Poveikio duomenų apsaugai vertinimas (BDAR Art. 35)

Šis dokumentas skelbiamas keliomis kalbomis. Kalbinių versijų neatitikimo atveju privaloma yra lenkiška versija.

Versija 1.0 · Paskutinį kartą atnaujinta: 2026 m. spalio 16 d.

1. Apie ką kalbama ir kas yra šis puslapis

Šiame puslapyje pateikiamas formexposed poveikio duomenų apsaugai vertinimas (PDAV) pagal BDAR Art. 35. Pirmiausia atsakoma į preliminarų klausimą, ar PDAV apskritai reikalingas – atskirai kiekvienai duomenų tvarkymo operacijai, o ne visai paslaugai. Jei atsakymas teigiamas, atliekamas vertinimas pagal Art. 35(7)(a)–(d): sistemingas aprašymas, būtinumas ir proporcingumas, rizika duomenų subjektams ir priemonės jai pašalinti. Po to aptariama liekamoji rizika, išankstinių konsultacijų pagal Art. 36 klausimas ir peržiūros taisyklės.

Art. 35 nereikalauja PDAV skelbti. Skelbiame jį dėl dviejų priežasčių. Pirma, klientams, kurie naudojasi pristatymo patikrinimu arba patikrinimu už prisijungimo, savo vertinimui reikia faktų, kuriuos žinome tik mes; kaip duomenų tvarkytojas šiuos faktus jiems bet kuriuo atveju privalome pateikti (BDAR Art. 28(3)(f)). Antra, mūsų tikrinimo robotas tikrina svetaines, kurių operatoriai mūsų nepažįsta. Jie turėtų galėti perskaityti, kokią riziką matome jiems ir jų puslapiuose esantiems asmenims ir ką dėl to darome.

Teisinis pobūdis. Šis PDAV yra duomenų valdytojo dokumentacija pagal BDAR Art. 35, kurią skelbiame savanoriškai. Jis nėra jokios sutarties dalis ir nėra joks pareiškimas, garantija ar susitarimas dėl kokybės klientų ar trečiųjų asmenų atžvilgiu. Kokias paslaugas ir apsaugos priemones esame skolingi klientams, nustato Paslaugų teikimo sąlygos, Duomenų tvarkymo sutartis ir jos priedai; šių įsipareigojimų atžvilgiu jie turi viršenybę prieš šį puslapį. Puslapyje aprašoma padėtis šios versijos datai. Rizikos lygiai ir vertinimai yra mūsų pačių nuomonė ir nenulemia jokio priežiūros institucijos ar teismo teisinio vertinimo; priemonės, apibūdintos kaip „planuojamos“, yra ketinimai be įsipareigotos datos. Klientams šis puslapis yra pagrindas jų pačių vertinimui, o ne teisinė konsultacija.

Tai pirmoji ribinio vertinimo versija. Joje kiekvienai duomenų tvarkymo operacijai atskirai nagrinėjama, ar reikalingas PDAV, o rezultatas pateikiamas 3.5 skirsnyje.

Kiekvienam faktiniam teiginiui taikomas tas pats principas kaip ir kituose mūsų teisiniuose dokumentuose: išmatuota, o ne numatyta. Tai, kas pagrįsta kodu ar duomenų baze, čia nurodoma su šaltinio nuoroda. Tai, ko nepavyko pagrįsti, pažymima „nepatikrinta“. Tai, kas tik planuojama, vadinama „planuojama“. Atvirus klausimus įvardijame atvirai, kartu su planuojama priemone; PDAV, kuriame išvardytos tik stipriosios pusės, nepadeda asmenims, kuriems jis skirtas.

Sąvokos: operatorius – asmuo, valdantis patikrintą svetainę. Klientas turi formexposed paskyrą. Lankytojas – asmuo, naudojantis kliento svetaine, pavyzdžiui, jos kontaktine forma. Šaltinio nuoroda – tai failas, funkcija ar nustatymas šaltinio kode, išmatuotas pagal kūrimo sistemos būklę 2026 m. spalio 11 d.

Sąmoningai nubrėžiame vieną atvirumo ribą: atviri klausimai, susiję su mūsų pačių serverių apsauga, aprašomi tik bendrais bruožais (R13). Įvardijame riziką ir jos lygį, bet ne kelią iki konkretaus pažeidžiamumo; paprašius smulkmenas pateiksime priežiūros institucijai.

2. Vaidmenys: kam tenka pareiga ir dėl ko

Art. 35 pareigą nustato duomenų valdytojui. formexposed vienų duomenų tvarkymo operacijų atžvilgiu yra duomenų valdytojas, kitų – savo klientų duomenų tvarkytojas, o dėl duomenų, kuriuos mūsų WordPress įskiepis ir mūsų TYPO3 plėtinys saugo kliento svetainėje, – nei vienas, nei kitas. Atsakymas beveik į kiekvieną šio dokumento klausimą priklauso nuo to, kurio vaidmens atžvilgiu klausimas keliamas. Paskirstymas atitinka Privatumo politiką ir Duomenų tvarkymo sutartį.

Duomenų tvarkymo operacija	formexposed vaidmuo	Kam tenka pareiga pagal Art. 35
Trečiųjų šalių svetainių tikrinimas be jų operatoriaus nurodymų: nemokamas patikrinimas, potencialaus kliento patikrinimas agentūroms, tyrimas	Duomenų valdytojas	formexposed
Domenų tikrinimas kliento paskyroje: stebėsena, aktyvūs bandomieji pateikimai, naršyklės keliai, atviri failai, formos pulsas	Duomenų valdytojas kliento paskyros ir patikrinimų duomenų atžvilgiu; duomenų tvarkytojas trečiųjų asmenų asmens duomenų, matomų kliento patvirtintoje svetainėje, atžvilgiu; kol domenas nepatvirtintas – duomenų valdytojas, kaip ir nemokamo patikrinimo atveju	formexposed – dėl savo dalies; klientas – dėl trečiųjų asmenų duomenų jo svetainėje
Patikrinimas už prisijungimo su bandomąja paskyra	Duomenų tvarkytojas: prisijungimo duomenys ir turinys už prisijungimo priklauso kliento svetainei	Klientas; formexposed padeda
Pristatymo patikrinimas su kontroline kopija	Duomenų tvarkytojas	Klientas; formexposed padeda
Spiečiaus apsauga: bendras nuorodų domenų iš užblokuoto šlamšto sąrašas	Duomenų valdytojas: sujungiame daugelio svetainių pranešimus, sudarome sąrašą ir jį platiname	formexposed
Klientų paskyros, prisijungimas, žurnalai, pagalba, el. laiškų siuntimas, mokėjimai, įrodymų įrašai	Duomenų valdytojas	formexposed
Klientų portalas ir mėnesio ataskaita agentūros prenumeratoriams	Duomenų tvarkytojas	Agentūra
Duomenys, kuriuos įskiepis ir plėtinys saugo kliento svetainėje (karantinas, apsauginis tinklas, išsaugotos užklausos)	Nei vienas, nei kitas: duomenys niekada nepalieka svetainės	Svetainės operatorius

Iš to kyla skirtumas, kurį pabrėžiame aiškiai, nes jis dažnai klaidingai suprantamas abiem kryptimis. Kai formexposed yra duomenų valdytojas, vertinimą atliekame patys ir prisiimame jo rezultatą. Kai esame duomenų tvarkytojas, negalime atlikti vertinimo vietoj kliento, už jį nuspręsti būtinumo klausimo ar jo vardu konsultuotis su priežiūros institucija pagal Art. 36. Ką ten galime ir privalome daryti – tai pateikti jam viską, ko jam reikia: aprašymą pagal a punktą, išmatuotus faktus apie riziką pagal c punktą ir sąžiningą priemonių būsenos sąrašą pagal d punktą. Pristatymo patikrinimo ir patikrinimo už prisijungimo atveju šis puslapis yra būtent tai.

Klientas, kuris skirsnius apie pristatymo patikrinimą nepakeistus perima kaip savo PDAV, jo neatliko. Ar kontrolinė kopija pateisinama jo formoms, ar ten tikėtina specialių kategorijų asmens duomenų ir kaip jis informuoja savo lankytojus – tai klausimai, kuriuos gali nuspręsti tik jis. 11 skirsnyje apibendrinta, ką tam reikia išsiaiškinti.

3. Ribinis vertinimas: ar reikalingas PDAV?

3.1 Art. 35(1) ir Art. 35(3)

Art. 35(1) reikalauja PDAV, kai dėl duomenų tvarkymo rūšies, visų pirma naudojant naujas technologijas, ir atsižvelgiant į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, fizinių asmenų teisėms ir laisvėms gali kilti didelis pavojus. Art. 35(3) nurodo tris atvejus, kai tai ypač taikoma. Nė vienas iš jų netinka formexposed, ir tai reikėtų pagrįsti, o ne tik teigti:

a punktas – sistemingas ir išsamus su fiziniais asmenimis susijusių asmeninių aspektų vertinimas, kuris grindžiamas automatizuotu tvarkymu ir kuriuo remiantis priimami sprendimai, sukeliantys teisinių pasekmių arba panašiu būdu darantys jiems didelį poveikį. Vertiname formas ir svetaines, o ne žmonių asmeninius aspektus. Paslauga nepriima jokio sprendimo, sukeliančio teisinių pasekmių kuriam nors asmeniui. Arčiausiai to yra spiečiaus apsauga: žinutės su nuoroda į sąraše esantį domeną prijungtose svetainėse patenka į karantiną. Tai automatizuota pasekmė žinutei, o ne išsamus asmens vertinimas; nagrinėjame tai pagal kriterijų „Vertinimas arba balų skyrimas“ 3.3 skirsnyje.
b punktas – didelio masto specialių kategorijų duomenų pagal Art. 9 arba duomenų apie nusikalstamas veikas pagal Art. 10 tvarkymas. Nenumatyta ir nesukurta. Vis dėlto tokie duomenys gali mus pasiekti vienu keliu: pristatymo patikrinimo tikrų lankytojų žinučių kontrolinėje kopijoje. Tai priklauso nuo konkretaus atvejo ir nėra didelio masto, kaip tai suprantama šioje nuostatoje; tačiau į tai atsižvelgiama vertinant riziką (R1).
c punktas – sistemingas didelio masto viešai prieinamos vietos stebėjimas. Tai reiškia fizinį vietų stebėjimą, o ne viešų tinklalapių atsisiuntimą. Remtis šia nuostata svetainių tikrinimo roboto atveju būtų neteisinga.

Todėl teisingas kelias yra pats Art. 35(1), taikomas pagal devynis 29 straipsnio darbo grupės Gairių dėl poveikio duomenų apsaugai vertinimo kriterijus (WP248 rev.01, patvirtintos Europos duomenų apsaugos valdybos), ir Lenkijos priežiūros institucijos sąrašas pagal Art. 35(4) (3.4 skirsnis).

3.2 Devyni WP248 gairių kriterijai

Gairėse nurodyti devyni požymiai, rodantys tikėtiną didelį pavojų. Paprastai duomenų tvarkymo operacijai, atitinkančiai du iš jų, daugeliu atvejų reikės PDAV. Duomenų valdytojas konkrečiu atveju gali padaryti kitokią išvadą, tačiau tada turi ją pagrįsti ir dokumentuoti. Ir atvirkščiai – gali pakakti ir vieno kriterijaus. Šiame puslapyje naudojame šiuos trumpus pavadinimus:

C1 – Vertinimas arba balų skyrimas, įskaitant profiliavimą ir prognozavimą, pavyzdžiui, darbo rezultatų, ekonominės padėties, patikimumo ar elgesio.
C2 – Automatizuotas sprendimų priėmimas, sukeliantis teisinių ar panašių reikšmingų pasekmių.
C3 – Sistemingas stebėjimas, t. y. duomenų tvarkymas, naudojamas duomenų subjektams stebėti, sekti ar kontroliuoti, įskaitant per tinklus. Gairėse šis kriterijus aiškiai grindžiamas tuo, kad duomenų subjektai dažnai nežino, kas renka jų duomenis ir kokiu tikslu.
C4 – Neskelbtini arba labai asmeninio pobūdžio duomenys: specialių kategorijų duomenys pagal Art. 9 ir 10, taip pat duomenys, kurių atskleidimas daro didelį poveikį kasdieniam gyvenimui, įskaitant elektroninius ryšius, kurių konfidencialumas turėtų būti apsaugotas.
C5 – Dideliu mastu tvarkomi duomenys, vertinant pagal duomenų subjektų skaičių, duomenų kiekį ir įvairovę, trukmę ir geografinę aprėptį.
C6 – Duomenų rinkinių sutapdinimas arba sujungimas, kai jie gauti vykdant skirtingas duomenų tvarkymo operacijas arba iš skirtingų duomenų valdytojų, duomenų subjektams to nesitikint.
C7 – Duomenys apie pažeidžiamus duomenų subjektus, pavyzdžiui, darbuotojus, vaikus, pacientus ar kitus asmenis, esančius nelygiavertėje padėtyje.
C8 – Inovatyvus naudojimas arba naujų technologinių ar organizacinių sprendimų taikymas; priežiūros praktikoje dirbtinio intelekto naudojimas paprastai priskiriamas šiam kriterijui.
C9 – Duomenų tvarkymas, dėl kurio duomenų subjektai negali pasinaudoti teise arba paslauga ar sutartimi.

Kiekvieną kriterijų vertiname kaip „atitinka“, „ribinis atvejis“ arba „neatitinka“ ir vertinimą pagrindžiame kodu. Ribinis atvejis į bendrą sumą neįskaičiuojamas kaip atitinkantis, tačiau nurodomas rezultate; jei keli ribiniai atvejai rodo ta pačia kryptimi, duomenų tvarkymo operaciją įtraukiame į vertinimą.

3.3 Vertinimas pagal duomenų tvarkymo operacijas

P1 – Nemokamas patikrinimas be paskyros (bet kurios trečiosios šalies svetainės tikrinimas pagal užklausą)

Bet kas pagrindiniame puslapyje gali įvesti domeną. Tada tikrinimo robotas atsisiunčia ne daugiau kaip aštuonis tos svetainės viešus puslapius, nuskaito formas, padaro ekrano kopijas ir sukuria ataskaitą, kurią gali matyti kiekvienas, žinantis jos atsitiktinę nuorodą. Svetainės operatorius apie tai nieko nesužino, nebent pastebi tikrinimo roboto identifikatorių savo žurnaluose.

C1 – ribinis atvejis. Ataskaitoje formos apsauga įvertinama lygiu („Atvira“, „Iš dalies apsaugota“, „Apsaugota“) ir balu. Ribotos atsakomybės bendrovės atveju tai nesusiję su fiziniu asmeniu. Individualių verslininkų ir laisvai samdomų specialistų atveju domeną galima priskirti asmeniui, ir tada lygis kai ką pasako apie jų profesinėje veikloje rodomą rūpestingumą. Tačiau vertinama techninė sąranka, o ne asmens elgesys ar savybės. Tai laikome ribiniu atveju.
C2 – neatitinka. Operatoriaus atžvilgiu nieko nesprendžiama. Patikrinimo prašančiam asmeniui taikomi limitai kiekvienam IP adresui ir sesijai (cfg/check_lib.php); atmestas patikrinimas neturi reikšmingo poveikio.
C3 – neatitinka. Tai vienkartinis atsisiuntimas pagal užklausą, ne dažniau kaip kartą per savaitę kiekvienam domenui (cfg/check_lib.php, nustatymas fc_domain_days = 7). Žmonės nestebimi. Tačiau aplinkybė, kuria gairės grindžia C3, – duomenų subjektai nieko nežino apie duomenų tvarkymą – yra. Į ją atsižvelgiama vertinant riziką (R5).
C4 – neatitinka. Saugoma formos struktūra ir radiniai, o ne įvestos reikšmės (scanner/src/crawl.js matomiems laukams saugo tik reikšmės ilgį). Tikrinimo robotas iš anksto užpildytų paslėptų laukų pradžias (iki 24 simbolių) ir duomenų atributus (iki 60 simbolių) nuskaito tik patikrinimo metu, kad aptiktų žetonus ir laiko žymas; jie nesaugomi. Ekrano kopijose atsitiktinai gali matytis žmonės ir vardai; medicinos praktikos svetainės vaizde matoma jos specializacija. Tai vieši profesiniai duomenys, o ne konkretaus asmens sveikatos duomenys.
C5 – ribinis atvejis. Dienos riba – 200 priimtų patikrinimų (fc_daily_cap), t. y. aritmetiškai iki maždaug 73 000 svetainių per metus. Kiekvienoje svetainėje atsiranda tik keli asmens duomenų elementai, o trukmė trumpa (30 dienų). Išmatuota kūrimo sistemoje: duomenų rinkinyje yra 2 anoniminiai patikrinimai. Šiandien neatitinka; ribinis atvejis atsižvelgiant į numatytą pajėgumą.
C6 – neatitinka. Be puslapių atsisiuntimo, paslauga per RDAP paslaugą rdap.org užklausia domeno amžiaus (perduodamas tik domeno vardas; saugoma tik registracijos data, talpykloje) ir išsprendžia DNS. Tai techniniai duomenys apie domeną, o ne duomenų rinkinių apie žmones sujungimas.
C7 – neatitinka.
C8 – atitinka silpna forma. Automatizuota naršyklė tikrina puslapius, o kalbos modelis mūsų pačių serveryje klasifikuoja formas, kurių taisyklės neatpažįsta (scanner/src/classify.js). Modelis mato puslapio pavadinimą, adresą, laukų etiketes ir iki 400 formos teksto simbolių. Jis niekada negali padaryti formos „pateikiamos“.
C9 – neatitinka.

