Penilaian Impak Perlindungan Data (Art. 35 GDPR)

Dokumen ini diterbitkan dalam beberapa bahasa. Sekiranya terdapat percanggahan antara versi bahasa, versi bahasa Poland adalah mengikat.

Versi 1.1 · Kemas kini terakhir: 23 Oktober 2026

1. Perkara yang dibincangkan dan sifat halaman ini

Halaman ini ialah penilaian impak perlindungan data (DPIA) formexposed di bawah Art. 35 GDPR. Halaman ini terlebih dahulu menjawab soalan awal sama ada DPIA diperlukan sama sekali – bagi setiap operasi pemprosesan secara berasingan, bukan bagi keseluruhan perkhidmatan. Jika jawapannya ya, halaman ini melaksanakan penilaian di bawah Art. 35(7)(a) hingga (d): penerangan sistematik, keperluan dan perkadaran, risiko kepada subjek data serta langkah untuk menanganinya. Ini diikuti oleh risiko baki, persoalan perundingan awal di bawah Art. 36 dan peraturan semakan.

Art. 35 tidak mewajibkan DPIA diterbitkan. Kami menerbitkannya atas dua sebab. Pertama, Pelanggan yang menggunakan semakan penghantaran e-mel atau imbasan selepas log masuk memerlukan fakta yang hanya kami ketahui untuk penilaian mereka sendiri; kami sememangnya wajib memberikan fakta ini kepada mereka sebagai pemproses data (Art. 28(3)(f) GDPR). Kedua, perangkak kami menyemak laman web yang pengendalinya tidak mengenali kami. Mereka sepatutnya boleh membaca risiko yang kami lihat bagi mereka dan orang pada halaman mereka, serta tindakan kami untuk menanganinya.

Sifat undang-undang. DPIA ini ialah dokumentasi pengawal data di bawah Art. 35 GDPR yang kami terbitkan secara sukarela. DPIA ini tidak menjadi sebahagian daripada mana-mana kontrak dan tidak merupakan apa-apa representasi, jaminan atau persetujuan tentang kualiti terhadap Pelanggan atau pihak ketiga. Perkhidmatan dan perlindungan yang kami wajib berikan kepada Pelanggan ditentukan oleh Terma Perkhidmatan, Perjanjian Pemprosesan Data dan lampirannya; berhubung dengan kewajipan ini, dokumen itu mengatasi halaman ini. Halaman ini menerangkan keadaan pada tarikh versi ini. Penarafan dan penilaian risiko ialah pandangan kami sendiri dan tidak mendahului apa-apa penilaian undang-undang oleh pihak berkuasa penyeliaan atau mahkamah; langkah yang diterangkan sebagai “dirancang” ialah niat tanpa tarikh yang dijanjikan. Bagi Pelanggan, halaman ini merupakan asas penilaian mereka sendiri, bukan nasihat undang-undang.

Ini ialah versi pertama penilaian ambang. Penilaian ini meneliti, operasi demi operasi pemprosesan, sama ada DPIA diperlukan dan merekodkan hasilnya dalam seksyen 3.5.

Setiap pernyataan fakta tertakluk pada prinsip yang sama seperti dokumen undang-undang kami yang lain: diukur, bukan sekadar diniatkan. Perkara yang dibuktikan dalam kod atau pangkalan data dinyatakan di sini bersama rujukan sumbernya. Perkara yang tidak dapat dibuktikan ditandakan “belum disahkan”. Perkara yang sekadar dirancang disebut sebagai “dirancang”. Kami menyatakan perkara yang masih terbuka secara terbuka, bersama langkah yang dirancang; DPIA yang hanya menyenaraikan kekuatan tidak membantu orang yang berkaitan dengannya.

Istilah: pengendali ialah sesiapa yang mengendalikan laman web yang disemak. Pelanggan mempunyai akaun dengan formexposed. Pelawat ialah sesiapa yang menggunakan laman web Pelanggan, contohnya borang hubungannya. Rujukan sumber bermaksud fail, fungsi atau tetapan dalam kod sumber, diukur terhadap keadaan sistem pembangunan pada 11 Oktober 2026.

Kami sengaja menetapkan satu batas keterbukaan: perkara yang masih terbuka dalam perlindungan pelayan kami sendiri hanya diterangkan secara umum (R13). Kami menyatakan risiko dan tahapnya, tetapi bukan laluan kepada kerentanan tertentu; kami akan memberikan butiran kepada pihak berkuasa penyeliaan atas permintaan.

2. Peranan: siapa yang menanggung kewajipan, dan bagi perkara apa

Art. 35 meletakkan kewajipan pada pengawal data. formexposed ialah pengawal data bagi sesetengah operasi pemprosesan, pemproses data bagi Pelanggannya untuk operasi lain, dan bukan kedua-duanya bagi data yang disimpan oleh pemalam WordPress dan sambungan TYPO3 kami pada laman web Pelanggan. Jawapan kepada hampir setiap soalan dalam dokumen ini bergantung pada peranan yang dimaksudkan oleh soalan itu. Pembahagian ini mengikut Dasar Privasi dan Perjanjian Pemprosesan Data.

Operasi pemprosesan	Peranan formexposed	Siapa yang menanggung kewajipan di bawah Art. 35
Menyemak laman web pihak ketiga tanpa arahan daripada pengendalinya: semakan percuma, semakan laman bakal pelanggan untuk agensi, kajian	Pengawal data	formexposed
Menyemak domain dalam akaun Pelanggan: pemantauan, penghantaran ujian aktif, aliran semakan dalam pelayar, fail yang terdedah, semakan berkala borang	Pengawal data bagi data akaun dan semakan Pelanggan; pemproses data bagi data peribadi pihak ketiga yang kelihatan pada laman web Pelanggan yang telah disahkan; selagi domain belum disahkan, pengawal data seperti semakan percuma	formexposed bagi bahagiannya sendiri; Pelanggan bagi data pihak ketiga pada laman webnya
Imbasan selepas log masuk dengan akaun ujian	Pemproses data: butiran kelayakan dan kandungan selepas log masuk berkaitan dengan laman web Pelanggan	Pelanggan; formexposed membantu
Semakan penghantaran e-mel dengan salinan kawalan	Pemproses data	Pelanggan; formexposed membantu
Perlindungan berkelompok: senarai bersama domain pautan daripada spam yang disekat	Pengawal data: kami menggabungkan laporan banyak laman web, menyusun senarai dan mengedarkannya	formexposed
Akaun pelanggan, log masuk, log, sokongan, penghantaran e-mel, pembayaran, rekod bukti	Pengawal data	formexposed
Portal pelanggan dan laporan bulanan kepada pelanggan laporan agensi	Pemproses data	Agensi
Data yang disimpan oleh pemalam dan sambungan pada laman web Pelanggan (kuarantin, jaring keselamatan, pertanyaan yang disimpan)	Bukan kedua-duanya: data tidak pernah meninggalkan laman web	Pengendali laman web

