Tehničke i organizacijske mjere

Ovaj dokument objavljen je na više jezika. U slučaju bilo kakvog neslaganja između jezičnih verzija, poljska verzija je obvezujuća.

Verzija 1.1 · Posljednje ažuriranje: 22. listopada 2026.

Mjere iz Art. 32 OUZP-a kojima LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poljska, štiti uslugu formexposed. Ova stranica sastavni je dio Ugovora o obradi podataka kao Prilog 2.

1. Područje primjene i načelo

Mjere se primjenjuju na sve podatke koje usluga obrađuje: na podatke koje obrađujemo u ime naših Klijenata (opisani u Ugovoru o obradi podataka) i na podatke za koje smo sami voditelj obrade, kao što su korisnički računi i zapisnici. Za te dvije skupine ne postoje odvojene razine zaštite; ono što štiti račun štiti i podatke koje obrađujemo kao izvršitelj obrade.

Struktura prema Art. 32(1) OUZP-a. Pseudonimizacija i enkripcija (točka (a)) obrađene su u odjeljku 4; trajna povjerljivost, cjelovitost, dostupnost i otpornost sustava (točka (b)) u odjeljcima 3, 5, 6 i 7; sposobnost pravodobne ponovne uspostave dostupnosti nakon incidenta (točka (c)) u odjeljku 7.1; postupak redovitog testiranja, ocjenjivanja i procjenjivanja učinkovitosti (točka (d)) u odjeljku 9. Mjere smo odabrali na temelju rizika opisanih u našoj Procjeni učinka na zaštitu podataka, uzimajući u obzir najnovija dostignuća i troškove provedbe.

Načelo: izmjereno, a ne namjeravano. Ovdje je navedeno samo ono što je stvarno provedeno u kodu ili u radu. Ono što je planirano, ali još nije provedeno, izričito je navedeno kao „planirano” u odjeljku 10. Mjera koja ovdje nedostaje nije prešutno na snazi.

Nazivi računala, interne adrese, priključci, korisnička imena i verzije softvera namjerno nisu navedeni. Nikome ne pomažu u procjeni mjera, ali pomažu onome tko ih želi zaobići. Tko ih treba za reviziju prema Ugovoru o obradi podataka, dobit će ih u okviru te revizije uz obvezu povjerljivosti, u mjeri u kojoj su potrebni za reviziju.

2. Struktura usluge

Usluga radi na dva vlastita poslužitelja pružatelja u Poljskoj, smještena u istoj internoj mreži:

• Web-poslužitelj s bazom podataka. Isporučuje aplikaciju, sadržava bazu podataka, šalje obavijesti i izrađuje sigurnosne kopije podataka. Samo je on postavljen tako da prima zahtjeve s interneta.
• Poslužitelj za skeniranje. Provodi provjere tuđih i vlastitih web-stranica u pregledniku i pokreće jezični model koji razvrstava pojedine obrasce i dodaje kod u funkciji „Fix it for me”. Nije postavljen tako da prima zahtjeve s interneta, nego sam preuzima svoje poslove s web-poslužitelja i ondje vraća rezultate.

U radu nije uključen nikakav pružatelj hostinga, podatkovnog centra ili usluga u oblaku i ništa ne odlazi vanjskoj usluzi umjetne inteligencije. Koje treće strane primaju podatke, navedeno je na stranici Podizvršitelji obrade.

3. Povjerljivost

3.1 Kontrola fizičkog pristupa

Poslužitelji se nalaze u prostorijama pružatelja u Poljskoj koje nisu otvorene za javnost. Pristup ima samo vlasnik (prema izjavi operatera). Točna adresa lokacije ovdje namjerno nije navedena.

