Tæknilegar og skipulagslegar ráðstafanir

Þetta skjal er birt á nokkrum tungumálum. Ef misræmi er milli tungumálaútgáfnanna er pólska útgáfan bindandi.

Útgáfa 1.1 · Síðast uppfært: 22. október 2026

Ráðstafanir samkvæmt Art. 32 GDPR sem LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, notar til að vernda þjónustuna formexposed. Þessi síða er hluti Vinnslusamningsins sem viðauki 2.

1. Gildissvið og meginregla

Ráðstafanirnar gilda um öll gögn sem þjónustan vinnur: gögnin sem við vinnum fyrir hönd Viðskiptavina okkar (lýst í Vinnslusamningnum) og gögnin sem við erum sjálf ábyrgðaraðili að, svo sem viðskiptavinaaðganga og annála. Ekki eru aðskilin verndarstig fyrir hvort tveggja; það sem verndar aðganginn verndar einnig gögnin í vinnslu fyrir hönd viðskiptavina.

Uppbygging samkvæmt Art. 32(1) GDPR. Fjallað er um notkun gerviauðkenna og dulkóðun (liður (a)) í kafla 4; viðvarandi trúnað, heilleika, tiltækileika og viðnámsþrótt kerfanna (liður (b)) í köflum 3, 5, 6 og 7; getu til að endurheimta tiltækileika tímanlega eftir atvik (liður (c)) í kafla 7.1; ferlið til að prófa, meta og leggja mat á árangur reglulega (liður (d)) í kafla 9. Við völdum ráðstafanirnar á grundvelli áhættunnar sem lýst er í Mati okkar á áhrifum á persónuvernd, með hliðsjón af stöðu tækninnar og kostnaði við innleiðingu.

Meginregla: mælt fremur en fyrirhugað. Aðeins það sem hefur í raun verið innleitt í kóða eða rekstur er tilgreint hér. Það sem er fyrirhugað en ekki enn innleitt er sérstaklega talið upp sem „fyrirhugað“ í kafla 10. Ráðstöfun sem vantar hér er ekki þegjandi til staðar.

Heiti véla, innri vistföng, gáttir, notandanöfn og hugbúnaðarútgáfur eru vísvitandi ekki tilgreind. Þau hjálpa engum að meta ráðstafanirnar en hjálpa þeim sem vill fara fram hjá þeim. Sá sem þarf þau vegna úttektar samkvæmt Vinnslusamningnum fær þau við þá úttekt undir trúnaði að því marki sem þau eru nauðsynleg fyrir úttektina.

2. Uppbygging þjónustunnar

Þjónustan keyrir á tveimur eigin þjónum þjónustuveitandans í Póllandi sem eru á sama innra neti:

Vefþjónn með gagnagrunni. Hann afhendir forritið, geymir gagnagrunninn, sendir tilkynningar og tekur öryggisafrit af gögnunum. Aðeins hann er stilltur til að taka við beiðnum af internetinu.
Skönnunarþjónn. Hann framkvæmir athuganir á vefsvæðum þriðju aðila og eigin vefsvæðum í vafra og keyrir tungumálalíkanið sem flokkar einstök eyðublöð, tekur niðurstöður skönnunar saman í forgangsraðaðar aðgerðaáætlanir fyrir greidda aðganga og bætir kóða við í „Fix it for me“. Hann er ekki stilltur til að taka við beiðnum af internetinu heldur sækir sjálfur verk sín frá vefþjóninum og skilar niðurstöðunum þangað.

Enginn hýsingar-, gagnavers- eða skýjaþjónustuveitandi kemur að rekstrinum og ekkert fer til ytri gervigreindarþjónustu. Hvaða þriðju aðilar fá gögn kemur fram á síðunni Undirvinnsluaðilar.

3. Trúnaður

3.1 Aðgangsstýring að húsnæði

Þjónarnir eru í húsnæði þjónustuveitandans í Póllandi sem er ekki opið almenningi. Aðeins eigandinn hefur aðgang (samkvæmt upplýsingum rekstraraðilans). Nákvæmt heimilisfang staðarins er vísvitandi ekki gefið upp hér.