Tarpinis P1 rezultatas: vienas kriterijus silpna forma (C8), du ribiniai atvejai (C1, C5). Pagal bendrąją taisyklę pareigos nėra. Kadangi abu ribiniai atvejai rodo ta pačia kryptimi, o duomenų subjektai nieko nežino apie duomenų tvarkymą, P1 įtraukiame į vertinimą.

P2 – Potencialaus kliento patikrinimas agentūroms

Business plano agentūra, susikonfigūravusi savo prekės ženklą, gali pasyviai patikrinti potencialaus kliento svetainę. Ji gauna trumpą išvadą su savo prekės ženklu ir išsamią ataskaitą, o nuorodą perduoda pati (cfg/akquise_lib.php). Mes su niekuo nesusisiekiame.

C1 – ribinis atvejis, stipresnis nei P1. Trumpa išvada aiškiai skirta kaip „durų atidarymo priemonė pirmam pokalbiui“. Taigi svetainės vertinimas tampa pagrindu komerciškai kreiptis į asmenį.
C5 – neatitinka. Ne daugiau kaip 30 patikrinimų vienai agentūrai per mėnesį (prospect_monthly), ištrinami po 90 dienų.
C8 – atitinka silpna forma (ta pati technologija kaip P1).
Kiti kriterijai – neatitinka. Išvada pateikiama su agentūros prekės ženklu, tačiau nesiejama su kitais duomenimis apie operatorių.

Tarpinis P2 rezultatas: pagal bendrąją taisyklę pareigos nėra; įtraukta dėl tų pačių priežasčių kaip P1 ir todėl, kad tikslas – klientų paieška – kelia atskirą riziką (R6).

P3 – Tyrimas „Form Security Index“

Tyrimui pasyviai tikrinamas svetainių sąrašas, ribojant iki ne daugiau kaip penkių atvirų užduočių per vieną būsenos proceso, vykdomo kas penkias minutes, paleidimą (cfg/studie_lib.php). Skelbiamos tik sumos, o segmentai – tik nuo 20 svetainių su forma (study_min_segment, cfg/studie_lib.php). Neapdoroti duomenys ištrinami paskelbus (cfg/studie_lib.php).

C5 – ribinis atvejis, dideliems sąrašams atitinka. Sąrašo dydis kode neribojamas; ribojimas aritmetiškai leidžia daugiau nei tūkstantį patikrinimų per dieną. Nacionalinės rinkos tyrimas apima tūkstančius svetainių, daugelį jų valdo individualūs verslininkai. Nuo tokio dydžio kriterijų laikome atitinkamu.
C8 – atitinka silpna forma.
C1 – neatitinka. Nors vertinama kiekviena svetainė, skelbiama tik suma; vertinimas nenaudojamas teiginiui apie konkretų operatorių.
Kiti kriterijai – neatitinka.

Tarpinis P3 rezultatas: numatyto dydžio tyrimams – du kriterijai (C5, C8). Todėl tyrimas pasiekia ribą; formexposed atlieka vertinimą kaip duomenų valdytojas. Išmatuota kūrimo sistemoje: iki šiol nesukurtas nė vienas tyrimas.

P4 – Domenų tikrinimas kliento paskyroje

Klientas reguliariai tikrina savo paskyroje esančius domenus. Kai jis įrodo turintis teisę kontroliuoti domeną, papildomai atliekami aktyvūs bandomieji pateikimai (ne daugiau kaip penki per patikrinimą), atvirų failų paieška ir sukonfigūruoti naršyklės keliai.

C3 – neatitinka. Patikrinimas suplanuotas ir pasikartojantis, tačiau jis susijęs su paties kliento svetaine ir atliekamas jo prašymu, o ne žmonėms stebėti.
C4 – ribinis atvejis, ne. Atvirų failų paieška iš tokių kelių kaip /backup.sql ar derinimo žurnalas nuskaito ne daugiau kaip pirmuosius 8 KB, kad pagal turinį nustatytų, ar failas tikrai atviras (cfg/dateien_lib.php). Tokioje ištraukoje gali būti lankytojų įvestų formų duomenų. Ji tikrinama tik atmintyje ir niekada nesaugoma; saugomas kelias, tipas ir rimtumas.
C8 – atitinka silpna forma.
Kiti kriterijai – neatitinka.

Tarpinis P4 rezultatas: pareigos nėra. Įtraukta, nes aktyvūs bandomieji pateikimai ir failų patikrinimas priklauso nuo įrodymo, kuris niekada neatnaujinamas (R7).

P5 – Patikrinimas už prisijungimo

Patvirtintam domenui klientas gali išsaugoti bandomąją savo svetainės paskyrą. Tikrinimo robotas ja prisijungia ir nuskaito formas ne daugiau kaip penkiuose nurodytuose narių srities puslapiuose (cfg/login_lib.php, scanner/src/login.js).

C4 – ribinis atvejis. Prisijungimo duomenys nėra labai asmeninio pobūdžio duomenys, kaip tai suprantama gairėse, tačiau juos panaudojus netinkamai atveriama narių sritis. Priklausomai nuo svetainės, už prisijungimo gali būti konfidencialaus turinio, pavyzdžiui, narių ar pacientų portale. Tai priklauso nuo kliento, o ne nuo mūsų.
C8 – neatitinka. Automatizuoti prisijungimai įprasti stebėsenos paslaugose.
Kiti kriterijai – neatitinka.

Tarpinis P5 rezultatas: pagal bendrąją taisyklę pareigos nėra. Klientams, kurių narių srityje rodomas konfidencialus turinys, tai gali pasikeisti; tada sprendimas priklauso jiems. Įtraukta dėl saugumo rizikos (R8).

P6 – Pristatymo patikrinimas su kontroline kopija

Klientas savo formos pašto nustatymuose kaip nematomą kopiją (BCC) įveda formexposed kontrolinį adresą. Dėl to kiekvienas formos el. laiškas taip pat siunčiamas į mūsų kontrolinę pašto dėžutę – ir mūsų bandomasis pranešimas, ir kiekviena tikra lankytojo žinutė. Automatinis paėmimas nuskaito antraštes ir pirmuosius 8 KB, priskiria el. laišką, įvertina SPF, DKIM ir DMARC ir jį ištrina (cfg/zustellung_lib.php).

C4 – atitinka. Tai, ką lankytojai rašo kontaktinėje formoje, yra bet kokio turinio elektroninis pranešimas įmonei. Medicinos praktikos, advokatų kontoros, konsultavimo tarnybos ar mokyklos svetainėje tikėtini duomenys pagal Art. 9 arba duomenys apie vaikus. Gairėse šiam kriterijui aiškiai priskiriami konfidencialūs elektroniniai ryšiai.
C3 – ribinis atvejis, veikiau atitinka. Kiekviena žinutė kopijuojama planingai ir nuolat bei vertinama automatiškai, siuntėjui to nepastebint. Tikslas – patikrinti pašto kelią, o ne stebėti žmones. Tačiau aplinkybė, kuria gairės grindžia šį kriterijų, – duomenų subjektai nežino, kas gauna jų duomenis, – yra visiškai, kol klientas neinformuoja savo lankytojų.
C7 – priklauso nuo kliento. Pacientai, advokatų kontorų klientai, kandidatai į darbą, tėvai ir mokiniai dažnai yra priklausomi nuo savo žinutės gavėjo.
C5 – ribinis atvejis, ne. Atskiram klientui – ne didelio masto. formexposed sistemoje daugelio klientų kopijos susilieja vienoje pašto dėžutėje; tai padidina pažeidimo svarbą, bet ne skaičių vienam duomenų valdytojui.
Kiti kriterijai – neatitinka. Priskyrimas domenui ir patikrinimui nėra duomenų rinkinių apie žmones sutapdinimas; technologija nėra nauja.

Tarpinis P6 rezultatas: C4 atitinka, C3 – ribinis atvejis ir veikiau atitinka, C7 atitinka daugeliui tipinių klientų. Taigi tipinėje situacijoje atitinka du ar daugiau kriterijų. PDAV reikalingas – kaip kliento, kuris yra duomenų valdytojas, pareiga. 6–11 skirsniuose jam tam pateikiami faktai.

P7 – Spiečiaus apsauga

Prijungtos WordPress svetainės kartą per dieną praneša nuorodų domenus iš žinučių, kurias sustabdė jų apsaugos sluoksnis. Domenas, per septynias dienas pasirodęs bent trijose skirtingose svetainėse su bent penkiais atvejais, įtraukiamas į bendrą sąrašą; sąrašas grąžinamas visoms prijungtoms svetainėms, kurios tada žinutes su nuorodomis į tą domeną perkelia į karantiną (cfg/swarm_lib.php).

C6 – atitinka. Daugelio vienas nuo kito nepriklausomų svetainių, t. y. skirtingų duomenų valdytojų, pranešimai sujungiami ir grąžinami joms visoms kaip bendras sąrašas.
C1 – atitinka, kiek domeną galima priskirti fiziniam asmeniui. Sąrašas yra klasifikavimas kaip šlamšto šaltinis. Gairėse kaip šio kriterijaus pavyzdys nurodytas tikrinimas pagal bendrą sukčiavimo duomenų bazę. Dauguma tokio sąrašo domenų priklauso įmonėms arba yra vienkartiniai domenai; tačiau į jį gali patekti ir asmens domenas – pagrįstai arba dėl tyčia pateiktų melagingų pranešimų.
C9 – ribinis atvejis. Žinutė su sąraše esančia nuoroda gavėjo nepasiekia iš karto, o lieka jo karantine, kol jis ją išleidžia. Ji neprarandama.
C2 – neatitinka. Karantinas yra automatizuota pasekmė žinutei, be teisinių pasekmių ir su gavėjo atliekamu žmogaus išleidimu.
Kiti kriterijai – neatitinka. IP tinklai išjungti (swarm_ip_enabled = 0, cfg/swarm_lib.php).

Tarpinis P7 rezultatas: du kriterijai (C6, C1) ir vienas ribinis atvejis (C9). Riba pasiekta; formexposed atlieka vertinimą kaip duomenų valdytojas. Įjungus IP tinklus, C1 ir C6 atitiktų be apribojimų; jiems įjungti reikalinga nauja šio vertinimo versija (12 skirsnis). Išmatuota kūrimo sistemoje: nėra nei pranešimų, nei sąrašo įrašų.

P8 – Klientų paskyros, prisijungimas, žurnalai, pagalba, el. paštas, mokėjimai

C1 ir C9 – neatitinka. Įtartinas elgesys nemokamo patikrinimo metu lemia žymą su IP adresu (cfg/check_lib.php) ir, jei taikoma, tolesnių patikrinimų atmetimą. Tai mažo poveikio piktnaudžiavimo prevencija, o ne asmeninių aspektų vertinimas.
Kiti kriterijai – neatitinka. Tai įprasti verslui skirtos paslaugos duomenys.

Tarpinis P8 rezultatas: PDAV nereikalingas. Duomenų tvarkymo operacijos aprašytos Duomenų tvarkymo veiklos įrašuose.

P9 – Įskiepio skaičiai, laukų klaidos, įrašymo įrankis, ženklelis, klientų portalas, „Fix it for me“

Įskiepis ir plėtinys perduoda dienos skaičius, įskiepių inventorių ir klaidų kategorijas, o WordPress įskiepis papildomai perduoda nuorodų domenus spiečiaus apsaugai (pagal numatytuosius nustatymus įjungta) (P7) – jokio turinio, adresų, vardų ar lankytojų IP adresų; įrašymo įrankis selektorius laiko administratoriaus naršyklėje ne ilgiau kaip 15 minučių. Jokie kriterijai neatitinka.
Įkeliamas ženklelis perduoda įprastus ryšio duomenis į žiniatinklio serverio žurnalą, be slapuko. Jokie kriterijai neatitinka.
Klientų portalas agentūros vardu tvarko prenumeratorių el. pašto adresus su dvigubu patvirtinimu (double opt-in). Jokie kriterijai neatitinka.
„Fix it for me“ įklijuotą formos kodą perrašo kalbos modeliu mūsų pačių serveryje; kodas nesaugomas. C8 silpna forma, nieko daugiau.

Tarpinis P9 rezultatas: PDAV nereikalingas.

3.4 Lenkijos priežiūros institucijos sąrašas pagal Art. 35(4)

Kompetentinga institucija yra Asmens duomenų apsaugos tarnybos pirmininkas (Prezes Urzędu Ochrony Danych Osobowych, UODO). Pirmininkas paskelbė duomenų tvarkymo operacijų, kurioms reikalingas PDAV, rūšių sąrašą 2019 m. birželio 17 d. pranešime (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, poz. 666). Sąrašo įrašai priskiriami WP248 gairių kriterijams, pateikiami pavyzdžiai, ir sąrašas aiškiai nėra baigtinis; jis nepakeičia vertinimo pagal Art. 35(1).

Mūsų supratimu, šios sąraše nurodytos duomenų tvarkymo rūšys iš esmės atitinka formexposed duomenų tvarkymo operacijas:

Duomenų tvarkymo rūšis pagal sąrašą (perfrazuota)	Priskirtas kriterijus	formexposed duomenų tvarkymo operacija	Vertinimas
Palyginimas, vertinimas ar išvados, grindžiamos skirtingų šaltinių duomenų analize	C6	P7 Spiečiaus apsauga	taikoma
Vertinimas arba balų skyrimas, įskaitant profiliavimą	C1	P7 Spiečiaus apsauga; P1 ir P2 kaip ribiniai atvejai	taikoma P7
Specialių kategorijų asmens duomenų tvarkymas	C4	P6 Pristatymo patikrinimas	taikoma priklausomai nuo kliento
Inovatyvus technologinių sprendimų naudojimas ar taikymas	C8	P1–P4 (kalbos modelis klasifikavimui)	taikoma silpna forma
Didelio masto duomenų tvarkymas	C5	P3 Tyrimas	taikoma dideliems sąrašams
Sistemingas viešai prieinamų vietų stebėjimas, įskaitant požymių atpažinimą	C3	–	netaikoma: turimos omenyje vietos, o ne svetainės

Šis priskyrimas yra interpretacija, o ne citata; teisinės peržiūros metu įrašų formuluotės turi būti su juo palygintos. Jis patvirtina 3.3 skirsnio rezultatą, bet jo nekeičia. Mūsų žiniomis, UODO nėra paskelbęs sąrašo pagal Art. 35(5) – duomenų tvarkymo operacijų, kurioms PDAV nereikalingas.

