技術的および組織的措置

本書は複数の言語で公開されています。言語版の間に相違がある場合、ポーランド語版が法的拘束力を有します。

バージョン 1.1 · 最終更新日：2026年10月22日

LW IT Solutions Company Lukas Wójcik（al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland）がformexposedサービスを保護するための、GDPR第32条に基づく措置です。このページは、データ処理契約の別紙2として同契約の一部を構成します。

1. 適用範囲と原則

これらの措置は、本サービスが処理するすべてのデータに適用されます。すなわち、当社が顧客の委託により処理するデータ（データ処理契約に記載）と、顧客アカウントやログなど当社自身が管理者であるデータの両方です。両者に別々の保護レベルはなく、アカウントを保護するものが処理者として扱うデータも保護します。

GDPR第32条1項に沿った構成。仮名化および暗号化（(a)）は第4節、システムの継続的な機密性、完全性、可用性および回復力（(b)）は第3節、第5節、第6節および第7節、インシデント後に適時に可用性を回復する能力（(c)）は第7.1節、有効性を定期的にテスト、評価および検証するプロセス（(d)）は第9節で扱います。当社は、最新の技術水準と実施費用を考慮し、当社のデータ保護影響評価に記載したリスクに基づいて措置を選定しました。

原則：意図ではなく実測。ここに記載しているのは、コードまたは運用において実際に実施されているもののみです。計画されているがまだ実施されていないものは、第10節で明示的に「計画中」として記載しています。ここに記載のない措置が暗黙のうちに実施されていることはありません。

マシン名、内部アドレス、ポート、ユーザー名、ソフトウェアのバージョンは意図的に記載していません。これらは措置の評価には役立たず、措置を回避しようとする者に役立つだけだからです。データ処理契約に基づく監査のためにこれらが必要な場合は、監査に必要な範囲で、その監査の中で守秘義務のもとに提供します。

2. サービスの構成

本サービスは、ポーランドにある提供者自身の2台のサーバー上で稼働しており、両者は同じ内部ネットワークにあります：

データベースを備えたウェブサーバー。アプリケーションを配信し、データベースを保持し、通知を送信し、データをバックアップします。インターネットからのリクエストを受け付けるよう設定されているのはこのサーバーだけです。
スキャンサーバー。第三者および自社のウェブサイトのチェックをブラウザで実行し、個々のフォームを分類し、有料アカウント向けの優先順位付き対応計画としてスキャンの検出結果を要約し、「Fix it for me」でコードを追加する言語モデルを実行します。インターネットからのリクエストを受け付けるようには設定されておらず、ウェブサーバーから自らジョブを取得し、結果をそこに返します。

運用にはホスティング事業者、データセンター事業者、クラウド事業者は関与しておらず、外部のAIサービスには何も送信されません。どの第三者がデータを受け取るかは、再処理者のページに記載しています。

3. 機密性

3.1 物理的な入室管理

サーバーは、ポーランドにある提供者の一般非公開の施設内に設置されています。立ち入ることができるのは所有者のみです（運営者の申告による）。所在地の正確な住所は意図的にここに記載していません。

