データ保護影響評価（GDPR第35条）

本書は複数の言語で公開されています。言語版の間に相違がある場合、ポーランド語版が法的拘束力を有します。

バージョン1.1 · 最終更新日：2026年10月23日

1. 本ページの対象と位置付け

本ページは、GDPR第35条に基づくformexposedのデータ保護影響評価（DPIA）です。まず、そもそもDPIAが必要かどうかという前提問題に、サービス全体ではなく処理業務ごとに個別に答えます。答えが「必要」である場合は、第35条第7項(a)から(d)に基づく評価を行います：系統的な説明、必要性と比例性、データ主体に対するリスク、およびそれに対処する措置です。続いて、残余リスク、第36条に基づく事前協議の問題、見直しの規則を扱います。

第35条はDPIAの公表を求めていません。当社が公表する理由は2つあります。第一に、配信チェックやログインが必要な領域のスキャンを利用する顧客は、自らの評価のために、当社しか知らない事実を必要とします。当社は処理者としていずれにせよこれらの事実を提供する義務を負っています（GDPR第28条第3項(f)）。第二に、当社のクローラーは、当社を知らない運営者のWebサイトをチェックします。運営者には、当社が運営者とそのページ上の人々に対してどのようなリスクを認識し、それに対して何をしているかを読めるようにすべきだと考えています。

法的性質。本DPIAは、GDPR第35条に基づく管理者の文書であり、当社が任意で公表するものです。いかなる契約の一部も構成せず、顧客または第三者に対する表明、保証、品質に関する合意を構成するものではありません。当社が顧客に対して負うサービスと保護措置は、利用規約、データ処理契約およびその付属書によって定められ、これらの義務に関しては本ページに優先します。本ページは本版の日付時点での状況を記述しています。リスク評価と判断は当社自身の見解であり、監督機関や裁判所による法的評価を先取りするものではありません。「計画中」と記載された措置は、期日を確約していない意図です。顧客にとって本ページは自らの評価のための基礎であり、法的助言ではありません。

本ページはしきい値評価の初版です。処理業務ごとにDPIAが必要かどうかを検討し、その結果を第3.5節に記録しています。

事実に関するすべての記述には、当社の他の法務文書と同じ原則が適用されます：意図ではなく測定に基づくこと。コードまたはデータベースで裏付けられた事項は、その出典参照と共にここに記載します。裏付けられなかった事項には「未検証」と記します。計画にすぎない事項は「計画中」と呼びます。未解決事項は、計画中の措置と共に率直に記載します。長所だけを並べたDPIAは、それが関わる人々の役に立たないからです。

用語：運営者とは、チェック対象のWebサイトを運営する者をいいます。顧客とは、formexposedにアカウントを持つ者をいいます。訪問者とは、顧客のWebサイト（例えばそのお問い合わせフォーム）を利用する者をいいます。出典参照とは、ソースコード内のファイル、関数、または設定を指し、2026年10月11日時点の開発システムの状態に照らして測定したものです。

公開性については、意図的に1つの線を引いています：当社自身のサーバーの保護に関する未解決事項は、一般的な表現でのみ記述します（R13）。リスクとその程度は示しますが、特定の脆弱性に至る経路は示しません。詳細は、要請があれば監督機関に提供します。

2. 役割：誰が何について義務を負うか

第35条は、管理者に義務を課しています。formexposedは、一部の処理業務については管理者であり、他の処理業務については顧客の処理者であり、当社のWordPressプラグインとTYPO3拡張機能が顧客のWebサイト上に保存するデータについてはそのいずれでもありません。本文書のほぼすべての問いに対する答えは、どの役割について問われているかによって異なります。役割の割り当ては、プライバシーポリシーおよびデータ処理契約に従います。

処理業務	formexposedの役割	第35条に基づく義務を負う者
運営者の指示なしに行う第三者のWebサイトのチェック：無料チェック、制作会社向け見込み客チェック、調査	管理者	formexposed
顧客アカウント内のドメインのチェック：監視、能動的なテスト送信、ブラウザー操作手順、公開状態のファイル、フォーム稼働チェック	顧客のアカウントデータとチェックデータについては管理者。顧客の検証済みWebサイト上に見える第三者の個人データについては処理者。ドメインが検証されていない間は、無料チェックと同様に管理者	自らの部分についてはformexposed、顧客のWebサイト上の第三者データについては顧客
テストアカウントを用いたログインが必要な領域のスキャン	処理者：認証情報とログイン後のコンテンツは顧客のWebサイトに属します	顧客。formexposedが支援します
確認用コピーを用いた配信チェック	処理者	顧客。formexposedが支援します
協調防御：ブロックされたスパムから得たリンクドメインの共有リスト	管理者：当社が多数のWebサイトからの報告を統合し、リストを作成・配布します	formexposed
顧客アカウント、ログイン、ログ、サポート、メール送信、支払い、証拠記録	管理者	formexposed
クライアントポータルと、制作会社の購読者への月次レポート	処理者	制作会社
プラグインと拡張機能が顧客のWebサイト上に保存するデータ（隔離、セーフティネット、保存された問い合わせ）	いずれでもない：データがWebサイトの外に出ることはありません	Webサイトの運営者

ここから、両方向でしばしば誤解される区別が生じるため、明示しておきます。formexposedが管理者である場合、当社が自ら評価を行い、その結果を負います。当社が処理者である場合、当社は顧客に代わって顧客の評価を行うことも、顧客のために必要性の問題を判断することも、顧客に代わって第36条に基づき監督機関と協議することもできません。そこで当社ができること、そしてしなければならないことは、顧客が必要とするものをすべて提供することです：(a)号に基づく説明、(c)号に基づくリスクに関する測定済みの事実、(d)号に基づく措置の正直な状況一覧です。配信チェックとログインが必要な領域のスキャンについて、本ページはまさにそれに当たります。

配信チェックに関する節をそのまま自社のDPIAとして採用した顧客は、DPIAを実施したことにはなりません。自社のフォームについて確認用コピーが正当化されるかどうか、そこで特別な種類の個人データが想定されるかどうか、訪問者にどのように通知するかは、顧客自身にしか判断できない事項です。そのために明確にすべき事項は第11節にまとめています。

3. しきい値評価：DPIAは必要か

3.1 第35条第1項および第35条第3項

第35条第1項は、ある種類の処理が、特に新しい技術を用いる場合に、処理の性質、範囲、状況および目的を考慮して、自然人の権利および自由に対する高いリスクをもたらすおそれがある場合に、DPIAを求めています。第35条第3項は、特にこれに該当する3つの場合を挙げています。そのいずれもformexposedには当てはまらず、これは断定ではなく理由をもって示すべきです：

(a)号 – 自動化された処理に基づく、自然人に関する個人的側面の系統的かつ広範な評価であって、それに基づいて法的効果を生じさせ、または同様に重大な影響を及ぼす決定が行われるもの。当社が評価するのはフォームとWebサイトであり、人の個人的側面ではありません。本サービスは、いかなる人に対しても法的効果を伴う決定を行いません。最も近いのは協調防御です：リストに登録されたドメインへのリンクを含むメッセージは、接続されたWebサイトで隔離されます。これはメッセージに対する自動化された結果であって、人の広範な評価ではありません。これについては、第3.3節の「評価またはスコアリング」の基準の下で扱います。
(b)号 – 第9条に基づく特別な種類のデータ、または第10条に基づく犯罪に関するデータの大規模な処理。意図しておらず、そのような仕組みもありません。それでも、このようなデータが当社に届く経路が1つあります：配信チェックにおける実際の訪問者メッセージの確認用コピーです。これは個々のケースによるものであり、本規定の意味での大規模なものではありませんが、リスク評価では考慮しています（R1）。
(c)号 – 公衆がアクセス可能な場所の大規模な系統的監視。これは場所の物理的な観察を意味し、公開Webページの取得を意味するものではありません。Webクローラーの根拠としてこの規定を援用するのは誤りです。

したがって正しい経路は第35条第1項そのものであり、第29条作業部会のデータ保護影響評価に関するガイドライン（WP248 rev.01、欧州データ保護会議が承認）の9つの基準と、第35条第4項に基づくポーランド監督機関のリスト（第3.4節）を通じて適用します。

3.2 WP248ガイドラインの9つの基準

ガイドラインは、高いリスクのおそれを示す9つの特徴を挙げています。目安として、そのうち2つを満たす処理業務は、ほとんどの場合DPIAを必要とします。管理者は個々のケースで異なる結論に達することもできますが、その場合は理由を示し、文書化しなければなりません。逆に、1つの基準だけで足りることもあります。本ページでは、以下の略称を使用します：

C1 – 評価またはスコアリング：プロファイリングと予測を含み、例えば職務遂行能力、経済状況、信頼性、行動に関するもの。
C2 – 法的効果またはそれと同様の重大な影響を伴う自動化された意思決定。
C3 – 系統的な監視、すなわちネットワークを通じたものを含め、データ主体を観察、監視または管理するために用いられる処理。ガイドラインは、データ主体が誰によって何の目的でデータを収集されているかを知らないことが多いという事実によって、この基準を明示的に正当化しています。
C4 – センシティブなデータまたは極めて個人的な性質のデータ：第9条および第10条に基づく特別な種類のデータだけでなく、その開示が日常生活に重大な影響を及ぼすデータも含み、秘密性が保護されるべき電子通信もこれに含まれます。
C5 – 大規模に処理されるデータ：データ主体の数、データの量と範囲、期間、地理的範囲によって測られます。
C6 – データセットの照合または結合：異なる処理業務または異なる管理者に由来するデータセットを、データ主体が予期しない方法で照合・結合すること。
C7 – 脆弱なデータ主体に関するデータ：例えば従業員、子ども、患者、その他力関係の不均衡の中にある人。
C8 – 革新的な利用、または新しい技術的もしくは組織的な解決策の適用。監督実務では、人工知能の利用は通常この基準に該当するものとして扱われます。
C9 – データ主体が権利を行使すること、またはサービスや契約を利用することを妨げる処理。

当社は各基準を「該当」「境界的」「非該当」のいずれかで評価し、その評価の理由をコードから示します。境界的なケースは合計では該当とは数えませんが、結果の中で明記します。複数の境界的なケースが同じ方向を示す場合は、その処理業務を評価に含めます。

3.3 処理業務ごとの評価

P1 – アカウントなしの無料チェック（依頼に応じた任意の第三者Webサイトのチェック）

誰でもトップページでドメインを入力できます。するとクローラーがそのWebサイトの公開ページを最大8ページ取得し、フォームを読み取り、スクリーンショットを撮影し、ランダムなリンクを知っている人なら誰でも閲覧できるレポートを作成します。Webサイトの運営者は、自らのログでクローラーの識別子に気付かない限り、このことを知りません。

C1 – 境界的。レポートは、フォームの保護状態をレベル（「無防備」「一部保護」「保護済み」）とスコアで評価します。有限責任の会社の場合、これは自然人に関するものではありません。個人事業主やフリーランスの場合、ドメインは個人に帰属させることができ、その場合レベルはその職業活動における注意の程度について何かを語ることになります。ただし、評価されるのは技術的な設定であり、人の行動や特性ではありません。当社はこれを境界的なケースとして扱います。
C2 – 非該当。運営者に関して何かが決定されることはありません。チェックを依頼する人に関しては、IPアドレスとセッションごとの制限が適用されます（cfg/check_lib.php）。拒否されたチェックに重大な影響はありません。
C3 – 非該当。依頼に応じた1回限りの取得であり、ドメインごとに最大で週1回です（cfg/check_lib.php、設定fc_domain_days = 7）。人が観察されることはありません。ただし、ガイドラインがC3を正当化するために挙げる事情、すなわちデータ主体が処理について何も知らないという事情は存在します。これはリスク評価で考慮しています（R5）。
C4 – 非該当。保存されるのはフォームの構造と検出事項であり、入力された値ではありません（scanner/src/crawl.jsは、表示されているフィールドについて値の長さのみを保存します）。スキャナーは、トークンとタイムスタンプを検出するため、あらかじめ入力された非表示フィールドの先頭部分（最大24文字）とdata属性（最大60文字）をチェック中にのみ読み取り、保存はしません。スクリーンショットには人物や氏名が付随的に写ることがあり、医療機関のWebサイトであれば画像にその診療科が表示されます。これらは公開された職業上の情報であり、特定の人の健康データではありません。
C5 – 境界的。1日の上限は受け付けたチェック200件（fc_daily_cap）、つまり計算上は年間約73,000のWebサイトです。Webサイトごとに生じる個人データはわずかで、期間も短期です（30日）。開発システムで測定したところ、データセットには匿名チェックが2件あります。現時点では非該当ですが、設計上の容量を考慮すると境界的です。
C6 – 非該当。ページの取得に加え、本サービスはRDAPサービスrdap.orgを通じてドメインの年齢を照会し（送信するのはドメイン名のみ、保存するのは登録日のみで、キャッシュされます）、DNSを解決します。これらはドメインに関する技術的な情報であり、人に関するデータセットの結合ではありません。
C7 – 非該当。
C8 – 弱い形で該当。自動化されたブラウザがページをチェックし、ルールで認識できないフォームは当社サーバー上の言語モデルが分類します（scanner/src/classify.js）。モデルが見るのは、ページタイトル、アドレス、フィールドラベル、最大400文字のフォームテキストです。モデルがフォームを「送信可能」にすることは決してできません。
C9 – 非該当。