3.5 Ribinio vertinimo rezultatas

Duomenų tvarkymo operacija	Atitinka	Ribinis atvejis	Rezultatas
P1 Nemokamas patikrinimas	C8 (silpna)	C1, C5	neprivaloma; įtraukta
P2 Potencialaus kliento patikrinimas	C8 (silpna)	C1	neprivaloma; įtraukta
P3 Tyrimas	C8 (silpna), C5 dideliems sąrašams	–	reikalinga (formexposed pareiga)
P4 Klientų domenų tikrinimas	C8 (silpna)	C4 (failų patikrinimas)	neprivaloma; įtraukta
P5 Patikrinimas už prisijungimo	–	C4	neprivaloma; įtraukta; klientui – priklausomai nuo turinio
P6 Pristatymo patikrinimas	C4; C7 priklausomai nuo kliento	C3 (veikiau atitinka), C5	reikalinga (kliento pareiga; šis puslapis padeda pagal Art. 28(3)(f))
P7 Spiečiaus apsauga	C6, C1	C9	reikalinga (formexposed pareiga)
P8 Paskyros, žurnalai, pagalba, mokėjimai	–	–	nereikalinga
P9 Įskiepio skaičiai, ženklelis, portalas, „Fix it for me“	C8 (silpna, tik „Fix it for me“)	–	nereikalinga

Rezultatas dėl Art. 35(1): PDAV reikalingas atskiroms formexposed duomenų tvarkymo operacijoms. Jis reikalingas spiečiaus apsaugai ir numatyto dydžio tyrimams, ir formexposed jį atlieka kaip duomenų valdytojas. Pristatymo patikrinimui jis reikalingas tipinėje situacijoje, tačiau kaip kliento pareiga; formexposed pateikia pagrindą. Kitiems trečiųjų šalių ir nuosavų svetainių patikrinimams jis neprivalomas. Vis dėlto juos įtraukiame, nes jie naudoja tą pačią technologiją, nes keli ribiniai atvejai rodo ta pačia kryptimi ir nes duomenų subjektai – operatoriai be paskyros ir asmenys patikrintuose puslapiuose – nieko nežino apie duomenų tvarkymą. Paskyroms, žurnalams, pagalbai ir mokėjimams vertinimas nereikalingas.

Todėl 6–10 skirsniai taikomi P1–P7. Jei teiginys taikomas tik vienai iš šių duomenų tvarkymo operacijų, tai pažymima.

4. Duomenų apsaugos pareigūnas: vertinimas pagal Art. 37

Duomenų apsaugos pareigūnas nepaskirtas. Art. 37(1) vienodai įpareigoja duomenų valdytoją ir duomenų tvarkytoją; todėl tai mūsų pačių klausimas. Trys įstatyme numatyti atvejai:

Art. 37(1)	Sąlyga	Rezultatas
a punktas	Valdžios institucija arba įstaiga	Netaikoma; LW IT Solutions Company Lukas Wójcik yra privati individuali įmonė.
b punktas	Pagrindinė veikla – duomenų tvarkymo operacijos, dėl kurių reikia reguliariai ir sistemingai dideliu mastu stebėti duomenų subjektus	Pagrindinė veikla – reguliarus ir sistemingas svetainių ir formų tikrinimas ir stebėsena. Tačiau žmonės nestebimi: tikrinimo robotas nestebi elgesio, o pristatymo patikrinimas el. laiškus vertina tik pagal pristatymą ir autentiškumą. Neatitinka.
c punktas	Pagrindinė veikla – didelio masto duomenų pagal Art. 9 arba 10 tvarkymas	Pagal sumanymą – ne. Specialių kategorijų duomenys gali mus pasiekti per pristatymo patikrinimo kontrolinę kopiją; tai atsitiktinumas, o ne pagrindinė veikla. Neatitinka.

Todėl, mūsų vertinimu, pareigos jį paskirti nėra. Ar Lenkijos teisė pagal Art. 37(4) reikalauja paskirti papildomai, yra atviras teisinės peržiūros klausimas. Kadangi duomenų apsaugos pareigūnas nepaskirtas, konsultacija pagal Art. 35(2) netaikoma. Jei teisinė peržiūra nustatys, kad pareiga paskirti egzistuoja, prieš patvirtinant šį vertinimą bus kreiptasi patarimo į tada paskirtą duomenų apsaugos pareigūną (12 skirsnis). Kontaktinis asmuo klausimais dėl šio vertinimo – savininkas, contact@lukaswojcik.com.

5. Metodas, šaltiniai ir šios versijos ribos

Šiame dokumente pateikti faktai gauti iš programos ir tikrinimo roboto šaltinio kodo, iš duomenų bazės schemos ir iš kūrimo sistemos eilučių skaičių bei nustatymų, išmatuotų 2026 m. spalio 11 d. Prie duomenų bazės ir serverių prisijungta tik skaitymo režimu. Jei matavimas prieštarauja ketinimui – įskaitant teiginį mūsų pačių teisiniuose dokumentuose, – pranešame matavimo rezultatą. Netaikome patvirtintų elgesio kodeksų pagal Art. 40, kurių laikymosi į kurį reikėtų atsižvelgti pagal Art. 35(8).

Išmatuota kūrimo sistema. Paslauga dar nepaleista. Todėl skaičiai maži ir iš dalies yra testavimo artefaktai: 112 patikrinimų, iš jų 110 be kliento domeno; 432 ekrano kopijos; 2 domenai, iš jų 1 patvirtintas; neįjungtas nė vienas pristatymo patikrinimas; patikrinimui už prisijungimo neišsaugota jokia bandomoji paskyra; nėra tyrimų; nėra pranešimų spiečiaus apsaugoje. Matavimai turi būti pakartoti prieš paleidimą ir vėliau reguliariai.
Šioje versijoje neišmatuota ir prieš patvirtinimą turi būti papildyta: gamybinės sistemos konfigūracija, įskaitant tai, ar ir kaip ten sukonfigūruota kontrolinė pašto dėžutė ir ar sukonfigūruota raktų pora patikrinimui už prisijungimo; ar kalbos modelio programinė įranga registruoja užklausas; serverių administravimo būklė (R13); sutartis su el. pašto paslaugų teikėju.
Nepavyko išmatuoti, kiek tikrų lankytojų žinučių praeis per kontrolinę kopiją ir iš kokių sektorių bus klientai. Abu dalykai lemia R1 ir R2 svarbą ir turi būti nustatyti po paleidimo.
Šaltinio nuorodos nurodo kūrimo sistemos šaltinio kodo failus ir funkcijas. Lemiama yra aprašyta funkcija, o ne jos vieta faile.

Šis dokumentas yra projektas. Jo dar nepatvirtino duomenų valdytojas (12 skirsnis), o dvi jo išvados – P1 ir P3 masto vertinimas ir pristatymo patikrinimo svarba – priklauso nuo skaičių, kurie atsiras tik po paleidimo.

6. a) Sistemingas duomenų tvarkymo operacijų ir tikslų aprašymas

6.1 Kaip sudaryta tikrinimo sistema

formexposed veikia mūsų pačių serveriuose Lenkijoje, be išorinio prieglobos paslaugų teikėjo: žiniatinklio serveryje su programa ir duomenų baze ir tikrinimo serveryje su tikrinimo paslauga ir vietiniu kalbos modeliu; abu yra tame pačiame vidiniame tinkle. Patikrinimas vyksta taip:

Programa sukuria užduotį duomenų bazėje – atsižvelgdama į 6.3 skirsnyje nurodytus limitus ir blokavimus.
Tikrinimo paslauga tikrinimo serveryje paima užduotį, dar kartą patikrina blokavimo sąrašą, pagrindinių kompiuterių vardus ir, anoniminių patikrinimų atveju, domeno amžių ir paleidžia izoliuotą konteinerį būtent šiai užduočiai: atskiras tinklas su savo filtravimo taisyklėmis, jokių specialių teisių, tik skaitoma failų sistema, atminties ir procesų limitai bei laiko limitas (scanner/src/worker.js).
Konteineryje automatizuota naršyklė atsisiunčia ne daugiau kaip aštuonis viešus puslapius – pirmiausia pagrindinį puslapį, po to pirmenybę teikdama kontaktų, rekvizitų ir pagalbos puslapiams. Prieš tai ji nuskaito robots.txt; FormExposedBot arba visiems tikrinimo robotams skirtas išskyrimas, apimantis pagrindinį puslapį, užbaigia patikrinimą, kaip ir nepasiekiamas robots.txt ar serverio klaida jį atsisiunčiant (scanner/src/net.js). Draudimai atskiriems antriniams keliams atskirai nepaisomi. Formos pulsas, įrodymo gavimas, antraščių įrankis ir atvirų failų paieška robots.txt neskaito. Be aštuonių puslapių, gali būti iki trijų puslapių su spustelėjimu „Atmesti“ slapukų reklamjuostėje, iki trijų puslapių telefono rodinyje, aktyvūs zondavimai patvirtintiems domenams ir iki penkių puslapių už prisijungimo; puslapiai įkeliami vienas po kito, o ne lygiagrečiai. Kiekviena naršyklės užklausa – įskaitant peradresavimus ir įterptą turinį – praeina per filtrą, kuris atmeta privačius tinklus ir kitus prievadus.
Konteineris rezultatą ir ekrano kopijas įrašo į laikiną katalogą. Tikrinimo paslauga rezultatą ir vaizdus vidiniu tinklu perduoda programai ir ištrina laikiną katalogą, net ir po klaidos (scanner/src/worker.js).
Programa apdoroja rezultatą, klientų domenų atveju palygina jį su ankstesniu patikrinimu ir praneša apie pakeitimus kliento sukonfigūruotiems adresatams.

6.2 Ką tikrinimo robotas išsaugo – ir ko neišsaugo

Elementas	Kas išsaugoma	Kas neišsaugoma	Šaltinio nuoroda
Puslapiai	Adresas, HTTP būsena, antraštės, turinio saugumo politika (Content Security Policy), užklausti trečiųjų šalių pagrindiniai kompiuteriai (ne daugiau kaip 120)	Puslapio turinys kaip tekstas ar HTML	`scanner/src/crawl.js`
Formų laukai	Tipas, pavadinimas, etiketė, vietos rezervavimo tekstas, privalomas laukas, matomumas, esamos reikšmės ilgis	Laukų reikšmės; paslėptų laukų reikšmės pirmieji 24 simboliai tik nuskaitomi patikrinimo metu (žetonams aptikti)	`scanner/src/crawl.js`
Gavėjų adresai formoje	tik domenas	adresas	`scanner/src/crawl.js`
Scenarijai	Inventorius su kontroline suma; adresai ir pradinis tekstas be reklamos ir analitikos paslaugų paskyrų identifikatorių	Paskyrų ir pikselių identifikatoriai	`scanner/src/crawl.js`
Pasiklausytojai	kurie reklamos pikseliai ir įrašymo įrankiai įkeliami prieš ir po to, kai slapukų reklamjuostėje spustelėjama „Atmesti“, ir ar jie užmaskuoja įvestis	Paskyrų šiose paslaugose identifikatoriai	`scanner/src/mitleser.js`, `scanner/src/einwilligung.js`
Formos tekstas	iki 400 simbolių perduodama vietiniam kalbos modeliui, jei taisyklės neatpažįsta tipo	Atskleidimas trečiosioms šalims; teksto saugojimas	`scanner/src/classify.js`
Ekrano kopijos (tikrinimo robotas)	pirmojo puslapio matoma sritis; kiekvienai matomai formai – formos elemento vaizdas	–	`scanner/src/crawl.js`
Ekrano kopijos (aktyvus patikrinimas)	Atsakymo į bandomąjį pateikimą puslapio vaizdas; be to, būsena, tikslinis adresas, pavadinimas ir pirmieji 300 jo teksto simbolių	–	`scanner/src/active.js`
Ekrano kopijos (naršyklės keliai)	Formos vaizdas su užtamsintais įvesties laukais, suglaudintas, ne daugiau kaip 32 KB	Įvestys	`scanner/src/browser.js`
Už prisijungimo	kaip pirmiau nurodyta formų laukams	Ekrano kopijos, slapukai, nuorodos	`scanner/src/login.js`

Pagal sumanymą šiuose elementuose asmens duomenų nėra, tačiau jų pasitaiko atsitiktinai: kontaktinio asmens vardas šalia formos, komandos nuotrauka pagrindiniame puslapyje, telefono numeris etiketėje, asmens el. pašto domenas, vardas vietos rezervavimo tekste. Už prisijungimo papildomai atsiranda bandomosios paskyros ir, priklausomai nuo svetainės, kitų naudotojų duomenų.

6.3 Kas inicijuoja patikrinimą ir kas tada taikoma

Iniciatorius	Patikimumo lygis užduotyje	Bandomieji pateikimai	Rezultatas pasiekiamas per	Ištrynimas
Kas nors pagrindiniame puslapyje įveda domeną (nemokamas patikrinimas)	anoniminis	ne	Ataskaita atsitiktine nuoroda	30 dienų, įskaitant vaizdus (`cfg/check_lib.php`)
Įskiepis ar plėtinys be paskyros	įskiepis	ne	Ataskaita atsitiktine nuoroda	30 dienų
Agentūra potencialiam klientui	registruotas	ne	Trumpa išvada ir ataskaita atsitiktine nuoroda	90 dienų (`cfg/akquise_lib.php`)
Klientas, domenas be įrodymo	registruotas	ne	Paskyra; ataskaita atsitiktine nuoroda	13 mėn., paskutinis patikrinimas išsaugomas
Klientas, domenas su įrodymu	patvirtintas	taip, ne daugiau kaip penki per patikrinimą	Paskyra; ataskaita atsitiktine nuoroda	13 mėn., paskutinis patikrinimas išsaugomas (`cfg/fristen_lib.php`)
Tyrimas	vidinis	ne	tik sumos po paskelbimo	paskelbus; nepaskelbus – be laiko apribojimo (R4)
Paslaugų teikėjo vidinis patikrinimas iš komandinės eilutės	vidinis; mūsų pačių bandomiesiems ir demonstraciniams domenams – taip pat „patvirtintas“	ne; su lygiu „patvirtintas“ – taip (tik mūsų pačių bandomieji ir demonstraciniai domenai)	tik viduje	be laiko apribojimo (R4)

Prieš nemokamą patikrinimą yra keli sluoksniai (cfg/check_lib.php): avarinis sustabdymas; reCAPTCHA; tas pats domenas ne dažniau kaip kartą per septynias dienas (po to rodoma esama ataskaita); limitai kiekvienam IP adresui, kiekvienai sesijai (kaip maišos reikšmė, niekada ne pats sesijos identifikatorius) ir visai paslaugai per dieną; blokavimo sąrašas iš išskyrimo (opt-out) ir robots.txt; patikrinimas, ar domenas nurodo į viešus adresus; ir blokavimas labai naujiems ar nežinomiems domenams. Anomalijos – daug skirtingų domenų iš vieno IP adreso, daug užklausų per trumpą laiką – pažymimos su IP adresu ir sukelia signalą be turinio (cfg/check_lib.php).

6.4 Domenų tikrinimas kliento paskyroje

Klientas įrodo turintis teisę kontroliuoti domeną: DNS įrašu, meta žyma, failu arba per mūsų įskiepį (cfg/verify_lib.php). Tik tada domenas laikomas patvirtintu. Stebėsenos planuoklis reguliarius patikrinimus planuoja tik aktyviems, stebimiems ir patvirtintiems domenams (cfg/monitor_lib.php).

Aktyvūs bandomieji pateikimai susieti su dviem užtvaromis: programa klientams aktyvų režimą nustato tik patvirtintiems domenams (mūsų pačių bandomiesiems ir demonstraciniams domenams paslaugų teikėjas gali sukurti patikrinimą su lygiu „patvirtintas“ per vidinį komandinės eilutės įrankį), o tikrinimo paslauga dar kartą patikrina patikimumo lygį ir avarinį sustabdymą fc_active_enabled (scanner/src/worker.js). Pateikti galima tik formą, kurią taisyklės labai patikimai atpažįsta kaip bendrąją kontaktinę formą, kurioje nėra privalomų laukų tikriems asmens duomenims ir kurios domenas neatrodo kaip valdžios institucijos, švietimo įstaigos, klinikos, medicinos praktikos, policijos ar teismo (scanner/src/classify.js). Kalbos modelis negali padaryti formos pateikiamos (scanner/src/classify.js). Per patikrinimą išsiunčiami ne daugiau kaip penki pateikimai (fc_active_max_posts), aiškiai pažymėti, su siuntėju dummy@formexposed.com, adresu .invalid srityje el. pašto patvirtinimui išbandyti ir nekenksminga papildoma antraštės eilute antraščių įterpimui (header injection) aptikti (scanner/src/active.js).
Naršyklės keliai naršyklėje tikrina sukonfigūruotus formų kelius iki pat momento prieš pateikimą. Leidžiamos tik GET ir HEAD užklausos; visa kita nutraukiama, kaip ir adresai, kuriuose yra žodžių, reiškiančių atsijungimą, ištrynimą, pirkimą ar mokėjimą (scanner/src/browser.js). Patikrinimui privalomi laukai užpildomi išgalvotomis reikšmėmis, kurios niekada nepalieka naršyklės.
Atvirų failų ieškoma kas savaitę, tik patvirtintiems domenams, ne daugiau kaip vienu atsisiuntimu kiekvienam keliui, ne daugiau kaip 8 KB, turinys niekada nesaugomas (cfg/dateien_lib.php).
Nepriklausomas antrasis zondas parengtas ir pagal numatytuosius nustatymus išjungtas (browser_probe_enabled = 0). Įjungtas jis gautų tik domeną, adresą, selektorių, žingsnius ir naršyklės pasirinkimą, niekada prisijungimo duomenų, ekrano kopijų ar lankytojų duomenų (cfg/formular_probe_lib.php).