3.2 Aðgangsstýring: innskráning í þjónustuna

Lykilorð eru aðeins vistuð sem tætigildi með staðalaðferð PHP (bcrypt). Ef staðalaðferðin breytist er tætigildið endurnýjað við næstu innskráningu. Við innskráningartilraun með óþekktu netfangi reiknar þjónninn samt tætigildi svo svartíminn gefi ekki upp hvort aðgangur sé til. Sömuleiðis gefur svar við beiðni um endurstillingu lykilorðs hvorki með orðalagi né lengd vinnslu upp hvort aðgangurinn sé til; tölvupóstur til endurstillingar er sendur á sama netfang að hámarki þrisvar á klukkustund. Ný lykilorð verða að vera að minnsta kosti tíu stafir og mega ekki vera lengri en 72 bæti (UTF-8) vegna þess að bcrypt tekur ekki tillit til fleiri bæta. Breyting lykilorðs skráir öll önnur tæki út; endurstilling þess með tengli skráir öll tæki út og tengillinn gildir aðeins einu sinni.
Lokun eftir misheppnaðar tilraunir. Misheppnaðar innskráningar eru taldar fyrir hvert IP-netfang; eftir of margar á skömmum tíma (nú átta á 15 mínútum) er innskráningu frá því vistfangi tímabundið lokað. Árangursrík innskráning núllstillir þennan teljara. Tilraununum er eytt eftir sjö daga. Að auki er fyrir hverja athugun lykilorðs talin ein tilraun fyrir hvern aðgang (fyrir óþekkt netfang, fyrir slegið inn netfang) og hvert IP-netfang, einnig árangursríkar tilraunir: nú að hámarki átta fyrir hvern aðgang frá sama IP-netfangi og 80 fyrir hvert IP-netfang á 15 mínútum; mun hærri mörk gilda fyrir hvern aðgang yfir öll vistföng samanlagt til varnar dreifðri ágiskun. Misheppnaðar tilraunir frá öðru vistfangi loka því ekki lengur eigandann úti af aðgangi. Þessir teljarar innihalda aðeins HMAC-lykil, ekkert netfang eða IP-netfang á ódulkóðuðu formi, og renna út með tímaglugga sínum. Ef gagnageymsla teljaranna er ekki tiltæk er innskráningu hafnað en ekki hleypt í gegn. Sams konar mörk gilda um staðfestingu lykilorðs fyrir breytingu lykilorðs eða netfangs, virkjun eða afvirkjun annars þáttar, flutning vinnusvæðis, gagnaútflutning og eyðingu aðgangs (fimm tilraunir fyrir hvern aðgang á 15 mínútum), nýskráningar (tíu fyrir hvert IP-netfang á klukkustund) og lykilorð viðskiptavinagátta (tíu tilraunir fyrir hverja gátt og hvert IP-netfang, 50 fyrir hverja gátt á 15 mínútum).
Annar þáttur. Hver aðgangur getur virkjað innskráningu með einnota kóða samkvæmt RFC 6238 (TOTP). Leyndargildið fyrir það er vistað dulkóðað í gagnagrunninum; lykillinn er ekki vistaður í gagnagrunninum svo útdráttur úr gagnagrunni einn og sér nægir ekki. Samþykktur kóði gildir ekki öðru sinni. Tíu endurheimtarkóðar eru aðeins vistaðir sem tætigildi. Einnota kóðar og endurheimtarkóðar eru takmarkaðir við tíu tilraunir fyrir hvern aðgang á 15 mínútum, einnig við uppsetningu.
Stjórnunarsvæði aðeins með öðrum þætti. Stjórnunarsvæði rekstraraðilans opnast aðeins fyrir aðganga með virkan annan þátt. Uppsetningargátlistinn tilkynnir hvern stjórnandaaðgang sem vantar annan þátt.
Lotur. Forritabútar geta ekki lesið lotuvafrakökuna (HttpOnly), hún er aðeins send um HTTPS (Secure) og er ekki send með beiðnum frá vefsvæðum þriðju aðila sem gætu breytt einhverju (SameSite=Lax). Við innskráningu er búið til nýtt lotuauðkenni svo auðkenni sem hefur verið komið fyrir fyrirfram gildir ekki lengur; þjónninn samþykkir ekki lotuauðkenni sem hann hefur ekki gefið út sjálfur. Hver aðgangur sér innskráð tæki sín og getur skráð þau út hvert fyrir sig.
„Halda mér innskráðum“ er valfrjálst og gildir í 30 daga en ekki fyrir aðganga með stjórnunarheimildir; þeir skrá sig alltaf inn með lykilorði og öðrum þætti. Auðkennið er úr tveimur hlutum; staðfestingarhlutinn er aðeins vistaður sem tætigildi í gagnagrunninum. Hver notkun skiptir því út fyrir nýtt og jafnvel við samtímis beiðnir gildir hvert auðkenni aðeins einu sinni svo vart verður við stolið auðkenni í síðasta lagi við næstu raunverulegu heimsókn.
Tenglar í tölvupósti. Tenglar til að staðfesta netfang og endurstilla lykilorð eru aðeins vistaðir sem tætigildi í gagnagrunninum. Endurstillingartengillinn gildir í eina klukkustund, tengillinn til að staðfesta skráningu í 72 klukkustundir og tengillinn til að staðfesta breytt netfang í 24 klukkustundir. Ef netfanginu er breytt verður opinn endurstillingartengill ógildur.
Viðmót. API-lyklar, tengingarkóðar viðbótanna og dreifingarkóðar eru aðeins vistaðir sem tætigildi. Aðeins má nota API-lykla takmarkað oft á mínútu; tengingarkóðar viðbótanna gilda í 15 mínútur og aðeins einu sinni.
Vörn gegn botum á opinberu eyðublöðunum (nýskráningu, innskráningu, lykilorði, athugun, hausverkfæri, útilokun, aðstoð og tengiliðum): Google reCAPTCHA sem hleðst aðeins við innsendingu. Aðeins er samþykkt gilt svar frá Google með nægri stigatölu fyrir nákvæmlega aðgerð eyðublaðsins; ef Google svarar ekki innan þriggja sekúndna er innsendingunni hafnað. Nánari upplýsingar eru í Persónuverndarstefnunni.

