formexposed
今すぐ始める

処理活動の記録（GDPR第30条）

本書は複数の言語で公開されています。言語版の間に相違がある場合、ポーランド語版が法的拘束力を有します。

バージョン 1.2 · 最終更新日：2026年10月29日

1. この記録の読み方

これは、formexposedのGDPR第30条に基づく処理活動の記録です。プライバシーポリシーでもマーケティングでもありません。その役割は、監督機関、処理者としての当社を監査する顧客、あるいは次に質問に答えなければならない人に対して、実際に何が処理され、どこに保管され、誰が受け取り、どれだけの期間残るのかを示すことです。フォームをチェックし監視するサービスは、それ自体もチェックを受けられるべきであるため、当社はこれを公開しています。

作成にあたっては3つのルールに従いました。

  1. 意図ではなく実測。データ項目、保存期間、受領者または保護措置に関する記述は、プログラムコード、データベーススキーマまたは測定によって裏付けられる場合にのみ記載しています。計画中のものは「計画中」と記載し、初期設定でオフのものは「初期設定でオフ」と記載します。証明できないことは、その旨を記載します。
  2. 保存期間は2回記載。1回は処理活動ごとに、もう1回は第6節で全体像として記載します。すなわち、どの夜間処理がどのデータを削除し、どのデータには及ばないかです。データの一部にしか当てはまらない保存期間をうたう記録は、未決事項を明記する記録よりも劣ります。
  3. 未決事項は脚注ではなく本文に記載。第8.1節には未実施の措置を、第10節には未決事項と予定している措置を記載しています。記録は業務用のツールであり、証明書ではありません。

テーブル名ではなくデータ項目。処理活動ごとに、保存されるデータを平易な言葉の項目として記載します。監査人が該当箇所を見つけられるよう、データベースのテーブル名を括弧内に付記します。例：「ログイン試行（login_attempts）」。項目の一覧は記憶からではなく、データベーススキーマから導き出しました。

プレースホルダーとしての保存期間。管理領域で設定できる保存期間は、夜間処理が読み込むとおりにここに表示されます。表示される数値は、削除を制御するのと同じ設定から取得されます。プログラムで固定されている保存期間は数値で記載しています。

測定の基礎。スキーマ、コードおよび設定は、2026年10月11日に、コードとスキーマが本番システムと一致する開発システム上で測定しました。開発システムの行数は記載しません。それらはテストデータを含み、実運用については何も示さないためです。

意図的に省略したもの。この記録には、当社サーバーのホスト名、内部ネットワークアドレス、ポート、ユーザー名またはソフトウェアのバージョンは記載していません。そのような詳細は攻撃者の役に立つだけで、データ主体の役には立ちません。同じ理由から、当社自身のサーバーの保護における未決事項は一般的な表現でのみ記載しています（第8.1節）。リスクは示しますが、そこに至る経路は示しません。詳細は要請に応じて監督機関に提供します。

法的性質。この記録は、当社がGDPR第30条に基づき監督機関のために維持する文書であり、任意に公開しているものです。いかなる契約の一部も構成せず、顧客または第三者に対するいかなる表明、保証、品質に関する合意も構成しません。当社が顧客に対して負う義務は、利用規約、データ処理契約およびその別紙によって定められ、これらの義務に関してはそれらがこの記録に優先します。この記録は、本バージョンの日付時点の状況を記述したものです。「未決事項」や「評価」などの分類は当社自身の見解を反映したものであり、監督機関や裁判所による法的評価を先取りするものではありません。「計画中」と記載された措置は、期日を約束しない意図です。

2. 法的主体とこの記録が2つに分かれている理由

項目記載事項
法的主体LW IT Solutions Company Lukas Wójcik、ポーランドの事業者登録簿（CEIDG）に登録された個人事業。所有者Lukas Wójcik
住所al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland
税番号NIP 7252266190、VAT ID PL7252266190
連絡先contact@lukaswojcik.com、サポートウィンドウ（ナビゲーションの疑問符）、お問い合わせページ
サービスformexposed：ウェブサイトのお問い合わせフォームのチェック、監視および保護（アプリはformexposed.com、ランディングページはform.exposed）
GDPR第27条に基づく代理人該当なし。この事業者はEU域内（ポーランド）に所在しています。
データ保護責任者指名していません。第37条に基づく評価は第9節にあります。
管轄の監督機関Prezes Urzędu Ochrony Danych Osobowych（UODO、ポーランドのデータ保護機関）、ul. Moniuszki 1A, 00-014 Warszawa
ホスティングポーランドにある当社自身のサーバー：アプリケーションとデータベースを備えたウェブサーバー1台と、ローカルの言語モデルを備えたスキャンサーバー1台が同じ内部ネットワーク上にあります。第三者のデータセンターやクラウド事業者は利用していません。

formexposedは、人々のグループによって異なる役割を担います。それらを混同すると、どのグループにとっても正しくない記録になってしまいます。

  • 管理者（パート B、第 30 条 (1)）。当社自身のお客様とチームメンバーのデータ（アカウント、ログイン、請求、サポート、ログ）、当社ウェブサイトの訪問者、アカウントなしのチェック（無料チェック、ヘッダーツール、調査、見込み客チェック）、不正利用防止について、当社自身が管理者です。
  • 処理者（パート A、第 30 条 (2)）。お客様が本サービスに持ち込む第三者の個人データ、またはお客様向けサービスの履行時に生じる個人データについては、お客様のために処理します。配信チェックの実際のフォームメールのコピー、お客様のクライアントポータルの購読者、通知の受信者、チェック対象ページに偶然映る人、テストアカウントのログイン情報、貼り付けられたフォームコードです。根拠は、すべてのお客様と登録時に締結するデータ処理契約です。
  • お客様側だけの処理。WordPress プラグインと TYPO3 拡張機能の一部の機能は、お客様のウェブサイト上だけでデータを処理し、当社には届きません（隔離、セーフティネット、計算問題、保存期間の設定、ローカル集計、レコーダー）。当社による処理ではないため、どちらのパートにも含みません。ただし、境界を明確にするため、パート A の末尾で説明します。

この分離は文章だけでなく、コードにも組み込まれています。配信チェックは、実際のフォームメールから、時刻、対応付け、認証結果だけをデータベースに記録します。ブラウザーチェックのスクリーンショットでは入力欄をマスクします。テストアカウントのログイン情報は、ウェブサーバーが読み取れない形で暗号化します。詳細は各項目に記載します。

第 6 節から第 11 節は、保存、自動化された意思決定、技術的および組織的措置、データ保護責任者、未解決事項、本記録の維持について、両パートに適用します。

適用範囲。本書は、formexposed サービスに関する記録の部分です。同じ法的主体による他のサービスの処理は、それぞれ別の記録に記載します。本サービス外の一般会計や事業管理は、この部分の対象ではありません。

3. パート A – 第 30 条 (2)：お客様のための処理

A.0 関係者

項目内容
処理者LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland; contact@lukaswojcik.com
管理者formexposed のお客様。アカウントにドメインを持ち、第三者データが生じる機能を使用する事業者と制作会社です。制作会社の場合、そのクライアントが管理者である場合もあり、その場合は制作会社がクライアントに対する処理者、当社が再処理者です。
管理者の一覧本記録の一部として、本サービスのシステム内で電子形式（GDPR 第 30 条 (3)）で保持し、この公開版には転載しません。お客様の個人データを含み、新規のお客様ごとに古くなるためです。顧客アカウントの名前、メールアドレス、会社名を含む各ワークスペースの所有者（住所と VAT 番号は Stripe だけが保持）（users、workspaces、workspace_users）と、ワークスペースのドメイン（domains）を記録します。監督機関の要請には、抜粋を提供します。
管理者の代理人とデータ保護責任者システムに専用欄はありません。お客様が GDPR 第 27 条の代理人またはデータ保護責任者を指定した場合、当社に通知できます。通知は管理者の一覧とともに保持します。
処理者の代理人該当しません（ポーランドに所在）。
データ保護責任者未選任（第 9 節）。
指示指示はデータ処理契約とお客様の設定から生じます。お客様が配信チェックを有効にし、通知先を設定し、テストアカウントを保存し、クライアントポータルを設定します。その操作がなければ、該当する処理は行いません。
技術的および組織的措置第 8 節と技術的および組織的措置ページは、パート A のすべての処理活動に適用します。個別の措置は各項目に記載します。

A.1 配信チェック – フォームメールの確認用コピー

項目内容
目的お客様のお問い合わせフォームのメールが実際に送信されるか、どのように認証されるか（SPF、DKIM、DMARC、アラインメント）を確認します。能動的なテスト送信が受け付けられた後、設定可能な待機時間（現在は 3 時間）以内にコピーが確認用メールボックスへ届く必要があります。届かなければ「テストメール未受信」の通知を出します。ヘッダーからは、フォームメールの認証状況、利用メールサービス、ブロックリストチェック用の送信元アドレスも取得します。
前提条件有料プラン、確認済みドメイン、お客様による有効化が必要です。お客様は、自分専用の識別子付き確認用アドレス（「delivery+identifier@…」の形式）を、フォーム通知の BCC に設定します。確認用メールボックスが設定されていなければ、本機能は利用できません。
データ主体の種類お客様のフォームを送信するウェブサイト訪問者、訪問者がメッセージにデータを記載する人、ヘッダー内に受信者として現れるお客様の担当者。
個人データの種類確認用メールボックス内（メールサービス提供者）：削除するまで、すべてのフォームメールの完全なコピー。名前、メールアドレス、電話番号、自由記述を含む実際の問い合わせも含みます。取得時に読み取る情報：ヘッダーと本文の先頭最大 8 KB。データベース内：受信時刻、ドメインと該当する場合はテスト実行への対応付け（delivery_log）、ドメインごとの最新の認証結果。SPF・DKIM・DMARC の結果、アラインメント、送信者ドメイン、署名ドメイン、送信メールサーバーのアドレスを含みます（domains のドメイン認証欄）。内容、件名、訪問者の送信者アドレスはデータベースに記録しません。
送信者ドメインに関する注記フォームが訪問者のアドレスを送信者として設定する場合（本チェックが検出を意図する設定ミス）、認証結果には、そのアドレス自体ではなくドメインが含まれます。訪問者が個人用ドメインを使用する場合、これも個人データとなり得ます。次回受信時に上書きされます。
取得元お客様が設定した BCC を介した、お客様のウェブサイトのフォーム。
法的根拠（管理者が決定）お客様が決定します。当社がお客様のプライバシーポリシー用に提案する文案は、GDPR 第 6 条 (1)(f)（問い合わせを確実に受信する正当な利益）をコピーの根拠としています。お客様はこのデータの流れを訪問者に知らせ、データ処理契約もこれを義務付けます。
受領者確認用メールボックスを運営するメールサービス提供者（Namecheap, Inc. (Private Email), Phoenix, Arizona, USA）。コピーは直接そこへ送られます。当社ドメインの MX レコードがこのメールボックスを指している場合だけ届きます（公開前チェックリストで確認します）。転送経由では届きません。お客様のドメインページに表示するのは、時刻、対応付け、認証結果だけです。認証結果が悪化した場合、お客様と選択したチャンネルへの通知では、送信者ドメインがウェブサイトに属さない場合にその名前を表示します（A.3、4.1）。
第三国メールサービス提供者によります。第 4 節を参照してください。予定する提供者との契約と移転の根拠は、まだ文書化されていません。
保存期間正常に処理した後、ドメインに対応付けられない場合も、同じ実行内で削除対象に指定し、メールボックスから削除します。管理画面で監視が有効な間、状態確認処理とともに五分ごとに取得します（srv/cron_status.php、cfg/zustellung_lib.php）。取得や削除に失敗すると、次回正常に実行できるまでメールボックスに残ります。同じ取得処理で、delivery_log の対応付けを 180 日後に削除します。認証結果はドメインが存在する間保持します。
証拠が示すこと特定のテスト実行に対応するコピーを、確認用メールボックスで受信したことだけです。実際の受信者への到着や CRM への登録は証明しません。HubSpot からのネイティブな確認は提供しません。
技術的および組織的措置第 8 節。特に、内容の評価はメモリー内だけ、本文・件名・完全な送信者アドレスは保存しない、対応付けの成功にかかわらず削除する、という措置です。

配信チェックは、お客様の訪問者からの実際のメッセージが当社に届く唯一の機能です。そのため、当社自身の責任でのサービスではなく、お客様のための処理に当たります。また、実際のリスクの尺度はメールボックス内の滞在時間です。通常は数分ですが、取得に障害があると再開まで続きます。コピーには特別な種類の個人データを含めるべきではありません。ただし、何を書くかは訪問者が決めるため、技術的に防ぐことはできません。

A.2 クライアントポータルと購読者向け月次レポート

項目内容
目的制作会社（Business プラン）が、自社ブランドでクライアントのドメインの状態を表示します（ランダムなアドレスのポータル。任意でパスワードや制作会社独自のサブドメインを設定可能）。クライアントはそこで月次レポートのメール配信を申し込めます。レポートは制作会社名で送信します。
データ主体の種類レポートを申し込む制作会社のクライアントとその担当者、ポータルを開く人。
個人データの種類購読者：メールアドレス、言語、確認識別子、申込時刻とその時の IP アドレス、確認時刻（ダブルオプトイン）、解除時刻、最終送信月（client_subscribers）。ポータル：名称、選択ドメイン、ランダム識別子、ハッシュだけのパスワード、作成者、時刻、失効（client_portals）。ポータルへのアクセスはページ表示ログに記録します（B.2）。
取得元購読者自身がポータルで入力します。
法的根拠（管理者が決定）ダブルオプトイン手続きで取得する購読者の同意。管理者は制作会社です。自ら登録し確認していない人には連絡しません。
受領者制作会社（自らの購読者を閲覧）、確認メールとレポートの送信用メールサービス提供者（Namecheap, Inc. (Private Email), Phoenix, Arizona, USA）。
第三国メールサービス提供者を介します。第 4 節を参照してください。
保存期間夜間の削除処理（cfg/fristen_lib.php の「ポータル購読者」部分）で、未確認の申込みは 30 日後、解除済み購読者は従前の同意の証拠として解除から三年後に削除します。解除していない確認済み購読者は、制作会社のワークスペースが存在する間保持します。失効したポータルはアクセスを停止するだけで削除せず、購読者へのレポート送信は停止しますが、データは残ります（第 10 節）。ポータルと購読者は、ワークスペースとともに直ちに削除します（fe_arbeitsbereich_daten_loeschen()）。送信したレポートは送信ボックスに 30 日間保持します（B.25）。
技術的および組織的措置第 8 節。特に、ポータルのパスワードはハッシュだけを保持し、推測試行を制限します（ポータルと IP アドレスごとに十回、ポータルごとに 15 分間で 50 回）。すべてのメールにワンクリック解除を用意します。ポータルは状態と主要集計値だけを表示し、証拠付きの個別検出結果は表示しません。

A.3 お客様の通知受信者、確認者、担当者

項目内容
目的お客様がドメインに設定した宛先に、障害や変化を通知します。宛先はメール、Webhook、Slack、Discord、Microsoft Teams、Google Chat、Telegram です。宛先ごとに即時、日次まとめ、週次まとめを設定でき、エスカレーション専用の宛先も設定できます。各問題通知はインシデントとなり、受信者はリンクから確認済みにできます。監視対象フォームには担当者と期限を設定できます。
データ主体の種類お客様が通知先や担当者に指定する担当者とサービス提供者、インシデントを確認する人。自分自身のアカウントを持つチームメンバーはパート B にも含みます。
個人データの種類通知先：チャンネル、宛先アドレス（メール、Webhook、チャット、Telegram チャット ID）、選択イベント、配信方式、Webhook の署名用シークレット、最終配信、最終エラー（alerts）。配信ログ：宛先、イベント、状態、エラー、時刻（alert_log）。まとめ通知の待機列：配信までの通知文とリンク（alert_queue）。インシデント：タイトル、通知文、リンク、確認識別子、時刻、フォームに入力された確認者の名前またはメールアドレス、入力がなければログイン中のメンバーのアドレス（alert_incidents）。インシデントと宛先ごとのエスカレーション配信試行：試行回数（最大五回）、最終・次回試行・成功の時刻、送信ボックスのメールへの参照、エラー（テーブル alert_escalation_deliveries）。割り当て：担当者のアカウントと期限（monitored_forms）。
通知の内容ドメイン、事象、短い説明、ドメインページへのリンク。訪問者のメッセージ内容は含みません。
取得元お客様が入力します。確認者は自分の名前を入力します。Telegram チャット ID は、受信者がボットの「開始」を押すと作成されます（B.32）。
法的根拠（管理者が決定）お客様が決定します。通常はお客様自身の業務の運営です（お客様の担当者とサービス提供者について GDPR 第 6 条 (1)(b) または (f)）。
受領者選択したチャンネルの運営者。第 4.1 節参照。メール通知はメールサービス提供者（Namecheap, Inc. (Private Email), Phoenix, Arizona, USA）を介します。
第三国チャンネルによります。複数の提供者が米国に所在し、Telegram は十分性認定のない EU 域外に所在します。第 4.1 節参照。
保存期間配信ログは 90 日後（夜間、fe_alert_log_aufraeumen() を srv/cron_status.php から実行）。まとめ通知は配信から 30 日後（cfg/kanal_lib.php、まとめ配信ごと）。インシデントは未解決の間、解決済みは解決から 180 日後に、エスカレーション配信試行とともに削除します（cfg/vorfall_lib.php、エスカレーション処理）。通知先と割り当ては、お客様が削除するまで、またはドメインとともに保持します。
技術的および組織的措置第 8 節。特に、Webhook は宛先ごとの別々のシークレットで署名します。チャットのリンクプレビューが何も起動しないよう、確認はクリック後（POST）だけに行います。メンテナンス時間帯の通知は記録だけで、送信しません。

