הערכת השפעה על הגנת מידע (סעיף 35 ל-GDPR)

מסמך זה מפורסם בכמה שפות. בכל מקרה של הבדל בין הגרסאות הלשוניות, הגרסה הפולנית היא המחייבת.

גרסה 1.1 · עודכן לאחרונה: 23 באוקטובר 2026

1. במה מדובר ומהו דף זה

דף זה הוא הערכת ההשפעה על הגנת מידע (DPIA) של formexposed לפי סעיף 35 ל-GDPR. תחילה הוא משיב לשאלה המקדימה אם בכלל נדרשת הערכת השפעה על הגנת מידע – עבור כל פעולת עיבוד בנפרד, ולא עבור השירות בכללותו. כאשר התשובה חיובית, הוא מבצע את ההערכה לפי סעיף 35(7)(a) עד (d): תיאור שיטתי, נחיצות ומידתיות, הסיכונים לנושאי המידע והאמצעים לטיפול בהם. לאחר מכן נידונים הסיכון השיורי, שאלת ההתייעצות המוקדמת לפי סעיף 36 וכללי הבחינה.

סעיף 35 אינו מחייב לפרסם הערכת השפעה על הגנת מידע. אנו מפרסמים אותה משתי סיבות. ראשית, לקוחות המשתמשים בבדיקת המסירה או בסריקה מאחורי כניסה לחשבון זקוקים לצורך ההערכה שלהם עצמם לעובדות שרק אנחנו יודעים; ממילא אנו חייבים לספק להם עובדות אלה כמעבד מידע (סעיף 28(3)(f) ל-GDPR). שנית, הסורק שלנו בודק אתרים שמפעיליהם אינם מכירים אותנו. ראוי שתהיה להם אפשרות לקרוא אילו סיכונים אנו מזהים עבורם ועבור האנשים בדפים שלהם, ומה אנו עושים בנדון.

אופי משפטי. הערכת השפעה זו היא תיעוד של בעל השליטה במידע לפי סעיף 35 ל-GDPR, שאנו מפרסמים מרצון. היא אינה מהווה חלק מחוזה כלשהו ואינה מהווה מצג, ערבות או הסכמה על איכות כלפי לקוחות או צדדים שלישיים. השירותים ואמצעי ההגנה שאנו חייבים לספק ללקוחות מוסדרים בתנאי השירות, בהסכם לעיבוד מידע ובנספחיו; ביחס לחובות אלה הם גוברים על דף זה. הדף מתאר את המצב נכון לתאריך גרסה זו. דירוגי סיכון והערכות הם עמדתנו שלנו ואינם מקדימים הערכה משפטית כלשהי של רשות פיקוח או בית משפט; אמצעים המתוארים כ“מתוכננים” הם כוונות ללא מועד מחייב. עבור לקוחות, הדף הוא בסיס להערכה שלהם עצמם ולא ייעוץ משפטי.

זו הגרסה הראשונה של הערכת הסף. היא בוחנת, פעולת עיבוד אחר פעולת עיבוד, אם נדרשת הערכת השפעה על הגנת מידע, ומתעדת את התוצאה בסעיף 3.5.

כל אמירה עובדתית כפופה לאותו עיקרון כמו במסמכים המשפטיים האחרים שלנו: מה שנמדד, ולא מה שמתוכנן. מה שמבוסס בראיות בקוד או במסד הנתונים מצוין כאן עם הפניה למקור. מה שלא ניתן היה לבסס בראיות מסומן כ“לא אומת”. מה שרק מתוכנן נקרא “מתוכנן”. אנו מציינים נושאים פתוחים בגלוי, יחד עם האמצעי המתוכנן; הערכת השפעה המונה רק נקודות חוזק אינה מסייעת לאנשים שהיא נוגעת להם.

מונחים: מפעיל הוא מי שמפעיל אתר שנבדק. ללקוח יש חשבון ב-formexposed. מבקר הוא מי שמשתמש באתר לקוח, למשל בטופס יצירת הקשר שלו. הפניה למקור היא קובץ, פונקציה או הגדרה בקוד המקור, שנמדדו מול מצב מערכת הפיתוח ביום 11 באוקטובר 2026.

אנו מציבים במכוון גבול אחד לשקיפות: נושאים פתוחים באבטחת השרתים שלנו עצמנו מתוארים רק במונחים כלליים (R13). אנו מציינים את הסיכון ואת רמתו, אך לא את הדרך לחולשה מסוימת; נספק את הפרטים לרשות פיקוח לפי בקשה.

2. תפקידים: מי נושא בחובה, וביחס למה

סעיף 35 מטיל את החובה על בעל השליטה במידע. formexposed הוא בעל השליטה במידע בחלק מפעולות העיבוד, מעבד מידע עבור לקוחותיו בפעולות אחרות, ואף אחד משני אלה ביחס למידע שתוסף WordPress והרחבת TYPO3 שלנו שומרים באתר לקוח. התשובה לכמעט כל שאלה במסמך זה תלויה בתפקיד שעליו נשאלת השאלה. החלוקה פועלת לפי מדיניות הפרטיות וההסכם לעיבוד מידע.

פעולת עיבוד	התפקיד של formexposed	מי נושא בחובה לפי סעיף 35
בדיקת אתרים של צדדים שלישיים ללא הוראות ממפעיליהם: בדיקה חינמית, בדיקת לקוחות פוטנציאליים לסוכנויות, מחקר	בעל שליטה במידע	formexposed
בדיקת דומיינים בחשבון הלקוח: ניטור, שליחות בדיקה פעילות, תהליכי שימוש בדפדפן, קבצים חשופים, דופק הטופס	בעל שליטה במידע ביחס לחשבון הלקוח ולנתוני הבדיקה; מעבד מידע ביחס למידע אישי של צדדים שלישיים הגלוי באתר המאומת של הלקוח; כל עוד דומיין אינו מאומת, בעל שליטה במידע כמו בבדיקה החינמית	formexposed עבור החלק שלו עצמו; הלקוח עבור מידע של צדדים שלישיים באתרו
סריקה מאחורי כניסה לחשבון באמצעות חשבון בדיקה	מעבד מידע: פרטי הכניסה והתוכן שמאחורי הכניסה שייכים לאתר הלקוח	הלקוח; formexposed מסייע
בדיקת מסירה עם עותק בקרה	מעבד מידע	הלקוח; formexposed מסייע
הגנה משותפת: רשימה משותפת של דומייני קישורים מתוך ספאם שנחסם	בעל שליטה במידע: אנו משלבים דיווחים מאתרים רבים, מכינים את הרשימה ומפיצים אותה	formexposed
חשבונות לקוחות, כניסה לחשבון, יומנים, תמיכה, משלוח דוא״ל, תשלומים, רישומי הוכחה	בעל שליטה במידע	formexposed
פורטל לקוחות ודוח חודשי למנויי סוכנות	מעבד מידע	הסוכנות
מידע שהתוסף וההרחבה שומרים באתר הלקוח (הסגר, רשת ביטחון, פניות שמורות)	אף אחד מהם: המידע לעולם אינו יוצא מהאתר	מפעיל האתר

מכאן נובעת הבחנה שאנו מציינים במפורש, משום שלעיתים קרובות טועים בה בשני הכיוונים. כאשר formexposed הוא בעל השליטה במידע, אנו מבצעים את ההערכה בעצמנו ונושאים בתוצאתה. כאשר אנו מעבד מידע, איננו יכולים לבצע במקומו של הלקוח את ההערכה שלו, להכריע עבורו בשאלת הנחיצות או להתייעץ עם רשות הפיקוח לפי סעיף 36 מטעמו. מה שאנו יכולים וחייבים לעשות שם הוא לספק לו את כל הדרוש: את התיאור לפי נקודה (a), את העובדות שנמדדו על הסיכונים לפי נקודה (c), ורשימת מצב כנה של האמצעים לפי נקודה (d). עבור בדיקת המסירה והסריקה מאחורי כניסה לחשבון, דף זה הוא בדיוק זאת.

לקוח המאמץ ללא שינוי את הסעיפים על בדיקת המסירה כהערכת ההשפעה שלו עצמו לא ביצע הערכה כזו. רק הוא יכול להחליט אם עותק הבקרה מוצדק עבור הטפסים שלו, אם צפויות שם קטגוריות מיוחדות של מידע אישי וכיצד הוא מיידע את המבקרים שלו. סעיף 11 מסכם מה יש לברר לשם כך.

3. הערכת סף: האם נדרשת הערכת השפעה על הגנת מידע?

3.1 סעיף 35(1) וסעיף 35(3)

סעיף 35(1) מחייב הערכת השפעה על הגנת מידע כאשר סוג של עיבוד, בפרט באמצעות טכנולוגיות חדשות ובהתחשב באופי העיבוד, בהיקפו, בהקשרו ובמטרותיו, צפוי להביא לסיכון גבוה לזכויות ולחירויות של אנשים טבעיים. סעיף 35(3) מציין שלושה מקרים שבהם הדבר מתקיים בפרט. אף אחד מהשלושה אינו מתאים ל-formexposed, וראוי לנמק זאת במקום להסתפק בקביעה:

נקודה (a) – הערכה שיטתית ונרחבת של היבטים אישיים הנוגעים לאנשים טבעיים, המבוססת על עיבוד אוטומטי ושעליה מבוססות החלטות היוצרות השפעות משפטיות או משפיעות עליהם באופן משמעותי דומה. אנו מעריכים טפסים ואתרים, ולא היבטים אישיים של אנשים. השירות אינו מקבל החלטה בעלת השפעה משפטית על אדם כלשהו. הדבר הקרוב ביותר לכך הוא הגנה משותפת: הודעות המכילות קישור לדומיין המופיע ברשימה מגיעות להסגר באתרים המחוברים. זו השלכה אוטומטית על ההודעה, ולא הערכה נרחבת של אדם; אנו מטפלים בה במסגרת הקריטריון “הערכה או ניקוד” בסעיף 3.3.
נקודה (b) – עיבוד בהיקף גדול של קטגוריות מיוחדות לפי סעיף 9 או של מידע הנוגע לעבירות פליליות לפי סעיף 10. אינו מתוכנן ואינו מובנה בשירות. עם זאת, מידע כזה יכול להגיע אלינו בדרך אחת: בעותק הבקרה של הודעות אמיתיות של מבקרים במסגרת בדיקת המסירה. הדבר תלוי במקרה הפרטני ואינו בהיקף גדול כמשמעותו בהוראה זו; עם זאת, הוא מובא בחשבון בהערכת הסיכונים (R1).
נקודה (c) – ניטור שיטתי בהיקף גדול של אזור הנגיש לציבור. הכוונה לתצפית פיזית במקומות ולא לאחזור דפי אינטרנט ציבוריים. הסתמכות על הוראה זו כבסיס לסורק אתרים תהיה שגויה.

לכן הדרך הנכונה היא סעיף 35(1) עצמו, המיושם באמצעות תשעת הקריטריונים בהנחיות של קבוצת העבודה לפי סעיף 29 בנושא הערכת השפעה על הגנת מידע (WP248 rev.01, שאומצו על ידי המועצה האירופית להגנת מידע), והרשימה של רשות הפיקוח הפולנית לפי סעיף 35(4) (סעיף 3.4).

3.2 תשעת הקריטריונים של הנחיות WP248

ההנחיות מציינות תשעה מאפיינים המצביעים על סיכון גבוה צפוי. ככלל אצבע, פעולת עיבוד העומדת בשניים מהם תחייב ברוב המקרים הערכת השפעה על הגנת מידע. בעל שליטה במידע רשאי להגיע למסקנה אחרת במקרה פרטני, אך אז עליו לנמק אותה ולתעד את הנימוקים. מנגד, גם קריטריון יחיד יכול להספיק. בדף זה אנו משתמשים בכינויים הקצרים הבאים:

C1 – הערכה או ניקוד, לרבות יצירת פרופילים וחיזוי, למשל של ביצועים בעבודה, מצב כלכלי, מהימנות או התנהגות.
C2 – קבלת החלטות אוטומטית בעלת השפעה משפטית או השפעה משמעותית דומה.
C3 – ניטור שיטתי, כלומר עיבוד המשמש לתצפית על נושאי מידע, לניטורם או לבקרה עליהם, לרבות באמצעות רשתות. ההנחיות מנמקות קריטריון זה במפורש בכך שלעיתים קרובות נושאי מידע אינם יודעים מי אוסף את המידע שלהם ולאיזו מטרה.
C4 – מידע רגיש או מידע בעל אופי אישי מאוד: קטגוריות מיוחדות לפי סעיפים 9 ו-10, אך גם מידע שחשיפתו משפיעה באופן משמעותי על חיי היום-יום, לרבות תקשורת אלקטרונית שראוי להגן על סודיותה.
C5 – מידע המעובד בהיקף גדול, הנמדד לפי מספר נושאי המידע, נפח המידע ומגוונו, משך הזמן וההיקף הגאוגרפי.
C6 – התאמה או שילוב של מאגרי מידע שמקורם בפעולות עיבוד שונות או בבעלי שליטה שונים במידע, באופן שנושאי המידע לא היו מצפים לו.
C7 – מידע הנוגע לנושאי מידע פגיעים, למשל עובדים, ילדים, מטופלים או אנשים אחרים המצויים בחוסר איזון של כוחות.
C8 – שימוש חדשני או יישום פתרונות טכנולוגיים או ארגוניים חדשים; בפרקטיקה של רשויות הפיקוח, שימוש בבינה מלאכותית נחשב בדרך כלל כנכלל בקריטריון זה.
C9 – עיבוד המונע מנושאי מידע לממש זכות או להשתמש בשירות או בחוזה.

אנו מדרגים כל קריטריון כ“מתקיים”, “גבולי” או “אינו מתקיים” ומנמקים את הדירוג מתוך הקוד. מקרה גבולי אינו נספר בסך הכול כמתקיים, אך מצוין בתוצאה; כאשר כמה מקרי גבול מצביעים באותו כיוון, אנו כוללים את פעולת העיבוד בהערכה.

3.3 הערכה לפי פעולת עיבוד

P1 – בדיקה חינמית ללא חשבון (בדיקת כל אתר של צד שלישי לפי בקשה)

כל אדם יכול להזין דומיין בדף הבית. לאחר מכן הסורק מאחזר לכל היותר שמונה דפים ציבוריים של אותו אתר, קורא את הטפסים, מצלם צילומי מסך ומפיק דוח שכל מי שמכיר את הקישור האקראי שלו יכול לראות. מפעיל האתר אינו יודע על כך דבר, אלא אם הוא מבחין במזהה הסורק ביומנים שלו.

C1 – גבולי. הדוח מדרג את ההגנה על טופס באמצעות רמה (“ללא הגנה”, “הגנה חלקית”, “מוגן”) וציון. עבור חברה בע״מ הדבר אינו נוגע לאדם טבעי. אצל עצמאים ופרילנסרים ניתן לייחס את הדומיין לאדם הפרטי, והרמה אומרת אז דבר מה על מידת הזהירות בפעילותו המקצועית. עם זאת, מה שמוערך הוא מערך טכני ולא ההתנהגות או המאפיינים של אדם. אנו מתייחסים לכך כמקרה גבולי.
C2 – אינו מתקיים. לא מתקבלת החלטה כלשהי ביחס למפעיל. ביחס לאדם המבקש את הבדיקה, חלות מגבלות לכל כתובת IP והפעלה (cfg/check_lib.php); לבדיקה שנדחתה אין השפעה משמעותית.
C3 – אינו מתקיים. זהו אחזור יחיד לפי בקשה, לכל היותר פעם לכל דומיין ושבוע (cfg/check_lib.php, ההגדרה fc_domain_days = 7). לא מתבצעת תצפית על אנשים. עם זאת, הנסיבה שההנחיות מציינות כהצדקה ל-C3 – נושאי המידע אינם יודעים דבר על העיבוד – אכן קיימת. היא מובאת בחשבון בהערכת הסיכונים (R5).
C4 – אינו מתקיים. מה שנשמר הוא מבנה הטופס והממצאים, ולא ערכים שהוזנו (scanner/src/crawl.js שומר רק את אורך הערך עבור שדות גלויים). הסורק קורא התחלות של שדות נסתרים שמולאו מראש (עד 24 תווים) ומאפייני נתונים (עד 60 תווים) רק במהלך הבדיקה כדי לזהות אסימונים וחותמות זמן; הם אינם נשמרים. צילומי מסך עשויים להציג באופן אגבי אנשים ושמות; אתר של מרפאה מציג בתמונה את תחום ההתמחות שלה. אלה פרטים מקצועיים ציבוריים, ולא מידע בריאותי של אדם מסוים.
C5 – גבולי. התקרה היומית היא 200 בדיקות שהתקבלו (fc_daily_cap), כלומר בחישוב חשבוני עד כ-73,000 אתרים בשנה. בכל אתר נוצרים רק פריטי מידע אישי מעטים, ומשך השמירה קצר (30 ימים). במדידה במערכת הפיתוח נמצאו במאגר 2 בדיקות אנונימיות. אינו מתקיים כיום; גבולי בהתחשב בקיבולת המתוכננת.
C6 – אינו מתקיים. מלבד אחזור הדפים, השירות מברר את גיל הדומיין דרך שירות RDAP של rdap.org (מועבר רק שם הדומיין; נשמר במטמון רק תאריך הרישום) ומבצע פתרון DNS. אלה פרטים טכניים על הדומיין ולא שילוב מאגרי מידע על אנשים.
C7 – אינו מתקיים.
C8 – מתקיים, בצורה חלשה. דפדפן אוטומטי בודק את הדפים, ומודל שפה בשרת שלנו עצמנו מסווג טפסים שהכללים אינם מזהים (scanner/src/classify.js). המודל רואה את כותרת הדף, הכתובת, תוויות השדות ועד 400 תווים מטקסט הטופס. הוא לעולם אינו יכול להפוך טופס ל“ניתן לשליחה”.
C9 – אינו מתקיים.

