Ovaj dokument objavljen je na više jezika. U slučaju bilo kakvog neslaganja između jezičnih verzija, poljska verzija je obvezujuća.
Verzija 1.2 · Posljednje ažuriranje: 29. listopada 2026.
1. Kako čitati ovu evidenciju
Ovo je evidencija aktivnosti obrade prema čl. 30 GDPR-a za formexposed. Nije pravilnik o privatnosti niti je marketinški tekst. Njezina je zadaća pokazati nadzornom tijelu, Korisniku koji nas provjerava kao izvršitelja obrade ili sljedećoj osobi koja mora odgovoriti na pitanje što se stvarno obrađuje, gdje se čuva, tko to prima i koliko dugo ostaje. Objavljujemo je jer bi usluga koja provjerava i nadzire obrasce i sama trebala biti otvorena provjeri.
Pri pisanju su vrijedila tri pravila.
- Izmjereno, a ne namjeravano. Tvrdnja o podatkovnim poljima, rokovima čuvanja, primateljima ili zaštitnim mjerama pojavljuje se samo ondje gdje je potkrepljuju programski kod, shema baze podataka ili mjerenje. Ono što je planirano naziva se „planirano”. Ono što je prema zadanim postavkama isključeno naziva se „isključeno prema zadanim postavkama”. Gdje nešto ne možemo dokazati, to navodimo.
- Čuvanje je navedeno dvaput. Jednom za svaku aktivnost obrade i jednom u odjeljku 6 kao cjelovita slika: koji noćni postupak briše koje podatke i koje podatke ne obuhvaća. Evidencija koja navodi rok čuvanja koji vrijedi samo za dio podataka gora je od one koja navodi otvoreno pitanje.
- Otvorena pitanja navedena su u tekstu, a ne u fusnoti. Odjeljak 8.1 navodi mjere koje još nisu provedene, odjeljak 10 otvorena pitanja s planiranim mjerama. Evidencija je radni alat, a ne certifikat.
Podatkovna polja umjesto naziva tablica. Za svaku aktivnost obrade navodimo pohranjene podatke kao polja opisana jednostavnim jezikom. Naziv tablice baze podataka slijedi u zagradama kako bi revizor mogao pronaći mjesto, primjerice „pokušaji prijave (login_attempts)”. Popisi polja izvedeni su iz sheme baze podataka, a ne iz sjećanja.
Rokovi čuvanja kao rezervirana mjesta. Ako se rok čuvanja može postaviti u administratorskom području, ovdje se pojavljuje točno onako kako ga čita noćni postupak: broj koji vidite dolazi iz iste postavke koja upravlja brisanjem. Rokovi čuvanja fiksirani u programu navedeni su kao brojke.
Osnova mjerenja. Shema, kod i postavke izmjereni su 11. listopada 2026. na razvojnom sustavu, koji se po kodu i shemi podudara s produkcijskim sustavom. Ne navodimo broj redaka iz razvojnog sustava; oni sadrže testne podatke i ništa ne govore o radu u produkciji.
Namjerno izostavljeno. Ova evidencija ne navodi nazive hostova, interne mrežne adrese, portove, korisnička imena ni verzije softvera naših poslužitelja. Takve pojedinosti pomažu napadaču, a nijednom ispitaniku. Iz istog razloga otvorena pitanja u zaštiti vlastitih poslužitelja opisujemo samo općenito (odjeljak 8.1): navodimo rizik, a ne put do njega. Pojedinosti dostavljamo nadzornom tijelu na zahtjev.
Pravna priroda. Ova evidencija dokumentacija je koju vodimo prema čl. 30 GDPR-a za nadzorno tijelo; objavljuje se dobrovoljno. Ne čini dio nijednog ugovora i ne predstavlja nikakvu izjavu, jamstvo ili sporazum o kvaliteti prema Korisnicima ili trećim stranama. Ono što dugujemo Korisnicima uređeno je Uvjetima korištenja, Ugovorom o obradi podataka i njegovim prilozima; u pogledu tih obveza oni imaju prednost pred ovom evidencijom. Evidencija opisuje stanje na datum ove verzije. Oznake kao što su „otvoreno pitanje” ili „procjena” odražavaju naše vlastito stajalište i ne prejudiciraju pravnu ocjenu nadzornog tijela ili suda; mjere opisane kao „planirane” namjere su bez obvezujućeg datuma.
2. Pravni subjekt i zašto ova evidencija ima dva dijela
| Polje | Unos |
|---|
| Pravni subjekt | LW IT Solutions Company Lukas Wójcik, samostalna djelatnost registrirana u poljskom poslovnom registru (CEIDG); vlasnik Lukas Wójcik |
| Adresa | al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poljska |
| Porezni identifikatori | NIP 7252266190, PDV identifikacijski broj PL7252266190 |
| Kontakt | contact@lukaswojcik.com; prozor za podršku (upitnik u navigaciji); kontaktna stranica |
| Usluga | formexposed: provjera, nadzor i zaštita kontaktnih obrazaca na web-stranicama (aplikacija na formexposed.com, odredišna stranica na form.exposed) |
| Predstavnik prema čl. 27 GDPR-a | Nije primjenjivo. Pravni subjekt ima poslovni nastan u Uniji (Poljska). |
| Službenik za zaštitu podataka | Nije imenovan. Procjena prema čl. 37 nalazi se u odjeljku 9. |
| Nadležno nadzorno tijelo | Prezes Urzędu Ochrony Danych Osobowych (UODO, poljsko tijelo za zaštitu podataka), ul. Moniuszki 1A, 00-014 Warszawa |
| Hosting | Naši vlastiti poslužitelji u Poljskoj: jedan web-poslužitelj s aplikacijom i bazom podataka i jedan poslužitelj za skeniranje s lokalnim jezičnim modelom na istoj internoj mreži. Bez podatkovnog centra treće strane ili pružatelja oblaka. |
formexposed ima različite uloge prema različitim skupinama ljudi. Njihovo miješanje stvara evidenciju koja nije točna ni za jednu od njih.
- Voditelj obrade (dio B, čl. 30(1)). Sami smo voditelj obrade podataka naših Korisnika i članova njihovih timova (račun, prijava, naplata, podrška, zapisnici), posjetitelja naše web-stranice, provjera bez računa (besplatna provjera, alat za zaglavlja, istraživanje, provjera potencijalnog klijenta) i sprječavanja zloupotrebe.
- Izvršitelj obrade (dio A, čl. 30(2)). Za osobne podatke trećih strana koje Korisnik unese u uslugu ili koji nastanu kada za Korisnika pružamo uslugu djelujemo u njegovo ime: kopije stvarne e-pošte obrazaca pri provjeri dostave, pretplatnici Korisnikova portala za klijente, primatelji Korisnikovih upozorenja, osobe koje su slučajno vidljive na Korisnikovim provjeravanim stranicama, pristupni podaci Korisnikova testnog računa i kod obrasca koji Korisnik zalijepi. Osnova je Ugovor o obradi podataka, koji se sklapa sa svakim Korisnikom pri registraciji.
- Samo na Korisnikovoj strani. Neke funkcije dodatka za WordPress i proširenja za TYPO3 obrađuju podatke isključivo na Korisnikovoj web-stranici, a da podaci nikada ne dođu do nas (karantena, sigurnosna mreža, računska zagonetka, postavke čuvanja, lokalni brojači, snimač). To nije naša obrada i stoga se ne pojavljuje ni u jednom dijelu. Ipak ih opisujemo na kraju dijela A kako bi granica bila vidljiva.
Razdvajanje je ugrađeno u kod, a ne samo u tekst: iz stvarne e-pošte obrasca provjera dostave zapisuje u bazu podataka samo vrijeme, pridruživanje i rezultat autentikacije; snimke zaslona provjera u pregledniku maskiraju polja za unos; pristupni podaci testnog računa šifrirani su tako da ih web-poslužitelj više ne može čitati. Pojedinosti su navedene u unosima.
Odjeljci 6 do 11 primjenjuju se na oba dijela: čuvanje, automatizirane odluke, tehničke i organizacijske mjere, službenik za zaštitu podataka, otvorena pitanja i održavanje ove evidencije.
Opseg. Ovaj dokument dio je evidencije koji se odnosi na uslugu formexposed. Obrada istog pravnog subjekta za druge usluge bilježi se u njihovim vlastitim evidencijama; opće računovodstvo i poslovna administracija izvan usluge nisu obuhvaćeni ovim dijelom.
3. Dio A – čl. 30(2): obrada u ime Korisnika
A.0 Uključene strane
| Polje | Unos |
|---|
| Izvršitelj obrade | LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poljska; contact@lukaswojcik.com |
| Voditelji obrade | Korisnici usluge formexposed: poduzeća i agencije koje imaju domene na svojem računu i koriste funkcije u kojima nastaju podaci trećih strana. Kod agencija dodatno voditelj obrade može biti vlastiti klijent agencije; agencija tada prema tom klijentu djeluje kao izvršitelj obrade, a mi kao daljnji izvršitelj obrade. |
| Popis voditelja obrade | Dio ove evidencije, vodi se u elektroničkom obliku (čl. 30(3) GDPR-a) u sustavu usluge i nije prenesen u ovu javnu verziju jer sadrži osobne podatke Korisnika i zastario bi sa svakim novim Korisnikom: vlasnik svakog radnog prostora s imenom, adresom e-pošte i tvrtkom iz korisničkog računa (adresa i PDV identifikacijski broj samo kod Stripea) (users, workspaces, workspace_users), uz domene radnog prostora (domains). Na zahtjev ga dostavljamo nadzornom tijelu kao izvadak. |
| Predstavnici i službenici za zaštitu podataka voditelja obrade | U sustavu za to ne postoji posebno polje. Ako je Korisnik imenovao predstavnika prema čl. 27 GDPR-a ili službenika za zaštitu podataka, može nas o njima obavijestiti; obavijest čuvamo zajedno s popisom voditelja obrade. |
| Predstavnik izvršitelja obrade | Nije primjenjivo (poslovni nastan u Poljskoj). |
| Službenik za zaštitu podataka | Nije imenovan (odjeljak 9). |
| Upute | Uputa proizlazi iz Ugovora o obradi podataka i postavki koje Korisnik odabire: Korisnik uključuje provjeru dostave, postavlja odredišta upozorenja, pohranjuje testni račun i postavlja portal za klijente. Bez te radnje predmetna obrada ne provodi se. |
| Tehničke i organizacijske mjere | Odjeljak 8 i stranica Tehničke i organizacijske mjere primjenjuju se na svaku aktivnost obrade u dijelu A. Posebne mjere navedene su u odgovarajućem unosu. |
A.1 Provjera dostave – kontrolna kopija e-pošte obrazaca
| Polje | Unos |
|---|
| Svrha | Provjera šalje li se e-pošta iz Korisnikova kontaktnog obrasca doista i kako se autentificira (SPF, DKIM, DMARC, usklađenost). Nakon prihvaćenog aktivnog probnog slanja njegova kopija mora stići u kontrolni poštanski sandučić unutar podesivog vremena čekanja (trenutačno 3 sata); inače se pokreće upozorenje „Testna e-pošta nije primljena”. Iz zaglavlja se također izvode autentičnost e-pošte obrasca, korištena usluga e-pošte i adresa pošiljatelja za provjeru popisa blokiranih adresa. |
| Preduvjet | Plaćeni paket, verificirana domena, uključeno od strane Korisnika. Korisnik unosi vlastitu kontrolnu adresu s identifikatorom (u obliku „delivery+identifier@…”) kao skrivenu kopiju u obavijest svojeg obrasca. Bez konfiguriranog kontrolnog poštanskog sandučića funkcija nije dostupna. |
| Kategorije ispitanika | Posjetitelji Korisnikove web-stranice koji šalju Korisnikov obrazac; osobe čije podatke posjetitelj upiše u poruku; Korisnikovi zaposlenici koji se u zaglavljima pojavljuju kao primatelji. |
| Kategorije osobnih podataka | U kontrolnom poštanskom sandučiću (kod pružatelja e-pošte): potpuna kopija svake poruke e-pošte obrasca, uključujući stvarne upite s imenom, adresom e-pošte, telefonskim brojem i slobodnim tekstom, do brisanja. Čita se pri dohvaćanju: zaglavlja i najviše prvih 8 KB tijela poruke. U bazi podataka: vrijeme primitka, pridruživanje domeni i, ako je primjenjivo, testnom izvršavanju (delivery_log); najnoviji rezultat autentikacije po domeni s rezultatima SPF-a, DKIM-a i DMARC-a, usklađenošću, domenom pošiljatelja, domenama potpisivanja i adresom poslužitelja koji šalje e-poštu (autentikacijsko polje domene u domains). Sadržaj, predmet i adresa posjetitelja kao pošiljatelja ne zapisuju se u bazu podataka. |
| Napomena o domeni pošiljatelja | Ako obrazac unese adresu posjetitelja kao pošiljatelja (pogrešna konfiguracija koju provjera treba otkriti), rezultat autentikacije sadrži domenu te adrese, a ne samu adresu. Ako posjetitelj koristi osobnu domenu, i to može biti osobni podatak. Prepisuje se pri sljedećem primitku. |
| Izvor | Obrazac na Korisnikovoj web-stranici, putem skrivene kopije koju je unio Korisnik. |
| Pravna osnova (određuje voditelj obrade) | Određuje Korisnik. Naš predloženi tekst za Korisnikova pravila privatnosti temelji kopiju na čl. 6(1)(f) GDPR-a (legitimni interes za pouzdano primanje upita). Korisnik obavještava svoje posjetitelje o tom toku podataka; Ugovor o obradi podataka obvezuje ga na to. |
| Primatelji | Pružatelj e-pošte koji upravlja kontrolnim poštanskim sandučićem (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Kopija ide izravno tamo: stiže samo ako MX zapisi naše domene upućuju na taj sandučić (kontrolni popis prije pokretanja to provjerava); putem prosljeđivanja ne stiže u sandučić. Na stranici domene Korisnik vidi samo vrijeme, pridruživanje i rezultat autentikacije. Ako se rezultat autentikacije pogorša, upozorenje Korisniku i kanalima koje je odabrao navodi domenu pošiljatelja ako ne pripada web-stranici (A.3, 4.1). |
| Treća zemlja | Ovisi o pružatelju e-pošte; vidjeti odjeljak 4. Ugovor s predviđenim pružateljem i osnova prijenosa još nisu dokumentirani. |
| Čuvanje | Nakon uspješne obrade poruka e-pošte označava se za brisanje i uklanja iz sandučića u istom izvršavanju, čak i ako se ne može pridružiti nijednoj domeni. Dohvaćanje se izvršava uz provjeru statusa svakih pet minuta dok je nadzor uključen u administratorskom području (srv/cron_status.php, cfg/zustellung_lib.php). Ako dohvaćanje ili brisanje ne uspije, poruka e-pošte ostaje u sandučiću do sljedećeg uspješnog izvršavanja. Isto dohvaćanje briše pridruživanja u delivery_log nakon 180 dana. Rezultat autentikacije postoji dok postoji domena. |
| Što dokaz potvrđuje | Samo primitak kopije pridružene određenom testnom izvršavanju u kontrolnom poštanskom sandučiću. Ne dokazuje ni primitak kod stvarnog primatelja ni unos u CRM. Izravna potvrda iz HubSpota ne nudi se. |
| Tehničke i organizacijske mjere | Odjeljak 8. Osobito: sadržaj se procjenjuje samo u memoriji; bez pohrane tijela, predmeta ili potpunih adresa pošiljatelja; brisanje neovisno o tome je li pridruživanje uspjelo. |
Provjera dostave jedina je funkcija putem koje do nas stižu stvarne poruke posjetitelja naših Korisnika. Zato je to obrada u ime Korisnika, a ne usluga pod našom vlastitom odgovornošću, i zato je vrijeme provedeno u sandučiću stvarno mjerilo rizika: obično minute; ako je dohvaćanje poremećeno, dok ponovno ne proradi. Kopije ne bi trebale sadržavati posebne kategorije osobnih podataka; to tehnički ne možemo spriječiti jer o tome što posjetitelj piše odlučuje sam posjetitelj.