3.3 Aðgangsstýring: stjórnun þjóna

Þjónninn sem er aðgengilegur af internetinu notar pakkasíu til að heimila aðeins þær þjónustur sem hann býður og lokar sjálfkrafa á vistföng eftir ítrekaðar misheppnaðar innskráningar í stjórnun þjónsins.
Sjálfvirkir ferlar milli þjónanna nota eigin lykla með þröngt afmörkuðum heimildum. Lykillinn sem vefþjónninn notar til að afhenda nýjar útgáfur skannans má aðeins keyra fastan lista skipana á skönnunarþjóninum og má aðeins afrita með skrifaðgangi einum inn í möppu skannans; gagnvirk innskráning er ekki möguleg með honum og hver höfnuð skipun er skráð. Sömuleiðis má skönnunarþjónninn aðeins skrifa skjáskot í tiltekna möppu á vefþjóninum.
Ferlið sem afhendir vefsvæðið hefur hvorki skrifaðgang að uppsetningunni í rekstri né lykil að skönnunarþjóninum. Dreifing sem ræst er á stjórnunarsvæðinu skráir aðeins verk sem sérstök keyrsla framkvæmir.
Leyndarmál svo sem innskráningarupplýsingar gagnagrunns og lyklar eru geymd í stillingaskrám utan möppunnar sem er miðlað og eru ekki afrituð með við dreifingu. Stillingum vefþjónsins er ekki dreift um vefviðmótið.

3.4 Heimildastýring: réttindi innan þjónustunnar

Hlutverk. Hvert vinnusvæði hefur hlutverkin eigandi, stjórnandi og skoðandi. Breytingar, eyðing, boð og vistun innskráningarupplýsinga eru frátekin eigendum og stjórnendum; aðeins eigandinn má breyta hlutverkum og fjarlægja meðlimi. Boð gildir aðeins svo lengi sem sá sem sendi það er enn eigandi eða stjórnandi. Skoðendur sjá vistföng vefkróka og spjallrása aðeins stytt niður í vélarheitið vegna þess að vistfangið eitt nægir til að birta í rásinni. Athugunin fer fram á þjóninum en ekki aðeins í viðmótinu.
Binding við vinnusvæðið. Lén og stillingar eru aðeins aðgengileg meðlimum vinnusvæðisins. Fyrir hverja athugun býr Þjónustan til skýrslu undir slembivöldum tengli sem ekki er hægt að giska á; niðurstöður og skjáskot athugunar eru aðgengileg um þennan tengil án innskráningar, skjáskot aðeins ásamt tengli skýrslu sinnar. Tengillinn birtist á aðgangnum og í viðvörunum; sá sem miðlar honum miðlar skýrslunni.
Beiðnir sem breyta stöðu krefjast öryggisauðkennis fyrir hverja lotu (CSRF-vörn) sem er borið saman í föstum keyrslutíma.
„Skoða sem viðskiptavinur“. Vegna aðstoðar getur rekstraraðilinn séð forritið eins og Viðskiptavinur sér það. Skoðuninni lýkur eftir eina klukkustund, hún lokar fyrir breytingar á lykilorði, netfangi, öðrum auðkenningarþætti, tækjum, áskrift, útflutningi og eyðingu, lokar stjórnunarsvæðinu á meðan og er skráð. Þegar henni lýkur er rekstraraðilinn skráður alveg út; hann getur aðeins snúið aftur á stjórnunarsvæðið með nýrri innskráningu með lykilorði og öðrum þætti. Viðskiptavinurinn getur séð þetta í gagnaútflutningi sínum.
Stjórnun. Aðeins fáir sérstaklega heimilaðir aðgangar hafa stjórnunarheimildir; hver endurstilling annars þáttar af hálfu stjórnunar er skráð.

