רישום פעילויות עיבוד (סעיף 30 ל-GDPR)

מסמך זה מפורסם בכמה שפות. בכל מקרה של הבדל בין הגרסאות הלשוניות, הגרסה הפולנית היא המחייבת.

גרסה 1.2 · עודכן לאחרונה: 29 באוקטובר 2026

1. כיצד לקרוא רישום זה

זהו רישום פעילויות העיבוד לפי סעיף 30 ל-GDPR עבור formexposed. הוא אינו מדיניות פרטיות ואינו חומר שיווקי. מטרתו להראות לרשות פיקוח, ללקוח המבקר אותנו כמעבד מידע, או לאדם הבא שיצטרך להשיב לשאלה, מה מעובד בפועל, היכן הוא מוחזק, מי מקבל אותו וכמה זמן הוא נשאר. אנו מפרסמים אותו משום ששירות הבודק ומנטר טפסים צריך להיות פתוח בעצמו לבדיקה.

שלושה כללים הנחו את כתיבתו.

מה שנמדד, ולא מה שמתוכנן. אמירה על שדות מידע, תקופות שמירה, נמענים או אמצעי הגנה מופיעה רק כאשר קוד התוכנית, סכמת מסד הנתונים או מדידה תומכים בה. מה שמתוכנן נקרא “מתוכנן”. מה שכבוי כברירת מחדל נקרא “כבוי כברירת מחדל”. כאשר אין באפשרותנו להוכיח דבר מה, אנו מציינים זאת.
השמירה מצוינת פעמיים. פעם אחת עבור כל פעילות עיבוד, ופעם נוספת בסעיף 6 כתמונה הכוללת: איזו ריצה לילית מוחקת איזה מידע, ולאיזה מידע היא אינה מגיעה. רישום הטוען לתקופת שמירה החלה רק על חלק מהמידע גרוע יותר מרישום המציין את הנושא הפתוח.
נושאים פתוחים מצוינים בטקסט, ולא בהערת שוליים. סעיף 8.1 מפרט אמצעים שטרם יושמו, וסעיף 10 את הנושאים הפתוחים יחד עם האמצעים המתוכננים. רישום הוא כלי עבודה, ולא תעודה.

שדות מידע במקום שמות טבלאות. לכל פעילות עיבוד אנו מפרטים את המידע הנשמר כשדות בשפה פשוטה. שם טבלת מסד הנתונים מופיע לאחר מכן בסוגריים, כדי שמבקר יוכל לאתר את המקום, למשל “ניסיונות כניסה לחשבון (login_attempts)”. רשימות השדות נגזרו מסכמת מסד הנתונים ולא מהזיכרון.

תקופות שמירה כמצייני מקום. כאשר ניתן להגדיר תקופת שמירה באזור הניהול, היא מופיעה כאן בדיוק כפי שהריצה הלילית קוראת אותה: המספר המוצג מגיע מאותה הגדרה הקובעת את המחיקה. תקופות שמירה הקבועות בתוכנית נמסרות כמספרים.

בסיס המדידה. הסכמה, הקוד וההגדרות נמדדו ביום 11 באוקטובר 2026 במערכת הפיתוח, התואמת למערכת הייצור בקוד ובסכמה. איננו מוסרים ספירות של שורות ממערכת הפיתוח; הן מכילות נתוני בדיקה ואינן אומרות דבר על התפעול בפועל.

הושמט במכוון. רישום זה אינו מציין שמות מארחים, כתובות רשת פנימיות, יציאות, שמות משתמשים או גרסאות תוכנה של השרתים שלנו. פרטים כאלה מסייעים לתוקף ולא לנושא מידע כלשהו. מאותה סיבה אנו מתארים נושאים פתוחים באבטחת השרתים שלנו עצמנו רק במונחים כלליים (סעיף 8.1): אנו מציינים את הסיכון, ולא את הדרך אליו. אנו מספקים את הפרטים לרשות פיקוח לפי בקשה.

אופי משפטי. רישום זה הוא התיעוד שאנו מנהלים לפי סעיף 30 ל-GDPR עבור רשות הפיקוח; פרסומו נעשה מרצון. הוא אינו מהווה חלק מחוזה כלשהו ואינו מהווה מצג, ערבות או הסכמה על איכות כלפי לקוחות או צדדים שלישיים. ההתחייבויות שלנו כלפי לקוחות מוסדרות בתנאי השירות, בהסכם לעיבוד מידע ובנספחיו; ביחס להתחייבויות אלה הם גוברים על רישום זה. הרישום מתאר את המצב נכון לתאריך גרסה זו. סיווגים כגון “נושא פתוח” או “הערכה” משקפים את עמדתנו שלנו ואינם מקדימים הערכה משפטית כלשהי של רשות פיקוח או בית משפט; אמצעים המתוארים כ“מתוכננים” הם כוונות ללא מועד מחייב.

2. הישות המשפטית ומדוע לרישום זה יש שני חלקים

שדה	ערך
ישות משפטית	LW IT Solutions Company Lukas Wójcik, עסק של יחיד הרשום במרשם העסקים הפולני (CEIDG); הבעלים Lukas Wójcik
כתובת	al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland
מזהי מס	NIP 7252266190, VAT ID PL7252266190
יצירת קשר	contact@lukaswojcik.com; חלון התמיכה (סימן שאלה בניווט); דף יצירת הקשר
שירות	formexposed: בדיקה, ניטור ואבטחה של טפסי יצירת קשר באתרים (יישום ב-formexposed.com, דף נחיתה ב-form.exposed)
נציג לפי סעיף 27 ל-GDPR	לא חל. הישות המשפטית מבוססת באיחוד (פולין).
ממונה על הגנת מידע	לא מונה. ההערכה לפי סעיף 37 מופיעה בסעיף 9.
רשות פיקוח מוסמכת	Prezes Urzędu Ochrony Danych Osobowych (UODO, הרשות הפולנית להגנת מידע), ul. Moniuszki 1A, 00-014 Warszawa
אחסון	השרתים שלנו עצמנו בפולין: שרת אינטרנט אחד עם היישום ומסד הנתונים, ושרת סריקה אחד עם מודל שפה מקומי באותה רשת פנימית. ללא מרכז נתונים של צד שלישי או ספק ענן.

formexposed ממלא תפקידים שונים כלפי קבוצות אנשים שונות. ערבוב ביניהם יוצר רישום שאינו נכון לאף אחת מהן.

בעל שליטה במידע (חלק ב׳, סעיף 30(1)). אנו עצמנו בעל השליטה במידע של לקוחותינו ושל חברי הצוותים שלהם (חשבון, כניסה לחשבון, חיוב, תמיכה, יומנים), של המבקרים באתר שלנו עצמנו, ביחס לבדיקות ללא חשבון (בדיקה חינמית, כלי כותרות תגובה, מחקר, בדיקת לקוחות פוטנציאליים) ולמניעת שימוש לרעה.
מעבד מידע (חלק א׳, סעיף 30(2)). ביחס למידע אישי של צדדים שלישיים שלקוח מביא לשירות או שנוצר כאשר אנו מספקים שירות ללקוח, אנו פועלים מטעם הלקוח: עותקים של הודעות דוא״ל אמיתיות מטפסים במסגרת בדיקת המסירה, מנויים לפורטל הלקוחות של הלקוח, נמעני התרעות הלקוח, אנשים שגלויים במקרה בדפים הנבדקים של הלקוח, פרטי הכניסה של חשבון הבדיקה של הלקוח וקוד הטופס שהלקוח מדביק. הבסיס הוא ההסכם לעיבוד מידע, הנכרת עם כל לקוח בעת ההרשמה.
רק בצד הלקוח. חלק מהפעולות של תוסף WordPress ושל הרחבת TYPO3 מעבדות מידע אך ורק באתר הלקוח, מבלי שהמידע מגיע אלינו אי פעם (הסגר, רשת ביטחון, חידה חשבונית, הגדרות שמירה, מונים מקומיים, מקליט). אין מדובר בעיבוד על ידינו, ולכן הן אינן מופיעות באף אחד מהחלקים. עם זאת אנו מתארים אותן בסוף חלק א׳ כדי להמחיש את הגבול.

ההפרדה מובנית בקוד ולא רק בטקסט: מהודעת דוא״ל אמיתית של טופס, בדיקת המסירה כותבת למסד הנתונים רק את המועד, את השיוך ואת תוצאת האימות; צילומי המסך של בדיקות הדפדפן מכסים שדות קלט; פרטי הכניסה של חשבון הבדיקה מוצפנים כך ששרת האינטרנט אינו יכול עוד לקרוא אותם. הפרטים נמסרים ברשומות.

סעיפים 6 עד 11 חלים על שני החלקים: שמירה, החלטות אוטומטיות, אמצעים טכניים וארגוניים, ממונה על הגנת מידע, נושאים פתוחים ותחזוקת רישום זה.

תחולה. מסמך זה הוא חלק הרישום הנוגע לשירות formexposed. עיבוד של אותה ישות משפטית עבור שירותים אחרים מתועד ברישומים שלהם עצמם; חשבונאות כללית וניהול עסקי מחוץ לשירות אינם מכוסים בחלק זה.

3. חלק א׳ – סעיף 30(2): עיבוד מטעם לקוחות

A.0 הגורמים המעורבים

שדה	ערך
מעבד מידע	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland; contact@lukaswojcik.com
בעלי שליטה במידע	הלקוחות של formexposed: עסקים וסוכנויות המחזיקים דומיינים בחשבונם ומשתמשים בפעולות שבהן נוצר מידע של צדדים שלישיים. בסוכנויות, הלקוח של הסוכנות עצמה עשוי להיות בנוסף בעל השליטה במידע; במקרה כזה הסוכנות פועלת כמעבד מידע כלפי אותו לקוח, ואנו פועלים כמעבד נוסף.
רשימת בעלי שליטה במידע	חלק מרישום זה, הנשמר בצורה אלקטרונית (סעיף 30(3) ל-GDPR) במערכת השירות ואינו מובא בגרסה ציבורית זו, משום שהוא מכיל מידע אישי של לקוחות והיה הופך ללא עדכני עם כל לקוח חדש: הבעלים של כל סביבת עבודה עם שם, כתובת דוא״ל וחברה מחשבון הלקוח (כתובת ומספר זיהוי מע״מ רק אצל Stripe) (`users`, `workspaces`, `workspace_users`), וכן הדומיינים של סביבת העבודה (`domains`). אנו מספקים אותו לרשות פיקוח כתמצית לפי בקשה.
נציגים וממונים על הגנת מידע של בעלי השליטה במידע	אין לכך שדה ייעודי במערכת. אם לקוח מינה נציג לפי סעיף 27 ל-GDPR או ממונה על הגנת מידע, הוא יכול להודיע לנו עליהם; אנו שומרים את ההודעה יחד עם רשימת בעלי השליטה במידע.
נציג של מעבד המידע	לא חל (מבוסס בפולין).
ממונה על הגנת מידע	לא מונה (סעיף 9).
הוראות	ההוראה נובעת מההסכם לעיבוד מידע ומההגדרות שהלקוח מבצע: הלקוח מפעיל את בדיקת המסירה, מגדיר יעדי התרעות, שומר חשבון בדיקה ומגדיר פורטל לקוחות. ללא פעולה זו, העיבוד הנוגע לעניין אינו מתבצע.
אמצעים טכניים וארגוניים	סעיף 8 והדף אמצעים טכניים וארגוניים חלים על כל פעילות עיבוד בחלק א׳. אמצעים מיוחדים מצוינים ברשומה הרלוונטית.

A.1 בדיקת מסירה – עותק בקרה של הודעות דוא״ל מטפסים

שדה	ערך
מטרה	בדיקה אם הודעת הדוא״ל מטופס יצירת הקשר של הלקוח אכן נשלחת וכיצד היא מאומתת (SPF, DKIM, DMARC, התאמה). לאחר שליחת בדיקה פעילה שהתקבלה, העותק שלה חייב להגיע לתיבת הבקרה בתוך זמן המתנה שניתן להגדרה (כיום 3 שעות); אחרת מופעלת ההתרעה “הודעת דוא״ל לבדיקה לא התקבלה”. הכותרות משמשות גם להסקת האותנטיות של הודעת הדוא״ל מהטופס, שירות הדוא״ל שבו נעשה שימוש וכתובת השליחה לצורך בדיקת רשימות חסימה.
תנאי מוקדם	מסלול בתשלום, דומיין מאומת והפעלה על ידי הלקוח. הלקוח מזין את כתובת הבקרה שלו עם מזהה (בצורה “delivery+identifier@…”) כעותק מוסתר בהודעת הטופס שלו. ללא תיבת בקרה מוגדרת הפעולה אינה זמינה.
קטגוריות של נושאי מידע	מבקרים באתר הלקוח ששולחים את טופס הלקוח; אנשים שמבקר כותב את המידע שלהם בהודעה; אנשי צוות הלקוח המופיעים כנמענים בכותרות.
קטגוריות של מידע אישי	בתיבת הבקרה (אצל ספק שירותי הדוא״ל): העותק המלא של כל הודעת דוא״ל מהטופס, לרבות פניות אמיתיות עם שם, כתובת דוא״ל, מספר טלפון וטקסט חופשי, עד למחיקה. נקראים בעת האחזור: הכותרות ולכל היותר 8 KB הראשונים של גוף ההודעה. במסד הנתונים: מועד הקבלה, שיוך לדומיין וככל שרלוונטי לריצת הבדיקה (`delivery_log`); תוצאת האימות האחרונה לכל דומיין עם תוצאות SPF, DKIM ו-DMARC, התאמה, דומיין השולח, דומייני חתימה וכתובת שרת הדוא״ל השולח (שדה האימות של הדומיין ב-`domains`). תוכן, נושא וכתובת השולח של המבקר אינם נכתבים למסד הנתונים.
הערה על דומיין השולח	אם טופס מזין את כתובת המבקר כשולח (הגדרה שגויה שהבדיקה נועדה לחשוף), תוצאת האימות מכילה את הדומיין של אותה כתובת, ולא את הכתובת עצמה. כאשר מבקר משתמש בדומיין אישי, גם זה עשוי להיות מידע אישי. הוא נדרס בקבלה הבאה.
מקור	הטופס באתר הלקוח, דרך העותק המוסתר שהלקוח הזין.
בסיס משפטי (נקבע על ידי בעל השליטה במידע)	נקבע על ידי הלקוח. הנוסח המוצע שלנו למדיניות הפרטיות של הלקוח מבסס את העותק על סעיף 6(1)(f) ל-GDPR (אינטרס לגיטימי בקבלה אמינה של פניות). הלקוח מיידע את המבקרים שלו על זרימת מידע זו; ההסכם לעיבוד מידע מחייב אותו לעשות זאת.
נמענים	ספק שירותי הדוא״ל המפעיל את תיבת הבקרה (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). העותק מגיע לשם ישירות: הוא מגיע רק אם רשומות ה-MX של הדומיין שלנו מפנות לתיבת דואר זו (רשימת הבדיקה לפני ההשקה בודקת זאת); באמצעות העברה אוטומטית הוא אינו מגיע לתיבה. בדף הדומיין הלקוח רואה רק מועד, שיוך ותוצאת אימות. אם תוצאת האימות מידרדרת, ההתרעה ללקוח ולערוצים שבחר מציינת את דומיין השולח אם הוא אינו שייך לאתר (A.3, 4.1).
מדינה שלישית	תלוי בספק שירותי הדוא״ל; ראו סעיף 4. החוזה עם הספק המיועד והבסיס להעברה טרם תועדו.
שמירה	לאחר עיבוד מוצלח, הודעת הדוא״ל מסומנת למחיקה ומוסרת מתיבת הדואר באותה ריצה, גם אם לא ניתן לשייך אותה לדומיין כלשהו. האחזור פועל עם ריצת המצב בכל חמש דקות, כל עוד הניטור מופעל באזור הניהול (`srv/cron_status.php`, `cfg/zustellung_lib.php`). אם האחזור או המחיקה נכשלים, הודעת הדוא״ל נשארת בתיבת הדואר עד לריצה המוצלחת הבאה. אותו אחזור מוחק את השיוכים ב-`delivery_log` לאחר 180 ימים. תוצאת האימות קיימת כל עוד הדומיין קיים.
מה הראיות מוכיחות	רק את קבלת העותק המשויך לריצת הבדיקה המסוימת בתיבת הבקרה. אין בכך הוכחה לקבלה אצל הנמען בפועל או לרישום ב-CRM. לא מוצע אישור מובנה מ-HubSpot.
אמצעים טכניים וארגוניים	סעיף 8. בפרט: התוכן מוערך בזיכרון בלבד; ללא שמירת גוף ההודעה, הנושא או כתובות שולח מלאות; מחיקה ללא תלות בהצלחת השיוך.

בדיקת המסירה היא הפעולה היחידה שדרכה מגיעות אלינו הודעות אמיתיות ממבקרים באתרי לקוחותינו. לכן זהו עיבוד מטעם הלקוח ולא שירות באחריותנו שלנו, ולכן משך השהייה בתיבת הדואר הוא המדד האמיתי לסיכון: בדרך כלל דקות; אם האחזור מופרע, עד שהוא פועל שוב. מומלץ שהעותקים לא יכילו קטגוריות מיוחדות של מידע אישי; אין ביכולתנו למנוע זאת מבחינה טכנית, משום שהמבקר הוא שמחליט מה לכתוב.

A.2 פורטל לקוחות ודוח חודשי למנויים

שדה	ערך
מטרה	סוכנות (מסלול Business) מציגה ללקוחותיה את מצב הדומיינים שלהם תחת המותג שלה (פורטל בכתובת אקראית, עם סיסמה לפי בחירה, ולפי בחירה תחת תת-דומיין של הסוכנות עצמה). הלקוח יכול להזמין שם דוח חודשי בדוא״ל. הדוח נשלח בשם הסוכנות.
קטגוריות של נושאי מידע	לקוחות הסוכנות ואנשי הצוות שלהם המזמינים את הדוח; אנשים הפותחים את הפורטל.
קטגוריות של מידע אישי	מנוי: כתובת דוא״ל, שפה, מזהה אישור, מועד ההזמנה וכתובת ה-IP בעת ההזמנה, מועד האישור (אישור כפול), מועד ביטול ההרשמה, החודש האחרון שנשלח (`client_subscribers`). פורטל: שם, בחירת דומיינים, מזהה אקראי, סיסמה כגיבוב בלבד, האדם שיצר אותו, מועד, ביטול הרשאה (`client_portals`). ביקורים בפורטל מופיעים ביומן הצפיות בדפים (B.2).
מקור	מוזן על ידי המנויים עצמם בפורטל.
בסיס משפטי (נקבע על ידי בעל השליטה במידע)	הסכמת המנוי, המתקבלת בהליך אישור כפול; בעל השליטה במידע הוא הסוכנות. איננו כותבים למי שלא נרשם ואישר זאת בעצמו.
נמענים	הסוכנות (רואה את המנויים שלה); ספק שירותי הדוא״ל (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) עבור הודעת האישור והדוח.
מדינה שלישית	באמצעות ספק שירותי הדוא״ל; ראו סעיף 4.
שמירה	ריצת המחיקה הלילית (`cfg/fristen_lib.php`, החלק “מנויי פורטל”): הזמנות שמעולם לא אושרו נמחקות לאחר 30 ימים; מנויים שביטלו את הרשמתם נמחקים שלוש שנים לאחר הביטול, כהוכחה להסכמה הקודמת. מנויים מאושרים שלא ביטלו את הרשמתם נשארים כל עוד סביבת העבודה של הסוכנות קיימת. פורטל שהרשאתו בוטלה רק נחסם ואינו נמחק; המנויים שלו אינם מקבלים עוד דוחות, אך המידע שלהם נשאר (סעיף 10). פורטלים ומנויים נמחקים מייד יחד עם סביבת העבודה (`fe_arbeitsbereich_daten_loeschen()`). דוחות שנשלחו נשארים בתיבת הדואר היוצא למשך 30 ימים (B.25).
אמצעים טכניים וארגוניים	סעיף 8. בפרט: סיסמת הפורטל כגיבוב בלבד, ניסיונות ניחוש מוגבלים (עשרה לכל פורטל וכתובת IP, 50 לכל פורטל בתוך 15 דקות); ביטול הרשמה בלחיצה אחת בכל הודעת דוא״ל; הפורטל מציג רק מצב ונתוני מפתח, ללא ממצאים פרטניים עם ראיות.