A.2 Portal za klijente i mjesečno izvješće pretplatnicima
| Polje | Unos |
|---|
| Svrha | Agencija (paket Business) svojim klijentima prikazuje stanje njihovih domena pod vlastitim brendom (portal na nasumičnoj adresi, po izboru s lozinkom, po izboru na vlastitoj poddomeni agencije). Klijent ondje može naručiti mjesečno izvješće e-poštom. Izvješće se šalje u ime agencije. |
| Kategorije ispitanika | Klijenti agencije i njihovi zaposlenici koji naručuju izvješće; osobe koje otvaraju portal. |
| Kategorije osobnih podataka | Pretplatnik: adresa e-pošte, jezik, identifikator potvrde, vrijeme narudžbe i IP adresa u trenutku narudžbe, vrijeme potvrde (double opt-in), vrijeme odjave, posljednji mjesec za koji je izvješće poslano (client_subscribers). Portal: naziv, odabir domena, nasumični identifikator, lozinka samo kao sažetak, osoba koja ga je izradila, vrijeme, opoziv (client_portals). Posjeti portalu pojavljuju se u zapisniku prikaza stranica (B.2). |
| Izvor | Unose sami pretplatnici na portalu. |
| Pravna osnova (određuje voditelj obrade) | Privola pretplatnika, pribavljena postupkom dvostruke potvrde prijave; voditelj obrade je agencija. Ne pišemo nikome tko se nije sam prijavio i potvrdio prijavu. |
| Primatelji | Agencija (vidi svoje pretplatnike); pružatelj e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) za poruku potvrde i izvješće. |
| Treća zemlja | Putem pružatelja e-pošte; vidjeti odjeljak 4. |
| Čuvanje | Noćni postupak brisanja (cfg/fristen_lib.php, dio „pretplatnici portala”): nikad potvrđene narudžbe nakon 30 dana; odjavljeni pretplatnici tri godine nakon odjave, kao dokaz prethodne privole. Potvrđeni pretplatnici koji se nisu odjavili ostaju dok postoji radni prostor agencije. Opozvani portal samo se blokira, ne briše se; njegovi pretplatnici više ne primaju izvješća, ali njihovi podaci ostaju (odjeljak 10). Portali i pretplatnici brišu se odmah zajedno s radnim prostorom (fe_arbeitsbereich_daten_loeschen()). Poslana izvješća ostaju u izlaznoj pošti 30 dana (B.25). |
| Tehničke i organizacijske mjere | Odjeljak 8. Osobito: lozinka portala samo kao sažetak, ograničeni pokušaji pogađanja (deset po portalu i IP adresi, 50 po portalu u 15 minuta); odjava jednim klikom u svakoj poruci e-pošte; portal prikazuje samo status i ključne brojke, bez pojedinačnih nalaza s dokazima. |
A.3 Korisnikovi primatelji upozorenja, osobe koje potvrđuju primitak i zadužene osobe
| Polje | Unos |
|---|
| Svrha | Obavijesti o pogreškama i promjenama na odredišta koja Korisnik postavi za domenu: e-pošta, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram. Za svako odredište odmah ili objedinjeno dnevno ili tjedno, uz dodatna odredišta samo za eskalacije. Svaka obavijest o problemu postaje incident čiji primitak primatelj može potvrditi putem poveznice. Za nadzirane obrasce Korisnik može odrediti odgovornu osobu i rok. |
| Kategorije ispitanika | Zaposlenici i pružatelji usluga Korisnika koje Korisnik unese kao odredište upozorenja ili imenuje kao zadužene osobe; osobe koje potvrđuju primitak incidenta. Članovi tima s vlastitim računom pojavljuju se i u dijelu B. |
| Kategorije osobnih podataka | Odredište upozorenja: kanal, adresa odredišta (adresa e-pošte, webhook ili adresa razgovora, ID Telegram razgovora), odabrani događaji, način dostave, tajna za potpisivanje webhookova, posljednja dostava i posljednja pogreška (alerts). Zapisnik dostave: odredište, događaji, status, pogreška, vrijeme (alert_log). Red čekanja sažetaka: retci obavijesti i poveznica do dostave (alert_queue). Incident: naslov, retci obavijesti, poveznica, identifikator potvrde primitka, vrijeme i ime ili adresa e-pošte osobe koja potvrđuje primitak kako su uneseni u obrazac, inače adresa prijavljenog člana (alert_incidents). Pokušaji dostave eskalacije po incidentu i odredištu: broj pokušaja (najviše pet), vremena posljednjeg i sljedećeg pokušaja te uspjeha, referenca na poruku e-pošte u izlaznoj pošti, pogreška (tablica alert_escalation_deliveries). Zaduženje: račun odgovorne osobe i rok (u monitored_forms). |
| Sadržaj obavijesti | Domena, događaj, kratko objašnjenje i poveznica na stranicu domene. Bez sadržaja poruka posjetitelja. |
| Izvor | Unosi Korisnik; osoba koja potvrđuje primitak sama unosi svoje ime; ID Telegram razgovora nastaje kada primatelj pritisne „Start” u botu (B.32). |
| Pravna osnova (određuje voditelj obrade) | Određuje Korisnik; u pravilu organizacija Korisnikova vlastitog poslovanja (čl. 6(1)(b) ili (f) GDPR-a u odnosu na Korisnikove zaposlenike i pružatelje usluga). |
| Primatelji | Operatori odabranih kanala; vidjeti 4.1. Upozorenja e-poštom putem pružatelja e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). |
| Treća zemlja | Ovisno o odabranom kanalu; više pružatelja ima sjedište u SAD-u, Telegram izvan EU-a bez odluke o primjerenosti. Vidjeti 4.1. |
| Čuvanje | Zapisnik dostave nakon 90 dana (noću, fe_alert_log_aufraeumen() iz srv/cron_status.php). Obavijesti sažetaka 30 dana nakon dostave (cfg/kanal_lib.php, pri svakoj dostavi sažetka). Incidenti dok nisu riješeni; riješeni 180 dana nakon rješavanja (cfg/vorfall_lib.php, postupak eskalacije), zajedno s njihovim pokušajima dostave eskalacije. Odredišta upozorenja i zaduženja dok ih Korisnik ne izbriše ili zajedno s domenom. |
| Tehničke i organizacijske mjere | Odjeljak 8. Osobito: webhookovi potpisani zasebnom tajnom po odredištu; potvrda primitka tek nakon klika (POST), kako pretpregledi poveznica u programima za razgovor ne bi ništa pokrenuli; upozorenja tijekom razdoblja održavanja samo se bilježe, ne šalju se. |
A.4 Osobe slučajno vidljive na provjeravanim Korisnikovim stranicama i snimkama zaslona
| Polje | Unos |
|---|
| Svrha | Provjera domena na Korisnikovu računu (skeniranje, nadzor, aktivna provjera) čita Korisnikove javne stranice i izrađuje snimke zaslona obrazaca. Ono što sama stranica prikazuje može se odnositi na osobe koje nemaju nikakve veze s provjerom. Ti podaci nastaju usputno; nisu svrha provjere. |
| Kategorije ispitanika | Osobe čije se ime, fotografija ili podaci za kontakt pojavljuju na provjeravanoj stranici (kontaktna osoba uz obrazac, fotografije tima na početnoj stranici, podaci u impresumu). |
| Kategorije osobnih podataka | Snimke zaslona: vidljivo područje početne stranice, svaki vidljivi obrazac kao izrez i slika sljedeće stranice nakon aktivnog probnog slanja; pohranjuju se kao datoteke izvan web-direktorija, uz samo referencu u bazi podataka (scan_screenshots). Struktura obrasca: adresa stranice, selektor, nazivi polja, vrste polja, oznake polja, zastavice obveznosti i vidljivosti, oznake gumba za slanje (forms, polje „mapa polja”); bez vrijednosti polja. Skener čita početak skrivenih polja (do 24 znaka) i podatkovnih atributa (do 60 znakova) samo tijekom provjere kako bi prepoznao vremenske oznake i tokene; pohranjuje se samo rezultat. Nalazi s dokazima (findings), sažetak s naslovima stranica (scans). Ako se u obrascu kao primatelj pojavljuje adresa e-pošte, pohranjuje se samo njezina domena, nikada adresa. |
| Izvor | Javne stranice Korisnikove domene koje dohvaća skener. |
| Pravna osnova (određuje voditelj obrade) | Određuje Korisnik za sadržaj svoje vlastite web-stranice. Za nas je obrada dio naručene provjere. |
| Primatelji | Korisnik; kod agencija njihov klijent putem portala ili izvješća pod vlastitim brendom; svatko tko primi poveznicu na izvješće (izvješća na nasumičnim adresama, nisu u tražilicama). Ako vrsta obrasca nije jasna, lokalni jezični model na našem vlastitom poslužitelju prima strukturu obrasca s naslovom stranice, adresom stranice i vidljivim tekstom obrasca (do 400 znakova) radi razvrstavanja; ne prima slike. |
| Treća zemlja | Nema. |
| Čuvanje | Rezultati provjera domene najviše 13 mjeseci; posljednja dovršena provjera po domeni ostaje (noćni postupak brisanja, dio „stari rezultati provjera”). Obrasci, nalazi, reference na slike i slikovne datoteke brišu se zajedno s rezultatom provjere. S domenom ti se podaci brišu odmah (lanac brisanja u B.15; iznimke u odjeljku 6.4). |
| Ograničenja maskiranja | Snimke zaslona potpune provjere ništa ne maskiraju: prikazuju ono što stranica prikazuje svakom posjetitelju. Polja obrasca prazna su pri dohvaćanju jer skener ništa ne unosi; unaprijed ispunjene vrijednosti bile bi vidljive. Iza prijave ne izrađuju se snimke zaslona (A.5). Slike provjera u pregledniku maskiraju polja za unos (A.6). |
| Tehničke i organizacijske mjere | Odjeljak 8. Osobito: slike se mogu dohvatiti samo putem izvješća, a identifikator tuđe slike vraća „nije pronađeno”; izvješća s oznakom noindex; svaka provjera radi u vlastitom izoliranom kontejneru. |
Isti podaci nastaju pri provjerama bez računa (besplatna provjera, istraživanje, provjera potencijalnog klijenta). Tamo nema Korisnika u čije ime djelujemo; ti se slučajevi stoga pojavljuju u dijelu B (B.5, B.7, B.8).
A.5 Pristupni podaci testnog računa za skeniranje iza prijave
| Polje | Unos |
|---|
| Svrha | Čitanje obrazaca koji se pojavljuju tek nakon prijave (korisničko područje, područje za članove). Skener se prijavljuje testnim računom koji je Korisnik izradio na svojoj web-stranici i čita navedene stranice. Osim obrasca za prijavu ništa ne šalje, ondje ne provodi aktivni test, ne izrađuje snimke zaslona i ne posjećuje adrese za odjavu, brisanje ili otkazivanje. Ako obrazac za prijavu ima CAPTCHA-u, zaustavlja se; CAPTCHA provjere ne zaobilaze se. |
| Preduvjet | Verificirana domena, plaćeni paket, uloga vlasnika ili administratora, izričita potvrda da je račun testni račun. Najviše pet stranica, sve na istoj domeni. |
| Kategorije ispitanika | Osoba na čije ime glasi testni račun (idealno nitko; Korisnik bi trebao koristiti funkcijski račun); osobe čiji se podaci pojavljuju na stranicama iza prijave. |
| Kategorije osobnih podataka | Korisničko ime i lozinka testnog računa, samo šifrirani; naznaka korisničkog imena (prvi znak i duljina); adresa za prijavu, popis stranica, nazivi polja za prijavu, pokazatelj uspjeha, osoba koja ga je izradila, vremena, posljednji rezultat kao kratki kod (domain_logins). Za tekući zadatak kopija šifrata (polje „paket za prijavu” u scan_jobs). Sa stranica iza prijave: struktura obrasca kao u A.4, bez snimki zaslona i bez kolačića. |
| Izvor | Unosi Korisnik na računu. |
| Pravna osnova (određuje voditelj obrade) | Određuje Korisnik. Korisnik jamči da ima pravo koristiti testni račun. |
| Primatelji | Nema. Ni Korisnik ni podrška ni programsko sučelje ne mogu očitati pristupne podatke; sučelje prikazuje samo naznaku korisničkog imena. |
| Treća zemlja | Nema. |
| Zaštita pristupnih podataka | Korisničko ime i lozinka šifriraju se odmah pri pohrani javnim ključem poslužitelja za skeniranje (X25519, HKDF-SHA256, AES-256-GCM; domena je vezana kao pridruženi podatak pa se šifrat ne može pridružiti drugoj domeni). Samo poslužitelj za skeniranje ima privatni ključ. Web-poslužitelj, baza podataka i sigurnosne kopije sadrže samo šifrat; ni mi ga ondje ne možemo dešifrirati. Poslužitelj za skeniranje dešifrira samo za vrijeme izvršavanja, prosljeđuje pristupne podatke u izolirani kontejner za provjeru samo putem standardnog ulaza, odmah briše kopiju u zadatku i ne zapisuje je ni u jedan rezultat, zapisnik ili tekst pogreške. Na putu do Korisnikove web-stranice zaštićeni su samo šifriranjem te web-stranice; ograničenja tog prijenosa navedena su u odjeljku 10. |
| Čuvanje | Pohranjeni pristupni podaci dok ih Korisnik ne izbriše. Pri brisanju šifrat se prepisuje nasumičnim podacima iste duljine i redak se briše; zadaci na čekanju čiste se (fe_login_loeschen()). S domenom redak se briše putem stranog ključa. Poslužitelj za skeniranje čisti kopije u zadacima nakon izvršavanja; sve što preostane (prekinut zadatak, nedostupan poslužitelj za skeniranje) čisti provjera statusa najkasnije nakon jednog sata (fe_login_aufraeumen(), dio „login_jobs”). Sigurnosne kopije baze podataka sadrže šifrat do isteka kopije nakon 14 dana. |
| Tehničke i organizacijske mjere | Odjeljak 8. Osobito: asimetrično šifriranje s odvojenim ključevima; popis blokiranih putanja za odjavu i brisanje; bez snimki zaslona iza prijave; funkcija samo za plaćene pakete i verificirane domene; svaka promjena u zapisniku aktivnosti (bez pristupnih podataka). |
Namjerno nismo izradili nikakav način pohrane pristupnih podataka za Korisnikov poslužitelj, administratorsko područje CMS-a ili račune hostinga. Testni račun posjetiteljski je račun na Korisnikovoj web-stranici, a ne pristup Korisnikovu sustavu.
A.6 Konfigurirani tijekovi obrazaca, provjere u pregledniku i neovisna sonda
| Polje | Unos |
|---|
| Svrha | Kroz nadzirani obrazac prolazi se u stvarnom pregledniku (Chromium, WebKit ili oba) do trenutka neposredno prije slanja: učitava se stranica, izvršavaju prethodni klikovi (najviše pet, nikada na polje za unos ili gumb za slanje), polja se ispunjavaju prepoznatljivo sintetičkim vrijednostima (kao što je adresa s rezerviranim nastavkom .invalid), napreduje se kroz višekoračne obrasce. Provjera u pregledniku ništa ne šalje; slanje je tehnički blokirano u pregledniku. Dodatno se provode mjerenja vremena i vizualne usporedbe obrasca. |
| Kategorije ispitanika | Kao u A.4 (osobe vidljive na stranici s obrascem); Korisnikovi zaposlenici uneseni kao zadužene osobe (A.3). |
| Kategorije osobnih podataka | Konfiguracija: adresa obrasca, selektori, ulazna adresa, koraci klikanja, odabir preglednika, oznaka, kritičnost, zaduženje, rok (monitored_forms). Rezultati po izvršavanju: stanje, tehnički razlog neuspjeha, pročišćene poruke o pogreškama, mrežna i vremenska mjerenja, slika obrasca kao JPEG od najviše 32 KB s maskiranim poljima za unos (form_browser_runs). Opažanja po provjeri (form_observations), vremenski nizovi (form_performance). Zadaci s popisom ciljeva (polja „targets” i „result” u scan_jobs). |
| Testni pristup | Ako je Korisnik pohranio testni račun (A.5), potpuna provjera koristi ga i za konfigurirane tijekove obrazaca. Prema izmjerenom kodu samostalne provjere u pregledniku između dviju potpunih provjera rade bez testnog računa. |
| Neovisna sonda | Predviđena je druga kontrolna točka na drugoj lokaciji koja bi provodila dodatnu provjeru prije upozorenja. Primala bi domenu, pročišćenu konfiguraciju i identifikator zadatka, bez unosa posjetitelja i bez pristupnih podataka. Trenutačno nije postavljena (isključena prema zadanim postavkama). Bez sonde nema dokaza s druge lokacije; upozorenje se tada temelji na našem vlastitom mjerenju. |
| Izvor | Konfigurira Korisnik; rezultati iz dohvaćanja Korisnikove stranice. |
| Pravna osnova (određuje voditelj obrade) | Određuje Korisnik za sadržaj svoje web-stranice i za odgovornosti svojih zaposlenika. |
| Primatelji | Korisnik; ako je sonda postavljena, njezin operator (trenutačno nitko). |
| Treća zemlja | Nema. |
| Čuvanje | Rezultati izvršavanja u pregledniku, dovršeni zadaci preglednika i vremenski nizovi nakon 13 mjeseci (noćni postupak brisanja, dijelovi „browser_runs”, „browser_jobs”, „form_performance”). Konfiguracije do brisanja domene (pojedinačno se mogu promijeniti ili isključiti, ne izbrisati); s domenom brišu se, zajedno s izvršavanjima, opažanjima i vremenskim nizovima, putem stranih ključeva. |
| Što mjerenje dokazuje | Vremena i stanja iz našeg preglednika za provjeru. Ne mjere iskustvo stvarnih posjetitelja i ne dokazuju ni stope dovršavanja ni izgubljene upite. |
| Tehničke i organizacijske mjere | Odjeljak 8. Osobito: slanje tehnički spriječeno; samo adrese na istoj domeni; maskirane slike; izolirani kontejner za provjeru. |
A.7 „Fix it for me” – zalijepljeni kod obrasca
| Polje | Unos |
|---|
| Svrha | Korisnik lijepi kod svojeg obrasca; jezični model na našem vlastitom hardveru ugrađuje zaštitni modul. Vraćaju se izmijenjena datoteka, zakrpa, rezultat provjere sintakse i naznaka je li poziv provjere doista ugrađen. Bez zalijepljenog koda usluga isporučuje gotov modul s nazivima polja iz posljednjeg skeniranja. |
| Kategorije ispitanika | Osobe čiji su podaci slučajno u zalijepljenom kodu (kao što su adresa primatelja, imena u komentarima, pristupni podaci poslužitelja e-pošte). |
| Kategorije osobnih podataka | Zalijepljeni kod, najviše 30.000 znakova. U bazi podataka samo unos u zapisniku aktivnosti (radnja „fix_ai” s radnim prostorom i vremenom), koji se uračunava u dnevno ograničenje od trenutačno deset poziva po radnom prostoru. |
| Izvor | Lijepi Korisnik. |
| Pravna osnova | Izvršavanje ugovora s Korisnikom (čl. 6(1)(b) GDPR-a) za sam kod; za podatke trećih strana koji se u njemu slučajno nalaze osnovu određuje Korisnik. |
| Primatelji | Nema. Jezični model radi na našem vlastitom poslužitelju za skeniranje u internoj mreži; nema vanjske AI usluge, čak ni kao rezervne mogućnosti. |
| Treća zemlja | Nema. |
| Čuvanje | Kod se ne pohranjuje. Za provjeru sintakse izrađuje se privremena datoteka i odmah nakon toga briše. Unos u zapisniku aktivnosti briše se nakon 365 dana. |
| Napomena Korisniku | Kod koji sadrži lozinke, API ključeve ili osobne podatke trebalo bi očistiti prije lijepljenja. Ne provjeravamo sadržaj. |
| Tehničke i organizacijske mjere | Odjeljak 8. Osobito: samo vlasnici i administratori na plaćenim paketima; zalijepljeni kod prosljeđuje se modelu označen kao podatak i nikada se ne izvršava; bez prijenosa na poslužitelje trećih strana. |
A.8 Vlastiti brend i kontaktne osobe agencije
| Polje | Unos |
|---|
| Svrha | Izvješća, kratka izvješća, evidencije dokaza i korisnički portal agencije (paket Business) prikazuju se pod njezinim brendom, a na zahtjev i na vlastitoj poddomeni agencije. |
| Kategorije ispitanika | Kontaktne osobe u agenciji čije se ime ili kontaktni podaci pojavljuju u retku s kontaktnim podacima. |
| Kategorije osobnih podataka | Naziv tvrtke, mrežna stranica, redak s kontaktnim podacima, napomena klijentu, naglasna boja, izgled, datoteka logotipa, prekidač za navođenje usluge formexposed, vlastita domena s identifikatorom i statusom provjere (workspace_branding). |
| Izvor | Unosi agencija. |
| Pravna osnova | Izvršavanje ugovora s agencijom (čl. 6(1)(b) GDPR-a). Ako se u retku s kontaktnim podacima navode zaposlenici agencije, agencija određuje pravnu osnovu. |
| Primatelji | Svatko kome agencija ustupi izvješće, kratko izvješće ili poveznicu na portal. |
| Treća zemlja | Nema. |
| Čuvanje | Dok ih agencija ne promijeni; brend i datoteka logotipa brišu se zajedno s radnim prostorom (fe_arbeitsbereich_daten_loeschen()). Vlastita domena čija DNS provjera ne uspijeva sedam dana isključuje se. Vlastita domena prema zadanim je postavkama isključena. |
| Tehničke i organizacijske mjere | Odjeljak 8. |
A.9 Brojači, pokazatelji statusa i pogreške polja iz dodatka i proširenja
| Polje | Unos |
|---|
| Svrha | Dodatak za WordPress i proširenje za TYPO3 jednom dnevno šalju brojčane podatke o obrascima na povezanoj mrežnoj stranici: blokirane predaje po razlogu, predaje, poslane i neuspjele poruke e-pošte, pokazatelje statusa postavki obrazaca, pohranjene upite po izvoru i roku čuvanja. Neobvezno, prema zadanim postavkama isključeno: događaji obrazaca i kategorije pogrešaka polja po položaju polja. Ti podaci služe za prikaz „Zaštita u brojkama”, mjesečno izvješće, upozorenje o izostanku aktivnosti i obavijesti o rizičnim postavkama. |
| Klasifikacija | Brojčani podaci osmišljeni su tako da ne opisuju nijednu osobu. Navodimo ih u dijelu A jer nastaju iz događaja na Korisnikovoj mrežnoj stranici koje pokreću njegovi posjetitelji; prema našem mišljenju osobni su podaci najviše u graničnim slučajevima (mrežna stranica s vrlo malo predaja određenog dana). Sam prijenos (ključevi, verzije, host) opisan je u dijelu B (B.20). |
| Kategorije ispitanika | Posjetitelji Korisnikove mrežne stranice koji predaju obrazac. |
| Kategorije osobnih podataka | Dnevni brojčani podaci po hostu: ukupan broj blokiranih predaja i broj po razlogu, predaje, poslane i neuspjele poruke e-pošte, kategorija pogreške slanja e-pošte (samo jedna od četiriju kategorija, nikad tekst pogreške jer može sadržavati adrese primatelja), broj odgovora reCAPTCHA, izbrisani i oslobođeni upiti (plugin_stats). Status: verzije s fiksnog popisa dodataka za obrasce, CAPTCHA i e-poštu, pokazatelji postavki kao brojevi, rokovi čuvanja (plugin_health). Obavijesti o promjenama: naziv i verzija ažuriranog dodatka (plugin_changes). Neobvezno: brojači po obrascu i danu s kategorijama pogrešaka po položaju polja (form_metrics). Nikad: uneseni sadržaj, nazivi polja, lozinke, datoteke, adrese e-pošte, imena, IP adrese ili trajni identifikatori posjetitelja. |
| Izvor | Dodatak na Korisnikovoj mrežnoj stranici, putem programskog sučelja uz upotrebu tajnog ključa za povezivanje mrežne stranice. |
| Pravna osnova (određuje voditelj obrade) | Određuje Korisnik; Korisnik odlučuje hoće li aktivirati neobvezne brojače i kako će obavijestiti svoje posjetitelje. |
| Primatelji | Korisnik. Domene iz poveznica u blokiranim porukama ulaze u kolektivnu zaštitu (B.21). |
| Treća zemlja | Nema. |
| Čuvanje | Dnevni brojčani podaci, obavijesti o promjenama i brojači obrazaca brišu se nakon 13 mjeseci (noćni postupak brisanja, dijelovi „plugin_stats” i „form_metrics”). Pokazatelji statusa prepisuju se pri svakom izvješćivanju. Svi podaci dodatka za određeni host brišu se čim se nijedna domena u sustavu više ne odnosi na taj host (odmah pri brisanju posljednje domene; stari podaci noću, dio „orphan_hosts”). |
| Što brojčani podaci dokazuju | Ono što je dodatak prebrojio. Ne dokazuju ni stope dovršavanja ni izgubljene upite. |
| Tehničke i organizacijske mjere | Odjeljak 8. Posebno: prihvaćanje samo uz par ključeva vezan uz mrežnu stranicu; prihvaćaju se samo poznati ključevi i brojevi, sve ostalo se odbacuje; dani izvan razdoblja od 14 dana odbijaju se. |
A.10 Razgraničenje: što ostaje isključivo na Korisnikovoj mrežnoj stranici
Sljedeće funkcije dodatka za WordPress i proširenja za TYPO3 obrađuju podatke isključivo na Korisnikovu poslužitelju. Ti podaci ne dolaze do nas i nemamo im pristup. Odgovoran je isključivo operator mrežne stranice; on odlučuje o aktivaciji, rokovima čuvanja i načinu obavještavanja svojih posjetitelja. U tu svrhu dodatak predlaže odlomke za operatorova pravila privatnosti.