A.4 チェック対象のお客様のページとスクリーンショットに偶然映る人

項目内容
目的お客様のアカウント内のドメインをチェック（スキャン、監視、能動的チェック）する際、公開ページを読み取り、フォームのスクリーンショットを撮影します。ページの表示内容には、チェックと無関係の人の情報が含まれ得ます。これらのデータは付随的に生じるもので、チェックの目的ではありません。
データ主体の種類チェック対象ページに名前、写真、連絡先が表示される人（フォーム横の担当者、トップページのチーム写真、会社情報）。
個人データの種類スクリーンショット：トップページの可視領域、各表示フォームの切り抜き、能動的テスト送信後のページ画像。ウェブディレクトリ外のファイルとして保存し、データベースには参照だけを記録します（scan_screenshots）。フォーム構造：ページアドレス、セレクター、フィールド名・種類・ラベル、必須・表示フラグ、送信ボタンのラベル（forms の「フィールドマップ」欄）。入力値は含みません。スキャナーはタイムスタンプとトークンの識別のため、非表示欄の先頭最大 24 文字とデータ属性の先頭最大 60 文字をチェック中だけ読み取り、結果だけを保存します。証拠付き検出結果（findings）、ページタイトル付き要約（scans）。有料アカウントの対象となるチェックでは、ローカルモデルが選択された検出結果とスキャンメタデータから優先順位付きの対応計画を生成し、そのテキスト、言語、状態、タイムスタンプをスキャンの要約に保存します。フォームに受信者メールアドレスが現れる場合、ドメインだけを保存し、アドレスは一切保存しません。
取得元スキャナーが取得する、お客様のドメインの公開ページ。
法的根拠（管理者が決定）お客様自身のウェブサイトの内容について、お客様が決定します。当社にとっては、委託されたチェックの一部です。
受領者お客様、制作会社ではポータルやホワイトラベルレポートを介したクライアント、レポートリンクの受領者（ランダムなアドレスで、検索エンジンには登録しません）。フォームの種類が不明な場合、当社サーバー上のローカル言語モデルに、フォーム構造、ページタイトル、ページアドレス、フォームの可視テキスト（最大 400 文字）を分類用に渡します。画像は渡しません。対象となる有料のチェックでは、ローカルモデルは対応計画を作成するために、ホスト名、総合結果とスコア、CMS、該当するフォームの種類とページアドレス、特定されたプラグイン、および選択された不合格または不明の検出結果も受け取ります。リクエストは内部ジョブキューに一時保持され、結果の取得後、または1時間を超えた項目の定期的なクリーンアップによって削除されます。
第三国ありません。
保存期間ドメインのチェック結果は最大 13 か月。ドメインごとの最後の完了済みチェックは残します（夜間削除処理の「古いチェック結果」部分）。フォーム、検出結果、画像参照、画像ファイルは、チェック結果とともに削除します。ドメインを削除すると直ちに削除します（B.15 の削除連鎖。例外は第 6.4 節）。
マスキングの限界フルチェックのスクリーンショットは何もマスクせず、すべての訪問者に表示されるページを示します。スキャナーは何も入力しないため、取得時の入力欄は空ですが、事前入力値があれば表示されます。ログイン後はスクリーンショットを撮影しません（A.5）。ブラウザーチェックの画像は入力欄をマスクします（A.6）。
技術的および組織的措置第 8 節。特に、画像はレポート経由でだけ取得でき、他人の画像識別子では「見つかりません」を返します。レポートに noindex を設定します。各チェックは専用の隔離コンテナで実行します。

アカウントなしのチェック（無料チェック、調査、見込み客チェック）でも同じデータが生じます。その場合、当社がそのために処理するお客様はいないため、パート B に記載します（B.5、B.7、B.8）。

A.5 ログイン後のスキャン用テストアカウントのログイン情報

項目内容
目的ログイン後にだけ現れるフォーム（顧客エリア、会員エリア）を読み取ります。スキャナーは、お客様が自らのサイトに作成したテストアカウントでログインし、指定ページを読み取ります。ログインフォーム以外は何も送信せず、能動的テスト、スクリーンショット撮影、ログアウト・削除・キャンセルのアドレスへのアクセスを行いません。ログインフォームに CAPTCHA があれば停止し、回避しません。
前提条件確認済みドメイン、有料プラン、所有者または管理者の役割、テストアカウントであることの明示的確認。同一ドメイン上の最大五ページ。
データ主体の種類テストアカウントの名義人（理想的には誰の名義にもせず、機能用アカウントを使用すべきです）、ログイン後のページにデータが表示される人。
個人データの種類暗号化された状態だけのユーザー名とパスワード、ユーザー名のヒント（先頭文字と長さ）、ログインアドレス、ページ一覧、ログイン欄の名前、成功を示す指標、作成者、時刻、短いコードでの最終結果（domain_logins）。実行中ジョブには暗号文のコピー（scan_jobs の「ログインパッケージ」欄）。ログイン後のページからは A.4 と同様のフォーム構造を取得し、スクリーンショットと Cookie は取得しません。
取得元お客様がアカウント内で入力します。
法的根拠（管理者が決定）お客様が決定します。テストアカウントを使用する権限を保証します。
受領者ありません。お客様、サポート、プログラミングインターフェースのいずれもログイン情報を読み出せません。画面にはユーザー名のヒントだけを表示します。
第三国ありません。
ログイン情報の保護ユーザー名とパスワードは、保存時にスキャンサーバーの公開鍵で直ちに暗号化します（X25519、HKDF-SHA256、AES-256-GCM。ドメインを関連データとして結び付け、別のドメインへの暗号文の付け替えを防ぎます）。秘密鍵を持つのはスキャンサーバーだけです。ウェブサーバー、データベース、バックアップには暗号文だけがあり、当社もそこで復号できません。スキャンサーバーは実行中だけ復号し、標準入力だけで隔離されたチェックコンテナに渡し、ジョブ内のコピーを直ちに削除し、結果・ログ・エラー文に一切記録しません。お客様のサイトへの通信では、そのサイトの暗号化だけで保護されます。この転送の限界は第 10 節に記載します。
保存期間お客様が削除するまで保持します。削除時には暗号文を同じ長さのランダムデータで上書きして行を削除し、待機中ジョブも消去します（fe_login_loeschen()）。ドメインとともに外部キー経由で行を削除します。スキャンサーバーは実行後にジョブ内コピーを消去します。中断ジョブやサーバー停止による残りは、状態確認処理が遅くとも一時間後に消去します（fe_login_aufraeumen() の「login_jobs」部分）。データベースのバックアップには、14 日後の失効まで暗号文が残ります。
技術的および組織的措置第 8 節。特に、別々の鍵による非対称暗号化、ログアウト・削除パスのブロックリスト、ログイン後の撮影禁止、有料プラン・確認済みドメインに限定した機能、変更の操作ログへの記録（ログイン情報なし）。

当社は、お客様のサーバー、CMS 管理画面、ホスティングアカウントのログイン情報を保存する仕組みを、意図的に設けていません。テストアカウントはお客様のサイトの訪問者用アカウントであり、システムへのアクセス権ではありません。

A.6 設定済みフォーム操作手順、ブラウザーチェック、独立した確認

項目内容
目的実際のブラウザー（Chromium、WebKit、または両方）で、監視対象フォームを送信直前まで操作します。ページを読み込み、事前のクリック（最大五回。入力欄や送信ボタンは対象外）を実行し、予約済みの末尾 .invalid のアドレスなど、合成データと明確に分かる値を入力し、複数段階のフォームを進めます。ブラウザーチェックは何も送信せず、ブラウザー内で技術的に送信を阻止します。さらに、フォームの時間測定と外観の比較を行います。
データ主体の種類A.4 と同様（フォームページに映る人）、担当者に指定されたお客様の担当者（A.3）。
個人データの種類設定：フォームアドレス、セレクター、開始アドレス、クリック手順、ブラウザーの選択、ラベル、重要度、割り当て、期限（monitored_forms）。各実行の結果：状態、技術的失敗理由、不要な情報を除いたエラーメッセージ、ネットワークと時間の測定、入力欄をマスクした最大 32 KB の JPEG フォーム画像（form_browser_runs）。チェックごとの観察結果（form_observations）、時系列（form_performance）。対象一覧付きジョブ（scan_jobs の「targets」「result」欄）。
テストアクセスお客様がテストアカウントを保存している場合（A.5）、フルチェックでは設定済みフォーム操作手順にも使用します。確認したコードでは、二つのフルチェックの合間の単独ブラウザーチェックは、テストアカウントなしで動作します。
独立した確認通知前に再確認する、別の場所のチェック拠点を予定しています。送るのはドメイン、不要な情報を除いた設定、ジョブ識別子で、訪問者の入力やログイン情報は送りません。現在は未設定です（標準で無効）。確認機能がなければ別拠点の証拠はなく、通知は当社自身の測定に基づきます。
取得元お客様が設定し、結果はお客様のページの取得から得ます。
法的根拠（管理者が決定）サイトの内容と自らの担当者の職責について、お客様が決定します。
受領者お客様。確認拠点を設定した場合はその運営者（現在はいません）。
第三国ありません。
保存期間ブラウザー実行結果、完了済みブラウザージョブ、時系列は 13 か月後に削除します（夜間削除処理の「browser_runs」「browser_jobs」「form_performance」部分）。設定はドメインの削除まで保持します（個別には変更・無効化でき、削除はできません）。ドメインとともに、実行結果、観察結果、時系列を外部キー経由で削除します。
測定が示すこと当社のチェック用ブラウザーでの時間と状態です。実際の訪問者の体験を測定するものではなく、完了率や失われた問い合わせを証明しません。
技術的および組織的措置第 8 節。特に、送信の技術的阻止、同一ドメインのアドレスだけに限定、画像のマスキング、隔離されたチェックコンテナ。

A.7 「Fix it for me」– 貼り付けられたフォームコード

項目内容
目的お客様がフォームコードを貼り付け、当社自身のハードウェア上の言語モデルが保護モジュールを組み込みます。返すのは、変更後のファイル、パッチ、構文チェックの結果、チェック呼び出しが実際に組み込まれたかの情報です。コードの貼り付けがない場合、前回スキャンのフィールド名を使った既製モジュールを提供します。
データ主体の種類貼り付けコードに偶然データが含まれる人（受信者アドレス、コメント内の名前、メールサーバーのログイン情報など）。
個人データの種類貼り付けコード、最大 30,000 文字。データベースには、ワークスペースと時刻を含む操作ログ（アクション「fix_ai」）だけを記録し、現在はワークスペースごとに一日十回という上限への計上に使います。
取得元お客様が貼り付けます。
法的根拠コード自体はお客様との契約の履行（GDPR 第 6 条 (1)(b)）。偶然含まれる第三者データの根拠はお客様が決定します。
受領者ありません。言語モデルは内部ネットワーク上の自社スキャンサーバーで動作し、代替時も含めて外部 AI サービスは使用しません。
第三国ありません。
保存期間コードは保存しません。構文チェック用の一時ファイルを作成し、直後に削除します。操作ログは 365 日後に削除します。
お客様への注記コードに含まれるパスワード、API キー、個人データは、貼り付ける前に取り除いてください。当社は内容を検査しません。
技術的および組織的措置第 8 節。特に、有料プランの所有者と管理者だけに限定します。コードはデータであることを明示してモデルに渡し、一切実行しません。第三者のサーバーへアップロードしません。

A.8 ホワイトラベルのブランド設定と制作会社の連絡先担当者

項目内容
目的制作会社（Business プラン）のレポート、短いレポート、証拠ログ、クライアントポータルを自社ブランドで表示し、希望により独自サブドメインを使用します。
データ主体の種類連絡先欄に名前や連絡先が表示される制作会社の担当者。
個人データの種類会社名、ウェブサイト、連絡先欄、クライアントへの注記、アクセント色、外観、ロゴファイル、formexposed への言及の切り替え、確認識別子と確認状態付きの独自ドメイン（workspace_branding）。
取得元制作会社が入力します。
法的根拠制作会社との契約履行（GDPR 第 6 条 (1)(b)）。連絡先欄に制作会社の担当者を記載する場合、その根拠は制作会社が決定します。
受領者制作会社がレポート、短いレポート、ポータルリンクを渡す人。
第三国ありません。
保存期間制作会社が変更するまで。ブランド設定とロゴは、ワークスペースとともに削除します（fe_arbeitsbereich_daten_loeschen()）。独自ドメインの DNS 確認が七日間失敗すると無効にします。独自ドメインは標準で無効です。
技術的および組織的措置第 8 節。

A.9 プラグインと拡張機能による集計、状態指標、入力欄エラー

項目内容
目的WordPress プラグインと TYPO3 拡張機能は、一日一回、接続先サイトのフォームについて、理由別の阻止送信数、送信数、メールの送信数と失敗数、フォーム設定の状態指標、取得元・保存期間別の保存問い合わせ数を報告します。任意で、標準無効の機能として、フォームイベントと入力欄の位置ごとのエラー分類も報告します。これらの集計を、「数字で見る保護」、月次レポート、受信途絶通知、危険な設定の通知に使用します。
分類個人を記述しないよう設計した集計です。お客様のサイトで訪問者が起こした事象から生じるため、パート A に掲載します。当社の見解では、個人データとなるのは境界事例（ある日の送信が極端に少ないサイト）に限られます。送信自体（鍵、バージョン、ホスト）はパート B（B.20）に記載します。
データ主体の種類フォームを送信するお客様のサイトの訪問者。
個人データの種類ホスト別の日次集計：阻止数の合計と理由別内訳、送信数、メール送信・失敗数、メール送信エラー分類（四分類のいずれかだけで、受信者アドレスを含み得るエラー文は一切含みません）、reCAPTCHA 応答数、削除した問い合わせと保留を解除した問い合わせ（plugin_stats）。状態：固定リストのフォーム・CAPTCHA・メール用プラグインのバージョン、数値化した設定指標、保存期間（plugin_health）。変更通知：更新したプラグインの名前とバージョン（plugin_changes）。任意：フォーム・日ごとの集計と入力欄位置ごとのエラー分類（form_metrics）。一切含まないもの：入力内容、フィールド名、パスワード、ファイル、メールアドレス、名前、IP アドレス、訪問者の永続的識別子。
取得元お客様のサイト上のプラグインから、サイトの接続用シークレットを使用するプログラミングインターフェース経由。
法的根拠（管理者が決定）お客様が決定します。任意集計を有効にするか、訪問者にどう知らせるかもお客様が決めます。
受領者お客様。阻止メッセージ内のリンクのドメインは協調防御に使用します（B.21）。
第三国ありません。
保存期間日次集計、変更通知、フォーム集計は 13 か月後に削除します（夜間削除処理の「plugin_stats」「form_metrics」部分）。状態指標は報告ごとに上書きします。システム内でそのホストを参照するドメインがなくなると、すべてのプラグインデータを削除します（最後のドメイン削除時は即時、旧データは夜間の「orphan_hosts」部分）。
集計が示すことプラグインが数えた内容です。完了率や失われた問い合わせは証明しません。
技術的および組織的措置第 8 節。特に、サイトに結び付いた鍵の組でのみ受け付け、既知のキーと数値だけを採用し、他は破棄します。14 日の範囲外の日付は拒否します。

