Techninės ir organizacinės priemonės

Šis dokumentas skelbiamas keliomis kalbomis. Kalbinių versijų neatitikimo atveju privaloma yra lenkiška versija.

Versija 1.1 · Paskutinį kartą atnaujinta: 2026 m. spalio 22 d.

Priemonės pagal BDAR Art. 32, kuriomis LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Lenkija, apsaugo formexposed paslaugą. Šis puslapis yra Duomenų tvarkymo sutarties dalis kaip 2 priedas.

1. Taikymo sritis ir principas

Priemonės taikomos visiems paslaugos tvarkomiems duomenims: duomenims, kuriuos tvarkome savo Klientų vardu (aprašyti Duomenų tvarkymo sutartyje), ir duomenims, kurių atžvilgiu duomenų valdytojas esame patys, pavyzdžiui, klientų paskyroms ir žurnalams. Atskirų apsaugos lygių šioms dviem grupėms nėra; tai, kas saugo paskyrą, saugo ir duomenų tvarkytojo tvarkomus duomenis.

Struktūra pagal BDAR Art. 32(1). Pseudonimizavimas ir šifravimas (a punktas) aptariami 4 skirsnyje; nuolatinis sistemų konfidencialumas, vientisumas, prieinamumas ir atsparumas (b punktas) – 3, 5, 6 ir 7 skirsniuose; gebėjimas laiku atkurti prieinamumą po incidento (c punktas) – 7.1 skirsnyje; reguliaraus veiksmingumo testavimo, vertinimo ir įvertinimo procesas (d punktas) – 9 skirsnyje. Priemones pasirinkome remdamiesi mūsų Poveikio duomenų apsaugai vertinime aprašytomis rizikomis, atsižvelgdami į technikos pažangą ir įgyvendinimo sąnaudas.

Principas: išmatuota, o ne numatyta. Čia nurodoma tik tai, kas faktiškai įgyvendinta kode arba veikime. Tai, kas suplanuota, bet dar neįgyvendinta, 10 skirsnyje aiškiai išvardyta kaip „planuojama“. Priemonė, kurios čia nėra, nėra taikoma tyliai.

Kompiuterių pavadinimai, vidiniai adresai, prievadai, naudotojų vardai ir programinės įrangos versijos sąmoningai nenurodomi. Jie niekam nepadeda įvertinti priemonių, bet padeda tam, kas nori jas apeiti. Kam jų reikia auditui pagal Duomenų tvarkymo sutartį, tas jas gaus to audito metu laikantis konfidencialumo, tiek, kiek jos būtinos auditui.

2. Paslaugos struktūra

Paslauga veikia dviejuose paties paslaugų teikėjo serveriuose Lenkijoje, esančiuose tame pačiame vidiniame tinkle:

Žiniatinklio serveris su duomenų baze. Jis teikia programą, laiko duomenų bazę, siunčia pranešimus ir daro duomenų atsargines kopijas. Tik jis sukonfigūruotas priimti užklausas iš interneto.
Tikrinimo serveris. Jis naršyklėje atlieka trečiųjų šalių ir savų svetainių patikrinimus ir paleidžia kalbos modelį, kuris klasifikuoja atskiras formas ir funkcijoje „Fix it for me“ prideda kodą. Jis nesukonfigūruotas priimti užklausų iš interneto, o savo užduotis pats pasiima iš žiniatinklio serverio ir ten grąžina rezultatus.

Veikime nedalyvauja joks prieglobos, duomenų centro ar debesijos paslaugų teikėjas, ir niekas nesiunčiama jokiai išorinei DI paslaugai. Kurios trečiosios šalys gauna duomenis, nurodyta puslapyje Pagalbiniai duomenų tvarkytojai.

3. Konfidencialumas

3.1 Fizinės prieigos kontrolė

Serveriai yra paslaugų teikėjo patalpose Lenkijoje, kurios neatviros visuomenei. Prieigą turi tik savininkas (operatoriaus teigimu). Tikslus vietos adresas čia sąmoningai nenurodomas.