6.5 Patikrinimas už prisijungimo

Prielaidos: funkcija sukonfigūruota, domenas patvirtintas, o klientas naudojasi mokamu planu ir yra darbo srities savininkas arba administratorius (cfg/login_lib.php); jis patvirtina, kad paskyra yra bandomoji paskyra su kuo mažesnėmis teisėmis (cfg/login_lib.php).

Naudotojo vardas ir slaptažodis žiniatinklio serveryje iš karto užšifruojami tikrinimo serverio viešuoju raktu: vienkartinis raktas kiekvienam įrašui (X25519), rakto išvedimas (HKDF-SHA256), AES-256-GCM, susieta su domenu (cfg/login_lib.php). Privatųjį raktą turi tik tikrinimo paslauga tikrinimo serveryje (scanner/src/geheim.js). Kas turi žiniatinklio serverį, duomenų bazę ar atsarginę kopiją, turi tik šifruotą tekstą.
Sąsajoje rodomas tik pirmasis naudotojo vardo simbolis ir jo ilgis (cfg/login_lib.php). Prisijungimo duomenys niekada nerodomi, neregistruojami ir nepateikiami per API.
Patikrinimui programa prie užduoties prideda šifruotą tekstą. Tikrinimo paslauga jį iššifruoja, nedelsdama išvalo lauką užduotyje ir prisijungimo duomenis konteineriui perduoda tik per standartinę įvestį, niekada kaip komandinės eilutės argumentus (scanner/src/worker.js). Likučius nutrauktose užduotyse būsenos procesas išvalo po vienos valandos (cfg/login_lib.php).
Konteineryje naršyklė prisijungia. Ji nutraukia darbą, jei prisijungimo puslapis peradresuoja į kitą pagrindinį kompiuterį, jei prisijungimo formoje yra CAPTCHA (CAPTCHA neapeiname) arba jei po pateikimo vis dar matomas slaptažodžio laukas (scanner/src/login.js). Tada ji išvalo slaptažodžio lauką puslapio atmintyje ir pamiršta prisijungimo duomenis (scanner/src/login.js).
Ji nuskaito ne daugiau kaip penkis kliento nurodytus to paties domeno puslapius. Adresai, kuriuose yra žodžių, reiškiančių atsijungimą, ištrynimą, pašalinimą ar atšaukimą, blokuojami (scanner/src/login.js). Už prisijungimo niekas nepateikiama, ekrano kopijos nedaromos, o slapukai ir nuorodos į rezultatą nepatenka (scanner/src/login.js).
Ištrynimas yra galutinis: šifruotas tekstas perrašomas tokio paties ilgio atsitiktiniais duomenimis, eilutė ištrinama, o laukiančios užduotys išvalomos (cfg/login_lib.php). Ištrynus domeną, eilutė automatiškai išnyksta per išorinį raktą.

6.6 Pristatymo patikrinimas

Pristatymo patikrinimas atsako į klausimą, ar el. laiškas iš kontaktinės formos tikrai pasiekia adresatą, ir įvertina jo autentiškumo požymius. Jis pasirenkamas, pagal numatytuosius nustatymus išjungtas, ir jam reikia sukonfigūruotos kontrolinės pašto dėžutės (cfg/zustellung_lib.php).

Klientui jį įjungus, domenas gauna atsitiktinę žymą. Klientas kontrolinį adresą su šia žyma įveda savo formoje kaip nematomą kopiją (BCC).
Nuo tada kiekvienas formos el. laiškas taip pat siunčiamas į kontrolinę pašto dėžutę: mūsų pažymėti bandomieji pateikimai ir visos tikros lankytojų žinutės. El. laiškai patenka tiesiai į pašto dėžutę pas Namecheap, Inc. (Private Email), Phoenix, Arizona, USA – jie pasiekia ją tik tada, kai mūsų domeno MX įrašai nurodo ten; per peradresavimą, pavyzdžiui, pas domenų registratorių Namecheap, Inc., jie pašto dėžutės nepasiekia – ir lieka ten, kol paimami.
Būsenos procesas pašto dėžutę tikrina kas penkias minutes (srv/cron_status.php). Kiekvieno el. laiško jis nuskaito antraštes ir ne daugiau kaip pirmuosius 8 KB teksto, nepažymėdamas jų kaip perskaitytų (cfg/zustellung_lib.php).
Iš antraščių jis nustato žymą, taigi ir domeną, o iš teksto, jei taikoma, mūsų patikrinimo identifikatorių (cfg/zustellung_lib.php). Išsaugomas laikas, domenas ir, jei taikoma, patikrinimo identifikatorius (cfg/zustellung_lib.php) – 180 dienų (cfg/zustellung_lib.php).
Iš antraščių jis įvertina SPF, DKIM ir DMARC ir rezultatą išsaugo prie domeno: patikrinimų rezultatus, siuntėjo adreso domeną, parašų domenus ir siunčiančiojo pašto serverio adresą (cfg/zustellung_lib.php). Jei rezultatas pablogėja, klientui vieną kartą išsiunčiamas įspėjimas, kuriame gali būti nurodytas siuntėjo domenas (cfg/zustellung_lib.php).
Tada jis kiekvieną paimtą el. laišką, įskaitant tą, kurio nepavyko priskirti jokiam domenui, pažymi ištrinti ir proceso pabaigoje pašalina jį iš pašto dėžutės (cfg/zustellung_lib.php). Jei procesas nutrūksta anksčiau, el. laiškai lieka iki kito sėkmingo proceso.
Pristatymo įrodymu laikoma tik būtent atitinkamo patikrinimo kopija (cfg/zustellung_lib.php). Jei ji negaunama per tris valandas (delivery_wait_h), paslauga praneša „Pristatymo nėra“.

Tikrų žinučių tekstas niekada neįrašomas į duomenų bazę, kaip ir lankytojo adresas. Vis dėlto abu yra nuskaitomi: paimant kiekvieno el. laiško pirmieji 8 KB įkeliami į atmintį, kad būtų ieškoma patikrinimo identifikatoriaus.

6.7 Spiečiaus apsauga

WordPress įskiepio apsaugos sluoksnis sustabdo žinutę kaip šlamštą ir suskaičiuoja joje esančių nuorodų domenus. Kartą per dieną įskiepis praneša mums šiuos domenus su atvejų skaičiumi, ne daugiau kaip 60 per dieną; jokių adresų, jokio teksto, jokių IP adresų (cfg/swarm_lib.php).
Kartą per dieną iš to sudarome sąrašą: domenas į jį įtraukiamas, jei per septynias dienas apie jį pranešė bent trys skirtingos svetainės ir su bent penkiais atvejais (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Didelės paslaugos iš fiksuoto išimčių sąrašo ir mūsų klientų domenai, abiem atvejais įskaitant subdomenus, į sąrašą niekada neįtraukiami (cfg/swarm_lib.php).
Sąrašas su atsakymu į kasdienį pranešimą siunčiamas visoms prijungtoms svetainėms. Jų apsaugos sluoksnis žinutes su nuorodomis į sąraše esančius domenus perkelia į karantiną, o ne į šiukšlinę.
Tai, kas naujajame sąraše nebepasirodo, iš jo iškrenta; pranešimai ištrinami po 30 dienų (cfg/swarm_lib.php).
IP tinklai (/24 arba /48) parengti, tačiau išjungti, kol bus baigta teisinė peržiūra (cfg/swarm_lib.php).

6.8 Dirbtinio intelekto naudojimas

Kalbos modelis veikia mūsų pačių tikrinimo serveryje, o ne pas DI paslaugų teikėją. Jis naudojamas dviejose vietose: tikrinimo paslaugoje jis klasifikuoja formas, kurių tipo taisyklės neatpažįsta; tai darydamas jis mato puslapio pavadinimą, puslapio adresą, pateikimo mygtukų etiketes, laukų tipus, pavadinimus, etiketes ir vietos rezervavimo tekstus bei iki 400 formos teksto simbolių (scanner/src/classify.js). Jo klausiama tik tada, kai taisyklės grąžina „nežinoma“; tokiu būdu klasifikuotos formos niekada nepateikiamos ir neįskaičiuojamos į balą ir verdiktą. Balas, verdiktas, piktnaudžiavimo prevencija, spiečiaus apsauga ir šlamšto taisyklės yra fiksuotos taisyklės, o ne DI. Funkcijoje „Fix it for me“ jis perrašo įklijuotą formos kodą; kodas nesaugomas. Modelis nepriima jokių sprendimų dėl žmonių. Daugiau apie tai – puslapyje ES dirbtinio intelekto aktas: kaip formexposed naudoja DI.

6.9 Teisiniai pagrindai

Duomenų tvarkymo operacija	Teisinis pagrindas
P1 Nemokamas patikrinimas: užklausto domeno tikrinimas; limitai ir piktnaudžiavimo prevencija	prašančio asmens atžvilgiu – Art. 6(1)(b); operatoriaus ir vaizduose matomų asmenų atžvilgiu – Art. 6(1)(f); piktnaudžiavimo prevencija – Art. 6(1)(f)
P2 Potencialaus kliento patikrinimas	Art. 6(1)(f) (teisėtas agentūros ir formexposed interesas)
P3 Tyrimas	Art. 6(1)(f)
P4 Klientų domenų tikrinimas	Art. 6(1)(b) kliento atžvilgiu; trečiųjų asmenų duomenims jo svetainėje – kliento nurodymai pagal Art. 28
P5 Patikrinimas už prisijungimo	Kliento nurodymai pagal Art. 28; kliento teisinis pagrindas
P6 Pristatymo patikrinimas	Kliento nurodymai pagal Art. 28; kliento teisinis pagrindas (mūsų klientams siūlomame tekste – Art. 6(1)(f))
P7 Spiečiaus apsauga	Art. 6(1)(f) (bendra apsauga nuo šlamšto daugelyje svetainių)

Mūsų teisėtas interesas P1–P3 atveju – parodyti operatoriams ir jų paslaugų teikėjams jų formų trūkumus, kol jie nepanaudoti šlamštui ar piktnaudžiavimui, ir teikti paslaugą. Duomenys gaunami iš viešai prieinamų šaltinių. Interesų pusiausvyra išdėstyta 7 skirsnyje; ar Art. 6(1)(f) pagrindžia trečiųjų šalių svetainių tikrinimą pagal užklausą, yra atviras teisinės peržiūros klausimas.

6.10 Gavėjai ir perdavimas į trečiąsias valstybes

Gavėjas	Kas	Duomenų tvarkymo operacija	Būsena
Niekas už formexposed ribų	Patikrinimų rezultatai, ekrano kopijos, kalbos modelio klasifikavimas	P1–P5	Tikrinimo paslauga ir kalbos modelis veikia mūsų pačių serveriuose; tikrinimo roboto tikrinimo kelyje nerasta jokio kreipimosi į trečiąją šalį, išskyrus pačią tikrinamą svetainę, paslaugas, kurių turinį ji įterpia (kaip ir bet kurio lankytojo atveju), ir RDAP paslaugą rdap.org domeno amžiui nustatyti (tik domeno vardas); stebėsenos tikrintuvai išvardyti kitoje eilutėje
Kiekvienas, žinantis nuorodą	Ataskaita su radiniais ir ekrano kopijomis	P1, P2, P4	128 bitų atsitiktinė nuoroda (`cfg/check_lib.php`), puslapiai su `noindex` (`www/report.php`)
Paslaugos, kurių užklausia kliento domeno stebėsena	DNS blokavimo sąrašai (SpamCop, PSBL, Mailspike, SURBL): serverių domenai ir IP adresai, jokių lankytojų duomenų; Google Web Risk – tik jei sukonfigūruota: pagrindinio puslapio adresas; laiko žymų tarnybos Certum ir DigiCert: tik įrodymų žurnalo maišos reikšmė; RDAP per IANA registrą: tik domeno vardas; paslaugų teikėjų būsenos puslapiai: nieko neperduodama; wpvulnerability.net: įskiepio (be versijos) ar temos identifikatorius ir WordPress versija	P4	naudojama; išsamiau – Duomenų tvarkymo veiklos įrašuose ir puslapyje Pagalbiniai duomenų tvarkytojai
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Kontrolinės kopijos, įskaitant tikras lankytojų žinutes	P6	Sutartis dar nesudaryta; duomenų tvarkymo vieta ir perdavimo mechanizmas dar turi būti išnagrinėti
Namecheap, Inc. (JAV)	Registratorius ir DNS; kol bus sukurta pašto dėžutė – bendrųjų el. laiškų peradresavimas į mūsų domeno adresus, bet ne kontrolinių kopijų (jos pašto dėžutę pasiekia tik per tiesiai į ją nukreiptus MX įrašus)	– (jokių kontrolinių kopijų)	Perdavimo mechanizmas turi būti išnagrinėtas
Kliento pasirinkti įspėjimų kanalai (el. paštas, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	Įvykis, domenas, nuoroda; autentiškumo patikrinimo atveju – siuntėjo domenas, jei jis nepriklauso svetainei	P4, P6	adresatą pasirenka klientas; iš dalies už ES ribų. Telegram žinutes siunčiame per savo robotą; perdavimo mechanizmas šiuo atveju yra atviras teisinės peržiūros klausimas
Visos prijungtos svetainės	Nuorodų domenų sąrašas	P7	per atsakymą įskiepiui
Antrasis zondas	Domenas, formos adresas, selektorius, žingsniai	P4	išjungtas

6.11 Saugojimas – išmatuotas, o ne numatytas

Ištrynimas dažniausiai vyksta naktį 03:00 būsenos proceso metu (srv/cron_status.php, cfg/fristen_lib.php); spiečiaus apsaugos pranešimai ir potencialių klientų eilutės ištrinamos kasdien nuo 04:00, pristatymo patikrinimo priskyrimai – kiekvieno paėmimo metu; anoniminės ir potencialių klientų ataskaitos ištrinamos pagal jų galiojimo pabaigos datą (cfg/check_lib.php). Ekrano kopijos ištrinamos iš disko kartu su jų patikrinimu (cfg/fristen_lib.php).