A.10 境界：お客様のサイトだけに残るもの

次の WordPress プラグインと TYPO3 拡張機能の機能は、お客様のサーバー上だけでデータを処理します。当社には届かず、アクセスもできません。サイト運営者だけが責任を負い、有効化、保存期間、訪問者への説明方法を決めます。このため、プラグインはプライバシーポリシー用の文案を提案します。

機能ローカルで処理する内容お客様側の保存期間
隔離理由付きの阻止送信。保留を解除し、サイトのメールアドレスへ送信できます14 日
セーフティネットフォームメールの送信に失敗した送信内容を、再送用に保持（標準で有効）30 日
reCAPTCHA の代わりの計算問題訪問者のブラウザー内の計算処理。外部サービスなし（標準で無効）–
保存期間設定運営者が選択した期間後に、フォームプラグインの保存問い合わせを削除（標準で無効）設定に従う
レート制限IP アドレス由来の短命な識別子。当社には送信しません短期間
ローカル日次集計送信前の集計値最大 14 日
管理者用レコーダーログイン済み管理者のブラウザーのセッションストレージ内の技術的セレクターと移動手順。入力は読み取りません。選択した設定だけを送信します（以後は A.6）最大 15 分
訪問者支援別途有効化可能。下書きを保存せず、自動再送もしません–
新しいスパム規則の観察自動的には有効にせず、追加の一致をローカルで集計七日

A.11 フォーム保護（formconfirmed）

項目内容
目的自動化された送信を識別するための、お客様のウェブサイト上のフォームを通じた送信の評価：課題の発行と検証（計算証明）、一回限りの確認トークン、入力に要した時間、トラップ用フィールド、集中したリクエスト。お客様の希望に応じて、言語モデルによるメッセージ本文の評価。フォーム保護を有効にしたお客様のみが対象です。
データ主体の類型保護されたフォームのあるページを開く、またはそのフォームを送信する、お客様のウェブサイトの訪問者。
個人データの類型IPアドレス（短縮し、毎日変わる鍵でハッシュ化した形でのみ保存）、ページのアドレスとドメイン、時刻と入力に要した時間、トラップ用フィールドへの入力の有無、ウェブサーバーのログ内のブラウザー識別子。内容チェックが有効な場合に限り、メッセージ本文（メモリ内のみ）。
取得元訪問者のブラウザー（課題、確認トークン）、お客様のサーバー（検証リクエスト、該当する場合は本文）。
受領者お客様（スコア、アクション、理由）。その他の受領者はありません。この処理に再処理者は関与しません。
第三国なし。
保存期間ハッシュ化された識別子は1時間、使用済みの確認トークンは最長11分、IPアドレスと本文を含まない検証結果は30日、日次の数値は400日、ウェブサーバーのログは14日。本文は保存しません。
技術的および組織的措置第8節。加えて、日次の鍵による短縮とハッシュ化、署名付きの課題、一回限りの使用、本文を記録しない当社自身のハードウェア上の言語モデル。

4. パート A – 受領者、再処理者、第三国移転

次の表は、当社自身が起用し、パート A のデータを受け取る可能性のある受領者です。継続的に更新する正式な一覧は再処理者ページです。表と相違があれば、書式の問題ではなく、検討すべき事項です。

受領者受け取るもの第三国根拠状態
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA配信チェックの確認用メールボックス（A.1）、通知メール（A.3）、ポータル購読者への確認とレポート送信（A.2）処理場所は要確認。「再処理者」ページ参照データ処理契約。移転の根拠は要確認未解決。該当契約、実際の処理場所、移転根拠はまだ文書化されていません。本記録は、認証や締結済み契約を確認するものではありません。
Namecheap, Inc.（レジストラ、DNS、メールボックス設定までのメール転送）メールボックスの設定までは、当社ドメインのアドレスへの一般受信メール。配信チェックのコピーは含みません。それは MX レコードがメールボックスを直接指す場合だけ届きます（A.1）米国要確認：EU-US Data Privacy Framework の認証または標準契約条項利用中。根拠は未解決。
ローカル言語モデルを持つ自社スキャンサーバー分類用フォーム構造および有料レポートの対応計画用に選択された検出結果とスキャンメタデータ（A.4）、貼り付けコード（A.7）、実行中だけ復号するテストアクセス情報（A.5）–当社が運用し、第三者ではありません利用中。
別拠点の独立した確認機能ドメイン、不要な情報を除いた設定、ジョブ識別子（A.6）所在地による稼働前に決定未設定。

ホスティング：第三者なし。アプリケーション、データベース、スクリーンショット、バックアップは、ポーランドの自社サーバーで保持します。データセンターやクラウド提供者へ移行する場合、この段落を書き換える必要があります。

4.1 お客様が選ぶ通知チャンネル

当社が起用する受領者に加え、お客様が通知用に選ぶチャンネルがあります（A.3）。当社のサーバーが送信を開始し、宛先と提供者はお客様が決めます。チャンネルの選択によって、当社の処理者としての義務がなくなることはありません。各提供者について役割、契約、第三国に必要な保護措置を決める必要があり、チャットサービスではまだ完了していません（法的確認の未解決事項）。

チャンネル送信する内容提供者の所在地
メールドメイン、事象、説明、リンク。設定されたアドレスへ送信Namecheap, Inc. (Private Email), Phoenix, Arizona, USA 経由
任意のアドレスへの Webhook宛先のシークレットで署名した JSON 形式の事象（ドメイン、イベント、通知文、リンク、タイムスタンプ）お客様が決定
Slack、Discord、Microsoft Teams、Google Chat同じ通知を、設定した Webhook アドレスへチャットメッセージとして送信主に米国
Telegramお客様が選ぶ宛先。当社ボットから連携済みチャット ID へ送信EU 域外、十分性認定なし。移転根拠は法的確認の未解決事項

訪問者のメッセージ内容は、いかなる場合も送信しません。通知にはドメイン、事象、リンクを含みます。

5. パート B – 第 30 条 (1)：当社自身の責任による処理

本パートのすべての管理者：LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, contact@lukaswojcik.com。EU 内に所在するため代理人は不要です。データ保護責任者は未選任（第 9 節）。技術的および組織的措置は、第 8 節と技術的および組織的措置ページを参照してください。データ主体の権利行使はアクセス、削除、その他の権利ページで説明します。アカウント保有者は設定で、自らのデータをファイルとしてダウンロードできます。

正当な利益（GDPR 第 6 条 (1)(f)）に基づく場合、その利益と、より侵襲性の低い方法では不十分な理由を示します。利益衡量は当社の評価であり、法的確認の対象です。

B.1 当社サイトの訪問者 – ウェブサーバーログ

項目内容
目的ウェブサイトとアプリの運用および安全性：配信、障害調査、攻撃と過負荷の検出。
データ主体の種類formexposed.com または form.exposed のページを開くすべての人。当社バッジ画像をブラウザーが読み込むお客様のページの訪問者（B.18）、レポートや確認リンクを開く受信者、プラグインが当社インターフェースを呼び出すウェブサイトを含みます。
個人データの種類完全な IP アドレス、時刻、リクエスト先アドレス、状態コード、転送バイト数、参照元ページ（リファラー）、ブラウザー識別情報（ユーザーエージェント）。
保存場所手前のプロキシとウェブサーバーのアクセスログ。ウェブサーバー上のファイルであり、データベースには保存しません。
取得元リクエストするブラウザーまたはプログラム。
法的根拠GDPR 第 6 条 (1)(f)。利益：安全で中断のない運用。利益衡量：完全なアドレスがなければ、同じ送信元からの反復リクエストを関連付けられず、攻撃を防げません。短縮したアドレスでは区別できません。ログは他のデータと結合せず、短期間で削除します。
受領者ありません。
第三国ありません。
保存期間14 日。毎日ローテーションして 14 世代を保持し、その後上書きします（システムのログローテーションサービス。本アプリの夜間削除処理ではありません）。
技術的および組織的措置第 8 節。

B.2 アプリケーションのページ表示ログ

項目内容
目的安全性と不正利用の検出（誰が何をどの頻度で要求するか）、アカウントへのアクセスの追跡可能性、分析サービスなしの簡単な利用統計。
データ主体の種類実際のページ表示を行う、すべてのサイト訪問者とアプリ利用者（バックグラウンドリクエストとフォーム送信は対象外）。
個人データの種類完全な IP アドレス、記録時にそのアドレスから判定する国（ローカル地理データベース使用、第三者への照会なし）、ログイン中のアカウント ID、リクエスト先と参照元ページ（レポートやポータルリンクなどのアクセストークンをマスク）、ブラウザー識別情報とそこから判定したデバイス種類・OS・ブラウザー、言語、時刻（access_logs）。「お客様として表示」中（B.14）は、サポートのページ表示がお客様のログに混ざらないよう、アカウント ID を設定しません。
取得元ブラウザーのリクエスト。
法的根拠GDPR 第 6 条 (1)(f)。利益：不正利用の防止と追跡可能性。利益衡量：B.1 と同様。不正パターンは数週間を通して判明するため、保存期間を長くしています。IP アドレスの短縮や保存期間の短縮の要否は、法的確認の未解決事項です。
受領者ありません。アカウント保有者は、データエクスポートで自分自身のページ表示を取得できます。
第三国ありません。
保存期間60 日（夜間の 03:00 から 03:05、srv/cron_status.php の「ページ表示ログ」設定）。
技術的および組織的措置第 8 節。転送ヘッダーから IP アドレスを採用するのは、当社自身の前段プロキシからリクエストが来た場合だけで、そのプロキシが追加した項目だけを使用します。そうしなければ、誰でも出所を任意に偽装できてしまいます。

B.3 Cookie とブラウザー内の保存

項目内容
目的技術的に必要な保存：セッション、クロスサイトリクエストフォージェリ（CSRF）対策、アカウントなしチェックの上限の集計、ログイン、希望によるログイン維持、ライト・ダーク表示。
データ主体の種類formexposed.com の訪問者と利用者。
個人データの種類セッション Cookie bpid（セッション識別子。ブラウザーを閉じると終了。HttpOnly、SameSite=Lax、HTTPS では Secure）。「ログイン状態を保持」を選んだ場合だけの Cookie bp_remember（セレクターと検証値、30 日）。ローカルストレージ bp_theme（ライト、ダーク、システム）。管理画面では、運営者のローカル表示設定も保存します。上限のためにはセッション識別子からハッシュを作り、識別子自体は保存しません。
設定しないもの分析、広告、追跡用 Cookie はありません。パートナープログラム（B.33）は Cookie なしで動作します。お客様のページのバッジ画像も Cookie を設定しません（B.18）。保護されたフォームの送信時には、reCAPTCHA が Google の Cookie を設定する可能性があります（B.23）。
法的根拠端末へのアクセス：利用者が求めたサービスに厳格に必要な処理（ドイツの電気通信デジタルサービスデータ保護法 TDDDG 第 25 条 (2) 第 2 号、ポーランドの電子通信法 PKE 第 399 条 (3)（Prawo komunikacji elektronicznej））。処理：GDPR 第 6 条 (1)(b)（アカウント）および (f)（安全性、上限）。
受領者ありません。
第三国ありません。
保存期間セッション期間。ログイン維持トークンは 30 日。夜間処理でデータベース内の期限切れログイン維持トークンを削除します（remember_tokens）。ログアウト、パスワード変更、デバイスの失効時は直ちに削除します。
技術的および組織的措置第 8 節。

B.4 アカウントなしの無料チェック – 受け付け、上限、不正利用監視

項目内容
目的誰でもアカウントなしでドメインをチェックできます。入力欄が第三者のサイトを攻撃する道具にならないよう、段階的な上限を設けます。ドメインごとに七日間で匿名チェック一回（その後は同じレポート）、24 時間の IP アドレス・セッションごとの上限、システム全体の日次上限、登録から間もないドメインのブロック、ブロックリストと対象除外、公開アドレス限定です。不審なパターンを記録し運営者に報告します。IP アドレス別、セッション別、システム全体の上限はそれぞれ別に数え、アカウントなしのプラグインからのチェック（鍵の組が結び付いたプラグインはアドレス別ではなくサイト別）と対象除外（B.30）にも適用します。無料ヘッダーツール（B.9）には、IP アドレス・日別およびシステム全体の独自上限があります。
データ主体の種類チェック、ヘッダーツールの要求、対象除外を行う人。プラグインが設置されたサーバー。
個人データの種類各リクエストのログ：取得元（チェック、プラグイン、ヘッダーツール、対象除外）、完全な IP アドレス、セッション識別子のハッシュ、チェック対象ホスト、IP アドレスから判定した国、受け付けまたは理由付き拒否、時刻（check_throttle）。異常：種類（IP アドレス、セッション、国、システム）、キー（「IP」の場合は完全な IP アドレス）、パターン、重大度、短い説明、検出・解決時刻、解決者（abuse_flags）。ジョブ：ホスト、方式、信頼レベル、要求者識別子として短縮したセッションハッシュ（scan_jobs）。レポート：ランダム識別子、ホスト、言語、有効期限、初回表示、表示回数（reports）。レジストリ照会から得るドメイン経過期間のキャッシュ（domain_age_cache）。
取得元本人の入力とリクエスト、ドメイン経過期間のレジストリ照会（RDAP）。
法的根拠依頼されたチェックの実行：GDPR 第 6 条 (1)(b)（利用規約に基づく無料チェックの利用）。補充的に (f)。上限と監視：第 6 条 (1)(f)。利益：本サービスが第三者サイトへの攻撃手段や大量スパム送信の道具として使われるのを防ぎます。利益衡量：アドレスとセッションに関連付けなければ上限を適用できません。七日の期間は、そこから数える最長の上限と同じ最小限の長さです。
受領者Google（送信時の reCAPTCHA、B.23）。ドメイン経過期間は、スキャナーが RDAP 転送サービス rdap.org に照会し、担当レジストリへ転送されます。送信するのはドメイン名だけです。異常時には、ホストやアドレスなどの変数を一切含まない信号を、運営者が Telegram 経由で受け取ります。レポートは、ランダムなリンクを持つ人が閲覧できます。
第三国reCAPTCHA 経由で米国（B.23）。
保存期間リクエストログは 7 日（夜間、srv/cron_status.php）。解決済み異常は解決から 90 日。未解決の異常は、誰かが解決するまで残ります（第 10 節）。匿名レポートは 30 日後に失効し、夜間処理でレポート、ジョブ、チェック結果、フォーム、検出結果、画像を削除します（fe_reports_aufraeumen()）。管理者はアドレスに対する制限を手動で解除でき、その際、直近 24 時間のログを削除します。
技術的および組織的措置第 8 節。管理画面で全匿名チェックを緊急停止できます。処理が滞った場合、新しい無料チェックを受け付けない負荷制御を行います。