3.2 Prieigos kontrolė: prisijungimas prie paslaugos

Slaptažodžiai saugomi tik kaip maišos reikšmė, naudojant standartinį PHP metodą (bcrypt). Jei standartinis metodas pasikeičia, maišos reikšmė atnaujinama kito prisijungimo metu. Bandant prisijungti su nežinomu adresu, serveris vis tiek apskaičiuoja maišos reikšmę, kad atsakymo laikas neatskleistų, ar paskyra egzistuoja. Taip pat atsakymas į slaptažodžio atkūrimo prašymą nei formuluote, nei trukme neatskleidžia, ar paskyra egzistuoja; atkūrimo el. laiškai tuo pačiu adresu siunčiami ne daugiau kaip tris kartus per valandą. Nauji slaptažodžiai turi būti ne trumpesni kaip dešimt simbolių ir negali viršyti 72 baitų (UTF-8), nes bcrypt daugiau baitų neatsižvelgia. Pakeitus slaptažodį, atjungiami visi kiti įrenginiai; atkūrus jį per nuorodą, atjungiami visi įrenginiai, o nuoroda galioja tik vieną kartą.
Blokavimas po nesėkmingų bandymų. Nesėkmingi prisijungimai skaičiuojami kiekvienam IP adresui; per trumpą laiką jų esant per daug (šiuo metu aštuoni per 15 minučių), prisijungimas iš to adreso laikinai užblokuojamas. Sėkmingas prisijungimas šį skaitiklį atstato. Bandymai ištrinami po septynių dienų. Be to, prieš kiekvieną slaptažodžio patikrinimą vienas bandymas įskaičiuojamas paskyrai (nežinomo adreso atveju – įvestam adresui) ir IP adresui, įskaitant sėkmingus bandymus: šiuo metu ne daugiau kaip aštuoni vienai paskyrai iš to paties IP adreso ir 80 vienam IP adresui per 15 minučių; vienai paskyrai iš visų adresų kartu taikomas gerokai didesnis limitas – nuo paskirstyto spėliojimo. Todėl nesėkmingi bandymai iš kito adreso nebeužblokuoja paskyros savininko. Šiuose skaitikliuose yra tik HMAC raktas, jokio atviro teksto el. pašto ar IP adreso, ir jie nustoja galioti pasibaigus jų laiko intervalui. Jei skaitiklių saugykla nepasiekiama, prisijungimas atmetamas, o ne praleidžiamas. Tokio pat pobūdžio limitas taikomas slaptažodžio patvirtinimui prieš keičiant slaptažodį ar adresą, įjungiant ar išjungiant antrąjį veiksnį, perduodant darbo sritį, eksportuojant duomenis ir ištrinant paskyrą (penki bandymai vienai paskyrai per 15 minučių), registracijoms (dešimt vienam IP adresui per valandą) ir klientų portalų slaptažodžiams (dešimt bandymų vienam portalui ir IP adresui, 50 vienam portalui per 15 minučių).
Antrasis veiksnys. Kiekviena paskyra gali įjungti prisijungimą su vienkartiniu kodu pagal RFC 6238 (TOTP). Tam skirtas slaptasis raktas duomenų bazėje saugomas užšifruotas; šifravimo raktas duomenų bazėje nesaugomas, todėl vien duomenų bazės ištraukos nepakanka. Priimtas kodas antrą kartą negalioja. Dešimt atkūrimo kodų saugomi tik kaip maišos reikšmės. Vienkartiniams ir atkūrimo kodams taikomas dešimties bandymų vienai paskyrai per 15 minučių limitas, taip pat ir nustatymo metu.
Administravimo sritis tik su antruoju veiksniu. Operatoriaus administravimo sritis atsidaro tik paskyroms su įjungtu antruoju veiksniu. Sąrankos kontrolinis sąrašas praneša apie kiekvieną administratoriaus paskyrą be antrojo veiksnio.
Sesijos. Sesijos slapuko negali nuskaityti scenarijai (HttpOnly), jis siunčiamas tik per HTTPS (Secure) ir nesiunčiamas su užklausomis iš trečiųjų šalių svetainių, kurios galėtų ką nors pakeisti (SameSite=Lax). Prisijungiant sukuriamas naujas sesijos ID, kad iš anksto pakištas ID nebegaliotų; serveris nepriima sesijos ID, kurio pats neišdavė. Kiekviena paskyra mato savo prisijungusius įrenginius ir gali juos atjungti atskirai.
„Likti prisijungus“ yra pasirenkama funkcija ir galioja 30 dienų, bet ne paskyroms su administravimo teisėmis; jos visada prisijungia su slaptažodžiu ir antruoju veiksniu. Žetonas susideda iš dviejų dalių; tikrinamoji dalis duomenų bazėje saugoma tik kaip maišos reikšmė. Kiekvieną kartą panaudotas, jis pakeičiamas nauju, ir net esant vienalaikėms užklausoms kiekvienas žetonas galioja tik vieną kartą, todėl pavogtas žetonas pastebimas ne vėliau kaip kito tikro apsilankymo metu.
Nuorodos el. laiškuose. Adreso patvirtinimo ir slaptažodžio atkūrimo nuorodos duomenų bazėje saugomos tik kaip maišos reikšmės. Atkūrimo nuoroda galioja vieną valandą, registracijos patvirtinimo nuoroda – 72 valandas, pakeisto adreso patvirtinimo nuoroda – 24 valandas. Pakeitus el. pašto adresą, nepanaudota atkūrimo nuoroda nustoja galioti.
Sąsajos. API raktai, plėtinių prijungimo kodai ir diegimo kodai saugomi tik kaip maišos reikšmės. API raktus per minutę galima naudoti tik ribotą kartų skaičių; plėtinių prijungimo kodai galioja 15 minučių ir tik vieną kartą.
Apsauga nuo robotų viešose formose (registracija, prisijungimas, slaptažodis, patikrinimas, antraščių įrankis, opt-out, pagalba ir kontaktai): Google reCAPTCHA, kuri įkeliama tik pateikiant formą. Priimamas tik galiojantis Google atsakymas su pakankamu balu būtent formos veiksmui; jei Google neatsako per tris sekundes, pateikimas atmetamas. Išsami informacija – Privatumo politikoje.