Ini menghasilkan perbezaan yang kami nyatakan secara jelas kerana perkara ini sering disalahfahami dalam kedua-dua arah. Apabila formexposed ialah pengawal data, kami melaksanakan penilaian sendiri dan bertanggungjawab atas hasilnya. Apabila kami ialah pemproses data, kami tidak boleh melaksanakan penilaian Pelanggan sebagai gantinya, memutuskan persoalan keperluan bagi pihaknya atau berunding dengan pihak berkuasa penyeliaan di bawah Art. 36 bagi pihaknya. Perkara yang boleh dan mesti kami lakukan dalam keadaan itu ialah membekalkan semua yang diperlukan oleh Pelanggan: penerangan di bawah perkara (a), fakta yang diukur tentang risiko di bawah perkara (c) dan senarai status langkah yang jujur di bawah perkara (d). Bagi semakan penghantaran e-mel dan imbasan selepas log masuk, itulah sebenarnya fungsi halaman ini.

Pelanggan yang menggunakan bahagian-bahagian tentang semakan penghantaran e-mel tanpa perubahan sebagai DPIA sendiri belum melaksanakan DPIA. Sama ada salinan kawalan wajar bagi borang Pelanggan itu sendiri, sama ada kategori khas data peribadi dijangka muncul di situ dan cara Pelanggan memaklumkan pelawatnya ialah perkara yang hanya boleh diputuskan oleh Pelanggan itu. Seksyen 11 meringkaskan perkara yang perlu dijelaskan untuk tujuan tersebut.

3. Penilaian ambang: adakah DPIA diperlukan?

3.1 Art. 35(1) dan Art. 35(3)

Art. 35(1) mewajibkan DPIA apabila sesuatu jenis pemprosesan, khususnya yang menggunakan teknologi baharu, dengan mengambil kira sifat, skop, konteks dan tujuan pemprosesan, berkemungkinan menghasilkan risiko tinggi terhadap hak dan kebebasan orang perseorangan. Art. 35(3) menyatakan tiga kes yang khususnya melibatkan keadaan sedemikian. Tiada satu pun daripada tiga kes itu sesuai dengan formexposed, dan ini sepatutnya diberikan alasan, bukannya sekadar ditegaskan:

• Perkara (a) – penilaian sistematik dan meluas terhadap aspek peribadi berkaitan dengan orang perseorangan yang berdasarkan pemprosesan automatik dan menjadi asas keputusan yang menghasilkan kesan undang-undang atau menjejaskan mereka secara ketara dengan cara yang serupa. Kami menilai borang dan laman web, bukan aspek peribadi orang. Perkhidmatan tidak membuat keputusan yang mempunyai kesan undang-undang terhadap mana-mana orang. Perkara paling hampir dengannya ialah perlindungan berkelompok: mesej yang mengandungi pautan ke domain yang disenaraikan dimasukkan ke kuarantin pada laman web yang disambungkan. Itu ialah akibat automatik bagi mesej, bukan penilaian meluas terhadap seseorang; kami menanganinya di bawah kriteria “Penilaian atau pemarkahan” dalam seksyen 3.3.
• Perkara (b) – pemprosesan kategori khas pada skala besar di bawah Art. 9 atau data berkaitan kesalahan jenayah di bawah Art. 10. Tidak dimaksudkan dan tidak dibina. Walau bagaimanapun, data sedemikian boleh sampai kepada kami melalui satu laluan: dalam salinan kawalan mesej pelawat sebenar dalam semakan penghantaran e-mel. Itu bergantung pada kes individu dan bukan pemprosesan skala besar dalam erti kata peruntukan ini; namun, perkara itu diambil kira dalam penilaian risiko (R1).
• Perkara (c) – pemantauan sistematik kawasan yang boleh dicapai secara awam pada skala besar. Ini bermaksud pemerhatian fizikal tempat, bukan pengambilan halaman web awam. Memetik peruntukan ini sebagai asas bagi perangkak laman web adalah tidak tepat.

Oleh itu, laluan yang betul ialah Art. 35(1) sendiri, yang diterapkan melalui sembilan kriteria Garis Panduan Penilaian Impak Perlindungan Data Kumpulan Kerja Artikel 29 (WP248 rev.01, disokong oleh Lembaga Perlindungan Data Eropah), serta senarai pihak berkuasa penyeliaan Poland di bawah Art. 35(4) (seksyen 3.4).

3.2 Sembilan kriteria garis panduan WP248

Garis panduan menyatakan sembilan ciri yang menunjukkan kemungkinan risiko tinggi. Sebagai panduan umum, operasi pemprosesan yang memenuhi dua daripadanya dalam kebanyakan kes akan memerlukan DPIA. Pengawal data boleh mencapai kesimpulan berbeza dalam kes individu, tetapi kemudian mesti memberikan alasan dan mendokumenkannya. Sebaliknya, satu kriteria sahaja boleh mencukupi. Pada halaman ini kami menggunakan label ringkas berikut:

1. C1 – Penilaian atau pemarkahan, termasuk pemprofilan dan ramalan, contohnya prestasi kerja, keadaan ekonomi, kebolehpercayaan atau tingkah laku.
2. C2 – Pembuatan keputusan automatik dengan kesan undang-undang atau kesan ketara yang serupa.
3. C3 – Pemantauan sistematik, iaitu pemprosesan yang digunakan untuk memerhatikan, memantau atau mengawal subjek data, termasuk melalui rangkaian. Garis panduan memberikan alasan nyata bagi kriteria ini bahawa subjek data sering tidak mengetahui siapa yang mengumpul data mereka dan untuk tujuan apa.
4. C4 – Data sensitif atau data yang bersifat sangat peribadi: kategori khas di bawah Art. 9 dan 10, tetapi juga data yang pendedahannya menjejaskan kehidupan seharian secara ketara, termasuk komunikasi elektronik yang kerahsiaannya sepatutnya dilindungi.
5. C5 – Data yang diproses pada skala besar, diukur mengikut bilangan subjek data, jumlah dan kepelbagaian data, tempoh dan keluasan geografi.
6. C6 – Pemadanan atau penggabungan set data yang berasal daripada operasi pemprosesan berbeza atau pengawal data berbeza, dengan cara yang tidak dijangka oleh subjek data.
7. C7 – Data berkaitan subjek data yang rentan, contohnya pekerja, kanak-kanak, pesakit atau orang lain dalam keadaan ketidakseimbangan kuasa.
8. C8 – Penggunaan inovatif atau penerapan penyelesaian teknologi atau organisasi baharu; dalam amalan penyeliaan, penggunaan kecerdasan buatan lazimnya dianggap termasuk dalam kriteria ini.
9. C9 – Pemprosesan yang menghalang subjek data daripada melaksanakan hak atau menggunakan perkhidmatan atau kontrak.