A.3 נמעני התרעות הלקוח, מאשרי קבלת אירועים והאחראים שהוקצו

שדה	ערך
מטרה	הודעות על תקלות ושינויים ליעדים שהלקוח מגדיר עבור דומיין: דוא״ל, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram. לכל יעד, מייד או באיסוף יומי או שבועי, וכן יעדים להסלמות בלבד. כל הודעה על בעיה הופכת לאירוע, שהנמען יכול לאשר את קבלתו באמצעות קישור. עבור טפסים מנוטרים הלקוח יכול לציין אחראי ותאריך יעד.
קטגוריות של נושאי מידע	אנשי צוות וספקי שירות של הלקוח שהלקוח מזין כיעדי התרעה או מציין כאחראים; אנשים המאשרים קבלת אירוע. חברי צוות בעלי חשבון משלהם מופיעים גם בחלק ב׳.
קטגוריות של מידע אישי	יעד התרעה: ערוץ, כתובת יעד (כתובת דוא״ל, כתובת webhook או צ׳אט, מזהה צ׳אט Telegram), אירועים שנבחרו, מצב מסירה, סוד חתימה עבור webhooks, המסירה האחרונה והשגיאה האחרונה (`alerts`). יומן מסירה: יעד, אירועים, מצב, שגיאה, מועד (`alert_log`). תור סיכומים: שורות הודעה וקישור עד למסירה (`alert_queue`). אירוע: כותרת, שורות הודעה, קישור, מזהה אישור קבלה, מועד ושם או כתובת דוא״ל של האדם המאשר את הקבלה כפי שהוזנו בטופס, ובהיעדרם כתובת החבר המחובר לחשבון (`alert_incidents`). ניסיונות מסירה של הסלמה לכל אירוע ויעד: מספר ניסיונות (לכל היותר חמישה), מועדי הניסיון האחרון והבא ומועד ההצלחה, הפניה להודעת הדוא״ל בתיבת הדואר היוצא, שגיאה (טבלה alert_escalation_deliveries). הקצאה: חשבון האחראי ותאריך יעד (ב-`monitored_forms`).
תוכן ההודעות	דומיין, אירוע, הסבר קצר וקישור לדף הדומיין. ללא תוכן של הודעות מבקרים.
מקור	מוזן על ידי הלקוח; האדם המאשר את הקבלה מזין את שמו בעצמו; מזהה צ׳אט Telegram נוצר כאשר הנמען לוחץ על “Start” בבוט (B.32).
בסיס משפטי (נקבע על ידי בעל השליטה במידע)	נקבע על ידי הלקוח; ככלל, ארגון הפעילות של הלקוח עצמו (סעיף 6(1)(b) או (f) ל-GDPR ביחס לאנשי הצוות ולספקי השירות של הלקוח).
נמענים	מפעילי הערוצים שנבחרו; ראו 4.1. התרעות דוא״ל נשלחות דרך ספק שירותי הדוא״ל (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
מדינה שלישית	בהתאם לערוץ שנבחר; כמה ספקים מבוססים בארצות הברית, ו-Telegram מחוץ לאיחוד האירופי ללא החלטת נאותות. ראו 4.1.
שמירה	יומן מסירה נמחק לאחר 90 ימים (מדי לילה, `fe_alert_log_aufraeumen()` מתוך `srv/cron_status.php`). הודעות סיכום נמחקות 30 ימים לאחר המסירה (`cfg/kanal_lib.php`, בכל מסירת סיכום). אירועים נשמרים כל עוד לא נפתרו; אירועים שנפתרו נמחקים 180 ימים לאחר פתרונם (`cfg/vorfall_lib.php`, ריצת הסלמה), יחד עם ניסיונות המסירה של ההסלמות שלהם. יעדי התרעות והקצאות נשמרים עד למחיקתם על ידי הלקוח או נמחקים יחד עם הדומיין.
אמצעים טכניים וארגוניים	סעיף 8. בפרט: webhooks חתומים באמצעות סוד נפרד לכל יעד; אישור קבלה רק לאחר לחיצה (POST), כך שתצוגות מקדימות של קישורים בתוכנות צ׳אט אינן מפעילות דבר; התרעות במהלך חלון תחזוקה רק נרשמות ביומן ואינן נשלחות.

A.4 אנשים הגלויים באופן אגבי בדפי לקוח שנבדקו ובצילומי מסך

שדה	ערך
מטרה	בדיקת הדומיינים בחשבון הלקוח (סריקה, ניטור, בדיקה פעילה) קוראת את הדפים הציבוריים של הלקוח ומצלמת צילומי מסך של טפסים. מה שהדף עצמו מציג עשוי לגעת לאנשים שאין להם קשר לבדיקה. מידע זה נוצר באופן אגבי; הוא אינו מטרת הבדיקה.
קטגוריות של נושאי מידע	אנשים ששמם, תמונתם או פרטי הקשר שלהם מופיעים בדף שנבדק (איש קשר ליד הטופס, תמונות צוות בדף הבית, פרטים בדף ספק השירות).
קטגוריות של מידע אישי	צילומי מסך: האזור הגלוי של דף הבית, כל טופס גלוי כתמונה חתוכה, ותמונת הדף שלאחר שליחת בדיקה פעילה; נשמרים כקבצים מחוץ לתיקיית האינטרנט, עם הפניה בלבד במסד הנתונים (`scan_screenshots`). מבנה טופס: כתובת הדף, בורר, שמות שדות, סוגי שדות, תוויות שדות, דגלי חובה ונראות, תוויות של כפתורי שליחה (`forms`, שדה “מפת שדות”); ללא ערכי שדות. הסורק קורא התחלות של שדות נסתרים (עד 24 תווים) ומאפייני נתונים (עד 60 תווים) רק במהלך הבדיקה כדי לזהות חותמות זמן ואסימונים; רק התוצאה נשמרת. ממצאים עם ראיות (`findings`), סיכום עם כותרות דפים (`scans`). בבדיקות מתאימות בחשבונות בתשלום, מודל מקומי יוצר תוכנית פעולה מתועדפת מממצאים נבחרים וממטא-נתוני הסריקה; הטקסט, השפה, המצב וחותמת הזמן שלה נשמרים בסיכום הסריקה. אם כתובת דוא״ל מופיעה בטופס כנמען, נשמר רק הדומיין שלה, ולעולם לא הכתובת.
מקור	הדפים הציבוריים של דומיין הלקוח, המאוחזרים על ידי הסורק.
בסיס משפטי (נקבע על ידי בעל השליטה במידע)	נקבע על ידי הלקוח עבור התוכן באתר הלקוח עצמו. עבורנו העיבוד הוא חלק מהבדיקה שהוזמנה.
נמענים	הלקוח; בסוכנויות, הלקוח שלהן דרך הפורטל או דוח במיתוג מותאם; כל מי שמקבל קישור לדוח (דוחות בכתובות אקראיות, לא במנועי חיפוש). כאשר סוג הטופס אינו ברור, מודל שפה מקומי בשרת שלנו עצמנו מקבל לצורך הסיווג את מבנה הטופס עם כותרת הדף, כתובת הדף והטקסט הגלוי של הטופס (עד 400 תווים); הוא אינו מקבל תמונות. בבדיקות מתאימות בתשלום, המודל המקומי מקבל גם את שם המארח, התוצאה הכוללת והציון, מערכת ניהול התוכן, סוג הטופס הרלוונטי וכתובת הדף, תוסף שזוהה וממצאים נבחרים שנכשלו או שאינם ברורים, לצורך יצירת תוכנית פעולה. הבקשה מוחזקת זמנית בתור המשימות הפנימי ונמחקת לאחר איסופה או באמצעות ניקוי מתוזמן של רשומות בנות יותר משעה.
מדינה שלישית	אין.
שמירה	תוצאות בדיקות של דומיין נשמרות למשך 13 חודשים לכל היותר; הבדיקה האחרונה שהושלמה לכל דומיין נשארת (ריצת המחיקה הלילית, החלק “תוצאות בדיקות ישנות”). טפסים, ממצאים, הפניות לתמונות וקובצי התמונות נמחקים יחד עם תוצאת הבדיקה. יחד עם הדומיין, מידע זה נמחק מייד (שרשרת המחיקה ב-B.15; חריגים בסעיף 6.4).
מגבלות ההסוואה	צילומי המסך של הבדיקה המלאה אינם מכסים דבר: הם מציגים את מה שהדף מציג לכל מבקר. שדות הטופס ריקים בעת האחזור, משום שהסורק אינו מזין דבר; ערכים שמולאו מראש יהיו גלויים. לא מצולמים צילומי מסך מאחורי כניסה לחשבון (A.5). התמונות של בדיקות הדפדפן מכסות שדות קלט (A.6).
אמצעים טכניים וארגוניים	סעיף 8. בפרט: ניתן לאחזר תמונות רק דרך הדוח, ומזהה תמונה של מישהו אחר מחזיר “not found”; דוחות עם noindex; כל בדיקה פועלת במכולה מבודדת משלה.

אותו מידע נוצר בבדיקות ללא חשבון (בדיקה חינמית, מחקר, בדיקת לקוחות פוטנציאליים). שם אין לקוח שאנו פועלים מטעמו; לכן מקרים אלה מופיעים בחלק ב׳ (B.5, B.7, B.8).

A.5 פרטי כניסה של חשבון בדיקה לסריקה מאחורי כניסה לחשבון

שדה	ערך
מטרה	קריאת טפסים המופיעים רק לאחר כניסה לחשבון (אזור לקוחות, אזור חברים). הסורק נכנס באמצעות חשבון בדיקה שהלקוח יצר באתר שלו עצמו וקורא את הדפים שצוינו. מלבד טופס הכניסה, הוא אינו שולח דבר, אינו מבצע שם בדיקה פעילה, אינו מצלם צילומי מסך ואינו מבקר בכתובות להתנתקות, למחיקה או לביטול. אם טופס הכניסה מכיל CAPTCHA, הוא נעצר; אין עקיפה של CAPTCHA.
תנאי מוקדם	דומיין מאומת, מסלול בתשלום, תפקיד בעלים או מנהל, ואישור מפורש שהחשבון הוא חשבון בדיקה. לכל היותר חמישה דפים, כולם באותו דומיין.
קטגוריות של נושאי מידע	האדם שעל שמו מתנהל חשבון הבדיקה (באופן אידיאלי אף אדם; מומלץ שהלקוח ישתמש בחשבון תפקודי); אנשים שהמידע שלהם מופיע בדפים שמאחורי הכניסה לחשבון.
קטגוריות של מידע אישי	שם המשתמש והסיסמה של חשבון הבדיקה, בהצפנה בלבד; רמז לשם המשתמש (התו הראשון והאורך); כתובת הכניסה, רשימת הדפים, שמות שדות הכניסה, סימן להצלחה, האדם שיצר את החשבון, מועדים, התוצאה האחרונה כקוד קצר (`domain_logins`). עבור משימה פועלת, עותק של הטקסט המוצפן (שדה “חבילת כניסה” ב-`scan_jobs`). מהדפים שמאחורי הכניסה: מבנה הטופס כמו ב-A.4, ללא צילומי מסך וללא עוגיות.
מקור	מוזן על ידי הלקוח בחשבון.
בסיס משפטי (נקבע על ידי בעל השליטה במידע)	נקבע על ידי הלקוח. הלקוח מתחייב שהוא רשאי להשתמש בחשבון הבדיקה.
נמענים	אין. לא הלקוח, לא התמיכה ולא ממשק התכנות יכולים לקרוא את פרטי הכניסה; הממשק מציג רק את הרמז לשם המשתמש.
מדינה שלישית	אין.
הגנה על פרטי הכניסה	שם המשתמש והסיסמה מוצפנים מייד בעת השמירה באמצעות המפתח הציבורי של שרת הסריקה (X25519, HKDF-SHA256, AES-256-GCM; הדומיין מקושר כמידע נלווה, כך שלא ניתן להצמיד טקסט מוצפן לדומיין אחר). רק לשרת הסריקה יש המפתח הפרטי. שרת האינטרנט, מסד הנתונים והגיבויים מכילים רק טקסט מוצפן; גם אנחנו איננו יכולים לפענח אותו שם. שרת הסריקה מפענח רק לצורך הריצה, מעביר את פרטי הכניסה למכולת הבדיקה המבודדת רק באמצעות הקלט הסטנדרטי, מוחק מייד את העותק במשימה ואינו כותב אותו לשום תוצאה, יומן או טקסט שגיאה. בדרך לאתר הלקוח הם מוגנים רק באמצעות ההצפנה של אותו אתר; מגבלות תעבורה זו מפורטות בסעיף 10.
שמירה	פרטי כניסה שמורים נשארים עד למחיקתם על ידי הלקוח. בעת המחיקה, הטקסט המוצפן נדרס במידע אקראי באותו אורך והשורה נמחקת; משימות ממתינות מנוקות (`fe_login_loeschen()`). עם הדומיין, השורה נמחקת באמצעות מפתח זר. שרת הסריקה מנקה עותקים במשימות לאחר הריצה; כל שארית (משימה שבוטלה, שרת סריקה מושבת) מנוקה על ידי ריצת המצב לאחר שעה לכל המאוחר (`fe_login_aufraeumen()`, החלק “login_jobs”). גיבויי מסד הנתונים מכילים את הטקסט המוצפן עד לפקיעת הגיבוי לאחר 14 ימים.
אמצעים טכניים וארגוניים	סעיף 8. בפרט: הצפנה א-סימטרית עם מפתחות נפרדים; רשימת חסימה לנתיבי התנתקות ומחיקה; ללא צילומי מסך מאחורי הכניסה לחשבון; הפעולה זמינה רק למסלולים בתשלום ולדומיינים מאומתים; כל שינוי ביומן הפעילות (ללא פרטי כניסה).

במכוון לא בנינו דרך כלשהי לשמירת פרטי כניסה לשרת של הלקוח, לאזור הניהול של מערכת ניהול התוכן או לחשבונות האחסון שלו. חשבון הבדיקה הוא חשבון מבקר באתר הלקוח, ולא גישה למערכת הלקוח.

A.6 תהליכי שימוש בטפסים שהוגדרו, בדיקות דפדפן ובדיקת אימות בלתי תלויה

שדה	ערך
מטרה	מעבר דרך טופס מנוטר בדפדפן אמיתי (Chromium, WebKit או שניהם) עד לנקודה שממש לפני השליחה: טעינת הדף, ביצוע לחיצות מקדימות (לכל היותר חמש, ולעולם לא על שדה קלט או על כפתור שליחה), מילוי שדות בערכים סינתטיים שניתן לזהותם ככאלה (כגון כתובת תחת הסיומת השמורה `.invalid`), והתקדמות בטפסים מרובי שלבים. בדיקת הדפדפן אינה שולחת דבר; השליחה חסומה מבחינה טכנית בדפדפן. בנוסף מתבצעות מדידות זמנים והשוואות חזותיות של הטופס.
קטגוריות של נושאי מידע	כמו ב-A.4 (אנשים הגלויים בדף הטופס); אנשי צוות הלקוח שהוזנו כאחראים (A.3).
קטגוריות של מידע אישי	הגדרות: כתובת הטופס, בוררים, כתובת כניסה, שלבי לחיצה, בחירת דפדפן, תווית, קריטיות, הקצאה, תאריך יעד (`monitored_forms`). תוצאות לכל ריצה: מצב, סיבת כשל טכנית, הודעות שגיאה לאחר סינון מידע רגיש, מדידות רשת וזמנים, תמונת הטופס כ-JPEG בגודל של 32 KB לכל היותר עם שדות קלט מכוסים (`form_browser_runs`). תצפיות לכל בדיקה (`form_observations`), סדרות זמן (`form_performance`). משימות עם רשימת יעדים (השדות “targets” ו-“result” ב-`scan_jobs`).
גישת בדיקה	אם הלקוח שמר חשבון בדיקה (A.5), הבדיקה המלאה משתמשת בו גם עבור תהליכי שימוש בטפסים שהוגדרו. לפי הקוד שנמדד, בדיקות הדפדפן העצמאיות שבין שתי בדיקות מלאות פועלות ללא חשבון בדיקה.
בדיקת אימות בלתי תלויה	מתוכננת נקודת בדיקה שנייה במיקום אחר, שתבצע בדיקה צולבת לפני התרעה. היא תקבל את הדומיין, את ההגדרות לאחר סינון מידע רגיש ואת מזהה המשימה, ללא קלט של מבקרים וללא פרטי כניסה. כיום היא אינה מוגדרת (כבויה כברירת מחדל). ללא בדיקת האימות אין ראיות ממיקום שני; במקרה כזה התרעה מבוססת על המדידה שלנו עצמנו.
מקור	מוגדר על ידי הלקוח; תוצאות מאחזור דף הלקוח.
בסיס משפטי (נקבע על ידי בעל השליטה במידע)	נקבע על ידי הלקוח עבור תוכן אתר הלקוח ועבור תחומי האחריות של אנשי צוות הלקוח.
נמענים	הלקוח; כאשר מוגדרת בדיקת אימות, המפעיל שלה (כיום אין מפעיל).
מדינה שלישית	אין.
שמירה	תוצאות ריצות דפדפן, משימות דפדפן שהושלמו וסדרות זמן נמחקות לאחר 13 חודשים (ריצת המחיקה הלילית, החלקים “browser_runs”, “browser_jobs”, “form_performance”). הגדרות נשמרות עד למחיקת הדומיין (בנפרד ניתן לשנות או לכבות אותן, אך לא למחוק); עם הדומיין הן נמחקות, יחד עם ריצות, תצפיות וסדרות זמן, באמצעות מפתחות זרים.
מה המדידה מוכיחה	זמנים ומצבים מדפדפן הבדיקה שלנו. הם אינם מודדים את חווייתם של מבקרים אמיתיים ואינם מוכיחים שיעורי השלמה או פניות שאבדו.
אמצעים טכניים וארגוניים	סעיף 8. בפרט: שליחה נמנעת מבחינה טכנית; רק כתובות באותו דומיין; תמונות מכוסות; מכולת בדיקה מבודדת.

A.7 “Fix it for me” – קוד טופס שהודבק

שדה	ערך
מטרה	הלקוח מדביק את קוד הטופס שלו; מודל שפה בחומרה שלנו עצמנו משלב את מודול ההגנה. התוצרים המוחזרים הם הקובץ ששונה, תיקון קוד, תוצאת בדיקת תחביר וסימון אם קריאת הבדיקה אכן שולבה. ללא קוד שהודבק, השירות מספק מודול מוכן עם שמות השדות מהסריקה האחרונה.
קטגוריות של נושאי מידע	אנשים שהמידע שלהם נמצא במקרה בקוד שהודבק (כגון כתובת נמען, שמות בהערות או פרטי כניסה לשרת דוא״ל).
קטגוריות של מידע אישי	הקוד שהודבק, לכל היותר 30,000 תווים. במסד הנתונים נשמרת רק רשומה ביומן הפעילות (פעולה “fix_ai” עם סביבת העבודה והמועד), הנכללת במגבלה היומית העומדת כיום על עשר קריאות לכל סביבת עבודה.
מקור	מודבק על ידי הלקוח.
בסיס משפטי	ביצוע החוזה עם הלקוח (סעיף 6(1)(b) ל-GDPR) ביחס לקוד עצמו; ביחס למידע של צדדים שלישיים הנמצא בו במקרה, הלקוח קובע את הבסיס.
נמענים	אין. מודל השפה פועל בשרת הסריקה שלנו עצמנו ברשת הפנימית; ללא שירות בינה מלאכותית חיצוני, אפילו לא כחלופה במקרה כשל.
מדינה שלישית	אין.
שמירה	הקוד אינו נשמר. קובץ זמני נוצר לצורך בדיקת התחביר ונמחק מייד לאחר מכן. הרשומה ביומן הפעילות נמחקת לאחר 365 ימים.
הערה ללקוח	מומלץ לנקות קוד המכיל סיסמאות, מפתחות API או מידע אישי לפני הדבקתו. איננו בודקים את התוכן.
אמצעים טכניים וארגוניים	סעיף 8. בפרט: רק בעלים ומנהלים במסלולים בתשלום; הקוד שהודבק מועבר למודל כשהוא מסומן כמידע ולעולם אינו מבוצע; ללא העלאה לשרתים של צדדים שלישיים.

A.8 מיתוג מותאם ואנשי הקשר של הסוכנות

שדה	ערך
מטרה	הדוחות, הדוחות המקוצרים, יומני הראיות ופורטל הלקוחות של סוכנות (מסלול Business) מופיעים תחת המותג שלה, ולפי בקשה תחת תת-דומיין של הסוכנות עצמה.
קטגוריות של נושאי מידע	אנשי קשר בסוכנות ששמם או פרטי הקשר שלהם מופיעים בשורת יצירת הקשר.
קטגוריות של מידע אישי	שם חברה, אתר, שורת יצירת קשר, הערה ללקוח, צבע הדגשה, מראה, קובץ לוגו, מתג להפניה ל-formexposed, דומיין עצמאי עם מזהה אימות ומצב אימות (`workspace_branding`).
מקור	מוזן על ידי הסוכנות.
בסיס משפטי	ביצוע החוזה עם הסוכנות (סעיף 6(1)(b) ל-GDPR). כאשר שורת יצירת הקשר מציינת אנשי צוות של הסוכנות, הסוכנות קובעת את הבסיס.
נמענים	כל מי שהסוכנות מוסרת לו דוח, דוח מקוצר או קישור לפורטל.
מדינה שלישית	אין.
שמירה	עד לשינוי על ידי הסוכנות; המיתוג וקובץ הלוגו נמחקים יחד עם סביבת העבודה (`fe_arbeitsbereich_daten_loeschen()`). דומיין עצמאי שאימות ה-DNS שלו נכשל במשך שבעה ימים מכובה. הדומיין העצמאי כבוי כברירת מחדל.
אמצעים טכניים וארגוניים	סעיף 8.

A.9 ספירות, מחווני מצב ושגיאות שדות מהתוסף ומההרחבה

שדה	ערך
מטרה	פעם ביום, תוסף WordPress והרחבת TYPO3 מדווחים נתונים על הטפסים באתר המחובר: שליחות שנחסמו לפי סיבה, שליחות, הודעות דוא״ל שנשלחו ונכשלו, מחווני מצב של הגדרות הטפסים, פניות שמורות לפי מקור ותקופת שמירה. לפי בחירה, כבוי כברירת מחדל: אירועי טופס וקטגוריות של שגיאות שדות לפי מיקום השדה. נתונים אלה מפיקים את “ההגנה במספרים”, הדוח החודשי, התרעת השקט וההודעות על הגדרות מסוכנות.
סיווג	הנתונים מתוכננים כך שאינם מתארים אדם כלשהו. אנו מפרטים אותם בחלק א׳ משום שהם נוצרים מאירועים באתר הלקוח שמפעילים מבקרים של הלקוח; לדעתנו הם מידע אישי לכל היותר במקרי גבול (אתר עם מעט מאוד שליחות ביום מסוים). ההעברה עצמה (מפתחות, גרסאות, מארח) מופיעה בחלק ב׳ (B.20).
קטגוריות של נושאי מידע	מבקרים באתר הלקוח ששולחים טופס.
קטגוריות של מידע אישי	נתונים יומיים לכל מארח: חסימות בסך הכול ולפי סיבה, שליחות, הודעות דוא״ל שנשלחו ונכשלו, קטגוריית שגיאה של משלוח דוא״ל (רק אחת מארבע קטגוריות, ולעולם לא טקסט השגיאה, משום שהוא עשוי להכיל כתובות נמענים), ספירות תשובות reCAPTCHA, פניות שנמחקו ושוחררו (`plugin_stats`). מצב: גרסאות מתוך רשימה קבועה של תוספי טפסים, CAPTCHA ודוא״ל, מחווני הגדרות כמספרים, תקופות שמירה (`plugin_health`). הודעות על שינויים: שם וגרסה של תוסף שעודכן (`plugin_changes`). לפי בחירה: מונים לכל טופס ויום עם קטגוריות שגיאה לפי מיקום השדה (`form_metrics`). לעולם לא: קלט, שמות שדות, סיסמאות, קבצים, כתובות דוא״ל, שמות, כתובות IP או מזהים קבועים של מבקרים.
מקור	התוסף באתר הלקוח, דרך ממשק תכנות באמצעות סוד החיבור של האתר.
בסיס משפטי (נקבע על ידי בעל השליטה במידע)	נקבע על ידי הלקוח; הלקוח מחליט אם להפעיל את הספירות האופציונליות וכיצד ליידע את המבקרים שלו.
נמענים	הלקוח. דומיינים מתוך קישורים בהודעות שנחסמו נכנסים להגנה המשותפת (B.21).
מדינה שלישית	אין.
שמירה	נתונים יומיים, הודעות על שינויים ומוני טפסים נמחקים לאחר 13 חודשים (ריצת המחיקה הלילית, החלקים “plugin_stats” ו-“form_metrics”). מחווני מצב נדרסים בכל דיווח. כל נתוני התוסף עבור מארח נמחקים ברגע ששום דומיין במערכת אינו מפנה עוד לאותו מארח (מייד עם מחיקת הדומיין האחרון; מידע ישן מדי לילה, החלק “orphan_hosts”).
מה הנתונים מוכיחים	את מה שהתוסף ספר. הם אינם מוכיחים שיעורי השלמה או פניות שאבדו.
אמצעים טכניים וארגוניים	סעיף 8. בפרט: קבלה רק באמצעות זוג המפתחות המקושר של האתר; מתקבלים רק מפתחות ומספרים מוכרים, וכל היתר מושלך; ימים מחוץ לחלון של 14 ימים נדחים.