3.2 Kontrola pristupa: prijava u uslugu

• Lozinke se pohranjuju samo kao hash standardnom metodom PHP-a (bcrypt). Ako se standardna metoda promijeni, hash se obnavlja pri sljedećoj prijavi. Pri pokušaju prijave s nepoznatom adresom poslužitelj ipak izračunava hash kako vrijeme odgovora ne bi otkrilo postoji li račun. Isto tako, odgovor na zahtjev za ponovno postavljanje lozinke ni svojim tekstom ni trajanjem ne otkriva postoji li račun; e-poruke za ponovno postavljanje šalju se na istu adresu najviše tri puta na sat. Nove lozinke moraju imati najmanje deset znakova i ne smiju premašiti 72 bajta (UTF-8) jer bcrypt ne uzima u obzir više bajtova. Promjena lozinke odjavljuje sve ostale uređaje; ponovno postavljanje putem poveznice odjavljuje sve uređaje, a poveznica vrijedi samo jednom.
• Blokada nakon neuspjelih pokušaja. Neuspjele prijave broje se po IP adresi; nakon previše njih u kratkom vremenu (trenutačno osam u 15 minuta) prijava s te adrese privremeno se blokira. Uspješna prijava poništava taj brojač. Pokušaji se brišu nakon sedam dana. Osim toga, prije svake provjere lozinke broji se jedan pokušaj po računu (za nepoznatu adresu po unesenoj adresi) i po IP adresi, uključujući uspješne pokušaje: trenutačno najviše osam po računu s iste IP adrese i 80 po IP adresi u 15 minuta; po računu za sve adrese zajedno vrijedi znatno viša granica, protiv distribuiranog pogađanja. Neuspjeli pokušaji s druge adrese stoga više ne zaključavaju vlasnika izvan njegova računa. Ti brojači sadržavaju samo HMAC ključ, bez adrese e-pošte ili IP adrese u čitljivom obliku, i istječu sa svojim vremenskim okvirom. Ako spremište brojača nije dostupno, prijava se odbija, a ne propušta. Ista vrsta ograničenja vrijedi za potvrdu lozinke prije promjene lozinke ili adrese, uključivanje ili isključivanje drugog faktora, prijenos radnog prostora, izvoz podataka i brisanje računa (pet pokušaja po računu u 15 minuta), za registracije (deset po IP adresi na sat) i za lozinke klijentskih portala (deset pokušaja po portalu i IP adresi, 50 po portalu u 15 minuta).
• Drugi faktor. Svaki račun može uključiti prijavu jednokratnim kodom prema RFC 6238 (TOTP). Tajna za to pohranjuje se šifrirano u bazi podataka; ključ nije pohranjen u bazi podataka, pa sam izvadak iz baze nije dovoljan. Prihvaćeni kod ne vrijedi drugi put. Deset kodova za oporavak pohranjuje se samo kao hash. Jednokratni kodovi i kodovi za oporavak ograničeni su na deset pokušaja po računu u 15 minuta, uključujući tijekom postavljanja.
• Administratorsko područje samo s drugim faktorom. Administratorsko područje operatera otvara se samo računima s uključenim drugim faktorom. Kontrolni popis postavljanja prijavljuje svaki administratorski račun bez drugog faktora.
• Sesije. Kolačić sesije skripte ne mogu čitati (HttpOnly), šalje se samo putem HTTPS-a (Secure) i ne šalje se sa zahtjevima s tuđih web-mjesta koji bi mogli nešto promijeniti (SameSite=Lax). Pri prijavi se izrađuje novi ID sesije kako unaprijed podmetnuti ID više ne bi vrijedio; poslužitelj ne prihvaća ID sesije koji nije sam izdao. Svaki račun vidi svoje prijavljene uređaje i može ih pojedinačno odjaviti.
• „Ostani prijavljen” nije obvezno i vrijedi 30 dana, ali ne za račune s administratorskim pravima; oni se uvijek prijavljuju lozinkom i drugim faktorom. Token se sastoji od dva dijela; dio za provjeru pohranjuje se u bazi podataka samo kao hash. Svaka upotreba zamjenjuje ga novim, a čak i pri istodobnim zahtjevima svaki token vrijedi samo jednom, tako da se ukradeni token primijeti najkasnije pri sljedećem stvarnom posjetu.
• Poveznice u e-porukama. Poveznice za potvrdu adrese i ponovno postavljanje lozinke pohranjuju se u bazi podataka samo kao hash. Poveznica za ponovno postavljanje vrijedi jedan sat, poveznica za potvrdu registracije 72 sata, poveznica za potvrdu promijenjene adrese 24 sata. Ako se adresa e-pošte promijeni, otvorena poveznica za ponovno postavljanje postaje nevaljana.
• Sučelja. API ključevi, kodovi za povezivanje proširenja i kodovi za uvođenje pohranjuju se samo kao hash. API ključevi mogu se upotrijebiti samo ograničen broj puta u minuti; kodovi za povezivanje proširenja vrijede 15 minuta i samo jednom.
• Zaštita od botova na javnim obrascima (registracija, prijava, lozinka, provjera, alat za zaglavlja, opt-out, podrška i kontakt): Google reCAPTCHA, koja se učitava tek pri slanju. Prihvaća se samo valjan odgovor Googlea s dovoljnom ocjenom za točno tu radnju obrasca; ako Google ne odgovori u roku od tri sekunde, slanje se odbija. Pojedinosti su u Pravilima privatnosti.