Kami menilai setiap kriteria sebagai “dipenuhi”, “pinggiran” atau “tidak dipenuhi” dan memberikan alasan bagi penilaian daripada kod. Kes pinggiran tidak dikira sebagai dipenuhi dalam jumlah keseluruhan, tetapi dinyatakan dalam hasil; jika beberapa kes pinggiran menuju ke arah yang sama, kami memasukkan operasi pemprosesan itu dalam penilaian.

3.3 Penilaian mengikut operasi pemprosesan

P1 – Semakan percuma tanpa akaun (menyemak mana-mana laman web pihak ketiga atas permintaan)

Sesiapa sahaja boleh memasukkan domain pada halaman utama. Perangkak kemudian mengambil paling banyak lapan halaman awam laman web itu, membaca borang, mengambil tangkapan skrin dan menghasilkan laporan yang boleh dilihat oleh sesiapa yang mengetahui pautan rawaknya. Pengendali laman web tidak mengetahui apa-apa tentang perkara ini melainkan pengendali menyedari pengenal perangkak dalam lognya.

• C1 – pinggiran. Laporan menilai perlindungan borang dengan tahap (“Terdedah”, “Dilindungi sebahagiannya”, “Dilindungi”) dan skor. Bagi syarikat berhad, ini tidak berkaitan dengan orang perseorangan. Bagi peniaga tunggal dan pekerja bebas, domain boleh dikaitkan dengan individu dan tahap itu kemudian menyampaikan sesuatu tentang tahap ketelitian dalam aktiviti profesional mereka. Walau bagaimanapun, yang dinilai ialah persediaan teknikal, bukan tingkah laku atau ciri seseorang. Kami menganggap ini sebagai pinggiran.
• C2 – tidak dipenuhi. Tiada keputusan dibuat berhubung dengan pengendali. Berhubung dengan orang yang meminta semakan, had bagi setiap alamat IP dan sesi terpakai (cfg/check_lib.php); semakan yang ditolak tidak mempunyai kesan ketara.
• C3 – tidak dipenuhi. Ini ialah pengambilan sekali atas permintaan, paling banyak sekali bagi setiap domain dan minggu (cfg/check_lib.php, tetapan fc_domain_days = 7). Tiada orang diperhatikan. Walau bagaimanapun, keadaan yang dipetik oleh garis panduan untuk memberikan alasan bagi C3 – subjek data tidak mengetahui apa-apa tentang pemprosesan – memang wujud. Keadaan ini diambil kira dalam penilaian risiko (R5).
• C4 – tidak dipenuhi. Perkara yang disimpan ialah struktur borang dan dapatan, bukan nilai yang dimasukkan (scanner/src/crawl.js hanya menyimpan panjang nilai bagi medan yang kelihatan). Pengimbas membaca permulaan medan tersembunyi yang diisi awal (sehingga 24 aksara) dan atribut data (sehingga 60 aksara) hanya semasa semakan untuk mengesan token dan cap masa; data itu tidak disimpan. Tangkapan skrin mungkin menunjukkan orang dan nama secara sampingan; laman web klinik perubatan menunjukkan bidang kepakarannya dalam imej. Ini ialah butiran profesional awam, bukan data kesihatan seseorang yang tertentu.
• C5 – pinggiran. Had harian ialah 200 semakan yang diterima (fc_daily_cap), iaitu secara aritmetik sehingga kira-kira 73,000 laman web setahun. Hanya sedikit data peribadi terhasil bagi setiap laman web dan tempohnya singkat (30 hari). Diukur pada sistem pembangunan, terdapat 2 semakan tanpa nama dalam set data. Tidak dipenuhi pada masa ini; pinggiran berdasarkan kapasiti yang direka.
• C6 – tidak dipenuhi. Selain mengambil halaman, perkhidmatan membuat pertanyaan tentang umur domain melalui perkhidmatan RDAP rdap.org (hanya nama domain dihantar; hanya tarikh pendaftaran disimpan, dalam cache) dan menyelesaikan DNS. Ini ialah butiran teknikal tentang domain, bukan gabungan set data tentang orang.
• C7 – tidak dipenuhi.
• C8 – dipenuhi, dalam bentuk lemah. Pelayar automatik menyemak halaman dan model bahasa pada pelayan kami sendiri mengelaskan borang yang tidak dikenal pasti oleh peraturan (scanner/src/classify.js). Model melihat tajuk halaman, alamat, label medan dan sehingga 400 aksara teks borang. Model tidak sekali-kali boleh menjadikan borang “boleh dihantar”.
• C9 – tidak dipenuhi.

Hasil sementara P1: satu kriteria dalam bentuk lemah (C8), dua kes pinggiran (C1, C5). Tiada kewajipan berdasarkan panduan umum. Oleh sebab kedua-dua kes pinggiran menuju ke arah yang sama dan subjek data tidak mengetahui apa-apa tentang pemprosesan, kami memasukkan P1 dalam penilaian.

P2 – Semakan laman bakal pelanggan untuk agensi

Agensi dalam pelan Business yang telah menyediakan jenamanya sendiri boleh meminta laman web bakal pelanggan disemak secara pasif. Agensi menerima dapatan ringkas di bawah jenamanya serta laporan terperinci dan menyampaikan pautan itu sendiri (cfg/akquise_lib.php). Kami tidak menghubungi sesiapa.

• C1 – pinggiran, lebih kuat daripada P1. Dapatan ringkas secara nyata dimaksudkan sebagai “pembuka jalan untuk perbualan pertama”. Oleh itu, penilaian laman web menjadi asas untuk mendekati seseorang secara komersial.
• C5 – tidak dipenuhi. Paling banyak 30 semakan bagi setiap agensi dan bulan (prospect_monthly), dipadamkan selepas 90 hari.
• C8 – dipenuhi, dalam bentuk lemah (teknologi yang sama seperti P1).
• Kriteria lain – tidak dipenuhi. Dapatan dipersembahkan dengan jenama agensi, tetapi tidak dipautkan kepada data lain tentang pengendali.

Hasil sementara P2: tiada kewajipan berdasarkan panduan umum; dimasukkan atas sebab yang sama seperti P1 dan kerana tujuannya – pemerolehan pelanggan – membawa risikonya sendiri (R6).