3.2 アクセス管理：本サービスへのログイン

パスワードは、PHPの標準方式（bcrypt）によるハッシュとしてのみ保存されます。標準方式が変更された場合、次回ログイン時にハッシュが更新されます。未知のアドレスでのログイン試行に対してもサーバーはハッシュを計算するため、応答時間からアカウントの存在がわかることはありません。同様に、パスワードリセット請求への応答も、その文言や所要時間からアカウントの存在がわかることはありません。リセットメールが同じアドレスに送信されるのは1時間あたり最大3回です。新しいパスワードは10文字以上で、72バイト（UTF-8）を超えてはなりません。bcryptはそれ以上のバイトを考慮しないためです。パスワードを変更すると他のすべての端末からサインアウトされます。リンクによりリセットするとすべての端末からサインアウトされ、リンクは1回限り有効です。
失敗した試行後のロック。失敗したログインはIPアドレスごとにカウントされ、短時間に多すぎる場合（現在は15分間に8回）、そのアドレスからのログインは一時的にブロックされます。ログインに成功すると、このカウンターはリセットされます。試行記録は7日後に削除されます。さらに、パスワード確認の前には毎回、成功した試行も含め、アカウントごと（未知のアドレスの場合は入力されたアドレスごと）およびIPアドレスごとに1回の試行がカウントされます。現在の上限は、同じIPアドレスからのアカウントごとに15分間で8回、IPアドレスごとに15分間で80回です。分散型の推測に対しては、すべてのアドレスを合わせたアカウントごとに大幅に高い上限が適用されます。そのため、他のアドレスからの失敗した試行によって所有者がアカウントからロックアウトされることはもはやありません。これらのカウンターにはHMACキーのみが含まれ、平文のメールアドレスやIPアドレスは含まれず、その時間枠とともに失効します。カウンターの保存先が利用できない場合、ログインは許可されず拒否されます。同種の上限は、パスワードまたはアドレスの変更前のパスワード確認、二要素認証のオン・オフ、ワークスペースの移管、データエクスポートおよびアカウントの削除（アカウントごとに15分間で5回）、登録（IPアドレスごとに1時間あたり10回）、クライアントポータルのパスワード（ポータルおよびIPアドレスごとに10回、ポータルごとに15分間で50回）にも適用されます。
二要素認証。すべてのアカウントで、RFC 6238（TOTP）に基づくワンタイムコードによるログインを有効にできます。そのためのシークレットはデータベースに暗号化して保存され、鍵はデータベースに保存されないため、データベースの抽出だけでは不十分です。一度受け付けられたコードは二度と有効になりません。10個のリカバリーコードはハッシュとしてのみ保存されます。ワンタイムコードとリカバリーコードは、設定時を含め、アカウントごとに15分間で10回の試行に制限されています。
管理領域は二要素認証必須。運営者の管理領域は、二要素認証が有効なアカウントにのみ開放されます。セットアップのチェックリストは、二要素認証のないすべての管理者アカウントを報告します。
セッション。セッションCookieはスクリプトから読み取ることができず（HttpOnly）、HTTPSでのみ送信され（Secure）、何かを変更しうる第三者サイトからのリクエストには送信されません（SameSite=Lax）。ログイン時に新しいセッションIDが作成されるため、事前に仕込まれたIDは無効になります。サーバーは自ら発行していないセッションIDを受け付けません。各アカウントはサインイン中の端末を確認でき、個別にサインアウトさせることができます。
「ログイン状態を保持」は任意で、30日間有効ですが、管理権限を持つアカウントには適用されません。それらのアカウントは常にパスワードと二要素認証でサインインします。トークンは2つの部分から成り、検証用の部分はハッシュとしてのみデータベースに保存されます。使用するたびに新しいものに置き換えられ、同時のリクエストであっても各トークンは1回限り有効であるため、盗まれたトークンは遅くとも次の正規の訪問時に検知されます。
メール内のリンク。アドレス確認とパスワードリセットのためのリンクは、ハッシュとしてのみデータベースに保存されます。リセットリンクは1時間、登録確認のリンクは72時間、変更されたアドレスの確認のリンクは24時間有効です。メールアドレスが変更されると、未使用のリセットリンクは無効になります。
インターフェース。APIキー、拡張機能の接続コード、ロールアウトコードはハッシュとしてのみ保存されます。APIキーは1分あたり限られた回数しか使用できません。拡張機能の接続コードは15分間かつ1回限り有効です。
ボット対策：公開フォーム（登録、ログイン、パスワード、チェック、ヘッダーツール、対象除外、サポート、お問い合わせ）には、送信時にのみ読み込まれるGoogle reCAPTCHAを使用しています。そのフォームのアクションに正確に対応し、十分なスコアを持つGoogleからの有効な応答のみを受け付けます。Googleが3秒以内に応答しない場合、送信は拒否されます。詳細はプライバシーポリシーに記載しています。