Duomenys	Terminas pagal kodą	Šaltinio nuoroda	Išvada
Nemokamas patikrinimas, įskaitant vaizdus	30 dienų	`cfg/check_lib.php`	veikia
Potencialaus kliento patikrinimas, įskaitant vaizdus	90 dienų	`cfg/akquise_lib.php`; `srv/cron_status.php` (potencialių klientų eilutės)	veikia
Kliento domeno patikrinimai	13 mėn.; paskutinis saugomas tol, kol egzistuoja domenas	`cfg/fristen_lib.php`	veikia
Naršyklės kelių rezultatai, įskaitant užtamsintus vaizdus	13 mėn.	`cfg/fristen_lib.php`	veikia
Ištrinto domeno duomenys	nedelsiant; likučiai – naktį	`cfg/fristen_lib.php` (`fe_domain_loeschen()`, `fe_fristen_lauf()`)	veikia, įskaitant scenarijų inventorių ir scenarijų pakeitimus, kurie be to neturi savo saugojimo termino (žr. Duomenų tvarkymo veiklos įrašus)
Tyrimas: neapdoroti duomenys, įskaitant vaizdus	paskelbus	`cfg/studie_lib.php`	nepaskelbus – be laiko apribojimo; patikrintų pagrindinių kompiuterių sąrašas lieka be laiko apribojimo net ir paskelbus
Vidiniai patikrinimai be domeno ir be ataskaitos	nėra	–	netrinama; išmatuota: 85 patikrinimai su 369 vaizdais nuo 2026 m. rugsėjo 22 d. (R4)
Pristatymo patikrinimo priskyrimai	180 dienų	`cfg/zustellung_lib.php`	veikia
Autentiškumo patikrinimo rezultatas prie domeno	iki kito rezultato arba domeno ištrynimo	`cfg/zustellung_lib.php`	perrašomas, laiko neribojamas
Kontrolinės kopijos pašto dėžutėje	iki kito sėkmingo paėmimo (penkių minučių intervalas)	`cfg/zustellung_lib.php`	kopijos ir atsarginės kopijos pas pašto dėžutės paslaugų teikėją nepatikrintos
Prisijungimo duomenys patikrinimui už prisijungimo	kol ištrina klientas arba ištrinamas domenas; užduotyje – ne ilgiau kaip iki proceso pabaigos, likučiai – po vienos valandos	`cfg/login_lib.php`	veikia; atsarginėse kopijose – tik kaip šifruotas tekstas iki 14 dienų
Pranešimai spiečiaus apsaugoje	30 dienų	`cfg/swarm_lib.php`	veikia
Nemokamo patikrinimo limitai (IP, šalis, sesijos maišos reikšmė)	7 dienos	`srv/cron_status.php`	veikia
Žymos apie įtartiną elgesį su IP adresu	90 dienų po išsprendimo	`srv/cron_status.php`	neišspręstos žymos – be laiko apribojimo; išmatuota: 3 žymos, visos išspręstos
IP adresas, šalis, naršyklė, susiję su išskyrimu (opt-out)	12 mėn.; išskyrimas lieka	`cfg/fristen_lib.php`	veikia
Duomenų bazės atsarginės kopijos	14 dienų	`cfg/backup_lib.php`	veikia; šiuo metu atsarginės kopijos saugomos toje pačioje vietoje kaip ir duomenų bazė ir nėra atskirai užšifruotos; planuojama užšifruota kopija antroje vietoje (R13)

7. b) Būtinumo ir proporcingumo vertinimas

Matas – nurodyti tikslai: parodyti operatoriams, ar jų formos apsaugotos nuo šlamšto ir piktnaudžiavimo (P1–P5), patikrinti, ar formų el. laiškai pasiekia adresatą ir atrodo autentiški (P6), ir bendrai apsisaugoti nuo šlamšto daugelyje svetainių (P7). Šie tikslai yra teisėti. Klausimas pagal Art. 35(7)(b) yra siauresnis: ar šis duomenų tvarkymas tokiu gyliu būtinas tikslui ir ar įsikišimas proporcingas naudai?

Sudedamoji dalis	Ar būtina tikslui?	Ar proporcinga sukurtu pavidalu?
Kelių viešų puslapių atsisiuntimas, formų struktūra, aptiktos apsaugos priemonės	Taip. Be jų nėra išvados.	Taip. Ne daugiau kaip aštuoni puslapiai (ir 6.1 skirsnyje nurodyti rodiniai), paisoma pagrindinio puslapio draudimo robots.txt faile, jokių matomų laukų reikšmių, gavėjų adresai – tik kaip domenas.
Kiekvienos formos ekrano kopija	Taip, kaip įrodymas ataskaitoje: operatorius mato, apie kurią formą kalbama.	Iš esmės taip. Laukai tušti, nes tikrinimo robotas nieko neįveda. Tačiau vaizde matoma formos elemento aplinka, nieko neužtamsinant (R3).
Pagrindinio puslapio ekrano kopija	Pačiai išvadai nereikalinga. Ji padeda atpažinti patikrintą svetainę ataskaitoje.	Tik iš dalies; planuojamas tolesnis mažinimas. Pagrindiniuose puslapiuose dažnai matomi žmonės: komandų nuotraukos, kontaktiniai asmenys, klientų atsiliepimai su vardais. Žr. R3 ir 9.3 skirsnį.
Paslėptų laukų reikšmių nuskaitymas (pirmieji 24 simboliai, tik patikrinimo metu)	Taip: iš jų aptinkami žetonai ir laiko žymos.	Taip. Išsaugomas tik aptikimo rezultatas, o ne reikšmė, taip pat ir už prisijungimo (R8).
Atsakymo į bandomąjį pateikimą puslapis (vaizdas ir 300 teksto simbolių)	Taip, kaip įrodymas, kaip forma sureagavo.	Taip. Atsakymas susijęs su mūsų pažymėta bandomąja žinute be asmens duomenų.
Kalbos modelio klasifikavimas	Naudinga, bet nebūtina: be jo daugiau formų lieka „nežinomos“.	Taip. Vietinis, be atskleidimo, be teisės pateikti.
Aktyvūs bandomieji pateikimai	Taip. Ar apsauga veikia, paaiškėja tik ją išbandžius.	Taip, su riba ir žymėjimu. Tačiau prielaida – įgaliojimų įrodymas – niekada neatnaujinama (R7).
Atvirų failų paieška	Taip – klientui, kurio formų duomenys ten gali būti atviri.	Taip. Tik patvirtinti domenai, ne daugiau kaip 8 KB, turinys niekada nesaugomas.
Patikrinimas už prisijungimo	Taip – narių srities formoms, kurios kitaip liktų nepatikrintos.	Iš esmės taip. Šifravimas ir ištrynimas sukurti kruopščiai; tačiau prisijungimas priima nešifruotus ryšius ir klaidingus sertifikatus (R8).
Tikrų lankytojų žinučių kontrolinė kopija	Pristatymo įrodymui – ne. Jis remiasi tik mūsų patikrinimo kopija (`cfg/zustellung_lib.php`). Tikros žinutės patenka kartu, nes nematoma kopija formoje neskiria patikrinimo nuo tikros žinutės. Jos naudingos autentiškumo patikrinimui (SPF, DKIM, DMARC), nes parodo faktinį siuntimo kelią.	Iš dalies. Turinys nesaugomas, bet nuskaitomas, ir iki paėmimo lieka pas pašto dėžutės paslaugų teikėją, kurio sutartis dar neišspręsta (R1, R2). Techniškai įmanomas mažiau ribojantis sprendimas: su mūsų įskiepiu nematoma kopija galėtų būti apribota pažymėtomis bandomosiomis žinutėmis (9.3 skirsnis).
Tikrų žinučių siuntėjo domeno saugojimas	Iš dalies: jis parodo, ar forma siunčia lankytojo adresu kaip siuntėju (dažna priežastis, kodėl laiškas laikomas šlamštu).	Sąlygiškai. Asmeniui su savo domenu domenas yra asmens duomenys, ir jis patenka į įspėjimą klientui ir jo kanalams (R1).
Bendras nuorodų domenų sąrašas	Taip. Šlamšto nuoroda, kuri vienu metu pasirodo daugelyje svetainių, yra stiprus signalas, kurio atskira svetainė neturi.	Taip, su minimaliais skaičiais, išimtimis ir karantinu vietoj ištrynimo. IP tinklai be naujo vertinimo nebūtų proporcingi.
Tyrimo neapdoroti duomenys	Iki įvertinimo – taip.	Be didžiausio termino – ne (R4).
Ataskaita atsitiktine nuoroda	Taip. Ataskaitos perdavimas – pavyzdžiui, svetainę prižiūrinčiam paslaugų teikėjui – yra nemokamo patikrinimo tikslas.	Taip. 128 bitų atsitiktinė nuoroda, `noindex`, nemokama ataskaita – tik ištrauka (`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`), ištrynimas po 30 dienų.

Teisėtumas. P1–P3 ir P7 atveju remiamės Art. 6(1)(f). Pusiausvyros naudai: duomenys yra vieši ir atsisiunčiami taip pat, kaip tai daro bet kuris lankytojas; nieko nepateikiama; asmens duomenys yra atsitiktiniai ir nereikšmingi; terminai trumpi; operatorius gali išskirti tolesnius tikrinimo roboto patikrinimus pagrindinio puslapio draudimu robots.txt faile, o bet kokį tolesnį patikrinimą – per mūsų išskyrimo (opt-out) puslapį, nedelsiant ir be įrodymo; nauda – apsaugota forma – tenka ir operatoriui bei jo lankytojams. Prieš: operatorius nieko nesužino apie patikrinimą, ataskaita skirta tretiesiems asmenims, o individualių verslininkų atveju ji vertina asmenį. Pusiausvyrą laikome pagrįsta tol, kol taikomos 9.1 skirsnio priemonės; teisinis patvirtinimas dar laukiamas.

Informavimas duomenų subjektams (Art. 13 ir 14). Operatorius ir asmenis patikrintuose puslapiuose informuojame per tikrinimo roboto puslapį, kuris nurodomas kiekvieno atsisiuntimo identifikatoriuje, per Privatumo politiką ir per išskyrimo (opt-out) puslapį. Asmenis, kurie atsitiktinai matomi ekrano kopijoje, informuoti atskirai būtų įmanoma tik juos identifikavus – o tai būtų dar vienas, rimtesnis įsikišimas. Tiek, kiek tai susiję, remiamės Art. 14(5)(b). Lankytojus, kurių žinutės praeina per kontrolinę kopiją, informuoja klientas; to reikalauja Duomenų tvarkymo sutartis, ir tam pateikiame teksto bloką.

Duomenų kiekio mažinimas (Art. 5(1)(c)). Jis matomas daugelyje vietų ir pagrįstas kodu: jokių laukų reikšmių, gavėjų adresai – tik kaip domenas, paskyrų identifikatoriai scenarijų adresuose paslėpti, duomenų bazėje nėra kontrolinės kopijos turinio, už prisijungimo nedaromos ekrano kopijos, spiečiaus apsaugoje – tik domenai. Dviejose vietose įmanomas ir planuojamas tolesnis mažinimas (9.3 skirsnis): pagrindinio puslapio ekrano kopijos be užtamsinimo ir tikrų žinučių siuntėjo domeno atveju.

Saugojimo apribojimas (Art. 5(1)(e)). Nuo 2026 m. rugsėjo 27 d. naktinis procesas laikosi Privatumo politikoje nurodytų klientų duomenų terminų ir išvalo duomenis, likusius be susieto domeno iš ankstesnio laikotarpio (cfg/fristen_lib.php). Lieka du keliai be laiko apribojimo: vidiniai patikrinimai ir nepaskelbti tyrimai (R4).

Tikslumas (Art. 5(1)(d)). Radinys gali būti klaidingas: forma atrodo neapsaugota, nes apsauga įkeliama tik po sąveikos, arba ugniasienė su tikrinimo robotu elgėsi kitaip nei su lankytoju. Operatoriui, kurio svetainė viešai platinama kaip „Atvira“, tai reputacijos klausimas. Todėl ataskaitoje nurodomas metodas, pateikiami įrodymai ir nurodomos patikrinimo iš išorės ribos.

Proporcingumo rezultatas: trečiųjų šalių ir nuosavų svetainių tikrinimas sukurtu pavidalu iš esmės yra proporcingas. Trijose vietose yra tobulinimo poreikis, kurį galima pašalinti įprastomis priemonėmis ir kuriam planuojamos priemonės (9.3 skirsnis): pagrindinio puslapio ekrano kopijos, vidiniai patikrinimai be laiko apribojimo ir nešifruotas prisijungimas patikrinimo už prisijungimo metu. Pristatymo patikrinimas yra proporcingas bandomajai kopijai ir autentiškumo patikrinimui; tikroms lankytojų žinutėms jis toks tik tol, kol jų turinys nesaugomas, kelias per pašto dėžutės paslaugų teikėją užtikrintas sutartimi ir klientas informuoja savo lankytojus. Šiandien trūksta antrojo iš šių trijų punktų.

8. c) Rizikos duomenų subjektų teisėms ir laisvėms vertinimas

Vertinama rizika duomenų subjektams, o ne formexposed. Tikimybė vertinama kaip maža, galima, tikėtina arba įvykusi; „įvykusi“ reiškia, kad įvykis yra ne prognozė, o išmatuota būklė. Sunkumas vertinamas kaip ribotas, reikšmingas, rimtas arba labai rimtas, priklausomai nuo to, ką asmuo gali prarasti: savo žinutės konfidencialumą, paskyros kontrolę, savo verslo reputaciją, galimybę pasinaudoti teise. Lygis nustatomas pagal abu ir apibūdina dabartinę būklę su 9.1 skirsnio priemonėmis.

Nr.	Rizika	Duomenų tvarkymo operacija	Tikimybė	Sunkumas	Lygis
R1	Tikros lankytojų žinutės kontrolinėje kopijoje, įskaitant galimus specialių kategorijų duomenis	P6	Įvykusi, kai tik įjungiama	Rimtas	Didelis
R2	Kontrolinės kopijos kelias per pašto dėžutės paslaugų teikėją be sudarytos sutarties ir su galimu ryšiu su trečiąja valstybe	P6	Tikėtina, kol trūksta sutarties	Rimtas	Didelis
R3	Trečiųjų šalių svetainių ekrano kopijos be užtamsinimo	P1–P4	Tikėtina	Ribotas	Vidutinis
R4	Patikrinimų duomenys ir ekrano kopijos be trynimo būdo	P3, vidiniai patikrinimai	Įvykusi	Reikšmingas	Didelis
R5	Trečiųjų šalių svetainių tikrinimas ir viešas vertinimas operatoriui nežinant; piktnaudžiavimas kaip žvalgybos įrankiu	P1	Galima	Reikšmingas	Vidutinis
R6	Potencialaus kliento patikrinimas kaip neprašyto kreipimosi pagrindas	P2	Tikėtina	Ribotas	Vidutinis
R7	Įgaliojimų įrodymas niekada neatnaujinamas	P4, P5	Galima	Reikšmingas	Vidutinis
R8	Prisijungimo duomenys ir turinys patikrinimo už prisijungimo metu	P5	Galima	Rimtas	Vidutinis; tikroms paskyroms – didelis
R9	Aktyvūs bandomieji pateikimai ir failų patikrinimas kliento svetainėje	P4	Maža	Reikšmingas	Mažas
R10	Kalbos modelio klasifikavimas	P1–P4	Maža	Ribotas	Mažas
R11	Bendras blokavimo sąrašas iš daugelio svetainių pranešimų	P7	Galima	Ribotas	Mažas–vidutinis; su IP tinklais – didelis
R12	Ataskaitos ir ekrano kopijos vieša nuoroda	P1, P2, P4	Galima	Ribotas	Mažas
R13	Infrastruktūros trūkumai: atsarginės kopijos, prieiga prie serverių, tikrinimo serveris	visos	Galima	Rimtas	Didelis
R14	Duomenų subjektų teisės asmenims, kurie mūsų nepažįsta	P1–P6	Tikėtina	Ribotas	Mažas

R1 – Tikros lankytojų žinutės kontrolinėje kopijoje

Tai rimčiausia paslaugos rizika, ir ji kyla ne dėl klaidos, o dėl paties sumanymo. Nematoma kopija formoje neskiria mūsų bandomosios žinutės nuo lankytojo žinutės. Jei klientas įjungia pristatymo patikrinimą, kiekviena per tą formą išsiųsta žinutė pasiekia mūsų kontrolinę pašto dėžutę (cfg/zustellung_lib.php). Paimant antraštės ir pirmieji 8 KB teksto įkeliami į atmintį, kad būtų ieškoma mūsų patikrinimo identifikatoriaus (cfg/zustellung_lib.php). Įprastos kontaktinės formos atveju tai reiškia vardą, el. pašto adresą, telefono numerį ir visą žinutę.

Ką lankytojas rašo, priklauso nuo jo, o laukas skatina asmeninį turinį: prašymas medicinos praktikai skirti vizitą su simptomų aprašymu, teisinio ginčo aprašymas advokatų kontorai, prašymas priimti į darbą, užklausa mokyklai dėl vaiko. Mūsų teisiniuose dokumentuose nurodyta, kad kopijose „neturėtų būti specialių kategorijų asmens duomenų“. Tai prašymas klientui, o ne apsaugos priemonė: nei jis, nei mes iš anksto nežinome, ką lankytojas parašys.

Prie to priskiriami du šalutiniai keliai. Pirma, autentiškumo patikrinimas prie domeno išsaugo siuntėjo adreso domeną (cfg/zustellung_lib.php). Jei forma siunčia lankytojo adresu kaip siuntėju, tai yra lankytojo domenas – didelio pašto paslaugų teikėjo atveju beprasmis, tačiau asmeniui su savo domenu tai asmens duomenys. Šis domenas taip pat nurodomas įspėjime, kuris siunčiamas klientui ir jo pasirinktiems kanalams (cfg/zustellung_lib.php). Antra, išsaugomas siunčiančiojo pašto serverio adresas (cfg/zustellung_lib.php); paprastai tai yra svetainės, o ne lankytojo serveris.