P3 – Kajian “Indeks Keselamatan Borang”

Bagi kajian, senarai laman web disemak secara pasif, dihadkan kepada paling banyak lima tugas terbuka bagi setiap proses status, yang berjalan setiap lima minit (cfg/studie_lib.php). Hanya jumlah keseluruhan diterbitkan, dan segmen hanya daripada sekurang-kurangnya 20 laman web dengan borang (study_min_segment, cfg/studie_lib.php). Data mentah dipadamkan semasa penerbitan (cfg/studie_lib.php).

• C5 – pinggiran, dipenuhi bagi senarai besar. Saiz senarai tidak dihadkan dalam kod; penghadan kelajuan secara aritmetik membolehkan lebih daripada seribu semakan sehari. Kajian pasaran negara merangkumi beribu-ribu laman web, banyak daripadanya dikendalikan oleh peniaga tunggal. Bermula daripada saiz sedemikian, kami menganggap kriteria ini dipenuhi.
• C8 – dipenuhi, dalam bentuk lemah.
• C1 – tidak dipenuhi. Walaupun laman web individu dinilai, hanya jumlah keseluruhan diterbitkan; penilaian itu tidak bertujuan membuat pernyataan tentang pengendali individu.
• Kriteria lain – tidak dipenuhi.

Hasil sementara P3: bagi kajian pada saiz yang direka, dua kriteria (C5, C8). Oleh itu, kajian mencapai ambang; formexposed melaksanakan penilaian sebagai pengawal data. Diukur pada sistem pembangunan, tiada kajian dicipta setakat ini.

P4 – Menyemak domain dalam akaun Pelanggan

Pelanggan meminta domain dalam akaunnya disemak secara berkala. Setelah Pelanggan membuktikan bahawa Pelanggan berhak mengawal domain, penghantaran ujian aktif (paling banyak lima bagi setiap semakan), carian fail yang terdedah dan aliran semakan dalam pelayar yang dikonfigurasikan ditambah.

• C3 – tidak dipenuhi. Semakan dijadualkan dan berulang, tetapi berkaitan dengan laman web Pelanggan sendiri dan dilaksanakan atas permintaannya, bukan untuk memerhatikan orang.
• C4 – pinggiran, tidak. Carian fail yang terdedah membaca paling banyak 8 KB pertama daripada laluan seperti /backup.sql atau log nyahpepijat untuk menentukan daripada kandungan sama ada fail itu benar-benar terdedah (cfg/dateien_lib.php). Petikan sedemikian mungkin mengandungi entri borang yang dibuat oleh pelawat. Petikan hanya disemak dalam ingatan dan tidak sekali-kali disimpan; perkara yang disimpan ialah laluan, jenis dan tahap keterukan.
• C8 – dipenuhi, dalam bentuk lemah.
• Kriteria lain – tidak dipenuhi.

Peringkat pelan tindakan tambahan. Laporan berbayar yang memenuhi syarat boleh mengandungi teks nasihat yang dijana secara setempat berdasarkan dapatan terpilih dan metadata imbasan. Teks disimpan bersama semakan dan dipaparkan dengan notis AI; dapatan individu kekal menjadi rujukan yang muktamad. Peringkat ini tidak mengubah laman web secara automatik atau membuat keputusan yang mempunyai kesan undang-undang atau kesan ketara yang serupa terhadap orang. Penggunaan model bahasa semata-mata tidak menentukan sama ada DPIA berasingan diperlukan. Input, penerima, skala dan risiko bakinya mesti dinilai bersama semakan asas, termasuk kemungkinan pengulangan data peribadi daripada URL atau nota dan cadangan yang salah dalam laporan yang boleh dikongsi melalui pautan. Seksyen 7 hingga 9 di bawah merangkumi peringkat ini; tambahan fakta ini tidak mendakwa bahawa pengukuran pengeluaran telah selesai, kelulusan pemilik telah diberikan atau penarafan risiko baki baharu telah dibuat.

Hasil sementara P4: Semakan teknikal asas tidak mencapai ambang berdasarkan fakta yang diterangkan di atas. Peringkat nasihat setempat tambahan tidak dengan sendirinya mewujudkan kewajipan berasingan, tetapi hasil ambang terdahulu bukan pengganti pertimbangan data input sebenar, skala, penerima dan kesannya. Dimasukkan kerana penghantaran ujian aktif dan semakan fail bergantung pada bukti yang tidak pernah diperbaharui (R7).

P5 – Imbasan selepas log masuk

Bagi domain yang telah disahkan, Pelanggan boleh menyimpan akaun ujian untuk laman webnya. Pengimbas log masuk dengannya dan membaca borang pada sehingga lima halaman bahagian ahli yang ditetapkan (cfg/login_lib.php, scanner/src/login.js).

• C4 – pinggiran. Butiran kelayakan bukan data yang bersifat sangat peribadi dalam erti kata garis panduan, tetapi penyalahgunaannya membuka akses ke bahagian ahli. Bergantung pada laman web, kandungan sulit mungkin berada selepas log masuk, contohnya dalam portal ahli atau pesakit. Itu bergantung pada Pelanggan, bukan pada kami.
• C8 – tidak dipenuhi. Log masuk automatik adalah biasa dalam perkhidmatan pemantauan.
• Kriteria lain – tidak dipenuhi.

Hasil sementara P5: tiada kewajipan berdasarkan panduan umum. Bagi Pelanggan yang bahagian ahlinya menunjukkan kandungan sulit, perkara ini mungkin berubah; keputusan kemudiannya terletak pada mereka. Dimasukkan kerana risiko keselamatan (R8).

P6 – Semakan penghantaran e-mel dengan salinan kawalan

Pelanggan memasukkan alamat kawalan formexposed sebagai salinan tersembunyi dalam tetapan e-mel borangnya. Hasilnya, setiap e-mel borang turut dihantar ke peti mel kawalan kami – mesej ujian kami serta setiap mesej sebenar daripada pelawat. Pengambilan automatik membaca pengepala dan 8 KB pertama, memadankan e-mel, menilai SPF, DKIM dan DMARC serta memadamkannya (cfg/zustellung_lib.php).