3.3 Kontrola pristupa: administracija poslužitelja

• Poslužitelj dostupan s interneta paketnim filtrom propušta samo usluge koje nudi i automatski blokira adrese nakon ponovljenih neuspjelih prijava u administraciju poslužitelja.
• Automatizirani procesi između poslužitelja upotrebljavaju vlastite ključeve s usko ograničenim pravima. Ključ kojim web-poslužitelj isporučuje nove verzije skenera smije na poslužitelju za skeniranje izvršavati samo fiksni popis naredbi i smije samo kopirati, isključivo upisivanjem, u direktorij skenera; interaktivna prijava njime nije moguća, a svaka odbijena naredba bilježi se. Isto tako, poslužitelj za skeniranje smije snimke zaslona upisivati samo u određeni direktorij na web-poslužitelju.
• Proces koji poslužuje web-stranicu nema ni pravo pisanja u produkcijsku instalaciju ni ključ za poslužitelj za skeniranje. Implementacija pokrenuta u administratorskom području samo zadaje posao, koji provodi zaseban postupak.
• Tajne kao što su podaci za pristup bazi podataka i ključevi čuvaju se u konfiguracijskim datotekama izvan posluživanog direktorija i ne kopiraju se pri implementaciji. Konfiguracija web-poslužitelja ne distribuira se putem web-sučelja.

3.4 Kontrola ovlaštenja: prava unutar usluge

• Uloge. Svaki radni prostor ima uloge vlasnik, administrator i čitatelj. Mijenjanje, brisanje, pozivanje i pohranjivanje podataka za prijavu rezervirani su za vlasnike i administratore; samo vlasnik smije mijenjati uloge i uklanjati članove. Pozivnica vrijedi samo dok je osoba koja ju je poslala još uvijek vlasnik ili administrator. Čitatelji vide adrese webhookova i kanala chata samo skraćene na host jer sama adresa omogućuje objavljivanje u kanalu. Provjera se provodi na poslužitelju, ne samo u sučelju.
• Vezanost uz radni prostor. Domene i postavke dostupne su samo članovima radnog prostora. Za svaku provjeru Usluga izrađuje izvješće pod nasumičnom poveznicom koja se ne može pogoditi; rezultati i snimke zaslona provjere mogu se putem te poveznice otvoriti bez prijave, snimke zaslona samo zajedno s poveznicom njihova izvješća. Poveznica se pojavljuje u računu i u upozorenjima; tko je proslijedi, prosljeđuje izvješće.
• Zahtjevi koji mijenjaju stanje zahtijevaju sigurnosni token po sesiji (zaštita od CSRF-a), koji se uspoređuje u konstantnom vremenu.
• „Prikaz kao klijent”. Za potrebe podrške operater može vidjeti aplikaciju onako kako je vidi Klijent. Prikaz završava nakon jednog sata, blokira promjene lozinke, adrese, drugog faktora, uređaja, pretplate, izvoza i brisanja, za to vrijeme zatvara administratorsko područje i bilježi se. Njegovim završetkom operater se potpuno odjavljuje; u administratorsko područje može se vratiti samo ponovnom prijavom lozinkom i drugim faktorom. Klijent to može vidjeti u svojem izvozu podataka.
• Administracija. Administratorska prava ima samo nekoliko izričito ovlaštenih računa; svako ponovno postavljanje drugog faktora od strane administracije bilježi se.

3.5 Kontrola odvajanja

• Podaci klijenata logički su odvojeni po radnom prostoru. Svaki put čitanja i pisanja u području za prijavljene korisnike nosi tu vezanost; izvješća su dodatno dostupna putem svoje poveznice (odjeljak 3.4).
• Razvoj i rad odvijaju se u odvojenim instalacijama s odvojenim bazama podataka i odvojenim korisnicima baze podataka. Razvojni korisnik nema pristup produkcijskoj bazi podataka. Stvarni podaci klijenata ne kopiraju se u razvojno okruženje; ondje radimo s generiranim primjerima podataka.
• Za svako okruženje skener ima vlastite podatke za pristup s pravima samo na podatke potrebne za njegove poslove. Ne može čitati račune, naplatu ni zapisnike.
• Na web-poslužitelju rade i druge usluge istog pružatelja. One imaju vlastite baze podataka i vlastite korisnike baze podataka bez pristupa podacima ove usluge.

