Catatan Aktivitas Pemrosesan (Pasal 30 GDPR)

Dokumen ini diterbitkan dalam beberapa bahasa. Jika terdapat perbedaan antara versi bahasa, versi bahasa Polandia yang mengikat.

Versi 1.2 · Terakhir diperbarui: 29 Oktober 2026

1. Cara membaca catatan ini

Ini adalah catatan aktivitas pemrosesan berdasarkan Pasal 30 GDPR untuk formexposed. Ini bukan kebijakan privasi dan bukan materi pemasaran. Tujuannya adalah menunjukkan kepada otoritas pengawas, Pelanggan yang mengaudit kami sebagai prosesor, atau orang berikutnya yang harus menjawab pertanyaan, apa yang benar-benar diproses, di mana disimpan, siapa yang menerimanya, dan berapa lama data tetap ada. Kami memublikasikannya karena layanan yang memeriksa dan memantau formulir seharusnya juga terbuka untuk diperiksa.

Tiga aturan menjadi pedoman penulisannya.

1. Terukur, bukan sekadar diniatkan. Pernyataan tentang kolom data, masa penyimpanan, penerima, atau perlindungan hanya dicantumkan jika didukung kode program, skema basis data, atau pengukuran. Hal yang direncanakan disebut “direncanakan”. Hal yang dinonaktifkan secara bawaan disebut “nonaktif secara bawaan”. Jika kami tidak dapat membuktikan sesuatu, kami menyatakannya.
2. Penyimpanan dinyatakan dua kali. Sekali untuk setiap aktivitas pemrosesan dan sekali dalam bagian 6 sebagai gambaran keseluruhan: proses malam mana yang menghapus data mana, dan data mana yang tidak dijangkaunya. Catatan yang mengklaim masa penyimpanan yang hanya berlaku untuk sebagian data lebih buruk daripada yang menyebut hal yang masih terbuka.
3. Hal yang masih terbuka dinyatakan dalam teks, bukan dalam catatan kaki. Bagian 8.1 mencantumkan langkah yang belum diterapkan, bagian 10 hal yang masih terbuka beserta langkah yang direncanakan. Catatan merupakan alat kerja, bukan sertifikat.

Kolom data alih-alih nama tabel. Untuk setiap aktivitas pemrosesan, kami mencantumkan data yang disimpan sebagai kolom dengan bahasa yang mudah dipahami. Nama tabel basis data mengikuti dalam tanda kurung agar auditor dapat menemukan tempatnya, misalnya “upaya masuk (login_attempts)”. Daftar kolom diturunkan dari skema basis data, bukan dari ingatan.

Masa penyimpanan sebagai placeholder. Jika masa penyimpanan dapat ditetapkan dalam area administrasi, masa tersebut muncul di sini persis sebagaimana dibaca proses malam: angka yang Anda lihat berasal dari pengaturan yang sama yang mengatur penghapusan. Masa penyimpanan yang ditetapkan dalam program dinyatakan sebagai angka.

Dasar pengukuran. Skema, kode, dan pengaturan diukur pada 11 Oktober 2026 pada sistem pengembangan, yang sesuai dengan sistem produksi dalam kode dan skema. Kami tidak memberikan jumlah baris dari sistem pengembangan; baris tersebut memuat data uji dan tidak menunjukkan apa pun tentang operasional langsung.

Sengaja tidak dicantumkan. Catatan ini tidak menyebut nama host, alamat jaringan internal, port, nama pengguna, atau versi perangkat lunak server kami. Detail tersebut membantu penyerang dan tidak membantu subjek data. Dengan alasan yang sama, kami hanya menjelaskan secara umum hal yang masih terbuka dalam pengamanan server sendiri (bagian 8.1): kami menyebut risiko, bukan jalan untuk mencapainya. Kami memberikan detail kepada otoritas pengawas atas permintaan.

Sifat hukum. Catatan ini merupakan dokumentasi yang kami pelihara berdasarkan Pasal 30 GDPR untuk otoritas pengawas; publikasinya bersifat sukarela. Catatan ini bukan bagian dari kontrak mana pun dan bukan merupakan pernyataan, jaminan, atau kesepakatan kualitas terhadap Pelanggan atau pihak ketiga. Kewajiban kami kepada Pelanggan diatur oleh Ketentuan Layanan, Perjanjian Pemrosesan Data, dan lampirannya; terkait kewajiban tersebut, dokumen itu didahulukan daripada catatan ini. Catatan menggambarkan keadaan pada tanggal versi ini. Klasifikasi seperti “hal yang masih terbuka” atau “penilaian” mencerminkan pandangan kami sendiri dan tidak mendahului evaluasi hukum oleh otoritas pengawas atau pengadilan; langkah yang dijelaskan sebagai “direncanakan” merupakan niat tanpa tanggal yang dijanjikan.

2. Entitas hukum dan alasan catatan ini memiliki dua bagian

Kolom	Entri
Entitas hukum	LW IT Solutions Company Lukas Wójcik, usaha perseorangan yang terdaftar dalam register usaha Polandia (CEIDG); pemilik Lukas Wójcik
Alamat	al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polandia
Pengenal pajak	NIP 7252266190, ID PPN PL7252266190
Kontak	contact@lukaswojcik.com; jendela dukungan (tanda tanya dalam navigasi); halaman kontak
Layanan	formexposed: memeriksa, memantau, dan mengamankan formulir kontak pada situs web (aplikasi di formexposed.com, halaman tujuan di form.exposed)
Perwakilan berdasarkan Pasal 27 GDPR	Tidak berlaku. Entitas hukum berkedudukan di Uni (Polandia).
Pejabat perlindungan data	Tidak ditunjuk. Penilaian berdasarkan Pasal 37 terdapat dalam bagian 9.
Otoritas pengawas yang berwenang	Prezes Urzędu Ochrony Danych Osobowych (UODO, otoritas perlindungan data Polandia), ul. Moniuszki 1A, 00-014 Warszawa
Hosting	Server kami sendiri di Polandia: satu server web dengan aplikasi dan basis data, serta satu server pemindai dengan model bahasa lokal pada jaringan internal yang sama. Tanpa pusat data pihak ketiga atau penyedia cloud.

formexposed menjalankan peran berbeda terhadap kelompok orang yang berbeda. Mencampuradukkannya menghasilkan catatan yang tidak tepat untuk kelompok mana pun.

• Pengendali (Bagian B, Pasal 30(1)). Kami sendiri bertindak sebagai pengendali untuk data Pelanggan dan anggota timnya sendiri (akun, masuk, penagihan, dukungan, log), untuk pengunjung situs web kami sendiri, untuk pemeriksaan tanpa akun (pemeriksaan gratis, alat header, studi, pemeriksaan calon pelanggan), dan untuk pencegahan penyalahgunaan.
• Prosesor (Bagian A, Pasal 30(2)). Untuk data pribadi pihak ketiga yang dimasukkan Pelanggan ke dalam layanan atau yang timbul saat kami melaksanakan layanan bagi Pelanggan, kami bertindak atas nama Pelanggan: salinan e-mail formulir nyata dalam kontrol pengiriman, pelanggan laporan portal klien Pelanggan, penerima peringatan Pelanggan, orang yang kebetulan terlihat pada halaman Pelanggan yang diperiksa, kredensial akun uji Pelanggan, dan kode formulir yang ditempelkan Pelanggan. Dasarnya adalah Perjanjian Pemrosesan Data, yang dibuat dengan setiap Pelanggan saat pendaftaran.
• Hanya di pihak Pelanggan. Beberapa fungsi plugin WordPress dan ekstensi TYPO3 memproses data secara eksklusif pada situs web Pelanggan, tanpa data pernah sampai kepada kami (karantina, jaring pengaman, teka-teki aritmetika, pengaturan penyimpanan, penghitung lokal, perekam). Fungsi tersebut bukan pemrosesan oleh kami sehingga tidak muncul dalam kedua bagian. Namun kami menjelaskannya pada akhir Bagian A agar batasnya terlihat.

Pemisahan diterapkan dalam kode, bukan hanya dalam teks: dari e-mail formulir nyata, kontrol pengiriman hanya menulis waktu, keterkaitan, dan hasil autentikasi ke basis data; tangkapan layar pemeriksaan browser menyamarkan kolom masukan; kredensial akun uji dienkripsi sedemikian rupa sehingga server web tidak lagi dapat membacanya. Detail diberikan dalam entri.

Bagian 6 hingga 11 berlaku untuk kedua bagian: penyimpanan, keputusan otomatis, langkah teknis dan organisasional, pejabat perlindungan data, hal yang masih terbuka, dan pemeliharaan catatan ini.

Ruang lingkup. Dokumen ini adalah bagian catatan yang berkaitan dengan layanan formexposed. Pemrosesan oleh entitas hukum yang sama untuk layanan lain dicatat dalam catatannya sendiri; akuntansi umum dan administrasi usaha di luar layanan tidak dicakup bagian ini.

3. Bagian A – Pasal 30(2): pemrosesan atas nama Pelanggan

A.0 Pihak yang terlibat

Kolom	Entri
Prosesor	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polandia; contact@lukaswojcik.com
Pengendali	Pelanggan formexposed: pelaku usaha dan agensi yang menyimpan domain dalam akunnya dan menggunakan fungsi yang menimbulkan data pihak ketiga. Untuk agensi, klien agensi sendiri juga dapat menjadi pengendali; agensi kemudian bertindak sebagai prosesor terhadap klien tersebut dan kami bertindak sebagai prosesor lanjutan.
Daftar pengendali	Bagian dari catatan ini, disimpan secara elektronik (Pasal 30(3) GDPR) dalam sistem layanan dan tidak ditampilkan kembali dalam versi publik ini, karena memuat data pribadi Pelanggan dan akan menjadi usang dengan setiap Pelanggan baru: pemilik setiap ruang kerja dengan nama, alamat e-mail, dan perusahaan dari akun pelanggan (alamat dan ID PPN hanya di Stripe) (users, workspaces, workspace_users), beserta domain ruang kerja (domains). Kami memberikannya kepada otoritas pengawas sebagai ekstrak atas permintaan.
Perwakilan dan pejabat perlindungan data pengendali	Tidak ada kolom khusus untuk ini dalam sistem. Jika Pelanggan telah menunjuk perwakilan berdasarkan Pasal 27 GDPR atau pejabat perlindungan data, Pelanggan dapat memberitahukannya kepada kami; kami menyimpan pemberitahuan bersama daftar pengendali.
Perwakilan prosesor	Tidak berlaku (berkedudukan di Polandia).
Pejabat perlindungan data	Tidak ditunjuk (bagian 9).
Instruksi	Instruksi berasal dari Perjanjian Pemrosesan Data dan pengaturan yang dibuat Pelanggan: Pelanggan mengaktifkan kontrol pengiriman, menyiapkan tujuan peringatan, menyimpan akun uji, dan menyiapkan portal klien. Tanpa tindakan tersebut, pemrosesan yang bersangkutan tidak berlangsung.
Langkah teknis dan organisasional	Bagian 8 dan halaman Langkah Teknis dan Organisasional berlaku untuk setiap aktivitas pemrosesan dalam Bagian A. Langkah khusus dinyatakan dalam entri terkait.

A.1 Kontrol pengiriman – salinan kontrol e-mail formulir

Kolom	Entri
Tujuan	Memeriksa apakah e-mail dari formulir kontak Pelanggan benar-benar dikirim dan bagaimana autentikasinya (SPF, DKIM, DMARC, alignment). Setelah pengiriman uji aktif diterima, salinannya harus tiba di kotak surat kontrol dalam waktu tunggu yang dapat disesuaikan (saat ini 3 jam); jika tidak, peringatan “E-mail uji tidak diterima” dipicu. Header juga digunakan untuk menentukan keaslian e-mail formulir, layanan e-mail yang digunakan, dan alamat pengiriman untuk pemeriksaan daftar blokir.
Prasyarat	Paket berbayar, domain terverifikasi, diaktifkan oleh Pelanggan. Pelanggan memasukkan alamat kontrolnya sendiri dengan pengenal (berbentuk “delivery+identifier@…”) sebagai salinan tersembunyi dalam notifikasi formulirnya. Tanpa kotak surat kontrol yang dikonfigurasi, fungsi tidak tersedia.
Kategori subjek data	Pengunjung situs web Pelanggan yang mengirimkan formulir Pelanggan; orang yang datanya ditulis pengunjung dalam pesan; staf Pelanggan yang muncul sebagai penerima dalam header.
Kategori data pribadi	Dalam kotak surat kontrol (pada penyedia layanan e-mail): salinan lengkap setiap e-mail formulir, termasuk pertanyaan nyata dengan nama, alamat e-mail, nomor telepon, dan teks bebas, hingga dihapus. Dibaca saat pengambilan: header dan paling banyak 8 KB pertama isi. Dalam basis data: waktu penerimaan, keterkaitan dengan domain dan, jika berlaku, pelaksanaan uji (delivery_log); hasil autentikasi terbaru per domain dengan hasil SPF, DKIM, dan DMARC, alignment, domain pengirim, domain penandatangan, dan alamat server e-mail pengirim (kolom autentikasi domain dalam domains). Isi, subjek, dan alamat pengirim milik pengunjung tidak ditulis ke basis data.
Catatan tentang domain pengirim	Jika formulir memasukkan alamat pengunjung sebagai pengirim (salah konfigurasi yang hendak diungkap pemeriksaan), hasil autentikasi memuat domain alamat tersebut, bukan alamatnya sendiri. Jika pengunjung menggunakan domain pribadi, ini pun dapat merupakan data pribadi. Data ditimpa pada penerimaan berikutnya.
Sumber	Formulir pada situs web Pelanggan, melalui salinan tersembunyi yang dimasukkan Pelanggan.
Dasar hukum (ditentukan pengendali)	Ditentukan oleh Pelanggan. Teks yang kami sarankan untuk kebijakan privasi Pelanggan mendasarkan salinan pada Pasal 6(1)(f) GDPR (kepentingan sah untuk menerima pertanyaan secara andal). Pelanggan memberi tahu pengunjungnya tentang aliran data ini; Perjanjian Pemrosesan Data mewajibkannya.
Penerima	Penyedia layanan e-mail yang menjalankan kotak surat kontrol (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Salinan langsung dikirim ke sana: salinan hanya tiba jika catatan MX domain kami menunjuk ke kotak surat ini (daftar periksa sebelum peluncuran memeriksanya); melalui penerusan, salinan tidak mencapai kotak surat. Pada halaman domain, Pelanggan hanya melihat waktu, keterkaitan, dan hasil autentikasi. Jika hasil autentikasi memburuk, peringatan kepada Pelanggan dan kanal pilihannya menyebut domain pengirim jika bukan milik situs web (A.3, 4.1).
Negara ketiga	Bergantung pada penyedia layanan e-mail; lihat bagian 4. Kontrak dengan penyedia yang direncanakan dan dasar transfer belum didokumentasikan.
Penyimpanan	Setelah berhasil diproses, e-mail ditandai untuk dihapus dan dihapus dari kotak surat pada pelaksanaan yang sama, sekalipun tidak dapat dikaitkan dengan domain mana pun. Pengambilan berjalan bersama proses pemeriksaan status setiap lima menit selama pemantauan diaktifkan dalam area administrasi (srv/cron_status.php, cfg/zustellung_lib.php). Jika pengambilan atau penghapusan gagal, e-mail tetap berada dalam kotak surat hingga pelaksanaan berikutnya yang berhasil. Pengambilan yang sama menghapus keterkaitan dalam delivery_log setelah 180 hari. Hasil autentikasi ada selama domain ada.
Yang dibuktikan oleh bukti	Hanya penerimaan salinan yang dikaitkan dengan pelaksanaan uji tertentu di kotak surat kontrol. Bukti ini tidak membuktikan penerimaan oleh penerima sebenarnya ataupun pencatatan dalam CRM. Konfirmasi bawaan dari HubSpot tidak ditawarkan.
Langkah teknis dan organisasional	Bagian 8. Khususnya: isi hanya dievaluasi dalam memori; tanpa penyimpanan isi, subjek, atau alamat pengirim lengkap; penghapusan terlepas dari apakah pengaitan berhasil.

Kontrol pengiriman merupakan satu-satunya fungsi yang membuat pesan nyata dari pengunjung Pelanggan sampai kepada kami. Karena itulah fungsi ini merupakan pemrosesan atas nama Pelanggan, bukan layanan atas tanggung jawab kami sendiri, dan karena itu pula waktu dalam kotak surat merupakan ukuran risiko yang sebenarnya: biasanya beberapa menit; jika pengambilan terganggu, hingga berjalan kembali. Salinan sebaiknya tidak memuat kategori khusus data pribadi; kami tidak dapat mencegahnya secara teknis karena yang ditulis pengunjung ditentukan oleh pengunjung sendiri.

A.2 Portal klien dan laporan bulanan kepada pelanggan laporan

Kolom	Entri
Tujuan	Agensi (paket Business) menunjukkan kondisi domain kepada kliennya dengan mereknya sendiri (portal pada alamat acak, opsional dengan kata sandi, opsional pada subdomain milik agensi). Klien dapat memesan laporan bulanan melalui e-mail di sana. Laporan dikirim atas nama agensi.
Kategori subjek data	Klien agensi dan stafnya yang memesan laporan; orang yang membuka portal.
Kategori data pribadi	Pelanggan laporan: alamat e-mail, bahasa, pengenal konfirmasi, waktu pemesanan dan alamat IP saat pemesanan, waktu konfirmasi (double opt-in), waktu berhenti berlangganan, bulan terakhir yang dikirim (client_subscribers). Portal: nama, pilihan domain, pengenal acak, kata sandi hanya sebagai hash, orang yang membuatnya, waktu, pencabutan (client_portals). Kunjungan ke portal muncul dalam log tampilan halaman (B.2).
Sumber	Dimasukkan sendiri oleh pelanggan laporan dalam portal.
Dasar hukum (ditentukan pengendali)	Persetujuan pelanggan laporan, diperoleh melalui prosedur double opt-in; pengendalinya adalah agensi. Kami tidak mengirim kepada siapa pun yang belum mendaftar dan mengonfirmasi sendiri.
Penerima	Agensi (melihat pelanggan laporannya); penyedia layanan e-mail (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) untuk e-mail konfirmasi dan laporan.
Negara ketiga	Melalui penyedia layanan e-mail; lihat bagian 4.
Penyimpanan	Proses penghapusan malam (cfg/fristen_lib.php, bagian “pelanggan laporan portal”): pesanan yang tidak pernah dikonfirmasi setelah 30 hari; pelanggan laporan yang berhenti berlangganan tiga tahun setelah berhenti berlangganan, sebagai bukti persetujuan sebelumnya. Pelanggan laporan yang telah mengonfirmasi dan belum berhenti berlangganan tetap disimpan selama ruang kerja agensi ada. Portal yang dicabut hanya diblokir, bukan dihapus; pelanggan laporannya tidak lagi menerima laporan, tetapi datanya tetap ada (bagian 10). Portal dan pelanggan laporan langsung dihapus bersama ruang kerja (fe_arbeitsbereich_daten_loeschen()). Laporan yang dikirim tetap berada dalam kotak keluar selama 30 hari (B.25).
Langkah teknis dan organisasional	Bagian 8. Khususnya: kata sandi portal hanya sebagai hash, upaya menebak dibatasi (sepuluh per portal dan alamat IP, 50 per portal dalam 15 menit); berhenti berlangganan dengan satu klik dalam setiap e-mail; portal hanya menampilkan status dan angka utama, tanpa temuan individual beserta bukti.