3.3 アクセス管理：サーバー管理

インターネットから到達可能なサーバーは、パケットフィルターにより自らが提供するサービスのみを許可し、サーバー管理へのログインに繰り返し失敗したアドレスを自動的にブロックします。
サーバー間の自動処理には、権限を厳しく限定した専用の鍵を使用します。ウェブサーバーがスキャナーの新バージョンを配信するための鍵は、スキャンサーバー上で固定された一覧のコマンドのみを実行でき、スキャナーのディレクトリへの書き込み専用のコピーのみが可能です。この鍵では対話的なログインはできず、拒否されたコマンドはすべてログに記録されます。同様に、スキャンサーバーはウェブサーバー上の特定のディレクトリにのみスクリーンショットを書き込むことができます。
ウェブサイトを提供するプロセスは、本番環境のインストールへの書き込み権限も、スキャンサーバー用の鍵も持ちません。管理領域から起動されたデプロイはジョブを登録するだけで、それを別の処理が実行します。
データベースの認証情報や鍵などのシークレットは、公開ディレクトリ外の設定ファイルに保管され、デプロイ時にコピーされることはありません。ウェブサーバーの設定はウェブインターフェースを通じて配布されません。

3.4 権限管理：本サービス内の権限

ロール。各ワークスペースには、所有者、管理者、閲覧者のロールがあります。変更、削除、招待およびログイン情報の保存は所有者と管理者に限られ、ロールの変更とメンバーの削除は所有者のみが行えます。招待は、それを送った人が所有者または管理者である間のみ有効です。閲覧者には、Webhookやチャットチャンネルのアドレスがホスト部分のみに短縮されて表示されます。アドレスだけでチャンネルに投稿できてしまうためです。この確認はインターフェース上だけでなくサーバー上で行われます。
ワークスペースへの紐付け。ドメインと設定には、ワークスペースのメンバーのみがアクセスできます。本サービスはチェックごとに推測不可能なランダムなリンクでレポートを作成し、チェックの結果とスクリーンショットにはこのリンクを通じてサインインなしでアクセスできます。スクリーンショットはそのレポートのリンクとともにのみアクセスできます。リンクはアカウント内およびアラートに表示されます。リンクを他者に渡すことは、レポートを渡すことになります。
状態を変更するリクエストには、セッションごとのセキュリティトークン（CSRF対策）が必要であり、定数時間で比較されます。
「顧客として表示」。サポートのために、運営者は顧客が見ているとおりにアプリケーションを表示できます。この表示は1時間後に終了します。利用中はパスワード、メールアドレス、二要素認証、端末、サブスクリプションの変更、データのエクスポートと削除を禁止し、管理領域を閉じます。利用はログに記録します。終了すると運営者は完全にサインアウトされ、パスワードと二要素認証で再度サインインしなければ管理領域に戻れません。顧客はデータエクスポートでこれを確認できます。
管理。管理権限を持つのは、明示的に許可された少数のアカウントのみです。管理側による二要素認証のリセットはすべてログに記録されます。

3.5 分離管理

顧客のデータはワークスペースごとに論理的に分離されています。サインイン領域でのすべての読み取りおよび書き込みの経路は、この紐付けを伴います。レポートには、さらにそのリンクを通じてアクセスできます（第3.4節）。
開発と運用は、別々のデータベースと別々のデータベースユーザーを持つ別々のインストールで行われます。開発用ユーザーは本番データベースにアクセスできません。実際の顧客データは開発環境にコピーされず、そこでは生成されたサンプルデータを使用します。
スキャナーは環境ごとに専用の認証情報を持ち、そのジョブに必要なデータに対する権限のみを持ちます。アカウント、請求情報、ログを読み取ることはできません。
ウェブサーバー上では同じ提供者の他のサービスも稼働しています。それらは専用のデータベースと専用のデータベースユーザーを持ち、本サービスのデータにはアクセスできません。

4. 暗号化、仮名化およびデータ最小化

4.1 ログイン後のスキャン用のログイン情報

この機能のために、顧客はテストアカウントのユーザー名とパスワードを保存します。これらは本サービスで最も機密性の高いデータであるため、他のすべてのデータとは異なる方法で保護されています：

