Procjena učinka na zaštitu podataka (čl. 35. OUZP-a)

Ovaj dokument objavljen je na više jezika. U slučaju bilo kakvog neslaganja između jezičnih verzija, poljska verzija je obvezujuća.

Verzija 1.0 · Posljednje ažuriranje: 16. listopada 2026.

1. O čemu je riječ i što je ova stranica

Ova stranica je procjena učinka na zaštitu podataka (DPIA) usluge formexposed u skladu s čl. 35. OUZP-a. Najprije odgovara na prethodno pitanje je li procjena učinka uopće potrebna – zasebno za svaki postupak obrade, a ne za uslugu u cjelini. Ako je odgovor potvrdan, provodi procjenu u skladu s čl. 35(7)(a) do (d): sustavni opis, nužnost i proporcionalnost, rizici za ispitanike i mjere za njihovo rješavanje. Slijede preostali rizik, pitanje prethodnog savjetovanja u skladu s čl. 36. i pravila za preispitivanje.

Čl. 35. ne zahtijeva objavu procjene učinka. Objavljujemo je iz dva razloga. Prvo, Klijentima koji koriste provjeru dostave ili skeniranje iza prijave za vlastitu procjenu potrebne su činjenice koje znamo samo mi; te im činjenice kao izvršitelj obrade ionako dugujemo (čl. 28(3)(f) OUZP-a). Drugo, naš alat za indeksiranje (crawler) provjerava web-mjesta čiji nas operatori ne poznaju. Oni bi trebali moći pročitati koje rizike vidimo za njih i za osobe na njihovim stranicama te što u vezi s time poduzimamo.

Pravna narav. Ova procjena učinka dokumentacija je voditelja obrade u skladu s čl. 35. OUZP-a koju dobrovoljno objavljujemo. Nije dio nikakvog ugovora i ne predstavlja nikakvu izjavu, jamstvo ni dogovor o kvaliteti prema Klijentima ili trećim osobama. Koje usluge i zaštitne mjere dugujemo Klijentima uređeno je Uvjetima korištenja, Ugovorom o obradi podataka i njegovim prilozima; u pogledu tih obveza oni imaju prednost pred ovom stranicom. Stranica opisuje stanje na datum ove verzije. Ocjene rizika i procjene naše su vlastito stajalište i ne prejudiciraju nikakvu pravnu ocjenu nadzornog tijela ili suda; mjere opisane kao „planirane” namjere su bez obvezujućeg datuma. Klijentima stranica služi kao osnova za vlastitu procjenu, a ne kao pravni savjet.

Ovo je prva verzija procjene praga. Ona po postupcima obrade ispituje je li procjena učinka potrebna i bilježi rezultat u odjeljku 3.5.

Svaka činjenična izjava podliježe istom načelu kao i u našim drugim pravnim dokumentima: izmjereno, a ne namjeravano. Ono što je dokazano u kodu ili u bazi podataka ovdje se navodi s referencom na izvor. Ono što nije moglo biti dokazano označeno je s „nije provjereno”. Ono što je samo planirano naziva se „planirano”. Otvorene točke otvoreno navodimo, zajedno s planiranom mjerom; procjena učinka koja navodi samo prednosti ne pomaže osobama na koje se odnosi.

Pojmovi: operator je onaj tko vodi provjereno web-mjesto. Klijent ima račun kod usluge formexposed. Posjetitelj je onaj tko koristi Klijentovo web-mjesto, primjerice njegov kontaktni obrazac. Referenca na izvor označava datoteku, funkciju ili postavku u izvornom kodu, izmjerenu prema stanju razvojnog sustava 11. listopada 2026.

Kod otvorenosti namjerno povlačimo jednu granicu: otvorene točke u osiguravanju naših vlastitih poslužitelja opisuju se samo općenito (R13). Navodimo rizik i njegovu razinu, ali ne i put do konkretne ranjivosti; pojedinosti ćemo nadzornom tijelu dati na zahtjev.

2. Uloge: tko snosi obvezu i za što

Čl. 35. obvezu stavlja na voditelja obrade. formexposed je za neke postupke obrade voditelj obrade, za druge izvršitelj obrade za svoje Klijente, a ni jedno ni drugo za podatke koje naš WordPress dodatak i naše TYPO3 proširenje pohranjuju na Klijentovu web-mjestu. Odgovor na gotovo svako pitanje u ovom dokumentu ovisi o tome na koju se ulogu pitanje odnosi. Raspodjela slijedi Politiku privatnosti i Ugovor o obradi podataka.

Postupak obrade	Uloga usluge formexposed	Tko snosi obvezu iz čl. 35.
Provjera tuđih web-mjesta bez uputa njihova operatora: besplatna provjera, provjera potencijalnih klijenata za agencije, studija	Voditelj obrade	formexposed
Provjera domena u Klijentovu računu: nadzor, aktivna testna slanja, putovi preglednikom, izložene datoteke, puls obrasca	Voditelj obrade za podatke Klijentova računa i provjera; izvršitelj obrade za osobne podatke trećih osoba vidljive na Klijentovu potvrđenom web-mjestu; dok domena nije potvrđena, voditelj obrade kao kod besplatne provjere	formexposed za svoj dio; Klijent za podatke trećih osoba na svojem web-mjestu
Skeniranje iza prijave s testnim računom	Izvršitelj obrade: pristupni podaci i sadržaj iza prijave pripadaju Klijentovu web-mjestu	Klijent; formexposed pomaže
Provjera dostave s kontrolnom kopijom	Izvršitelj obrade	Klijent; formexposed pomaže
Zaštita roja: zajednički popis domena poveznica iz blokirane neželjene pošte	Voditelj obrade: objedinjujemo prijave mnogih web-mjesta, sastavljamo popis i distribuiramo ga	formexposed
Klijentski računi, prijava, zapisnici, podrška, slanje e-pošte, plaćanja, dokazna evidencija	Voditelj obrade	formexposed
Klijentski portal i mjesečno izvješće pretplatnicima agencije	Izvršitelj obrade	Agencija
Podaci koje dodatak i proširenje pohranjuju na Klijentovu web-mjestu (karantena, sigurnosna mreža, pohranjeni upiti)	Ni jedno ni drugo: podaci nikada ne napuštaju web-mjesto	Operator web-mjesta

Iz toga proizlazi razlikovanje koje izričito navodimo jer se često pogrešno shvaća u oba smjera. Kada je formexposed voditelj obrade, procjenu provodimo sami i snosimo njezin rezultat. Kada smo izvršitelj obrade, ne možemo umjesto Klijenta provesti njegovu procjenu, za njega odlučiti o pitanju nužnosti ni u njegovo ime savjetovati se s nadzornim tijelom u skladu s čl. 36. Ono što ondje možemo i moramo učiniti jest pružiti mu sve što mu je potrebno: opis iz točke (a), izmjerene činjenice o rizicima iz točke (c) i iskren popis stanja mjera iz točke (d). Za provjeru dostave i skeniranje iza prijave ova je stranica upravo to.

Klijent koji odjeljke o provjeri dostave neizmijenjene preuzme kao vlastitu procjenu učinka nije je proveo. Je li kontrolna kopija opravdana za njegove obrasce, treba li ondje očekivati posebne kategorije osobnih podataka i kako obavještava svoje posjetitelje pitanja su o kojima može odlučiti samo on. Odjeljak 11 sažima što je u tu svrhu potrebno razjasniti.

3. Procjena praga: je li procjena učinka potrebna?

3.1 Čl. 35(1) i čl. 35(3)

Čl. 35(1) zahtijeva procjenu učinka ako je vjerojatno da će neka vrsta obrade, osobito putem novih tehnologija i uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, prouzročiti visok rizik za prava i slobode pojedinaca. Čl. 35(3) navodi tri slučaja u kojima je to osobito tako. Nijedan od njih ne odgovara usluzi formexposed, a to treba obrazložiti, a ne samo tvrditi:

• Točka (a) – sustavna i opsežna procjena osobnih aspekata u vezi s pojedincima koja se temelji na automatiziranoj obradi i na kojoj se temelje odluke koje proizvode pravne učinke ili na sličan način značajno utječu na njih. Procjenjujemo obrasce i web-mjesta, a ne osobne aspekte ljudi. Usluga ne donosi nikakvu odluku s pravnim učinkom na bilo koju osobu. Tome je najbliža zaštita roja: poruke koje sadržavaju poveznicu na domenu s popisa završavaju u karanteni na povezanim web-mjestima. To je automatizirana posljedica za poruku, a ne opsežna procjena osobe; obrađujemo je u okviru kriterija „Evaluacija ili bodovanje” u odjeljku 3.3.
• Točka (b) – opsežna obrada posebnih kategorija iz čl. 9. ili podataka u vezi s kaznenim djelima iz čl. 10. Nije namjeravana niti izgrađena. Takvi podaci ipak mogu do nas doći jednim putem: u kontrolnoj kopiji stvarnih poruka posjetitelja u provjeri dostave. To ovisi o pojedinom slučaju i nije opsežno u smislu te odredbe; međutim, uzima se u obzir u procjeni rizika (R1).
• Točka (c) – sustavno praćenje javno dostupnog područja u velikoj mjeri. To se odnosi na fizičko promatranje mjesta, a ne na dohvaćanje javnih web-stranica. Navođenje te odredbe kao uporišta za alat za indeksiranje web-mjesta bilo bi netočno.

Ispravan je put stoga sam čl. 35(1), primijenjen kroz devet kriterija iz Smjernica Radne skupine iz članka 29. o procjeni učinka na zaštitu podataka (WP248 rev.01, koje je potvrdio Europski odbor za zaštitu podataka), i popis poljskog nadzornog tijela u skladu s čl. 35(4) (odjeljak 3.4).

3.2 Devet kriterija iz smjernica WP248

Smjernice navode devet obilježja koja upućuju na vjerojatan visok rizik. Prema okvirnom pravilu, postupak obrade koji ispunjava dva od njih u većini će slučajeva zahtijevati procjenu učinka. Voditelj obrade u pojedinačnom slučaju može doći do drukčijeg zaključka, ali ga tada mora obrazložiti i dokumentirati. S druge strane, i jedan kriterij može biti dovoljan. Na ovoj stranici koristimo sljedeće kratke oznake:

1. C1 – Evaluacija ili bodovanje, uključujući izradu profila i predviđanje, primjerice radnog učinka, ekonomskog stanja, pouzdanosti ili ponašanja.
2. C2 – Automatizirano donošenje odluka s pravnim ili sličnim značajnim učinkom.
3. C3 – Sustavno praćenje, tj. obrada koja se koristi za promatranje, praćenje ili kontrolu ispitanika, uključujući putem mreža. Smjernice taj kriterij izričito opravdavaju činjenicom da ispitanici često ne znaju tko prikuplja njihove podatke i u koju svrhu.
4. C4 – Osjetljivi podaci ili podaci vrlo osobne prirode: posebne kategorije iz čl. 9. i 10., ali i podaci čije otkrivanje znatno utječe na svakodnevni život, uključujući elektroničke komunikacije čiju bi povjerljivost trebalo zaštititi.
5. C5 – Opsežna obrada podataka, mjereno brojem ispitanika, količinom i rasponom podataka, trajanjem i zemljopisnim opsegom.
6. C6 – Usklađivanje ili kombiniranje skupova podataka koji potječu iz različitih postupaka obrade ili od različitih voditelja obrade, na način koji ispitanici ne bi očekivali.
7. C7 – Podaci o ranjivim ispitanicima, primjerice zaposlenicima, djeci, pacijentima ili drugim osobama u neravnoteži moći.
8. C8 – Inovativna uporaba ili primjena novih tehnoloških ili organizacijskih rješenja; u nadzornoj se praksi uporaba umjetne inteligencije redovito smatra obuhvaćenom tim kriterijem.
9. C9 – Obrada koja sprečava ispitanike u ostvarivanju prava ili korištenju usluge ili ugovora.

Svaki kriterij ocjenjujemo kao „ispunjen”, „granični slučaj” ili „nije ispunjen” i ocjenu obrazlažemo iz koda. Granični slučaj ne računa se u zbroju kao ispunjen, ali se navodi u rezultatu; ako više graničnih slučajeva upućuje u istom smjeru, postupak obrade uključujemo u procjenu.

3.3 Procjena po postupku obrade

P1 – Besplatna provjera bez računa (provjera bilo kojeg tuđeg web-mjesta na zahtjev)

Svatko može unijeti domenu na početnoj stranici. Alat za indeksiranje tada dohvaća najviše osam javnih stranica tog web-mjesta, čita obrasce, izrađuje snimke zaslona i izrađuje izvješće koje može vidjeti svatko tko zna njegovu nasumičnu poveznicu. Operator web-mjesta o tome ništa ne saznaje, osim ako u svojim zapisnicima ne primijeti identifikator alata za indeksiranje.

• C1 – granični slučaj. Izvješće ocjenjuje zaštitu obrasca razinom („Izloženo”, „Djelomično zaštićeno”, „Zaštićeno”) i ocjenom. Kod društva s ograničenom odgovornošću to se ne odnosi na fizičku osobu. Kod obrtnika i slobodnih zanimanja domena se može pripisati pojedincu, a razina tada nešto govori o pažnji u njegovoj profesionalnoj djelatnosti. Međutim, ocjenjuje se tehnička postavka, a ne ponašanje ili osobine osobe. To smatramo graničnim slučajem.
• C2 – nije ispunjen. U odnosu na operatora ništa se ne odlučuje. U odnosu na osobu koja traži provjeru primjenjuju se ograničenja po IP adresi i sesiji (cfg/check_lib.php); odbijena provjera nema značajan učinak.
• C3 – nije ispunjen. Riječ je o jednokratnom dohvaćanju na zahtjev, najviše jednom po domeni i tjednu (cfg/check_lib.php, postavka fc_domain_days = 7). Ne promatraju se ljudi. Okolnost kojom smjernice opravdavaju C3 – ispitanici ne znaju ništa o obradi – ipak je prisutna. Uzima se u obzir u procjeni rizika (R5).
• C4 – nije ispunjen. Pohranjuju se struktura obrasca i nalazi, a ne unesene vrijednosti (scanner/src/crawl.js za vidljiva polja pohranjuje samo duljinu vrijednosti). Skener čita početke unaprijed popunjenih skrivenih polja (do 24 znaka) i podatkovnih atributa (do 60 znakova) samo tijekom provjere kako bi prepoznao tokene i vremenske oznake; oni se ne pohranjuju. Snimke zaslona mogu slučajno prikazivati ljude i imena; web-mjesto liječničke ordinacije na slici prikazuje svoju specijalnost. To su javni profesionalni podaci, a ne zdravstveni podaci određene osobe.
• C5 – granični slučaj. Dnevno ograničenje iznosi 200 prihvaćenih provjera (fc_daily_cap), tj. računski do otprilike 73.000 web-mjesta godišnje. Po web-mjestu nastaje tek nekoliko osobnih podataka, a trajanje je kratko (30 dana). Izmjereno na razvojnom sustavu, u skupu podataka postoje 2 anonimne provjere. Danas nije ispunjen; granični slučaj s obzirom na predviđeni kapacitet.
• C6 – nije ispunjen. Osim dohvaćanja stranica, usluga putem RDAP usluge rdap.org upituje starost domene (prenosi se samo naziv domene; pohranjuje se samo datum registracije, u predmemoriji) i razrješava DNS. To su tehnički podaci o domeni, a ne kombinacija skupova podataka o ljudima.
• C7 – nije ispunjen.
• C8 – ispunjen, u slabom obliku. Automatizirani preglednik provjerava stranice, a jezični model na našem vlastitom poslužitelju razvrstava obrasce koje pravila ne prepoznaju (scanner/src/classify.js). Model vidi naslov stranice, adresu, oznake polja i do 400 znakova teksta obrasca. Nikada ne može obrazac učiniti „pogodnim za slanje”.
• C9 – nije ispunjen.