תוצאת ביניים P1: קריטריון אחד בצורה חלשה (C8), שני מקרים גבוליים (C1, C5). אין חובה לפי כלל האצבע. משום ששני מקרי הגבול מצביעים באותו כיוון ונושאי המידע אינם יודעים דבר על העיבוד, אנו כוללים את P1 בהערכה.

P2 – בדיקת לקוחות פוטנציאליים לסוכנויות

סוכנות במסלול Business שהגדירה מיתוג משלה יכולה לבקש בדיקה פסיבית של אתר לקוח פוטנציאלי. היא מקבלת ממצא מקוצר תחת המותג שלה ודוח מפורט, ומעבירה את הקישור בעצמה (cfg/akquise_lib.php). איננו יוצרים קשר עם איש.

C1 – גבולי, חזק יותר מאשר ב-P1. הממצא המקוצר מיועד במפורש לשמש “פתח לשיחה הראשונה”. הערכת האתר הופכת בכך לבסיס לפנייה מסחרית לאדם.
C5 – אינו מתקיים. לכל היותר 30 בדיקות לכל סוכנות וחודש (prospect_monthly), נמחקות לאחר 90 ימים.
C8 – מתקיים, בצורה חלשה (אותה טכנולוגיה כמו ב-P1).
יתר הקריטריונים – אינם מתקיימים. הממצא מוצג במיתוג הסוכנות, אך אינו מקושר למידע אחר על המפעיל.

תוצאת ביניים P2: אין חובה לפי כלל האצבע; נכלל מאותן סיבות כמו P1 ומשום שהמטרה – גיוס לקוחות – כרוכה בסיכון משלה (R6).

P3 – מחקר “מדד אבטחת הטפסים”

במסגרת מחקר, רשימת אתרים נבדקת באופן פסיבי, תוך הגבלת הקצב לחמש משימות פתוחות לכל היותר בכל ריצה של תהליך המצב, הפועל בכל חמש דקות (cfg/studie_lib.php). מתפרסמים רק נתונים מצטברים, ופילוחים רק על בסיס 20 אתרים עם טופס לפחות (study_min_segment, cfg/studie_lib.php). הנתונים הגולמיים נמחקים בעת הפרסום (cfg/studie_lib.php).

C5 – גבולי, מתקיים ברשימות גדולות. גודל הרשימה אינו מוגבל בקוד; הגבלת הקצב מאפשרת בחישוב חשבוני יותר מאלף בדיקות ביום. מחקר של שוק לאומי מכסה אלפי אתרים, רבים מהם מופעלים על ידי עצמאים. מגודל כזה ואילך, אנו רואים בקריטריון כמתקיים.
C8 – מתקיים, בצורה חלשה.
C1 – אינו מתקיים. אף שהאתר הבודד מדורג, מתפרסם רק הסיכום הכולל; הדירוג אינו משמש לקביעה על המפעיל הבודד.
יתר הקריטריונים – אינם מתקיימים.

תוצאת ביניים P3: במחקרים בגודל המתוכנן, שני קריטריונים (C5, C8). לכן המחקר מגיע לסף; formexposed מבצע את ההערכה כבעל שליטה במידע. לפי המדידה במערכת הפיתוח, עד כה לא נוצר מחקר.

P4 – בדיקת דומיינים בחשבון הלקוח

הלקוח גורם לבדיקה סדירה של הדומיינים בחשבונו. לאחר שהוכיח שהוא רשאי לשלוט בדומיין, מתווספים שליחות בדיקה פעילות (לכל היותר חמש בכל בדיקה), חיפוש קבצים חשופים ותהליכי שימוש בדפדפן שהוגדרו.

C3 – אינו מתקיים. הבדיקה מתוזמנת וחוזרת, אך היא נוגעת לאתר של הלקוח עצמו ומתבצעת לפי בקשתו, ולא כדי לצפות באנשים.
C4 – גבולי, לא. חיפוש קבצים חשופים קורא לכל היותר את 8 KB הראשונים מנתיבים כגון /backup.sql או מיומן ניפוי שגיאות, כדי לקבוע מתוך התוכן אם הקובץ אכן חשוף (cfg/dateien_lib.php). קטע כזה עשוי להכיל הזנות לטופס של מבקרים. הוא נבדק בזיכרון בלבד ולעולם אינו נשמר; מה שנשמר הוא הנתיב, הסוג והחומרה.
C8 – מתקיים, בצורה חלשה.
יתר הקריטריונים – אינם מתקיימים.

שלב תוכנית הפעולה שנוסף. דוחות מתאימים בתשלום יכולים להכיל טקסט מייעץ שנוצר מקומית על בסיס ממצאים נבחרים ומטא-נתוני סריקה. הוא נשמר עם הבדיקה ומוצג עם הודעת בינה מלאכותית; הממצאים הפרטניים נשארים הקובעים. הוא אינו משנה אתרים אוטומטית ואינו מקבל החלטות על אנשים בעלות משמעות משפטית או משמעות דומה. השימוש במודל שפה לבדו אינו קובע אם נדרשת הערכת השפעה נפרדת על הגנת מידע. יש להעריך את הקלט, הנמענים, ההיקף והסיכונים השיוריים שלו יחד עם הבדיקה שבבסיסו, לרבות חזרה אפשרית על מידע אישי מכתובות URL או מהערות והמלצות שגויות בדוח שניתן לשתף בקישור. סעיפים 7 עד 9 להלן כוללים שלב זה; תוספת עובדתית זו אינה טוענת להשלמת מדידה בייצור, לאישור הבעלים או לדירוג סיכון שיורי חדש.

תוצאת ביניים P4: הבדיקה הטכנית שבבסיס אינה מגיעה לסף לפי העובדות שתוארו לעיל. שלב הייעוץ המקומי שנוסף אינו יוצר כשלעצמו חובה נפרדת, אך תוצאת הסף הקודמת אינה תחליף לבחינת נתוני הקלט שלו בפועל, היקפו, נמעניו והשפעותיו. נכלל משום ששליחות הבדיקה הפעילות ובדיקת הקבצים תלויות בהוכחה שלעולם אינה מחודשת (R7).

P5 – סריקה מאחורי כניסה לחשבון

עבור דומיין מאומת, הלקוח יכול לשמור חשבון בדיקה לאתרו. הסורק נכנס באמצעותו וקורא את הטפסים בעד חמישה דפים מוגדרים של אזור החברים (cfg/login_lib.php, scanner/src/login.js).

C4 – גבולי. פרטי כניסה אינם מידע בעל אופי אישי מאוד כמשמעותו בהנחיות, אך שימוש לרעה בהם פותח את אזור החברים. בהתאם לאתר, תוכן סודי עשוי להימצא מאחורי כניסה לחשבון, למשל בפורטל חברים או מטופלים. הדבר תלוי בלקוח ולא בנו.
C8 – אינו מתקיים. כניסות אוטומטיות נפוצות בשירותי ניטור.
יתר הקריטריונים – אינם מתקיימים.

תוצאת ביניים P5: אין חובה לפי כלל האצבע. עבור לקוחות שאזור החברים שלהם מציג תוכן סודי, הדבר עשוי להשתנות; ההחלטה נמצאת אז בידיהם. נכלל בשל סיכוני האבטחה (R8).

P6 – בדיקת מסירה עם עותק בקרה

הלקוח מזין כתובת בקרה של formexposed כעותק מוסתר בהגדרות הדואר של הטופס שלו. כתוצאה מכך כל הודעת דוא״ל מהטופס מגיעה גם לתיבת הבקרה שלנו – הודעת הבדיקה שלנו וכן כל הודעה אמיתית ממבקר. אחזור אוטומטי קורא את הכותרות ואת 8 KB הראשונים, משייך את ההודעה, מעריך SPF, DKIM ו-DMARC ומוחק אותה (cfg/zustellung_lib.php).

C4 – מתקיים. מה שמבקרים כותבים בטופס יצירת קשר הוא תקשורת אלקטרונית לעסק עם תוכן מכל סוג. באתר של מרפאה, משרד עורכי דין, שירות ייעוץ או בית ספר, יש לצפות למידע לפי סעיף 9 או למידע על ילדים. ההנחיות מציינות במפורש תקשורת אלקטרונית סודית תחת קריטריון זה.
C3 – גבולי, נוטה להתקיים. כל הודעה מועתקת באופן מתוכנן ומתמשך ומוערכת אוטומטית, מבלי שהשולח מבחין בכך. המטרה היא לבדוק את נתיב הדואר ולא לצפות באנשים. עם זאת, הנסיבה שבאמצעותה ההנחיות מנמקות את הקריטריון – נושאי מידע אינם יודעים מי מקבל את המידע שלהם – מתקיימת במלואה כל עוד הלקוח אינו מיידע את המבקרים שלו.
C7 – בהתאם ללקוח. מטופלים, לקוחות של משרדי עורכי דין, מועמדים לעבודה, הורים ותלמידים נמצאים לעיתים קרובות ביחסי תלות כלפי נמען הודעתם.
C5 – גבולי, לא. אינו בהיקף גדול עבור הלקוח הבודד. אצל formexposed, העותקים של לקוחות רבים מתכנסים לתיבת דואר אחת; הדבר מגדיל את משקלה של הפרה, ולא את המספר לכל בעל שליטה במידע.
יתר הקריטריונים – אינם מתקיימים. השיוך לדומיין ולבדיקה אינו התאמה של מאגרי מידע על אנשים; הטכנולוגיה אינה חדשה.

תוצאת ביניים P6: C4 מתקיים, C3 גבולי ונוטה להתקיים, C7 מתקיים אצל לקוחות טיפוסיים רבים. לכן במתכונת הטיפוסית מתקיימים שני קריטריונים או יותר. נדרשת הערכת השפעה על הגנת מידע – כחובה של הלקוח, שהוא בעל השליטה במידע. סעיפים 6 עד 11 מספקים לו את העובדות לשם כך.

P7 – הגנה משותפת

אתרי WordPress מחוברים מדווחים פעם ביום את הדומיינים של קישורים מהודעות ששכבת ההגנה שלהם עצרה. דומיין המופיע בשלושה אתרים שונים לפחות עם חמש התאמות לפחות בתוך שבעה ימים נכנס לרשימה משותפת; הרשימה נשלחת בחזרה לכל האתרים המחוברים, המעבירים אז הודעות עם קישורים לאותו דומיין להסגר (cfg/swarm_lib.php).

C6 – מתקיים. דיווחים מאתרים רבים ועצמאיים זה מזה, כלומר מבעלי שליטה שונים במידע, משולבים ומוחזרים לכולם כרשימה משותפת.
C1 – מתקיים, ככל שניתן לייחס דומיין לאדם טבעי. הרשימה היא סיווג כמקור ספאם. ההנחיות מציינות בדיקה מול מאגר הונאות משותף כדוגמה לקריטריון זה. רוב הדומיינים ברשימה כזו שייכים לעסקים או הם דומיינים חד-פעמיים; עם זאת, דומיין של אדם פרטי עשוי להיכלל בה, בצדק או עקב דיווחים כוזבים שהושתלו במכוון.
C9 – גבולי. הודעה המכילה קישור שמופיע ברשימה אינה מגיעה לנמען מייד, אלא ממתינה בהסגר שלו עד שהוא משחרר אותה. היא אינה אובדת.
C2 – אינו מתקיים. ההסגר הוא השלכה אוטומטית על הודעה, ללא השפעה משפטית ועם שחרור אנושי על ידי הנמען.
יתר הקריטריונים – אינם מתקיימים. רשתות IP כבויות (swarm_ip_enabled = 0, cfg/swarm_lib.php).

תוצאת ביניים P7: שני קריטריונים (C6, C1) ומקרה גבולי אחד (C9). הסף הושג; formexposed מבצע את ההערכה כבעל שליטה במידע. אם רשתות IP יופעלו, C1 ו-C6 יתקיימו ללא סייג; הפעלתן דורשת גרסה חדשה של הערכה זו (סעיף 12). לפי המדידה במערכת הפיתוח, אין דיווחים ואין רשומות ברשימה.

P8 – חשבונות לקוחות, כניסה לחשבון, יומנים, תמיכה, דוא״ל, תשלומים

C1 ו-C9 – אינם מתקיימים. התנהגות חריגה בבדיקה החינמית מובילה לרישום הערה עם כתובת ה-IP (cfg/check_lib.php), וככל שרלוונטי, לדחיית בדיקות נוספות. זו מניעת שימוש לרעה בעלת השפעה מועטה, ולא הערכה של היבטים אישיים.
יתר הקריטריונים – אינם מתקיימים. אלה נתונים רגילים של שירות לעסקים.

תוצאת ביניים P8: לא נדרשת הערכת השפעה על הגנת מידע. פעולות העיבוד מתוארות ברישום פעילויות העיבוד.

P9 – נתוני תוספים, שגיאות שדות, מקליט, תג, פורטל לקוחות, “Fix it for me”

התוסף וההרחבה מעבירים נתונים יומיים, מלאי תוספים וקטגוריות שגיאה, ותוסף WordPress מעביר בנוסף דומייני קישורים להגנה משותפת (מופעלת כברירת מחדל) (P7), ללא תוכן, כתובות, שמות או כתובות IP של מבקרים; המקליט מחזיק בוררים למשך 15 דקות לכל היותר בדפדפן המנהל. לא מתקיים אף קריטריון.
בעת טעינתו, התג מעביר את נתוני החיבור הרגילים ליומן שרת האינטרנט, ללא עוגייה. לא מתקיים אף קריטריון.
פורטל הלקוחות מעבד כתובות דוא״ל של מנויים עם אישור כפול מטעם הסוכנות. לא מתקיים אף קריטריון.
“Fix it for me” גורם לשכתוב קוד טופס שהודבק באמצעות מודל שפה בשרת שלנו עצמנו; הקוד אינו נשמר. C8 בצורה חלשה, ולא מעבר לכך.

תוצאת ביניים P9: לא נדרשת הערכת השפעה על הגנת מידע.

3.4 רשימת רשות הפיקוח הפולנית לפי סעיף 35(4)

הרשות המוסמכת היא נשיא הרשות להגנת מידע אישי (Prezes Urzędu Ochrony Danych Osobowych, UODO). הנשיא פרסם את רשימת סוגי פעולות העיבוד המחייבות הערכת השפעה על הגנת מידע בהודעה מיום 17 ביוני 2019 (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, פריט 666). הרשימה משייכת את הרשומות שלה לקריטריונים של הנחיות WP248, מספקת דוגמאות ואינה ממצה במפורש; היא אינה מחליפה את ההערכה לפי סעיף 35(1).

לפי קריאתנו, סוגי העיבוד הבאים ברשימה תואמים במהותם לפעולות עיבוד של formexposed:

סוג העיבוד לפי הרשימה (בניסוח מחדש)	הקריטריון המשויך	פעולת העיבוד ב-formexposed	הערכה
השוואה, הערכה או הסקת מסקנות על בסיס ניתוח מידע ממקורות שונים	C6	P7 הגנה משותפת	חל
הערכה או ניקוד, לרבות יצירת פרופילים	C1	P7 הגנה משותפת; P1 ו-P2 כמקרים גבוליים	חל על P7
עיבוד קטגוריות מיוחדות של מידע אישי	C4	P6 בדיקת מסירה	חל בהתאם ללקוח
שימוש חדשני או יישום של פתרונות טכנולוגיים	C8	P1 עד P4 (מודל שפה לסיווג)	חל בצורה חלשה
עיבוד בהיקף גדול	C5	P3 מחקר	חל על רשימות גדולות
ניטור שיטתי של מקומות הנגישים לציבור, לרבות עם זיהוי מאפיינים	C3	–	אינו חל: הכוונה למקומות ולא לאתרים

שיוך זה הוא פרשנות ולא ציטוט; יש לבדוק את נוסח הרשומות מולו במסגרת הבדיקה המשפטית. הוא מאשר את תוצאת סעיף 3.3 אך אינו משנה אותה. למיטב ידיעתנו, UODO לא פרסם רשימה לפי סעיף 35(5) – פעולות עיבוד שאינן מחייבות הערכת השפעה על הגנת מידע.

