattu kopio toisessa sijainnissa; sisäverkon yhteyksien salaaminen kauttaaltaan; skannauspalvelimen ja sovelluksen välisen erottelun vahvistaminen edelleen	R13	Korkea
Säilytysaika selvittämättömille poikkeamamerkinnöille (ehdotus: selvitys 30 päivän kuluessa, muuten IP-osoitteen poisto)	R4	Keskitaso
Sivu tai lomake, jonka kautta voi pyytää verkkotunnuksen poistamista parvisuojauksesta	R11, R14	Keskitaso
Ennen IP-verkkojen käyttöönottoa parvisuojauksessa: tämän arvioinnin uusi versio	R11	Ehto
Kirjataan, tallentaako kielimallin ohjelmisto pyyntöjä, ja jos tallentaa, nämä lokit kytketään pois päältä	R10	Matala

9.4 Vielä määritettävät menettelyt ja päätökset

Teknisten suojatoimien lisäksi Art. 35(7)(d) edellyttää myös menettelyjä. Nämä ovat vielä kesken:

• Henkilötietojen tietoturvaloukkaus. Havaitseminen: omistaja, sovelluksen virhehälytys, ilmoitukset haavoittuvuuksien ilmoituskanavan tai osoitteen contact@lukaswojcik.com kautta. Päätös ilmoittamisesta UODO:lle 72 tunnin kuluessa (Art. 33(1)): omistaja. Asianomaisten Asiakkaiden informointi rekisterinpitäjinä: ilman aiheetonta viivytystä, mahdollisuuksien mukaan 48 tunnin kuluessa, kuten tietojenkäsittelysopimuksessa luvataan. Vielä määritettävä: kirjallinen menettelykuvaus ja ensimmäinen harjoitus; toimitustarkistuksen osalta lisäksi se, miten selvitetään, mitä Asiakkaita postilaatikkopalvelun tarjoajalla tapahtunut tietoturvaloukkaus koskee.
• Toimialat. Vielä määritettävä: tarjotaanko toimitustarkistusta terveys-, oikeus-, sosiaali- ja koulutusalan verkkosivustoille, tarjotaanko se varoituksen kanssa vai suljetaanko se pois.
• Sisäiset tarkistukset. Vielä määritettävä: mihin palveluntarjoaja käyttää sisäisiä komentorivitarkistuksia, kuka saa luoda niitä ja kuinka kauan niiden tulokset säilyvät; sekä onko ne selosteen käsittelytoimista lisäksi mainittava tietosuojaselosteessa.
• Tutkimukset. Vielä määritettävä: kuka kokoaa luettelot, mistä lähteistä, mikä on niiden enimmäiskoko, sekä ennen jokaista tutkimusta tehtävä tarkistus siitä, noudattaako se tämän arvioinnin oletuksia.
• Rekisteröityjen näkemykset (Art. 35(9)). Niitä ei ole pyydetty tätä versiota varten. Art. 35(9) edellyttää niiden pyytämistä vain ”tarvittaessa”; arviomme mukaan näin ei tällä hetkellä ole tässä tapauksessa. Tarkistettujen verkkosivustojen ylläpitäjillä ja Asiakkaiden verkkosivustojen kävijöillä ei ole omaa kanavaa meihin; heidän erillinen tavoittamisensa olisi itsessään uutta heidän tietojensa käsittelyä, eikä palvelua ole vielä julkaistu, joten todellisten rekisteröityjen ryhmää ei vielä ole. Heidän etunsa otetaan huomioon välillisesti: robots.txt:n ja opt-outin, lyhyiden säilytysaikojen sekä sen kautta, ettei valvontakopioiden sisältöä tallenneta. Jokaisessa kohdan 12 mukaisessa uudelleentarkastelussa harkitsemme uudelleen, onko heidän näkemystensä pyytäminen aiheellista, esimerkiksi robottisivun palautteen tai toimitustarkistusta käyttävien Asiakkaiden kautta.

10. Jäännösriski ja Art. 36 mukainen ennakkokuuleminen

Art. 36(1) edellyttää valvontaviranomaisen ennakkokuulemista, jos vaikutustenarvioinnista ilmenee, että käsittely aiheuttaisi korkean riskin, jos rekisterinpitäjä ei ole toteuttanut toimenpiteitä riskin pienentämiseksi. Kysymys ei siis ole siitä, tunnistettiinko korkeita riskejä – niitä tunnistettiin neljä – vaan siitä, jääkö korkea riski jäljelle, kun toimenpiteet on toteutettu.