3.3 Prieigos kontrolė: serverių administravimas

Iš interneto pasiekiamas serveris naudoja paketų filtrą, kad leistų tik jo teikiamas paslaugas, ir automatiškai užblokuoja adresus po pakartotinių nesėkmingų bandymų prisijungti prie serverio administravimo.
Automatizuoti procesai tarp serverių naudoja atskirus raktus su griežtai apribotomis teisėmis. Raktas, kuriuo žiniatinklio serveris pristato naujas skaitytuvo versijas, tikrinimo serveryje gali vykdyti tik fiksuotą komandų sąrašą ir gali tik kopijuoti, tik rašymo režimu, į skaitytuvo katalogą; interaktyviai prisijungti su juo neįmanoma, o kiekviena atmesta komanda registruojama. Taip pat tikrinimo serveris ekrano kopijas gali rašyti tik į konkretų žiniatinklio serverio katalogą.
Procesas, aptarnaujantis svetainę, neturi nei rašymo prieigos prie gamybinės įdiegties, nei rakto tikrinimo serveriui. Administravimo srityje inicijuotas diegimas tik užregistruoja užduotį, kurią atlieka atskiras procesas.
Paslaptys, pavyzdžiui, duomenų bazės prisijungimo duomenys ir raktai, laikomos konfigūracijos failuose už aptarnaujamo katalogo ribų ir diegimo metu nekopijuojamos. Žiniatinklio serverio konfigūracija neplatinama per žiniatinklio sąsają.

3.4 Teisių kontrolė: teisės paslaugoje

Vaidmenys. Kiekviena darbo sritis turi savininko, administratoriaus ir peržiūrėtojo vaidmenis. Keisti, trinti, kviesti ir saugoti prisijungimo duomenis gali tik savininkai ir administratoriai; tik savininkas gali keisti vaidmenis ir šalinti narius. Kvietimas galioja tik tol, kol jį išsiuntęs asmuo tebėra savininkas ar administratorius. Peržiūrėtojai webhook ir pokalbių kanalų adresus mato tik sutrumpintus iki prieglobos vardo, nes vien adresas leidžia skelbti kanale. Patikrinimas atliekamas serveryje, o ne tik sąsajoje.
Susiejimas su darbo sritimi. Domenai ir nustatymai prieinami tik darbo srities nariams. Kiekvienam patikrinimui Paslauga sukuria ataskaitą su atsitiktine nuoroda, kurios neįmanoma atspėti; patikrinimo rezultatus ir ekrano kopijas per šią nuorodą galima pasiekti neprisijungus, ekrano kopijas – tik kartu su jų ataskaitos nuoroda. Nuoroda rodoma paskyroje ir įspėjimuose; kas ją perduoda, tas perduoda ataskaitą.
Būseną keičiančioms užklausoms reikalingas kiekvienos sesijos saugumo žetonas (CSRF apsauga), kuris palyginamas pastoviu laiku.
„Peržiūrėti kaip klientas“. Pagalbos tikslais operatorius gali matyti programą taip, kaip ją mato Klientas. Peržiūra baigiasi po vienos valandos, joje užblokuoti slaptažodžio, adreso, antrojo veiksnio, įrenginių, prenumeratos keitimai, eksportas ir ištrynimas, tuo metu uždaroma administravimo sritis, ir ji registruojama. Ją baigus operatorius visiškai atjungiamas; į administravimo sritį jis gali grįžti tik vėl prisijungęs su slaptažodžiu ir antruoju veiksniu. Klientas ją mato savo duomenų eksporte.
Administravimas. Administravimo teises turi tik kelios aiškiai įgaliotos paskyros; kiekvienas administravimo atliktas antrojo veiksnio atstatymas registruojamas.