A.10 הגבול: מה נשאר רק באתר הלקוח

הפעולות הבאות של תוסף WordPress ושל הרחבת TYPO3 מעבדות מידע אך ורק בשרת הלקוח. המידע אינו מגיע אלינו, ואין לנו גישה אליו. מפעיל האתר לבדו אחראי; הוא מחליט על ההפעלה, על תקופות השמירה ועל אופן יידוע המבקרים שלו. לשם כך התוסף מציע פסקאות למדיניות הפרטיות של המפעיל.

פעולה	מה מעובד מקומית	שמירה בצד הלקוח
הסגר	שליחות שנעצרו עם סיבה, שניתן לשחרר בדוא״ל לכתובת האתר	14 ימים
רשת ביטחון	שליחות שהודעת הדוא״ל מהטופס שלהן נכשלה, לצורך משלוח מחדש (מופעל כברירת מחדל)	30 ימים
חידה חשבונית במקום reCAPTCHA	משימה חשבונית בדפדפן המבקר, ללא שירות צד שלישי (כבוי כברירת מחדל)	–
הגדרות שמירה	מחיקת פניות שמורות בתוספי טפסים לאחר התקופה שבחר המפעיל (כבוי כברירת מחדל)	לפי ההגדרה
הגבלת קצב	מזהה קצר-חיים הנגזר מכתובת ה-IP ואינו מועבר אלינו	קצר-חיים
מונים יומיים מקומיים	ערכי מונים לפני ההעברה	לכל היותר 14 ימים
מקליט למנהלים	בוררים טכניים ושלבי ניווט באחסון ההפעלה של דפדפן מנהל המחובר לחשבון; הקלט אינו נקרא. רק ההגדרות שנבחרו מועברות (לאחר מכן A.6)	לכל היותר 15 דקות
סיוע למבקרים	ניתן להפעלה בנפרד; אינו שומר טיוטות ואינו שולח מחדש באופן אוטומטי	–
תצפית על כללי ספאם חדשים	התאמות נוספות נספרות מקומית, ללא הפעלה אוטומטית	שבעה ימים

A.11 הגנת טפסים (formconfirmed)

שדה	ערך
מטרה	הערכת שליחות דרך טפסים באתרי לקוחות, כדי לזהות שליחות אוטומטיות: הנפקה ואימות של משימות (הוכחת עבודה חישובית), אסימוני אימות חד-פעמיים, משך מילוי הטופס, שדה מלכודת, בקשות חוזרות ונשנות; לבקשת הלקוח, הערכת טקסט ההודעה בידי מודל שפה. רק עבור לקוחות שמפעילים את הגנת הטפסים.
קטגוריות של נושאי מידע	מבקרים באתרי לקוחות שפותחים דף שבו טופס מוגן או שולחים אותו.
קטגוריות של מידע אישי	כתובת IP (נשמרת רק בצורה מקוצרת ומגובבת עם מפתח המתחלף מדי יום), כתובת הדף והדומיין שלו, מועדים ומשך מילוי הטופס, שדה מלכודת מולא כן/לא, מזהה הדפדפן ביומן שרת האינטרנט; רק כאשר בדיקת התוכן מופעלת – טקסט ההודעה (בזיכרון העבודה בלבד).
מקור	דפדפן המבקר (משימה, אסימון אימות); השרת של הלקוח (בקשת אימות, ובמידת הצורך טקסט).
נמענים	הלקוח (ציון, פעולה, סיבות). אין נמענים אחרים; אין מעבדי משנה לעיבוד זה.
מדינה שלישית	אין.
שמירה	מזהה מגובב שעה אחת; אסימוני אימות שנוצלו לכל היותר 11 דקות; תוצאות בדיקה ללא כתובת IP וללא טקסט 30 ימים; נתונים יומיים 400 ימים; יומן שרת האינטרנט 14 ימים; טקסט – ללא שמירה.
אמצעים טכניים וארגוניים	סעיף 8; בנוסף קיצור וגיבוב עם מפתח יומי, משימות חתומות, שימוש חד-פעמי, מודל שפה בחומרה שלנו ללא רישום הטקסט ביומן.

4. חלק א׳ – נמענים, מעבדי משנה והעברות למדינות שלישיות

הטבלה הבאה מפרטת את הנמענים שאנו עצמנו מתקשרים איתם ושעשויים לקבל מידע מחלק א׳. הרשימה הקובעת והמתעדכנת באופן מתמשך היא הדף מעבדי משנה; אם היא שונה מטבלה זו, זהו ממצא ולא עניין של עיצוב.

נמען	מה הוא מקבל	מדינה שלישית	בסיס	מצב
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	תיבת הבקרה של בדיקת המסירה (A.1); משלוח הודעות התרעה בדוא״ל (A.3), אישורים ודוחות למנויי פורטל (A.2)	מקום העיבוד עדיין טעון אימות; ראו הדף “מעבדי משנה”	הסכם לעיבוד מידע; הבסיס להעברה עדיין טעון אימות	פתוח. החוזה הרלוונטי, מקומות העיבוד בפועל והבסיס להעברה טרם תועדו. רישום זה אינו מאשר הסמכה או חוזה שנכרת.
Namecheap, Inc. (רשם, DNS; העברת דוא״ל אוטומטית עד להגדרת תיבת הדואר)	עד להגדרת תיבת הדואר, דואר נכנס כללי לכתובות בדומיין שלנו; לא העותקים מבדיקת המסירה, המגיעים רק כשיש רשומות MX המפנות ישירות לתיבת הדואר (A.1)	ארצות הברית	טעון אימות: הסמכה לפי מסגרת הגנת הפרטיות בין האיחוד האירופי לארצות הברית או סעיפים חוזיים אחידים	בשימוש; הבסיס פתוח.
שרת הסריקה שלנו עצמנו עם מודל שפה מקומי	מבנה טופס לסיווג וממצאים נבחרים עם מטא-נתוני סריקה לתוכניות פעולה בחשבונות בתשלום (A.4), קוד שהודבק (A.7), פרטי גישת בדיקה מפוענחים רק במהלך הריצה (A.5)	–	מופעל על ידינו, אינו צד שלישי	בשימוש.
בדיקת אימות בלתי תלויה במיקום שני	דומיין, הגדרות לאחר סינון מידע רגיש, מזהה משימה (A.6)	בהתאם למיקום	ייקבע לפני ההפעלה	לא הוגדר.

אחסון: ללא צד שלישי. היישום, מסד הנתונים, צילומי המסך והגיבויים מוחזקים בשרתים שלנו עצמנו בפולין. אם נעבור למרכז נתונים או לספק ענן, יהיה צורך לכתוב פסקה זו מחדש.

4.1 ערוצי התרעות שבוחר הלקוח

בנוסף לנמענים שאנו מתקשרים איתם, יש ערוצים שהלקוח בוחר עבור ההתרעות שלו (A.3). השרת שלנו מפעיל את ההעברה; הלקוח קובע את היעד ואת הספק. בחירת ערוץ אינה פוטרת אותנו מחובותינו שלנו כמעבד מידע. לכל ספק יש לקבוע את התפקיד, החוזה ואמצעי ההגנה הנדרשים עבור מדינות שלישיות; ביחס לשירותי הצ׳אט, הדבר טרם הושלם (שאלה פתוחה לבדיקה המשפטית).

ערוץ	מה נשלח	מקום מושב הספק
דוא״ל	דומיין, אירוע, הסבר, קישור; לכתובת שהוזנה	דרך Namecheap, Inc. (Private Email), Phoenix, Arizona, USA
Webhook לכתובת שנבחרה באופן חופשי	אירוע כ-JSON (דומיין, אירועים, שורות, קישור, חותמת זמן), חתום באמצעות סוד היעד	נקבע על ידי הלקוח
Slack, Discord, Microsoft Teams, Google Chat	אותה הודעה כהודעת צ׳אט לכתובת ה-webhook שהוזנה	בעיקר ארצות הברית
Telegram	יעד שבחר הלקוח; אנו שולחים את ההודעה באמצעות הבוט שלנו למזהה הצ׳אט המקושר	מחוץ לאיחוד האירופי, ללא החלטת נאותות; הבסיס להעברה הוא שאלה פתוחה לבדיקה המשפטית

בשום מקרה לא נשלח תוכן של הודעת מבקר. ההודעות נושאות דומיין, אירוע וקישור.

5. חלק ב׳ – סעיף 30(1): עיבוד באחריותנו שלנו

בעל השליטה במידע עבור כל האמור בחלק זה: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, contact@lukaswojcik.com. אין צורך בנציג (מבוסס באיחוד). לא מונה ממונה על הגנת מידע (סעיף 9). אמצעים טכניים וארגוניים: סעיף 8 והדף אמצעים טכניים וארגוניים. אופן מימוש זכויות נושאי המידע מתואר בדף גישה למידע, מחיקה וזכויות נוספות; בעלי חשבונות יכולים להוריד את המידע שלהם בעצמם כקובץ (הגדרות).

כאשר אנו מסתמכים על אינטרסים לגיטימיים (סעיף 6(1)(f) ל-GDPR), אנו מציינים את האינטרס ואת הסיבה לכך שאמצעי פחות פולשני אינו מספיק. האיזון הוא ההערכה שלנו; הוא חלק מהבדיקה המשפטית.

B.1 מבקרים באתר שלנו – יומני שרת אינטרנט

שדה	ערך
מטרה	תפעול ואבטחה של האתר ושל היישום: אספקה, פתרון תקלות, זיהוי התקפות ועומס יתר.
קטגוריות של נושאי מידע	כל מי שפותח דף ב-formexposed.com או ב-form.exposed, לרבות מבקרים בדפי לקוחות שהדפדפן שלהם טוען את תמונת התג שלנו (B.18), נמענים הפותחים קישור לדוח או לאישור קבלה, ואתרים שהתוסף שלהם פונה לממשק שלנו.
קטגוריות של מידע אישי	כתובת IP מלאה, מועד, כתובת שהתבקשה, קוד מצב, בתים שהועברו, דף מפנה (referrer), מזהה דפדפן (user agent).
מקום השמירה	יומני הגישה של שרת ה-proxy שבחזית ושל שרת האינטרנט כקבצים בשרת האינטרנט, ולא במסד הנתונים.
מקור	הדפדפן או התוכנית המבצעים את הבקשה.
בסיס משפטי	סעיף 6(1)(f) ל-GDPR. אינטרס: תפעול מאובטח וללא הפרעות. איזון: ללא הכתובת המלאה לא ניתן לקשר בקשות חוזרות מאותו שולח ולהדוף התקפות; כתובת מקוצרת אינה מאפשרת הבחנה זו. היומנים אינם משולבים עם מידע אחר ונמחקים לאחר תקופה קצרה.
נמענים	אין.
מדינה שלישית	אין.
שמירה	14 ימים: החלפה יומית עם 14 דורות, ולאחר מכן דריסה (שירות החלפת יומני המערכת, ולא ריצת המחיקה הלילית של היישום).
אמצעים טכניים וארגוניים	סעיף 8.

B.2 יומן צפיות בדפים ביישום

שדה	ערך
מטרה	אבטחה וזיהוי שימוש לרעה (מי מבקש מה ובאיזו תדירות), יכולת מעקב אחר גישה לחשבון, וסטטיסטיקות שימוש פשוטות ללא שירות ניתוח נתונים.
קטגוריות של נושאי מידע	כל המבקרים באתר ומשתמשי היישום בצפיות אמיתיות בדפים (ללא בקשות רקע וללא שליחות טופס).
קטגוריות של מידע אישי	כתובת IP מלאה, המדינה הנגזרת ממנה בעת הכתיבה (מסד נתונים גאוגרפי מקומי, ללא שאילתה לצד שלישי), מזהה חשבון עבור משתמשים מחוברים, כתובת שהתבקשה ודף מפנה (אסימוני גישה בתוכם, כגון אלה של קישורי דוחות או פורטלים, מוסווים), מזהה דפדפן וסוג המכשיר, מערכת ההפעלה והדפדפן הנגזרים ממנו, שפה, מועד (`access_logs`). במהלך “תצוגה כלקוח” (B.14) לא נקבע מזהה חשבון, כדי שצפיות התמיכה בדפים לא יופיעו ביומן הלקוח.
מקור	בקשת הדפדפן.
בסיס משפטי	סעיף 6(1)(f) ל-GDPR. אינטרס: מניעת שימוש לרעה ויכולת מעקב. איזון: כמו ב-B.1; תקופת השמירה ארוכה יותר משום שדפוסי שימוש לרעה נעשים גלויים לאורך שבועות. השאלה אם מומלץ לקצר את כתובת ה-IP או את תקופת השמירה היא שאלה פתוחה לבדיקה המשפטית.
נמענים	אין. בעלי חשבונות מקבלים את הצפיות שלהם עצמם בדפים במסגרת ייצוא המידע.
מדינה שלישית	אין.
שמירה	60 ימים (מדי לילה בין 03:00 ל-03:05, `srv/cron_status.php`, ההגדרה “יומן צפיות בדפים”).
אמצעים טכניים וארגוניים	סעיף 8. כתובת ה-IP נלקחת מכותרת מועברת רק אם הבקשה מגיעה משרת ה-proxy שלנו שבחזית, וגם אז רק הרשומה שאותו שרת proxy הוסיף; אחרת כל אדם היה יכול לציין את מקורו כרצונו.

B.3 עוגיות ואחסון בדפדפן

שדה	ערך
מטרה	אחסון הנחוץ מבחינה טכנית: הפעלה, הגנה מפני זיוף בקשות בין אתרים (CSRF), ספירת המגבלות לבדיקות ללא חשבון, כניסה לחשבון, הישארות מחוברים לפי בקשה, ותצוגה בהירה או כהה.
קטגוריות של נושאי מידע	מבקרים ומשתמשים של formexposed.com.
קטגוריות של מידע אישי	עוגיית הפעלה `bpid` (מזהה הפעלה; מסתיימת עם סגירת הדפדפן; HttpOnly, SameSite=Lax, Secure דרך HTTPS). עוגיית `bp_remember` רק לאחר בחירה ב“להישאר מחוברים” (בורר ומאמת; 30 ימים). אחסון מקומי `bp_theme` (בהיר, כהה או מערכת). באזור הניהול, בנוסף, הגדרות תצוגה מקומיות של המפעילים. עבור המגבלות נוצר גיבוב ממזהה ההפעלה; המזהה עצמו אינו נשמר.
אינן מוצבות	ללא עוגיות ניתוח נתונים, פרסום או מעקב. תוכנית השותפים (B.33) פועלת ללא עוגייה. תמונת התג בדפי לקוחות אינה מציבה עוגייה (B.18). reCAPTCHA עשוי להציב עוגיות של Google בעת שליחת טופס מוגן (B.23).
בסיס משפטי	גישה לציוד הקצה: נחוצה בהחלט לשירות שהמשתמש ביקש (§ 25(2) פריט 2 TDDDG, החוק הגרמני להגנת מידע בשירותי תקשורת דיגיטליים; סעיף 399(3) PKE, חוק התקשורת האלקטרונית הפולני (Prawo komunikacji elektronicznej)). עיבוד: סעיף 6(1)(b) ל-GDPR (חשבון) ו-(f) (אבטחה, מגבלות).
נמענים	אין.
מדינה שלישית	אין.
שמירה	משך ההפעלה; 30 ימים לאסימון ההישארות מחוברים. הריצה הלילית מוחקת אסימוני הישארות מחוברים שפג תוקפם במסד הנתונים (`remember_tokens`); בהתנתקות, בשינוי סיסמה ובביטול הרשאה למכשיר, הם נמחקים מייד.
אמצעים טכניים וארגוניים	סעיף 8.

B.4 בדיקה חינמית ללא חשבון – קבלה, מגבלות וניטור שימוש לרעה

שדה	ערך
מטרה	כל אדם יכול לבקש בדיקת דומיין ללא חשבון. כדי ששדה הקלט לא יהפוך לנשק נגד אתרים של צדדים שלישיים, חלות מגבלות מדורגות: בדיקה אנונימית אחת לכל דומיין בשבעה ימים (לאחר מכן מוצג אותו דוח), מגבלות לכל כתובת IP ולכל הפעלה בתוך 24 שעות, מגבלה יומית למערכת כולה, חסימה של דומיינים צעירים מאוד, רשימת חסימה והחרגה, וכתובות ציבוריות בלבד. דפוסים חריגים מתועדים ומדווחים למפעיל. המגבלות לכל כתובת IP, לכל הפעלה ולמערכת כולה, שכל אחת מהן נספרת בנפרד, חלות גם על בדיקה מהתוסף ללא חשבון (תוסף בעל זוג מפתחות מקושר נספר לכל אתר במקום לכל כתובת) ועל החרגה (B.30); לכלי כותרות התגובה החינמי (B.9) יש מגבלות משלו לכל כתובת IP ויום ולמערכת כולה.
קטגוריות של נושאי מידע	אנשים המפעילים בדיקה, בקשה לכלי כותרות התגובה או החרגה; שרתים שעליהם מותקן תוסף.
קטגוריות של מידע אישי	יומן של כל בקשה: מקור (בדיקה, תוסף, כלי כותרות תגובה, החרגה), כתובת IP מלאה, גיבוב של מזהה ההפעלה, המארח שנבדק, המדינה לפי כתובת ה-IP, קבלה או דחייה עם סיבה, מועד (`check_throttle`). חריגות: סוג (כתובת IP, הפעלה, מדינה, מערכת), מפתח (בסוג “IP”, כתובת ה-IP המלאה), דפוס, חומרה, תיאור קצר, מועדי זיהוי ופתרון, האדם הפותר (`abuse_flags`). משימה: מארח, מצב פעולה, רמת אמון וגיבוב מקוצר של ההפעלה כמזהה המבקש (`scan_jobs`). דוח: מזהה אקראי, מארח, שפה, פקיעה, צפייה ראשונה, מספר צפיות (`reports`). גיל דומיין שנשמר במטמון מתוך בירור במרשם (`domain_age_cache`).
מקור	הקלט של האדם; הבקשה שלו; בירור במרשם (RDAP) לצורך גיל הדומיין.
בסיס משפטי	ביצוע הבדיקה שהתבקשה: סעיף 6(1)(b) ל-GDPR (שימוש בבדיקה החינמית לפי תנאי השירות); לחלופין, (f). מגבלות וניטור: סעיף 6(1)(f). אינטרס: מניעת שימוש בשירות ככלי נגד אתרים של צדדים שלישיים או כתותח ספאם. איזון: ללא קישור לכתובת ולהפעלה, לא ניתן היה לאכוף את המגבלות; תקופת שבעת הימים קצרה ככל האפשר בהתאם למגבלה הארוכה ביותר הנספרת מתוכה.
נמענים	Google (reCAPTCHA בעת השליחה, B.23). לצורך גיל הדומיין, הסורק פונה לשירות הפניות ה-RDAP של rdap.org, המפנה למרשם האחראי; מועבר רק שם הדומיין. כאשר מתרחשת חריגה, המפעיל מקבל אות באמצעות Telegram ללא משתנה כלשהו (ללא מארח, ללא כתובת). הדוח גלוי לכל מי שמחזיק בקישור האקראי שלו.
מדינה שלישית	ארצות הברית באמצעות reCAPTCHA (B.23).
שמירה	יומן בקשות נשמר 7 ימים (מדי לילה, `srv/cron_status.php`). חריגות שנפתרו נמחקות 90 ימים לאחר פתרונן; חריגות שלא נפתרו נשארות עד שמישהו פותר אותן (סעיף 10). דוחות אנונימיים פוקעים לאחר 30 ימים; הריצה הלילית מוחקת אז את הדוח, המשימה, תוצאת הבדיקה, הטפסים, הממצאים והתמונות (`fe_reports_aufraeumen()`). מנהל יכול לשחרר ידנית רשומות עבור כתובת; הדבר מוחק את היומן שלה ל-24 השעות האחרונות.
אמצעים טכניים וארגוניים	סעיף 8. עצירת חירום לכל הבדיקות האנונימיות באזור הניהול; מנגנון ויסות שאינו מקבל בדיקות חינמיות חדשות כאשר יש הצטברות בתור.