Niiden käsittelytoimien osalta, joissa formexposed on rekisterinpitäjä (P1–P4, P7), korkeat riskit R4 ja R13 voidaan korjata tavanomaisin keinoin: poistoreitillä ja olemassa olevien tietojen siivoamisella, salatulla muualle sijoitetulla varmuuskopiolla sekä kahden palvelimen koventamisella. Kohdan 9.3 toimenpiteillä ne laskevat matalalle tai keskitasolle. R3, R5, R6 ja R7 ovat keskitasolla ja laskevat ehdotetuilla toimenpiteillä matalalle. Parvisuojaus ilman IP-verkkoja pysyy matalalla tai keskitasolla. Ennakkokuuleminen ei ole aiheellinen tämän osan osalta, jos ”ensin”- ja ”korkea”-merkityt toimenpiteet toteutetaan ennen julkaisua. Jos jotakin näistä toimenpiteistä ei ole toteutettu ennen julkaisua, kyseiselle käsittelytoimelle jää korkea riski. Kyseinen käsittelytoimi aloitetaan tällöin vasta, kun toimenpide on toteutettu, tai UODO:ta kuullaan ensin Art. 36(1) mukaisesti.

Toimitustarkistuksen (P6) osalta tilanne on toinen syystä, jota mikään toimenpide ei täysin poista: se, mitä kävijä kirjoittaa, on hänen päätettävissään. Tehdyn sopimuksen, suojatun noudon, mahdollisuuksien mukaan testiviesteihin rajaamisen ja lähettäjän verkkotunnuksesta luopumisen myötä R2 laskee matalalle ja R1 keskitasolle. Asiakkaiden osalta, joiden kävijät tyypillisesti antavat Art. 9 tarkoitettuja tietoja, R1 voi kuitenkin pysyä korkeana. Kuulemisvelvollisuus on tällöin Asiakkaalla rekisterinpitäjänä, ei palvelulla formexposed. Suosituksemme tällaisille Asiakkaille on, ettei valvontakopiota määritetä yleiseen yhteydenottolomakkeeseen vaan vain lomakkeisiin, joissa ei ole arkaluonteista sisältöä, tai että toimitustarkistuksesta luovutaan.

Jäännösriski rehellisesti todettuna. Tänään, kohdan 9.1 toimenpiteiden kanssa, neljä riskiä on korkealla tasolla: R1 ja R2 (toimitustarkistus), R4 (tarkistustiedot ilman poistoreittiä) ja R13 (infrastruktuuri). Kohdan 9.3 toimenpiteillä R2, R4 ja R13 laskevat matalalle tai keskitasolle. R1 pysyy keskitasolla ja riippuu pysyvästi Asiakkaiden tekemistä päätöksistä. Mikään muista riskeistä ei ole toimenpiteiden jälkeen keskitasoa korkeammalla.

Art. 36 ei ole rangaistus, eikä kuuleminen ole myönnytys. Se on reitti, jonka asetus tarjoaa tilanteeseen, jossa hyödylliseen menettelyyn liittyy riski, jota rekisterinpitäjä ei täysin hallitse. Asiakas, joka haluaa käyttää toimitustarkistusta terveystietoja sisältäviin viesteihin, löytää tästä tosiasiat tätä päätöstä varten.

11. Mitä Asiakkaat tarvitsevat omaa vaikutustenarviointiaan varten (Art. 28(3)(f))

Toimitustarkistuksen ja kirjautumisen takana tehtävän skannauksen osalta Asiakas on rekisterinpitäjä. Tämä sivu antaa sille kuvauksen (kohdat 6.5 ja 6.6), riskit meidän näkökulmastamme (R1, R2, R8) ja toimenpiteiden tilan (kohta 9). Vain Asiakas voi vastata seuraaviin kysymyksiin:

1. Mitä kävijäni kirjoittavat? Onko odotettavissa, että lomakkeen kautta tulee tietoja terveydestä, uskonnosta, alkuperästä, ammattiliiton jäsenyydestä, seksuaalisesta suuntautumisesta, rikoksista tai lapsista? Tällöin valvontakopiota varten tarvitaan yleensä vaikutustenarviointi, ja valvontakopiota tämän lomakkeen osalta on syytä harkita uudelleen.
2. Tarvitsenko valvontakopion kaikista viesteistä? Sen osoittamiseksi, että testiviestimme saapuu perille, riittää kopio kyseisestä viestistä. Jos lomake sen sallii, aseta piilokopio vain testiviesteille.
3. Miten informoin kävijöitäni? Tietojenkäsittelysopimus edellyttää sitä; tietosuojaselosteen teksti verkkosivustollesi kuvaa kopion reitin ja roolimme.
4. Mikä on oikeusperusteeni? Ehdottamassamme tekstissä mainitaan Art. 6(1)(f) (yhteydenottojen luotettava vastaanottaminen). Art. 9 tarkoitettujen tietojen osalta tämä peruste ei yksinään riitä.
5. Mitkä hälytyskanavat valitsen? Aitoustarkistuksen hälytyksissä voidaan mainita lähettäjän verkkotunnus. Se, joka lähettää hälytyksiä EU:n ulkopuolisiin chat-palveluihin, siirtää sen sinne.
6. Kirjautumisen takana tehtävä skannaus: Onko testitili todella testitili, jolla on vähimmät tarvittavat oikeudet? Onko kirjautumissivu tavoitettavissa vain https:n kautta? Näkeekö testitili muiden käyttäjien tietoja? Jos näkee: millä määritetyistä sivuista?
7. Milloin poistan? Toimitustarkistuksen ja testitilin voi kytkeä pois päältä ja poistaa milloin tahansa; testitili ylikirjoitetaan tällöin pysyvästi.