3.5 תוצאת הערכת הסף

פעולת עיבוד	מתקיים	גבולי	תוצאה
P1 בדיקה חינמית	C8 (חלש)	C1, C5	אינה חובה; נכללת
P2 בדיקת לקוחות פוטנציאליים	C8 (חלש)	C1	אינה חובה; נכללת
P3 מחקר	C8 (חלש), C5 ברשימות גדולות	–	נדרשת (חובה של formexposed)
P4 בדיקת דומיינים של לקוחות	C8 (חלש)	C4 (בדיקת קבצים)	אינה חובה; נכללת
P5 סריקה מאחורי כניסה לחשבון	–	C4	אינה חובה; נכללת; עבור הלקוח בהתאם לתוכן
P6 בדיקת מסירה	C4; C7 בהתאם ללקוח	C3 (נוטה להתקיים), C5	נדרשת (חובה של הלקוח; דף זה מסייע לפי סעיף 28(3)(f))
P7 הגנה משותפת	C6, C1	C9	נדרשת (חובה של formexposed)
P8 חשבונות, יומנים, תמיכה, תשלומים	–	–	אינה נדרשת
P9 נתוני תוספים, תג, פורטל, “Fix it for me”	C8 (חלש, רק “Fix it for me”)	–	אינה נדרשת

תוצאה ביחס לסעיף 35(1): נדרשת הערכת השפעה על הגנת מידע עבור פעולות עיבוד מסוימות של formexposed. היא נדרשת להגנה משותפת ולמחקרים בגודל המתוכנן, ו-formexposed מבצע אותה כבעל שליטה במידע. עבור בדיקת המסירה היא נדרשת במתכונת הטיפוסית, אך כחובה של הלקוח; formexposed מספק את הבסיס. עבור יתר הבדיקות של אתרים של צדדים שלישיים ושל אתרים שלנו היא אינה חובה. בכל זאת אנו כוללים אותן, משום שהן משתמשות באותה טכנולוגיה, משום שכמה מקרי גבול מצביעים באותו כיוון, ומשום שנושאי המידע – מפעילים ללא חשבון ואנשים בדפים שנבדקו – אינם יודעים דבר על העיבוד. לא נדרשת הערכה עבור חשבונות, יומנים, תמיכה ותשלומים.

לפיכך סעיפים 6 עד 10 חלים על P1 עד P7. כאשר אמירה חלה רק על אחת מפעולות עיבוד אלה, הדבר מסומן במפורש.

4. ממונה על הגנת מידע: ההערכה לפי סעיף 37

לא מונה ממונה על הגנת מידע. סעיף 37(1) מחייב את בעל השליטה במידע ואת מעבד המידע כאחד; לכן זו שאלה שלנו עצמנו. שלושת המקרים הקבועים בדין:

סעיף 37(1)	תנאי	תוצאה
נקודה (a)	רשות או גוף ציבורי	לא חל; LW IT Solutions Company Lukas Wójcik הוא עסק פרטי של יחיד.
נקודה (b)	פעילויות הליבה מורכבות מפעולות עיבוד הדורשות ניטור סדיר ושיטתי של נושאי מידע בהיקף גדול	פעילות הליבה היא בדיקה וניטור של אתרים וטפסים, באופן סדיר ושיטתי. עם זאת, לא מנוטרים אנשים: הסורק אינו צופה בהתנהגות, ובדיקת המסירה מעריכה הודעות דוא״ל רק לצורך מסירה ואותנטיות. אינו מתקיים.
נקודה (c)	פעילויות הליבה מורכבות מעיבוד בהיקף גדול של מידע לפי סעיפים 9 או 10	לא לפי התכנון. קטגוריות מיוחדות עשויות להגיע אלינו דרך עותק הבקרה של בדיקת המסירה; הדבר אגבי ואינו פעילות ליבה. אינו מתקיים.

לפי הערכתנו, לכן אין חובה למנות ממונה. השאלה אם הדין הפולני מחייב מינוי מעבר לכך לפי סעיף 37(4) היא שאלה פתוחה לבדיקה המשפטית. משום שלא מונה ממונה על הגנת מידע, הייעוץ לפי סעיף 35(2) אינו חל. אם הבדיקה המשפטית תמצא שקיימת חובת מינוי, תתבקש עצתו של הממונה על הגנת מידע שימונה אז לפני אישור הערכה זו (סעיף 12). איש הקשר לשאלות על הערכה זו הוא הבעלים בכתובת contact@lukaswojcik.com.

5. שיטה, מקורות ומגבלות של גרסה זו

העובדות במסמך זה מקורן בקוד המקור של היישום ושל הסורק, בסכמת מסד הנתונים ובספירות שורות ובהגדרות של מערכת הפיתוח, שנמדדו ביום 11 באוקטובר 2026. הגישה למסד הנתונים ולשרתים הייתה לקריאה בלבד. כאשר מדידה סותרת כוונה – לרבות אמירה במסמכים המשפטיים שלנו עצמנו – אנו מדווחים על המדידה. איננו מיישמים קודים מאושרים להתנהגות לפי סעיף 40, שהעמידה בהם הייתה צריכה להיות מובאת בחשבון לפי סעיף 35(8).

מערכת הפיתוח נמדדה. השירות טרם הושק. לכן המספרים קטנים ובחלקם תוצרי לוואי של בדיקות: 112 בדיקות, מתוכן 110 ללא דומיין לקוח; 432 צילומי מסך; 2 דומיינים, מתוכם 1 מאומת; לא מופעלת בדיקת מסירה; לא נשמר חשבון בדיקה לסריקה מאחורי כניסה לחשבון; אין מחקר; אין דיווחים בהגנה המשותפת. יש לחזור על המדידות לפני ההשקה ובמרווחים סדירים לאחריה.
לא נמדדו בגרסה זו ויש להוסיפם לפני האישור: תצורת מערכת הייצור, לרבות אם וכיצד תיבת הבקרה מוגדרת ואם זוג המפתחות לסריקה מאחורי כניסה לחשבון מוגדר שם; אם תוכנת מודל השפה מתעדת בקשות ביומן; מצב ניהול השרת (R13); החוזה עם ספק שירותי הדוא״ל.
לא ניתן היה למדוד כמה הודעות אמיתיות של מבקרים יעברו דרך עותק הבקרה ומאילו מגזרים יבואו הלקוחות. שניהם קובעים את המשקל של R1 ו-R2 ויש לבררם לאחר ההשקה.
ההפניות למקור מצביעות על קבצים ופונקציות בקוד המקור של מערכת הפיתוח. הקובע הוא הפעולה המתוארת ולא מיקומה בקובץ.

מסמך זה הוא טיוטה. הוא טרם אושר על ידי בעל השליטה במידע (סעיף 12), ושתיים ממסקנותיו – הערכת ההיקף עבור P1 ו-P3 ומשקלה של בדיקת המסירה – תלויות בנתונים שיהיו קיימים רק לאחר ההשקה.

6. (a) תיאור שיטתי של פעולות העיבוד והמטרות

6.1 כיצד בנויה מערכת הבדיקה

formexposed פועל על שרתים משלו בפולין, ללא ספק אחסון חיצוני: שרת אינטרנט עם היישום ומסד הנתונים, ושרת סריקה עם שירות הבדיקה ומודל שפה מקומי, שניהם באותה רשת פנימית. בדיקה מתנהלת כך:

היישום יוצר משימה במסד הנתונים – בכפוף למגבלות ולחסימות המפורטות בסעיף 6.3.
שירות הבדיקה בשרת הסריקה מאחזר את המשימה, בודק פעם שנייה את רשימת החסימה, את שמות המארחים, ובבדיקות אנונימיות גם את גיל הדומיין, ומפעיל מכולה מבודדת למשימה זו בלבד: רשת משלה עם כללי סינון משלה, ללא הרשאות מיוחדות, מערכת קבצים לקריאה בלבד, מגבלות זיכרון ותהליכים ומגבלת זמן (scanner/src/worker.js).
בתוך המכולה, דפדפן אוטומטי מאחזר לכל היותר שמונה דפים ציבוריים, תחילה את דף הבית ולאחר מכן בעדיפות דפי יצירת קשר, פרטי ספק השירות ותמיכה. לפני כן הוא קורא robots.txt; החרגה של FormExposedBot או של כל הסורקים המכסה את דף הבית מסיימת את הבדיקה, וכך גם robots.txt שאינו נגיש או שגיאת שרת בעת האחזור (scanner/src/net.js). איסורים על נתיבי משנה בודדים אינם נבחנים בנפרד. דופק הטופס, אחזור הוכחה, כלי כותרות התגובה וחיפוש קבצים חשופים אינם קוראים robots.txt. בנוסף לשמונת הדפים, יש עד שלושה דפים עם לחיצה על “דחייה” בכרזת העוגיות, עד שלושה דפים בתצוגת טלפון, בדיקות פעילות לדומיינים מאומתים ועד חמישה דפים מאחורי כניסה לחשבון; הדפים נטענים בזה אחר זה ולא במקביל. כל בקשה מהדפדפן – לרבות הפניות ותוכן מוטמע – עוברת דרך מסנן הדוחה רשתות פרטיות ויציאות אחרות.
המכולה כותבת תוצאה ואת צילומי המסך לתיקייה זמנית. שירות הבדיקה מעביר את התוצאה ואת התמונות ליישום דרך הרשת הפנימית ומוחק את התיקייה הזמנית, גם לאחר שגיאה (scanner/src/worker.js).
היישום מעבד את התוצאה, משווה אותה לבדיקה הקודמת עבור דומיינים של לקוחות ומדווח על שינויים ליעדים שהלקוח הגדיר.

6.2 מה הסורק שומר – ומה לא

פריט	מה נשמר	מה אינו נשמר	הפניה למקור
דפים	כתובת, מצב HTTP, כותרות תגובה, מדיניות אבטחת תוכן, מארחים של צדדים שלישיים שאליהם בוצעו בקשות (לכל היותר 120)	תוכן הדף כטקסט או HTML	`scanner/src/crawl.js`
שדות טופס	סוג, שם, תווית, מציין מקום, שדה חובה, נראות, אורך של ערך קיים	ערכי שדות; עבור שדות נסתרים, 24 התווים הראשונים של הערך נקראים רק במהלך הבדיקה (לזיהוי אסימונים)	`scanner/src/crawl.js`
כתובות נמען בטופס	הדומיין בלבד	הכתובת	`scanner/src/crawl.js`
סקריפטים	מלאי עם סכום ביקורת; כתובות וטקסט פתיחה ללא מזהי חשבונות של שירותי פרסום וניתוח נתונים	מזהי חשבונות ופיקסלים	`scanner/src/crawl.js`
גורמים הקוראים במקביל	אילו פיקסלים של פרסום וכלי הקלטה נטענים לפני ואחרי לחיצה על “דחייה” בכרזת העוגיות, ואם הם מכסים קלט	מזהי החשבונות בשירותים אלה	`scanner/src/mitleser.js`, `scanner/src/einwilligung.js`
טקסט טופס	עד 400 תווים מועברים למודל השפה המקומי אם הכללים אינם מזהים את הסוג	חשיפה לצדדים שלישיים; שמירת הטקסט	`scanner/src/classify.js`
צילומי מסך (סורק)	האזור הגלוי של הדף הראשון; לכל טופס גלוי, תמונה של רכיב הטופס	–	`scanner/src/crawl.js`
צילומי מסך (בדיקה פעילה)	תמונת דף התגובה לשליחת הבדיקה; בנוסף, המצב, כתובת היעד, הכותרת ו-300 התווים הראשונים של הטקסט שלו	–	`scanner/src/active.js`
צילומי מסך (תהליכי שימוש בדפדפן)	תמונת הטופס עם שדות קלט מושחרים, דחוסה, בגודל של 32 KB לכל היותר	קלט	`scanner/src/browser.js`
מאחורי כניסה לחשבון	כמו בשדות הטופס שלעיל	צילומי מסך, עוגיות, קישורים	`scanner/src/login.js`

מידע אישי אינו נכלל בפריטים אלה לפי התכנון, אך הוא נכלל באופן אגבי: שם של איש קשר ליד הטופס, תמונת צוות בדף הבית, מספר טלפון בתווית, דומיין הדוא״ל של אדם פרטי, שם במציין מקום. מאחורי הכניסה לחשבון מתווספים פרטי חשבון הבדיקה, ובהתאם לאתר גם פרטי משתמשים אחרים.

6.3 מי מפעיל בדיקה, ומה חל בעקבות זאת

גורם מפעיל	רמת אמון במשימה	שליחות בדיקה	גישה לתוצאה דרך	מחיקה
אדם מזין דומיין בדף הבית (בדיקה חינמית)	anonymous	לא	דוח בקישור אקראי	30 ימים, לרבות תמונות (`cfg/check_lib.php`)
תוסף או הרחבה ללא חשבון	plugin	לא	דוח בקישור אקראי	30 ימים
סוכנות עבור לקוח פוטנציאלי	registered	לא	ממצא מקוצר ודוח בקישור אקראי	90 ימים (`cfg/akquise_lib.php`)
לקוח, דומיין ללא הוכחה	registered	לא	חשבון; דוח בקישור אקראי	13 חודשים, הבדיקה האחרונה נשמרת
לקוח, דומיין עם הוכחה	verified	כן, לכל היותר חמש בכל בדיקה	חשבון; דוח בקישור אקראי	13 חודשים, הבדיקה האחרונה נשמרת (`cfg/fristen_lib.php`)
מחקר	internal	לא	נתונים מצטברים בלבד לאחר הפרסום	בעת הפרסום; ללא פרסום אין מגבלת זמן (R4)
בדיקה פנימית משורת הפקודה על ידי הספק	internal; עבור דומייני הבדיקה וההדגמה שלנו עצמנו גם “verified”	לא; ברמה “verified” כן (רק דומייני הבדיקה וההדגמה שלנו עצמנו)	פנימי בלבד	אין מגבלת זמן (R4)

כמה שכבות עומדות לפני הבדיקה החינמית (cfg/check_lib.php): עצירת חירום; reCAPTCHA; אותו דומיין לכל היותר פעם בשבעה ימים (לאחר מכן מוצג הדוח הקיים); מגבלות לכל כתובת IP, לכל הפעלה (כערך גיבוב, ולעולם לא מזהה ההפעלה עצמו) ולשירות כולו בכל יום; רשימת החסימה מההחרגה ומ-robots.txt; בדיקה שהדומיין מפנה לכתובות ציבוריות; וחסימה של דומיינים חדשים מאוד או שגילם אינו ידוע. חריגות – דומיינים שונים רבים מכתובת IP אחת, בקשות רבות בזמן קצר – נרשמות עם כתובת ה-IP ומפעילות אות ללא תוכן (cfg/check_lib.php).

6.4 בדיקת דומיינים בחשבון הלקוח

הלקוח מוכיח שהוא רשאי לשלוט בדומיין: באמצעות רשומת DNS, תג מטא, קובץ או התוסף שלנו (cfg/verify_lib.php). רק אז הדומיין נחשב למאומת. מתזמן הניטור מתכנן בדיקות סדירות רק לדומיינים פעילים, מנוטרים ומאומתים (cfg/monitor_lib.php).

שליחות בדיקה פעילות כפופות לשני שערי בקרה: היישום מגדיר מצב פעיל עבור לקוחות רק לדומיינים מאומתים (עבור דומייני הבדיקה וההדגמה שלנו עצמנו, הספק יכול ליצור בדיקה ברמה “verified” באמצעות כלי פנימי בשורת הפקודה), ושירות הבדיקה בודק שוב את רמת האמון ואת עצירת החירום fc_active_enabled (scanner/src/worker.js). ניתן לשלוח רק טופס שהכללים מזהים בוודאות גבוהה כטופס יצירת קשר כללי, שאין בו שדות חובה למידע אישי אמיתי ושדומיינו אינו נראה כרשות ציבורית, מוסד חינוך, מרפאה, מרפאת רופא, משטרה או בית משפט (scanner/src/classify.js). מודל השפה אינו יכול להפוך טופס לניתן לשליחה (scanner/src/classify.js). לכל היותר חמש שליחות יוצאות בכל בדיקה (fc_active_max_posts), מסומנות בבירור, עם השולח dummy@formexposed.com, כתובת תחת .invalid לבדיקת אימות הדוא״ל ושורת כותרת נוספת ולא מזיקה לזיהוי הזרקת כותרות דוא״ל (scanner/src/active.js).
תהליכי שימוש בדפדפן בודקים תהליכי שימוש בטפסים שהוגדרו בדפדפן עד לנקודה שממש לפני השליחה. מותרות רק בקשות GET ו-HEAD; כל היתר מופסק, וכך גם כתובות המכילות מילים להתנתקות, למחיקה, לקנייה או לתשלום (scanner/src/browser.js). לצורך הבדיקה ממולאים שדות חובה בערכים מומצאים שלעולם אינם יוצאים מהדפדפן.
חיפוש אחר קבצים חשופים מתבצע מדי שבוע, רק בדומיינים מאומתים, עם אחזור אחד לכל היותר לכל נתיב, עד 8 KB, ולעולם ללא שמירת תוכן (cfg/dateien_lib.php).
בדיקת אימות שנייה ובלתי תלויה הוכנה וכבויה כברירת מחדל (browser_probe_enabled = 0). אם תופעל, היא תקבל רק את הדומיין, הכתובת, הבורר, השלבים ובחירת הדפדפן, ולעולם לא פרטי כניסה, צילומי מסך או מידע מבקרים (cfg/formular_probe_lib.php).