Međurezultat P1: jedan kriterij u slabom obliku (C8), dva granična slučaja (C1, C5). Nema obveze prema okvirnom pravilu. Budući da oba granična slučaja upućuju u istom smjeru, a ispitanici ne znaju ništa o obradi, P1 uključujemo u procjenu.

P2 – Provjera potencijalnih klijenata za agencije

Agencija s paketom Business i postavljenim vlastitim brendom može pasivno provjeriti web-mjesto potencijalnog klijenta. Dobiva kratak nalaz pod svojim brendom i detaljno izvješće te sama prosljeđuje poveznicu (cfg/akquise_lib.php). Mi nikoga ne kontaktiramo.

• C1 – granični slučaj, izraženiji nego kod P1. Kratak nalaz izričito je zamišljen kao „otvarač vrata za prvi razgovor”. Ocjena web-mjesta tako postaje osnova za komercijalno obraćanje osobi.
• C5 – nije ispunjen. Najviše 30 provjera po agenciji mjesečno (prospect_monthly), brišu se nakon 90 dana.
• C8 – ispunjen, u slabom obliku (ista tehnologija kao kod P1).
• Ostali kriteriji – nisu ispunjeni. Nalaz se prikazuje s brendom agencije, ali se ne povezuje s drugim podacima o operatoru.

Međurezultat P2: nema obveze prema okvirnom pravilu; uključeno iz istih razloga kao P1 i zato što svrha – pridobivanje klijenata – nosi vlastiti rizik (R6).

P3 – Studija „Form Security Index”

Za studiju se pasivno provjerava popis web-mjesta, ograničeno na najviše pet otvorenih zadataka po izvođenju statusnog procesa, koji se izvodi svakih pet minuta (cfg/studie_lib.php). Objavljuju se samo zbrojevi, a segmenti tek od 20 web-mjesta s obrascem (study_min_segment, cfg/studie_lib.php). Neobrađeni podaci brišu se pri objavi (cfg/studie_lib.php).

• C5 – granični slučaj, ispunjen kod velikih popisa. Veličina popisa u kodu nije ograničena; ograničavanje brzine računski dopušta više od tisuću provjera dnevno. Studija nacionalnog tržišta obuhvaća tisuće web-mjesta, od kojih mnoga vode obrtnici i samostalni poduzetnici. Od takve veličine nadalje kriterij smatramo ispunjenim.
• C8 – ispunjen, u slabom obliku.
• C1 – nije ispunjen. Iako se pojedino web-mjesto ocjenjuje, objavljuje se samo zbroj; ocjena ne služi za davanje izjave o pojedinom operatoru.
• Ostali kriteriji – nisu ispunjeni.

Međurezultat P3: za studije predviđene veličine dva kriterija (C5, C8). Studija stoga doseže prag; formexposed provodi procjenu kao voditelj obrade. Izmjereno na razvojnom sustavu, dosad nije izrađena nijedna studija.

P4 – Provjera domena u Klijentovu računu

Klijent redovito provjerava domene u svojem računu. Nakon što dokaže da ima pravo kontrolirati domenu, dodaju se aktivna testna slanja (najviše pet po provjeri), pretraživanje izloženih datoteka i konfigurirani putovi preglednikom.

• C3 – nije ispunjen. Provjera je zakazana i ponavlja se, ali se odnosi na Klijentovo vlastito web-mjesto i provodi se na njegov zahtjev, a ne radi promatranja ljudi.
• C4 – granični slučaj, ne. Pretraživanje izloženih datoteka čita najviše prvih 8 KB s putanja kao što su /backup.sql ili zapisnik za otklanjanje pogrešaka kako bi se iz sadržaja utvrdilo je li datoteka doista izložena (cfg/dateien_lib.php). Takav izvadak može sadržavati unose u obrasce koje su napravili posjetitelji. Provjerava se samo u memoriji i nikada se ne pohranjuje; pohranjuju se putanja, vrsta i ozbiljnost.
• C8 – ispunjen, u slabom obliku.
• Ostali kriteriji – nisu ispunjeni.

Međurezultat P4: nema obveze. Uključeno jer aktivna testna slanja i provjera datoteka ovise o dokazu koji se nikada ne obnavlja (R7).

P5 – Skeniranje iza prijave

Za potvrđenu domenu Klijent može pohraniti testni račun za svoje web-mjesto. Skener se njime prijavljuje i čita obrasce na najviše pet navedenih stranica područja za članove (cfg/login_lib.php, scanner/src/login.js).

• C4 – granični slučaj. Pristupni podaci nisu podaci vrlo osobne prirode u smislu smjernica, ali njihova zlouporaba otvara područje za članove. Ovisno o web-mjestu, iza prijave može se nalaziti povjerljiv sadržaj, primjerice na portalu za članove ili pacijente. To ovisi o Klijentu, a ne o nama.
• C8 – nije ispunjen. Automatizirane prijave uobičajene su u uslugama nadzora.
• Ostali kriteriji – nisu ispunjeni.

Međurezultat P5: nema obveze prema okvirnom pravilu. Za Klijente čije područje za članove prikazuje povjerljiv sadržaj to se može promijeniti; odluka je tada na njima. Uključeno zbog sigurnosnih rizika (R8).

P6 – Provjera dostave s kontrolnom kopijom

Klijent u postavkama e-pošte svojeg obrasca unosi kontrolnu adresu usluge formexposed kao skrivenu kopiju. Zbog toga svaka e-poruka iz obrasca odlazi i u naš kontrolni poštanski sandučić – naša testna poruka kao i svaka stvarna poruka posjetitelja. Automatizirano dohvaćanje čita zaglavlja i prvih 8 KB, dodjeljuje e-poruku, procjenjuje SPF, DKIM i DMARC te je briše (cfg/zustellung_lib.php).

• C4 – ispunjen. Ono što posjetitelji upisuju u kontaktni obrazac elektronička je komunikacija s poduzećem proizvoljnog sadržaja. Na web-mjestu liječničke ordinacije, odvjetničkog ureda, savjetovališta ili škole treba očekivati podatke iz čl. 9. ili podatke o djeci. Smjernice u okviru tog kriterija izričito navode povjerljive elektroničke komunikacije.
• C3 – granični slučaj, prije ispunjen. Svaka se poruka planski i kontinuirano kopira i automatski procjenjuje, a da pošiljatelj to ne primijeti. Svrha je provjera puta pošte, a ne promatranje ljudi. Međutim, okolnost kojom smjernice opravdavaju kriterij – ispitanici ne znaju tko prima njihove podatke – u potpunosti je prisutna sve dok Klijent ne obavijesti svoje posjetitelje.
• C7 – ovisno o Klijentu. Pacijenti, klijenti odvjetničkih ureda, kandidati za posao, roditelji i učenici često su u odnosu ovisnosti prema primatelju svoje poruke.
• C5 – granični slučaj, ne. Za pojedinog Klijenta nije opsežno. Kod usluge formexposed kopije mnogih Klijenata slijevaju se u jedan poštanski sandučić; to povećava težinu povrede, a ne broj po voditelju obrade.
• Ostali kriteriji – nisu ispunjeni. Dodjela domeni i testu nije usklađivanje skupova podataka o ljudima; tehnologija nije nova.

Međurezultat P6: C4 ispunjen, C3 granični slučaj i prije ispunjen, C7 ispunjen za mnoge tipične Klijente. U tipičnoj konstelaciji stoga su ispunjena dva ili više kriterija. Procjena učinka je potrebna – kao obveza Klijenta, koji je voditelj obrade. Odjeljci 6 do 11 pružaju mu činjenice za to.

P7 – Zaštita roja

Povezana WordPress web-mjesta jednom dnevno prijavljuju domene poveznica iz poruka koje je zaustavio njihov zaštitni sloj. Domena koja se pojavi na najmanje tri različita web-mjesta s najmanje pet pogodaka unutar sedam dana stavlja se na zajednički popis; popis se vraća svim povezanim web-mjestima, koja zatim poruke s poveznicama na tu domenu stavljaju u karantenu (cfg/swarm_lib.php).

• C6 – ispunjen. Prijave mnogih međusobno neovisnih web-mjesta, tj. različitih voditelja obrade, objedinjuju se i vraćaju svima kao zajednički popis.
• C1 – ispunjen, u mjeri u kojoj se domena može pripisati fizičkoj osobi. Popis je razvrstavanje kao izvor neželjene pošte. Smjernice kao primjer za taj kriterij navode provjeru u odnosu na zajedničku bazu podataka o prijevarama. Većina domena na takvom popisu pripada poduzećima ili su to jednokratne domene; međutim, na njega može dospjeti i domena pojedinca, opravdano ili zbog namjerno podmetnutih lažnih prijava.
• C9 – granični slučaj. Poruka s poveznicom s popisa ne stiže odmah do primatelja, nego ostaje u njegovoj karanteni dok je ne oslobodi. Ne gubi se.
• C2 – nije ispunjen. Karantena je automatizirana posljedica za poruku, bez pravnog učinka i s ljudskim oslobađanjem od strane primatelja.
• Ostali kriteriji – nisu ispunjeni. IP mreže su isključene (swarm_ip_enabled = 0, cfg/swarm_lib.php).

Međurezultat P7: dva kriterija (C6, C1) i jedan granični slučaj (C9). Prag je dosegnut; formexposed provodi procjenu kao voditelj obrade. S uključenim IP mrežama C1 i C6 bili bi ispunjeni bez ograničenja; njihovo uključivanje zahtijeva novu verziju ove procjene (odjeljak 12). Izmjereno na razvojnom sustavu, ne postoje ni prijave ni unosi na popisu.

P8 – Klijentski računi, prijava, zapisnici, podrška, e-pošta, plaćanja

• C1 i C9 – nisu ispunjeni. Upadljivo ponašanje u besplatnoj provjeri dovodi do bilješke s IP adresom (cfg/check_lib.php) i, prema potrebi, do odbijanja daljnjih provjera. To je sprečavanje zlouporabe s malim učinkom, a ne procjena osobnih aspekata.
• Ostali kriteriji – nisu ispunjeni. Riječ je o uobičajenim podacima usluge za poduzeća.

Međurezultat P8: procjena učinka nije potrebna. Postupci obrade opisani su u Evidenciji aktivnosti obrade.

P9 – Brojke dodatka, pogreške polja, snimač, značka, klijentski portal, „Fix it for me”

• Dodatak i proširenje prenose dnevne brojke, inventar dodataka i kategorije pogrešaka, a WordPress dodatak dodatno prenosi domene poveznica za zaštitu roja (zadano uključeno) (P7), bez sadržaja, adresa, imena ili IP adresa posjetitelja; snimač čuva selektore najviše 15 minuta u pregledniku administratora. Nijedan kriterij nije ispunjen.
• Pri učitavanju značka prenosi uobičajene podatke o vezi u zapisnik web-poslužitelja, bez kolačića. Nijedan kriterij nije ispunjen.
• Klijentski portal u ime agencije obrađuje adrese e-pošte pretplatnika uz dvostruku potvrdu prijave (double opt-in). Nijedan kriterij nije ispunjen.
• „Fix it for me” daje da jezični model na našem vlastitom poslužitelju prepiše zalijepljeni kod obrasca; kod se ne pohranjuje. C8 u slabom obliku, ništa drugo.

Međurezultat P9: procjena učinka nije potrebna.

3.4 Popis poljskog nadzornog tijela u skladu s čl. 35(4)

Nadležno tijelo je predsjednik Ureda za zaštitu osobnih podataka (Prezes Urzędu Ochrony Danych Osobowych, UODO). Predsjednik je popis vrsta postupaka obrade za koje je potrebna procjena učinka objavio u priopćenju od 17. lipnja 2019. (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, poz. 666). Popis svoje unose povezuje s kriterijima iz smjernica WP248, navodi primjere i izričito nije iscrpan; ne zamjenjuje procjenu u skladu s čl. 35(1).

Prema našem tumačenju, sljedeće vrste obrade s popisa sadržajno odgovaraju postupcima obrade usluge formexposed:

Vrsta obrade prema popisu (parafrazirano)	Pridruženi kriterij	Postupak obrade kod usluge formexposed	Procjena
Usporedba, procjena ili zaključivanje na temelju analize podataka iz različitih izvora	C6	P7 Zaštita roja	primjenjuje se
Evaluacija ili bodovanje, uključujući izradu profila	C1	P7 Zaštita roja; P1 i P2 kao granični slučajevi	primjenjuje se na P7
Obrada posebnih kategorija osobnih podataka	C4	P6 Provjera dostave	primjenjuje se ovisno o Klijentu
Inovativna uporaba ili primjena tehnoloških rješenja	C8	P1 do P4 (jezični model za razvrstavanje)	primjenjuje se u slabom obliku
Opsežna obrada	C5	P3 Studija	primjenjuje se na velike popise
Sustavno praćenje javno dostupnih mjesta, uključujući prepoznavanje obilježja	C3	–	ne primjenjuje se: misli se na mjesta, a ne na web-mjesta

Ova raspodjela tumačenje je, a ne citat; tekst unosa treba u pravnoj provjeri usporediti s njom. Ona potvrđuje rezultat odjeljka 3.3, ali ga ne mijenja. Prema našim saznanjima, UODO nije objavio popis u skladu s čl. 35(5) – postupaka obrade za koje procjena učinka nije potrebna.