B.5 第三者のウェブサイトのクローラーチェック

項目内容
目的公開お問い合わせフォームの安全性チェック：スパム・不正利用対策、データ保護とアクセシビリティの機能、外部スクリプト、Cookie バナー拒否後の挙動、モバイル表示。アカウントなしのチェック（B.4）、アカウント内の未確認ドメイン、調査（B.7）と見込み客チェック（B.8）の基礎に適用します。アカウント内の確認済みドメインは、お客様のために処理します（A.4）。
クローラーの挙動クローラーのページを示す独自の識別子を使用します。チェック前に robots.txt を読み、トップページを対象とする禁止規則があれば停止します（robots.txt にアクセスできないかサーバーエラーの場合も同様）。個別の下位パスの禁止規則は個々には適用しません。フォーム稼働チェック、証明の取得、ヘッダーツール、公開ファイルの検索では robots.txt を読みません。一回のチェックで公開ページは最大八ページ、加えて Cookie バナー拒否後に最大三ページ、スマートフォン表示で最大三ページ、確認済みドメインの能動的テスト、ログイン後の最大五ページ（A.5）を取得します。ページは並列ではなく順番に読み込みます。公開アドレスだけが対象で、内部ネットワークは対象外、リダイレクトも再確認します。ブロックリストと対象除外は、受け付け前とスキャナー内でもう一度確認します。受動的：管理権限の証明がなければ、お客様向けのチェックではフォームへの送信を行いません（例外：自社テスト・デモドメインの内部チェック、B.6）。
データ主体の種類チェック対象サイトの運営者（個人事業主など自然人の場合）、ページに偶然映る人。
個人データの種類A.4 と同様。ページアドレスとタイトル、フォーム構造（フィールド名・種類・ラベル、値なし）、保護措置、外部スクリプト（アドレス。ピクセルや記録ツールのアカウント ID は保存前に置換）、Cookie バナーの挙動、スクリーンショット（トップページの可視領域、フォーム）。受信者アドレスが現れる場合は、そのドメインだけを保持します（scans、forms、findings、scan_screenshots）。
取得元公開アクセス可能なページ。
法的根拠GDPR 第 6 条 (1)(f)。利益：依頼された安全性チェックの実行、訪問者に害を及ぼし得る弱点をサイト運営者に知らせること。利益衡量：一般の訪問者に見えるものだけを、限定した範囲で、送信なしに読み取ります。運営者は証明なしで、いつでも恒久的にドメインを除外できます。GDPR 第 14 条の情報は、クローラーページ、対象除外、プライバシーポリシーで提供します。第 14 条 (5)(b) を満たすかは、法的確認の未解決事項です。
受領者レポートを要求した人と、その人がランダムリンクを渡す人。フォームの種類が不明な場合は自社サーバーのローカル言語モデル（フォーム構造、ページタイトルとアドレス、フォームの可視テキスト）。プラグインのバージョンからの脆弱性警告は、匿名レポートに一切表示しません。
第三国ありません。
保存期間匿名：30 日（B.4）。見込み客チェック：90 日（B.8）。調査：公開まで（B.7）。アカウント内ドメイン：最大 13 か月、最新のチェックは保持し、ドメインとともに直ちに削除します。ドメインもレポートもない運営者の内部チェック（コマンドラインからの作成など）：保存期間が定められていません（第 10 節）。スキャンサーバーの一時ファイルは実行ごとに削除します。
技術的および組織的措置第 8 節。特に、権限を制限し、ファイルシステムを読み取り専用とし、メモリー上限と専用ネットワークを持つ個別チェックコンテナ。対象の二重確認。

B.6 能動的なテスト送信

項目内容
目的お問い合わせフォームが保護なしの送信を受け付けるか、CAPTCHA、トラップ（ハニーポット）、トークン、メールアドレス検証、レート制限がサーバー側で機能するか、ヘッダーを挿入できるかを確認します。
前提条件お客様では、管理権限を証明したドメインだけ（DNS レコード、メタタグ、ファイル、接続済みプラグイン）。加えて運営者は、自社のテスト・デモドメインに内部コマンドラインツールで「確認済み」レベルのチェックを作成します。全体設定が有効な場合、一般的なお問い合わせフォームと確実に分類できた場合だけです。注文、予約、登録、ニュースレター、決済、ファイルアップロード、実在の個人データの必須欄、行政・医療・教育機関のドメインには一切送信しません。
データ主体の種類フォームメールを受け取るお客様の担当者。
個人データの種類テスト送信に個人データは含みません。送信者「FormExposed Security Scanner」、当社自身の送信元アドレスまたは .invalid のアドレス、テストと明示した件名、クローラーページ・対象除外・チェック番号を示すページの言語の本文です。当社が保存するのは、ページの応答、検出結果、送信後ページの画像です（A.4 と同様）。
範囲一回のチェックで最大五回の送信（設定の標準値 5）。定期チェックはプランの頻度で、最上位プランでは毎日。
取得元お客様の指示。
法的根拠お客様との契約履行（GDPR 第 6 条 (1)(b)）。送信先はお客様自身のフォームです。お客様側の受信者については、お客様の業務運営です。
受領者お客様（フォームメール）。
第三国当社を通じた移転はありません。
保存期間結果は A.4 と同様。
技術的および組織的措置第 8 節。ヘッダーインジェクションは検出だけを行い、実在の受信者に対して実行しません。メールアドレス検証には、存在し得ないドメインだけを使用します。

B.7 調査「フォームセキュリティ指標」

項目内容
目的国や業種におけるお問い合わせフォームの保護に関する統計。サイト名なしで合計だけを公開し、区分別集計はフォームのある 20 ページ以上から行います。
データ主体の種類一覧にあるサイトの運営者、偶然映る人。
個人データの種類B.5 と同様、受動的チェックだけです。加えて一覧のホスト、区分、状態、ジョブ（study_domains）、タイトル・国・結果の合計を持つ調査（studies）。
取得元運営者が作成した公開サイトの一覧と、ページ自体。
法的根拠GDPR 第 6 条 (1)(f)。利益：フォームの安全性に関する統計的な情報。利益衡量：受動的で、処理を制限し（一実行あたり少数ジョブ）、ブロックリストと対象除外を適用し、合計だけを公開し、生データを削除します。
受領者一般公開、合計だけ。
第三国ありません。
保存期間生データ（チェック結果、フォーム、検出結果、画像、ジョブ）は公開時に削除します（fe_studie_veroeffentlichen()）。区分付きホスト一覧は残り、その一覧と公表されない調査には、保存期間が定められていません（第 10 節）。どの一覧をチェックし、公開するかは運営者が決めます。
技術的および組織的措置第 8 節。

B.8 見込み客チェック（制作会社の顧客獲得モード）

項目内容
目的制作会社（Business プラン）が見込み客のサイトを受動的にチェックし、自社ブランドの短いレポートと受動的チェックのレポートを取得します。当社は誰にも連絡せず、制作会社自身がリンクを渡します。
データ主体の種類チェック対象サイトの運営者、偶然映る人、チェックを開始した制作会社の担当者。
個人データの種類B.5 と同様、受動的チェックだけです。加えてワークスペース、開始した人、ホスト、レポートのランダム識別子、時刻（prospect_checks）。
取得元制作会社の入力、公開ページ。
法的根拠GDPR 第 6 条 (1)(f)（当社のサービス提供の利益と、制作会社の根拠ある提案の利益）。制作会社と当社の役割、レポート提供時の制作会社の義務は、法的確認の未解決事項です。制作会社が未承諾でレポートをメール送信したり電話したりする場合、事業者間でも PKE 第 398 条と UWG 第 7 条 (2)（ドイツの不正競争防止法）に基づく同意が必要なダイレクトマーケティングです。これは制作会社の責任で、利用規約にも義務を定めています。
受領者制作会社と、そのリンクを受け取る人。
第三国ありません。
保存期間レポートとチェック結果は 90 日後に失効し、夜間処理で削除します（fe_reports_aufraeumen()）。チェック項目は 90 日後、04:00 からの日次協調防御処理で削除します（srv/cron_status.php）。ワークスペース削除時は直ちに削除します。
技術的および組織的措置第 8 節。月間上限（設定の標準値 30）。同じページは七日以内なら同じレポートを返します。対象除外を適用します。

B.9 アカウントなしのヘッダーツール

項目内容
目的ドメインのトップページのセキュリティヘッダーを無料で評価（A+ から F）。リクエスト二回、ブラウザー・フォーム・送信なし。
データ主体の種類ツールを使う人、チェック対象ドメインの運営者。
個人データの種類B.4 と同様のリクエストログ（取得元「headers」、IP アドレス、セッションハッシュ、ホスト）。結果：ホスト、評価、点数、評価したヘッダー（header_checks）。
法的根拠B.4 および B.5 と同様、GDPR 第 6 条 (1)(f)。
受領者Google（reCAPTCHA、B.23）。
第三国reCAPTCHA 経由で米国。
保存期間リクエストログは 7 日。結果は現在 90 日後に削除（夜間削除処理の「header_checks」部分、設定「headers_keep_days」）。アカウント内ドメインでは毎日再評価し、ドメインに保存します。
技術的および組織的措置第 8 節。IP アドレス・日ごとの上限。対象除外を適用します。

B.10 お客様のアカウント

項目内容
目的顧客アカウント、ワークスペース、プランの運用。
データ主体の種類お客様（事業者）と、自分自身のアカウントを持つチームメンバー。
個人データの種類メールアドレスと正規化した形式、ハッシュだけのパスワード、名（必須）、姓と会社名（入力した場合）。住所と VAT 番号はアプリに保存せず、Stripe でのみ提供します（B.26）。状態、言語、表示方式、通貨、プランと請求状況、Stripe 顧客・サブスクリプション ID、請求期間の終了、期間終了時の解約、有効期限付き確認・再設定識別子、確認までの新メールアドレス、登録時刻、最終ログイン、最終 IP アドレス、全セッションの失効時刻、二要素データ（B.11）、月次レポートの有効・無効、リマインダーメールの時刻、コードによる有効化、紹介コードと紹介元（users）。名称・時刻・状態付きワークスペース（workspaces）、役割・参加日付きメンバーシップ（workspace_users）。
取得元本人による登録・設定、Stripe からの請求状況。
法的根拠GDPR 第 6 条 (1)(b)（契約）。最終 IP アドレスは (f)（アカウントの安全性）。
受領者Stripe（B.26）、アカウントメール用のメールサービス提供者（B.25）。同じワークスペースのメンバーには、他のメンバーの名前、メールアドレス、役割が表示されます。
第三国Stripe とメールサービス提供者を介します。
保存期間保有者が削除するまで。他の人が使わない自分のワークスペースは、全ドメインとデータとともに削除します。他のメンバーがいる場合は、別のメンバーに引き継ぎ、管理者を優先し、その中では最も長く在籍する人を選びます。メンバーシップ、ログイン維持トークン、デバイス、API キー、未使用の Telegram コード、レポートのフィードバック（B.35）、アカウント行を削除します。進行中の有料サブスクリプションは、先に Stripe で即時終了し、返金しません（www/ajax.php、fe_konto_reste_loeschen()）。一方、「請求」領域の解約は期間終了時に発効し、その後アカウントは無料プランで継続します。残る情報は第 6.4 節に定めます。未確認・未ログインのアカウントは 30 日後に削除しますが、ワークスペースに他のメンバーがいる場合を除きます（夜間削除処理の「pending_accounts」部分）。休眠アカウントの削除はありません。当社による解約など他の方法で終了した場合、遅くとも契約終了の 30 日後までに削除します。現在は手動です（データ処理契約で確約）。
技術的および組織的措置第 8 節。

B.11 ログイン、デバイス、二要素認証、操作ログ

項目内容
目的アカウントの保護：ログインその他のパスワード試行の制限、ログイン済みデバイスの表示と失効、二要素ログイン、変更の追跡可能性。
データ主体の種類アカウント保有者とチームメンバー、ログイン・登録・クライアントポータルのパスワードを試す人。
個人データの種類ログイン試行：IP アドレス、入力メールアドレス、成功、時刻（login_attempts）。デバイス：セッション識別子のハッシュ（識別子自体は保存しません）、ログイン維持トークンへの参照、IP アドレス、ブラウザー識別情報とそこから判定したブラウザー・OS・デバイス種類、ログイン・最終操作・失効の時刻、「お客様として表示」のサポート担当者識別子（login_sessions）。「ログイン状態を保持」のトークン：セレクター、検証値、期限（remember_tokens）。二要素：暗号化シークレット、有効化時刻、最後に使用した時間ステップ、ハッシュだけの回復コード（users）。操作ログ：アカウント、ワークスペース、操作、対象、詳細、IP アドレス、国、時刻（audit_logs）。ログイン・第二要素・パスワード確認・再設定・登録・クライアントポータルのパスワードの試行集計：目的とアカウント ID（不明なアドレスや再設定では小文字化メールアドレス）、IP アドレス、アカウントと IP の組み合わせ、ポータル ID（IP との組み合わせも含む）から生成した HMAC キー、試行回数、有効期限。メールアドレスと IP アドレスは平文で保存しません（テーブル auth_attempt_buckets）。
法的根拠GDPR 第 6 条 (1)(b) と第 32 条（デバイス一覧、第二要素）、および (f)（ログイン試行、操作ログ）。利益：アカウント乗っ取りの防止、変更の記録（第 5 条 (2)）。利益衡量：短縮したアドレスでは「自分の操作だったか」に答えられません。操作ログは、数か月後に発生する紛争まで残す必要があります。
受領者ありません。保有者はデバイスを閲覧し、データエクスポートでログイン試行、デバイス、操作を取得できます。「お客様として表示」中のサポート担当者の IP アドレスとブラウザーは表示しません。
第三国ありません。
保存期間ログイン試行は 7 日。ログイン成功後、同じアドレスの失敗試行を即時削除します。試行集計は時間枠の終了まで（現在は 15 分、パスワード再設定と登録は一時間）。期限切れは次回アクセスと夜間処理で削除します。デバイスは最終使用や失効から 90 日後（夜間削除処理の「sessions」部分）、アカウントとともに即時削除します。ログイン維持トークンは 30 日後に失効します。操作ログは 365 日（夜間）。アカウント削除後も保存期間の終了まで残します（第 6.4 節）。
技術的および組織的措置第 8 節。

B.12 契約締結の証拠

項目内容
目的お客様が登録時に利用規約、データ処理契約、プライバシーポリシーのどの版に同意したか、またはその内容を確認したか、および事業用に本サービスを利用することを証明します。
データ主体の種類お客様。
個人データの種類文書ごとにアカウント、文書、版（表示文のハッシュ）、機会、IP アドレス、ブラウザー識別情報、時刻（legal_consents）。表示した版自体は、全文、言語、タイトル、アドレスを版ごとに一回保持します（legal_versions、個人データなし）。
法的根拠GDPR 第 6 条 (1)(b) および (f)（契約締結の証拠、請求への防御）。
受領者ありません。保有者はエクスポートで自分の記録を取得できます。
第三国ありません。
保存期間アカウント存続中。削除後は同意から四年間、その後夜間に削除します（srv/cron_status.php）。コード内の理由は、年末から三年の時効を切り上げることです。ポーランド法で別の期間が適切かは法的確認の対象です。
技術的および組織的措置第 8 節。三文書のいずれかがなければ登録を停止します。

B.13 チームの招待

項目内容
目的ワークスペースに他の人を招待。
データ主体の種類招待された人。
個人データの種類メールアドレス、役割、招待識別子、招待者、有効期限、受け入れ時刻（workspace_invites）。送信ボックスの招待メール（B.25）。
取得元招待するメンバーの入力。
法的根拠お客様には GDPR 第 6 条 (1)(b)、招待された人には (f)（チームを参加させるお客様の利益）。
受領者メールサービス提供者（Namecheap, Inc. (Private Email), Phoenix, Arizona, USA）。
第三国メールサービス提供者経由。
保存期間招待は 14 日間、かつ招待者が所有者または管理者である間だけ有効です。未受諾は期限後、受諾済みは受諾から 30 日後に削除します（夜間、srv/cron_status.php と cfg/fristen_lib.php の「invites」部分）。ワークスペースとともに即時削除します。
技術的および組織的措置第 8 節。

B.14 サポートによる「顧客として表示」

項目内容
目的スーパー管理者が、サポートに関する問い合わせ（「ボタンが表示されない」など）を解決するため、顧客が見ているとおりにアプリケーションを表示します。
データ主体の類型該当する顧客、スーパー管理者。
個人データの類型顧客がアプリケーションで閲覧できるすべての情報。記録されるもの：スーパー管理者の識別子を含む個別のデバイス行（login_sessions）、アクティビティログ上の開始と終了（audit_logs）。
法的根拠GDPR第6条第1項(b)（サービスの一部としてのサポート）、予備的に同項(f)。
制限最長1時間で、その後は完全にログアウトされます。表示を終了すると、元のセッションを含めスーパー管理者も完全にログアウトされ、パスワードと第2要素で再ログインしない限り管理エリアには戻れません。スーパー管理者の権限が引き下げられた場合やブロックされた場合は直ちに終了します。顧客のアカウントを変更する操作はすべてブロックされます：パスワード、メールアドレス、第2要素、デバイス、サブスクリプション、エクスポート、削除、譲渡。セッション中は管理エリアが閉鎖されます。顧客には、このアクセスがデバイス一覧およびデータエクスポートにサポートアクセスとして表示されます。
受領者なし。
第三国なし。
保存期間デバイス行は90日、アクティビティログは365日。
技術的および組織的措置第8節。