6.5 סריקה מאחורי כניסה לחשבון

תנאים מוקדמים: הפעולה מוגדרת, הדומיין מאומת והלקוח במסלול בתשלום והוא הבעלים או המנהל של סביבת העבודה (cfg/login_lib.php); הוא מאשר שהחשבון הוא חשבון בדיקה עם הרשאות מעטות ככל האפשר (cfg/login_lib.php).

שם המשתמש והסיסמה מוצפנים מייד בשרת האינטרנט באמצעות המפתח הציבורי של שרת הסריקה: מפתח חד-פעמי לכל רשומה (X25519), גזירת מפתח (HKDF-SHA256), AES-256-GCM, עם קישור לדומיין (cfg/login_lib.php). רק לשירות הבדיקה בשרת הסריקה יש המפתח הפרטי (scanner/src/geheim.js). מי שמחזיק בשרת האינטרנט, במסד הנתונים או בגיבוי מחזיק רק בטקסט מוצפן.
הממשק מציג רק את התו הראשון ואת אורך שם המשתמש (cfg/login_lib.php). פרטי כניסה לעולם אינם מוצגים, אינם נרשמים ביומן ואינם נמסרים דרך ה-API.
לצורך בדיקה, היישום מצרף את הטקסט המוצפן למשימה. שירות הבדיקה מפענח אותו, מנקה מייד את השדה במשימה ומעביר את פרטי הכניסה למכולה רק דרך הקלט הסטנדרטי, ולעולם לא כארגומנטים בשורת הפקודה (scanner/src/worker.js). שאריות במשימות שבוטלו מנוקות על ידי תהליך המצב לאחר שעה (cfg/login_lib.php).
בתוך המכולה, הדפדפן נכנס לחשבון. הוא מפסיק אם דף הכניסה מפנה למארח אחר, אם טופס הכניסה מכיל CAPTCHA (איננו עוקפים CAPTCHA), או אם שדה סיסמה עדיין גלוי לאחר השליחה (scanner/src/login.js). לאחר מכן הוא מנקה את שדה הסיסמה בזיכרון הדף ושוכח את פרטי הכניסה (scanner/src/login.js).
הוא קורא לכל היותר חמישה דפים באותו דומיין שהלקוח ציין. כתובות המכילות מילים להתנתקות, למחיקה, להסרה או לביטול חסומות (scanner/src/login.js). לא נשלח דבר מאחורי הכניסה לחשבון, לא מצולמים צילומי מסך, ועוגיות וקישורים אינם נכללים בתוצאה (scanner/src/login.js).
המחיקה סופית: הטקסט המוצפן נדרס במידע אקראי באותו אורך, השורה נמחקת ומשימות ממתינות מנוקות (cfg/login_lib.php). כאשר הדומיין נמחק, השורה נעלמת אוטומטית באמצעות מפתח זר.

6.6 בדיקת מסירה

בדיקת המסירה משיבה לשאלה אם הודעת דוא״ל מטופס יצירת הקשר אכן מגיעה, ומעריכה את מאפייני האותנטיות שלה. היא אופציונלית, כבויה כברירת מחדל ודורשת הגדרת תיבת בקרה (cfg/zustellung_lib.php).

אם הלקוח מפעיל אותה, הדומיין מקבל תג אקראי. הלקוח מזין את כתובת הבקרה עם תג זה כעותק מוסתר בטופס שלו.
מאותו רגע, כל הודעת דוא״ל מהטופס מגיעה גם לתיבת הבקרה: שליחות הבדיקה המסומנות שלנו וכל ההודעות האמיתיות ממבקרים. הודעות הדוא״ל מגיעות ישירות לתיבת הדואר אצל Namecheap, Inc. (Private Email), Phoenix, Arizona, USA – הן מגיעות רק אם רשומות ה-MX של הדומיין שלנו מפנות לשם; באמצעות העברה אוטומטית, למשל אצל רשם הדומיין Namecheap, Inc., הן אינן מגיעות לתיבת הדואר – ונשארות שם עד לאחזורן.
תהליך המצב מאחזר את תיבת הדואר בכל חמש דקות (srv/cron_status.php). עבור כל הודעת דוא״ל הוא קורא את הכותרות ולכל היותר 8 KB הראשונים של הטקסט, מבלי לסמן את ההודעות כנקראו (cfg/zustellung_lib.php).
מתוך הכותרות הוא קובע את התג וכך את הדומיין, ומתוך הטקסט, ככל שרלוונטי, את מזהה הבדיקה שלנו (cfg/zustellung_lib.php). נשמרים המועד, הדומיין וככל שרלוונטי מזהה הבדיקה (cfg/zustellung_lib.php), למשך 180 ימים (cfg/zustellung_lib.php).
מתוך הכותרות הוא מעריך SPF, DKIM ו-DMARC ושומר את התוצאה עבור הדומיין: תוצאות הבדיקות, הדומיין של כתובת השולח, הדומיינים של החתימות וכתובת שרת הדוא״ל השולח (cfg/zustellung_lib.php). אם התוצאה מידרדרת, נשלחת ללקוח פעם אחת התרעה שעשויה לציין את דומיין השולח (cfg/zustellung_lib.php).
לאחר מכן הוא מסמן כל הודעת דוא״ל שאוחזרה למחיקה, לרבות הודעה שלא ניתן היה לשייך לדומיין כלשהו, ומסיר אותה מתיבת הדואר בסוף הריצה (cfg/zustellung_lib.php). אם הריצה נעצרת לפני כן, הודעות הדוא״ל נשארות עד לריצה המוצלחת הבאה.
רק העותק של הבדיקה המסוימת הנוגעת לעניין נחשב להוכחת מסירה (cfg/zustellung_lib.php). אם הוא אינו מגיע בתוך שלוש שעות (delivery_wait_h), השירות מדווח “מסירה חסרה”.

טקסט ההודעות האמיתיות לעולם אינו נכתב למסד הנתונים, וכך גם כתובת המבקר. עם זאת שניהם נקראים: האחזור טוען את 8 KB הראשונים של כל הודעת דוא״ל לזיכרון כדי לחפש את מזהה הבדיקה.

6.7 הגנה משותפת

שכבת ההגנה של תוסף WordPress עוצרת הודעה כספאם וסופרת את הדומיינים של הקישורים שבה. פעם ביום התוסף מדווח לנו על דומיינים אלה עם מספר ההתאמות, לכל היותר 60 ביום; ללא כתובות, ללא טקסט וללא כתובות IP (cfg/swarm_lib.php).
פעם ביום אנו מכינים מכך את הרשימה: דומיין נכנס אליה אם דווח בתוך שבעה ימים על ידי שלושה אתרים שונים לפחות ועם חמש התאמות לפחות (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). שירותים גדולים מתוך רשימת חריגים קבועה ודומיינים של לקוחותינו, בשני המקרים לרבות תת-דומיינים, לעולם אינם נכנסים לרשימה (cfg/swarm_lib.php).
הרשימה נשלחת לכל האתרים המחוברים עם התשובה לדיווח היומי. שכבת ההגנה שלהם מעבירה הודעות עם קישורים לדומיינים שברשימה להסגר, ולא לאשפה.
כל מה שכבר אינו מופיע ברשימה החדשה יוצא ממנה; דיווחים נמחקים לאחר 30 ימים (cfg/swarm_lib.php).
רשתות IP (/24 או /48) הוכנו אך כבויות עד להשלמת הבדיקה המשפטית (cfg/swarm_lib.php).

6.8 שימוש בבינה מלאכותית

מודל שפה פועל בשרת הסריקה שלנו עצמנו ולא אצל ספק בינה מלאכותית. הוא משמש בשלושה מקומות: בשירות הבדיקה הוא מסווג טפסים שסוגם אינו מזוהה על ידי הכללים; במסגרת זו הוא רואה את כותרת הדף, כתובת הדף, תוויות כפתורי השליחה, סוגי השדות, השמות, התוויות ומצייני המקום, ועד 400 תווים מטקסט הטופס (scanner/src/classify.js). פונים אליו רק אם הכללים מחזירים “unknown”; טפסים שסווגו בדרך זו לעולם אינם נשלחים ואינם נכללים בציון ובמסקנה. הציון, המסקנה, מניעת שימוש לרעה, ההגנה המשותפת וכללי הספאם הם כללים קבועים ולא בינה מלאכותית. ב-“Fix it for me” הוא משכתב קוד טופס שהודבק; הקוד אינו נשמר. עבור בדיקות מתאימות של דומיינים בחשבונות בתשלום, הוא גם יוצר תוכנית פעולה מתועדפת מתוך שם המארח, התוצאה הכוללת והציון, מערכת ניהול התוכן, סוג הטופס הרלוונטי וכתובת הדף, תוסף שזוהה וממצאים נבחרים שנכשלו או שאינם ברורים. הבקשה נשמרת זמנית בתור המשימות הפנימי ונמחקת לאחר איסופה או ניקוי מתוזמן של רשומות בנות יותר משעה. הטקסט שנוצר, השפה, המצב וחותמת הזמן נשמרים עם תוצאת הסריקה לפי כללי השמירה שלה. הדוח מסמן את התוכנית כסיכום של בינה מלאכותית ומגדיר את הממצאים הפרטניים כקובעים; התוכנית אינה משנה את האתר או את תוצאת הסריקה. המודל אינו מקבל החלטות על אנשים. מידע נוסף מופיע בדף חוק הבינה המלאכותית של האיחוד האירופי: השימוש של formexposed בבינה מלאכותית.

6.9 בסיסים משפטיים

פעולת עיבוד	בסיס משפטי
P1 בדיקה חינמית: בדיקת הדומיין שהתבקש; מגבלות ומניעת שימוש לרעה	ביחס לאדם המבקש, סעיף 6(1)(b); ביחס למפעיל ולאנשים המוצגים, סעיף 6(1)(f); מניעת שימוש לרעה, סעיף 6(1)(f)
P2 בדיקת לקוחות פוטנציאליים	סעיף 6(1)(f) (האינטרס הלגיטימי של הסוכנות ושל formexposed)
P3 מחקר	סעיף 6(1)(f)
P4 בדיקת דומיינים של לקוחות	סעיף 6(1)(b) ביחס ללקוח; למידע של צדדים שלישיים באתרו, הוראות הלקוח לפי סעיף 28
P5 סריקה מאחורי כניסה לחשבון	הוראות הלקוח לפי סעיף 28; הבסיס המשפטי של הלקוח
P6 בדיקת מסירה	הוראות הלקוח לפי סעיף 28; הבסיס המשפטי של הלקוח (בנוסח שאנו מציעים ללקוחות, סעיף 6(1)(f))
P7 הגנה משותפת	סעיף 6(1)(f) (הגנה משותפת מפני ספאם באתרים רבים)

האינטרס הלגיטימי שלנו ב-P1 עד P3 הוא להראות למפעילים ולספקי השירות שלהם חולשות בטפסיהם לפני שהן מנוצלות לספאם או לשימוש לרעה, ולספק את השירות. המידע מגיע ממקורות הנגישים לציבור. איזון האינטרסים מפורט בסעיף 7; השאלה אם סעיף 6(1)(f) תומך בבדיקת אתרים של צדדים שלישיים לפי בקשה היא שאלה פתוחה לבדיקה המשפטית.

6.10 נמענים והעברות למדינות שלישיות

נמען	מה	פעולת עיבוד	מצב
אין נמען מחוץ ל-formexposed	תוצאות בדיקות, צילומי מסך, סיווג על ידי מודל השפה	P1–P5	שירות הבדיקה ומודל השפה פועלים בשרתים שלנו עצמנו; בנתיב הבדיקה של הסורק לא נמצאה פנייה לצד שלישי מלבד לאתר הנבדק עצמו, לשירותים שאת תוכנם הוא מטמיע (כמו אצל כל מבקר), ולשירות RDAP של rdap.org לצורך גיל הדומיין (שם הדומיין בלבד); רכיבי המעקב של הניטור מפורטים בשורה הבאה
כל מי שמכיר את הקישור	דוח עם ממצאים וצילומי מסך	P1, P2, P4	קישור אקראי בעל 128 סיביות (`cfg/check_lib.php`), דפים עם `noindex` (`www/report.php`)
שירותים שאליהם פונה הניטור של דומיין לקוח	רשימות חסימת DNS (SpamCop, PSBL, Mailspike, SURBL): דומיינים וכתובות IP של שרתים, ללא מידע מבקרים; Google Web Risk רק אם הוגדר: כתובת דף הבית; רשויות חותמות הזמן Certum ו-DigiCert: רק ערך גיבוב של יומן הראיות; RDAP דרך מרשם IANA: שם הדומיין בלבד; דפי מצב של ספקים: דבר אינו מועבר; wpvulnerability.net: מזהה תוסף (ללא גרסה) או ערכת עיצוב וגרסת WordPress	P4	בשימוש; פרטים ברישום פעילויות העיבוד ובדף מעבדי משנה
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	עותקי בקרה לרבות הודעות אמיתיות של מבקרים	P6	החוזה טרם נכרת; מקום העיבוד ומנגנון ההעברה עדיין טעונים בחינה
Namecheap, Inc. (ארצות הברית)	רשם ו-DNS; עד להגדרת תיבת הדואר, העברה אוטומטית של הודעות דוא״ל כלליות לכתובות בדומיין שלנו, ולא של עותקי הבקרה (אלה מגיעים לתיבת הדואר רק באמצעות רשומות MX המפנות אליה ישירות)	– (ללא עותקי בקרה)	מנגנון ההעברה טעון בחינה
ערוצי התרעות שבוחר הלקוח (דוא״ל, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	אירוע, דומיין, קישור; בבדיקת האותנטיות, דומיין השולח אם הוא אינו שייך לאתר	P4, P6	יעד שבחר הלקוח; בחלקו מחוץ לאיחוד האירופי. אנו שולחים הודעות Telegram באמצעות הבוט שלנו; מנגנון ההעברה לכך הוא שאלה פתוחה לבדיקה המשפטית
כל האתרים המחוברים	רשימת דומיינים של קישורים	P7	באמצעות התשובה לתוסף
בדיקת אימות שנייה	דומיין, כתובת טופס, בורר, שלבים	P4	כבויה

6.11 שמירה, מה שנמדד ולא מה שמתוכנן

המחיקה מתבצעת ברובה בלילה ב-03:00 בתהליך המצב (srv/cron_status.php, cfg/fristen_lib.php); דיווחי ההגנה המשותפת ושורות לקוחות פוטנציאליים נמחקים מדי יום החל מ-04:00, ושיוכי בדיקת המסירה בכל אחזור; דוחות אנונימיים ודוחות לקוחות פוטנציאליים נמחקים לפי תאריך פקיעתם (cfg/check_lib.php). צילומי מסך נמחקים מהדיסק יחד עם הסריקה שלהם (cfg/fristen_lib.php).

מידע	תקופה לפי הקוד	הפניה למקור	ממצא
בדיקה חינמית לרבות תמונות	30 ימים	`cfg/check_lib.php`	נאכף בפועל
בדיקת לקוחות פוטנציאליים לרבות תמונות	90 ימים	`cfg/akquise_lib.php`; `srv/cron_status.php` (שורות לקוחות פוטנציאליים)	נאכף בפועל
בדיקות של דומיין לקוח	13 חודשים; האחרונה נשמרת כל עוד הדומיין קיים	`cfg/fristen_lib.php`	נאכף בפועל
תוצאות תהליכי שימוש בדפדפן לרבות תמונות מושחרות	13 חודשים	`cfg/fristen_lib.php`	נאכף בפועל
מידע של דומיין שנמחק	מייד; רשומות יתומות בלילה	`cfg/fristen_lib.php` (`fe_domain_loeschen()`, `fe_fristen_lauf()`)	נאכף בפועל, לרבות מלאי הסקריפטים ושינויי הסקריפטים, שאין להם תקופת שמירה משלהם מעבר לכך (ראו רישום פעילויות העיבוד)
מחקר: נתונים גולמיים לרבות תמונות	בעת הפרסום	`cfg/studie_lib.php`	ללא פרסום אין מגבלת זמן; רשימת המארחים שנבדקו נשארת ללא מגבלת זמן גם לאחר הפרסום
בדיקות פנימיות ללא דומיין וללא דוח	אין	–	אין מחיקה; נמדדו: 85 בדיקות עם 369 תמונות מאז 22 בספטמבר 2026 (R4)
שיוכי בדיקת מסירה	180 ימים	`cfg/zustellung_lib.php`	נאכף בפועל
תוצאת בדיקת האותנטיות המשויכת לדומיין	עד לתוצאה הבאה או למחיקת הדומיין	`cfg/zustellung_lib.php`	נדרסת, ללא מגבלת זמן
עותקי בקרה בתיבת הדואר	עד לאחזור המוצלח הבא (מרווח של חמש דקות)	`cfg/zustellung_lib.php`	עותקים וגיבויים אצל ספק תיבת הדואר לא אומתו
פרטי כניסה לסריקה מאחורי כניסה לחשבון	עד למחיקה על ידי הלקוח או למחיקת הדומיין; במשימה לכל היותר עד לתום הריצה, שאריות לאחר שעה	`cfg/login_lib.php`	נאכף בפועל; בגיבויים רק כטקסט מוצפן למשך עד 14 ימים
דיווחים בהגנה המשותפת	30 ימים	`cfg/swarm_lib.php`	נאכף בפועל
מגבלות הבדיקה החינמית (IP, מדינה, גיבוב הפעלה)	7 ימים	`srv/cron_status.php`	נאכף בפועל
רישומים על התנהגות חריגה עם כתובת IP	90 ימים לאחר פתרון	`srv/cron_status.php`	רישומים שלא נפתרו ללא מגבלת זמן; נמדדו: 3 רישומים, כולם נפתרו
כתובת IP, מדינה ודפדפן הנוגעים להחרגה	12 חודשים; ההחרגה נשארת	`cfg/fristen_lib.php`	נאכף בפועל
גיבויי מסד נתונים	14 ימים	`cfg/backup_lib.php`	נאכף בפועל; הגיבויים נשמרים כיום באותו מיקום כמו מסד הנתונים ואינם מוצפנים בנפרד; עותק מוצפן במיקום שני מתוכנן (R13)

7. (b) הערכת הנחיצות והמידתיות

אמת המידה היא המטרות המוצהרות: להראות למפעילים אם הטפסים שלהם מוגנים מפני ספאם ושימוש לרעה (P1 עד P5), לבדוק אם הודעות דוא״ל מטפסים מגיעות ונראות אותנטיות (P6), ולהתגונן במשותף מפני ספאם באתרים רבים (P7). מטרות אלה לגיטימיות. השאלה לפי סעיף 35(7)(b) מצומצמת יותר: האם העיבוד הזה נחוץ למטרה בעומק הזה, והאם הפגיעה מידתית ביחס לתועלת?