Tikimybė – įvykusi, kai tik įjungiama. Klausimas ne tas, ar tikros žinutės ateina, o kiek jų ateina. Išmatuota kūrimo sistemoje: funkcija neįjungta jokiam domenui. Sunkumas – rimtas. Žinutės įmonei konfidencialumas daugeliui žmonių svarbus, o kai kurių tipinių klientų atveju tikėtina duomenų pagal Art. 9. Sunkumą mažina tai, kad turinys nepatenka į duomenų bazę, pašto dėžutėje lieka tik trumpai ir jo neskaito joks formexposed darbuotojas. Lygis – didelis.

R2 – Kontrolinės kopijos kelias per pašto dėžutės paslaugų teikėją be sudarytos sutarties

Prieš tai, kai mūsų paėmimas pamato kontrolinę kopiją, ji laikoma pašto dėžutėje pas Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Ji ten patenka tik tada, kai mūsų domeno MX įrašai nurodo tiesiai į šią pašto dėžutę; peradresavimas pas domenų registratorių Namecheap, Inc. nėra kontrolinių kopijų kelio stotelė (per peradresavimą jos pašto dėžutės nepasiekia). Likusiai stotelei sutartinis reguliavimas dar neišspręstas: sutartis su pašto dėžutės paslaugų teikėju nesudaryta, jo saugojimo vietos, kiti duomenų tvarkytojai ir atsarginių kopijų terminai nenustatyti, o ar jo duomenų tvarkymo vietai reikalingas ir taikomas sprendimas dėl tinkamumo ar standartinės sutarčių sąlygos – neaišku. Mūsų pačių operaciniams el. laiškams tai yra sutarties sudarymo klausimas. Kontrolinių kopijų atveju tai rimtesnis dalykas: čia tai duomenys, kuriuos gauname kaip duomenų tvarkytojas, o kiekvienas kelyje esantis paslaugų teikėjas yra kitas duomenų tvarkytojas, už kurį atsakome pagal Art. 28(4).

Be to, „ištrinama po paėmimo“ taikoma tik mūsų matomai pašto dėžutės daliai. Ar paslaugų teikėjas ištrintus el. laiškus laiko savo atsarginėse kopijose ar šiukšlinėje ir kiek laiko, nepatikrinta. Jei paėmimas nutrūksta, el. laiškai lieka iki kito sėkmingo proceso (cfg/zustellung_lib.php); jei sugenda būsenos procesas, jie lieka neribotą laiką. Galiausiai paties paėmimo apsauga yra vienas iš punktų, kuriuos prieš paleidimą reikia patikrinti gamybinėje sistemoje (9.3 skirsnis).

Tikimybė – tikėtina, kol trūksta sutarties: kiekviena kontrolinė kopija keliauja šiuo keliu. Sunkumas – rimtas, dėl tų pačių priežasčių kaip R1. Lygis – didelis. Programos sąrankos sąraše trūkstama pašto dėžutė nurodoma kaip įspėjimas; nėra užrakto, kuris blokuotų pristatymo patikrinimą be dokumentuotos sutarties.

R3 – Trečiųjų šalių svetainių ekrano kopijos be užtamsinimo

Tikrinimo robotas padaro pirmojo puslapio matomos srities ekrano kopiją ir kiekvienos matomos formos elemento vaizdą (scanner/src/crawl.js). Tai darant nieko neužtamsinama. Naršyklės kelių atveju yra kitaip: ten įvesties laukai užmaskuojami prieš darant ekrano kopiją (scanner/src/browser.js). Taigi „išvalyti“ yra tik naršyklės kelių vaizdai, bet ne tikrinimo roboto vaizdai ir ne aktyvaus patikrinimo atsakymo puslapio vaizdas.

Kadangi tikrinimo robotas nieko neįveda, formų laukai tušti. Tačiau mažos įmonės pagrindiniame puslapyje dažnai matomas savininkas, komanda, klientų atsiliepimai su vardais ir nuotraukomis arba pokalbių langas su darbuotojo nuotrauka. Visa tai vieša; ekrano kopija paverčia tai kopija, kuri saugoma pas mus, rodoma ataskaitoje ir gali būti perduota su nuoroda.

Tikimybė – tikėtina. Kūrimo sistemos duomenų rinkinyje išmatuotos 432 ekrano kopijos. Sunkumas – ribotas: turinys jau yra viešas, o patikrinimų be paskyros terminai trumpi. Lygis – vidutinis, nes vaizduojami asmenys apie tai nežino, o pagrindinio puslapio vaizdas išvadai nereikalingas.

R4 – Patikrinimų duomenys ir ekrano kopijos be trynimo būdo

Naktinis procesas patikrinimus ištrina dviem būdais: pagal ataskaitos galiojimo pabaigos datą (cfg/check_lib.php) ir pagal kliento domeno patikrinimų terminą (cfg/fristen_lib.php, tik patikrinimams su domenu). Patikrinimas, neturintis nei ataskaitos, nei domeno, praslysta pro abu tinklus. Tai patikrinimai, kurių patikimumo lygis „vidinis“: tyrimai ir patikrinimai, kuriuos paslaugų teikėjas sukuria iš komandinės eilutės.

Tyrimai savo neapdorotus duomenis ištrina paskelbus (cfg/studie_lib.php). Jei tyrimas niekada nepaskelbiamas – nes jame per mažai svetainių su forma (tada cfg/studie_lib.php atsisako paskelbti) arba nes jis paliekamas, – patikrinimai, formos, radiniai ir ekrano kopijos lieka be laiko apribojimo.
Vidiniai patikrinimai iš komandinės eilutės apskritai neturi trynimo būdo. Išmatuota 2026 m. spalio 11 d.: 85 tokie trečiųjų šalių svetainių patikrinimai su 978 formomis ir 369 ekrano kopijomis, seniausias – 2026 m. rugsėjo 22 d., nė vienas neturi ataskaitos ar domeno.
Žymos apie įtartiną elgesį nemokamo patikrinimo metu turi IP adresą ir ištrinamos praėjus 90 dienų po jų išsprendimo (srv/cron_status.php). Niekada neišspręsta žyma lieka. Išmatuota: trys žymos, visos išspręstos.

Tikimybė – įvykusi. 85 patikrinimai nėra scenarijus, o esami duomenys. Kūrimo sistemoje tai lauko bandymo patikrinimai; gamybinėje sistemoje taikomas tas pats kodas. Sunkumas – reikšmingas: šiems duomenims nėra saugojimo termino. Saugojimo apribojimo principo (Art. 5(1)(e)) atžvilgiu tai atviras klausimas su planuojama priemone (9.3 skirsnis, prioritetas „pirmiausia“), ir jis daro poveikį būtent asmenims, kurie nieko nežino apie patikrinimą. Vidiniai patikrinimai aprašyti Duomenų tvarkymo veiklos įrašuose; Privatumo politikoje jie dar nėra įvardyti atskirai (9.4 skirsnis). Lygis – didelis.

R5 – Trečiųjų šalių svetainių tikrinimas ir viešas vertinimas operatoriui nežinant

Bet kas gali patikrinti bet kurią viešai prieinamą svetainę, be paskyros ir neturėdamas su ja jokio ryšio. Operatorius apie tai neinformuojamas. Rezultatas – ataskaita, kuri svetainę įvertina kaip „Atvira“, „Iš dalies apsaugota“ arba „Apsaugota“ ir kurią gali matyti kiekvienas, turintis nuorodą. Duomenų subjektams galimos dvi pasekmės. Individualiam verslininkui viešai – nors tik nuorodos gavėjams – suteikiamas įvertinimas, kuris gali būti klaidingas radinys. O ataskaita šlamšto siuntėjui parodo, kurią formą galima užpildyti be kliūčių.

Tam priešinasi keletas blokavimų (cfg/check_lib.php): ne daugiau kaip vienas patikrinimas vienam domenui per septynias dienas, po to – ta pati ataskaita; limitai kiekvienam IP adresui ir sesijai; dienos riba visai paslaugai; nevykdomi labai naujų domenų, būdingų piktnaudžiavimui, patikrinimai; žyma ir signalas įtartino elgesio atveju; robots.txt ir išskyrimas (opt-out), tikrinami du kartus (cfg/check_lib.php ir tikrinimo paslaugoje). Nemokama ataskaita yra ištrauka: joje rodomi tik pagrindiniai radiniai, o ne visų detektorių įrodymai. Ir joje nėra nieko, ko robotas negalėtų pats sužinoti per kelias sekundes – neapsaugota forma matoma iš išorės.

Tikimybė – galima. Sunkumas – reikšmingas individualiam verslininkui, kurio forma po ataskaitos tampa taikiniu arba kurio įvertinimas klaidingas. Lygis – vidutinis.

R6 – Potencialaus kliento patikrinimas kaip neprašyto kreipimosi pagrindas

Sąsajoje potencialaus kliento patikrinimas apibūdinamas kaip „durų atidarymo priemonė pirmam pokalbiui“. Kaip agentūra naudoja trumpą išvadą, sprendžia agentūra; techniškai ji gali ją nusiųsti ir operatoriui, kuris jos neprašė. Mes su niekuo nesusisiekiame (cfg/akquise_lib.php), o Paslaugų teikimo sąlygos įpareigoja agentūrą laikytis reklamos ir kreipimosi taisyklių. Tačiau neprašytas el. laiškas su išvada yra tiesioginė rinkodara net ir tarp įmonių, kuriai Lenkijoje (Elektroninių ryšių įstatymo (Prawo komunikacji elektronicznej, PKE) Art. 398) ir Vokietijoje (Vokietijos nesąžiningos konkurencijos įstatymo (Gesetz gegen den unlauteren Wettbewerb, UWG) § 7(2)) reikalingas išankstinis sutikimas. Sąsaja apie tai neįspėja; potencialaus kliento patikrinimo tekstuose kalbama tik apie „pasyvų“ ir „išskyrimo sąrašą“.

Tikimybė – tikėtina, nes funkcija skirta klientų paieškai, o mes negalime patikrinti, ar gavėjas davė sutikimą. Sunkumas – ribotas: operatoriui tai erzinantis rinkodaros el. laiškas su jo svetainės įvertinimu. Lygis – vidutinis. Rizika slypi agentūros elgesyje; kadangi funkcija yra mūsų, sąsajoje planuojamas įspėjimas (9.3 skirsnis).

R7 – Įgaliojimų įrodymas niekada neatnaujinamas

Aktyviems bandomiesiems pateikimams, atvirų failų paieškai ir patikrinimui už prisijungimo reikia, kad klientas būtų įrodęs turintis teisę kontroliuoti domeną. Šis įrodymas tikrinamas vieną kartą (cfg/verify_lib.php) ir daugiau niekada. Kode nėra būdo, kuriuo domenas prarastų savo įrodymą. Jei domenas pakeičia savininką, agentūra baigia savo įgaliojimą arba operatorius pašalina DNS įrašą, patikrinimai tęsiami – iki kasdienių, su iki penkiais bandomaisiais pateikimais ir, jei išsaugota, su bandomosios paskyros prisijungimu, apie kurį naujasis operatorius gali nežinoti. Tačiau neįmanoma pervadinant perkelti įrodymo kitam pagrindiniam kompiuteriui: domeno su įgaliojimų įrodymu pagrindinio kompiuterio vardo pakeisti negalima.

Tikimybė – galima: domenų ir įgaliojimų pasikeitimai agentūroms yra kasdienybė. Sunkumas – reikšmingas naujajam operatoriui ir jo darbuotojams, kurie gauna pažymėtas bandomąsias žinutes ir kurių svetainėje be jų sutikimo ieškoma atvirų failų. Lygis – vidutinis. Bandomosios žinutės pačios save paaiškina ir nurodo į tikrinimo roboto puslapį bei išskyrimą (opt-out); išskyrimas veikia ir prieš klientų patikrinimus.

R8 – Prisijungimo duomenys ir turinys patikrinimo už prisijungimo metu

Prisijungimo duomenų šifravimas sukurtas kruopščiai: išsaugojus jų nebegali perskaityti žiniatinklio serveris, duomenų bazėje ir atsarginėje kopijoje yra tik šifruotas tekstas, įrašas susietas su savo domenu, prisijungimo duomenys į konteinerį patenka tik per standartinę įvestį ir tada išvalomi iš atminties (6.5 skirsnis). Lieka dvi spragos; trečias punktas susijęs tik su nuskaitymu, o ne su saugojimu.

Leidžiamas nešifruotas prisijungimas. Adreso patikrinimas šalia https leidžia ir http (cfg/login_lib.php, scanner/src/login.js). Jei klientas įveda prisijungimo puslapį su http, naudotojo vardas ir slaptažodis kiekvieno patikrinimo metu keliauja internetu atviru tekstu.
Sertifikato klaidos prisijungimo nesustabdo. Šiuo metu prisijungimas nenutraukiamas, kai kliento svetainės sertifikatas negalioja (scanner/src/login.js). Todėl sertifikatas ne visiškai apsaugo prisijungimo duomenis pakeliui į kliento svetainę. Planuojama nutraukti esant sertifikato klaidoms (9.3 skirsnis, prioritetas „pirmiausia“).
Paslėptų laukų reikšmės už prisijungimo nuskaitomos, bet nesaugomos. Tikrinimo robotas nuskaito pirmuosius 24 paslėptų laukų reikšmės simbolius (scanner/src/crawl.js), ir ta pati išgavimo funkcija veikia už prisijungimo (scanner/src/login.js). Ten paslėptuose laukuose dažnai yra paskyros numeris, naudotojo identifikatorius ar prisijungusios paskyros el. pašto adresas; tačiau į laukų žemėlapį ir radinius patenka tik lauko pavadinimas, tipas, etiketė ir aptikimo rezultatas.

Prie to prisideda tai, ko kodas negali užkirsti: klientas patvirtina, kad naudoja bandomąją paskyrą su kuo mažesnėmis teisėmis (cfg/login_lib.php), tačiau gali įvesti tikrą administratoriaus paskyrą. Puslapius, kuriuos tada nuskaito tikrinimo robotas, nustato klientas; adresai, kuriuose yra žodžių, reiškiančių atsijungimą ir ištrynimą, blokuojami, tačiau kiti veiksmai, kuriuos svetainė inicijuoja paprasta užklausa, – ne.

Tikimybė – galima. Sunkumas – rimtas, jei paliečiama plačias teises turinti paskyra; tada atvira narių sritis su visų naudotojų duomenimis. Lygis – vidutinis bandomajai paskyrai su mažomis teisėmis, didelis – tikrai paskyrai. Išmatuota kūrimo sistemoje: neišsaugota jokia bandomoji paskyra.

R9 – Aktyvūs bandomieji pateikimai ir failų patikrinimas kliento svetainėje

Bandomasis pateikimas pasiekia asmenis, kurie skaito kliento formų el. laiškus, – jo darbuotojus arba paslaugų teikėją. Jame nėra asmens duomenų: siuntėjas yra dummy@formexposed.com, tekstas ir tema pažymėti ir nurodo patikrinimo identifikatorių (scanner/src/active.js). Rizika slypi klaidingame klasifikavime: jei tikrinimo robotas prašymo, rezervavimo ar konsultacijos formą palaikytų kontaktine forma, bandomoji žinutė patektų į procesą, turintį pasekmių. Tam priešinasi griežtos taisyklės dėl „pateikiamos“ formos (scanner/src/classify.js), valdžios institucijų, švietimo įstaigų, klinikų, medicinos praktikų, policijos ir teismų domenų blokavimas (scanner/src/classify.js) ir kalbos modelio pašalinimas iš šio sprendimo (scanner/src/classify.js). Iš atsakymo išsaugoma būsena, tikslinis adresas, pavadinimas, 300 teksto simbolių ir vaizdas; jie susiję su mūsų bandomąja žinute.

Failų patikrinimas iš tipinių kelių nuskaito ne daugiau kaip 8 KB. Jei ten tikrai atvira duomenų bazės iškeltinė kopija, šiuose 8 KB gali būti lankytojų įvestų formų duomenų. Jie tik patikrinami pagal parašą ir atmetami (cfg/dateien_lib.php); išsaugomas kelias, tipas ir rimtumas.

Tikimybė – maža. Sunkumas – reikšmingas. Lygis – mažas. Išmatuota kūrimo sistemoje: duomenų rinkinyje yra vienas aktyvus patikrinimas, be priimto pateikimo.