3.5 Aðskilnaðarstýring

Gögn viðskiptavina eru röklega aðskilin eftir vinnusvæði. Hver lestrar- og skrifleið á innskráða svæðinu ber þessa bindingu með sér; skýrslur eru einnig aðgengilegar um tengil sinn (kafli 3.4).
Þróun og rekstur keyra í aðskildum uppsetningum með aðskildum gagnagrunnum og aðskildum gagnagrunnsnotendum. Þróunarnotandinn hefur ekki aðgang að rekstrargagnagrunninum. Raunveruleg viðskiptavinagögn eru ekki afrituð inn í þróunarumhverfið; þar vinnum við með tilbúin dæmigögn.
Fyrir hvert umhverfi hefur skanninn eigin innskráningarupplýsingar með réttindi aðeins að þeim gögnum sem hann þarf fyrir verk sín. Hann getur ekki lesið aðganga notenda, greiðslur eða annála.
Aðrar þjónustur sama veitanda keyra einnig á vefþjóninum. Þær hafa eigin gagnagrunna og eigin gagnagrunnsnotendur án aðgangs að gögnum þessarar þjónustu.

4. Dulkóðun, notkun gerviauðkenna og lágmörkun gagna

4.1 Innskráningarupplýsingar fyrir skönnun bak við innskráningu

Fyrir þennan eiginleika vistar Viðskiptavinurinn notandanafn og lykilorð prófunaraðgangs. Þetta eru viðkvæmustu gögn þjónustunnar og eru því vernduð á annan hátt en allt annað:

Við vistun dulkóðar vefþjónninn þau með opinberum lykli skönnunarþjónsins (ECIES: X25519 með einnota lykli fyrir hverja færslu, HKDF-SHA256, AES-256-GCM). Einkalykillinn er aðeins til á skönnunarþjóninum. Vefþjónn, gagnagrunnur og öryggisafrit innihalda aðeins dulmálstexta; við getum heldur ekki lesið hann þar.
Hver færsla er bundin dulritunarlega við lén sitt. Ef hún er færð á annað lén mistekst afdulkóðun.
Fyrir skönnun er dulmálstextinn festur við verkið. Skönnunarþjónninn afdulkóðar hann og sendir innskráningarupplýsingarnar aðeins um staðalinntak í athugunargáminn, aldrei sem skipanalínuviðfang sem væri sýnilegt á ferlalistum. Um leið og skönnunarþjónninn hefur lesið hann er dulmálstextanum eytt úr verkinu; keyrsla hreinsar allar leifar í síðasta lagi eftir eina klukkustund.
Innskráningarupplýsingarnar eru aldrei birtar, aldrei skráðar í annála, aldrei sendar um API og ekki fluttar út. Viðmótið sýnir aðeins fyrsta staf og lengd notandanafnsins. Fjarlæging skrifar yfir dulmálstextann.
Bak við innskráningu les skanninn aðeins: engin innsending, engin virk prófun, engin skjáskot og engar síður til útskráningar, eyðingar eða afturköllunar.

4.2 Frekari dulkóðun og tætigildi

Lykilorð, endurheimtarkóðar, lykilorð viðskiptavinagátta, API-lyklar, tengingar- og dreifingarkóðar, auðkenni fyrir „Halda mér innskráðum“, lotuauðkenni í tækjalistanum og tenglar til staðfestingar og endurstillingar eru aðeins vistuð sem tætigildi.
Leyndargildi annars þáttar eru vistuð dulkóðuð (kafli 3.2).
Við fullyrðum ekki að allur gagnagrunnurinn sé dulkóðaður í geymslu. Viðkvæmu gildin eru vernduð hvert fyrir sig eins og lýst er hér að ofan.