3.5 Atskyrimo kontrolė

Klientų duomenys logiškai atskirti pagal darbo sritį. Kiekvienas skaitymo ir rašymo kelias prisijungusiųjų srityje turi šį susiejimą; ataskaitos papildomai pasiekiamos per jų nuorodą (3.4 skirsnis).
Kūrimas ir veikimas vyksta atskirose įdiegtyse su atskiromis duomenų bazėmis ir atskirais duomenų bazės naudotojais. Kūrimo naudotojas neturi prieigos prie gamybinės duomenų bazės. Tikri klientų duomenys į kūrimo aplinką nekopijuojami; ten dirbame su sugeneruotais pavyzdiniais duomenimis.
Kiekvienoje aplinkoje skaitytuvas turi savo prisijungimo duomenis su teisėmis tik į tuos duomenis, kurių jam reikia užduotims. Jis negali skaityti paskyrų, atsiskaitymų ar žurnalų.
Žiniatinklio serveryje taip pat veikia kitos to paties paslaugų teikėjo paslaugos. Jos turi savo duomenų bazes ir savo duomenų bazės naudotojus be prieigos prie šios paslaugos duomenų.

4. Šifravimas, pseudonimizavimas ir duomenų kiekio mažinimas

4.1 Prisijungimo duomenys patikrinimui už prisijungimo

Šiai funkcijai Klientas išsaugo bandomosios paskyros naudotojo vardą ir slaptažodį. Tai jautriausi paslaugos duomenys, todėl jie saugomi kitaip nei visa kita:

Saugodamas juos, žiniatinklio serveris juos užšifruoja tikrinimo serverio viešuoju raktu (ECIES: X25519 su vienkartiniu raktu kiekvienam įrašui, HKDF-SHA256, AES-256-GCM). Privatusis raktas yra tik tikrinimo serveryje. Žiniatinklio serveryje, duomenų bazėje ir atsarginėse kopijose yra tik šifruotas tekstas; ten jo negalime perskaityti ir mes.
Kiekvienas įrašas kriptografiškai susietas su savo domenu. Perkėlus į kitą domeną, iššifruoti nepavyksta.
Patikrinimui šifruotas tekstas pridedamas prie užduoties. Tikrinimo serveris jį iššifruoja ir prisijungimo duomenis patikrinimo konteineriui perduoda tik per standartinę įvestį, niekada kaip komandinės eilutės argumentą, kuris būtų matomas procesų sąrašuose. Kai tik tikrinimo serveris jį nuskaito, šifruotas tekstas ištrinamas iš užduoties; atskiras procesas bet kokius likučius išvalo ne vėliau kaip po vienos valandos.
Prisijungimo duomenys niekada nerodomi, niekada neregistruojami žurnaluose, niekada neišvedami per API ir neeksportuojami. Sąsaja rodo tik pirmąjį naudotojo vardo simbolį ir jo ilgį. Pašalinus juos, šifruotas tekstas perrašomas.
Už prisijungimo skaitytuvas tik skaito: jokių pateikimų, jokių aktyvių testų, jokių ekrano kopijų, jokių atsijungimo, ištrynimo ar atšaukimo puslapių.

4.2 Kitas šifravimas ir maišos reikšmės

Slaptažodžiai, atkūrimo kodai, klientų portalų slaptažodžiai, API raktai, prijungimo ir diegimo kodai, „Likti prisijungus“ žetonai, sesijų ID įrenginių sąraše ir patvirtinimo bei atkūrimo nuorodos saugomi tik kaip maišos reikšmės.
Antrojo veiksnio slaptieji raktai saugomi užšifruoti (3.2 skirsnis).
Netvirtiname, kad visa duomenų bazė užšifruota ramybės būsenoje. Jautrios reikšmės saugomos atskirai, kaip aprašyta pirmiau.