P1の中間結果：弱い形での該当が1つ（C8）、境界的なケースが2つ（C1、C5）。目安に基づく義務はありません。両方の境界的なケースが同じ方向を示し、データ主体が処理について何も知らないため、P1を評価に含めます。

P2 – 制作会社向け見込み客チェック

独自ブランドを設定したBusinessプランの制作会社は、見込み客のWebサイトを受動的にチェックさせることができます。制作会社は自社ブランドでの簡潔な所見と詳細なレポートを受け取り、リンクは自ら伝えます（cfg/akquise_lib.php）。当社が誰かに連絡することはありません。

C1 – 境界的、P1より強い。簡潔な所見は、明示的に「最初の会話のきっかけ」として意図されています。Webサイトの評価が、人に商業的にアプローチするための基礎となるわけです。
C5 – 非該当。制作会社ごとに月最大30件（prospect_monthly）、90日後に削除。
C8 – 弱い形で該当（P1と同じ技術）。
その他の基準 – 非該当。所見は制作会社のブランドで提示されますが、運営者に関する他のデータとは結び付けられません。

P2の中間結果：目安に基づく義務はありません。P1と同じ理由に加え、目的である顧客獲得が独自のリスクを伴うため（R6）、評価に含めます。

P3 – 調査「フォームセキュリティ指標」

調査のため、Webサイトのリストを受動的にチェックします。5分ごとに実行されるステータス処理の1回あたり、未処理ジョブを最大5件に抑制しています（cfg/studie_lib.php）。公表するのは集計値のみで、セグメントはフォームを持つWebサイトが20以上ある場合のみです（study_min_segment、cfg/studie_lib.php）。生データは公表時に削除されます（cfg/studie_lib.php）。

C5 – 境界的、大規模なリストでは該当。リストの規模はコード上で制限されておらず、抑制をかけても計算上は1日に1,000件を超えるチェックが可能です。国内市場の調査は数千のWebサイトを対象とし、その多くは個人事業主が運営しています。そのような規模以上では、当社はこの基準を該当とみなします。
C8 – 弱い形で該当。
C1 – 非該当。個々のWebサイトは評価されますが、公表されるのは集計値のみであり、評価は個々の運営者について何かを述べるためのものではありません。
その他の基準 – 非該当。

P3の中間結果：設計上の規模の調査では、2つの基準（C5、C8）に該当します。したがって調査はしきい値に達し、formexposedが管理者として評価を行います。開発システムで測定したところ、これまでに作成された調査はありません。

P4 – 顧客アカウント内のドメインのチェック

顧客は、アカウント内のドメインを定期的にチェックさせます。ドメインを管理する権限があることを証明すると、能動的なテスト送信（チェックごとに最大5件）、公開状態のファイルの検索、設定されたブラウザー操作手順が追加されます。

C3 – 非該当。チェックは予定に基づき繰り返し行われますが、顧客自身のWebサイトに関するものであり、顧客の依頼に基づいて行われるもので、人を観察するためのものではありません。
C4 – 境界的、非該当。公開状態のファイルの検索では、ファイルが本当に公開状態にあるかを内容から判断するため、/backup.sqlやデバッグログなどのパスから最大で先頭の8 KBを読み取ります（cfg/dateien_lib.php）。この抜粋には、訪問者が入力したフォームの内容が含まれる可能性があります。確認はメモリ内でのみ行われ、保存されることはありません。保存されるのは、パス、種類、深刻度です。
C8 – 弱い形で該当。
その他の基準 – 非該当。

追加された対応計画の段階。対象となる有料レポートには、選択された検出結果とスキャンメタデータに基づきローカルで生成された助言のテキストが含まれる場合があります。チェックとともに保存され、AIによるものとの表示付きで示され、個別の検出結果が正式な判断の基準となります。ウェブサイトを自動的に変更することも、人に関して法的効果または同様に重大な影響をもたらす決定を行うこともありません。言語モデルの利用だけでは、別途DPIAが必要かどうかは決まりません。その入力、受領者、規模、残余リスクは、リンクで共有できるレポートにURLや注記からの個人データが再掲されたり、誤った推奨事項が含まれたりする可能性も含め、元となるチェックと合わせて評価する必要があります。以下の第7節から第9節にはこの段階を含めています。この事実に関する追補によって、本番環境での測定の完了、所有者の承認、新たな残余リスクの評価を主張するものではありません。

P4の中間結果：上記の事実に基づく元の技術的チェックは、しきい値に達していません。追加されたローカルの助言段階だけで、別途の義務が生じるわけではありません。ただし、以前のしきい値の判定は、その実際の入力データ、規模、受領者、影響を検討することに代わるものではありません。能動的なテスト送信とファイルチェックが、一度も更新されない証明に依存しているため（R7）、評価に含めます。

P5 – ログインが必要な領域のスキャン

検証済みドメインについて、顧客は自社Webサイトのテストアカウントを保存できます。スキャナーはそれを使ってログインし、会員エリアの指定された最大5ページ上のフォームを読み取ります（cfg/login_lib.php、scanner/src/login.js）。

C4 – 境界的。認証情報はガイドラインの意味での極めて個人的な性質のデータではありませんが、その悪用により会員エリアが開かれてしまいます。Webサイトによっては、会員ポータルや患者ポータルなど、ログインの先に機密性の高いコンテンツが置かれていることがあります。それは当社ではなく顧客次第です。
C8 – 非該当。自動化されたログインは、監視サービスでは一般的です。
その他の基準 – 非該当。

P5の中間結果：目安に基づく義務はありません。会員エリアに機密性の高いコンテンツを表示する顧客については、これが変わる可能性があり、その場合の判断は顧客に委ねられます。セキュリティ上のリスクがあるため（R8）、評価に含めます。

P6 – 確認用コピーを用いた配信チェック

顧客は、フォームのメール設定でformexposedの確認用アドレスをBCCとして入力します。その結果、すべてのフォームメールが当社の確認用メールボックスにも届きます。当社のテストメッセージだけでなく、訪問者からの実際のメッセージもすべてです。自動化された取得処理がヘッダーと先頭の8 KBを読み取り、メールを割り当て、SPF、DKIM、DMARCを評価し、削除します（cfg/zustellung_lib.php）。

C4 – 該当。訪問者がお問い合わせフォームに書く内容は、事業者に宛てた任意の内容の電子通信です。医療機関、法律事務所、相談窓口、学校のWebサイトでは、第9条に該当するデータや子どもに関するデータが想定されます。ガイドラインは、この基準の下で秘密性のある電子通信を明示的に挙げています。
C3 – 境界的、むしろ該当。すべてのメッセージが、送信者が気付かないうちに、計画どおり継続的にコピーされ、自動的に評価されます。目的は人を観察することではなくメール経路を確認することです。しかし、ガイドラインがこの基準を正当化する事情、すなわちデータ主体が誰に自分のデータが届くかを知らないという事情は、顧客が訪問者に通知しない限り完全に存在します。
C7 – 顧客次第。患者、法律事務所の依頼者、求職者、保護者、生徒は、メッセージの受信者に対して依存関係にあることが少なくありません。
C5 – 境界的、非該当。個々の顧客にとっては大規模ではありません。formexposedでは多数の顧客のコピーが1つのメールボックスに集まりますが、それは侵害の重大性を高めるものであって、管理者ごとの件数を増やすものではありません。
その他の基準 – 非該当。ドメインとテストへの割り当ては人に関するデータセットの照合ではなく、技術も新しいものではありません。

P6の中間結果：C4は該当、C3は境界的でむしろ該当、C7は多くの典型的な顧客について該当。したがって典型的な状況では、2つ以上の基準に該当します。DPIAは必要であり、それは管理者である顧客の義務です。第6節から第11節が、そのための事実を顧客に提供します。

P7 – 協調防御

接続されたWordPressサイトは、自らの保護レイヤーが阻止したメッセージに含まれるリンクのドメインを1日1回報告します。7日以内に3つ以上の異なるWebサイトで、合計5回以上ヒットしたドメインは共有リストに登録されます。リストは接続されたすべてのWebサイトに送り返され、各サイトはそのドメインへのリンクを含むメッセージを隔離します（cfg/swarm_lib.php）。

C6 – 該当。互いに独立した多数のWebサイト、すなわち異なる管理者からの報告が統合され、共有リストとして全員に返されます。
C1 – ドメインが自然人に帰属し得る限りにおいて該当。リストはスパムの発信源としての分類です。ガイドラインは、共有の不正対策データベースとの照合をこの基準の例として挙げています。このようなリストに載るドメインの大半は企業のものか使い捨てのドメインですが、個人のドメインが、正当に、あるいは意図的に仕込まれた虚偽の報告によって、リストに載ることもあり得ます。
C9 – 境界的。リストに登録されたリンクを含むメッセージは、受信者にすぐには届かず、受信者が保留を解除するまで隔離されます。失われることはありません。
C2 – 非該当。隔離はメッセージに対する自動化された結果であり、法的効果はなく、受信者が自ら判断して保留を解除できます。
その他の基準 – 非該当。IPネットワークは無効化されています（swarm_ip_enabled = 0、cfg/swarm_lib.php）。

P7の中間結果：2つの基準（C6、C1）と1つの境界的なケース（C9）。しきい値に達しており、formexposedが管理者として評価を行います。IPネットワークを有効にした場合、C1とC6は無条件に該当することになり、有効化には本評価の新版が必要です（第12節）。開発システムで測定したところ、報告もリスト登録もありません。

P8 – 顧客アカウント、ログイン、ログ、サポート、メール、支払い

C1とC9 – 非該当。無料チェックにおける不審な挙動は、IPアドレスを伴う記録（cfg/check_lib.php）につながり、場合によってはその後のチェックが拒否されます。これは影響の小さい不正利用防止であり、個人的側面の評価ではありません。
その他の基準 – 非該当。これらは事業者向けサービスの通常のデータです。

P8の中間結果：DPIAは不要です。これらの処理業務は処理活動の記録に記載しています。

P9 – プラグインの数値、フィールドエラー、レコーダー、バッジ、クライアントポータル、「Fix it for me」

プラグインと拡張機能は、日次の数値、プラグイン一覧、エラーカテゴリを送信し、WordPressプラグインはさらに協調防御用のリンクドメインを送信します（初期設定で有効）（P7）。内容、アドレス、氏名、訪問者のIPは送信しません。レコーダーは、管理者のブラウザ内でセレクターを最大15分間保持します。該当する基準はありません。
バッジは読み込み時に、Cookieを使わずに、通常の接続データをWebサーバーのログに残します。該当する基準はありません。
クライアントポータルは、制作会社に代わって、ダブルオプトインにより購読者のメールアドレスを処理します。該当する基準はありません。
「Fix it for me」は、貼り付けられたフォームコードを当社サーバー上の言語モデルで書き換えます。コードは保存されません。弱い形でのC8のみで、その他はありません。

P9の中間結果：DPIAは不要です。

3.4 第35条第4項に基づくポーランド監督機関のリスト

所管機関は、個人データ保護局長（Prezes Urzędu Ochrony Danych Osobowych、UODO）です。同局長は、DPIAを必要とする処理業務の種類のリストを、2019年6月17日の告示（Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony、Monitor Polski 2019、item 666）で公表しました。このリストは、各項目をWP248ガイドラインの基準に割り当て、例を示しており、明示的に網羅的なものではなく、第35条第1項に基づく評価に代わるものでもありません。