A.3 Penerima peringatan, pengonfirmasi penanganan, dan penerima tugas Pelanggan

Kolom	Entri
Tujuan	Notifikasi tentang gangguan dan perubahan ke tujuan yang disiapkan Pelanggan untuk domain: e-mail, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram. Untuk setiap tujuan, dikirim segera atau dikumpulkan harian atau mingguan, ditambah tujuan khusus eskalasi. Setiap notifikasi masalah menjadi insiden, yang penanganannya dapat dikonfirmasi penerima melalui tautan. Untuk formulir yang dipantau, Pelanggan dapat menentukan penanggung jawab dan tenggat.
Kategori subjek data	Staf dan penyedia layanan Pelanggan yang dimasukkan Pelanggan sebagai tujuan peringatan atau disebut sebagai penerima tugas; orang yang mengonfirmasikan penanganan insiden. Anggota tim dengan akun sendiri juga muncul dalam Bagian B.
Kategori data pribadi	Tujuan peringatan: kanal, alamat tujuan (alamat e-mail, alamat webhook atau percakapan, ID percakapan Telegram), peristiwa yang dipilih, mode pengiriman, rahasia penandatanganan untuk webhook, pengiriman terakhir dan kesalahan terakhir (alerts). Log pengiriman: tujuan, peristiwa, status, kesalahan, waktu (alert_log). Antrean ringkasan: baris notifikasi dan tautan hingga dikirim (alert_queue). Insiden: judul, baris notifikasi, tautan, pengenal konfirmasi penanganan, waktu, dan nama atau alamat e-mail orang yang mengonfirmasikan penanganan sebagaimana dimasukkan dalam formulir, atau jika tidak, alamat anggota yang masuk (alert_incidents). Upaya pengiriman eskalasi per insiden dan tujuan: jumlah upaya (paling banyak lima), waktu upaya terakhir dan berikutnya serta keberhasilan, rujukan ke e-mail dalam kotak keluar, kesalahan (tabel alert_escalation_deliveries). Penugasan: akun penanggung jawab dan tenggat (dalam monitored_forms).
Isi notifikasi	Domain, peristiwa, penjelasan singkat, dan tautan ke halaman domain. Tanpa isi pesan pengunjung.
Sumber	Dimasukkan oleh Pelanggan; orang yang mengonfirmasikan penanganan memasukkan namanya sendiri; ID percakapan Telegram dibuat saat penerima menekan “Mulai” dalam bot (B.32).
Dasar hukum (ditentukan pengendali)	Ditentukan oleh Pelanggan; umumnya pengorganisasian operasional Pelanggan sendiri (Pasal 6(1)(b) atau (f) GDPR terkait staf dan penyedia layanan Pelanggan).
Penerima	Pengelola kanal yang dipilih; lihat 4.1. Peringatan e-mail melalui penyedia layanan e-mail (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Negara ketiga	Bergantung pada kanal yang dipilih; beberapa penyedia berkedudukan di AS, Telegram di luar UE tanpa keputusan kecukupan. Lihat 4.1.
Penyimpanan	Log pengiriman setelah 90 hari (setiap malam, fe_alert_log_aufraeumen() dari srv/cron_status.php). Notifikasi ringkasan 30 hari setelah pengiriman (cfg/kanal_lib.php, pada setiap pengiriman ringkasan). Insiden selama belum diselesaikan; yang telah diselesaikan 180 hari setelah penyelesaian (cfg/vorfall_lib.php, proses eskalasi), bersama upaya pengiriman eskalasinya. Tujuan peringatan dan penugasan hingga dihapus Pelanggan atau bersama domain.
Langkah teknis dan organisasional	Bagian 8. Khususnya: webhook ditandatangani dengan rahasia terpisah per tujuan; konfirmasi penanganan hanya setelah klik (POST), agar pratinjau tautan dalam program percakapan tidak memicu apa pun; peringatan selama jendela pemeliharaan hanya dicatat dalam log, tidak dikirim.

A.4 Orang yang kebetulan terlihat pada halaman Pelanggan yang diperiksa dan dalam tangkapan layar

Kolom	Entri
Tujuan	Pemeriksaan domain dalam akun Pelanggan (pemindaian, pemantauan, pemeriksaan aktif) membaca halaman publik Pelanggan dan mengambil tangkapan layar formulir. Hal yang ditampilkan halaman itu sendiri dapat berkaitan dengan orang yang tidak terkait pemeriksaan. Data ini timbul secara insidental; bukan tujuan pemeriksaan.
Kategori subjek data	Orang yang nama, foto, atau detail kontaknya muncul pada halaman yang diperiksa (narahubung di sebelah formulir, foto tim pada halaman beranda, detail informasi penyedia).
Kategori data pribadi	Tangkapan layar: area terlihat halaman beranda, setiap formulir terlihat sebagai potongan gambar, dan gambar halaman lanjutan setelah pengiriman uji aktif; disimpan sebagai berkas di luar direktori web, dengan hanya rujukannya dalam basis data (scan_screenshots). Struktur formulir: alamat halaman, selektor, nama kolom, jenis kolom, label kolom, penanda wajib diisi dan visibilitas, label tombol kirim (forms, kolom “peta kolom”); tanpa nilai kolom. Pemindai membaca bagian awal kolom tersembunyi (hingga 24 karakter) dan atribut data (hingga 60 karakter) hanya selama pemeriksaan, untuk mengenali stempel waktu dan token; hanya hasilnya yang disimpan. Temuan beserta bukti (findings), ringkasan dengan judul halaman (scans). Untuk pemeriksaan yang memenuhi syarat dalam akun berbayar, model lokal menghasilkan rencana tindakan berurutan berdasarkan prioritas dari temuan yang dipilih dan metadata pemindaian; teks, bahasa, status, dan stempel waktunya disimpan dalam ringkasan pemindaian. Jika alamat e-mail muncul dalam formulir sebagai penerima, hanya domainnya disimpan, tidak pernah alamatnya.
Sumber	Halaman publik domain Pelanggan, diambil oleh pemindai.
Dasar hukum (ditentukan pengendali)	Ditentukan oleh Pelanggan untuk isi situs web Pelanggan sendiri. Bagi kami, pemrosesan merupakan bagian dari pemeriksaan yang ditugaskan.
Penerima	Pelanggan; untuk agensi, kliennya melalui portal atau laporan dengan merek sendiri; siapa pun yang menerima tautan laporan (laporan pada alamat acak, tidak dalam mesin pencari). Jika jenis formulir tidak jelas, model bahasa lokal pada server kami sendiri menerima struktur formulir dengan judul halaman, alamat halaman, dan teks formulir yang terlihat (hingga 400 karakter) untuk klasifikasi; model tidak menerima gambar. Untuk pemeriksaan berbayar yang memenuhi syarat, model lokal juga menerima nama host, hasil keseluruhan dan skor, CMS, jenis formulir terkait dan alamat halaman, plugin yang teridentifikasi, serta temuan gagal atau tidak jelas yang dipilih untuk menghasilkan rencana tindakan. Permintaan ditahan sementara dalam antrean tugas internal dan dihapus setelah hasil diambil atau melalui pembersihan terjadwal atas entri yang berusia lebih dari satu jam.
Negara ketiga	Tidak ada.
Penyimpanan	Hasil pemeriksaan domain selama paling lama 13 bulan; pemeriksaan terakhir yang selesai per domain tetap disimpan (proses penghapusan malam, bagian “hasil pemeriksaan lama”). Formulir, temuan, rujukan gambar, dan berkas gambar dihapus bersama hasil pemeriksaan. Bersama domain, data ini langsung dihapus (rantai penghapusan dalam B.15; pengecualian dalam bagian 6.4).
Batasan penyamaran	Tangkapan layar pemeriksaan lengkap tidak menyamarkan apa pun: tangkapan menampilkan yang ditunjukkan halaman kepada setiap pengunjung. Kolom formulir kosong saat diambil, karena pemindai tidak memasukkan apa pun; nilai yang telah diisi sebelumnya akan terlihat. Tidak ada tangkapan layar yang diambil di balik halaman masuk (A.5). Gambar pemeriksaan browser menyamarkan kolom masukan (A.6).
Langkah teknis dan organisasional	Bagian 8. Khususnya: gambar hanya dapat diambil melalui laporan, dan pengenal gambar milik orang lain mengembalikan “tidak ditemukan”; laporan dengan noindex; setiap pemeriksaan berjalan dalam kontainer terisolasinya sendiri.

Data yang sama timbul dalam pemeriksaan tanpa akun (pemeriksaan gratis, studi, pemeriksaan calon pelanggan). Di sana tidak ada Pelanggan yang kami wakili; karena itu kasus tersebut muncul dalam Bagian B (B.5, B.7, B.8).

A.5 Kredensial akun uji untuk pemindaian di balik halaman masuk

Kolom	Entri
Tujuan	Membaca formulir yang hanya muncul setelah masuk (area pelanggan, area anggota). Pemindai masuk dengan akun uji yang dibuat Pelanggan pada situs webnya sendiri dan membaca halaman yang ditentukan. Selain formulir masuk, pemindai tidak mengirimkan apa pun, tidak melakukan uji aktif di sana, tidak mengambil tangkapan layar, dan tidak mengunjungi alamat keluar, penghapusan, atau pembatalan. Jika formulir masuk memiliki CAPTCHA, pemindai berhenti; CAPTCHA tidak dilewati.
Prasyarat	Domain terverifikasi, paket berbayar, peran pemilik atau admin, konfirmasi tegas bahwa akun adalah akun uji. Paling banyak lima halaman, semuanya pada domain yang sama.
Kategori subjek data	Orang yang namanya digunakan untuk akun uji (idealnya tidak ada; Pelanggan sebaiknya menggunakan akun fungsional); orang yang datanya muncul pada halaman di balik halaman masuk.
Kategori data pribadi	Nama pengguna dan kata sandi akun uji, hanya terenkripsi; petunjuk nama pengguna (karakter pertama dan panjang); alamat masuk, daftar halaman, nama kolom masuk, indikator keberhasilan, orang yang membuatnya, waktu, hasil terakhir sebagai kode singkat (domain_logins). Untuk tugas yang berjalan, salinan teks sandi (kolom “paket masuk” dalam scan_jobs). Dari halaman di balik halaman masuk: struktur formulir sebagaimana A.4, tanpa tangkapan layar dan tanpa cookie.
Sumber	Dimasukkan oleh Pelanggan dalam akun.
Dasar hukum (ditentukan pengendali)	Ditentukan oleh Pelanggan. Pelanggan menjamin berhak menggunakan akun uji.
Penerima	Tidak ada. Pelanggan, dukungan, maupun antarmuka pemrograman tidak dapat membaca kredensial; antarmuka hanya menampilkan petunjuk nama pengguna.
Negara ketiga	Tidak ada.
Perlindungan kredensial	Nama pengguna dan kata sandi langsung dienkripsi saat disimpan dengan kunci publik server pemindai (X25519, HKDF-SHA256, AES-256-GCM; domain diikat sebagai data terkait sehingga teks sandi tidak dapat dilampirkan ke domain berbeda). Hanya server pemindai yang memiliki kunci privat. Server web, basis data, dan cadangan hanya memuat teks sandi; kami pun tidak dapat mendekripsinya di sana. Server pemindai hanya mendekripsi untuk pelaksanaan, meneruskan kredensial ke kontainer pemeriksaan terisolasi hanya melalui masukan standar, langsung menghapus salinan dalam tugas, dan tidak menulisnya ke hasil, log, atau teks kesalahan mana pun. Dalam perjalanan ke situs web Pelanggan, kredensial hanya dilindungi oleh enkripsi situs web tersebut; batasan transportasi ini dijelaskan dalam bagian 10.
Penyimpanan	Kredensial disimpan hingga dihapus Pelanggan. Saat dihapus, teks sandi ditimpa dengan data acak sepanjang yang sama dan baris dihapus; tugas menunggu dikosongkan (fe_login_loeschen()). Bersama domain, baris dihapus melalui kunci asing. Server pemindai membersihkan salinan dalam tugas setelah pelaksanaan; sisa apa pun (tugas dibatalkan, server pemindai tidak aktif) dibersihkan oleh proses pemeriksaan status paling lambat setelah satu jam (fe_login_aufraeumen(), bagian “login_jobs”). Cadangan basis data memuat teks sandi hingga cadangan kedaluwarsa setelah 14 hari.
Langkah teknis dan organisasional	Bagian 8. Khususnya: enkripsi asimetris dengan kunci terpisah; daftar blokir untuk jalur keluar dan penghapusan; tanpa tangkapan layar di balik halaman masuk; fungsi hanya untuk paket berbayar dan domain terverifikasi; setiap perubahan dalam log aktivitas (tanpa kredensial).

Kami sengaja tidak menyediakan cara apa pun untuk menyimpan kredensial server, area administrasi CMS, atau akun hosting Pelanggan. Akun uji adalah akun pengunjung pada situs web Pelanggan, bukan akses ke sistem Pelanggan.

A.6 Alur formulir yang dikonfigurasi, pemeriksaan browser, dan probe independen

Kolom	Entri
Tujuan	Formulir yang dipantau dijalankan dalam browser nyata (Chromium, WebKit, atau keduanya) hingga tahap tepat sebelum pengiriman: memuat halaman, melakukan klik pendahuluan (paling banyak lima, tidak pernah pada kolom masukan atau tombol kirim), mengisi kolom dengan nilai yang jelas bersifat sintetis (seperti alamat dengan akhiran yang dicadangkan .invalid), melanjutkan formulir bertahap. Pemeriksaan browser tidak mengirimkan apa pun; pengiriman diblokir secara teknis dalam browser. Selain itu, pengukuran waktu dan perbandingan visual formulir.
Kategori subjek data	Seperti A.4 (orang yang terlihat pada halaman formulir); staf Pelanggan yang dimasukkan sebagai penerima tugas (A.3).
Kategori data pribadi	Konfigurasi: alamat formulir, selektor, alamat awal, langkah klik, pilihan browser, label, tingkat kritis, penugasan, tenggat (monitored_forms). Hasil per pelaksanaan: keadaan, alasan kegagalan teknis, pesan kesalahan yang telah dibersihkan, pengukuran jaringan dan waktu, gambar formulir sebagai JPEG paling banyak 32 KB dengan kolom masukan tersamarkan (form_browser_runs). Pengamatan per pemeriksaan (form_observations), deret waktu (form_performance). Tugas dengan daftar sasaran (kolom “sasaran” dan “hasil” dalam scan_jobs).
Akses uji	Jika Pelanggan menyimpan akun uji (A.5), pemeriksaan lengkap juga menggunakannya untuk alur formulir yang dikonfigurasi. Berdasarkan kode yang diukur, pemeriksaan browser mandiri di antara dua pemeriksaan lengkap bekerja tanpa akun uji.
Probe independen	Direncanakan titik pemeriksaan kedua pada lokasi berbeda, yang akan memeriksa silang sebelum peringatan. Titik tersebut akan menerima domain, konfigurasi yang telah dibersihkan, dan pengenal tugas, tanpa masukan pengunjung dan tanpa kredensial. Saat ini belum disiapkan (nonaktif secara bawaan). Tanpa probe, tidak ada bukti dari lokasi kedua; peringatan kemudian didasarkan pada pengukuran kami sendiri.
Sumber	Dikonfigurasi oleh Pelanggan; hasil dari pengambilan halaman Pelanggan.
Dasar hukum (ditentukan pengendali)	Ditentukan oleh Pelanggan untuk isi situs web Pelanggan dan tanggung jawab staf Pelanggan.
Penerima	Pelanggan; jika probe disiapkan, pengelolanya (saat ini tidak ada).
Negara ketiga	Tidak ada.
Penyimpanan	Hasil pelaksanaan browser, tugas browser yang selesai, dan deret waktu setelah 13 bulan (proses penghapusan malam, bagian “browser_runs”, “browser_jobs”, “form_performance”). Konfigurasi hingga domain dihapus (secara individual dapat diubah atau dinonaktifkan, bukan dihapus); bersama domain, konfigurasi dihapus beserta pelaksanaan, pengamatan, dan deret waktu melalui kunci asing.
Yang dibuktikan pengukuran	Waktu dan keadaan dari browser pemeriksaan kami. Pengukuran tidak mengukur pengalaman pengunjung nyata dan tidak membuktikan tingkat penyelesaian ataupun pertanyaan yang hilang.
Langkah teknis dan organisasional	Bagian 8. Khususnya: pengiriman dicegah secara teknis; hanya alamat pada domain yang sama; gambar tersamarkan; kontainer pemeriksaan terisolasi.

A.7 “Fix it for me” – kode formulir yang ditempelkan

Kolom	Entri
Tujuan	Pelanggan menempelkan kode formulirnya; model bahasa pada perangkat keras kami sendiri memasukkan modul perlindungan. Yang dikembalikan adalah berkas yang diubah, patch, hasil pemeriksaan sintaks, dan keterangan apakah pemanggilan pemeriksaan benar-benar telah dimasukkan. Tanpa kode yang ditempelkan, layanan memberikan modul siap pakai dengan nama kolom dari pemindaian terakhir.
Kategori subjek data	Orang yang datanya kebetulan berada dalam kode yang ditempelkan (seperti alamat penerima, nama dalam komentar, kredensial server e-mail).
Kategori data pribadi	Kode yang ditempelkan, paling banyak 30.000 karakter. Dalam basis data hanya entri log aktivitas (tindakan “fix_ai” dengan ruang kerja dan waktu), yang diperhitungkan dalam batas harian, saat ini sepuluh pemanggilan per ruang kerja.
Sumber	Ditempelkan oleh Pelanggan.
Dasar hukum	Pelaksanaan kontrak dengan Pelanggan (Pasal 6(1)(b) GDPR) untuk kode itu sendiri; untuk data pihak ketiga yang kebetulan termuat di dalamnya, Pelanggan menentukan dasarnya.
Penerima	Tidak ada. Model bahasa berjalan pada server pemindai kami sendiri dalam jaringan internal; tanpa layanan AI eksternal, bahkan sebagai alternatif cadangan.
Negara ketiga	Tidak ada.
Penyimpanan	Kode tidak disimpan. Berkas sementara dibuat untuk pemeriksaan sintaks dan langsung dihapus setelahnya. Entri log aktivitas dihapus setelah 365 hari.
Catatan bagi Pelanggan	Kode yang memuat kata sandi, kunci API, atau data pribadi sebaiknya dibersihkan sebelum ditempelkan. Kami tidak memeriksa isinya.
Langkah teknis dan organisasional	Bagian 8. Khususnya: hanya pemilik dan admin pada paket berbayar; kode yang ditempelkan diteruskan ke model dengan penandaan sebagai data dan tidak pernah dijalankan; tanpa pengunggahan ke server pihak ketiga.

A.8 Merek sendiri dan narahubung agensi

Kolom	Entri
Tujuan	Laporan, laporan singkat, log bukti, dan portal klien agensi (paket Business) tampil dengan mereknya, atas permintaan pada subdomain milik agensi sendiri.
Kategori subjek data	Narahubung di agensi yang nama atau detail kontaknya muncul dalam baris kontak.
Kategori data pribadi	Nama perusahaan, situs web, baris kontak, catatan kepada klien, warna aksen, tampilan, berkas logo, pengaturan rujukan ke formexposed, domain sendiri dengan pengenal verifikasi dan status verifikasi (workspace_branding).
Sumber	Dimasukkan oleh agensi.
Dasar hukum	Pelaksanaan kontrak dengan agensi (Pasal 6(1)(b) GDPR). Jika baris kontak menyebut staf agensi, agensi menentukan dasarnya.
Penerima	Siapa pun yang diberi laporan, laporan singkat, atau tautan portal oleh agensi.
Negara ketiga	Tidak ada.
Penyimpanan	Hingga diubah oleh agensi; merek dan berkas logo dihapus bersama ruang kerja (fe_arbeitsbereich_daten_loeschen()). Domain sendiri yang verifikasi DNS-nya gagal selama tujuh hari dinonaktifkan. Domain sendiri nonaktif secara bawaan.
Langkah teknis dan organisasional	Bagian 8.