4.3 Duomenų kiekio mažinimas pagal projektą

Pristatymo patikrinimas: nuskaitomos tik antraštės ir ne daugiau kaip pirmieji 8 KB teksto. Į duomenų bazę patenka tik laikas, priskyrimas, jei taikoma – bandomojo pateikimo ID, ir autentiškumo patikrinimo (SPF, DKIM, DMARC) rezultatas, niekada ne turinys ar visas siuntėjo adresas. Naujausio el. laiško autentiškumo rezultatas saugomas prie domeno ir perrašomas kitu; jame yra pristatančiojo pašto serverio IP adresas ir siuntėjo el. pašto domenas. El. laiškas iš pašto dėžutės ištrinamas po sėkmingo apdorojimo; jei nuskaityti ar ištrinti nepavyksta, tai įvyksta kito sėkmingo proceso metu.
Patikrinimai: formų struktūra saugoma su laukų pavadinimais, tipais ir etiketėmis, privalomumo ir matomumo atributais, be reikšmių; iš anksto užpildytų paslėptų laukų pradžias (iki 24 simbolių) ir duomenų atributų pradžias (iki 60 simbolių) skaitytuvas nuskaito tik patikrinimo metu ir jų nesaugo. Išsamaus patikrinimo ekrano kopijos neredaguojamos; įvesties laukus uždengia tik naršyklės patikrinimai. Formų gavėjų adresai saugomi tik kaip domenas. Aktyviuose bandomuosiuose pateikimuose yra tik pažymėti bandomieji tekstai be asmens duomenų.
WordPress ir TYPO3 plėtiniai perduoda tik dienos skaičius ir požymius, pavyzdžiui, įskiepių sąrašą, o prijungto WordPress įskiepio atveju – ir nuorodų iš užblokuotų pranešimų domenus spiečiaus apsaugai (įjungta pagal numatytuosius nustatymus); jokio kito turinio, jokių lankytojų vardų, adresų ar IP adresų. Pasirenkami formų ir laukų klaidų skaičiai pagal numatytuosius nustatymus išjungti.
„Fix it for me“: įklijuotas kodas apdorojamas tik užklausos metu ir nesaugomas.
Ženklelis: ženklelio paveikslėlis klientų svetainėse nenustato jokio slapuko ir nepradeda jokios sesijos.
Veikimo pranešimai į operatoriaus telefoną yra fiksuoti tekstai be kintamųjų, t. y. be vardų, adresų ar turinio. Klaidų pranešimuose el. paštu operatoriui pateikiamas neapdorotas klaidos pranešimo tekstas, neišvalytas ir sutrumpintas iki 400 simbolių; atskirais atvejais jame gali būti adresų ar nuorodų.
Spiečiaus apsauga: tarp Klientų plėtinių dalijamasi tik užblokuoto šlamšto nuorodų domenais; keitimasis IP tinklais išjungtas.
Vieta: IP adreso šalis nustatoma pagal vietinį duomenų bazės failą; joks adresas nesiunčiamas geografinės vietos nustatymo paslaugai.

5. Apsauga nuo piktnaudžiavimo skaitytuvu

Skaitytuvas trečiųjų šalių puslapius įkelia tikra naršykle. Be apsaugos jis būtų įrankis, kuriuo kas nors iš išorės galėtų pasiekti mūsų vidinį tinklą ar kitus neviešus taikinius (serverio pusės užklausų klastojimas, SSRF). Todėl yra du nepriklausomi sluoksniai ir kiekvieno atskiro proceso izoliacija.

5.1 Izoliuotas procesas

Kiekvienas patikrinimas vyksta savame konteineryje, kuris po to pašalinamas. Jis veikia be administratoriaus teisių, be papildomų operacinės sistemos galimybių ir be galimybės padidinti privilegijas. Jo failų sistema yra tik skaitymo, išskyrus nedideles laikinas sritis.
Atmintis, procesų skaičius ir veikimo trukmė yra apriboti; laiką viršijęs procesas nutraukiamas.

5.2 Tinklas: du sluoksniai

Pirmasis sluoksnis, skaitytuve: prieš patikrinimą ir vėliau kiekvienai atskirai naršyklės užklausai, įskaitant nukreipimus ir įterptą turinį, tikrinama, į kokį adresą nukreipia vardas. Privatūs, vietiniai, rezervuoti ir dokumentacijos tinklai (IPv4 ir IPv6) atmetami, kaip ir kiti nei žiniatinkliui įprasti prievadai. Naršyklė neleidžia service worker'ių, o WebSocket ryšiai uždaromi, nes abu galėtų apeiti šį patikrinimą.
Antrasis sluoksnis, tinkle: konteineriai veikia savame tinkle. Ugniasienės taisyklės iš ten leidžia ryšius į internetą tik žiniatinklio prievadais; ryšiai į privačius tinklus, įskaitant mūsų vidinį tinklą su žiniatinklio serveriu ir duomenų baze, užblokuoti. Išimtys, kurių reikia pačiam patikrinimo procesui, apribotos iki būtino minimumo ir aprašytos mūsų vidinėje dokumentacijoje. Šis sluoksnis veikia ir tada, kai vardas kitaip nukreipiamas tik po pirmojo patikrinimo.

5.3 Žiniatinklio serverio užklausos

Kai žiniatinklio serveris pats siunčia užklausas trečiųjų šalių adresams – domeno kontrolės įrodymui, antraščių įrankiui, atvirų failų paieškai, pulso užklausoms, RDAP užklausoms ir sertifikatų tikrinimui, webhook'ams ir pokalbių įspėjimams bei pasirenkamam antrajam patikros taškui, – taikomos tos pačios taisyklės: tik žiniatinklio protokolai, įprastais žiniatinklio prievadais (webhook'ai ir pokalbių įspėjimai tik per HTTPS standartiniu prievadu), tik vieši adresai, ryšys tik su būtent tuo adresu, kuris buvo patikrintas prieš tai, kad vardas vėliau negalėtų būti nukreiptas į vidinį taikinį, nukreipimai arba visai nesekami, arba sekami tik rankiniu būdu ir kiekvieną kartą patikrinami iš naujo, trumpi laiko limitai; domeno kontrolės įrodymui, pulso užklausoms ir antrajam patikros taškui naršyklės patikrinimuose – ir ribotas atsakymo dydis.