4.3 Lágmörkun gagna í hönnun

Afhendingarathugun: Aðeins hausarnir og að hámarki fyrstu 8 KB textans eru lesin. Aðeins tíminn, tengingin, eftir því sem við á auðkenni prófunarsendingar og niðurstaða upprunavottunar (SPF, DKIM, DMARC) fara í gagnagrunninn en aldrei innihaldið eða heilt sendandanetfang. Upprunaniðurstaða nýjasta tölvupóstsins er varðveitt með léninu og næsti tölvupóstur skrifar yfir hana; hún inniheldur IP-netfang póstþjónsins sem afhendir og tölvupóstlén sendandans. Tölvupóstinum er eytt úr pósthólfinu eftir árangursríka vinnslu; ef sókn eða eyðing mistekst gerist það við næstu árangursríku keyrslu.
Athuganir: Uppbygging eyðublaðanna er vistuð með reitaheitum, gerðum og merkingum, eigindum fyrir skyldureiti og sýnileika en engum gildum; skanninn les upphaf fyrirframútfylltra falinna reita (allt að 24 stafi) og gagnaeiginda (allt að 60 stafi) aðeins meðan á athugun stendur og vistar það ekki. Engar upplýsingar eru afmáðar af skjáskotum heildarathugunarinnar; aðeins vafraathuganir hylja innsláttarreiti. Netföng viðtakenda eyðublaða eru aðeins vistuð sem lén. Virkar prófunarsendingar innihalda aðeins merkta prófunartexta án persónuupplýsinga.
Viðbætur fyrir WordPress og TYPO3 senda aðeins daglegar tölur og eiginleika svo sem viðbótaskrána og fyrir tengda WordPress-viðbót einnig lén tengla úr stöðvuðum skilaboðum fyrir samvarnir (sjálfgefið virkar); ekkert annað innihald, engin nöfn, netföng eða IP-netföng gesta. Valfrjáls talning villna í eyðublöðum og reitum er sjálfgefið óvirk.
„Fix it for me“: Innlímdi kóðinn er aðeins unninn meðan beiðnin stendur yfir og er ekki vistaður.
Merki: Merkimyndin á vefsvæðum viðskiptavina setur enga vafraköku og ræsir enga lotu.
Rekstrartilkynningar í síma rekstraraðilans eru fastir textar án breytna, það er án nafna, netfanga eða innihalds. Villutilkynningar í tölvupósti til rekstraraðilans innihalda hráan texta villuboðanna, óhreinsaðan og styttan í 400 stafi; í einstökum tilvikum getur hann innihaldið vistföng eða tengla.
Samvarnir: Milli viðbóta Viðskiptavina er aðeins deilt lénum úr tenglum í stöðvuðum ruslpósti; slökkt er á miðlun IP-neta.
Staðsetning: Land IP-netfangs er ákvarðað út frá staðbundinni gagnagrunnsskrá; ekkert vistfang fer til landstaðsetningarþjónustu.

5. Vörn gegn misnotkun skannans

Skanninn hleður síður þriðju aðila með raunverulegum vafra. Án varnar væri hann verkfæri sem einhver utan frá gæti notað til að ná innra neti okkar eða öðrum óopinberum skotmörkum (fölsun beiðna á þjónshlið). Því eru tvö óháð lög og einangrun hverrar einstakrar keyrslu.

5.1 Einangruð keyrsla

Hver athugun keyrir í eigin gámi sem er fjarlægður á eftir. Hann keyrir án stjórnunarheimilda, án viðbótargetu stýrikerfis og án möguleika á að auka heimildir. Skráarkerfi hans er aðeins lesanlegt að undanskildum litlum tímabundnum svæðum.
Minni, fjöldi ferla og keyrslutími eru takmörkuð; keyrslu sem fer yfir tímamörk er hætt.

5.2 Net: tvö lög

Fyrra lagið, í skannanum: Fyrir skönnun og síðan við hverja einstaka beiðni vafrans, þar á meðal áframsendingar og innfellt efni, er athugað á hvaða vistfang slóðin leysist. Einkanetum, staðbundnum netum, fráteknum netum og netum sem eru frátekin fyrir dæmi í skjölum (IPv4 og IPv6) er hafnað, sem og öðrum gáttum en venjulegum vefgáttum. Vafrinn heimilar ekki service worker-ferli og WebSocket-tengingum er lokað vegna þess að hvort tveggja gæti farið fram hjá þessari athugun.
Síðara lagið, í netinu: Gámarnir keyra á eigin neti. Eldveggsreglur heimila tengingar þaðan á internetið aðeins á vefgáttum; lokað er fyrir tengingar inn á einkanet, þar á meðal innra net okkar með vefþjóni og gagnagrunni. Undantekningar sem athugunarkeyrslan sjálf þarf eru takmarkaðar við það sem nauðsynlegt er og þeim er lýst í innri skjölum okkar. Þetta lag virkar einnig ef nafn leysist á annan hátt fyrst eftir fyrstu athugunina.

5.3 Beiðnir sem vefþjónninn gerir

Þar sem vefþjónninn sjálfur sækir vistföng þriðju aðila – vegna sönnunar um stjórn á léni, hausverkfærisins, leitar að aðgengilegum skrám, púlsbeiðna, RDAP-fyrirspurna og athugunar skilríkja, vegna vefkróka og spjallviðvarana og vegna valfrjálsa annars athugunarstaðarins – gilda sömu reglur: aðeins vefsamskiptareglur á venjulegum vefgáttum (vefkrókar og spjallviðvaranir aðeins um HTTPS á staðalgátt), aðeins opinber vistföng, tenging aðeins við nákvæmlega það vistfang sem hefur verið athugað áður svo ekki sé hægt að beina nafni síðar að innra skotmarki, áframsendingum annaðhvort alls ekki fylgt eða aðeins handvirkt og þær athugaðar aftur í hvert sinn, stutt tímamörk; vegna sönnunar um stjórn á léni, púlsbeiðna og annars athugunarstaðar í vafraathugunum einnig takmörkuð stærð svars.