A.9 Hitungan, indikator status, dan kesalahan kolom dari plugin dan ekstensi

Kolom	Entri
Tujuan	Sekali sehari, plugin WordPress dan ekstensi TYPO3 melaporkan angka tentang formulir pada situs web yang terhubung: pengiriman yang diblokir per alasan, pengiriman, e-mail yang dikirim dan gagal, indikator status pengaturan formulir, pertanyaan tersimpan per sumber dan masa penyimpanan. Opsional, nonaktif secara bawaan: peristiwa formulir dan kategori kesalahan kolom per posisi kolom. Angka ini menghasilkan “Perlindungan dalam angka”, laporan bulanan, peringatan tidak adanya aktivitas, dan pemberitahuan tentang pengaturan berisiko.
Klasifikasi	Angka dirancang agar tidak menggambarkan individu. Kami mencantumkannya dalam Bagian A karena timbul dari peristiwa pada situs web Pelanggan yang dipicu pengunjung Pelanggan; menurut pandangan kami, angka ini paling jauh merupakan data pribadi dalam kasus perbatasan (situs web dengan sangat sedikit pengiriman pada hari tertentu). Transmisinya sendiri (kunci, versi, host) terdapat dalam Bagian B (B.20).
Kategori subjek data	Pengunjung situs web Pelanggan yang mengirimkan formulir.
Kategori data pribadi	Angka harian per host: jumlah total yang diblokir dan per alasan, pengiriman, e-mail yang dikirim dan gagal, kategori kesalahan pengiriman e-mail (hanya satu dari empat kategori, tidak pernah teks kesalahan, karena dapat memuat alamat penerima), hitungan respons reCAPTCHA, pertanyaan yang dihapus dan dilepaskan (plugin_stats). Status: versi dari daftar tetap plugin formulir, CAPTCHA, dan e-mail, indikator pengaturan sebagai angka, masa penyimpanan (plugin_health). Notifikasi perubahan: nama dan versi plugin yang diperbarui (plugin_changes). Opsional: penghitung per formulir dan hari dengan kategori kesalahan per posisi kolom (form_metrics). Tidak pernah: masukan, nama kolom, kata sandi, berkas, alamat e-mail, nama, alamat IP, atau pengenal persisten pengunjung.
Sumber	Plugin pada situs web Pelanggan, melalui antarmuka pemrograman menggunakan rahasia koneksi situs web.
Dasar hukum (ditentukan pengendali)	Ditentukan oleh Pelanggan; Pelanggan memutuskan apakah mengaktifkan hitungan opsional dan bagaimana memberi tahu pengunjungnya.
Penerima	Pelanggan. Domain dari tautan dalam pesan yang diblokir masuk ke perlindungan swarm (B.21).
Negara ketiga	Tidak ada.
Penyimpanan	Angka harian, notifikasi perubahan, dan penghitung formulir setelah 13 bulan (proses penghapusan malam, bagian “plugin_stats” dan “form_metrics”). Indikator status ditimpa pada setiap laporan. Semua data plugin untuk host dihapus segera setelah tidak ada lagi domain dalam sistem yang merujuk pada host tersebut (langsung saat domain terakhir dihapus; data lama setiap malam, bagian “orphan_hosts”).
Yang dibuktikan angka	Hal yang dihitung plugin. Angka tidak membuktikan tingkat penyelesaian ataupun pertanyaan yang hilang.
Langkah teknis dan organisasional	Bagian 8. Khususnya: hanya diterima dengan pasangan kunci yang terikat pada situs web; hanya kunci dan angka yang dikenal diterima, semua yang lain dibuang; hari di luar jendela 14 hari ditolak.

A.10 Batas: hal yang hanya tetap berada pada situs web Pelanggan

Fungsi plugin WordPress dan ekstensi TYPO3 berikut memproses data secara eksklusif pada server Pelanggan. Data tidak sampai kepada kami, dan kami tidak memiliki akses. Pengelola situs web sendiri bertanggung jawab; pengelola memutuskan pengaktifan, masa penyimpanan, dan cara memberi tahu pengunjungnya. Untuk tujuan ini, plugin menyarankan paragraf untuk kebijakan privasi pengelola.

Fungsi	Yang diproses secara lokal	Penyimpanan di pihak Pelanggan
Karantina	Pengiriman yang dihentikan beserta alasan, dapat dilepaskan melalui e-mail ke alamat situs web	14 hari
Jaring pengaman	Pengiriman yang e-mail formulirnya gagal, untuk dikirim ulang (aktif secara bawaan)	30 hari
Teka-teki aritmetika sebagai pengganti reCAPTCHA	Soal aritmetika dalam browser pengunjung, tanpa layanan pihak ketiga (nonaktif secara bawaan)	–
Pengaturan penyimpanan	Penghapusan pertanyaan tersimpan dalam plugin formulir setelah periode yang dipilih pengelola (nonaktif secara bawaan)	sesuai konfigurasi
Pembatasan laju	pengenal berumur singkat yang diturunkan dari alamat IP, tidak dikirim kepada kami	berumur singkat
Penghitung harian lokal	Nilai penghitung sebelum transmisi	paling lama 14 hari
Perekam untuk administrator	selektor teknis dan langkah navigasi dalam penyimpanan sesi browser administrator yang masuk; masukan tidak dibaca. Hanya konfigurasi yang dipilih yang dikirim (kemudian A.6)	paling lama 15 menit
Bantuan pengunjung	dapat diaktifkan secara terpisah; tidak menyimpan draf dan tidak mengirim ulang secara otomatis	–
Pengamatan aturan spam baru	kecocokan tambahan dihitung secara lokal, tanpa pengaktifan otomatis	tujuh hari

A.11 Perlindungan formulir (formconfirmed)

Kolom	Entri
Tujuan	Penilaian pengiriman melalui formulir pada situs web Pelanggan untuk mengenali pengiriman otomatis: penerbitan dan verifikasi tugas (bukti kerja), token pemeriksaan sekali pakai, waktu pengisian, kolom perangkap, permintaan berulang yang menumpuk; atas permintaan Pelanggan, penilaian teks pesan oleh model bahasa. Hanya untuk Pelanggan yang mengaktifkan perlindungan formulir.
Kategori subjek data	Pengunjung situs web Pelanggan yang membuka halaman dengan formulir yang dilindungi atau mengirimkannya.
Kategori data pribadi	Alamat IP (disimpan hanya dalam bentuk dipersingkat dan di-hash dengan kunci yang berganti setiap hari), alamat dan domain halaman, waktu-waktu terkait dan waktu pengisian, kolom perangkap diisi ya/tidak, pengenal browser dalam log server web; hanya jika pemeriksaan isi diaktifkan, teks pesan (hanya dalam memori kerja).
Sumber	Browser pengunjung (tugas, token pemeriksaan); server Pelanggan (permintaan verifikasi, teks jika ada).
Penerima	Pelanggan (skor, tindakan, alasan). Tidak ada penerima lain; tidak ada subprosesor untuk pemrosesan ini.
Negara ketiga	Tidak ada.
Penyimpanan	Pengenal yang di-hash 1 jam; token pemeriksaan yang telah digunakan paling lama 11 menit; hasil pemeriksaan tanpa alamat IP dan tanpa teks 30 hari; angka harian 400 hari; log server web 14 hari; teks tidak disimpan.
Langkah teknis dan organisasional	Bagian 8; selain itu pemendekan dan hash dengan kunci harian, tugas bertanda tangan, penggunaan sekali pakai, model bahasa pada perangkat keras sendiri tanpa log teks.

4. Bagian A – penerima, subprosesor, dan transfer ke negara ketiga

Tabel berikut mencantumkan penerima yang kami gunakan sendiri dan yang dapat menerima data dari Bagian A. Daftar yang mengikat dan terus diperbarui adalah halaman Subprosesor; jika berbeda dari tabel ini, itu merupakan temuan, bukan masalah format.

Penerima	Yang diterima	Negara ketiga	Dasar	Status
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Kotak surat kontrol pengiriman (A.1); pengiriman e-mail peringatan (A.3), konfirmasi dan laporan kepada pelanggan laporan portal (A.2)	Tempat pemrosesan masih harus diverifikasi; lihat halaman “Subprosesor”	Perjanjian Pemrosesan Data; dasar transfer masih harus diverifikasi	Terbuka. Kontrak terkait, tempat pemrosesan sebenarnya, dan dasar transfer belum didokumentasikan. Catatan ini tidak mengonfirmasi sertifikasi maupun kontrak yang telah dibuat.
Namecheap, Inc. (registrar, DNS; penerusan e-mail hingga kotak surat disiapkan)	Hingga kotak surat disiapkan, e-mail masuk umum ke alamat pada domain kami; bukan salinan kontrol pengiriman, yang hanya tiba dengan catatan MX yang menunjuk langsung ke kotak surat (A.1)	AS	harus diverifikasi: sertifikasi berdasarkan EU-US Data Privacy Framework atau klausul kontrak standar	Digunakan; dasar masih terbuka.
Server pemindai kami sendiri dengan model bahasa lokal	Struktur formulir untuk klasifikasi dan temuan yang dipilih beserta metadata pemindaian untuk rencana tindakan dalam akun berbayar (A.4), kode yang ditempelkan (A.7), akses uji yang didekripsi hanya selama pelaksanaan (A.5)	–	Dioperasikan oleh kami, bukan pihak ketiga	Digunakan.
Probe independen pada lokasi kedua	Domain, konfigurasi yang telah dibersihkan, pengenal tugas (A.6)	bergantung pada lokasi	harus ditentukan sebelum mulai digunakan	Belum disiapkan.

Hosting: tanpa pihak ketiga. Aplikasi, basis data, tangkapan layar, dan cadangan disimpan pada server kami sendiri di Polandia. Jika kami beralih ke pusat data atau penyedia cloud, paragraf ini harus ditulis ulang.

4.1 Kanal peringatan pilihan Pelanggan

Selain penerima yang kami gunakan, terdapat kanal yang dipilih Pelanggan untuk peringatannya (A.3). Server kami memicu transmisi; Pelanggan menentukan tujuan dan penyedia. Memilih kanal tidak membebaskan kami dari kewajiban sendiri sebagai prosesor. Peran, kontrak, dan perlindungan yang diperlukan untuk negara ketiga harus ditentukan untuk setiap penyedia; untuk layanan percakapan, hal ini belum selesai (pertanyaan terbuka untuk peninjauan hukum).

Kanal	Yang dikirim	Kedudukan penyedia
E-mail	Domain, peristiwa, penjelasan, tautan; ke alamat yang dimasukkan	melalui Namecheap, Inc. (Private Email), Phoenix, Arizona, USA
Webhook ke alamat pilihan bebas	Peristiwa sebagai JSON (domain, peristiwa, baris, tautan, stempel waktu), ditandatangani dengan rahasia tujuan	ditentukan oleh Pelanggan
Slack, Discord, Microsoft Teams, Google Chat	notifikasi yang sama sebagai pesan percakapan ke alamat webhook yang dimasukkan	terutama AS
Telegram	tujuan pilihan Pelanggan; kami mengirim pesan melalui bot kami ke ID percakapan yang ditautkan	di luar UE, tanpa keputusan kecukupan; dasar transfer merupakan pertanyaan terbuka untuk peninjauan hukum

Dalam keadaan apa pun, isi pesan pengunjung tidak dikirim. Notifikasi membawa domain, peristiwa, dan tautan.

5. Bagian B – Pasal 30(1): pemrosesan atas tanggung jawab kami sendiri

Pengendali untuk semua hal dalam bagian ini: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polandia, contact@lukaswojcik.com. Tidak diperlukan perwakilan (berkedudukan di Uni). Tidak ada pejabat perlindungan data yang ditunjuk (bagian 9). Langkah teknis dan organisasional: bagian 8 dan halaman Langkah Teknis dan Organisasional. Cara subjek data menggunakan haknya dijelaskan pada halaman Akses, Penghapusan, dan Hak Anda Lainnya; pemegang akun dapat mengunduh datanya sendiri sebagai berkas (Pengaturan).

Jika kami mengandalkan kepentingan sah (Pasal 6(1)(f) GDPR), kami menyebut kepentingannya dan alasan mengapa cara yang kurang intrusif tidak mencukupi. Penimbangan tersebut merupakan penilaian kami; hal ini merupakan bagian dari peninjauan hukum.

B.1 Pengunjung situs web kami – log server web

Kolom	Entri
Tujuan	Operasional dan keamanan situs web dan aplikasi: penyajian, pemecahan masalah, pendeteksian serangan dan beban berlebih.
Kategori subjek data	Setiap orang yang membuka halaman formexposed.com atau form.exposed, termasuk pengunjung halaman Pelanggan yang browsernya memuat gambar lencana kami (B.18), penerima yang membuka tautan laporan atau konfirmasi penanganan, dan situs web yang pluginnya memanggil antarmuka kami.
Kategori data pribadi	Alamat IP lengkap, waktu, alamat yang diminta, kode status, byte yang ditransfer, halaman perujuk (referrer), pengenal browser (user agent).
Tempat penyimpanan	Log akses proksi di depan server dan server web sebagai berkas pada server web, bukan dalam basis data.
Sumber	Browser atau program yang membuat permintaan.
Dasar hukum	Pasal 6(1)(f) GDPR. Kepentingan: operasional yang aman dan tanpa gangguan. Penimbangan: tanpa alamat lengkap, permintaan berulang dari pengirim yang sama tidak dapat dikaitkan dan serangan tidak dapat ditangkal; alamat yang dipersingkat tidak mendukung pembedaan ini. Log tidak digabungkan dengan data lain dan dihapus setelah periode singkat.
Penerima	Tidak ada.
Negara ketiga	Tidak ada.
Penyimpanan	14 hari: rotasi harian dengan 14 generasi, kemudian ditimpa (layanan rotasi log sistem, bukan proses penghapusan malam aplikasi).
Langkah teknis dan organisasional	Bagian 8.

B.2 Log tampilan halaman aplikasi

Kolom	Entri
Tujuan	Keamanan dan pendeteksian penyalahgunaan (siapa meminta apa dan seberapa sering), keterlacakan akses akun, statistik penggunaan sederhana tanpa layanan analitik.
Kategori subjek data	Semua pengunjung situs web dan pengguna aplikasi pada tampilan halaman sesungguhnya (tanpa permintaan latar belakang, tanpa pengiriman formulir).
Kategori data pribadi	Alamat IP lengkap, negara yang diturunkan darinya saat pencatatan (basis data geo lokal, tanpa kueri ke pihak ketiga), ID akun untuk pengguna yang masuk, alamat yang diminta dan halaman perujuk (token akses di dalamnya, seperti pada tautan laporan atau portal, disamarkan), pengenal browser dan jenis perangkat, sistem operasi, serta browser yang diturunkan darinya, bahasa, waktu (access_logs). Selama “Lihat sebagai Pelanggan” (B.14), tidak ada ID akun yang ditetapkan agar tampilan halaman oleh dukungan tidak muncul dalam log Pelanggan.
Sumber	Permintaan browser.
Dasar hukum	Pasal 6(1)(f) GDPR. Kepentingan: pencegahan penyalahgunaan dan keterlacakan. Penimbangan: seperti B.1; masa penyimpanan lebih panjang karena pola penyalahgunaan terlihat selama beberapa minggu. Apakah alamat IP sebaiknya dipersingkat atau masa penyimpanan dipersingkat merupakan pertanyaan terbuka untuk peninjauan hukum.
Penerima	Tidak ada. Pemegang akun menerima tampilan halamannya sendiri dalam ekspor data.
Negara ketiga	Tidak ada.
Penyimpanan	60 hari (setiap malam antara 03:00 dan 03:05, srv/cron_status.php, pengaturan “log tampilan halaman”).
Langkah teknis dan organisasional	Bagian 8. Alamat IP hanya diambil dari header yang diteruskan jika permintaan berasal dari proksi di depan server milik kami sendiri, dan kemudian hanya entri yang ditambahkan oleh proksi tersebut; jika tidak, siapa pun dapat menyatakan asalnya sesuka hati.

B.3 Cookie dan penyimpanan dalam browser

Kolom	Entri
Tujuan	Penyimpanan yang diperlukan secara teknis: sesi, perlindungan terhadap pemalsuan permintaan lintas situs (CSRF), penghitungan batas pemeriksaan tanpa akun, masuk, tetap masuk atas permintaan, tampilan terang atau gelap.
Kategori subjek data	Pengunjung dan pengguna formexposed.com.
Kategori data pribadi	Cookie sesi bpid (pengenal sesi; berakhir saat browser ditutup; HttpOnly, SameSite=Lax, Secure melalui HTTPS). Cookie bp_remember hanya setelah memilih “Tetap masuk” (selektor dan verifikator; 30 hari). Penyimpanan lokal bp_theme (terang, gelap, atau sistem). Dalam area administrasi, tambahan pengaturan tampilan lokal pengelola. Untuk batas, hash dibentuk dari pengenal sesi; pengenal itu sendiri tidak disimpan.
Tidak dipasang	Tanpa cookie analitik, iklan, atau pelacakan. Program mitra (B.33) bekerja tanpa cookie. Gambar lencana pada halaman Pelanggan tidak memasang cookie (B.18). reCAPTCHA dapat memasang cookie dari Google saat formulir yang dilindungi dikirimkan (B.23).
Dasar hukum	Akses ke perangkat akhir: mutlak diperlukan untuk layanan yang diminta pengguna (§ 25(2) no. 2 TDDDG, Undang-Undang Jerman tentang Perlindungan Data Telekomunikasi dan Layanan Digital; Pasal 399(3) PKE, Undang-Undang Komunikasi Elektronik Polandia (Prawo komunikacji elektronicznej)). Pemrosesan: Pasal 6(1)(b) GDPR (akun) dan (f) (keamanan, batas).
Penerima	Tidak ada.
Negara ketiga	Tidak ada.
Penyimpanan	Sesi; 30 hari untuk token tetap masuk. Proses malam menghapus token tetap masuk yang kedaluwarsa dalam basis data (remember_tokens); saat keluar, perubahan kata sandi, dan pencabutan perangkat, langsung.
Langkah teknis dan organisasional	Bagian 8.

B.4 Pemeriksaan gratis tanpa akun – penerimaan, batas, dan pemantauan penyalahgunaan

Kolom	Entri
Tujuan	Siapa pun dapat meminta pemeriksaan domain tanpa akun. Agar kolom masukan tidak menjadi senjata terhadap situs web pihak ketiga, batas bertingkat berlaku: satu pemeriksaan anonim per domain dalam tujuh hari (setelah itu, laporan yang sama), batas per alamat IP dan per sesi dalam 24 jam, batas harian untuk seluruh sistem, pemblokiran domain yang sangat baru, daftar blokir dan opt-out, hanya alamat publik. Pola mencolok dicatat dan dilaporkan kepada pengelola. Batas per alamat IP, per sesi, dan untuk seluruh sistem, masing-masing dihitung secara terpisah, juga berlaku untuk pemeriksaan dari plugin tanpa akun (plugin dengan pasangan kunci terikat dihitung per situs web, bukan per alamat) dan untuk opt-out (B.30); alat header gratis (B.9) memiliki batas sendiri per alamat IP dan hari serta untuk seluruh sistem.
Kategori subjek data	Orang yang memicu pemeriksaan, permintaan alat header, atau opt-out; server tempat plugin terpasang.
Kategori data pribadi	Log setiap permintaan: sumber (pemeriksaan, plugin, alat header, opt-out), alamat IP lengkap, hash pengenal sesi, host yang diperiksa, negara dari alamat IP, diterima atau ditolak beserta alasan, waktu (check_throttle). Anomali: jenis (alamat IP, sesi, negara, sistem), kunci (untuk jenis “IP” alamat IP lengkap), pola, tingkat keparahan, uraian singkat, waktu deteksi dan penyelesaian, orang yang menyelesaikan (abuse_flags). Tugas: host, mode, tingkat kepercayaan, dan hash sesi yang dipersingkat sebagai pengenal peminta (scan_jobs). Laporan: pengenal acak, host, bahasa, kedaluwarsa, tampilan pertama, jumlah tampilan (reports). Usia domain yang dicache dari pencarian registri (domain_age_cache).
Sumber	Masukan orang tersebut; permintaannya; pencarian registri (RDAP) untuk usia domain.
Dasar hukum	Pelaksanaan pemeriksaan yang diminta: Pasal 6(1)(b) GDPR (penggunaan pemeriksaan gratis berdasarkan Ketentuan Layanan); sebagai alternatif, (f). Batas dan pemantauan: Pasal 6(1)(f). Kepentingan: mencegah layanan digunakan sebagai alat melawan situs web pihak ketiga atau sebagai sarana pengiriman spam massal. Penimbangan: tanpa pengaitan dengan alamat dan sesi, batas tidak dapat diberlakukan; periode tujuh hari sama singkatnya dengan batas terpanjang yang dihitung darinya.
Penerima	Google (reCAPTCHA saat pengiriman, B.23). Untuk usia domain, pemindai mengirim kueri ke layanan pengalihan RDAP rdap.org, yang meneruskannya ke registri yang bertanggung jawab; hanya nama domain yang dikirim. Jika terjadi anomali, pengelola menerima sinyal melalui Telegram tanpa variabel apa pun (tanpa host, tanpa alamat). Laporan dapat dilihat siapa pun yang memiliki tautan acaknya.
Negara ketiga	AS melalui reCAPTCHA (B.23).
Penyimpanan	Log permintaan 7 hari (setiap malam, srv/cron_status.php). Anomali yang diselesaikan 90 hari setelah penyelesaian; yang belum diselesaikan tetap ada hingga seseorang menyelesaikannya (bagian 10). Laporan anonim kedaluwarsa setelah 30 hari; proses malam kemudian menghapus laporan, tugas, hasil pemeriksaan, formulir, temuan, dan gambar (fe_reports_aufraeumen()). Administrator dapat secara manual membebaskan entri untuk suatu alamat; tindakan ini menghapus log alamat tersebut selama 24 jam terakhir.
Langkah teknis dan organisasional	Bagian 8. Penghentian darurat untuk semua pemeriksaan anonim dalam area administrasi; mekanisme pembatasan beban yang tidak menerima pemeriksaan gratis baru saat terdapat antrean menumpuk.