B.5 בדיקת סורק של אתרים של צדדים שלישיים

שדה	ערך
מטרה	בדיקת אבטחה של טפסי יצירת קשר ציבוריים: אמצעי הגנה מפני ספאם ושימוש לרעה, מאפייני הגנת מידע ונגישות, סקריפטים מוטמעים של צדדים שלישיים, התנהגות לאחר דחייה בכרזת העוגיות, תצוגה בנייד. חלה על בדיקות ללא חשבון (B.4), על דומיינים בחשבון שטרם אומתו, וכבסיס למחקר (B.7) ולבדיקת לקוחות פוטנציאליים (B.8). ביחס לדומיינים מאומתים בחשבון אנו פועלים מטעם הלקוח (A.4).
התנהגות הסורק	מזהה משלו עם הפניה לדף הסורק; קורא robots.txt לפני הבדיקה ועוצר אם כלל איסור מכסה את דף הבית (כך גם אם לא ניתן לגשת ל-robots.txt או אם קיימת שגיאת שרת); כללי איסור לנתיבי משנה בודדים אינם נבחנים בנפרד. דופק הטופס, אחזור הוכחה, כלי כותרות התגובה וחיפוש קבצים חשופים אינם קוראים robots.txt. לכל היותר שמונה דפים ציבוריים בכל בדיקה, בתוספת עד שלושה דפים עם לחיצה על “דחייה” בכרזת העוגיות, עד שלושה דפים בתצוגת טלפון, בדיקות פעילות לדומיינים מאומתים ועד חמישה דפים מאחורי כניסה לחשבון (A.5); הדפים נטענים בזה אחר זה ולא במקביל; כתובות ציבוריות בלבד, ללא רשתות פנימיות, והפניות נבדקות שוב; רשימת חסימה והחרגה נבדקות לפני הקבלה ופעם שנייה בסורק. פסיבי: ללא הוכחת שליטה לא נשלח דבר עבור לקוחות (חריג: בדיקות פנימיות של דומייני הבדיקה וההדגמה שלנו עצמנו, B.6).
קטגוריות של נושאי מידע	מפעילי האתרים שנבדקו (כאשר הם אנשים טבעיים, כגון עצמאים); אנשים שגלויים במקרה בדפים שנבדקו.
קטגוריות של מידע אישי	כמו ב-A.4: כתובות וכותרות דפים, מבנה טופס (שמות שדות, סוגים ותוויות, ללא ערכי שדות), אמצעי הגנה, סקריפטים של צדדים שלישיים (כתובות; מזהי חשבונות של פיקסלים וכלי הקלטה מוחלפים לפני השמירה), התנהגות כרזת עוגיות, צילומי מסך (האזור הגלוי בדף הבית, טפסים). אם כתובת נמען מופיעה בטופס, נשמר רק הדומיין שלה (`scans`, `forms`, `findings`, `scan_screenshots`).
מקור	דפים הנגישים לציבור.
בסיס משפטי	סעיף 6(1)(f) ל-GDPR. אינטרס: ביצוע בדיקת האבטחה שהתבקשה; הפניית תשומת לבם של מפעילי אתרים לחולשות העלולות לפגוע במבקרים שלהם. איזון: נקרא רק מה שכל מבקר רואה, בהיקף מצומצם וללא שליחה כלשהי; המפעיל יכול להחריג לצמיתות את הדומיין שלו בכל עת ללא הוכחה. המידע לפי סעיף 14 ל-GDPR נמסר באמצעות דף הסורק, ההחרגה ומדיניות הפרטיות; השאלה אם הדבר מספיק לפי סעיף 14(5)(b) היא שאלה פתוחה לבדיקה המשפטית.
נמענים	מי שמפעיל את הדוח וכל מי שהוא מוסר לו את הקישור האקראי; מודל השפה המקומי בשרת שלנו עצמנו כאשר סוג הטופס אינו ברור (מבנה טופס, כותרת וכתובת הדף, הטקסט הגלוי של הטופס). אזהרות על חולשות אבטחה הנגזרות מגרסאות תוספים לעולם אינן מופיעות בדוחות אנונימיים.
מדינה שלישית	אין.
שמירה	אנונימי: 30 ימים (B.4). בדיקת לקוחות פוטנציאליים: 90 ימים (B.8). מחקר: עד לפרסום (B.7). דומיין בחשבון: לכל היותר 13 חודשים, הבדיקה האחרונה נשארת; נמחק מייד יחד עם הדומיין. בדיקות פנימיות של המפעיל ללא דומיין וללא דוח (כגון אלה שנוצרו משורת הפקודה): אין תקופת שמירה (סעיף 10). קבצים זמניים בשרת הסריקה נמחקים לאחר כל ריצה.
אמצעים טכניים וארגוניים	סעיף 8. בפרט: מכולת בדיקה נפרדת עם הרשאות מופחתות, מערכת קבצים לקריאה בלבד, מגבלת זיכרון ורשת משלה; בדיקת יעד כפולה.

B.6 שליחות בדיקה פעילות

שדה	ערך
מטרה	בדיקה אם טופס יצירת קשר מקבל שליחה ללא הגנה, אם CAPTCHA, מלכודת (שדה מלכודת), אסימון, אימות כתובת דוא״ל והגבלת קצב פועלים בצד השרת, ואם ניתן להזריק כותרות דוא״ל.
תנאי מוקדם	עבור לקוחות, רק בדומיינים שסופקה עבורם הוכחת שליטה (רשומת DNS, תג מטא, קובץ או תוסף מחובר); בנוסף, המפעיל משתמש בכלי פנימי בשורת הפקודה ליצירת בדיקות ברמת “verified” עבור דומייני הבדיקה וההדגמה שלנו עצמנו. רק כאשר המתג הכללי מופעל, ורק עבור טופס שסווג באופן מהימן כטופס יצירת קשר כללי. לעולם לא עבור הזמנות, הזמנות שירות, הרשמות, דיוור, תשלומים, העלאת קבצים, שדות חובה עם מידע אישי אמיתי או דומיינים של רשויות ציבוריות, מוסדות בריאות או מוסדות חינוך.
קטגוריות של נושאי מידע	אנשי צוות הלקוח המקבלים את הודעות הדוא״ל מהטפסים.
קטגוריות של מידע אישי	שליחת הבדיקה אינה מכילה מידע אישי: השולח “FormExposed Security Scanner”, כתובת שולח שלנו עצמנו או כתובת תחת `.invalid`, שורת נושא מסומנת וטקסט בשפת הדף עם הפניה לדף הסורק ולהחרגה ועם מספר הבדיקה. נשמרים אצלנו: תגובת הדף, ממצאים, תמונת הדף שלאחר השליחה (כמו ב-A.4).
היקף	לכל היותר חמש שליחות בכל בדיקה (הגדרה, ברירת מחדל 5); חוזרות בתדירות הבדיקה של המסלול, מדי יום במסלול הגבוה ביותר.
מקור	הוראת הלקוח.
בסיס משפטי	ביצוע החוזה עם הלקוח (סעיף 6(1)(b) ל-GDPR); השליחות מגיעות לטופס של הלקוח עצמו. ביחס לנמענים בצד הלקוח: הארגון של הלקוח.
נמענים	הלקוח (הודעת הדוא״ל מהטופס שלו).
מדינה שלישית	אין באמצעותנו.
שמירה	תוצאות כמו ב-A.4.
אמצעים טכניים וארגוניים	סעיף 8. הזרקת כותרות דוא״ל מזוהה בלבד ולעולם אינה מבוצעת עם נמען אמיתי; אימות כתובת הדוא״ל משתמש רק בדומיין שאינו יכול להתקיים.

B.7 מחקר “מדד אבטחת הטפסים”

שדה	ערך
מטרה	סטטיסטיקות על ההגנה על טפסי יצירת קשר במדינה או במגזר. מתפרסמים רק נתונים מצטברים, ללא שמות אתרים; פילוחים רק על בסיס 20 דפים עם טופס לפחות.
קטגוריות של נושאי מידע	מפעילי האתרים שברשימה; אנשים הגלויים באופן אגבי.
קטגוריות של מידע אישי	כמו ב-B.5, פסיבי בלבד. בנוסף, הרשימה: מארח, פלח, מצב, משימה (`study_domains`); מחקר עם כותרת, מדינה ונתוני תוצאות מצטברים (`studies`).
מקור	רשימת אתרים ציבוריים שערך המפעיל; הדפים עצמם.
בסיס משפטי	סעיף 6(1)(f) ל-GDPR. אינטרס: מסקנות סטטיסטיות על מצב אבטחת הטפסים. איזון: פסיבי, בקצב מוגבל (משימות מעטות בכל ריצה), רשימת חסימה והחרגה חלות, פרסום רק כנתונים מצטברים, נתונים גולמיים נמחקים.
נמענים	הציבור, נתונים מצטברים בלבד.
מדינה שלישית	אין.
שמירה	נתונים גולמיים (תוצאות בדיקות, טפסים, ממצאים, תמונות, משימות) נמחקים בעת הפרסום (`fe_studie_veroeffentlichen()`). רשימת המארחים עם הפלח נשארת לאחר מכן; אין תקופת שמירה עבורה או עבור מחקרים שלעולם אינם מתפרסמים (סעיף 10). המפעיל מחליט אילו רשימות נבדקות ואם מחקרים מתפרסמים.
אמצעים טכניים וארגוניים	סעיף 8.

B.8 בדיקת לקוחות פוטנציאליים (מצב גיוס לקוחות לסוכנויות)

שדה	ערך
מטרה	סוכנות (מסלול Business) בודקת באופן פסיבי אתר של לקוח פוטנציאלי ומקבלת דוח מקוצר במיתוג שלה ואת הדוח הפסיבי. איננו יוצרים קשר עם איש; הסוכנות מעבירה את הקישור בעצמה.
קטגוריות של נושאי מידע	מפעיל האתר שנבדק; אנשים הגלויים באופן אגבי; אנשי צוות הסוכנות המפעילים את הבדיקה.
קטגוריות של מידע אישי	כמו ב-B.5, פסיבי בלבד. בנוסף: סביבת עבודה, האדם המפעיל את הבדיקה, מארח, מזהה אקראי של הדוח, מועד (`prospect_checks`).
מקור	הקלט של הסוכנות; דפים ציבוריים.
בסיס משפטי	סעיף 6(1)(f) ל-GDPR (האינטרס שלנו במתן השירות והאינטרס של הסוכנות בפנייה מבוססת היטב). התפקידים של הסוכנות ושלנו וחובות הסוכנות בעת העברת הדוח הם שאלות פתוחות לבדיקה המשפטית: אם הסוכנות שולחת את הדוח בדוא״ל ללא בקשה או מתקשרת בטלפון, זהו שיווק ישיר המחייב הסכמה לפי סעיף 398 PKE ולפי § 7(2) UWG (החוק הגרמני נגד תחרות בלתי הוגנת), גם בין עסקים. הדבר נמצא באחריות הסוכנות; תנאי השירות מחייבים אותה בהתאם.
נמענים	הסוכנות וכל מי שהיא מוסרת לו את הקישור.
מדינה שלישית	אין.
שמירה	הדוח ותוצאת הבדיקה פוקעים לאחר 90 ימים ואז נמחקים בריצה הלילית (`fe_reports_aufraeumen()`); רשומת הבדיקה נמחקת לאחר 90 ימים בריצת ההגנה המשותפת היומית החל מ-04:00 (`srv/cron_status.php`). יחד עם סביבת העבודה, המחיקה מיידית.
אמצעים טכניים וארגוניים	סעיף 8. מכסה חודשית (הגדרה, ברירת מחדל 30); אותו דף בתוך שבעה ימים מחזיר אותו דוח; ההחרגה חלה.

B.9 כלי כותרות תגובה ללא חשבון

שדה	ערך
מטרה	דירוג חינמי (A+ עד F) לכותרות האבטחה של דף הבית של דומיין. שתי בקשות, ללא דפדפן, ללא טופס וללא שליחה.
קטגוריות של נושאי מידע	אנשים המשתמשים בכלי; מפעילי הדומיין שנבדק.
קטגוריות של מידע אישי	יומן בקשות כמו ב-B.4 (מקור “headers”, כתובת IP, גיבוב הפעלה, מארח). תוצאה: מארח, דירוג, נקודות, כותרות שהוערכו (`header_checks`).
בסיס משפטי	סעיף 6(1)(f) ל-GDPR, כמו ב-B.4 וב-B.5.
נמענים	Google (reCAPTCHA, B.23).
מדינה שלישית	ארצות הברית באמצעות reCAPTCHA.
שמירה	יומן בקשות נשמר 7 ימים; תוצאות נמחקות כיום לאחר 90 ימים (ריצת המחיקה הלילית, החלק “header_checks”, ההגדרה “headers_keep_days”). עבור דומיינים בחשבון, הדירוג נקבע מחדש מדי יום ונשמר עם הדומיין.
אמצעים טכניים וארגוניים	סעיף 8. מגבלות לכל כתובת IP ויום; ההחרגה חלה.

B.10 חשבונות לקוחות

שדה	ערך
מטרה	תפעול חשבונות לקוחות, סביבות עבודה ומסלולים.
קטגוריות של נושאי מידע	לקוחות (עסקים) וחברי הצוות שלהם בעלי חשבון משלהם.
קטגוריות של מידע אישי	כתובת דוא״ל וצורתה המנורמלת, סיסמה כגיבוב בלבד, שם פרטי (חובה), שם משפחה וחברה (אם נמסרו); היישום אינו שומר כתובת ומספר זיהוי מע״מ, הם נמסרים רק אצל Stripe (B.26); מצב, שפה, מצב תצוגה, מטבע, מסלול ומצב חיוב, מזהי לקוח ומינוי של Stripe, סוף תקופת החיוב, ביטול בתום התקופה, מזהי אישור ואיפוס עם מועד פקיעה, כתובת דוא״ל חדשה עד לאישורה, מועד ההרשמה, הכניסה האחרונה וכתובת ה-IP האחרונה, מועד ביטול ההרשאה לכל ההפעלות, נתוני אימות דו-שלבי (B.11), הפעלת או כיבוי דוח חודשי, מועד הודעת התזכורת בדוא״ל, הפעלות באמצעות קודים, קוד הפניה והפניה (`users`). סביבות עבודה עם שם, מועדים ומצב (`workspaces`); חברות עם תפקיד ותאריך הצטרפות (`workspace_users`).
מקור	הרשמה והגדרות של האדם; מצב חיוב מ-Stripe.
בסיס משפטי	סעיף 6(1)(b) ל-GDPR (חוזה). כתובת IP אחרונה: (f) (אבטחת החשבון).
נמענים	Stripe (B.26); ספק שירותי הדוא״ל עבור הודעות חשבון (B.25). חברים באותה סביבת עבודה רואים את השם, כתובת הדוא״ל והתפקיד של החברים האחרים.
מדינה שלישית	באמצעות Stripe וספק שירותי הדוא״ל.
שמירה	עד למחיקה על ידי בעל החשבון. בעת המחיקה, סביבות העבודה של הבעלים שאיש אחר אינו משתמש בהן נמחקות עם כל הדומיינים והמידע שלהם; סביבות עבודה עם חברים נוספים מועברות לחבר אחר, בעדיפות למנהלים, ומתוכם לבעל הוותק הארוך ביותר. חברויות, אסימוני הישארות מחוברים, מכשירים, מפתחות API, קודי Telegram פתוחים, משוב על דוחות (B.35) ושורת החשבון נמחקים; תחילה מינוי פעיל בתשלום מסתיים מייד אצל Stripe, ללא החזר (`www/ajax.php`, `fe_konto_reste_loeschen()`). לעומת זאת, ביטול באזור החיוב נכנס לתוקף בתום התקופה; לאחר מכן החשבון ממשיך במסלול חינם. מה שנשאר מפורט בסעיף 6.4. חשבונות שמעולם לא אושרו ושמעולם לא בוצעה אליהם כניסה נמחקים לאחר 30 ימים, אלא אם חבר אחר משויך לסביבת העבודה שלהם (ריצת המחיקה הלילית, החלק “pending_accounts”). אין מחיקה של חשבונות לא פעילים. אם החוזה עבור החשבון מסתיים בדרך אחרת, למשל בסיום התקשרות ביוזמתנו, אנו מוחקים את החשבון לא יאוחר מ-30 ימים לאחר סיום החוזה; כיום הדבר מתבצע ידנית (התחייבות בהסכם לעיבוד מידע).
אמצעים טכניים וארגוניים	סעיף 8.

B.11 כניסה לחשבון, מכשירים, גורם שני ויומן פעילות

שדה	ערך
מטרה	הגנה על חשבונות: הגבלת ניסיונות כניסה וניסיונות סיסמה אחרים, הצגת מכשירים מחוברים וביטול הרשאתם, כניסה באימות דו-שלבי ויכולת מעקב אחר שינויים.
קטגוריות של נושאי מידע	בעלי חשבונות וחברי צוות; אנשים המנסים להיכנס לחשבון, להירשם או להזין סיסמה של פורטל לקוחות.
קטגוריות של מידע אישי	ניסיונות כניסה: כתובת IP, כתובת דוא״ל שהוזנה, הצלחה, מועד (`login_attempts`). מכשירים: גיבוב של מזהה ההפעלה (לעולם לא המזהה עצמו), קישור לאסימון ההישארות מחוברים, כתובת IP, מזהה דפדפן והדפדפן, מערכת ההפעלה וסוג המכשיר הנגזרים ממנו, מועדי כניסה, פעילות אחרונה וביטול הרשאה, וב“תצוגה כלקוח” מזהה איש התמיכה (`login_sessions`). אסימוני הישארות מחוברים עבור “להישאר מחוברים”: בורר, מאמת, פקיעה (`remember_tokens`). אימות דו-שלבי: סוד מוצפן, מועד הפעלה, שלב הזמן האחרון ששימש, קודי שחזור כגיבוב בלבד (ב-`users`). יומן פעילות: חשבון, סביבת עבודה, פעולה, יעד, פרטים, כתובת IP, מדינה, מועד (`audit_logs`). מוני ניסיונות לכניסה לחשבון, לגורם השני, לאישור סיסמה, לאיפוס סיסמה, להרשמה ולסיסמאות של פורטלים ללקוחות: מפתח HMAC הנגזר מהמטרה וממזהה החשבון (לכתובת לא מוכרת או לאיפוס, כתובת הדוא״ל באותיות קטנות), מכתובת ה-IP, מהחשבון ומכתובת ה-IP יחד, או ממזהה הפורטל (גם יחד עם כתובת ה-IP), מספר ניסיונות, פקיעה; כתובות דוא״ל ו-IP אינן נשמרות שם בטקסט גלוי (טבלה auth_attempt_buckets).
בסיס משפטי	סעיף 6(1)(b) ל-GDPR בשילוב סעיף 32 (רשימת מכשירים, גורם שני) ו-(f) (ניסיונות כניסה, יומן פעילות). אינטרס: הגנה על חשבונות מפני השתלטות, תיעוד שינויים (סעיף 5(2)). איזון: כתובת מקוצרת אינה משיבה לשאלה “האם זו הייתה פעולה שלי?”; יומן הפעילות חייב להישמר מעבר למשך הזמן עד למחלוקת המתעוררת רק כעבור חודשים.
נמענים	אין. בעל החשבון רואה את מכשיריו ומקבל ניסיונות כניסה, מכשירים ופעילויות בייצוא המידע; במהלך הפעלת “תצוגה כלקוח”, לא כתובת ה-IP ולא הדפדפן של איש התמיכה מופיעים שם.
מדינה שלישית	אין.
שמירה	ניסיונות כניסה נשמרים 7 ימים; לאחר כניסה מוצלחת, הניסיונות שנכשלו מאותה כתובת נמחקים מייד. מוני ניסיונות פוקעים בתום חלון הזמן שלהם (כיום 15 דקות, שעה לאיפוס סיסמה ולהרשמה); אלה שפג תוקפם נמחקים בגישה הבאה ובריצה הלילית. מכשירים נמחקים 90 ימים לאחר השימוש האחרון או לאחר ביטול הרשאתם (ריצת המחיקה הלילית, החלק “sessions”), ומייד יחד עם החשבון. אסימוני הישארות מחוברים פוקעים לאחר 30 ימים. יומן פעילות נשמר 365 ימים (מדי לילה); כאשר חשבון נמחק, הרשומות שלו נשארות עד לתום תקופת השמירה (סעיף 6.4).
אמצעים טכניים וארגוניים	סעיף 8.

B.12 הוכחת כריתת החוזה

שדה	ערך
מטרה	הוכחת הגרסה של תנאי השירות, ההסכם לעיבוד מידע ומדיניות הפרטיות שלקוח קיבל או עיין בה בעת ההרשמה, ושהלקוח משתמש בשירות לצורכי העסק שלו.
קטגוריות של נושאי מידע	לקוחות.
קטגוריות של מידע אישי	לכל מסמך: חשבון, מסמך, גרסה (גיבוב של הטקסט שהוצג), נסיבות, כתובת IP, מזהה דפדפן, מועד (`legal_consents`). הגרסה שהוצגה עצמה, עם טקסט מלא, שפה, כותרת וכתובת, פעם אחת לכל גרסה (`legal_versions`; אינה מכילה מידע אישי).
בסיס משפטי	סעיף 6(1)(b) ו-(f) ל-GDPR (הוכחת כריתת החוזה, הגנה מפני תביעות).
נמענים	אין. בעל החשבון מקבל את הרשומות שלו בייצוא המידע.
מדינה שלישית	אין.
שמירה	כל עוד החשבון קיים; לאחר מחיקת החשבון, ארבע שנים ממועד ההסכמה, ולאחר מכן מחיקה מדי לילה (`srv/cron_status.php`). הנימוק בקוד: תקופת התיישנות של שלוש שנים מתום השנה, בעיגול כלפי מעלה. השאלה אם הדין הפולני מצביע על תקופה אחרת היא חלק מהבדיקה המשפטית.
אמצעים טכניים וארגוניים	סעיף 8. אם אחד משלושת המסמכים חסר, ההרשמה סגורה.