3.5 Rezultat procjene praga

Postupak obrade	Ispunjeno	Granični slučaj	Rezultat
P1 Besplatna provjera	C8 (slabo)	C1, C5	nije obvezna; uključeno
P2 Provjera potencijalnih klijenata	C8 (slabo)	C1	nije obvezna; uključeno
P3 Studija	C8 (slabo), C5 kod velikih popisa	–	potrebna (obveza usluge formexposed)
P4 Provjera domena Klijenata	C8 (slabo)	C4 (provjera datoteka)	nije obvezna; uključeno
P5 Skeniranje iza prijave	–	C4	nije obvezna; uključeno; za Klijenta ovisno o sadržaju
P6 Provjera dostave	C4; C7 ovisno o Klijentu	C3 (prije ispunjen), C5	potrebna (obveza Klijenta; ova stranica pomaže u skladu s čl. 28(3)(f))
P7 Zaštita roja	C6, C1	C9	potrebna (obveza usluge formexposed)
P8 Računi, zapisnici, podrška, plaćanja	–	–	nije potrebna
P9 Brojke dodatka, značka, portal, „Fix it for me”	C8 (slabo, samo „Fix it for me”)	–	nije potrebna

Rezultat u pogledu čl. 35(1): Procjena učinka potrebna je za pojedine postupke obrade usluge formexposed. Potrebna je za zaštitu roja i za studije predviđene veličine, a formexposed je provodi kao voditelj obrade. Za provjeru dostave potrebna je u tipičnoj konstelaciji, ali kao obveza Klijenta; formexposed pruža osnovu. Za ostale provjere tuđih i vlastitih web-mjesta nije obvezna. Ipak ih uključujemo jer koriste istu tehnologiju, jer više graničnih slučajeva upućuje u istom smjeru i jer ispitanici – operatori bez računa i osobe na provjerenim stranicama – ne znaju ništa o obradi. Za račune, zapisnike, podršku i plaćanja procjena nije potrebna.

Odjeljci 6 do 10 stoga se primjenjuju na P1 do P7. Ako se izjava odnosi samo na jedan od tih postupaka obrade, to je posebno označeno.

4. Službenik za zaštitu podataka: procjena u skladu s čl. 37.

Službenik za zaštitu podataka nije imenovan. Čl. 37(1) jednako obvezuje voditelja obrade i izvršitelja obrade; pitanje je stoga naše vlastito. Tri zakonska slučaja:

Čl. 37(1)	Uvjet	Rezultat
točka (a)	Tijelo javne vlasti ili javno tijelo	Ne primjenjuje se; LW IT Solutions Company Lukas Wójcik privatni je obrt (jednoosobno poduzeće).
točka (b)	Osnovne djelatnosti sastoje se od postupaka obrade koji zahtijevaju redovito i sustavno praćenje ispitanika u velikoj mjeri	Osnovna djelatnost je provjera i nadzor web-mjesta i obrazaca, redovito i sustavno. Međutim, ljudi se ne prate: alat za indeksiranje ne promatra ponašanje, a provjera dostave procjenjuje e-poruke samo u pogledu dostave i autentičnosti. Nije ispunjeno.
točka (c)	Osnovne djelatnosti sastoje se od opsežne obrade podataka iz čl. 9. ili 10.	Ne po zamisli. Posebne kategorije mogu do nas doći putem kontrolne kopije provjere dostave; to je slučajno, a ne osnovna djelatnost. Nije ispunjeno.

Prema našoj procjeni stoga ne postoji obveza imenovanja. Zahtijeva li poljsko pravo imenovanje i izvan toga u skladu s čl. 37(4), otvoreno je pitanje za pravnu provjeru. Budući da službenik za zaštitu podataka nije imenovan, savjet iz čl. 35(2) ne primjenjuje se. Ako pravna provjera utvrdi da postoji obveza imenovanja, prije odobrenja ove procjene zatražit će se savjet tada imenovanog službenika za zaštitu podataka (odjeljak 12). Osoba za kontakt za pitanja o ovoj procjeni je vlasnik na adresi contact@lukaswojcik.com.

5. Metoda, izvori i ograničenja ove verzije

Činjenice u ovom dokumentu potječu iz izvornog koda aplikacije i skenera, iz sheme baze podataka te iz broja redaka i postavki razvojnog sustava, izmjerenih 11. listopada 2026. Bazi podataka i poslužiteljima pristupalo se samo za čitanje. Ako mjerenje proturječi namjeri – uključujući izjavu u našim vlastitim pravnim dokumentima – navodimo mjerenje. Ne primjenjujemo odobrene kodekse ponašanja iz čl. 40., čije bi se poštovanje moralo uzeti u obzir u skladu s čl. 35(8).

• Izmjeren je razvojni sustav. Usluga još nije pokrenuta. Brojke su stoga male i djelomično su posljedica testiranja: 112 provjera, od toga 110 bez domene Klijenta; 432 snimke zaslona; 2 domene, od toga 1 potvrđena; nijedna uključena provjera dostave; nijedan pohranjeni testni račun za skeniranje iza prijave; nijedna studija; nijedna prijava u zaštiti roja. Mjerenja treba ponoviti prije pokretanja i nakon toga u redovitim razmacima.
• U ovoj verziji nije izmjereno i treba dopuniti prije odobrenja: konfiguracija produkcijskog sustava, uključujući je li i kako ondje postavljen kontrolni poštanski sandučić te je li ondje postavljen par ključeva za skeniranje iza prijave; bilježi li softver jezičnog modela zahtjeve; stanje administracije poslužitelja (R13); ugovor s pružateljem usluge e-pošte.
• Nije se moglo izmjeriti koliko će stvarnih poruka posjetitelja proći kroz kontrolnu kopiju i iz kojih će sektora dolaziti Klijenti. Oboje određuje težinu R1 i R2 i treba se utvrditi nakon pokretanja.
• Reference na izvor upućuju na datoteke i funkcije u izvornom kodu razvojnog sustava. Mjerodavna je opisana funkcija, a ne njezino mjesto u datoteci.

Ovaj je dokument nacrt. Voditelj obrade još ga nije odobrio (odjeljak 12), a dva njegova zaključka – procjena opsega za P1 i P3 te važnost provjere dostave – ovise o brojčanim podacima koji će postojati tek nakon pokretanja.

6. (a) Sustavan opis postupaka obrade i svrha

6.1 Kako je sustav provjere ustrojen

formexposed radi na vlastitim poslužiteljima u Poljskoj, bez vanjskog pružatelja hostinga: mrežnom poslužitelju s aplikacijom i bazom podataka te poslužitelju za skeniranje s uslugom provjere i lokalnim jezičnim modelom, oba u istoj internoj mreži. Provjera se odvija ovako:

1. Aplikacija stvara zadatak u bazi podataka – uz ograničenja i blokade iz odjeljka 6.3.
2. Usluga provjere na poslužitelju za skeniranje preuzima zadatak, drugi put provjerava popis blokiranih domena, nazive hostova i, za anonimne provjere, starost domene te pokreće izolirani spremnik upravo za taj zadatak: vlastitu mrežu s vlastitim pravilima filtriranja, bez posebnih ovlasti, datotečni sustav samo za čitanje, ograničenja memorije i procesa te vremensko ograničenje (scanner/src/worker.js).
3. Unutar spremnika automatizirani preglednik dohvaća najviše osam javnih stranica, najprije početnu stranicu, a zatim po mogućnosti stranice za kontakt, impresum i podršku. Prethodno čita robots.txt; isključenje za FormExposedBot ili sve crawlere koje obuhvaća početnu stranicu prekida provjeru, kao i nedostupan robots.txt ili pogreška poslužitelja pri dohvaćanju (scanner/src/net.js). Zabrane za pojedinačne podputanje ne poštuju se zasebno. Puls obrasca, dohvat dokaza, alat za zaglavlja i pretraživanje izloženih datoteka ne čitaju robots.txt. Uz osam stranica postoje do tri stranice s klikom na „Odbij” na natpisu za kolačiće, do tri stranice u prikazu za telefon, aktivni testovi za verificirane domene i do pet stranica iza prijave; stranice se učitavaju jedna za drugom, a ne paralelno. Svaki zahtjev preglednika – uključujući preusmjeravanja i ugrađeni sadržaj – prolazi kroz filtar koji odbija privatne mreže i druge portove.
4. Spremnik zapisuje rezultat i snimke zaslona u privremeni direktorij. Usluga provjere prenosi rezultat i slike aplikaciji putem interne mreže te briše privremeni direktorij, čak i nakon pogreške (scanner/src/worker.js).
5. Aplikacija obrađuje rezultat, uspoređuje ga s prethodnom provjerom za Korisnikove domene i prijavljuje promjene na odredišta koja je Korisnik postavio.

6.2 Što crawler pohranjuje – a što ne

Stavka	Što se pohranjuje	Što se ne pohranjuje	Referenca na izvorni kôd
Stranice	Adresa, HTTP status, zaglavlja, Content Security Policy, hostovi trećih strana kojima su upućeni zahtjevi (najviše 120)	Sadržaj stranice kao tekst ili HTML	scanner/src/crawl.js
Polja obrasca	Vrsta, naziv, oznaka, tekst rezerviranog mjesta, obvezno polje, vidljivost, duljina postojeće vrijednosti	Vrijednosti polja; za skrivena polja prva 24 znaka vrijednosti čitaju se samo tijekom provjere (radi otkrivanja tokena)	scanner/src/crawl.js
Adrese primatelja u obrascu	samo domena	adresa	scanner/src/crawl.js
Skripte	Inventar s kontrolnim zbrojem; adrese i početni tekst bez identifikatora računa oglašivačkih i analitičkih usluga	Identifikatori računa i piksela	scanner/src/crawl.js
Alati koji prisluškuju	koji se oglašivački pikseli i alati za snimanje učitavaju prije i nakon klika na „Odbij” na natpisu za kolačiće te maskiraju li unose	Identifikatori računa kod tih usluga	scanner/src/mitleser.js, scanner/src/einwilligung.js
Tekst obrasca	do 400 znakova šalje se lokalnom jezičnom modelu ako pravila ne prepoznaju vrstu	Otkrivanje trećim stranama; pohrana teksta	scanner/src/classify.js
Snimke zaslona (crawler)	vidljivo područje prve stranice; za svaki vidljivi obrazac slika elementa obrasca	–	scanner/src/crawl.js
Snimke zaslona (aktivna provjera)	Slika stranice odgovora na testnu predaju; dodatno status, odredišna adresa, naslov i prvih 300 znakova njezina teksta	–	scanner/src/active.js
Snimke zaslona (tijekovi u pregledniku)	Slika obrasca sa zacrnjenim poljima za unos, komprimirana, najviše 32 KB	Unosi	scanner/src/browser.js
Iza prijave	kao za polja obrasca gore	Snimke zaslona, kolačići, poveznice	scanner/src/login.js

Osobni podaci nisu namjerno uključeni u te stavke, ali se pojavljuju slučajno: ime kontaktne osobe pokraj obrasca, fotografija tima na početnoj stranici, telefonski broj u oznaci, domena e-pošte pojedinca, ime u tekstu rezerviranog mjesta. Iza prijave dodaju se podaci testnog računa i, ovisno o mrežnoj stranici, drugih korisnika.

6.3 Tko pokreće provjeru i što tada vrijedi

Pokretač	Razina povjerenja u zadatku	Testne predaje	Rezultat dostupan putem	Brisanje
Netko unese domenu na početnoj stranici (besplatna provjera)	anonymous	ne	Izvješće pod nasumičnom poveznicom	30 dana, uključujući slike (cfg/check_lib.php)
Dodatak ili proširenje bez računa	plugin	ne	Izvješće pod nasumičnom poveznicom	30 dana
Agencija za potencijalnog klijenta	registered	ne	Kratki nalaz i izvješće pod nasumičnom poveznicom	90 dana (cfg/akquise_lib.php)
Korisnik, domena bez dokaza	registered	ne	Račun; izvješće pod nasumičnom poveznicom	13 mjeseci, posljednja provjera se čuva
Korisnik, domena s dokazom	verified	da, najviše pet po provjeri	Račun; izvješće pod nasumičnom poveznicom	13 mjeseci, posljednja provjera se čuva (cfg/fristen_lib.php)
Studija	internal	ne	samo zbirni podaci nakon objave	pri objavi; bez objave nema vremenskog ograničenja (R4)
Interna provjera pružatelja usluge iz naredbenog retka	internal; za naše vlastite testne i demonstracijske domene i „verified”	ne; s razinom „verified” da (samo naše vlastite testne i demonstracijske domene)	samo interno	bez vremenskog ograničenja (R4)

Ispred besplatne provjere nalazi se više slojeva (cfg/check_lib.php): hitno zaustavljanje; reCAPTCHA; ista domena najviše jednom u sedam dana (nakon toga prikazuje se postojeće izvješće); dnevna ograničenja po IP adresi, sesiji (kao vrijednost sažetka, nikad sam identifikator sesije) i cijeloj usluzi; popis blokiranih domena iz izuzimanja iz provjera i robots.txt; provjera upućuje li domena na javne adrese; te blokada vrlo novih ili nepoznatih domena. Nepravilnosti – mnogo različitih domena s jedne IP adrese, mnogo zahtjeva u kratkom vremenu – bilježe se s IP adresom i pokreću signal bez sadržaja (cfg/check_lib.php).

6.4 Provjera domena u Korisnikovu računu

Korisnik dokazuje da ima pravo upravljati domenom: DNS zapisom, metaoznakom, datotekom ili putem našeg dodatka (cfg/verify_lib.php). Tek se tada domena smatra verificiranom. Raspoređivač nadzora planira redovite provjere samo za aktivne, nadzirane i verificirane domene (cfg/monitor_lib.php).

• Aktivne testne predaje vezane su uz dvije provjere: aplikacija postavlja aktivni način rada za Korisnike samo za verificirane domene (za naše vlastite testne i demonstracijske domene pružatelj usluge može stvoriti provjeru s razinom „verified” putem internog alata naredbenog retka), a usluga provjere ponovno provjerava razinu povjerenja i hitno zaustavljanje fc_active_enabled (scanner/src/worker.js). Može se predati samo obrazac koji pravila s velikom sigurnošću prepoznaju kao opći kontaktni obrazac, koji nema obvezna polja za stvarne osobne podatke i čija domena ne izgleda kao domena javnog tijela, obrazovne ustanove, klinike, liječničke ordinacije, policije ili suda (scanner/src/classify.js). Jezični model ne može omogućiti predaju obrasca (scanner/src/classify.js). Po provjeri šalje se najviše pet predaja (fc_active_max_posts), jasno označenih, s pošiljateljem dummy@formexposed.com, adresom pod .invalid radi ispitivanja provjere valjanosti e-pošte i bezopasnim dodatnim retkom zaglavlja radi otkrivanja umetanja zaglavlja (scanner/src/active.js).
• Tijekovi u pregledniku provjeravaju konfigurirane tijekove obrazaca u pregledniku do trenutka neposredno prije predaje. Dopušteni su samo zahtjevi GET i HEAD; sve ostalo se prekida, kao i adrese koje sadrže riječi za odjavu, brisanje, kupnju ili plaćanje (scanner/src/browser.js). Za provjeru se obvezna polja ispunjavaju izmišljenim vrijednostima koje nikad ne napuštaju preglednik.
• Izložene datoteke traže se tjedno, samo za verificirane domene, uz najviše jedan dohvat po putanji, najviše 8 KB i bez ikakve pohrane sadržaja (cfg/dateien_lib.php).
• Neovisna druga sonda pripremljena je i prema zadanim postavkama isključena (browser_probe_enabled = 0). Kad bi se uključila, primala bi samo domenu, adresu, selektor, korake i odabir preglednika, nikad pristupne podatke, snimke zaslona ili podatke posjetitelja (cfg/formular_probe_lib.php).