保存時に、ウェブサーバーはスキャンサーバーの公開鍵でそれらを暗号化します（ECIES：レコードごとの使い捨て鍵によるX25519、HKDF-SHA256、AES-256-GCM）。秘密鍵はスキャンサーバー上にのみ存在します。ウェブサーバー、データベースおよびバックアップには暗号文しか含まれず、当社もそこでは読み取ることができません。
各レコードは暗号学的にそのドメインに紐付けられています。別のドメインに移すと、復号は失敗します。
スキャンのために、暗号文がジョブに添付されます。スキャンサーバーがそれを復号し、ログイン情報を標準入力経由でのみチェック用コンテナに渡します。プロセス一覧で見えてしまうコマンドライン引数として渡すことは決してありません。スキャンサーバーが読み込むとすぐに、暗号文はジョブから削除されます。残存分は遅くとも1時間後に定期処理が消去します。
ログイン情報は決して表示されず、ログに記録されず、APIを通じて出力されず、エクスポートもされません。インターフェースには、ユーザー名の最初の1文字と長さのみが表示されます。削除すると暗号文が上書きされます。
ログイン後、スキャナーは読み取りのみを行います：送信なし、能動的なテストなし、スクリーンショットなし、ログアウト、削除または解約のためのページへのアクセスなし。

4.2 その他の暗号化とハッシュ

パスワード、リカバリーコード、クライアントポータルのパスワード、APIキー、接続コードとロールアウトコード、「ログイン状態を保持」のトークン、端末一覧のセッションID、確認とリセットのためのリンクは、ハッシュとしてのみ保存されます。
二要素認証のシークレットは暗号化して保存されます（第3.2節）。
当社は、保存時のデータベース全体の暗号化をうたってはいません。機密性の高い値は、上記のとおり個別に保護されています。

4.3 設計によるデータ最小化

配信チェック：読み取るのはヘッダーと本文の先頭最大8 KBのみです。データベースに記録されるのは、日時、割り当て、該当する場合はテスト送信のID、および認証チェック（SPF、DKIM、DMARC）の結果のみであり、内容や完全な送信者アドレスが記録されることはありません。最新のメールの認証チェックの結果はドメインとともに保存され、次のメールの結果で上書きされます。これには配信したメールサーバーのIPアドレスと送信者のメールドメインが含まれます。メールは処理が成功した後にメールボックスから削除されます。取得または削除に失敗した場合は、次に処理が成功した時点で削除されます。
チェック：フォームの構造は、フィールド名、種類、ラベル、必須属性と表示属性とともに保存され、値は保存されません。スキャナーは、事前入力された非表示フィールドの先頭部分（最大24文字）とdata属性の先頭部分（最大60文字）をチェック中にのみ読み取り、保存しません。フルチェックのスクリーンショットは墨消しされません。入力欄を覆い隠すのはブラウザーチェックのみです。フォームの受信者アドレスはドメインとしてのみ保存されます。能動的なテスト送信には、個人データを含まない、テストであることが明示されたテキストのみが含まれます。
WordPressおよびTYPO3向け拡張機能が送信するのは、日次の数値とプラグインの一覧などの特性のみであり、接続されたWordPressプラグインの場合は、協調防御のためにブロックされたメッセージ内のリンクのドメインも送信します（初期設定で有効）。それ以外の内容、訪問者の氏名、アドレス、IPアドレスは送信しません。任意のフォームおよびフィールドのエラー数は、初期設定でオフです。
「Fix it for me」：貼り付けられたコードはリクエストの間だけ処理され、保存されません。
バッジ：顧客のウェブサイト上のバッジ画像は、Cookieを設定せず、セッションも開始しません。
運営者の電話への運用通知は、変数を含まない固定テキスト、すなわち氏名、アドレス、内容を含まないものです。運営者へのメールによるエラー通知には、エラーメッセージの生のテキストが、無害化されずに400文字に切り詰めて含まれます。個々のケースでは、アドレスやリンクが含まれる場合があります。
協調防御：顧客の拡張機能間で共有されるのは、ブロックされたスパム内のリンクのドメインのみです。IPネットワークの交換はオフになっています。
所在国：IPアドレスの国はローカルのデータベースファイルから判定され、アドレスが位置情報サービスに送信されることはありません。

5. スキャナーの悪用に対する保護

スキャナーは実際のブラウザで第三者のページを読み込みます。保護がなければ、外部の誰かが当社の内部ネットワークやその他の非公開の対象に到達するためのツールになってしまいます（サーバーサイドリクエストフォージェリ）。そのため、2つの独立した防御層と、個々の実行ごとの隔離を設けています。

5.1 隔離された実行

各チェックは専用のコンテナで実行され、実行後に削除されます。コンテナは管理者権限なし、追加のOS権限なし、権限昇格の可能性なしで動作します。そのファイルシステムは、小さな一時領域を除き読み取り専用です。
メモリ、プロセス数、実行時間は制限されており、時間を超えた実行は強制終了されます。