| Funkcija | Što se obrađuje lokalno | Čuvanje na Korisnikovoj strani |
|---|
| Karantena | Zaustavljene predaje s razlogom, koje se mogu osloboditi slanjem e-poštom na adresu mrežne stranice | 14 dana |
| Sigurnosna mreža | Predaje za koje slanje e-pošte iz obrasca nije uspjelo, radi ponovnog slanja (prema zadanim postavkama uključeno) | 30 dana |
| Računski zadatak umjesto reCAPTCHA | Računski zadatak u posjetiteljevu pregledniku, bez usluge treće strane (prema zadanim postavkama isključeno) | – |
| Postavke čuvanja | Brisanje pohranjenih upita u dodacima za obrasce nakon razdoblja koje odabere operator (prema zadanim postavkama isključeno) | prema postavkama |
| Ograničavanje učestalosti | kratkotrajan identifikator izveden iz IP adrese koji se ne prenosi nama | kratkotrajno |
| Lokalni dnevni brojači | Vrijednosti brojača prije prijenosa | najviše 14 dana |
| Snimač za administratore | tehnički selektori i navigacijski koraci u pohrani sesije preglednika prijavljenog administratora; uneseni sadržaj ne čita se. Prenosi se samo odabrana konfiguracija (tada A.6) | najviše 15 minuta |
| Pomoć posjetiteljima | može se zasebno aktivirati; ne pohranjuje nacrte i ne šalje ponovno automatski | – |
| Praćenje novih pravila protiv neželjene pošte | dodatna podudaranja broje se lokalno, bez automatske aktivacije | sedam dana |
A.11 Zaštita obrazaca (formconfirmed)
| Polje | Unos |
|---|
| Svrha | Procjena slanja putem obrazaca na web-mjestima Korisnika radi prepoznavanja automatiziranih slanja: izdavanje i provjera zadataka (računski dokaz), jednokratni kontrolni tokeni, vrijeme ispunjavanja, polje-zamka, učestali zahtjevi; na zahtjev Korisnika procjena teksta poruke s pomoću jezičnog modela. Samo za Korisnike koji uključe zaštitu obrazaca. |
| Kategorije ispitanika | Posjetitelji web-mjesta Korisnika koji otvore stranicu sa zaštićenim obrascem ili ga pošalju. |
| Kategorije osobnih podataka | IP adresa (pohranjena samo skraćena i kao hash s ključem koji se mijenja svaki dan), adresa i domena stranice, vremenske oznake i vrijeme ispunjavanja, polje-zamka ispunjeno da/ne, identifikator preglednika u zapisniku web-poslužitelja; samo kad je uključena provjera sadržaja, tekst poruke (samo u radnoj memoriji). |
| Izvor | Preglednik posjetitelja (zadatak, kontrolni token); poslužitelj Korisnika (zahtjev za provjeru, prema potrebi tekst). |
| Primatelji | Korisnik (ocjena, radnja, razlozi). Nema drugih; za ovu obradu nema podizvršitelja obrade. |
| Treća zemlja | Nijedna. |
| Rok čuvanja | Hash identifikator 1 sat; iskorišteni kontrolni tokeni najviše 11 minuta; rezultati provjera bez IP adrese i bez teksta 30 dana; dnevne brojke 400 dana; zapisnik web-poslužitelja 14 dana; tekst se ne pohranjuje. |
| TOM | Odjeljak 8; dodatno skraćivanje i hash s dnevnim ključem, potpisani zadaci, jednokratna upotreba, jezični model na vlastitom hardveru bez bilježenja teksta. |
4. Dio A – primatelji, podizvršitelji obrade i prijenosi u treće zemlje
U sljedećoj tablici navedeni su primatelji koje sami angažiramo i koji mogu primati podatke iz dijela A. Mjerodavan popis koji se stalno ažurira nalazi se na stranici Podizvršitelji obrade; ako se razlikuje od ove tablice, to je utvrđena nepravilnost, a ne pitanje oblikovanja.
| Primatelj | Što prima | Treća zemlja | Osnova | Status |
|---|
| Namecheap, Inc. (Private Email), Phoenix, Arizona, USA | Kontrolni poštanski sandučić provjere dostave (A.1); slanje upozorenja e-poštom (A.3), potvrda i izvješća pretplatnicima portala (A.2) | Mjesto obrade još treba provjeriti; pogledajte stranicu „Podizvršitelji obrade” | Ugovor o obradi podataka; osnovu prijenosa još treba provjeriti | Otvoreno. Odgovarajući ugovor, stvarna mjesta obrade i osnova prijenosa još nisu dokumentirani. Ova evidencija ne potvrđuje ni certifikaciju ni sklopljen ugovor. |
| Namecheap, Inc. (registrar, DNS; prosljeđivanje e-pošte do uspostave poštanskog sandučića) | Do uspostave poštanskog sandučića, opća dolazna pošta na adrese naše domene; ne i kopije iz provjere dostave, koje stižu tek kad MX zapisi upućuju izravno na poštanski sandučić (A.1) | SAD | treba provjeriti: certifikacija prema Okviru EU-a i SAD-a za privatnost podataka ili standardne ugovorne klauzule | U upotrebi; osnova otvorena. |
| Naš vlastiti poslužitelj za skeniranje s lokalnim jezičnim modelom | Struktura obrasca za klasifikaciju (A.4), zalijepljeni kôd (A.7), dešifrirani testni pristup samo tijekom izvođenja (A.5) | – | Njime upravljamo mi, nije treća strana | U upotrebi. |
| Neovisna sonda na drugoj lokaciji | Domena, pročišćena konfiguracija, identifikator zadatka (A.6) | ovisno o lokaciji | treba utvrditi prije puštanja u rad | Nije uspostavljena. |
Hosting: nema treće strane. Aplikacija, baza podataka, snimke zaslona i sigurnosne kopije nalaze se na našim vlastitim poslužiteljima u Poljskoj. Ako prijeđemo u podatkovni centar ili na pružatelja usluga u oblaku, ovaj se odlomak mora prepisati.
4.1 Kanali upozorenja koje odabire Korisnik
Uz primatelje koje angažiramo postoje i kanali koje Korisnik odabire za svoja upozorenja (A.3). Naš poslužitelj pokreće prijenos; Korisnik određuje odredište i pružatelja usluge. Odabir kanala ne oslobađa nas vlastitih obveza kao izvršitelja obrade. Za svakog pružatelja usluge moraju se utvrditi uloga, ugovor i zaštitne mjere potrebne za treće zemlje; za usluge razgovora to još nije dovršeno (otvoreno pitanje za pravnu provjeru).
| Kanal | Što se šalje | Sjedište pružatelja usluge |
|---|
| E-pošta | Domena, događaj, objašnjenje, poveznica; na unesenu adresu | putem Namecheap, Inc. (Private Email), Phoenix, Arizona, USA |
| Webhook na slobodno odabranu adresu | Događaj kao JSON (domena, događaji, retci, poveznica, vremenska oznaka), potpisan tajnim ključem odredišta | određuje Korisnik |
| Slack, Discord, Microsoft Teams, Google Chat | ista obavijest kao poruka razgovora na unesenu webhook adresu | pretežno SAD |
| Telegram | odredište koje odabire Korisnik; poruku šaljemo putem našeg bota na povezani ID razgovora | izvan EU-a, bez odluke o primjerenosti; osnova prijenosa otvoreno je pitanje za pravnu provjeru |
Ni u kojem se slučaju ne šalje sadržaj poruke posjetitelja. Obavijesti sadrže domenu, događaj i poveznicu.
5. Dio B – čl. 30(1): obrada pod našom vlastitom odgovornošću
Voditelj obrade za sve u ovom dijelu: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poljska, contact@lukaswojcik.com. Predstavnik nije potreban (poslovni nastan u Uniji). Službenik za zaštitu podataka nije imenovan (odjeljak 9). Tehničke i organizacijske mjere: odjeljak 8 i stranica Tehničke i organizacijske mjere. Način na koji ispitanici ostvaruju svoja prava opisan je na stranici Pristup, brisanje i Vaša druga prava; vlasnici računa mogu sami preuzeti svoje podatke kao datoteku (Postavke).
Kad se oslanjamo na legitimne interese (čl. 6(1)(f) GDPR-a), navodimo interes i razlog zbog kojeg manje zadiruće sredstvo nije dovoljno. Odvagivanje je naša procjena; dio je pravne provjere.
B.1 Posjetitelji naše mrežne stranice – zapisnici mrežnog poslužitelja
| Polje | Unos |
|---|
| Svrha | Rad i sigurnost mrežne stranice i aplikacije: isporuka, otklanjanje poteškoća, otkrivanje napada i preopterećenja. |
| Kategorije ispitanika | Svi koji otvore stranicu na formexposed.com ili form.exposed, uključujući posjetitelje Korisnikovih stranica čiji preglednik učitava sliku naše oznake (B.18), primatelje koji otvore poveznicu na izvješće ili potvrdu te mrežne stranice čiji dodatak poziva naše sučelje. |
| Kategorije osobnih podataka | Puna IP adresa, vrijeme, zatražena adresa, statusni kôd, preneseni bajtovi, stranica s koje se dolazi (referrer), identifikator preglednika (user agent). |
| Mjesto pohrane | Zapisnici pristupa prethodnog proxyja i mrežnog poslužitelja kao datoteke na mrežnom poslužitelju, a ne u bazi podataka. |
| Izvor | Preglednik ili program koji šalje zahtjev. |
| Pravna osnova | Čl. 6(1)(f) GDPR-a. Interes: siguran i neprekinut rad. Odvagivanje: bez pune adrese nije moguće povezati ponovljene zahtjeve istog pošiljatelja ni odbiti napade; skraćena adresa ne omogućuje takvo razlikovanje. Zapisnici se ne kombiniraju s drugim podacima i brišu se nakon kratkog razdoblja. |
| Primatelji | Nema. |
| Treća zemlja | Nema. |
| Čuvanje | 14 dana: dnevna rotacija s 14 generacija, zatim prepisivanje (sistemska usluga rotacije zapisnika, a ne noćni postupak brisanja aplikacije). |
| Tehničke i organizacijske mjere | Odjeljak 8. |
B.2 Zapisnik pregleda stranica aplikacije
| Polje | Unos |
|---|
| Svrha | Sigurnost i otkrivanje zloupotrebe (tko što traži i koliko često), sljedivost pristupa računu, jednostavna statistika upotrebe bez analitičke usluge. |
| Kategorije ispitanika | Svi posjetitelji mrežne stranice i korisnici aplikacije pri stvarnim pregledima stranica (bez pozadinskih zahtjeva i predaja obrazaca). |
| Kategorije osobnih podataka | Puna IP adresa, država izvedena iz nje pri zapisivanju (lokalna geografska baza podataka, bez upita trećoj strani), ID računa za prijavljene korisnike, zatražena adresa i stranica s koje se dolazi (pristupni tokeni u njima, primjerice oni iz poveznica na izvješća ili portal, maskirani), identifikator preglednika i iz njega izvedeni vrsta uređaja, operacijski sustav i preglednik, jezik, vrijeme (access_logs). Tijekom „Prikaza kao Korisnik” (B.14) ID računa ne postavlja se kako se pregledi stranica koje obavlja podrška ne bi pojavili u Korisnikovu zapisniku. |
| Izvor | Zahtjev preglednika. |
| Pravna osnova | Čl. 6(1)(f) GDPR-a. Interes: sprečavanje zloupotrebe i sljedivost. Odvagivanje: kao B.1; rok čuvanja dulji je jer obrasci zloupotrebe postaju vidljivi tijekom više tjedana. Treba li skratiti IP adresu ili rok čuvanja, otvoreno je pitanje za pravnu provjeru. |
| Primatelji | Nema. Vlasnici računa dobivaju svoje vlastite preglede stranica u izvozu podataka. |
| Treća zemlja | Nema. |
| Čuvanje | 60 dana (noću između 03:00 i 03:05, srv/cron_status.php, postavka „zapisnik pregleda stranica”). |
| Tehničke i organizacijske mjere | Odjeljak 8. IP adresa preuzima se iz proslijeđenog zaglavlja samo ako zahtjev dolazi od našeg vlastitog prethodnog proxyja, i tada samo unos koji je taj proxy dodao; inače bi svatko mogao proizvoljno navesti svoje podrijetlo. |
B.3 Kolačići i pohrana u pregledniku
| Polje | Unos |
|---|
| Svrha | Tehnički nužna pohrana: sesija, zaštita od krivotvorenja zahtjeva među mrežnim stranicama (CSRF), brojanje za ograničenja provjera bez računa, prijava, zadržavanje prijave na zahtjev, svijetli ili tamni prikaz. |
| Kategorije ispitanika | Posjetitelji i korisnici stranice formexposed.com. |
| Kategorije osobnih podataka | Kolačić sesije bpid (identifikator sesije; prestaje vrijediti zatvaranjem preglednika; HttpOnly, SameSite=Lax, Secure putem HTTPS-a). Kolačić bp_remember samo nakon odabira „Ostani prijavljen” (selektor i verifikator; 30 dana). Lokalna pohrana bp_theme (svijetlo, tamno ili sustav). U administracijskom području dodatno lokalne postavke prikaza operatora. Za ograničenja se iz identifikatora sesije izračunava sažetak; sam identifikator ne pohranjuje se. |
| Ne postavljaju se | Nema analitičkih, oglašivačkih ni kolačića za praćenje. Partnerski program (B.33) radi bez kolačića. Slika oznake na Korisnikovim stranicama ne postavlja kolačiće (B.18). reCAPTCHA može postaviti Googleove kolačiće pri predaji zaštićenog obrasca (B.23). |
| Pravna osnova | Pristup krajnjem uređaju: strogo nužan za uslugu koju korisnik traži (§ 25(2) br. 2 TDDDG-a, njemačkog Zakona o zaštiti podataka u telekomunikacijskim digitalnim uslugama; čl. 399(3) PKE-a, poljskog Zakona o elektroničkim komunikacijama (Prawo komunikacji elektronicznej)). Obrada: čl. 6(1)(b) GDPR-a (račun) i (f) (sigurnost, ograničenja). |
| Primatelji | Nema. |
| Treća zemlja | Nema. |
| Čuvanje | Sesija; 30 dana za token trajne prijave. Noćni postupak briše istekle tokene trajne prijave u bazi podataka (remember_tokens); pri odjavi, promjeni lozinke i opozivu uređaja odmah. |
| Tehničke i organizacijske mjere | Odjeljak 8. |
B.4 Besplatna provjera bez računa – prihvaćanje, ograničenja i nadzor zloupotrebe
| Polje | Unos |
|---|
| Svrha | Svatko može zatražiti provjeru domene bez računa. Kako polje za unos ne bi postalo oružje protiv tuđih mrežnih stranica, primjenjuju se višestupanjska ograničenja: jedna anonimna provjera po domeni u sedam dana (nakon toga isto izvješće), ograničenja po IP adresi i sesiji u 24 sata, dnevno ograničenje za cijeli sustav, blokiranje vrlo novih domena, popis blokiranih domena i izuzimanje iz provjera, samo javne adrese. Uočljivi obrasci bilježe se i prijavljuju operatoru. Ograničenja po IP adresi, sesiji i cijelom sustavu, od kojih se svako broji zasebno, primjenjuju se i na provjeru iz dodatka bez računa (dodatak s vezanim parom ključeva broji se po mrežnoj stranici umjesto po adresi) te na izuzimanje iz provjera (B.30); besplatni alat za zaglavlja (B.9) ima vlastita ograničenja po IP adresi i danu te za cijeli sustav. |
| Kategorije ispitanika | Osobe koje pokrenu provjeru, zahtjev alatu za zaglavlja ili izuzimanje iz provjera; poslužitelji na kojima je instaliran dodatak. |
| Kategorije osobnih podataka | Zapisnik svakog zahtjeva: izvor (provjera, dodatak, alat za zaglavlja, izuzimanje iz provjera), puna IP adresa, sažetak identifikatora sesije, provjereni host, država iz IP adrese, prihvaćen ili odbijen s razlogom, vrijeme (check_throttle). Nepravilnosti: vrsta (IP adresa, sesija, država, sustav), ključ (za vrstu „IP” puna IP adresa), obrazac, ozbiljnost, kratak opis, vrijeme otkrivanja i rješavanja, osoba koja rješava (abuse_flags). Zadatak: host, način rada, razina povjerenja i skraćeni sažetak sesije kao identifikator podnositelja zahtjeva (scan_jobs). Izvješće: nasumični identifikator, host, jezik, istek, prvi pregled, broj pregleda (reports). Privremeno pohranjena starost domene iz upita registru (domain_age_cache). |
| Izvor | Unos osobe; njezin zahtjev; upit registru (RDAP) za starost domene. |
| Pravna osnova | Izvršavanje zatražene provjere: čl. 6(1)(b) GDPR-a (upotreba besplatne provjere prema Uvjetima korištenja); podredno, (f). Ograničenja i nadzor: čl. 6(1)(f). Interes: sprečavanje upotrebe usluge kao alata protiv tuđih mrežnih stranica ili za masovno slanje neželjene pošte. Odvagivanje: bez povezivanja s adresom i sesijom ograničenja se ne bi mogla provoditi; razdoblje od sedam dana jednako je kratko kao najdulje ograničenje koje se iz njega izračunava. |
| Primatelji | Google (reCAPTCHA pri predaji, B.23). Za starost domene skener šalje upit usluzi za RDAP preusmjeravanje rdap.org, koja ga prosljeđuje nadležnom registru; prenosi se samo naziv domene. Kad se pojavi nepravilnost, operator prima signal putem Telegrama bez ijedne varijable (bez hosta, bez adrese). Izvješće može vidjeti svatko tko ima njegovu nasumičnu poveznicu. |
| Treća zemlja | SAD putem reCAPTCHA (B.23). |
| Čuvanje | Zapisnik zahtjeva 7 dana (noću, srv/cron_status.php). Riješene nepravilnosti 90 dana nakon rješavanja; neriješene ostaju dok ih netko ne riješi (odjeljak 10). Anonimna izvješća istječu nakon 30 dana; noćni postupak tada briše izvješće, zadatak, rezultat provjere, obrasce, nalaze i slike (fe_reports_aufraeumen()). Administrator može ručno osloboditi unose za neku adresu; time se briše njezin zapisnik za posljednja 24 sata. |
| Tehničke i organizacijske mjere | Odjeljak 8. Hitno zaustavljanje svih anonimnih provjera u administracijskom području; mehanizam ograničavanja opterećenja koji ne prihvaća nove besplatne provjere kad postoji zaostatak. |
B.5 Provjera tuđih mrežnih stranica crawlerom
| Polje | Unos |
|---|
| Svrha | Sigurnosna provjera javnih kontaktnih obrazaca: zaštita od neželjene pošte i zloupotrebe, značajke zaštite podataka i pristupačnosti, ugrađene skripte trećih strana, ponašanje nakon odbijanja na natpisu za kolačiće, mobilni prikaz. Primjenjuje se na provjere bez računa (B.4), domene u računu koje još nisu verificirane te kao osnova za studiju (B.7) i provjeru potencijalnog klijenta (B.8). Za verificirane domene u računu postupamo u ime Korisnika (A.4). |
| Ponašanje crawlera | Vlastiti identifikator s upućivanjem na stranicu crawlera; čita robots.txt prije provjere i zaustavlja se ako pravilo zabrane obuhvaća početnu stranicu (također ako robots.txt nije dostupan ili postoji pogreška poslužitelja); pravila zabrane za pojedinačne podputanje ne poštuju se zasebno. Puls obrasca, dohvat dokaza, alat za zaglavlja i pretraživanje izloženih datoteka ne čitaju robots.txt. Najviše osam javnih stranica po provjeri, dodatno do tri stranice s klikom na „Odbij” na natpisu za kolačiće, do tri stranice u prikazu za telefon, aktivni testovi za verificirane domene i do pet stranica iza prijave (A.5); stranice se učitavaju jedna za drugom, a ne paralelno; samo javne adrese, bez internih mreža, preusmjeravanja se ponovno provjeravaju; popis blokiranih domena i izuzimanje iz provjera provjeravaju se prije prihvaćanja i drugi put u skeneru. Pasivno: bez dokaza o kontroli ništa se ne predaje za Korisnike (iznimka: interne provjere naših vlastitih testnih i demonstracijskih domena, B.6). |