当社の解釈では、リスト上の以下の処理の種類が、実質的にformexposedの処理業務に対応します：

リスト上の処理の種類（要約）	割り当てられた基準	formexposedにおける処理業務	評価
異なる情報源からのデータの分析に基づく比較、評価または推論	C6	P7 協調防御	該当
プロファイリングを含む評価またはスコアリング	C1	P7 協調防御。境界的なケースとしてP1およびP2	P7に該当
特別な種類の個人データの処理	C4	P6 配信チェック	顧客次第で該当
技術的解決策の革新的な利用または適用	C8	P1～P4（分類用の言語モデル）	弱い形で該当
大規模な処理	C5	P3 調査	大規模なリストに該当
特徴の認識を含む、公衆がアクセス可能な場所の系統的な監視	C3	–	非該当：対象は場所であり、Webサイトではありません

この割り当ては解釈であって引用ではなく、各項目の文言は法的審査においてこれと照合する必要があります。これは第3.3節の結果を裏付けるものであり、変更するものではありません。当社の知る限り、UODOは第35条第5項に基づくリスト（DPIAを必要としない処理業務）を公表していません。

3.5 しきい値評価の結果

処理業務	該当	境界的	結果
P1 無料チェック	C8（弱）	C1、C5	義務ではない。評価に含める
P2 見込み客チェック	C8（弱）	C1	義務ではない。評価に含める
P3 調査	C8（弱）、大規模なリストではC5	–	必要（formexposedの義務）
P4 顧客ドメインのチェック	C8（弱）	C4（ファイルチェック）	義務ではない。評価に含める
P5 ログインが必要な領域のスキャン	–	C4	義務ではない。評価に含める。顧客にとってはコンテンツ次第
P6 配信チェック	C4。顧客次第でC7	C3（むしろ該当）、C5	必要（顧客の義務。本ページは第28条第3項(f)に基づき支援）
P7 協調防御	C6、C1	C9	必要（formexposedの義務）
P8 アカウント、ログ、サポート、支払い	–	–	不要
P9 プラグインの数値、バッジ、ポータル、「Fix it for me」	C8（弱、「Fix it for me」のみ）	–	不要

第35条第1項に関する結果：formexposedの個々の処理業務についてDPIAが必要です。協調防御と設計上の規模の調査についてはDPIAが必要であり、formexposedが管理者としてこれを実施します。配信チェックについては、典型的な状況においてDPIAが必要ですが、それは顧客の義務であり、formexposedはその基礎を提供します。第三者および自社のWebサイトに対するその他のチェックについては義務ではありません。それでも当社はこれらを評価に含めます。同じ技術を用いており、複数の境界的なケースが同じ方向を示し、データ主体（アカウントを持たない運営者とチェック対象ページ上の人々）が処理について何も知らないためです。アカウント、ログ、サポート、支払いについては、評価は不要です。

したがって、第6節から第10節はP1からP7に適用されます。ある記述がこれらの処理業務のうち1つだけに当てはまる場合は、その旨を明記しています。

4. データ保護責任者：第37条に基づく評価

データ保護責任者は選任されていません。第37条第1項は管理者と処理者の双方を拘束するため、この問いは当社自身のものです。法定の3つの場合：

第37条第1項	要件	結果
(a)号	公的機関または公的組織	該当しません。LW IT Solutions Company Lukas Wójcikは民間の個人事業です。
(b)号	中核的活動が、大規模なデータ主体の定期的かつ系統的な監視を必要とする処理業務で構成されている	中核的活動は、Webサイトとフォームの定期的かつ系統的なチェックと監視です。しかし、人は監視されていません：クローラーは行動を観察せず、配信チェックはメールを配信と真正性についてのみ評価します。非該当。
(c)号	中核的活動が、第9条または第10条に基づくデータの大規模な処理で構成されている	設計上はそうではありません。特別な種類のデータが配信チェックの確認用コピーを通じて当社に届くことはありますが、それは付随的なものであり、中核的活動ではありません。非該当。

したがって当社の評価では、選任の義務はありません。ポーランド法が第37条第4項に基づきこれを超えて選任を求めているかどうかは、法的審査における未解決の問題です。データ保護責任者が選任されていないため、第35条第2項に基づく助言は適用されません。法的審査で選任の義務があると判明した場合は、本評価の承認前に、その時点で選任されたデータ保護責任者の助言を求めます（第12節）。本評価に関するお問い合わせ先は、所有者（contact@lukaswojcik.com）です。

5. 本版の方法、情報源および限界

本文書の事実は、アプリケーションとスキャナーのソースコード、データベーススキーマ、ならびに開発システムの行数と設定から得たもので、2026年10月11日に測定しました。データベースとサーバーへのアクセスは読み取り専用で行いました。測定結果が意図（当社自身の法務文書の記述を含む）と矛盾する場合は、測定結果を報告します。第35条第8項に基づき遵守を考慮すべき、第40条に基づく承認された行動規範は適用していません。

測定したのは開発システムです。本サービスはまだ運用を開始していません。そのため数値は小さく、一部はテストによる副産物です：チェック112件（うち110件は顧客ドメインなし）、スクリーンショット432件、ドメイン2件（うち検証済み1件）、有効化された配信チェックなし、ログインが必要な領域のスキャン用に保存されたテストアカウントなし、調査なし、協調防御の報告なし。測定は運用開始前に、またその後も定期的に繰り返す必要があります。
本版で測定しておらず、承認前に追加すべき事項：本番システムの設定（確認用メールボックスが設定されているかどうか、どのように設定されているか、ログインが必要な領域のスキャン用の鍵ペアがそこで設定されているかどうかを含む）、言語モデルのソフトウェアがリクエストを記録するかどうか、サーバー管理の状況（R13）、メール配信事業者との契約。
確認用コピーを通過する実際の訪問者メッセージの数と、顧客がどの業種から来るかは測定できませんでした。この2つがR1とR2の重大性を左右するため、運用開始後に把握する必要があります。
出典参照は、開発システムのソースコード内のファイルと関数を指しています。重要なのは記述された機能であり、ファイル内の位置ではありません。

本書は草案です。管理者による承認はまだなく（第 12 節）、二つの結論、すなわち P1 と P3 の規模の評価、および配信チェックの重みは、公開後に初めて得られる数値に依存します。

6. (a) 処理作業と目的の体系的な説明

6.1 チェックシステムの構造

formexposed は、外部ホスティング提供者を使わず、ポーランドの自社サーバーで稼働します。アプリケーションとデータベースを持つウェブサーバーと、チェックサービスとローカル言語モデルを持つスキャンサーバーが、同じ内部ネットワーク内にあります。チェックは次のように進みます。

アプリケーションが、第 6.3 節の上限とブロックに従って、データベースにジョブを作成します。
スキャンサーバーのチェックサービスがジョブを取得し、ブロックリスト、ホスト名、匿名チェックではドメイン経過期間をもう一度確認し、そのジョブ専用の隔離コンテナを起動します。独自フィルター規則を持つ専用ネットワーク、特権なし、読み取り専用ファイルシステム、メモリー・プロセス上限、制限時間を設定します（scanner/src/worker.js）。
コンテナ内の自動ブラウザーが、まずトップページ、次にお問い合わせ・会社情報・サポートを優先して、最大八ページの公開ページを取得します。その前に robots.txt を読み、FormExposedBot または全クローラーに対し、トップページを対象とする除外があれば終了します。robots.txt が取得不能またはサーバーエラーの場合も同様です（scanner/src/net.js）。個別の下位パスの禁止は別々には適用しません。フォーム稼働チェック、証明取得、ヘッダーツール、公開ファイル検索は robots.txt を読みません。八ページに加え、Cookie バナーの「拒否」後に最大三ページ、スマートフォン表示で最大三ページ、確認済みドメインの能動的テスト、ログイン後の最大五ページを取得します。並列ではなく順に読み込みます。リダイレクトや埋め込みコンテンツを含むすべてのブラウザーリクエストは、プライベートネットワークや他のポートを拒否するフィルターを通ります。
コンテナは結果とスクリーンショットを一時ディレクトリに書き込みます。チェックサービスが内部ネットワークで結果と画像をアプリケーションに渡し、エラー後も含めて一時ディレクトリを削除します（scanner/src/worker.js）。
アプリケーションが結果を処理し、お客様のドメインでは前回チェックと比較して、設定済み宛先に変化を通知します。

6.2 クローラーが保存するものと、保存しないもの

項目	保存するもの	保存しないもの	出典参照
ページ	アドレス、HTTP 状態、ヘッダー、Content Security Policy、要求した外部ホスト（最大 120）	テキストや HTML としてのページ内容	`scanner/src/crawl.js`
フォームの入力欄	種類、名前、ラベル、プレースホルダー、必須、表示状態、既存値の長さ	入力値。非表示欄は、トークン検出のため先頭 24 文字をチェック中だけ読み取ります	`scanner/src/crawl.js`
フォーム内の受信者アドレス	ドメインだけ	アドレス	`scanner/src/crawl.js`
スクリプト	チェックサム付き一覧、広告・分析サービスのアカウント識別子を除いたアドレスと冒頭文	アカウントとピクセルの識別子	`scanner/src/crawl.js`
入力を読み取るツール	Cookie バナーの「拒否」前後に読み込まれる広告ピクセルと記録ツール、および入力をマスクするか	それらのサービスのアカウント識別子	`scanner/src/mitleser.js`、`scanner/src/einwilligung.js`
フォームのテキスト	規則で種類を識別できない場合、最大 400 文字をローカル言語モデルに渡します	第三者への開示、テキストの保存	`scanner/src/classify.js`
スクリーンショット（クローラー）	最初のページの可視領域、表示された各フォーム要素の画像	–	`scanner/src/crawl.js`
スクリーンショット（能動的チェック）	テスト送信への応答ページの画像、加えて状態、送信先アドレス、タイトル、本文の先頭 300 文字	–	`scanner/src/active.js`
スクリーンショット（ブラウザー操作手順）	入力欄を黒塗りしたフォーム画像、圧縮済み、最大 32 KB	入力内容	`scanner/src/browser.js`
ログイン後	上記のフォーム入力欄と同様	スクリーンショット、Cookie、リンク	`scanner/src/login.js`

これらの項目は個人データを含むよう設計してはいませんが、付随的に含みます。フォーム横の担当者名、トップページのチーム写真、ラベル内の電話番号、個人のメールドメイン、プレースホルダー内の名前などです。ログイン後にはテストアカウントの情報や、サイトに応じて他の利用者の情報も加わります。

6.3 チェックの開始者と、その場合の適用規則

開始者・契機	ジョブの信頼レベル	テスト送信	結果のアクセス方法	削除
トップページでドメインを入力（無料チェック）	匿名	なし	ランダムリンクのレポート	画像を含め 30 日（`cfg/check_lib.php`）
アカウントなしのプラグイン・拡張機能	プラグイン	なし	ランダムリンクのレポート	30 日
制作会社が見込み客について実行	登録済み	なし	ランダムリンクの短い検出結果とレポート	90 日（`cfg/akquise_lib.php`）
お客様、証明のないドメイン	登録済み	なし	アカウント、ランダムリンクのレポート	13 か月、最後のチェックは保持
お客様、証明済みドメイン	確認済み	あり、一回のチェックで最大五回	アカウント、ランダムリンクのレポート	13 か月、最後のチェックは保持（`cfg/fristen_lib.php`）
調査	内部	なし	公開後の合計だけ	公開時。未公開では削除期限が定められていません（R4）
提供者がコマンドラインから内部チェック	内部。自社テスト・デモドメインでは「確認済み」も可	なし。「確認済み」ではあり（自社テスト・デモドメインのみ）	内部のみ	削除期限が定められていません（R4）

無料チェックの手前には複数の層があります（cfg/check_lib.php）。緊急停止、reCAPTCHA、同一ドメインは七日間で最大一回（以後は既存レポートを表示）、IP アドレス・セッション（ハッシュ値で、識別子自体は保存しない）・サービス全体の日次上限、対象除外と robots.txt のブロックリスト、公開アドレスを指すことの確認、登録から間もないか経過期間不明のドメインのブロックです。一つの IP から多数の異なるドメイン、短時間に多数の要求といった異常を IP アドレス付きで記録し、内容なしの信号を出します（cfg/check_lib.php）。

6.4 お客様のアカウント内ドメインのチェック

お客様は、DNS レコード、メタタグ、ファイル、当社プラグインにより、ドメインを管理する権限を証明します（cfg/verify_lib.php）。それが済んで初めて確認済みとして扱います。監視スケジューラーは、有効で監視中かつ確認済みのドメインだけに定期チェックを予定します（cfg/monitor_lib.php）。