4. Enkripcija, pseudonimizacija i smanjenje količine podataka

4.1 Podaci za prijavu za skeniranje iza prijave

Za ovu funkciju Klijent pohranjuje korisničko ime i lozinku testnog računa. To su najosjetljiviji podaci u usluzi i stoga su zaštićeni drukčije od svega ostalog:

• Pri pohrani web-poslužitelj ih šifrira javnim ključem poslužitelja za skeniranje (ECIES: X25519 s jednokratnim ključem po zapisu, HKDF-SHA256, AES-256-GCM). Privatni ključ postoji samo na poslužitelju za skeniranje. Web-poslužitelj, baza podataka i sigurnosne kopije sadržavaju samo šifrirani tekst; ni mi ga ondje ne možemo pročitati.
• Svaki je zapis kriptografski vezan uz svoju domenu. Ako se premjesti na drugu domenu, dešifriranje ne uspijeva.
• Za skeniranje se šifrirani tekst prilaže poslu. Poslužitelj za skeniranje dešifrira ga i predaje podatke za prijavu kontejneru za provjeru samo putem standardnog ulaza, nikada kao argument naredbenog retka koji bi bio vidljiv u popisima procesa. Čim ga poslužitelj za skeniranje pročita, šifrirani tekst briše se iz posla; zaseban postupak uklanja eventualne ostatke najkasnije nakon jednog sata.
• Podaci za prijavu nikada se ne prikazuju, nikada ne bilježe, nikada ne izdaju putem API-ja i ne izvoze se. Sučelje prikazuje samo prvi znak i duljinu korisničkog imena. Uklanjanjem se šifrirani tekst prepisuje.
• Iza prijave skener samo čita: bez slanja, bez aktivnog testa, bez snimki zaslona, bez stranica za odjavu, brisanje ili otkazivanje.

4.2 Daljnja enkripcija i hashevi

• Lozinke, kodovi za oporavak, lozinke klijentskih portala, API ključevi, kodovi za povezivanje i uvođenje, tokeni za „Ostani prijavljen”, ID-ovi sesija na popisu uređaja te poveznice za potvrdu i ponovno postavljanje pohranjuju se samo kao hash.
• Tajne za drugi faktor pohranjuju se šifrirano (odjeljak 3.2).
• Ne tvrdimo da je cijela baza podataka šifrirana u mirovanju. Osjetljive vrijednosti zaštićene su pojedinačno, kako je gore opisano.

4.3 Smanjenje količine podataka već u dizajnu

• Provjera dostave: Čitaju se samo zaglavlja i najviše prvih 8 KB teksta. U bazu podataka ulaze samo vrijeme, pridruživanje, ako je primjenjivo ID probnog slanja i rezultat provjere autentičnosti (SPF, DKIM, DMARC), nikada sadržaj ili potpuna adresa pošiljatelja. Rezultat autentičnosti najnovije poruke e-pošte čuva se uz domenu i prepisuje sljedećim; sadrži IP adresu poslužitelja koji dostavlja e-poštu i domenu e-pošte pošiljatelja. Poruka e-pošte briše se iz sandučića nakon uspješne obrade; ako dohvaćanje ili brisanje ne uspije, to se obavlja pri sljedećem uspješnom izvršavanju.
• Provjere: Struktura obrazaca pohranjuje se s nazivima polja, vrstama i oznakama, atributima obveznosti i vidljivosti, bez vrijednosti; skener čita početke unaprijed ispunjenih skrivenih polja (do 24 znaka) i podatkovnih atributa (do 60 znakova) samo tijekom provjere i ne pohranjuje ih. Snimke zaslona potpune provjere nisu zacrnjene; samo provjere u pregledniku prekrivaju polja za unos. Adrese primatelja obrazaca pohranjuju se samo kao domena. Aktivna probna slanja sadrže samo označene testne tekstove bez osobnih podataka.
• Proširenja za WordPress i TYPO3 prenose samo dnevne brojke i značajke kao što je inventar dodataka, a za povezani dodatak za WordPress i domene poveznica iz blokiranih poruka za zajedničku zaštitu (uključena prema zadanim postavkama); nikakav drugi sadržaj, imena, adrese ili IP adrese posjetitelja. Neobvezno brojanje pogrešaka obrazaca i polja prema zadanim je postavkama isključeno.
• „Fix it for me”: Zalijepljeni kod obrađuje se samo tijekom trajanja zahtjeva i ne pohranjuje se.
• Značka: Slika značke na web-stranicama korisnika ne postavlja kolačić i ne pokreće sesiju.
• Operativne obavijesti na telefon operatora unaprijed su određeni tekstovi bez varijabli, dakle bez imena, adresa ili sadržaja. Obavijesti o pogreškama poslane operatoru e-poštom sadrže sirovi tekst poruke o pogrešci, bez pročišćavanja i skraćen na 400 znakova; u pojedinim slučajevima može sadržavati adrese ili poveznice.
• Zajednička zaštita: Između proširenja Korisnika dijele se samo domene poveznica iz blokirane neželjene pošte; razmjena IP mreža isključena je.
• Lokacija: Država IP adrese određuje se iz lokalne datoteke baze podataka; nijedna adresa ne šalje se usluzi geolokacije.