B.13 הזמנות לצוות

שדה	ערך
מטרה	הזמנת אנשים נוספים לסביבת עבודה.
קטגוריות של נושאי מידע	מוזמנים.
קטגוריות של מידע אישי	כתובת דוא״ל, תפקיד, מזהה הזמנה, האדם המזמין, פקיעה, מועד הקבלה (`workspace_invites`); הודעת ההזמנה בדוא״ל בתיבת הדואר היוצא (B.25).
מקור	מוזן על ידי החבר המזמין.
בסיס משפטי	סעיף 6(1)(b) ל-GDPR ביחס ללקוח; כלפי המוזמן (f) (האינטרס של הלקוח בשילוב הצוות שלו).
נמענים	ספק שירותי הדוא״ל (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
מדינה שלישית	באמצעות ספק שירותי הדוא״ל.
שמירה	הזמנה תקפה למשך 14 ימים ורק כל עוד האדם המזמין הוא בעלים או מנהל של סביבת העבודה. הזמנות שלא התקבלו נמחקות לאחר פקיעתן, והזמנות שהתקבלו 30 ימים לאחר הקבלה (מדי לילה, `srv/cron_status.php` והחלק “invites” ב-`cfg/fristen_lib.php`). יחד עם סביבת העבודה, המחיקה מיידית.
אמצעים טכניים וארגוניים	סעיף 8.

B.14 “תצוגה כלקוח” על ידי התמיכה

שדה	ערך
מטרה	מנהל-על רואה את היישום כפי שהלקוח רואה אותו, כדי לפתור שאלת תמיכה (“הכפתור חסר אצלי”).
קטגוריות של נושאי מידע	הלקוח הנוגע לעניין; מנהל-העל.
קטגוריות של מידע אישי	כל מה שהלקוח רואה ביישום. מתועדים: שורת מכשיר נפרדת עם מזהה מנהל-העל (`login_sessions`), התחלה וסיום ביומן הפעילות (`audit_logs`).
בסיס משפטי	סעיף 6(1)(b) ל-GDPR (תמיכה כחלק מהשירות), ולחלופין (f).
מגבלות	לכל היותר שעה, ולאחר מכן התנתקות מלאה. סיום התצוגה מנתק גם את מנהל-העל לחלוטין, לרבות ההפעלה שממנה הגיע; הוא חוזר לאזור הניהול רק באמצעות כניסה מחדש עם סיסמה וגורם שני. מסתיים מייד אם תפקיד מנהל-העל מופחת או אם הוא נחסם. כל מה שמשנה את חשבון הלקוח חסום: סיסמה, כתובת דוא״ל, גורם שני, מכשירים, מינוי, ייצוא, מחיקה, העברה. אזור הניהול סגור במהלך ההפעלה. הלקוח רואה את הגישה ברשימת המכשירים שלו ובייצוא המידע כגישת תמיכה.
נמענים	אין.
מדינה שלישית	אין.
שמירה	שורת מכשיר נשמרת 90 ימים, יומן פעילות 365 ימים.
אמצעים טכניים וארגוניים	סעיף 8.

B.15 דומיינים, הוכחת שליטה וניטור

שדה	ערך
מטרה	שירות הליבה ללקוחות: החזקת דומיינים בחשבון, מתן הוכחת שליטה, בדיקה סדירה וזיהוי שינויים. הדבר כולל את דופק הטופס (בקשה קלה ללא דפדפן בכל 10 עד 30 דקות בהתאם למסלול), המעקב היומי אחר DNS של דוא״ל ואחר תעודות, תאריך פקיעת הדומיין, רשימות חסימה, קבצים חשופים, גרסאות הגלויות מבחוץ, מלאי סקריפטים, שינויים חזותיים בטופס, השבתות של ספקי CAPTCHA ודוא״ל ומעקב אחר חולשות אבטחה בתוספי טפסים.
קטגוריות של נושאי מידע	לקוחות וחברי הצוות שלהם; מפעילי הדומיינים, כאשר הם אנשים טבעיים.
קטגוריות של מידע אישי	דומיין עם מארח, מזהה ציבורי, הערה, תווית לקוח, סוג ומזהה ההוכחה, תדירות בדיקה, הפעלת או כיבוי ניטור, חלונות תחזוקה, שווי פנייה, מזהים לתג, לבדיקת המסירה ולוו פריסה, מפתח תוסף, מצבים ותוצאות אחרונות של המעקבים (DNS, תעודה, אותנטיות הודעת הדוא״ל מהטופס, רשימות חסימה, קבצים חשופים, כותרות תגובה, גרסאות) (`domains`). דופק לכל דף טופס (`form_pulse`). חולשות אבטחה הנגזרות מגרסאות תוספים (`vuln_hits`). מלאי סקריפטים עם כתובת, גיבוב, גודל, אישור בצירוף האדם המאשר והסיבה (`script_inventory`, `script_changes`). בדיקות כמו ב-A.4. עבור קבצים חשופים נשמרים נתיב, חומרה וסוג, ולעולם לא התוכן.
בקשות לצדדים שלישיים	שאילתות DNS (SPF, DMARC, MX, רשומת הוכחה). בירור במרשם דרך RDAP לפי ספריית IANA: שם הדומיין בלבד. רשימות חסימת DNS (SpamCop, PSBL, Mailspike, SURBL; Spamhaus רק עם פרטי גישה שמורים, כיום לא): כתובות IP של שרת האינטרנט ושרת הדוא״ל ושם הדומיין, ללא מידע מבקרים. Google Web Risk רק אם הוגדר (כיום לא): כתובת דף הבית. רשות חותמות זמן: ערך גיבוב בלבד (B.19). WPVulnerability: רק המזהה של תוסף או ערכת עיצוב, או גרסת WordPress; אנו מבצעים בעצמנו את ההשוואה לגרסת התוסף המותקנת. דפי המצב של Cloudflare, hCaptcha, Google Cloud, SendGrid, Mailgun ו-Brevo: דבר אינו מועבר מלבד הבקשה עצמה.
מקור	הלקוח; בקשות לדף הלקוח; ספריות ציבוריות.
בסיס משפטי	סעיף 6(1)(b) ל-GDPR.
נמענים	השירותים שצוינו אינם מקבלים מידע אישי של לקוחותינו, ככל ששמות דומיינים וכתובות שרתים של עסק אינם מידע אישי; אצל עצמאים, שם הדומיין עשוי להיות מידע אישי. חברי סביבת העבודה רואים את הדומיין.
מדינה שלישית	הבקשות עשויות להגיע לשירותים במדינות שלישיות (כגון בירורים במרשמים ורשימות חסימה). מועבר רק מה שמצוין בשורה “בקשות לצדדים שלישיים”.
שמירה	עד למחיקת הדומיין. לאחר מכן `fe_domain_loeschen()` מוחקת מייד תוצאות בדיקות, טפסים, ממצאים, תמונות, דוחות, משימות, יעדי התרעות ויומן התרעות, אירועים, קודי Telegram, מסירות, דופק, חולשות אבטחה והוכחות; באמצעות מפתחות זרים, טפסים מנוטרים, ריצות דפדפן, חשבון בדיקה ומוני טפסים; נתוני התוסף של המארח אם אין דומיין אחר המפנה אליו. נמחקים גם מלאי הסקריפטים ושינויי הסקריפטים של הדומיין; אין להם תקופת שמירה משלהם (סעיף 6.4). תוצאות בדיקות נשמרות לכל היותר 13 חודשים, והאחרונה נשארת.
אמצעים טכניים וארגוניים	סעיף 8. מעקבים אחר קבצים חשופים וגרסאות רק לדומיינים מאומתים, לכל היותר בקשה אחת לכל נתיב, ורק 8 KB הראשונים; בדיקת נתיבים של צדדים שלישיים ללא בקשה הייתה הופכת לכלי תקיפה.

B.16 התרעות, אירועים והסלמה אל בעל החשבון

שדה	ערך
מטרה	יידוע הלקוח על תקלות ושינויים, התחשבות בחלונות תחזוקה, אישור קבלת אירועים והסלמתם. כאשר היעדים הם צדדים שלישיים, אנו פועלים מטעם הלקוח (A.3); כאשר מדובר בבעל החשבון עצמו, העיבוד מפורט כאן.
קטגוריות של נושאי מידע	בעלי חשבונות וחברי צוות כנמענים.
קטגוריות של מידע אישי	כמו ב-A.3. הודעות מופיעות בשפת בעל החשבון.
בסיס משפטי	סעיף 6(1)(b) ל-GDPR.
נמענים	ספק שירותי דוא״ל; שירותי הצ׳אט שנבחרו (4.1).
מדינה שלישית	בהתאם לערוץ (4.1).
שמירה	כמו ב-A.3: יומן מסירה נשמר 90 ימים, הודעות סיכום 30 ימים לאחר המסירה, אירועים עד לפתרונם ולאחר מכן 180 ימים. יעדי התרעות נמחקים יחד עם הדומיין.
אמצעים טכניים וארגוניים	סעיף 8.

B.17 דוח חודשי לחשבונות

שדה	ערך
מטרה	ביום ה-1 בכל חודש החל מ-08:00 (השלמות עד ליום ה-3), הודעת דוא״ל אחת לכל חשבון המכסה את כל הדומיינים שלו: רמה, ציון ושינוי, התרעות, בוטים שנחסמו, משלוח דוא״ל וערך השוואה.
קטגוריות של נושאי מידע	בעלי חשבונות פעילים שהדוח החודשי מופעל אצלם.
קטגוריות של מידע אישי	כתובת דוא״ל, שפה, נתוני מפתח של הדומיינים.
בסיס משפטי	סעיף 6(1)(b) ל-GDPR (חלק מהשירות). ניתן לבטל את ההרשמה בהגדרות; ניתן לכבות באופן מרכזי.
נמענים	ספק שירותי הדוא״ל (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
מדינה שלישית	באמצעות ספק שירותי הדוא״ל.
שמירה	אין שמירה נפרדת; הודעת הדוא״ל נשארת בתיבת הדואר היוצא למשך 30 ימים (B.25).
אמצעים טכניים וארגוניים	סעיף 8.

B.18 תג ודף אישור ציבורי

שדה	ערך
מטרה	לקוח יכול להטמיע תמונת תג באתרו ולקשר אותה לדף אישור ציבורי. התג מציג “מוגן” רק אם הדומיין מאומת, הניטור פועל והבדיקה האחרונה שהושלמה היא בת 45 ימים לכל היותר והניבה “מוגן” או “הגנה חלקית”; אחרת הוא מציג באופן ניטרלי “בדיקת טופס יצירת קשר”. דף האישור מציין את הרמה ואת התאריך, ללא ממצאים פרטניים.
קטגוריות של נושאי מידע	מבקרים באתר הלקוח שהדפדפן שלהם טוען את התמונה; מבקרים בדף האישור.
קטגוריות של מידע אישי	כאשר התמונה נטענת: כתובת IP, מועד, כתובת שהתבקשה, דף מפנה ומזהה דפדפן ביומן שרת האינטרנט (B.1). כתובת התמונה אינה מתחילה הפעלה, אינה מציבה עוגייה ואינה כותבת ליומן הצפיות בדפים. דף האישור הוא דף רגיל (B.2, B.3).
בסיס משפטי	סעיף 6(1)(f) ל-GDPR. אינטרס: מסירת התמונה ושמירה על תפעול מאובטח. השאלה אם הלקוח ואנחנו בעלי שליטה משותפים במידע ביחס להעברת כתובת ה-IP של המבקר, כמשמעות הפסיקה בדבר תוכן מוטמע של צדדים שלישיים, ואם נדרש הסדר לפי סעיף 26, היא שאלה פתוחה לבדיקה המשפטית. הלקוח מקבל נוסח מוצע למדיניות הפרטיות שלו.
נמענים	אין.
מדינה שלישית	אין.
שמירה	14 ימים (יומן שרת האינטרנט). התמונה נשמרת במטמון למשך שעה. כאשר התג מכובה, המזהה מפסיק להיות תקף.
אמצעים טכניים וארגוניים	סעיף 8.

B.19 יומן ראיות וחותמת זמן

שדה	ערך
מטרה	יומן אחד לכל דומיין וחודש (מסלולים בתשלום): מה נבדק, באיזו תוצאה, מה דווח ומה השתנה, כראיה להוכחת עמידה בחובות, עבור מבטחים או ביקורות ספקים. כל גרסה מקבלת מספר בדיקה; דף ציבורי מאשר דומיין, תקופה ונתוני מפתח, ללא פרטים. מאז 7 באוקטובר 2026, רשות חותמות זמן לפי RFC 3161 מאשרת את המועד.
קטגוריות של נושאי מידע	לקוחות; בעקיפין, אנשים שעשויים להיות מצוינים ביומן כמאשרים או כמאשרי קבלה.
קטגוריות של מידע אישי	דומיין, חודש, מספר בדיקה, גיבוב תוכן (SHA-512), סיכום ונתוני היומן, תגובת חותמת זמן, רשות חותמות הזמן והמועד, ניסיונות שנכשלו (`proof_docs`).
בסיס משפטי	סעיף 6(1)(b) ל-GDPR.
נמענים	רשות חותמות הזמן (ברירת מחדל Certum, חלופה במקרה כשל DigiCert) מקבלת רק את הגיבוב של היומן, ולא את תוכנו. לציבור: נתוני מפתח דרך דף האישור. הלקוח וכל מי שהלקוח מוסר לו את היומן או את מספר הבדיקה.
מדינה שלישית	אין העברת מידע אישי: גיבוב אינו מאפשר הסקת מסקנות על התוכן. הרשות החלופית מבוססת בארצות הברית.
שמירה	עד למחיקת הדומיין (`fe_domain_loeschen()`). חותמת הזמן אינה חותמת זמן מוסמכת לפי eIDAS.
אמצעים טכניים וארגוניים	סעיף 8.

B.20 תוסף והרחבה: בדיקה, חיבור והעברה

שדה	ערך
מטרה	תוסף WordPress והרחבת TYPO3 יכולים לבקש בדיקה (גם ללא חשבון), להתחבר לחשבון (ההתקנה נחשבת כהוכחת שליטה בלחיצה אחת בחשבון), להפעיל רכיבי הגנה, לדווח נתונים מדי יום (A.9), ולדווח מייד על שגיאות דוא״ל ועל מצב תחזוקה.
קטגוריות של נושאי מידע	לקוחות; מפעילי אתרים המשתמשים בתוסף ללא חשבון.
קטגוריות של מידע אישי	לכל מארח: גרסת התוסף ומערכת ניהול התוכן, מספר בדיקות, מזהה הדוח האחרון, גיבוב סוד החיבור, הקשר הראשון והאחרון (`plugin_sites`). קודי חיבור חד-פעמיים כגיבוב עם מועד פקיעה (`plugin_connect_tokens`). קודי הפצה של סוכנות כגיבוב עם תחילית, תווית, שימושים והאדם היוצר (`workspace_connect_codes`). יומן בקשות עם כתובת ה-IP של השרת הפונה (B.4). מפתח התוסף גלוי לציבור בראש האתר; הוא גיבוב של הסוד, והסוד עצמו נשמר רק כגיבוב ולעולם אינו מוחזר.
בסיס משפטי	סעיף 6(1)(b) ל-GDPR (חשבון); ללא חשבון (f) (בדיקה שהתבקשה, מניעת שימוש לרעה).
נמענים	אין.
מדינה שלישית	אין.
שמירה	נתוני מארח נמחקים ברגע ששום דומיין אינו מפנה אליו עוד; השורה של תוסף ללא חשבון נמחקת רק לאחר 90 ימים ללא קשר (ריצת המחיקה הלילית, החלק “orphan_hosts”). קודים חד-פעמיים נמחקים יום לאחר פקיעתם. קודי הפצה נמחקים יחד עם סביבת העבודה.
אמצעים טכניים וארגוניים	סעיף 8. מאז 27 בספטמבר 2026 השרת מקבל רק זוגות מפתחות המקושרים לאתר; סודות חיבור ישנים שאינם מקושרים נמחקו.

B.21 הגנה משותפת

שדה	ערך
מטרה	הגנה משותפת מפני ספאם: אתרים מחוברים מדווחים את הדומיינים של קישורים בהודעות ששכבת ההגנה שלהם עצרה. דומיין המופיע בשלושה אתרים לפחות עם חמש התאמות לפחות בתוך שבעה ימים נכנס לרשימה המוחזרת לכל האתרים המחוברים; שכבת ההגנה שלהם מעבירה הודעות עם קישורים כאלה להסגר, ולעולם לא מעלימה אותן ללא זכר.
קטגוריות של נושאי מידע	בעלי הדומיינים של הקישורים שדווחו, כאשר הם אנשים טבעיים (כגון מפעיל אתר ספאם תחת שמו שלו). לא השולחים והנמענים של ההודעות: כתובות, טקסטים ושמות אינם מדווחים.
קטגוריות של מידע אישי	אותות: סוג, דומיין, מארח מדווח, יום, התאמות (`swarm_signals`). רשימה: סוג, דומיין, מספר אתרים והתאמות, מועדים (`swarm_list`). שירותים גדולים, דומיינים של לקוחותינו וחריגים שהגדיר המפעיל לעולם אינם נכללים ברשימה.
רשתות IP	שיתוף רשתות IP (/24, /48) הוכן. הוא כבוי והתוסף אינו מדווח רשתות כאלה; הוא יופעל רק לאחר בדיקה משפטית, משום שכתובות IP הן מידע אישי.
בסיס משפטי	סעיף 6(1)(f) ל-GDPR. אינטרס: הגנה על הטפסים של כל הלקוחות מפני גלי ספאם. איזון: דומיינים בלבד, ספי מינימום נגד הרעלת הרשימה, ללא אובדן הודעות, אפשרות להסרה בכל עת.
נמענים	כל האתרים המחוברים (רשימת הדומיינים).
מדינה שלישית	בהתאם למיקום האתרים המחוברים; הרשימה עשויה להגיע גם לאתרים מחוץ לאזור הכלכלי האירופי. היא מהווה מידע אישי רק במקרי גבול (דומיינים של אנשים טבעיים). הבסיס להעברה לפי פרק V ל-GDPR עבור מקרים אלה טרם נקבע (שאלה פתוחה לבדיקה המשפטית).
שמירה	אותות נשמרים 30 ימים (ריצת ההגנה המשותפת היומית החל מ-04:00, `cfg/swarm_lib.php`). הרשימה מחושבת מחדש מדי יום; כל מה שכבר אינו מגיע לסף יוצא ממנה.
אמצעים טכניים וארגוניים	סעיף 8.

B.22 מפתחות API, ממשק תכנות ושרת MCP

שדה	ערך
מטרה	גישה של הכלים של הלקוח עצמו (REST API, Zapier, Make, שרת MCP לעוזרי בינה מלאכותית) לדומיינים, לבדיקות ולאירועים של הלקוח.
קטגוריות של נושאי מידע	לקוחות היוצרים מפתחות.
קטגוריות של מידע אישי	מפתח כגיבוב בלבד, תחילית, תווית, מועדי יצירה, שימוש אחרון וביטול הרשאה (`api_keys`). קריאות לדקה (`api_usage`).
בסיס משפטי	סעיף 6(1)(b) ל-GDPR.
נמענים	הכלי שהלקוח מצייד במפתח; הלקוח קובע אותו.
מדינה שלישית	בהתאם לכלי של הלקוח.
שמירה	מפתחות נשמרים עד לביטול הרשאתם, ונמחקים מייד יחד עם החשבון; מפתחות ללא חשבון (מידע ישן) נמחקים מדי לילה. מוני קריאות נמחקים לאחר יום אחד (מנוקים מדי פעם בעת קריאה).
אמצעים טכניים וארגוניים	סעיף 8.

B.23 reCAPTCHA וההגנה שלנו על טפסים

שדה	ערך
מטרה	הגנה מפני גישה אוטומטית לטפסים שלנו עצמנו: בדיקה חינמית, כלי כותרות תגובה, החרגה, כניסה לחשבון, הרשמה, שכחת סיסמה ואיפוסה, תמיכה ויצירת קשר. בנוסף, הגנה שלנו ללא צדדים שלישיים: מלכודת (שדה נסתר), בדיקת תזמון חתומה ואסימון CSRF. מאז 29 באוקטובר 2026 גם הגנת הטפסים שלנו formconfirmed (הוכחת עבודה חישובית ואסימון אימות חד-פעמי) בבדיקה החינמית, בהרשמה, בכניסה לחשבון וב״שכחתי סיסמה״.
קטגוריות של נושאי מידע	אנשים השולחים טפסים אלה.
קטגוריות של מידע אישי	אצל Google: כתובת IP, נתוני דפדפן ומכשיר, נתוני התנהגות, עוגיות Google. אצלנו: ההערכה של Google (ציון ופעולה) רק ברגע הבדיקה, ללא שמירה, גם לא כאשר שליחה נדחית. בהגנת הטפסים שלנו: כתובת IP (נשמרת רק בצורה מקוצרת ומגובבת), דף, מועדים, שדה מלכודת מולא כן/לא; ללא תוכן.
תזמון	הסקריפט של Google נטען רק בעת שליחת טופס מוגן, ולא בעת פתיחת הדף. הגנת הטפסים שלנו מביאה את המשימה שלה בעת פתיחת הדף ומחשבת ברגע שמשתמשים בטופס. במערכת הפיתוח reCAPTCHA כבוי.
בסיס משפטי	סעיף 6(1)(f) ל-GDPR. אינטרס: הגנה מפני בוטים, במיוחד עבור הבדיקה החינמית, שאלמלא כן אפשר היה להשתמש בה נגד אתרים של צדדים שלישיים. השאלה אם גישה לציוד הקצה דורשת הסכמה לפי § 25 TDDDG או סעיף 399 PKE, אף שהסקריפט נטען רק בעת השליחה, היא שאלה פתוחה לבדיקה המשפטית. הגנת הטפסים שלנו אינה מציבה עוגיות, אינה שומרת דבר בדפדפן ואינה יוצרת טביעת אצבע; היא נועדה להחליף את reCAPTCHA לטווח הארוך.
נמענים	Google Ireland Limited; Google LLC. בהגנת הטפסים שלנו – אין.
מדינה שלישית	ארצות הברית (reCAPTCHA בלבד). בסיס: הסמכה לפי מסגרת הגנת הפרטיות בין האיחוד האירופי לארצות הברית או סעיפים חוזיים אחידים; נדרש תיעוד מפורט.
שמירה	reCAPTCHA: אין שמירה אצלנו; אצל Google לפי כלליה. הגנת הטפסים שלנו: מזהה מגובב שעה אחת, אסימוני אימות שנוצלו לכל היותר 11 דקות, תוצאות בדיקה ללא כתובת IP 30 ימים.
השבתה	אם Google אינו משיב בתוך שלוש שניות או משיב תשובה שאינה ניתנת לשימוש, השליחה נדחית; כך גם במקרה של אסימון ריק או תשובה לפעולה שאינה פעולת הטופס. הבדיקה מדולגת רק כאשר reCAPTCHA כבוי. בהגנת הטפסים שלנו, שליחה ללא אסימון אימות תקף נדחית; אם השירות לא היה זמין לקבלת המשימה, היא מאושרת.
אמצעים טכניים וארגוניים	סעיף 8.