5.4 Ko skaitytuvas nedaro trečiųjų šalių svetainėse

Aktyvūs bandomieji pateikimai (ne daugiau kaip penki per patikrinimą) Klientams atliekami tik domenams, kuriems pateiktas kontrolės įrodymas (DNS, meta žyma, failas ar plėtinys); vienintelė išimtis – vidiniai mūsų pačių bandomųjų ir demonstracinių domenų patikrinimai. Domeno su kontrolės įrodymu prieglobos vardo pakeisti negalima, kad įrodymas nepereitų kitam prieglobos serveriui. Visa kita yra pasyvu: puslapių skaitymas kaip lankytojo.
Naršyklės patikrinimai vyksta iki momento prieš pateikimą ir nesukelia jokio užsakymo, mokėjimo ar pateikimo.
Išskyrimo (opt-out) sąraše esantys domenai netikrinami; vykdoma stebėsena baigiasi kito suplanuoto patikrinimo metu.

6. Vientisumas: perdavimas ir įvestis

6.1 Perdavimas

Programą iš interneto galima pasiekti tik per HTTPS; naršyklei nurodoma vienus metus naudoti tik HTTPS (HSTS). Sertifikatai atnaujinami automatiškai.
Kitos antraštės riboja programos įterpimą į trečiųjų šalių puslapius, failų tipų spėjimą ir formų pateikimą trečiųjų šalių taikiniams. Turinio saugumo politika (CSP) programoje leidžia vykdyti tik tuos scenarijus, kuriuos serveris leidžia su atitinkamu atsakymu; šiuolaikinės naršyklės nevykdo į HTML įterptų scenarijų ar įvykių apdorojimo programų.
Pristatymo patikrinimo pašto dėžutė nuskaitoma per šifruotą ryšį su sertifikato patikrinimu.
Webhook'us galima pasirašyti Kliento slaptuoju raktu (HMAC-SHA256 su laiko žyma), kad gavėjas galėtų patikrinti kilmę ir vientisumą. Užklausos pasirenkamam antrajam patikros taškui pasirašomos, o naršyklės patikrinimų atveju – ir jo atsakymai.
Nurodome atvirai: ryšiai mūsų vidiniame tinkle ne visur šifruojami. Prisijungimo duomenys patikrinimui už prisijungimo visą laiką lieka užšifruoti (4.1 skirsnis).

6.2 Įvesties kontrolė ir žurnalai

Svarbūs veiksmai paskyrose ir darbo srityse (pavyzdžiui, prisijungimas, domenų, įspėjimų adresatų ir teisių keitimai, ištrynimai, pagalbos tarnybos prieiga) registruojami veiklos žurnale su paskyra, laiku, IP adresu ir šalimi ir ištrinami po 365 dienų.
Saugumo ir piktnaudžiavimo prevencijos tikslais saugomi puslapių peržiūrų įrašai ištrinami po 60 dienų, klaidų žurnalai – po 90 dienų, išsiųstų el. laiškų turinys – po 30 dienų. Prieigos raktai užklaustuose adresuose ir nukreipiančiuosiuose puslapiuose, pavyzdžiui, ataskaitų ar portalo nuorodų, puslapių peržiūrų įrašuose rodomi tik užmaskuoti.
Sutikimas su sutarties dokumentais saugomas su rodyta versija, jos kontroline suma, laiku, IP adresu ir naršyklės identifikatoriumi.
Įrodymų žurnalams gali būti suteikta išorinės laiko žymų tarnybos laiko žyma; jai siunčiama tik turinio kontrolinė suma, o ne pats turinys.

7. Prieinamumas ir atsparumas

7.1 Atsarginės kopijos

Duomenų bazės atsarginė kopija daroma kiekvieną naktį. Galutinį pavadinimą atsarginė kopija gauna tik patikrinus jos turinį: sėkmingą atsarginių kopijų programos užbaigimą, bent vieną įrašą, tiek lentelių, kiek jų turi duomenų bazė, ir užbaigto proceso paskutinę eilutę. Senesnės atsarginės kopijos pašalinamos tik po sėkmingos naujos.
Kiekviena atsarginė kopija ištrinama po 14 dienų. Saugojimo vieta yra už bet kokio aptarnaujamo katalogo ribų; vieta projekto viduje atmetama.
Atkūrimo testas: kartą per savaitę naujausia atsarginė kopija įkeliama į vienkartinę duomenų bazę, lentelė po lentelės palyginama su gamybine ir vėl ištrinama. Rezultatas išsaugomas.
Jei atsarginė kopija ar testas nepavyksta, siunčiamas pranešimas el. paštu ir į operatoriaus telefoną.
Atkūrimas po incidento: jei duomenų bazė sugenda arba duomenys sugadinami, atkuriame naujausią patikrintą atsarginę kopiją. Tai darant gali būti prarasti nuo tos atsarginės kopijos atlikti pakeitimai, paprastai ne daugiau kaip vienos dienos; jei atsarginė kopija nepavyko – atitinkamai daugiau. Tada pakartotinai įvykdome žinomus vėlesnius ištrynimo prašymus (8 skirsnis). Neįsipareigojame dėl jokio konkretaus atkūrimo laiko.
Apribojimas, nurodomas atvirai: šiuo metu atsarginės kopijos saugomos toje pačioje vietoje kaip ir duomenų bazė ir nėra atskirai užšifruotos. Jos apsaugo nuo veikimo klaidų, klaidingų pakeitimų ir sugadintų duomenų, bet ne nuo paties serverio praradimo. Planuojama užšifruota kopija antroje vietoje (10 skirsnis).
Prisijungimo duomenys patikrinimui už prisijungimo atsarginėse kopijose yra tik kaip šifruotas tekstas; antrojo veiksnio slaptasis raktas – tik užšifruotas, su raktu už duomenų bazės ribų.

