Penilaian Dampak Perlindungan Data (Pasal 35 GDPR)

Dokumen ini diterbitkan dalam beberapa bahasa. Jika terdapat perbedaan antara versi bahasa, versi bahasa Polandia yang mengikat.

Versi 1.1 · Terakhir diperbarui: 23 Oktober 2026

1. Pokok bahasan dan sifat halaman ini

Halaman ini adalah penilaian dampak perlindungan data (DPIA) formexposed berdasarkan Pasal 35 GDPR. Pertama, halaman menjawab pertanyaan pendahuluan apakah DPIA diperlukan sama sekali – untuk setiap operasi pemrosesan secara terpisah, bukan untuk layanan secara keseluruhan. Jika jawabannya ya, halaman melakukan penilaian berdasarkan Pasal 35(7)(a) hingga (d): uraian sistematis, kebutuhan dan proporsionalitas, risiko terhadap subjek data, serta langkah untuk menanganinya. Berikutnya dibahas risiko tersisa, pertanyaan konsultasi terlebih dahulu berdasarkan Pasal 36, dan aturan peninjauan.

Pasal 35 tidak mewajibkan publikasi DPIA. Kami memublikasikannya karena dua alasan. Pertama, Pelanggan yang menggunakan kontrol pengiriman atau pemindaian di balik halaman masuk memerlukan fakta yang hanya kami ketahui untuk penilaiannya sendiri; sebagai prosesor, kami memang berkewajiban memberikan fakta tersebut (Pasal 28(3)(f) GDPR). Kedua, crawler kami memeriksa situs web yang pengelolanya tidak mengenal kami. Mereka seharusnya dapat membaca risiko yang kami lihat bagi mereka dan orang pada halamannya, serta tindakan kami terhadap risiko tersebut.

Sifat hukum. DPIA ini merupakan dokumentasi pengendali berdasarkan Pasal 35 GDPR, yang kami publikasikan secara sukarela. DPIA ini bukan bagian dari kontrak mana pun dan bukan merupakan pernyataan, jaminan, atau kesepakatan kualitas terhadap Pelanggan atau pihak ketiga. Layanan dan perlindungan yang menjadi kewajiban kami kepada Pelanggan diatur oleh Ketentuan Layanan, Perjanjian Pemrosesan Data, dan lampirannya; terkait kewajiban tersebut, dokumen itu didahulukan daripada halaman ini. Halaman menggambarkan keadaan pada tanggal versi ini. Peringkat dan penilaian risiko merupakan pandangan kami sendiri dan tidak mendahului evaluasi hukum oleh otoritas pengawas atau pengadilan; langkah yang disebut “direncanakan” merupakan niat tanpa tanggal yang dijanjikan. Bagi Pelanggan, halaman merupakan dasar penilaian sendiri, bukan nasihat hukum.

Ini adalah versi pertama penilaian ambang. Penilaian ini memeriksa, operasi pemrosesan demi operasi pemrosesan, apakah DPIA diperlukan, dan mencatat hasilnya dalam bagian 3.5.

Setiap pernyataan fakta mengikuti prinsip yang sama dengan dokumen hukum kami lainnya: terukur, bukan sekadar diniatkan. Hal yang dibuktikan dalam kode atau basis data dinyatakan di sini dengan rujukan sumbernya. Hal yang tidak dapat dibuktikan ditandai “belum diverifikasi”. Hal yang hanya direncanakan disebut “direncanakan”. Kami menyebut hal yang masih terbuka secara terbuka bersama langkah yang direncanakan; DPIA yang hanya mencantumkan kelebihan tidak membantu orang yang bersangkutan.

Istilah: pengelola adalah siapa pun yang menjalankan situs web yang diperiksa. Pelanggan memiliki akun di formexposed. Pengunjung adalah siapa pun yang menggunakan situs web Pelanggan, misalnya formulir kontaknya. Rujukan sumber berarti berkas, fungsi, atau pengaturan dalam kode sumber, diukur terhadap keadaan sistem pengembangan pada 11 Oktober 2026.

Kami sengaja menetapkan satu batas keterbukaan: hal yang masih terbuka dalam pengamanan server kami sendiri hanya dijelaskan secara umum (R13). Kami menyebut risiko dan tingkatnya, tetapi bukan jalan menuju kerentanan tertentu; kami memberikan detail kepada otoritas pengawas atas permintaan.

2. Peran: siapa menanggung kewajiban, dan untuk apa

Pasal 35 membebankan kewajiban kepada pengendali. formexposed merupakan pengendali untuk sebagian operasi pemrosesan, prosesor bagi Pelanggannya untuk sebagian lainnya, dan bukan keduanya untuk data yang disimpan plugin WordPress dan ekstensi TYPO3 kami pada situs web Pelanggan. Jawaban hampir setiap pertanyaan dalam dokumen ini bergantung pada peran yang ditanyakan. Pembagiannya mengikuti Kebijakan Privasi dan Perjanjian Pemrosesan Data.

Operasi pemrosesan	Peran formexposed	Yang menanggung kewajiban berdasarkan Pasal 35
Pemeriksaan situs web pihak ketiga tanpa instruksi pengelolanya: pemeriksaan gratis, pemeriksaan calon pelanggan untuk agensi, studi	Pengendali	formexposed
Pemeriksaan domain dalam akun Pelanggan: pemantauan, pengiriman uji aktif, alur browser, berkas tanpa perlindungan, denyut formulir	Pengendali untuk data akun dan pemeriksaan Pelanggan; prosesor untuk data pribadi pihak ketiga yang terlihat pada situs web terverifikasi Pelanggan; selama domain belum terverifikasi, pengendali seperti pada pemeriksaan gratis	formexposed untuk bagiannya sendiri; Pelanggan untuk data pihak ketiga pada situs webnya
Pemindaian di balik halaman masuk dengan akun uji	Prosesor: kredensial dan isi di balik halaman masuk merupakan bagian situs web Pelanggan	Pelanggan; formexposed membantu
Kontrol pengiriman dengan salinan kontrol	Prosesor	Pelanggan; formexposed membantu
Perlindungan swarm: daftar bersama domain tautan dari spam yang diblokir	Pengendali: kami menggabungkan laporan banyak situs web, menyusun daftar, dan mendistribusikannya	formexposed
Akun pelanggan, masuk, log, dukungan, pengiriman e-mail, pembayaran, catatan bukti	Pengendali	formexposed
Portal klien dan laporan bulanan kepada pelanggan laporan agensi	Prosesor	Agensi
Data yang disimpan plugin dan ekstensi pada situs web Pelanggan (karantina, jaring pengaman, pertanyaan tersimpan)	Bukan keduanya: data tidak pernah meninggalkan situs web	Pengelola situs web

Daraus timbul pembedaan yang kami nyatakan secara tegas karena sering disalahpahami dalam kedua arah. Jika formexposed merupakan pengendali, kami melakukan penilaian sendiri dan menanggung hasilnya. Jika kami merupakan prosesor, kami tidak dapat melakukan penilaian Pelanggan sebagai penggantinya, memutuskan apakah diperlukan baginya, atau berkonsultasi dengan otoritas pengawas berdasarkan Pasal 36 atas namanya. Yang dapat dan wajib kami lakukan adalah memberikan semua yang diperlukannya: uraian berdasarkan huruf (a), fakta terukur tentang risiko berdasarkan huruf (c), dan daftar status langkah yang jujur berdasarkan huruf (d). Untuk kontrol pengiriman dan pemindaian di balik halaman masuk, itulah fungsi halaman ini.

Pelanggan yang mengambil bagian kontrol pengiriman tanpa perubahan sebagai DPIA-nya sendiri belum melakukan DPIA. Apakah salinan kontrol dibenarkan untuk formulir miliknya, apakah kategori khusus data pribadi diperkirakan ada di sana, dan bagaimana memberi tahu pengunjungnya merupakan hal yang hanya dapat diputuskannya sendiri. Bagian 11 merangkum hal yang perlu diklarifikasi untuk tujuan tersebut.

3. Penilaian ambang: apakah DPIA diperlukan?

3.1 Pasal 35(1) dan Pasal 35(3)

Pasal 35(1) mewajibkan DPIA jika suatu jenis pemrosesan, khususnya menggunakan teknologi baru, dengan mempertimbangkan sifat, lingkup, konteks, dan tujuan pemrosesan, kemungkinan menghasilkan risiko tinggi terhadap hak dan kebebasan orang perseorangan. Pasal 35(3) menyebut tiga kasus yang khususnya demikian. Tidak satu pun dari ketiganya sesuai dengan formexposed, dan hal ini harus diberi alasan, bukan sekadar dinyatakan:

• Huruf (a) – evaluasi sistematis dan menyeluruh atas aspek pribadi terkait orang perseorangan yang didasarkan pada pemrosesan otomatis dan menjadi dasar keputusan yang menghasilkan akibat hukum atau secara serupa memengaruhi mereka secara signifikan. Kami mengevaluasi formulir dan situs web, bukan aspek pribadi orang. Layanan tidak membuat keputusan dengan akibat hukum terhadap siapa pun. Hal yang paling mendekatinya adalah perlindungan swarm: pesan yang memuat tautan ke domain terdaftar masuk ke karantina pada situs web terhubung. Ini adalah akibat otomatis bagi pesan, bukan evaluasi menyeluruh terhadap seseorang; kami membahasnya berdasarkan kriteria “Evaluasi atau pemberian skor” dalam bagian 3.3.
• Huruf (b) – pemrosesan skala besar atas kategori khusus berdasarkan Pasal 9 atau data terkait tindak pidana berdasarkan Pasal 10. Tidak diniatkan dan tidak dibuat. Namun data tersebut dapat sampai kepada kami melalui satu jalur: dalam salinan kontrol pesan pengunjung nyata pada kontrol pengiriman. Hal itu bergantung pada kasus individual dan bukan skala besar sebagaimana dimaksud ketentuan ini; namun diperhitungkan dalam penilaian risiko (R1).
• Huruf (c) – pemantauan sistematis suatu area yang dapat diakses publik dalam skala besar. Ini berarti pengamatan fisik tempat, bukan pengambilan halaman web publik. Menggunakan ketentuan ini sebagai dasar bagi crawler situs web tidak tepat.

Karena itu, jalur yang tepat adalah Pasal 35(1) sendiri, diterapkan melalui sembilan kriteria Pedoman Penilaian Dampak Perlindungan Data Kelompok Kerja Pasal 29 (WP248 rev.01, disahkan oleh Dewan Perlindungan Data Eropa), dan daftar otoritas pengawas Polandia berdasarkan Pasal 35(4) (bagian 3.4).

3.2 Sembilan kriteria pedoman WP248

Pedoman menyebut sembilan karakteristik yang menunjukkan kemungkinan risiko tinggi. Sebagai patokan umum, operasi pemrosesan yang memenuhi dua di antaranya pada kebanyakan kasus akan memerlukan DPIA. Pengendali dapat mencapai kesimpulan berbeda dalam kasus individual, tetapi kemudian harus memberikan alasan dan mendokumentasikannya. Sebaliknya, satu kriteria dapat cukup. Pada halaman ini kami menggunakan label singkat berikut:

1. C1 – Evaluasi atau pemberian skor, termasuk pemrofilan dan prediksi, misalnya kinerja kerja, keadaan ekonomi, keandalan, atau perilaku.
2. C2 – Pengambilan keputusan otomatis dengan akibat hukum atau dampak signifikan serupa.
3. C3 – Pemantauan sistematis, yaitu pemrosesan untuk mengamati, memantau, atau mengendalikan subjek data, termasuk melalui jaringan. Pedoman secara tegas membenarkan kriteria ini karena subjek data sering tidak mengetahui siapa yang mengumpulkan datanya dan untuk tujuan apa.
4. C4 – Data sensitif atau data yang sangat pribadi: kategori khusus berdasarkan Pasal 9 dan 10, tetapi juga data yang pengungkapannya memengaruhi kehidupan sehari-hari secara signifikan, termasuk komunikasi elektronik yang kerahasiaannya harus dilindungi.
5. C5 – Data yang diproses dalam skala besar, diukur menurut jumlah subjek data, volume dan ragam data, durasi, serta cakupan geografis.
6. C6 – Pencocokan atau penggabungan kumpulan data yang berasal dari operasi pemrosesan atau pengendali berbeda, dengan cara yang tidak diperkirakan subjek data.
7. C7 – Data mengenai subjek data rentan, misalnya karyawan, anak-anak, pasien, atau orang lain dalam ketimpangan kekuasaan.
8. C8 – Penggunaan inovatif atau penerapan solusi teknologi atau organisasi baru; dalam praktik pengawasan, penggunaan kecerdasan buatan secara teratur dianggap termasuk kriteria ini.
9. C9 – Pemrosesan yang menghalangi subjek data menggunakan hak atau menggunakan layanan atau kontrak.

Kami menilai setiap kriteria sebagai “terpenuhi”, “kasus perbatasan”, atau “tidak terpenuhi” dan memberikan alasan dari kode. Kasus perbatasan tidak dihitung sebagai terpenuhi dalam jumlah total, tetapi disebut dalam hasil; jika beberapa kasus perbatasan mengarah ke arah yang sama, kami memasukkan operasi pemrosesan dalam penilaian.

3.3 Penilaian menurut operasi pemrosesan

P1 – Pemeriksaan gratis tanpa akun (memeriksa situs web pihak ketiga mana pun atas permintaan)

Siapa pun dapat memasukkan domain pada halaman beranda. Crawler kemudian mengambil paling banyak delapan halaman publik situs web tersebut, membaca formulir, mengambil tangkapan layar, dan menghasilkan laporan yang dapat dilihat siapa pun yang mengetahui tautan acaknya. Pengelola situs web tidak mengetahuinya kecuali melihat pengenal crawler dalam lognya.

• C1 – kasus perbatasan. Laporan menilai perlindungan formulir dengan tingkat (“Tanpa perlindungan”, “Terlindungi sebagian”, “Terlindungi”) dan skor. Untuk perseroan terbatas, hal ini tidak berkaitan dengan orang perseorangan. Untuk pelaku usaha perseorangan dan pekerja lepas, domain dapat dikaitkan dengan individu, dan tingkat tersebut kemudian menyatakan sesuatu tentang kehati-hatian dalam kegiatan profesionalnya. Namun yang dievaluasi adalah penyiapan teknis, bukan perilaku atau karakteristik seseorang. Kami memperlakukannya sebagai kasus perbatasan.
• C2 – tidak terpenuhi. Tidak ada keputusan terkait pengelola. Terkait peminta pemeriksaan, berlaku batas per alamat IP dan sesi (cfg/check_lib.php); pemeriksaan yang ditolak tidak memiliki dampak signifikan.
• C3 – tidak terpenuhi. Ini merupakan pengambilan sekali atas permintaan, paling banyak sekali per domain dan minggu (cfg/check_lib.php, pengaturan fc_domain_days = 7). Tidak ada orang yang diamati. Namun keadaan yang disebut pedoman untuk membenarkan C3 – subjek data tidak mengetahui pemrosesan – memang ada. Hal ini diperhitungkan dalam penilaian risiko (R5).
• C4 – tidak terpenuhi. Yang disimpan adalah struktur formulir dan temuan, bukan nilai yang dimasukkan (scanner/src/crawl.js hanya menyimpan panjang nilai untuk kolom terlihat). Pemindai membaca bagian awal kolom tersembunyi yang telah diisi (hingga 24 karakter) dan atribut data (hingga 60 karakter) hanya selama pemeriksaan untuk mendeteksi token dan stempel waktu; nilai tersebut tidak disimpan. Tangkapan layar dapat secara insidental menampilkan orang dan nama; situs web praktik medis menampilkan spesialisasinya dalam gambar. Ini adalah detail profesional publik, bukan data kesehatan orang tertentu.
• C5 – kasus perbatasan. Batas harian adalah 200 pemeriksaan yang diterima (fc_daily_cap), yaitu secara aritmetis hingga sekitar 73.000 situs web per tahun. Hanya sedikit data pribadi yang timbul per situs web, dan durasinya singkat (30 hari). Diukur pada sistem pengembangan, terdapat 2 pemeriksaan anonim dalam kumpulan data. Tidak terpenuhi saat ini; kasus perbatasan berdasarkan kapasitas rancangan.
• C6 – tidak terpenuhi. Selain mengambil halaman, layanan menanyakan usia domain melalui layanan RDAP rdap.org (hanya nama domain dikirim; hanya tanggal pendaftaran disimpan, dicache) dan melakukan resolusi DNS. Ini adalah detail teknis tentang domain, bukan penggabungan kumpulan data tentang orang.
• C7 – tidak terpenuhi.
• C8 – terpenuhi, dalam bentuk lemah. Browser otomatis memeriksa halaman, dan model bahasa pada server kami sendiri mengklasifikasikan formulir yang tidak dikenali aturan (scanner/src/classify.js). Model melihat judul halaman, alamat, label kolom, dan hingga 400 karakter teks formulir. Model tidak pernah dapat menjadikan formulir “boleh dikirimkan”.
• C9 – tidak terpenuhi.