5.2 ネットワーク：2つの防御層

第1層（スキャナー内）：スキャンの前、およびリダイレクトや埋め込みコンテンツを含むブラウザのすべてのリクエストについて、アドレスの解決先が確認されます。プライベート、ローカル、予約済みおよびドキュメント用のネットワーク（IPv4およびIPv6）は拒否され、ウェブで通常使用されるもの以外のポートも拒否されます。ブラウザはService Workerを許可せず、WebSocket接続は閉じられます。どちらもこの確認を回避しうるためです。
第2層（ネットワーク内）：コンテナは専用のネットワークで動作します。ファイアウォールのルールにより、そこからインターネットへの接続はウェブ用ポートでのみ許可され、ウェブサーバーとデータベースのある当社の内部ネットワークを含むプライベートネットワークへの接続はブロックされます。チェックの実行自体に必要な例外は必要最小限に限られ、当社の内部ドキュメントに記載されています。この層は、名前が最初の確認の後に初めて別の解決先になる場合にも機能します。

5.3 ウェブサーバーが行うリクエスト

ウェブサーバー自身が第三者のアドレスにリクエストを行う場合（ドメインの管理権限の証明、ヘッダーツール、公開状態のファイルの探索、稼働チェックのリクエスト、RDAP照会と証明書の確認、Webhookとチャットのアラート、および任意の第2チェックポイントのため）にも、同じルールが適用されます：ウェブのプロトコルのみ、通常のウェブ用ポートのみ（WebhookとチャットのアラートはHTTPSの標準ポートのみ）、公開アドレスのみ、名前が後から内部の対象に向けられないよう事前に確認したアドレスそのものにのみ接続、リダイレクトはまったく追跡しないか手動でのみ追跡し毎回再確認、短い時間制限。ドメインの管理権限の証明、稼働チェックのリクエスト、およびブラウザーチェックにおける第2チェックポイントについては、応答サイズも制限されます。

5.4 スキャナーが第三者のサイトで行わないこと

顧客向けの能動的なテスト送信（1回のチェックにつき最大5回）は、管理権限の証明（DNS、メタタグ、ファイルまたは拡張機能）が提出されたドメインに限られます。唯一の例外は、当社自身のテスト用・デモ用ドメインの内部チェックです。証明が別のホストに移らないよう、管理権限の証明があるドメインのホスト名は変更できません。それ以外はすべて受動的であり、訪問者と同じようにページを読み取るだけです。
ブラウザーチェックは送信直前までで止まり、注文、支払い、送信を一切実行しません。
対象除外リストにあるドメインはチェックされません。継続的な監視は、次に予定されたチェックの時点で終了します。

6. 完全性：伝送と入力

6.1 伝送

アプリケーションにはインターネットからHTTPSでのみアクセスでき、ブラウザには1年間HTTPSのみを使用するよう指示しています（HSTS）。証明書は自動的に更新されます。
その他のヘッダーにより、第三者のページへのアプリケーションの埋め込み、ファイル形式の推測、第三者の宛先へのフォーム送信を制限しています。コンテンツセキュリティポリシーにより、アプリケーション内では、サーバーがそれぞれの応答で許可したスクリプトのみが実行されます。現在のブラウザは、HTML内に注入されたスクリプトやイベントハンドラーを実行しません。
配信チェックのメールボックスは、証明書の検証を伴う暗号化接続で取得されます。
Webhookは顧客のシークレットで署名でき（タイムスタンプ付きHMAC-SHA256）、受信者は送信元と完全性を検証できます。任意の第2チェックポイントへのリクエストは署名され、ブラウザーチェックについてはその応答も署名されます。
率直に明記します：当社の内部ネットワーク内の接続は、すべてが暗号化されているわけではありません。ログイン後のスキャン用のログイン情報は、全経路で暗号化されたままです（第4.1節）。