能動的テスト送信には二段階の条件があります。アプリケーションはお客様について、確認済みドメインだけに能動モードを設定します（自社のテスト・デモドメインでは、提供者が内部コマンドラインツールで「確認済み」チェックを作成可能）。チェックサービスは、信頼レベルと緊急停止 fc_active_enabled を再確認します（scanner/src/worker.js）。送信できるのは、規則が高い確信で一般的なお問い合わせフォームと判断し、実在の個人データの必須欄がなく、ドメインが行政機関、教育機関、診療所、医療機関、警察、裁判所と見られない場合だけです（scanner/src/classify.js）。言語モデルによって送信可能にすることはできません（scanner/src/classify.js）。一回のチェックで最大五回（fc_active_max_posts）、テストであることを明示し、送信者 dummy@formexposed.com、メールアドレス検証用の .invalid のアドレス、ヘッダーインジェクション検出用の無害な追加ヘッダー行を使います（scanner/src/active.js）。
ブラウザー操作手順は、設定済みの手順をブラウザーで送信直前まで確認します。GET と HEAD だけを許可し、それ以外、またログアウト・削除・購入・支払いを示す語を含むアドレスを中止します（scanner/src/browser.js）。必須欄には、ブラウザー外へ出ない架空の値を入力します。
公開ファイルは確認済みドメインだけで毎週検索し、各パス最大一回、最大 8 KB を取得し、内容は一切保存しません（cfg/dateien_lib.php）。
独立した別拠点の確認機能は準備されていますが、標準で無効です（browser_probe_enabled = 0）。有効にすると、ドメイン、アドレス、セレクター、手順、ブラウザー選択だけを受け取り、ログイン情報、画像、訪問者データは一切受け取りません（cfg/formular_probe_lib.php）。

6.5 ログイン後のスキャン

前提は、機能が設定済み、ドメインが確認済み、お客様が有料プランでワークスペースの所有者か管理者であることです（cfg/login_lib.php）。お客様は、必要最小限の権限を持つテストアカウントであることを確認します（cfg/login_lib.php）。

ユーザー名とパスワードは、ウェブサーバーでスキャンサーバーの公開鍵を使い直ちに暗号化します。レコードごとの使い捨て鍵（X25519）、鍵導出（HKDF-SHA256）、AES-256-GCM を使用し、ドメインに結び付けます（cfg/login_lib.php）。秘密鍵を持つのはスキャンサーバーのチェックサービスだけです（scanner/src/geheim.js）。ウェブサーバー、データベース、バックアップを取得しても、得られるのは暗号文だけです。
画面には、ユーザー名の先頭文字と長さだけを表示します（cfg/login_lib.php）。ログイン情報は一切表示せず、ログに記録せず、API からも出力しません。
チェック時、アプリケーションは暗号文をジョブに添付します。チェックサービスが復号し、直ちにジョブ内の欄を消去して、コマンドライン引数ではなく標準入力だけでコンテナに渡します（scanner/src/worker.js）。中断ジョブの残りは、一時間後に状態確認処理が消去します（cfg/login_lib.php）。
コンテナ内でブラウザーがログインします。別ホストへのリダイレクト、ログインフォームの CAPTCHA（回避しません）、送信後も残るパスワード欄があれば中止します（scanner/src/login.js）。その後、ページのメモリー内のパスワード欄を消去し、ログイン情報を破棄します（scanner/src/login.js）。
お客様が指定する同一ドメインの最大五ページを読み取ります。ログアウト、削除、除去、キャンセルを示す語を含むアドレスはブロックします（scanner/src/login.js）。ログイン後は何も送信せず、撮影せず、Cookie とリンクを結果に含めません（scanner/src/login.js）。
削除は取り消せません。暗号文を同じ長さのランダムデータで上書きし、行と保留中ジョブを消去します（cfg/login_lib.php）。ドメイン削除時には、外部キーによって行が自動的に消えます。

6.6 配信チェック

配信チェックは、お問い合わせフォームのメールが本当に届くかを確認し、認証上の特徴を評価します。任意で標準無効、確認用メールボックスの設定が必要です（cfg/zustellung_lib.php）。

有効にすると、ドメインにランダムなタグを付与します。お客様は、このタグを含む確認用アドレスをフォームの BCC に設定します。
以後、すべてのフォームメールが確認用メールボックスにも届きます。テストと明示した当社の送信と、訪問者の実際のメッセージの両方です。メールは Namecheap, Inc. (Private Email), Phoenix, Arizona, USA のメールボックスへ直接送られ、当社ドメインの MX レコードがそこを指す場合だけ届きます。例えばレジストラ Namecheap, Inc. の転送経由では届きません。取得するまでそこに残ります。
状態確認処理が五分ごとにメールボックスを取得します（srv/cron_status.php）。各メールのヘッダーと本文の先頭最大 8 KB を、既読にせず読み取ります（cfg/zustellung_lib.php）。
ヘッダーからタグとドメインを、本文から該当する場合はテスト識別子を判定します（cfg/zustellung_lib.php）。保存するのは、時刻、ドメイン、該当する場合はテスト識別子（cfg/zustellung_lib.php）で、180 日間保持します（cfg/zustellung_lib.php）。
ヘッダーから SPF、DKIM、DMARC を評価し、検証結果、送信者アドレスのドメイン、署名のドメイン、送信メールサーバーのアドレスを、ドメインに保存します（cfg/zustellung_lib.php）。悪化した場合、送信者ドメインを記載することのある通知を、一度お客様へ送ります（cfg/zustellung_lib.php）。
その後、どのドメインにも対応付けられなかったものも含め、取得したすべてのメールを削除対象にし、実行の最後にメールボックスから除去します（cfg/zustellung_lib.php）。その前に中断すれば、次の正常な実行まで残ります。
該当するテストそのもののコピーだけが配信の証拠となります（cfg/zustellung_lib.php）。三時間以内（delivery_wait_h）に届かなければ、「配信未確認」を報告します。

実際のメッセージの本文も訪問者のアドレスも、データベースには一切記録しません。ただし読み取ります。取得処理は、テスト識別子を検索するため、各メールの先頭 8 KB をメモリーに読み込みます。

6.7 協調防御

WordPress プラグインの保護レイヤーがメッセージをスパムとして阻止し、そのリンクのドメインを数えます。一日一回、一日最大 60 ドメインを検出回数とともに報告します。アドレス、本文、IP アドレスは報告しません（cfg/swarm_lib.php）。
当社は一日一回、そこから一覧を作ります。七日以内に少なくとも三つの異なるサイトで、少なくとも五回検出されたドメインを登録します（swarm_min_sites、swarm_window_days、cfg/swarm_lib.php）。固定の例外一覧の大規模サービスとお客様のドメインは、それぞれのサブドメインも含め、一切登録しません（cfg/swarm_lib.php）。
一覧は日次報告の応答として、すべての接続済みサイトに配布します。その保護レイヤーは、登録ドメインへのリンクを含むメッセージを、ごみ箱ではなく隔離へ送ります。
新しい一覧に現れなくなれば除外し、報告は 30 日後に削除します（cfg/swarm_lib.php）。
IP ネットワーク（/24 または /48）にも対応を準備していますが、法的確認の完了までは無効です（cfg/swarm_lib.php）。

6.8 人工知能の利用

言語モデルは AI 提供者ではなく、自社スキャンサーバーで稼働します。使用箇所は3つです。チェックサービスでは、規則で種類を識別できないフォームを分類します。その際、ページタイトル、ページアドレス、送信ボタンのラベル、入力欄の種類・名前・ラベル・プレースホルダー、最大 400 文字のフォームテキストを参照します（scanner/src/classify.js）。規則が「不明」を返した場合だけ問い合わせ、この方法で分類したフォームには一切送信せず、スコアや判定にも算入しません。スコア、判定、不正利用防止、協調防御、スパム規則は、AI ではなく固定規則です。「Fix it for me」では貼り付けたフォームコードを書き換え、コードは保存しません。有料アカウント内のドメインに対する対象のチェックでは、ホスト名、総合結果とスコア、CMS、該当するフォームの種類とページアドレス、特定されたプラグイン、および選択された不合格または不明の検出結果から、優先順位付きの対応計画も生成します。リクエストは内部ジョブキューに一時保存され、結果の取得後、または1時間を超えた項目の定期的なクリーンアップによって削除されます。生成されたテキスト、言語、状態、タイムスタンプは、その保存ルールに従ってスキャン結果とともに保持されます。レポートは計画をAIによる要約と表示し、個別の検出結果を正式な判断の基準とします。計画はウェブサイトやスキャン結果を変更しません。人について判断することはありません。詳細はEU AI 法：formexposed の AI 利用方法をご覧ください。

6.9 法的根拠

処理作業	法的根拠
P1 無料チェック：依頼されたドメインのチェック、上限と不正利用防止	依頼者について第 6 条 (1)(b)、運営者と表示される人について第 6 条 (1)(f)、不正利用防止は第 6 条 (1)(f)
P2 見込み客チェック	第 6 条 (1)(f)（制作会社と formexposed の正当な利益）
P3 調査	第 6 条 (1)(f)
P4 お客様のドメインのチェック	お客様について第 6 条 (1)(b)、サイト上の第三者データは第 28 条に基づくお客様の指示
P5 ログイン後のスキャン	第 28 条に基づくお客様の指示、お客様の法的根拠
P6 配信チェック	第 28 条に基づくお客様の指示、お客様の法的根拠（当社の提案文案では第 6 条 (1)(f)）
P7 協調防御	第 6 条 (1)(f)（多数のサイトを通じた共同のスパム対策）

P1 から P3 の正当な利益は、スパムや不正利用に悪用される前に、運営者とサービス提供者へフォームの弱点を示し、サービスを提供することです。データは公開アクセス可能な情報源から取得します。利益衡量は第 7 節に定めます。第 6 条 (1)(f) が依頼に基づく第三者サイトのチェックの根拠となるかは、法的確認の未解決事項です。

6.10 受領者と第三国への移転

受領者	内容	処理作業	状態
formexposed の外部には提供しません	チェック結果、スクリーンショット、言語モデルによる分類	P1–P5	チェックサービスと言語モデルは自社サーバーで稼働します。クローラーのチェック経路では、対象サイト自体、一般の訪問者と同様にその埋め込み先サービス、ドメイン経過期間用の RDAP サービス rdap.org（ドメイン名だけ）以外への第三者呼び出しは確認されていません。監視機能は次の行に記載します
リンクを知る人	検出結果と画像付きレポート	P1、P2、P4	128 ビットのランダムリンク（`cfg/check_lib.php`）、`noindex` のページ（`www/report.php`）
お客様のドメイン監視が照会するサービス	DNS ブロックリスト（SpamCop、PSBL、Mailspike、SURBL）：ドメインとサーバー IP アドレス、訪問者データなし。設定時だけの Google Web Risk：トップページのアドレス。タイムスタンプ局 Certum と DigiCert：証拠ログのハッシュだけ。IANA レジストリ経由の RDAP：ドメイン名だけ。提供元のステータスページ：何も送信しません。wpvulnerability.net：プラグイン（バージョンなし）かテーマの識別子と WordPress バージョン	P4	利用中。詳細は処理活動の記録と再処理者ページを参照
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	訪問者の実際のメッセージを含む確認用コピー	P6	契約は未締結。処理場所と移転の仕組みは要検討
Namecheap, Inc.（米国）	レジストラと DNS。メールボックスの設定までは、当社ドメイン宛ての一般メールの転送。確認用コピーは含みません（メールボックスを直接指す MX レコード経由でだけ届きます）	–（確認用コピーなし）	移転の仕組みは要検討
お客様が選ぶ通知チャンネル（メール、Webhook、Slack、Discord、Microsoft Teams、Google Chat、Telegram）	事象、ドメイン、リンク。認証チェックでは、サイトに属さない送信者ドメイン	P4、P6	お客様が選ぶ宛先。一部は EU 域外。当社ボットから送る Telegram メッセージの移転の仕組みは、法的確認の未解決事項です
すべての接続済みサイト	リンクドメインの一覧	P7	プラグインへの応答を介して配布
別拠点の確認機能	ドメイン、フォームアドレス、セレクター、手順	P4	無効