רכיב	נחוץ למטרה?	מידתי במתכונת שנבנתה?
אחזור של כמה דפים ציבוריים, מבנה הטפסים ואמצעי ההגנה שזוהו	כן. בלעדיהם אין ממצא.	כן. לכל היותר שמונה דפים (בתוספת התצוגות מסעיף 6.1), איסור על דף הבית ב-robots.txt מכובד, ללא ערכים של שדות גלויים, כתובות נמענים כדומיין בלבד.
צילום מסך לכל טופס	כן, כראיה בדוח: המפעיל יכול לראות לאיזה טופס הכוונה.	במידה רבה. השדות ריקים משום שהסורק אינו מקליד דבר. עם זאת, התמונה מציגה את סביבת רכיב הטופס ללא השחרה כלשהי (R3).
צילום מסך של דף הבית	אינו נדרש לממצא עצמו. הוא משמש לזיהוי האתר שנבדק בדוח.	רק במידה מוגבלת; מתוכנן צמצום נוסף. דפי בית מציגים לעיתים קרובות אנשים: תמונות צוות, אנשי קשר, המלצות לקוחות עם שמות. ראו R3 וסעיף 9.3.
קריאת ערכי שדות נסתרים (24 התווים הראשונים, רק במהלך הבדיקה)	כן: אסימונים וחותמות זמן מזוהים מתוכם.	כן. נשמרת רק תוצאת הזיהוי ולא הערך, גם מאחורי כניסה לחשבון (R8).
דף תגובה לשליחת הבדיקה (תמונה ו-300 תווי טקסט)	כן, כראיה לאופן שבו הטופס הגיב.	כן. התגובה נוגעת להודעת הבדיקה המסומנת שלנו ללא מידע אישי.
סיווג על ידי מודל השפה	מועיל, לא נחוץ: בלעדיו יותר טפסים נשארים “unknown”.	כן. מקומי, ללא חשיפה, ללא זכות לשלוח.
תוכנית פעולה מקומית מממצאים נבחרים וממטא-נתוני סריקה	מועילה לתעדוף התיקונים, אינה נחוצה להפקת הממצאים הפרטניים.	מוגבלת למטא-נתוני סריקה קיימים ולכל היותר 18 ממצאים מובחנים שנכשלו או שאינם ברורים, ללא צילומי מסך או ערכי שדות שהוזנו בהנחיה למודל. התוכנית מייעצת ומסומנת כנוצרת בבינה מלאכותית; הממצאים הפרטניים נשארים הקובעים. כתובות URL והערות עדיין עשויות להכיל מידע אישי, והטקסט שנוצר נשמר לפי תקופות השמירה של הסריקה ונגיש לכל מי שמחזיק בקישור. מגבלות אלה מצמצמות חשיפה, אך אינן מוכיחות דיוק עובדתי (R10).
שליחות בדיקה פעילות	כן. אם הגנה פועלת מתברר רק כאשר בודקים אותה.	כן, עם תקרה וסימון. עם זאת, התנאי המוקדם – הוכחת שליטה – לעולם אינו מחודש (R7).
חיפוש קבצים חשופים	כן עבור הלקוח, שנתוני הטפסים שלו עשויים להיות חשופים שם.	כן. רק דומיינים מאומתים, לכל היותר 8 KB, התוכן לעולם אינו נשמר.
סריקה מאחורי כניסה לחשבון	כן עבור טפסים באזור החברים, שאלמלא כן היו נשארים ללא בדיקה.	במידה רבה. ההצפנה והמחיקה נבנו בקפידה; עם זאת, הכניסה לחשבון מקבלת חיבורים לא מוצפנים ותעודות פגומות (R8).
עותק בקרה של הודעות אמיתיות ממבקרים	לא לצורך הוכחת מסירה. זו מסתמכת רק על עותק הבדיקה שלנו (`cfg/zustellung_lib.php`). הודעות אמיתיות נלוות לכך משום שעותק מוסתר בטופס אינו מבחין בין בדיקה להודעה אמיתית. הן מועילות לבדיקת האותנטיות (SPF, DKIM, DMARC) משום שהן מציגות את נתיב השליחה בפועל.	בחלקו. התוכן אינו נשמר אך נקרא, והוא נשאר אצל ספק תיבת הדואר, שהחוזה איתו עדיין פתוח, עד לאחזור (R1, R2). תכנון פחות פולשני אפשרי מבחינה טכנית: באמצעות התוסף שלנו ניתן יהיה להגביל את העותק המוסתר להודעות בדיקה מסומנות (סעיף 9.3).
שמירת דומיין השולח של הודעות אמיתיות	בחלקה: היא מציגה אם הטופס שולח עם כתובת המבקר כשולח (סיבה נפוצה לסיווג כספאם).	בתנאים מסוימים. עבור אדם פרטי בעל דומיין משלו, הדומיין הוא מידע אישי, והוא נכלל בהתרעה ללקוח ולערוציו (R1).
רשימה משותפת של דומייני קישורים	כן. קישור ספאם המופיע באתרים רבים בו-זמנית הוא אות חזק שאין לאתר בודד.	כן, עם ספי מינימום, חריגים והסגר במקום מחיקה. רשתות IP לא יהיו מידתיות ללא הערכה חדשה.
נתונים גולמיים של המחקר	עד להערכה, כן.	ללא תקופה מרבית, לא (R4).
דוח בקישור אקראי	כן. העברת הדוח – למשל לספק השירות המטפל באתר – היא מטרת הבדיקה החינמית.	כן. קישור אקראי בעל 128 סיביות, `noindex`, דוח חינמי כקטע בלבד (`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`), מחיקה לאחר 30 ימים.

חוקיות. עבור P1 עד P3 ו-P7 אנו מסתמכים על סעיף 6(1)(f). שיקולים התומכים באיזון: המידע ציבורי ומאוחזר באותו אופן שבו כל מבקר עושה זאת; לא נשלח דבר; מידע אישי הוא אגבי ומצומצם; התקופות קצרות; המפעיל יכול להחריג בדיקות נוספות של הסורק באמצעות איסור על דף הבית ב-robots.txt, וכל בדיקה נוספת באמצעות דף ההחרגה שלנו, באופן מיידי וללא הוכחה; התועלת – טופס מוגן – נצמחת גם למפעיל ולמבקריו. שיקולים מנוגדים: המפעיל אינו יודע דבר על הבדיקה, הדוח מיועד לצדדים שלישיים, ובמקרה של עצמאים הוא מעריך אדם. אנו רואים את האיזון כניתן להצדקה כל עוד האמצעים מסעיף 9.1 נשארים בתוקף; אישור משפטי טרם התקבל.

מידע לנושאי מידע (סעיפים 13 ו-14). אנו מיידעים מפעילים ואנשים בדפים שנבדקו באמצעות דף הסורק, המצוין במזהה של כל אחזור, באמצעות מדיניות הפרטיות ובאמצעות דף ההחרגה. יידוע פרטני של אנשים המופיעים באופן אגבי בצילום מסך יהיה אפשרי רק אם נזהה אותם – דבר שיהווה פגיעה נוספת וחמורה יותר. בהיקף זה אנו מסתמכים על סעיף 14(5)(b). מבקרים שהודעותיהם עוברות דרך עותק הבקרה מיודעים על ידי הלקוח; ההסכם לעיבוד מידע דורש זאת, ואנו מספקים קטע נוסח לשם כך.

צמצום מידע (סעיף 5(1)(c)). הוא ניכר במקומות רבים ומעוגן בקוד: ללא ערכי שדות, כתובות נמענים כדומיין בלבד, מזהי חשבונות בכתובות סקריפטים מוסתרים, ללא תוכן מעותק הבקרה במסד הנתונים, ללא צילומי מסך מאחורי כניסה לחשבון, ורק דומיינים בהגנה המשותפת. בשני מקומות צמצום נוסף אפשרי ומתוכנן (סעיף 9.3): בצילום מסך דף הבית ללא השחרה ובדומיין השולח של הודעות אמיתיות.

הגבלת אחסון (סעיף 5(1)(e)). מאז 27 בספטמבר 2026, הריצה הלילית מקיימת את התקופות שבמדיניות הפרטיות עבור מידע לקוחות ומנקה מידע שנותר ללא דומיין משויך מהתקופה שלפני כן (cfg/fristen_lib.php). שני נתיבים ללא מגבלת זמן נשארים פתוחים: בדיקות פנימיות ומחקרים שלא פורסמו (R4).

דיוק (סעיף 5(1)(d)). ממצא יכול להיות שגוי: טופס נראה ללא הגנה משום שההגנה נטענת רק לאחר פעולה, או שחומת אש התייחסה לסורק אחרת מאשר למבקר. עבור מפעיל שהאתר שלו מופץ בפומבי כ“ללא הגנה”, זו שאלת מוניטין. לכן הדוח מציין את השיטה, מציג ראיות ומצביע על מגבלותיה של בדיקה מבחוץ.

תוצאה ביחס למידתיות: בדיקת אתרים של צדדים שלישיים ושל אתרים שלנו היא, במתכונת שנבנתה, מידתית בעיקרה. בשלושה מקומות נדרש שיפור שניתן להשיג באמצעים רגילים ושעבורו מתוכננים אמצעים (סעיף 9.3): צילומי מסך דף הבית, בדיקות פנימיות ללא מגבלת זמן והכניסה הלא מוצפנת בסריקה מאחורי כניסה לחשבון. בדיקת המסירה מידתית עבור עותק הבדיקה ועבור בדיקת האותנטיות; ביחס להודעות אמיתיות של מבקרים הדבר מתקיים רק כל עוד התוכן שלהן אינו נשמר, הנתיב דרך ספק תיבת הדואר מעוגן בחוזה והלקוח מיידע את המבקרים שלו. כיום הנקודה השנייה מבין שלוש אלה חסרה.

8. (c) הערכת הסיכונים לזכויות ולחירויות של נושאי מידע

מה שמוערך הוא הסיכון לנושאי המידע ולא ל-formexposed. הסבירות מדורגת כקלושה, אפשרית, סבירה או התממשה; “התממשה” משמע שהאירוע אינו תחזית אלא מצב שנמדד. החומרה מדורגת כמוגבלת, משמעותית, חמורה או חמורה מאוד, בהתאם למה שהאדם עלול לאבד: סודיות הודעתו, שליטה בחשבון, המוניטין העסקי שלו, היכולת לממש זכות. הרמה נגזרת משניהם ומתארת את המצב הנוכחי עם האמצעים מסעיף 9.1.

מס׳	סיכון	פעולת עיבוד	סבירות	חומרה	רמה
R1	הודעות אמיתיות של מבקרים בעותק הבקרה, לרבות קטגוריות מיוחדות אפשריות	P6	מתממשת עם ההפעלה	חמורה	גבוהה
R2	נתיב עותק הבקרה דרך ספק תיבת הדואר ללא חוזה שנכרת ועם קשר אפשרי למדינה שלישית	P6	סבירה כל עוד החוזה חסר	חמורה	גבוהה
R3	צילומי מסך של אתרים של צדדים שלישיים ללא השחרה	P1–P4	סבירה	מוגבלת	בינונית
R4	נתוני בדיקות וצילומי מסך ללא נתיב מחיקה	P3, בדיקות פנימיות	התממשה	משמעותית	גבוהה
R5	בדיקה ודירוג ציבורי של אתרים של צדדים שלישיים ללא ידיעת המפעיל; שימוש לרעה ככלי איסוף מודיעין	P1	אפשרית	משמעותית	בינונית
R6	בדיקת לקוחות פוטנציאליים כבסיס לפניות שלא התבקשו	P2	סבירה	מוגבלת	בינונית
R7	הוכחת שליטה לעולם אינה מחודשת	P4, P5	אפשרית	משמעותית	בינונית
R8	פרטי כניסה ותוכן בסריקה מאחורי כניסה לחשבון	P5	אפשרית	חמורה	בינונית; גבוהה לחשבונות אמיתיים
R9	שליחות בדיקה פעילות ובדיקת קבצים באתר הלקוח	P4	קלושה	משמעותית	נמוכה
R10	סיווג באמצעות מודל שפה	P1–P4	קלושה	מוגבלת	נמוכה
R11	רשימת חסימה משותפת מדיווחי אתרים רבים	P7	אפשרית	מוגבלת	נמוכה עד בינונית; גבוהה עם רשתות IP
R12	דוחות וצילומי מסך בקישור ציבורי	P1, P2, P4	אפשרית	מוגבלת	נמוכה
R13	חולשות תשתית: גיבויים, גישה לשרת, שרת סריקה	הכול	אפשרית	חמורה	גבוהה
R14	זכויות נושאי מידע עבור אנשים שאינם מכירים אותנו	P1–P6	סבירה	מוגבלת	נמוכה

R1 – הודעות אמיתיות של מבקרים בעותק הבקרה

זהו הסיכון החמור ביותר של השירות, והוא אינו נובע משגיאה אלא מהתכנון. עותק מוסתר בטופס אינו מבחין בין הודעת הבדיקה שלנו להודעת מבקר. אם לקוח מפעיל את בדיקת המסירה, כל הודעה הנשלחת דרך אותו טופס מגיעה לתיבת הבקרה שלנו (cfg/zustellung_lib.php). האחזור קורא את הכותרות ואת 8 KB הראשונים של הטקסט לזיכרון כדי לחפש את מזהה הבדיקה שלנו (cfg/zustellung_lib.php). בטופס יצירת קשר רגיל, מדובר בשם, בכתובת דוא״ל, במספר טלפון ובהודעה המלאה.

המבקר הוא שמחליט מה לכתוב, והשדה מזמין תוכן אישי: בקשת תור הכוללת תיאור תסמינים למרפאה, תיאור סכסוך משפטי למשרד עורכי דין, מועמדות לעבודה או פנייה על ילד לבית ספר. המסמכים המשפטיים שלנו אומרים ש“מומלץ שהעותקים לא יכילו קטגוריות מיוחדות של מידע אישי”. זו בקשה ללקוח ולא אמצעי הגנה: לא הלקוח ולא אנחנו יודעים מראש מה מבקר יכתוב.

לכך שייכים שני נתיבים צדדיים. ראשית, בדיקת האותנטיות שומרת את הדומיין של כתובת השולח עבור הדומיין (cfg/zustellung_lib.php). אם הטופס שולח עם כתובת המבקר כשולח, זהו הדומיין של המבקר – חסר משמעות אצל ספק דוא״ל גדול, אך מידע אישי עבור אדם בעל דומיין משלו. דומיין זה מופיע גם בהתרעה הנשלחת ללקוח ולערוצים שבחר (cfg/zustellung_lib.php). שנית, היא שומרת את כתובת שרת הדוא״ל השולח (cfg/zustellung_lib.php); ככלל, זהו שרת האתר ולא של המבקר.

סבירות – מתממשת עם ההפעלה. השאלה אינה אם מגיעות הודעות אמיתיות, אלא כמה. לפי המדידה במערכת הפיתוח, הפעולה אינה מופעלת עבור אף דומיין. חומרה – חמורה. סודיותה של הודעה לעסק חשובה לאנשים רבים, ואצל חלק מהלקוחות הטיפוסיים יש לצפות למידע לפי סעיף 9. החומרה מופחתת משום שהתוכן אינו מגיע למסד הנתונים, נשאר בתיבת הדואר רק לזמן קצר ואינו נקרא על ידי אדם כלשהו ב-formexposed. רמה – גבוהה.