| Kategorije ispitanika | Operatori provjerenih mrežnih stranica (ako su fizičke osobe, primjerice samostalni poduzetnici); osobe koje su slučajno vidljive na provjerenim stranicama. |
| Kategorije osobnih podataka | Kao A.4: adrese i naslovi stranica, struktura obrasca (nazivi, vrste i oznake polja, bez vrijednosti polja), zaštitne mjere, skripte trećih strana (adrese; ID-jevi računa piksela i alata za snimanje zamjenjuju se prije pohrane), ponašanje natpisa za kolačiće, snimke zaslona (vidljivo područje početne stranice, obrasci). Ako se u obrascu pojavi adresa primatelja, samo njezina domena (scans, forms, findings, scan_screenshots). |
| Izvor | Javno dostupne stranice. |
| Pravna osnova | Čl. 6(1)(f) GDPR-a. Interes: provođenje zatražene sigurnosne provjere; upozoravanje operatora mrežnih stranica na slabosti koje mogu naštetiti njihovim posjetiteljima. Odvagivanje: čita se samo ono što vidi svaki posjetitelj, u malom opsegu i bez ikakve predaje; operator može u bilo kojem trenutku trajno izuzeti svoju domenu bez dokaza. Informacije prema čl. 14 GDPR-a pružaju se putem stranice crawlera, izuzimanja iz provjera i Pravila privatnosti; je li to dovoljno prema čl. 14(5)(b), otvoreno je pitanje za pravnu provjeru. |
| Primatelji | Osoba koja pokrene izvješće i svatko kome ustupi nasumičnu poveznicu; lokalni jezični model na našem vlastitom poslužitelju ako vrsta obrasca nije jasna (struktura obrasca, naslov i adresa stranice, vidljivi tekst obrasca). Upozorenja o ranjivostima na temelju verzija dodataka nikad se ne pojavljuju u anonimnim izvješćima. |
| Treća zemlja | Nema. |
| Čuvanje | Anonimno: 30 dana (B.4). Provjera potencijalnog klijenta: 90 dana (B.8). Studija: do objave (B.7). Domena u računu: najviše 13 mjeseci, posljednja provjera ostaje; odmah zajedno s domenom. Interne provjere operatora bez domene i bez izvješća (primjerice one stvorene iz naredbenog retka): bez roka čuvanja (odjeljak 10). Privremene datoteke na poslužitelju za skeniranje brišu se nakon svakog izvođenja. |
| Tehničke i organizacijske mjere | Odjeljak 8. Posebno: zaseban spremnik za provjeru sa smanjenim ovlastima, datotečni sustav samo za čitanje, ograničenje memorije i vlastita mreža; dvostruka provjera odredišta. |
B.6 Aktivne testne predaje
| Polje | Unos |
|---|
| Svrha | Provjera prihvaća li kontaktni obrazac predaju bez zaštite, djeluju li CAPTCHA, zamka (honeypot), token, provjera valjanosti adrese e-pošte i ograničavanje učestalosti na strani poslužitelja te mogu li se umetnuti zaglavlja. |
| Preduvjet | Za Korisnike samo za domene za koje je pružen dokaz o kontroli (DNS zapis, metaoznaka, datoteka ili povezani dodatak); dodatno operator internim alatom naredbenog retka stvara provjere s razinom „verified” za naše vlastite testne i demonstracijske domene. Samo uz uključen globalni prekidač, samo za obrazac pouzdano klasificiran kao opći kontaktni obrazac. Nikad za narudžbe, rezervacije, registracije, biltene, plaćanja, prijenose datoteka, obvezna polja sa stvarnim osobnim podacima ili domene javnih tijela, zdravstvenih ili obrazovnih ustanova. |
| Kategorije ispitanika | Korisnikovi zaposlenici koji primaju poruke e-pošte iz obrazaca. |
| Kategorije osobnih podataka | Testna predaja ne sadrži osobne podatke: pošiljatelj „FormExposed Security Scanner”, naša vlastita adresa pošiljatelja ili adresa pod .invalid, označen predmet poruke i tekst na jeziku stranice s upućivanjem na stranicu crawlera i izuzimanje iz provjera te brojem provjere. Kod nas se pohranjuju: odgovor stranice, nalazi, slika sljedeće stranice (kao A.4). |
| Opseg | Najviše pet predaja po provjeri (postavka, zadano 5); ponavlja se prema učestalosti provjere paketa, dnevno u najvišem paketu. |
| Izvor | Korisnikova uputa. |
| Pravna osnova | Izvršavanje ugovora s Korisnikom (čl. 6(1)(b) GDPR-a); predaje se šalju u Korisnikov vlastiti obrazac. Za primatelje na Korisnikovoj strani: Korisnikova organizacija. |
| Primatelji | Korisnik (njegova e-pošta obrasca). |
| Treća zemlja | Ne putem nas. |
| Čuvanje | Rezultati kao A.4. |
| Tehničke i organizacijske mjere | Odjeljak 8. Umetanje zaglavlja samo se otkriva, nikad se ne izvodi sa stvarnim primateljem; provjera valjanosti adrese e-pošte upotrebljava samo domenu koja ne može postojati. |
B.7 Studija „Indeks sigurnosti obrazaca”
| Polje | Unos |
|---|
| Svrha | Statistika o zaštiti kontaktnih obrazaca u nekoj državi ili sektoru. Objavljuju se samo zbirni podaci, bez naziva mrežnih stranica; segmenti tek od 20 stranica s obrascem. |
| Kategorije ispitanika | Operatori mrežnih stranica na popisu; slučajno vidljive osobe. |
| Kategorije osobnih podataka | Kao B.5, samo pasivno. Dodatno popis: host, segment, status, zadatak (study_domains); studija s naslovom, državom i zbirnim rezultatima (studies). |
| Izvor | Popis javnih mrežnih stranica koji sastavlja operator; same stranice. |
| Pravna osnova | Čl. 6(1)(f) GDPR-a. Interes: statistički iskazi o stanju sigurnosti obrazaca. Odvagivanje: pasivno, uz ograničenu učestalost (malo zadataka po izvođenju), primjenjuju se popis blokiranih domena i izuzimanje iz provjera, objavljuju se samo zbirni podaci, sirovi podaci se brišu. |
| Primatelji | Javnost, samo zbirni podaci. |
| Treća zemlja | Nema. |
| Čuvanje | Sirovi podaci (rezultati provjera, obrasci, nalazi, slike, zadaci) brišu se pri objavi (fe_studie_veroeffentlichen()). Popis hostova sa segmentom nakon toga ostaje; za njega ni za studije koje nikad nisu objavljene nema roka čuvanja (odjeljak 10). Operator odlučuje koji se popisi provjeravaju i hoće li se studije objaviti. |
| Tehničke i organizacijske mjere | Odjeljak 8. |
B.8 Provjera potencijalnog klijenta (način rada za pridobivanje klijenata za agencije)
| Polje | Unos |
|---|
| Svrha | Agencija (paket Business) pasivno provjerava mrežnu stranicu potencijalnog klijenta i prima kratko izvješće pod svojim brendom te pasivno izvješće. Mi nikoga ne kontaktiramo; agencija sama prosljeđuje poveznicu. |
| Kategorije ispitanika | Operator provjerene mrežne stranice; slučajno vidljive osobe; zaposlenici agencije koji pokreću provjeru. |
| Kategorije osobnih podataka | Kao B.5, samo pasivno. Dodatno: radni prostor, osoba koja pokreće provjeru, host, nasumični identifikator izvješća, vrijeme (prospect_checks). |
| Izvor | Unos agencije; javne stranice. |
| Pravna osnova | Čl. 6(1)(f) GDPR-a (naš interes za pružanje usluge i interes agencije za utemeljen pristup). Uloge agencije i nas te obveze agencije pri prosljeđivanju izvješća otvorena su pitanja za pravnu provjeru: ako agencija pošalje izvješće e-poštom bez zahtjeva ili uputi telefonski poziv, riječ je o izravnom marketingu za koji je potrebna privola prema čl. 398 PKE-a i § 7(2) UWG-a (njemačkog Zakona protiv nepoštenog tržišnog natjecanja), čak i među poslovnim subjektima. To je odgovornost agencije; Uvjeti korištenja obvezuju je na odgovarajuće postupanje. |
| Primatelji | Agencija i svatko kome ustupi poveznicu. |
| Treća zemlja | Nema. |
| Čuvanje | Izvješće i rezultat provjere istječu nakon 90 dana, a zatim ih briše noćni postupak (fe_reports_aufraeumen()); zapis provjere briše se nakon 90 dana u dnevnom postupku kolektivne zaštite od 04:00 (srv/cron_status.php). Zajedno s radnim prostorom, odmah. |
| Tehničke i organizacijske mjere | Odjeljak 8. Mjesečna kvota (postavka, zadano 30); ista stranica unutar sedam dana vraća isto izvješće; primjenjuje se izuzimanje iz provjera. |
B.9 Alat za zaglavlja bez računa
| Polje | Unos |
|---|
| Svrha | Besplatna ocjena (A+ do F) sigurnosnih zaglavlja početne stranice domene. Dva zahtjeva, bez preglednika, obrasca i predaje. |
| Kategorije ispitanika | Osobe koje upotrebljavaju alat; operatori provjerene domene. |
| Kategorije osobnih podataka | Zapisnik zahtjeva kao B.4 (izvor „headers”, IP adresa, sažetak sesije, host). Rezultat: host, ocjena, bodovi, ocijenjena zaglavlja (header_checks). |
| Pravna osnova | Čl. 6(1)(f) GDPR-a, kao B.4 i B.5. |
| Primatelji | Google (reCAPTCHA, B.23). |
| Treća zemlja | SAD putem reCAPTCHA. |
| Čuvanje | Zapisnik zahtjeva 7 dana; rezultati se brišu nakon trenutačno 90 dana (noćni postupak brisanja, dio „header_checks”, postavka „headers_keep_days”). Za domene u računu ocjena se ponovno utvrđuje svakodnevno i pohranjuje uz domenu. |
| Tehničke i organizacijske mjere | Odjeljak 8. Ograničenja po IP adresi i danu; primjenjuje se izuzimanje iz provjera. |
B.10 Korisnički računi
| Polje | Unos |
|---|
| Svrha | Upravljanje korisničkim računima, radnim prostorima i paketima. |
| Kategorije ispitanika | Korisnici (poslovni subjekti) i članovi njihovih timova s vlastitim računom. |
| Kategorije osobnih podataka | Adresa e-pošte i normalizirani oblik, lozinka samo kao sažetak, ime (obvezno), prezime i tvrtka (ako su navedeni); aplikacija ne pohranjuje adresu ni PDV identifikacijski broj, oni se navode samo kod Stripea (B.26); status, jezik, način prikaza, valuta, paket i status naplate, Stripeov ID klijenta i pretplate, kraj obračunskog razdoblja, otkazivanje na kraju razdoblja, identifikatori potvrde i ponovnog postavljanja s istekom, nova adresa e-pošte do potvrde, vrijeme registracije, posljednja prijava i posljednja IP adresa, vrijeme opoziva svih sesija, podaci dvostruke autentifikacije (B.11), uključeno/isključeno mjesečno izvješće, vrijeme e-pošte s podsjetnikom, otključavanja putem kodova, kod preporuke i preporuka (users). Radni prostori s nazivom, vremenima i statusom (workspaces); članstvo s ulogom i datumom pridruživanja (workspace_users). |
| Izvor | Registracija i postavke koje unosi osoba; status naplate od Stripea. |
| Pravna osnova | Čl. 6(1)(b) GDPR-a (ugovor). Posljednja IP adresa: (f) (sigurnost računa). |
| Primatelji | Stripe (B.26); pružatelj usluge e-pošte za poruke računa (B.25). Članovi istog radnog prostora vide ime, adresu e-pošte i ulogu drugih članova. |
| Treća zemlja | Putem Stripea i pružatelja usluge e-pošte. |
| Čuvanje | Dok vlasnik računa ne izbriše račun. Pri brisanju se njegovi vlastiti radni prostori koje nitko drugi ne upotrebljava brišu sa svim domenama i njihovim podacima; radni prostori s dodatnim članovima prelaze na drugog člana, najprije na administratore, a među njima na onoga s najduljim članstvom. Brišu se članstva, tokeni trajne prijave, uređaji, API ključevi, otvoreni Telegramovi kodovi, povratne informacije o izvješćima (B.35) i redak računa; aktivna plaćena pretplata najprije se odmah prekida kod Stripea, bez povrata novca (www/ajax.php, fe_konto_reste_loeschen()). Nasuprot tomu, otkazivanje u području naplate stupa na snagu na kraju razdoblja; nakon toga račun nastavlja na besplatnom paketu. Što ostaje navedeno je u odjeljku 6.4. Računi koji nikad nisu potvrđeni i na koje se nikad nije prijavilo brišu se nakon 30 dana, osim ako je njihovom radnom prostoru pridružen drugi član (noćni postupak brisanja, dio „pending_accounts”). Neaktivni računi ne brišu se. Ako ugovor za račun prestane na drugi način, primjerice našim otkazom, račun brišemo najkasnije 30 dana nakon prestanka ugovora; to se trenutačno radi ručno (obveza iz Ugovora o obradi podataka). |
| Tehničke i organizacijske mjere | Odjeljak 8. |
B.11 Prijava, uređaji, drugi faktor i zapisnik aktivnosti
| Polje | Unos |
|---|
| Svrha | Zaštita računa: ograničavanje pokušaja prijave i drugih pokušaja unosa lozinke, prikaz i opoziv prijavljenih uređaja, prijava s dva faktora, sljedivost promjena. |
| Kategorije ispitanika | Vlasnici računa i članovi timova; osobe koje pokušavaju prijavu, registraciju ili unos lozinke korisničkog portala. |
| Kategorije osobnih podataka | Pokušaji prijave: IP adresa, unesena adresa e-pošte, uspjeh, vrijeme (login_attempts). Uređaji: sažetak identifikatora sesije (nikad sam identifikator), veza s tokenom trajne prijave, IP adresa, identifikator preglednika i iz njega izvedeni preglednik, operacijski sustav i vrsta uređaja, vremena prijave, posljednje aktivnosti i opoziva te za „Prikaz kao Korisnik” identifikator osobe iz podrške (login_sessions). Tokeni trajne prijave za „Ostani prijavljen”: selektor, verifikator, istek (remember_tokens). Dvostruka autentifikacija: šifrirana tajna, vrijeme aktivacije, posljednji upotrijebljeni vremenski korak, kodovi za oporavak samo kao sažetak (u users). Zapisnik aktivnosti: račun, radni prostor, radnja, odredište, pojedinosti, IP adresa, država, vrijeme (audit_logs). Brojači pokušaja za prijavu, drugi faktor, potvrdu lozinke, ponovno postavljanje lozinke, registraciju i lozinke korisničkih portala: HMAC ključ izveden iz svrhe i ID-ja računa (za nepoznatu adresu ili ponovno postavljanje, adresa e-pošte pretvorena u mala slova), IP adrese, računa i IP adrese zajedno ili ID-ja portala (također zajedno s IP adresom), broj pokušaja, istek; adrese e-pošte i IP adrese ondje se ne pohranjuju u otvorenom tekstu (tablica auth_attempt_buckets). |
| Pravna osnova | Čl. 6(1)(b) GDPR-a u vezi s čl. 32 (popis uređaja, drugi faktor) i (f) (pokušaji prijave, zapisnik aktivnosti). Interes: zaštita računa od preuzimanja, dokumentiranje promjena (čl. 5(2)). Odvagivanje: skraćena adresa ne odgovara na pitanje „jesam li to bio ja?”; zapisnik aktivnosti mora nadživjeti spor koji se pojavi tek mjesecima kasnije. |
| Primatelji | Nema. Vlasnik računa vidi svoje uređaje i dobiva pokušaje prijave, uređaje i aktivnosti u izvozu podataka; tijekom sesije „Prikaz kao Korisnik” ondje se ne pojavljuju ni IP adresa ni preglednik osobe iz podrške. |
| Treća zemlja | Nema. |
| Čuvanje | Pokušaji prijave 7 dana; nakon uspješne prijave neuspjeli pokušaji s iste adrese odmah se brišu. Brojači pokušaja na kraju svojeg vremenskog razdoblja (trenutačno 15 minuta, jedan sat za ponovno postavljanje lozinke i registraciju); istekle brišu sljedeći pristup i noćni postupak. Uređaji 90 dana nakon posljednje upotrebe ili opoziva (noćni postupak brisanja, dio „sessions”), odmah zajedno s računom. Tokeni trajne prijave istječu nakon 30 dana. Zapisnik aktivnosti 365 dana (noću); kad se račun izbriše, njegovi unosi ostaju do kraja roka čuvanja (odjeljak 6.4). |
| Tehničke i organizacijske mjere | Odjeljak 8. |
B.12 Dokaz o sklapanju ugovora
| Polje | Unos |
|---|
| Svrha | Dokazivanje koju je verziju Uvjeta korištenja, Ugovora o obradi podataka i Pravila privatnosti Korisnik prihvatio ili primio na znanje pri registraciji te da Korisnik upotrebljava uslugu za svoje poslovanje. |
| Kategorije ispitanika | Korisnici. |
| Kategorije osobnih podataka | Po dokumentu: račun, dokument, verzija (sažetak prikazanog teksta), povod, IP adresa, identifikator preglednika, vrijeme (legal_consents). Sama prikazana verzija s cjelovitim tekstom, jezikom, naslovom i adresom, jednom po verziji (legal_versions; ne sadrži osobne podatke). |
| Pravna osnova | Čl. 6(1)(b) i (f) GDPR-a (dokaz o sklapanju ugovora, obrana od zahtjeva). |
| Primatelji | Nema. Vlasnik računa dobiva svoje zapise u izvozu podataka. |
| Treća zemlja | Nema. |
| Čuvanje | Dok god račun postoji; nakon brisanja računa četiri godine od privole, zatim brisanje noću (srv/cron_status.php). Obrazloženje u kodu: trogodišnji rok zastare od kraja godine, zaokružen naviše. Upućuje li poljsko pravo na drukčiji rok, dio je pravne provjere. |
| Tehničke i organizacijske mjere | Odjeljak 8. Ako bilo koji od triju dokumenata nedostaje, registracija je zatvorena. |
B.13 Pozivnice u tim
| Polje | Unos |
|---|
| Svrha | Pozivanje dodatnih osoba u radni prostor. |
| Kategorije ispitanika | Pozvane osobe. |
| Kategorije osobnih podataka | Adresa e-pošte, uloga, identifikator pozivnice, osoba koja poziva, istek, vrijeme prihvaćanja (workspace_invites); poruka e-pošte s pozivnicom u izlaznoj pošti (B.25). |
| Izvor | Unosi član koji poziva. |
| Pravna osnova | Čl. 6(1)(b) GDPR-a u odnosu na Korisnika; prema pozvanoj osobi (f) (Korisnikov interes da uključi svoj tim). |
| Primatelji | Pružatelj usluge e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). |
| Treća zemlja | Putem pružatelja usluge e-pošte. |
| Čuvanje | Pozivnica vrijedi 14 dana i samo dok je osoba koja poziva vlasnik ili administrator radnog prostora. Neprihvaćene pozivnice brišu se nakon isteka, a prihvaćene 30 dana nakon prihvaćanja (noću, srv/cron_status.php i dio „invites” u cfg/fristen_lib.php). Zajedno s radnim prostorom, odmah. |
| Tehničke i organizacijske mjere | Odjeljak 8. |
B.14 „Prikaz kao Klijent” u okviru podrške
| Polje | Unos |
|---|
| Svrha | Superadministrator vidi aplikaciju onako kako je vidi Klijent kako bi riješio upit podrške („kod mene nedostaje gumb”). |
| Kategorije ispitanika | Dotični Klijent; superadministrator. |
| Kategorije osobnih podataka | Sve što Klijent vidi u aplikaciji. Bilježi se: zaseban redak uređaja s identifikatorom superadministratora (login_sessions), početak i kraj u zapisniku aktivnosti (audit_logs). |
| Pravna osnova | čl. 6(1)(b) OUZP-a (podrška kao dio usluge), podredno točka (f). |