B.5 Pemeriksaan crawler atas situs web pihak ketiga

Kolom	Entri
Tujuan	Pemeriksaan keamanan formulir kontak publik: perlindungan terhadap spam dan penyalahgunaan, fitur perlindungan data dan aksesibilitas, skrip pihak ketiga tertanam, perilaku setelah penolakan dalam banner cookie, tampilan seluler. Berlaku untuk pemeriksaan tanpa akun (B.4), domain dalam akun yang belum terverifikasi, dan sebagai dasar studi (B.7) serta pemeriksaan calon pelanggan (B.8). Untuk domain terverifikasi dalam akun, kami bertindak atas nama Pelanggan (A.4).
Perilaku crawler	Pengenal tersendiri dengan rujukan ke halaman crawler; membaca robots.txt sebelum pemeriksaan dan berhenti jika aturan disallow mencakup halaman beranda (demikian pula jika robots.txt tidak dapat dijangkau atau terdapat kesalahan server); aturan disallow untuk subjalur individual tidak diperhatikan secara terpisah. Denyut formulir, pengambilan bukti, alat header, dan pencarian berkas tanpa perlindungan tidak membaca robots.txt. Paling banyak delapan halaman publik per pemeriksaan, ditambah hingga tiga halaman dengan klik “Tolak” pada banner cookie, hingga tiga halaman dalam tampilan telepon, probe aktif untuk domain terverifikasi, dan hingga lima halaman di balik halaman masuk (A.5); halaman dimuat satu demi satu, bukan secara paralel; hanya alamat publik, tanpa jaringan internal, pengalihan diperiksa ulang; daftar blokir dan opt-out diperiksa sebelum penerimaan dan untuk kedua kalinya dalam pemindai. Pasif: tanpa bukti kendali, tidak ada yang dikirimkan untuk Pelanggan (pengecualian: pemeriksaan internal domain uji dan demo kami sendiri, B.6).
Kategori subjek data	Pengelola situs web yang diperiksa (jika orang perseorangan, seperti pelaku usaha perseorangan); orang yang kebetulan terlihat pada halaman yang diperiksa.
Kategori data pribadi	Seperti A.4: alamat dan judul halaman, struktur formulir (nama kolom, jenis dan label, tanpa nilai kolom), perlindungan, skrip pihak ketiga (alamat; ID akun piksel dan alat perekaman diganti sebelum penyimpanan), perilaku banner cookie, tangkapan layar (area terlihat halaman beranda, formulir). Jika alamat penerima muncul dalam formulir, hanya domainnya (scans, forms, findings, scan_screenshots).
Sumber	Halaman yang dapat diakses publik.
Dasar hukum	Pasal 6(1)(f) GDPR. Kepentingan: melaksanakan pemeriksaan keamanan yang diminta; memperingatkan pengelola situs web mengenai kelemahan yang dapat merugikan pengunjungnya. Penimbangan: hanya hal yang dilihat setiap pengunjung yang dibaca, dalam lingkup kecil dan tanpa mengirimkan apa pun; pengelola dapat mengecualikan domainnya secara permanen kapan pun tanpa bukti. Informasi berdasarkan Pasal 14 GDPR diberikan melalui halaman crawler, opt-out, dan Kebijakan Privasi; apakah ini mencukupi berdasarkan Pasal 14(5)(b) merupakan pertanyaan terbuka untuk peninjauan hukum.
Penerima	Siapa pun yang memicu laporan dan setiap orang yang diberi tautan acak olehnya; model bahasa lokal pada server kami sendiri jika jenis formulir tidak jelas (struktur formulir, judul dan alamat halaman, teks formulir yang terlihat). Peringatan kerentanan dari versi plugin tidak pernah muncul dalam laporan anonim.
Negara ketiga	Tidak ada.
Penyimpanan	Anonim: 30 hari (B.4). Pemeriksaan calon pelanggan: 90 hari (B.8). Studi: hingga publikasi (B.7). Domain dalam akun: paling lama 13 bulan, pemeriksaan terakhir tetap disimpan; langsung dihapus bersama domain. Pemeriksaan internal oleh pengelola tanpa domain dan tanpa laporan (seperti yang dibuat dari baris perintah): tanpa masa penyimpanan (bagian 10). Berkas sementara pada server pemindai dihapus setelah setiap pelaksanaan.
Langkah teknis dan organisasional	Bagian 8. Khususnya: kontainer pemeriksaan terpisah dengan hak yang dikurangi, sistem berkas hanya baca, batas memori, dan jaringan sendiri; pemeriksaan sasaran ganda.

B.6 Pengiriman uji aktif

Kolom	Entri
Tujuan	Memeriksa apakah formulir kontak menerima pengiriman tanpa perlindungan, apakah CAPTCHA, perangkap (honeypot), token, validasi alamat e-mail, dan pembatasan laju berlaku di sisi server, serta apakah header dapat disisipi.
Prasyarat	Untuk Pelanggan, hanya bagi domain yang telah dilengkapi bukti kendali (catatan DNS, tag meta, berkas, atau plugin terhubung); selain itu, pengelola menggunakan alat baris perintah internal untuk membuat pemeriksaan dengan tingkat “verified” bagi domain uji dan demo kami sendiri. Hanya jika pengaturan global aktif, hanya untuk formulir yang diklasifikasikan secara andal sebagai formulir kontak umum. Tidak pernah untuk pesanan, pemesanan, pendaftaran, buletin, pembayaran, unggahan berkas, kolom wajib dengan data pribadi nyata, atau domain otoritas publik, lembaga kesehatan, atau pendidikan.
Kategori subjek data	Staf Pelanggan yang menerima e-mail formulir.
Kategori data pribadi	Pengiriman uji tidak memuat data pribadi: pengirim “FormExposed Security Scanner”, alamat pengirim kami sendiri atau alamat dengan .invalid, baris subjek berlabel, dan teks dalam bahasa halaman dengan rujukan ke halaman crawler dan opt-out serta nomor pemeriksaan. Yang kami simpan: respons halaman, temuan, gambar halaman lanjutan (seperti A.4).
Lingkup	Paling banyak lima pengiriman per pemeriksaan (pengaturan, bawaan 5); berulang sesuai frekuensi pemeriksaan paket, harian dalam paket tertinggi.
Sumber	Instruksi Pelanggan.
Dasar hukum	Pelaksanaan kontrak dengan Pelanggan (Pasal 6(1)(b) GDPR); pengiriman ditujukan ke formulir Pelanggan sendiri. Untuk penerima di pihak Pelanggan: pengorganisasian oleh Pelanggan.
Penerima	Pelanggan (e-mail formulirnya).
Negara ketiga	Tidak ada melalui kami.
Penyimpanan	Hasil seperti A.4.
Langkah teknis dan organisasional	Bagian 8. Penyisipan header hanya dideteksi, tidak pernah dilakukan dengan penerima nyata; validasi alamat e-mail hanya menggunakan domain yang tidak mungkin ada.

B.7 Studi “Indeks keamanan formulir”

Kolom	Entri
Tujuan	Statistik perlindungan formulir kontak di negara atau sektor. Hanya jumlah agregat yang dipublikasikan, tanpa nama situs web; segmen hanya mulai dari 20 halaman dengan formulir.
Kategori subjek data	Pengelola situs web dalam daftar; orang yang kebetulan terlihat.
Kategori data pribadi	Seperti B.5, hanya pasif. Selain itu daftar: host, segmen, status, tugas (study_domains); studi dengan judul, negara, jumlah hasil (studies).
Sumber	Daftar situs web publik yang disusun pengelola; halaman itu sendiri.
Dasar hukum	Pasal 6(1)(f) GDPR. Kepentingan: pernyataan statistik tentang kondisi keamanan formulir. Penimbangan: pasif, dengan pembatasan laju (sedikit tugas per pelaksanaan), daftar blokir dan opt-out berlaku, publikasi hanya sebagai jumlah agregat, data mentah dihapus.
Penerima	Publik, hanya jumlah agregat.
Negara ketiga	Tidak ada.
Penyimpanan	Data mentah (hasil pemeriksaan, formulir, temuan, gambar, tugas) dihapus saat publikasi (fe_studie_veroeffentlichen()). Daftar host dengan segmen tetap ada setelahnya; tidak ada masa penyimpanan untuk daftar tersebut atau studi yang tidak pernah dipublikasikan (bagian 10). Pengelola memutuskan daftar mana yang diperiksa dan apakah studi dipublikasikan.
Langkah teknis dan organisasional	Bagian 8.

B.8 Pemeriksaan calon pelanggan (mode akuisisi untuk agensi)

Kolom	Entri
Tujuan	Agensi (paket Business) memeriksa situs web calon pelanggan secara pasif dan menerima laporan singkat dengan mereknya serta laporan pasif. Kami tidak menghubungi siapa pun; agensi meneruskan tautannya sendiri.
Kategori subjek data	Pengelola situs web yang diperiksa; orang yang kebetulan terlihat; staf agensi yang memicu pemeriksaan.
Kategori data pribadi	Seperti B.5, hanya pasif. Selain itu: ruang kerja, orang yang memicu pemeriksaan, host, pengenal acak laporan, waktu (prospect_checks).
Sumber	Masukan agensi; halaman publik.
Dasar hukum	Pasal 6(1)(f) GDPR (kepentingan kami menyediakan layanan dan kepentingan agensi melakukan pendekatan berlandaskan informasi). Peran agensi dan kami serta kewajiban agensi saat meneruskan laporan merupakan pertanyaan terbuka untuk peninjauan hukum: jika agensi mengirim laporan melalui e-mail tanpa diminta atau menelepon, tindakan tersebut merupakan pemasaran langsung yang memerlukan persetujuan berdasarkan Pasal 398 PKE dan § 7(2) UWG (Undang-Undang Jerman tentang Persaingan Tidak Sehat), bahkan antarpelaku usaha. Hal itu merupakan tanggung jawab agensi; Ketentuan Layanan mewajibkannya demikian.
Penerima	Agensi dan siapa pun yang diberi tautan olehnya.
Negara ketiga	Tidak ada.
Penyimpanan	Laporan dan hasil pemeriksaan kedaluwarsa setelah 90 hari dan kemudian dihapus oleh proses malam (fe_reports_aufraeumen()); entri pemeriksaan dihapus setelah 90 hari dalam proses swarm harian mulai 04:00 (srv/cron_status.php). Bersama ruang kerja, langsung.
Langkah teknis dan organisasional	Bagian 8. Kuota bulanan (pengaturan, bawaan 30); halaman yang sama dalam tujuh hari mengembalikan laporan yang sama; opt-out berlaku.

B.9 Alat header tanpa akun

Kolom	Entri
Tujuan	Nilai gratis (A+ hingga F) untuk header keamanan halaman beranda domain. Dua permintaan, tanpa browser, tanpa formulir, tanpa pengiriman.
Kategori subjek data	Orang yang menggunakan alat; pengelola domain yang diperiksa.
Kategori data pribadi	Log permintaan seperti B.4 (sumber “headers”, alamat IP, hash sesi, host). Hasil: host, nilai, poin, header yang dievaluasi (header_checks).
Dasar hukum	Pasal 6(1)(f) GDPR, seperti B.4 dan B.5.
Penerima	Google (reCAPTCHA, B.23).
Negara ketiga	AS melalui reCAPTCHA.
Penyimpanan	Log permintaan 7 hari; hasil saat ini setelah 90 hari (proses penghapusan malam, bagian “header_checks”, pengaturan “headers_keep_days”). Untuk domain dalam akun, nilai ditentukan ulang setiap hari dan disimpan bersama domain.
Langkah teknis dan organisasional	Bagian 8. Batas per alamat IP dan hari; opt-out berlaku.

B.10 Akun pelanggan

Kolom	Entri
Tujuan	Mengoperasikan akun pelanggan, ruang kerja, dan paket.
Kategori subjek data	Pelanggan (pelaku usaha) dan anggota timnya dengan akun sendiri.
Kategori data pribadi	Alamat e-mail dan bentuk yang dinormalisasi, kata sandi hanya sebagai hash, nama depan (wajib), nama belakang dan perusahaan (jika diberikan); aplikasi tidak menyimpan alamat dan ID PPN, keduanya hanya diberikan di Stripe (B.26); status, bahasa, mode tampilan, mata uang, paket dan status penagihan, ID pelanggan dan langganan Stripe, akhir periode penagihan, pembatalan pada akhir periode, pengenal konfirmasi dan pengaturan ulang beserta kedaluwarsa, alamat e-mail baru hingga dikonfirmasi, waktu pendaftaran, waktu masuk terakhir dan alamat IP terakhir, waktu semua sesi dicabut, data dua faktor (B.11), laporan bulanan aktif/nonaktif, waktu e-mail pengingat, pembukaan akses melalui kode, kode rujukan dan rujukan (users). Ruang kerja dengan nama, waktu, status (workspaces); keanggotaan dengan peran dan tanggal bergabung (workspace_users).
Sumber	Pendaftaran dan pengaturan oleh orang tersebut; status penagihan dari Stripe.
Dasar hukum	Pasal 6(1)(b) GDPR (kontrak). Alamat IP terakhir: (f) (keamanan akun).
Penerima	Stripe (B.26); penyedia layanan e-mail untuk e-mail akun (B.25). Anggota ruang kerja yang sama melihat nama, alamat e-mail, dan peran anggota lain.
Negara ketiga	Melalui Stripe dan penyedia layanan e-mail.
Penyimpanan	Hingga dihapus oleh pemegang akun. Saat dihapus, ruang kerja milik pemegang yang tidak digunakan orang lain dihapus bersama semua domain dan datanya; ruang kerja dengan anggota lain dialihkan kepada anggota lain, dengan prioritas administrator, dan di antaranya yang paling lama menjadi anggota. Keanggotaan, token tetap masuk, perangkat, kunci API, kode Telegram terbuka, umpan balik laporan (B.35), dan baris akun dihapus; langganan berbayar yang berjalan terlebih dahulu diakhiri segera di Stripe, tanpa pengembalian dana (www/ajax.php, fe_konto_reste_loeschen()). Sebaliknya, pembatalan dalam area penagihan berlaku pada akhir periode; setelah itu, akun berlanjut pada paket gratis. Hal yang tetap disimpan dijelaskan dalam bagian 6.4. Akun yang tidak pernah dikonfirmasi dan tidak pernah digunakan untuk masuk dihapus setelah 30 hari, kecuali anggota lain terhubung ke ruang kerjanya (proses penghapusan malam, bagian “pending_accounts”). Tidak ada penghapusan akun tidak aktif. Jika kontrak akun berakhir dengan cara lain, misalnya melalui pengakhiran oleh kami, kami menghapus akun paling lambat 30 hari setelah akhir kontrak; saat ini dilakukan secara manual (dijanjikan dalam Perjanjian Pemrosesan Data).
Langkah teknis dan organisasional	Bagian 8.

B.11 Masuk, perangkat, faktor kedua, dan log aktivitas

Kolom	Entri
Tujuan	Melindungi akun: membatasi upaya masuk dan upaya kata sandi lainnya, menampilkan dan mencabut perangkat yang masuk, akses masuk dua faktor, keterlacakan perubahan.
Kategori subjek data	Pemegang akun dan anggota tim; orang yang mencoba masuk, mendaftar, atau memasukkan kata sandi portal klien.
Kategori data pribadi	Upaya masuk: alamat IP, alamat e-mail yang dimasukkan, keberhasilan, waktu (login_attempts). Perangkat: hash pengenal sesi (tidak pernah pengenalnya sendiri), tautan ke token tetap masuk, alamat IP, pengenal browser dan browser, sistem operasi serta jenis perangkat yang diturunkan darinya, waktu masuk, aktivitas terakhir dan pencabutan, serta untuk “Lihat sebagai Pelanggan” pengenal personel dukungan (login_sessions). Token tetap masuk untuk “Tetap masuk”: selektor, verifikator, kedaluwarsa (remember_tokens). Dua faktor: rahasia terenkripsi, waktu pengaktifan, langkah waktu terakhir yang digunakan, kode pemulihan hanya sebagai hash (dalam users). Log aktivitas: akun, ruang kerja, tindakan, sasaran, detail, alamat IP, negara, waktu (audit_logs). Penghitung upaya untuk masuk, faktor kedua, konfirmasi kata sandi, pengaturan ulang kata sandi, pendaftaran, dan kata sandi portal klien: kunci HMAC yang diturunkan dari tujuan dan ID akun (untuk alamat tidak dikenal atau pengaturan ulang, alamat e-mail dalam huruf kecil), alamat IP, akun dan alamat IP bersama-sama, atau ID portal (juga bersama alamat IP), jumlah upaya, kedaluwarsa; alamat e-mail dan IP tidak disimpan di sana dalam teks biasa (tabel auth_attempt_buckets).
Dasar hukum	Pasal 6(1)(b) GDPR bersama Pasal 32 (daftar perangkat, faktor kedua) dan (f) (upaya masuk, log aktivitas). Kepentingan: melindungi akun dari pengambilalihan, mendokumentasikan perubahan (Pasal 5(2)). Penimbangan: alamat yang dipersingkat tidak menjawab pertanyaan “apakah itu saya?”; log aktivitas harus tetap tersedia melampaui sengketa yang baru muncul beberapa bulan kemudian.
Penerima	Tidak ada. Pemegang akun melihat perangkatnya dan menerima upaya masuk, perangkat, serta aktivitas dalam ekspor data; selama sesi “Lihat sebagai Pelanggan”, alamat IP maupun browser personel dukungan tidak muncul di sana.
Negara ketiga	Tidak ada.
Penyimpanan	Upaya masuk 7 hari; setelah berhasil masuk, upaya gagal dari alamat yang sama langsung dihapus. Penghitung upaya pada akhir jendela waktunya (saat ini 15 menit, satu jam untuk pengaturan ulang kata sandi dan pendaftaran); yang kedaluwarsa dihapus pada akses berikutnya dan oleh proses malam. Perangkat 90 hari setelah penggunaan terakhir atau setelah pencabutan (proses penghapusan malam, bagian “sessions”), langsung bersama akun. Token tetap masuk kedaluwarsa setelah 30 hari. Log aktivitas 365 hari (setiap malam); saat akun dihapus, entrinya tetap ada hingga akhir masa penyimpanan (bagian 6.4).
Langkah teknis dan organisasional	Bagian 8.

B.12 Bukti penutupan kontrak

Kolom	Entri
Tujuan	Membuktikan versi Ketentuan Layanan, Perjanjian Pemrosesan Data, dan Kebijakan Privasi mana yang diterima atau diketahui Pelanggan saat pendaftaran, dan bahwa Pelanggan menggunakan layanan untuk usahanya.
Kategori subjek data	Pelanggan.
Kategori data pribadi	Per dokumen: akun, dokumen, versi (hash teks yang ditampilkan), kesempatan, alamat IP, pengenal browser, waktu (legal_consents). Versi yang ditampilkan itu sendiri dengan teks lengkap, bahasa, judul, dan alamat, sekali per versi (legal_versions; tidak memuat data pribadi).
Dasar hukum	Pasal 6(1)(b) dan (f) GDPR (bukti penutupan kontrak, pembelaan terhadap klaim).
Penerima	Tidak ada. Pemegang akun menerima catatannya dalam ekspor data.
Negara ketiga	Tidak ada.
Penyimpanan	Selama akun ada; setelah akun dihapus, empat tahun sejak persetujuan, kemudian dihapus setiap malam (srv/cron_status.php). Alasan dalam kode: masa kedaluwarsa tuntutan tiga tahun sejak akhir tahun, dibulatkan ke atas. Apakah hukum Polandia mengarah pada periode berbeda merupakan bagian dari peninjauan hukum.
Langkah teknis dan organisasional	Bagian 8. Jika salah satu dari tiga dokumen tidak ada, pendaftaran ditutup.