R2 – נתיב עותק הבקרה דרך ספק תיבת הדואר ללא חוזה שנכרת

לפני שהאחזור שלנו רואה עותק בקרה, הוא מוחזק בתיבת הדואר אצל Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. הוא מגיע לשם רק אם רשומות ה-MX של הדומיין שלנו מפנות ישירות לתיבת דואר זו; שירות ההעברה האוטומטית אצל רשם הדומיין Namecheap, Inc. אינו תחנה של עותקי הבקרה (באמצעות העברה אוטומטית הם אינם מגיעים לתיבת הדואר). עבור התחנה שנותרה, ההסדרים החוזיים עדיין פתוחים: החוזה עם ספק תיבת הדואר לא נכרת, מיקומי האחסון שלו, מעבדי המשנה ותקופות הגיבוי לא נקבעו, והשאלה אם נדרשת החלטת נאותות או סעיפים חוזיים אחידים עבור מקום העיבוד שלו ואם הם חלים, פתוחה. עבור הודעות הדוא״ל התפעוליות שלנו עצמנו, זהו עניין של עיצוב החוזה. עבור עותקי הבקרה העניין חמור יותר: מדובר במידע שאנו מקבלים כמעבד מידע, וכל ספק שירות לאורך הנתיב הוא מעבד משנה שאנו אחראים לו לפי סעיף 28(4).

בנוסף, “נמחק לאחר האחזור” חל רק על התצוגה שלנו של תיבת הדואר. השאלה אם הספק שומר הודעות דוא״ל שנמחקו בגיבויים שלו או באשפה, ולכמה זמן, לא אומתה. אם אחזור נעצר, הודעות הדוא״ל נשארות עד לריצה המוצלחת הבאה (cfg/zustellung_lib.php); אם תהליך המצב כושל, הן נשארות ללא הגבלת זמן. לבסוף, אבטחת האחזור עצמו היא אחת הנקודות שיש לבדוק במערכת הייצור לפני ההשקה (סעיף 9.3).

סבירות – סבירה כל עוד החוזה חסר: כל עותק בקרה עובר בנתיב זה. חומרה – חמורה, מאותן סיבות כמו R1. רמה – גבוהה. רשימת הבדיקה להגדרת היישום מדווחת על תיבת הדואר החסרה כאזהרה; אין נעילה החוסמת את בדיקת המסירה בהיעדר חוזה מתועד.

R3 – צילומי מסך של אתרים של צדדים שלישיים ללא השחרה

הסורק מצלם את האזור הגלוי של הדף הראשון ותמונה של רכיב הטופס של כל טופס גלוי (scanner/src/crawl.js). דבר אינו מושחר בתהליך. המצב שונה בתהליכי שימוש בדפדפן: שם שדות קלט מכוסים לפני צילום המסך (scanner/src/browser.js). לכן רק התמונות מתהליכי שימוש בדפדפן הן “מנוקות”, ולא אלה של הסורק ולא תמונת דף התגובה מבדיקה פעילה.

משום שהסורק אינו מקליד דבר, שדות הטופס ריקים. עם זאת, דף הבית של עסק קטן מציג לעיתים קרובות את הבעלים, את הצוות, המלצות לקוחות עם שמות ותמונות, או חלון צ׳אט עם תמונת עובד. כל זה ציבורי; צילום המסך הופך אותו לעותק הנשמר אצלנו, מופיע בדוח וניתן להעברה עם הקישור.

סבירות – סבירה. במאגר הנתונים של מערכת הפיתוח נמדדו 432 צילומי מסך. חומרה – מוגבלת: התוכן כבר ציבורי, והתקופות לבדיקות ללא חשבון קצרות. רמה – בינונית, משום שהאנשים המוצגים אינם מודעים לכך ותמונת דף הבית אינה נחוצה לממצא.

R4 – נתוני בדיקות וצילומי מסך ללא נתיב מחיקה

הריצה הלילית מוחקת בדיקות בשני נתיבים: באמצעות תאריך פקיעת דוח (cfg/check_lib.php) ובאמצעות התקופה לבדיקות של דומיין לקוח (cfg/fristen_lib.php, רק לבדיקות עם דומיין). בדיקה שאין לה דוח או דומיין נופלת בין שני הנתיבים. אלה הבדיקות ברמת האמון “internal”: מחקרים ובדיקות שהספק יוצר משורת הפקודה.

מחקרים מוחקים את הנתונים הגולמיים שלהם בעת הפרסום (cfg/studie_lib.php). אם מחקר לעולם אינו מתפרסם – משום שיש בו מעט מדי אתרים עם טופס (אז cfg/studie_lib.php מסרב לפרסום), או משום שהוא נזנח – בדיקות, טפסים, ממצאים וצילומי מסך נשארים ללא מגבלת זמן.
לבדיקות פנימיות משורת הפקודה אין נתיב מחיקה כלל. נמדדו ביום 11 באוקטובר 2026: 85 בדיקות כאלה של אתרים של צדדים שלישיים עם 978 טפסים ו-369 צילומי מסך, הוותיקה ביותר מיום 22 בספטמבר 2026, ולאף אחת אין דוח או דומיין.
רישומים על התנהגות חריגה בבדיקה החינמית מכילים את כתובת ה-IP ונמחקים 90 ימים לאחר פתרונם (srv/cron_status.php). רישום שלעולם אינו נפתר נשאר. נמדדו: שלושה רישומים, כולם נפתרו.

סבירות – התממשה. 85 הבדיקות אינן תרחיש אלא מידע קיים. במערכת הפיתוח אלה בדיקות מניסוי שטח; אותו קוד חל במערכת הייצור. חומרה – משמעותית: אין תקופת שמירה למידע זה. ביחס לעקרון הגבלת האחסון (סעיף 5(1)(e)), זהו נושא פתוח עם אמצעי מתוכנן (סעיף 9.3, עדיפות “ראשונה”), והוא משפיע דווקא על אנשים שאינם יודעים דבר על הבדיקה. בדיקות פנימיות מתוארות ברישום פעילויות העיבוד; מדיניות הפרטיות עדיין אינה מציינת אותן בנפרד (סעיף 9.4). רמה – גבוהה.

R5 – בדיקה ודירוג ציבורי של אתרים של צדדים שלישיים ללא ידיעת המפעיל

כל אדם יכול לבקש בדיקה של כל אתר הנגיש לציבור, ללא חשבון וללא קשר כלשהו אליו. המפעיל אינו מקבל הודעה. התוצאה היא דוח המדרג את האתר כ“ללא הגנה”, “הגנה חלקית” או “מוגן”, ושכל מי שיש בידו הקישור יכול לראות. ניתן להעלות על הדעת שתי השלכות על נושאי מידע. עצמאי מקבל דירוג בפומבי – גם אם רק עבור נמעני הקישור – שעשוי להיות ממצא שגוי. והדוח מראה לשולח ספאם איזה טופס ניתן למלא ללא מכשול.

מול זאת עומדת סדרת חסימות (cfg/check_lib.php): לכל היותר בדיקה אחת לכל דומיין בשבעה ימים, ולאחר מכן אותו דוח; מגבלות לכל כתובת IP והפעלה; תקרה יומית לשירות כולו; ללא בדיקות של דומיינים חדשים מאוד, האופייניים לשימוש לרעה; רישום ואות להתנהגות חריגה; robots.txt והחרגה הנבדקים פעמיים (cfg/check_lib.php ובשירות הבדיקה). הדוח החינמי הוא קטע: הוא מציג רק את הממצאים הבסיסיים, ולא את הראיות של כל הגלאים. והוא אינו אומר דבר שבוט לא היה יכול לגלות בעצמו בתוך שניות – טופס לא מוגן גלוי מבחוץ.

סבירות – אפשרית. חומרה – משמעותית עבור עצמאי שהטופס שלו הופך למטרה לאחר דוח או שהדירוג שלו שגוי. רמה – בינונית.

R6 – בדיקת לקוחות פוטנציאליים כבסיס לפניות שלא התבקשו

בממשק, בדיקת לקוחות פוטנציאליים מתוארת כ“פתח לשיחה הראשונה”. הסוכנות היא שמחליטה כיצד להשתמש בממצא המקוצר; מבחינה טכנית היא יכולה לשלוח אותו גם למפעיל שלא ביקש אותו. איננו יוצרים קשר עם איש (cfg/akquise_lib.php), ותנאי השירות מחייבים את הסוכנות לקיים את הכללים בדבר פרסום ופנייה. עם זאת, הודעת דוא״ל שלא התבקשה הכוללת את הממצא היא שיווק ישיר גם בין עסקים, שבפולין (סעיף 398 לחוק התקשורת האלקטרונית (Prawo komunikacji elektronicznej, PKE)) ובגרמניה (§ 7(2) לחוק הגרמני נגד תחרות בלתי הוגנת (Gesetz gegen den unlauteren Wettbewerb, UWG)) דורש הסכמה מראש. הממשק אינו מציין זאת; הטקסטים של בדיקת הלקוחות הפוטנציאליים מדברים רק על “פסיבי” ועל “רשימת החרגה”.

סבירות – סבירה, משום שהפעולה משמשת לגיוס לקוחות ואיננו יכולים לאמת אם הנמען הסכים. חומרה – מוגבלת: עבור המפעיל זו הודעת שיווק מטרידה עם דירוג של האתר שלו. רמה – בינונית. הסיכון נמצא בהתנהלות הסוכנות; משום שהפעולה מגיעה מאיתנו, מתוכננת הודעה בממשק (סעיף 9.3).

R7 – הוכחת שליטה לעולם אינה מחודשת

שליחות בדיקה פעילות, חיפוש קבצים חשופים והסריקה מאחורי כניסה לחשבון מחייבים שהלקוח הוכיח שהוא רשאי לשלוט בדומיין. הוכחה זו נבדקת פעם אחת (cfg/verify_lib.php) ולעולם לא שוב. אין בקוד נתיב שבו דומיין מאבד את ההוכחה שלו. אם הדומיין מחליף בעלים, סוכנות מסיימת את התקשרותה או שהמפעיל מסיר את רשומת ה-DNS, הבדיקות נמשכות – עד תדירות יומית, עם עד חמש שליחות בדיקה, וככל שנשמר, עם פרטי הכניסה של חשבון בדיקה שהמפעיל החדש עשוי שלא לדעת עליו. לעומת זאת, לא ניתן להעביר את ההוכחה למארח אחר באמצעות שינוי שם: לא ניתן לשנות את שם המארח של דומיין בעל הוכחת שליטה.

סבירות – אפשרית: שינויים בדומיין ובהתקשרות הם אירועים יומיומיים אצל סוכנויות. חומרה – משמעותית עבור המפעיל החדש ועובדיו, המקבלים הודעות בדיקה מסומנות ושבאתרם מתבצע חיפוש קבצים חשופים ללא הסכמתם. רמה – בינונית. הודעות הבדיקה מסבירות את עצמן ומפנות לדף הסורק ולהחרגה; ההחרגה פועלת גם נגד בדיקות של לקוחות.

R8 – פרטי כניסה ותוכן בסריקה מאחורי כניסה לחשבון

ההצפנה של פרטי הכניסה נבנתה בקפידה: שרת האינטרנט אינו יכול עוד לקרוא אותם לאחר השמירה, מסד הנתונים והגיבוי מכילים רק טקסט מוצפן, הרשומה מקושרת לדומיין שלה, פרטי הכניסה נכנסים למכולה רק דרך הקלט הסטנדרטי ולאחר מכן מנוקים מהזיכרון (סעיף 6.5). נותרו שני פערים; נקודה שלישית נוגעת לקריאה בלבד ולא לשמירה.

כניסה לא מוצפנת מותרת. בדיקת הכתובת מאפשרת http לצד https (cfg/login_lib.php, scanner/src/login.js). אם הלקוח מזין דף כניסה עם http, שם המשתמש והסיסמה עוברים באינטרנט בטקסט גלוי בכל בדיקה.
שגיאות תעודה אינן עוצרות את הכניסה. כיום הכניסה אינה נפסקת כאשר התעודה של אתר הלקוח אינה תקפה (scanner/src/login.js). לכן התעודה אינה מגינה באופן מלא על פרטי הכניסה בדרכם לאתר הלקוח. הפסקה במקרה של שגיאות תעודה מתוכננת (סעיף 9.3, עדיפות “ראשונה”).
ערכי שדות נסתרים מאחורי הכניסה נקראים ואינם נשמרים. הסורק קורא את 24 התווים הראשונים של ערך שדות נסתרים (scanner/src/crawl.js), ואותה פונקציית חילוץ פועלת מאחורי הכניסה לחשבון (scanner/src/login.js). שם שדות נסתרים מכילים לעיתים קרובות מספר חשבון, מזהה משתמש או כתובת הדוא״ל של החשבון המחובר; עם זאת, רק שם השדה, הסוג, התווית ותוצאת הזיהוי מגיעים למפת השדות ולממצאים.

לכך מתווסף מה שהקוד אינו יכול למנוע: הלקוח מאשר שהוא משתמש בחשבון בדיקה עם הרשאות מעטות ככל האפשר (cfg/login_lib.php), אך יכול להזין חשבון מנהל אמיתי. הלקוח קובע את הדפים שהסורק קורא לאחר מכן; כתובות המכילות מילים להתנתקות ולמחיקה חסומות, אך פעולות אחרות שאתר מפעיל באמצעות בקשה פשוטה אינן חסומות.

סבירות – אפשרית. חומרה – חמורה אם נפגע חשבון בעל הרשאות רחבות; אז אזור החברים עם המידע של כל המשתמשים פתוח. רמה – בינונית לחשבון בדיקה בעל הרשאות מעטות, גבוהה לחשבון אמיתי. לפי המדידה במערכת הפיתוח, לא נשמר חשבון בדיקה.

R9 – שליחות בדיקה פעילות ובדיקת קבצים באתר הלקוח

שליחת בדיקה מגיעה לאנשים הקוראים את הודעות הדוא״ל מהטפסים של הלקוח – עובדיו או ספק שירות. היא אינה מכילה מידע אישי: השולח הוא dummy@formexposed.com, הטקסט והנושא מסומנים ומציינים את מזהה הבדיקה (scanner/src/active.js). הסיכון נמצא בסיווג שגוי: אם הסורק היה מזהה טופס בקשה, הזמנת שירות או ייעוץ כטופס יצירת קשר, הודעת הבדיקה הייתה מגיעה לתהליך שיש לו השלכות. מול זאת עומדים הכללים הנוקשים ל“ניתן לשליחה” (scanner/src/classify.js), החסימה של דומיינים של רשויות ציבוריות, מוסדות חינוך, מרפאות, מרפאות רופאים, משטרה ובתי משפט (scanner/src/classify.js) והוצאת מודל השפה מהחלטה זו (scanner/src/classify.js). מהתגובה נשמרים המצב, כתובת היעד, הכותרת, 300 תווי טקסט ותמונה; הם נוגעים להודעת הבדיקה שלנו.

בדיקת הקבצים קוראת לכל היותר 8 KB מנתיבים טיפוסיים. אם אכן חשוף שם עותק של מסד נתונים, 8 KB אלה עשויים להכיל הזנות טופס של מבקרים. הם נבדקים רק לזיהוי חתימה ומושלכים (cfg/dateien_lib.php); מה שנשמר הוא הנתיב, הסוג והחומרה.

סבירות – קלושה. חומרה – משמעותית. רמה – נמוכה. לפי המדידה במערכת הפיתוח, קיימת במאגר בדיקה פעילה אחת, ללא שליחה שהתקבלה.

R10 – סיווג באמצעות מודל שפה

עבור טפסים שהכללים אינם מזהים, מודל השפה מקבל את כותרת הדף, הכתובת, טקסטי הכפתורים, תיאורי השדות ועד 400 תווים מטקסט הטופס (scanner/src/classify.js). הדבר עשוי לכלול שם, למשל “איש הקשר: …”. הוא פועל בשרת שלנו עצמנו; בקוד דבר אינו מועבר לצד שלישי. השאלה אם תוכנת המודל מתעדת בקשות ביומן לא אומתה. התוצאה שלו קובעת רק את סוג הטופס המוצג ואינה יכולה להפוך טופס לניתן לשליחה; סיווג שגוי מוביל לממצא גרוע יותר ולא לפעולה.

סבירות – קלושה. חומרה – מוגבלת. רמה – נמוכה.

R10 – שלב תוכנית הפעולה הנוסף

עבור דוחות מתאימים בתשלום, אותו מודל מקומי יוצר גם צעדים מייעצים מממצאים נבחרים וממטא-נתוני סריקה. בניגוד לסיווג, התוצר הוא סיכום בשפה טבעית הנשמר עם הסריקה. שמות מארחים, כתובות דפים והערות עשויים להכיל מידע אישי שהמודל עלול לחזור עליו. המלצה שגויה עלולה לגרום לקורא להחליש הגנה או לבצע שינוי מיותר; העברת קישור לדוח עשויה לחשוף מידע אישי שחזר בטקסט לנמען נוסף. הקוד אינו מבצע אוטומטית את ההמלצה, אינו משנה את הציון או המסקנה ואינו בודק את הנכונות העובדתית של הטקסט. הוא מגביל את אורך הקלט והתוצר, מסמן את הסיכום כנוצר בבינה מלאכותית ומציין שהממצאים הפרטניים הם הקובעים. אלה אמצעי בקרה, ולא הוכחה לכך שההמלצות נכונות או שהדוח אנונימי. דירוג הסבירות והחומרה הקודם לסיווג אינו מדרג כשלעצמו את שלב היצירה הנוסף; יש להעריך את הסיכון השיורי שלו יחד עם המידע בפועל והשימוש בבדיקה שבבסיסו.