| Ograničenja | Najviše jedan sat, zatim potpuna odjava. Završetak prikaza također potpuno odjavljuje superadministratora, uključujući sesiju iz koje je došao; u administracijsko područje vraća se samo ponovnom prijavom lozinkom i drugim faktorom. Prikaz odmah završava ako se superadministratoru smanje ovlasti ili ga se blokira. Blokirano je sve što mijenja Klijentov račun: lozinka, adresa e-pošte, drugi faktor, uređaji, pretplata, izvoz, brisanje, prijenos. Administracijsko područje zatvoreno je tijekom sesije. Klijent vidi pristup na svom popisu uređaja i u izvozu podataka kao pristup podrške. |
| Primatelji | Nema. |
| Treća zemlja | Nema. |
| Rok čuvanja | Redak uređaja 90 dana, zapisnik aktivnosti 365 dana. |
| TOM | Odjeljak 8. |
B.15 Domene, dokaz kontrole i nadzor
| Polje | Unos |
|---|
| Svrha | Temeljna usluga za Klijente: vođenje domena u računu, pružanje dokaza kontrole, redovite provjere i otkrivanje promjena. To uključuje puls obrasca (lagani zahtjev bez preglednika svakih 10 do 30 minuta, ovisno o paketu), dnevni nadzor DNS-a e-pošte i certifikata, datum isteka domene, liste blokiranja, izložene datoteke, verzije vidljive izvana, inventar skripti, vizualne promjene obrasca, prekide rada pružatelja CAPTCHA-e i e-pošte te nadzor ranjivosti dodataka za obrasce. |
| Kategorije ispitanika | Klijenti i članovi njihovih timova; operatori domena ako su fizičke osobe. |
| Kategorije osobnih podataka | Domena s hostom, javni identifikator, bilješka, oznaka klijenta, vrsta i identifikator dokaza, učestalost provjera, nadzor uključen/isključen, razdoblja održavanja, vrijednost upita, identifikatori za značku, provjeru dostave i deploy hook, ključ dodatka, stanja i najnoviji rezultati nadzora (DNS, certifikat, autentičnost e-pošte obrasca, liste blokiranja, izložene datoteke, zaglavlja, verzije) (domains). Puls po stranici obrasca (form_pulse). Ranjivosti iz verzija dodataka (vuln_hits). Inventar skripti s adresom, hashom, veličinom, odobrenjem s osobom koja je odobrila i razlogom (script_inventory, script_changes). Provjere kao A.4. Za izložene datoteke pohranjuju se putanja, ozbiljnost i vrsta, nikada sadržaj. |
| Zahtjevi prema trećim stranama | DNS upiti (SPF, DMARC, MX, zapis dokaza). Upit registru putem RDAP-a prema imeniku IANA-e: samo naziv domene. DNS liste blokiranja (SpamCop, PSBL, Mailspike, SURBL; Spamhaus samo uz pohranjene pristupne podatke, trenutačno ne): IP adrese web-poslužitelja i poslužitelja e-pošte te naziv domene, bez podataka o posjetiteljima. Google Web Risk samo ako je postavljen (trenutačno nije): adresa početne stranice. Tijelo za vremenske žigove: samo hash vrijednost (B.19). WPVulnerability: samo identifikator dodatka ili teme, ili verzija WordPressa; usporedbu s instaliranom verzijom dodatka provodimo sami. Statusne stranice Cloudflarea, hCaptche, Google Clouda, SendGrida, Mailguna i Breva: ne prenosi se ništa osim samog zahtjeva. |
| Izvor | Klijent; zahtjevi prema Klijentovoj stranici; javni imenici. |
| Pravna osnova | čl. 6(1)(b) OUZP-a. |
| Primatelji | Navedene usluge ne primaju osobne podatke naših Klijenata, u mjeri u kojoj nazivi domena i adrese poslužitelja poduzeća nisu osobni podaci; kod obrtnika i samostalnih poduzetnika naziv domene može biti osobni podatak. Članovi radnog prostora vide domenu. |
| Treća zemlja | Zahtjevi mogu doći do usluga u trećim zemljama (primjerice upiti registru, liste blokiranja). Prenosi se samo ono što je navedeno u retku „Zahtjevi prema trećim stranama”. |
| Rok čuvanja | Do brisanja domene. fe_domain_loeschen() tada odmah briše rezultate provjera, obrasce, nalaze, slike, izvješća, zadatke, ciljeve upozorenja i zapisnik upozorenja, incidente, Telegram kodove, dostave, puls, ranjivosti i dokaze; putem stranih ključeva nadzirane obrasce, pokretanja preglednika, testni račun i brojače obrazaca; podatke dodatka za host ako se na njega ne odnosi nijedna druga domena. Također se brišu inventar skripti i promjene skripti domene; oni nemaju vlastiti rok čuvanja (odjeljak 6.4). Rezultati provjera najviše 13 mjeseci, posljednji ostaje. |
| TOM | Odjeljak 8. Nadzor izloženih datoteka i verzija samo za potvrđene domene, najviše jedan zahtjev po putanji, samo prvih 8 KB; nepozvano ispitivanje tuđih putanja bilo bi alat za napad. |
B.16 Upozorenja, incidenti i eskalacija prema nositelju računa
| Polje | Unos |
|---|
| Svrha | Obavještavanje Klijenta o smetnjama i promjenama, poštivanje razdoblja održavanja, potvrđivanje i eskalacija incidenata. Ako su ciljevi treće osobe, djelujemo u ime Klijenta (A.3); ako je to sam nositelj računa, to je uređeno ovdje. |
| Kategorije ispitanika | Nositelji računa i članovi timova kao primatelji. |
| Kategorije osobnih podataka | Kao A.3. Obavijesti se prikazuju na jeziku nositelja računa. |
| Pravna osnova | čl. 6(1)(b) OUZP-a. |
| Primatelji | Pružatelj usluge e-pošte; odabrane usluge chata (4.1). |
| Treća zemlja | Ovisno o kanalu (4.1). |
| Rok čuvanja | Kao A.3: zapisnik dostave 90 dana, zbirne obavijesti 30 dana nakon dostave, incidenti do rješavanja, a zatim 180 dana. Ciljevi upozorenja zajedno s domenom. |
| TOM | Odjeljak 8. |
B.17 Mjesečno izvješće računima
| Polje | Unos |
|---|
| Svrha | 1. u mjesecu od 08:00 (naknadno slanje do 3.), jedna e-poruka po računu za sve njegove domene: razina, ocjena i promjena, upozorenja, blokirani botovi, slanje e-pošte, usporedna vrijednost. |
| Kategorije ispitanika | Aktivni nositelji računa s uključenim mjesečnim izvješćem. |
| Kategorije osobnih podataka | Adresa e-pošte, jezik, ključni pokazatelji domena. |
| Pravna osnova | čl. 6(1)(b) OUZP-a (dio usluge). Može se odjaviti u postavkama; može se isključiti centralno. |
| Primatelji | Pružatelj usluge e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). |
| Treća zemlja | Putem pružatelja usluge e-pošte. |
| Rok čuvanja | Nema zasebne pohrane; e-poruka ostaje u izlaznom spremniku 30 dana (B.25). |
| TOM | Odjeljak 8. |
B.18 Značka i javna stranica potvrde
| Polje | Unos |
|---|
| Svrha | Klijent može na svoje web-mjesto ugraditi sliku značke i povezati je s javnom stranicom potvrde. Značka prikazuje „Zaštićeno” samo ako je domena potvrđena, nadzor je aktivan, a posljednja dovršena provjera nije starija od 45 dana i rezultirala je ocjenom „Zaštićeno” ili „Djelomično zaštićeno”; inače neutralno prikazuje „Provjera kontaktnog obrasca”. Stranica potvrde navodi razinu i datum, bez pojedinačnih nalaza. |
| Kategorije ispitanika | Posjetitelji Klijentova web-mjesta čiji preglednik učitava sliku; posjetitelji stranice potvrde. |
| Kategorije osobnih podataka | Pri učitavanju slike: IP adresa, vrijeme, tražena adresa, stranica s koje se dolazi i identifikator preglednika u zapisniku web-poslužitelja (B.1). Adresa slike ne pokreće sesiju, ne postavlja kolačić i ne upisuje se u zapisnik pregleda stranica. Stranica potvrde uobičajena je stranica (B.2, B.3). |
| Pravna osnova | čl. 6(1)(f) OUZP-a. Interes: isporuka slike i sigurno održavanje rada. Jesu li Klijent i mi zajednički voditelji obrade za prijenos IP adrese posjetitelja u smislu sudske prakse o ugrađenom sadržaju trećih strana te je li potreban sporazum u skladu s čl. 26., otvoreno je pitanje za pravnu provjeru. Klijent dobiva prijedlog teksta za svoju politiku privatnosti. |
| Primatelji | Nema. |
| Treća zemlja | Nema. |
| Rok čuvanja | 14 dana (zapisnik web-poslužitelja). Slika se pohranjuje u predmemoriju na jedan sat. Kada se značka isključi, identifikator prestaje vrijediti. |
| TOM | Odjeljak 8. |
B.19 Dokazni zapisnik i vremenski žig
| Polje | Unos |
|---|
| Svrha | Jedan zapisnik po domeni i mjesecu (plaćeni paketi): što je provjereno, s kojim rezultatom, što je prijavljeno i što se promijenilo, kao dokaz za pouzdanost, osiguravatelje ili revizije dobavljača. Svaka verzija dobiva kontrolni broj; javna stranica potvrđuje domenu, razdoblje i ključne pokazatelje, bez pojedinosti. Od 7. listopada 2026. vrijeme potvrđuje tijelo za vremenske žigove u skladu s RFC 3161. |
| Kategorije ispitanika | Klijenti; neizravno osobe koje mogu biti navedene u zapisniku kao osobe koje su odobrile ili potvrdile. |
| Kategorije osobnih podataka | Domena, mjesec, kontrolni broj, hash sadržaja (SHA-512), sažetak i podaci zapisnika, odgovor s vremenskim žigom, tijelo za vremenske žigove i vrijeme, neuspjeli pokušaji (proof_docs). |
| Pravna osnova | čl. 6(1)(b) OUZP-a. |
| Primatelji | Tijelo za vremenske žigove (zadano Certum, rezervno DigiCert) prima samo hash zapisnika, ne i njegov sadržaj. Javno: ključni pokazatelji putem stranice potvrde. Klijent i svatko kome Klijent preda zapisnik ili kontrolni broj. |
| Treća zemlja | Nema prijenosa osobnih podataka: hash ne omogućuje zaključivanje o sadržaju. Rezervno tijelo ima sjedište u SAD-u. |
| Rok čuvanja | Do brisanja domene (fe_domain_loeschen()). Vremenski žig nije kvalificirani vremenski žig u smislu uredbe eIDAS. |
| TOM | Odjeljak 8. |
B.20 Dodatak i proširenje: provjera, povezivanje i prijenos
| Polje | Unos |
|---|
| Svrha | WordPress dodatak i TYPO3 proširenje mogu zatražiti provjeru (i bez računa), povezati se s računom (instalacija se računa kao dokaz kontrole jednim klikom u računu), otključati zaštitne funkcije, svakodnevno javljati brojke (A.9) te odmah prijaviti pogreške e-pošte i način održavanja. |
| Kategorije ispitanika | Klijenti; operatori web-mjesta koji dodatak koriste bez računa. |
| Kategorije osobnih podataka | Po hostu: verzija dodatka i CMS-a, broj provjera, identifikator posljednjeg izvješća, hash tajne za povezivanje, prvi i posljednji kontakt (plugin_sites). Jednokratni kodovi za povezivanje kao hash s rokom valjanosti (plugin_connect_tokens). Kodovi za uvođenje agencije kao hash s prefiksom, oznakom, brojem korištenja i osobom koja ih je izradila (workspace_connect_codes). Zapisnik zahtjeva s IP adresom poslužitelja koji poziva (B.4). Ključ dodatka javno je vidljiv u zaglavlju (head) web-mjesta; to je hash tajne, a sama tajna pohranjuje se samo kao hash i nikada se ne vraća. |
| Pravna osnova | čl. 6(1)(b) OUZP-a (račun); bez računa točka (f) (zatražena provjera, sprečavanje zlouporabe). |
| Primatelji | Nema. |
| Treća zemlja | Nema. |
| Rok čuvanja | Podaci hosta brišu se čim se na njega više ne odnosi nijedna domena; redak dodatka bez računa tek nakon 90 dana bez kontakta (noćno brisanje, dio „orphan_hosts”). Jednokratni kodovi jedan dan nakon isteka. Kodovi za uvođenje zajedno s radnim prostorom. |
| TOM | Odjeljak 8. Od 27. rujna 2026. poslužitelj prihvaća samo parove ključeva vezane uz web-mjesto; starije, nevezane tajne za povezivanje izbrisane su. |
B.21 Zaštita roja
| Polje | Unos |
|---|
| Svrha | Zajednička obrana od neželjene pošte: povezana web-mjesta prijavljuju domene poveznica u porukama koje je zaustavio njihov zaštitni sloj. Domena koja se pojavi na najmanje tri web-mjesta s najmanje pet pogodaka unutar sedam dana stavlja se na popis koji se vraća svim povezanim web-mjestima; njihov zaštitni sloj poruke s takvim poveznicama premješta u karantenu, nikada u nepovrat. |
| Kategorije ispitanika | Nositelji prijavljenih domena poveznica ako su fizičke osobe (primjerice operator spam-stranice pod vlastitim imenom). Ne pošiljatelji i primatelji poruka: adrese, tekstovi i imena ne prijavljuju se. |
| Kategorije osobnih podataka | Signali: vrsta, domena, host koji prijavljuje, dan, pogoci (swarm_signals). Popis: vrsta, domena, broj web-mjesta i pogodaka, vremena (swarm_list). Velike usluge, domene naših Klijenata i iznimke koje je postavio operator nikada se ne stavljaju na popis. |
| IP mreže | Dijeljenje IP mreža (/24, /48) pripremljeno je. Isključeno je i dodatak ih ne prijavljuje; uključit će se tek nakon pravne provjere jer su IP adrese osobni podaci. |
| Pravna osnova | čl. 6(1)(f) OUZP-a. Interes: zaštita obrazaca svih Klijenata od valova neželjene pošte. Odvagivanje: samo domene, minimalni pragovi protiv trovanja, bez gubitka poruka, uklanjanje moguće u bilo kojem trenutku. |
| Primatelji | Sva povezana web-mjesta (popis domena). |
| Treća zemlja | Ovisno o lokaciji povezanih web-mjesta; popis može doći i do web-mjesta izvan EGP-a. Osobne podatke predstavlja samo u graničnim slučajevima (domene fizičkih osoba). Osnova za prijenos u skladu s poglavljem V. OUZP-a za te slučajeve tek treba biti utvrđena (otvoreno pitanje za pravnu provjeru). |
| Rok čuvanja | Signali 30 dana (dnevna obrada roja od 04:00, cfg/swarm_lib.php). Popis se svakodnevno ponovno izračunava; ono što više ne dosegne prag ispada s popisa. |
| TOM | Odjeljak 8. |
B.22 API ključevi, programsko sučelje i MCP poslužitelj
| Polje | Unos |
|---|
| Svrha | Pristup Klijentovih vlastitih alata (REST API, Zapier, Make, MCP poslužitelj za AI asistente) Klijentovim domenama, provjerama i incidentima. |
| Kategorije ispitanika | Klijenti koji izrađuju ključeve. |
| Kategorije osobnih podataka | Ključ samo kao hash, prefiks, oznaka, vrijeme izrade, posljednjeg korištenja i opoziva (api_keys). Pozivi po minuti (api_usage). |
| Pravna osnova | čl. 6(1)(b) OUZP-a. |
| Primatelji | Alat kojem Klijent dodijeli ključ; određuje ga Klijent. |
| Treća zemlja | Ovisno o Klijentovu alatu. |
| Rok čuvanja | Ključevi do opoziva, odmah zajedno s računom; ključevi bez računa (naslijeđeni podaci) noćno. Brojači poziva nakon jednog dana (povremeno se čiste prilikom poziva). |
| TOM | Odjeljak 8. |
B.23 reCAPTCHA i naša vlastita zaštita obrazaca
| Polje | Unos |
|---|
| Svrha | Obrana od automatiziranog pristupa našim vlastitim obrascima: besplatna provjera, alat za zaglavlja, opt-out, prijava, registracija, zaboravljena lozinka i ponovno postavljanje lozinke, podrška i kontakt. Uz to i naša vlastita zaštita bez trećih strana: zamka (skriveno polje), potpisana vremenska provjera i CSRF token. Od 29. listopada 2026. dodatno i naša zaštita obrazaca formconfirmed (računski dokaz i jednokratni kontrolni token) kod besplatne provjere, registracije, prijave i funkcije „Zaboravljena lozinka”. |
| Kategorije ispitanika | Osobe koje šalju te obrasce. |
| Kategorije osobnih podataka | Kod Googlea: IP adresa, podaci o pregledniku i uređaju, podaci o ponašanju, Googleovi kolačići. Kod nas: Googleova procjena (ocjena i radnja) samo u trenutku provjere, bez pohrane, čak ni kada je slanje odbijeno. Kod vlastite zaštite obrazaca: IP adresa (pohranjena samo skraćena i kao hash vrijednost), stranica, vremenske oznake, polje-zamka ispunjeno da/ne; bez sadržaja. |
| Vrijeme učitavanja | Googleova skripta učitava se tek kada se šalje zaštićeni obrazac, a ne pri otvaranju stranice. Vlastita zaštita obrazaca dohvaća svoj zadatak pri otvaranju stranice i računa čim se obrazac počne upotrebljavati. Na razvojnom sustavu reCAPTCHA je isključena. |
| Pravna osnova | čl. 6(1)(f) OUZP-a. Interes: zaštita od botova, osobito za besplatnu provjeru koja bi se inače mogla koristiti protiv tuđih web-mjesta. Zahtijeva li pristup terminalnoj opremi privolu u skladu s § 25 TDDDG ili čl. 399 PKE, iako se skripta učitava tek pri slanju, otvoreno je pitanje za pravnu provjeru. Vlastita zaštita obrazaca ne postavlja kolačiće, ništa ne pohranjuje u pregledniku i ne stvara otisak uređaja; dugoročno bi trebala zamijeniti reCAPTCHA-u. |
| Primatelji | Google Ireland Limited; Google LLC. Kod vlastite zaštite obrazaca nema ih. |
| Treća zemlja | SAD (samo reCAPTCHA). Osnova: certifikacija u okviru Okvira za privatnost podataka EU-a i SAD-a (EU-US Data Privacy Framework) ili standardne ugovorne klauzule; treba detaljno dokumentirati. |
| Rok čuvanja | reCAPTCHA: kod nas nema pohrane; kod Googlea prema njegovim pravilima. Vlastita zaštita obrazaca: hash identifikator 1 sat, iskorišteni kontrolni tokeni najviše 11 minuta, rezultati provjera bez IP adrese 30 dana. |
| Prekid rada | Ako Google ne odgovori u roku od tri sekunde ili odgovori neupotrebljivo, slanje se odbija; isto vrijedi za prazan token i odgovor za radnju različitu od radnje obrasca. Provjera se preskače samo kada je reCAPTCHA isključena. Kod vlastite zaštite obrazaca slanje bez valjanog kontrolnog tokena se odbija; ako usluga nije bila dostupna za dohvaćanje zadatka, slanje se dopušta. |
| TOM | Odjeljak 8. |
B.24 Podrška i kontaktni obrazac
| Polje | Unos |
|---|
| Svrha | Primanje upita i odgovaranje na njih putem prozora podrške i kontaktne stranice. Oboje koristi isti put i istu tablicu. |
| Kategorije ispitanika | Osobe koje šalju upite, prijavljene ili neprijavljene. |
| Kategorije osobnih podataka | Račun (ako je osoba prijavljena; tada vrijedi adresa računa, a ne unesena adresa), adresa e-pošte, razlog s fiksnog popisa, tekst do 4.000 znakova, status, puna IP adresa, zemlja, identifikator preglednika, stranica s koje se dolazi (samo vlastite putanje), jezik, vrijeme primitka i odgovora (support_requests); unos u zapisnik aktivnosti (bez teksta); potvrda primitka osobi koja šalje upit u izlaznom spremniku (B.25), s tekstom do 2.000 znakova samo za prijavljene pošiljatelje, bez teksta za zahtjeve poslane bez prijave. |
| Pravna osnova | čl. 6(1)(b) OUZP-a ako se upit odnosi na ugovor; inače točka (f). Puna IP adresa: točka (f) (ograničenje na tri upita po satu i adresi, sprečavanje zlouporabe). |
| Primatelji | Pružatelj usluge e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) za potvrdu primitka i odgovor. Telegram prima fiksni signal bez ikakve varijable („stigao je novi zahtjev za podršku”) i stoga nikakve osobne podatke. |