6.5 Skeniranje iza prijave

Preduvjeti: funkcija je postavljena, domena je verificirana, Korisnik ima plaćeni paket i vlasnik je ili administrator radnog prostora (cfg/login_lib.php); potvrđuje da je račun testni račun sa što manjim ovlastima (cfg/login_lib.php).

1. Korisničko ime i lozinka odmah se šifriraju na mrežnom poslužitelju javnim ključem poslužitelja za skeniranje: jednokratni ključ po zapisu (X25519), izvođenje ključa (HKDF-SHA256), AES-256-GCM, vezano uz domenu (cfg/login_lib.php). Samo usluga provjere na poslužitelju za skeniranje ima privatni ključ (scanner/src/geheim.js). Svatko tko ima mrežni poslužitelj, bazu podataka ili sigurnosnu kopiju ima samo šifrat.
2. Sučelje prikazuje samo prvi znak i duljinu korisničkog imena (cfg/login_lib.php). Pristupni podaci nikad se ne prikazuju, ne bilježe u zapisnike i ne izlažu putem API-ja.
3. Za provjeru aplikacija prilaže šifrat zadatku. Usluga provjere dešifrira ga, odmah prazni polje u zadatku i prenosi pristupne podatke spremniku samo putem standardnog ulaza, nikad kao argumente naredbenog retka (scanner/src/worker.js). Ostatke u prekinutim zadacima statusni proces uklanja nakon jednog sata (cfg/login_lib.php).
4. Unutar spremnika preglednik se prijavljuje. Prekida ako stranica za prijavu preusmjerava na drugi host, ako obrazac za prijavu sadrži CAPTCHA-u (ne zaobilazimo CAPTCHA-e) ili ako je polje lozinke i dalje vidljivo nakon predaje (scanner/src/login.js). Zatim prazni polje lozinke u memoriji stranice i zaboravlja pristupne podatke (scanner/src/login.js).
5. Čita najviše pet stranica iste domene koje je naveo Korisnik. Adrese koje sadrže riječi za odjavu, brisanje, uklanjanje ili otkazivanje blokirane su (scanner/src/login.js). Iza prijave ništa se ne predaje, ne izrađuju se snimke zaslona, a kolačići i poveznice ne ulaze u rezultat (scanner/src/login.js).
6. Brisanje je konačno: šifrat se prepisuje nasumičnim podacima iste duljine, redak se briše i zadaci na čekanju se čiste (cfg/login_lib.php). Kad se domena izbriše, redak automatski nestaje putem stranog ključa.

6.6 Provjera dostave

Provjera dostave odgovara na pitanje stiže li e-pošta iz kontaktnog obrasca doista i ocjenjuje njezina obilježja autentičnosti. Neobvezna je, prema zadanim postavkama isključena i zahtijeva uspostavu kontrolnog poštanskog sandučića (cfg/zustellung_lib.php).

1. Ako je Korisnik uključi, domena dobiva nasumičnu oznaku. Korisnik unosi kontrolnu adresu s tom oznakom kao skrivenu kopiju u svoj obrazac.
2. Od tada svaka poruka e-pošte iz obrasca ide i u kontrolni poštanski sandučić: naše označene testne predaje i sve stvarne poruke posjetitelja. Poruke e-pošte idu izravno u poštanski sandučić kod Namecheap, Inc. (Private Email), Phoenix, Arizona, USA – stižu samo ako MX zapisi naše domene upućuju tamo; putem prosljeđivanja, primjerice kod registrara domene Namecheap, Inc., ne stižu u sandučić – i ostaju ondje do dohvaćanja.
3. Statusni proces dohvaća poštu iz sandučića svakih pet minuta (srv/cron_status.php). Za svaku poruku čita zaglavlja i najviše prvih 8 KB teksta, bez označavanja poruke kao pročitane (cfg/zustellung_lib.php).
4. Iz zaglavlja utvrđuje oznaku, a time i domenu, te iz teksta, ako postoji, identifikator našeg testa (cfg/zustellung_lib.php). Pohranjuju se vrijeme, domena i, ako postoji, identifikator testa (cfg/zustellung_lib.php), tijekom 180 dana (cfg/zustellung_lib.php).
5. Iz zaglavlja ocjenjuje SPF, DKIM i DMARC te pohranjuje rezultat uz domenu: rezultate provjere, domenu adrese pošiljatelja, domene potpisa i adresu poslužitelja koji šalje e-poštu (cfg/zustellung_lib.php). Ako se rezultat pogorša, Korisniku se jednom šalje upozorenje u kojem može biti navedena domena pošiljatelja (cfg/zustellung_lib.php).
6. Zatim označava svaku dohvaćenu poruku e-pošte za brisanje, uključujući onu koja se nije mogla pridružiti nijednoj domeni, te je uklanja iz sandučića na kraju izvođenja (cfg/zustellung_lib.php). Ako se izvođenje prije toga prekine, poruke ostaju do sljedećeg uspješnog izvođenja.
7. Samo kopija upravo dotičnog testa računa se kao dokaz dostave (cfg/zustellung_lib.php). Ako ne stigne unutar tri sata (delivery_wait_h), usluga prijavljuje „Dostava nedostaje”.

Tekst stvarnih poruka nikad se ne zapisuje u bazu podataka, kao ni adresa posjetitelja. Ipak se oboje čita: pri dohvaćanju se prvih 8 KB svake poruke e-pošte učitava u memoriju radi traženja identifikatora testa.

6.7 Kolektivna zaštita

1. Zaštitni sloj dodatka za WordPress zaustavlja poruku kao neželjenu poštu i broji domene poveznica u njoj. Jednom dnevno dodatak nam prijavljuje te domene s brojem podudaranja, najviše 60 dnevno; bez adresa, teksta i IP adresa (cfg/swarm_lib.php).
2. Jednom dnevno iz toga sastavljamo popis: domena se na njega stavlja ako su je unutar sedam dana prijavile najmanje tri različite mrežne stranice uz najmanje pet podudaranja (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Velike usluge s fiksnog popisa iznimaka i domene naših Korisnika, u oba slučaja uključujući poddomene, nikad ne ulaze na popis (cfg/swarm_lib.php).
3. Popis se šalje svim povezanim mrežnim stranicama uz odgovor na dnevno izvješće. Njihov zaštitni sloj stavlja poruke s poveznicama na navedene domene u karantenu, a ne u smeće.
4. Ono što se više ne pojavljuje na novom popisu ispada s njega; prijave se brišu nakon 30 dana (cfg/swarm_lib.php).
5. IP mreže (/24 ili /48) pripremljene su, ali ostaju isključene do dovršetka pravne provjere (cfg/swarm_lib.php).

6.8 Upotreba umjetne inteligencije

Jezični model radi na našem vlastitom poslužitelju za skeniranje, a ne kod pružatelja usluga umjetne inteligencije. Upotrebljava se na dva mjesta: u usluzi provjere klasificira obrasce čiju vrstu pravila ne prepoznaju; pritom vidi naslov i adresu stranice, oznake gumba za slanje, vrste, nazive i oznake polja te tekstove rezerviranih mjesta i do 400 znakova teksta obrasca (scanner/src/classify.js). Poziva se samo ako pravila vrate „unknown”; tako klasificirani obrasci nikad se ne predaju i ne uračunavaju se u bodove ni konačnu ocjenu. Bodovi, konačna ocjena, sprečavanje zloupotrebe, kolektivna zaštita i pravila protiv neželjene pošte temelje se na fiksnim pravilima, a ne na umjetnoj inteligenciji. U funkciji „Fix it for me” model prepisuje zalijepljeni kôd obrasca; kôd se ne pohranjuje. Model ne donosi odluke o ljudima. Više o tome na stranici Akt EU-a o umjetnoj inteligenciji: kako formexposed upotrebljava umjetnu inteligenciju.

6.9 Pravne osnove

Postupak obrade	Pravna osnova
P1 Besplatna provjera: provjera zatražene domene; ograničenja i sprečavanje zloupotrebe	u odnosu na osobu koja traži provjeru, čl. 6(1)(b); u odnosu na operatora i prikazane osobe, čl. 6(1)(f); sprečavanje zloupotrebe, čl. 6(1)(f)
P2 Provjera potencijalnog klijenta	Čl. 6(1)(f) (legitimni interes agencije i usluge formexposed)
P3 Studija	Čl. 6(1)(f)
P4 Provjera Korisnikovih domena	Čl. 6(1)(b) u odnosu na Korisnika; za podatke trećih osoba na njegovoj mrežnoj stranici, Korisnikove upute prema čl. 28
P5 Skeniranje iza prijave	Korisnikove upute prema čl. 28; Korisnikova pravna osnova
P6 Provjera dostave	Korisnikove upute prema čl. 28; Korisnikova pravna osnova (u našem predloženom tekstu za Korisnike, čl. 6(1)(f))
P7 Kolektivna zaštita	Čl. 6(1)(f) (zajednička obrana od neželjene pošte na više mrežnih stranica)

Naš legitimni interes u P1 do P3 jest pokazati operatorima i njihovim pružateljima usluga slabosti njihovih obrazaca prije nego što se iskoriste za neželjenu poštu ili zloupotrebu te pružati uslugu. Podaci dolaze iz javno dostupnih izvora. Odvagivanje interesa navedeno je u odjeljku 7; pruža li čl. 6(1)(f) osnovu za provjeru tuđih mrežnih stranica na zahtjev, otvoreno je pitanje za pravnu provjeru.

6.10 Primatelji i prijenosi u treće zemlje

Primatelj	Što	Postupak obrade	Status
Nitko izvan usluge formexposed	Rezultati provjera, snimke zaslona, klasifikacija jezičnim modelom	P1–P5	Usluga provjere i jezični model rade na našim vlastitim poslužiteljima; u postupku provjere crawlera nije pronađen poziv trećoj strani osim samoj provjeravanoj mrežnoj stranici, uslugama čiji sadržaj ugrađuje (kao kod svakog posjetitelja) i RDAP usluzi rdap.org za starost domene (samo naziv domene); nadzorne provjere navedene su u sljedećem retku
Svatko tko zna poveznicu	Izvješće s nalazima i snimkama zaslona	P1, P2, P4	nasumična poveznica sa 128 bitova (cfg/check_lib.php), stranice s noindex (www/report.php)
Usluge kojima nadzor Korisnikove domene šalje upite	DNS popisi blokiranih domena (SpamCop, PSBL, Mailspike, SURBL): domene i IP adrese poslužitelja, bez podataka posjetitelja; Google Web Risk samo ako je postavljen: adresa početne stranice; tijela za vremensko označavanje Certum i DigiCert: samo vrijednost sažetka evidencije dokaza; RDAP putem registra IANA: samo naziv domene; stranice statusa pružatelja usluga: ništa se ne prenosi; wpvulnerability.net: identifikator dodatka (bez verzije) ili teme i verzija WordPressa	P4	u upotrebi; pojedinosti u Evidenciji aktivnosti obrade i na stranici Podizvršitelji obrade
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Kontrolne kopije, uključujući stvarne poruke posjetitelja	P6	Ugovor još nije sklopljen; mjesto obrade i mehanizam prijenosa još treba ispitati
Namecheap, Inc. (SAD)	Registrar i DNS; do uspostave poštanskog sandučića prosljeđivanje općih poruka e-pošte na adrese naše domene, ne i kontrolnih kopija (one stižu u sandučić samo putem MX zapisa koji upućuju izravno na njega)	– (bez kontrolnih kopija)	Mehanizam prijenosa treba ispitati
Kanali upozorenja koje odabire Korisnik (e-pošta, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	Događaj, domena, poveznica; za provjeru autentičnosti domena pošiljatelja ako ne pripada mrežnoj stranici	P4, P6	odredište odabire Korisnik; dijelom izvan EU-a. Poruke Telegrama šaljemo putem našeg bota; mehanizam prijenosa za to otvoreno je pitanje za pravnu provjeru
Sve povezane mrežne stranice	Popis domena poveznica	P7	putem odgovora dodatku
Druga sonda	Domena, adresa obrasca, selektor, koraci	P4	isključena

6.11 Čuvanje, izmjereno, a ne namjeravano

Brisanje se uglavnom odvija noću u 03:00 u statusnom procesu (srv/cron_status.php, cfg/fristen_lib.php); prijave kolektivne zaštite i retci potencijalnih klijenata brišu se svakodnevno od 04:00, pridruživanja provjere dostave pri svakom dohvaćanju; anonimna izvješća i izvješća o potencijalnim klijentima brišu se prema datumu isteka (cfg/check_lib.php). Snimke zaslona brišu se s diska zajedno s pripadajućim skeniranjem (cfg/fristen_lib.php).

Podaci	Rok prema kodu	Referenca na izvorni kôd	Nalaz
Besplatna provjera uključujući slike	30 dana	cfg/check_lib.php	provodi se
Provjera potencijalnog klijenta uključujući slike	90 dana	cfg/akquise_lib.php; srv/cron_status.php (retci potencijalnih klijenata)	provodi se
Provjere Korisnikove domene	13 mjeseci; posljednja se čuva dok god domena postoji	cfg/fristen_lib.php	provodi se
Rezultati tijekova u pregledniku uključujući slike sa zacrnjenim dijelovima	13 mjeseci	cfg/fristen_lib.php	provodi se
Podaci izbrisane domene	odmah; podaci bez pripadajuće domene noću	cfg/fristen_lib.php (fe_domain_loeschen(), fe_fristen_lauf())	provodi se, uključujući inventar skripti i promjene skripti, za koje osim toga ne postoji zaseban rok čuvanja (pogledajte Evidenciju aktivnosti obrade)
Studija: sirovi podaci uključujući slike	pri objavi	cfg/studie_lib.php	bez objave nema vremenskog ograničenja; popis provjerenih hostova ostaje bez vremenskog ograničenja i nakon objave
Interne provjere bez domene i bez izvješća	nema	–	nema brisanja; izmjereno: 85 provjera s 369 slika od 22. rujna 2026. (R4)
Pridruživanja provjere dostave	180 dana	cfg/zustellung_lib.php	provodi se
Rezultat provjere autentičnosti uz domenu	do sljedećeg rezultata ili brisanja domene	cfg/zustellung_lib.php	prepisuje se, nije vremenski ograničen
Kontrolne kopije u poštanskom sandučiću	do sljedećeg uspješnog dohvaćanja (razmak od pet minuta)	cfg/zustellung_lib.php	kopije i sigurnosne kopije kod pružatelja usluge poštanskog sandučića nisu provjerene
Pristupni podaci za skeniranje iza prijave	dok ih Korisnik ne izbriše ili do brisanja domene; u zadatku najviše do kraja izvođenja, ostaci nakon jednog sata	cfg/login_lib.php	provodi se; u sigurnosnim kopijama samo kao šifrat do 14 dana
Prijave u kolektivnoj zaštiti	30 dana	cfg/swarm_lib.php	provodi se
Ograničenja besplatne provjere (IP, država, sažetak sesije)	7 dana	srv/cron_status.php	provodi se
Bilješke o sumnjivom ponašanju s IP adresom	90 dana nakon rješavanja	srv/cron_status.php	neriješene bilješke bez vremenskog ograničenja; izmjereno: 3 bilješke, sve riješene
IP adresa, država, preglednik povezani s izuzimanjem iz provjera	12 mjeseci; izuzimanje ostaje	cfg/fristen_lib.php	provodi se
Sigurnosne kopije baze podataka	14 dana	cfg/backup_lib.php	provodi se; sigurnosne kopije trenutačno su pohranjene na istoj lokaciji kao baza podataka i nisu zasebno šifrirane; planirana je šifrirana kopija na drugoj lokaciji (R13)

7. (b) Procjena nužnosti i proporcionalnosti

Mjerilo su navedene svrhe: pokazati operatorima jesu li njihovi obrasci zaštićeni od neželjene pošte i zloupotrebe (P1 do P5), provjeriti stižu li poruke e-pošte iz obrazaca i djeluju li autentično (P6) te zajednički se braniti od neželjene pošte na više mrežnih stranica (P7). Te su svrhe legitimne. Pitanje prema čl. 35(7)(b) uže je: je li ova obrada nužna u ovom opsegu za tu svrhu i je li zadiranje proporcionalno koristi?