5.4 Hvað skanninn gerir ekki á vefsvæðum þriðju aðila

Virkar prófunarsendingar (að hámarki fimm í hverri athugun) eru fyrir Viðskiptavini aðeins í boði fyrir lén sem hafa sönnun um stjórn (DNS, lýsigagnamerki, skrá eða viðbót); eina undantekningin eru innri athuganir á eigin prófunar- og sýnilénum okkar. Ekki er hægt að breyta vélarheiti léns með sönnun um stjórn svo sönnunin færist ekki yfir á aðra vél. Allt annað er án inngripa: lestur síðna eins og gestur.
Vafraathuganir ná fram að innsendingu og setja ekki af stað pöntun, greiðslu eða innsendingu.
Lén á útilokunarlistanum eru ekki athuguð; yfirstandandi vöktun lýkur við næstu áætluðu athugun.

6. Heilleiki: flutningur og inntak

6.1 Flutningur

Aðeins er hægt að ná í forritið af internetinu um HTTPS; vafranum er gefin fyrirmæli um að nota aðeins HTTPS í eitt ár (HSTS). Skilríki eru endurnýjuð sjálfvirkt.
Frekari hausar takmarka innfellingu forritsins á síður þriðju aðila, ágiskun á skráargerðir og innsendingu eyðublaða til skotmarka þriðju aðila. Innihaldsöryggisstefna leyfir aðeins þeim forritabútum að keyra í forritinu sem þjónninn heimilar með viðkomandi svari; núverandi vafrar keyra ekki innspýtta forritabúta eða atburðameðhöndlara í HTML.
Pósthólf afhendingarathugunarinnar er sótt um dulkóðaða tengingu með sannprófun skilríkis.
Hægt er að undirrita vefkróka með leyndargildi Viðskiptavinarins (HMAC-SHA256 með tímastimpli) svo viðtakandinn geti sannreynt uppruna og heilleika. Beiðnir til valfrjálsa annars athugunarstaðarins eru undirritaðar og við vafraathuganir einnig svör þeirra.
Tekið skýrt fram: Tengingar innan innra nets okkar eru ekki allar dulkóðaðar. Innskráningarupplýsingarnar fyrir skönnun bak við innskráningu haldast dulkóðaðar allan tímann (kafli 4.1).

6.2 Inntaksstýring og annálar

Mikilvægar aðgerðir á aðgangum og vinnusvæðum (svo sem innskráning, breytingar á lénum, áfangastöðum viðvarana og réttindum, eyðingar og aðstoðaraðgangur) eru skráðar í aðgerðaannálinn með aðgangi, tíma, IP-netfangi og landi og þeim er eytt eftir 365 daga.
Færslum um síðuaðgang sem haldið er vegna öryggis og varna gegn misnotkun er eytt eftir 60 daga, villuannálum eftir 90 daga og innihaldi sendra tölvupósta eftir 30 daga. Aðgangsauðkenni í sóttum slóðum og tilvísunarslóðum, svo sem auðkenni skýrslu- eða gáttartengla, birtast aðeins hulin í færslum um síðuaðgang.
Samþykki samningsskjalanna er vistað með útgáfunni sem birtist, prófsummu hennar, tíma, IP-netfangi og vafraauðkenni.
Hægt er að setja tímastimpil frá ytri tímastimplunarþjónustu á yfirlit til sönnunar; aðeins prófsumma innihaldsins fer þangað en ekki innihaldið sjálft.

7. Tiltækileiki og viðnámsþróttur

7.1 Öryggisafrit

Öryggisafrit er tekið af gagnagrunninum á hverri nóttu. Öryggisafrit fær ekki endanlegt heiti fyrr en innihald þess hefur verið athugað: árangursrík lok afritunarforritsins, að minnsta kosti ein færsla, jafn margar töflur og eru í gagnagrunninum og lokalína fullrar keyrslu. Eldri öryggisafrit eru aðeins fjarlægð eftir að nýtt afrit hefur tekist.
Hverju öryggisafriti er eytt eftir 14 daga. Geymslustaðurinn er utan allra mappa sem er miðlað; staðsetningu innan verkefnisins er hafnað.
Endurheimtarprófun: Einu sinni í viku er nýjasta öryggisafritið hlaðið inn í tímabundinn gagnagrunn sem er borinn saman við rekstrargagnagrunninn töflu fyrir töflu. Þeim tímabundna gagnagrunni er síðan eytt aftur. Niðurstaðan er vistuð.
Ef öryggisafrit eða prófun mistekst er tilkynning send með tölvupósti og í síma rekstraraðilans.
Endurheimt eftir atvik: Ef gagnagrunnurinn bilar eða gögn skemmast endurheimtum við nýjasta prófaða öryggisafritið. Breytingar frá því afritið var tekið, að jafnaði að hámarki eins dags breytingar, geta tapast við það; ef öryggisafrit hefur mistekist samsvarandi meira. Við framkvæmum síðan aftur þekktar síðari eyðingarbeiðnir (kafli 8). Við skuldbindum okkur ekki til neins tiltekins endurheimtartíma.
Takmörkun, tekin skýrt fram: Sem stendur eru öryggisafritin geymd á sama stað og gagnagrunnurinn og eru ekki dulkóðuð sérstaklega. Þau verja gegn rekstrarvillum, gölluðum breytingum og skemmdum gögnum en ekki gegn missi þjónsins sjálfs. Dulkóðað afrit á öðrum stað er fyrirhugað (kafli 10).
Innskráningarupplýsingarnar fyrir skönnun bak við innskráningu eru aðeins í öryggisafritunum sem dulmálstexti; leyndargildi annars þáttar aðeins á dulkóðuðu formi með lykli utan gagnagrunnsins.