| Treća zemlja | Putem pružatelja usluge e-pošte. |
| Rok čuvanja | 24 mjeseci (noćno brisanje, dio „support”); ručno i ranije. Kada se račun izbriše, upiti ostaju do isteka roka čuvanja (odjeljak 6.4). |
| TOM | Odjeljak 8. reCAPTCHA, naša vlastita zaštita obrazaca, ograničavanje broja zahtjeva. |
B.25 Slanje e-pošte (izlazni spremnik)
| Polje | Unos |
|---|
| Svrha | Transakcijske e-poruke: potvrda registracije i novih adresa e-pošte, ponovno postavljanje lozinke, pozivnice, upozorenja, mjesečna izvješća, potvrde i izvješća portala, potvrde primitka i odgovori podrške, podsjetnici o probnom razdoblju i postavljanju, operativne obavijesti operatorima. Bez oglašavanja, bez e-poruka osobama koje se nisu same prijavile ili ih Klijent nije unio kao primatelje. |
| Kategorije ispitanika | Primatelji tih e-poruka. |
| Kategorije osobnih podataka | Adresa primatelja, predmet, cjelokupni sadržaj, adresa za odgovor, svrha, put slanja, status, pogreška, pokušaji, vremena (mail_outbox). Sadržaj može uključivati poveznice za potvrdu i ponovno postavljanje s valjanim identifikatorima. |
| Pravna osnova | čl. 6(1)(b) OUZP-a; za operativne obavijesti točka (f). |
| Primatelji | Namecheap, Inc. (Private Email), Phoenix, Arizona, USA (slanje); nositelj računa vidi svoje poslane e-poruke u izvozu podataka (bez sadržaja). |
| Treća zemlja | Ovisno o mjestu obrade pružatelja usluge e-pošte; ugovor i osnovu za prijenos tek treba dokumentirati (odjeljak 4). |
| Rok čuvanja | 30 dana (noćno, srv/cron_status.php). Taj je rok namjerno najkraći od svih zapisnika: dugi zapisnik slanja bio bi zbirka valjanih ključeva. Statusna obrada svakih pet minuta provjerava je li potreban ponovni pokušaj. |
| Status | Slanje e-pošte mora se postaviti prije pokretanja. Dok pružatelj usluge e-pošte, s njegovim sjedištem i osnovom, ne bude utvrđen, pravni tekstovi prikazuju oznaku. |
| TOM | Odjeljak 8. Neuspjele e-poruke ponovno se šalju u sve duljim razmacima i odustaje se od njih nakon najvećeg broja pokušaja. |
B.26 Plaćanja i obračun
| Polje | Unos |
|---|
| Svrha | Sklapanje i upravljanje pretplatama (mjesečno ili godišnje unaprijed), 14-dnevno probno razdoblje bez kartice s podsjetnikom tri dana prije isteka, plaćanje po računu za godišnje pretplate (zadano isključeno), otključavanja putem kodova hosting-pružatelja i partnera bez plaćanja, izdavanje računa, čuvanje u porezne svrhe. |
| Kategorije ispitanika | Klijenti. |
| Kategorije osobnih podataka | Kod Stripea: adresa e-pošte, ime, adresa za račun, PDV identifikacijski broj, podaci o plaćanju, računi; kao metapodaci naš ID računa i paket. Kod nas: Stripe ID klijenta i pretplate, paket, status, kraj razdoblja, otkaz na kraju razdoblja (users); primljeni Stripe događaji samo s identifikatorom, vrstom, statusom i vremenima, bez sadržaja (stripe_events); iskorištenja kodova hosting-pružatelja s računom, kampanjom i istekom (bundle_redemptions). Podaci o kartici nikada ne dolaze do nas. |
| Izvor | Klijent u Stripeovu postupku naplate; događaji od Stripea. |
| Pravna osnova | čl. 6(1)(b) OUZP-a; za čuvanje u porezne svrhe točka (c). |
| Primatelji | Stripe Payments Europe Limited (Irska); Stripe, Inc. (SAD). Za dijelove obrade plaćanja Stripe djeluje na vlastitu odgovornost; točna raspodjela uloga dio je pravne provjere. |
| Treća zemlja | SAD putem društva Stripe, Inc.; osnova: Okvir za privatnost podataka (Data Privacy Framework) ili standardne ugovorne klauzule prema Stripeovim uvjetima. |
| Rok čuvanja | Polja za obračun zajedno s računom; aktivna pretplata završava se prije brisanja računa. Računi i obračunska evidencija u skladu s poljskim poreznim pravom pet godina od kraja godine u kojoj je istekao rok za plaćanje poreza; čuvaju se kod Stripea i mogu se dohvatiti na Stripeovu korisničkom portalu. Stripe događaji i iskorištenja kodova nemaju rok čuvanja (odjeljak 6.4). |
| TOM | Odjeljak 8. Stripe događaji prihvaćaju se samo s valjanim potpisom; svaki se događaj obrađuje jednom. |
B.27 Sigurnosne kopije
| Polje | Unos |
|---|
| Svrha | Oporavak nakon pogreške: pogrešno brisanje, oštećena migracija. |
| Kategorije ispitanika | Svi čiji se podaci nalaze u bazi podataka. |
| Kategorije osobnih podataka | Potpuni, komprimirani ispis (dump) baze podataka aplikacije. Snimke zaslona i datoteke logotipa čuvaju se izvan baze podataka i nisu dio te sigurnosne kopije. Pristupni podaci testnih računa sadržani su u njoj samo kao šifrirani tekst (A.5). |
| Postupak | Noćno u 03:00, nakon brisanja, kako sigurnosna kopija ne bi preuzela ono što su rokovi čuvanja upravo izbrisali. Ispis se zadržava tek nakon što je provjeren njegov sadržaj (izlazni kod, broj tablica, završni redak). Nedjeljom test vraćanja učitava najnoviju sigurnosnu kopiju u privremenu bazu podataka i uspoređuje je tablicu po tablicu. Ako nešto ne uspije, operatorima se šalju signal i e-poruka. |
| Pravna osnova | čl. 6(1)(f) OUZP-a u vezi s čl. 32(1)(c). |
| Primatelji | Nema. |
| Treća zemlja | Nema. |
| Rok čuvanja | 14 dana; stariji ispisi uklanjaju se tek nakon uspješne nove sigurnosne kopije (cfg/backup_lib.php). Brisanja koja se dogode u tom razdoblju dolaze do sigurnosne kopije tek kada ona istekne; ako se podaci vrate iz sigurnosne kopije, zahtjevi za brisanje nakon toga se ponovno primjenjuju. |
| Lokacija | Sigurnosne kopije trenutačno se čuvaju na istoj lokaciji kao baza podataka i nisu zasebno šifrirane; planirana je šifrirana kopija na drugoj lokaciji (odjeljci 8.1 i 10). |
| TOM | Odjeljak 8. |
B.28 Zapisnik pogrešaka i upozorenje o pogreškama
| Polje | Unos |
|---|
| Svrha | Pronalaženje i ispravljanje pogrešaka prije nego što ih Klijent prijavi. Nove vrste pogrešaka i valovi pogrešaka javljaju se operatorima, uz dnevni pregled od 08:00. |
| Kategorije ispitanika | Korisnici čiji zahtjev uzrokuje pogrešku; neizravno osobe čiji se podaci pojavljuju u poruci o pogrešci. |
| Kategorije osobnih podataka | Razina, izvor, poruka, kontekst kao JSON, ID računa sesije, vrijeme (error_logs). Vrste pogrešaka: otisak, uzorak (iz kojeg su uklonjene adrese e-pošte, adrese, brojevi i identifikatori), jedna neizmijenjena primjerna poruka do 2.000 znakova, prvo i posljednje pojavljivanje, broj (error_kinds). |
| Pravna osnova | čl. 6(1)(f) OUZP-a (operativna sigurnost, čl. 32.). |
| Primatelji | Operatori e-poštom putem pružatelja usluge e-pošte: za novu vrstu pogreške izvor i izvorni tekst poruke do 400 znakova (neočišćen), uz e-poruku s dnevnim pregledom; za val pogrešaka šalje se samo Telegram signal. Telegram prima samo fiksne rečenice bez varijabli („Pojavila se nova vrsta pogreške”, „Mnogo pogrešaka u kratkom vremenu”). |
| Treća zemlja | Putem pružatelja usluge e-pošte. |
| Rok čuvanja | Zapisnik pogrešaka 90 dana (noćno). Vrste pogrešaka bez roka čuvanja (odjeljak 10). Upozorenje o pogreškama uključeno je u produkcijskom sustavu, a isključeno u razvojnom sustavu. |
| TOM | Odjeljak 8. |
B.29 Operativni signali i nadzor statusa
| Polje | Unos |
|---|
| Svrha | Uočavanje prekida rada: svakih pet minuta provjera komponenti (početna stranica, baza podataka, prostor na disku, otkucaj srca skenera, zaostatak u redu čekanja), statusna stranica, signal pri smetnji i pri njezinu otklanjanju, otkucaj srca prema vanjskoj usluzi nadzora kako bi se uočio čak i potpuni prekid rada; zaostatak ispred skenera. |
| Kategorije ispitanika | U pravilu nema. |
| Kategorije osobnih podataka | Nema. Dnevni redci po komponenti s brojem provjera i posljednjom pogreškom (system_status_logs), otkucaj srca skenera (scanner_heartbeat), dnevni ključni pokazatelji bez osobne povezanosti (daily_stats). Signali na Telegram fiksne su rečenice bez varijabli; otkucaj srca zahtjev je bez sadržaja. |
| Pravna osnova | Nije primjenjivo jer nema osobnih podataka; iz opreza čl. 6(1)(f). |
| Primatelji | Telegram (fiksne rečenice); vanjska usluga nadzora (samo zahtjev); operatori e-poštom. |
| Treća zemlja | Telegram izvan EU-a; ne prenose se osobni podaci. |
| Rok čuvanja | Statusni redci 400 dana (noćno). |
| TOM | Odjeljak 8. |
B.30 Opt-out – izuzimanje domene
| Polje | Unos |
|---|
| Svrha | Svatko može bilo koju domenu trajno izuzeti iz provjera bez dokaza; blokada odmah stupa na snagu za sve putove provjere (besplatna provjera, dodatak bez računa, studija, provjera potencijalnih klijenata, alat za zaglavlja) i također za domene Klijenata koji plaćaju s dokazom kontrole; njihov tekući nadzor završava sljedećom zakazanom provjerom. Odnosi se na domenu i njezinu www-inačicu, ne na druge poddomene. Ukidamo je samo mi, na zahtjev i uz dokaz. Kako bi se zlouporaba (primjerice konkurent koji blokira tuđe domene) mogla otkriti i poništiti, blokada se bilježi. |
| Kategorije ispitanika | Osobe koje izuzimaju domenu. |
| Kategorije osobnih podataka | Domena, dobrovoljno naveden razlog do 250 znakova, izvor, IP adresa, zemlja, identifikator preglednika, vrijeme; pri ukidanju vrijeme, osoba koja ukida blokadu i razlog (blocklist). Zapisnik zahtjeva kao B.4. |
| Pravna osnova | Za izuzimanje čl. 6(1)(f) OUZP-a. Interes: trajno i na svim putovima provjere ostvariti želju da se domena ne provjerava. Ako je osoba koja izuzima i sama ispitanik, izuzimanje istodobno provodi njezin prigovor u skladu s čl. 21. (čl. 6(1)(c)). Za adresu, zemlju i identifikator preglednika točka (f) (otkrivanje zlouporabe). |
| Primatelji | Google (reCAPTCHA, B.23). |
| Treća zemlja | SAD putem reCAPTCHA-e. |
| Rok čuvanja | IP adresa, zemlja i identifikator preglednika nakon 12 mjeseci (noćno brisanje, dio „optout_ip”). Samo izuzimanje ostaje trajno kako bi bilo djelotvorno. |
| TOM | Odjeljak 8. Mnogo blokada iz jedne zemlje u kratkom vremenu stvara anomaliju (B.4). |
B.31 Podsjetnik nakon registracije
| Polje | Unos |
|---|
| Svrha | Jedna e-poruka dva do 14 dana nakon registracije potvrđenim računima bez potvrđene domene: „Dodaj web-mjesto” ili „Potvrdi domenu”. Bez ponude, bez cijene, bez nadogradnje; s napomenom da se više neće slati. Radnim danima od 09:00 do 18:00, najviše 50 po obradi. |
| Kategorije ispitanika | Novi nositelji računa. |
| Kategorije osobnih podataka | Adresa e-pošte, jezik, vrijeme slanja (polje „podsjetnik poslan” u users), domena i status potvrde. |
| Pravna osnova | čl. 6(1)(b) OUZP-a (napomena o postavljanju vlastitog računa). Smatra li se e-poruka komunikacijom o ugovornom odnosu ili komercijalnom informacijom za koju bi bila potrebna privola (čl. 10 UŚUDE, poljski Zakon o pružanju usluga elektroničkim putem (ustawa o świadczeniu usług drogą elektroniczną); čl. 398 PKE; § 7 UWG), otvoreno je pitanje za pravnu provjeru; operator je može centralno isključiti. |
| Primatelji | Pružatelj usluge e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). |
| Treća zemlja | Putem pružatelja usluge e-pošte. |
| Rok čuvanja | Vrijeme se čuva dok postoji račun; e-poruka 30 dana u izlaznom spremniku. |
| TOM | Odjeljak 8. Vrijeme se postavlja prije slanja kako prekid ne bi pokrenuo drugu e-poruku. |
B.32 Telegram bot za upozorenja Klijentima
| Polje | Unos |
|---|
| Svrha | Telegram chat povezuje se kao cilj upozorenja: Klijent dobiva poveznicu na našeg bota s jednokratnim kodom; kada primatelj pritisne „Start”, naš poslužitelj očitava kod iz novih poruka botu i pohranjuje ID chata. Za to nije potrebna otvorena krajnja točka na našoj strani (webhook). |
| Kategorije ispitanika | Klijenti i osobe čiji je Telegram chat povezan. |
| Kategorije osobnih podataka | Jednokratni kod, domena, račun koji ga je izradio, događaji, način dostave, ID chata, vremena (telegram_links); ID chata kao cilj (alerts). Telegram uz poruku dostavlja i dodatne podatke profila; procjenjuju se i pohranjuju samo kod i ID chata. |
| Pravna osnova | čl. 6(1)(b) OUZP-a; za treće osobe kao primatelje A.3. |
| Primatelji | Telegram. |
| Treća zemlja | Izvan EU-a, bez odluke o primjerenosti; odabir vrši Klijent (4.1). Osnova i obavijest otvorena su pitanja za pravnu provjeru. |
| Rok čuvanja | Kod vrijedi 30 minuta; redci povezivanja brišu se nakon jednog dana kada se izradi novi kod, otvoreni kodovi zajedno s računom i domenom. ID chata kao cilj do brisanja cilja upozorenja ili domene. |
| TOM | Odjeljak 8. |
B.33 Partnerski program i kodovi za otključavanje
| Polje | Unos |
|---|
| Svrha | Račun može preporučiti nove Klijente putem preporučnog koda i dobiva proviziju na njihove plaćene račune tijekom ograničenog broja mjeseci. Kod se prenosi u adresi do registracije; ne postavlja se kolačić. Hosting-pružatelji i partneri mogu izdavati kodove koji otključavaju paket na određeno razdoblje bez plaćanja; tjedan dana prije isteka Klijent dobiva podsjetnik. |
| Status | Partnerski program zadano je isključen dok ne budu uspostavljeni Partnerski uvjeti. |
| Kategorije ispitanika | Partneri i preporučeni Klijenti. |
| Kategorije osobnih podataka | Preporučni kod, partner koji preporučuje i vrijeme preporuke (u users); provizija s partnerom, Klijentom, ID-om Stripe računa, iznosom, valutom, provizijom, statusom, vremenima (partner_commissions). Otključavanje s paketom, krajem, izvorom, podsjetnikom (u users); kampanje i iskorištenja (bundle_campaigns, bundle_redemptions). |
| Pravna osnova | čl. 6(1)(b) OUZP-a (partnerski ugovor); za Klijenta točka (f) (obračun provizije, bez prosljeđivanja Klijentovih podataka partneru osim iznosa provizije); porezna evidencija točka (c). |
| Primatelji | Partner vidi svoje provizije. |
| Treća zemlja | Nema. |
| Rok čuvanja | Preporuka i otključavanje zajedno s računom. Provizije i iskorištenja nemaju rok čuvanja u kodu; kao računovodstvena evidencija provizije podliježu čuvanju u porezne svrhe (odjeljak 6.4). |
| TOM | Odjeljak 8. |
B.34 Točka za prijavu ranjivosti
| Polje | Unos |
|---|
| Svrha | Primanje prijava ranjivosti u usluzi formexposed prema pravilima na stranici Sigurnost i u datoteci /.well-known/security.txt. |
| Kategorije ispitanika | Osobe koje prijavljuju; osobe čije podatke prijava sadržava kao dokaz. |
| Kategorije osobnih podataka | Adresa e-pošte, ime, sadržaj prijave i privitci, onako kako ih osoba koja prijavljuje pošalje. Prijava do nas stiže e-poštom na ondje navedenu adresu; aplikacija je ne pohranjuje. |
| Pravna osnova | čl. 6(1)(f) OUZP-a (sigurnost usluge, čl. 32.); ako prijava sadržava osobne podatke trećih osoba kao dokaz, također točka (f), s ciljem otklanjanja ranjivosti. |
| Primatelji | Pružatelj usluge e-pošte i, dok se ne postavi poštanski sandučić, prosljeđivanje domene kod Namecheapa (odjeljak 4). |
| Treća zemlja | Putem pružatelja usluge e-pošte i, do prelaska, prosljeđivanja. |
| Rok čuvanja | Rok čuvanja nije određen niti se tehnički provodi (odjeljak 10). Operator tek treba odrediti rok; očit pristup bio bi brisanje dokaza trećih osoba nakon otklanjanja ranjivosti i postupanje s prepiskom kao s upitima podršci. |
| TOM | Odjeljak 8. |
B.35 Povratne informacije o izvješću
| Polje | Unos |
|---|
| Svrha | Primanje povratnih informacija ispod izvješća („Je li nešto pogrešno u ovom izvješću?”) radi pronalaženja pogrešaka u prepoznavanju obrazaca. Superadministrator ih razvrstava (novo, potvrđeno, ispravljeno, odbijeno) i može preuzeti podatke provjere iz izvješća kao testni slučaj (obrasci s poljima, razlozima i nalazima, bez snimki zaslona i bez aktivno poslanih tekstova). |
| Kategorije ispitanika | Osobe koje pregledavaju izvješće, prijavljene ili neprijavljene. |
| Kategorije osobnih podataka | Kategorija i provjera s fiksnih popisa, adresa stranice do 500 znakova, tekst do 1.000 znakova, jezik, vrijeme, identifikator izvješća, provjera, host; identifikator računa ako je osoba prijavljena; HMAC-SHA256 IP adrese s tajnim ključem za ograničenje; status, osoba koja obrađuje, vrijeme obrade (report_feedback). Zapisnik aktivnosti: promjene statusa i preuzimanja testnog slučaja. Bez adrese e-pošte, bez IP adrese u otvorenom obliku. |
| Pravna osnova | čl. 6(1)(f) OUZP-a (pronalaženje i ispravljanje pogrešaka u prepoznavanju; ograničenje protiv zlouporabe). |
| Primatelji | Nema. |
| Treća zemlja | Nema. |
| Rok čuvanja | 24 mjeseci (noćno brisanje, dio „report_feedback”); kontrolni zbroj IP adrese briše se nakon 2 dana (dio „report_feedback_ip”); odmah pri brisanju računa. Preuzeti testni slučajevi ne sadržavaju podatke o osobi koja prijavljuje. |
| TOM | Odjeljak 8. Vlastita zaštita obrazaca (zamka, potpisano vrijeme, CSRF), najviše 5 prijava po satu i 20 dnevno po kontrolnom zbroju, 10 po izvješću; čitljivo samo superadministratorima. |
6. Rokovi čuvanja – što noćno brisanje obuhvaća, a što ne
Automatsko brisanje postoji i ima svoje mjesto. Statusna obrada (srv/cron_status.php) pokreće se svakih pet minuta putem crontaba web-poslužitelja, na produkcijskom sustavu kao i na razvojnom. Provjerava komponente, dohvaća poštu za provjeru dostave, zakazuje provjere i šalje upozorenja. Jednom dnevno, u razdoblju od 03:00 do 03:04, briše podatke prema rokovima čuvanja, a zatim izrađuje sigurnosnu kopiju. Od 27. rujna 2026. dodatno poziva obradu rokova u cfg/fristen_lib.php (fe_fristen_lauf()), čiji se dijelovi izvršavaju neovisno jedan o drugome: ako jedan ne uspije, ostali se nastavljaju, a pogreška se bilježi u zapisnik pogrešaka.