6.11 想定ではなく確認した保存期間

削除の多くは夜間 03:00 の状態確認処理で行います（srv/cron_status.php、cfg/fristen_lib.php）。協調防御の報告と見込み客項目は毎日 04:00 以降、配信チェックの対応付けは取得ごと、匿名・見込み客レポートは有効期限に基づいて削除します（cfg/check_lib.php）。スクリーンショットはスキャンとともにディスクから削除します（cfg/fristen_lib.php）。

データ	コード上の期間	出典参照	確認結果
画像を含む無料チェック	30 日	`cfg/check_lib.php`	機能しています
画像を含む見込み客チェック	90 日	`cfg/akquise_lib.php`、`srv/cron_status.php`（見込み客の行）	機能しています
お客様のドメインのチェック	13 か月。最後のチェックはドメインが存在する間保持	`cfg/fristen_lib.php`	機能しています
黒塗り画像を含むブラウザー操作手順の結果	13 か月	`cfg/fristen_lib.php`	機能しています
削除したドメインのデータ	即時、参照元のない残存データは夜間	`cfg/fristen_lib.php`（`fe_domain_loeschen()`、`fe_fristen_lauf()`）	スクリプト一覧と変更も含めて機能しています。それらに追加の独自保存期間はありません（処理活動の記録参照）
調査：画像を含む生データ	公開時	`cfg/studie_lib.php`	公表されない場合は保存期限が定められていません。チェックしたホスト一覧は公開後も期限なく残ります
ドメインもレポートもない内部チェック	なし	–	削除なし。確認値：2026 年9月 22 日以降の 85 チェック、369 画像（R4）
配信チェックの対応付け	180 日	`cfg/zustellung_lib.php`	機能しています
ドメインの認証チェック結果	次の結果、またはドメイン削除まで	`cfg/zustellung_lib.php`	上書きされ、期限はありません
メールボックス内の確認用コピー	次の正常な取得まで（五分間隔）	`cfg/zustellung_lib.php`	メールボックス提供者のコピーとバックアップは未確認
ログイン後スキャンのログイン情報	お客様による削除、またはドメインの削除まで。ジョブ内は実行終了まで、残りは一時間後に消去	`cfg/login_lib.php`	機能しています。バックアップ内は暗号文だけで最大 14 日
協調防御の報告	30 日	`cfg/swarm_lib.php`	機能しています
無料チェックの上限（IP、国、セッションハッシュ）	7 日	`srv/cron_status.php`	機能しています
IP アドレス付き不審行動の注記	解決から 90 日	`srv/cron_status.php`	未解決の注記は保存期限が定められていません。確認値：3 件、すべて解決済み
対象除外の IP アドレス、国、ブラウザー	12 か月。除外は残ります	`cfg/fristen_lib.php`	機能しています
データベースのバックアップ	14 日	`cfg/backup_lib.php`	機能しています。現在はデータベースと同じ場所で、個別には暗号化していません。別拠点の暗号化コピーを計画しています（R13）

7. (b) 必要性と比例性の評価

基準は、フォームがスパム・不正利用に対して保護されているかを示すこと（P1 から P5）、フォームメールの到着と認証状況を確認すること（P6）、多数のサイトで共同してスパムを防ぐこと（P7）という明示した目的です。これらの目的は正当です。第 35 条 (7)(b) の問いは、より限定的です。目的のためにこの処理をこの深さまで行う必要があり、その利益に対して干渉が釣り合っているでしょうか？

構成要素	目的に必要か	実装された形で比例性があるか
少数の公開ページ、フォーム構造、検出した保護措置の取得	必要です。なければ検出結果を得られません。	あります。最大八ページ（加えて第 6.1 節の表示）、robots.txt のトップページ禁止を尊重し、表示欄の値は取得せず、受信者アドレスはドメインだけを扱います。
フォームごとの画像	必要です。レポートの証拠となり、運営者が対象フォームを確認できます。	概ねあります。クローラーが入力しないため欄は空です。ただしフォーム要素の周辺は黒塗りせず写ります（R3）。
トップページの画像	検出結果自体には不要です。レポート内で対象サイトを識別するためのものです。	限定的です。追加の最小化を計画しています。トップページには、チーム写真、担当者、名前付きのお客様の声など、人がよく登場します。R3 と第 9.3 節参照。
非表示欄の値の読み取り（先頭 24 文字、チェック中のみ）	必要です。トークンとタイムスタンプを検出します。	あります。ログイン後も含め、値ではなく検出結果だけを保存します（R8）。
テスト送信の応答ページ（画像と 300 文字の本文）	必要です。フォームの応答の証拠です。	あります。応答は、個人データなしの、テストと明示したメッセージに対するものです。
言語モデルによる分類	有用ですが必須ではありません。なければ「不明」のフォームが増えます。	あります。ローカル処理、外部開示なし、送信権限なし。
選択された検出結果とスキャンメタデータから作成するローカルの対応計画	対応の優先順位付けには有用ですが、個別の検出結果を作成するために必要なものではありません。	既存のスキャンメタデータと最大18件の重複しない不合格または不明の検出結果に限定され、プロンプトにはスクリーンショットや入力されたフィールド値を含みません。計画は助言であり、AIが生成したものであることが表示され、個別の検出結果が正式な判断の基準となります。URLや注記には依然として個人データが含まれる場合があり、生成されたテキストにはスキャンの保存ルールと、リンクの所持者が利用できるアクセス方式が適用されます。これらの制限はデータの露出を減らしますが、内容の事実関係の正確さを証明するものではありません（R10）。
能動的なテスト送信	必要です。保護が機能するかは、テストして初めて分かります。	上限と明示があるため、あります。ただし前提となる管理権限の証明は更新しません（R7）。
公開ファイルの検索	フォームデータが公開され得るお客様に必要です。	あります。確認済みドメインのみ、最大 8 KB、内容は一切保存しません。
ログイン後のスキャン	他の方法では未確認となる会員エリアのフォームに必要です。	概ねあります。暗号化と削除は慎重に実装していますが、ログインでは非暗号化接続と不正な証明書も受け付けます（R8）。
実際の訪問者メッセージの確認用コピー	配信の証拠には不要です。それには当社テストのコピーだけを使います（`cfg/zustellung_lib.php`）。フォームの BCC がテストと実際のメッセージを区別しないため、一緒に届きます。実際の送信経路を示すため、認証チェック（SPF、DKIM、DMARC）には有用です。	一部あります。内容は保存しませんが読み取り、契約が未締結のメールボックス提供者に、取得まで残ります（R1、R2）。より侵襲性の低い設計は技術的に可能です。当社プラグインを使い、BCC をテストと明示したメッセージだけに限定できます（第 9.3 節）。
実際のメッセージの送信者ドメイン保存	一部必要です。フォームが訪問者のアドレスを送信者に使うかを示します（迷惑メール判定の頻出原因）。	条件付きです。独自ドメインを持つ個人ではドメインも個人データで、お客様と選択したチャンネルへの通知に含まれます（R1）。
共有リンクドメイン一覧	必要です。多くのサイトに同時に現れるスパムリンクは、単一サイトにはない強い兆候です。	最低件数、例外、削除ではなく隔離により、比例性があります。IP ネットワークは、新たな評価なしには比例的ではありません。
調査の生データ	評価までは必要です。	最大保存期間が定められていなければ、比例的ではありません（R4）。
ランダムリンクのレポート	必要です。サイトの管理サービス提供者などにレポートを渡すことが、無料チェックの目的です。	あります。128 ビットのランダムリンク、`noindex`、無料レポートは抜粋のみ（`cfg/check_lib.php`、`FE_FREE_DETEKTOREN`）、30 日後に削除します。

適法性。P1 から P3 と P7 では第 6 条 (1)(f) に依拠します。利益衡量で有利な点は、公開データを一般の訪問者と同様に取得すること、送信しないこと、個人データが付随的で少量であること、短い保存期間、運営者が robots.txt でトップページを禁止してクローラーの追加チェックを、当社の対象除外ページですべての追加チェックを、即時かつ証明なしに除外できること、保護されたフォームという利益が運営者と訪問者にも及ぶことです。不利な点は、運営者がチェックを知らず、レポートが第三者向けで、個人事業主では人物を評価することです。当社は、第 9.1 節の措置が維持される限り、利益衡量は正当化可能と考えます。法的確認は未了です。

データ主体への情報提供（第 13 条および第 14 条）。取得時の識別子に毎回示すクローラーページ、プライバシーポリシー、対象除外ページを通じ、運営者とチェック対象ページに映る人に知らせます。画像に偶然映る人への個別通知には、その人を特定する必要があり、それ自体が追加の、より深刻な干渉になります。その範囲で第 14 条 (5)(b) に依拠します。確認用コピーを通るメッセージの訪問者にはお客様が知らせます。データ処理契約で義務付け、ウェブサイト用プライバシーポリシー文案を提供します。

データ最小化（第 5 条 (1)(c)）。多くの箇所でコードに基づき実現しています。入力値なし、受信者アドレスはドメインだけ、スクリプトアドレスのアカウント識別子を隠す、確認用コピーの内容をデータベースに残さない、ログイン後は撮影しない、協調防御ではドメインだけです。黒塗りのないトップページ画像と、実際のメッセージの送信者ドメインの二箇所で、さらに最小化でき、計画しています（第 9.3 節）。

保存制限（第 5 条 (1)(e)）。2026 年9月 27 日以降、夜間処理は顧客データについてプライバシーポリシーの期間を守り、それ以前の期間に生じた、関連ドメインのない残存データも消去しています（cfg/fristen_lib.php）。期限のない二つの経路、内部チェックと未公開調査は、未解決です（R4）。

正確性（第 5 条 (1)(d)）。保護が操作後にだけ読み込まれる、ファイアウォールが訪問者とクローラーを違って扱うなどにより、無防備に見えるという誤検出があります。サイトが「無防備」として公に共有される運営者にとって、評判の問題です。そのためレポートは方法を示し、証拠を付け、外部チェックの限界を明記します。

比例性の結論：第三者と自社のサイトのチェックは、実装された形で概ね比例的です。通常の方法で改善でき、対策を計画する三箇所があります（第 9.3 節）。トップページ画像、期限のない内部チェック、ログイン後スキャンの非暗号化ログインです。配信チェックは、テストコピーと認証チェックについて比例的です。実際の訪問者メッセージについては、内容を保存せず、メールボックス提供者を通る経路を契約で保護し、お客様が訪問者に知らせる限りにおいてです。現時点では、この三条件の二つ目が欠けています。

8. (c) データ主体の権利と自由へのリスク評価

評価するのは、formexposed ではなくデータ主体へのリスクです。可能性は、低い、あり得る、起こりやすい、顕在化済みで評価します。「顕在化済み」は予測ではなく、確認された状態を意味します。重大度は、メッセージの秘密性、アカウントの管理、事業上の評判、権利行使の能力など、失われるものに応じて、限定的、相当、深刻、極めて深刻とします。水準は両方から決まり、第 9.1 節の措置を適用した現在の状態を示します。

番号	リスク	処理作業	可能性	重大度	水準
R1	特別な種類の個人データを含み得る、実際の訪問者メッセージの確認用コピー	P6	有効化すると顕在化	深刻	高
R2	確認用コピーが、契約未締結で第三国との関連があり得るメールボックス提供者を経由すること	P6	契約がない間は起こりやすい	深刻	高
R3	黒塗りなしの第三者サイトの画像	P1–P4	起こりやすい	限定的	中
R4	削除経路のないチェックデータと画像	P3、内部チェック	顕在化済み	相当	高
R5	運営者に知らせない第三者サイトのチェックと公開評価、偵察ツールとしての悪用	P1	あり得る	相当	中
R6	未承諾の勧誘の基礎となる見込み客チェック	P2	起こりやすい	限定的	中
R7	管理権限の証明が更新されない	P4、P5	あり得る	相当	中
R8	ログイン後スキャンのログイン情報と内容	P5	あり得る	深刻	中。実際のアカウントでは高
R9	お客様のサイトへの能動的テスト送信とファイルチェック	P4	低い	相当	低
R10	言語モデルによる分類	P1–P4	低い	限定的	低
R11	多数サイトの報告による共有ブロックリスト	P7	あり得る	限定的	低から中。IP ネットワークでは高
R12	公開リンクのレポートと画像	P1、P2、P4	あり得る	限定的	低
R13	インフラの弱点：バックアップ、サーバーアクセス、スキャンサーバー	すべて	あり得る	深刻	高
R14	当社を知らない人のデータ主体の権利	P1–P6	起こりやすい	限定的	低