5. Zaštita od zloupotrebe skenera

Skener učitava stranice trećih strana stvarnim preglednikom. Bez zaštite bio bi alat kojim bi netko izvana mogao dosegnuti našu internu mrežu ili druge nejavne ciljeve (krivotvorenje zahtjeva na strani poslužitelja). Stoga postoje dva neovisna sloja i izolacija svakog pojedinog izvršavanja.

5.1 Izolirano izvršavanje

• Svaka provjera radi u vlastitom kontejneru koji se nakon toga uklanja. Radi bez administratorskih prava, bez dodatnih mogućnosti operativnog sustava i bez mogućnosti povećanja ovlasti. Njegov datotečni sustav samo je za čitanje, osim malih privremenih područja.
• Memorija, broj procesa i vrijeme izvršavanja ograničeni su; izvršavanje koje premaši dopušteno vrijeme prekida se.

5.2 Mreža: dva sloja

• Prvi sloj, u skeneru: Prije skeniranja, a zatim za svaki pojedini zahtjev preglednika, uključujući preusmjeravanja i ugrađeni sadržaj, provjerava se u koju se adresu naziv razrješava. Privatne, lokalne, rezervirane i dokumentacijske mreže (IPv4 i IPv6) odbijaju se, kao i portovi koji nisu uobičajeni za web. Preglednik ne dopušta service workere, a WebSocket veze zatvaraju se jer bi oboje moglo zaobići tu provjeru.
• Drugi sloj, u mreži: Kontejneri rade u vlastitoj mreži. Pravila vatrozida dopuštaju veze odatle prema internetu samo na web-portovima; veze prema privatnim mrežama, uključujući našu internu mrežu s web-poslužiteljem i bazom podataka, blokirane su. Iznimke koje zahtijeva samo izvršavanje provjere ograničene su na nužno i opisane u našoj internoj dokumentaciji. Taj sloj djeluje i ako se naziv tek nakon prve provjere razriješi drukčije.

5.3 Zahtjevi koje šalje web-poslužitelj

Kada sam web-poslužitelj šalje zahtjeve na adrese trećih strana – za dokaz kontrole domene, alat za zaglavlja, pretraživanje izloženih datoteka, zahtjeve pulsa, RDAP upite i provjeru certifikata, za webhookove i upozorenja u razgovoru te za neobveznu drugu kontrolnu točku – vrijede ista pravila: samo web-protokoli, na uobičajenim web-portovima (webhookovi i upozorenja u razgovoru samo putem HTTPS-a na standardnom portu), samo javne adrese, veza samo s točno onom adresom koja je prethodno provjerena kako se naziv naknadno ne bi mogao preusmjeriti na interni cilj, preusmjeravanja se ili uopće ne slijede ili se slijede samo ručno i svaki put ponovno provjeravaju, kratka vremenska ograničenja; za dokaz kontrole domene, zahtjeve pulsa i drugu kontrolnu točku u provjerama u pregledniku također ograničena veličina odgovora.