Hasil sementara P1: satu kriteria dalam bentuk lemah (C8), dua kasus perbatasan (C1, C5). Tidak ada kewajiban berdasarkan patokan umum. Karena kedua kasus perbatasan mengarah ke arah yang sama dan subjek data tidak mengetahui pemrosesan, kami memasukkan P1 dalam penilaian.

P2 – Pemeriksaan calon pelanggan untuk agensi

Agensi pada paket Business dengan merek sendiri yang telah disiapkan dapat meminta pemeriksaan pasif situs web calon pelanggan. Agensi menerima temuan singkat dengan mereknya dan laporan terperinci, lalu meneruskan tautannya sendiri (cfg/akquise_lib.php). Kami tidak menghubungi siapa pun.

• C1 – kasus perbatasan, lebih kuat daripada P1. Temuan singkat secara tegas ditujukan sebagai “pembuka untuk percakapan pertama”. Evaluasi situs web dengan demikian menjadi dasar pendekatan komersial kepada seseorang.
• C5 – tidak terpenuhi. Paling banyak 30 pemeriksaan per agensi dan bulan (prospect_monthly), dihapus setelah 90 hari.
• C8 – terpenuhi, dalam bentuk lemah (teknologi yang sama seperti P1).
• Kriteria lain – tidak terpenuhi. Temuan ditampilkan dengan merek agensi, tetapi tidak dikaitkan dengan data lain tentang pengelola.

Hasil sementara P2: tidak ada kewajiban berdasarkan patokan umum; dimasukkan karena alasan yang sama dengan P1 dan karena tujuannya – akuisisi klien – membawa risiko tersendiri (R6).

P3 – Studi “Indeks Keamanan Formulir”

Untuk studi, daftar situs web diperiksa secara pasif, dibatasi hingga paling banyak lima tugas terbuka per pelaksanaan proses status, yang berjalan setiap lima menit (cfg/studie_lib.php). Hanya jumlah agregat yang dipublikasikan, dan segmen hanya mulai dari 20 situs web dengan formulir (study_min_segment, cfg/studie_lib.php). Data mentah dihapus saat publikasi (cfg/studie_lib.php).

• C5 – kasus perbatasan, terpenuhi untuk daftar besar. Ukuran daftar tidak dibatasi dalam kode; pembatasan laju secara aritmetis memungkinkan lebih dari seribu pemeriksaan sehari. Studi pasar nasional mencakup ribuan situs web, banyak di antaranya dijalankan pelaku usaha perseorangan. Mulai ukuran tersebut, kami menganggap kriteria terpenuhi.
• C8 – terpenuhi, dalam bentuk lemah.
• C1 – tidak terpenuhi. Meskipun situs web individual dinilai, hanya jumlah agregat dipublikasikan; penilaian tidak bertujuan membuat pernyataan tentang pengelola individual.
• Kriteria lain – tidak terpenuhi.

Hasil sementara P3: untuk studi dengan ukuran rancangan, dua kriteria (C5, C8). Karena itu, studi mencapai ambang; formexposed melakukan penilaian sebagai pengendali. Diukur pada sistem pengembangan, belum ada studi yang dibuat.

P4 – Pemeriksaan domain dalam akun Pelanggan

Pelanggan meminta pemeriksaan berkala domain dalam akunnya. Setelah membuktikan hak untuk mengendalikan domain, ditambahkan pengiriman uji aktif (paling banyak lima per pemeriksaan), pencarian berkas tanpa perlindungan, dan alur browser yang dikonfigurasi.

• C3 – tidak terpenuhi. Pemeriksaan dijadwalkan dan berulang, tetapi menyangkut situs web Pelanggan sendiri dan dilaksanakan atas permintaannya, bukan untuk mengamati orang.
• C4 – kasus perbatasan, tidak. Pencarian berkas tanpa perlindungan membaca paling banyak 8 KB pertama dari jalur seperti /backup.sql atau log debug untuk menentukan dari isinya apakah berkas benar-benar tanpa perlindungan (cfg/dateien_lib.php). Cuplikan tersebut dapat memuat entri formulir pengunjung. Cuplikan hanya diperiksa dalam memori dan tidak pernah disimpan; yang disimpan adalah jalur, jenis, dan tingkat keparahan.
• C8 – terpenuhi, dalam bentuk lemah.
• Kriteria lain – tidak terpenuhi.

Tahap rencana tindakan tambahan. Laporan berbayar yang memenuhi syarat dapat memuat teks saran yang dihasilkan secara lokal berdasarkan temuan yang dipilih dan metadata pemindaian. Teks disimpan bersama pemeriksaan dan ditampilkan dengan pemberitahuan AI; temuan individual tetap menjadi acuan utama. Teks tidak otomatis mengubah situs web atau membuat keputusan yang berakibat hukum atau secara serupa berpengaruh signifikan terhadap orang. Penggunaan model bahasa saja tidak menentukan apakah DPIA terpisah diperlukan. Masukan, penerima, skala, dan risiko residualnya harus dinilai bersama pemeriksaan dasar, termasuk kemungkinan pengulangan data pribadi dari URL atau catatan dan rekomendasi keliru dalam laporan yang dapat dibagikan melalui tautan. Bagian 7 hingga 9 di bawah mencakup tahap ini; adendum faktual ini tidak menyatakan adanya pengukuran produksi yang telah selesai, persetujuan pemilik, atau penilaian risiko residual baru.

Hasil sementara P4: Pemeriksaan teknis dasar tidak mencapai ambang berdasarkan fakta yang dijelaskan di atas. Tahap saran lokal tambahan tidak dengan sendirinya menimbulkan kewajiban terpisah, tetapi hasil ambang terdahulu bukan pengganti pertimbangan atas data masukan, skala, penerima, dan dampaknya yang sebenarnya. Dimasukkan karena pengiriman uji aktif dan pemeriksaan berkas bergantung pada bukti yang tidak pernah diperbarui (R7).

P5 – Pemindaian di balik halaman masuk

Untuk domain terverifikasi, Pelanggan dapat menyimpan akun uji situs webnya. Pemindai masuk dengan akun tersebut dan membaca formulir pada hingga lima halaman area anggota yang ditentukan (cfg/login_lib.php, scanner/src/login.js).

• C4 – kasus perbatasan. Kredensial bukan data yang sangat pribadi sebagaimana dimaksud pedoman, tetapi penyalahgunaannya membuka area anggota. Bergantung pada situs web, isi rahasia dapat berada di balik halaman masuk, misalnya dalam portal anggota atau pasien. Hal itu bergantung pada Pelanggan, bukan kami.
• C8 – tidak terpenuhi. Akses masuk otomatis lazim dalam layanan pemantauan.
• Kriteria lain – tidak terpenuhi.

Hasil sementara P5: tidak ada kewajiban berdasarkan patokan umum. Bagi Pelanggan yang area anggotanya menampilkan isi rahasia, hal ini dapat berubah; keputusan kemudian ada pada mereka. Dimasukkan karena risiko keamanan (R8).

P6 – Kontrol pengiriman dengan salinan kontrol

Pelanggan memasukkan alamat kontrol formexposed sebagai salinan tersembunyi dalam pengaturan e-mail formulirnya. Akibatnya, setiap e-mail formulir juga masuk ke kotak surat kontrol kami – pesan uji kami maupun setiap pesan nyata pengunjung. Pengambilan otomatis membaca header dan 8 KB pertama, mengaitkan e-mail, mengevaluasi SPF, DKIM, dan DMARC, lalu menghapusnya (cfg/zustellung_lib.php).

• C4 – terpenuhi. Yang ditulis pengunjung dalam formulir kontak merupakan komunikasi elektronik kepada usaha dengan isi bebas. Pada situs web praktik medis, firma hukum, layanan konseling, atau sekolah, data berdasarkan Pasal 9 atau tentang anak-anak dapat diperkirakan. Pedoman secara tegas menyebut komunikasi elektronik rahasia dalam kriteria ini.
• C3 – kasus perbatasan, cenderung terpenuhi. Setiap pesan disalin secara terencana dan terus-menerus serta dievaluasi otomatis, tanpa diketahui pengirim. Tujuannya memeriksa jalur e-mail, bukan mengamati orang. Namun keadaan yang menjadi alasan pedoman untuk kriteria ini – subjek data tidak mengetahui siapa yang menerima datanya – sepenuhnya ada selama Pelanggan tidak memberi tahu pengunjungnya.
• C7 – bergantung pada Pelanggan. Pasien, klien firma hukum, pelamar kerja, orang tua, dan murid sering berada dalam hubungan ketergantungan terhadap penerima pesannya.
• C5 – kasus perbatasan, tidak. Tidak berskala besar bagi Pelanggan individual. Di formexposed, salinan banyak Pelanggan berkumpul dalam satu kotak surat; hal itu meningkatkan bobot pelanggaran, bukan jumlah per pengendali.
• Kriteria lain – tidak terpenuhi. Pengaitan dengan domain dan uji bukan pencocokan kumpulan data tentang orang; teknologinya bukan baru.

Hasil sementara P6: C4 terpenuhi, C3 merupakan kasus perbatasan dan cenderung terpenuhi, C7 terpenuhi untuk banyak Pelanggan umum. Dalam keadaan umum, dua atau lebih kriteria dengan demikian terpenuhi. DPIA diperlukan – sebagai kewajiban Pelanggan, yang merupakan pengendali. Bagian 6 hingga 11 memberikan fakta untuk tujuan tersebut.

P7 – Perlindungan swarm

Situs web WordPress terhubung melaporkan sekali sehari domain tautan dari pesan yang dihentikan lapisan perlindungannya. Domain yang muncul pada setidaknya tiga situs web berbeda dengan setidaknya lima kecocokan dalam tujuh hari dimasukkan ke daftar bersama; daftar dikirim kembali ke semua situs web terhubung, yang kemudian menempatkan pesan dengan tautan ke domain tersebut dalam karantina (cfg/swarm_lib.php).

• C6 – terpenuhi. Laporan dari banyak situs web yang saling independen, yaitu dari pengendali berbeda, digabungkan dan dikembalikan kepada semuanya sebagai daftar bersama.
• C1 – terpenuhi, sejauh domain dapat dikaitkan dengan orang perseorangan. Daftar merupakan klasifikasi sebagai sumber spam. Pedoman menyebut penyaringan terhadap basis data penipuan bersama sebagai contoh kriteria ini. Kebanyakan domain dalam daftar tersebut milik usaha atau domain sekali pakai; namun domain individu dapat masuk, baik dengan benar maupun melalui laporan palsu yang sengaja ditanam.
• C9 – kasus perbatasan. Pesan dengan tautan terdaftar tidak langsung sampai kepada penerima, melainkan berada dalam karantinanya hingga dilepaskan. Pesan tidak hilang.
• C2 – tidak terpenuhi. Karantina merupakan akibat otomatis bagi pesan, tanpa akibat hukum dan dengan pelepasan oleh manusia di pihak penerima.
• Kriteria lain – tidak terpenuhi. Jaringan IP dinonaktifkan (swarm_ip_enabled = 0, cfg/swarm_lib.php).

Hasil sementara P7: dua kriteria (C6, C1) dan satu kasus perbatasan (C9). Ambang tercapai; formexposed melakukan penilaian sebagai pengendali. Jika jaringan IP diaktifkan, C1 dan C6 akan terpenuhi tanpa batasan; pengaktifannya memerlukan versi baru penilaian ini (bagian 12). Diukur pada sistem pengembangan, tidak ada laporan maupun entri daftar.

P8 – Akun pelanggan, masuk, log, dukungan, e-mail, pembayaran

• C1 dan C9 – tidak terpenuhi. Perilaku mencolok dalam pemeriksaan gratis menghasilkan catatan dengan alamat IP (cfg/check_lib.php) dan, jika berlaku, penolakan pemeriksaan berikutnya. Ini merupakan pencegahan penyalahgunaan dengan dampak kecil, bukan evaluasi aspek pribadi.
• Kriteria lain – tidak terpenuhi. Ini merupakan data lazim layanan untuk pelaku usaha.

Hasil sementara P8: tidak diperlukan DPIA. Operasi pemrosesan dijelaskan dalam Catatan Aktivitas Pemrosesan.

P9 – Angka plugin, kesalahan kolom, perekam, lencana, portal klien, “Fix it for me”

• Plugin dan ekstensi mengirim angka harian, inventaris plugin, serta kategori kesalahan, dan plugin WordPress juga mengirim domain tautan untuk perlindungan swarm (aktif secara bawaan) (P7), tanpa isi, alamat, nama, atau IP pengunjung; perekam menyimpan selektor selama paling lama 15 menit dalam browser administrator. Tidak ada kriteria yang terpenuhi.
• Saat dimuat, lencana mentransfer data koneksi lazim ke log server web, tanpa cookie. Tidak ada kriteria yang terpenuhi.
• Portal klien memproses alamat e-mail pelanggan laporan dengan double opt-in atas nama agensi. Tidak ada kriteria yang terpenuhi.
• “Fix it for me” meminta model bahasa pada server kami sendiri menulis ulang kode formulir yang ditempelkan; kode tidak disimpan. C8 dalam bentuk lemah, tidak ada yang lain.

Hasil sementara P9: tidak diperlukan DPIA.

3.4 Daftar otoritas pengawas Polandia berdasarkan Pasal 35(4)

Otoritas yang berwenang adalah Presiden Kantor Perlindungan Data Pribadi (Prezes Urzędu Ochrony Danych Osobowych, UODO). Presiden memublikasikan daftar jenis operasi pemrosesan yang memerlukan DPIA dalam pengumuman tanggal 17 Juni 2019 (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, butir 666). Daftar mengaitkan entrinya dengan kriteria pedoman WP248, memberikan contoh, dan secara tegas tidak menyeluruh; daftar tidak menggantikan penilaian berdasarkan Pasal 35(1).

Menurut pembacaan kami, jenis pemrosesan berikut dalam daftar sesuai secara substansi dengan operasi pemrosesan formexposed:

Jenis pemrosesan menurut daftar (diparafrasakan)	Kriteria terkait	Operasi pemrosesan di formexposed	Penilaian
Perbandingan, evaluasi, atau penarikan kesimpulan berdasarkan analisis data dari sumber berbeda	C6	P7 Perlindungan swarm	berlaku
Evaluasi atau pemberian skor, termasuk pemrofilan	C1	P7 Perlindungan swarm; P1 dan P2 sebagai kasus perbatasan	berlaku untuk P7
Pemrosesan kategori khusus data pribadi	C4	P6 Kontrol pengiriman	berlaku bergantung pada Pelanggan
Penggunaan inovatif atau penerapan solusi teknologi	C8	P1 hingga P4 (model bahasa untuk klasifikasi)	berlaku dalam bentuk lemah
Pemrosesan skala besar	C5	P3 Studi	berlaku untuk daftar besar
Pemantauan sistematis tempat yang dapat diakses publik, termasuk dengan pengenalan ciri	C3	–	tidak berlaku: yang dimaksud tempat, bukan situs web

Pembagian ini merupakan pembacaan, bukan kutipan; redaksi entri harus diperiksa terhadapnya dalam peninjauan hukum. Pembagian mengonfirmasi hasil bagian 3.3 tetapi tidak mengubahnya. Sepengetahuan kami, UODO belum memublikasikan daftar berdasarkan Pasal 35(5) – operasi pemrosesan yang tidak memerlukan DPIA.