R10 – Kalbos modelio klasifikavimas

Formoms, kurių taisyklės neatpažįsta, kalbos modelis gauna puslapio pavadinimą, adresą, mygtukų tekstus, laukų aprašymus ir iki 400 formos teksto simbolių (scanner/src/classify.js). Tarp jų gali būti vardas, pavyzdžiui, „Jūsų kontaktinis asmuo: …“. Jis veikia mūsų pačių serveryje; pagal kodą niekas neperduodama trečiajai šaliai. Ar modelio programinė įranga registruoja užklausas, nepatikrinta. Jo rezultatas lemia tik rodomą formos tipą ir negali padaryti formos pateikiamos; klaidingas klasifikavimas lemia prastesnę išvadą, o ne veiksmą.

Tikimybė – maža. Sunkumas – ribotas. Lygis – mažas.

R11 – Bendras blokavimo sąrašas iš daugelio svetainių pranešimų

Dėl sąraše esančio domeno žinutės su nuorodomis į jį visose prijungtose svetainėse patenka į karantiną. Jei domenas priklauso asmeniui – amatininkui, fotografui, tinklaraščiui, – jo žinutės su nuoroda į jo paties svetainę gavėjus pasiekia pavėluotai. Toks domenas gali patekti į sąrašą, nes jį piktnaudžiauja šlamšto siuntėjai arba nes kas nors tyčia siunčia kelioms svetainėms atmetamas žinutes, kuriose jis yra.

Tam priešinasi (cfg/swarm_lib.php): mažiausiai trys skirtingos svetainės ir penki atvejai per septynias dienas; fiksuotos išimtys didelėms paslaugoms; niekada mūsų klientų domenai; rankinis pašalinimas serverio įrankiu; karantinas vietoj ištrynimo; sąrašas kasdien sudaromas iš naujo, o tai, apie ką nebepranešama, iš jo iškrenta. Paveiktieji sąrašo nemato ir neturi savo būdo reikalauti pašalinimo, išskyrus per mus.

Tikimybė – galima. Sunkumas – ribotas, nes niekas neprarandama, o gavėjas gali išleisti žinutę. Lygis – mažas–vidutinis. Įjungus IP tinklus, būtų paliesti ištisų paslaugų teikėjų tinklai, IP adresai yra asmens duomenys, ir sunkumas padidėtų iki reikšmingo: didelis.

R12 – Ataskaitos ir ekrano kopijos vieša nuoroda

Nemokamo patikrinimo, potencialaus kliento patikrinimo ir klientų domenų patikrinimų ataskaitas galima pasiekti neprisijungus atsitiktine nuoroda. Nuorodoje yra 128 atsitiktinumo bitai, ir jos atspėti neįmanoma (cfg/check_lib.php). Puslapiai turi noindex, programa siunčia nukreipiančiojo puslapio politiką (referrer policy), kuri perduoda tik kilmę (www/.htaccess), o ekrano kopijos pateikiamos tik kartu su ataskaita, kuriai jos priklauso; kitas vaizdo numeris grąžina „nerasta“ (www/shot.php). Rizika ne kriptografinė, o žmogiškoji: nuoroda perduodama, nukopijuojama į užklausą, pasidalijama pokalbyje. Kas ją atidaro, registruojama tik puslapių peržiūrų žurnale, kaip ir bet kuri puslapio peržiūra (60 dienų), kuriame pati nuoroda rodoma tik užmaskuota; kiekvienos ataskaitos skaitytojų sąrašo nėra.

Tikimybė – galima. Sunkumas – ribotas, nes ataskaitoje rodoma tik vieša informacija ir ji nustoja galioti atitinkamai po 30 arba 90 dienų; klientų domenų ataskaitos lieka pasiekiamos tol, kol egzistuoja patikrinimas (13 mėn., paskutinė – ilgiau). Lygis – mažas.

R13 – Infrastruktūros trūkumai

Toliau nurodyti punktai mūsų vidiniame peržiūros pakete pažymėti kaip atviri ir čia neužglaistomi. Juos aprašome taip tiksliai, kaip klientams reikia jų pačių vertinimui, bet ne taip tiksliai, kad aprašymas parodytų kelią užpuolikui; paprašius smulkmenas pateiksime priežiūros institucijai.

Duomenų bazės atsarginės kopijos šiuo metu saugomos toje pačioje vietoje kaip ir duomenų bazė ir nėra atskirai užšifruotos; planuojama užšifruota kopija antroje vietoje (cfg/backup_lib.php). Iki tol jos neapsaugo nuo vietos praradimo, o kas gauna duomenų bazę, gauna ir atsargines kopijas. Prisijungimo duomenys patikrinimui už prisijungimo jose yra tik kaip šifruotas tekstas.
Duomenų bazė nešifruojama ramybės būsenoje. Išimtys – atskirai užšifruoti laukai (bandomųjų paskyrų prisijungimo duomenys, dviejų veiksnių paslaptis).
Ryšiai mūsų vidiniame tinkle šifruojami ne visur.
Serverių administravimas. Administracinės prieigos prie mūsų serverių saugumas dar neatitinka standarto, kurio siekiame eksploatavimui; serverių administravimo apsaugos stiprinimas tęsiamas.
Tikrinimo aplinka. Tikrinimo serveris naršyklėje atidaro trečiųjų šalių svetaines. Tikrinimo konteineriai izoliuoti – atskiras tinklas, jokių specialių teisių, tik skaitomi, riboti (scanner/src/worker.js). Tikrinimo aplinkos atskyrimas nuo kitų paslaugos dalių toliau stiprinamas (9.3 skirsnis).

Tikimybė – galima. Sunkumas – rimtas, nes kritiniu atveju būtų paliesta viskas iš karto. Lygis – didelis. Atskirus punktus galima pašalinti įprastomis priemonėmis (9.3 skirsnis).

R14 – Duomenų subjektų teisės asmenims, kurie mūsų nepažįsta

Kas atsitiktinai matomas ekrano kopijoje arba kieno žinutė praėjo per kontrolinę kopiją, paprastai nežino, kad mes egzistuojame. Net jei žino, jis neturi „savo“ duomenų rakto: saugome juos ne pagal asmenį, o pagal domeną ir patikrinimą. Į prašymą susipažinti pagal Art. 15 galime atsakyti tik tada, kai asmuo nurodo domeną; tada galime peržiūrėti esamus patikrinimus ir vaizdus. Tikrų lankytojų žinučių atveju nėra ką atskleisti, nes jų nesaugome – išskyrus siuntėjo domeną iš R1. Išskyrimas (opt-out) veikia tik domenų operatoriams, o ne vaizduojamiems asmenims; jiems lieka kelias per contact@lukaswojcik.com.

Tikimybė – tikėtina kaip struktūrinė situacija. Sunkumas – ribotas, nes duomenys trumpalaikiai ir nesutvarkyti pagal asmenis. Lygis – mažas.

9. d) Priemonės rizikai pašalinti

Kiekviena priemonė turi būseną, ir būsenos nėra dekoracija. Šiandien įgyvendinta – patikrinta reiškia: perskaityta kūrimo sistemos kode ir, kai įmanoma, išmatuota pagal duomenų bazę. Iš dalies reiškia: mechanizmas yra, tačiau dar ne visiškai pasiekia savo tikslą. Planuojama reiškia: pasiūlyta šiame vertinime ir nesukurta; ar ir kada – sprendžia savininkas. Dar turi būti nustatyta – procedūros ir sprendimai, kurių nepakeičia joks kodas. PDAV, kuriame planuojamos priemonės pateikiamos kaip įgyvendintos, praranda savo vertę būtent tada, kai jo prireikia.

9.1 Šiandien įgyvendinta – patikrinta

Priemonė	Sprendžia	Šaltinio nuoroda
Tikrinimo robotas prieš kiekvieną patikrinimą nuskaito robots.txt; pagrindinį puslapį apimantis išskyrimas, nepasiekiamas robots.txt ar serverio klaida užbaigia patikrinimą (antriniai keliai atskirai nepaisomi; pulsas, įrodymo gavimas, antraščių įrankis ir failų paieška jo neskaito)	R5, teisėtumas	`scanner/src/net.js`
Išskyrimas (opt-out) be įrodymo, įsigaliojantis nedelsiant, domenui ir jo www variantui, anoniminiams patikrinimams, potencialiems klientams, tyrimams ir klientų patikrinimams (vykdoma stebėsena baigiasi kartu su kitu suplanuotu patikrinimu); tikrinamas du kartus (programoje ir tikrinimo paslaugoje); panaikinamas tik mūsų, gavus prašymą su įrodymu	R5, R7, Art. 21	`cfg/check_lib.php`; `cfg/akquise_lib.php`; `cfg/studie_lib.php`; `scanner/src/worker.js`
Nemokamas patikrinimas: avarinis sustabdymas, reCAPTCHA, vienas patikrinimas vienam domenui per savaitę, limitai kiekvienam IP adresui ir sesijai, dienos riba, jokių naujų domenų, tik vieši adresai, anomalijų atveju – žyma ir signalas be turinio	R5	`cfg/check_lib.php`
Limitams sesija saugoma tik kaip maišos reikšmė, niekada ne sesijos identifikatorius	Duomenų kiekio mažinimas	`cfg/check_lib.php`
Jokių laukų reikšmių (paslėptų laukų ir duomenų atributų pradžios tik nuskaitomos patikrinimo metu, 6.2 skirsnis); gavėjų adresai – tik kaip domenas; paskyrų identifikatoriai scenarijų adresuose paslėpti	Duomenų kiekio mažinimas	`scanner/src/crawl.js`
Nemokama ataskaita yra ištrauka: tik pagrindiniai radiniai, jokių visų detektorių įrodymų	R5	`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`
Ataskaitos 128 bitų atsitiktine nuoroda, `noindex`, vaizdai tik savo ataskaitai, už viešo žiniatinklio katalogo ribų; puslapių peržiūrų žurnale nuoroda rodoma tik užmaskuota	R12	`cfg/check_lib.php`; `www/report.php`; `www/shot.php`
Ištrynimas: anoniminės ataskaitos – po 30 dienų, potencialių klientų – po 90 dienų, klientų patikrinimai – po 13 mėn. (paskutinis kiekvieno domeno patikrinimas saugomas tol, kol egzistuoja domenas), ištrinto domeno duomenys – nedelsiant (išimtys – žr. 6.11 skirsnį), vaizdai – kiekvienu atveju kartu	Saugojimo apribojimas	`cfg/check_lib.php`; `cfg/fristen_lib.php`
Tyrimas: skelbiama tik suma, segmentai – tik nuo 20 svetainių su forma, neapdoroti duomenys ištrinami paskelbus	R4 iš dalies, P3	`cfg/studie_lib.php`
Tikrinimo konteineriai: atskiras izoliuotas tinklas, jokių specialių teisių, tik skaitomi, atminties ir procesų limitai, laiko limitas; kiekvienai užklausai – filtras prieš privačius tikslus, service worker'iai blokuojami ir WebSocket ryšiai uždaromi, kad niekas neapeitų filtro; žiniatinklio serverio užklausos – tik žiniatinklio prievadais ir tik tiksliai iš anksto patikrintu viešu adresu	R13	`scanner/src/worker.js`; `scanner/src/net.js`
Aktyvus patikrinimas klientams – tik patvirtintam domenui (viduje – taip pat mūsų pačių bandomiesiems ir demonstraciniams domenams) ir įjungus avarinį sustabdymą, tikrinama du kartus; ne daugiau kaip penki pateikimai; tik aiškiai atpažintos kontaktinės formos be privalomų asmens duomenų; jokių valdžios institucijų, švietimo įstaigų, klinikų, medicinos praktikų, policijos ar teismų domenų; kalbos modelis negali nieko leisti; bandomoji žinutė be asmens duomenų, pažymėta, su nuoroda į tikrinimo roboto puslapį ir išskyrimą	R9	`scanner/src/worker.js`; `scanner/src/classify.js`; `scanner/src/active.js`
Naršyklės keliai: tik GET ir HEAD, pavojingi adresai blokuojami, išgalvotos reikšmės nepalieka naršyklės, vaizdai su užtamsintais įvesties laukais	R3 (šiems vaizdams), R9	`scanner/src/browser.js`
Failų patikrinimas: tik patvirtinti domenai, vienas atsisiuntimas kiekvienam keliui, ne daugiau kaip 8 KB, turinys niekada nesaugomas	R9	`cfg/dateien_lib.php`
Antrasis zondas: pagal numatytuosius nustatymus išjungtas; gautų tik fiksuotą nekenksmingų elementų sąrašą, pasirašytą	Gavėjai	`cfg/formular_probe_lib.php`
Patikrinimas už prisijungimo: tik patvirtintas domenas, mokamas planas, savininkas arba administratorius, patvirtinimas „bandomoji paskyra“; šifravimas tikrinimo serverio viešuoju raktu, susietas su domenu; prisijungimo duomenys niekada nerodomi, neregistruojami ir nepateikiami per API; perdavimas tik per standartinę įvestį; laukas užduotyje išvalomas nedelsiant, likučiai – po vienos valandos; jokių ekrano kopijų, jokių pateikimų, jokių atsijungimo ar ištrynimo adresų, nutraukimas esant CAPTCHA; galutinis ištrynimas su perrašymu	R8	`cfg/login_lib.php`; `scanner/src/login.js`; `scanner/src/geheim.js`; `scanner/src/worker.js`
Pristatymo patikrinimas: pagal numatytuosius nustatymus išjungtas; paimant nuskaitomos tik antraštės ir 8 KB, be skaitymo žymos; turinys ir lankytojo adresas niekada nepatenka į duomenų bazę; kiekvienas paimtas el. laiškas ištrinamas, įskaitant nepriskirtinus; priskyrimai ištrinami po 180 dienų; įrodymas – tik būtent šio patikrinimo kopija	R1, R2	`cfg/zustellung_lib.php`
Spiečiaus apsauga: tik domenai, IP tinklai išjungti; minimalūs skaičiai; išimtys didelėms paslaugoms ir klientų domenams; karantinas vietoj ištrynimo; sąrašas kasdien sudaromas iš naujo; pranešimai ištrinami po 30 dienų	R11	`cfg/swarm_lib.php`
Kalbos modelis mūsų pačių serveryje, be teisės pateikti	R10	`scanner/src/classify.js`
Signaluose per Telegram yra tik fiksuotas sakinys be kintamųjų	Gavėjai	`cfg/check_lib.php`
Savaitinis atsarginės kopijos atkūrimo testas su įspėjimu nepavykus	Prieinamumas	`cfg/backup_lib.php`; `srv/cron_status.php`

9.2 Iš dalies – yra, bet dar nepasiekia savo tikslo

Priemonė	Kodėl ji dar nėra visiškai veiksminga
„Išvalytos“ ekrano kopijos	Užtamsinami tik naršyklės kelių vaizdai. Tikrinimo roboto vaizdai – pagrindinis puslapis ir formų elementai – ir aktyvaus patikrinimo atsakymo puslapio vaizdas – ne (R3).
Patikrinimų duomenų terminai	Veikia anoniminiams, potencialių klientų ir klientų patikrinimams; neveikia vidiniams patikrinimams ir nepaskelbtiems tyrimams; neišspręstos anomalijų žymos – be laiko apribojimo (R4).
Kontrolinių kopijų ištrynimas	Veikia mūsų matomoje pašto dėžutės dalyje. Jei procesas nutrūksta, el. laiškai lieka; ką pašto dėžutės paslaugų teikėjas laiko savo atsarginėse kopijose, nepatikrinta (R2).
Prisijungimo duomenų apsauga patikrinimo už prisijungimo metu	Stipri ramybės būsenoje ir tikrinimo paslaugoje; ne pakeliui į svetainę: leidžiamas `http`, sertifikato klaidos ignoruojamos (R8).
Įgaliojimų įrodymas	Tikrinamas vieną kartą ir tada galioja amžinai; tačiau domeno su įgaliojimų įrodymu pagrindinio kompiuterio vardo pakeisti negalima, kad įrodymas nepereitų kitam pagrindiniam kompiuteriui (R7).
Informavimas duomenų subjektams	Operatoriams yra – per tikrinimo roboto puslapį, identifikatorių, Privatumo politiką ir išskyrimą (opt-out); pristatymo patikrinimo lankytojams – priklauso nuo to, ar klientas perima teksto bloką; programa to netikrina.
Prašymas klientams neperduoti specialių kategorijų duomenų į kontrolinę kopiją	Nurodytas teisiniuose dokumentuose, bet techniškai nepalaikomas: sąrankos metu programa neklausia apie svetainės tipą ir neįspėja apie domenus, kurie atrodo susiję su sveikata, teise ar švietimu (R1).