7.2 Stebėsena

Būsenos procesas kas penkias minutes tikrina paslaugos komponentus, įskaitant duomenų bazę, eilę ir skaitytuvo gyvybės signalą, kurį skaitytuvas reguliariai rašo net ir neveikdamas. Jei komponentas sugenda, siunčiamas pranešimas; jei atsistato – pranešimas apie pavojaus pabaigą.
Kryžminė stebėsena: būsenos procesas negali pranešti apie kompiuterio, kuriame pats veikia, gedimą. Todėl tikrinimo serveris kas minutę tikrina, ar programa atsako, ir po kelių iš eilės nesėkmių fiksuotu tekstu praneša į operatoriaus telefoną. Ir atvirkščiai – žiniatinklio serveris stebi skaitytuvo gyvybės signalą; sąrankos kontrolinis sąrašas rodo, ar kryžminė stebėsena veikia.
Klaidų įspėjimas: apie anksčiau niekada neįvykusį klaidos tipą vieną kartą pranešama iš karto; klaidų sankaupa sukelia tik vieną signalą į operatoriaus telefoną; kartą per dieną siunčiama apžvalga. Todėl apie klaidą nesužinome pirmiausia iš Kliento.
Apribojimas, nurodomas atvirai: abu serveriai yra toje pačioje vietoje. Visos vietos gedimo, pavyzdžiui, elektros ar interneto ryšio, nepraneša joks įspėjimo mechanizmas – jį pastebi žmogus.

7.3 Pakeitimai ir diegimas

Naujos versijos pirmiausia sukuriamos ir išbandomos atskiroje kūrimo aplinkoje. Diegimas patikrina visas prielaidas prieš įrašydamas pirmąjį failą, atlieka duomenų bazės schemos pakeitimus ir leidžia vykstantiems patikrinimams tvarkingai užsibaigti prieš paleidžiant skaitytuvą iš naujo.
Naujo Kliento keliui yra greitasis testas (smoke test) per tikrą HTTP, kuris paleidžiamas po perjungimų. Netvirtiname, kad prieš kiekvieną diegimą paleidžiamas automatizuotų testų rinkinys.

8. Ištrynimas ir saugojimo terminai

Kas naktį vykdomas trynimo procesas užtikrina Privatumo politikoje ir Duomenų tvarkymo sutartyje nurodytų terminų laikymąsi. Jis nuskaito tuos pačius nustatymus, iš kurių paimti tekstuose pateikti skaičiai; todėl šių terminų atžvilgiu tekstas ir veikimas nesiskiria.
Patikrinimų rezultatai, įskaitant ekrano kopijas, ištrinami po 13 mėn. (naujausias kiekvienam domenui lieka), plėtinių skaičiai – po 13 mėn., įspėjimų pristatymo žurnalai – po 90 dienų, pagalbos užklausos – po 24 mėn.
Pašalinus domeną, ištrinami domeno duomenys, įskaitant patikrinimus, formas, radinius, ekrano kopijas, ataskaitas, užduotis, įspėjimų adresatus ir žurnalus, incidentus, pristatymo duomenis, prisijungimo duomenis patikrinimui už prisijungimo ir įrodymus.
Paskyra ištrinama nedelsiant; darbo sritys be kitų narių ištrinamos su jų duomenimis, darbo sritys su kitais nariais pereina kitam nariui – pirmiausia administratoriams, o iš jų – ilgiausiai esančiam nariui. Iki jų pačių terminų pabaigos lieka: žurnalai, kurių įrašuose išlieka senasis paskyros numeris, nebenurodantis jokios esamos paskyros, įskaitant ištrynimo įrašą, taip pat išsiųsti el. laiškai, sutarties sudarymo įrodymas, pagalbos užklausos, potencialių klientų patikrinimų ataskaitos (iki 90 dienų) ir atsiskaitymų duomenys Stripe; išsami informacija – Privatumo politikoje.
Ištrinti duomenys lieka atsarginėse kopijose, kol jų galiojimas baigiasi po 14 dienų. Tikslinis trynimas atsarginės kopijos viduje neatliekamas; jei atsarginė kopija atkuriama, žinomi vėlesni ištrynimo prašymai rankiniu būdu įvykdomi iš naujo.