3.5 Hasil penilaian ambang

Operasi pemrosesan	Terpenuhi	Kasus perbatasan	Hasil
P1 Pemeriksaan gratis	C8 (lemah)	C1, C5	tidak wajib; dimasukkan
P2 Pemeriksaan calon pelanggan	C8 (lemah)	C1	tidak wajib; dimasukkan
P3 Studi	C8 (lemah), C5 untuk daftar besar	–	diperlukan (kewajiban formexposed)
P4 Pemeriksaan domain Pelanggan	C8 (lemah)	C4 (pemeriksaan berkas)	tidak wajib; dimasukkan
P5 Pemindaian di balik halaman masuk	–	C4	tidak wajib; dimasukkan; bagi Pelanggan bergantung pada isi
P6 Kontrol pengiriman	C4; C7 bergantung pada Pelanggan	C3 (cenderung terpenuhi), C5	diperlukan (kewajiban Pelanggan; halaman ini membantu berdasarkan Pasal 28(3)(f))
P7 Perlindungan swarm	C6, C1	C9	diperlukan (kewajiban formexposed)
P8 Akun, log, dukungan, pembayaran	–	–	tidak diperlukan
P9 Angka plugin, lencana, portal, “Fix it for me”	C8 (lemah, hanya “Fix it for me”)	–	tidak diperlukan

Hasil mengenai Pasal 35(1): DPIA diperlukan untuk operasi pemrosesan individual formexposed. DPIA diperlukan untuk perlindungan swarm dan studi dengan ukuran rancangan, dan formexposed melakukannya sebagai pengendali. Untuk kontrol pengiriman, DPIA diperlukan dalam keadaan umum, tetapi sebagai kewajiban Pelanggan; formexposed menyediakan dasarnya. Untuk pemeriksaan situs web pihak ketiga dan situs web sendiri lainnya, DPIA tidak wajib. Namun kami tetap memasukkannya karena menggunakan teknologi yang sama, karena beberapa kasus perbatasan mengarah ke arah yang sama, dan karena subjek data – pengelola tanpa akun dan orang pada halaman yang diperiksa – tidak mengetahui pemrosesan. Tidak diperlukan penilaian untuk akun, log, dukungan, dan pembayaran.

Karena itu, bagian 6 hingga 10 berlaku untuk P1 hingga P7. Jika pernyataan hanya berlaku untuk salah satu operasi pemrosesan tersebut, hal itu ditandai.

4. Pejabat perlindungan data: penilaian berdasarkan Pasal 37

Belum ada pejabat perlindungan data yang ditunjuk. Pasal 37(1) mengikat pengendali dan prosesor sama-sama; karena itu, pertanyaannya merupakan pertanyaan kami sendiri. Tiga kasus menurut hukum:

Pasal 37(1)	Kondisi	Hasil
huruf (a)	Otoritas atau badan publik	Tidak berlaku; LW IT Solutions Company Lukas Wójcik adalah usaha perseorangan swasta.
huruf (b)	Kegiatan inti terdiri dari operasi pemrosesan yang memerlukan pemantauan subjek data secara teratur dan sistematis dalam skala besar	Kegiatan inti adalah pemeriksaan dan pemantauan situs web dan formulir, secara teratur dan sistematis. Namun tidak ada orang yang dipantau: crawler tidak mengamati perilaku, dan kontrol pengiriman hanya mengevaluasi e-mail untuk pengiriman dan keaslian. Tidak terpenuhi.
huruf (c)	Kegiatan inti terdiri dari pemrosesan skala besar atas data berdasarkan Pasal 9 atau 10	Tidak demikian menurut rancangan. Kategori khusus dapat sampai kepada kami melalui salinan kontrol pengiriman; hal itu insidental, bukan kegiatan inti. Tidak terpenuhi.

Karena itu, menurut penilaian kami, tidak ada kewajiban menunjuknya. Apakah hukum Polandia mewajibkan penunjukan di luar ini berdasarkan Pasal 37(4) merupakan pertanyaan terbuka untuk peninjauan hukum. Karena belum ada pejabat perlindungan data yang ditunjuk, nasihat berdasarkan Pasal 35(2) tidak berlaku. Jika peninjauan hukum menemukan kewajiban menunjuknya, nasihat pejabat perlindungan data yang kemudian ditunjuk akan diminta sebelum penilaian ini disetujui (bagian 12). Narahubung untuk pertanyaan mengenai penilaian ini adalah pemilik di contact@lukaswojcik.com.

5. Metode, sumber, dan batasan versi ini

Fakta dalam dokumen ini berasal dari kode sumber aplikasi dan pemindai, skema basis data, serta jumlah baris dan pengaturan sistem pengembangan, diukur pada 11 Oktober 2026. Basis data dan server diakses hanya baca. Jika pengukuran bertentangan dengan niat – termasuk pernyataan dalam dokumen hukum kami sendiri – kami melaporkan pengukuran. Kami tidak menerapkan kode etik yang disetujui berdasarkan Pasal 40, yang kepatuhannya harus diperhitungkan berdasarkan Pasal 35(8).

• Sistem pengembangan yang diukur. Layanan belum diluncurkan. Karena itu, angkanya kecil dan sebagian merupakan artefak pengujian: 112 pemeriksaan, 110 di antaranya tanpa domain Pelanggan; 432 tangkapan layar; 2 domain, 1 di antaranya terverifikasi; tidak ada kontrol pengiriman aktif; tidak ada akun uji tersimpan untuk pemindaian di balik halaman masuk; tidak ada studi; tidak ada laporan dalam perlindungan swarm. Pengukuran harus diulang sebelum peluncuran dan secara berkala setelahnya.
• Belum diukur dalam versi ini dan harus ditambahkan sebelum persetujuan adalah: konfigurasi sistem produksi, termasuk apakah dan bagaimana kotak surat kontrol disiapkan serta apakah pasangan kunci pemindaian di balik halaman masuk disiapkan di sana; apakah perangkat lunak model bahasa mencatat permintaan dalam log; keadaan administrasi server (R13); kontrak dengan penyedia layanan e-mail.
• Tidak dapat diukur berapa banyak pesan pengunjung nyata yang akan melalui salinan kontrol dan dari sektor mana Pelanggan berasal. Keduanya menentukan bobot R1 dan R2 dan harus ditetapkan setelah peluncuran.
• Rujukan sumber menunjuk pada berkas dan fungsi dalam kode sumber sistem pengembangan. Yang menentukan adalah fungsi yang dijelaskan, bukan lokasinya dalam berkas.

Dokumen ini merupakan draf. Dokumen belum disetujui pengendali (bagian 12), dan dua kesimpulannya – penilaian skala untuk P1 dan P3 serta bobot kontrol pengiriman – bergantung pada angka yang baru tersedia setelah peluncuran.

6. (a) Uraian sistematis operasi pemrosesan dan tujuan

6.1 Struktur sistem pemeriksaan

formexposed berjalan pada server sendiri di Polandia, tanpa penyedia hosting eksternal: server web dengan aplikasi dan basis data, serta server pemindai dengan layanan pemeriksaan dan model bahasa lokal, keduanya dalam jaringan internal yang sama. Pemeriksaan berlangsung sebagai berikut:

1. Aplikasi membuat tugas dalam basis data – tunduk pada batas dan pemblokiran dalam bagian 6.3.
2. Layanan pemeriksaan pada server pemindai mengambil tugas, memeriksa daftar blokir, nama host, dan, untuk pemeriksaan anonim, usia domain untuk kedua kalinya, lalu memulai kontainer terisolasi khusus untuk tugas ini: jaringan sendiri dengan aturan filter sendiri, tanpa hak istimewa khusus, sistem berkas hanya baca, batas memori dan proses, serta batas waktu (scanner/src/worker.js).
3. Di dalam kontainer, browser otomatis mengambil paling banyak delapan halaman publik, pertama halaman beranda, kemudian diutamakan halaman kontak, informasi penyedia, dan dukungan. Sebelumnya browser membaca robots.txt; pengecualian bagi FormExposedBot atau semua crawler yang mencakup halaman beranda mengakhiri pemeriksaan, demikian pula robots.txt yang tidak terjangkau atau kesalahan server saat pengambilan (scanner/src/net.js). Larangan untuk subjalur individual tidak diperhatikan secara terpisah. Denyut formulir, pengambilan bukti, alat header, dan pencarian berkas tanpa perlindungan tidak membaca robots.txt. Selain delapan halaman, ada hingga tiga halaman dengan klik “Tolak” pada banner cookie, hingga tiga halaman dalam tampilan telepon, probe aktif untuk domain terverifikasi, dan hingga lima halaman di balik halaman masuk; halaman dimuat satu demi satu, bukan secara paralel. Setiap permintaan browser – termasuk pengalihan dan konten tertanam – melewati filter yang menolak jaringan privat dan port lain.
4. Kontainer menulis hasil dan tangkapan layar ke direktori sementara. Layanan pemeriksaan meneruskan hasil dan gambar ke aplikasi melalui jaringan internal dan menghapus direktori sementara, bahkan setelah kesalahan (scanner/src/worker.js).
5. Aplikasi memproses hasil, membandingkannya dengan pemeriksaan sebelumnya untuk domain Pelanggan, dan melaporkan perubahan ke tujuan yang disiapkan Pelanggan.

6.2 Yang disimpan crawler – dan yang tidak

Unsur	Yang disimpan	Yang tidak disimpan	Rujukan sumber
Halaman	Alamat, status HTTP, header, Content Security Policy, host pihak ketiga yang diminta (paling banyak 120)	Isi halaman sebagai teks atau HTML	scanner/src/crawl.js
Kolom formulir	Jenis, nama, label, placeholder, kolom wajib, visibilitas, panjang nilai yang ada	Nilai kolom; untuk kolom tersembunyi, 24 karakter pertama nilai hanya dibaca selama pemeriksaan (untuk mendeteksi token)	scanner/src/crawl.js
Alamat penerima dalam formulir	hanya domain	alamat	scanner/src/crawl.js
Skrip	Inventaris dengan checksum; alamat dan teks awal tanpa pengenal akun layanan iklan dan analitik	Pengenal akun dan piksel	scanner/src/crawl.js
Penyadap	piksel iklan dan alat perekaman yang dimuat sebelum dan setelah “Tolak” diklik pada banner cookie, serta apakah alat tersebut menyamarkan masukan	Pengenal akun pada layanan tersebut	scanner/src/mitleser.js, scanner/src/einwilligung.js
Teks formulir	hingga 400 karakter dikirim ke model bahasa lokal jika aturan tidak mengenali jenisnya	Pengungkapan kepada pihak ketiga; penyimpanan teks	scanner/src/classify.js
Tangkapan layar (crawler)	area terlihat halaman pertama; untuk setiap formulir terlihat, gambar elemen formulir	–	scanner/src/crawl.js
Tangkapan layar (pemeriksaan aktif)	Gambar halaman respons pengiriman uji; ditambah status, alamat tujuan, judul, dan 300 karakter pertama teksnya	–	scanner/src/active.js
Tangkapan layar (alur browser)	Gambar formulir dengan kolom masukan dihitamkan, dikompresi, paling banyak 32 KB	Masukan	scanner/src/browser.js
Di balik halaman masuk	seperti kolom formulir di atas	Tangkapan layar, cookie, tautan	scanner/src/login.js

Data pribadi tidak terdapat dalam unsur tersebut menurut rancangan, tetapi dapat muncul secara insidental: nama narahubung di sebelah formulir, foto tim pada halaman beranda, nomor telepon dalam label, domain e-mail individu, nama dalam placeholder. Di balik halaman masuk, ditambahkan detail akun uji dan, bergantung pada situs web, pengguna lain.

6.3 Siapa memicu pemeriksaan, dan yang kemudian berlaku

Pemicu	Tingkat kepercayaan dalam tugas	Pengiriman uji	Hasil dapat diakses melalui	Penghapusan
Seseorang memasukkan domain pada halaman beranda (pemeriksaan gratis)	anonymous	tidak	Laporan pada tautan acak	30 hari, termasuk gambar (cfg/check_lib.php)
Plugin atau ekstensi tanpa akun	plugin	tidak	Laporan pada tautan acak	30 hari
Agensi untuk calon pelanggan	registered	tidak	Temuan singkat dan laporan pada tautan acak	90 hari (cfg/akquise_lib.php)
Pelanggan, domain tanpa bukti	registered	tidak	Akun; laporan pada tautan acak	13 bulan, pemeriksaan terakhir disimpan
Pelanggan, domain dengan bukti	verified	ya, paling banyak lima per pemeriksaan	Akun; laporan pada tautan acak	13 bulan, pemeriksaan terakhir disimpan (cfg/fristen_lib.php)
Studi	internal	tidak	hanya jumlah agregat setelah publikasi	saat publikasi; tanpa publikasi tidak ada batas waktu (R4)
Pemeriksaan internal dari baris perintah oleh penyedia	internal; untuk domain uji dan demo kami sendiri juga “verified”	tidak; dengan tingkat “verified” ya (hanya domain uji dan demo kami sendiri)	hanya internal	tanpa batas waktu (R4)

Beberapa lapisan berada sebelum pemeriksaan gratis (cfg/check_lib.php): penghentian darurat; reCAPTCHA; domain yang sama paling banyak sekali dalam tujuh hari (setelah itu laporan yang ada ditampilkan); batas per alamat IP, per sesi (sebagai nilai hash, tidak pernah pengenal sesi itu sendiri), dan untuk seluruh layanan per hari; daftar blokir dari opt-out dan robots.txt; pemeriksaan bahwa domain menunjuk ke alamat publik; serta pemblokiran domain sangat baru atau tidak dikenal. Anomali – banyak domain berbeda dari satu alamat IP, banyak permintaan dalam waktu singkat – dicatat dengan alamat IP dan memicu sinyal tanpa isi (cfg/check_lib.php).

6.4 Pemeriksaan domain dalam akun Pelanggan

Pelanggan membuktikan haknya mengendalikan domain: melalui catatan DNS, tag meta, berkas, atau plugin kami (cfg/verify_lib.php). Baru kemudian domain diperlakukan sebagai terverifikasi. Penjadwal pemantauan hanya merencanakan pemeriksaan berkala untuk domain aktif, dipantau, dan terverifikasi (cfg/monitor_lib.php).

• Pengiriman uji aktif terikat pada dua gerbang: aplikasi menetapkan mode aktif bagi Pelanggan hanya untuk domain terverifikasi (untuk domain uji dan demo kami sendiri, penyedia dapat membuat pemeriksaan dengan tingkat “verified” melalui alat baris perintah internal), dan layanan pemeriksaan memeriksa lagi tingkat kepercayaan dan penghentian darurat fc_active_enabled (scanner/src/worker.js). Hanya formulir yang dikenali aturan dengan kepastian tinggi sebagai formulir kontak umum, tidak memiliki kolom wajib untuk data pribadi nyata, dan domainnya tidak menyerupai otoritas publik, lembaga pendidikan, klinik, praktik medis, kepolisian, atau pengadilan yang dapat dikirimkan (scanner/src/classify.js). Model bahasa tidak dapat menjadikan formulir boleh dikirimkan (scanner/src/classify.js). Paling banyak lima pengiriman dilakukan per pemeriksaan (fc_active_max_posts), ditandai dengan jelas, dengan pengirim dummy@formexposed.com, alamat dengan .invalid untuk menguji validasi e-mail, dan baris header tambahan yang tidak berbahaya untuk mendeteksi penyisipan header (scanner/src/active.js).
• Alur browser memeriksa alur formulir yang dikonfigurasi dalam browser hingga tahap tepat sebelum pengiriman. Hanya permintaan GET dan HEAD yang diizinkan; yang lain dibatalkan, demikian pula alamat yang memuat kata untuk keluar, menghapus, membeli, atau membayar (scanner/src/browser.js). Untuk pemeriksaan, kolom wajib diisi nilai rekaan yang tidak pernah meninggalkan browser.
• Berkas tanpa perlindungan dicari setiap minggu, hanya untuk domain terverifikasi, dengan paling banyak satu pengambilan per jalur, paling banyak 8 KB, dan isi tidak pernah disimpan (cfg/dateien_lib.php).
• Probe kedua yang independen telah dipersiapkan dan nonaktif secara bawaan (browser_probe_enabled = 0). Jika diaktifkan, probe hanya akan menerima domain, alamat, selektor, langkah, dan pilihan browser, tidak pernah kredensial, tangkapan layar, atau data pengunjung (cfg/formular_probe_lib.php).