B.15 ドメイン、管理権の証明および監視

項目内容
目的顧客向けの中核サービス：アカウントでのドメインの保持、管理権の証明、定期的なチェックと変更の検知。これには、フォーム稼働チェック（プランに応じて10～30分ごとに行う、ブラウザを使わない軽量なリクエスト）、メール関連DNSと証明書の毎日の監視、ドメインの有効期限、ブロックリスト、公開状態のファイル、外部から見えるバージョン、スクリプト一覧、フォームの見た目の変化、CAPTCHAおよびメール事業者の障害、フォームプラグインの脆弱性監視が含まれます。
データ主体の類型顧客およびそのチームメンバー、ドメインの運営者（自然人である場合）。
個人データの類型ホストを含むドメイン、公開識別子、メモ、顧客ラベル、証明の種類と識別子、チェック頻度、監視のオン／オフ、メンテナンス時間帯、問い合わせの価値、バッジ・配信チェック・デプロイフック用の識別子、プラグインキー、各監視の状態と最新結果（DNS、証明書、フォームメールの真正性、ブロックリスト、公開状態のファイル、ヘッダー、バージョン）（domains）。フォームページごとの稼働チェック（form_pulse）。プラグインのバージョンから判明した脆弱性（vuln_hits）。アドレス、ハッシュ、サイズ、承認者と理由を含む承認情報を伴うスクリプト一覧（script_inventory、script_changes）。チェックはA.4と同様。公開状態のファイルについては、パス、深刻度、種類のみを保存し、内容は決して保存しません。
第三者へのリクエストDNSクエリ（SPF、DMARC、MX、証明用レコード）。IANAディレクトリに基づくRDAPによるレジストリ照会：ドメイン名のみ。DNSブロックリスト（SpamCop、PSBL、Mailspike、SURBL。Spamhausはアクセス認証情報が保存されている場合のみで、現在は未使用）：WebサーバーとメールサーバーのIPアドレスおよびドメイン名のみで、訪問者のデータは含みません。Google Web Riskは設定されている場合のみ（現在は未設定）：トップページのアドレス。タイムスタンプ局：ハッシュ値のみ（B.19）。WPVulnerability：プラグインまたはテーマの識別子、またはWordPressのバージョンのみ。インストール済みプラグインのバージョンとの照合は当社自身が行います。Cloudflare、hCaptcha、Google Cloud、SendGrid、Mailgun、Brevoのステータスページ：リクエストそのもの以外は何も送信されません。
取得元顧客、顧客のページへのリクエスト、公開ディレクトリ。
法的根拠GDPR第6条第1項(b)。
受領者事業者のドメイン名およびサーバーアドレスが個人データに当たらない限り、上記のサービスが当社顧客の個人データを受け取ることはありません。個人事業主の場合、ドメイン名が個人データとなることがあります。ワークスペースのメンバーはドメインを閲覧できます。
第三国リクエストが第三国のサービス（レジストリ照会、ブロックリストなど）に到達する場合があります。送信されるのは「第三者へのリクエスト」の行に記載された内容のみです。
保存期間ドメインが削除されるまで。その後、fe_domain_loeschen()がチェック結果、フォーム、検出事項、画像、レポート、ジョブ、アラート送信先とアラートログ、インシデント、Telegramコード、配信、稼働チェック、脆弱性、証明を直ちに削除します。外部キーを通じて、監視対象フォーム、ブラウザ実行、テストアカウント、フォームカウンターも削除されます。他のドメインが参照していない場合は、ホストのプラグインデータも削除されます。ドメインのスクリプト一覧とスクリプト変更履歴も併せて削除されます。これらには独自の保存期間はありません（第6.4節）。チェック結果は最長13か月で、最新の1件は残ります。
技術的および組織的措置第8節。公開状態のファイルとバージョンの監視は検証済みドメインのみを対象とし、パスごとに最大1回のリクエストで、先頭の8 KBのみを取得します。依頼されていないのに第三者のパスを探索する機能は、攻撃の道具になり得るためです。

B.16 アラート、インシデントおよびアカウント所有者へのエスカレーション

項目内容
目的障害や変更について顧客に通知し、メンテナンス時間帯を考慮し、インシデントを確認・エスカレーションします。送信先が第三者の場合、当社は顧客に代わって行動します（A.3）。送信先がアカウント所有者本人の場合は、ここに記載します。
データ主体の類型受信者としてのアカウント所有者およびチームメンバー。
個人データの類型A.3と同様。通知はアカウント所有者の言語で表示されます。
法的根拠GDPR第6条第1項(b)。
受領者メール配信事業者、選択されたチャットサービス（4.1）。
第三国チャネルによります（4.1）。
保存期間A.3と同様：配信ログは90日、ダイジェスト通知は配信後30日、インシデントは解決まで、その後180日。アラート送信先はドメインと同じ期間。
技術的および組織的措置第8節。

B.17 アカウントへの月次レポート

項目内容
目的毎月1日の08:00以降（3日まで追送）、アカウントごとに全ドメインをまとめた1通のメール：レベル、スコアとその変化、アラート、ブロックしたボット、メール送信、比較値。
データ主体の類型月次レポートを有効にしているアクティブなアカウント所有者。
個人データの類型メールアドレス、言語、ドメインの主要指標。
法的根拠GDPR第6条第1項(b)（サービスの一部）。設定で配信停止でき、一括で無効化することも可能です。
受領者メール配信事業者（Namecheap, Inc. (Private Email), Phoenix, Arizona, USA）。
第三国メール配信事業者を経由。
保存期間個別の保存はありません。メールは送信トレイに30日間残ります（B.25）。
技術的および組織的措置第8節。

B.18 バッジと公開確認ページ

項目内容
目的顧客は自社のWebサイトにバッジ画像を埋め込み、公開確認ページにリンクできます。バッジに「保護済み」と表示されるのは、ドメインが検証済みで、監視が稼働しており、最後に完了したチェックが45日以内で、その結果が「保護済み」または「一部保護」であった場合に限られます。それ以外の場合は中立的に「お問い合わせフォームチェック」と表示されます。確認ページにはレベルと日付が記載され、個々の検出事項は記載されません。
データ主体の類型ブラウザが画像を読み込む、顧客のWebサイトの訪問者、確認ページの訪問者。
個人データの類型画像の読み込み時：Webサーバーログ上のIPアドレス、時刻、リクエストされたアドレス、参照元ページ、ブラウザ識別子（B.1）。画像アドレスはセッションを開始せず、Cookieを設定せず、ページビューログにも書き込みません。確認ページは通常のページです（B.2、B.3）。
法的根拠GDPR第6条第1項(f)。利益：画像の配信と運用の安全確保。埋め込まれた第三者コンテンツに関する判例の意味において、訪問者のIPアドレスの送信について顧客と当社が共同管理者となるか、また第26条に基づく取決めが必要かどうかは、法的審査における未解決の問題です。顧客には、自社のプライバシーポリシー用の文案が提供されます。
受領者なし。
第三国なし。
保存期間14日（Webサーバーログ）。画像は1時間キャッシュされます。バッジを無効にすると、識別子は無効になります。
技術的および組織的措置第8節。

B.19 証拠ログとタイムスタンプ

項目内容
目的ドメインごと・月ごとに1つのログ（有料プラン）：何をチェックし、どのような結果となり、何を報告し、何が変わったかを、説明責任、保険会社、またはサプライヤー監査のための証跡として記録します。各バージョンにはチェック番号が付与され、公開ページでドメイン、期間、主要指標を確認できます（詳細は含みません）。2026年10月7日以降、RFC 3161に準拠したタイムスタンプ局が時刻を証明しています。
データ主体の類型顧客。間接的には、ログに承認者または確認者として記載される可能性のある人物。
個人データの類型ドメイン、月、チェック番号、内容のハッシュ（SHA-512）、ログの概要とデータ、タイムスタンプ応答、タイムスタンプ局と時刻、失敗した試行（proof_docs）。
法的根拠GDPR第6条第1項(b)。
受領者タイムスタンプ局（標準はCertum、予備はDigiCert）が受け取るのはログのハッシュのみで、内容は受け取りません。公開：確認ページを通じた主要指標。顧客、および顧客がログまたはチェック番号を渡した者。
第三国個人データの移転はありません。ハッシュから内容を推測することはできないためです。予備のタイムスタンプ局は米国に所在しています。
保存期間ドメインが削除されるまで（fe_domain_loeschen()）。このタイムスタンプはeIDASに基づく適格タイムスタンプではありません。
技術的および組織的措置第8節。

B.20 プラグインと拡張機能：チェック、接続および送信

項目内容
目的WordPressプラグインとTYPO3拡張機能は、チェックの依頼（アカウントがなくても可能）、アカウントへの接続（インストールが、アカウント上でワンクリックで行える管理権の証明となります）、保護機能の有効化、数値の毎日の報告（A.9）、メールエラーとメンテナンスモードの即時報告を行うことができます。
データ主体の類型顧客、アカウントなしでプラグインを利用するWebサイトの運営者。
個人データの類型ホストごと：プラグインとCMSのバージョン、チェック回数、最後の報告の識別子、接続シークレットのハッシュ、初回および最終の接触（plugin_sites）。有効期限付きハッシュとしてのワンタイム接続コード（plugin_connect_tokens）。制作会社のロールアウトコード：プレフィックス、ラベル、使用回数、作成者を伴うハッシュ（workspace_connect_codes）。呼び出し元サーバーのIPアドレスを含むリクエストログ（B.4）。プラグインキーはWebサイトのhead内で公開されていますが、これはシークレットのハッシュであり、シークレット自体はハッシュとしてのみ保存され、返されることはありません。
法的根拠GDPR第6条第1項(b)（アカウント）。アカウントなしの場合は同項(f)（依頼されたチェック、不正利用の防止）。
受領者なし。
第三国なし。
保存期間ホストのデータは、どのドメインからも参照されなくなった時点で削除されます。アカウントなしのプラグインの行は、接触のない状態が90日続いた後に削除されます（夜間の削除処理、「orphan_hosts」部分）。ワンタイムコードは有効期限の1日後。ロールアウトコードはワークスペースと同じ期間。
技術的および組織的措置第8節。2026年9月27日以降、サーバーはWebサイトに紐付けられた鍵ペアのみを受け付けます。紐付けのない古い接続シークレットは削除されました。

B.21 協調防御

項目内容
目的共同のスパム対策：接続されたWebサイトは、自らの保護レイヤーが阻止したメッセージに含まれるリンクのドメインを報告します。7日以内に3つ以上のWebサイトで、合計5回以上ヒットしたドメインはリストに登録され、そのリストは接続されたすべてのWebサイトに配布されます。各サイトの保護レイヤーは、そのようなリンクを含むメッセージを隔離領域に移して保持し、黙って破棄することはありません。
データ主体の類型報告されたリンクドメインの保有者（自然人である場合。例：自分の名前でスパムサイトを運営している者）。メッセージの送信者と受信者は含まれません。アドレス、本文、氏名は報告されません。
個人データの類型シグナル：種類、ドメイン、報告元ホスト、日付、ヒット数（swarm_signals）。リスト：種類、ドメイン、Webサイト数とヒット数、時刻（swarm_list）。大規模サービス、当社顧客のドメイン、運営者が設定した例外は、決してリストに登録されません。
IPネットワークIPネットワーク（/24、/48）の共有は準備済みです。ただし無効化されており、プラグインも報告しません。IPアドレスは個人データであるため、法的審査を経た後にのみ有効化されます。
法的根拠GDPR第6条第1項(f)。利益：すべての顧客のフォームをスパムの波から守ること。比較衡量：ドメインのみ、汚染を防ぐための最低しきい値、メッセージの損失なし、いつでも削除可能。
受領者接続されたすべてのWebサイト（ドメインのリスト）。
第三国接続されたWebサイトの所在地によります。リストはEEA域外のWebサイトに届く場合もあります。リストが個人データに当たるのは境界的なケース（自然人のドメイン）に限られます。こうしたケースにおけるGDPR第5章に基づく移転の根拠はまだ確定していません（法的審査における未解決の問題）。
保存期間シグナルは30日（04:00以降の毎日の協調防御処理、cfg/swarm_lib.php）。リストは毎日再計算され、しきい値に達しなくなったものは除外されます。
技術的および組織的措置第8節。

B.22 APIキー、プログラミングインターフェースおよびMCPサーバー

項目内容
目的顧客自身のツール（REST API、Zapier、Make、AIアシスタント向けMCPサーバー）による、顧客のドメイン、チェック、インシデントへのアクセス。
データ主体の類型キーを作成する顧客。
個人データの類型ハッシュとしてのみ保存されるキー、プレフィックス、ラベル、作成・最終使用・失効の時刻（api_keys）。1分あたりの呼び出し数（api_usage）。
法的根拠GDPR第6条第1項(b)。
受領者顧客がキーを設定したツール。これは顧客が決定します。
第三国顧客のツールによります。
保存期間キーは失効するまで、アカウント削除時は直ちに削除。アカウントのないキー（旧データ）は夜間に削除。呼び出しカウンターは1日後（呼び出し時に随時クリーンアップされることもあります）。
技術的および組織的措置第8節。

B.23 reCAPTCHAと当社独自のフォーム保護

項目内容
目的当社自身のフォームへの自動アクセスの防御：無料チェック、ヘッダーツール、対象除外、ログイン、登録、パスワードを忘れた場合の手続と再設定、サポートとお問い合わせ。加えて、第三者を介さない当社独自の保護：トラップ（非表示フィールド）、署名付きタイミングチェック、CSRFトークン。2026年10月29日からは、無料チェック、登録、ログインおよび「パスワードを忘れた場合」について、当社のフォーム保護formconfirmed（計算証明と一回限りの確認トークン）も追加しています。
データ主体の類型これらのフォームを送信する人。
個人データの類型Google側：IPアドレス、ブラウザおよびデバイスのデータ、行動データ、GoogleのCookie。当社側：Googleによる評価（スコアとアクション）をチェック時点でのみ扱い、保存しません。送信が拒否された場合でも保存しません。当社独自のフォーム保護：IPアドレス（短縮し、ハッシュ化した形でのみ保存）、ページ、時刻、トラップ用フィールドへの入力の有無。内容は含みません。
タイミングGoogleのスクリプトは、ページを開いたときではなく、保護されたフォームが送信されたときにのみ読み込まれます。当社独自のフォーム保護は、ページを開いたときに課題を取得し、フォームが使用され始めるとすぐに計算を行います。開発システムではreCAPTCHAは無効になっています。
法的根拠GDPR第6条第1項(f)。利益：ボットからの保護、特に、放置すれば第三者のWebサイトに対して悪用されかねない無料チェックの保護。スクリプトが送信時にのみ読み込まれるとしても、端末機器へのアクセスに§ 25 TDDDGまたはPKE第399条に基づく同意が必要かどうかは、法的審査における未解決の問題です。当社独自のフォーム保護はCookieを設定せず、ブラウザに何も保存せず、フィンガープリントも作成しません。いずれreCAPTCHAに恒久的に代わるものとなる予定です。
受領者Google Ireland Limited、Google LLC。当社独自のフォーム保護についてはなし。
第三国米国（reCAPTCHAのみ）。根拠：EU-米国データプライバシーフレームワークに基づく認証または標準契約条項。詳細は今後文書化します。
保存期間reCAPTCHA：当社での保存はありません。Google側ではGoogleの規定に従います。当社独自のフォーム保護：ハッシュ化された識別子は1時間、使用済みの確認トークンは最長11分、IPアドレスを含まない検証結果は30日。
障害時Googleが3秒以内に応答しない場合、または利用できない応答を返した場合、送信は拒否されます。空のトークンや、フォームとは異なるアクションに対する応答も同様です。チェックが省略されるのは、reCAPTCHAが無効になっている場合のみです。当社独自のフォーム保護では、有効な確認トークンのない送信は拒否されます。課題の取得時にサービスに接続できなかった場合は、送信が許可されます。
技術的および組織的措置第8節。

B.24 サポートとお問い合わせフォーム

項目内容
目的サポートウィンドウおよびお問い合わせページからの問い合わせの受付と回答。両者は同じルートと同じテーブルを使用します。
データ主体の類型問い合わせ者（ログインの有無を問いません）。
個人データの類型アカウント（ログインしている場合。この場合、入力されたアドレスではなくアカウントのアドレスが適用されます）、メールアドレス、固定リストから選ぶ問い合わせ理由、最大4,000文字の本文、ステータス、完全なIPアドレス、国、ブラウザ識別子、参照元ページ（自社のパスのみ）、言語、受付と回答の時刻（support_requests）。アクティビティログへの記録（本文なし）。送信トレイ（B.25）内の問い合わせ者への受付確認。本文は、ログインした送信者の場合にのみ最大2,000文字まで含まれ、ログインせずに行われた問い合わせには含まれません。
法的根拠問い合わせが契約に関するものである場合はGDPR第6条第1項(b)、それ以外は同項(f)。完全なIPアドレス：同項(f)（アドレスごとに1時間あたり3件の問い合わせ制限、不正利用の防止）。
受領者受付確認と回答のためのメール配信事業者（Namecheap, Inc. (Private Email), Phoenix, Arizona, USA）。Telegramは変数を含まない固定のシグナル（「新しいサポートリクエストがあります」）のみを受け取るため、個人データは受け取りません。
第三国メール配信事業者を経由。
保存期間24か月（夜間の削除処理、「support」部分）。手動でより早く削除することも可能です。アカウントが削除された場合でも、問い合わせは保存期間の終了まで残ります（第6.4節）。
技術的および組織的措置第8節。reCAPTCHA、当社独自のフォーム保護、レート制限。