Sastavnica	Nužna za svrhu?	Proporcionalna u izvedenom obliku?
Dohvat nekoliko javnih stranica, struktura obrazaca, otkrivene zaštitne mjere	Da. Bez njih nema nalaza.	Da. Najviše osam stranica (uz prikaze iz odjeljka 6.1), poštuje se zabrana početne stranice u robots.txt, nema vrijednosti vidljivih polja, adrese primatelja samo kao domena.
Snimka zaslona po obrascu	Da, kao dokaz u izvješću: operator može vidjeti na koji se obrazac misli.	Uglavnom. Polja su prazna jer crawler ništa ne upisuje. No slika prikazuje okruženje elementa obrasca bez zacrnjivanja (R3).
Snimka zaslona početne stranice	Nije potrebna za sam nalaz. Služi prepoznavanju provjerene mrežne stranice u izvješću.	Samo u ograničenoj mjeri; planirano je daljnje smanjenje količine podataka. Početne stranice često prikazuju osobe: fotografije timova, kontaktne osobe, izjave klijenata s imenima. Pogledajte R3 i odjeljak 9.3.
Čitanje vrijednosti skrivenih polja (prva 24 znaka, samo tijekom provjere)	Da: iz njih se otkrivaju tokeni i vremenske oznake.	Da. Pohranjuje se samo rezultat otkrivanja, a ne vrijednost, također iza prijave (R8).
Stranica odgovora na testnu predaju (slika i 300 znakova teksta)	Da, kao dokaz kako je obrazac odgovorio.	Da. Odgovor se odnosi na našu označenu testnu poruku bez osobnih podataka.
Klasifikacija jezičnim modelom	Korisna, nije nužna: bez nje više obrazaca ostaje „nepoznato”.	Da. Lokalno, bez otkrivanja, bez prava na predaju.
Aktivne testne predaje	Da. Djeluje li zaštita postaje jasno tek kad se ispita.	Da, uz gornju granicu i označavanje. Međutim, preduvjet – dokaz o kontroli – nikad se ne obnavlja (R7).
Pretraživanje izloženih datoteka	Da za Korisnika, čiji podaci iz obrazaca ondje mogu biti izloženi.	Da. Samo verificirane domene, najviše 8 KB, sadržaj se nikad ne pohranjuje.
Skeniranje iza prijave	Da za obrasce u području za članove koji bi inače ostali neprovjereni.	Uglavnom. Šifriranje i brisanje pažljivo su izvedeni; međutim, prijava prihvaća nešifrirane veze i neispravne certifikate (R8).
Kontrolna kopija stvarnih poruka posjetitelja	Nije potrebna za dokaz dostave. On se oslanja samo na kopiju našeg testa (cfg/zustellung_lib.php). Stvarne poruke dolaze zajedno s njom jer skrivena kopija u obrascu ne razlikuje test od stvarne poruke. Korisne su za provjeru autentičnosti (SPF, DKIM, DMARC) jer pokazuju stvarni put slanja.	Djelomično. Sadržaj se ne pohranjuje, ali se čita i do dohvaćanja ostaje kod pružatelja usluge poštanskog sandučića s kojim ugovor još nije sklopljen (R1, R2). Tehnički je moguće manje zadiruće rješenje: uz naš dodatak skrivena kopija mogla bi se ograničiti na označene testne poruke (odjeljak 9.3).
Pohrana domene pošiljatelja stvarnih poruka	Djelomično: pokazuje šalje li obrazac s adresom posjetitelja kao pošiljateljem (čest razlog klasifikacije kao neželjene pošte).	Uvjetno. Za pojedinca s vlastitom domenom domena je osobni podatak i šalje se u upozorenju Korisniku i njegovim kanalima (R1).
Zajednički popis domena poveznica	Da. Poveznica neželjene pošte koja se istodobno pojavljuje na mnogo mrežnih stranica snažan je signal kojim pojedinačna mrežna stranica ne raspolaže.	Da, uz minimalne brojeve, iznimke i karantenu umjesto brisanja. IP mreže ne bi bile proporcionalne bez nove procjene.
Sirovi podaci studije	Do evaluacije, da.	Bez najduljeg roka, ne (R4).
Izvješće pod nasumičnom poveznicom	Da. Prosljeđivanje izvješća – primjerice pružatelju usluge koji održava mrežnu stranicu – svrha je besplatne provjere.	Da. Nasumična poveznica sa 128 bitova, noindex, besplatno izvješće samo kao izvadak (cfg/check_lib.php, FE_FREE_DETEKTOREN), brisanje nakon 30 dana.

Zakonitost. Za P1 do P3 i P7 oslanjamo se na čl. 6(1)(f). U prilog odvagivanju: podaci su javni i dohvaćaju se jednako kao što to radi svaki posjetitelj; ništa se ne predaje; osobni podaci pojavljuju se usputno i u maloj mjeri; rokovi su kratki; operator može isključiti daljnje provjere crawlerom zabranom početne stranice u robots.txt i svaku daljnju provjeru putem naše stranice za izuzimanje iz provjera, odmah i bez dokaza; korist – zaštićen obrazac – pripada i operatoru i njegovim posjetiteljima. Protiv: operator ne saznaje ništa o provjeri, izvješće je namijenjeno trećim stranama, a u slučaju samostalnih poduzetnika ocjenjuje osobu. Smatramo da je odvagivanje opravdano dok god mjere iz odjeljka 9.1 ostaju na snazi; pravna potvrda još se čeka.

Informiranje ispitanika (čl. 13 i 14). Operatore i osobe na provjerenim stranicama informiramo putem stranice crawlera, navedene u identifikatoru svakog dohvata, putem Pravila privatnosti i stranice za izuzimanje iz provjera. Pojedinačno informiranje osoba koje se slučajno pojavljuju na snimci zaslona bilo bi moguće samo kad bismo ih identificirali – što bi predstavljalo dodatno, ozbiljnije zadiranje. U tom se opsegu oslanjamo na čl. 14(5)(b). Posjetitelje čije poruke prolaze kroz kontrolnu kopiju informira Korisnik; Ugovor o obradi podataka to zahtijeva, a mi za to pružamo tekstualni predložak.

Smanjenje količine podataka (čl. 5(1)(c)). Vidljivo je na mnogim mjestima i utemeljeno u kodu: nema vrijednosti polja, adrese primatelja samo kao domena, identifikatori računa u adresama skripti skriveni su, nema sadržaja kontrolne kopije u bazi podataka, nema snimki zaslona iza prijave, u kolektivnoj zaštiti samo domene. Na dva mjesta daljnje smanjenje količine podataka moguće je i planirano (odjeljak 9.3): za snimku zaslona početne stranice bez zacrnjivanja i za domenu pošiljatelja stvarnih poruka.

Ograničenje pohrane (čl. 5(1)(e)). Od 27. rujna 2026. noćni postupak poštuje rokove iz Pravila privatnosti za Korisnikove podatke i čisti podatke preostale bez pripadajuće domene iz razdoblja prije toga (cfg/fristen_lib.php). Dva puta bez vremenskog ograničenja ostaju otvorena: interne provjere i neobjavljene studije (R4).

Točnost (čl. 5(1)(d)). Nalaz može biti pogrešan: obrazac izgleda nezaštićeno jer se zaštita učitava tek nakon interakcije ili je vatrozid postupao s crawlerom drukčije nego s posjetiteljem. Za operatora čija se mrežna stranica javno dijeli kao „Exposed” to je pitanje ugleda. Izvješće stoga navodi metodu, prikazuje dokaze i upozorava na ograničenja provjere izvana.

Zaključak o proporcionalnosti: Provjera tuđih i vlastitih mrežnih stranica u svojem je izvedenom obliku u osnovi proporcionalna. Na tri mjesta potrebna su poboljšanja koja se mogu provesti uobičajenim sredstvima i za koja su planirane mjere (odjeljak 9.3): snimke zaslona početne stranice, interne provjere bez vremenskog ograničenja i nešifrirana prijava za skeniranje iza prijave. Provjera dostave proporcionalna je za testnu kopiju i provjeru autentičnosti; za stvarne poruke posjetitelja to vrijedi samo dok se njihov sadržaj ne pohranjuje, put preko pružatelja usluge poštanskog sandučića ugovorno je osiguran i Korisnik informira svoje posjetitelje. Danas nedostaje druga od tih triju točaka.

8. (c) Procjena rizika za prava i slobode ispitanika

Procjenjuje se rizik za ispitanike, a ne za formexposed. Vjerojatnost se ocjenjuje kao mala, moguća, vjerojatna ili ostvarena; „ostvarena” znači da događaj nije prognoza nego izmjereno stanje. Ozbiljnost se ocjenjuje kao ograničena, značajna, ozbiljna ili vrlo ozbiljna, ovisno o tome što osoba može izgubiti: povjerljivost svoje poruke, kontrolu nad računom, poslovni ugled, mogućnost ostvarivanja prava. Razina proizlazi iz obaju čimbenika i opisuje trenutačno stanje uz mjere iz odjeljka 9.1.

Br.	Rizik	Postupak obrade	Vjerojatnost	Ozbiljnost	Razina
R1	Stvarne poruke posjetitelja u kontrolnoj kopiji, uključujući moguće posebne kategorije	P6	Ostvarena čim se uključi	Ozbiljna	Visoka
R2	Put kontrolne kopije preko pružatelja usluge poštanskog sandučića bez sklopljenog ugovora i uz moguću vezu s trećom zemljom	P6	Vjerojatna dok god ugovor nedostaje	Ozbiljna	Visoka
R3	Snimke zaslona tuđih mrežnih stranica bez zacrnjivanja	P1–P4	Vjerojatna	Ograničena	Srednja
R4	Podaci provjera i snimke zaslona bez postupka brisanja	P3, interne provjere	Ostvarena	Značajna	Visoka
R5	Provjera i javno ocjenjivanje tuđih mrežnih stranica bez znanja operatora; zloupotreba kao alata za izviđanje	P1	Moguća	Značajna	Srednja
R6	Provjera potencijalnog klijenta kao osnova za neželjena kontaktiranja	P2	Vjerojatna	Ograničena	Srednja
R7	Dokaz o kontroli nikad se ne obnavlja	P4, P5	Moguća	Značajna	Srednja
R8	Pristupni podaci i sadržaj pri skeniranju iza prijave	P5	Moguća	Ozbiljna	Srednja; visoka za stvarne račune
R9	Aktivne testne predaje i provjera datoteka na Korisnikovoj mrežnoj stranici	P4	Mala	Značajna	Niska
R10	Klasifikacija jezičnim modelom	P1–P4	Mala	Ograničena	Niska
R11	Zajednički popis blokiranih domena iz prijava mnogih mrežnih stranica	P7	Moguća	Ograničena	Niska do srednja; visoka s IP mrežama
R12	Izvješća i snimke zaslona pod javnom poveznicom	P1, P2, P4	Moguća	Ograničena	Niska
R13	Slabosti infrastrukture: sigurnosne kopije, pristup poslužitelju, poslužitelj za skeniranje	svi	Moguća	Ozbiljna	Visoka
R14	Prava ispitanika za osobe koje nas ne poznaju	P1–P6	Vjerojatna	Ograničena	Niska

R1 – Stvarne poruke posjetitelja u kontrolnoj kopiji

To je najozbiljniji rizik usluge i ne proizlazi iz pogreške, nego iz načina na koji je usluga osmišljena. Skrivena kopija u obrascu ne razlikuje našu testnu poruku od poruke posjetitelja. Ako Korisnik uključi provjeru dostave, svaka poruka poslana putem tog obrasca stiže u naš kontrolni poštanski sandučić (cfg/zustellung_lib.php). Pri dohvaćanju se zaglavlja i prvih 8 KB teksta čitaju u memoriju radi traženja našeg identifikatora testa (cfg/zustellung_lib.php). Za običan kontaktni obrazac to znači ime, adresu e-pošte, telefonski broj i cijelu poruku.

Što posjetitelj piše ovisi o njemu, a polje potiče unos osobnog sadržaja: zahtjev za termin s opisom simptoma liječničkoj ordinaciji, opis pravnog spora odvjetničkom uredu, prijava za posao, upit o djetetu školi. Naši pravni dokumenti kažu da kopije „ne bi trebale sadržavati posebne kategorije osobnih podataka”. To je zahtjev upućen Korisniku, a ne zaštitna mjera: ni on ni mi ne znamo unaprijed što će posjetitelj napisati.

Ovamo pripadaju i dva sporedna puta. Prvo, provjera autentičnosti pohranjuje domenu adrese pošiljatelja uz domenu (cfg/zustellung_lib.php). Ako obrazac šalje s adresom posjetitelja kao pošiljateljem, to je posjetiteljeva domena – bez osobnog značenja kod velikog pružatelja e-pošte, ali osobni podatak za pojedinca s vlastitom domenom. Ta se domena pojavljuje i u upozorenju koje se šalje Korisniku i kanalima koje je odabrao (cfg/zustellung_lib.php). Drugo, pohranjuje se adresa poslužitelja koji šalje e-poštu (cfg/zustellung_lib.php); u pravilu je to poslužitelj mrežne stranice, a ne posjetiteljev.