6.2 入力管理とログ

アカウントおよびワークスペースにおける重要な操作（ログイン、ドメイン・アラート送信先・権限の変更、削除、サポートアクセスなど）は、アカウント、日時、IPアドレスおよび国とともにアクティビティログに記録され、365日後に削除されます。
セキュリティと不正利用防止のために保存されるページアクセス記録は60日後、エラーログは90日後、送信したメールの内容は30日後に削除されます。リクエストされたアドレスやリファラー内のアクセストークン（レポートやポータルのリンクのものなど）は、ページアクセス記録ではマスクされた形でのみ表示されます。
契約文書への同意は、表示されたバージョン、そのチェックサム、日時、IPアドレスおよびブラウザ識別子とともに保存されます。
証拠ログには、外部のタイムスタンプ局によるタイムスタンプを付与できます。タイムスタンプ局に送られるのは内容のチェックサムのみで、内容そのものは送られません。

7. 可用性と回復力

7.1 バックアップ

データベースは毎晩バックアップされます。バックアップは、その内容が確認された後に初めて最終的な名前が付けられます：バックアッププログラムの正常終了、少なくとも1件のレコード、データベースと同じ数のテーブル、および完全な実行の最終行。古いバックアップは、新しいバックアップが成功した後にのみ削除されます。
各バックアップは14日後に削除されます。保存場所は公開ディレクトリの外にあり、プロジェクト内の場所は拒否されます。
復元テスト：週に1回、最新のバックアップを使い捨てのデータベースに読み込み、本番環境とテーブルごとに比較し、再び削除します。結果は保存されます。
バックアップまたはテストが失敗した場合、メールと運営者の電話に通知が送られます。
インシデント後の復旧：データベースが故障した場合やデータが破損した場合、当社は最新のテスト済みバックアップを復元します。その過程で、そのバックアップ以降の変更（原則として最大1日分）が失われる可能性があります。バックアップが失敗していた場合は、それに応じてより多くなります。その後、把握している以降の削除請求を再実行します（第8節）。当社は特定の復旧時間を約束するものではありません。
制限（率直に明記します）：バックアップは現在、データベースと同じ場所に保存されており、個別に暗号化されていません。操作ミス、誤った変更、破損したデータからは保護しますが、サーバー自体の喪失からは保護しません。第2拠点での暗号化された複製を計画しています（第10節）。
ログイン後のスキャン用のログイン情報は、バックアップには暗号文としてのみ含まれます。二要素認証のシークレットは暗号化された形でのみ含まれ、その鍵はデータベースの外にあります。

7.2 監視

ステータス確認処理が、データベース、キュー、およびスキャナーがアイドル時も定期的に書き込むハートビートを含め、5分ごとに本サービスの構成要素をチェックします。構成要素が故障すると通知が送られ、回復すると解除通知が送られます。
相互監視：ステータス確認処理は、自らが動作しているマシンの故障を報告できません。そのため、スキャンサーバーが毎分アプリケーションが応答するかを確認し、複数回連続して失敗した場合は、固定テキストで運営者の電話に報告します。逆に、ウェブサーバーはスキャナーのハートビートを監視します。セットアップのチェックリストに、相互監視が動作しているかどうかが表示されます。
エラーアラート：これまでに発生したことのない種類のエラーは、直ちに1回報告されます。エラーが集中した場合は、運営者の電話に1回だけ信号が送られます。1日に1回、概要が送信されます。これにより、当社が顧客から初めてエラーを知ることはありません。
制限（率直に明記します）：両サーバーは同じ場所にあります。電源やインターネット接続の障害など、拠点全体の障害はどのアラート機構からも報告されず、人間が気付くことになります。

7.3 変更とデプロイ

新しいバージョンは、まず別の開発環境で構築されテストされます。デプロイでは、最初のファイルを書き込む前にすべての前提条件を確認し、データベーススキーマの変更を実行し、スキャナーの再起動前に実行中のチェックを正常に終了させます。
新規顧客の導線については、実際のHTTPを使ったスモークテストがあり、切り替え後に実行されます。すべてのデプロイの前に自動テストスイートを実行しているとはうたっていません。