B.25 メール送信（送信トレイ）

項目内容
目的トランザクションメール：登録および新しいメールアドレスの確認、パスワードリセット、招待、アラート、月次レポート、ポータルの確認とレポート、サポートの受付確認と回答、試用期間とセットアップに関するリマインダー、運営者への運用通知。広告は送りません。自ら登録した方、またはお客様が受信者として指定した方以外には、メールを送りません。
データ主体の類型これらのメールの受信者。
個人データの類型受信者アドレス、件名、全内容、返信先アドレス、目的、送信経路、ステータス、エラー、試行回数、時刻（mail_outbox）。内容には、有効な識別子を含む確認リンクやリセットリンクが含まれる場合があります。
法的根拠GDPR第6条第1項(b)。運用通知については同項(f)。
受領者Namecheap, Inc. (Private Email), Phoenix, Arizona, USA（送信）。アカウント所有者は、送信されたメールをデータエクスポートで確認できます（内容なし）。
第三国メール配信事業者の処理場所によります。契約と移転の根拠は今後文書化します（第4節）。
保存期間30日（夜間、srv/cron_status.php）。この期間は意図的にログの中で最も短くしています。送信ログを長期間保持すると、有効な鍵の収集場所になってしまうためです。ステータス処理は5分ごとに、再試行が必要かどうかを確認します。
状況メール送信は運用開始前に設定する必要があります。メール配信事業者とその所在地および根拠が確定するまで、法務文書には目印が表示されます。
技術的および組織的措置第8節。送信に失敗したメールは間隔を広げながら再試行され、最大試行回数に達すると再送を打ち切ります。

B.26 支払いと請求

項目内容
目的サブスクリプション（月額または年額の前払い）の締結と管理、カード登録不要の14日間の試用期間（終了3日前にリマインダー）、年間サブスクリプションの請求書払い（初期設定では無効）、支払いを伴わないホスティング事業者コードおよびパートナーコードによる有効化、請求書の発行、税務上の保存。
データ主体の類型顧客。
個人データの類型Stripe側：メールアドレス、氏名、請求先住所、VAT ID、支払いデータ、請求書。メタデータとして当社のアカウントIDとプラン。当社側：Stripeの顧客IDとサブスクリプションID、プラン、ステータス、期間の終了、期間終了時の解約（users）。受信したStripeイベントは識別子、種類、ステータス、時刻のみで、内容は含みません（stripe_events）。アカウント、キャンペーン、有効期限を伴うホスティング事業者コードの利用記録（bundle_redemptions）。カードデータが当社に届くことはありません。
取得元Stripeのチェックアウトにおける顧客、Stripeからのイベント。
法的根拠GDPR第6条第1項(b)。税務上の保存については同項(c)。
受領者Stripe Payments Europe Limited（アイルランド）、Stripe, Inc.（米国）。決済処理の一部について、Stripeは自らの責任において行動します。役割の正確な割り当ては法的審査の対象です。
第三国Stripe, Inc.を通じて米国。根拠：Stripeの規約に基づくデータプライバシーフレームワークまたは標準契約条項。
保存期間請求関連の項目はアカウントと同じ期間。進行中のサブスクリプションは、アカウントの削除前に終了されます。請求書と請求記録は、ポーランドの税法に基づき、納税期限が到来した年の末日から5年間保存されます。これらはStripeに保管されており、Stripeのカスタマーポータルで取得できます。Stripeイベントとコードの利用記録には保存期間が定められていません（第6.4節）。
技術的および組織的措置第8節。Stripeイベントは有効な署名がある場合にのみ受け付け、各イベントは1回だけ処理されます。

B.27 バックアップ

項目内容
目的エラー発生後の復旧：誤った削除、破損したマイグレーション。
データ主体の類型データベースにデータが含まれるすべての人。
個人データの類型アプリケーションデータベースの完全な圧縮ダンプ。スクリーンショットとロゴファイルはデータベースの外部に保管されており、このバックアップには含まれません。テストアカウントの認証情報は暗号文としてのみ含まれます（A.5）。
手順毎晩03:00、削除処理の後に実行します。保存期間に従って削除されたばかりのデータをバックアップが持ち込まないようにするためです。ダンプは、その内容が確認された場合（終了コード、テーブル数、最終行）にのみ保管されます。日曜日には復元テストを行い、最新のバックアップを使い捨てのデータベースに読み込んで、テーブルごとに比較します。いずれかが失敗した場合は、運営者にシグナルとメールが送られます。
法的根拠GDPR第6条第1項(f)と第32条第1項(c)の組み合わせ。
受領者なし。
第三国なし。
保存期間14日。古いダンプは、新しいバックアップが成功した後にのみ削除されます（cfg/backup_lib.php）。この期間中に行われた削除は、バックアップの期限切れ時に初めてバックアップに反映されます。バックアップからデータを復元した場合は、その後に削除要求を再度適用します。
保管場所バックアップは現在、データベースと同じ場所に保管されており、個別には暗号化されていません。第2の場所への暗号化コピーを計画しています（第8.1節および第10節）。
技術的および組織的措置第8節。

B.28 エラーログとエラーアラート

項目内容
目的顧客から報告される前にエラーを発見し、修正すること。新しい種類のエラーとエラーの波は運営者に報告され、加えて08:00以降に毎日の概要が送られます。
データ主体の類型リクエストがエラーを引き起こしたユーザー。間接的には、エラーメッセージにデータが含まれる人。
個人データの類型レベル、発生元、メッセージ、JSON形式のコンテキスト、セッションのアカウントID、時刻（error_logs）。エラーの種類：フィンガープリント、パターン（メールアドレス、アドレス、数値、識別子を除去したもの）、最大2,000文字の未加工のサンプルメッセージ1件、初回および最終の発生、件数（error_kinds）。
法的根拠GDPR第6条第1項(f)（運用上のセキュリティ、第32条）。
受領者メール配信事業者を通じたメールでの運営者：新しい種類のエラーの場合は、発生元と最大400文字のメッセージの生テキスト（クリーニングなし）、加えて毎日の概要メール。エラーの波の場合は、Telegramシグナルのみが送られます。Telegramが受け取るのは変数を含まない固定文（「新しい種類のエラーが発生しました」「短時間に多数のエラー」）のみです。
第三国メール配信事業者を経由。
保存期間エラーログは90日（夜間）。エラーの種類には保存期間が定められていません（第10節）。エラーアラートは本番システムでは有効、開発システムでは無効です。
技術的および組織的措置第8節。

B.29 運用シグナルとステータス監視

項目内容
目的障害の検知：5分ごとの構成要素のチェック（トップページ、データベース、ディスク容量、スキャナーのハートビート、キューの滞留）、ステータスページ、障害時および復旧時のシグナル、完全な障害でも検知できるよう外部監視サービスへ送るハートビート、スキャナー前の滞留。
データ主体の類型原則としてなし。
個人データの類型なし。構成要素ごとのチェック回数と最後のエラーを記録した日次の行（system_status_logs）、スキャナーのハートビート（scanner_heartbeat）、個人との関連のない日次の主要指標（daily_stats）。Telegramへのシグナルは変数を含まない固定文で、ハートビートは内容のないリクエストです。
法的根拠個人データがないため該当しません。念のためGDPR第6条第1項(f)。
受領者Telegram（固定文）、外部監視サービス（リクエストのみ）、メールでの運営者。
第三国TelegramはEU域外。個人データは送信されません。
保存期間ステータス行は400日（夜間）。
技術的および組織的措置第8節。

B.30 対象除外 – ドメインの除外

項目内容
目的誰でも、証明なしに任意のドメインをチェックの対象から永続的に除外できます。このブロックは、すべてのチェック経路（無料チェック、アカウントなしのプラグイン、調査、見込み客チェック、ヘッダーツール）に直ちに適用され、管理権の証明がある有料顧客のドメインにも適用されます。その場合、進行中の監視は次回の予定チェックで終了します。対象はドメインとそのwww付きの形であり、その他のサブドメインには適用されません。ブロックの解除は、当社のみが、申請と証明に基づいて行います。不正利用（競合他社が他人のドメインをブロックするなど）を検知して元に戻せるよう、ブロックは記録されます。
データ主体の類型ドメインを除外する人。
個人データの類型ドメイン、任意で入力する最大250文字の理由、取得元、IPアドレス、国、ブラウザ識別子、時刻。解除時は、時刻、解除した人、理由（blocklist）。B.4と同様のリクエストログ。
法的根拠除外については、GDPR第6条第1項(f)。利益：ドメインをチェックしないでほしいという希望を、永続的かつすべてのチェック経路にわたって実現すること。除外する人自身がデータ主体である場合、除外は同時に第21条に基づく異議を実現するものとなります（第6条第1項(c)）。アドレス、国、ブラウザ識別子については同項(f)（不正利用の検知）。
受領者Google（reCAPTCHA、B.23）。
第三国reCAPTCHAを通じて米国。
保存期間IPアドレス、国、ブラウザ識別子は12か月後に削除（夜間の削除処理、「optout_ip」部分）。除外そのものは、効力を保つため永続的に残ります。
技術的および組織的措置第8節。同じ国から短時間に多数のブロックがあると、異常として検知されます（B.4）。

B.31 登録後のリマインダー

項目内容
目的登録から2～14日後に、確認済みドメインのない確認済みアカウントへ1回だけ送るメール：「Webサイトを追加」または「ドメインを確認」。オファー、価格、アップグレードの案内は含まず、再送しない旨を記載します。平日09:00～18:00、1回の処理につき最大50通。
データ主体の類型新規アカウント所有者。
個人データの類型メールアドレス、言語、送信時刻（users内の「リマインダー送信済み」フィールド）、ドメインと確認状況。
法的根拠GDPR第6条第1項(b)（自身のアカウントの設定に関する案内）。このメールが契約関係に関する連絡に当たるのか、それとも同意を要する商業情報に当たるのか（UŚUDE（ポーランドの電子的手段によるサービス提供に関する法律、ustawa o świadczeniu usług drogą elektroniczną）第10条、PKE第398条、§ 7 UWG）は、法的審査における未解決の問題です。運営者は一括で無効化できます。
受領者メール配信事業者（Namecheap, Inc. (Private Email), Phoenix, Arizona, USA）。
第三国メール配信事業者を経由。
保存期間時刻はアカウントと同じ期間保持されます。メールは送信トレイに30日間。
技術的および組織的措置第8節。時刻は送信前に設定されるため、処理が中断しても2通目のメールが送られることはありません。

B.32 顧客アラート用Telegramボット

項目内容
目的Telegramチャットをアラート送信先として連携します：顧客はワンタイムコード付きの当社ボットへのリンクを受け取ります。受信者が「開始」を押すと、当社サーバーがボットへの新着メッセージからコードを読み取り、チャットIDを保存します。このために当社側で公開エンドポイント（Webhook）を用意する必要はありません。
データ主体の類型顧客、およびTelegramチャットが連携される人。
個人データの類型ワンタイムコード、ドメイン、作成したアカウント、イベント、配信モード、チャットID、時刻（telegram_links）。送信先としてのチャットID（alerts）。Telegramはメッセージと共にその他のプロフィール情報も送ってきますが、評価・保存されるのはコードとチャットIDのみです。
法的根拠GDPR第6条第1項(b)。受信者が第三者の場合はA.3。
受領者Telegram。
第三国EU域外で、十分性認定はありません。選択は顧客が行います（4.1）。根拠と通知は法的審査における未解決の問題です。
保存期間コードの有効期間は30分です。新しいコードを作成する際に、1日を経過した連携レコードを削除します。未使用のコードはアカウントおよびドメインと共に削除されます。送信先としてのチャットIDは、アラート送信先またはドメインが削除されるまで。
技術的および組織的措置第8節。

B.33 パートナープログラムと有効化コード

項目内容
目的アカウントは紹介コードを通じて新規顧客を紹介でき、その顧客の支払い済み請求書に対して、限られた月数の間報酬を受け取ります。コードは登録までアドレス内で受け渡され、Cookieは設定されません。ホスティング事業者とパートナーは、支払いなしで一定期間プランを有効化するコードを発行できます。終了の1週間前に、顧客にリマインダーが届きます。
状況パートナープログラムは初期設定で無効であり、パートナー規約が整備されるまでこの状態が続きます。
データ主体の類型パートナーおよび紹介された顧客。
個人データの類型紹介コード、紹介したパートナー、紹介の時刻（users内）。パートナー、顧客、Stripeの請求書ID、金額、通貨、報酬、ステータス、時刻を含む報酬（partner_commissions）。プラン、終了日、取得元、リマインダーを含む有効化情報（users内）。キャンペーンと利用記録（bundle_campaigns、bundle_redemptions）。
法的根拠GDPR第6条第1項(b)（パートナー契約）。顧客については同項(f)（報酬の精算。報酬の金額を超えて顧客のデータをパートナーに渡すことはありません）。税務記録については同項(c)。
受領者パートナーは自身の報酬を閲覧できます。
第三国なし。
保存期間紹介と有効化はアカウントと同じ期間。報酬と利用記録には、コード上の保存期間は定められていません。会計記録として、報酬は税務上の保存義務の対象となります（第6.4節）。
技術的および組織的措置第8節。

B.34 脆弱性報告窓口

項目内容
目的セキュリティページおよび/.well-known/security.txtに定める規則に基づく、formexposedの脆弱性に関する報告の受付。
データ主体の類型報告者、報告に証拠としてデータが含まれる人。
個人データの類型報告者が送信するとおりの、メールアドレス、氏名、報告内容と添付ファイル。報告はそこに記載されたアドレスへのメールで当社に届き、アプリケーションには保存されません。
法的根拠GDPR第6条第1項(f)（サービスのセキュリティ、第32条）。報告に証拠として第三者の個人データが含まれる場合も同様に同項(f)で、脆弱性を解消することを目的とします。
受領者メール配信事業者、およびメールボックスが設定されるまではNamecheapでのドメイン転送（第4節）。
第三国メール配信事業者を経由、および切り替えまでは転送を経由。
保存期間保存期間は設定されておらず、技術的にも適用されていません（第10節）。運営者が今後期間を定めます。脆弱性が解消された時点で第三者の証拠を削除し、やり取りはサポートへの問い合わせと同様に扱うことが妥当な方法と考えられます。
技術的および組織的措置第8節。

B.35 レポートへのフィードバック

項目内容
目的フォーム検出の誤りを見つけるため、レポートの下に設けたフィードバック（「このレポートに誤りがありますか？」）を受け付けます。スーパー管理者がこれを分類し（新規、確認済み、修正済み、却下）、レポートのチェックデータをテストケースとしてダウンロードできます（フィールド、理由、検出事項を含むフォーム。スクリーンショットと能動的に送信したテキストは含みません）。
データ主体の類型レポートを閲覧する人（ログインの有無を問いません）。
個人データの類型固定リストから選ぶカテゴリとチェック項目、最大500文字のページアドレス、最大1,000文字の本文、言語、時刻、レポート識別子、チェック、ホスト。ログインしている場合はアカウント識別子。制限のための、秘密鍵を用いたIPアドレスのHMAC-SHA256。ステータス、対応者、対応時刻（report_feedback）。アクティビティログ：ステータスの変更とテストケースのダウンロード。メールアドレスや平文のIPアドレスは含みません。
法的根拠GDPR第6条第1項(f)（検出の誤りの発見と修正、不正利用を防ぐための制限）。
受領者なし。
第三国なし。
保存期間24か月（夜間の削除処理、「report_feedback」部分）。IPアドレスのチェックサムは2日後に消去（「report_feedback_ip」部分）。アカウント削除時は直ちに削除。ダウンロードされたテストケースには、報告者に関するデータは含まれません。
技術的および組織的措置第8節。当社独自のフォーム保護（トラップ、署名付き時刻、CSRF）、チェックサムごとに1時間あたり最大5件・1日あたり最大20件、レポートごとに最大10件。閲覧できるのはスーパー管理者のみです。