9. Organizavimas ir peržiūra

Asmenys: šiuo metu paslaugą valdo pats savininkas. Kiti asmenys prieigą gauna tik įsipareigoję laikytis konfidencialumo ir tik tiek, kiek būtina, ir duomenis tvarko tik pagal mūsų nurodymus (BDAR Art. 29 ir Art. 32(4)).
Pagalbiniai duomenų tvarkytojai: juos pasitelkiame tik patikrinę jų garantijas ir pagal sutartį pagal BDAR Art. 28(4), o išvardijame puslapyje Pagalbiniai duomenų tvarkytojai; išsamias nuostatas nustato Duomenų tvarkymo sutartis.
Asmens duomenų saugumo pažeidimai: jei asmens duomenų saugumo pažeidimas paveikia duomenų tvarkytojo tvarkomus duomenis, nepagrįstai nedelsdami, jei įmanoma – per 48 valandas, pranešame Klientui; išsamias nuostatas nustato Duomenų tvarkymo sutartis.
Pranešimai apie pažeidžiamumus: pranešimus priimame puslapyje Saugumas ir per failą /.well-known/security.txt.
Sąrankos ir paleidimo kontrolinis sąrašas: administravimo srityje kontrolinis sąrašas matuoja saugumui svarbių nustatymų būklę, pavyzdžiui, atsarginių kopijų, administratorių be antrojo veiksnio, pašto sąrankos ir gyvybės signalo, ir rodo nukrypimus.
Šių priemonių peržiūra (BDAR Art. 32(1)(d)): po kiekvieno reikšmingo paslaugos pakeitimo, po kiekvieno saugumo incidento ir kitu atveju ne rečiau kaip kartą per metus. Tai darydami vertiname, ar priemonės veiksmingos ir vis dar atitinka rizikas, ir užfiksuojame rezultatą naujoje šio puslapio versijoje arba, jei niekas nesikeičia, 11 skirsnyje nurodydami peržiūros datą. Nuolat sąrankos ir paleidimo kontrolinis sąrašas matuoja jo apimamų nustatymų būklę.
Išoriniai auditai: šiuo metu neužsakomi jokie išoriniai įsiskverbimo testai, ir saugumo sertifikatų nėra. Tai nurodoma čia, kad niekas nemanytų, jog jie yra.

10. Planuojama, dar neįgyvendinta

Šie punktai nėra įsipareigotos priemonės, kol naujoje versijoje nebus čia išvardyti kaip įgyvendinti:

Atsarginė kopija antroje vietoje: užšifruota naktinės atsarginės kopijos kopija už serverio ribų, kad net visiškas serverio praradimas nesukeltų duomenų praradimo.
Antrasis patikros taškas: nepriklausomas naršyklės patikrinimų patvirtinimas iš antros vietos paslaugoje parengtas, bet nesukonfigūruotas. Be jo patvirtinimo iš antros vietos nėra.
Serverių administravimo sustiprinimas: tai tęsiama. Dėl 1 skirsnyje nurodytų priežasčių išsamios informacijos neskelbiame.

11. Būklė ir versija

Versija 1.1 · Paskutinį kartą atnaujinta: 2026 m. spalio 22 d. · esant neatitikimų tarp kalbinių versijų, pirmenybė teikiama lenkiškai, o ne vokiškai versijai; kitų pakeitimų nėra.
Versija 1.0 · Paskutinį kartą atnaujinta: 2026 m. spalio 11 d. · pirmoji versija kaip atskiras puslapis; anksčiau – Duomenų tvarkymo sutarties 2 priedas. Ištaisyta, palyginti su ankstesniu priedu: atkūrimo testas atliekamas kas savaitę, atsarginės kopijos yra tame pačiame serveryje, prieš kiekvieną diegimą nepaleidžiamas automatizuotų testų rinkinys, ryšiai vidiniame tinkle ne visur šifruojami. Naujai aprašyta: prisijungimo duomenų patikrinimui už prisijungimo šifravimas, skaitytuvo izoliacija, kryžminė stebėsena ir klaidų įspėjimas.
Pakeitimai skelbiami su nauju versijos numeriu čia ir apžvalgoje Sutarties dokumentų pakeitimai; priemonių susilpninimui taikomas Duomenų tvarkymo sutartyje nustatytas įspėjimo terminas.
Esant neatitikimų tarp kalbinių versijų, pirmenybė teikiama lenkiškai versijai.

Kuo galime padėti?