B.24 תמיכה וטופס יצירת קשר

שדה	ערך
מטרה	קבלת פניות ומענה עליהן דרך חלון התמיכה ודף יצירת הקשר. שניהם משתמשים באותו נתיב ובאותה טבלה.
קטגוריות של נושאי מידע	פונים, מחוברים לחשבון או לא.
קטגוריות של מידע אישי	חשבון (אם הפונה מחובר; במקרה זה חלה כתובת החשבון ולא זו שהוזנה), כתובת דוא״ל, סיבה מתוך רשימה קבועה, טקסט של עד 4,000 תווים, מצב, כתובת IP מלאה, מדינה, מזהה דפדפן, דף מפנה (נתיבים שלנו בלבד), שפה, מועדי קבלה ותשובה (`support_requests`); רשומה ביומן הפעילות (ללא טקסט); אישור קבלה לפונה בתיבת הדואר היוצא (B.25), עם הטקסט עד 2,000 תווים רק לשולחים מחוברים, וללא הטקסט עבור פניות ללא כניסה לחשבון.
בסיס משפטי	סעיף 6(1)(b) ל-GDPR כאשר הפנייה נוגעת לחוזה; אחרת (f). כתובת IP מלאה: (f) (מגבלה של שלוש פניות בשעה ולכתובת, מניעת שימוש לרעה).
נמענים	ספק שירותי הדוא״ל (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) עבור אישור קבלה ותשובה. Telegram מקבל אות קבוע ללא משתנה כלשהו (“יש פניית תמיכה חדשה”), ולכן ללא מידע אישי.
מדינה שלישית	באמצעות ספק שירותי הדוא״ל.
שמירה	24 חודשים (ריצת המחיקה הלילית, החלק “support”); ידנית מוקדם יותר. כאשר חשבון נמחק, פניות נשארות עד לתום תקופת השמירה (סעיף 6.4).
אמצעים טכניים וארגוניים	סעיף 8. reCAPTCHA, הגנת הטפסים שלנו, הגבלת קצב.

B.25 משלוח דוא״ל (תיבת דואר יוצא)

שדה	ערך
מטרה	הודעות דוא״ל תפעוליות: אישור הרשמה וכתובות דוא״ל חדשות, איפוס סיסמה, הזמנות, התרעות, דוחות חודשיים, אישורים ודוחות של פורטלים, אישורי קבלה ותשובות של התמיכה, תזכורות על תקופת הניסיון ועל ההגדרה, והודעות תפעוליות למפעילים. ללא פרסום, וללא הודעות דוא״ל לאנשים שלא נרשמו בעצמם או הוזנו כנמענים על ידי הלקוח.
קטגוריות של נושאי מידע	נמעני הודעות אלה.
קטגוריות של מידע אישי	כתובת נמען, נושא, תוכן מלא, כתובת לתשובה, מטרה, נתיב משלוח, מצב, שגיאה, ניסיונות, מועדים (`mail_outbox`). התוכן עשוי לכלול קישורי אישור ואיפוס עם מזהים תקפים.
בסיס משפטי	סעיף 6(1)(b) ל-GDPR; להודעות תפעוליות (f).
נמענים	Namecheap, Inc. (Private Email), Phoenix, Arizona, USA (משלוח); בעל החשבון רואה את הודעות הדוא״ל שנשלחו אליו בייצוא המידע (ללא תוכן).
מדינה שלישית	בהתאם למקום העיבוד של ספק שירותי הדוא״ל; החוזה והבסיס להעברה עדיין טעונים תיעוד (סעיף 4).
שמירה	30 ימים (מדי לילה, `srv/cron_status.php`). תקופה זו היא במכוון הקצרה ביותר מבין היומנים: יומן משלוח הנשמר זמן רב יהיה אוסף של מפתחות תקפים. ריצת המצב בודקת בכל חמש דקות אם הגיע מועדו של ניסיון נוסף.
מצב	יש להגדיר משלוח דוא״ל לפני ההשקה. עד להסדרת ספק שירותי הדוא״ל, יחד עם מקום מושבו והבסיס, הטקסטים המשפטיים מציגים מציין מקום.
אמצעים טכניים וארגוניים	סעיף 8. הודעות דוא״ל שנכשלו נשלחות שוב במרווחים הולכים וגדלים, והניסיונות נפסקים לאחר מספר מרבי של ניסיונות.

B.26 תשלומים וחיוב

שדה	ערך
מטרה	כריתה וניהול של מינויים (חודשיים או שנתיים בתשלום מראש), תקופת ניסיון בת 14 ימים ללא כרטיס עם תזכורת שלושה ימים לפני סיומה, תשלום כנגד חשבונית למינויים שנתיים (כבוי כברירת מחדל), הפעלות באמצעות קודי ספקי אחסון ושותפים ללא תשלום, הפקת חשבוניות ושמירה לצורכי מס.
קטגוריות של נושאי מידע	לקוחות.
קטגוריות של מידע אישי	אצל Stripe: כתובת דוא״ל, שם, כתובת לחיוב, מספר זיהוי מע״מ, נתוני תשלום, חשבוניות; כמטא-נתונים, מזהה החשבון שלנו והמסלול. אצלנו: מזהי לקוח ומינוי של Stripe, מסלול, מצב, סוף תקופה, ביטול בתום התקופה (`users`); אירועי Stripe שהתקבלו רק עם מזהה, סוג, מצב ומועדים, ללא תוכן (`stripe_events`); מימושי קודים של ספקי אחסון עם חשבון, מבצע ומועד פקיעה (`bundle_redemptions`). נתוני כרטיס לעולם אינם מגיעים אלינו.
מקור	הלקוח במסך התשלום של Stripe; אירועים מ-Stripe.
בסיס משפטי	סעיף 6(1)(b) ל-GDPR; לשמירה לצורכי מס (c).
נמענים	Stripe Payments Europe Limited (אירלנד); Stripe, Inc. (ארצות הברית). ביחס לחלקים מעיבוד התשלום, Stripe פועלת באחריותה שלה; חלוקת התפקידים המדויקת היא חלק מהבדיקה המשפטית.
מדינה שלישית	ארצות הברית באמצעות Stripe, Inc.; בסיס: מסגרת הגנת הפרטיות או סעיפים חוזיים אחידים לפי תנאי Stripe.
שמירה	שדות חיוב נשמרים עם החשבון; מינוי פעיל מסתיים לפני מחיקת החשבון. חשבוניות ורישומי חיוב נשמרים לפי דיני המס הפולניים במשך חמש שנים מתום השנה שבה חלף המועד לתשלום המס; הם מוחזקים אצל Stripe וניתן לאחזרם בפורטל הלקוחות של Stripe. לאירועי Stripe ולמימושי קודים אין תקופת שמירה (סעיף 6.4).
אמצעים טכניים וארגוניים	סעיף 8. אירועי Stripe מתקבלים רק עם חתימה תקפה; כל אירוע מעובד פעם אחת.

B.27 גיבויים

שדה	ערך
מטרה	התאוששות לאחר שגיאה: מחיקה שגויה, העברת נתונים שנפגמה.
קטגוריות של נושאי מידע	כל מי שהמידע שלו נמצא במסד הנתונים.
קטגוריות של מידע אישי	עותק מלא ודחוס של מסד נתוני היישום. צילומי מסך וקובצי לוגו מוחזקים מחוץ למסד הנתונים ואינם חלק מגיבוי זה. פרטי הכניסה של חשבונות בדיקה נכללים בו רק כטקסט מוצפן (A.5).
הליך	מדי לילה ב-03:00, לאחר ריצת המחיקה, כדי שהגיבוי לא יכלול את מה שתקופות השמירה מחקו זה עתה. העותק נשמר רק לאחר בדיקת תוכנו (קוד יציאה, מספר טבלאות, שורה סופית). בימי ראשון, בדיקת שחזור טוענת את הגיבוי האחרון למסד נתונים חד-פעמי ומשווה אותו טבלה אחר טבלה. אם דבר מה נכשל, נשלחים אות והודעת דוא״ל למפעילים.
בסיס משפטי	סעיף 6(1)(f) ל-GDPR בשילוב סעיף 32(1)(c).
נמענים	אין.
מדינה שלישית	אין.
שמירה	14 ימים; עותקים ישנים מוסרים רק לאחר גיבוי חדש שהצליח (`cfg/backup_lib.php`). מחיקות המתבצעות במהלך תקופה זו מגיעות לגיבוי רק עם פקיעתו; אם מידע משוחזר מגיבוי, בקשות מחיקה מיושמות שוב לאחר מכן.
מיקום	הגיבויים מוחזקים כיום באותו מיקום כמו מסד הנתונים ואינם מוצפנים בנפרד; עותק מוצפן במיקום שני מתוכנן (סעיפים 8.1 ו-10).
אמצעים טכניים וארגוניים	סעיף 8.

B.28 יומן שגיאות והתרעת שגיאה

שדה	ערך
מטרה	איתור ותיקון שגיאות לפני שלקוח מדווח עליהן. סוגי שגיאה חדשים וגלי שגיאות מדווחים למפעילים, ובנוסף נשלחת סקירה יומית החל מ-08:00.
קטגוריות של נושאי מידע	משתמשים שהבקשה שלהם גורמת לשגיאה; בעקיפין, אנשים שהמידע שלהם מופיע בהודעת שגיאה.
קטגוריות של מידע אישי	רמה, מקור, הודעה, הקשר כ-JSON, מזהה חשבון ההפעלה, מועד (`error_logs`). סוגי שגיאות: טביעת אצבע, דפוס (שממנו הוסרו כתובות דוא״ל, כתובות, מספרים ומזהים), הודעת דוגמה אחת ללא שינוי באורך של עד 2,000 תווים, הופעה ראשונה ואחרונה, ספירה (`error_kinds`).
בסיס משפטי	סעיף 6(1)(f) ל-GDPR (אבטחה תפעולית, סעיף 32).
נמענים	המפעילים בדוא״ל באמצעות ספק שירותי הדוא״ל: עבור סוג שגיאה חדש, המקור והטקסט הגולמי של ההודעה עד 400 תווים (ללא ניקוי), ובנוסף הודעת הסקירה היומית; עבור גל שגיאות נשלח רק אות Telegram. Telegram מקבל רק משפטים קבועים ללא משתנים (“התרחש סוג שגיאה חדש”, “שגיאות רבות בזמן קצר”).
מדינה שלישית	באמצעות ספק שירותי הדוא״ל.
שמירה	יומן שגיאות נשמר 90 ימים (מדי לילה). סוגי שגיאות ללא תקופת שמירה (סעיף 10). התרעת השגיאה מופעלת במערכת הייצור וכבויה במערכת הפיתוח.
אמצעים טכניים וארגוניים	סעיף 8.

B.29 אותות תפעוליים וניטור מצב

שדה	ערך
מטרה	זיהוי השבתות: בכל חמש דקות בדיקת רכיבים (דף הבית, מסד הנתונים, שטח דיסק, אות החיים של הסורק, הצטברות בתור), דף מצב, אות בעת תקלה ובעת חזרה לתקינות, ואות חיים לשירות ניטור חיצוני כדי שגם השבתה מלאה תזוהה; הצטברות לפני הסורק.
קטגוריות של נושאי מידע	ככלל אין.
קטגוריות של מידע אישי	אין. שורות יומיות לכל רכיב עם מספר בדיקות והשגיאה האחרונה (`system_status_logs`), אות החיים של הסורק (`scanner_heartbeat`), נתוני מפתח יומיים ללא זיקה לאדם (`daily_stats`). האותות ל-Telegram הם משפטים קבועים ללא משתנים; אות החיים הוא בקשה ללא תוכן.
בסיס משפטי	לא חל, משום שאין מידע אישי; כאמצעי זהירות סעיף 6(1)(f).
נמענים	Telegram (משפטים קבועים); שירות הניטור החיצוני (הבקשה בלבד); המפעילים בדוא״ל.
מדינה שלישית	Telegram מחוץ לאיחוד האירופי; לא מועבר מידע אישי.
שמירה	שורות מצב נשמרות 400 ימים (מדי לילה).
אמצעים טכניים וארגוניים	סעיף 8.

B.30 החרגה – הוצאת דומיין מהבדיקות

שדה	ערך
מטרה	כל אדם יכול להחריג לצמיתות כל דומיין מהבדיקות ללא הוכחה; החסימה נכנסת לתוקף מייד בכל נתיבי הבדיקה (בדיקה חינמית, תוסף ללא חשבון, מחקר, בדיקת לקוחות פוטנציאליים, כלי כותרות תגובה) וגם בדומיינים של לקוחות משלמים בעלי הוכחת שליטה; הניטור המתמשך שלהם מסתיים עם הבדיקה המתוכננת הבאה. היא חלה על הדומיין ועל גרסת ה-www שלו, ולא על תת-דומיינים אחרים. היא מוסרת רק על ידינו, לפי בקשה ובצירוף הוכחה. כדי שניתן יהיה לזהות שימוש לרעה (כגון מתחרה החוסם דומיינים של אחרים) ולבטלו, החסימה נרשמת ביומן.
קטגוריות של נושאי מידע	אנשים המחריגים דומיין.
קטגוריות של מידע אישי	דומיין, סיבה מרצון באורך של עד 250 תווים, מקור, כתובת IP, מדינה, מזהה דפדפן, מועד; בעת הסרה, מועד, האדם המסיר את החסימה והסיבה (`blocklist`). יומן בקשות כמו ב-B.4.
בסיס משפטי	להחרגה, סעיף 6(1)(f) ל-GDPR. אינטרס: מימוש הרצון שדומיין לא ייבדק, לצמיתות ובכל נתיבי הבדיקה. כאשר האדם המחריג הוא עצמו נושא מידע, ההחרגה מממשת בו-זמנית גם את התנגדותו לפי סעיף 21 (סעיף 6(1)(c)). לכתובת, למדינה ולמזהה הדפדפן, (f) (זיהוי שימוש לרעה).
נמענים	Google (reCAPTCHA, B.23).
מדינה שלישית	ארצות הברית באמצעות reCAPTCHA.
שמירה	כתובת ה-IP, המדינה ומזהה הדפדפן נמחקים לאחר 12 חודשים (ריצת המחיקה הלילית, החלק “optout_ip”). ההחרגה עצמה נשארת לצמיתות כדי שתמשיך לפעול.
אמצעים טכניים וארגוניים	סעיף 8. חסימות רבות מאותה מדינה בזמן קצר יוצרות חריגה (B.4).

B.31 תזכורת לאחר הרשמה

שדה	ערך
מטרה	הודעת דוא״ל יחידה, יומיים עד 14 ימים לאחר ההרשמה, לחשבונות מאושרים ללא דומיין מאושר: “הוספת אתר” או “אישור דומיין”. ללא הצעה, ללא מחיר וללא שדרוג; עם הערה שהיא לא תישלח שוב. בימי חול בין 09:00 ל-18:00, לכל היותר 50 בכל ריצה.
קטגוריות של נושאי מידע	בעלי חשבונות חדשים.
קטגוריות של מידע אישי	כתובת דוא״ל, שפה, מועד המשלוח (שדה “תזכורת נשלחה” ב-`users`), דומיין ומצב אישור.
בסיס משפטי	סעיף 6(1)(b) ל-GDPR (הודעה על הגדרת החשבון העצמי). השאלה אם הודעת הדוא״ל נחשבת לתקשורת על היחסים החוזיים או למידע מסחרי שיחייב הסכמה (סעיף 10 UŚUDE, החוק הפולני למתן שירותים באמצעים אלקטרוניים (ustawa o świadczeniu usług drogą elektroniczną); סעיף 398 PKE; § 7 UWG) היא שאלה פתוחה לבדיקה המשפטית; המפעיל יכול לכבות אותה באופן מרכזי.
נמענים	ספק שירותי הדוא״ל (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
מדינה שלישית	באמצעות ספק שירותי הדוא״ל.
שמירה	המועד נשמר כל עוד החשבון קיים; הודעת הדוא״ל נשמרת 30 ימים בתיבת הדואר היוצא.
אמצעים טכניים וארגוניים	סעיף 8. המועד נקבע לפני המשלוח, כדי שעצירה לא תפעיל הודעת דוא״ל שנייה.

B.32 בוט Telegram להתרעות לקוחות

שדה	ערך
מטרה	קישור צ׳אט Telegram כיעד התרעות: הלקוח מקבל קישור לבוט שלנו עם קוד חד-פעמי; כאשר הנמען לוחץ על “Start”, השרת שלנו קורא את הקוד מתוך ההודעות החדשות לבוט ושומר את מזהה הצ׳אט. לשם כך אין צורך בנקודת קצה פתוחה בצד שלנו (webhook).
קטגוריות של נושאי מידע	לקוחות והאנשים שצ׳אט ה-Telegram שלהם מקושר.
קטגוריות של מידע אישי	קוד חד-פעמי, דומיין, חשבון יוצר, אירועים, מצב מסירה, מזהה צ׳אט, מועדים (`telegram_links`); מזהה הצ׳אט כיעד (`alerts`). Telegram מספק עם ההודעה פרטי פרופיל נוספים; רק הקוד ומזהה הצ׳אט מוערכים ונשמרים.
בסיס משפטי	סעיף 6(1)(b) ל-GDPR; ביחס לצדדים שלישיים כנמענים, A.3.
נמענים	Telegram.
מדינה שלישית	מחוץ לאיחוד האירופי, ללא החלטת נאותות; הבחירה נעשית על ידי הלקוח (4.1). הבסיס וההודעה הם שאלות פתוחות לבדיקה המשפטית.
שמירה	קוד תקף למשך 30 דקות; שורות קישור נמחקות לאחר יום אחד בעת יצירת קוד חדש, וקודים פתוחים נמחקים יחד עם החשבון והדומיין. מזהה הצ׳אט כיעד נשמר עד למחיקת יעד ההתרעה או הדומיין.
אמצעים טכניים וארגוניים	סעיף 8.

B.33 תוכנית שותפים וקודי הפעלה

שדה	ערך
מטרה	חשבון יכול להפנות לקוחות חדשים באמצעות קוד הפניה ומקבל עמלה על החשבוניות ששילמו במשך מספר מוגבל של חודשים. הקוד מועבר בכתובת עד להרשמה; לא מוצבת עוגייה. ספקי אחסון ושותפים יכולים להנפיק קודים המפעילים מסלול לתקופה ללא תשלום; שבוע לפני הסיום הלקוח מקבל תזכורת.
מצב	תוכנית השותפים כבויה כברירת מחדל עד שתנאי השותפים יוסדרו.
קטגוריות של נושאי מידע	שותפים ולקוחות שהופנו.
קטגוריות של מידע אישי	קוד הפניה, השותף המפנה ומועד ההפניה (ב-`users`); עמלה עם שותף, לקוח, מזהה חשבונית Stripe, סכום, מטבע, עמלה, מצב, מועדים (`partner_commissions`). הפעלה עם מסלול, סיום, מקור, תזכורת (ב-`users`); מבצעים ומימושים (`bundle_campaigns`, `bundle_redemptions`).
בסיס משפטי	סעיף 6(1)(b) ל-GDPR (הסכם שותפים); ביחס ללקוח (f) (התחשבנות העמלה, ללא מסירת מידע הלקוח לשותף מעבר לסכום העמלה); רישומי מס (c).
נמענים	השותף רואה את העמלות שלו.
מדינה שלישית	אין.
שמירה	ההפניה וההפעלה נשמרות עם החשבון. לעמלות ולמימושים אין תקופת שמירה בקוד; כרישומים חשבונאיים, עמלות כפופות לשמירה לצורכי מס (סעיף 6.4).
אמצעים טכניים וארגוניים	סעיף 8.

B.34 נקודת דיווח על חולשות אבטחה

שדה	ערך
מטרה	קבלת דיווחים על חולשות אבטחה ב-formexposed, לפי הכללים בדף אבטחה ובקובץ `/.well-known/security.txt`.
קטגוריות של נושאי מידע	מדווחים; אנשים שהדיווח מכיל את המידע שלהם כראיה.
קטגוריות של מידע אישי	כתובת דוא״ל, שם, תוכן הדיווח וקבצים מצורפים, כפי שהמדווח שולח אותם. הדיווח מגיע אלינו בדוא״ל לכתובת המצוינת שם; היישום אינו שומר אותו.
בסיס משפטי	סעיף 6(1)(f) ל-GDPR (אבטחת השירות, סעיף 32); כאשר דיווח מכיל מידע אישי של צדדים שלישיים כראיה, גם כן (f), במטרה לתקן את החולשה.
נמענים	ספק שירותי הדוא״ל, ועד להגדרת תיבת הדואר, שירות העברת הדוא״ל של הדומיין אצל Namecheap (סעיף 4).
מדינה שלישית	באמצעות ספק שירותי הדוא״ל, ועד למעבר, שירות ההעברה האוטומטית.
שמירה	לא נקבעה תקופת שמירה ואין אכיפה טכנית שלה (סעיף 10). על המפעיל עדיין לקבוע את התקופה; גישה מתבקשת תהיה למחוק ראיות של צדדים שלישיים לאחר תיקון החולשה ולטפל בתכתובת כמו בפניות לתמיכה.
אמצעים טכניים וארגוניים	סעיף 8.