Muita asiakirjoja Asiakkaan arviointia varten: tietojenkäsittelysopimus, tekniset ja organisatoriset toimenpiteet, alikäsittelijöiden luettelo ja seloste käsittelytoimista. Vastaamme yksittäisiä tosiasioita koskeviin kysymyksiin osoitteessa contact@lukaswojcik.com.

12. Uudelleentarkastelu, versio ja hyväksyntä

Art. 35(11) edellyttää uudelleentarkastelua sen arvioimiseksi, suoritetaanko käsittely vaikutustenarvioinnin mukaisesti, ainakin silloin, kun riski muuttuu. Tarkastelemme tätä arviointia uudelleen vähintään kerran vuodessa ja lisäksi ennen jokaista seuraavista tapahtumista; kukin niistä käynnistää uuden mittauksen, ei pelkkää lukemista:

• tuotantokäytön aloittaminen, jolloin luvut otetaan tuotantojärjestelmästä kehitysjärjestelmän sijaan;
• toimitustarkistuksen ensimmäinen käyttöönotto tuotantojärjestelmässä ja sopimuksen tekeminen postilaatikkopalvelun tarjoajan kanssa;
• IP-verkkojen käyttöönotto parvisuojauksessa;
• ensimmäinen tutkimus ja jokainen edellistä suuremmalla luettelolla tehtävä tutkimus;
• toisen mittausaseman tai tarkistuspolun uuden vastaanottajan käyttöönotto;
• kaikki kielimallin uudet käyttötavat, jotka menevät lomakkeiden luokittelua ja ”Fix it for me” -toimintoa pidemmälle;
• kaikki muutokset kuvakaappauksiin, säilytysaikoihin tai aktiivisten tarkistusten edellytyksiin.

Kohta	Merkintä
Rekisterinpitäjä	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Puola · NIP 7252266190 · contact@lukaswojcik.com
Toimivaltainen valvontaviranomainen	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Puola
Tietosuojavastaava	Ei nimetty; Art. 37 mukainen arvio kohdassa 4
Tosiasioiden perusta	Sovelluksen ja tarkistuspalvelun lähdekoodi, tietokantaskeema, kehitysjärjestelmän rivimäärät ja asetukset, mitattu 11. lokakuuta 2026, vain lukutilassa
Liittyvät asiakirjat	Tietosuojaseloste, Tietojenkäsittelysopimus, Tekniset ja organisatoriset toimenpiteet, Alikäsittelijät, Seloste käsittelytoimista, EU:n tekoälysäädös, Hyväksyttävä käyttö ja väärinkäyttö, FormExposedBot, Opt-out
Versio	1.0, 11. lokakuuta 2026, ensimmäinen versio
Art. 35(11) mukaiset uudelleentarkastelut	Ei vielä yhtään (ensimmäinen versio). Jokainen uudelleentarkastelu kirjataan tähän päivämäärineen, syineen ja tuloksineen.
Hyväksyntä	Ei vielä hyväksytty. Omistaja hyväksyy oikeudellisen tarkastelun jälkeen ja sen jälkeen, kun kohdan 9.3 toimenpiteistä ja kohdan 9.4 kysymyksistä on päätetty. Ulkopuolista tietosuojaneuvontaa ei ole toistaiseksi pyydetty.

Yksi loppuhuomio kuuluu asiakirjaan eikä saatekirjeeseen. Palvelun formexposed osat, jotka ulottuvat pisimmälle muiden alueelle – testilähetykset ja kirjautuminen jonkun toisen tunnistetiedoilla – on rakennettu suurimmalla varovaisuudella: kaksi porttia, tiukat enimmäismäärät, salaus, joka lukitsee ulos meidätkin. Tämän arvioinnin riskit ovat enimmäkseen muualla: siinä, mikä tulee mukana sivutuotteena – aidot viestit piilokopiossa, ihmiset kuvakaappauksessa, tarkistukset, joita kukaan ei enää poista. Se on suotuisa lähtökohta, koska sivutuotteet voidaan pysäyttää palvelua muuttamatta.