6.5 Pemindaian di balik halaman masuk

Prasyarat: fungsi disiapkan, domain terverifikasi, dan Pelanggan menggunakan paket berbayar serta merupakan pemilik atau administrator ruang kerja (cfg/login_lib.php); Pelanggan mengonfirmasi bahwa akun merupakan akun uji dengan hak sesedikit mungkin (cfg/login_lib.php).

1. Nama pengguna dan kata sandi langsung dienkripsi pada server web dengan kunci publik server pemindai: kunci sekali pakai per rekaman (X25519), derivasi kunci (HKDF-SHA256), AES-256-GCM, diikat ke domain (cfg/login_lib.php). Hanya layanan pemeriksaan pada server pemindai yang memiliki kunci privat (scanner/src/geheim.js). Siapa pun yang menguasai server web, basis data, atau cadangan hanya memiliki teks sandi.
2. Antarmuka hanya menampilkan karakter pertama dan panjang nama pengguna (cfg/login_lib.php). Kredensial tidak pernah ditampilkan, tidak pernah dicatat dalam log, dan tidak pernah dikeluarkan melalui API.
3. Untuk pemeriksaan, aplikasi melampirkan teks sandi pada tugas. Layanan pemeriksaan mendekripsinya, langsung mengosongkan kolom dalam tugas, dan meneruskan kredensial ke kontainer hanya melalui masukan standar, tidak pernah sebagai argumen baris perintah (scanner/src/worker.js). Sisa dalam tugas yang dibatalkan dibersihkan proses status setelah satu jam (cfg/login_lib.php).
4. Di dalam kontainer, browser masuk. Proses dibatalkan jika halaman masuk mengalihkan ke host lain, jika formulir masuk memiliki CAPTCHA (kami tidak melewati CAPTCHA), atau jika kolom kata sandi masih terlihat setelah pengiriman (scanner/src/login.js). Browser kemudian membersihkan kolom kata sandi dalam memori halaman dan melupakan kredensial (scanner/src/login.js).
5. Browser membaca paling banyak lima halaman pada domain yang sama yang ditentukan Pelanggan. Alamat yang memuat kata untuk keluar, menghapus, membuang, atau membatalkan diblokir (scanner/src/login.js). Tidak ada yang dikirimkan di balik halaman masuk, tidak ada tangkapan layar diambil, dan cookie serta tautan tidak masuk ke hasil (scanner/src/login.js).
6. Penghapusan bersifat final: teks sandi ditimpa data acak sepanjang yang sama, baris dihapus, dan tugas tertunda dikosongkan (cfg/login_lib.php). Saat domain dihapus, baris otomatis hilang melalui kunci asing.

6.6 Kontrol pengiriman

Kontrol pengiriman menjawab apakah e-mail dari formulir kontak benar-benar tiba dan mengevaluasi ciri keasliannya. Fungsi ini opsional, nonaktif secara bawaan, dan memerlukan kotak surat kontrol yang disiapkan (cfg/zustellung_lib.php).

1. Jika Pelanggan mengaktifkannya, domain menerima tag acak. Pelanggan memasukkan alamat kontrol dengan tag ini sebagai salinan tersembunyi dalam formulirnya.
2. Sejak saat itu, setiap e-mail formulir juga masuk ke kotak surat kontrol: pengiriman uji berlabel kami dan semua pesan nyata pengunjung. E-mail langsung dikirim ke kotak surat pada Namecheap, Inc. (Private Email), Phoenix, Arizona, USA – e-mail hanya tiba jika catatan MX domain kami menunjuk ke sana; melalui penerusan, misalnya di registrar domain Namecheap, Inc., e-mail tidak mencapai kotak surat – dan tetap di sana hingga diambil.
3. Proses status mengambil kotak surat setiap lima menit (srv/cron_status.php). Untuk setiap e-mail, proses membaca header dan paling banyak 8 KB pertama teks, tanpa menandainya sebagai telah dibaca (cfg/zustellung_lib.php).
4. Dari header, proses menentukan tag dan dengan demikian domain, serta dari teks, jika berlaku, pengenal uji kami (cfg/zustellung_lib.php). Yang disimpan adalah waktu, domain, dan, jika berlaku, pengenal uji (cfg/zustellung_lib.php), selama 180 hari (cfg/zustellung_lib.php).
5. Dari header, proses mengevaluasi SPF, DKIM, dan DMARC serta menyimpan hasil pada domain: hasil pemeriksaan, domain alamat pengirim, domain tanda tangan, dan alamat server e-mail pengirim (cfg/zustellung_lib.php). Jika hasil memburuk, peringatan yang dapat menyebut domain pengirim dikirim sekali kepada Pelanggan (cfg/zustellung_lib.php).
6. Proses kemudian menandai setiap e-mail yang diambil untuk dihapus, termasuk yang tidak dapat dikaitkan dengan domain mana pun, dan menghapusnya dari kotak surat pada akhir pelaksanaan (cfg/zustellung_lib.php). Jika pelaksanaan terhenti sebelumnya, e-mail tetap ada hingga pelaksanaan berikutnya yang berhasil.
7. Hanya salinan dari uji yang tepat bersangkutan yang dihitung sebagai bukti pengiriman (cfg/zustellung_lib.php). Jika tidak tiba dalam tiga jam (delivery_wait_h), layanan melaporkan “Pengiriman tidak diterima”.

Teks pesan nyata tidak pernah ditulis ke basis data, demikian pula alamat pengunjung. Namun keduanya tetap dibaca: pengambilan memuat 8 KB pertama setiap e-mail ke memori untuk mencari pengenal uji.

6.7 Perlindungan swarm

1. Lapisan perlindungan plugin WordPress menghentikan pesan sebagai spam dan menghitung domain tautan di dalamnya. Sekali sehari, plugin melaporkan domain tersebut beserta jumlah kecocokan kepada kami, paling banyak 60 per hari; tanpa alamat, teks, atau alamat IP (cfg/swarm_lib.php).
2. Sekali sehari kami menyusun daftar darinya: domain dimasukkan jika dalam tujuh hari dilaporkan oleh setidaknya tiga situs web berbeda dan dengan setidaknya lima kecocokan (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Layanan besar dari daftar pengecualian tetap dan domain Pelanggan kami, masing-masing termasuk subdomain, tidak pernah masuk daftar (cfg/swarm_lib.php).
3. Daftar dikirim ke semua situs web terhubung bersama respons laporan harian. Lapisan perlindungannya menempatkan pesan dengan tautan ke domain terdaftar dalam karantina, bukan tempat sampah.
4. Yang tidak lagi muncul dalam daftar baru dikeluarkan; laporan dihapus setelah 30 hari (cfg/swarm_lib.php).
5. Jaringan IP (/24 atau /48) telah dipersiapkan tetapi dinonaktifkan hingga peninjauan hukum selesai (cfg/swarm_lib.php).

6.8 Penggunaan kecerdasan buatan

Model bahasa berjalan pada server pemindai kami sendiri, bukan pada penyedia AI. Model digunakan di tiga tempat: dalam layanan pemeriksaan, model mengklasifikasikan formulir yang jenisnya tidak dikenali aturan; untuk itu model melihat judul halaman, alamat halaman, label tombol kirim, jenis kolom, nama, label, dan placeholder, serta hingga 400 karakter teks formulir (scanner/src/classify.js). Model hanya diminta jika aturan menghasilkan “tidak diketahui”; formulir yang diklasifikasikan dengan cara ini tidak pernah dikirimkan dan tidak diperhitungkan dalam skor dan kesimpulan. Skor, kesimpulan, pencegahan penyalahgunaan, perlindungan swarm, dan aturan spam merupakan aturan tetap, bukan AI. Dalam “Fix it for me”, model menulis ulang kode formulir yang ditempelkan; kode tidak disimpan. Untuk pemeriksaan domain yang memenuhi syarat dalam akun berbayar, model juga menghasilkan rencana tindakan berurutan berdasarkan prioritas dari nama host, hasil keseluruhan dan skor, CMS, jenis formulir terkait dan alamat halaman, plugin yang teridentifikasi, serta temuan gagal atau tidak jelas yang dipilih. Permintaan disimpan sementara dalam antrean tugas internal dan dihapus setelah hasil diambil atau pembersihan terjadwal atas entri yang berusia lebih dari satu jam. Teks yang dihasilkan, bahasa, status, dan stempel waktunya disimpan bersama hasil pemindaian sesuai aturan penyimpanannya. Laporan memberi label rencana sebagai ringkasan AI dan menetapkan temuan individual sebagai acuan utama; rencana tidak mengubah situs web atau hasil pemindaian. Model tidak membuat keputusan tentang orang. Selengkapnya pada halaman UU AI UE: Cara formexposed Menggunakan AI.

6.9 Dasar hukum

Operasi pemrosesan	Dasar hukum
P1 Pemeriksaan gratis: pemeriksaan domain yang diminta; batas dan pencegahan penyalahgunaan	terhadap peminta, Pasal 6(1)(b); terhadap pengelola dan orang yang ditampilkan, Pasal 6(1)(f); pencegahan penyalahgunaan, Pasal 6(1)(f)
P2 Pemeriksaan calon pelanggan	Pasal 6(1)(f) (kepentingan sah agensi dan formexposed)
P3 Studi	Pasal 6(1)(f)
P4 Pemeriksaan domain Pelanggan	Pasal 6(1)(b) terhadap Pelanggan; untuk data pihak ketiga pada situs webnya, instruksi Pelanggan berdasarkan Pasal 28
P5 Pemindaian di balik halaman masuk	Instruksi Pelanggan berdasarkan Pasal 28; dasar hukum Pelanggan
P6 Kontrol pengiriman	Instruksi Pelanggan berdasarkan Pasal 28; dasar hukum Pelanggan (dalam teks yang kami sarankan untuk Pelanggan, Pasal 6(1)(f))
P7 Perlindungan swarm	Pasal 6(1)(f) (pertahanan bersama terhadap spam lintas banyak situs web)

Kepentingan sah kami dalam P1 hingga P3 adalah menunjukkan kelemahan formulir kepada pengelola dan penyedia layanannya sebelum dieksploitasi untuk spam atau penyalahgunaan, serta menyediakan layanan. Data berasal dari sumber yang dapat diakses publik. Penimbangan kepentingan dijelaskan dalam bagian 7; apakah Pasal 6(1)(f) mendukung pemeriksaan situs web pihak ketiga atas permintaan merupakan pertanyaan terbuka untuk peninjauan hukum.

6.10 Penerima dan transfer ke negara ketiga

Penerima	Apa	Operasi pemrosesan	Status
Tidak ada di luar formexposed	Hasil pemeriksaan, tangkapan layar, klasifikasi model bahasa	P1–P5	Layanan pemeriksaan dan model bahasa berjalan pada server kami sendiri; dalam jalur pemeriksaan crawler, tidak ditemukan pemanggilan pihak ketiga selain situs web yang diperiksa sendiri, layanan yang kontennya disematkan situs tersebut (seperti pada setiap pengunjung), dan layanan RDAP rdap.org untuk usia domain (hanya nama domain); pemantau dijelaskan pada baris berikutnya
Siapa pun yang mengetahui tautan	Laporan dengan temuan dan tangkapan layar	P1, P2, P4	tautan acak dengan 128 bit (cfg/check_lib.php), halaman dengan noindex (www/report.php)
Layanan yang diberi kueri oleh pemantauan domain Pelanggan	Daftar blokir DNS (SpamCop, PSBL, Mailspike, SURBL): domain dan alamat IP server, tanpa data pengunjung; Google Web Risk hanya jika disiapkan: alamat halaman beranda; otoritas pemberi stempel waktu Certum dan DigiCert: hanya nilai hash log bukti; RDAP melalui registri IANA: hanya nama domain; halaman status penyedia: tidak ada yang dikirim; wpvulnerability.net: pengenal plugin (tanpa versi) atau tema dan versi WordPress	P4	digunakan; detail dalam Catatan Aktivitas Pemrosesan dan halaman Subprosesor
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Salinan kontrol termasuk pesan pengunjung nyata	P6	Kontrak belum dibuat; tempat pemrosesan dan mekanisme transfer masih harus diperiksa
Namecheap, Inc. (AS)	Registrar dan DNS; hingga kotak surat disiapkan, penerusan e-mail umum ke alamat domain kami, bukan salinan kontrol (salinan ini hanya mencapai kotak surat melalui catatan MX yang menunjuk langsung ke sana)	– (tanpa salinan kontrol)	Mekanisme transfer harus diperiksa
Kanal peringatan pilihan Pelanggan (e-mail, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	Peristiwa, domain, tautan; untuk pemeriksaan keaslian, domain pengirim jika bukan milik situs web	P4, P6	tujuan pilihan Pelanggan; sebagian di luar UE. Kami mengirim pesan Telegram melalui bot kami; mekanisme transfer untuk ini merupakan pertanyaan terbuka untuk peninjauan hukum
Semua situs web terhubung	Daftar domain tautan	P7	melalui respons kepada plugin
Probe kedua	Domain, alamat formulir, selektor, langkah	P4	dinonaktifkan

6.11 Penyimpanan, terukur, bukan sekadar diniatkan

Penghapusan sebagian besar berlangsung malam hari pada 03:00 dalam proses status (srv/cron_status.php, cfg/fristen_lib.php); laporan perlindungan swarm dan baris calon pelanggan dihapus setiap hari mulai 04:00, keterkaitan kontrol pengiriman pada setiap pengambilan; laporan anonim dan calon pelanggan dihapus melalui tanggal kedaluwarsanya (cfg/check_lib.php). Tangkapan layar dihapus dari disk bersama pemindaiannya (cfg/fristen_lib.php).

Data	Periode menurut kode	Rujukan sumber	Temuan
Pemeriksaan gratis termasuk gambar	30 hari	cfg/check_lib.php	efektif
Pemeriksaan calon pelanggan termasuk gambar	90 hari	cfg/akquise_lib.php; srv/cron_status.php (baris calon pelanggan)	efektif
Pemeriksaan domain Pelanggan	13 bulan; yang terakhir disimpan selama domain ada	cfg/fristen_lib.php	efektif
Hasil alur browser termasuk gambar yang dihitamkan	13 bulan	cfg/fristen_lib.php	efektif
Data domain yang dihapus	langsung; data yatim pada malam hari	cfg/fristen_lib.php (fe_domain_loeschen(), fe_fristen_lauf())	efektif, termasuk inventaris skrip dan perubahan skrip, yang tidak memiliki masa penyimpanan sendiri di luar itu (lihat Catatan Aktivitas Pemrosesan)
Studi: data mentah termasuk gambar	saat publikasi	cfg/studie_lib.php	tanpa publikasi, tanpa batas waktu; daftar host yang diperiksa tetap ada tanpa batas waktu bahkan setelah publikasi
Pemeriksaan internal tanpa domain dan tanpa laporan	tidak ada	–	tanpa penghapusan; diukur: 85 pemeriksaan dengan 369 gambar sejak 22 September 2026 (R4)
Keterkaitan kontrol pengiriman	180 hari	cfg/zustellung_lib.php	efektif
Hasil pemeriksaan keaslian pada domain	hingga hasil berikutnya atau penghapusan domain	cfg/zustellung_lib.php	ditimpa, tidak dibatasi waktu
Salinan kontrol dalam kotak surat	hingga pengambilan berikutnya yang berhasil (interval lima menit)	cfg/zustellung_lib.php	salinan dan cadangan pada penyedia kotak surat belum diverifikasi
Kredensial pemindaian di balik halaman masuk	hingga dihapus Pelanggan atau domain; dalam tugas paling lama hingga akhir pelaksanaan, sisa setelah satu jam	cfg/login_lib.php	efektif; dalam cadangan hanya sebagai teks sandi hingga 14 hari
Laporan perlindungan swarm	30 hari	cfg/swarm_lib.php	efektif
Batas pemeriksaan gratis (IP, negara, hash sesi)	7 hari	srv/cron_status.php	efektif
Catatan perilaku mencolok dengan alamat IP	90 hari setelah penyelesaian	srv/cron_status.php	catatan yang belum diselesaikan tanpa batas waktu; diukur: 3 catatan, semuanya diselesaikan
Alamat IP, negara, browser terkait opt-out	12 bulan; pengecualian tetap ada	cfg/fristen_lib.php	efektif
Cadangan basis data	14 hari	cfg/backup_lib.php	efektif; cadangan saat ini disimpan pada lokasi yang sama dengan basis data dan tidak dienkripsi secara terpisah; salinan terenkripsi pada lokasi kedua direncanakan (R13)

7. (b) Penilaian kebutuhan dan proporsionalitas

Tolok ukurnya adalah tujuan yang dinyatakan: menunjukkan kepada pengelola apakah formulirnya terlindungi dari spam dan penyalahgunaan (P1 hingga P5), memeriksa apakah e-mail formulir tiba dan tampak asli (P6), serta bertahan bersama terhadap spam lintas banyak situs web (P7). Tujuan ini sah. Pertanyaan berdasarkan Pasal 35(7)(b) lebih sempit: apakah pemrosesan ini diperlukan hingga kedalaman ini untuk tujuannya, dan apakah intervensinya sebanding dengan manfaat?