B.35 משוב על דוח

שדה	ערך
מטרה	קבלת משוב מתחת לדוח (“משהו שגוי בדוח הזה?”) לצורך איתור שגיאות בזיהוי טפסים. מנהל-העל מסווג אותו (חדש, אושר, תוקן, נדחה) ויכול להוריד את נתוני הבדיקה של הדוח כמקרה בדיקה (טפסים עם שדות, סיבות וממצאים, ללא צילומי מסך וללא טקסטים שנשלחו באופן פעיל).
קטגוריות של נושאי מידע	אנשים הצופים בדוח, מחוברים לחשבון או לא.
קטגוריות של מידע אישי	קטגוריה ובדיקה מתוך רשימות קבועות, כתובת דף עד 500 תווים, טקסט עד 1,000 תווים, שפה, מועד, מזהה דוח, בדיקה, מארח; מזהה חשבון אם הפונה מחובר; HMAC-SHA256 של כתובת ה-IP עם מפתח סודי לצורך המגבלה; מצב, מטפל, מועד טיפול (`report_feedback`). יומן פעילות: שינויי מצב והורדות של מקרה בדיקה. ללא כתובת דוא״ל וללא כתובת IP בטקסט גלוי.
בסיס משפטי	סעיף 6(1)(f) ל-GDPR (איתור ותיקון שגיאות זיהוי; מגבלה נגד שימוש לרעה).
נמענים	אין.
מדינה שלישית	אין.
שמירה	24 חודשים (ריצת המחיקה הלילית, החלק “report_feedback”); סכום הביקורת של כתובת ה-IP מנוקה לאחר 2 ימים (החלק “report_feedback_ip”); מחיקה מיידית כאשר חשבון נמחק. מקרי בדיקה שהורדו אינם מכילים מידע על האדם המדווח.
אמצעים טכניים וארגוניים	סעיף 8. הגנת טפסים שלנו (מלכודת, זמן חתום, CSRF), לכל היותר 5 דיווחים בשעה ו-20 ביום לכל סכום ביקורת, 10 לכל דוח; ניתנים לקריאה רק בידי מנהלי-על.

6. שמירה – מה ריצת המחיקה הלילית מכסה ומה לא

קיימת מחיקה אוטומטית, ויש לה מקום מוגדר. ריצת מצב (srv/cron_status.php) מופעלת בכל חמש דקות באמצעות ה-crontab של שרת האינטרנט, הן במערכת הייצור והן במערכת הפיתוח. היא בודקת את הרכיבים, מאחזרת את הדואר של בדיקת המסירה, מתזמנת בדיקות ושולחת התרעות. פעם ביום, בחלון שבין 03:00 ל-03:04, היא מוחקת לפי תקופות השמירה ולאחר מכן יוצרת את הגיבוי. מאז 27 בספטמבר 2026 היא קוראת בנוסף לריצת השמירה ב-cfg/fristen_lib.php (fe_fristen_lauf()), שחלקיה פועלים באופן בלתי תלוי זה בזה: אם אחד נכשל, האחרים ממשיכים, והשגיאה נרשמת ביומן השגיאות.

ראיה לכך שהריצה פועלת: מצב הגיבוי של מערכת הפיתוח מציג גיבוי מוצלח ב-03:00 ביום 11 באוקטובר 2026; הגיבוי נוצר באותו מקטע, מייד לאחר המחיקה. הריצה כותבת רישום לכל טבלה שנמחקה רק לפלט הסטנדרטי, שה-crontab משליך; אין רישום קבוע של מה נמחק ומתי (סעיף 10).

תקופות השמירה המופיעות כמצייני מקום מוגדרות באזור הניהול בהגדרות השמירה. הריצה קוראת את אותן הגדרות; לכן הטקסטים מציגים תמיד את התקופה שלאחריה מידע נמחק בפועל.

6.1 מכוסה על ידי הריצה היומית

מידע	תקופת שמירה וגורם מפעיל	מיקום בקוד
יומן צפיות בדפים (`access_logs`)	60 ימים	`srv/cron_status.php`
יומן פעילות (`audit_logs`)	365 ימים	`srv/cron_status.php`
יומן שגיאות (`error_logs`)	90 ימים	`srv/cron_status.php`
תיבת דואר יוצא (`mail_outbox`)	30 ימים	`srv/cron_status.php`
אסימוני הישארות מחוברים של “להישאר מחוברים” (`remember_tokens`)	לאחר פקיעה (30 ימים)	`srv/cron_status.php`
הזמנות שלא התקבלו (`workspace_invites`)	לאחר פקיעה (14 ימים)	`srv/cron_status.php`
ניסיונות כניסה (`login_attempts`); מוני ניסיונות (auth_attempt_buckets)	7 ימים; מונים עם פקיעת חלון הזמן שלהם (כיום 15 דקות, שעה לאיפוס סיסמה ולהרשמה), וגם בגישה הבאה	`srv/cron_status.php`
יומן בקשות של בדיקות ללא חשבון (`check_throttle`)	7 ימים	`srv/cron_status.php`
קודים חד-פעמיים לחיבור התוסף (`plugin_connect_tokens`)	1 יום לאחר פקיעה	`srv/cron_status.php`
חריגות שנפתרו (`abuse_flags`)	90 ימים לאחר פתרון	`srv/cron_status.php`
דוחות שפג תוקפם יחד עם תוצאת הבדיקה, טפסים, ממצאים, תמונות ומשימה (רק ללא דומיין בחשבון)	אנונימיים 30 ימים, לקוחות פוטנציאליים 90 ימים	`fe_reports_aufraeumen()`
יומן מסירת התרעות (`alert_log`)	90 ימים	`fe_alert_log_aufraeumen()`
שורות מצב (`system_status_logs`)	400 ימים	`srv/cron_status.php`
רישומי הסכמה של חשבונות שנמחקו (`legal_consents`)	לאחר שהחשבון נמחק וההסכמה בת 4 שנים	`srv/cron_status.php`
רשומות יתומות של דומיינים שנמחקו: תוצאות בדיקות, משימות, נתוני התרעות, אירועים, קודי Telegram, מסירות, דופק, חולשות אבטחה, הוכחות, מלאי סקריפטים ושינויי סקריפטים	מייד בריצה הבאה	`fe_fristen_lauf()`, החלקים “orphan_scans”, “orphan_rows”
נתוני תוסף של מארחים ללא דומיין; שורת תוסף ללא חשבון	מייד; שורה לאחר 90 ימים ללא קשר	החלק “orphan_hosts”
תוצאות כלי כותרות תגובה (`header_checks`)	כיום 90 ימים	החלק “header_checks”
תוצאות בדיקות לדומיין עם טפסים, ממצאים, תמונות, דוחות ומשימות	13 חודשים; האחרונה שהושלמה לכל דומיין נשארת	החלק “old_scans”
ריצות דפדפן, משימות דפדפן שהושלמו, סדרות זמן (`form_browser_runs`, `scan_jobs`, `form_performance`)	13 חודשים	החלקים “browser_runs”, “browser_jobs”, “form_performance”
מוני טפסים (`form_metrics`), נתונים יומיים של תוסף והודעות על שינויים (`plugin_stats`, `plugin_changes`)	13 חודשים	החלקים “form_metrics”, “plugin_stats”
מכשירים מחוברים (`login_sessions`)	90 ימים לאחר שימוש אחרון או ביטול הרשאה	החלק “sessions”
הזמנות שהתקבלו	30 ימים לאחר הקבלה	החלק “invites”
פניות לתמיכה (`support_requests`)	24 חודשים	החלק “support”
משוב על דוחות (`report_feedback`)	24 חודשים; סכום ביקורת של כתובת ה-IP 2 ימים	החלקים “report_feedback” ו-“report_feedback_ip”
גרסאות PDF של דוחות במטמון (`var/pdf`)	7 ימים	החלק “pdf_cache”
כתובת IP, מדינה ומזהה דפדפן בהחרגה (`blocklist`)	12 חודשים; ההחרגה נשארת	החלק “optout_ip”
מנויי פורטל (`client_subscribers`)	לא מאושרים 30 ימים; מבוטלי הרשמה 3 שנים	החלק “subscribers”
חשבונות שמעולם לא אושרו, יחד עם סביבת העבודה	30 ימים ללא כניסה לחשבון, אלא אם חבר אחר משויך	החלק “pending_accounts”
מפתחות API ללא חשבון (מידע ישן)	מייד	החלק “api_keys”

6.2 מחוץ לחלון 03:00

מידע	תקופת שמירה וגורם מפעיל	מיקום בקוד
עותקים בתיבת הבקרה של בדיקת המסירה	לאחר העיבוד, בכל חמש דקות	`fe_zustellung_abholen()`
שיוכים של בדיקת המסירה (`delivery_log`)	180 ימים, בכל אחזור	`fe_zustellung_abholen()`
טקסט מוצפן של חשבון בדיקה במשימות (`scan_jobs`)	לאחר הריצה, לכל המאוחר לאחר שעה	שרת הסריקה; `fe_login_aufraeumen()`
אירועים (`alert_incidents`) עם ניסיונות המסירה של ההסלמות שלהם	כל עוד לא נפתרו; 180 ימים לאחר פתרון	`fe_vorfaelle_aufraeumen()` ב-`cfg/vorfall_lib.php`
הודעות סיכום שנשלחו (`alert_queue`)	30 ימים לאחר המסירה	`cfg/kanal_lib.php`
אותות הגנה משותפת (`swarm_signals`)	30 ימים, מדי יום החל מ-04:00	`cfg/swarm_lib.php`
בדיקות לקוחות פוטנציאליים (`prospect_checks`)	90 ימים, מדי יום החל מ-04:00	`srv/cron_status.php`
קודי קישור Telegram (`telegram_links`)	1 יום, בעת יצירת קוד חדש	`cfg/kanal_lib.php`
מוני קריאות API (`api_usage`)	1 יום, מדי פעם בעת קריאה	`cfg/agentur_lib.php`
השבתות ספקים שנפתרו (`provider_incidents`), מטמון חולשות אבטחה (`vuln_cache`)	90 ו-30 ימים בהתאמה; ללא מידע אישי	`cfg/anbieter_lib.php`, `cfg/luecken_lib.php`
נתונים גולמיים של מחקר	בעת הפרסום	`fe_studie_veroeffentlichen()`
גיבויים	14 ימים, לאחר גיבוי חדש שהצליח	`cfg/backup_lib.php`
יומני שרת אינטרנט	14 ימים	החלפת יומני מערכת

6.3 בעת מחיקה על ידי הלקוח

מחיקת דומיין (fe_domain_loeschen()): תוצאות בדיקות עם טפסים, ממצאים וקובצי תמונות, דוחות, משימות, יעדי התרעות, יומן מסירה, תור סיכומים, אירועים, קודי Telegram, מסירות, דופק, חולשות אבטחה, יומני ראיות, הדומיין מתוך פורטלים ללקוחות בעלי בחירה קבועה; באמצעות מפתחות זרים, טפסים מנוטרים עם ריצות דפדפן, תצפיות וסדרות זמן, חשבון בדיקה ומוני טפסים; נתוני התוסף של המארח אם אין דומיין אחר המפנה אליו. מלאי הסקריפטים ושינויי הסקריפטים של הדומיין נמחקים גם הם יחד איתו; אין להם תקופת שמירה משלהם (סעיפים 6.4 ו-10). מידע שנותר ללא דומיין משויך מהתקופה שלפני 27 בספטמבר 2026 מנוקה על ידי הריצה הלילית (החלקים “orphan_scans”, “orphan_rows”).
מחיקת סביבת עבודה (fe_arbeitsbereich_daten_loeschen()): בנוסף, המיתוג לרבות הלוגו, פורטלים ללקוחות לרבות מנויים, קודי הפצה ובדיקות לקוחות פוטנציאליים; וכן הזמנות וחברויות.
מחיקת חשבון: סיום מיידי של מינוי פעיל בתשלום אצל Stripe, ללא החזר; העברה או מחיקה של סביבות העבודה של הבעלים עצמו; מחיקת חברויות, אסימוני הישארות מחוברים, מכשירים, מפתחות API עם מונים, קודי Telegram פתוחים ושורת החשבון.
מחיקת חשבון בדיקה (fe_login_loeschen()): דריסת הטקסט המוצפן, מחיקת השורה וניקוי משימות ממתינות.

6.4 מה הריצה אינה מכסה

רשימה זו היא החשובה יותר. היא מציינת מידע שאין לו תקופת שמירה אוטומטית או שנותר לאחר מחיקה.

מידע	מה חל	הערכה
נתוני חשבון לרבות כתובת IP אחרונה (`users`)	עד למחיקה על ידי בעל החשבון; אין מחיקה של חשבונות לא פעילים	נתוני חוזה; חסר כלל לחשבונות לא פעילים לצמיתות ללא מינוי
יומן פעילות, צפיות בדפים ויומן שגיאות של חשבון שנמחק	נשארים עם מזהה חשבון וכתובת IP עד לתום תקופת השמירה שלהם	מכוון (ראיות לפעולות גם לאחר סיום ההתקשרות); המזהה אינו מפנה עוד לחשבון
פניות תמיכה של חשבון שנמחק	נשארות למשך עד 24 חודשים עם מזהה החשבון הישן	מכוון; המזהה אינו מנוקה
רישומי הסכמה של חשבון שנמחק	עד שההסכמה בת 4 שנים (נספר ממועד ההסכמה ולא ממחיקת החשבון)	מכוון (סעיף B.12)
חריגות שלא נפתרו עם כתובת IP (`abuse_flags`)	עד שמישהו פותר אותן	נושא פתוח (סעיף 10)
סוגי שגיאות עם הודעת דוגמה ללא שינוי (`error_kinds`)	אין תקופת שמירה	נושא פתוח (סעיף 10)
מלאי סקריפטים ושינויי סקריפטים (`script_inventory`, `script_changes`)	אין תקופת שמירה משלהם; נשמרים כל עוד הדומיין קיים ונמחקים יחד איתו	נושא פתוח (סעיף 10)
מנויים של פורטלים ללקוחות שהרשאתם בוטלה	עד למחיקת סביבת העבודה	נושא פתוח (סעיף 10)
מפתחות API וקודי הפצה שהרשאתם בוטלה	עד למחיקת החשבון או סביבת העבודה	גיבובים, תחילית ותווית בלבד; היקף מצומצם
רשימת מארחי מחקר (`study_domains`), מחקרים שמעולם לא פורסמו	אין תקופת שמירה	נושא פתוח (סעיף 10)
בדיקות פנימיות ללא דומיין וללא דוח (תוצאות בדיקות, טפסים, ממצאים, צילומי מסך)	אין תקופת שמירה; שום נתיב מחיקה אינו מכסה אותן	נושא פתוח (סעיף 10)
עמלות, מימושי קודים, אירועי Stripe	אין תקופת שמירה	רלוונטיות חשבונאית; יש לקבוע תקופה לפי דיני המס
גיל דומיין במטמון (`domain_age_cache`)	אין תקופת שמירה	שם דומיין ותאריך רישום בלבד
תוצאת אימות של הודעת הדוא״ל מהטופס עם דומיין השולח	נשמרת עם הדומיין; נדרסת בכל קבלה	ראו A.1
החרגות	לצמיתות	מכוון; ללא קביעות, לא תהיה החרגה בתוקף
הודעות דוא״ל בתיבת הדואר של נקודת הדיווח ובתיבת הדואר הכללית	אין תקופת שמירה טכנית	נושא פתוח (סעיף 10)

6.5 מחוץ למסד הנתונים

צילומי מסך מוחזקים כקבצים מחוץ לתיקיית האינטרנט ונמחקים יחד עם תוצאת הבדיקה שלהם (כל נתיבי המחיקה שלעיל מוחקים גם את הקבצים).
קובצי לוגו של מיתוג נמחקים בעת החלפתם ויחד עם סביבת העבודה.
בשרת הסריקה נוצרת לכל משימה תיקייה זמנית עם תוצאה ותמונות; היא נמחקת לאחר כל ריצה, גם לאחר שגיאה.
גיבויים מוחזקים בשרת האינטרנט (B.27).
יומני שרת האינטרנט עם כתובת ה-IP המלאה נשמרים למשך 14 ימים (B.1).

7. החלטות אוטומטיות, יצירת פרופילים והערכה

formexposed מעריך אתרים ולא אנשים. לפי הערכתנו, השירות אינו מקבל החלטה היוצרת השפעות משפטיות הנוגעות לאדם או משפיעה עליו באופן משמעותי דומה (סעיף 22(1) ל-GDPR). עם זאת, קיימות הערכות אוטומטיות וחסימות אוטומטיות. אנו מפרטים אותן כדי שניתן יהיה לבדוק את הסיווג.

מנגנון	מה הוא עושה	על מי הוא משפיע
ציון ומסקנה של בדיקה	סכום משוקלל של שכבות הגנה חסרות (CAPTCHA, מלכודת, אסימון, בדיקת תזמון, CAPTCHA לא יעיל, תצורה חשופה מוכרת), מ-0 עד 100; מכך נגזרים “ללא הגנה”, “הגנה חלקית” או “מוגן”. מסקנת האתר נקבעת לפי טופס יצירת הקשר הגרוע ביותר שזוהה ככזה על ידי הכללים (לא על ידי מודל השפה); ללא טופס יצירת קשר אין מסקנה. ניתן להגדיר את המשקלים באזור הניהול.	מפעילי אתרים; אצל עצמאים, בעקיפין אדם. למסקנה אין השלכה משפטית; היא ממצא עם ראיות והוראות.
סיווג סוג הטופס	תחילה כללים, ומודל שפה מקומי רק אם הכללים מחזירים “unknown”. קובע אם מותרת שליחת בדיקה פעילה (רק לטופס יצירת קשר שזוהה באופן מהימן על ידי הכללים). טפסים שסווגו על ידי מודל השפה לעולם אינם נשלחים ואינם נכללים בציון ובמסקנה.	הלקוח ונמעני הודעות הדוא״ל מהטפסים שלו; השפעה מגינה: במקרה של ספק לא נשלח דבר.
תוכנית פעולה מתועדפת בדוחות בתשלום	מודל שפה מקומי מסכם ממצאים נבחרים שנכשלו או שאינם ברורים ומטא-נתוני סריקה כצעדים קצרים וממוספרים. הטקסט שלו מסומן כסיכום של בינה מלאכותית; הממצאים הפרטניים נשארים הקובעים. הוא אינו משנה ציון סריקה, מסקנה או הגדרות אתר.	הלקוח או קורא דוח מורשה אחר, המחליט אילו צעדים לנקוט.
תג	מציג “מוגן” רק בתנאים קבועים (B.18), וביתר המקרים ניטרלי.	הלקוח; ללא השפעה על מבקרים.
מגבלות וחסימות לבדיקה החינמית, לכלי כותרות התגובה ולהחרגה	דחיית בקשות אם הושגו מגבלות לכל כתובת, הפעלה, דומיין או מערכת, אם הדומיין צעיר מדי או שגילו אינו ידוע, או אם הוא ברשימת החסימה.	מבקשים; השפעה: סירוב לספק שירות חינמי למשך שעות עד ימים. מנהל יכול לשחרר כתובת; פניות דרך דף יצירת הקשר מגיעות לאדם.
חריגות	דפוסים (דומיינים רבים מכתובת אחת, גלי בקשות, דחיות רבות, החרגות רבות ממדינה אחת, הגעה למגבלה היומית) מתועדים ומדווחים. הם אינם חוסמים מעצמם; החסימות נובעות מהמגבלות.	מבקשים.
נעילת כניסה לחשבון	לפי הסף הנוכחי, לאחר שמונה ניסיונות כניסה שנכשלו מכתובת אחת בתוך 15 דקות, כניסות מאותה כתובת נדחות זמנית. בנוסף, כל ניסיונות הכניסה, לרבות המוצלחים, נספרים לכל חשבון וכתובת IP (כיום שמונה), לכל חשבון מכל הכתובות (מספר גבוה משמעותית, נגד ניחוש מבוזר), ולכל כתובת IP (כיום 80) בתוך 15 דקות, וכך גם קודי הגורם השני (עשרה לכל חשבון בתוך 15 דקות); מעבר לכך הניסיונות נדחים. לכן ניסיונות שנכשלו מכתובת אחרת אינם נועלים עוד את הבעלים מחוץ לחשבון. אישורי סיסמה (חמישה לכל חשבון בתוך 15 דקות), הודעות איפוס (שלוש לכל כתובת בשעה, עם תגובה ללא שינוי), הרשמות (עשר לכל כתובת IP בשעה) וניסיונות להזין סיסמת פורטל לקוחות (עשרה לכל פורטל וכתובת IP, 50 לכל פורטל בתוך 15 דקות) מוגבלים באותו אופן.	אנשים הנכנסים לחשבון, נרשמים או פותחים פורטל לקוחות; ההשפעה מוגבלת בזמן, ואיפוס סיסמה נשאר אפשרי.
סף reCAPTCHA	דוחה שליחות מתחת לציון של Google; סף לכל נקודת שימוש (כיום 0.7 לבדיקה ולהחרגה). נדחות גם תשובות לפעולה אחרת ושליחות שעבורן Google אינו משיב בתוך שלוש שניות.	אנשים השולחים את הטפסים שלנו; השפעה: ניסיון חדש או פנייה דרך דף יצירת הקשר.
הגנה משותפת	מכניסה אוטומטית דומיין של קישור לרשימה כאשר מגיעים לספי מינימום; שכבות ההגנה של האתרים המחוברים מעבירות הודעות עם קישורים כאלה להסגר.	שולחי הודעות לדפי לקוחות. השפעה: ההודעה מעוכבת ולא נמחקת, וניתן לשחררה על ידי מפעיל האתר. ההחלטה על ההודעה מתקבלת על ידי התוסף של המפעיל באתרו, ולא על ידינו.
ערכי השוואה	“מוגן טוב יותר מ-X % מהאתרים שנבדקו”, רק על בסיס קבוצות של 20 מארחים לפחות.	מפעילי אתרים; ללא השפעה.

הדבר הקרוב ביותר לסעיף 22 הוא שכבת ההגנה של התוסף בדפי לקוחות, המעכבת אוטומטית שליחות. זהו עיבוד של מפעיל האתר בשרת שלו (A.10). היא אינה מוחקת דבר אלא מעבירה הודעות להסגר, והמפעיל יכול לשחרר כל הודעה. לא מתבצעת שם או אצלנו יצירת פרופילים של מבקרים; אין מזהה מבקר המקשר הודעה אחת לאחרת.