B.13 Undangan tim

Kolom	Entri
Tujuan	Mengundang orang lain ke ruang kerja.
Kategori subjek data	Orang yang diundang.
Kategori data pribadi	Alamat e-mail, peran, pengenal undangan, orang yang mengundang, kedaluwarsa, waktu penerimaan (workspace_invites); e-mail undangan dalam kotak keluar (B.25).
Sumber	Dimasukkan oleh anggota yang mengundang.
Dasar hukum	Pasal 6(1)(b) GDPR terkait Pelanggan; terhadap orang yang diundang (f) (kepentingan Pelanggan melibatkan timnya).
Penerima	Penyedia layanan e-mail (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Negara ketiga	Melalui penyedia layanan e-mail.
Penyimpanan	Undangan berlaku selama 14 hari dan hanya selama orang yang mengundang merupakan pemilik atau admin ruang kerja. Undangan yang tidak diterima setelah kedaluwarsa, yang diterima 30 hari setelah penerimaan (setiap malam, srv/cron_status.php dan bagian “invites” dalam cfg/fristen_lib.php). Bersama ruang kerja, langsung.
Langkah teknis dan organisasional	Bagian 8.

B.14 “Lihat sebagai Pelanggan” oleh dukungan

Kolom	Entri
Tujuan	Superadmin melihat aplikasi sebagaimana dilihat Pelanggan untuk menyelesaikan pertanyaan dukungan (“tombolnya tidak ada di tampilan saya”).
Kategori subjek data	Pelanggan yang bersangkutan; superadmin.
Kategori data pribadi	Semua yang dilihat Pelanggan dalam aplikasi. Dicatat dalam log: baris perangkat terpisah dengan pengenal superadmin (login_sessions), awal dan akhir dalam log aktivitas (audit_logs).
Dasar hukum	Pasal 6(1)(b) GDPR (dukungan sebagai bagian layanan), alternatifnya (f).
Batasan	Paling lama satu jam, kemudian keluar sepenuhnya. Mengakhiri tampilan juga mengeluarkan superadmin sepenuhnya, termasuk sesi asalnya; superadmin hanya kembali ke area administrasi dengan masuk lagi menggunakan kata sandi dan faktor kedua. Berakhir segera jika hak superadmin diturunkan atau diblokir. Semua yang mengubah akun Pelanggan diblokir: kata sandi, alamat e-mail, faktor kedua, perangkat, langganan, ekspor, penghapusan, pemindahan. Area administrasi ditutup selama sesi. Pelanggan melihat akses tersebut dalam daftar perangkat dan ekspor datanya sebagai akses dukungan.
Penerima	Tidak ada.
Negara ketiga	Tidak ada.
Penyimpanan	Baris perangkat 90 hari, log aktivitas 365 hari.
Langkah teknis dan organisasional	Bagian 8.

B.15 Domain, bukti kendali, dan pemantauan

Kolom	Entri
Tujuan	Layanan inti bagi Pelanggan: menyimpan domain dalam akun, memberikan bukti kendali, memeriksa berkala, dan mendeteksi perubahan. Ini mencakup denyut formulir (permintaan ringan tanpa browser setiap 10 hingga 30 menit sesuai paket), pemantauan harian DNS e-mail dan sertifikat, tanggal kedaluwarsa domain, daftar blokir, berkas tanpa perlindungan, versi yang terlihat dari luar, inventaris skrip, perubahan visual formulir, gangguan penyedia CAPTCHA dan e-mail, serta pemantauan kerentanan plugin formulir.
Kategori subjek data	Pelanggan dan anggota timnya; pengelola domain, jika orang perseorangan.
Kategori data pribadi	Domain dengan host, pengenal publik, catatan, label pelanggan, jenis dan pengenal bukti, frekuensi pemeriksaan, pemantauan aktif/nonaktif, jendela pemeliharaan, nilai pertanyaan, pengenal untuk lencana, kontrol pengiriman, dan hook deployment, kunci plugin, keadaan dan hasil terbaru pemantauan (DNS, sertifikat, keaslian e-mail formulir, daftar blokir, berkas tanpa perlindungan, header, versi) (domains). Denyut per halaman formulir (form_pulse). Kerentanan dari versi plugin (vuln_hits). Inventaris skrip dengan alamat, hash, ukuran, persetujuan beserta orang yang menyetujui dan alasan (script_inventory, script_changes). Pemeriksaan seperti A.4. Untuk berkas tanpa perlindungan, jalur, tingkat keparahan, dan jenis disimpan, tidak pernah isinya.
Permintaan kepada pihak ketiga	Kueri DNS (SPF, DMARC, MX, catatan bukti). Pencarian registri melalui RDAP berdasarkan direktori IANA: hanya nama domain. Daftar blokir DNS (SpamCop, PSBL, Mailspike, SURBL; Spamhaus hanya dengan kredensial akses tersimpan, saat ini tidak): alamat IP server web dan e-mail serta nama domain, tanpa data pengunjung. Google Web Risk hanya jika disiapkan (saat ini tidak): alamat halaman beranda. Otoritas pemberi stempel waktu: hanya nilai hash (B.19). WPVulnerability: hanya pengenal plugin atau tema, atau versi WordPress; kami sendiri melakukan perbandingan dengan versi plugin terpasang. Halaman status Cloudflare, hCaptcha, Google Cloud, SendGrid, Mailgun, dan Brevo: tidak ada yang dikirim selain permintaan itu sendiri.
Sumber	Pelanggan; permintaan ke halaman Pelanggan; direktori publik.
Dasar hukum	Pasal 6(1)(b) GDPR.
Penerima	Layanan yang disebut tidak menerima data pribadi Pelanggan kami, sejauh nama domain dan alamat server suatu usaha bukan data pribadi; untuk pelaku usaha perseorangan, nama domain dapat merupakan data pribadi. Anggota ruang kerja melihat domain.
Negara ketiga	Permintaan dapat mencapai layanan di negara ketiga (seperti pencarian registri, daftar blokir). Hanya yang dinyatakan dalam baris “Permintaan kepada pihak ketiga” yang dikirim.
Penyimpanan	Hingga domain dihapus. fe_domain_loeschen() kemudian langsung menghapus hasil pemeriksaan, formulir, temuan, gambar, laporan, tugas, tujuan dan log peringatan, insiden, kode Telegram, pengiriman, denyut, kerentanan, dan bukti; melalui kunci asing, formulir yang dipantau, pelaksanaan browser, akun uji, dan penghitung formulir; data plugin host jika tidak ada domain lain yang merujuk kepadanya. Juga dihapus inventaris skrip dan perubahan skrip domain; keduanya tidak memiliki masa penyimpanan sendiri (bagian 6.4). Hasil pemeriksaan paling lama 13 bulan, yang terakhir tetap disimpan.
Langkah teknis dan organisasional	Bagian 8. Pemantauan berkas tanpa perlindungan dan versi hanya untuk domain terverifikasi, paling banyak satu permintaan per jalur, hanya 8 KB pertama; pemeriksaan jalur pihak ketiga tanpa diminta akan menjadi alat serangan.

B.16 Peringatan, insiden, dan eskalasi kepada pemegang akun

Kolom	Entri
Tujuan	Memberi tahu Pelanggan tentang gangguan dan perubahan, memperhatikan jendela pemeliharaan, mengonfirmasikan penanganan dan mengeskalasi insiden. Jika tujuannya pihak ketiga, kami bertindak atas nama Pelanggan (A.3); jika pemegang akun sendiri, hal tersebut dijelaskan di sini.
Kategori subjek data	Pemegang akun dan anggota tim sebagai penerima.
Kategori data pribadi	Seperti A.3. Notifikasi ditampilkan dalam bahasa pemegang akun.
Dasar hukum	Pasal 6(1)(b) GDPR.
Penerima	Penyedia layanan e-mail; layanan percakapan pilihan (4.1).
Negara ketiga	Bergantung pada kanal (4.1).
Penyimpanan	Seperti A.3: log pengiriman 90 hari, notifikasi ringkasan 30 hari setelah pengiriman, insiden hingga penyelesaian dan kemudian 180 hari. Tujuan peringatan bersama domain.
Langkah teknis dan organisasional	Bagian 8.

B.17 Laporan bulanan kepada akun

Kolom	Entri
Tujuan	Pada tanggal 1 setiap bulan mulai 08:00 (pengiriman susulan hingga tanggal 3), satu e-mail per akun yang mencakup semua domainnya: tingkat, skor dan perubahan, peringatan, bot yang diblokir, pengiriman e-mail, nilai pembanding.
Kategori subjek data	Pemegang akun aktif yang mengaktifkan laporan bulanan.
Kategori data pribadi	Alamat e-mail, bahasa, angka utama domain.
Dasar hukum	Pasal 6(1)(b) GDPR (bagian layanan). Dapat dihentikan melalui pengaturan; dapat dinonaktifkan secara terpusat.
Penerima	Penyedia layanan e-mail (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Negara ketiga	Melalui penyedia layanan e-mail.
Penyimpanan	Tanpa penyimpanan terpisah; e-mail tetap berada dalam kotak keluar selama 30 hari (B.25).
Langkah teknis dan organisasional	Bagian 8.

B.18 Lencana dan halaman konfirmasi publik

Kolom	Entri
Tujuan	Pelanggan dapat menyematkan gambar lencana pada situs webnya dan menautkannya ke halaman konfirmasi publik. Lencana hanya menampilkan “Terlindungi” jika domain terverifikasi, pemantauan berjalan, dan pemeriksaan terakhir yang selesai berusia paling lama 45 hari dengan hasil “Terlindungi” atau “Terlindungi sebagian”; jika tidak, lencana menampilkan “Pemeriksaan formulir kontak” secara netral. Halaman konfirmasi menyebut tingkat dan tanggal, tanpa temuan individual.
Kategori subjek data	Pengunjung situs web Pelanggan yang browsernya memuat gambar; pengunjung halaman konfirmasi.
Kategori data pribadi	Saat gambar dimuat: alamat IP, waktu, alamat yang diminta, halaman perujuk, dan pengenal browser dalam log server web (B.1). Alamat gambar tidak memulai sesi, tidak memasang cookie, dan tidak menulis ke log tampilan halaman. Halaman konfirmasi adalah halaman biasa (B.2, B.3).
Dasar hukum	Pasal 6(1)(f) GDPR. Kepentingan: menyajikan gambar dan menjaga keamanan operasional. Apakah Pelanggan dan kami merupakan pengendali bersama untuk transmisi alamat IP pengunjung, sebagaimana dimaksud dalam yurisprudensi tentang konten pihak ketiga tertanam, dan apakah diperlukan pengaturan berdasarkan Pasal 26, merupakan pertanyaan terbuka untuk peninjauan hukum. Pelanggan menerima teks yang disarankan untuk kebijakan privasinya.
Penerima	Tidak ada.
Negara ketiga	Tidak ada.
Penyimpanan	14 hari (log server web). Gambar dicache selama satu jam. Saat lencana dinonaktifkan, pengenalnya tidak lagi berlaku.
Langkah teknis dan organisasional	Bagian 8.

B.19 Log bukti dan stempel waktu

Kolom	Entri
Tujuan	Satu log per domain dan bulan (paket berbayar): apa yang diperiksa, dengan hasil apa, apa yang dilaporkan dan berubah, sebagai bukti akuntabilitas, bagi perusahaan asuransi, atau audit pemasok. Setiap versi menerima nomor pemeriksaan; halaman publik mengonfirmasi domain, periode, dan angka utama, tanpa detail. Sejak 7 Oktober 2026, otoritas pemberi stempel waktu berdasarkan RFC 3161 telah mengonfirmasi waktunya.
Kategori subjek data	Pelanggan; secara tidak langsung, orang yang mungkin disebut dalam log sebagai pemberi persetujuan atau pengonfirmasi penanganan.
Kategori data pribadi	Domain, bulan, nomor pemeriksaan, hash isi (SHA-512), ringkasan dan data log, respons stempel waktu, otoritas pemberi stempel waktu dan waktu, upaya gagal (proof_docs).
Dasar hukum	Pasal 6(1)(b) GDPR.
Penerima	Otoritas pemberi stempel waktu (bawaan Certum, alternatif cadangan DigiCert) menerima hanya hash log, bukan isinya. Publik: angka utama melalui halaman konfirmasi. Pelanggan dan siapa pun yang diberi log atau nomor pemeriksaan oleh Pelanggan.
Negara ketiga	Tanpa transfer data pribadi: hash tidak memungkinkan penarikan kesimpulan tentang isi. Otoritas alternatif cadangan berkedudukan di AS.
Penyimpanan	Hingga domain dihapus (fe_domain_loeschen()). Stempel waktu ini bukan stempel waktu berkualifikasi berdasarkan eIDAS.
Langkah teknis dan organisasional	Bagian 8.

B.20 Plugin dan ekstensi: pemeriksaan, koneksi, dan transmisi

Kolom	Entri
Tujuan	Plugin WordPress dan ekstensi TYPO3 dapat meminta pemeriksaan (bahkan tanpa akun), terhubung ke akun (pemasangan dianggap sebagai bukti kendali dengan satu klik dalam akun), membuka fungsi perlindungan, melaporkan angka harian (A.9), serta langsung melaporkan kesalahan e-mail dan mode pemeliharaan.
Kategori subjek data	Pelanggan; pengelola situs web yang menggunakan plugin tanpa akun.
Kategori data pribadi	Per host: versi plugin dan CMS, jumlah pemeriksaan, pengenal laporan terakhir, hash rahasia koneksi, kontak pertama dan terakhir (plugin_sites). Kode koneksi sekali pakai sebagai hash beserta kedaluwarsa (plugin_connect_tokens). Kode penerapan agensi sebagai hash dengan awalan, label, penggunaan, orang yang membuat (workspace_connect_codes). Log permintaan dengan alamat IP server pemanggil (B.4). Kunci plugin terlihat publik pada bagian head situs web; kunci tersebut adalah hash rahasia, dan rahasianya sendiri hanya disimpan sebagai hash dan tidak pernah dikembalikan.
Dasar hukum	Pasal 6(1)(b) GDPR (akun); tanpa akun (f) (pemeriksaan yang diminta, pencegahan penyalahgunaan).
Penerima	Tidak ada.
Negara ketiga	Tidak ada.
Penyimpanan	Data host dihapus segera setelah tidak ada lagi domain yang merujuk kepadanya; baris plugin tanpa akun baru setelah 90 hari tanpa kontak (proses penghapusan malam, bagian “orphan_hosts”). Kode sekali pakai satu hari setelah kedaluwarsa. Kode penerapan bersama ruang kerja.
Langkah teknis dan organisasional	Bagian 8. Sejak 27 September 2026, server hanya menerima pasangan kunci yang terikat pada situs web; rahasia koneksi lama yang tidak terikat telah dihapus.

B.21 Perlindungan swarm

Kolom	Entri
Tujuan	Pertahanan spam bersama: situs web terhubung melaporkan domain tautan dalam pesan yang dihentikan lapisan perlindungannya. Domain yang muncul pada setidaknya tiga situs web dengan setidaknya lima kecocokan dalam tujuh hari dimasukkan ke daftar yang dikirim kembali ke semua situs web terhubung; lapisan perlindungannya memindahkan pesan dengan tautan tersebut ke karantina, tidak pernah membuangnya tanpa jejak.
Kategori subjek data	Pemegang domain tautan yang dilaporkan, jika orang perseorangan (seperti pengelola situs spam atas nama sendiri). Bukan pengirim dan penerima pesan: alamat, teks, dan nama tidak dilaporkan.
Kategori data pribadi	Sinyal: jenis, domain, host pelapor, hari, kecocokan (swarm_signals). Daftar: jenis, domain, jumlah situs web dan kecocokan, waktu (swarm_list). Layanan besar, domain Pelanggan kami, dan pengecualian yang ditetapkan pengelola tidak pernah dimasukkan dalam daftar.
Jaringan IP	Berbagi jaringan IP (/24, /48) telah dipersiapkan. Fungsi tersebut dinonaktifkan dan plugin tidak melaporkannya; fungsi baru akan diaktifkan setelah peninjauan hukum, karena alamat IP merupakan data pribadi.
Dasar hukum	Pasal 6(1)(f) GDPR. Kepentingan: melindungi formulir semua Pelanggan dari gelombang spam. Penimbangan: hanya domain, ambang minimum untuk mencegah pencemaran daftar, tanpa kehilangan pesan, penghapusan dimungkinkan kapan pun.
Penerima	Semua situs web terhubung (daftar domain).
Negara ketiga	Bergantung pada lokasi situs web terhubung; daftar juga dapat mencapai situs web di luar EEA. Daftar hanya merupakan data pribadi dalam kasus perbatasan (domain orang perseorangan). Dasar transfer berdasarkan Bab V GDPR untuk kasus ini masih harus ditentukan (pertanyaan terbuka untuk peninjauan hukum).
Penyimpanan	Sinyal 30 hari (proses swarm harian mulai 04:00, cfg/swarm_lib.php). Daftar dihitung ulang setiap hari; yang tidak lagi mencapai ambang dikeluarkan.
Langkah teknis dan organisasional	Bagian 8.

B.22 Kunci API, antarmuka pemrograman, dan server MCP

Kolom	Entri
Tujuan	Akses oleh alat Pelanggan sendiri (REST API, Zapier, Make, server MCP untuk asisten AI) ke domain, pemeriksaan, dan insiden Pelanggan.
Kategori subjek data	Pelanggan yang membuat kunci.
Kategori data pribadi	Kunci hanya sebagai hash, awalan, label, waktu pembuatan, penggunaan terakhir, dan pencabutan (api_keys). Pemanggilan per menit (api_usage).
Dasar hukum	Pasal 6(1)(b) GDPR.
Penerima	Alat yang diberi kunci oleh Pelanggan; Pelanggan menentukannya.
Negara ketiga	Bergantung pada alat Pelanggan.
Penyimpanan	Kunci hingga dicabut, langsung bersama akun; kunci tanpa akun (data lama) setiap malam. Penghitung pemanggilan setelah satu hari (dibersihkan sesekali saat pemanggilan).
Langkah teknis dan organisasional	Bagian 8.

B.23 reCAPTCHA dan perlindungan formulir kami sendiri

Kolom	Entri
Tujuan	Pertahanan terhadap akses otomatis ke formulir kami sendiri: pemeriksaan gratis, alat header, opt-out, masuk, pendaftaran, lupa dan pengaturan ulang kata sandi, dukungan, dan kontak. Selain itu, perlindungan kami sendiri tanpa pihak ketiga: perangkap (kolom tersembunyi), pemeriksaan waktu bertanda tangan, dan token CSRF. Sejak 29 Oktober 2026, juga perlindungan formulir kami formconfirmed (bukti kerja dan token pemeriksaan sekali pakai) pada pemeriksaan gratis, pendaftaran, masuk, dan “lupa kata sandi”.
Kategori subjek data	Orang yang mengirimkan formulir tersebut.
Kategori data pribadi	Di Google: alamat IP, data browser dan perangkat, data perilaku, cookie Google. Pada kami: penilaian Google (skor dan tindakan) hanya saat pemeriksaan, tanpa penyimpanan, bahkan ketika pengiriman ditolak. Pada perlindungan formulir kami sendiri: alamat IP (disimpan hanya dalam bentuk dipersingkat dan di-hash), halaman, waktu-waktu terkait, kolom perangkap diisi ya/tidak; tanpa isi.
Waktu	Skrip Google hanya dimuat saat formulir yang dilindungi dikirimkan, bukan saat halaman dibuka. Perlindungan formulir kami sendiri mengambil tugasnya saat halaman dibuka dan melakukan penghitungan segera setelah formulir digunakan. Pada sistem pengembangan, reCAPTCHA dinonaktifkan.
Dasar hukum	Pasal 6(1)(f) GDPR. Kepentingan: perlindungan terhadap bot, terutama untuk pemeriksaan gratis, yang jika tidak dilindungi dapat digunakan melawan situs web pihak ketiga. Apakah akses ke perangkat akhir memerlukan persetujuan berdasarkan § 25 TDDDG atau Pasal 399 PKE, sekalipun skrip hanya dimuat saat pengiriman, merupakan pertanyaan terbuka untuk peninjauan hukum. Perlindungan formulir kami sendiri tidak memasang cookie, tidak menyimpan apa pun di browser, dan tidak membuat sidik jari; perlindungan ini dimaksudkan untuk menggantikan reCAPTCHA dalam jangka panjang.
Penerima	Google Ireland Limited; Google LLC. Tidak ada untuk perlindungan formulir kami sendiri.
Negara ketiga	AS (hanya reCAPTCHA). Dasar: sertifikasi berdasarkan EU-US Data Privacy Framework atau klausul kontrak standar; masih harus didokumentasikan secara terperinci.
Penyimpanan	reCAPTCHA: tanpa penyimpanan pada kami; di Google menurut aturannya. Perlindungan formulir kami sendiri: pengenal yang di-hash 1 jam, token pemeriksaan yang telah digunakan paling lama 11 menit, hasil pemeriksaan tanpa alamat IP 30 hari.
Gangguan	Jika Google tidak merespons dalam tiga detik atau memberikan respons yang tidak dapat digunakan, pengiriman ditolak; demikian pula token kosong dan respons untuk tindakan selain tindakan formulir. Pemeriksaan hanya dilewati jika reCAPTCHA dinonaktifkan. Pada perlindungan formulir kami sendiri, pengiriman tanpa token pemeriksaan yang valid ditolak; jika layanan tidak dapat dijangkau untuk tugas tersebut, pengiriman diizinkan.
Langkah teknis dan organisasional	Bagian 8.