• C4 – dipenuhi. Perkara yang ditulis oleh pelawat dalam borang hubungan ialah komunikasi elektronik kepada perniagaan dengan kandungan apa-apa sahaja. Pada laman web klinik perubatan, firma guaman, perkhidmatan kaunseling atau sekolah, data di bawah Art. 9 atau tentang kanak-kanak dijangka muncul. Garis panduan secara nyata menyatakan komunikasi elektronik sulit di bawah kriteria ini.
• C3 – pinggiran, cenderung dipenuhi. Setiap mesej disalin secara terancang dan berterusan serta dinilai secara automatik tanpa disedari oleh penghantar. Tujuannya adalah untuk menyemak laluan e-mel, bukan memerhatikan orang. Walau bagaimanapun, keadaan yang digunakan oleh garis panduan untuk memberikan alasan bagi kriteria itu – subjek data tidak mengetahui siapa yang menerima data mereka – wujud sepenuhnya selagi Pelanggan tidak memaklumkan pelawatnya.
• C7 – bergantung pada Pelanggan. Pesakit, pelanggan firma guaman, pemohon pekerjaan, ibu bapa dan murid sering berada dalam hubungan kebergantungan terhadap penerima mesej mereka.
• C5 – pinggiran, tidak. Tidak berskala besar bagi Pelanggan individu. Di formexposed, salinan banyak Pelanggan berkumpul dalam satu peti mel; ini meningkatkan keseriusan pelanggaran, bukan bilangan bagi setiap pengawal data.
• Kriteria lain – tidak dipenuhi. Pemadanan kepada domain dan ujian bukan pemadanan set data tentang orang; teknologi itu bukan baharu.

Hasil sementara P6: C4 dipenuhi, C3 pinggiran dan cenderung dipenuhi, C7 dipenuhi bagi banyak Pelanggan lazim. Oleh itu, dalam keadaan lazim, dua atau lebih kriteria dipenuhi. DPIA diperlukan – sebagai kewajipan Pelanggan, yang merupakan pengawal data. Seksyen 6 hingga 11 memberikan fakta untuk tujuan ini.

P7 – Perlindungan berkelompok

Laman web WordPress yang disambungkan melaporkan sekali sehari domain pautan daripada mesej yang dihentikan oleh lapisan perlindungan mereka. Domain yang muncul pada sekurang-kurangnya tiga laman web berbeza dengan sekurang-kurangnya lima padanan dalam tujuh hari dimasukkan ke dalam senarai bersama; senarai dihantar kembali kepada semua laman web yang disambungkan, yang kemudiannya memasukkan mesej dengan pautan ke domain itu ke kuarantin (cfg/swarm_lib.php).

• C6 – dipenuhi. Laporan daripada banyak laman web yang saling bebas, iaitu daripada pengawal data berbeza, digabungkan dan dikembalikan kepada semuanya sebagai senarai bersama.
• C1 – dipenuhi, setakat domain boleh dikaitkan dengan orang perseorangan. Senarai ialah pengelasan sebagai sumber spam. Garis panduan menyatakan penyaringan terhadap pangkalan data penipuan bersama sebagai contoh kriteria ini. Kebanyakan domain dalam senarai sedemikian milik perniagaan atau domain pakai buang; namun, domain individu mungkin termasuk di dalamnya, sama ada dengan betul atau melalui laporan palsu yang sengaja ditanam.
• C9 – pinggiran. Mesej dengan pautan yang disenaraikan tidak sampai kepada penerima serta-merta, tetapi berada dalam kuarantinnya sehingga dilepaskan. Mesej itu tidak hilang.
• C2 – tidak dipenuhi. Kuarantin ialah akibat automatik bagi mesej, tanpa kesan undang-undang dan dengan pelepasan secara manual oleh penerima.
• Kriteria lain – tidak dipenuhi. Rangkaian IP dimatikan (swarm_ip_enabled = 0, cfg/swarm_lib.php).

Hasil sementara P7: dua kriteria (C6, C1) dan satu kes pinggiran (C9). Ambang dicapai; formexposed melaksanakan penilaian sebagai pengawal data. Jika rangkaian IP diaktifkan, C1 dan C6 akan dipenuhi tanpa batasan; pengaktifannya memerlukan versi baharu penilaian ini (seksyen 12). Diukur pada sistem pembangunan, tiada laporan mahupun entri senarai.

P8 – Akaun pelanggan, log masuk, log, sokongan, e-mel, pembayaran

• C1 dan C9 – tidak dipenuhi. Tingkah laku ketara dalam semakan percuma menghasilkan nota dengan alamat IP (cfg/check_lib.php) dan, jika berkenaan, penolakan semakan selanjutnya. Itu ialah pencegahan penyalahgunaan dengan kesan kecil, bukan penilaian aspek peribadi.
• Kriteria lain – tidak dipenuhi. Ini ialah data biasa bagi perkhidmatan untuk perniagaan.

Hasil sementara P8: tiada DPIA diperlukan. Operasi pemprosesan diterangkan dalam Rekod Aktiviti Pemprosesan.

P9 – Angka pemalam, ralat medan, perakam, lencana, portal pelanggan, “Fix it for me”

• Pemalam dan sambungan menghantar angka harian, inventori pemalam dan kategori ralat, dan pemalam WordPress turut menghantar domain pautan bagi perlindungan berkelompok (diaktifkan secara lalai) (P7), tanpa kandungan, alamat, nama atau IP pelawat; perakam menyimpan pemilih selama paling lama 15 minit dalam pelayar pentadbir. Tiada kriteria dipenuhi.
• Apabila dimuatkan, lencana memindahkan data sambungan biasa ke log pelayan web, tanpa kuki. Tiada kriteria dipenuhi.
• Portal pelanggan memproses alamat e-mel pelanggan laporan dengan pengesahan langganan dua langkah bagi pihak agensi. Tiada kriteria dipenuhi.
• “Fix it for me” meminta kod borang yang ditampal ditulis semula oleh model bahasa pada pelayan kami sendiri; kod tidak disimpan. C8 dalam bentuk lemah, tiada yang lain.

Hasil sementara P9: tiada DPIA diperlukan.

3.4 Senarai pihak berkuasa penyeliaan Poland di bawah Art. 35(4)

Pihak berkuasa yang berwibawa ialah Presiden Pejabat Perlindungan Data Peribadi (Prezes Urzędu Ochrony Danych Osobowych, UODO). Presiden menerbitkan senarai jenis operasi pemprosesan yang memerlukan DPIA dalam pengumuman 17 Jun 2019 (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, perkara 666). Senarai memadankan entrinya dengan kriteria garis panduan WP248, memberikan contoh dan secara nyata tidak menyeluruh; senarai tidak menggantikan penilaian di bawah Art. 35(1).