R1 – 実際の訪問者メッセージの確認用コピー

これは本サービスの最も深刻なリスクであり、不具合ではなく設計から生じます。フォームの BCC は、当社のテストメッセージと訪問者のメッセージを区別しません。お客様が配信チェックを有効にすると、そのフォームから送るすべてのメッセージが確認用メールボックスに届きます（cfg/zustellung_lib.php）。取得処理はテスト識別子を探すため、ヘッダーと本文の先頭 8 KB をメモリーに読み込みます（cfg/zustellung_lib.php）。通常のお問い合わせフォームでは、名前、メールアドレス、電話番号、メッセージ全文が対象になります。

何を書くかは訪問者次第で、入力欄は個人的な内容を招きます。診療所に症状を記した予約依頼、法律事務所に紛争の説明、求職応募、学校に子どもに関する問い合わせなどです。当社の法的文書には、コピーに「特別な種類の個人データを含めるべきでない」とあります。これはお客様への要請であり、保護措置ではありません。お客様も当社も、訪問者が何を書くか事前には分かりません。

二つの付随経路があります。第一に、認証チェックは送信者アドレスのドメインをドメイン情報に保存します（cfg/zustellung_lib.php）。フォームが訪問者のアドレスを送信者に使う場合、それは訪問者のドメインです。大手メール提供者では意味を持ちませんが、独自ドメインを持つ個人では個人データです。このドメインは、お客様と選択したチャンネルへの通知にも現れます（cfg/zustellung_lib.php）。第二に、送信メールサーバーのアドレスも保存します（cfg/zustellung_lib.php）。通常は訪問者ではなく、サイトのサーバーです。

可能性 – 有効化すると顕在化。実際のメッセージが届くかではなく、何件届くかが問題です。開発システムで確認した時点では、どのドメインでも無効です。重大度 – 深刻。事業者へのメッセージの秘密性は多くの人に重要で、典型的なお客様の一部では第 9 条のデータも想定されます。内容がデータベースに残らず、メールボックス内も短期間で、formexposed の人間が読まないことにより、重大度を緩和しています。水準 – 高。

R2 – 契約未締結のメールボックス提供者を通る確認用コピーの経路

取得処理が見る前に、コピーは Namecheap, Inc. (Private Email), Phoenix, Arizona, USA のメールボックスに保持されます。当社ドメインの MX レコードがそのメールボックスを直接指す場合だけ届きます。レジストラ Namecheap, Inc. の転送は確認用コピーの経由地点ではありません（転送では届きません）。残る経由地点の契約整備は未完了です。メールボックス提供者との契約は未締結、保存場所・再処理者・バックアップ期間は未確認で、処理場所に十分性認定または標準契約条項が必要か、適用されるかも未解決です。当社自身の取引メールでは契約設計の問題ですが、確認用コピーではより深刻です。処理者として受け取るデータであり、経路上の各提供者は、第 28 条 (4) に基づいて当社が責任を負う再処理者になるためです。

さらに「取得後に削除」は、当社から見えるメールボックスだけについてです。削除したメールを提供者がバックアップやごみ箱に保持するか、その期間は未確認です。取得が中断すれば、次の正常実行まで残ります（cfg/zustellung_lib.php）。状態確認処理が停止すれば、期限なく残ります。取得処理自体の安全性も、公開前に本番システムで確認する項目の一つです（第 9.3 節）。

可能性 – 起こりやすい。契約がない間、すべてのコピーがこの経路を通ります。重大度 – 深刻。理由は R1 と同様です。水準 – 高。アプリの設定チェックリストは、メールボックス不足を警告しますが、契約の文書化がなければ配信チェックを阻止するロックはありません。

R3 – 黒塗りなしの第三者サイトのスクリーンショット

クローラーは最初のページの可視領域と、表示される各フォーム要素を撮影します（scanner/src/crawl.js）。何も黒塗りしません。ブラウザー操作手順では異なり、撮影前に入力欄をマスクします（scanner/src/browser.js）。つまり、情報を除去した画像はブラウザー操作手順のものだけで、クローラー画像や能動的チェックの応答ページ画像は対象外です。

クローラーは入力しないため、フォーム欄は空です。しかし、小規模事業者のトップページには、経営者、チーム、名前・写真付きのお客様の声、従業員の写真付きチャット窓などがよく表示されます。もともと公開情報ですが、撮影すると当社に保存されるコピーとなり、レポートに表示され、リンクで他人に渡せます。

可能性 – 起こりやすい。開発システムのデータでは 432 画像を確認しました。重大度 – 限定的：内容は既に公開され、アカウントなしチェックの保存期間は短いです。水準 – 中。写る人が知らず、トップページ画像は検出結果に必要ないためです。

R4 – 削除経路のないチェックデータと画像

夜間処理は、レポートの期限（cfg/check_lib.php）と、お客様のドメインのチェック保存期間（cfg/fristen_lib.php、ドメイン付きチェックだけ）という二経路で削除します。レポートもドメインもないチェックは、両方から漏れます。信頼レベル「内部」の、調査と提供者がコマンドラインで作成するチェックです。

調査は公開時に生データを削除します（cfg/studie_lib.php）。フォーム付きサイトが少なすぎる（cfg/studie_lib.php が公開を拒否）か、放置されて公開しなければ、チェック、フォーム、検出結果、画像が期限なく残ります。
コマンドラインからの内部チェックには削除経路が全くありません。2026 年10月 11 日の確認では、第三者サイトの該当チェックが 85 件、フォーム 978 件、画像 369 件あり、最も古いものは 2026 年9月 22 日で、いずれもレポートもドメインもありませんでした。
無料チェックの不審行動の注記には IP アドレスがあり、解決から 90 日後に削除します（srv/cron_status.php）。未解決なら残ります。確認値は三件、すべて解決済みです。

可能性 – 顕在化済み。85 件のチェックは想定ではなく実在データです。開発システムでは実地テストのチェックですが、本番にも同じコードを使います。重大度 – 相当：これらのデータには保存期間が定められていません。保存制限の原則（第 5 条 (1)(e)）上、対策を計画する未解決事項（第 9.3 節、優先度「最初」）で、チェックを知らない人をまさに対象とします。内部チェックは処理活動の記録に記載していますが、プライバシーポリシーではまだ別に示していません（第 9.4 節）。水準 – 高。

R5 – 運営者に知らせない第三者サイトのチェックと公開評価

誰でも、アカウントもサイトとの関係もなく、任意の公開サイトをチェックできます。運営者への通知はありません。結果は「無防備」「一部保護」「保護済み」と評価するレポートで、リンクを持つ誰でも閲覧できます。データ主体に二つの結果が考えられます。個人事業主が、リンク受領者だけとはいえ、公に評価され、その結果が誤っている可能性があります。また、スパム送信者に、どのフォームに障害なく入力できるかを示します。

対して複数の制限があります（cfg/check_lib.php）。同一ドメインは七日間で一回、以後は同じレポート。IP アドレス・セッション別上限、サービス全体の日次上限、不正利用に典型的な登録直後のドメインの除外、不審行動の注記と信号、二重確認する robots.txt と対象除外（cfg/check_lib.php とチェックサービス）です。無料レポートは抜粋で、基本的な検出結果だけを示し、全検出器の証拠は表示しません。また、ボットが数秒で自ら知り得ること以上は示しません。保護のないフォームは外から見えるためです。

可能性 – あり得る。重大度 – 相当。レポート後にフォームが標的となるか、評価を誤られた個人事業主についてです。水準 – 中。

R6 – 未承諾の勧誘の基礎となる見込み客チェック

画面では、見込み客チェックを「最初の会話を開くきっかけ」と説明します。短い検出結果の使い方は制作会社次第で、技術的には依頼していない運営者にも送れます。当社は誰にも連絡せず（cfg/akquise_lib.php）、利用規約は制作会社に広告・勧誘規則の遵守を義務付けます。しかし、結果を含む未承諾メールは事業者間でもダイレクトマーケティングであり、ポーランドでは電子通信法（Prawo komunikacji elektronicznej、PKE）第 398 条、ドイツでは不正競争防止法（Gesetz gegen den unlauteren Wettbewerb、UWG）第 7 条 (2) に基づく事前同意が必要です。画面にはこの案内がなく、見込み客チェックの説明は「受動的」「対象除外リスト」としか述べません。

可能性 – 起こりやすい。顧客獲得用の機能で、受信者の同意を確認できないためです。重大度 – 限定的：運営者には、サイト評価を添えた迷惑な広告メールです。水準 – 中。制作会社の行為のリスクですが、当社が提供する機能のため、画面上の注意を計画しています（第 9.3 節）。

R7 – 管理権限の証明が更新されない

能動的テスト送信、公開ファイル検索、ログイン後スキャンには、ドメインの管理権限の証明が必要です。一度確認し（cfg/verify_lib.php）、再確認しません。証明を失う経路がコードにありません。所有者の変更、制作会社の委託終了、DNS レコードの削除後も、最大毎日、最大五回のテスト送信と、保存済みなら新運営者が知らないテストアカウントのログインを伴って、継続します。一方、名前を変えて証明を別ホストに移すことはできません。証明済みドメインのホスト名は変更不可です。

可能性 – あり得る。制作会社ではドメインや委託の変更は日常的です。重大度 – 相当。新しい運営者と従業員は、同意なくテストメッセージを受け取り、サイトの公開ファイルを検索されます。水準 – 中。テストメッセージには説明があり、クローラーページと対象除外を示します。対象除外はお客様からのチェックにも有効です。

R8 – ログイン後スキャンのログイン情報と内容

暗号化は慎重に実装されています。保存後はウェブサーバーが読めず、データベースとバックアップには暗号文だけがあり、レコードはドメインに結び付き、標準入力だけでコンテナに渡してメモリーから消去します（第 6.5 節）。二つの欠点が残り、三つ目は保存ではなく読み取りだけの問題です。

非暗号化ログインを許可。アドレス検証は http と https の両方を許可します（cfg/login_lib.php、scanner/src/login.js）。お客様が http のログインページを入力すると、ユーザー名とパスワードがチェックのたびに平文でインターネットを通ります。
証明書エラーで停止しません。現在は、お客様のサイトの証明書が無効でもログインを中止しません（scanner/src/login.js）。証明書は、ログイン情報の通信を完全には保護していません。エラー時の中止を計画しています（第 9.3 節、優先度「最初」）。
ログイン後の非表示欄の値は読み取るが保存しません。クローラーは非表示欄の値の先頭 24 文字を読み（scanner/src/crawl.js）、ログイン後も同じ抽出関数を使います（scanner/src/login.js）。そこにはアカウント番号、ユーザー識別子、ログイン中アカウントのメールアドレスが含まれがちですが、フィールドマップと検出結果に入るのは名前、種類、ラベル、検出結果だけです。

コードが防げないこともあります。お客様は最小権限のテストアカウントと確認しますが（cfg/login_lib.php）、実際の管理者アカウントを入力できます。読むページはお客様が決め、ログアウトや削除を示す語のあるアドレスはブロックしますが、サイトが単純なリクエストで行う他の操作は防ぎません。

可能性 – あり得る。重大度 – 深刻。広い権限のアカウントが対象なら、全利用者のデータを含む会員エリアが開かれるためです。水準 – 中（権限の少ないテストアカウント）、実際のアカウントでは高。開発システムでの確認時、保存済みテストアカウントはありません。

R9 – お客様のサイトへの能動的テスト送信とファイルチェック

テスト送信は、従業員やサービス提供者など、フォームメールの受信者に届きます。個人データはなく、送信者は dummy@formexposed.com、本文と件名はテストと明示しチェック識別子を含みます（scanner/src/active.js）。リスクは誤分類です。応募、予約、助言のフォームをお問い合わせと誤認すれば、結果を伴う手続きに入ってしまいます。対策は、送信可能の厳格な規則（scanner/src/classify.js）、行政・教育・診療所・医療機関・警察・裁判所のドメインのブロック（scanner/src/classify.js）、言語モデルを判断から除外すること（scanner/src/classify.js）です。応答から状態、送信先、タイトル、本文 300 文字、画像を保存し、それらはテストメッセージに関係します。

ファイルチェックは典型的なパスから最大 8 KB を読みます。実際に公開されたデータベースダンプなら、この 8 KB に訪問者のフォーム入力が含まれ得ます。特徴を確認して破棄するだけで（cfg/dateien_lib.php）、保存するのはパス、種類、重大度です。