6. 保存期間 – 夜間の削除処理の対象と対象外

自動削除は存在し、その実行場所も決まっています。ステータス処理（srv/cron_status.php）は、本番システムでも開発システムでも、Webサーバーのcrontabを通じて5分ごとに起動されます。この処理は構成要素をチェックし、配信チェック用メールを取得し、チェックをスケジュールし、アラートを送信します。1日1回、03:00～03:04の時間帯に、保存期間に従って削除を行い、その後バックアップを作成します。2026年9月27日以降は、さらにcfg/fristen_lib.php内の保存期間処理（fe_fristen_lauf()）も呼び出しています。その各部分は互いに独立して実行されるため、1つが失敗しても他は継続し、エラーはエラーログに記録されます。

処理が実行されている証拠：開発システムのバックアップ状況には、2026年10月11日03:00の正常なバックアップが表示されています。バックアップは同じブロック内で削除の直後に作成されます。処理は削除したテーブルごとのログを標準出力にのみ書き込み、crontabはそれを破棄するため、いつ何が削除されたかの永続的な記録はありません（第10節）。

プレースホルダーとして表示される保存期間は、管理エリアの保存期間設定で設定されます。処理も同じ設定を読み込むため、本文には常に、実際にデータが削除されるまでの期間が表示されます。

6.1 毎日の処理の対象

データ保存期間ときっかけコード上の場所
ページビューログ（access_logs）60日srv/cron_status.php
アクティビティログ（audit_logs）365日srv/cron_status.php
エラーログ（error_logs）90日srv/cron_status.php
送信トレイ（mail_outbox）30日srv/cron_status.php
「ログイン状態を保持」用のリメンバートークン（remember_tokens）有効期限後（30日）srv/cron_status.php
承諾されなかった招待（workspace_invites）有効期限後（14日）srv/cron_status.php
ログイン試行（login_attempts）、試行カウンター（auth_attempt_buckets）7日。カウンターは時間枠の満了時（現在は15分、パスワードリセットと登録は1時間）、次回アクセス時にもsrv/cron_status.php
アカウントなしのチェックのリクエストログ（check_throttle）7日srv/cron_status.php
プラグイン接続用ワンタイムコード（plugin_connect_tokens）有効期限の1日後srv/cron_status.php
解決済みの異常（abuse_flags）解決から90日後srv/cron_status.php
期限切れのレポートと、そのチェック結果、フォーム、検出事項、画像、ジョブ（アカウント内のドメインがない場合のみ）匿名は30日、見込み客は90日fe_reports_aufraeumen()
アラート配信ログ（alert_log）90日fe_alert_log_aufraeumen()
ステータス行（system_status_logs）400日srv/cron_status.php
削除されたアカウントの同意記録（legal_consents）アカウントが削除済みで、同意から4年が経過した時点srv/cron_status.php
削除されたドメインの残存データ：チェック結果、ジョブ、アラートデータ、インシデント、Telegramコード、配信、稼働チェック、脆弱性、証明、スクリプト一覧、スクリプト変更履歴次回の処理で直ちにfe_fristen_lauf()、「orphan_scans」「orphan_rows」部分
ドメインのないホストのプラグインデータ、アカウントのないプラグインの行直ちに。行は接触のない状態が90日続いた後「orphan_hosts」部分
ヘッダーツールの結果（header_checks）現在は90日「header_checks」部分
ドメインのチェック結果と、そのフォーム、検出事項、画像、レポート、ジョブ13か月。ドメインごとに最後に完了した1件は残ります「old_scans」部分
ブラウザ実行、完了したブラウザジョブ、時系列データ（form_browser_runs、scan_jobs、form_performance）13か月「browser_runs」「browser_jobs」「form_performance」部分
フォームカウンター（form_metrics）、プラグインの日次数値と変更通知（plugin_stats、plugin_changes）13か月「form_metrics」「plugin_stats」部分
ログイン中のデバイス（login_sessions）最終使用または取り消しから90日後「sessions」部分
承諾された招待承諾から30日後「invites」部分
サポートリクエスト（support_requests）24か月「support」部分
レポートへのフィードバック（report_feedback）24か月。IPアドレスのチェックサムは2日「report_feedback」および「report_feedback_ip」部分
キャッシュ内のレポートのPDF版（var/pdf）7日「pdf_cache」部分
対象除外におけるIPアドレス、国、ブラウザ識別子（blocklist）12か月。除外そのものは残ります「optout_ip」部分
ポータルの購読者（client_subscribers）未確認は30日、購読解除済みは3年「subscribers」部分
一度も確認されなかったアカウントとそのワークスペースログインのない状態が30日続いた場合（他のメンバーが所属している場合を除く）「pending_accounts」部分
アカウントのないAPIキー（旧データ）直ちに「api_keys」部分

6.2 03:00の時間帯以外

データ保存期間ときっかけコード上の場所
配信チェック用の確認メールボックス内のコピー処理後、5分ごとfe_zustellung_abholen()
配信チェックの割り当て（delivery_log）180日、取得のたびにfe_zustellung_abholen()
ジョブ内のテストアカウントの暗号文（scan_jobs）実行後、遅くとも1時間後スキャンサーバー、fe_login_aufraeumen()
インシデント（alert_incidents）とそのエスカレーション配信試行未解決の間。解決から180日後fe_vorfaelle_aufraeumen()（cfg/vorfall_lib.php内）
送信済みのダイジェスト通知（alert_queue）配信から30日後cfg/kanal_lib.php
協調防御シグナル（swarm_signals）30日、毎日04:00以降cfg/swarm_lib.php
見込み客チェック（prospect_checks）90日、毎日04:00以降srv/cron_status.php
Telegram連携コード（telegram_links）1日を経過したものを、新しいコードの作成時に削除cfg/kanal_lib.php
API呼び出しカウンター（api_usage）1日、呼び出し時に随時cfg/agentur_lib.php
解決済みの事業者障害（provider_incidents）、脆弱性キャッシュ（vuln_cache）それぞれ90日と30日。個人データなしcfg/anbieter_lib.php、cfg/luecken_lib.php
調査の生データ公表時fe_studie_veroeffentlichen()
バックアップ14日、新しいバックアップの成功後cfg/backup_lib.php
Webサーバーログ14日システムのログローテーション

6.3 顧客による削除時

  • ドメインの削除（fe_domain_loeschen()）：フォーム、検出事項、画像ファイルを含むチェック結果、レポート、ジョブ、アラート送信先、配信ログ、ダイジェストキュー、インシデント、Telegramコード、配信、稼働チェック、脆弱性、証拠ログ、固定選択のクライアントポータルからのドメイン。外部キーを通じて、ブラウザ実行・観測・時系列データを含む監視対象フォーム、テストアカウント、フォームカウンター。他のドメインが参照していない場合は、ホストのプラグインデータ。ドメインのスクリプト一覧とスクリプト変更履歴も併せて削除されます。これらには独自の保存期間はありません（第6.4節および第10節）。2026年9月27日より前の期間から、関連ドメインのないまま残っているデータは、夜間の処理によって消去されます（「orphan_scans」「orphan_rows」部分）。
  • ワークスペースの削除（fe_arbeitsbereich_daten_loeschen()）：上記に加え、ロゴを含むブランド、購読者を含むクライアントポータル、ロールアウトコード、見込み客チェック。さらに招待とメンバーシップ。
  • アカウントの削除：進行中の有料サブスクリプションをStripeで直ちに終了（返金なし）。所有者自身のワークスペースを譲渡または削除。メンバーシップ、リメンバートークン、デバイス、カウンターを含むAPIキー、未使用のTelegramコード、アカウントの行を削除。
  • テストアカウントの削除（fe_login_loeschen()）：暗号文を上書きし、行を削除し、待機中のジョブを消去。

6.4 処理の対象外となるもの

こちらの一覧の方が重要です。自動的な保存期間が存在しないデータ、または削除後も残るデータを挙げています。

データ適用される内容評価
最終IPアドレスを含むアカウントデータ（users）アカウント所有者が削除するまで。非アクティブなアカウントの削除はなし契約データ。サブスクリプションのない、恒常的に非アクティブなアカウントに関する規則が欠けています
削除されたアカウントのアクティビティログ、ページビュー、エラーログ保存期間の終了まで、アカウントIDとIPアドレスと共に残ります意図どおり（契約終了後も操作の証拠となるため）。IDはもはやアカウントを指しません
削除されたアカウントのサポートリクエスト最長24か月、旧アカウントIDと共に残ります意図どおり。IDは消去されません
削除されたアカウントの同意記録同意から4年が経過するまで（アカウント削除時からではなく、同意時から起算）意図どおり（第B.12節）
IPアドレスを含む未解決の異常（abuse_flags）誰かが解決するまで未解決事項（第10節）
未加工のサンプルメッセージを含むエラーの種類（error_kinds）保存期間は定められていません未解決事項（第10節）
スクリプト一覧とスクリプト変更履歴（script_inventory、script_changes）独自の保存期間は定められていません。ドメインが存在する限り保持され、ドメインと共に削除されます未解決事項（第10節）
取り消されたクライアントポータルの購読者ワークスペースが削除されるまで未解決事項（第10節）
失効したAPIキーとロールアウトコードアカウントまたはワークスペースが削除されるまでハッシュ、プレフィックス、ラベルのみ。軽微
調査対象ホストの一覧（study_domains）、公表されなかった調査保存期間は定められていません未解決事項（第10節）
ドメインもレポートもない内部チェック（チェック結果、フォーム、検出事項、スクリーンショット）保存期間は定められていません。どの削除経路の対象にもなりません未解決事項（第10節）
報酬、コードの利用記録、Stripeイベント保存期間は定められていません会計上の関連性あり。税法に基づき期間を設定予定
キャッシュされたドメイン年齢（domain_age_cache）保存期間は定められていませんドメイン名と登録日のみ
送信者ドメインを含むフォームメールの認証結果ドメインと同じ期間。受信のたびに上書きA.1を参照
対象除外における除外永続的意図どおり。永続性がなければ、除外は効力を持ちません
報告窓口のメールボックスおよび一般メールボックス内のメール技術的な保存期間は定められていません未解決事項（第10節）

6.5 データベース外

  • スクリーンショットはWebディレクトリ外にファイルとして保管され、そのチェック結果と共に削除されます（上記のすべての削除経路はファイルも削除します）。
  • ブランドのロゴファイルは、差し替え時およびワークスペースと共に削除されます。
  • スキャンサーバーでは、ジョブごとに結果と画像を含む一時ディレクトリが作成されます。これは、エラーが発生した場合も含め、実行のたびに削除されます。
  • バックアップはWebサーバー上に保管されます（B.27）。
  • 完全なIPアドレスを含むWebサーバーログは14日間保存されます（B.1）。

7. 自動化された意思決定、プロファイリングおよび評価

formexposedが評価するのはWebサイトであり、人ではありません。当社の評価では、本サービスは、人に関して法的効果を生じさせる決定、または同様に重大な影響を及ぼす決定（GDPR第22条第1項）を行いません。ただし、自動化された評価と自動的なブロックは存在します。分類を検証できるよう、以下に列挙します。

仕組み内容影響を受ける人
チェックのスコアと判定欠けている保護レイヤー（CAPTCHA、トラップ、トークン、タイミングチェック、機能していないCAPTCHA、既知の公開状態の設定）の加重合計で、0～100。ここから「無防備」「一部保護」「保護済み」のいずれかが導かれます。Webサイトの判定は、（言語モデルではなく）ルールによってお問い合わせフォームと認識されたフォームのうち、最も状態の悪いものに従います。お問い合わせフォームがない場合、判定はありません。重み付けは管理エリアで設定できます。Webサイトの運営者。個人事業主の場合は間接的に個人。判定に法的な効果はなく、証拠と手順を伴う所見です。
フォームの種類の分類まずルールで判定し、ルールが「不明」を返した場合にのみローカルの言語モデルを使用します。能動的なテスト送信が許されるかどうかを決定します（ルールによって確実にお問い合わせフォームと認識された場合のみ）。言語モデルによって分類されたフォームは決して送信されず、スコアと判定にも算入されません。顧客とそのフォームメールの受信者。保護効果：疑わしい場合は何も送信しません。
有料レポートの優先順位付き対応計画ローカル言語モデルが、選択された不合格または不明の検出結果とスキャンメタデータを短い番号付きの手順に要約します。そのテキストにはAIによる要約であることが表示され、個別の検出結果が正式な判断の基準となります。スキャンのスコア、判定、ウェブサイトの設定を変更することはありません。どの手順を実行するかを判断する顧客またはその他の権限を有するレポート閲覧者。
バッジ固定の条件（B.18）の下でのみ「保護済み」と表示し、それ以外は中立的な表示となります。顧客。訪問者への影響はありません。
無料チェック、ヘッダーツール、対象除外の制限とブロックアドレス、セッション、ドメイン、またはシステム全体の上限に達した場合、ドメインが新しすぎるか年齢が不明な場合、またはブロックリストに載っている場合に、リクエストを拒否します。リクエストする人。影響：無料サービスが数時間から数日間拒否されます。管理者はアドレスを解除でき、お問い合わせページからの問い合わせは人間が対応します。
異常パターン（1つのアドレスからの多数のドメイン、リクエストの集中、多数の拒否、1つの国からの多数の対象除外、1日の上限への到達）が記録・報告されます。これら自体がブロックすることはなく、ブロックは制限によって生じます。リクエストする人。
ログインロック1つのアドレスから15分以内にログインに失敗した回数が現在8回に達すると、そのアドレスからのログインは一時的に拒否されます。加えて、成功したものも含むすべてのログイン試行が、15分以内にアカウントとIPアドレスの組み合わせごと（現在8回）、全アドレスを通じたアカウントごと（分散型の推測に対抗するため、かなり多めの回数）、IPアドレスごと（現在80回）にカウントされ、第2要素のコードも同様です（15分以内にアカウントごとに10回）。それを超えた試行は拒否されます。そのため、別のアドレスからの失敗した試行によって所有者がアカウントから締め出されることはもうありません。パスワードの確認（15分以内にアカウントごとに5回）、リセットメール（1時間にアドレスごとに3回、応答は変わりません）、登録（1時間にIPアドレスごとに10回）、クライアントポータルのパスワード試行（15分以内にポータルとIPアドレスごとに10回、ポータルごとに50回）も同様に制限されます。ログイン、登録、またはクライアントポータルを開こうとする人。影響は時間的に限定され、パスワードリセットは引き続き可能です。
reCAPTCHAのしきい値Googleによる評価スコアがしきい値を下回る送信を拒否します。しきい値は使用箇所ごとに設定されます（チェックと対象除外は現在0.7）。異なるアクションに対する応答や、Googleが3秒以内に応答しない送信も拒否されます。当社のフォームを送信する人。影響：再試行またはお問い合わせページ経由での連絡。
協調防御最低しきい値に達すると、リンクドメインを自動的にリストに登録します。接続されたWebサイトの保護レイヤーは、そのようなリンクを含むメッセージを隔離に移します。顧客のページへのメッセージの送信者。影響：メッセージは削除されずに保留され、Webサイトの運営者が保留を解除できます。メッセージに関する決定は、当社ではなく、運営者のWebサイト上の運営者のプラグインが行います。
比較値「チェックしたサイトのX %より保護されています」。少なくとも20ホストの集計からのみ算出します。Webサイトの運営者。影響はありません。

第22条に最も近いのは、顧客のページ上で送信を自動的に保留するプラグインの保護レイヤーです。これは、運営者のサーバー上でWebサイトの運営者が行う処理です（A.10）。何も削除せず、メッセージを隔離に移すだけで、運営者はどのメッセージも保留を解除できます。そこでも当社でも訪問者のプロファイリングは行われず、あるメッセージを別のメッセージと結び付ける訪問者識別子は存在しません。

8. 技術的および組織的措置（第32条）– 一般的な説明

本節は、GDPR第30条第1項(g)および第2項(d)に基づく一般的な説明です。詳細版は技術的および組織的措置のページにあります。以下の各措置は、コードまたは設定で裏付けられています。まだ実施されていない措置も、説明が完全なものとなるよう同じ節（8.1）に記載しています。