Vjerojatnost – ostvarena čim se uključi. Pitanje nije stižu li stvarne poruke, nego koliko ih stiže. Prema mjerenju na razvojnom sustavu funkcija nije uključena ni za jednu domenu. Ozbiljnost – ozbiljna. Povjerljivost poruke poslovnom subjektu važna je mnogim ljudima, a za neke tipične Korisnike treba očekivati podatke iz čl. 9. Ozbiljnost ublažava činjenica da sadržaj ne završava u bazi podataka, ostaje u poštanskom sandučiću samo kratko i ne čita ga nijedna osoba u usluzi formexposed. Razina – visoka.

R2 – Put kontrolne kopije preko pružatelja usluge poštanskog sandučića bez sklopljenog ugovora

Prije nego što naš postupak dohvaćanja vidi kontrolnu kopiju, ona se nalazi u poštanskom sandučiću kod Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Ondje stiže samo ako MX zapisi naše domene upućuju izravno na taj sandučić; prosljeđivanje kod registrara domene Namecheap, Inc. nije postaja kontrolnih kopija (putem prosljeđivanja ne stižu u sandučić). Za preostalu postaju ugovorna su pitanja još otvorena: ugovor s pružateljem usluge poštanskog sandučića nije sklopljen, njegova mjesta pohrane, podizvršitelji obrade i rokovi sigurnosnih kopija nisu utvrđeni te je otvoreno jesu li za njegovo mjesto obrade potrebne i primjenjive odluka o primjerenosti ili standardne ugovorne klauzule. Za naše vlastite transakcijske poruke e-pošte to je pitanje ugovornog uređenja. Za kontrolne kopije ozbiljnije je: riječ je o podacima koje primamo kao izvršitelj obrade, a svaki pružatelj usluge na tom putu podizvršitelj je obrade za kojeg odgovaramo prema čl. 28(4).

Osim toga, „izbrisano nakon dohvaćanja” vrijedi samo za naš pogled na sandučić. Čuva li pružatelj izbrisane poruke e-pošte u vlastitim sigurnosnim kopijama ili u smeću i koliko dugo, nije provjereno. Ako se dohvaćanje prekine, poruke ostaju do sljedećeg uspješnog izvođenja (cfg/zustellung_lib.php); ako statusni proces zakaže, ostaju neograničeno. Naposljetku, osiguravanje samog dohvaćanja jedna je od točaka koje treba provjeriti na produkcijskom sustavu prije pokretanja (odjeljak 9.3).

Vjerojatnost – vjerojatna dok god ugovor nedostaje: svaka kontrolna kopija prolazi tim putem. Ozbiljnost – ozbiljna, iz istih razloga kao R1. Razina – visoka. Kontrolni popis za postavljanje aplikacije prijavljuje nedostajući poštanski sandučić kao upozorenje; ne postoji blokada koja onemogućuje provjeru dostave bez dokumentiranog ugovora.

R3 – Snimke zaslona tuđih mrežnih stranica bez zacrnjivanja

Crawler izrađuje snimku zaslona vidljivog područja prve stranice i sliku elementa obrasca svakog vidljivog obrasca (scanner/src/crawl.js). Pritom se ništa ne zacrnjuje. Kod tijekova u pregledniku drukčije je: ondje se polja za unos maskiraju prije snimke zaslona (scanner/src/browser.js). Dakle, „očišćene” su samo slike iz tijekova u pregledniku, a ne one iz crawlera ni slika stranice odgovora iz aktivne provjere.

Budući da crawler ništa ne upisuje, polja obrasca prazna su. Međutim, početna stranica malog poduzeća često prikazuje vlasnika, tim, izjave klijenata s imenima i fotografijama ili prozor za razgovor sa slikom zaposlenika. Sve je to javno; snimka zaslona pretvara to u kopiju koja se pohranjuje kod nas, pojavljuje u izvješću i može se proslijediti poveznicom.

Vjerojatnost – vjerojatna. U skupu podataka razvojnog sustava izmjerene su 432 snimke zaslona. Ozbiljnost – ograničena: sadržaj je već javan, a rokovi za provjere bez računa kratki su. Razina – srednja, jer prikazane osobe ne znaju za obradu, a slika početne stranice nije potrebna za nalaz.

R4 – Podaci provjera i snimke zaslona bez postupka brisanja

Noćni postupak briše provjere na dva načina: putem datuma isteka izvješća (cfg/check_lib.php) i putem roka za provjere Korisnikove domene (cfg/fristen_lib.php, samo za provjere s domenom). Provjeru koja nema ni izvješće ni domenu ne obuhvaća nijedan od tih mehanizama. To su provjere s razinom povjerenja „internal”: studije i provjere koje pružatelj usluge stvara iz naredbenog retka.

• Studije brišu svoje sirove podatke pri objavi (cfg/studie_lib.php). Ako se studija nikad ne objavi – jer ima premalo mrežnih stranica s obrascem (cfg/studie_lib.php tada odbija objavu) ili jer ostane zapostavljena – provjere, obrasci, nalazi i snimke zaslona ostaju bez vremenskog ograničenja.
• Interne provjere iz naredbenog retka uopće nemaju postupak brisanja. Izmjereno 11. listopada 2026.: 85 takvih provjera tuđih mrežnih stranica s 978 obrazaca i 369 snimki zaslona, najstarija od 22. rujna 2026., nijedna s izvješćem ili domenom.
• Bilješke o sumnjivom ponašanju u besplatnoj provjeri sadrže IP adresu i brišu se 90 dana nakon što se riješe (srv/cron_status.php). Bilješka koja se nikad ne riješi ostaje. Izmjereno: tri bilješke, sve riješene.

Vjerojatnost – ostvarena. Tih 85 provjera nisu scenarij nego postojeći podaci. Na razvojnom sustavu to su provjere iz terenskog testa; isti kôd vrijedi na produkcijskom sustavu. Ozbiljnost – značajna: za te podatke nema roka čuvanja. S obzirom na načelo ograničenja pohrane (čl. 5(1)(e)), to je otvorena točka s planiranom mjerom (odjeljak 9.3, prioritet „prvo”) i odnosi se upravo na osobe koje ne znaju ništa o provjeri. Interne provjere opisane su u Evidenciji aktivnosti obrade; Pravila privatnosti još ih ne navode zasebno (odjeljak 9.4). Razina – visoka.

R5 – Provjera i javno ocjenjivanje tuđih mrežnih stranica bez znanja operatora

Svatko može zatražiti provjeru bilo koje javno dostupne mrežne stranice, bez računa i bez ikakve povezanosti s njom. Operator se ne obavještava. Rezultat je izvješće koje ocjenjuje mrežnu stranicu kao „Izloženo”, „Djelomično zaštićeno” ili „Zaštićeno” i koje može vidjeti svatko s poveznicom. Za ispitanike su zamislive dvije posljedice. Samostalni poduzetnik javno dobiva ocjenu – makar samo za primatelje poveznice – koja može biti pogrešan nalaz. A izvješće pokazuje pošiljatelju neželjene pošte koji se obrazac može ispuniti bez prepreka.

Tomu se suprotstavlja niz blokada (cfg/check_lib.php): najviše jedna provjera po domeni u sedam dana, nakon toga isto izvješće; ograničenja po IP adresi i sesiji; dnevna gornja granica za cijelu uslugu; nema provjera vrlo novih domena, tipičnih za zloupotrebu; bilješka i signal za sumnjivo ponašanje; robots.txt i izuzimanje iz provjera, provjereni dvaput (cfg/check_lib.php i u usluzi provjere). Besplatno izvješće izvadak je: prikazuje samo osnovne nalaze, a ne dokaze svih detektora. I ne govori ništa što bot ne bi mogao sam otkriti u nekoliko sekundi – nezaštićen obrazac vidljiv je izvana.

Vjerojatnost – moguća. Ozbiljnost – značajna za samostalnog poduzetnika čiji obrazac postane meta nakon izvješća ili čija je ocjena pogrešna. Razina – srednja.

R6 – Provjera potencijalnog klijenta kao osnova za neželjena kontaktiranja

U sučelju se provjera potencijalnog klijenta opisuje kao „otvaranje vrata za prvi razgovor”. Kako agencija upotrebljava kratki nalaz odlučuje sama agencija; tehnički ga može poslati i operatoru koji ga nije zatražio. Mi nikoga ne kontaktiramo (cfg/akquise_lib.php), a Uvjeti korištenja obvezuju agenciju na poštovanje pravila oglašavanja i pridobivanja klijenata. Međutim, neželjena poruka e-pošte s nalazom izravni je marketing čak i među poslovnim subjektima, za koji je u Poljskoj (čl. 398 Zakona o elektroničkim komunikacijama (Prawo komunikacji elektronicznej, PKE)) i Njemačkoj (§ 7(2) njemačkog Zakona protiv nepoštenog tržišnog natjecanja (Gesetz gegen den unlauteren Wettbewerb, UWG)) potrebna prethodna privola. Sučelje na to ne upozorava; tekstovi provjere potencijalnog klijenta govore samo o „pasivnom” i „popisu za izuzimanje iz provjera”.

Vjerojatnost – vjerojatna, jer funkcija služi pridobivanju klijenata i ne možemo provjeriti je li primatelj dao privolu. Ozbiljnost – ograničena: za operatora je to dosadna marketinška poruka e-pošte s ocjenom njegove mrežne stranice. Razina – srednja. Rizik leži u postupanju agencije; budući da funkcija dolazi od nas, planirana je obavijest u sučelju (odjeljak 9.3).

R7 – Dokaz o kontroli nikad se ne obnavlja

Aktivne testne predaje, pretraživanje izloženih datoteka i skeniranje iza prijave zahtijevaju da je Korisnik dokazao pravo upravljanja domenom. Taj se dokaz provjerava jednom (cfg/verify_lib.php) i nikad više. U kodu ne postoji postupak kojim domena gubi dokaz. Ako domena promijeni vlasnika, agencija završi angažman ili operator ukloni DNS zapis, provjere se nastavljaju – do jednom dnevno, s najviše pet testnih predaja i, ako je pohranjena, prijavom testnog računa za koji novi operator možda ne zna. Nasuprot tomu, nije moguće prenijeti dokaz na drugi host preimenovanjem: naziv hosta domene s dokazom o kontroli ne može se promijeniti.

Vjerojatnost – moguća: promjene domena i angažmana svakodnevne su pojave za agencije. Ozbiljnost – značajna za novog operatora i njegove zaposlenike, koji primaju označene testne poruke i na čijoj se mrežnoj stranici bez njihove privole traže izložene datoteke. Razina – srednja. Testne poruke objašnjavaju svoju svrhu i upućuju na stranicu crawlera i izuzimanje iz provjera; izuzimanje djeluje i protiv provjera Korisnika.

R8 – Pristupni podaci i sadržaj pri skeniranju iza prijave

Šifriranje pristupnih podataka pažljivo je izvedeno: mrežni poslužitelj ih nakon pohrane više ne može čitati, baza podataka i sigurnosna kopija sadrže samo šifrat, zapis je vezan uz svoju domenu, pristupni podaci ulaze u spremnik samo putem standardnog ulaza i zatim se uklanjaju iz memorije (odjeljak 6.5). Ostaju dva nedostatka; treća se točka odnosi samo na čitanje, a ne na pohranu.

• Nešifrirana prijava dopuštena je. Provjera adrese dopušta http uz https (cfg/login_lib.php, scanner/src/login.js). Ako Korisnik unese stranicu za prijavu s http, korisničko ime i lozinka pri svakoj provjeri putuju internetom u otvorenom tekstu.
• Pogreške certifikata ne zaustavljaju prijavu. Prijava se trenutačno ne prekida kad je certifikat Korisnikove stranice nevaljan (scanner/src/login.js). Certifikat stoga ne štiti u potpunosti pristupne podatke na njihovu putu do Korisnikove stranice. Planiran je prekid pri pogreškama certifikata (odjeljak 9.3, prioritet „prvo”).
• Vrijednosti skrivenih polja iza prijave čitaju se, ali ne pohranjuju. Crawler čita prva 24 znaka vrijednosti skrivenih polja (scanner/src/crawl.js), a ista funkcija izdvajanja radi iza prijave (scanner/src/login.js). Ondje skrivena polja često sadrže broj računa, identifikator korisnika ili adresu e-pošte prijavljenog računa; međutim, u mapu polja i nalaze ulaze samo naziv, vrsta i oznaka polja te rezultat otkrivanja.

Tomu se pridružuje ono što kôd ne može spriječiti: Korisnik potvrđuje da upotrebljava testni račun sa što manjim ovlastima (cfg/login_lib.php), ali može unijeti stvarni administratorski račun. Stranice koje skener zatim čita određuje Korisnik; adrese koje sadrže riječi za odjavu i brisanje blokirane su, ali druge radnje koje mrežna stranica pokreće jednostavnim zahtjevom nisu.

Vjerojatnost – moguća. Ozbiljnost – ozbiljna ako je pogođen račun sa širokim ovlastima; tada je otvoreno područje za članove s podacima svih korisnika. Razina – srednja za testni račun s malim ovlastima, visoka za stvarni račun. Prema mjerenju na razvojnom sustavu nije pohranjen nijedan testni račun.

R9 – Aktivne testne predaje i provjera datoteka na Korisnikovoj mrežnoj stranici

Testna predaja ide osobama koje čitaju Korisnikove poruke e-pošte iz obrazaca – njegovim zaposlenicima ili pružatelju usluge. Ne sadrži osobne podatke: pošiljatelj je dummy@formexposed.com, tekst i predmet označeni su i navode identifikator provjere (scanner/src/active.js). Rizik leži u pogrešnoj klasifikaciji: kad bi skener obrazac za prijavu, rezervaciju ili savjetovanje zamijenio za kontaktni obrazac, testna bi poruka završila u postupku koji ima posljedice. Tomu se suprotstavljaju stroga pravila za „dopuštenu predaju” (scanner/src/classify.js), blokada domena javnih tijela, obrazovnih ustanova, klinika, liječničkih ordinacija, policije i sudova (scanner/src/classify.js) te isključenje jezičnog modela iz te odluke (scanner/src/classify.js). Iz odgovora se pohranjuju status, odredišna adresa, naslov, 300 znakova teksta i slika; odnose se na našu testnu poruku.

Provjera datoteka čita najviše 8 KB s tipičnih putanja. Ako je ondje doista izložena izvezena baza podataka, tih 8 KB može sadržavati unose posjetitelja u obrasce. Provjeravaju se samo radi prepoznavanja potpisa i odbacuju (cfg/dateien_lib.php); pohranjuju se putanja, vrsta i ozbiljnost.

Vjerojatnost – mala. Ozbiljnost – značajna. Razina – niska. Prema mjerenju na razvojnom sustavu u skupu podataka postoji jedna aktivna provjera, bez prihvaćene predaje.