可能性 – 低い。重大度 – 相当。水準 – 低。開発システムでは、受け付けられた送信のない能動的チェックが一件あります。

R10 – 言語モデルによる分類

規則が識別できないフォームでは、言語モデルがページタイトル、アドレス、ボタン文、欄の説明、最大 400 文字のテキストを受け取ります（scanner/src/classify.js）。「担当者：…」などの名前を含み得ます。自社サーバーで動作し、コード上は第三者へ何も送りません。モデルソフトウェアが要求を記録するかは未確認です。結果は表示するフォーム種類だけを決め、送信可能にはできません。誤分類は不正確な検出結果につながりますが、操作にはつながりません。

可能性 – 低い。重大度 – 限定的。水準 – 低。

R10 – 追加の対応計画段階

対象となる有料レポートでは、同じローカルモデルが、選択された検出結果とスキャンメタデータから助言の手順も生成します。分類とは異なり、出力はスキャンとともに保持される自然言語の要約です。ホスト名、ページアドレス、注記に個人データが含まれ、モデルがそれを繰り返して出力する可能性があります。誤った推奨事項により、閲覧者が保護を弱めたり、不必要な変更を加えたりするおそれがあります。レポートのリンクを渡すと、再掲された個人データが別の受領者に開示される場合があります。コードは、推奨事項を自動的に実行せず、スコアや判定を変更せず、テキストの事実関係の正確さも確認しません。入力と出力の長さを制限し、要約がAIにより生成されたことを表示し、個別の検出結果が正式な判断の基準であると明記します。これらは対策であり、推奨事項が正しいことやレポートが匿名であることの証明ではありません。分類に関する以前の発生可能性と重大性の評価が、この追加された生成段階の評価にそのまま当てはまるわけではありません。その残余リスクは、元となるチェックの実際のデータと利用方法に照らして評価する必要があります。

R11 – 多数サイトの報告による共有ブロックリスト

登録ドメインへのリンクを含むメッセージは、すべての接続済みサイトで隔離されます。職人、写真家、ブログなど個人のドメインなら、自分のサイトへのリンク付きメッセージが遅れて届きます。スパム送信者による悪用や、誰かがそのドメインを含む拒否対象メッセージを意図的に複数サイトへ送ることで、登録される可能性があります。

対策は次のとおりです（cfg/swarm_lib.php）。七日間で少なくとも三つの異なるサイトと五回の検出、主要サービスの固定例外、お客様のドメインの除外、サーバーツールによる手動解除、削除でなく隔離、毎日の再構築と報告が途絶えたドメインの除外です。影響を受ける人は一覧を見られず、当社への連絡以外に、自ら解除を要求する経路はありません。

可能性 – あり得る。重大度 – 限定的。何も失われず、受信者がメッセージの保留を解除できるためです。水準 – 低から中。IP ネットワークを有効にすると、提供者全体のネットワークが影響を受け、IP アドレスは個人データでもあるため、重大度は「相当」になります。水準は高です。

R12 – 公開リンクのレポートと画像

無料チェック、見込み客チェック、お客様のドメインのチェックのレポートには、ランダムリンクでログインせずにアクセスできます。リンクは 128 ビットのランダム性を持ち、推測できません（cfg/check_lib.php）。ページは noindex を設定し、アプリはオリジンだけを送るリファラーポリシーを使用します（www/.htaccess）。画像は所属レポートと一緒にだけ配信し、別の画像番号には「見つかりません」を返します（www/shot.php）。リスクは暗号ではなく人の行動です。リンクを渡す、チケットへコピーする、チャットで共有するなどです。閲覧者は通常のページ表示と同じアクセスログにだけ記録され（60 日）、リンク自体はマスクされます。レポートごとの閲覧者一覧はありません。

可能性 – あり得る。重大度 – 限定的。公開情報だけを示し、無料・見込み客レポートはそれぞれ 30 日、90 日で失効するためです。お客様のドメインのレポートはチェックが存在する間アクセスでき、13 か月、最新のものはそれ以上です。水準 – 低。

R13 – インフラの弱点

次の点は内部の確認資料で未解決とされており、ここでも隠しません。お客様が自ら評価するのに必要な精度で説明しますが、攻撃者に方法を示すほど詳しくはしません。監督機関の要請には詳細を提供します。

データベースのバックアップは現在、データベースと同じ場所にあり、個別には暗号化していません。別拠点の暗号化コピーを計画しています（cfg/backup_lib.php）。それまでは拠点の喪失に対応できず、データベースを取得した人はバックアップも取得できます。ログイン後スキャンのログイン情報は暗号文だけです。
保存中のデータベースは暗号化していません。個別に暗号化する欄（テストアカウントのログイン情報、二要素のシークレット）は例外です。
内部ネットワークの接続は、全経路では暗号化されていません。
サーバー管理。管理用アクセスの安全性は、運用で目指す水準にまだ達しておらず、強化を継続しています。
チェック環境。スキャンサーバーはブラウザーで第三者サイトを開きます。チェックコンテナは、独自ネットワーク、特権なし、読み取り専用、制限付きで隔離されています（scanner/src/worker.js）。他のサービス部分との分離をさらに強めています（第 9.3 節）。

可能性 – あり得る。重大度 – 深刻。有事にはすべてが同時に影響を受けるためです。水準 – 高。個々の点は通常の方法で改善できます（第 9.3 節）。

R14 – 当社を知らない人のデータ主体の権利

画像に偶然映る人や、メッセージが確認用コピーを通った人は、通常、当社の存在を知りません。知っていても、「自分の」データへの手掛かりがありません。当社は人別でなく、ドメインとチェック別に保存するためです。第 15 条の開示請求に回答するには、本人がドメインを示す必要があり、その上で既存のチェックと画像を調べられます。実際の訪問者メッセージは保存しないため、R1 の送信者ドメイン以外に開示するものがありません。対象除外はドメインの運営者だけに使え、写る人には使えません。その場合は contact@lukaswojcik.com への連絡が残ります。

可能性 – 起こりやすい、構造的な状況です。重大度 – 限定的。短命なデータで、人別に整理していないためです。水準 – 低。

9. (d) リスクに対処する措置

各措置の状態は飾りではありません。現在実装済み – 確認済みは、開発システムのコードを読み、可能な場合はデータベースで測定したことを意味します。一部は、仕組みはあるが目的を完全には達成しないことです。計画は、この評価が提案し、まだ実装していないことです。実施の有無と時期は所有者が決めます。要決定は、コードでは代替できない手順や判断です。計画を実装済みと示す DPIA は、必要とされる場面でこそ価値を失います。

9.1 現在実装済み – 確認済み

措置	対象	出典参照
クローラーは毎回 robots.txt を読みます。トップページへの禁止、取得不能、サーバーエラーでは終了します（下位パスは個々に確認せず、稼働チェック、証明取得、ヘッダーツール、ファイル検索では読みません）	R5、適法性	`scanner/src/net.js`
証明不要で即時有効な対象除外。ドメインと www 版の匿名・見込み客・調査・顧客チェックに適用（監視は次回予定チェックで終了）。アプリとチェックサービスで二重確認し、解除は証明付き依頼に基づき当社だけが行います	R5、R7、第 21 条	`cfg/check_lib.php`、`cfg/akquise_lib.php`、`cfg/studie_lib.php`、`scanner/src/worker.js`
無料チェック：緊急停止、reCAPTCHA、ドメインごとに週一回、IP・セッション別上限、日次上限、新規ドメイン除外、公開アドレス限定、異常時の注記と内容なし信号	R5	`cfg/check_lib.php`
上限のためのセッションはハッシュだけを保存し、識別子自体は一切保存しません	最小化	`cfg/check_lib.php`
入力値なし（非表示欄・データ属性の冒頭はチェック中だけ読み取る、第 6.2 節）、受信者はドメインだけ、スクリプトアドレスのアカウント識別子を隠します	最小化	`scanner/src/crawl.js`
無料レポートは抜粋で、基本結果だけを表示し、全検出器の証拠は表示しません	R5	`cfg/check_lib.php`、`FE_FREE_DETEKTOREN`
レポートは 128 ビットのランダムリンク、`noindex`、画像は所属レポート専用で公開ウェブディレクトリ外に保存。アクセスログのリンクはマスクします	R12	`cfg/check_lib.php`、`www/report.php`、`www/shot.php`
削除：匿名は 30 日、見込み客は 90 日、顧客チェックは 13 か月（各ドメインの最新は存続中保持）、削除ドメインのデータは即時（例外は第 6.11 節）。画像もそれぞれ一緒に削除します	保存制限	`cfg/check_lib.php`、`cfg/fristen_lib.php`
調査：合計だけを公開し、区分別集計はフォーム付き 20 サイト以上、生データは公開時に削除	R4 の一部、P3	`cfg/studie_lib.php`
コンテナ：専用隔離ネットワーク、特権なし、読み取り専用、メモリー・プロセス・時間上限。各リクエストの内部送信先を防ぎ、Service Worker をブロックし WebSocket を閉じて迂回を防ぎます。ウェブサーバーの要求はウェブ用ポートと事前確認した公開アドレスだけに限定	R13	`scanner/src/worker.js`、`scanner/src/net.js`
顧客の能動的チェックは確認済みドメインだけ（内部では自社テスト・デモも可）、緊急停止機能側の有効設定も二重確認。最大五回、個人データ必須欄のない明確なお問い合わせだけ、行政・教育・診療所・医療機関・警察・裁判所を除外。言語モデルに許可権限なし。個人データなしのテストと明示し、クローラーページと対象除外を案内	R9	`scanner/src/worker.js`、`scanner/src/classify.js`、`scanner/src/active.js`
ブラウザー操作手順：GET・HEAD のみ、危険アドレスをブロック、架空値はブラウザー外へ出さず、画像の入力欄を黒塗り	R3（この画像）、R9	`scanner/src/browser.js`
ファイルチェック：確認済みだけ、各パス一回、最大 8 KB、内容は保存しません	R9	`cfg/dateien_lib.php`
別拠点の確認：標準無効。署名付きの、固定リストの無害な項目だけを渡します	受領者	`cfg/formular_probe_lib.php`
ログイン後スキャン：確認済み、有料、所有者・管理者、「テストアカウント」確認。スキャンサーバーの公開鍵でドメインに結び付けて暗号化。表示・ログ記録・API 出力なし、標準入力だけで渡し、ジョブ欄は即時、残りは一時間後に消去。撮影・送信・ログアウト・削除先アクセスなし、CAPTCHA で中止、上書きして完全削除	R8	`cfg/login_lib.php`、`scanner/src/login.js`、`scanner/src/geheim.js`、`scanner/src/worker.js`
配信チェック：標準無効。既読にせずヘッダーと 8 KB だけを読み、内容と訪問者アドレスは DB に保存せず、対応付け不能を含め全取得メールを削除。対応付けは 180 日、証拠は該当テストのコピーだけ	R1、R2	`cfg/zustellung_lib.php`
協調防御：ドメインだけ、IP ネットワークは無効、最低件数、主要サービス・顧客ドメインの例外、削除でなく隔離、日次再構築、報告は 30 日後削除	R11	`cfg/swarm_lib.php`
自社サーバーの言語モデル、送信権限なし	R10	`scanner/src/classify.js`
対応計画：選択された検出結果からローカルで生成し、プロンプトにスクリーンショットや入力されたフィールド値を含めないこと、検出結果の件数と注記の長さの上限、整形済みプレーンテキストの長さの上限、目に見えるAI表示、個別の検出結果を正式な判断の基準とすること、ウェブサイトの自動変更およびスコア・判定の決定を行わないこと	R10の一部。誤った助言や偶発的な個人データは依然として生じ得ます	`cfg/plan_lib.php`; `www/report.php`
Telegram 信号は変数なしの固定文だけ	受領者	`cfg/check_lib.php`
週次バックアップ復元テスト、失敗時に通知	可用性	`cfg/backup_lib.php`、`srv/cron_status.php`

9.2 一部 – 仕組みはあるが目的を完全には達成しない

措置	まだ完全に機能しない理由
情報を除去した画像	黒塗りするのはブラウザー操作手順だけです。クローラーのトップページ・フォーム画像と、能動的チェックの応答画像は対象外です（R3）。
チェックデータの期間	匿名、見込み客、顧客では機能しますが、内部チェックと未公開調査にはなく、未解決の異常注記も期限なしです（R4）。
確認用コピーの削除	当社から見えるメールボックスでは機能します。中断時は残り、提供者のバックアップでの保持は未確認です（R2）。
ログイン後スキャンの情報保護	保存時とチェックサービス内は強固ですが、サイトへの通信では `http` を許可し、証明書エラーを無視します（R8）。
管理権限の証明	一度確認すると永久に有効です。ただしホスト名は変更できず、別ホストへ移せません（R7）。
データ主体への情報提供	運営者にはクローラーページ、識別子、プライバシーポリシー、対象除外で提供します。配信チェックの訪問者はお客様による文案採用に依存し、アプリは確認しません。
特別な種類のデータをコピーに含めないよう求める要請	法的文書にはありますが、技術的な裏付けがありません。設定時にサイト種類を尋ねず、健康・法律・教育らしいドメインにも警告しません（R1）。