8. אמצעים טכניים וארגוניים (סעיף 32) – תיאור כללי

סעיף זה הוא התיאור הכללי לפי סעיף 30(1)(g) ו-(2)(d) ל-GDPR. הגרסה המפורטת נמצאת בדף אמצעים טכניים וארגוניים. כל אמצעי שלהלן מבוסס בראיות בקוד או בתצורה. אמצעים שטרם יושמו נמצאים באותו סעיף (8.1), כדי שהתיאור יהיה מלא.

תחום	אמצעי בתוקף
הצפנת תעבורה	HTTPS לאתר, ליישום ולממשקים; HSTS; עוגיות הפעלה ואסימוני הישארות מחוברים רק דרך HTTPS, HttpOnly, SameSite=Lax.
בקרת גישה (אימות זהות)	סיסמאות כגיבוב בלבד, חדשות עם עשרה תווים לפחות ו-72 בתים לכל היותר; נעילת כניסה לאחר ניסיונות חוזרים שנכשלו ומגבלות ניסיונות לכל חשבון וכתובת IP יחד, לכל חשבון ולכל כתובת IP, כך שניסיונות שנכשלו מכתובת אחרת אינם נועלים את הבעלים מחוץ לחשבון; מגבלות ניסיונות גם לאישורי סיסמה, לאיפוס סיסמה (עם אותה תגובה ואותו זמן תגובה), להרשמות ולסיסמאות פורטלים; כניסה באימות דו-שלבי (TOTP) עם סוד מוצפן, הגנה מפני שימוש חוזר בקוד וקודי שחזור מגובבים; מזהה הפעלה חדש בכל כניסה, מזהים שלא הונפקו על ידי השרת אינם מתקבלים; “להישאר מחוברים” אינו זמין למנהלי-על, כל אסימון תקף פעם אחת בלבד; שינוי כתובת הדוא״ל מבטל קישור איפוס פתוח; ניתן לבטל הרשאת מכשירים בנפרד או בבת אחת; רשימת המכשירים מחזיקה רק את הגיבוב של מזהה ההפעלה.
בקרת גישה (הרשאות)	תפקידים לכל סביבת עבודה (בעלים, מנהל, צופה); הרשאות נבדקות מול האובייקט ולעולם לא מול מזהה מהטופס; חשבון בדיקה, “Fix it for me” ובדיקות פעילות רק לבעלים ולמנהלים; “תצוגה כלקוח” מוגבלת בזמן וחסומה לפעולות המשנות חשבון, סיומה מנתק לחלוטין, חזרה לאזור הניהול רק עם סיסמה וגורם שני; הזמנות תקפות רק כל עוד האדם המזמין הוא בעלים או מנהל; כתובות של webhooks וערוצי צ׳אט מוצגות לצופים כשהן מקוצרות למארח בלבד; לא ניתן לשנות את שם המארח של דומיין מאומת.
אבטחת יישום	אסימוני CSRF; פקודות מוכנות למסד הנתונים; הגנת הטפסים שלנו (מלכודת, בדיקת תזמון חתומה); reCAPTCHA בטפסים הציבוריים; הגבלת קצב לתמיכה, לבדיקות ולממשקים; רק קריאה אחת ל-“Fix it for me” לכל סביבת עבודה בכל רגע, כך שהמכסה נשמרת גם בבקשות בו-זמניות; מדיניות אבטחת תוכן עם הגנה מפני מסגור, המאפשרת להפעיל רק סקריפטים הנושאים את האישור (nonce) של התגובה המתאימה; כתובת IP מכותרות מועברות רק משרת ה-proxy שלנו ורק מהרשומה שהוסיף; אסימוני גישה מוסווים ביומן הצפיות בדפים.
סודות	מפתחות API, קודי הפצה, סודות חיבור תוספים, קודים חד-פעמיים וסיסמאות פורטלים כגיבוב בלבד; פרטי כניסה של חשבונות בדיקה מוצפנים באופן א-סימטרי, המפתח הפרטי רק בשרת הסריקה; webhooks חתומים; אירועי Stripe רק עם חתימה תקפה.
צמצום מידע	בדיקת המסירה אינה שומרת תוכן או כתובות שולח מלאות; כתובות נמענים בטפסים נשמרות כדומיין בלבד; מזהי חשבונות בכתובות סקריפטים מוחלפים; נתוני תוספים רק מרשימות קבועות; טקסטי שגיאות של משלוח דוא״ל רק כקטגוריה; אותות Telegram ללא משתנים; תמונות בדיקות דפדפן עם קלט מכוסה; ללא צילומי מסך מאחורי כניסה לחשבון.
בידוד הסורק	כל בדיקה במכולה משלה: כל יכולות Linux מוסרות, ללא העלאת הרשאות, מערכת קבצים לקריאה בלבד, מגבלת זיכרון ותהליכים ורשת משלה; בדיקת היעד נגד רשתות פרטיות ומקומיות לפני הקבלה ובסורק, גם לאחר הפניות; service workers חסומים וחיבורי WebSocket נסגרים. בקשות של שרת האינטרנט (הוכחת שליטה, כלי כותרות תגובה, חיפוש קבצים, דופק, RDAP, תעודות, webhooks והתרעות בצ׳אט) רק ביציאות האינטרנט המקובלות ורק לכתובת המדויקת שנבדקה, webhooks והתרעות בצ׳אט רק דרך HTTPS.
אחסון	צילומי מסך מחוץ לתיקיית האינטרנט, ניתנים לאחזור רק דרך הדוח; דוחות בכתובות אקראיות עם noindex; תיקיית גיבוי הניתנת לקריאה רק לשירות.
זמינות והתאוששות	גיבוי לילי עם בדיקת תוכן, בדיקת שחזור שבועית, התרעה על כשל; בדיקת רכיבים בכל חמש דקות עם אות ודוא״ל; אות חיים חיצוני; עצירת חירום לבדיקות אנונימיות; ויסות כאשר יש הצטברות בתור.
יכולת מעקב	יומן פעילות לכניסות, לשינויים, למחיקות, לגישת תמיכה ולאישורים; יומן שגיאות עם התרעה.
מחיקה	תקופות שמירה במקום אחד בקוד, מאותן הגדרות כמו הטקסטים (סעיף 6); שרשרות מחיקה לדומיין, לסביבת עבודה ולחשבון, עם החריגים שבסעיף 6.4.
זכויות נושאי מידע	ייצוא בלחיצה אחת של כל נתוני החשבון כקובץ, על בסיס רשימת שדות מותרת, ללא סודות.
ארגון	אזור הניהול רק לחשבונות בעלי הרשאות מנהל-על, חסום במהלך “תצוגה כלקוח”; הפרדה בין מערכות הפיתוח והייצור, מערכת הפיתוח מאחורי מחסום גישה נוסף; העברת טקסטים משפטיים לאחר אישור באמצעות כלי המסרב לטיוטות ולמצייני מקום.

8.1 אמצעים שטרם יושמו

אין הצפנה של מסד הנתונים בעת מנוחה (נמדד ביום 11 באוקטובר 2026). החריגים הם פרטי הכניסה של חשבונות הבדיקה וסוד האימות הדו-שלבי, המוצפנים ברמת השדה.
חיבורים פנימיים אינם מוצפנים לכל אורכם. החיבורים בתוך הרשת הפנימית שלנו אינם מוצפנים לכל אורכם. פרטי כניסה של חשבונות בדיקה מועברים שם רק כטקסט מוצפן.
אין גיבוי במיקום שני. הגיבויים מוחזקים כיום באותו מיקום כמו מסד הנתונים ואינם מוצפנים בנפרד; עותק מוצפן במיקום שני מתוכנן. עד אז הם מגינים מפני פקודת מחיקה שגויה, ולא מפני אובדן המיקום.
הקשחת ניהול השרת אינה מלאה. אבטחת הגישה הניהולית לשרתים שלנו עדיין אינה עומדת בתקן שאליו אנו שואפים לצורך התפעול; ההקשחה נמשכת. איננו מפרסמים פרטים, משום שהם יסייעו לתוקף; אנו מספקים אותם לרשות פיקוח לפי בקשה.
אין יומן קריאה תפקודי באזור הניהול. פעולות כתיבה מתועדות ביומן הפעילות; מי רק צפה באיזו פניית תמיכה או באיזה דוח ניתן לקבוע רק מיומן הצפיות בדפים (60 ימים).
אין יומן מחיקה קבוע. לא מתועד מה הריצה הלילית מחקה (סעיף 6).
אין נקודת בדיקה שנייה ובלתי תלויה. בדיקת האימות במיקום שני אינה מוגדרת (A.6).

9. ממונה על הגנת מידע – הערכה לפי סעיף 37 ל-GDPR

תוצאה: לפי הערכתנו אין חובה למנות ממונה. ההערכה היא חלק מהבדיקה המשפטית ותחזור על עצמה ברגע שאחת הנסיבות המפורטות להלן תשתנה.

סעיף 37(1) דורש מינוי בשלושה מקרים.

נקודה (a) (רשות או גוף ציבורי) אינה חלה.
נקודה (b) (פעילויות ליבה הדורשות ניטור סדיר ושיטתי של נושאי מידע בהיקף גדול): פעילות הליבה שלנו היא בדיקה סדירה ושיטתית של אתרים וטפסים, ולא תצפית על אנשים. איננו יוצרים פרופילים של מבקרים, איננו משתמשים במעקב ואיננו מקשרים הודעה אחת לאחרת. בדיקת המסירה (A.1) מעבירה הודעות אמיתיות של מבקרים דרך תיבת הדואר שלנו, אך מעריכה רק כותרות ואת 8 KB הראשונים לצורך שיוך ואינה שומרת תוכן; היא בוחנת נתיבי מסירה ולא אנשים. חשבונות לקוחות ויומנים נלווים לפעילות העסקית.
נקודה (c) (עיבוד בהיקף גדול של קטגוריות מיוחדות לפי סעיף 9 או של מידע הנוגע לעבירות פליליות לפי סעיף 10 כפעילות ליבה): אינה מתקיימת. קטגוריות מיוחדות עשויות להופיע באופן אגבי בעותקים של הודעות דוא״ל מטפסים (A.1), בדפים מאחורי כניסה לחשבון (A.5) או בקוד שהודבק (A.7); קליטה אגבית אינה פעילות ליבה.

סעיף 37(4) מאפשר לדין הלאומי להוסיף מקרים נוספים. אנו פועלים לקבלת אישור מעורך דין בשאלה אם הדין הפולני מחייב אותנו למנות ממונה.

גורמים להערכה חדשה: הפעלת הגנה משותפת עם רשתות IP; פעולה המזהה מבקרים לאורך כמה הודעות או אתרים; שמירת תוכן מבדיקת המסירה; לקוח שטפסיו נוגעים בעיקר לקטגוריות מיוחדות (בריאות, מועמדויות לעבודה) ובדיקת המסירה מופעלת אצלו בהיקף גדול; העובד הראשון בעל גישה למידע לקוחות. מינוי מרצון נשאר אפשרי; במקרה כזה סעיפים 37 עד 39 חלים במלואם.

בנפרד: השאלה אם נדרשת הערכת השפעה על הגנת מידע לפי סעיף 35 עבור פעילויות עיבוד מסוימות נענית בדף הערכת השפעה על הגנת מידע. הערכת הסף שלו מסיקה שנדרשת הערכת השפעה על הגנת מידע עבור הגנה משותפת (B.21) ועבור מחקרים בהיקף המתוכנן (B.7), והיא מתבצעת על ידינו, ושעבור בדיקת המסירה (A.1) היא נדרשת במתכונת הטיפוסית, כחובה של הלקוח שאנו מסייעים לו בקיומה.

10. נושאים פתוחים ואמצעים מתוכננים

הנקודות הבאות מבוססות בראיות בקוד, בסכמה או בתצורה, ואינן הנחות. הן מתארות את המצב נכון לתאריך גרסה זו; הסיווג הוא שלנו ואינו מקדים הערכה משפטית כלשהי. הן מסודרות לפי משקלן עבור נושאי המידע, ולא לפי הקלות שבה ניתן לתקן אותן. האמצעים המתוכננים ועדיפותם מפורטים בהערכת ההשפעה על הגנת מידע.

נושא פתוח	מה מבוסס בראיות	משמעות
ספק שירותי דוא״ל ללא חוזה מתועד	ביחס ל-Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, החוזה, מקומות העיבוד והבסיס להעברה אינם מתועדים. הודעות חשבון, התרעות ותיבת הבקרה עם הודעות אמיתיות של מבקרים עוברות דרך ספק זה.	ההוראות הרלוונטיות הן סעיף 28(2) ו-(4) ופרק V ל-GDPR. כריתת החוזה ותיעודו מתוכננים לפני ההשקה.
הבסיסים לשירותי צ׳אט ול-reCAPTCHA פתוחים	התרעות ל-Telegram (ללא החלטת נאותות), ל-Slack, ל-Discord, ל-Microsoft Teams ול-Google Chat; reCAPTCHA ללא בקשת הסכמה.	שאלות פתוחות לבדיקה המשפטית; עד אז, ההודעה והבסיס אינם סופיים.
תיבת הבקרה עשויה להחזיק הודעות במהלך הפרעות	המחיקה מתבצעת לאחר עיבוד מוצלח; אם האחזור נכשל, העותקים נשארים עד לריצה המוצלחת הבאה. אין אזהרה כאשר מצטבר בתיבת הדואר פיגור לאורך תקופה ממושכת.	העותקים מכילים פניות אמיתיות של מבקרים.
אין גיבוי במיקום שני, אין הצפנה של מסד הנתונים בעת מנוחה	סעיף 8.1. מתוכנן עותק מוצפן של הגיבוי במיקום שני.	אירוע יחיד במיקום ישפיע על המידע ועל הגיבוי בו-זמנית; אמצעי אחסון שנגנב יהיה קריא.
חריגות שלא נפתרו ללא תקופת שמירה	חריגות שכתובת ה-IP המלאה משמשת בהן כמפתח נמחקות רק 90 ימים לאחר פתרונן; כל מה שמעולם לא נפתר נשאר.	נוגע לעקרון הגבלת האחסון (סעיף 5(1)(e)); המחיקה תלויה בפתרון ידני. מתוכננת תקופת שמירה קבועה (האמצעים של הערכת ההשפעה על הגנת מידע).
סוגי שגיאות עם הודעת דוגמה ללא תקופת שמירה	הודעת הדוגמה נשמרת ללא שינוי עד 2,000 תווים; הדפוס המסונן מסיר כתובות ומספרים, אך הדוגמה אינה מסירה אותם.	הודעות שגיאה עשויות להכיל כתובות דוא״ל, שמות מארחים או כתובות IP.
מלאי סקריפטים ללא תקופת שמירה משלו	מלאי סקריפטים ושינויי סקריפטים נמחקים יחד עם הדומיין (`FE_DOMAIN_TABELLEN`), לרבות בעת מחיקת סביבת העבודה או החשבון ובריצה הלילית לרשומות יתומות; אין להם תקופת שמירה משלהם. הם מכילים כתובות סקריפטים, כתובות דפים, ובאישורים, את האדם המאשר וסיבה בטקסט חופשי.	נוגע לעקרון הגבלת האחסון (סעיף 5(1)(e)); יומן השינויים עם האישורים ממשיך לגדול כל עוד הדומיין קיים.
מנויים של פורטלים שהרשאתם בוטלה	פורטל שהרשאתו בוטלה נחסם ולא נמחק; מנוייו נשארים עד למחיקת סביבת העבודה.	המטרה (משלוח הדוח) פסקה עם ביטול ההרשאה.
רשימות מחקר ללא תקופת שמירה	לאחר הפרסום, המארחים והפלחים נשארים; מחקרים שמעולם לא פורסמו שומרים גם את הנתונים הגולמיים שלהם.	ההבטחה “נתונים גולמיים נמחקים” חלה רק על מחקרים שפורסמו.
בדיקות פנימיות ללא נתיב מחיקה	בדיקות ברמת האמון “internal” שאין להן דומיין או דוח (מחקרים ובדיקות שהמפעיל יצר משורת הפקודה) אינן מכוסות בשום נתיב מחיקה; יחד איתן נשארים טפסים, ממצאים וצילומי מסך של אתרים של צדדים שלישיים.	נוגע לעקרון הגבלת האחסון (סעיף 5(1)(e)); משפיע על אנשים שאינם יודעים דבר על הבדיקה. מוערך כסיכון גבוה בהערכת ההשפעה על הגנת מידע.
הוכחת שליטה אינה מחודשת	הוכחת שליטה נבדקת פעם אחת; אין בקוד נתיב שבו דומיין מאבד אותה שוב.	שליחות בדיקה פעילות, חיפוש קבצים והסריקה מאחורי כניסה לחשבון נמשכים לאחר שינוי בעלים או הרשאה.
סריקה מאחורי כניסה לחשבון: תעבורה לדף הלקוח	ככתובת הכניסה, `http` מותר לצד `https`, ושגיאות תעודה בדף הלקוח אינן עוצרות את הכניסה.	פרטי כניסה של חשבון בדיקה עלולים להיות מיורטים בדרך לדף הלקוח.
המחיקה תלויה בחלון זמן	המקטע היומי פועל רק אם ריצת מצב מתחילה בין 03:00 ל-03:04. אם ריצה יחידה זו נכשלת (מסד הנתונים אינו נגיש, השרת הופעל מחדש), המחיקה והגיבוי של אותו יום אינם מתבצעים; אין השלמה מאוחרת. מה שנמחק אינו נרשם באופן קבוע.	תקופות השמירה מתארכות אז ביום ללא הודעה. החמצת חלון אינה מפעילה התרעה; מדווח רק גיבוי שפועל ונכשל. רשימת ההגדרה באזור הניהול מציגה את תאריך הגיבוי המוצלח האחרון.
חלק מהמחיקות תלויות בניטור	ריקון תיבת הבקרה של בדיקת המסירה, מחיקת אירועים, הודעות סיכום שנשלחו, אותות הגנה משותפת ובדיקות לקוחות פוטנציאליים, וניקוי עותקים שנותרו של חשבונות בדיקה במשימות, פועלים בחלק המתזמן של ריצת המצב, הפועל רק כאשר הניטור מופעל באזור הניהול; שיוכי בדיקת המסירה נמחקים רק כל עוד מוגדרת תיבת בקרה.	אם הניטור מכובה באופן מרכזי או שתיבת הדואר מוסרת, תקופות שמירה אלה נעצרות מבלי שמישהו מבחין בכך.
נקודת דיווח ותיבות דואר ללא תקופת שמירה	דיווחי חולשות אבטחה והודעות דוא״ל נכנסות אחרות מוחזקים מחוץ ליישום; לא נקבעה תקופת שמירה.	דיווחים עשויים להכיל ראיות של צדדים שלישיים.
ערכי שדות נסתרים נקראים במהלך הבדיקה	הסורק קורא את הערך של שדות טופס נסתרים עד 24 תווים ושל מאפייני נתונים עד 60 תווים, כדי לזהות חותמות זמן ואסימונים. רק שם השדה, הסוג, התווית ותוצאת הזיהוי נכנסים למפת השדות ולממצאים, ולא הערך.	אין פער בשמירה; הערך מוחזק רק בזיכרון העבודה של מכולת הסריקה במהלך הבדיקה. ערך שמולא מראש (כגון מספר לקוח) נקרא בתהליך, אך אינו נשמר.
דומיין שולח שנגזר בתוצאת האימות	A.1.	בדומיינים אישיים של מבקרים, זהו מידע אישי שמקורו בהודעה אמיתית.
הקשחת ניהול השרת אינה מלאה; חיבורים פנימיים אינם מוצפנים לכל אורכם	סעיף 8.1. ההקשחה נמשכת; איננו מציינים פרטים בפומבי.	אירוע אבטחה ברמת השרת ישפיע על היישום, על מסד הנתונים ועל הגיבויים בו-זמנית.
מדידה במערכת הפיתוח	הסכמה, הקוד וההגדרות נמדדו במערכת הפיתוח.	הקוד והסכמה תואמים למערכת הייצור; ההגדרות עשויות להיות שונות ויש לבדוק אותן שם שוב לפני ההשקה.

11. תחזוקת רישום זה

סעיף 30 מחייב לנהל את הרישום בכתב ולהעמידו לרשות הפיקוח לפי בקשה. לשם כך נדרשים אחראי עליו ומרווח זמן שבו הוא נבדק מול המערכת, ולא מול הגרסה הקודמת שלו.

אחריות: Lukas Wójcik, הבעלים. הרישום נבחן מדי שנה ובכל שינוי בפעילות עיבוד.
אירועים המחייבים עדכון: מעבד משנה חדש או ששונה, בפרט בחירת ספק שירותי הדוא״ל; טבלה חדשה או שדה חדש המכילים מידע אישי; שינוי בתקופות השמירה או בשרשרות המחיקה ב-cfg/fristen_lib.php או ב-srv/cron_status.php; ערוץ התרעות חדש או בקשה חדשה לצד שלישי; הפעלת פעולה הכבויה כברירת מחדל (הגנה משותפת עם רשתות IP, בדיקת אימות, דומיינים עצמאיים, תוכנית שותפים, תשלום כנגד חשבונית, Spamhaus או Google Web Risk); מעבר לשרתים אחרים.
הליך: כל אמירה כאן נובעת מקוד, מסכמה או ממדידה. בחינה שקוראת רק את הטקסט לא בחנה דבר: הסכמה ושרשרות המחיקה נמדדות שוב, מצייני מקום נשארים מצייני מקום, ונושאים פתוחים נסגרים או מועברים הלאה בצירוף נימוקים.
היחס למסמכים אחרים: רישום זה אינו מחליף את מדיניות הפרטיות, את ההסכם לעיבוד מידע, את האמצעים הטכניים והארגוניים או את רשימת מעבדי המשנה. כאשר יש הבדלים בינם לבין רישום זה, ההבדל הוא ממצא.
שינויים במסמך זה מפורטים בדף שינויים במסמכי החוזה.

איך אפשר לעזור?