Pada pembacaan kami, jenis pemprosesan berikut dalam senarai sepadan dari segi isi dengan operasi pemprosesan formexposed:

Jenis pemprosesan mengikut senarai (diparafrasa)	Kriteria yang dipadankan	Operasi pemprosesan di formexposed	Penilaian
Perbandingan, penilaian atau kesimpulan berdasarkan analisis data daripada sumber berbeza	C6	P7 Perlindungan berkelompok	terpakai
Penilaian atau pemarkahan, termasuk pemprofilan	C1	P7 Perlindungan berkelompok; P1 dan P2 sebagai kes pinggiran	terpakai pada P7
Pemprosesan kategori khas data peribadi	C4	P6 Semakan penghantaran e-mel	terpakai bergantung pada Pelanggan
Penggunaan inovatif atau penerapan penyelesaian teknologi	C8	P1 hingga P4 (model bahasa untuk pengelasan)	terpakai dalam bentuk lemah
Pemprosesan pada skala besar	C5	P3 Kajian	terpakai pada senarai besar
Pemantauan sistematik tempat yang boleh dicapai secara awam, termasuk dengan pengecaman ciri	C3	–	tidak terpakai: yang dimaksudkan ialah tempat, bukan laman web

Pemadanan ini ialah pembacaan, bukan petikan; ungkapan entri perlu disemak terhadapnya dalam semakan undang-undang. Pemadanan mengesahkan hasil seksyen 3.3 tetapi tidak mengubahnya. Setakat pengetahuan kami, UODO tidak menerbitkan senarai di bawah Art. 35(5) – operasi pemprosesan yang tidak memerlukan DPIA.

3.5 Hasil penilaian ambang

Operasi pemprosesan	Dipenuhi	Pinggiran	Hasil
P1 Semakan percuma	C8 (lemah)	C1, C5	tidak wajib; dimasukkan
P2 Semakan laman bakal pelanggan	C8 (lemah)	C1	tidak wajib; dimasukkan
P3 Kajian	C8 (lemah), C5 bagi senarai besar	–	diperlukan (kewajipan formexposed)
P4 Semakan domain Pelanggan	C8 (lemah)	C4 (semakan fail)	tidak wajib; dimasukkan
P5 Imbasan selepas log masuk	–	C4	tidak wajib; dimasukkan; bagi Pelanggan bergantung pada kandungan
P6 Semakan penghantaran e-mel	C4; C7 bergantung pada Pelanggan	C3 (cenderung dipenuhi), C5	diperlukan (kewajipan Pelanggan; halaman ini membantu di bawah Art. 28(3)(f))
P7 Perlindungan berkelompok	C6, C1	C9	diperlukan (kewajipan formexposed)
P8 Akaun, log, sokongan, pembayaran	–	–	tidak diperlukan
P9 Angka pemalam, lencana, portal, “Fix it for me”	C8 (lemah, hanya “Fix it for me”)	–	tidak diperlukan

Hasil berhubung Art. 35(1): DPIA diperlukan bagi operasi pemprosesan tertentu formexposed. DPIA diperlukan bagi perlindungan berkelompok dan kajian pada saiz yang direka, dan formexposed melaksanakannya sebagai pengawal data. Bagi semakan penghantaran e-mel, DPIA diperlukan dalam keadaan lazim, tetapi sebagai kewajipan Pelanggan; formexposed menyediakan asasnya. Bagi semakan lain terhadap laman web pihak ketiga dan laman web sendiri, DPIA tidak wajib. Walau bagaimanapun, kami memasukkannya kerana menggunakan teknologi yang sama, kerana beberapa kes pinggiran menuju ke arah yang sama dan kerana subjek data – pengendali tanpa akaun dan orang pada halaman yang disemak – tidak mengetahui apa-apa tentang pemprosesan. Tiada penilaian diperlukan bagi akaun, log, sokongan dan pembayaran.

Oleh itu, seksyen 6 hingga 10 terpakai pada P1 hingga P7. Jika pernyataan hanya terpakai pada satu daripada operasi pemprosesan ini, pernyataan itu ditandakan sedemikian.

4. Pegawai perlindungan data: penilaian di bawah Art. 37

Tiada pegawai perlindungan data dilantik. Art. 37(1) mengikat pengawal data dan pemproses data sama rata; oleh itu persoalan ini ialah persoalan kami sendiri. Tiga kes berkanun:

Art. 37(1)	Syarat	Hasil
perkara (a)	Pihak berkuasa atau badan awam	Tidak berkenaan; LW IT Solutions Company Lukas Wójcik ialah perniagaan milikan tunggal persendirian.
perkara (b)	Aktiviti teras terdiri daripada operasi pemprosesan yang memerlukan pemantauan subjek data secara tetap dan sistematik pada skala besar	Aktiviti teras ialah semakan dan pemantauan laman web dan borang, secara tetap dan sistematik. Walau bagaimanapun, tiada orang dipantau: perangkak tidak memerhatikan tingkah laku dan semakan penghantaran e-mel hanya menilai e-mel bagi penghantaran dan ketulenan. Tidak dipenuhi.
perkara (c)	Aktiviti teras terdiri daripada pemprosesan data pada skala besar di bawah Art. 9 atau 10	Tidak mengikut reka bentuk. Kategori khas mungkin sampai kepada kami melalui salinan kawalan semakan penghantaran e-mel; itu berlaku secara sampingan, bukan aktiviti teras. Tidak dipenuhi.

Oleh itu, pada penilaian kami, tiada kewajipan untuk melantik pegawai sedemikian. Sama ada undang-undang Poland mewajibkan pelantikan di luar perkara ini di bawah Art. 37(4) ialah persoalan terbuka untuk semakan undang-undang. Oleh sebab tiada pegawai perlindungan data dilantik, nasihat di bawah Art. 35(2) tidak terpakai. Jika semakan undang-undang mendapati kewajipan pelantikan wujud, nasihat pegawai perlindungan data yang kemudiannya dilantik akan diminta sebelum penilaian ini diluluskan (seksyen 12). Orang untuk dihubungi bagi soalan tentang penilaian ini ialah pemilik di contact@lukaswojcik.com.

5. Kaedah, sumber dan batas versi ini

Fakta dalam dokumen ini berasal daripada kod sumber aplikasi dan pengimbas, skema pangkalan data serta bilangan baris dan tetapan sistem pembangunan, yang diukur pada 11 Oktober 2026. Pangkalan data dan pelayan diakses secara baca sahaja. Jika pengukuran bercanggah dengan niat – termasuk pernyataan dalam dokumen undang-undang kami sendiri – kami melaporkan pengukuran. Kami tidak menggunakan kod tatakelakuan yang diluluskan di bawah Art. 40, yang pematuhannya perlu diambil kira di bawah Art. 35(8).