R10 – Klasifikacija jezičnim modelom

Za obrasce koje pravila ne prepoznaju jezični model prima naslov i adresu stranice, tekstove gumba, opise polja i do 400 znakova teksta obrasca (scanner/src/classify.js). To može uključivati ime, primjerice „Vaša kontaktna osoba: …”. Radi na našem vlastitom poslužitelju; prema kodu ništa se ne šalje trećoj strani. Bilježi li softver modela zahtjeve nije provjereno. Njegov rezultat određuje samo prikazanu vrstu obrasca i ne može omogućiti predaju obrasca; pogrešna klasifikacija dovodi do lošijeg nalaza, a ne do radnje.

Vjerojatnost – mala. Ozbiljnost – ograničena. Razina – niska.

R11 – Zajednički popis blokiranih domena iz prijava mnogih mrežnih stranica

Domena na popisu uzrokuje da poruke s poveznicama na nju završavaju u karanteni na svim povezanim mrežnim stranicama. Ako domena pripada pojedincu – obrtniku, fotografu, blogu – njegove poruke s poveznicom na vlastitu mrežnu stranicu kasno stižu primateljima. Takva domena može dospjeti na popis jer je pošiljatelji neželjene pošte zloupotrebljavaju ili jer netko namjerno šalje poruke koje ne prolaze provjeru i sadrže tu domenu na više mrežnih stranica.

Tomu se suprotstavljaju (cfg/swarm_lib.php): najmanje tri različite mrežne stranice i pet podudaranja unutar sedam dana; fiksne iznimke za velike usluge; nikad domene naših Korisnika; ručno uklanjanje putem alata na poslužitelju; karantena umjesto brisanja; popis se svakodnevno ponovno sastavlja i sve što se više ne prijavljuje ispada s njega. Pogođene osobe ne mogu vidjeti popis i nemaju vlastiti način traženja uklanjanja osim putem nas.

Vjerojatnost – moguća. Ozbiljnost – ograničena, jer se ništa ne gubi i primatelj može osloboditi poruku. Razina – niska do srednja. Kad bi se uključile IP mreže, bile bi pogođene mreže cijelih pružatelja usluga, IP adrese osobni su podaci, a ozbiljnost bi porasla na značajnu: visoka.

R12 – Izvješća i snimke zaslona pod javnom poveznicom

Izvješćima iz besplatne provjere, provjere potencijalnog klijenta i provjera Korisnikovih domena može se pristupiti bez prijave pod nasumičnom poveznicom. Poveznica sadrži 128 bitova nasumičnosti i ne može se pogoditi (cfg/check_lib.php). Stranice imaju noindex, aplikacija šalje pravilo upućivanja koje prosljeđuje samo ishodište (www/.htaccess), a snimke zaslona isporučuju se samo zajedno s izvješćem kojem pripadaju; drugi broj slike vraća „nije pronađeno” (www/shot.php). Rizik nije kriptografski nego ljudski: poveznica se prosljeđuje, kopira u prijavu poteškoće, dijeli u razgovoru. Onaj tko je otvori bilježi se samo u zapisniku pristupa stranicama kao svaki pregled stranice (60 dana), u kojem se sama poveznica pojavljuje samo u maskiranom obliku; nema popisa čitatelja po izvješću.

Vjerojatnost – moguća. Ozbiljnost – ograničena, jer izvješće prikazuje samo javne informacije i istječe nakon 30 odnosno 90 dana; izvješća o Korisnikovim domenama ostaju dostupna dok god provjera postoji (13 mjeseci, posljednja dulje). Razina – niska.

R13 – Slabosti infrastrukture

Sljedeće točke navedene su kao otvorene u našem internom paketu za provjeru i ovdje se ne uljepšavaju. Opisujemo ih onoliko precizno koliko je Korisnicima potrebno za vlastitu procjenu, ali ne toliko precizno da opis napadaču pokaže put; nadzornom tijelu pružit ćemo pojedinosti na zahtjev.

• Sigurnosne kopije baze podataka trenutačno su pohranjene na istoj lokaciji kao baza podataka i nisu zasebno šifrirane; planirana je šifrirana kopija na drugoj lokaciji (cfg/backup_lib.php). Do tada ne štite od gubitka lokacije, a svatko tko dođe do baze podataka dolazi i do sigurnosnih kopija. Pristupni podaci za skeniranje iza prijave u njima su sadržani samo kao šifrat.
• Nema šifriranja baze podataka u mirovanju. Iznimke su polja koja se pojedinačno šifriraju (pristupni podaci testnih računa, tajna dvostruke autentifikacije).
• Veze unutar naše interne mreže nisu u cijelosti šifrirane.
• Administracija poslužitelja. Sigurnost administrativnog pristupa našim poslužiteljima još ne zadovoljava standard koji namjeravamo postići za rad; nastavlja se sigurnosno učvršćivanje administracije poslužitelja.
• Okruženje provjere. Poslužitelj za skeniranje otvara tuđe mrežne stranice u pregledniku. Spremnici za provjeru izolirani su – vlastita mreža, bez posebnih ovlasti, samo za čitanje, ograničeni (scanner/src/worker.js). Odvajanje okruženja provjere od ostalih dijelova usluge dodatno se jača (odjeljak 9.3).

Vjerojatnost – moguća. Ozbiljnost – ozbiljna, jer bi u izvanrednoj situaciji sve bilo pogođeno odjednom. Razina – visoka. Pojedinačne točke mogu se otkloniti uobičajenim sredstvima (odjeljak 9.3).

R14 – Prava ispitanika za osobe koje nas ne poznaju

Svatko tko se slučajno pojavi na snimci zaslona ili čija je poruka prošla kroz kontrolnu kopiju obično ne zna da postojimo. Čak i ako zna, nema ključ za „svoje” podatke: ne pohranjujemo ih po osobi nego po domeni i provjeri. Na zahtjev za pristup prema čl. 15 možemo odgovoriti samo ako osoba navede domenu; tada možemo pregledati postojeće provjere i slike. Za stvarne poruke posjetitelja nema ničega za otkrivanje jer ih ne pohranjujemo – osim domene pošiljatelja iz R1. Izuzimanje iz provjera djeluje samo za operatore domene, a ne za prikazane osobe; za njih ostaje put putem contact@lukaswojcik.com.

Vjerojatnost – vjerojatna kao strukturna situacija. Ozbiljnost – ograničena, jer su podaci kratkotrajni i nisu organizirani po osobi. Razina – niska.

9. (d) Mjere za rješavanje rizika

Svaka mjera ima status, a statusi nisu ukras. Danas provedeno – provjereno znači: pročitano u kodu razvojnog sustava i, gdje je moguće, izmjereno prema bazi podataka. Djelomično znači: mehanizam postoji, ali još ne ostvaruje u potpunosti svoju svrhu. Planirano znači: predloženo ovom procjenom i nije izvedeno; hoće li i kada biti izvedeno odlučuje vlasnik. Još treba utvrditi označava postupke i odluke koje nikakav kôd ne zamjenjuje. Procjena učinka na zaštitu podataka koja planirane mjere prikazuje kao provedene gubi svoju vrijednost upravo u situaciji u kojoj je potrebna.

9.1 Danas provedeno – provjereno

Mjera	Odnosi se na	Referenca na izvorni kôd
Crawler čita robots.txt prije svake provjere; isključenje koje obuhvaća početnu stranicu, nedostupan robots.txt ili pogreška poslužitelja prekida provjeru (podputanje se ne poštuju pojedinačno; puls, dohvat dokaza, alat za zaglavlja i pretraživanje datoteka ne čitaju ga)	R5, zakonitost	scanner/src/net.js
Izuzimanje iz provjera bez dokaza, s trenutačnim učinkom, za domenu i njezinu www varijantu, za anonimne provjere, potencijalne klijente, studije i Korisnikove provjere (tekući nadzor prestaje sa sljedećom zakazanom provjerom); provjerava se dvaput (aplikacija i usluga provjere); ukidamo ga samo mi na zahtjev uz dokaz	R5, R7, čl. 21	cfg/check_lib.php; cfg/akquise_lib.php; cfg/studie_lib.php; scanner/src/worker.js
Besplatna provjera: hitno zaustavljanje, reCAPTCHA, jedna provjera po domeni i tjednu, ograničenja po IP adresi i sesiji, dnevna gornja granica, bez novih domena, samo javne adrese, bilješka i signal bez sadržaja u slučaju nepravilnosti	R5	cfg/check_lib.php
Za ograničenja sesija se pohranjuje samo kao vrijednost sažetka, nikad identifikator sesije	Smanjenje količine podataka	cfg/check_lib.php
Nema vrijednosti polja (počeci skrivenih polja i podatkovni atributi čitaju se samo tijekom provjere, odjeljak 6.2); adrese primatelja samo kao domena; identifikatori računa u adresama skripti skriveni su	Smanjenje količine podataka	scanner/src/crawl.js
Besplatno izvješće izvadak je: samo osnovni nalazi, bez dokaza svih detektora	R5	cfg/check_lib.php, FE_FREE_DETEKTOREN
Izvješća pod 128-bitnom nasumičnom poveznicom, noindex, slike samo za vlastito izvješće, izvan javnog mrežnog direktorija; poveznica se u zapisniku pristupa stranicama pojavljuje samo u maskiranom obliku	R12	cfg/check_lib.php; www/report.php; www/shot.php
Brisanje: anonimna izvješća nakon 30 dana, potencijalni klijenti nakon 90 dana, Korisnikove provjere nakon 13 mjeseci (posljednja po domeni čuva se dok god domena postoji), podaci izbrisane domene odmah (iznimke pogledajte u odjeljku 6.11), slike u svakom slučaju zajedno s njima	Ograničenje pohrane	cfg/check_lib.php; cfg/fristen_lib.php
Studija: objava samo zbirnih podataka, segmenti tek od 20 mrežnih stranica s obrascem, sirovi podaci brišu se pri objavi	R4 djelomično, P3	cfg/studie_lib.php
Spremnici za provjeru: vlastita izolirana mreža, bez posebnih ovlasti, samo za čitanje, ograničenja memorije i procesa, vremensko ograničenje; filtar protiv privatnih odredišta za svaki zahtjev, servisni radnici blokirani i WebSocket veze zatvorene kako ništa ne bi zaobišlo filtar; zahtjevi mrežnog poslužitelja samo na mrežnim portovima i samo prema točno onoj javnoj adresi koja je prethodno provjerena	R13	scanner/src/worker.js; scanner/src/net.js
Aktivna provjera za Korisnike samo za verificiranu domenu (interno i za naše vlastite testne i demonstracijske domene) i uz uključen mehanizam hitnog zaustavljanja, provjereno dvaput; najviše pet predaja; samo jasno prepoznati kontaktni obrasci bez obveznih osobnih podataka; bez domena javnih tijela, obrazovnih ustanova, klinika, liječničkih ordinacija, policije ili sudova; jezični model ne smije ništa odobriti; testna poruka bez osobnih podataka, označena, s upućivanjem na stranicu crawlera i izuzimanje iz provjera	R9	scanner/src/worker.js; scanner/src/classify.js; scanner/src/active.js
Tijekovi u pregledniku: samo GET i HEAD, opasne adrese blokirane, izmišljene vrijednosti ne napuštaju preglednik, slike sa zacrnjenim poljima za unos	R3 (za te slike), R9	scanner/src/browser.js
Provjera datoteka: samo verificirane domene, jedan dohvat po putanji, najviše 8 KB, sadržaj se nikad ne pohranjuje	R9	cfg/dateien_lib.php
Druga sonda: prema zadanim postavkama isključena; primala bi samo fiksni popis bezopasnih stavki, potpisan	Primatelji	cfg/formular_probe_lib.php
Skeniranje iza prijave: samo verificirana domena, plaćeni paket, vlasnik ili administrator, potvrda „testni račun”; šifriranje javnim ključem poslužitelja za skeniranje, vezano uz domenu; pristupni podaci nikad se ne prikazuju, ne bilježe u zapisnike i ne izlažu putem API-ja; predaja samo putem standardnog ulaza; polje u zadatku odmah se prazni, ostaci nakon jednog sata; bez snimki zaslona, predaja, adresa za odjavu ili brisanje, prekid pri CAPTCHA-i; konačno brisanje s prepisivanjem	R8	cfg/login_lib.php; scanner/src/login.js; scanner/src/geheim.js; scanner/src/worker.js
Provjera dostave: prema zadanim postavkama isključena; dohvaćanje čita samo zaglavlja i 8 KB, bez oznake pročitanosti; sadržaj i adresa posjetitelja nikad nisu u bazi podataka; svaka dohvaćena poruka e-pošte briše se, uključujući one koje se ne mogu pridružiti; pridruživanja se brišu nakon 180 dana; dokaz samo putem kopije upravo tog testa	R1, R2	cfg/zustellung_lib.php
Kolektivna zaštita: samo domene, IP mreže isključene; minimalni brojevi; iznimke za velike usluge i Korisnikove domene; karantena umjesto brisanja; popis se ponovno sastavlja svakodnevno; prijave se brišu nakon 30 dana	R11	cfg/swarm_lib.php
Jezični model na našem vlastitom poslužitelju, bez prava na predaju	R10	scanner/src/classify.js
Signali putem Telegrama sadrže samo fiksnu rečenicu bez varijabli	Primatelji	cfg/check_lib.php
Tjedni test obnove sigurnosne kopije, s upozorenjem pri neuspjehu	Dostupnost	cfg/backup_lib.php; srv/cron_status.php

9.2 Djelomično – postoji, ali još ne ostvaruje svoju svrhu

Mjera	Zašto još nije u potpunosti učinkovita
„Očišćene” snimke zaslona	Zacrnjene su samo slike iz tijekova u pregledniku. Slike crawlera – početna stranica i elementi obrazaca – i slika stranice odgovora iz aktivne provjere nisu (R3).
Rokovi za podatke provjera	Učinkoviti za anonimne provjere, provjere potencijalnih klijenata i Korisnikove provjere; ne i za interne provjere i neobjavljene studije; neriješene bilješke o nepravilnostima bez vremenskog ograničenja (R4).
Brisanje kontrolnih kopija	Učinkovito u našem pogledu na poštanski sandučić. Ako se izvođenje prekine, poruke e-pošte ostaju; što pružatelj usluge poštanskog sandučića čuva u vlastitim sigurnosnim kopijama nije provjereno (R2).
Zaštita pristupnih podataka pri skeniranju iza prijave	Snažna u mirovanju i u usluzi provjere; ne i na putu do mrežne stranice: http je dopušten, pogreške certifikata zanemaruju se (R8).
Dokaz o kontroli	Provjerava se jednom i zatim vrijedi zauvijek; međutim, naziv hosta domene s dokazom o kontroli ne može se promijeniti, tako da dokaz ne prelazi na drugi host (R7).
Informiranje ispitanika	Postoji za operatore putem stranice crawlera, identifikatora, Pravila privatnosti i izuzimanja iz provjera; za posjetitelje u provjeri dostave ovisi o tome hoće li Korisnik preuzeti tekstualni predložak; aplikacija to ne provjerava.
Zahtjev Korisnicima da u kontrolnu kopiju ne uključuju posebne kategorije	Naveden u pravnim dokumentima, ali nije tehnički poduprt: tijekom postavljanja aplikacija ne pita za vrstu mrežne stranice i ne upozorava na domene koje izgledaju kao zdravstvene, pravne ili obrazovne (R1).