Komponen	Diperlukan untuk tujuan?	Proporsional dalam bentuk yang dibuat?
Pengambilan beberapa halaman publik, struktur formulir, langkah perlindungan yang dideteksi	Ya. Tanpanya tidak ada temuan.	Ya. Paling banyak delapan halaman (ditambah tampilan dari bagian 6.1), larangan halaman beranda dalam robots.txt dihormati, tanpa nilai kolom terlihat, alamat penerima hanya sebagai domain.
Tangkapan layar per formulir	Ya, sebagai bukti dalam laporan: pengelola dapat melihat formulir yang dimaksud.	Sebagian besar. Kolom kosong karena crawler tidak mengetik apa pun. Namun gambar menampilkan sekitar elemen formulir tanpa menghitamkan apa pun (R3).
Tangkapan layar halaman beranda	Tidak diperlukan untuk temuan itu sendiri. Fungsinya mengenali situs web yang diperiksa dalam laporan.	Hanya secara terbatas; minimalisasi lebih lanjut direncanakan. Halaman beranda sering menampilkan orang: foto tim, narahubung, testimoni pelanggan dengan nama. Lihat R3 dan bagian 9.3.
Pembacaan nilai kolom tersembunyi (24 karakter pertama, hanya selama pemeriksaan)	Ya: token dan stempel waktu dideteksi darinya.	Ya. Hanya hasil deteksi disimpan, bukan nilainya, juga di balik halaman masuk (R8).
Halaman respons pengiriman uji (gambar dan 300 karakter teks)	Ya, sebagai bukti respons formulir.	Ya. Respons berkaitan dengan pesan uji berlabel kami tanpa data pribadi.
Klasifikasi model bahasa	Berguna, tidak perlu: tanpanya, lebih banyak formulir tetap “tidak diketahui”.	Ya. Lokal, tanpa pengungkapan, tanpa hak untuk mengirimkan.
Rencana tindakan lokal dari temuan yang dipilih dan metadata pemindaian	Bermanfaat untuk memprioritaskan perbaikan, tidak diperlukan untuk menghasilkan temuan individual.	Terbatas pada metadata pemindaian yang sudah ada dan paling banyak 18 temuan gagal atau tidak jelas yang berbeda, tanpa tangkapan layar atau nilai kolom yang dimasukkan dalam prompt. Rencana bersifat saran dan diberi label dihasilkan oleh AI; temuan individual tetap menjadi acuan utama. URL dan catatan masih dapat mengandung data pribadi, dan teks yang dihasilkan mengikuti penyimpanan pemindaian dan akses dengan memiliki tautan. Batasan ini mengurangi paparan tetapi tidak membuktikan kebenaran faktual (R10).
Pengiriman uji aktif	Ya. Apakah perlindungan bekerja baru terlihat ketika diuji.	Ya, dengan batas dan penandaan. Namun prasyaratnya – bukti kendali – tidak pernah diperbarui (R7).
Pencarian berkas tanpa perlindungan	Ya bagi Pelanggan, yang data formulirnya mungkin terekspos di sana.	Ya. Hanya domain terverifikasi, paling banyak 8 KB, isi tidak pernah disimpan.
Pemindaian di balik halaman masuk	Ya untuk formulir dalam area anggota yang jika tidak akan tetap tidak diperiksa.	Sebagian besar. Enkripsi dan penghapusan dibuat dengan cermat; namun proses masuk menerima koneksi tidak terenkripsi dan sertifikat bermasalah (R8).
Salinan kontrol pesan pengunjung nyata	Bukan untuk bukti pengiriman. Bukti itu hanya mengandalkan salinan uji kami (cfg/zustellung_lib.php). Pesan nyata ikut tersalin karena salinan tersembunyi dalam formulir tidak membedakan uji dan pesan nyata. Pesan berguna untuk pemeriksaan keaslian (SPF, DKIM, DMARC) karena menunjukkan jalur pengiriman sebenarnya.	Sebagian. Isi tidak disimpan tetapi dibaca, dan tetap berada pada penyedia kotak surat yang kontraknya masih terbuka hingga pengambilan (R1, R2). Rancangan yang kurang intrusif dimungkinkan secara teknis: dengan plugin kami, salinan tersembunyi dapat dibatasi pada pesan uji berlabel (bagian 9.3).
Penyimpanan domain pengirim pesan nyata	Sebagian: menunjukkan apakah formulir mengirim dengan alamat pengunjung sebagai pengirim (penyebab umum diklasifikasikan sebagai spam).	Bersyarat. Untuk individu dengan domain sendiri, domain merupakan data pribadi, dan masuk dalam peringatan kepada Pelanggan dan kanalnya (R1).
Daftar bersama domain tautan	Ya. Tautan spam yang muncul pada banyak situs web sekaligus merupakan sinyal kuat yang tidak dimiliki satu situs web.	Ya, dengan jumlah minimum, pengecualian, dan karantina alih-alih penghapusan. Jaringan IP tidak akan proporsional tanpa penilaian baru.
Data mentah studi	Hingga evaluasi, ya.	Tanpa periode maksimum, tidak (R4).
Laporan pada tautan acak	Ya. Meneruskan laporan – misalnya kepada penyedia layanan yang mengurus situs web – merupakan tujuan pemeriksaan gratis.	Ya. Tautan acak dengan 128 bit, noindex, laporan gratis hanya sebagai cuplikan (cfg/check_lib.php, FE_FREE_DETEKTOREN), penghapusan setelah 30 hari.

Keabsahan. Untuk P1 hingga P3 dan P7, kami mengandalkan Pasal 6(1)(f). Yang mendukung dalam penimbangan: data bersifat publik dan diambil dengan cara yang sama seperti pengunjung mana pun; tidak ada yang dikirimkan; data pribadi bersifat insidental dan sedikit; periodenya singkat; pengelola dapat mengecualikan pemeriksaan crawler berikutnya melalui larangan halaman beranda dalam robots.txt dan pemeriksaan berikutnya apa pun melalui halaman opt-out kami, segera dan tanpa bukti; manfaatnya – formulir terlindungi – juga diperoleh pengelola dan pengunjungnya. Yang menentang: pengelola tidak mengetahui pemeriksaan, laporan ditujukan bagi pihak ketiga, dan untuk pelaku usaha perseorangan laporan mengevaluasi seseorang. Kami menganggap penimbangan dapat dibenarkan selama langkah bagian 9.1 tetap berlaku; konfirmasi hukum masih menunggu.

Informasi kepada subjek data (Pasal 13 dan 14). Kami memberi tahu pengelola dan orang pada halaman yang diperiksa melalui halaman crawler, yang disebut dalam pengenal setiap pengambilan, melalui Kebijakan Privasi, dan halaman opt-out. Memberi tahu secara individual orang yang kebetulan muncul dalam tangkapan layar hanya dimungkinkan jika kami mengidentifikasinya – yang akan menjadi intervensi lebih lanjut yang lebih serius. Sejauh itu, kami mengandalkan Pasal 14(5)(b). Pengunjung yang pesannya melalui salinan kontrol diberi tahu oleh Pelanggan; Perjanjian Pemrosesan Data mewajibkannya, dan kami menyediakan blok teks untuk itu.

Minimalisasi data (Pasal 5(1)(c)). Terlihat di banyak tempat dan berlandaskan kode: tanpa nilai kolom, alamat penerima hanya sebagai domain, pengenal akun dalam alamat skrip disembunyikan, tanpa isi salinan kontrol dalam basis data, tanpa tangkapan layar di balik halaman masuk, hanya domain dalam perlindungan swarm. Di dua tempat, minimalisasi lebih lanjut dimungkinkan dan direncanakan (bagian 9.3): tangkapan layar halaman beranda tanpa penghitaman dan domain pengirim pesan nyata.

Pembatasan penyimpanan (Pasal 5(1)(e)). Sejak 27 September 2026, proses malam mematuhi periode Kebijakan Privasi untuk data Pelanggan dan membersihkan data tersisa tanpa domain terkait dari periode sebelumnya (cfg/fristen_lib.php). Dua jalur tanpa batas waktu masih terbuka: pemeriksaan internal dan studi yang belum dipublikasikan (R4).

Akurasi (Pasal 5(1)(d)). Temuan dapat keliru: formulir tampak tanpa perlindungan karena perlindungan baru dimuat setelah interaksi, atau crawler diperlakukan firewall secara berbeda dari pengunjung. Bagi pengelola yang situs webnya diedarkan secara publik sebagai “Tanpa perlindungan”, ini masalah reputasi. Karena itu, laporan menyebut metode, menunjukkan bukti, dan menjelaskan batas pemeriksaan dari luar.

Hasil proporsionalitas: Pemeriksaan situs web pihak ketiga dan situs web sendiri, dalam bentuk yang dibuat, pada dasarnya proporsional. Di tiga tempat terdapat kebutuhan perbaikan yang dapat diatasi dengan cara biasa dan langkahnya direncanakan (bagian 9.3): tangkapan layar halaman beranda, pemeriksaan internal tanpa batas waktu, dan akses masuk tidak terenkripsi untuk pemindaian di balik halaman masuk. Kontrol pengiriman proporsional untuk salinan uji dan pemeriksaan keaslian; untuk pesan pengunjung nyata, ini hanya berlaku selama isinya tidak disimpan, jalur melalui penyedia kotak surat diamankan secara kontraktual, dan Pelanggan memberi tahu pengunjungnya. Saat ini, butir kedua dari ketiganya belum ada.

8. (c) Penilaian risiko terhadap hak dan kebebasan subjek data

Yang dinilai adalah risiko terhadap subjek data, bukan formexposed. Kemungkinan dinilai sebagai kecil, mungkin, besar, atau telah terjadi; “telah terjadi” berarti peristiwa bukan perkiraan, melainkan keadaan terukur. Tingkat keparahan dinilai sebagai terbatas, signifikan, serius, atau sangat serius, bergantung pada yang mungkin hilang bagi orang tersebut: kerahasiaan pesannya, kendali atas akun, reputasi usahanya, kemampuan menggunakan hak. Tingkat risiko dihasilkan dari keduanya dan menggambarkan keadaan saat ini dengan langkah bagian 9.1.

No.	Risiko	Operasi pemrosesan	Kemungkinan	Keparahan	Tingkat
R1	Pesan pengunjung nyata dalam salinan kontrol, termasuk kemungkinan kategori khusus	P6	Telah terjadi setelah diaktifkan	Serius	Tinggi
R2	Jalur salinan kontrol melalui penyedia kotak surat tanpa kontrak yang dibuat dan dengan kemungkinan kaitan negara ketiga	P6	Kemungkinan besar selama kontrak belum ada	Serius	Tinggi
R3	Tangkapan layar situs web pihak ketiga tanpa penghitaman	P1–P4	Kemungkinan besar	Terbatas	Sedang
R4	Data pemeriksaan dan tangkapan layar tanpa jalur penghapusan	P3, pemeriksaan internal	Telah terjadi	Signifikan	Tinggi
R5	Pemeriksaan dan penilaian publik situs web pihak ketiga tanpa sepengetahuan pengelola; penyalahgunaan sebagai alat pengintaian	P1	Mungkin	Signifikan	Sedang
R6	Pemeriksaan calon pelanggan sebagai dasar pendekatan tanpa diminta	P2	Kemungkinan besar	Terbatas	Sedang
R7	Bukti kendali tidak pernah diperbarui	P4, P5	Mungkin	Signifikan	Sedang
R8	Kredensial dan isi dalam pemindaian di balik halaman masuk	P5	Mungkin	Serius	Sedang; tinggi untuk akun nyata
R9	Pengiriman uji aktif dan pemeriksaan berkas pada situs web Pelanggan	P4	Kemungkinan kecil	Signifikan	Rendah
R10	Klasifikasi model bahasa	P1–P4	Kemungkinan kecil	Terbatas	Rendah
R11	Daftar blokir bersama dari laporan banyak situs web	P7	Mungkin	Terbatas	Rendah hingga sedang; tinggi dengan jaringan IP
R12	Laporan dan tangkapan layar pada tautan publik	P1, P2, P4	Mungkin	Terbatas	Rendah
R13	Kelemahan infrastruktur: cadangan, akses server, server pemindai	semua	Mungkin	Serius	Tinggi
R14	Hak subjek data bagi orang yang tidak mengenal kami	P1–P6	Kemungkinan besar	Terbatas	Rendah

R1 – Pesan pengunjung nyata dalam salinan kontrol

Ini merupakan risiko paling serius layanan, dan timbul dari rancangan, bukan kesalahan. Salinan tersembunyi dalam formulir tidak membedakan pesan uji kami dan pesan pengunjung. Jika Pelanggan mengaktifkan kontrol pengiriman, setiap pesan yang dikirim melalui formulir tersebut mencapai kotak surat kontrol kami (cfg/zustellung_lib.php). Pengambilan membaca header dan 8 KB pertama teks ke memori untuk mencari pengenal uji kami (cfg/zustellung_lib.php). Untuk formulir kontak biasa, itu berarti nama, alamat e-mail, nomor telepon, dan pesan lengkap.

Yang ditulis pengunjung ditentukan pengunjung sendiri, dan kolom mengundang isi pribadi: permintaan janji temu yang menjelaskan gejala kepada praktik medis, uraian sengketa hukum kepada firma hukum, lamaran kerja, pertanyaan mengenai anak kepada sekolah. Dokumen hukum kami menyatakan salinan “sebaiknya tidak memuat kategori khusus data pribadi”. Itu merupakan permintaan kepada Pelanggan, bukan langkah perlindungan: Pelanggan maupun kami tidak mengetahui sebelumnya apa yang akan ditulis pengunjung.

Dua jalur samping terkait hal ini. Pertama, pemeriksaan keaslian menyimpan domain alamat pengirim pada domain (cfg/zustellung_lib.php). Jika formulir mengirim dengan alamat pengunjung sebagai pengirim, ini adalah domain pengunjung – tidak bermakna bagi penyedia e-mail besar, tetapi data pribadi bagi individu dengan domain sendiri. Domain ini juga muncul dalam peringatan yang dikirim kepada Pelanggan dan kanal pilihannya (cfg/zustellung_lib.php). Kedua, pemeriksaan menyimpan alamat server e-mail pengirim (cfg/zustellung_lib.php); umumnya ini adalah server situs web, bukan milik pengunjung.