7.2 Vöktun

Stöðukeyrsla athugar hluta þjónustunnar á fimm mínútna fresti, þar á meðal gagnagrunninn, biðröðina og hjartslátt skannans sem skanninn skrifar reglulega einnig í aðgerðaleysi. Ef hluti bilar er tilkynning send; ef hann kemst aftur í lag er send tilkynning um það.
Gagnkvæm vöktun: Stöðukeyrsla getur ekki tilkynnt bilun vélarinnar sem hún keyrir á. Skönnunarþjónninn athugar því á mínútu fresti hvort forritið svari og tilkynnir með föstum texta í síma rekstraraðilans eftir nokkrar bilanir í röð. Á móti vaktar vefþjónninn hjartslátt skannans; uppsetningargátlistinn sýnir hvort gagnkvæma vöktunin sé í gangi.
Villuviðvörun: Villutegund sem hefur aldrei komið upp áður er tilkynnt einu sinni tafarlaust; uppsöfnun villna kallar aðeins fram eitt merki í síma rekstraraðilans; einu sinni á dag er sent yfirlit. Þetta þýðir að við fréttum ekki fyrst af villu frá Viðskiptavini.
Takmörkun, tekin skýrt fram: Báðir þjónar eru á sama stað. Bilun á öllum staðnum, til dæmis rafmagns- eða netsambandsrof, er ekki tilkynnt með neinu viðvörunarkerfi heldur verður manneskja vör við hana.

7.3 Breytingar og dreifing

Nýjar útgáfur eru fyrst smíðaðar og prófaðar í aðskilda þróunarumhverfinu. Dreifing athugar allar forsendur áður en fyrsta skráin er skrifuð, framkvæmir breytingar á gagnagrunnssniði og lætur athuganir sem eru í gangi ljúka með skipulegum hætti áður en skanninn endurræsist.
Fyrir feril nýs Viðskiptavinar er einföld heildarprófun um raunverulegt HTTP sem er keyrð eftir yfirfærslur. Við fullyrðum ekki að sjálfvirkt prófunarsafn sé keyrt fyrir hverja einustu dreifingu.

8. Eyðing og varðveislutímar

Eyðingarkeyrsla á hverri nóttu framfylgir tímabilunum sem tilgreind eru í Persónuverndarstefnunni og Vinnslusamningnum. Hún les sömu stillingar og tölurnar í textunum eru sóttar úr; fyrir þessi tímabil víkja texti og hegðun því ekki hvort frá öðru.
Niðurstöðum athugana ásamt skjáskotum er eytt eftir 13 mánuði (sú nýjasta fyrir hvert lén helst), tölum viðbóta eftir 13 mánuði, annálum afhendingar viðvarana eftir 90 daga og aðstoðarbeiðnum eftir 24 mánuði.
Fjarlæging léns eyðir gögnum lénsins, þar á meðal athugunum, eyðublöðum, einstökum niðurstöðum, skjáskotum, skýrslum, verkum, áfangastöðum viðvarana og annálum, atvikum, afhendingargögnum, innskráningarupplýsingum fyrir skönnun bak við innskráningu og stuðningsgögnum.
Eyðing aðgangs fer fram tafarlaust; vinnusvæðum án fleiri meðlima er eytt ásamt gögnum þeirra, vinnusvæði með fleiri meðlimum færast til annars meðlims, fyrst til stjórnenda og meðal þeirra til þess sem hefur verið lengst. Þar til eigin varðveislutímum þeirra lýkur verða eftir: annálar þar sem færslur halda gamla aðgangsnúmerinu sem vísar ekki lengur til neins fyrirliggjandi aðgangs, þar á meðal eyðingarfærslan, ásamt sendum tölvupósti, sönnun fyrir samningsgerð, aðstoðarbeiðnum, skýrslum athugana á mögulegum viðskiptavinum (allt að 90 dagar) og greiðsluupplýsingum hjá Stripe; nánari upplýsingar eru í Persónuverndarstefnunni.
Eydd gögn eru áfram í öryggisafritum þar til þau renna út eftir 14 daga. Markviss eyðing innan öryggisafrits fer ekki fram; ef öryggisafrit er endurheimt eru þekktar síðari eyðingarbeiðnir framkvæmdar aftur handvirkt.