Dokaz da se obrada izvršava: status sigurnosnih kopija razvojnog sustava prikazuje uspješnu sigurnosnu kopiju u 03:00 11. listopada 2026.; sigurnosna kopija izrađuje se u istom bloku neposredno nakon brisanja. Obrada zapisuje zapisnik po izbrisanoj tablici samo na standardni izlaz, koji crontab odbacuje; ne postoji trajna evidencija o tome što je i kada izbrisano (odjeljak 10).
Rokovi čuvanja koji se pojavljuju kao rezervirana mjesta postavljaju se u administracijskom području u postavkama rokova čuvanja. Obrada čita iste postavke; tekstovi stoga uvijek prikazuju rok nakon kojeg se podaci stvarno brišu.
6.1 Obuhvaćeno dnevnom obradom
| Podaci | Rok čuvanja i okidač | Mjesto u kodu |
|---|
Zapisnik pregleda stranica (access_logs) | 60 dana | srv/cron_status.php |
Zapisnik aktivnosti (audit_logs) | 365 dana | srv/cron_status.php |
Zapisnik pogrešaka (error_logs) | 90 dana | srv/cron_status.php |
Izlazni spremnik (mail_outbox) | 30 dana | srv/cron_status.php |
Tokeni za „Zapamti prijavu” (remember_tokens) | nakon isteka (30 dana) | srv/cron_status.php |
Neprihvaćene pozivnice (workspace_invites) | nakon isteka (14 dana) | srv/cron_status.php |
Pokušaji prijave (login_attempts); brojači pokušaja (auth_attempt_buckets) | 7 dana; brojači po isteku njihova vremenskog okvira (trenutačno 15 minuta, jedan sat za ponovno postavljanje lozinke i registraciju), također pri sljedećem pristupu | srv/cron_status.php |
Zapisnik zahtjeva za provjere bez računa (check_throttle) | 7 dana | srv/cron_status.php |
Jednokratni kodovi za povezivanje dodatka (plugin_connect_tokens) | 1 dan nakon isteka | srv/cron_status.php |
Riješene anomalije (abuse_flags) | 90 dana nakon rješavanja | srv/cron_status.php |
| Istekla izvješća zajedno s rezultatom provjere, obrascima, nalazima, slikama i zadatkom (samo bez domene u računu) | anonimna 30 dana, potencijalni klijenti 90 dana | fe_reports_aufraeumen() |
Zapisnik dostave upozorenja (alert_log) | 90 dana | fe_alert_log_aufraeumen() |
Statusni redci (system_status_logs) | 400 dana | srv/cron_status.php |
Evidencija privola izbrisanih računa (legal_consents) | kada je račun izbrisan, a privola je stara 4 godine | srv/cron_status.php |
| Ostaci izbrisanih domena: rezultati provjera, zadaci, podaci o upozorenjima, incidenti, Telegram kodovi, dostave, puls, ranjivosti, dokazi, inventar skripti i promjene skripti | odmah pri sljedećoj obradi | fe_fristen_lauf(), dijelovi „orphan_scans”, „orphan_rows” |
| Podaci dodatka za hostove bez domene; redak dodatka bez računa | odmah; redak nakon 90 dana bez kontakta | dio „orphan_hosts” |
Rezultati alata za zaglavlja (header_checks) | trenutačno 90 dana | dio „header_checks” |
| Rezultati provjera za domenu s obrascima, nalazima, slikama, izvješćima, zadacima | 13 mjeseci; posljednji dovršeni po domeni ostaje | dio „old_scans” |
Pokretanja preglednika, dovršeni zadaci preglednika, vremenski nizovi (form_browser_runs, scan_jobs, form_performance) | 13 mjeseci | dijelovi „browser_runs”, „browser_jobs”, „form_performance” |
Brojači obrazaca (form_metrics), dnevne brojke dodatka i obavijesti o promjenama (plugin_stats, plugin_changes) | 13 mjeseci | dijelovi „form_metrics”, „plugin_stats” |
Prijavljeni uređaji (login_sessions) | 90 dana nakon posljednjeg korištenja ili opoziva | dio „sessions” |
| Prihvaćene pozivnice | 30 dana nakon prihvaćanja | dio „invites” |
Zahtjevi za podršku (support_requests) | 24 mjeseci | dio „support” |
Povratne informacije o izvješćima (report_feedback) | 24 mjeseci; kontrolni zbroj IP adrese 2 dana | dijelovi „report_feedback” i „report_feedback_ip” |
PDF verzije izvješća u predmemoriji (var/pdf) | 7 dana | dio „pdf_cache” |
IP adresa, zemlja i identifikator preglednika u opt-outu (blocklist) | 12 mjeseci; izuzimanje ostaje | dio „optout_ip” |
Pretplatnici portala (client_subscribers) | nepotvrđeni 30 dana; odjavljeni 3 godine | dio „subscribers” |
| Nikad potvrđeni računi, zajedno s radnim prostorom | 30 dana bez prijave, osim ako je vezan drugi član | dio „pending_accounts” |
| API ključevi bez računa (naslijeđeni podaci) | odmah | dio „api_keys” |
6.2 Izvan razdoblja u 03:00
| Podaci | Rok čuvanja i okidač | Mjesto u kodu |
|---|
| Kopije u kontrolnom poštanskom sandučiću provjere dostave | nakon obrade, svakih pet minuta | fe_zustellung_abholen() |
Dodjele provjere dostave (delivery_log) | 180 dana, pri svakom dohvaćanju | fe_zustellung_abholen() |
Šifrirani tekst testnog računa u zadacima (scan_jobs) | nakon izvođenja, najkasnije nakon jednog sata | poslužitelj za skeniranje; fe_login_aufraeumen() |
Incidenti (alert_incidents) s pokušajima dostave eskalacije | dok nisu riješeni; 180 dana nakon rješavanja | fe_vorfaelle_aufraeumen() u cfg/vorfall_lib.php |
Poslane zbirne obavijesti (alert_queue) | 30 dana nakon dostave | cfg/kanal_lib.php |
Signali roja (swarm_signals) | 30 dana, dnevno od 04:00 | cfg/swarm_lib.php |
Provjere potencijalnih klijenata (prospect_checks) | 90 dana, dnevno od 04:00 | srv/cron_status.php |
Kodovi za povezivanje s Telegramom (telegram_links) | 1 dan, pri izradi novog koda | cfg/kanal_lib.php |
Brojači API poziva (api_usage) | 1 dan, povremeno prilikom poziva | cfg/agentur_lib.php |
Riješeni prekidi rada pružatelja (provider_incidents), predmemorija ranjivosti (vuln_cache) | 90 odnosno 30 dana; bez osobnih podataka | cfg/anbieter_lib.php, cfg/luecken_lib.php |
| Neobrađeni podaci studija | pri objavi | fe_studie_veroeffentlichen() |
| Sigurnosne kopije | 14 dana, nakon uspješne nove sigurnosne kopije | cfg/backup_lib.php |
| Zapisnici web-poslužitelja | 14 dana | rotacija zapisnika sustava |
6.3 Pri brisanju od strane Klijenta
- Brisanje domene (
fe_domain_loeschen()): rezultati provjera s obrascima, nalazima i slikovnim datotekama, izvješća, zadaci, ciljevi upozorenja, zapisnik dostave, red zbirnih obavijesti, incidenti, Telegram kodovi, dostave, puls, ranjivosti, dokazni zapisnici, domena iz klijentskih portala s fiksnim odabirom; putem stranih ključeva nadzirani obrasci s pokretanjima preglednika, opažanjima i vremenskim nizovima, testni račun, brojači obrazaca; podaci dodatka za host ako se na njega ne odnosi nijedna druga domena. Inventar skripti i promjene skripti domene također se brišu zajedno s njom; nemaju vlastiti rok čuvanja (odjeljci 6.4 i 10). Podatke koji su iz razdoblja prije 27. rujna 2026. ostali bez pripadajuće domene uklanja noćna obrada (dijelovi „orphan_scans”, „orphan_rows”).
- Brisanje radnog prostora (
fe_arbeitsbereich_daten_loeschen()): dodatno brend uključujući logotip, klijentski portali uključujući pretplatnike, kodovi za uvođenje, provjere potencijalnih klijenata; uz to pozivnice i članstva.
- Brisanje računa: aktivna plaćena pretplata kod Stripea odmah se završava, bez povrata novca; vlastiti radni prostori nositelja prenose se ili brišu; brišu se članstva, tokeni za pamćenje prijave, uređaji, API ključevi s brojačima, otvoreni Telegram kodovi i redak računa.
- Brisanje testnog računa (
fe_login_loeschen()): prepisuje se šifrirani tekst, briše se redak, uklanjaju se zadaci na čekanju.
6.4 Što obrada ne obuhvaća
Ovaj je popis važniji. Navodi podatke za koje ne postoji automatski rok čuvanja ili koji preživljavaju brisanje.
| Podaci | Što vrijedi | Procjena |
|---|
Podaci računa uključujući posljednju IP adresu (users) | do brisanja od strane nositelja računa; nema brisanja neaktivnih računa | ugovorni podaci; nedostaje pravilo za trajno neaktivne račune bez pretplate |
| Zapisnik aktivnosti, pregledi stranica, zapisnik pogrešaka izbrisanog računa | ostaju s ID-om računa i IP adresom do isteka svojeg roka čuvanja | namjerno (dokaz radnji i nakon prestanka); ID više ne upućuje na račun |
| Zahtjevi za podršku izbrisanog računa | ostaju do 24 mjeseci sa starim ID-om računa | namjerno; ID se ne briše |
| Evidencija privola izbrisanog računa | dok privola ne bude stara 4 godine (računa se od privole, a ne od brisanja računa) | namjerno (odjeljak B.12) |
Neriješene anomalije s IP adresom (abuse_flags) | dok ih netko ne riješi | otvorena točka (odjeljak 10) |
Vrste pogrešaka s neizmijenjenom primjernom porukom (error_kinds) | nema roka čuvanja | otvorena točka (odjeljak 10) |
Inventar skripti i promjene skripti (script_inventory, script_changes) | nemaju vlastiti rok čuvanja; čuvaju se dok postoji domena i brišu se zajedno s njom | otvorena točka (odjeljak 10) |
| Pretplatnici opozvanih klijentskih portala | do brisanja radnog prostora | otvorena točka (odjeljak 10) |
| Opozvani API ključevi i kodovi za uvođenje | do brisanja računa ili radnog prostora | samo hashevi, prefiks i oznaka; manje važno |
Popis hostova studija (study_domains), nikad objavljene studije | nema roka čuvanja | otvorena točka (odjeljak 10) |
| Interne provjere bez domene i bez izvješća (rezultati provjera, obrasci, nalazi, snimke zaslona) | nema roka čuvanja; ne obuhvaća ih nijedan put brisanja | otvorena točka (odjeljak 10) |
| Provizije, iskorištenja kodova, Stripe događaji | nema roka čuvanja | računovodstvena važnost; rok treba odrediti prema poreznom pravu |
Starost domene u predmemoriji (domain_age_cache) | nema roka čuvanja | samo naziv domene i datum registracije |
| Rezultat autentifikacije e-pošte obrasca s domenom pošiljatelja | zajedno s domenom; prepisuje se pri svakom primitku | vidi A.1 |
| Izuzimanja u opt-outu | trajno | namjerno; bez trajnosti nijedno izuzimanje nije djelotvorno |
| E-poruke u poštanskom sandučiću točke za prijavu i u općem poštanskom sandučiću | nema tehničkog roka čuvanja | otvorena točka (odjeljak 10) |
6.5 Izvan baze podataka
- Snimke zaslona čuvaju se kao datoteke izvan web-direktorija i brišu se zajedno s rezultatom provjere (svi gore navedeni putovi brisanja brišu i datoteke).
- Datoteke logotipa brenda brišu se pri zamjeni i zajedno s radnim prostorom.
- Na poslužitelju za skeniranje za svaki se zadatak izrađuje privremeni direktorij s rezultatom i slikama; briše se nakon svakog izvođenja, čak i nakon pogreške.
- Sigurnosne kopije čuvaju se na web-poslužitelju (B.27).
- Zapisnici web-poslužitelja s punom IP adresom čuvaju se 14 dana (B.1).
7. Automatizirane odluke, izrada profila i procjena
formexposed procjenjuje web-mjesta, a ne ljude. Prema našoj procjeni usluga ne donosi odluku koja proizvodi pravne učinke koji se odnose na osobu ili na sličan način značajno na nju utječu (čl. 22(1) OUZP-a). Ipak postoje automatizirane procjene i automatske blokade. Navodimo ih kako bi se razvrstavanje moglo provjeriti.
| Mehanizam | Što radi | Na koga utječe |
|---|
| Ocjena i zaključak provjere | Ponderirani zbroj nedostajućih zaštitnih slojeva (CAPTCHA, zamka, token, vremenska provjera, nedjelotvorna CAPTCHA, poznata izložena konfiguracija), od 0 do 100; iz toga „Izloženo”, „Djelomično zaštićeno” ili „Zaštićeno”. Zaključak za web-mjesto ravna se prema najlošijem kontaktnom obrascu koji su kao takav prepoznala pravila (a ne jezični model); bez kontaktnog obrasca nema zaključka. Ponderi se mogu postaviti u administracijskom području. | Operatori web-mjesta; kod obrtnika i samostalnih poduzetnika neizravno osoba. Zaključak nema pravnih posljedica; to je nalaz s dokazima i uputama. |
| Razvrstavanje vrste obrasca | Najprije pravila, lokalni jezični model samo ako pravila vrate „nepoznato”. Odlučuje je li aktivno testno slanje dopušteno (samo za kontaktni obrazac koji su pravila pouzdano prepoznala). Obrasci koje je razvrstao jezični model nikada se ne šalju i ne ulaze u ocjenu i zaključak. | Klijent i primatelji e-pošte iz njegova obrasca; zaštitni učinak: u slučaju dvojbe ništa se ne šalje. |
| Značka | Prikazuje „Zaštićeno” samo pod fiksnim uvjetima (B.18), inače neutralno. | Klijent; nema učinka na posjetitelje. |
| Ograničenja i blokade za besplatnu provjeru, alat za zaglavlja i opt-out | Odbijaju zahtjeve ako su dosegnuta ograničenja po adresi, sesiji, domeni ili sustavu, ako je domena premlada ili nepoznate starosti ili ako se nalazi na popisu blokiranih. | Podnositelji zahtjeva; učinak: besplatna usluga uskraćuje se na nekoliko sati do nekoliko dana. Administrator može osloboditi adresu; upiti putem kontaktne stranice stižu do čovjeka. |
| Anomalije | Obrasci ponašanja (mnogo domena s jedne adrese, nagli porasti zahtjeva, mnogo odbijanja, mnogo opt-outova iz jedne zemlje, dosegnuto dnevno ograničenje) bilježe se i prijavljuju. Sami po sebi ne blokiraju; blokade proizlaze iz ograničenja. | Podnositelji zahtjeva. |
| Blokada prijave | Nakon trenutačno osam neuspjelih prijava s jedne adrese unutar 15 minuta prijave s te adrese privremeno se odbijaju. Osim toga, svi pokušaji prijave, uključujući uspješne, broje se po računu i IP adresi (trenutačno osam), po računu na svim adresama (znatno više, protiv distribuiranog pogađanja) i po IP adresi (trenutačno 80) unutar 15 minuta, kao i kodovi drugog faktora (deset po računu unutar 15 minuta); iznad toga pokušaji se odbijaju. Neuspjeli pokušaji s druge adrese stoga više ne zaključavaju vlasnika izvan računa. Potvrde lozinke (pet po računu unutar 15 minuta), e-poruke za ponovno postavljanje (tri po adresi na sat, s nepromijenjenim odgovorom), registracije (deset po IP adresi na sat) i pokušaji unosa lozinke klijentskog portala (deset po portalu i IP adresi, 50 po portalu unutar 15 minuta) ograničeni su na isti način. | Osobe koje se prijavljuju, registriraju ili otvaraju klijentski portal; učinak je vremenski ograničen, ponovno postavljanje lozinke ostaje moguće. |
| Prag reCAPTCHA-e | Odbija slanja ispod Googleove ocjene; prag po mjestu upotrebe (trenutačno 0,7 za provjeru i opt-out). Odbijaju se i odgovori za drugu radnju te slanja za koja Google ne odgovori u roku od tri sekunde. | Osobe koje šalju naše obrasce; učinak: novi pokušaj ili put preko kontaktne stranice. |
| Zaštita roja | Automatski stavlja domenu poveznice na popis kada su dosegnuti minimalni pragovi; zaštitni slojevi povezanih web-mjesta poruke s takvim poveznicama premještaju u karantenu. | Pošiljatelji poruka na stranice Klijenata. Učinak: poruka se zadržava, ne briše se, a operator web-mjesta može je osloboditi. Odluku o poruci donosi dodatak operatora na web-mjestu operatora, a ne mi. |
| Usporedne vrijednosti | „Bolje zaštićeno od X % provjerenih web-mjesta”, samo iz zbrojeva od najmanje 20 hostova. | Operatori web-mjesta; bez učinka. |
Najbliže čl. 22. jest zaštitni sloj dodatka na stranicama Klijenata, koji automatski zadržava slanja. To je obrada koju provodi operator web-mjesta na poslužitelju operatora (A.10). Ne briše ništa, nego premješta poruke u karantenu, a operator može osloboditi svaku poruku. Ondje, kao ni kod nas, ne provodi se izrada profila posjetitelja; ne postoji identifikator posjetitelja koji bi povezivao jednu poruku s drugom.