Kemungkinan – telah terjadi setelah diaktifkan. Pertanyaannya bukan apakah pesan nyata tiba, melainkan berapa banyak. Diukur pada sistem pengembangan, fungsi tidak diaktifkan untuk domain mana pun. Keparahan – serius. Kerahasiaan pesan kepada usaha penting bagi banyak orang, dan data berdasarkan Pasal 9 dapat diperkirakan untuk sebagian Pelanggan umum. Keparahan dikurangi oleh fakta bahwa isi tidak masuk ke basis data, hanya sebentar berada dalam kotak surat, dan tidak dibaca siapa pun di formexposed. Tingkat – tinggi.

R2 – Jalur salinan kontrol melalui penyedia kotak surat tanpa kontrak yang dibuat

Sebelum pengambilan kami melihat salinan kontrol, salinan berada dalam kotak surat di Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Salinan hanya tiba di sana jika catatan MX domain kami menunjuk langsung ke kotak surat ini; penerusan di registrar domain Namecheap, Inc. bukan tempat persinggahan salinan kontrol (melalui penerusan, salinan tidak mencapai kotak surat). Untuk tempat persinggahan yang tersisa, pengaturan kontraktual masih terbuka: kontrak dengan penyedia kotak surat belum dibuat, lokasi penyimpanan, subprosesor, dan masa cadangannya belum ditetapkan, dan apakah keputusan kecukupan atau klausul kontrak standar diperlukan untuk tempat pemrosesannya serta berlaku masih terbuka. Untuk e-mail transaksional kami sendiri, ini masalah perancangan kontrak. Untuk salinan kontrol lebih serius: data ini kami terima sebagai prosesor, dan setiap penyedia layanan sepanjang jalur merupakan subprosesor yang menjadi tanggung jawab kami berdasarkan Pasal 28(4).

Selain itu, “dihapus setelah pengambilan” hanya berlaku pada pandangan kami atas kotak surat. Apakah penyedia mempertahankan e-mail yang dihapus dalam cadangannya sendiri atau tempat sampah, dan berapa lama, belum diverifikasi. Jika pengambilan terhenti, e-mail tetap ada hingga pelaksanaan berikutnya yang berhasil (cfg/zustellung_lib.php); jika proses status gagal, e-mail tetap ada tanpa batas waktu. Terakhir, pengamanan pengambilan itu sendiri merupakan salah satu hal yang harus diperiksa pada sistem produksi sebelum peluncuran (bagian 9.3).

Kemungkinan – besar selama kontrak belum ada: setiap salinan kontrol mengambil jalur ini. Keparahan – serius, karena alasan yang sama dengan R1. Tingkat – tinggi. Daftar periksa penyiapan aplikasi melaporkan kotak surat yang belum ada sebagai peringatan; tidak ada pengunci yang memblokir kontrol pengiriman tanpa kontrak terdokumentasi.

R3 – Tangkapan layar situs web pihak ketiga tanpa penghitaman

Crawler mengambil tangkapan layar area terlihat halaman pertama dan gambar elemen setiap formulir terlihat (scanner/src/crawl.js). Tidak ada yang dihitamkan dalam proses ini. Berbeda untuk alur browser: di sana, kolom masukan disamarkan sebelum tangkapan layar (scanner/src/browser.js). Jadi hanya gambar alur browser yang “dibersihkan”, bukan gambar crawler maupun gambar halaman respons pemeriksaan aktif.

Karena crawler tidak mengetik apa pun, kolom formulir kosong. Namun halaman beranda usaha kecil sering menampilkan pemilik, tim, testimoni pelanggan dengan nama dan foto, atau jendela percakapan dengan foto karyawan. Semuanya publik; tangkapan layar mengubahnya menjadi salinan yang disimpan pada kami, muncul dalam laporan, dan dapat diteruskan bersama tautan.

Kemungkinan – besar. Diukur 432 tangkapan layar dalam kumpulan data sistem pengembangan. Keparahan – terbatas: isi sudah publik, dan periode pemeriksaan tanpa akun singkat. Tingkat – sedang, karena orang yang ditampilkan tidak mengetahui dan gambar halaman beranda tidak diperlukan untuk temuan.

R4 – Data pemeriksaan dan tangkapan layar tanpa jalur penghapusan

Proses malam menghapus pemeriksaan melalui dua jalur: tanggal kedaluwarsa laporan (cfg/check_lib.php) dan periode pemeriksaan domain Pelanggan (cfg/fristen_lib.php, hanya pemeriksaan dengan domain). Pemeriksaan yang tidak memiliki laporan maupun domain lolos dari kedua jaring. Ini adalah pemeriksaan dengan tingkat kepercayaan “internal”: studi dan pemeriksaan yang dibuat penyedia dari baris perintah.

• Studi menghapus data mentahnya saat publikasi (cfg/studie_lib.php). Jika studi tidak pernah dipublikasikan – karena terlalu sedikit situs web dengan formulir (cfg/studie_lib.php kemudian menolak publikasi) atau karena dibiarkan – pemeriksaan, formulir, temuan, dan tangkapan layar tetap ada tanpa batas waktu.
• Pemeriksaan internal dari baris perintah sama sekali tidak memiliki jalur penghapusan. Diukur pada 11 Oktober 2026: 85 pemeriksaan semacam itu atas situs web pihak ketiga dengan 978 formulir dan 369 tangkapan layar, yang tertua dari 22 September 2026, tidak satu pun memiliki laporan atau domain.
• Catatan perilaku mencolok dalam pemeriksaan gratis memuat alamat IP dan dihapus 90 hari setelah diselesaikan (srv/cron_status.php). Catatan yang tidak pernah diselesaikan tetap ada. Diukur: tiga catatan, semuanya diselesaikan.

Kemungkinan – telah terjadi. Ke-85 pemeriksaan bukan skenario, melainkan data yang ada. Pada sistem pengembangan, pemeriksaan berasal dari uji lapangan; kode yang sama berlaku pada sistem produksi. Keparahan – signifikan: tidak ada masa penyimpanan untuk data ini. Terkait prinsip pembatasan penyimpanan (Pasal 5(1)(e)), ini merupakan hal yang masih terbuka dengan langkah yang direncanakan (bagian 9.3, prioritas “pertama”), dan justru memengaruhi orang yang tidak mengetahui pemeriksaan. Pemeriksaan internal dijelaskan dalam Catatan Aktivitas Pemrosesan; Kebijakan Privasi belum menyebutkannya secara terpisah (bagian 9.4). Tingkat – tinggi.

R5 – Pemeriksaan dan penilaian publik situs web pihak ketiga tanpa sepengetahuan pengelola

Siapa pun dapat meminta pemeriksaan situs web mana pun yang dapat diakses publik, tanpa akun dan tanpa hubungan apa pun dengannya. Pengelola tidak diberi tahu. Hasilnya adalah laporan yang menilai situs web sebagai “Tanpa perlindungan”, “Terlindungi sebagian”, atau “Terlindungi” dan dapat dilihat siapa pun yang memiliki tautan. Dua akibat dapat dibayangkan bagi subjek data. Pelaku usaha perseorangan diberi penilaian secara publik – meskipun hanya bagi penerima tautan – yang dapat merupakan temuan keliru. Dan laporan menunjukkan kepada pengirim spam formulir mana yang dapat diisi tanpa hambatan.

Serangkaian pemblokiran menentangnya (cfg/check_lib.php): paling banyak satu pemeriksaan per domain dalam tujuh hari, kemudian laporan yang sama; batas per alamat IP dan sesi; batas harian seluruh layanan; tanpa pemeriksaan domain sangat baru yang lazim dalam penyalahgunaan; catatan dan sinyal untuk perilaku mencolok; robots.txt dan opt-out, diperiksa dua kali (cfg/check_lib.php dan dalam layanan pemeriksaan). Laporan gratis merupakan cuplikan: hanya menunjukkan temuan dasar, bukan bukti semua detektor. Dan laporan tidak menyatakan sesuatu yang tidak dapat ditemukan bot sendiri dalam hitungan detik – formulir tanpa perlindungan terlihat dari luar.

Kemungkinan – mungkin. Keparahan – signifikan bagi pelaku usaha perseorangan yang formulirnya menjadi sasaran setelah laporan atau yang penilaiannya keliru. Tingkat – sedang.

R6 – Pemeriksaan calon pelanggan sebagai dasar pendekatan tanpa diminta

Dalam antarmuka, pemeriksaan calon pelanggan dijelaskan sebagai “pembuka untuk percakapan pertama”. Cara agensi menggunakan temuan singkat ditentukan agensi; secara teknis, agensi juga dapat mengirimkannya kepada pengelola yang tidak memintanya. Kami tidak menghubungi siapa pun (cfg/akquise_lib.php), dan Ketentuan Layanan mewajibkan agensi mematuhi aturan iklan dan pendekatan pemasaran. Namun e-mail tanpa diminta dengan temuan merupakan pemasaran langsung, bahkan antarpelaku usaha, yang di Polandia (Pasal 398 Undang-Undang Komunikasi Elektronik (Prawo komunikacji elektronicznej, PKE)) dan Jerman (§ 7(2) Undang-Undang Jerman tentang Persaingan Tidak Sehat (Gesetz gegen den unlauteren Wettbewerb, UWG)) memerlukan persetujuan terlebih dahulu. Antarmuka tidak menjelaskannya; teks pemeriksaan calon pelanggan hanya menyebut “pasif” dan “daftar opt-out”.

Kemungkinan – besar, karena fungsi bertujuan mengakuisisi pelanggan dan kami tidak dapat memverifikasi apakah penerima telah menyetujui. Keparahan – terbatas: bagi pengelola, ini e-mail pemasaran yang mengganggu dengan penilaian situs webnya. Tingkat – sedang. Risiko terletak pada tindakan agensi; karena fungsi berasal dari kami, pemberitahuan dalam antarmuka direncanakan (bagian 9.3).

R7 – Bukti kendali tidak pernah diperbarui

Pengiriman uji aktif, pencarian berkas tanpa perlindungan, dan pemindaian di balik halaman masuk memerlukan Pelanggan membuktikan hak mengendalikan domain. Bukti diperiksa sekali (cfg/verify_lib.php) dan tidak pernah lagi. Tidak ada jalur dalam kode yang membuat domain kehilangan buktinya. Jika domain berganti pemilik, agensi mengakhiri penugasannya, atau pengelola menghapus catatan DNS, pemeriksaan berlanjut – hingga harian, dengan hingga lima pengiriman uji dan, jika disimpan, akses masuk akun uji yang mungkin tidak diketahui pengelola baru. Sebaliknya, yang tidak dimungkinkan adalah memindahkan bukti ke host lain dengan mengganti nama: nama host domain dengan bukti kendali tidak dapat diubah.

Kemungkinan – mungkin: perubahan domain dan penugasan merupakan kejadian sehari-hari bagi agensi. Keparahan – signifikan bagi pengelola baru dan karyawannya, yang menerima pesan uji berlabel dan situs webnya dicari berkas tanpa perlindungan tanpa persetujuannya. Tingkat – sedang. Pesan uji menjelaskan maksudnya dan merujuk ke halaman crawler dan opt-out; opt-out juga berlaku terhadap pemeriksaan oleh Pelanggan.

R8 – Kredensial dan isi dalam pemindaian di balik halaman masuk

Enkripsi kredensial dibuat dengan cermat: server web tidak lagi dapat membacanya setelah penyimpanan, basis data dan cadangan hanya memuat teks sandi, rekaman diikat ke domainnya, kredensial masuk ke kontainer hanya melalui masukan standar dan kemudian dibersihkan dari memori (bagian 6.5). Dua celah tersisa; butir ketiga hanya menyangkut pembacaan, bukan penyimpanan.

• Akses masuk tidak terenkripsi diizinkan. Pemeriksaan alamat mengizinkan http selain https (cfg/login_lib.php, scanner/src/login.js). Jika Pelanggan memasukkan halaman masuk dengan http, nama pengguna dan kata sandi melintasi internet dalam teks biasa pada setiap pemeriksaan.
• Kesalahan sertifikat tidak menghentikan proses masuk. Proses masuk saat ini tidak dibatalkan ketika sertifikat situs Pelanggan tidak sah (scanner/src/login.js). Karena itu, sertifikat tidak sepenuhnya melindungi kredensial dalam perjalanan ke situs Pelanggan. Pembatalan saat kesalahan sertifikat direncanakan (bagian 9.3, prioritas “pertama”).
• Nilai kolom tersembunyi di balik halaman masuk dibaca, bukan disimpan. Crawler membaca 24 karakter pertama nilai kolom tersembunyi (scanner/src/crawl.js), dan fungsi ekstraksi yang sama berjalan di balik halaman masuk (scanner/src/login.js). Di sana, kolom tersembunyi sering membawa nomor akun, pengenal pengguna, atau alamat e-mail akun yang masuk; namun hanya nama kolom, jenis, label, dan hasil deteksi yang masuk ke peta kolom dan temuan.

Ditambah hal yang tidak dapat dicegah kode: Pelanggan mengonfirmasi menggunakan akun uji dengan hak sesedikit mungkin (cfg/login_lib.php), tetapi dapat memasukkan akun administrator nyata. Halaman yang kemudian dibaca pemindai ditentukan Pelanggan; alamat yang memuat kata untuk keluar dan menghapus diblokir, tetapi tindakan lain yang dipicu situs web melalui permintaan sederhana tidak.

Kemungkinan – mungkin. Keparahan – serius jika akun dengan hak luas terdampak; area anggota dengan data semua pengguna kemudian terbuka. Tingkat – sedang untuk akun uji dengan sedikit hak, tinggi untuk akun nyata. Diukur pada sistem pengembangan, tidak ada akun uji yang disimpan.

R9 – Pengiriman uji aktif dan pemeriksaan berkas pada situs web Pelanggan

Pengiriman uji ditujukan kepada orang yang membaca e-mail formulir Pelanggan – karyawan atau penyedia layanannya. Pengiriman tidak memuat data pribadi: pengirimnya dummy@formexposed.com, teks dan subjek ditandai serta menyebut pengenal pemeriksaan (scanner/src/active.js). Risiko terletak pada salah klasifikasi: jika pemindai menganggap formulir lamaran, pemesanan, atau konsultasi sebagai formulir kontak, pesan uji akan masuk ke proses yang memiliki konsekuensi. Yang menentangnya adalah aturan ketat untuk “boleh dikirimkan” (scanner/src/classify.js), pemblokiran domain otoritas publik, lembaga pendidikan, klinik, praktik medis, kepolisian, dan pengadilan (scanner/src/classify.js), serta pengecualian model bahasa dari keputusan ini (scanner/src/classify.js). Dari respons disimpan status, alamat tujuan, judul, 300 karakter teks, dan gambar; semuanya berkaitan dengan pesan uji kami.

Pemeriksaan berkas membaca paling banyak 8 KB dari jalur lazim. Jika dump basis data benar-benar terekspos di sana, 8 KB ini dapat memuat entri formulir pengunjung. Isinya hanya diperiksa untuk ciri pengenal lalu dibuang (cfg/dateien_lib.php); yang disimpan adalah jalur, jenis, dan tingkat keparahan.

Kemungkinan – kecil. Keparahan – signifikan. Tingkat – rendah. Diukur pada sistem pengembangan, terdapat satu pemeriksaan aktif dalam kumpulan data, tanpa pengiriman yang diterima.

R10 – Klasifikasi model bahasa

Untuk formulir yang tidak dikenali aturan, model bahasa menerima judul halaman, alamat, teks tombol, deskripsi kolom, dan hingga 400 karakter teks formulir (scanner/src/classify.js). Ini dapat mencakup nama, misalnya “Narahubung Anda: …”. Model berjalan pada server kami sendiri; dalam kode, tidak ada yang dikirim kepada pihak ketiga. Apakah perangkat lunak model mencatat permintaan dalam log belum diverifikasi. Hasilnya hanya menentukan jenis formulir yang ditampilkan dan tidak dapat menjadikan formulir boleh dikirimkan; salah klasifikasi menghasilkan temuan lebih buruk, bukan tindakan.

Kemungkinan – kecil. Keparahan – terbatas. Tingkat – rendah.