9. Skipulag og yfirferð

Fólk: Sem stendur rekur eigandinn þjónustuna sjálfur. Fleiri einstaklingar fá aðeins aðgang eftir trúnaðaryfirlýsingu og aðeins að því marki sem nauðsynlegt er og vinna gögn aðeins samkvæmt fyrirmælum okkar (Art. 29 og Art. 32(4) GDPR).
Undirvinnsluaðilar: Við ráðum þá aðeins eftir athugun á tryggingum þeirra og samkvæmt samningi samkvæmt Art. 28(4) GDPR og teljum þá upp á síðunni Undirvinnsluaðilar; um nánari atriði gildir Vinnslusamningurinn.
Öryggisbrestir við meðferð persónuupplýsinga: Ef öryggisbrestur hefur áhrif á gögn sem unnin eru fyrir hönd viðskiptavinar tilkynnum við Viðskiptavininum það án ótilhlýðilegrar tafar, innan 48 klukkustunda ef mögulegt er; um nánari atriði gildir Vinnslusamningurinn.
Tilkynning veikleika: Við tökum við tilkynningum á Öryggi og um skrána /.well-known/security.txt.
Gátlisti uppsetningar og opnunar: Á stjórnunarsvæðinu mælir gátlisti stöðu stillinga sem varða öryggi, svo sem öryggisafrita, stjórnenda án annars þáttar, tölvupóstuppsetningar og hjartsláttar og birtir frávik.
Yfirferð þessara ráðstafana (Art. 32(1)(d) GDPR): við hverja verulega breytingu á þjónustunni, eftir hvert öryggisatvik og að öðru leyti að minnsta kosti einu sinni á ári. Við metum þá hvort ráðstafanirnar séu árangursríkar og samsvari enn áhættunni og skráum niðurstöðuna í nýrri útgáfu þessarar síðu eða, ef ekkert breytist, með dagsetningu yfirferðarinnar í kafla 11. Gátlisti uppsetningar og opnunar mælir stöðu þeirra stillinga sem hann nær til með viðvarandi hætti.
Ytri úttektir: Sem stendur eru engar ytri innbrotsprófanir pantaðar og engar öryggisvottanir eru til. Þetta er tekið fram hér svo enginn geri ráð fyrir þeim.

10. Fyrirhugað, ekki enn innleitt

Þessir þættir eru ekki ráðstafanir sem við skuldbindum okkur til fyrr en þeir eru taldir upp hér sem innleiddir í nýrri útgáfu:

Öryggisafrit á öðrum stað: dulkóðað afrit næturafritsins utan þjónsins svo jafnvel algert tap þjónsins leiði ekki til gagnataps.
Annar athugunarstaður: Óháð staðfesting vafraathugana frá öðrum stað er undirbúin í þjónustunni en ekki sett upp. Án hennar er engin staðfesting frá öðrum stað.
Efling öryggis við stjórnun þjóna: Hún heldur áfram. Af þeim ástæðum sem greindar eru í kafla 1 birtum við ekki nánari upplýsingar.

11. Staða og útgáfa

Útgáfa 1.1 · Síðast uppfært: 22. október 2026 · ef misræmi er milli tungumálaútgáfa gengur pólska útgáfan framar í stað þeirrar þýsku; engin önnur breyting.
Útgáfa 1.0 · Síðast uppfært: 11. október 2026 · fyrsta útgáfa sem aðskilin síða; áður viðauki 2 við Vinnslusamninginn. Leiðrétt miðað við fyrri viðauka: endurheimtarprófunin keyrir vikulega, öryggisafritin eru á sama þjóni, ekkert sjálfvirkt prófunarsafn keyrir fyrir hverja dreifingu og tengingar innan innra netsins eru ekki allar dulkóðaðar. Ný lýsing: dulkóðun innskráningarupplýsinga fyrir skönnun bak við innskráningu, einangrun skannans, gagnkvæm vöktun og villuviðvörun.
Breytingar eru birtar með nýju útgáfunúmeri hér og í yfirlitinu Breytingar á samningsskjölunum; við hverja veikingu ráðstafana gildir tilkynningarfrestur Vinnslusamningsins.
Ef misræmi er milli tungumálaútgáfa gengur pólska útgáfan framar.

Hvernig getum við hjálpað?