8. 削除と保存期間

毎晩の削除処理が、プライバシーポリシーおよびデータ処理契約に記載された保存期間に従って削除を行います。この処理は、本文中の数値の元となっているのと同じ設定を読み込むため、これらの期間について本文と動作が食い違うことはありません。
スクリーンショットを含むチェック結果は13か月後（ドメインごとの最新のものは残ります）、拡張機能の数値は13か月後、アラート配信ログは90日後、サポートリクエストは24か月後に削除されます。
ドメインを削除すると、チェック、フォーム、検出結果、スクリーンショット、レポート、ジョブ、アラート送信先とログ、インシデント、配信データ、ログイン後のスキャン用のログイン情報、および証拠を含む、そのドメインのデータが削除されます。
アカウントの削除は直ちに行われます。他のメンバーがいないワークスペースはそのデータとともに削除され、他のメンバーがいるワークスペースは別のメンバー（まず管理者、その中で最も古くから所属している者）に引き継がれます。それぞれの期間が満了するまで残るものは次のとおりです：既存のどのアカウントも指さなくなった旧アカウント番号をエントリに保持するログ（削除エントリを含む）、送信済みメール、契約締結の証明、サポートリクエスト、見込み顧客チェックのレポート（最大90日間）、Stripeにある請求データ。詳細はプライバシーポリシーに記載しています。
削除されたデータは、14日後にバックアップが期限切れになるまでバックアップ内に残ります。バックアップ内での個別の削除は行いません。バックアップを復元した場合は、把握している以降の削除請求を手作業で再実行します。

9. 組織と見直し

人員：本サービスは現在、所有者自身が運営しています。新たな者は、守秘の誓約を行った後に、必要な範囲でのみアクセス権を与えられ、当社の指示に基づいてのみデータを処理します（GDPR第29条および第32条4項）。
再処理者：当社は、その保証を審査した後に、GDPR第28条4項に基づく契約のもとでのみ再処理者を起用し、再処理者のページに掲載します。詳細はデータ処理契約に定めています。
個人データ侵害：個人データ侵害が処理者として扱うデータに影響する場合、当社は不当に遅滞することなく、可能であれば48時間以内に顧客に通知します。詳細はデータ処理契約に定めています。
脆弱性の報告：当社はセキュリティおよびファイル/.well-known/security.txtを通じて報告を受け付けています。
セットアップおよび運用開始のチェックリスト：管理領域では、バックアップ、二要素認証のない管理者、メールの設定、ハートビートなど、セキュリティに関わる設定の状態をチェックリストが測定し、逸脱を表示します。
これらの措置の見直し（GDPR第32条1項(d)）：本サービスに重大な変更があるたび、セキュリティインシデントの後ごと、およびそれ以外は少なくとも年1回行います。その際、措置が有効であり、なおリスクに見合っているかを評価し、その結果をこのページの新しいバージョンに、または変更がない場合は第11節に見直しの日付とともに記録します。継続的には、セットアップおよび運用開始のチェックリストが、対象とする設定の状態を測定します。
外部監査：現在、外部のペネトレーションテストは委託しておらず、セキュリティ認証もありません。誤解のないよう、ここに明記します。

10. 計画中（未実施）

これらの項目は、新しいバージョンで実施済みとしてここに記載されるまで、約束された措置ではありません：

第2拠点でのバックアップ：サーバーの完全な喪失でもデータ損失につながらないよう、夜間バックアップの暗号化された複製をサーバー外に置くこと。
第2チェックポイント：第2拠点からのブラウザーチェックの独立した確認は、本サービスで準備されていますが、設定されていません。それがない場合、第2拠点からの確認はありません。
サーバー管理の強化：継続中です。第1節で述べた理由により、詳細は公開しません。

11. 状況とバージョン

バージョン 1.1 · 最終更新日：2026年10月22日 · 言語版の間に相違がある場合、ドイツ語版に代わりポーランド語版が優先します。その他の変更はありません。
バージョン 1.0 · 最終更新日：2026年10月11日 · 独立したページとしての最初のバージョン。以前はデータ処理契約の別紙2でした。以前の別紙からの訂正：復元テストは毎週実行されること、バックアップは同じサーバー上にあること、すべてのデプロイの前に自動テストスイートが実行されるわけではないこと、内部ネットワーク内の接続はすべてが暗号化されているわけではないこと。新たな記載：ログイン後のスキャン用のログイン情報の暗号化、スキャナーの隔離、相互監視とエラーアラート。
変更は、新しいバージョン番号を付してここおよび契約文書の変更の一覧で公開されます。措置を弱める場合には、データ処理契約の通知期間が適用されます。
言語版の間に相違がある場合は、ポーランド語版が優先します。

どのようなご用件ですか？