5.4 Što skener ne radi na stranicama trećih strana

• Aktivna probna slanja (najviše pet po provjeri) za Korisnike postoje samo za domene za koje je pružen dokaz kontrole (DNS, meta oznaka, datoteka ili proširenje); jedina su iznimka interne provjere naših vlastitih testnih i demonstracijskih domena. Naziv hosta domene s dokazom kontrole ne može se promijeniti kako dokaz ne bi prešao na drugi host. Sve ostalo je pasivno: čitanje stranica kao posjetitelj.
• Provjere u pregledniku dolaze do točke prije slanja i ne pokreću nikakvu narudžbu, plaćanje ili slanje.
• Domene na popisu isključenih ne provjeravaju se; tekući nadzor završava pri sljedećoj zakazanoj provjeri.

6. Cjelovitost: prijenos i unos

6.1 Prijenos

• Aplikaciji se s interneta može pristupiti samo putem HTTPS-a; pregledniku se nalaže da godinu dana koristi samo HTTPS (HSTS). Certifikati se automatski obnavljaju.
• Dodatna zaglavlja ograničavaju ugrađivanje aplikacije u stranice trećih strana, nagađanje vrsta datoteka i slanje obrazaca na ciljeve trećih strana. Pravila sigurnosti sadržaja dopuštaju izvršavanje samo onih skripti u aplikaciji koje poslužitelj odobri uz odgovarajući odgovor; suvremeni preglednici ne izvršavaju umetnute skripte ni rukovatelje događajima u HTML-u.
• Poštanski sandučić za provjeru dostave dohvaća se putem šifrirane veze uz provjeru certifikata.
• Webhookovi se mogu potpisati Korisnikovom tajnom (HMAC-SHA256 s vremenskom oznakom) kako bi primatelj mogao provjeriti podrijetlo i cjelovitost. Zahtjevi neobveznoj drugoj kontrolnoj točki potpisuju se, a za provjere u pregledniku i njihovi odgovori.
• Otvoreno navedeno: Veze unutar naše interne mreže nisu u cijelosti šifrirane. Pristupni podaci za skeniranje iza prijave ostaju šifrirani tijekom cijelog postupka (odjeljak 4.1).

6.2 Kontrola unosa i zapisnici

• Važne radnje na računima i u radnim prostorima (kao što su prijava, promjene domena, odredišta upozorenja i prava, brisanja, pristup podrške) bilježe se u zapisniku aktivnosti s računom, vremenom, IP adresom i državom te brišu nakon 365 dana.
• Evidencije pristupa stranicama koje se vode radi sigurnosti i sprječavanja zloupotrebe brišu se nakon 60 dana, zapisnici pogrešaka nakon 90 dana, sadržaji poslanih poruka e-pošte nakon 30 dana. Pristupni tokeni u zatraženim adresama i upućivačima, poput onih u poveznicama na izvješća ili portale, pojavljuju se u evidencijama pristupa stranicama samo u maskiranom obliku.
• Prihvaćanje ugovornih dokumenata pohranjuje se s prikazanom verzijom, njezinim kontrolnim zbrojem, vremenom, IP adresom i identifikatorom preglednika.
• Evidencije dokaza mogu se opremiti vremenskim žigom vanjskog tijela za izdavanje vremenskih žigova; njemu se šalje samo kontrolni zbroj sadržaja, a ne sam sadržaj.