B.24 Dukungan dan formulir kontak

Kolom	Entri
Tujuan	Menerima dan menjawab pertanyaan melalui jendela dukungan dan halaman kontak. Keduanya menggunakan jalur dan tabel yang sama.
Kategori subjek data	Penanya, masuk atau tidak.
Kategori data pribadi	Akun (jika masuk; alamat akun berlaku, bukan yang dimasukkan), alamat e-mail, alasan dari daftar tetap, teks hingga 4.000 karakter, status, alamat IP lengkap, negara, pengenal browser, halaman perujuk (hanya jalur sendiri), bahasa, waktu penerimaan dan balasan (support_requests); entri log aktivitas (tanpa teks); konfirmasi penerimaan kepada penanya dalam kotak keluar (B.25), dengan teks hingga 2.000 karakter hanya untuk pengirim yang masuk, tanpa teks untuk permintaan tanpa masuk.
Dasar hukum	Pasal 6(1)(b) GDPR jika pertanyaan berkaitan dengan kontrak; selain itu (f). Alamat IP lengkap: (f) (batas tiga pertanyaan per jam dan alamat, pencegahan penyalahgunaan).
Penerima	Penyedia layanan e-mail (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) untuk konfirmasi penerimaan dan balasan. Telegram menerima sinyal tetap tanpa variabel apa pun (“ada permintaan dukungan baru”) sehingga tanpa data pribadi.
Negara ketiga	Melalui penyedia layanan e-mail.
Penyimpanan	24 bulan (proses penghapusan malam, bagian “support”); secara manual dapat lebih awal. Saat akun dihapus, pertanyaan tetap disimpan hingga akhir masa penyimpanan (bagian 6.4).
Langkah teknis dan organisasional	Bagian 8. reCAPTCHA, perlindungan formulir kami sendiri, pembatasan laju.

B.25 Pengiriman e-mail (kotak keluar)

Kolom	Entri
Tujuan	E-mail transaksional: konfirmasi pendaftaran dan alamat e-mail baru, pengaturan ulang kata sandi, undangan, peringatan, laporan bulanan, konfirmasi dan laporan portal, konfirmasi penerimaan dan balasan dukungan, pengingat masa uji coba dan penyiapan, notifikasi operasional kepada pengelola. Tanpa iklan, tanpa e-mail kepada orang yang belum mendaftar sendiri atau dimasukkan sebagai penerima oleh Pelanggan.
Kategori subjek data	Penerima e-mail tersebut.
Kategori data pribadi	Alamat penerima, subjek, isi lengkap, alamat balasan, tujuan, jalur pengiriman, status, kesalahan, upaya, waktu (mail_outbox). Isi dapat mencakup tautan konfirmasi dan pengaturan ulang dengan pengenal yang masih berlaku.
Dasar hukum	Pasal 6(1)(b) GDPR; untuk notifikasi operasional (f).
Penerima	Namecheap, Inc. (Private Email), Phoenix, Arizona, USA (pengiriman); pemegang akun melihat e-mail yang dikirim kepadanya dalam ekspor data (tanpa isi).
Negara ketiga	Bergantung pada tempat pemrosesan penyedia layanan e-mail; kontrak dan dasar transfer masih harus didokumentasikan (bagian 4).
Penyimpanan	30 hari (setiap malam, srv/cron_status.php). Periode ini sengaja paling singkat di antara log: log pengiriman yang lama akan menjadi kumpulan kunci yang masih berlaku. Proses pemeriksaan status memeriksa setiap lima menit apakah saatnya mencoba ulang.
Status	Pengiriman e-mail harus disiapkan sebelum peluncuran. Hingga penyedia layanan e-mail beserta kedudukan dan dasarnya ditetapkan, teks hukum menampilkan penanda.
Langkah teknis dan organisasional	Bagian 8. E-mail yang gagal dicoba ulang dengan interval yang semakin panjang dan dihentikan setelah jumlah upaya maksimum.

B.26 Pembayaran dan penagihan

Kolom	Entri
Tujuan	Membuat dan mengelola langganan (bulanan atau tahunan dibayar di muka), masa uji coba 14 hari tanpa kartu dengan pengingat tiga hari sebelum berakhir, pembayaran melalui faktur untuk langganan tahunan (nonaktif secara bawaan), pembukaan akses melalui kode penyedia hosting dan mitra tanpa pembayaran, penerbitan faktur, penyimpanan untuk keperluan pajak.
Kategori subjek data	Pelanggan.
Kategori data pribadi	Di Stripe: alamat e-mail, nama, alamat penagihan, ID PPN, data pembayaran, faktur; sebagai metadata ID akun kami dan paket. Pada kami: ID pelanggan dan langganan Stripe, paket, status, akhir periode, pembatalan pada akhir periode (users); peristiwa Stripe yang diterima hanya dengan pengenal, jenis, status, dan waktu, tanpa isi (stripe_events); penukaran kode penyedia hosting dengan akun, kampanye, dan kedaluwarsa (bundle_redemptions). Data kartu tidak pernah sampai kepada kami.
Sumber	Pelanggan dalam proses pembayaran Stripe; peristiwa dari Stripe.
Dasar hukum	Pasal 6(1)(b) GDPR; untuk penyimpanan demi keperluan pajak (c).
Penerima	Stripe Payments Europe Limited (Irlandia); Stripe, Inc. (AS). Untuk sebagian pemrosesan pembayaran, Stripe bertindak atas tanggung jawabnya sendiri; pembagian peran yang tepat merupakan bagian dari peninjauan hukum.
Negara ketiga	AS melalui Stripe, Inc.; dasar: Data Privacy Framework atau klausul kontrak standar berdasarkan ketentuan Stripe.
Penyimpanan	Kolom penagihan bersama akun; langganan yang berjalan diakhiri sebelum akun dihapus. Faktur dan catatan penagihan berdasarkan hukum pajak Polandia selama lima tahun sejak akhir tahun berakhirnya tenggat pembayaran pajak; disimpan di Stripe dan dapat diambil dalam portal pelanggan Stripe. Peristiwa Stripe dan penukaran kode tidak memiliki masa penyimpanan (bagian 6.4).
Langkah teknis dan organisasional	Bagian 8. Peristiwa Stripe hanya diterima dengan tanda tangan sah; setiap peristiwa diproses sekali.

B.27 Cadangan

Kolom	Entri
Tujuan	Pemulihan setelah kesalahan: penghapusan keliru, migrasi rusak.
Kategori subjek data	Semua orang yang datanya berada dalam basis data.
Kategori data pribadi	Dump lengkap basis data aplikasi yang dikompresi. Tangkapan layar dan berkas logo disimpan di luar basis data dan bukan bagian cadangan ini. Kredensial akun uji hanya termuat di dalamnya sebagai teks sandi (A.5).
Prosedur	Setiap malam pukul 03:00, setelah proses penghapusan, agar cadangan tidak ikut menyimpan yang baru dihapus sesuai masa penyimpanan. Dump hanya disimpan setelah isinya diperiksa (kode keluar, jumlah tabel, baris akhir). Pada hari Minggu, uji pemulihan memuat cadangan terbaru ke basis data sementara dan membandingkannya tabel demi tabel. Jika terjadi kegagalan, sinyal dan e-mail dikirim kepada pengelola.
Dasar hukum	Pasal 6(1)(f) GDPR bersama Pasal 32(1)(c).
Penerima	Tidak ada.
Negara ketiga	Tidak ada.
Penyimpanan	14 hari; dump lama hanya dihapus setelah cadangan baru berhasil (cfg/backup_lib.php). Penghapusan yang berlangsung selama waktu ini baru mencapai cadangan ketika kedaluwarsa; jika data dipulihkan dari cadangan, permintaan penghapusan diterapkan kembali setelahnya.
Lokasi	Cadangan saat ini disimpan pada lokasi yang sama dengan basis data dan tidak dienkripsi secara terpisah; salinan terenkripsi pada lokasi kedua direncanakan (bagian 8.1 dan 10).
Langkah teknis dan organisasional	Bagian 8.

B.28 Log kesalahan dan peringatan kesalahan

Kolom	Entri
Tujuan	Menemukan dan memperbaiki kesalahan sebelum dilaporkan Pelanggan. Jenis kesalahan baru dan gelombang kesalahan dilaporkan kepada pengelola, ditambah ikhtisar harian mulai 08:00.
Kategori subjek data	Pengguna yang permintaannya menyebabkan kesalahan; secara tidak langsung, orang yang datanya muncul dalam pesan kesalahan.
Kategori data pribadi	Tingkat, sumber, pesan, konteks sebagai JSON, ID akun sesi, waktu (error_logs). Jenis kesalahan: sidik, pola (yang alamat e-mail, alamat, angka, dan pengenalnya telah dihapus), satu contoh pesan tanpa perubahan hingga 2.000 karakter, kemunculan pertama dan terakhir, jumlah (error_kinds).
Dasar hukum	Pasal 6(1)(f) GDPR (keamanan operasional, Pasal 32).
Penerima	Pengelola melalui e-mail lewat penyedia layanan e-mail: untuk jenis kesalahan baru, sumber dan teks mentah pesan hingga 400 karakter (tidak dibersihkan), ditambah e-mail ikhtisar harian; untuk gelombang kesalahan, hanya sinyal Telegram dikirim. Telegram hanya menerima kalimat tetap tanpa variabel (“Jenis kesalahan baru telah terjadi”, “Banyak kesalahan dalam waktu singkat”).
Negara ketiga	Melalui penyedia layanan e-mail.
Penyimpanan	Log kesalahan 90 hari (setiap malam). Jenis kesalahan tanpa masa penyimpanan (bagian 10). Peringatan kesalahan aktif dalam sistem produksi dan nonaktif dalam sistem pengembangan.
Langkah teknis dan organisasional	Bagian 8.

B.29 Sinyal operasional dan pemantauan status

Kolom	Entri
Tujuan	Mendeteksi gangguan: setiap lima menit pemeriksaan komponen (halaman beranda, basis data, ruang disk, heartbeat pemindai, penumpukan antrean), halaman status, sinyal saat gangguan dan pemulihan, heartbeat ke layanan pemantauan eksternal agar gangguan menyeluruh pun diketahui; antrean menumpuk sebelum pemindai.
Kategori subjek data	Umumnya tidak ada.
Kategori data pribadi	Tidak ada. Baris harian per komponen dengan jumlah pemeriksaan dan kesalahan terakhir (system_status_logs), heartbeat pemindai (scanner_heartbeat), angka utama harian tanpa keterkaitan dengan individu (daily_stats). Sinyal ke Telegram berupa kalimat tetap tanpa variabel; heartbeat merupakan permintaan tanpa isi.
Dasar hukum	Tidak berlaku karena tidak ada data pribadi; sebagai tindakan kehati-hatian Pasal 6(1)(f).
Penerima	Telegram (kalimat tetap); layanan pemantauan eksternal (hanya permintaan); pengelola melalui e-mail.
Negara ketiga	Telegram di luar UE; tidak ada data pribadi yang dikirim.
Penyimpanan	Baris status 400 hari (setiap malam).
Langkah teknis dan organisasional	Bagian 8.

B.30 Opt-out – mengecualikan domain

Kolom	Entri
Tujuan	Siapa pun dapat mengecualikan domain mana pun secara permanen dari pemeriksaan tanpa bukti; pemblokiran langsung berlaku untuk semua jalur pemeriksaan (pemeriksaan gratis, plugin tanpa akun, studi, pemeriksaan calon pelanggan, alat header) dan juga domain Pelanggan berbayar dengan bukti kendali; pemantauan yang berjalan berakhir pada pemeriksaan terjadwal berikutnya. Berlaku untuk domain dan varian www-nya, bukan subdomain lain. Hanya kami yang dapat mencabutnya, atas permintaan dan dengan bukti. Agar penyalahgunaan (seperti pesaing memblokir domain orang lain) dapat dideteksi dan dibatalkan, pemblokiran dicatat dalam log.
Kategori subjek data	Orang yang mengecualikan domain.
Kategori data pribadi	Domain, alasan sukarela hingga 250 karakter, sumber, alamat IP, negara, pengenal browser, waktu; saat pencabutan, waktu, orang yang mencabut blokir, dan alasan (blocklist). Log permintaan seperti B.4.
Dasar hukum	Untuk pengecualian, Pasal 6(1)(f) GDPR. Kepentingan: memberlakukan keinginan agar domain tidak diperiksa secara permanen dan pada semua jalur pemeriksaan. Jika orang yang mengecualikan sendiri merupakan subjek data, pengecualian sekaligus memberlakukan keberatannya berdasarkan Pasal 21 (Pasal 6(1)(c)). Untuk alamat, negara, dan pengenal browser, (f) (deteksi penyalahgunaan).
Penerima	Google (reCAPTCHA, B.23).
Negara ketiga	AS melalui reCAPTCHA.
Penyimpanan	Alamat IP, negara, dan pengenal browser setelah 12 bulan (proses penghapusan malam, bagian “optout_ip”). Pengecualian itu sendiri tetap ada secara permanen agar terus berlaku.
Langkah teknis dan organisasional	Bagian 8. Banyak pemblokiran dari satu negara dalam waktu singkat menghasilkan anomali (B.4).

B.31 Pengingat setelah pendaftaran

Kolom	Entri
Tujuan	Satu e-mail dua hingga 14 hari setelah pendaftaran kepada akun terkonfirmasi tanpa domain terkonfirmasi: “Tambahkan situs web” atau “Konfirmasikan domain”. Tanpa penawaran, harga, atau peningkatan paket; dengan catatan bahwa e-mail tidak akan dikirim lagi. Hari kerja 09:00 hingga 18:00, paling banyak 50 per pelaksanaan.
Kategori subjek data	Pemegang akun baru.
Kategori data pribadi	Alamat e-mail, bahasa, waktu pengiriman (kolom “pengingat dikirim” dalam users), domain dan status konfirmasi.
Dasar hukum	Pasal 6(1)(b) GDPR (keterangan tentang penyiapan akun sendiri). Apakah e-mail dianggap sebagai komunikasi tentang hubungan kontraktual atau informasi komersial yang memerlukan persetujuan (Pasal 10 UŚUDE, Undang-Undang Polandia tentang Penyediaan Layanan Melalui Sarana Elektronik (ustawa o świadczeniu usług drogą elektroniczną); Pasal 398 PKE; § 7 UWG) merupakan pertanyaan terbuka untuk peninjauan hukum; pengelola dapat menonaktifkannya secara terpusat.
Penerima	Penyedia layanan e-mail (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Negara ketiga	Melalui penyedia layanan e-mail.
Penyimpanan	Waktu tetap ada selama akun; e-mail 30 hari dalam kotak keluar.
Langkah teknis dan organisasional	Bagian 8. Waktu ditetapkan sebelum pengiriman agar pembatalan proses tidak memicu e-mail kedua.

B.32 Bot Telegram untuk peringatan Pelanggan

Kolom	Entri
Tujuan	Percakapan Telegram ditautkan sebagai tujuan peringatan: Pelanggan menerima tautan ke bot kami dengan kode sekali pakai; ketika penerima menekan “Mulai”, server kami membaca kode dari pesan baru kepada bot dan menyimpan ID percakapan. Tidak diperlukan endpoint terbuka di pihak kami (webhook) untuk ini.
Kategori subjek data	Pelanggan dan orang yang percakapan Telegramnya ditautkan.
Kategori data pribadi	Kode sekali pakai, domain, akun pembuat, peristiwa, mode pengiriman, ID percakapan, waktu (telegram_links); ID percakapan sebagai tujuan (alerts). Telegram memberikan detail profil tambahan bersama pesan; hanya kode dan ID percakapan yang dievaluasi dan disimpan.
Dasar hukum	Pasal 6(1)(b) GDPR; untuk pihak ketiga sebagai penerima, A.3.
Penerima	Telegram.
Negara ketiga	Di luar UE, tanpa keputusan kecukupan; pilihan dibuat oleh Pelanggan (4.1). Dasar dan pemberitahuan merupakan pertanyaan terbuka untuk peninjauan hukum.
Penyimpanan	Kode berlaku selama 30 menit; baris tautan dihapus setelah satu hari ketika kode baru dibuat, kode terbuka bersama akun dan domain. ID percakapan sebagai tujuan hingga tujuan peringatan atau domain dihapus.
Langkah teknis dan organisasional	Bagian 8.

B.33 Program mitra dan kode pembuka akses

Kolom	Entri
Tujuan	Akun dapat merujuk Pelanggan baru melalui kode rujukan dan menerima komisi atas faktur yang dibayar selama jumlah bulan terbatas. Kode dibawa dalam alamat hingga pendaftaran; tidak ada cookie yang dipasang. Penyedia hosting dan mitra dapat menerbitkan kode yang membuka akses paket selama suatu periode tanpa pembayaran; satu minggu sebelum berakhir, Pelanggan menerima pengingat.
Status	Program mitra nonaktif secara bawaan hingga Ketentuan Mitra tersedia.
Kategori subjek data	Mitra dan Pelanggan rujukan.
Kategori data pribadi	Kode rujukan, mitra yang merujuk dan waktu rujukan (dalam users); komisi dengan mitra, Pelanggan, ID faktur Stripe, jumlah, mata uang, komisi, status, waktu (partner_commissions). Pembukaan akses dengan paket, akhir, sumber, pengingat (dalam users); kampanye dan penukaran (bundle_campaigns, bundle_redemptions).
Dasar hukum	Pasal 6(1)(b) GDPR (perjanjian mitra); untuk Pelanggan (f) (penyelesaian komisi, tanpa meneruskan data Pelanggan kepada mitra selain jumlah komisi); catatan pajak (c).
Penerima	Mitra melihat komisinya.
Negara ketiga	Tidak ada.
Penyimpanan	Rujukan dan pembukaan akses bersama akun. Komisi dan penukaran tidak memiliki masa penyimpanan dalam kode; sebagai catatan akuntansi, komisi tunduk pada penyimpanan untuk keperluan pajak (bagian 6.4).
Langkah teknis dan organisasional	Bagian 8.

B.34 Titik pelaporan kerentanan

Kolom	Entri
Tujuan	Menerima laporan kerentanan dalam formexposed, berdasarkan aturan pada halaman Keamanan dan dalam /.well-known/security.txt.
Kategori subjek data	Pelapor; orang yang datanya termuat sebagai bukti dalam laporan.
Kategori data pribadi	Alamat e-mail, nama, isi laporan, dan lampiran, sebagaimana dikirim pelapor. Laporan sampai kepada kami melalui e-mail ke alamat yang disebut di sana; aplikasi tidak menyimpannya.
Dasar hukum	Pasal 6(1)(f) GDPR (keamanan layanan, Pasal 32); jika laporan memuat data pribadi pihak ketiga sebagai bukti, juga (f), dengan tujuan menutup kerentanan.
Penerima	Penyedia layanan e-mail dan, hingga kotak surat disiapkan, penerusan domain di Namecheap (bagian 4).
Negara ketiga	Melalui penyedia layanan e-mail dan, hingga peralihan, penerusan.
Penyimpanan	Belum ditetapkan masa penyimpanan atau diberlakukan secara teknis (bagian 10). Pengelola masih harus menetapkan periodenya; pendekatan yang wajar adalah menghapus bukti pihak ketiga setelah kerentanan ditutup dan memperlakukan korespondensi seperti pertanyaan dukungan.
Langkah teknis dan organisasional	Bagian 8.