R10 – Tahap rencana tindakan tambahan

Untuk laporan berbayar yang memenuhi syarat, model lokal yang sama juga menghasilkan langkah-langkah saran dari temuan yang dipilih dan metadata pemindaian. Berbeda dengan klasifikasi, keluarannya berupa ringkasan bahasa alami yang disimpan bersama pemindaian. Nama host, alamat halaman, dan catatan dapat mengandung data pribadi yang mungkin diulang oleh model. Rekomendasi yang keliru dapat menyebabkan pembaca melemahkan perlindungan atau melakukan perubahan yang tidak perlu; meneruskan tautan laporan dapat mengungkapkan data pribadi yang diulang kepada penerima lain. Kode tidak otomatis menjalankan rekomendasi, mengubah skor atau kesimpulan, atau memeriksa kebenaran faktual teks. Kode membatasi panjang masukan dan keluaran, memberi label ringkasan sebagai hasil AI, dan menyatakan bahwa temuan individual adalah acuan utama. Ini adalah pengendalian, bukan bukti bahwa rekomendasi benar atau laporan anonim. Penilaian kemungkinan dan tingkat keparahan klasifikasi yang terdahulu tidak dengan sendirinya menilai tahap pembuatan tambahan ini; risiko residualnya harus dinilai dengan data dan penggunaan sebenarnya dari pemeriksaan dasar.

R11 – Daftar blokir bersama dari laporan banyak situs web

Domain dalam daftar menyebabkan pesan dengan tautan ke sana masuk ke karantina pada semua situs web terhubung. Jika domain milik individu – perajin, fotografer, blog – pesannya yang memuat tautan ke situs web sendiri terlambat sampai kepada penerima. Domain tersebut dapat masuk daftar karena disalahgunakan pengirim spam, atau karena seseorang sengaja mengirim pesan yang gagal dengan domain tersebut ke beberapa situs web.

Yang menentangnya (cfg/swarm_lib.php): minimum tiga situs web berbeda dan lima kecocokan dalam tujuh hari; pengecualian tetap untuk layanan besar; tidak pernah domain Pelanggan kami; penghapusan manual melalui alat pada server; karantina alih-alih penghapusan; daftar dibangun ulang harian, dan yang tidak lagi dilaporkan dikeluarkan. Pihak terdampak tidak dapat melihat daftar dan tidak memiliki jalur sendiri untuk meminta penghapusan selain melalui kami.

Kemungkinan – mungkin. Keparahan – terbatas, karena tidak ada yang hilang dan penerima dapat melepaskan pesan. Tingkat – rendah hingga sedang. Jika jaringan IP diaktifkan, jaringan seluruh penyedia akan terdampak, alamat IP merupakan data pribadi, dan keparahan meningkat menjadi signifikan: tinggi.

R12 – Laporan dan tangkapan layar pada tautan publik

Laporan pemeriksaan gratis, pemeriksaan calon pelanggan, dan pemeriksaan domain Pelanggan dapat diakses tanpa masuk pada tautan acak. Tautan memuat 128 bit keacakan dan tidak dapat ditebak (cfg/check_lib.php). Halaman memuat noindex, aplikasi mengirim kebijakan perujuk yang hanya meneruskan asal (www/.htaccess), dan tangkapan layar hanya disajikan bersama laporan yang memilikinya; nomor gambar lain mengembalikan “tidak ditemukan” (www/shot.php). Risikonya bukan kriptografis, melainkan manusia: tautan diteruskan, disalin ke tiket, dibagikan dalam percakapan. Siapa pun yang membukanya hanya dicatat dalam log akses halaman seperti tampilan halaman mana pun (60 hari), yang menampilkan tautannya sendiri hanya dalam bentuk tersamarkan; tidak ada daftar pembaca per laporan.

Kemungkinan – mungkin. Keparahan – terbatas, karena laporan hanya menampilkan informasi publik dan kedaluwarsa masing-masing setelah 30 atau 90 hari; laporan domain Pelanggan tetap dapat diakses selama pemeriksaan ada (13 bulan, yang terakhir lebih lama). Tingkat – rendah.

R13 – Kelemahan infrastruktur

Butir berikut dicantumkan sebagai hal yang masih terbuka dalam paket peninjauan internal kami dan tidak ditutup-tutupi di sini. Kami menjelaskannya setepat yang dibutuhkan Pelanggan untuk penilaiannya sendiri, tetapi tidak sedemikian tepat sehingga uraian menunjukkan jalan kepada penyerang; kami memberikan detail kepada otoritas pengawas atas permintaan.

• Cadangan basis data saat ini disimpan pada lokasi yang sama dengan basis data dan tidak dienkripsi secara terpisah; salinan terenkripsi pada lokasi kedua direncanakan (cfg/backup_lib.php). Hingga saat itu, cadangan tidak melindungi dari kehilangan lokasi, dan siapa pun yang memperoleh basis data juga memperoleh cadangan. Kredensial pemindaian di balik halaman masuk hanya termuat di dalamnya sebagai teks sandi.
• Tanpa enkripsi basis data saat tersimpan. Pengecualian adalah kolom yang dienkripsi individual (kredensial akun uji, rahasia dua faktor).
• Koneksi dalam jaringan internal kami tidak seluruhnya dienkripsi.
• Administrasi server. Keamanan akses administratif ke server kami belum memenuhi standar operasional yang kami tuju; penguatan administrasi server terus berlangsung.
• Lingkungan pemeriksaan. Server pemindai membuka situs web pihak ketiga dalam browser. Kontainer pemeriksaan terisolasi – jaringan sendiri, tanpa hak istimewa khusus, hanya baca, dibatasi (scanner/src/worker.js). Pemisahan lingkungan pemeriksaan dan bagian layanan lainnya terus diperkuat (bagian 9.3).

Kemungkinan – mungkin. Keparahan – serius, karena dalam keadaan darurat semuanya terdampak sekaligus. Tingkat – tinggi. Butir individual dapat diperbaiki dengan cara biasa (bagian 9.3).

R14 – Hak subjek data bagi orang yang tidak mengenal kami

Siapa pun yang muncul secara insidental dalam tangkapan layar atau yang pesannya melalui salinan kontrol biasanya tidak mengetahui keberadaan kami. Bahkan jika tahu, mereka tidak memiliki kunci untuk data “miliknya”: kami tidak menyimpannya menurut orang, melainkan menurut domain dan pemeriksaan. Kami hanya dapat menjawab permintaan akses berdasarkan Pasal 15 jika orang tersebut menyebut domain; kemudian kami dapat memeriksa pemeriksaan dan gambar yang ada. Untuk pesan pengunjung nyata, tidak ada yang dapat diungkapkan karena kami tidak menyimpannya – kecuali domain pengirim dari R1. Opt-out hanya bekerja bagi pengelola domain, bukan orang yang ditampilkan; bagi mereka, jalur melalui contact@lukaswojcik.com tetap tersedia.

Kemungkinan – besar sebagai keadaan struktural. Keparahan – terbatas, karena data berumur singkat dan tidak disusun menurut orang. Tingkat – rendah.

9. (d) Langkah untuk menangani risiko

Setiap langkah memiliki status, dan status bukan hiasan. Telah diterapkan saat ini – diverifikasi berarti: dibaca dalam kode sistem pengembangan dan, jika memungkinkan, diukur terhadap basis data. Sebagian berarti: mekanisme ada tetapi belum sepenuhnya mencapai tujuan. Direncanakan berarti: diusulkan penilaian ini dan belum dibuat; apakah dan kapan ditentukan pemilik. Masih harus ditentukan adalah prosedur dan keputusan yang tidak dapat digantikan kode. DPIA yang menyajikan langkah terencana sebagai telah diterapkan kehilangan nilainya justru dalam keadaan saat diperlukan.

9.1 Telah diterapkan saat ini – diverifikasi

Langkah	Menangani	Rujukan sumber
robots.txt dibaca crawler sebelum setiap pemeriksaan; pengecualian yang mencakup halaman beranda, robots.txt tidak terjangkau, atau kesalahan server mengakhiri pemeriksaan (subjalur tidak diperhatikan individual; denyut, pengambilan bukti, alat header, dan pencarian berkas tidak membacanya)	R5, keabsahan	scanner/src/net.js
Opt-out tanpa bukti, langsung berlaku, untuk domain dan varian www-nya, bagi pemeriksaan anonim, calon pelanggan, studi, dan pemeriksaan Pelanggan (pemantauan berjalan berakhir pada pemeriksaan terjadwal berikutnya); diperiksa dua kali (aplikasi dan layanan pemeriksaan); hanya dicabut oleh kami atas permintaan dengan bukti	R5, R7, Pasal 21	cfg/check_lib.php; cfg/akquise_lib.php; cfg/studie_lib.php; scanner/src/worker.js
Pemeriksaan gratis: penghentian darurat, reCAPTCHA, satu pemeriksaan per domain dan minggu, batas per alamat IP dan sesi, batas harian, tanpa domain baru, hanya alamat publik, catatan dan sinyal tanpa isi jika anomali	R5	cfg/check_lib.php
Untuk batas, sesi hanya disimpan sebagai nilai hash, tidak pernah pengenal sesi	Minimalisasi	cfg/check_lib.php
Tanpa nilai kolom (bagian awal kolom tersembunyi dan atribut data hanya dibaca selama pemeriksaan, bagian 6.2); alamat penerima hanya sebagai domain; pengenal akun dalam alamat skrip disembunyikan	Minimalisasi	scanner/src/crawl.js
Laporan gratis merupakan cuplikan: hanya temuan dasar, tanpa bukti semua detektor	R5	cfg/check_lib.php, FE_FREE_DETEKTOREN
Laporan pada tautan acak 128-bit, noindex, gambar hanya untuk laporannya sendiri, di luar direktori web publik; tautan hanya muncul tersamarkan dalam log akses halaman	R12	cfg/check_lib.php; www/report.php; www/shot.php
Penghapusan: laporan anonim setelah 30 hari, calon pelanggan setelah 90 hari, pemeriksaan Pelanggan setelah 13 bulan (yang terakhir per domain disimpan selama domain ada), data domain yang dihapus langsung (pengecualian lihat bagian 6.11), gambar dalam setiap kasus ikut dihapus	Pembatasan penyimpanan	cfg/check_lib.php; cfg/fristen_lib.php
Studi: publikasi hanya sebagai jumlah agregat, segmen hanya mulai dari 20 situs web dengan formulir, data mentah dihapus saat publikasi	R4 sebagian, P3	cfg/studie_lib.php
Kontainer pemeriksaan: jaringan terisolasi sendiri, tanpa hak istimewa khusus, hanya baca, batas memori dan proses, batas waktu; filter terhadap tujuan privat untuk setiap permintaan, service worker diblokir dan koneksi WebSocket ditutup agar tidak ada yang melewati filter; permintaan server web hanya pada port web dan hanya ke alamat publik tepat yang diperiksa sebelumnya	R13	scanner/src/worker.js; scanner/src/net.js
Pemeriksaan aktif bagi Pelanggan hanya untuk domain terverifikasi (secara internal juga untuk domain uji dan demo kami sendiri) dan dengan penghentian darurat aktif, diperiksa dua kali; paling banyak lima pengiriman; hanya formulir kontak yang dikenali jelas tanpa data pribadi wajib; tanpa domain otoritas publik, lembaga pendidikan, klinik, praktik medis, kepolisian, atau pengadilan; model bahasa tidak boleh mengizinkan apa pun; pesan uji tanpa data pribadi, berlabel, dengan rujukan ke halaman crawler dan opt-out	R9	scanner/src/worker.js; scanner/src/classify.js; scanner/src/active.js
Alur browser: hanya GET dan HEAD, alamat berbahaya diblokir, nilai rekaan tidak meninggalkan browser, gambar dengan kolom masukan dihitamkan	R3 (untuk gambar ini), R9	scanner/src/browser.js
Pemeriksaan berkas: hanya domain terverifikasi, satu pengambilan per jalur, paling banyak 8 KB, isi tidak pernah disimpan	R9	cfg/dateien_lib.php
Probe kedua: nonaktif secara bawaan; hanya akan menerima daftar tetap unsur tidak berbahaya, bertanda tangan	Penerima	cfg/formular_probe_lib.php
Pemindaian di balik halaman masuk: hanya domain terverifikasi, paket berbayar, pemilik atau administrator, konfirmasi “akun uji”; enkripsi dengan kunci publik server pemindai, diikat ke domain; kredensial tidak pernah ditampilkan, dicatat dalam log, atau dikeluarkan melalui API; penyerahan hanya melalui masukan standar; kolom tugas langsung dikosongkan, sisa setelah satu jam; tanpa tangkapan layar, pengiriman, alamat keluar atau penghapusan, dibatalkan saat CAPTCHA; penghapusan final dengan penimpaan	R8	cfg/login_lib.php; scanner/src/login.js; scanner/src/geheim.js; scanner/src/worker.js
Kontrol pengiriman: nonaktif secara bawaan; pengambilan hanya membaca header dan 8 KB, tanpa penanda baca; isi dan alamat pengunjung tidak pernah dalam basis data; setiap e-mail yang diambil dihapus, termasuk yang tidak dapat dikaitkan; keterkaitan dihapus setelah 180 hari; bukti hanya melalui salinan uji yang tepat ini	R1, R2	cfg/zustellung_lib.php
Perlindungan swarm: hanya domain, jaringan IP nonaktif; jumlah minimum; pengecualian layanan besar dan domain Pelanggan; karantina alih-alih penghapusan; daftar dibangun ulang harian; laporan dihapus setelah 30 hari	R11	cfg/swarm_lib.php
Model bahasa pada server kami sendiri, tanpa hak untuk mengirimkan	R10	scanner/src/classify.js
Rencana tindakan: pembuatan lokal dari temuan yang dipilih, tanpa tangkapan layar atau nilai kolom yang dimasukkan dalam prompt; jumlah temuan dan panjang catatan dibatasi; teks biasa yang dibersihkan dengan panjang terbatas; pemberitahuan AI yang terlihat, temuan individual sebagai acuan utama; tanpa perubahan otomatis situs web atau keputusan skor/kesimpulan	R10 sebagian; saran yang keliru dan data pribadi insidental tetap mungkin	cfg/plan_lib.php; www/report.php
Sinyal melalui Telegram hanya memuat kalimat tetap tanpa variabel	Penerima	cfg/check_lib.php
Uji pemulihan cadangan mingguan, dengan peringatan saat gagal	Ketersediaan	cfg/backup_lib.php; srv/cron_status.php

9.2 Sebagian – ada, tetapi belum mencapai tujuan

Langkah	Mengapa belum sepenuhnya efektif
Tangkapan layar yang “dibersihkan”	Hanya gambar alur browser yang dihitamkan. Gambar crawler – halaman beranda dan elemen formulir – serta gambar halaman respons pemeriksaan aktif tidak (R3).
Periode data pemeriksaan	Efektif untuk pemeriksaan anonim, calon pelanggan, dan Pelanggan; tidak untuk pemeriksaan internal dan studi yang belum dipublikasikan; catatan anomali yang belum diselesaikan tanpa batas waktu (R4).
Penghapusan salinan kontrol	Efektif dari pandangan kami atas kotak surat. Jika pelaksanaan terhenti, e-mail tetap ada; yang disimpan penyedia kotak surat dalam cadangannya sendiri belum diverifikasi (R2).
Perlindungan kredensial pemindaian di balik halaman masuk	Kuat saat tersimpan dan dalam layanan pemeriksaan; tidak dalam perjalanan ke situs web: http diizinkan, kesalahan sertifikat diabaikan (R8).
Bukti kendali	Diperiksa sekali lalu berlaku selamanya; namun nama host domain dengan bukti kendali tidak dapat diubah agar bukti tidak beralih ke host lain (R7).
Informasi kepada subjek data	Ada untuk pengelola melalui halaman crawler, pengenal, Kebijakan Privasi, dan opt-out; untuk pengunjung dalam kontrol pengiriman bergantung pada Pelanggan menerapkan blok teks; aplikasi tidak memeriksanya.
Permintaan kepada Pelanggan agar tidak memasukkan kategori khusus dalam salinan kontrol	Dinyatakan dalam dokumen hukum, tetapi tidak didukung teknis: saat penyiapan, aplikasi tidak menanyakan jenis situs web dan tidak memperingatkan domain yang menyerupai kesehatan, hukum, atau pendidikan (R1).