分野実施中の措置
通信の暗号化Webサイト、アプリ、インターフェースにHTTPS。HSTS。セッションCookieとリメンバートークンCookieはHTTPS経由のみ、HttpOnly、SameSite=Lax。
アクセス制御（認証）パスワードはハッシュとしてのみ保存し、新しいパスワードは10文字以上・72バイト以下。繰り返しの失敗後のログインロックと、アカウントとIPアドレスの組み合わせごと、アカウントごと、IPアドレスごとの試行制限により、別のアドレスからの失敗した試行で所有者が締め出されないようにしています。パスワードの確認、パスワードリセット（同じ応答と応答時間）、登録、ポータルのパスワードにも試行制限。暗号化されたシークレット、コードの再利用防止、ハッシュ化されたリカバリーコードを備えた2要素ログイン（TOTP）。ログインのたびに新しいセッション識別子を発行し、サーバーが発行していない識別子は受け付けません。「ログイン状態を保持」はスーパー管理者には提供せず、各トークンは1回のみ有効。メールアドレスを変更すると、未使用のリセットリンクは無効になります。デバイスは個別にまたは一括で取り消し可能。デバイス一覧にはセッション識別子のハッシュのみを保持します。
アクセス制御（認可）ワークスペースごとのロール（所有者、管理者、閲覧者）。権限は、フォームから送られた識別子ではなく、常に対象オブジェクトに対して確認されます。テストアカウント、「Fix it for me」、能動的なチェックは所有者と管理者のみ。「顧客として表示」は時間制限付きで、アカウントを変更する操作はブロックされ、終了すると完全にログアウトし、管理エリアにはパスワードと第2要素でのみ戻れます。招待は、招待した人が所有者または管理者である間のみ有効。Webhookとチャットチャネルのアドレスは、閲覧者にはホストまで短縮して表示。検証済みドメインのホスト名は変更できません。
アプリケーションのセキュリティCSRFトークン。プリペアドステートメントによるデータベース操作。当社独自のフォーム保護（トラップ、署名付きタイミングチェック）。公開フォームにreCAPTCHA。サポート、チェック、インターフェースにレート制限。同時リクエストでも上限が守られるよう、「Fix it for me」の呼び出しはワークスペースごとに同時に1件のみ。各レスポンスの許可（nonce）を持つスクリプトのみ実行を認める、フレーミング保護付きのコンテンツセキュリティポリシー。転送ヘッダーからのIPアドレスは、当社自身のプロキシからのもので、かつそのプロキシが追加したエントリーのみを採用。ページビューログではアクセストークンをマスク。
シークレットAPIキー、ロールアウトコード、プラグイン接続シークレット、ワンタイムコード、ポータルのパスワードはハッシュとしてのみ保存。テストアカウントの認証情報は非対称暗号で暗号化し、秘密鍵はスキャンサーバー上にのみ保管。Webhookは署名付き。Stripeイベントは有効な署名がある場合のみ受け付け。
データ最小化配信チェックは内容も完全な送信者アドレスも保存しません。フォーム内の受信者アドレスはドメインとしてのみ保存。スクリプトアドレス内のアカウントIDは置換。プラグインの数値は固定リストからのみ。メール送信のエラーテキストはカテゴリとしてのみ。Telegramシグナルは変数なし。ブラウザーチェックの画像は入力内容をマスク。ログインが必要な領域のスクリーンショットは取得しません。
スキャナーの隔離各チェックは専用のコンテナで実行：Linuxケーパビリティをすべて削除、権限昇格なし、読み取り専用ファイルシステム、メモリとプロセスの制限、専用ネットワーク。受け付け前およびスキャナー内で、リダイレクト後も含め、プライベートネットワークとローカルネットワークに対するターゲットチェックを実施。Service Workerはブロックし、WebSocket接続は切断。Webサーバーによるリクエスト（管理権の証明、ヘッダーツール、ファイル検索、稼働チェック、RDAP、証明書、Webhook、チャットアラート）は、一般的なWebポートのみで、チェックしたアドレスのみに対して行い、Webhookとチャットアラートは HTTPS経由のみ。
保管スクリーンショットはWebディレクトリ外に保管し、レポート経由でのみ取得可能。レポートはnoindex付きのランダムなアドレスで提供。バックアップディレクトリはサービスのみが読み取り可能。
可用性と復旧内容チェック付きの夜間バックアップ、毎週の復元テスト、失敗時のアラート。5分ごとの構成要素チェックとシグナルおよびメール。外部ハートビート。匿名チェックの緊急停止。滞留時のバックプレッシャー。
追跡可能性ログイン、変更、削除、サポートアクセス、承認に関するアクティビティログ。アラート付きのエラーログ。
削除保存期間は、本文と同じ設定に基づき、コード上の1か所で管理（第6節）。ドメイン、ワークスペース、アカウントの削除チェーン。例外は第6.4節に記載。
データ主体の権利許可リストに基づくフィールドで、シークレットを除く全アカウントデータを、ワンクリックでファイルとしてエクスポート。
組織管理エリアはスーパー管理者権限を持つアカウントのみで、「顧客として表示」中はブロック。開発システムと本番システムを分離し、開発システムには追加のアクセス障壁を設置。法務文書は、承認後に、草案やプレースホルダーを拒否するツールを通じて反映。

8.1 未実施の措置

  • 保存データベースの暗号化なし（2026年10月11日に測定）。例外は、フィールドレベルで暗号化されているテストアカウントの認証情報と2要素のシークレットです。
  • 内部接続が全面的には暗号化されていません。当社の内部ネットワーク内の接続は、全面的には暗号化されていません。テストアカウントの認証情報は、そこを暗号文としてのみ通過します。
  • 第2の場所でのバックアップなし。バックアップは現在、データベースと同じ場所に保管されており、個別には暗号化されていません。第2の場所への暗号化コピーを計画しています。それまでは、誤った削除コマンドからは保護されますが、拠点そのものの喪失からは保護されません。
  • サーバー管理の強化が未完了。当社サーバーへの管理アクセスのセキュリティは、運用に求める水準にまだ達しておらず、強化を継続しています。攻撃者の助けとなるため詳細は公表しませんが、監督機関から要請があれば提供します。
  • 管理エリアに機能的な閲覧ログなし。書き込み操作はアクティビティログに記録されますが、誰がどのサポートリクエストやどのレポートを閲覧しただけなのかは、ページビューログ（60日）からしか判別できません。
  • 永続的な削除ログなし。夜間の処理が何を削除したかは記録されません（第6節）。
  • 独立した第2のチェック拠点なし。第2の場所でのプローブは設置されていません（A.6）。

9. データ保護責任者 – GDPR第37条に基づく評価

結果：当社の評価では、選任の義務はありません。この評価は法的審査の一部であり、以下に挙げる事情のいずれかが変わった時点で改めて行います。

第37条第1項は、3つの場合に選任を求めています。

  • (a)号（公的機関または公的組織）は該当しません。
  • (b)号（大規模なデータ主体の定期的かつ系統的な監視を必要とする中核的活動）：当社の中核的活動は、人の観察ではなく、Webサイトとフォームの定期的かつ系統的なチェックです。訪問者のプロファイルは作成せず、トラッキングも使用せず、メッセージ同士を結び付けることもありません。配信チェック（A.1）は実際の訪問者メッセージを当社のメールボックスに通しますが、割り当てのためにヘッダーと先頭の8 KBのみを評価し、内容は保存しません。観察するのは配信経路であり、人ではありません。顧客アカウントとログは、事業活動に付随するものです。
  • (c)号（中核的活動としての、第9条に基づく特別な種類のデータ、または第10条に基づく犯罪に関するデータの大規模な処理）：該当しません。特別な種類のデータは、フォームメールのコピー（A.1）、ログインが必要なページ（A.5）、貼り付けられたコード（A.7）に付随的に含まれる場合がありますが、付随的な取得は中核的活動ではありません。

第37条第4項は、国内法がさらに別の場合を追加することを認めています。ポーランド法が当社に選任を求めているかどうかについては、弁護士に確認を依頼しています。

再評価のきっかけ：IPネットワークを伴う協調防御の有効化、複数のメッセージやWebサイトにわたって訪問者を識別する機能、配信チェックからの内容の保存、フォームが主に特別な種類のデータ（健康、求人応募）に関わる顧客が配信チェックを大規模に有効にした場合、顧客データにアクセスできる最初の従業員の雇用。任意の選任は引き続き可能であり、その場合は第37条から第39条が全面的に適用されます。

別途：個々の処理活動について第35条に基づくデータ保護影響評価が必要かどうかは、データ保護影響評価のページで回答しています。そのしきい値評価の結論は、協調防御（B.21）と想定規模での調査（B.7）についてはDPIAが必要であり当社が実施すること、配信チェック（A.1）については典型的な状況においてDPIAが必要であり、それは顧客の義務であって当社がこれを支援する、というものです。

10. 未解決事項と計画中の措置

以下の事項は、推測ではなく、コード、スキーマ、または設定で裏付けられています。これらは本版の日付時点での状況を示すものです。分類は当社独自のものであり、いかなる法的評価をも先取りするものではありません。並び順は、修正の容易さではなく、データ主体にとっての重要度によります。計画中の措置とその優先度は、データ保護影響評価に記載しています。

未解決事項裏付けられている内容重要性
契約が文書化されていないメール配信事業者Namecheap, Inc. (Private Email), Phoenix, Arizona, USAについて、契約、処理場所、移転の根拠が文書化されていません。アカウントのメール、アラート、および実際の訪問者メッセージを含む確認メールボックスは、この事業者を経由しています。関係する規定はGDPR第28条第2項および第4項、ならびに第5章です。運用開始前に締結と文書化を行う予定です。
チャットサービスとreCAPTCHAの根拠が未確定Telegram（十分性認定なし）、Slack、Discord、Microsoft Teams、Google Chatへのアラート。同意要求のないreCAPTCHA。法的審査における未解決の問題です。それまでは、通知と根拠は確定していません。
障害時に確認メールボックスにメッセージが残る可能性削除は処理の成功後に行われます。取得に失敗した場合、コピーは次回の処理が成功するまで残ります。メールボックスに長期間滞留が生じても警告はありません。コピーには実際の訪問者からの問い合わせが含まれます。
第2の場所でのバックアップなし、保存データベースの暗号化なし第8.1節。第2の場所へのバックアップの暗号化コピーを計画しています。拠点での単一の事象がデータとバックアップに同時に影響します。記憶媒体が盗まれた場合、読み取り可能となります。
保存期間のない未解決の異常完全なIPアドレスをキーとする異常は、解決から90日後にのみ削除されます。解決されなかったものは残り続けます。記録保存の制限の原則（第5条第1項(e)）に関わります。削除は手動での解決に依存しています。固定の保存期間を計画しています（データ保護影響評価の措置）。
保存期間のない、サンプルメッセージを含むエラーの種類サンプルメッセージは最大2,000文字まで未加工のまま保存されます。サニタイズされたパターンからはアドレスや数値が除去されますが、サンプルからは除去されません。エラーメッセージには、メールアドレス、ホスト名、IPアドレスが含まれる場合があります。
独自の保存期間のないスクリプト一覧スクリプト一覧とスクリプト変更履歴は、ドメインと共に削除されます（FE_DOMAIN_TABELLEN）。ワークスペースまたはアカウントの削除時、および残存データ向けの夜間処理においても同様です。独自の保存期間はありません。これらには、スクリプトアドレス、ページアドレス、承認の場合は承認者と自由記述の理由が含まれます。記録保存の制限の原則（第5条第1項(e)）に関わります。承認を含む変更履歴は、ドメインが存在する限り増え続けます。
取り消されたポータルの購読者取り消されたポータルはブロックされますが削除されず、その購読者はワークスペースが削除されるまで残ります。目的（レポートの送付）は取り消しによって消滅しています。
保存期間のない調査リスト公表後もホストとセグメントは残ります。公表されなかった調査は生データも保持したままです。「生データは削除されます」という約束は、公表された調査にのみ当てはまります。
削除経路のない内部チェック信頼レベルが「内部」で、ドメインもレポートもないチェック（調査や、運営者がコマンドラインから作成したチェック）は、どの削除経路の対象にもなりません。それらと共に、第三者のWebサイトのフォーム、検出事項、スクリーンショットが残ります。記録保存の制限の原則（第5条第1項(e)）に関わり、チェックについて何も知らない人に影響します。データ保護影響評価で高リスクと評価されています。
管理権の証明が更新されない管理権の証明は一度だけ確認されます。ドメインが証明を再び失うような経路はコード上に存在しません。能動的なテスト送信、ファイル検索、ログインが必要な領域のスキャンは、所有者や委任の変更後も継続します。
ログインが必要な領域のスキャン：顧客のページへの通信ログインアドレスとしてhttpもhttpsとともに許可されており、顧客のページの証明書エラーがあってもログインは中止されません。テストアカウントの認証情報が、顧客のページへの通信経路上で傍受される可能性があります。
削除が時間帯に依存毎日の処理ブロックは、ステータス処理が03:00～03:04の間に開始された場合にのみ実行されます。この1回の処理が失敗すると（データベースに接続できない、サーバーの再起動など）、その日の削除とバックアップは行われず、追加実行もありません。削除された内容は永続的に記録されません。その場合、保存期間は気付かれないまま1日延長されます。時間帯を逃してもアラートは出ず、報告されるのは実行されて失敗したバックアップのみです。管理エリアのセットアップ一覧には、最後に成功したバックアップの日付が表示されます。
一部の削除が監視に依存配信チェック用確認メールボックスの空にする処理、インシデント、送信済みダイジェスト通知、協調防御シグナル、見込み客チェックの削除、およびジョブ内に残ったテストアカウントのコピーの消去は、ステータス処理のスケジューラー部分で実行され、これは管理エリアで監視が有効になっている間のみ動作します。配信チェックの割り当ては、確認メールボックスが設定されている間のみ削除されます。監視が一括で無効にされた場合やメールボックスが削除された場合、これらの保存期間は誰にも気付かれないまま停止します。
保存期間のない報告窓口とメールボックス脆弱性報告やその他の受信メールはアプリケーション外に保管されており、保存期間は設定されていません。報告には第三者の証拠が含まれる場合があります。
チェック中に非表示フィールドの値が読み取られるスキャナーは、タイムスタンプとトークンを認識するため、非表示フォームフィールドの値を最大24文字、data属性を最大60文字まで読み取ります。フィールドマップと検出事項に入るのは、フィールド名、種類、ラベル、認識結果のみで、値は含まれません。保存上の欠陥はありません。値はチェック中にスキャンコンテナの作業メモリ内にのみ保持されます。あらかじめ入力された値（顧客番号など）はその過程で読み取られますが、保存はされません。
認証結果における派生した送信者ドメインA.1。訪問者の個人ドメインの場合、実際のメッセージに由来する個人データとなります。
サーバー管理の強化が未完了、内部接続が全面的には暗号化されていない第8.1節。強化を継続しており、詳細は公表しません。サーバーレベルでのセキュリティインシデントは、アプリケーション、データベース、バックアップに同時に影響します。
開発システムでの測定スキーマ、コード、設定は開発システムで測定されました。コードとスキーマは本番システムと一致しますが、設定は異なる可能性があるため、運用開始前に本番システムで改めて確認する必要があります。

11. 本記録の維持管理

第30条は、記録を書面で維持し、要請に応じて監督機関に提供することを求めています。そのためには、記録に責任を持つ者と、前の版との比較ではなくシステムとの照合によって確認する間隔が必要です。

  • 責任者：Lukas Wójcik（所有者）。毎年、および処理活動が変更されるたびに見直します。
  • 更新が必要となる事象：新規または変更された再処理者、特にメール配信事業者の選定。個人データを含む新しいテーブルまたは新しいフィールド。cfg/fristen_lib.phpまたはsrv/cron_status.phpにおける保存期間や削除チェーンの変更。新しいアラートチャネルまたは第三者への新しいリクエスト。初期設定で無効になっている機能の有効化（IPネットワークを伴う協調防御、プローブ、独自ドメイン、パートナープログラム、請求書払い、SpamhausまたはGoogle Web Risk）。別のサーバーへの移行。
  • 手順：ここに記載したすべての内容は、コード、スキーマ、または測定に基づいています。本文を読むだけの見直しでは、何も見直したことになりません。スキーマと削除チェーンは改めて測定し、プレースホルダーはプレースホルダーのまま残し、未解決事項は解消するか、理由を付して繰り越します。
  • 他の文書との関係：本記録は、プライバシーポリシー、データ処理契約、技術的および組織的措置、再処理者の一覧に代わるものではありません。それらと本記録の間に相違がある場合、その相違自体が所見となります。
  • 本文書の変更は、契約文書の変更のページに記載されています。