8. Tehničke i organizacijske mjere (čl. 32.) – opći opis
Ovaj je odjeljak opći opis u skladu s čl. 30(1)(g) i (2)(d) OUZP-a. Detaljna verzija nalazi se na stranici Tehničke i organizacijske mjere. Svaka mjera u nastavku dokazana je u kodu ili u konfiguraciji. Mjere koje još nisu provedene nalaze se u istom odjeljku (8.1) kako bi opis bio potpun.
| Područje | Mjera na snazi |
|---|
| Šifriranje prijenosa | HTTPS za web-mjesto, aplikaciju i sučelja; HSTS; kolačići sesije i tokena za pamćenje prijave samo preko HTTPS-a, HttpOnly, SameSite=Lax. |
| Kontrola pristupa (autentifikacija) | Lozinke samo kao hash, nove s najmanje deset znakova i najviše 72 bajta; blokada prijave nakon ponovljenih neuspjelih pokušaja i ograničenja pokušaja po računu i IP adresi zajedno, po računu i po IP adresi, kako neuspjeli pokušaji s druge adrese ne bi zaključali vlasnika izvan računa; ograničenja pokušaja i za potvrde lozinke, ponovno postavljanje lozinke (s istim odgovorom i vremenom odgovora), registracije i lozinke portala; prijava s dva faktora (TOTP) sa šifriranom tajnom, zaštitom od ponovne upotrebe koda i hashiranim kodovima za oporavak; novi identifikator sesije pri svakoj prijavi, identifikatori koje nije izdao poslužitelj ne prihvaćaju se; „Zapamti prijavu” nije dostupno superadministratorima, svaki token vrijedi samo jednom; promjena adrese e-pošte poništava otvorenu poveznicu za ponovno postavljanje; uređaji se mogu opozvati pojedinačno ili svi odjednom; popis uređaja sadržava samo hash identifikatora sesije. |
| Kontrola pristupa (autorizacija) | Uloge po radnom prostoru (vlasnik, administrator, čitatelj); ovlasti se provjeravaju prema objektu, nikada prema identifikatoru iz obrasca; testni račun, „Fix it for me” i aktivne provjere samo za vlasnike i administratore; „Prikaz kao Klijent” vremenski je ograničen i blokiran za radnje koje mijenjaju račun, njegov završetak potpuno odjavljuje, povratak u administracijsko područje moguć je samo uz lozinku i drugi faktor; pozivnice vrijede samo dok je osoba koja poziva vlasnik ili administrator; adrese webhookova i chat-kanala čitateljima se prikazuju samo skraćene na host; naziv hosta potvrđene domene ne može se mijenjati. |
| Sigurnost aplikacije | CSRF tokeni; pripremljene naredbe baze podataka; naša vlastita zaštita obrazaca (zamka, potpisana vremenska provjera); reCAPTCHA na javnim obrascima; ograničavanje broja zahtjeva za podršku, provjere i sučelja; samo jedan poziv „Fix it for me” po radnom prostoru istodobno, kako bi kvota vrijedila i za istodobne zahtjeve; Content Security Policy sa zaštitom od uokvirivanja koja dopušta izvođenje samo skripti koje nose odobrenje (nonce) odgovarajućeg odgovora; IP adresa iz proslijeđenih zaglavlja samo od našeg vlastitog proxyja i samo iz unosa koji je on dodao; pristupni tokeni maskirani su u zapisniku pregleda stranica. |
| Tajne | API ključevi, kodovi za uvođenje, tajne za povezivanje dodatka, jednokratni kodovi i lozinke portala samo kao hash; pristupni podaci testnih računa asimetrično šifrirani, privatni ključ samo na poslužitelju za skeniranje; webhookovi potpisani; Stripe događaji samo s valjanim potpisom. |
| Smanjenje količine podataka | Provjera dostave ne pohranjuje sadržaj ni pune adrese pošiljatelja; adrese primatelja u obrascima samo kao domena; ID-ovi računa u adresama skripti zamjenjuju se; brojke dodatka samo s fiksnih popisa; tekstovi pogrešaka pri slanju e-pošte samo kao kategorija; Telegram signali bez varijabli; slike provjere preglednikom s maskiranim unosom; bez snimki zaslona iza prijave. |
| Izolacija skenera | Svaka provjera u vlastitom spremniku (containeru): sve Linux ovlasti (capabilities) uklonjene, bez eskalacije privilegija, datotečni sustav samo za čitanje, ograničenje memorije i procesa, vlastita mreža; provjera cilja u odnosu na privatne i lokalne mreže prije prihvaćanja i u skeneru, također nakon preusmjeravanja; service workeri blokirani, WebSocket veze zatvorene. Zahtjevi web-poslužitelja (dokaz kontrole, alat za zaglavlja, pretraživanje datoteka, puls, RDAP, certifikati, webhookovi i upozorenja u chat) samo na uobičajenim web-priključcima i samo na točno provjerenu adresu, webhookovi i upozorenja u chat samo preko HTTPS-a. |
| Pohrana | Snimke zaslona izvan web-direktorija, dohvatljive samo putem izvješća; izvješća na nasumičnim adresama s oznakom noindex; direktorij sigurnosnih kopija čitljiv samo usluzi. |
| Dostupnost i oporavak | Noćna sigurnosna kopija s provjerom sadržaja, tjedni test vraćanja, upozorenje pri neuspjehu; provjera komponenti svakih pet minuta sa signalom i e-porukom; vanjski otkucaj srca; zaustavljanje u nuždi za anonimne provjere; povratni pritisak pri zaostatku. |
| Sljedivost | Zapisnik aktivnosti za prijave, promjene, brisanja, pristupe podrške i odobrenja; zapisnik pogrešaka s upozorenjem. |
| Brisanje | Rokovi čuvanja na jednom mjestu u kodu, iz istih postavki kao i tekstovi (odjeljak 6); lanci brisanja za domenu, radni prostor i račun, uz iznimke iz odjeljka 6.4. |
| Prava ispitanika | Izvoz svih podataka računa jednim klikom kao datoteka, na temelju popisa dopuštenih polja, bez tajni. |
| Organizacija | Administracijsko područje samo za račune s ovlastima superadministratora, blokirano tijekom „Prikaza kao Klijent”; razvojni i produkcijski sustav odvojeni, razvojni sustav iza dodatne pristupne zapreke; prijenos pravnih tekstova nakon odobrenja putem alata koji odbija nacrte i rezervirana mjesta. |
8.1 Mjere koje još nisu provedene
- Nema šifriranja baze podataka u mirovanju (izmjereno 11. listopada 2026.). Iznimke su pristupni podaci testnih računa i tajna drugog faktora, koji su šifrirani na razini polja.
- Interne veze nisu u cijelosti šifrirane. Veze unutar naše interne mreže nisu u cijelosti šifrirane. Pristupni podaci testnih računa ondje se prenose samo kao šifrirani tekst.
- Nema sigurnosne kopije na drugoj lokaciji. Sigurnosne kopije trenutačno se čuvaju na istoj lokaciji kao baza podataka i nisu zasebno šifrirane; planirana je šifrirana kopija na drugoj lokaciji. Do tada štite od pogrešne naredbe za brisanje, ali ne i od gubitka lokacije.
- Učvršćivanje administracije poslužitelja nije dovršeno. Sigurnost administrativnog pristupa našim poslužiteljima još ne zadovoljava standard koji namjeravamo za rad; učvršćivanje se nastavlja. Pojedinosti ne objavljujemo jer bi pomogle napadaču; nadzornom tijelu dajemo ih na zahtjev.
- Nema funkcionalnog zapisnika čitanja u administracijskom području. Radnje pisanja bilježe se u zapisnik aktivnosti; tko je samo pregledao koji zahtjev za podršku ili koje izvješće može se utvrditi samo iz zapisnika pregleda stranica (60 dana).
- Nema trajnog zapisnika brisanja. Ono što je noćna obrada izbrisala ne bilježi se (odjeljak 6).
- Nema neovisne druge točke provjere. Sonda na drugoj lokaciji nije postavljena (A.6).
9. Službenik za zaštitu podataka – procjena u skladu s čl. 37. OUZP-a
Rezultat: Prema našoj procjeni ne postoji obveza imenovanja. Procjena je dio pravne provjere i ponovit će se čim se promijeni bilo koja od okolnosti navedenih u nastavku.
Čl. 37(1) zahtijeva imenovanje u tri slučaja.
- Točka (a) (tijelo javne vlasti ili javno tijelo) ne primjenjuje se.
- Točka (b) (osnovne djelatnosti koje zahtijevaju redovito i sustavno praćenje ispitanika u velikoj mjeri): naša je osnovna djelatnost redovita, sustavna provjera web-mjesta i obrazaca, a ne promatranje ljudi. Ne izrađujemo profile posjetitelja, ne koristimo praćenje i ne povezujemo nijednu poruku s drugom. Provjera dostave (A.1) propušta stvarne poruke posjetitelja kroz naš poštanski sandučić, ali radi dodjele procjenjuje samo zaglavlja i prvih 8 KB te ne pohranjuje sadržaj; promatra putove dostave, a ne ljude. Klijentski računi i zapisnici sporedni su u odnosu na poslovnu djelatnost.
- Točka (c) (opsežna obrada posebnih kategorija iz čl. 9. ili podataka u vezi s kaznenim djelima iz čl. 10. kao osnovna djelatnost): nije ispunjeno. Posebne kategorije mogu se slučajno pojaviti u kopijama e-pošte iz obrazaca (A.1), na stranicama iza prijave (A.5) ili u zalijepljenom kodu (A.7); slučajno prikupljanje nije osnovna djelatnost.
Čl. 37(4) dopušta da nacionalno pravo doda daljnje slučajeve. Od odvjetnika tražimo potvrdu zahtijeva li poljsko pravo od nas imenovanje.
Okidači za novu procjenu: aktivacija zaštite roja s IP mrežama; funkcija koja prepoznaje posjetitelje kroz više poruka ili web-mjesta; pohrana sadržaja iz provjere dostave; Klijent čiji se obrasci pretežno odnose na posebne kategorije (zdravlje, prijave za posao) s provjerom dostave uključenom u velikoj mjeri; prvi zaposlenik s pristupom podacima klijenata. Dobrovoljno imenovanje ostaje moguće; tada se čl. 37. do 39. primjenjuju u cijelosti.
Zasebno: je li za pojedine aktivnosti obrade potrebna procjena učinka na zaštitu podataka u skladu s čl. 35., odgovara stranica Procjena učinka na zaštitu podataka. Njezina procjena praga zaključuje da je procjena učinka potrebna za zaštitu roja (B.21) i za studije u namjeravanom opsegu (B.7) te da je provodimo mi, a da je za provjeru dostave (A.1) potrebna u tipičnoj konstelaciji, kao obveza Klijenta, kojeg u tome podupiremo.
10. Otvorene točke i planirane mjere
Sljedeće točke dokazane su u kodu, shemi ili konfiguraciji, a ne pretpostavljene. Opisuju stanje na datum ove verzije; razvrstavanje je naše vlastito i ne prejudicira nikakvu pravnu ocjenu. Poredane su prema njihovoj težini za ispitanike, a ne prema tome koliko ih je lako otkloniti. Planirane mjere i njihov prioritet navedeni su u Procjeni učinka na zaštitu podataka.
| Otvorena točka | Što je dokazano | Značaj |
|---|
| Pružatelj usluge e-pošte bez dokumentiranog ugovora | Za Namecheap, Inc. (Private Email), Phoenix, Arizona, USA ugovor, mjesta obrade i osnova za prijenos nisu dokumentirani. Kroz tog pružatelja prolaze e-poruke računa, upozorenja i kontrolni poštanski sandučić sa stvarnim porukama posjetitelja. | Mjerodavne su odredbe čl. 28(2) i (4) te poglavlje V. OUZP-a. Sklapanje i dokumentiranje planirani su prije pokretanja. |
| Osnove za usluge chata i reCAPTCHA otvorene | Upozorenja na Telegram (bez odluke o primjerenosti), Slack, Discord, Microsoft Teams i Google Chat; reCAPTCHA bez zahtjeva za privolu. | Otvorena pitanja za pravnu provjeru; do tada obavijest i osnova nisu konačni. |
| Kontrolni poštanski sandučić može zadržavati poruke tijekom smetnji | Brisanje se provodi nakon uspješne obrade; ako dohvaćanje ne uspije, kopije ostaju do sljedeće uspješne obrade. Ne postoji upozorenje kada se u poštanskom sandučiću tijekom duljeg razdoblja nakupi zaostatak. | Kopije sadržavaju stvarne upite posjetitelja. |
| Nema sigurnosne kopije na drugoj lokaciji, nema šifriranja baze podataka u mirovanju | Odjeljak 8.1. Planirana je šifrirana kopija sigurnosne kopije na drugoj lokaciji. | Jedan događaj na lokaciji istodobno bi pogodio podatke i sigurnosnu kopiju; ukradeni medij za pohranu bio bi čitljiv. |
| Neriješene anomalije bez roka čuvanja | Anomalije s punom IP adresom kao ključem brišu se tek 90 dana nakon rješavanja; ono što nikada nije riješeno ostaje. | Odnosi se na načelo ograničenja pohrane (čl. 5(1)(e)); brisanje ovisi o ručnom rješavanju. Planiran je fiksni rok čuvanja (mjere iz Procjene učinka na zaštitu podataka). |
| Vrste pogrešaka s primjernom porukom bez roka čuvanja | Primjerna poruka pohranjuje se neizmijenjena do 2.000 znakova; očišćeni uzorak uklanja adrese i brojeve, primjerna poruka ne. | Poruke o pogreškama mogu sadržavati adrese e-pošte, nazive hostova ili IP adrese. |
| Inventar skripti bez vlastitog roka čuvanja | Inventar skripti i promjene skripti brišu se zajedno s domenom (FE_DOMAIN_TABELLEN), uključujući pri brisanju radnog prostora ili računa i u noćnoj obradi ostataka; nemaju vlastiti rok čuvanja. Sadržavaju adrese skripti, adrese stranica te, kod odobrenja, osobu koja je odobrila i razlog u slobodnom tekstu. | Odnosi se na načelo ograničenja pohrane (čl. 5(1)(e)); zapisnik promjena s odobrenjima raste sve dok postoji domena. |
| Pretplatnici opozvanih portala | Opozvani portal blokira se, a ne briše; njegovi pretplatnici ostaju do brisanja radnog prostora. | Svrha (slanje izvješća) prestala je opozivom. |
| Popisi studija bez roka čuvanja | Nakon objave hostovi i segmenti ostaju; nikad objavljene studije zadržavaju i svoje neobrađene podatke. | Obećanje „neobrađeni podaci se brišu” vrijedi samo za objavljene studije. |
| Interne provjere bez puta brisanja | Provjere s razinom povjerenja „interno” koje nemaju ni domenu ni izvješće (studije i provjere koje je operator izradio iz naredbenog retka) ne obuhvaća nijedan put brisanja; uz njih ostaju obrasci, nalazi i snimke zaslona tuđih web-mjesta. | Odnosi se na načelo ograničenja pohrane (čl. 5(1)(e)); pogađa osobe koje o provjeri ništa ne znaju. U Procjeni učinka na zaštitu podataka ocijenjeno kao visok rizik. |
| Dokaz kontrole ne obnavlja se | Dokaz kontrole provjerava se jednom; u kodu ne postoji put kojim bi ga domena ponovno izgubila. | Aktivna testna slanja, pretraživanje datoteka i skeniranje iza prijave nastavljaju se i nakon promjene vlasnika ili mandata. |
| Skeniranje iza prijave: prijenos do Klijentove stranice | Kao adresa za prijavu uz https dopušten je i http, a pogreške certifikata na Klijentovoj stranici ne zaustavljaju prijavu. | Pristupni podaci testnog računa mogli bi se presresti na putu do Klijentove stranice. |
| Brisanje ovisi o vremenskom razdoblju | Dnevni blok izvršava se samo ako statusna obrada započne između 03:00 i 03:04. Ako ta jedna obrada ne uspije (baza podataka nedostupna, poslužitelj ponovno pokrenut), brisanje i sigurnosna kopija za taj dan ne provode se; nema naknadnog izvršavanja. Ono što je izbrisano ne bilježi se trajno. | Rokovi čuvanja tada se prešutno produljuju za jedan dan. Propušteno razdoblje ne pokreće upozorenje; prijavljuje se samo sigurnosna kopija koja se izvrši i ne uspije. Popis za postavljanje u administracijskom području prikazuje datum posljednje uspješne sigurnosne kopije. |
| Neka brisanja ovise o nadzoru | Pražnjenje kontrolnog poštanskog sandučića provjere dostave, brisanje incidenata, poslanih zbirnih obavijesti, signala roja i provjera potencijalnih klijenata te uklanjanje preostalih kopija testnih računa u zadacima izvršavaju se u dijelu statusne obrade za raspoređivanje, koji radi samo dok je nadzor uključen u administracijskom području; dodjele provjere dostave brišu se samo dok je postavljen kontrolni poštanski sandučić. | Ako se nadzor centralno isključi ili se poštanski sandučić ukloni, ti se rokovi čuvanja zaustavljaju, a da to nitko ne primijeti. |
| Točka za prijavu i poštanski sandučići bez roka čuvanja | Prijave ranjivosti i druge dolazne e-poruke čuvaju se izvan aplikacije; rok čuvanja nije određen. | Prijave mogu sadržavati dokaze trećih osoba. |
| Vrijednosti skrivenih polja čitaju se tijekom provjere | Skener čita vrijednost skrivenih polja obrasca do 24 znaka i podatkovne atribute do 60 znakova kako bi prepoznao vremenske oznake i tokene. U mapu polja i nalaze ulaze samo naziv polja, vrsta, oznaka i rezultat prepoznavanja, a ne vrijednost. | Nema praznine u pohrani; vrijednost se tijekom provjere nalazi samo u radnoj memoriji spremnika za skeniranje. Unaprijed popunjena vrijednost (primjerice broj klijenta) pritom se čita, ali ne pohranjuje. |
| Izvedena domena pošiljatelja u rezultatu autentifikacije | A.1. | Kod osobnih domena posjetitelja, osobni podaci koji potječu iz stvarne poruke. |
| Učvršćivanje administracije poslužitelja nije dovršeno; interne veze nisu u cijelosti šifrirane | Odjeljak 8.1. Učvršćivanje se nastavlja; pojedinosti ne navodimo javno. | Sigurnosni incident na razini poslužitelja istodobno bi pogodio aplikaciju, bazu podataka i sigurnosne kopije. |
| Mjerenje na razvojnom sustavu | Shema, kod i postavke izmjereni su na razvojnom sustavu. | Kod i shema podudaraju se s produkcijskim sustavom; postavke se mogu razlikovati i moraju se ondje ponovno provjeriti prije pokretanja. |
11. Održavanje ove evidencije
Čl. 30. zahtijeva da se evidencija vodi u pisanom obliku i da se na zahtjev stavi na raspolaganje nadzornom tijelu. Za to je potreban netko tko je za nju odgovoran i interval u kojem se provjerava u odnosu na sustav, a ne u odnosu na svoju prethodnu verziju.
- Odgovornost: Lukas Wójcik, vlasnik. Pregledava se jednom godišnje i pri svakoj promjeni aktivnosti obrade.
- Događaji koji zahtijevaju ažuriranje: novi ili promijenjeni podizvršitelj obrade, osobito odabir pružatelja usluge e-pošte; nova tablica ili novo polje s osobnim podacima; promjena rokova čuvanja ili lanaca brisanja u
cfg/fristen_lib.php ili srv/cron_status.php; novi kanal upozorenja ili novi zahtjev prema trećoj strani; uključivanje funkcije koja je zadano isključena (zaštita roja s IP mrežama, sonda, vlastite domene, partnerski program, plaćanje po računu, Spamhaus ili Google Web Risk); prelazak na druge poslužitelje.
- Postupak: svaka izjava ovdje potječe iz koda, sheme ili mjerenja. Pregled koji samo čita tekst nije ništa pregledao: shema i lanci brisanja ponovno se mjere, rezervirana mjesta ostaju rezervirana mjesta, otvorene točke zatvaraju se ili se uz obrazloženje prenose dalje.
- Odnos prema drugim dokumentima: ova evidencija ne zamjenjuje Politiku privatnosti, Ugovor o obradi podataka, Tehničke i organizacijske mjere ni popis Podizvršitelja obrade. Ako se oni i ova evidencija razlikuju, razlika je nalaz.
- Izmjene ovog dokumenta navedene su na stranici Izmjene ugovornih dokumenata.
English 
Deutsch 
Polski 
Български 
Čeština 
Dansk 
Ελληνικά 
Español 
Eesti 
Suomi 
Français 
Gaeilge 
Hrvatski 
Magyar 
Italiano 
Lietuvių 
Latviešu 
Malti 
Nederlands 
Português 
Română 
Slovenčina 
Slovenščina 
Svenska 
العربية 
हिन्दी 
Bahasa Indonesia 
日本語 
한국어 
Русский 
简体中文 
Norsk (bokmål) 
Português (Brasil) 
Türkçe 
Українська 
Español (México) 
Tiếng Việt 
ไทย 
Íslenska 
עברית 
Bahasa Melayu 
Srpski (latinica)