B.35 Umpan balik atas laporan

Kolom	Entri
Tujuan	Menerima umpan balik di bawah laporan (“Ada yang salah dalam laporan ini?”) untuk menemukan kesalahan deteksi formulir. Superadmin mengklasifikasikannya (baru, dikonfirmasi, diperbaiki, ditolak) dan dapat mengunduh data pemeriksaan laporan sebagai kasus uji (formulir dengan kolom, alasan, dan temuan, tanpa tangkapan layar dan tanpa teks yang dikirim secara aktif).
Kategori subjek data	Orang yang melihat laporan, masuk atau tidak.
Kategori data pribadi	Kategori dan pemeriksaan dari daftar tetap, alamat halaman hingga 500 karakter, teks hingga 1.000 karakter, bahasa, waktu, pengenal laporan, pemeriksaan, host; pengenal akun jika masuk; HMAC-SHA256 alamat IP dengan kunci rahasia untuk batas; status, penangan, waktu penanganan (report_feedback). Log aktivitas: perubahan status dan pengunduhan kasus uji. Tanpa alamat e-mail, tanpa alamat IP dalam teks biasa.
Dasar hukum	Pasal 6(1)(f) GDPR (menemukan dan memperbaiki kesalahan deteksi; batas untuk melawan penyalahgunaan).
Penerima	Tidak ada.
Negara ketiga	Tidak ada.
Penyimpanan	24 bulan (proses penghapusan malam, bagian “report_feedback”); checksum alamat IP dihapus setelah 2 hari (bagian “report_feedback_ip”); langsung saat akun dihapus. Kasus uji yang diunduh tidak memuat data tentang pelapor.
Langkah teknis dan organisasional	Bagian 8. Perlindungan formulir sendiri (perangkap, waktu bertanda tangan, CSRF), paling banyak 5 laporan per jam dan 20 per hari per checksum, 10 per laporan; hanya dapat dibaca superadmin.

6. Penyimpanan – yang dicakup dan tidak dicakup proses penghapusan malam

Ada penghapusan otomatis, dan ada tempatnya. Proses pemeriksaan status (srv/cron_status.php) dimulai setiap lima menit melalui crontab server web, baik pada sistem produksi maupun pengembangan. Proses tersebut memeriksa komponen, mengambil e-mail kontrol pengiriman, menjadwalkan pemeriksaan, dan mengirim peringatan. Sekali sehari, dalam jendela 03:00 hingga 03:04, proses menghapus sesuai masa penyimpanan lalu membuat cadangan. Sejak 27 September 2026, proses juga memanggil proses penyimpanan dalam cfg/fristen_lib.php (fe_fristen_lauf()), yang bagian-bagiannya berjalan secara independen: jika satu gagal, yang lain terus berjalan, dan kesalahan dicatat dalam log kesalahan.

Bukti bahwa proses berjalan: status cadangan sistem pengembangan menunjukkan cadangan berhasil pada 03:00 tanggal 11 Oktober 2026; cadangan dibuat dalam blok yang sama langsung setelah penghapusan. Proses menulis log per tabel yang dihapus hanya ke keluaran standar, yang dibuang crontab; tidak ada catatan permanen tentang apa yang dihapus dan kapan (bagian 10).

Masa penyimpanan yang muncul sebagai placeholder ditetapkan dalam area administrasi pada pengaturan penyimpanan. Proses membaca pengaturan yang sama; karena itu, teks selalu menunjukkan periode setelah data benar-benar dihapus.

6.1 Dicakup oleh proses harian

Data	Masa penyimpanan dan pemicu	Lokasi dalam kode
Log tampilan halaman (access_logs)	60 hari	srv/cron_status.php
Log aktivitas (audit_logs)	365 hari	srv/cron_status.php
Log kesalahan (error_logs)	90 hari	srv/cron_status.php
Kotak keluar (mail_outbox)	30 hari	srv/cron_status.php
Token tetap masuk “Tetap masuk” (remember_tokens)	setelah kedaluwarsa (30 hari)	srv/cron_status.php
Undangan yang tidak diterima (workspace_invites)	setelah kedaluwarsa (14 hari)	srv/cron_status.php
Upaya masuk (login_attempts); penghitung upaya (auth_attempt_buckets)	7 hari; penghitung saat jendela waktunya kedaluwarsa (saat ini 15 menit, satu jam untuk pengaturan ulang kata sandi dan pendaftaran), juga pada akses berikutnya	srv/cron_status.php
Log permintaan pemeriksaan tanpa akun (check_throttle)	7 hari	srv/cron_status.php
Kode sekali pakai untuk menghubungkan plugin (plugin_connect_tokens)	1 hari setelah kedaluwarsa	srv/cron_status.php
Anomali yang diselesaikan (abuse_flags)	90 hari setelah penyelesaian	srv/cron_status.php
Laporan kedaluwarsa beserta hasil pemeriksaan, formulir, temuan, gambar, dan tugas (hanya tanpa domain dalam akun)	anonim 30 hari, calon pelanggan 90 hari	fe_reports_aufraeumen()
Log pengiriman peringatan (alert_log)	90 hari	fe_alert_log_aufraeumen()
Baris status (system_status_logs)	400 hari	srv/cron_status.php
Catatan persetujuan akun yang dihapus (legal_consents)	setelah akun dihapus dan persetujuan berusia 4 tahun	srv/cron_status.php
Data yatim domain yang dihapus: hasil pemeriksaan, tugas, data peringatan, insiden, kode Telegram, pengiriman, denyut, kerentanan, bukti, inventaris skrip dan perubahan skrip	langsung pada pelaksanaan berikutnya	fe_fristen_lauf(), bagian “orphan_scans”, “orphan_rows”
Data plugin host tanpa domain; baris plugin tanpa akun	langsung; baris setelah 90 hari tanpa kontak	bagian “orphan_hosts”
Hasil alat header (header_checks)	saat ini 90 hari	bagian “header_checks”
Hasil pemeriksaan domain beserta formulir, temuan, gambar, laporan, tugas	13 bulan; yang terakhir selesai per domain tetap disimpan	bagian “old_scans”
Pelaksanaan browser, tugas browser selesai, deret waktu (form_browser_runs, scan_jobs, form_performance)	13 bulan	bagian “browser_runs”, “browser_jobs”, “form_performance”
Penghitung formulir (form_metrics), angka harian plugin dan notifikasi perubahan (plugin_stats, plugin_changes)	13 bulan	bagian “form_metrics”, “plugin_stats”
Perangkat yang masuk (login_sessions)	90 hari setelah penggunaan terakhir atau pencabutan	bagian “sessions”
Undangan yang diterima	30 hari setelah penerimaan	bagian “invites”
Permintaan dukungan (support_requests)	24 bulan	bagian “support”
Umpan balik laporan (report_feedback)	24 bulan; checksum alamat IP 2 hari	bagian “report_feedback” dan “report_feedback_ip”
Versi PDF laporan dalam cache (var/pdf)	7 hari	bagian “pdf_cache”
Alamat IP, negara, dan pengenal browser dalam opt-out (blocklist)	12 bulan; pengecualian tetap ada	bagian “optout_ip”
Pelanggan laporan portal (client_subscribers)	belum dikonfirmasi 30 hari; berhenti berlangganan 3 tahun	bagian “subscribers”
Akun yang tidak pernah dikonfirmasi, bersama ruang kerja	30 hari tanpa masuk, kecuali anggota lain terhubung	bagian “pending_accounts”
Kunci API tanpa akun (data lama)	langsung	bagian “api_keys”

6.2 Di luar jendela 03:00

Data	Masa penyimpanan dan pemicu	Lokasi dalam kode
Salinan dalam kotak surat kontrol pengiriman	setelah pemrosesan, setiap lima menit	fe_zustellung_abholen()
Keterkaitan kontrol pengiriman (delivery_log)	180 hari, pada setiap pengambilan	fe_zustellung_abholen()
Teks sandi akun uji dalam tugas (scan_jobs)	setelah pelaksanaan, paling lambat setelah satu jam	server pemindai; fe_login_aufraeumen()
Insiden (alert_incidents) beserta upaya pengiriman eskalasinya	selama belum diselesaikan; 180 hari setelah penyelesaian	fe_vorfaelle_aufraeumen() dalam cfg/vorfall_lib.php
Notifikasi ringkasan yang dikirim (alert_queue)	30 hari setelah pengiriman	cfg/kanal_lib.php
Sinyal swarm (swarm_signals)	30 hari, setiap hari mulai 04:00	cfg/swarm_lib.php
Pemeriksaan calon pelanggan (prospect_checks)	90 hari, setiap hari mulai 04:00	srv/cron_status.php
Kode tautan Telegram (telegram_links)	1 hari, ketika kode baru dibuat	cfg/kanal_lib.php
Penghitung pemanggilan API (api_usage)	1 hari, sesekali saat pemanggilan	cfg/agentur_lib.php
Gangguan penyedia yang diselesaikan (provider_incidents), cache kerentanan (vuln_cache)	masing-masing 90 dan 30 hari; tanpa data pribadi	cfg/anbieter_lib.php, cfg/luecken_lib.php
Data mentah studi	saat publikasi	fe_studie_veroeffentlichen()
Cadangan	14 hari, setelah cadangan baru berhasil	cfg/backup_lib.php
Log server web	14 hari	rotasi log sistem

6.3 Saat penghapusan oleh Pelanggan

• Menghapus domain (fe_domain_loeschen()): hasil pemeriksaan beserta formulir, temuan, dan berkas gambar, laporan, tugas, tujuan peringatan, log pengiriman, antrean ringkasan, insiden, kode Telegram, pengiriman, denyut, kerentanan, log bukti, domain dari portal klien dengan pilihan tetap; melalui kunci asing, formulir yang dipantau beserta pelaksanaan browser, pengamatan, dan deret waktu, akun uji, penghitung formulir; data plugin host jika tidak ada domain lain yang merujuk kepadanya. Inventaris skrip dan perubahan skrip domain juga dihapus bersamanya; keduanya tidak memiliki masa penyimpanan sendiri (bagian 6.4 dan 10). Data tersisa tanpa domain terkait dari periode sebelum 27 September 2026 dibersihkan oleh proses malam (bagian “orphan_scans”, “orphan_rows”).
• Menghapus ruang kerja (fe_arbeitsbereich_daten_loeschen()): sebagai tambahan, merek termasuk logo, portal klien termasuk pelanggan laporan, kode penerapan, pemeriksaan calon pelanggan; ditambah undangan dan keanggotaan.
• Menghapus akun: segera mengakhiri langganan berbayar yang berjalan di Stripe, tanpa pengembalian dana; memindahkan atau menghapus ruang kerja milik pemegang; menghapus keanggotaan, token tetap masuk, perangkat, kunci API beserta penghitung, kode Telegram terbuka, dan baris akun.
• Menghapus akun uji (fe_login_loeschen()): menimpa teks sandi, menghapus baris, mengosongkan tugas menunggu.

6.4 Yang tidak dicakup proses

Daftar ini lebih penting. Daftar ini menyebut data yang tidak memiliki masa penyimpanan otomatis atau yang tetap ada setelah penghapusan.

Data	Yang berlaku	Penilaian
Data akun termasuk alamat IP terakhir (users)	hingga dihapus pemegang akun; tanpa penghapusan akun tidak aktif	data kontrak; belum ada aturan untuk akun tidak aktif secara permanen tanpa langganan
Log aktivitas, tampilan halaman, log kesalahan akun yang dihapus	tetap ada dengan ID akun dan alamat IP hingga akhir masa penyimpanannya	disengaja (bukti tindakan bahkan setelah pengakhiran); ID tidak lagi menunjuk ke akun
Permintaan dukungan akun yang dihapus	tetap ada hingga 24 bulan dengan ID akun lama	disengaja; ID tidak dihapus
Catatan persetujuan akun yang dihapus	hingga persetujuan berusia 4 tahun (dihitung sejak persetujuan, bukan penghapusan akun)	disengaja (bagian B.12)
Anomali yang belum diselesaikan dengan alamat IP (abuse_flags)	hingga seseorang menyelesaikannya	hal yang masih terbuka (bagian 10)
Jenis kesalahan dengan contoh pesan tanpa perubahan (error_kinds)	tanpa masa penyimpanan	hal yang masih terbuka (bagian 10)
Inventaris skrip dan perubahan skrip (script_inventory, script_changes)	tanpa masa penyimpanan sendiri; disimpan selama domain ada dan dihapus bersamanya	hal yang masih terbuka (bagian 10)
Pelanggan laporan portal klien yang dicabut	hingga ruang kerja dihapus	hal yang masih terbuka (bagian 10)
Kunci API dan kode penerapan yang dicabut	hingga akun atau ruang kerja dihapus	hanya hash, awalan, dan label; kecil
Daftar host studi (study_domains), studi yang tidak pernah dipublikasikan	tanpa masa penyimpanan	hal yang masih terbuka (bagian 10)
Pemeriksaan internal tanpa domain dan tanpa laporan (hasil pemeriksaan, formulir, temuan, tangkapan layar)	tanpa masa penyimpanan; tidak ada jalur penghapusan yang mencakupnya	hal yang masih terbuka (bagian 10)
Komisi, penukaran kode, peristiwa Stripe	tanpa masa penyimpanan	relevansi akuntansi; periode harus ditetapkan berdasarkan hukum pajak
Usia domain yang dicache (domain_age_cache)	tanpa masa penyimpanan	hanya nama domain dan tanggal pendaftaran
Hasil autentikasi e-mail formulir dengan domain pengirim	bersama domain; ditimpa pada setiap penerimaan	lihat A.1
Pengecualian dalam opt-out	permanen	disengaja; tanpa sifat permanen, pengecualian tidak berlaku
E-mail dalam kotak surat titik pelaporan dan kotak surat umum	tanpa masa penyimpanan teknis	hal yang masih terbuka (bagian 10)

6.5 Di luar basis data

• Tangkapan layar disimpan sebagai berkas di luar direktori web dan dihapus bersama hasil pemeriksaannya (semua jalur penghapusan di atas juga menghapus berkas).
• Berkas logo merek dihapus saat diganti dan bersama ruang kerja.
• Pada server pemindai, direktori sementara dengan hasil dan gambar dibuat per tugas; direktori dihapus setelah setiap pelaksanaan, bahkan setelah kesalahan.
• Cadangan disimpan pada server web (B.27).
• Log server web dengan alamat IP lengkap disimpan selama 14 hari (B.1).

7. Keputusan otomatis, pemrofilan, dan penilaian

formexposed menilai situs web, bukan orang. Menurut penilaian kami, layanan tidak membuat keputusan yang menghasilkan akibat hukum terhadap seseorang atau secara serupa memengaruhinya secara signifikan (Pasal 22(1) GDPR). Namun terdapat penilaian otomatis dan pemblokiran otomatis. Kami mencantumkannya agar klasifikasinya dapat diperiksa.

Mekanisme	Yang dilakukan	Yang terdampak
Skor dan kesimpulan pemeriksaan	Jumlah berbobot lapisan perlindungan yang tidak ada (CAPTCHA, perangkap, token, pemeriksaan waktu, CAPTCHA tidak efektif, konfigurasi tanpa perlindungan yang diketahui), 0 hingga 100; darinya, “Tanpa perlindungan”, “Terlindungi sebagian”, atau “Terlindungi”. Kesimpulan situs web mengikuti formulir kontak terburuk yang dikenali oleh aturan (bukan model bahasa); tanpa formulir kontak, tidak ada kesimpulan. Bobot dapat ditetapkan dalam area administrasi.	Pengelola situs web; untuk pelaku usaha perseorangan, secara tidak langsung seseorang. Kesimpulan tidak memiliki akibat hukum; merupakan temuan dengan bukti dan petunjuk.
Klasifikasi jenis formulir	Aturan terlebih dahulu, model bahasa lokal hanya jika aturan menghasilkan “tidak diketahui”. Menentukan apakah pengiriman uji aktif diizinkan (hanya untuk formulir kontak yang dikenali secara andal oleh aturan). Formulir yang diklasifikasikan model bahasa tidak pernah dikirimkan dan tidak diperhitungkan dalam skor dan kesimpulan.	Pelanggan dan penerima e-mail formulirnya; efek perlindungan: jika ragu, tidak ada yang dikirimkan.
Rencana tindakan berurutan berdasarkan prioritas dalam laporan berbayar	Model bahasa lokal merangkum temuan gagal atau tidak jelas yang dipilih dan metadata pemindaian menjadi langkah-langkah singkat bernomor. Teksnya diberi label sebagai ringkasan AI; temuan individual tetap menjadi acuan utama. Model tidak mengubah skor pemindaian, kesimpulan, atau konfigurasi situs web.	Pelanggan atau pembaca laporan lain yang berwenang, yang memutuskan langkah yang diambil.
Lencana	Menampilkan “Terlindungi” hanya dengan kondisi tetap (B.18), selain itu netral.	Pelanggan; tanpa dampak terhadap pengunjung.
Batas dan pemblokiran untuk pemeriksaan gratis, alat header, dan opt-out	Menolak permintaan jika batas per alamat, sesi, domain, atau sistem tercapai, jika domain terlalu baru atau usianya tidak diketahui, atau jika masuk daftar blokir.	Peminta; dampak: layanan gratis ditolak selama beberapa jam hingga hari. Administrator dapat membebaskan alamat; pertanyaan melalui halaman kontak ditangani manusia.
Anomali	Pola (banyak domain dari satu alamat, lonjakan permintaan, banyak penolakan, banyak opt-out dari satu negara, batas harian tercapai) dicatat dan dilaporkan. Pola tidak memblokir dengan sendirinya; pemblokiran timbul dari batas.	Peminta.
Pemblokiran masuk	Setelah saat ini delapan upaya masuk gagal dari satu alamat dalam 15 menit, akses masuk dari alamat tersebut ditolak sementara. Selain itu, semua upaya masuk, termasuk yang berhasil, dihitung per akun dan alamat IP (saat ini delapan), per akun pada seluruh alamat (jauh lebih banyak, untuk melawan tebakan terdistribusi), dan per alamat IP (saat ini 80) dalam 15 menit, demikian pula kode faktor kedua (sepuluh per akun dalam 15 menit); di atas batas, upaya ditolak. Karena itu, upaya gagal dari alamat lain tidak lagi menghalangi pemilik mengakses akun. Konfirmasi kata sandi (lima per akun dalam 15 menit), e-mail pengaturan ulang (tiga per alamat per jam, dengan respons yang tetap sama), pendaftaran (sepuluh per alamat IP per jam), dan upaya kata sandi portal klien (sepuluh per portal dan alamat IP, 50 per portal dalam 15 menit) dibatasi dengan cara yang sama.	Orang yang masuk, mendaftar, atau membuka portal klien; dampak terbatas waktunya, pengaturan ulang kata sandi tetap dimungkinkan.
Ambang reCAPTCHA	Menolak pengiriman di bawah skor Google; ambang per titik penggunaan (saat ini 0.7 untuk pemeriksaan dan opt-out). Respons untuk tindakan berbeda dan pengiriman yang tidak direspons Google dalam tiga detik juga ditolak.	Orang yang mengirimkan formulir kami; dampak: upaya baru atau jalur melalui halaman kontak.
Perlindungan swarm	Otomatis memasukkan domain tautan ke daftar saat ambang minimum tercapai; lapisan perlindungan situs web terhubung memindahkan pesan dengan tautan tersebut ke karantina.	Pengirim pesan ke halaman Pelanggan. Dampak: pesan ditahan, tidak dihapus, dan dapat dilepaskan pengelola situs web. Keputusan atas pesan dibuat plugin pengelola pada situs web pengelola, bukan oleh kami.
Nilai pembanding	“Lebih terlindungi daripada X % situs yang diperiksa”, hanya dari jumlah agregat setidaknya 20 host.	Pengelola situs web; tanpa dampak.

Hal yang paling mendekati Pasal 22 adalah lapisan perlindungan plugin pada halaman Pelanggan, yang otomatis menahan pengiriman. Ini merupakan pemrosesan oleh pengelola situs web pada servernya (A.10). Lapisan tidak menghapus apa pun, melainkan memindahkan pesan ke karantina, dan pengelola dapat melepaskan pesan mana pun. Tidak ada pemrofilan pengunjung di sana maupun pada kami; tidak ada pengenal pengunjung yang mengaitkan satu pesan dengan yang lain.