• Sistem pembangunan diukur. Perkhidmatan belum dilancarkan. Oleh itu, angka adalah kecil dan sebahagiannya hasil ujian: 112 semakan, 110 daripadanya tanpa domain Pelanggan; 432 tangkapan skrin; 2 domain, 1 daripadanya telah disahkan; tiada semakan penghantaran e-mel diaktifkan; tiada akaun ujian disimpan bagi imbasan selepas log masuk; tiada kajian; tiada laporan dalam perlindungan berkelompok. Pengukuran perlu diulang sebelum pelancaran dan pada sela masa tetap selepas itu.
• Belum diukur dalam versi ini dan perlu ditambah sebelum kelulusan ialah: konfigurasi sistem pengeluaran, termasuk sama ada dan cara peti mel kawalan disediakan serta sama ada pasangan kunci bagi imbasan selepas log masuk disediakan di situ; sama ada perisian model bahasa merekodkan permintaan dalam log; keadaan pentadbiran pelayan (R13); kontrak dengan penyedia perkhidmatan e-mel.
• Tidak dapat diukur ialah bilangan mesej pelawat sebenar yang akan melalui salinan kawalan dan sektor asal Pelanggan. Kedua-duanya menentukan kepentingan R1 dan R2 dan perlu dipastikan selepas pelancaran.
• Rujukan sumber menunjuk kepada fail dan fungsi dalam kod sumber sistem pembangunan. Perkara yang menentukan ialah fungsi yang diterangkan, bukan lokasinya dalam fail.

Dokumen ini ialah draf. Dokumen ini belum diluluskan oleh pengawal data (seksyen 12), dan dua kesimpulannya – penilaian skala bagi P1 dan P3 serta kepentingan semakan penghantaran e-mel – bergantung pada angka yang hanya akan wujud selepas pelancaran.

6. (a) Penerangan sistematik operasi pemprosesan dan tujuan

6.1 Struktur sistem semakan

formexposed berjalan pada pelayannya sendiri di Poland, tanpa penyedia pengehosan luaran: pelayan web dengan aplikasi dan pangkalan data, serta pelayan imbasan dengan perkhidmatan semakan dan model bahasa setempat, kedua-duanya dalam rangkaian dalaman yang sama. Semakan berjalan seperti berikut:

1. Aplikasi mencipta tugas dalam pangkalan data – tertakluk pada had dan sekatan yang dinyatakan dalam seksyen 6.3.
2. Perkhidmatan semakan pada pelayan imbasan mengambil tugas, menyemak semula senarai sekatan, nama hos dan, bagi semakan tanpa nama, umur domain, dan memulakan bekas terpencil khusus untuk tugas ini: rangkaiannya sendiri dengan peraturan penapisnya sendiri, tiada keistimewaan khas, sistem fail baca sahaja, had ingatan dan proses, serta had masa (scanner/src/worker.js).
3. Dalam bekas, pelayar automatik mengambil paling banyak lapan halaman awam, halaman utama dahulu, kemudian mengutamakan halaman hubungan, maklumat penyedia dan sokongan. Sebelumnya, pelayar membaca robots.txt; pengecualian bagi FormExposedBot atau semua perangkak yang meliputi halaman utama menamatkan semakan, begitu juga robots.txt yang tidak dapat dicapai atau ralat pelayan semasa pengambilan (scanner/src/net.js). Larangan bagi sublaluan individu tidak dipatuhi secara berasingan. Semakan berkala borang, pengambilan bukti, alat pengepala dan carian fail yang terdedah tidak membaca robots.txt. Selain lapan halaman itu, terdapat sehingga tiga halaman dengan klik pada “Tolak” dalam sepanduk kuki, sehingga tiga halaman dalam paparan telefon, prob aktif bagi domain yang telah disahkan dan sehingga lima halaman selepas log masuk; halaman dimuatkan satu demi satu, bukan secara selari. Setiap permintaan daripada pelayar – termasuk pengalihan dan kandungan terbenam – melalui penapis yang menolak rangkaian persendirian dan port lain.
4. Bekas menulis hasil dan tangkapan skrin ke direktori sementara. Perkhidmatan semakan menghantar hasil dan imej kepada aplikasi melalui rangkaian dalaman dan memadamkan direktori sementara, walaupun selepas ralat (scanner/src/worker.js).
5. Aplikasi memproses hasil, membandingkannya dengan semakan terdahulu bagi domain Pelanggan dan melaporkan perubahan kepada destinasi yang disediakan oleh Pelanggan.

6.2 Perkara yang disimpan dan tidak disimpan oleh perangkak

Perkara	Perkara yang disimpan	Perkara yang tidak disimpan	Rujukan sumber
Halaman	Alamat, status HTTP, pengepala, Content Security Policy, hos pihak ketiga yang diminta (paling banyak 120)	Kandungan halaman sebagai teks atau HTML	scanner/src/crawl.js
Medan borang	Jenis, nama, label, pemegang tempat, medan wajib, keterlihatan, panjang nilai sedia ada	Nilai medan; bagi medan tersembunyi, 24 aksara pertama nilai hanya dibaca semasa semakan (untuk mengesan token)	scanner/src/crawl.js
Alamat penerima dalam borang	domain sahaja	alamat	scanner/src/crawl.js
Skrip	Inventori dengan jumlah semak; alamat dan teks permulaan tanpa pengenal akaun perkhidmatan pengiklanan dan analitik	Pengenal akaun dan piksel	scanner/src/crawl.js
Pembaca sampingan	piksel pengiklanan dan alat rakaman yang dimuatkan sebelum dan selepas “Tolak” diklik dalam sepanduk kuki, serta sama ada input disamarkan	Pengenal akaun perkhidmatan ini	scanner/src/mitleser.js, scanner/src/einwilligung.js
Teks borang	sehingga 400 aksara dihantar kepada model bahasa setempat jika peraturan tidak mengenal pasti jenis	Pendedahan kepada pihak ketiga; penyimpanan teks	scanner/src/classify.js
Tangkapan skrin (perangkak)	kawasan halaman pertama yang kelihatan; bagi setiap borang yang kelihatan, imej elemen borang	–	scanner/src/crawl.js
Tangkapan skrin (semakan aktif)	Imej halaman respons kepada penghantaran ujian; selain itu, status, alamat sasaran, tajuk dan 300 aksara pertama teksnya	–	scanner/src/active.js
Tangkapan skrin (aliran semakan dalam pelayar)	Imej borang dengan medan input dihitamkan, dimampatkan, paling banyak 32 KB	Input	scanner/src/browser.js
Selepas log masuk	seperti medan borang di atas	Tangkapan skrin, kuki, pautan	scanner/src/login.js

Secara reka bentuk, perkara ini tidak mengandungi data peribadi, tetapi data peribadi terkandung secara sampingan: nama orang untuk dihubungi di sebelah borang, foto pasukan pada halaman utama, nombor telefon dalam label, domain e-mel individu, nama dalam pemegang tempat. Selepas log masuk, butiran akaun ujian dan, bergantung pada laman web, butiran pengguna lain turut ditambah.