9.3 Direncanakan – belum diterapkan

Langkah	Menangani	Prioritas
Jalur penghapusan pemeriksaan internal: hapus pemeriksaan tanpa domain dan tanpa laporan setelah periode tetap (usulan: 30 hari); hapus data mentah studi paling lambat periode tetap setelah selesai, bahkan tanpa publikasi (usulan: 90 hari); hapus sekali 85 pemeriksaan yang ada dengan 369 gambar	R4	Pertama
Aktifkan kontrol pengiriman hanya setelah kontrak penyedia kotak surat dibuat, lokasi penyimpanan, subprosesor, dan masa cadangan didokumentasikan, mekanisme transfer penyedia kotak surat diklarifikasi, serta catatan MX domain kami menunjuk langsung ke kotak surat; hingga saat itu, pertahankan fungsi diblokir dalam sistem produksi	R2	Pertama
Periksa keamanan pengambilan kotak surat pada sistem produksi dan dokumentasikan sebelum kontrol pengiriman diaktifkan	R2	Pertama
Pemindaian di balik halaman masuk hanya melalui https dan dengan sertifikat sah; tolak alamat http; kesalahan sertifikat saat masuk sebagai alasan pembatalan	R8	Pertama
Jangan simpan nilai kolom tersembunyi di balik halaman masuk (hanya nama, jenis, dan panjang) – sudah diterapkan demikian, tanpa langkah tambahan	R8	Selesai
Batasi salinan kontrol pada pesan uji jika plugin atau ekstensi digunakan: salinan tersembunyi hanya untuk pengiriman dengan pengenal uji kami	R1	Tinggi
Jangan simpan domain pengirim pesan nyata atau tulis dalam peringatan jika bukan domain situs web maupun layanan pengiriman yang dikenal; dalam peringatan, gunakan “domain pengirim asing” sebagai gantinya	R1	Tinggi
Peringatan saat menyiapkan kontrol pengiriman untuk domain yang menyerupai kesehatan, hukum, layanan sosial, atau pendidikan, dengan rujukan ke DPIA Pelanggan sendiri	R1	Tinggi
Perbarui bukti kendali secara berkala (usulan: sebelum setiap pemeriksaan aktif, verifikasi apakah catatan DNS, tag meta, berkas, atau koneksi plugin masih ada; jika tidak, lanjutkan pasif dan beri tahu Pelanggan)	R7	Tinggi
Hentikan pengambilan gambar halaman beranda, atau hanya dengan gambar dan wajah dihitamkan; batasi gambar formulir pada elemen formulir (seperti saat ini) dan samarkan kolom masukan seperti alur browser	R3	Tinggi
Pemberitahuan dalam antarmuka pemeriksaan calon pelanggan: mengirim temuan singkat tanpa diminta melalui e-mail atau telepon merupakan pemasaran langsung bahkan antarpelaku usaha dan memerlukan persetujuan sebelumnya (Pasal 398 Undang-Undang Komunikasi Elektronik Polandia; di Jerman § 7(2) UWG, meskipun persetujuan yang diperkirakan cukup untuk panggilan kepada pelaku usaha)	R6	Tinggi
Infrastruktur: selesaikan penguatan administrasi server; salinan terenkripsi cadangan pada lokasi kedua; enkripsi seluruh koneksi jaringan internal; perkuat lagi pemisahan server pemindai dan aplikasi	R13	Tinggi
Periode catatan anomali yang belum diselesaikan (usulan: penyelesaian dalam 30 hari, jika tidak, penghapusan alamat IP)	R4	Sedang
Halaman atau formulir untuk meminta penghapusan domain dari perlindungan swarm	R11, R14	Sedang
Sebelum mengaktifkan jaringan IP dalam perlindungan swarm: versi baru penilaian ini	R11	Syarat
Catat apakah perangkat lunak model bahasa menyimpan permintaan dan, jika ya, nonaktifkan log tersebut	R10	Rendah

9.4 Prosedur dan keputusan yang masih harus ditentukan

Selain perlindungan teknis, Pasal 35(7)(d) juga mewajibkan prosedur. Hal berikut masih tertunda:

• Pelanggaran data pribadi. Deteksi: pemilik, peringatan kesalahan aplikasi, laporan melalui titik pelaporan kerentanan, atau contact@lukaswojcik.com. Keputusan pemberitahuan kepada UODO dalam 72 jam (Pasal 33(1)): pemilik. Pemberitahuan kepada Pelanggan terdampak sebagai pengendali: tanpa penundaan yang tidak semestinya, jika memungkinkan dalam 48 jam, sebagaimana dijanjikan dalam Perjanjian Pemrosesan Data. Harus ditentukan: uraian prosedur tertulis dan latihan pertama; untuk kontrol pengiriman, juga cara menentukan Pelanggan yang terdampak pelanggaran pada penyedia kotak surat.
• Sektor. Harus ditentukan: apakah kontrol pengiriman ditawarkan, ditawarkan dengan peringatan, atau dikecualikan untuk situs web kesehatan, hukum, layanan sosial, dan pendidikan.
• Pemeriksaan internal. Harus ditentukan: tujuan penggunaan pemeriksaan internal dari baris perintah oleh penyedia, siapa yang boleh membuatnya, dan berapa lama hasilnya tetap ada; serta apakah selain dalam Catatan Aktivitas Pemrosesan perlu disebut dalam Kebijakan Privasi.
• Studi. Harus ditentukan: siapa menyusun daftar, dari sumber apa, dengan ukuran maksimum berapa, serta pemeriksaan sebelum setiap studi apakah sesuai asumsi penilaian ini.
• Pandangan subjek data (Pasal 35(9)). Pandangan belum diminta untuk versi ini. Pasal 35(9) hanya mewajibkan permintaan “jika sesuai”; menurut penilaian kami, saat ini tidak demikian di sini. Pengelola situs web yang diperiksa dan pengunjung situs web Pelanggan tidak memiliki kanal sendiri kepada kami; menyapa mereka secara khusus akan merupakan pemrosesan data baru, dan layanan belum diluncurkan sehingga belum ada kelompok subjek data sebenarnya. Kepentingan mereka diperhitungkan secara tidak langsung: melalui robots.txt dan opt-out, melalui periode singkat, serta fakta bahwa isi salinan kontrol tidak disimpan. Pada setiap peninjauan berdasarkan bagian 12, kami mempertimbangkan ulang apakah permintaan pandangan sesuai, misalnya melalui umpan balik pada halaman crawler atau dari Pelanggan kontrol pengiriman.

10. Risiko tersisa dan konsultasi terlebih dahulu berdasarkan Pasal 36

Pasal 36(1) mewajibkan konsultasi terlebih dahulu dengan otoritas pengawas jika DPIA menunjukkan bahwa pemrosesan akan menghasilkan risiko tinggi tanpa langkah pengendali untuk mengurangi risiko. Karena itu, pertanyaannya bukan apakah risiko tinggi ditemukan – ada empat – melainkan apakah risiko tinggi tetap ada setelah langkah diterapkan.

Untuk operasi pemrosesan yang pengendalinya adalah formexposed (P1 hingga P4, P7), risiko tinggi R4 dan R13 dapat diperbaiki dengan cara biasa: jalur penghapusan dan pembersihan data yang ada, cadangan terenkripsi di luar lokasi, serta penguatan dua server. Dengan langkah dari 9.3, risiko turun menjadi rendah hingga sedang. R3, R5, R6, dan R7 berada pada sedang dan turun menjadi rendah dengan langkah yang diusulkan. Perlindungan swarm tanpa jaringan IP tetap rendah hingga sedang. Konsultasi terlebih dahulu tidak diperlukan berdasarkan indikasi untuk bagian ini jika langkah berlabel “pertama” dan “tinggi” diterapkan sebelum peluncuran. Jika salah satu langkah belum diterapkan sebelum peluncuran, risiko tinggi tetap ada untuk operasi pemrosesan terkait. Operasi tersebut kemudian hanya dimulai setelah langkah diterapkan, atau UODO terlebih dahulu dikonsultasikan berdasarkan Pasal 36(1).

Untuk kontrol pengiriman (P6), keadaannya berbeda karena alasan yang tidak sepenuhnya dihilangkan langkah apa pun: yang ditulis pengunjung ditentukan pengunjung sendiri. Dengan kontrak yang dibuat, pengambilan yang diamankan, pembatasan pada pesan uji jika memungkinkan, dan tidak menggunakan domain pengirim, R2 turun menjadi rendah dan R1 menjadi sedang. Bagi Pelanggan yang pengunjungnya biasanya memberikan data berdasarkan Pasal 9, R1 masih dapat tetap tinggi. Kewajiban konsultasi kemudian berada pada Pelanggan sebagai pengendali, bukan formexposed. Rekomendasi kami kepada Pelanggan tersebut adalah tidak menyiapkan salinan kontrol untuk formulir kontak umum, melainkan hanya untuk formulir tanpa isi sensitif, atau tidak menggunakan kontrol pengiriman.

Risiko tersisa, dinyatakan jujur. Saat ini, dengan langkah dari 9.1, empat risiko berada pada tinggi: R1 dan R2 (kontrol pengiriman), R4 (data pemeriksaan tanpa jalur penghapusan), dan R13 (infrastruktur). Dengan langkah dari 9.3, R2, R4, dan R13 turun menjadi rendah hingga sedang. R1 tetap sedang dan bergantung secara permanen pada keputusan Pelanggan. Tidak ada risiko lain di atas sedang setelah langkah diterapkan.

Pasal 36 bukan hukuman, dan berkonsultasi bukan pengakuan. Itu merupakan jalur yang disediakan Regulasi untuk keadaan ketika prosedur berguna membawa risiko yang tidak sepenuhnya dikendalikan pengendali. Pelanggan yang ingin menggunakan kontrol pengiriman untuk pesan berisi data kesehatan menemukan fakta untuk keputusan tersebut di sini.

11. Yang diperlukan Pelanggan untuk DPIA sendiri (Pasal 28(3)(f))

Untuk kontrol pengiriman dan pemindaian di balik halaman masuk, Pelanggan merupakan pengendali. Halaman ini memberikan uraian (bagian 6.5 dan 6.6), risiko dari perspektif kami (R1, R2, R8), serta status langkah (bagian 9). Hanya Pelanggan yang dapat menjawab pertanyaan berikut:

1. Apa yang ditulis pengunjung saya? Apakah data kesehatan, agama, asal-usul, keanggotaan serikat pekerja, orientasi seksual, tindak pidana, atau tentang anak-anak diperkirakan masuk melalui formulir? Jika ya, DPIA untuk salinan kontrol umumnya diperlukan, dan salinan kontrol formulir ini sebaiknya dipertimbangkan ulang.
2. Apakah saya memerlukan salinan kontrol untuk semua pesan? Untuk membuktikan pesan uji kami tiba, salinan pesan tersebut cukup. Jika formulir memungkinkan, tetapkan salinan tersembunyi hanya untuk pesan uji.
3. Bagaimana saya memberi tahu pengunjung? Perjanjian Pemrosesan Data mewajibkannya; Teks Kebijakan Privasi untuk Situs Web Anda menjelaskan jalur salinan dan peran kami.
4. Dasar hukum apa yang saya miliki? Teks yang kami sarankan menyebut Pasal 6(1)(f) (penerimaan pertanyaan yang andal). Untuk data berdasarkan Pasal 9, dasar ini saja tidak cukup.
5. Kanal peringatan mana yang saya pilih? Peringatan pemeriksaan keaslian dapat menyebut domain pengirim. Siapa pun yang mengirim peringatan ke layanan percakapan di luar UE mentransfernya ke sana.
6. Untuk pemindaian di balik halaman masuk: Apakah akun uji benar-benar akun uji dengan hak minimum yang diperlukan? Apakah halaman masuk hanya dapat dijangkau melalui https? Apakah akun uji melihat data pengguna lain? Jika ya: pada halaman yang ditentukan mana?
7. Kapan saya menghapus? Kontrol pengiriman dan akun uji dapat dinonaktifkan dan dihapus kapan pun; akun uji kemudian ditimpa secara permanen.

Dokumen lain untuk penilaian Pelanggan: Perjanjian Pemrosesan Data, Langkah Teknis dan Organisasional, daftar Subprosesor, dan Catatan Aktivitas Pemrosesan. Kami menjawab pertanyaan tentang fakta individual di contact@lukaswojcik.com.

12. Peninjauan, versi, dan persetujuan

Pasal 35(11) mewajibkan peninjauan untuk menilai apakah pemrosesan dilakukan sesuai DPIA, setidaknya ketika risiko berubah. Kami meninjau penilaian ini setidaknya setiap tahun serta sebelum setiap peristiwa berikut; masing-masing memicu pengukuran baru, bukan sekadar pembacaan:

• peluncuran operasional produksi, dengan angka sistem produksi alih-alih pengembangan;
• pengaktifan pertama kontrol pengiriman pada sistem produksi dan penutupan kontrak penyedia kotak surat;
• pengaktifan jaringan IP dalam perlindungan swarm;
• studi pertama, dan setiap studi dengan daftar lebih besar daripada sebelumnya;
• pengaktifan probe kedua atau penerima baru dalam jalur pemeriksaan;
• setiap penggunaan baru model bahasa di luar penggunaan yang dicakup penilaian ini; rencana tindakan berurutan berdasarkan prioritas dalam laporan berbayar merupakan penggunaan tambahan dan memerlukan peninjauan penilaian;
• setiap perubahan tangkapan layar, periode, atau prasyarat pemeriksaan aktif.

Butir	Entri
Pengendali	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polandia · NIP 7252266190 · contact@lukaswojcik.com
Otoritas pengawas yang berwenang	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Polandia
Pejabat perlindungan data	Tidak ditunjuk; penilaian berdasarkan Pasal 37 dalam bagian 4
Dasar fakta	Kode sumber aplikasi dan layanan pemeriksaan, skema basis data, jumlah baris dan pengaturan sistem pengembangan, diukur pada 11 Oktober 2026, hanya baca
Dokumen terkait	Kebijakan Privasi, Perjanjian Pemrosesan Data, Langkah Teknis dan Organisasional, Subprosesor, Catatan Aktivitas Pemrosesan, UU AI UE, Penggunaan yang Dapat Diterima dan Penyalahgunaan, FormExposedBot, Opt-out
Versi	1.1 tanggal 23 Oktober 2026; adendum faktual mengenai tahap rencana tindakan lokal terhadap versi pertama tanggal 11 Oktober 2026
Peninjauan berdasarkan Pasal 35(11)	23 Oktober 2026: peninjauan kode sumber tahap rencana tindakan lokal yang ditambahkan. Masukan, penyimpanan, peran, keluaran berupa saran, dan pengamanan yang diterapkan ditambahkan ke bagian terkait; tidak dinyatakan adanya pengukuran produksi yang telah selesai atau penilaian risiko residual baru. Pengukuran terdahulu tanggal 11 Oktober 2026 dan status persetujuan di bawah tetap tidak berubah. Peninjauan berikutnya dicatat di sini dengan tanggal, alasan, dan hasil.
Persetujuan	Belum disetujui. Persetujuan oleh pemilik setelah peninjauan hukum dan keputusan tentang langkah bagian 9.3 serta pertanyaan bagian 9.4. Nasihat perlindungan data eksternal belum diminta hingga saat ini.

Satu pengamatan penutup layak masuk dalam dokumen, bukan surat pengantar. Bagian formexposed yang menjangkau paling jauh ke domain orang lain – pengiriman uji dan akses masuk dengan kredensial orang lain – dibuat paling hati-hati: dua gerbang, batas tegas, enkripsi yang bahkan menghalangi kami sendiri. Risiko dalam penilaian ini kebanyakan terletak di tempat lain: pada hal yang ikut terbawa secara insidental – pesan nyata dalam salinan tersembunyi, orang dalam tangkapan layar, pemeriksaan yang tidak lagi dihapus siapa pun. Ini titik awal yang menguntungkan karena hal insidental dapat dihentikan tanpa mengubah layanan.