R11 – רשימת חסימה משותפת מדיווחי אתרים רבים

דומיין ברשימה גורם לכך שהודעות המכילות קישורים אליו מגיעות להסגר בכל האתרים המחוברים. אם הדומיין שייך לאדם פרטי – בעל מלאכה, צלם, בלוג – הודעותיו המכילות קישור לאתרו שלו מגיעות לנמענים באיחור. דומיין כזה יכול להיכנס לרשימה משום ששולחי ספאם מנצלים אותו, או משום שמישהו שולח במכוון לכמה אתרים הודעות שייכשלו ויכילו אותו.

מול זאת עומדים (cfg/swarm_lib.php): מינימום של שלושה אתרים שונים וחמש התאמות בתוך שבעה ימים; חריגים קבועים לשירותים גדולים; דומיינים של לקוחותינו לעולם אינם נכללים; הסרה ידנית באמצעות כלי בשרת; הסגר במקום מחיקה; הרשימה נבנית מחדש מדי יום, וכל מה שכבר אינו מדווח יוצא ממנה. הנפגעים אינם יכולים לראות את הרשימה ואין להם נתיב עצמאי לדרוש הסרה, אלא דרכנו.

סבירות – אפשרית. חומרה – מוגבלת, משום שדבר אינו אובד והנמען יכול לשחרר את ההודעה. רמה – נמוכה עד בינונית. אם רשתות IP יופעלו, רשתות של ספקים שלמים יושפעו, כתובות IP הן מידע אישי, והחומרה תעלה למשמעותית: גבוהה.

R12 – דוחות וצילומי מסך בקישור ציבורי

ניתן לגשת לדוחות מהבדיקה החינמית, מבדיקת לקוחות פוטנציאליים ומבדיקות דומיינים של לקוחות ללא כניסה לחשבון, באמצעות קישור אקראי. הקישור מכיל 128 סיביות אקראיות ואינו ניתן לניחוש (cfg/check_lib.php). הדפים נושאים noindex, היישום שולח מדיניות כתובת מפנה המעבירה רק את המקור (www/.htaccess), וצילומי מסך נמסרים רק יחד עם הדוח שאליו הם שייכים; מספר תמונה אחר מחזיר “not found” (www/shot.php). הסיכון אינו קריפטוגרפי אלא אנושי: קישור מועבר הלאה, מועתק לפניית תמיכה או משותף בצ׳אט. פתיחתו מתועדת רק ביומן הגישה לדפים כמו כל צפייה בדף (60 ימים), שבו הקישור עצמו מופיע רק בצורה מוסווית; אין רשימת קוראים לכל דוח.

סבירות – אפשרית. חומרה – מוגבלת, משום שהדוח מציג רק מידע ציבורי ופוקע לאחר 30 או 90 ימים, בהתאמה; דוחות על דומיינים של לקוחות נשארים נגישים כל עוד הבדיקה קיימת (13 חודשים, והאחרונה זמן רב יותר). רמה – נמוכה.

R13 – חולשות תשתית

הנקודות הבאות מפורטות כפתוחות בחבילת הבחינה הפנימית שלנו, ואיננו מטשטשים אותן כאן. אנו מתארים אותן בדיוק הדרוש ללקוחות לצורך ההערכה שלהם עצמם, אך לא בדיוק שיראה לתוקף את הדרך; נספק את הפרטים לרשות פיקוח לפי בקשה.

גיבויי מסד הנתונים נשמרים כיום באותו מיקום כמו מסד הנתונים ואינם מוצפנים בנפרד; עותק מוצפן במיקום שני מתוכנן (cfg/backup_lib.php). עד אז הם אינם מגינים מפני אובדן המיקום, ומי שמשיג את מסד הנתונים משיג גם את הגיבויים. פרטי הכניסה לסריקה מאחורי כניסה לחשבון נכללים בהם רק כטקסט מוצפן.
אין הצפנה של מסד הנתונים בעת מנוחה. החריגים הם השדות המוצפנים בנפרד (פרטי הכניסה של חשבונות הבדיקה, סוד האימות הדו-שלבי).
החיבורים בתוך הרשת הפנימית שלנו אינם מוצפנים לכל אורכם.
ניהול שרתים. אבטחת הגישה הניהולית לשרתים שלנו עדיין אינה עומדת בתקן שאליו אנו שואפים לצורך התפעול; הקשחת ניהול השרתים נמשכת.
סביבת בדיקה. שרת הסריקה פותח אתרים של צדדים שלישיים בדפדפן. מכולות הבדיקה מבודדות – רשת משלהן, ללא הרשאות מיוחדות, לקריאה בלבד, עם מגבלות (scanner/src/worker.js). ההפרדה בין סביבת הבדיקה ליתר חלקי השירות מתחזקת עוד יותר (סעיף 9.3).

סבירות – אפשרית. חומרה – חמורה, משום שבמקרה חירום הכול יושפע בבת אחת. רמה – גבוהה. ניתן לתקן את הנקודות הפרטניות באמצעים רגילים (סעיף 9.3).

R14 – זכויות נושאי מידע עבור אנשים שאינם מכירים אותנו

אדם המופיע באופן אגבי בצילום מסך, או שהודעתו עברה דרך עותק בקרה, בדרך כלל אינו יודע שאנו קיימים. גם אם הוא יודע, אין לו מפתח למידע “שלו”: איננו שומרים אותו לפי אדם אלא לפי דומיין ובדיקה. אנו יכולים להשיב לבקשת גישה לפי סעיף 15 רק אם האדם מציין את הדומיין; אז נוכל לעבור על הבדיקות והתמונות הקיימות. ביחס להודעות אמיתיות של מבקרים אין מה למסור, משום שאיננו שומרים אותן – למעט דומיין השולח מ-R1. ההחרגה פועלת רק עבור מפעילי דומיין ולא עבור אנשים המוצגים בתמונות; עבורם נשאר נתיב הפנייה ל-contact@lukaswojcik.com.

סבירות – סבירה כמצב מבני. חומרה – מוגבלת, משום שהמידע קצר-חיים ואינו מאורגן לפי אדם. רמה – נמוכה.

9. (d) אמצעים לטיפול בסיכונים

לכל אמצעי מצוין מצב, והמצבים אינם קישוט. מיושם כיום – אומת משמע: נקרא בקוד של מערכת הפיתוח, וככל שניתן, נמדד מול מסד הנתונים. חלקי משמע: המנגנון קיים אך עדיין אינו משיג את מטרתו במלואה. מתוכנן משמע: הוצע בהערכה זו וטרם נבנה; הבעלים מחליט אם ומתי. עדיין טעונים קביעה הם הליכים והחלטות ששום קוד אינו מחליף. הערכת השפעה על הגנת מידע המציגה אמצעים מתוכננים כמיושמים מאבדת את ערכה דווקא במצב שבו היא נחוצה.

9.1 מיושם כיום – אומת

אמצעי	מטפל ב	הפניה למקור
הסורק קורא robots.txt לפני כל בדיקה; החרגה המכסה את דף הבית, robots.txt שאינו נגיש או שגיאת שרת מסיימים את הבדיקה (נתיבי משנה אינם נבחנים בנפרד; דופק, אחזור הוכחה, כלי כותרות תגובה וחיפוש קבצים אינם קוראים אותו)	R5, חוקיות	`scanner/src/net.js`
החרגה ללא הוכחה, בתוקף מיידי, לדומיין ולגרסת ה-www שלו, לבדיקות אנונימיות, ללקוחות פוטנציאליים, למחקרים ולבדיקות לקוחות (ניטור מתמשך מסתיים עם הבדיקה המתוכננת הבאה); נבדקת פעמיים (ביישום ובשירות הבדיקה); מוסרת רק על ידינו לפי בקשה עם הוכחה	R5, R7, סעיף 21	`cfg/check_lib.php`; `cfg/akquise_lib.php`; `cfg/studie_lib.php`; `scanner/src/worker.js`
בדיקה חינמית: עצירת חירום, reCAPTCHA, בדיקה אחת לכל דומיין ושבוע, מגבלות לכל כתובת IP והפעלה, תקרה יומית, ללא דומיינים חדשים, רק כתובות ציבוריות, רישום ואות ללא תוכן במקרה של חריגות	R5	`cfg/check_lib.php`
לצורך מגבלות, ההפעלה נשמרת רק כערך גיבוב, ולעולם לא כמזהה ההפעלה	צמצום מידע	`cfg/check_lib.php`
ללא ערכי שדות (התחלות שדות נסתרים ומאפייני נתונים נקראות רק במהלך הבדיקה, סעיף 6.2); כתובות נמענים כדומיין בלבד; מזהי חשבונות בכתובות סקריפטים מוסתרים	צמצום מידע	`scanner/src/crawl.js`
הדוח החינמי הוא קטע: רק ממצאים בסיסיים, ללא ראיות מכל הגלאים	R5	`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`
דוחות בקישור אקראי בעל 128 סיביות, `noindex`, תמונות רק עבור הדוח שלהן ומחוץ לתיקיית האינטרנט הציבורית; הקישור מופיע ביומן הגישה לדפים רק בצורה מוסווית	R12	`cfg/check_lib.php`; `www/report.php`; `www/shot.php`
מחיקה: דוחות אנונימיים לאחר 30 ימים, לקוחות פוטנציאליים לאחר 90 ימים, בדיקות לקוחות לאחר 13 חודשים (האחרונה לכל דומיין נשמרת כל עוד הדומיין קיים), מידע של דומיין שנמחק מייד (לחריגים ראו סעיף 6.11), ובכל מקרה התמונות נמחקות יחד איתם	הגבלת אחסון	`cfg/check_lib.php`; `cfg/fristen_lib.php`
מחקר: פרסום רק כסיכום כולל, פילוחים רק מ-20 אתרים עם טופס לפחות, נתונים גולמיים נמחקים בעת הפרסום	R4 בחלקו, P3	`cfg/studie_lib.php`
מכולות בדיקה: רשת מבודדת משלהן, ללא הרשאות מיוחדות, לקריאה בלבד, מגבלות זיכרון ותהליכים ומגבלת זמן; מסנן נגד יעדים פרטיים בכל בקשה, service workers חסומים וחיבורי WebSocket סגורים כך שדבר אינו עוקף את המסנן; בקשות של שרת האינטרנט רק ביציאות אינטרנט ורק לכתובת הציבורית המדויקת שנבדקה מראש	R13	`scanner/src/worker.js`; `scanner/src/net.js`
בדיקה פעילה עבור לקוחות רק לדומיין מאומת (פנימית גם לדומייני הבדיקה וההדגמה שלנו עצמנו) ועם עצירת החירום מופעלת, נבדק פעמיים; לכל היותר חמש שליחות; רק טפסי יצירת קשר המזוהים בבירור ללא מידע אישי נדרש; ללא דומיינים של רשויות ציבוריות, מוסדות חינוך, מרפאות, מרפאות רופאים, משטרה או בתי משפט; מודל השפה אינו רשאי לאשר דבר; הודעת בדיקה ללא מידע אישי, מסומנת, עם הפניה לדף הסורק ולהחרגה	R9	`scanner/src/worker.js`; `scanner/src/classify.js`; `scanner/src/active.js`
תהליכי שימוש בדפדפן: רק GET ו-HEAD, כתובות מסוכנות חסומות, ערכים מומצאים אינם יוצאים מהדפדפן, תמונות עם שדות קלט מושחרים	R3 (לתמונות אלה), R9	`scanner/src/browser.js`
בדיקת קבצים: רק דומיינים מאומתים, אחזור אחד לכל נתיב, לכל היותר 8 KB, תוכן לעולם אינו נשמר	R9	`cfg/dateien_lib.php`
בדיקת אימות שנייה: כבויה כברירת מחדל; תקבל רק רשימה קבועה של פריטים לא מזיקים, חתומים	נמענים	`cfg/formular_probe_lib.php`
סריקה מאחורי כניסה לחשבון: רק דומיין מאומת, מסלול בתשלום, בעלים או מנהל ואישור “חשבון בדיקה”; הצפנה במפתח הציבורי של שרת הסריקה, מקושרת לדומיין; פרטי כניסה לעולם אינם מוצגים, נרשמים ביומן או נמסרים דרך ה-API; העברה רק דרך הקלט הסטנדרטי; השדה במשימה מנוקה מייד, שאריות לאחר שעה; ללא צילומי מסך, ללא שליחות, ללא כתובות התנתקות או מחיקה, הפסקה ב-CAPTCHA; מחיקה סופית עם דריסה	R8	`cfg/login_lib.php`; `scanner/src/login.js`; `scanner/src/geheim.js`; `scanner/src/worker.js`
בדיקת מסירה: כבויה כברירת מחדל; האחזור קורא רק כותרות ו-8 KB, ללא סימון כנקרא; תוכן וכתובת מבקר לעולם אינם במסד הנתונים; כל הודעת דוא״ל שאוחזרה נמחקת, לרבות אלה שלא ניתן לשייך; שיוכים נמחקים לאחר 180 ימים; הוכחה רק באמצעות העותק של אותה בדיקה בדיוק	R1, R2	`cfg/zustellung_lib.php`
הגנה משותפת: דומיינים בלבד, רשתות IP כבויות; ספי מינימום; חריגים לשירותים גדולים ולדומיינים של לקוחות; הסגר במקום מחיקה; הרשימה נבנית מחדש מדי יום; דיווחים נמחקים לאחר 30 ימים	R11	`cfg/swarm_lib.php`
מודל שפה בשרת שלנו עצמנו, ללא זכות לשלוח	R10	`scanner/src/classify.js`
תוכנית פעולה: יצירה מקומית מממצאים נבחרים, ללא צילומי מסך או ערכי שדות שהוזנו בהנחיה למודל; תקרה למספר הממצאים ולאורך ההערות; טקסט פשוט לאחר ניקוי ובאורך מוגבל; הודעת בינה מלאכותית גלויה, הממצאים הפרטניים הם הקובעים; ללא שינויים אוטומטיים באתר או החלטות על ציון ומסקנה	R10 בחלקו; עצה שגויה ומידע אישי אגבי עדיין אפשריים	`cfg/plan_lib.php`; `www/report.php`
אותות באמצעות Telegram מכילים רק משפט קבוע ללא משתנים	נמענים	`cfg/check_lib.php`
בדיקת שחזור שבועית של הגיבוי, עם התרעה על כשל	זמינות	`cfg/backup_lib.php`; `srv/cron_status.php`

9.2 חלקי – קיים, אך עדיין אינו משיג את מטרתו

אמצעי	מדוע עדיין אינו יעיל במלואו
צילומי מסך “מנוקים”	רק התמונות מתהליכי שימוש בדפדפן מושחרות. תמונות הסורק – דף הבית ורכיבי הטפסים – ותמונת דף התגובה מבדיקה פעילה אינן מושחרות (R3).
תקופות לנתוני בדיקות	נאכפות בבדיקות אנונימיות, בבדיקות לקוחות פוטנציאליים ובבדיקות לקוחות; לא בבדיקות פנימיות ובמחקרים שלא פורסמו; רישומי חריגות שלא נפתרו ללא מגבלת זמן (R4).
מחיקת עותקי הבקרה	יעילה בתצוגה שלנו של תיבת הדואר. אם הריצה נעצרת, הודעות הדוא״ל נשארות; מה שספק תיבת הדואר שומר בגיבויים שלו לא אומת (R2).
הגנת פרטי הכניסה בסריקה מאחורי כניסה לחשבון	חזקה בעת מנוחה ובשירות הבדיקה; לא בדרך לאתר: `http` מותר, ומתעלמים משגיאות תעודה (R8).
הוכחת שליטה	נבדקת פעם אחת ואז תקפה לתמיד; עם זאת, לא ניתן לשנות את שם המארח של דומיין בעל הוכחת שליטה, כך שההוכחה אינה עוברת למארח אחר (R7).
מידע לנושאי מידע	קיים עבור מפעילים באמצעות דף הסורק, המזהה, מדיניות הפרטיות וההחרגה; עבור מבקרים בבדיקת המסירה, תלוי באימוץ קטע הנוסח על ידי הלקוח; היישום אינו בודק זאת.
בקשה ללקוחות שלא לכלול קטגוריות מיוחדות בעותק הבקרה	מצוינת במסמכים המשפטיים, אך אינה נתמכת מבחינה טכנית: במהלך ההגדרה, היישום אינו שואל על סוג האתר ואינו מזהיר ביחס לדומיינים הנראים קשורים לבריאות, למשפט או לחינוך (R1).