9.3 Planuojama – neįgyvendinta

Priemonė	Sprendžia	Prioritetas
Vidinių patikrinimų trynimo būdas: patikrinimus be domeno ir be ataskaitos ištrinti po fiksuoto termino (pasiūlymas: 30 dienų); tyrimo neapdorotus duomenis ištrinti ne vėliau kaip po fiksuoto termino nuo jo užbaigimo, net ir nepaskelbus (pasiūlymas: 90 dienų); vieną kartą ištrinti esamus 85 patikrinimus su 369 vaizdais	R4	Pirmiausia
Pristatymo patikrinimą įjungti tik tada, kai sudaryta sutartis su pašto dėžutės paslaugų teikėju, dokumentuotos saugojimo vietos, kiti duomenų tvarkytojai ir atsarginių kopijų terminai, išaiškintas pašto dėžutės paslaugų teikėjo perdavimo mechanizmas ir mūsų domeno MX įrašai nurodo tiesiai į pašto dėžutę; iki tol gamybinėje sistemoje funkciją laikyti užblokuotą	R2	Pirmiausia
Patikrinti pašto dėžutės paėmimo saugumą gamybinėje sistemoje ir jį dokumentuoti prieš įjungiant pristatymo patikrinimą	R2	Pirmiausia
Patikrinimas už prisijungimo – tik per `https` ir su galiojančiu sertifikatu; `http` adresus atmesti; sertifikato klaidos prisijungiant – nutraukimo priežastis	R8	Pirmiausia
Nesaugoti paslėptų laukų reikšmių už prisijungimo (tik pavadinimas, tipas ir ilgis) – jau įgyvendinta taip, tolesnio žingsnio nereikia	R8	Atlikta
Kontrolinę kopiją apriboti bandomosiomis žinutėmis, kai naudojamas įskiepis ar plėtinys: nematoma kopija – tik pateikimams su mūsų patikrinimo identifikatoriumi	R1	Aukštas
Tikrų žinučių siuntėjo domeno nesaugoti ir neįrašyti į įspėjimus, jei jis nėra nei svetainės domenas, nei žinomos siuntimo paslaugos domenas; įspėjime vietoj to – „svetimas siuntėjo domenas“	R1	Aukštas
Įspėjimas konfigūruojant pristatymo patikrinimą domenams, kurie atrodo susiję su sveikata, teise, socialinėmis paslaugomis ar švietimu, su nuoroda į kliento paties PDAV	R1	Aukštas
Reguliariai atnaujinti įgaliojimų įrodymą (pasiūlymas: prieš kiekvieną aktyvų patikrinimą patikrinti, ar DNS įrašas, meta žyma, failas ar įskiepio prijungimas tebeegzistuoja; kitu atveju tęsti pasyviai ir informuoti klientą)	R7	Aukštas
Nebefotografuoti pagrindinio puslapio arba tik su užtamsintais vaizdais ir veidais; formų vaizdus apriboti formos elementu (kaip šiandien) ir užmaskuoti įvesties laukus, kaip naršyklės kelių atveju	R3	Aukštas
Įspėjimas potencialaus kliento patikrinimo sąsajoje: neprašytas trumpos išvados siuntimas el. paštu ar telefonu yra tiesioginė rinkodara net ir tarp įmonių, kuriai reikalingas išankstinis sutikimas (Lenkijos Elektroninių ryšių įstatymo Art. 398; Vokietijoje – UWG § 7(2), nors skambučiams įmonėms pakanka numanomo sutikimo)	R6	Aukštas
Infrastruktūra: užbaigti serverių administravimo apsaugos stiprinimą; užšifruota atsarginės kopijos kopija antroje vietoje; visur šifruoti ryšius vidiniame tinkle; toliau stiprinti tikrinimo serverio ir programos atskyrimą	R13	Aukštas
Terminas neišspręstoms anomalijų žymoms (pasiūlymas: išspręsti per 30 dienų, kitu atveju ištrinti IP adresą)	R4	Vidutinis
Puslapis ar forma, per kurią galima paprašyti pašalinti domeną iš spiečiaus apsaugos	R11, R14	Vidutinis
Prieš įjungiant IP tinklus spiečiaus apsaugoje: nauja šio vertinimo versija	R11	Sąlyga
Užfiksuoti, ar kalbos modelio programinė įranga saugo užklausas, ir, jei taip, šiuos žurnalus išjungti	R10	Žemas

9.4 Dar nustatytinos procedūros ir sprendimai

Be techninių apsaugos priemonių, Art. 35(7)(d) reikalauja ir procedūrų. Šios dar neįgyvendintos:

Asmens duomenų saugumo pažeidimas. Aptikimas: savininkas, programos pranešimai apie klaidas, pranešimai per pranešimų apie pažeidžiamumus punktą arba contact@lukaswojcik.com. Sprendimas dėl pranešimo UODO per 72 valandas (Art. 33(1)): savininkas. Paveiktų klientų kaip duomenų valdytojų informavimas: nepagrįstai nedelsiant, jei įmanoma – per 48 valandas, kaip pažadėta Duomenų tvarkymo sutartyje. Dar turi būti nustatyta: rašytinis procedūros aprašymas ir pirmoji pratyba; pristatymo patikrinimo atveju papildomai – kaip nustatyti, kuriems klientams turi poveikio pažeidimas pas pašto dėžutės paslaugų teikėją.
Sektoriai. Dar turi būti nustatyta: ar pristatymo patikrinimas sveikatos, teisės, socialinių paslaugų ir švietimo svetainėms siūlomas, siūlomas su įspėjimu ar nesiūlomas.
Vidiniai patikrinimai. Dar turi būti nustatyta: kam paslaugų teikėjas naudoja vidinius patikrinimus iš komandinės eilutės, kas gali juos kurti ir kiek laiko lieka jų rezultatai; ir ar, be Duomenų tvarkymo veiklos įrašų, juos reikia įvardyti Privatumo politikoje.
Tyrimai. Dar turi būti nustatyta: kas sudaro sąrašus, iš kokių šaltinių, kokio didžiausio dydžio, ir patikrinimas prieš kiekvieną tyrimą, ar jis atitinka šio vertinimo prielaidas.
Duomenų subjektų nuomonė (Art. 35(9)). Šiai versijai ji nebuvo prašoma. Art. 35(9) reikalauja jos prašyti tik „tam tikrais atvejais“; mūsų vertinimu, šiuo metu čia taip nėra. Patikrintų svetainių operatoriai ir klientų svetainių lankytojai neturi savo kanalo į mus; tikslingai į juos kreipiantis būtų vykdomas naujas jų duomenų tvarkymas, o paslauga dar nepaleista, todėl kol kas nėra faktinių duomenų subjektų grupės. Į jų interesus atsižvelgiama netiesiogiai: per robots.txt ir išskyrimą (opt-out), per trumpus terminus ir per tai, kad kontrolinių kopijų turinys nesaugomas. Kiekvienos peržiūros pagal 12 skirsnį metu iš naujo svarstome, ar tikslinga prašyti jų nuomonės, pavyzdžiui, per atsiliepimus tikrinimo roboto puslapyje arba iš pristatymo patikrinimo klientų.

10. Liekamoji rizika ir išankstinės konsultacijos pagal Art. 36

Art. 36(1) reikalauja iš anksto konsultuotis su priežiūros institucija, kai PDAV parodo, kad duomenų tvarkymas sukeltų didelį pavojų, jei duomenų valdytojas nesiimtų priemonių pavojui sumažinti. Todėl klausimas ne tas, ar buvo nustatyta didelė rizika – jos nustatytos keturios, – o ar didelė rizika lieka įgyvendinus priemones.

Duomenų tvarkymo operacijoms, kurių atžvilgiu formexposed yra duomenų valdytojas (P1–P4, P7), didelę riziką R4 ir R13 galima pašalinti įprastomis priemonėmis: trynimo būdu ir esamų duomenų išvalymu, užšifruota atsargine kopija kitoje vietoje ir dviejų serverių apsaugos stiprinimu. Įgyvendinus 9.3 skirsnio priemones, ji sumažėja iki mažos–vidutinės. R3, R5, R6 ir R7 yra vidutinės ir su pasiūlytomis priemonėmis sumažėja iki mažos. Spiečiaus apsauga be IP tinklų lieka maža–vidutinė. Šiai daliai išankstinės konsultacijos nereikalingos, jei priemonės, pažymėtos „pirmiausia“ ir „aukštas“, įgyvendinamos prieš paleidimą. Jei kuri nors iš šių priemonių prieš paleidimą neįgyvendinta, atitinkamai duomenų tvarkymo operacijai lieka didelė rizika. Tada ta duomenų tvarkymo operacija bus pradėta tik įgyvendinus priemonę arba prieš tai pasikonsultavus su UODO pagal Art. 36(1).

Pristatymo patikrinimo (P6) atveju padėtis kitokia dėl priežasties, kurios jokia priemonė visiškai nepašalina: ką lankytojas rašo, priklauso nuo jo. Su sudaryta sutartimi, apsaugotu paėmimu, apribojimu bandomosiomis žinutėmis, kai įmanoma, ir atsisakius siuntėjo domeno, R2 sumažėja iki mažos, o R1 – iki vidutinės. Klientams, kurių lankytojai paprastai pateikia duomenų pagal Art. 9, R1 vis dėlto gali likti didelė. Tada pareiga konsultuotis tenka klientui kaip duomenų valdytojui, o ne formexposed. Tokiems klientams rekomenduojame kontrolinės kopijos nekonfigūruoti bendrajai kontaktinei formai, o tik formoms be jautraus turinio, arba atsisakyti pristatymo patikrinimo.

Liekamoji rizika, nurodyta sąžiningai. Šiandien, su 9.1 skirsnio priemonėmis, keturios rizikos yra didelės: R1 ir R2 (pristatymo patikrinimas), R4 (patikrinimų duomenys be trynimo būdo) ir R13 (infrastruktūra). Su 9.3 skirsnio priemonėmis R2, R4 ir R13 sumažėja iki mažos–vidutinės. R1 lieka vidutinė ir nuolat priklauso nuo klientų sprendimų. Nė viena iš kitų rizikų po priemonių nėra didesnė nei vidutinė.

Art. 36 nėra bausmė, o konsultavimasis nėra prisipažinimas. Tai Reglamente numatytas kelias tai situacijai, kai naudinga procedūra kelia riziką, kurios duomenų valdytojas visiškai nekontroliuoja. Klientas, norintis naudoti pristatymo patikrinimą žinutėms su sveikatos duomenimis, čia ras faktus tokiam sprendimui.

11. Ko klientams reikia jų pačių PDAV (Art. 28(3)(f))

Pristatymo patikrinimo ir patikrinimo už prisijungimo atveju duomenų valdytojas yra klientas. Šis puslapis jam pateikia aprašymą (6.5 ir 6.6 skirsniai), riziką mūsų požiūriu (R1, R2, R8) ir priemonių būseną (9 skirsnis). Tik klientas gali atsakyti į šiuos klausimus:

Ką rašo mano lankytojai? Ar tikėtina, kad per formą bus gaunami duomenys apie sveikatą, religiją, kilmę, narystę profesinėse sąjungose, lytinę orientaciją, nusikalstamas veikas ar apie vaikus? Tada kontrolinei kopijai paprastai reikalingas PDAV, ir kontrolinę kopiją šiai formai reikėtų apsvarstyti iš naujo.
Ar man reikia kontrolinės kopijos visoms žinutėms? Įrodyti, kad mūsų bandomoji žinutė pasiekia adresatą, pakanka tai žinutei. Jei forma leidžia, nematomą kopiją nustatykite tik bandomosioms žinutėms.
Kaip informuoju savo lankytojus? To reikalauja Duomenų tvarkymo sutartis; Privatumo politikos tekstas Jūsų svetainei aprašo kopijos kelią ir mūsų vaidmenį.
Kokį teisinį pagrindą turiu? Mūsų siūlomame tekste nurodytas Art. 6(1)(f) (patikimas užklausų gavimas). Duomenims pagal Art. 9 vien šio pagrindo nepakanka.
Kuriuos įspėjimų kanalus renkuosi? Autentiškumo patikrinimo įspėjimuose gali būti nurodytas siuntėjo domenas. Kas siunčia įspėjimus į pokalbių paslaugas už ES ribų, perduoda jį ten.
Patikrinimui už prisijungimo: Ar bandomoji paskyra tikrai yra bandomoji paskyra su mažiausiomis būtinomis teisėmis? Ar prisijungimo puslapį galima pasiekti tik per https? Ar bandomoji paskyra mato kitų naudotojų duomenis? Jei taip – kuriuose iš nurodytų puslapių?
Kada ištrinu? Pristatymo patikrinimą ir bandomąją paskyrą galima bet kada išjungti ir ištrinti; tada bandomoji paskyra negrįžtamai perrašoma.

Kiti dokumentai kliento vertinimui: Duomenų tvarkymo sutartis, techninės ir organizacinės priemonės, pagalbinių duomenų tvarkytojų sąrašas ir Duomenų tvarkymo veiklos įrašai. Į klausimus apie atskirus faktus atsakome adresu contact@lukaswojcik.com.

12. Peržiūra, versija ir patvirtinimas

Art. 35(11) reikalauja peržiūros, kad būtų įvertinta, ar duomenų tvarkymas atliekamas laikantis PDAV, bent jau tada, kai pasikeičia rizika. Šį vertinimą peržiūrime bent kartą per metus, taip pat prieš kiekvieną iš toliau nurodytų įvykių; kiekvienas jų lemia naują matavimą, o ne tik perskaitymą:

gamybinės veiklos pradžia, su gamybinės sistemos, o ne kūrimo sistemos skaičiais;
pirmasis pristatymo patikrinimo įjungimas gamybinėje sistemoje ir sutarties su pašto dėžutės paslaugų teikėju sudarymas;
IP tinklų įjungimas spiečiaus apsaugoje;
pirmasis tyrimas ir kiekvienas tyrimas su didesniu sąrašu nei ankstesnis;
antrojo zondo ar naujo gavėjo tikrinimo kelyje įjungimas;
kiekvienas naujas kalbos modelio panaudojimas, išeinantis už formų klasifikavimo ir „Fix it for me“ ribų;
kiekvienas ekrano kopijų, terminų ar aktyvių patikrinimų prielaidų pakeitimas.

Elementas	Įrašas
Duomenų valdytojas	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Lenkija · NIP 7252266190 · contact@lukaswojcik.com
Kompetentinga priežiūros institucija	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Lenkija
Duomenų apsaugos pareigūnas	Nepaskirtas; vertinimas pagal Art. 37 – 4 skirsnyje
Faktų pagrindas	Programos ir tikrinimo paslaugos šaltinio kodas, duomenų bazės schema, kūrimo sistemos eilučių skaičiai ir nustatymai, išmatuoti 2026 m. spalio 11 d., tik skaitymo režimu
Susiję dokumentai	Privatumo politika, Duomenų tvarkymo sutartis, Techninės ir organizacinės priemonės, Pagalbiniai duomenų tvarkytojai, Duomenų tvarkymo veiklos įrašai, ES dirbtinio intelekto aktas, Priimtinas naudojimas ir piktnaudžiavimas, FormExposedBot, Išskyrimas (opt-out)
Versija	1.0, 2026 m. spalio 11 d., pirmoji versija
Peržiūros pagal Art. 35(11)	Kol kas nėra (pirmoji versija). Kiekviena peržiūra čia įrašoma su data, priežastimi ir rezultatu.
Patvirtinimas	Dar nepatvirtinta. Patvirtina savininkas po teisinės peržiūros ir priėmus sprendimą dėl 9.3 skirsnio priemonių ir 9.4 skirsnio klausimų. Išorinės duomenų apsaugos konsultacijos iki šiol nebuvo prašyta.

Viena baigiamoji pastaba priklauso dokumentui, o ne lydraščiui. Tos formexposed dalys, kurios giliausiai įsiskverbia į kitų sritis, – bandomieji pateikimai ir prisijungimas su svetimais prisijungimo duomenimis, – sukurtos atsargiausiai: dvi užtvaros, griežtos ribos, šifravimas, kuris užrakina net mus. Šiame vertinime aptartos rizikos daugiausia slypi kitur: tame, kas patenka atsitiktinai, – tikros žinutės nematomoje kopijoje, žmonės ekrano kopijoje, patikrinimai, kurių niekas nebetrina. Tai palanki pradinė padėtis, nes atsitiktinumą galima sustabdyti nekeičiant paslaugos.

Kuo galime padėti?