7. Dostupnost i otpornost

7.1 Sigurnosna kopija

• Sigurnosna kopija baze podataka izrađuje se svake noći. Kopija dobiva konačni naziv tek nakon provjere sadržaja: uspješnog završetka programa za sigurnosno kopiranje, najmanje jednog zapisa, jednakog broja tablica kao u bazi i završnog retka potpunog izvršavanja. Starije kopije uklanjaju se samo nakon uspješne izrade nove.
• Svaka sigurnosna kopija briše se nakon 14 dana. Mjesto pohrane izvan je svakog direktorija čiji se sadržaj poslužuje; lokacija unutar projekta odbija se.
• Test obnove: Jednom tjedno najnovija sigurnosna kopija učitava se u privremenu bazu podataka, uspoređuje tablicu po tablicu s produkcijom i ponovno briše. Rezultat se pohranjuje.
• Ako izrada sigurnosne kopije ili test ne uspije, šalje se obavijest e-poštom i na telefon operatora.
• Oporavak nakon incidenta: Ako baza podataka otkaže ili se podaci oštete, vraćamo najnoviju testiranu sigurnosnu kopiju. Promjene nastale nakon te kopije, u pravilu najviše promjene jednog dana, pritom se mogu izgubiti; ako izrada sigurnosne kopije nije uspjela, odgovarajuće više. Zatim ponovno izvršavamo poznate naknadne zahtjeve za brisanje (odjeljak 8). Ne obvezujemo se na određeno vrijeme oporavka.
• Ograničenje, otvoreno navedeno: Sigurnosne kopije trenutačno su pohranjene na istoj lokaciji kao baza podataka i nisu zasebno šifrirane. Štite od pogrešaka pri radu, pogrešnih promjena i oštećenih podataka, a ne od gubitka samog poslužitelja. Planirana je šifrirana kopija na drugoj lokaciji (odjeljak 10).
• Pristupni podaci za skeniranje iza prijave nalaze se u sigurnosnim kopijama samo kao šifrat; tajna drugog faktora samo u šifriranom obliku, s ključem izvan baze podataka.

7.2 Nadzor

• Provjera statusa svakih pet minuta provjerava komponente usluge, uključujući bazu podataka, red čekanja i signal aktivnosti skenera koji skener redovito zapisuje čak i kada miruje. Ako komponenta otkaže, šalje se obavijest; ako se oporavi, obavijest o otklanjanju problema.
• Uzajamni nadzor: Provjera statusa ne može prijaviti kvar računala na kojem radi. Poslužitelj za skeniranje stoga svake minute provjerava odgovara li aplikacija i nakon nekoliko uzastopnih neuspjeha šalje unaprijed određeni tekst na telefon operatora. Obrnuto, web-poslužitelj nadzire signal aktivnosti skenera; kontrolni popis za postavljanje pokazuje radi li uzajamni nadzor.
• Upozorenje o pogrešci: Vrsta pogreške koja se nikada prije nije pojavila prijavljuje se jednom odmah; nakupljanje pogrešaka pokreće samo jedan signal na telefon operatora; jednom dnevno šalje se pregled. To znači da za pogrešku ne saznajemo tek od Korisnika.
• Ograničenje, otvoreno navedeno: Oba poslužitelja nalaze se na istoj lokaciji. Prekid rada cijele lokacije, primjerice napajanja ili internetske veze, ne prijavljuje nijedan mehanizam upozoravanja, nego ga uočava čovjek.

7.3 Promjene i implementacija

• Nove verzije najprije se izrađuju i testiraju u odvojenom razvojnom okruženju. Implementacija provjerava sve preduvjete prije zapisivanja prve datoteke, provodi promjene sheme baze podataka i dopušta da se tekuće provjere uredno dovrše prije ponovnog pokretanja skenera.
• Za put novog Korisnika postoji osnovni test putem stvarnog HTTP-a koji se izvršava nakon prijelaza. Ne tvrdimo da se automatizirani skup testova izvršava prije svake pojedine implementacije.

8. Brisanje i rokovi čuvanja

• Noćni postupak brisanja provodi rokove navedene u Pravilima privatnosti i Ugovoru o obradi podataka. Čita iste postavke iz kojih se preuzimaju brojke u tekstovima; za te rokove tekst i ponašanje stoga ne odstupaju.
• Rezultati provjera uključujući snimke zaslona brišu se nakon 13 mjeseci (najnoviji po domeni ostaje), brojke proširenja nakon 13 mjeseci, zapisnici dostave upozorenja nakon 90 dana, zahtjevi za podršku nakon 24 mjeseci.
• Uklanjanje domene briše podatke domene, uključujući provjere, obrasce, nalaze, snimke zaslona, izvješća, zadatke, odredišta i zapisnike upozorenja, incidente, podatke o dostavi, pristupne podatke za skeniranje iza prijave i dokaze.
• Brisanje računa provodi se odmah; radni prostori bez dodatnih članova brišu se sa svojim podacima, radni prostori s dodatnim članovima prelaze na drugog člana, prvo na administratore, a među njima na onoga s najduljim članstvom. Do isteka vlastitih rokova ostaju: zapisnici čiji unosi zadržavaju stari broj računa koji više ne upućuje na postojeći račun, uključujući unos brisanja, te poslane poruke e-pošte, dokaz sklapanja ugovora, zahtjevi za podršku, izvješća provjera potencijalnih klijenata (do 90 dana) i podaci za naplatu kod Stripea; pojedinosti su u Pravilima privatnosti.
• Izbrisani podaci ostaju u sigurnosnim kopijama do njihova isteka nakon 14 dana. Ciljano brisanje unutar sigurnosne kopije ne provodi se; ako se kopija vrati, poznati naknadni zahtjevi za brisanje ponovno se ručno izvršavaju.