9.3 מתוכנן – לא יושם

אמצעי	מטפל ב	עדיפות
נתיב מחיקה לבדיקות פנימיות: מחיקת בדיקות ללא דומיין וללא דוח לאחר תקופה קבועה (הצעה: 30 ימים); מחיקת הנתונים הגולמיים של מחקר לכל המאוחר תקופה קבועה לאחר סיומו, גם ללא פרסום (הצעה: 90 ימים); מחיקה חד-פעמית של 85 הבדיקות הקיימות עם 369 התמונות	R4	ראשונה
הפעלת בדיקת המסירה רק לאחר כריתת החוזה עם ספק תיבת הדואר, תיעוד מיקומי האחסון, מעבדי המשנה ותקופות הגיבוי, הבהרת מנגנון ההעברה עבור ספק תיבת הדואר והפניית רשומות ה-MX של הדומיין שלנו ישירות לתיבת הדואר; עד אז להשאיר את הפעולה חסומה במערכת הייצור	R2	ראשונה
בדיקת אבטחת האחזור מתיבת הדואר במערכת הייצור ותיעודה לפני הפעלת בדיקת המסירה	R2	ראשונה
סריקה מאחורי כניסה לחשבון רק דרך `https` ועם תעודה תקפה; דחיית כתובות `http`; שגיאות תעודה בעת הכניסה כסיבה להפסקה	R8	ראשונה
אין לשמור ערכים של שדות נסתרים מאחורי הכניסה (רק שם, סוג ואורך) – כבר מיושם כך, ללא צעד נוסף	R8	הושלם
הגבלת עותק הבקרה להודעות בדיקה כאשר התוסף או ההרחבה בשימוש: עותק מוסתר רק לשליחות עם מזהה הבדיקה שלנו	R1	גבוהה
אין לשמור את דומיין השולח של הודעות אמיתיות או לכתוב אותו להתרעות אם הוא אינו דומיין האתר או דומיין של שירות שליחה מוכר; בהתרעה, במקום זאת “דומיין שולח זר”	R1	גבוהה
אזהרה בעת הגדרת בדיקת המסירה לדומיינים הנראים קשורים לבריאות, למשפט, לשירותים חברתיים או לחינוך, עם הפניה להערכת ההשפעה על הגנת מידע של הלקוח עצמו	R1	גבוהה
חידוש הוכחת שליטה בקביעות (הצעה: לפני כל בדיקה פעילה, לאמת אם רשומת ה-DNS, תג המטא, הקובץ או חיבור התוסף עדיין קיימים; אחרת להמשיך באופן פסיבי וליידע את הלקוח)	R7	גבוהה
הפסקת צילום דף הבית, או צילום רק עם השחרת תמונות ופנים; הגבלת תמונות טפסים לרכיב הטופס (כמו כיום) וכיסוי שדות קלט כמו בתהליכי שימוש בדפדפן	R3	גבוהה
הודעה בממשק בדיקת הלקוחות הפוטנציאליים: משלוח הממצא המקוצר ללא בקשה בדוא״ל או בטלפון הוא שיווק ישיר גם בין עסקים ומחייב הסכמה מראש (סעיף 398 לחוק התקשורת האלקטרונית הפולני; בגרמניה § 7(2) UWG, אף שלשיחות לעסקים מספיקה הסכמה משוערת)	R6	גבוהה
תשתית: השלמת הקשחת ניהול השרתים; עותק מוצפן של הגיבוי במיקום שני; הצפנת חיבורים ברשת הפנימית לכל אורכם; חיזוק נוסף של ההפרדה בין שרת הסריקה ליישום	R13	גבוהה
תקופה לרישומי חריגות שלא נפתרו (הצעה: פתרון בתוך 30 ימים, אחרת מחיקת כתובת ה-IP)	R4	בינונית
דף או טופס שדרכם אפשר לבקש הסרת דומיין מההגנה המשותפת	R11, R14	בינונית
לפני הפעלת רשתות IP בהגנה המשותפת: גרסה חדשה של הערכה זו	R11	תנאי
תיעוד אם תוכנת מודל השפה שומרת בקשות, ואם כן, כיבוי יומנים אלה	R10	נמוכה

9.4 הליכים והחלטות שעדיין טעונים קביעה

מלבד אמצעי הגנה טכניים, סעיף 35(7)(d) דורש גם הליכים. אלה עדיין חסרים:

הפרת אבטחה של מידע אישי. גילוי: הבעלים, התרעת שגיאה של היישום, דיווחים דרך נקודת הדיווח על חולשות או אל contact@lukaswojcik.com. הבעלים אחראי להחלטה בדבר מסירת הודעה ל-UODO בתוך 72 שעות (סעיף 33(1)). יידוע הלקוחות שנפגעו, בתפקידם כבעלי שליטה במידע, ייעשה ללא דיחוי בלתי מוצדק, ובמידת האפשר בתוך 48 שעות, כפי שהובטח בהסכם לעיבוד מידע. טרם נקבע: תיאור נוהל בכתב ותרגול ראשון; ובנוסף, לגבי בדיקת המסירה, כיצד לקבוע אילו לקוחות נפגעו מהפרת אבטחה אצל ספק תיבת הדואר.
מגזרים. טרם נקבע: האם בדיקת המסירה תוצע לאתרים מתחומי הבריאות, המשפט, השירותים החברתיים והחינוך, תוצע להם בצירוף אזהרה או תוחרג עבורם.
בדיקות פנימיות. טרם נקבע: לאילו מטרות הספק משתמש בבדיקות פנימיות משורת הפקודה, מי רשאי ליצור אותן וכמה זמן יישמרו תוצאותיהן; וכן האם יש לציין אותן גם במדיניות הפרטיות, מעבר לרישום פעילויות העיבוד.
מחקרים. טרם נקבע: מי מרכיב רשימות, מאילו מקורות ומהו גודלן המרבי, וכן כיצד תיערך לפני כל מחקר בדיקה אם הוא תואם את הנחות ההערכה הזאת.
עמדות נושאי המידע (סעיף 35(9)). עמדותיהם לא התבקשו לצורך גרסה זו. סעיף 35(9) מחייב לבקש אותן רק ״כאשר הדבר מתאים״; להערכתנו, תנאי זה אינו מתקיים כאן כעת. למפעילי האתרים הנבדקים ולמבקרים באתרי הלקוחות אין ערוץ קשר משלהם אלינו; פנייה יזומה וממוקדת אליהם תהיה כשלעצמה עיבוד חדש של המידע שלהם, והשירות טרם הושק, כך שעדיין אין קבוצה של נושאי מידע בפועל. האינטרסים שלהם מובאים בחשבון בעקיפין: באמצעות robots.txt ואפשרות ההחרגה, באמצעות התקופות הקצרות ובכך שתוכן עותקי הבקרה אינו נשמר. בכל בחינה מחודשת לפי פרק 12 נשקול שוב אם מתאים לבקש את עמדותיהם, למשל באמצעות משוב בדף הסורק או מלקוחות בדיקת המסירה.

10. סיכון שיורי והתייעצות מוקדמת לפי סעיף 36

סעיף 36(1) מחייב התייעצות מוקדמת עם רשות הפיקוח כאשר הערכת ההשפעה על הגנת מידע מצביעה על כך שהעיבוד ייצור סיכון גבוה בהיעדר אמצעים שבעל השליטה במידע נוקט להפחתת הסיכון. לפיכך, השאלה אינה אם זוהו סיכונים גבוהים — זוהו ארבעה — אלא אם נותר סיכון גבוה לאחר שהאמצעים מיושמים.

בפעולות העיבוד שבהן formexposed הוא בעל השליטה במידע (P1 עד P4, P7), אפשר לטפל בסיכונים הגבוהים R4 ו-R13 באמצעים רגילים: מסלול למחיקה וניקוי המידע הקיים, גיבוי מוצפן מחוץ לאתר והקשחה של שני שרתים. עם האמצעים שבסעיף 9.3, רמתם יורדת לנמוכה עד בינונית. R3, R5, R6 ו-R7 הם ברמה בינונית ויורדים לרמה נמוכה עם האמצעים המוצעים. ההגנה המשותפת ללא רשתות IP נותרת ברמה נמוכה עד בינונית. בחלק זה אין צורך בהתייעצות מוקדמת אם האמצעים המסומנים ״ראשון״ ו״גבוה״ מיושמים לפני ההשקה. אם אחד מהאמצעים האלה לא ייושם לפני ההשקה, יישאר סיכון גבוה בפעולת העיבוד הנוגעת בדבר. אותה פעולת עיבוד תחל אז רק לאחר יישום האמצעי, או שתחילה תיערך התייעצות עם UODO לפי סעיף 36(1).

בבדיקת המסירה (P6), המצב שונה, מסיבה ששום אמצעי אינו מסלק לחלוטין: מה שהמבקר כותב נתון להחלטתו. כאשר קיים חוזה שנכרת, האחזור מאובטח, ההודעות מוגבלות להודעות בדיקה במידת האפשר ומוותרים על דומיין השולח, R2 יורד לרמה נמוכה ו-R1 לרמה בינונית. עם זאת, אצל לקוחות שהמבקרים שלהם מוסרים בדרך כלל מידע לפי סעיף 9, R1 עשוי להישאר גבוה. חובת ההתייעצות חלה אז על הלקוח כבעל השליטה במידע, ולא על formexposed. המלצתנו ללקוחות כאלה היא לא להגדיר את עותק הבקרה עבור טופס יצירת הקשר הכללי, אלא רק עבור טפסים ללא תוכן רגיש, או לוותר על בדיקת המסירה.

הסיכון השיורי, בתיאור כן. כיום, עם האמצעים שבסעיף 9.1, ארבעה סיכונים הם ברמה גבוהה: R1 ו-R2 (בדיקת המסירה), R4 (מידע בדיקה ללא מסלול למחיקה) ו-R13 (תשתית). עם האמצעים שבסעיף 9.3, R2, R4 ו-R13 יורדים לרמה נמוכה עד בינונית. R1 נותר ברמה בינונית ותלוי באופן קבוע בהחלטות שהלקוחות מקבלים. אף אחד מהסיכונים האחרים אינו גבוה מבינוני לאחר יישום האמצעים.

סעיף 36 אינו עונש, והתייעצות אינה הודאה. זהו המסלול שהתקנה קובעת למצב שבו הליך מועיל כרוך בסיכון שבעל השליטה במידע אינו שולט בו באופן מלא. לקוח המעוניין להשתמש בבדיקת המסירה להודעות המכילות מידע בריאותי ימצא כאן את העובדות הדרושות להחלטה זו.

11. מה דרוש ללקוחות לצורך הערכת ההשפעה שלהם על הגנת מידע (סעיף 28(3)(f))

בבדיקת המסירה ובסריקה מאחורי התחברות, הלקוח הוא בעל השליטה במידע. דף זה מספק לו את התיאור (סעיפים 6.5 ו-6.6), את הסיכונים מנקודת מבטנו (R1, R2, R8) ואת מצב האמצעים (פרק 9). רק הלקוח יכול להשיב על השאלות הבאות:

מה כותבים המבקרים באתר שלי? האם צפוי שיגיע דרך הטופס מידע על בריאות, דת, מוצא, חברות באיגוד מקצועי, נטייה מינית, עבירות פליליות או ילדים? במקרה כזה, ככלל נדרשת הערכת השפעה על הגנת מידע עבור עותק הבקרה, ומומלץ לשקול מחדש את השימוש בעותק הבקרה בטופס זה.
האם דרוש לי עותק הבקרה של כל ההודעות? כדי להוכיח שהודעת הבדיקה שלנו מגיעה, די בעותק שלה. כאשר הטופס מאפשר זאת, יש להגדיר את העותק הנסתר להודעות בדיקה בלבד.
כיצד ליידע את המבקרים באתר שלי? ההסכם לעיבוד מידע מחייב זאת; נוסח מדיניות הפרטיות לאתר מתאר את מסלול העותק ואת תפקידנו.
מהו הבסיס המשפטי שלי? הנוסח שאנו מציעים מציין את סעיף 6(1)(f) (קבלה אמינה של פניות). למידע לפי סעיף 9, בסיס זה לבדו אינו מספיק.
באילו ערוצי התרעה לבחור? התרעות מבדיקת האותנטיות עשויות לציין את דומיין השולח. מי ששולח התרעות לשירותי צ׳אט מחוץ לאיחוד האירופי מעביר אותו לשם.
לגבי הסריקה מאחורי התחברות: האם חשבון הבדיקה הוא באמת חשבון בדיקה בעל ההרשאות המזעריות הנדרשות? האם אפשר להגיע לדף ההתחברות רק באמצעות https? האם חשבון הבדיקה רואה מידע של משתמשים אחרים? אם כן: באילו מהדפים שצוינו?
מתי למחוק? אפשר להשבית ולמחוק את בדיקת המסירה ואת חשבון הבדיקה בכל עת; חשבון הבדיקה נדרס אז לצמיתות.

מסמכים נוספים להערכת הלקוח: ההסכם לעיבוד מידע, האמצעים הטכניים והארגוניים, רשימת מעבדי המשנה ורישום פעילויות העיבוד. אנו משיבים לשאלות על עובדות מסוימות בכתובת contact@lukaswojcik.com.

12. בחינה מחודשת, גרסה ואישור

סעיף 35(11) מחייב בחינה כדי להעריך אם העיבוד מתבצע בהתאם להערכת ההשפעה על הגנת מידע, לפחות כאשר חל שינוי בסיכון. אנו בוחנים הערכה זו מחדש לפחות פעם בשנה, וכן לפני כל אחד מהאירועים הבאים; כל אחד מהם מחייב מדידה חדשה, ולא קריאה בלבד:

השקת הפעילות בסביבת הייצור, עם נתונים ממערכת הייצור במקום ממערכת הפיתוח;
הפעלה ראשונה של בדיקת המסירה במערכת הייצור וכריתת החוזה עם ספק תיבת הדואר;
הפעלת רשתות IP בהגנה המשותפת;
המחקר הראשון, וכל מחקר שרשימתו גדולה מזו של המחקר הקודם;
הפעלת הגשושית השנייה או נמען חדש במסלול הבדיקה;
כל שימוש חדש במודל השפה החורג מהשימושים שהערכה זו מכסה; תוכנית הפעולה המתועדפת בדוחות בתשלום היא שימוש נוסף ומחייבת בחינה מחודשת של ההערכה;
כל שינוי בצילומי המסך, בתקופות או בתנאים המוקדמים לבדיקות פעילות.

פריט	רישום
בעל השליטה במידע	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland · NIP 7252266190 · contact@lukaswojcik.com
רשות הפיקוח המוסמכת	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Poland
ממונה על הגנת מידע	לא מונה; הערכה לפי סעיף 37 בפרק 4
התשתית העובדתית	קוד המקור של היישום ושל שירות הבדיקה, סכמת מסד הנתונים, מספרי הרשומות והגדרות מערכת הפיתוח, שנמדדו ב-11 באוקטובר 2026, בקריאה בלבד
מסמכים קשורים	מדיניות פרטיות, הסכם לעיבוד מידע, אמצעים טכניים וארגוניים, מעבדי משנה, רישום פעילויות עיבוד, חוק הבינה המלאכותית של האיחוד האירופי, שימוש מותר ושימוש לרעה, FormExposedBot, החרגה מבדיקות
גרסה	1.1 מ-23 באוקטובר 2026; תוספת עובדתית על שלב תוכנית הפעולה המקומי לגרסה הראשונה מ-11 באוקטובר 2026
בחינות מחודשות לפי סעיף 35(11)	23 באוקטובר 2026: בחינת קוד המקור של שלב תוכנית הפעולה המקומי שנוסף. הקלטים, האחסון, התפקידים, הפלט המייעץ ואמצעי ההגנה שיושמו נוספו לסעיפים המתאימים; אין כאן טענה שהושלמה מדידה בסביבת הייצור או שנקבע דירוג חדש של הסיכון השיורי. המדידות הקודמות מ-11 באוקטובר 2026 ומצב האישור שלהלן נותרו ללא שינוי. בחינות נוספות יירשמו כאן בציון תאריך, סיבה ותוצאה.
אישור	טרם אושר. האישור יינתן בידי הבעלים לאחר בחינה משפטית ולאחר החלטה לגבי האמצעים שבסעיף 9.3 והשאלות שבסעיף 9.4. עד כה לא התבקש ייעוץ חיצוני בתחום הגנת המידע.

הערה אחרונה אחת ראויה להיכלל במסמך עצמו ולא במכתב נלווה. החלקים של formexposed שחודרים הכי רחוק לדומיינים של אחרים — שליחות הבדיקה וההתחברות באמצעות פרטי גישה של מישהו אחר — נבנו בזהירות הרבה ביותר: שני שערים, תקרות קשיחות והצפנה שמונעת גישה אפילו מאיתנו. הסיכונים בהערכה זו נמצאים בעיקר במקומות אחרים: במה שמגיע אגב הפעילות — הודעות אמיתיות בעותק נסתר, אנשים בצילום מסך ובדיקות שאיש כבר אינו מוחק. זוהי נקודת פתיחה טובה, משום שאפשר לעצור את התופעות הנלוות בלי לשנות את השירות.

איך אפשר לעזור?