9.3 計画 – 未実装

措置	対象	優先度
内部チェックの削除経路：ドメイン・レポートなしは固定期間後（提案：30 日）、調査生データは未公開でも完了から固定期間後（提案：90 日）に削除。既存 85 チェック・369 画像を一度削除	R4	最初
メールボックス提供者の契約締結、保存場所・再処理者・バックアップ期間の文書化、移転の仕組みの明確化、MX レコードの直接接続をすべて満たしてから配信チェックを有効化。それまでは本番でブロック	R2	最初
有効化前に本番でメールボックス取得の安全性を確認・文書化	R2	最初
ログイン後スキャンは `https` と有効な証明書だけにし、`http` を拒否、証明書エラーで中止	R8	最初
ログイン後の非表示欄の値は保存しない（名前、種類、長さだけ）。既に実装済みで追加作業なし	R8	完了
プラグイン・拡張機能使用時は、テスト識別子のある送信だけを BCC にし、コピーをテストだけに限定	R1	高
実際のメッセージの送信者ドメインがサイト自身でも既知の送信サービスでもなければ、保存・通知せず、通知には「外部の送信者ドメイン」と表示	R1	高
健康・法律・福祉・教育らしいドメインの配信チェック設定時、お客様自身の DPIA を案内する警告	R1	高
管理権限の定期再確認（提案：各能動的チェック前に DNS レコード・メタタグ・ファイル・プラグイン接続の存続を確認し、なければ受動的に継続して通知）	R7	高
トップページを撮影しないか、画像・顔を黒塗り。フォーム画像は現在同様に要素内に限定し、ブラウザー操作手順同様に入力欄をマスク	R3	高
見込み客チェック画面で、未承諾のメール・電話による結果送付は事業者間でも事前同意が必要な直接勧誘と案内（ポーランド電子通信法第 398 条、ドイツ UWG 第 7 条 (2)。事業者への電話は推定同意で足ります）	R6	高
インフラ：管理アクセスの強化を完了、別拠点の暗号化バックアップ、内部接続全体の暗号化、スキャンサーバーとアプリの分離をさらに強化	R13	高
未解決の異常注記の期間（提案：30 日以内に解決、なければ IP アドレスを削除）	R4	中
協調防御からドメイン解除を求めるページまたはフォーム	R11、R14	中
IP ネットワークを有効にする前に本評価の新版を作成	R11	条件
言語モデルのソフトウェアがリクエストを保存するかを記録し、保存する場合はそのログを無効化	R10	低

9.4 今後決める手順と判断

第 35 条 (7)(d) は技術的保護に加えて手順も求めます。次が未完了です。

個人データ侵害。検知の経路は、所有者、アプリケーションのエラー通知、脆弱性報告窓口または contact@lukaswojcik.com への報告です。72 時間以内の UODO への通知（第 33 条 (1)）については、所有者が判断します。管理者である影響を受けたお客様には、データ処理契約で約束するとおり、不当に遅滞することなく、可能であれば 48 時間以内に知らせます。未決定事項：書面による手順の説明と初回の訓練が必要です。配信チェックについては、さらに、メールボックス提供者で侵害が発生した場合に、影響を受けるお客様を特定する方法を定める必要があります。
業種。未決定事項：医療、法律、社会福祉、教育分野のウェブサイトに、配信チェックを提供するか、警告付きで提供するか、対象外とするかを決める必要があります。
内部チェック。未決定事項：提供者がコマンドラインから行う内部チェックの利用目的、作成できる者、結果を保持する期間を定める必要があります。また、処理活動の記録に加えて、プライバシーポリシーにも記載する必要があるかを決める必要があります。
調査。未決定事項：誰が、どの情報源から、最大どの規模の一覧を作成するかを定め、各調査の前に、本評価の前提に適合するかを確認する必要があります。
データ主体の意見（第 35 条 (9)）。本版については、意見を求めていません。第 35 条 (9) が意見を求めることを義務付けるのは「適切な場合」のみであり、当社の評価では、現在はこれに該当しません。チェック対象のウェブサイトの運営者と、お客様のウェブサイトの訪問者には、当社に直接つながる独自の経路がありません。個別に連絡すること自体が、その方々のデータの新たな処理となります。また、サービスはまだ開始されておらず、実際のデータ主体の集団もまだ存在しません。その利益は、robots.txt と対象除外、短い保存期間、確認用コピーの内容を保存しないことによって、間接的に考慮しています。第 12 節に基づく各見直しで、例えばクローラーページからのフィードバックや配信チェックのお客様を通じて、意見を求めることが適切かどうかを改めて検討します。

10. 残余リスクと第 36 条に基づく事前協議

第 36 条 (1) は、管理者がリスクを軽減する措置を取らなければ処理によって高いリスクが生じることを DPIA が示している場合、監督機関との事前協議を求めています。したがって、問題は高いリスクが見つかったかどうかではありません。実際に四つ見つかっています。問題は、措置を講じた後にも高いリスクが残るかどうかです。

formexposed が管理者となる処理（P1 から P4、P7）については、高いリスク R4 と R13 は通常の手段で解消できます。具体的には、削除経路の整備と既存データの整理、暗号化した別拠点のバックアップ、二台のサーバーの堅牢化です。第 9.3 節の措置によって、これらのリスクは低から中になります。R3、R5、R6、R7 は中であり、提案する措置によって低になります。IP ネットワークを用いない協調防御は、低から中のままです。「最初」および「高」とされた措置をサービス開始前に実施すれば、この部分について事前協議の必要性は認められません。いずれかの措置を開始前に実施していなければ、該当する処理には高いリスクが残ります。その場合、その処理は措置の実施後にのみ開始するか、先に第 36 条 (1) に基づいて UODO と協議します。

配信チェック（P6）は状況が異なります。どの措置でも完全には取り除けない理由、すなわち訪問者が何を書くかは訪問者自身が決めるという事情があるためです。契約の締結、安全な取得、可能な場合のテストメッセージへの限定、送信者ドメインの不使用によって、R2 は低、R1 は中になります。ただし、訪問者が通常、第 9 条に該当するデータを提供するお客様については、それでも R1 が高いままになる可能性があります。その場合の協議義務は、formexposed ではなく、管理者であるお客様にあります。そのようなお客様には、一般のお問い合わせフォームに確認用コピーを設定せず、機微な内容のないフォームだけに設定するか、配信チェックを利用しないことを推奨します。

残余リスクを率直に示します。現在、第 9.1 節の措置の下では、R1 と R2（配信チェック）、R4（削除経路のないチェックデータ）、R13（インフラ）の四つのリスクが高です。第 9.3 節の措置によって、R2、R4、R13 は低から中になります。R1 は中のままであり、引き続きお客様の判断に依存します。他のリスクは、措置後にはいずれも中を超えません。

第 36 条は罰ではなく、協議することは問題を認めることでもありません。有用な手順に、管理者が完全には制御できないリスクが伴う状況のために、規則が用意している道です。健康データを含むメッセージに配信チェックを利用したいお客様は、その判断に必要な事実をここで確認できます。

11. お客様自身の DPIA に必要な情報（第 28 条 (3)(f)）

配信チェックとログイン後スキャンについては、お客様が管理者です。本ページは、処理の説明（第 6.5 節と第 6.6 節）、当社から見たリスク（R1、R2、R8）、措置の状況（第 9 節）を提供します。次の問いに答えられるのは、お客様自身だけです。

訪問者は何を書きますか？健康、宗教、出自、労働組合への加入、性的指向、犯罪、子どもに関するデータが、フォームを通じて届くことが予想されますか。その場合、確認用コピーについては原則として DPIA が必要であり、そのフォームの確認用コピー自体を再検討すべきです。
すべてのメッセージの確認用コピーが必要ですか？テストメッセージが届くことを証明するには、そのメッセージのコピーだけで十分です。フォームが対応している場合は、テストメッセージだけに BCC を設定してください。
訪問者にどのように知らせますか？データ処理契約によって情報提供が義務付けられています。ウェブサイト用プライバシーポリシー文案は、コピーの経路と当社の役割を説明しています。
法的根拠は何ですか？当社の提案文案では、第 6 条 (1)(f)（問い合わせの確実な受信）を挙げています。第 9 条のデータについては、この根拠だけでは不十分です。
どの通知チャンネルを選びますか？認証チェックの通知には、送信者ドメインが記載されることがあります。EU 域外のチャットサービスに通知を送信すると、そのドメインもそこに移転されます。
ログイン後スキャンについて：テストアカウントは、必要最小限の権限を持つ、本当のテストアカウントですか。ログインページには https でしかアクセスできないようになっていますか。テストアカウントから他の利用者のデータが見えますか。見える場合、指定したページのどこで見えますか。
いつ削除しますか？配信チェックとテストアカウントは、いつでも無効化して削除できます。その際、テストアカウントは復元できない形で上書きされます。

お客様の評価のための追加文書として、データ処理契約、技術的および組織的措置、再処理者一覧、処理活動の記録があります。個別の事実についてのご質問には、contact@lukaswojcik.com で回答します。

12. 見直し、バージョン、承認

第 35 条 (11) は、少なくともリスクに変化がある場合、処理が DPIA に従って行われているかを評価するための見直しを求めています。当社は本評価を少なくとも毎年見直し、さらに次の各事象の前にも見直します。いずれの場合も、文書を読むだけでなく、新たな測定を行います。

開発システムの数値ではなく、本番システムの数値を用いた本番運用の開始。
本番システムでの配信チェックの初回有効化と、メールボックス提供者との契約締結。
協調防御での IP ネットワークの有効化。
最初の調査、および前回より大きな一覧を使うすべての調査。
第二のプローブ、またはチェック経路の新たな受領者の有効化。
本評価が対象とする利用を超える、言語モデルのあらゆる新たな利用。有料レポートの優先順位付き対応計画は追加された利用であり、評価の見直しが必要です。
スクリーンショット、保存期間、能動的チェックの前提条件に関するあらゆる変更。

項目	記載内容
管理者	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland · NIP 7252266190 · contact@lukaswojcik.com
管轄監督機関	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Poland
データ保護責任者	選任していません。第 37 条に基づく評価は第 4 節に記載しています。
事実の根拠	アプリケーションとチェックサービスのソースコード、データベーススキーマ、開発システムの行数と設定。2026 年 10 月 11 日に読み取り専用で測定しました。
関連文書	プライバシーポリシー、データ処理契約、技術的および組織的措置、再処理者、処理活動の記録、EU AI 法：formexposed の AI 利用方法、利用規定と不正利用、FormExposedBot、対象除外
バージョン	2026 年 10 月 23 日の 1.1。2026 年 10 月 11 日の初版に対する、ローカルの対応計画段階についての事実に関する追補
第 35 条 (11) に基づく見直し	2026 年 10 月 23 日：追加されたローカルの対応計画段階についてソースコードをレビューしました。入力、保存、役割、助言としての出力、実装された対策を該当する節に追加しました。本番環境での測定の完了や新たな残余リスクの評価を主張するものではありません。2026 年 10 月 11 日付の以前の測定結果と、以下の承認状況は変更していません。今後の見直しは、日付、理由、結果をここに記録します。
承認	まだ承認されていません。法的審査、および第 9.3 節の措置と第 9.4 節の問いに関する判断を経た後、所有者が承認します。これまで外部のデータ保護専門家には助言を求めていません。

最後の所見は、送付状ではなく、この文書自体に記載すべきです。formexposed の中で他者の領域に最も深く立ち入る部分、すなわちテスト送信と他者の認証情報によるログインは、二重の関門、厳格な上限、当社自身もアクセスできない暗号化によって、最も慎重に構築されています。本評価のリスクの多くは、それ以外の場所、つまり付随的に入ってくるものにあります。BCC に含まれる実際のメッセージ、スクリーンショットに写る個人、誰も削除しなくなったチェックです。これは有利な出発点です。付随的な処理は、サービスを変えなくても止められるためです。

どのようなご用件ですか？