9.3 Planirano – nije provedeno

Mjera	Odnosi se na	Prioritet
Postupak brisanja za interne provjere: izbrisati provjere bez domene i bez izvješća nakon fiksnog roka (prijedlog: 30 dana); izbrisati sirove podatke studije najkasnije nakon fiksnog roka od njezina završetka, čak i bez objave (prijedlog: 90 dana); jednokratno izbrisati postojećih 85 provjera s 369 slika	R4	Prvo
Omogućiti provjeru dostave tek nakon što je sklopljen ugovor s pružateljem usluge poštanskog sandučića, dokumentirana mjesta pohrane, podizvršitelji obrade i rokovi sigurnosnih kopija, razjašnjen mehanizam prijenosa za pružatelja usluge poštanskog sandučića te MX zapisi naše domene upućuju izravno na sandučić; do tada funkciju držati blokiranom u produkcijskom sustavu	R2	Prvo
Provjeriti sigurnost dohvaćanja pošte na produkcijskom sustavu i dokumentirati je prije omogućavanja provjere dostave	R2	Prvo
Skeniranje iza prijave samo putem https i s valjanim certifikatom; odbijati http adrese; pogreške certifikata pri prijavi kao razlog za prekid	R8	Prvo
Ne pohranjivati vrijednosti skrivenih polja iza prijave (samo naziv, vrstu i duljinu) – već je tako provedeno, nema daljnjeg koraka	R8	Dovršeno
Ograničiti kontrolnu kopiju na testne poruke ondje gdje se upotrebljava dodatak ili proširenje: skrivena kopija samo za predaje s našim identifikatorom testa	R1	Visok
Ne pohranjivati domenu pošiljatelja stvarnih poruka niti je zapisivati u upozorenja ako nije ni domena mrežne stranice ni poznate usluge slanja; u upozorenju umjesto toga „tuđa domena pošiljatelja”	R1	Visok
Upozorenje pri postavljanju provjere dostave za domene koje izgledaju kao zdravstvene, pravne, socijalne ili obrazovne, s upućivanjem na Korisnikovu vlastitu procjenu učinka na zaštitu podataka	R1	Visok
Redovito obnavljati dokaz o kontroli (prijedlog: prije svake aktivne provjere provjeriti postoje li još DNS zapis, metaoznaka, datoteka ili veza dodatka; inače nastaviti pasivno i obavijestiti Korisnika)	R7	Visok
Prestati snimati početnu stranicu ili je snimati samo sa zacrnjenim slikama i licima; ograničiti slike obrazaca na element obrasca (kao danas) i maskirati polja za unos kao kod tijekova u pregledniku	R3	Visok
Obavijest u sučelju provjere potencijalnog klijenta: neželjeno slanje kratkog nalaza e-poštom ili telefonom izravni je marketing čak i među poslovnim subjektima i zahtijeva prethodnu privolu (čl. 398 poljskog Zakona o elektroničkim komunikacijama; u Njemačkoj § 7(2) UWG-a, iako je za pozive poslovnim subjektima dovoljna pretpostavljena privola)	R6	Visok
Infrastruktura: dovršiti sigurnosno učvršćivanje administracije poslužitelja; šifrirana sigurnosna kopija na drugoj lokaciji; u cijelosti šifrirati veze u internoj mreži; dodatno ojačati odvajanje poslužitelja za skeniranje od aplikacije	R13	Visok
Rok za neriješene bilješke o nepravilnostima (prijedlog: rješavanje unutar 30 dana, inače brisanje IP adrese)	R4	Srednji
Stranica ili obrazac putem kojih netko može zatražiti uklanjanje domene iz kolektivne zaštite	R11, R14	Srednji
Prije uključivanja IP mreža u kolektivnoj zaštiti: nova verzija ove procjene	R11	Uvjet
Zabilježiti pohranjuje li softver jezičnog modela zahtjeve i, ako da, isključiti te zapisnike	R10	Nizak

9.4 Postupci i odluke koje još treba utvrditi

Uz tehničke zaštitne mjere čl. 35(7)(d) zahtijeva i postupke. Oni još nedostaju:

• Povreda osobnih podataka. Otkrivanje: vlasnik, upozorenje aplikacije o pogrešci, prijave putem mjesta za prijavu ranjivosti ili contact@lukaswojcik.com. Odluka o obavještavanju UODO-a unutar 72 sata (čl. 33(1)): vlasnik. Informiranje pogođenih Korisnika kao voditelja obrade: bez nepotrebnog odgađanja, po mogućnosti unutar 48 sati, kako je obećano u Ugovoru o obradi podataka. Treba utvrditi: pisani opis postupka i prvu vježbu; za provjeru dostave dodatno način utvrđivanja koji su Korisnici pogođeni povredom kod pružatelja usluge poštanskog sandučića.
• Sektori. Treba utvrditi: nudi li se provjera dostave, nudi uz upozorenje ili isključuje za mrežne stranice iz zdravstva, prava, socijalnih službi i obrazovanja.
• Interne provjere. Treba utvrditi: za što pružatelj usluge upotrebljava interne provjere iz naredbenog retka, tko ih smije stvarati i koliko dugo njihovi rezultati ostaju; te treba li ih, osim u Evidenciji aktivnosti obrade, navesti i u Pravilima privatnosti.
• Studije. Treba utvrditi: tko sastavlja popise, iz kojih izvora, s kojom najvećom veličinom te provjeru prije svake studije zadovoljava li pretpostavke ove procjene.
• Mišljenja ispitanika (čl. 35(9)). Za ovu verziju nisu zatražena. Čl. 35(9) zahtijeva da se zatraže samo „prema potrebi”; prema našoj procjeni ovdje to trenutačno nije slučaj. Operatori provjerenih mrežnih stranica i posjetitelji Korisnikovih mrežnih stranica nemaju vlastiti kanal prema nama; ciljano obraćanje njima samo bi po sebi bilo nova obrada njihovih podataka, a usluga još nije pokrenuta pa još nema skupine stvarnih ispitanika. Njihovi interesi uzimaju se u obzir neizravno: putem robots.txt i izuzimanja iz provjera, kratkih rokova te činjenice da se sadržaj kontrolnih kopija ne pohranjuje. Pri svakoj provjeri prema odjeljku 12 ponovno razmatramo je li primjereno zatražiti njihova mišljenja, primjerice putem povratnih informacija na stranici crawlera ili od Korisnika provjere dostave.

10. Preostali rizik i prethodno savjetovanje prema čl. 36

Čl. 36(1) zahtijeva prethodno savjetovanje s nadzornim tijelom ako procjena učinka na zaštitu podataka pokazuje da bi obrada prouzročila visok rizik kad voditelj obrade ne bi poduzeo mjere za ublažavanje rizika. Pitanje stoga nije jesu li utvrđeni visoki rizici – jesu, četiri – nego ostaje li visok rizik nakon uspostave mjera.

Za postupke obrade u kojima je formexposed voditelj obrade (P1 do P4, P7), visoki rizici R4 i R13 mogu se otkloniti uobičajenim sredstvima: postupkom brisanja i čišćenjem postojećih podataka, šifriranom sigurnosnom kopijom na drugoj lokaciji i sigurnosnim učvršćivanjem dvaju poslužitelja. Uz mjere iz 9.3 padaju na nisku do srednju razinu. R3, R5, R6 i R7 na srednjoj su razini i uz predložene mjere padaju na nisku. Kolektivna zaštita bez IP mreža ostaje na niskoj do srednjoj razini. Prethodno savjetovanje za ovaj dio nije potrebno ako se mjere označene „prvo” i „visok” provedu prije pokretanja. Ako neka od tih mjera nije provedena prije pokretanja, za dotični postupak obrade ostaje visok rizik. Taj će se postupak obrade tada pokrenuti tek nakon provedbe mjere ili će se prethodno savjetovati s UODO-om prema čl. 36(1).

Za provjeru dostave (P6) situacija je drukčija, iz razloga koji nijedna mjera ne uklanja u potpunosti: što posjetitelj piše ovisi o njemu. Uz sklopljen ugovor, osigurano dohvaćanje, ograničenje na testne poruke gdje je moguće i odustajanje od domene pošiljatelja, R2 pada na nisku, a R1 na srednju razinu. Za Korisnike čiji posjetitelji tipično pružaju podatke iz čl. 9 R1 ipak može ostati visok. Obveza savjetovanja tada pripada Korisniku kao voditelju obrade, a ne usluzi formexposed. Naša je preporuka takvim Korisnicima da kontrolnu kopiju ne postavljaju za opći kontaktni obrazac, nego samo za obrasce bez osjetljivog sadržaja, ili da odustanu od provjere dostave.

Preostali rizik, iskreno naveden. Danas, uz mjere iz 9.1, četiri su rizika visoka: R1 i R2 (provjera dostave), R4 (podaci provjera bez postupka brisanja) i R13 (infrastruktura). Uz mjere iz 9.3 R2, R4 i R13 padaju na nisku do srednju razinu. R1 ostaje na srednjoj razini i trajno ovisi o odlukama Korisnika. Nijedan drugi rizik nakon mjera nije iznad srednje razine.

Čl. 36 nije kazna, a savjetovanje nije priznanje. To je put koji Uredba predviđa za situaciju u kojoj koristan postupak nosi rizik kojim voditelj obrade ne upravlja u potpunosti. Korisnik koji želi upotrebljavati provjeru dostave za poruke sa zdravstvenim podacima ovdje će pronaći činjenice za tu odluku.

11. Što Korisnicima treba za vlastitu procjenu učinka na zaštitu podataka (čl. 28(3)(f))

Za provjeru dostave i skeniranje iza prijave Korisnik je voditelj obrade. Ova mu stranica pruža opis (odjeljci 6.5 i 6.6), rizike iz naše perspektive (R1, R2, R8) i status mjera (odjeljak 9). Samo Korisnik može odgovoriti na sljedeća pitanja:

1. Što pišu moji posjetitelji? Može li se očekivati da putem obrasca stižu podaci o zdravlju, vjeri, podrijetlu, članstvu u sindikatu, seksualnoj orijentaciji, kaznenim djelima ili djeci? Tada je u pravilu potrebna procjena učinka na zaštitu podataka za kontrolnu kopiju i treba ponovno razmotriti kontrolnu kopiju za taj obrazac.
2. Trebam li kontrolnu kopiju za sve poruke? Za dokaz da naša testna poruka stiže dovoljna je kopija te poruke. Gdje obrazac to dopušta, postavite skrivenu kopiju samo za testne poruke.
3. Kako informiram svoje posjetitelje? Ugovor o obradi podataka to zahtijeva; Tekst pravila privatnosti za Vašu mrežnu stranicu opisuje put kopije i našu ulogu.
4. Koju pravnu osnovu imam? Naš predloženi tekst navodi čl. 6(1)(f) (pouzdan primitak upita). Za podatke iz čl. 9 samo ta osnova nije dovoljna.
5. Koje kanale upozorenja odabirem? Upozorenja iz provjere autentičnosti mogu navoditi domenu pošiljatelja. Svatko tko šalje upozorenja uslugama razgovora izvan EU-a prenosi je tamo.
6. Za skeniranje iza prijave: Je li testni račun doista testni račun s najmanjim nužnim ovlastima? Može li se stranici za prijavu pristupiti samo putem https? Vidi li testni račun podatke drugih korisnika? Ako da: na kojim od navedenih stranica?
7. Kada brišem? Provjera dostave i testni račun mogu se isključiti i izbrisati u bilo kojem trenutku; testni račun tada se trajno prepisuje.

Dodatni dokumenti za Korisnikovu procjenu: Ugovor o obradi podataka, tehničke i organizacijske mjere, popis podizvršitelja obrade i Evidencija aktivnosti obrade. Na pitanja o pojedinačnim činjenicama odgovaramo na contact@lukaswojcik.com.

12. Preispitivanje, verzija i odobrenje

Čl. 35(11) zahtijeva preispitivanje radi procjene provodi li se obrada u skladu s procjenom učinka na zaštitu podataka, barem kad se rizik promijeni. Ovu procjenu preispitujemo najmanje jednom godišnje i prije svakog od sljedećih događaja; svaki pokreće novo mjerenje, a ne samo čitanje:

• pokretanje produkcijskog rada, s brojčanim podacima iz produkcijskog umjesto razvojnog sustava;
• prva aktivacija provjere dostave na produkcijskom sustavu i sklapanje ugovora s pružateljem usluge poštanskog sandučića;
• uključivanje IP mreža u kolektivnoj zaštiti;
• prva studija i svaka studija s većim popisom od prethodne;
• uključivanje druge sonde ili novog primatelja u postupku provjere;
• svaka nova upotreba jezičnog modela koja nadilazi klasifikaciju obrazaca i „Fix it for me”;
• svaka promjena snimki zaslona, rokova ili preduvjeta za aktivne provjere.

Stavka	Unos
Voditelj obrade	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poljska · NIP 7252266190 · contact@lukaswojcik.com
Nadležno nadzorno tijelo	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Poljska
Službenik za zaštitu podataka	Nije imenovan; procjena prema čl. 37 u odjeljku 4
Činjenična osnova	Izvorni kôd aplikacije i usluge provjere, shema baze podataka, brojevi redaka i postavke razvojnog sustava, izmjereno 11. listopada 2026., samo čitanje
Povezani dokumenti	Pravila privatnosti, Ugovor o obradi podataka, Tehničke i organizacijske mjere, Podizvršitelji obrade, Evidencija aktivnosti obrade, Akt EU-a o umjetnoj inteligenciji, Prihvatljiva upotreba i zloupotreba, FormExposedBot, Izuzimanje iz provjera
Verzija	1.0 od 11. listopada 2026., prva verzija
Preispitivanja prema čl. 35(11)	Još nijedno (prva verzija). Svako preispitivanje unosi se ovdje s datumom, razlogom i rezultatom.
Odobrenje	Još nije odobreno. Odobrenje vlasnika nakon pravne provjere i odluke o mjerama iz odjeljka 9.3 i pitanjima iz odjeljka 9.4. Vanjsko savjetovanje o zaštiti podataka dosad nije zatraženo.

Jedna završna napomena pripada u dokument, a ne u popratno pismo. Dijelovi usluge formexposed koji najdublje zadiru u tuđe domene – testne predaje i prijava tuđim pristupnim podacima – izvedeni su s najviše opreza: dvije provjere, čvrste gornje granice, šifriranje koje i nama onemogućuje pristup. Rizici u ovoj procjeni uglavnom leže drugdje: u onome što dolazi usput – stvarne poruke u skrivenoj kopiji, osobe na snimci zaslona, provjere koje više nitko ne briše. To je povoljna polazišna pozicija jer se usputno može zaustaviti bez promjene usluge.