9. Organizacija i provjera

• Osobe: Uslugom trenutačno upravlja sam vlasnik. Druge osobe dobivaju pristup tek nakon preuzimanja obveze povjerljivosti i samo u nužnom opsegu te obrađuju podatke samo prema našim uputama (čl. 29 i čl. 32(4) GDPR-a).
• Podizvršitelji obrade: Angažiramo ih tek nakon provjere njihovih jamstava i na temelju ugovora prema čl. 28(4) GDPR-a te ih navodimo na stranici Podizvršitelji obrade; pojedinosti su uređene Ugovorom o obradi podataka.
• Povrede osobnih podataka: Ako povreda osobnih podataka utječe na podatke koje obrađujemo kao izvršitelj obrade, obavještavamo Korisnika bez nepotrebnog odgađanja, po mogućnosti u roku od 48 sati; pojedinosti su uređene Ugovorom o obradi podataka.
• Prijava ranjivosti: Prijave prihvaćamo na Sigurnost i putem datoteke /.well-known/security.txt.
• Kontrolni popis za postavljanje i pokretanje: U administratorskom području kontrolni popis mjeri stanje sigurnosno relevantnih postavki, kao što su sigurnosne kopije, administratori bez drugog faktora, postavke e-pošte i signal aktivnosti, te prikazuje odstupanja.
• Provjera ovih mjera (čl. 32(1)(d) GDPR-a): pri svakoj značajnoj promjeni usluge, nakon svakog sigurnosnog incidenta i inače najmanje jednom godišnje. Pritom procjenjujemo jesu li mjere učinkovite i odgovaraju li još rizicima te bilježimo rezultat u novoj verziji ove stranice ili, ako nema promjena, datumom provjere u odjeljku 11. Kontrolni popis za postavljanje i pokretanje kontinuirano mjeri stanje postavki koje obuhvaća.
• Vanjske revizije: Trenutačno se ne naručuju vanjski penetracijski testovi i nema sigurnosnih certifikacija. To je ovdje navedeno kako ih nitko ne bi pretpostavio.

10. Planirano, još nije provedeno

Ove točke nisu obvezujuće mjere dok ovdje u novoj verziji ne budu navedene kao provedene:

• Sigurnosna kopija na drugoj lokaciji: šifrirana kopija noćne sigurnosne kopije izvan poslužitelja kako ni potpuni gubitak poslužitelja ne bi doveo do gubitka podataka.
• Druga kontrolna točka: Neovisna potvrda provjera u pregledniku s druge lokacije pripremljena je u usluzi, ali nije postavljena. Bez nje nema potvrde s druge lokacije.
• Jačanje sigurnosti administracije poslužitelja: To se nastavlja. Iz razloga navedenih u odjeljku 1 ne objavljujemo pojedinosti.

11. Stanje i verzija

• Verzija 1.1 · Posljednje ažuriranje: 22. listopada 2026. · u slučaju odstupanja između jezičnih verzija prednost ima poljska verzija umjesto njemačke; nema drugih promjena.
• Verzija 1.0 · Posljednje ažuriranje: 11. listopada 2026. · prva verzija kao zasebna stranica; prethodno Prilog 2 Ugovoru o obradi podataka. Ispravljeno u odnosu na prethodni prilog: test obnove provodi se tjedno, sigurnosne kopije nalaze se na istom poslužitelju, automatizirani skup testova ne izvršava se prije svake implementacije, veze unutar interne mreže nisu u cijelosti šifrirane. Novo opisano: šifriranje pristupnih podataka za skeniranje iza prijave, izolacija skenera, uzajamni nadzor i upozorenje o pogrešci.
• Promjene se objavljuju s novim brojem verzije ovdje i u pregledu Promjene ugovornih dokumenata; za svako slabljenje mjera primjenjuje se rok prethodne obavijesti iz Ugovora o obradi podataka.
• U slučaju odstupanja između jezičnih verzija prednost ima poljska verzija.