8. Langkah teknis dan organisasional (Pasal 32) – uraian umum

Bagian ini merupakan uraian umum berdasarkan Pasal 30(1)(g) dan (2)(d) GDPR. Versi terperinci terdapat pada halaman Langkah Teknis dan Organisasional. Setiap langkah di bawah dibuktikan dalam kode atau konfigurasi. Langkah yang belum diterapkan berada dalam bagian yang sama (8.1) agar uraiannya lengkap.

Bidang	Langkah yang berlaku
Enkripsi transportasi	HTTPS untuk situs web, aplikasi, dan antarmuka; HSTS; cookie sesi dan token tetap masuk hanya melalui HTTPS, HttpOnly, SameSite=Lax.
Kontrol akses (autentikasi)	Kata sandi hanya sebagai hash, yang baru setidaknya sepuluh karakter dan paling banyak 72 byte; pemblokiran masuk setelah upaya gagal berulang dan batas upaya per akun dan alamat IP bersama-sama, per akun, serta per alamat IP agar upaya gagal dari alamat lain tidak menghalangi pemilik mengakses akun; batas upaya juga untuk konfirmasi kata sandi, pengaturan ulang kata sandi (dengan respons dan waktu respons sama), pendaftaran, dan kata sandi portal; akses masuk dua faktor (TOTP) dengan rahasia terenkripsi, perlindungan terhadap penggunaan ulang kode, dan kode pemulihan sebagai hash; pengenal sesi baru pada setiap akses masuk, pengenal yang tidak diterbitkan server tidak diterima; “Tetap masuk” tidak untuk superadmin, setiap token hanya berlaku sekali; perubahan alamat e-mail membatalkan tautan pengaturan ulang yang terbuka; perangkat dapat dicabut satu per satu atau sekaligus; daftar perangkat hanya menyimpan hash pengenal sesi.
Kontrol akses (otorisasi)	Peran per ruang kerja (pemilik, admin, pengamat); izin diperiksa terhadap objek, tidak pernah terhadap pengenal dari formulir; akun uji, “Fix it for me”, dan pemeriksaan aktif hanya untuk pemilik dan admin; “Lihat sebagai Pelanggan” dibatasi waktunya dan diblokir untuk tindakan pengubah akun, mengakhirinya mengeluarkan sepenuhnya, kembali ke area administrasi hanya dengan kata sandi dan faktor kedua; undangan hanya berlaku selama pengundang adalah pemilik atau admin; alamat webhook dan kanal percakapan ditampilkan kepada pengamat hanya dipersingkat hingga host; nama host domain terverifikasi tidak dapat diubah.
Keamanan aplikasi	Token CSRF; pernyataan basis data yang disiapkan; perlindungan formulir kami sendiri (perangkap, pemeriksaan waktu bertanda tangan); reCAPTCHA pada formulir publik; pembatasan laju untuk dukungan, pemeriksaan, dan antarmuka; hanya satu pemanggilan “Fix it for me” per ruang kerja sekaligus agar kuota juga berlaku untuk permintaan bersamaan; Content Security Policy dengan perlindungan pembingkaian yang hanya mengizinkan skrip dengan izin (nonce) respons terkait untuk berjalan; alamat IP dari header yang diteruskan hanya dari proksi kami sendiri dan hanya dari entri yang ditambahkannya; token akses disamarkan dalam log tampilan halaman.
Rahasia	Kunci API, kode penerapan, rahasia koneksi plugin, kode sekali pakai, dan kata sandi portal hanya sebagai hash; kredensial akun uji dienkripsi asimetris, kunci privat hanya pada server pemindai; webhook bertanda tangan; peristiwa Stripe hanya dengan tanda tangan sah.
Minimalisasi data	Kontrol pengiriman tidak menyimpan isi dan alamat pengirim lengkap; alamat penerima dalam formulir hanya sebagai domain; ID akun dalam alamat skrip diganti; angka plugin hanya dari daftar tetap; teks kesalahan pengiriman e-mail hanya sebagai kategori; sinyal Telegram tanpa variabel; gambar pemeriksaan browser dengan masukan tersamarkan; tanpa tangkapan layar di balik halaman masuk.
Isolasi pemindai	Setiap pemeriksaan dalam kontainernya sendiri: semua kapabilitas Linux dilepas, tanpa peningkatan hak, sistem berkas hanya baca, batas memori dan proses, jaringan sendiri; pemeriksaan sasaran terhadap jaringan privat dan lokal sebelum penerimaan dan dalam pemindai, juga setelah pengalihan; service worker diblokir, koneksi WebSocket ditutup. Permintaan server web (bukti kendali, alat header, pencarian berkas, denyut, RDAP, sertifikat, webhook, dan peringatan percakapan) hanya pada port web yang lazim dan hanya ke alamat tepat yang telah diperiksa, webhook dan peringatan percakapan hanya melalui HTTPS.
Penyimpanan	Tangkapan layar di luar direktori web, hanya dapat diambil melalui laporan; laporan pada alamat acak dengan noindex; direktori cadangan hanya dapat dibaca layanan.
Ketersediaan dan pemulihan	Cadangan malam dengan pemeriksaan isi, uji pemulihan mingguan, peringatan saat gagal; pemeriksaan komponen setiap lima menit dengan sinyal dan e-mail; heartbeat eksternal; penghentian darurat pemeriksaan anonim; pembatasan beban saat antrean menumpuk.
Keterlacakan	Log aktivitas untuk masuk, perubahan, penghapusan, akses dukungan, dan persetujuan; log kesalahan dengan peringatan.
Penghapusan	Masa penyimpanan pada satu tempat dalam kode, dari pengaturan yang sama dengan teks (bagian 6); rantai penghapusan untuk domain, ruang kerja, dan akun, dengan pengecualian dalam bagian 6.4.
Hak subjek data	Ekspor semua data akun dengan satu klik sebagai berkas, berdasarkan daftar kolom yang diizinkan, tanpa rahasia.
Organisasi	Area administrasi hanya untuk akun dengan hak superadmin, diblokir selama “Lihat sebagai Pelanggan”; sistem pengembangan dan produksi terpisah, sistem pengembangan di balik penghalang akses tambahan; transfer teks hukum setelah persetujuan melalui alat yang menolak draf dan placeholder.

8.1 Langkah yang belum diterapkan

• Tanpa enkripsi basis data saat tersimpan (diukur pada 11 Oktober 2026). Pengecualian adalah kredensial akun uji dan rahasia dua faktor, yang dienkripsi pada tingkat kolom.
• Koneksi internal tidak seluruhnya dienkripsi. Koneksi dalam jaringan internal kami tidak seluruhnya dienkripsi. Kredensial akun uji hanya melewatinya sebagai teks sandi.
• Tanpa cadangan pada lokasi kedua. Cadangan saat ini disimpan pada lokasi yang sama dengan basis data dan tidak dienkripsi secara terpisah; salinan terenkripsi pada lokasi kedua direncanakan. Hingga saat itu, cadangan melindungi dari perintah penghapusan keliru, bukan kehilangan lokasi.
• Penguatan administrasi server belum lengkap. Keamanan akses administratif ke server kami belum memenuhi standar operasional yang kami tuju; penguatan terus berlangsung. Kami tidak memublikasikan detail karena akan membantu penyerang; kami memberikannya kepada otoritas pengawas atas permintaan.
• Tanpa log pembacaan fungsional dalam area administrasi. Tindakan tulis dicatat dalam log aktivitas; siapa yang hanya melihat permintaan dukungan atau laporan tertentu hanya dapat ditentukan dari log tampilan halaman (60 hari).
• Tanpa log penghapusan permanen. Hal yang dihapus proses malam tidak dicatat (bagian 6).
• Tanpa titik pemeriksaan kedua yang independen. Probe pada lokasi kedua belum disiapkan (A.6).

9. Pejabat perlindungan data – penilaian berdasarkan Pasal 37 GDPR

Hasil: Menurut penilaian kami, tidak ada kewajiban menunjuknya. Penilaian merupakan bagian peninjauan hukum dan akan diulang segera setelah keadaan yang tercantum di bawah berubah.

Pasal 37(1) mewajibkan penunjukan dalam tiga kasus.

• Huruf (a) (otoritas atau badan publik) tidak berlaku.
• Huruf (b) (kegiatan inti yang memerlukan pemantauan subjek data secara teratur dan sistematis dalam skala besar): kegiatan inti kami adalah pemeriksaan situs web dan formulir secara teratur dan sistematis, bukan pengamatan orang. Kami tidak membuat profil pengunjung, tidak menggunakan pelacakan, dan tidak mengaitkan satu pesan dengan yang lain. Kontrol pengiriman (A.1) melewatkan pesan pengunjung nyata melalui kotak surat kami, tetapi hanya mengevaluasi header dan 8 KB pertama untuk pengaitan serta tidak menyimpan isi; fungsi ini mengamati jalur pengiriman, bukan orang. Akun pelanggan dan log merupakan penunjang kegiatan usaha.
• Huruf (c) (pemrosesan skala besar atas kategori khusus berdasarkan Pasal 9 atau data terkait tindak pidana berdasarkan Pasal 10 sebagai kegiatan inti): tidak terpenuhi. Kategori khusus dapat muncul secara insidental dalam salinan e-mail formulir (A.1), pada halaman di balik halaman masuk (A.5), atau dalam kode yang ditempelkan (A.7); perolehan insidental bukan kegiatan inti.

Pasal 37(4) mengizinkan hukum nasional menambah kasus lain. Kami meminta pengacara mengonfirmasi apakah hukum Polandia mewajibkan kami menunjuknya.

Pemicu penilaian baru: pengaktifan perlindungan swarm dengan jaringan IP; fungsi yang mengenali pengunjung lintas beberapa pesan atau situs web; penyimpanan isi kontrol pengiriman; Pelanggan yang formulirnya terutama berkaitan dengan kategori khusus (kesehatan, lamaran kerja) dengan kontrol pengiriman diaktifkan dalam skala besar; karyawan pertama dengan akses ke data pelanggan. Penunjukan sukarela tetap dimungkinkan; Pasal 37 hingga 39 kemudian berlaku sepenuhnya.

Secara terpisah: apakah penilaian dampak perlindungan data berdasarkan Pasal 35 diperlukan untuk aktivitas pemrosesan individual dijawab oleh halaman Penilaian Dampak Perlindungan Data. Penilaian ambangnya menyimpulkan bahwa DPIA diperlukan untuk perlindungan swarm (B.21) dan studi pada skala yang dituju (B.7) dan dilakukan oleh kami, serta untuk kontrol pengiriman (A.1) diperlukan dalam keadaan umum sebagai kewajiban Pelanggan, yang kami bantu melaksanakannya.

10. Hal yang masih terbuka dan langkah yang direncanakan

Hal berikut dibuktikan dalam kode, skema, atau konfigurasi, bukan diasumsikan. Hal ini menggambarkan keadaan pada tanggal versi ini; klasifikasinya merupakan pandangan kami sendiri dan tidak mendahului evaluasi hukum apa pun. Urutannya berdasarkan bobot bagi subjek data, bukan kemudahan memperbaikinya. Langkah yang direncanakan dan prioritasnya dijelaskan dalam Penilaian Dampak Perlindungan Data.

Hal yang masih terbuka	Yang dibuktikan	Makna
Penyedia layanan e-mail tanpa kontrak terdokumentasi	Untuk Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, kontrak, tempat pemrosesan, dan dasar transfer tidak terdokumentasi. E-mail akun, peringatan, dan kotak surat kontrol dengan pesan pengunjung nyata melewati penyedia ini.	Ketentuan terkait adalah Pasal 28(2) dan (4) serta Bab V GDPR. Penutupan dan dokumentasi direncanakan sebelum peluncuran.
Dasar layanan percakapan dan reCAPTCHA masih terbuka	Peringatan ke Telegram (tanpa keputusan kecukupan), Slack, Discord, Microsoft Teams, dan Google Chat; reCAPTCHA tanpa permintaan persetujuan.	Pertanyaan terbuka untuk peninjauan hukum; hingga saat itu, pemberitahuan dan dasar belum final.
Kotak surat kontrol dapat menyimpan pesan selama gangguan	Penghapusan berlangsung setelah pemrosesan berhasil; jika pengambilan gagal, salinan tetap ada hingga pelaksanaan berikutnya yang berhasil. Tidak ada peringatan ketika antrean menumpuk dalam kotak surat selama periode lebih lama.	Salinan memuat pertanyaan pengunjung nyata.
Tanpa cadangan pada lokasi kedua, tanpa enkripsi basis data saat tersimpan	Bagian 8.1. Salinan terenkripsi cadangan pada lokasi kedua direncanakan.	Satu peristiwa pada lokasi akan memengaruhi data dan cadangan sekaligus; media penyimpanan yang dicuri dapat dibaca.
Anomali yang belum diselesaikan tanpa masa penyimpanan	Anomali dengan alamat IP lengkap sebagai kunci baru dihapus 90 hari setelah penyelesaian; yang tidak pernah diselesaikan tetap ada.	Berkaitan dengan prinsip pembatasan penyimpanan (Pasal 5(1)(e)); penghapusan bergantung pada penyelesaian manual. Masa penyimpanan tetap direncanakan (langkah Penilaian Dampak Perlindungan Data).
Jenis kesalahan dengan contoh pesan tanpa masa penyimpanan	Contoh pesan disimpan tanpa perubahan hingga 2.000 karakter; pola yang dibersihkan menghapus alamat dan angka, sedangkan contoh tidak.	Pesan kesalahan dapat memuat alamat e-mail, nama host, atau alamat IP.
Inventaris skrip tanpa masa penyimpanan sendiri	Inventaris skrip dan perubahan skrip dihapus bersama domain (FE_DOMAIN_TABELLEN), termasuk saat ruang kerja atau akun dihapus dan dalam proses malam untuk data yatim; keduanya tidak memiliki masa penyimpanan sendiri. Keduanya memuat alamat skrip, alamat halaman, dan, untuk persetujuan, orang yang menyetujui serta alasan teks bebas.	Berkaitan dengan prinsip pembatasan penyimpanan (Pasal 5(1)(e)); log perubahan dengan persetujuan terus bertambah selama domain ada.
Pelanggan laporan portal yang dicabut	Portal yang dicabut diblokir, bukan dihapus; pelanggan laporannya tetap ada hingga ruang kerja dihapus.	Tujuan (pengiriman laporan) berakhir dengan pencabutan.
Daftar studi tanpa masa penyimpanan	Setelah publikasi, host dan segmen tetap ada; studi yang tidak pernah dipublikasikan juga menyimpan data mentahnya.	Janji “data mentah dihapus” hanya berlaku untuk studi yang dipublikasikan.
Pemeriksaan internal tanpa jalur penghapusan	Pemeriksaan dengan tingkat kepercayaan “internal” yang tidak memiliki domain maupun laporan (studi dan pemeriksaan yang dibuat pengelola dari baris perintah) tidak dicakup jalur penghapusan mana pun; formulir, temuan, dan tangkapan layar situs web pihak ketiga tetap ada bersamanya.	Berkaitan dengan prinsip pembatasan penyimpanan (Pasal 5(1)(e)); memengaruhi orang yang tidak mengetahui pemeriksaan. Dinilai sebagai risiko tinggi dalam Penilaian Dampak Perlindungan Data.
Bukti kendali tidak diperbarui	Bukti kendali diperiksa sekali; tidak ada jalur dalam kode yang membuat domain kehilangan bukti tersebut kembali.	Pengiriman uji aktif, pencarian berkas, dan pemindaian di balik halaman masuk berlanjut setelah perubahan pemilik atau mandat.
Pemindaian di balik halaman masuk: transportasi ke halaman Pelanggan	Sebagai alamat masuk, http diizinkan selain https, dan kesalahan sertifikat pada halaman Pelanggan tidak menghentikan proses masuk.	Kredensial akun uji dapat disadap dalam perjalanan ke halaman Pelanggan.
Penghapusan bergantung pada jendela waktu	Blok harian hanya berjalan jika proses pemeriksaan status dimulai antara 03:00 dan 03:04. Jika pelaksanaan ini gagal (basis data tidak terjangkau, server dimulai ulang), penghapusan dan pencadangan hari itu tidak dilakukan; tidak ada proses susulan. Hal yang dihapus tidak dicatat secara permanen.	Masa penyimpanan kemudian diperpanjang sehari secara diam-diam. Jendela yang terlewat tidak memicu peringatan; hanya cadangan yang berjalan lalu gagal yang dilaporkan. Daftar penyiapan dalam area administrasi menunjukkan tanggal cadangan terakhir yang berhasil.
Sebagian penghapusan bergantung pada pemantauan	Pengosongan kotak surat kontrol pengiriman, penghapusan insiden, notifikasi ringkasan terkirim, sinyal swarm dan pemeriksaan calon pelanggan, serta pembersihan salinan akun uji tersisa dalam tugas berjalan dalam bagian penjadwal proses pemeriksaan status, yang hanya bekerja selama pemantauan diaktifkan dalam area administrasi; keterkaitan kontrol pengiriman hanya dihapus selama kotak surat kontrol disiapkan.	Jika pemantauan dinonaktifkan secara terpusat atau kotak surat dihapus, masa penyimpanan ini berhenti tanpa diketahui siapa pun.
Titik pelaporan dan kotak surat tanpa masa penyimpanan	Laporan kerentanan dan e-mail masuk lain disimpan di luar aplikasi; belum ditetapkan masa penyimpanan.	Laporan dapat memuat bukti pihak ketiga.
Nilai kolom tersembunyi dibaca selama pemeriksaan	Pemindai membaca nilai kolom formulir tersembunyi hingga 24 karakter dan atribut data hingga 60 karakter untuk mengenali stempel waktu dan token. Hanya nama kolom, jenis, label, dan hasil pengenalan yang masuk ke peta kolom dan temuan, bukan nilainya.	Tanpa celah penyimpanan; nilai hanya berada dalam memori kerja kontainer pemindai selama pemeriksaan. Nilai yang telah diisi sebelumnya (seperti nomor pelanggan) dibaca dalam proses, tetapi tidak disimpan.
Domain pengirim yang diturunkan dalam hasil autentikasi	A.1.	Untuk domain pribadi pengunjung, data pribadi yang berasal dari pesan nyata.
Penguatan administrasi server belum lengkap; koneksi internal tidak seluruhnya dienkripsi	Bagian 8.1. Penguatan terus berlangsung; kami tidak menyebut detail secara publik.	Insiden keamanan pada tingkat server akan memengaruhi aplikasi, basis data, dan cadangan sekaligus.
Pengukuran pada sistem pengembangan	Skema, kode, dan pengaturan diukur pada sistem pengembangan.	Kode dan skema sesuai dengan sistem produksi; pengaturan dapat berbeda dan harus diperiksa ulang di sana sebelum peluncuran.

11. Pemeliharaan catatan ini

Pasal 30 mewajibkan catatan dipelihara secara tertulis dan disediakan kepada otoritas pengawas atas permintaan. Hal ini membutuhkan penanggung jawab dan interval pemeriksaan terhadap sistem, bukan terhadap versi sebelumnya.

• Tanggung jawab: Lukas Wójcik, pemilik. Catatan ditinjau setiap tahun dan setiap kali aktivitas pemrosesan berubah.
• Peristiwa yang memerlukan pembaruan: subprosesor baru atau berubah, khususnya pemilihan penyedia layanan e-mail; tabel baru atau kolom baru dengan data pribadi; perubahan masa penyimpanan atau rantai penghapusan dalam cfg/fristen_lib.php atau srv/cron_status.php; kanal peringatan baru atau permintaan baru kepada pihak ketiga; pengaktifan fungsi yang nonaktif secara bawaan (perlindungan swarm dengan jaringan IP, probe, domain sendiri, program mitra, pembayaran melalui faktur, Spamhaus atau Google Web Risk); perpindahan ke server lain.
• Prosedur: setiap pernyataan di sini berasal dari kode, skema, atau pengukuran. Peninjauan yang hanya membaca teks belum meninjau apa pun: skema dan rantai penghapusan diukur ulang, placeholder tetap placeholder, hal yang masih terbuka ditutup atau diteruskan dengan alasan.
• Hubungan dengan dokumen lain: catatan ini tidak menggantikan Kebijakan Privasi, Perjanjian Pemrosesan Data, Langkah Teknis dan Organisasional, atau daftar Subprosesor. Jika dokumen tersebut dan catatan ini berbeda, perbedaannya merupakan temuan.
• Perubahan dokumen ini dicantumkan pada halaman Perubahan Dokumen Kontrak.