6.3 Siapa yang mencetuskan semakan, dan perkara yang terpakai selepas itu

Pencetus	Tahap kepercayaan dalam tugas	Penghantaran ujian	Hasil boleh dicapai melalui	Pemadaman
Seseorang memasukkan domain pada halaman utama (semakan percuma)	anonymous	tidak	Laporan melalui pautan rawak	30 hari, termasuk imej (cfg/check_lib.php)
Pemalam atau sambungan tanpa akaun	plugin	tidak	Laporan melalui pautan rawak	30 hari
Agensi bagi bakal pelanggan	registered	tidak	Dapatan ringkas dan laporan melalui pautan rawak	90 hari (cfg/akquise_lib.php)
Pelanggan, domain tanpa bukti	registered	tidak	Akaun; laporan melalui pautan rawak	13 bulan, semakan terakhir dikekalkan
Pelanggan, domain dengan bukti	verified	ya, paling banyak lima bagi setiap semakan	Akaun; laporan melalui pautan rawak	13 bulan, semakan terakhir dikekalkan (cfg/fristen_lib.php)
Kajian	internal	tidak	jumlah keseluruhan sahaja selepas penerbitan	semasa penerbitan; tanpa penerbitan tiada had masa (R4)
Semakan dalaman melalui baris perintah oleh penyedia	internal; bagi domain ujian dan demo kami sendiri juga “verified”	tidak; dengan tahap “verified”, ya (hanya domain ujian dan demo kami sendiri)	dalaman sahaja	tiada had masa (R4)

Beberapa lapisan mendahului semakan percuma (cfg/check_lib.php): henti kecemasan; reCAPTCHA; domain yang sama paling banyak sekali dalam tujuh hari (selepas itu laporan sedia ada ditunjukkan); had bagi setiap alamat IP, setiap sesi (sebagai nilai cincang, bukan pengenal sesi itu sendiri) dan seluruh perkhidmatan setiap hari; senarai sekatan daripada pengecualian dan robots.txt; semakan bahawa domain menghala ke alamat awam; serta sekatan bagi domain yang sangat baharu atau tidak diketahui umurnya. Anomali – banyak domain berbeza daripada satu alamat IP, banyak permintaan dalam masa singkat – dicatat bersama alamat IP dan mencetuskan isyarat tanpa kandungan (cfg/check_lib.php).

6.4 Menyemak domain dalam akaun Pelanggan

Pelanggan membuktikan bahawa Pelanggan berhak mengawal domain: melalui rekod DNS, tag meta, fail atau pemalam kami (cfg/verify_lib.php). Hanya selepas itu domain dianggap telah disahkan. Penjadual pemantauan hanya menjadualkan semakan berkala bagi domain yang aktif, dipantau dan telah disahkan (cfg/monitor_lib.php).

• Penghantaran ujian aktif terikat pada dua pintu kawalan: aplikasi menetapkan mod aktif bagi Pelanggan hanya untuk domain yang telah disahkan (bagi domain ujian dan demo kami sendiri, penyedia boleh mencipta semakan dengan tahap “verified” melalui alat baris perintah dalaman), dan perkhidmatan semakan menyemak semula tahap kepercayaan dan henti kecemasan fc_active_enabled (scanner/src/worker.js). Hanya borang yang dikenal pasti oleh peraturan dengan kepastian tinggi sebagai borang hubungan umum, yang tidak mempunyai medan wajib bagi data peribadi sebenar dan yang domainnya tidak kelihatan seperti pihak berkuasa awam, institusi pendidikan, klinik, pusat perubatan, polis atau mahkamah boleh dihantar (scanner/src/classify.js). Model bahasa tidak boleh menjadikan borang boleh dihantar (scanner/src/classify.js). Paling banyak lima penghantaran dibuat bagi setiap semakan (fc_active_max_posts), ditandakan dengan jelas, dengan penghantar dummy@formexposed.com, alamat di bawah .invalid untuk menguji pengesahan e-mel dan baris pengepala tambahan yang tidak memudaratkan untuk mengesan suntikan pengepala e-mel (scanner/src/active.js).
• Aliran semakan dalam pelayar menyemak aliran borang yang dikonfigurasikan dalam pelayar sehingga titik sejurus sebelum penghantaran. Hanya permintaan GET dan HEAD dibenarkan; semua yang lain dibatalkan, begitu juga alamat yang mengandungi perkataan untuk log keluar, memadam, membeli atau membayar (scanner/src/browser.js). Untuk semakan, medan wajib diisi dengan nilai rekaan yang tidak pernah meninggalkan pelayar.
• Fail yang terdedah dicari setiap minggu, hanya bagi domain yang telah disahkan, dengan paling banyak satu pengambilan bagi setiap laluan, paling banyak 8 KB dan kandungan tidak sekali-kali disimpan (cfg/dateien_lib.php).
• Prob kedua yang bebas telah disediakan dan dimatikan secara lalai (browser_probe_enabled = 0). Jika diaktifkan, prob hanya akan menerima domain, alamat, pemilih, langkah dan pilihan pelayar, bukan butiran kelayakan, tangkapan skrin atau data pelawat (cfg/formular_probe_lib.php).

6.5 Imbasan selepas log masuk

Prasyarat: fungsi disediakan, domain telah disahkan dan Pelanggan berada pada pelan berbayar serta merupakan pemilik atau pentadbir ruang kerja (cfg/login_lib.php); Pelanggan mengesahkan bahawa akaun itu ialah akaun ujian dengan hak sesedikit mungkin (cfg/login_lib.php).

1. Nama pengguna dan kata laluan disulitkan serta-merta pada pelayan web dengan kunci awam pelayan imbasan: kunci sekali guna bagi setiap rekod (X25519), penerbitan kunci (HKDF-SHA256), AES-256-GCM, terikat pada domain (cfg/login_lib.php). Hanya perkhidmatan semakan pada pelayan imbasan mempunyai kunci persendirian (scanner/src/geheim.js). Sesiapa yang memiliki pelayan web, pangkalan data atau sandaran hanya mempunyai teks sifer.
2. Antara muka hanya menunjukkan aksara pertama dan panjang nama pengguna (cfg/login_lib.php). Butiran kelayakan tidak sekali-kali dipaparkan, direkodkan dalam log atau dikeluarkan melalui API.
3. Bagi semakan, aplikasi melampirkan teks sifer pada tugas. Perkhidmatan semakan menyahsulitkannya, membersihkan medan dalam tugas serta-merta dan menghantar butiran kelayakan kepada bekas hanya melalui input standard, bukan sebagai argumen baris perintah (scanner/src/worker.js). Baki dalam tugas yang dibatalkan dibersihkan oleh proses status selepas satu jam (cfg/login_lib.php).
4. Dalam bekas, pelayar log masuk. Pelayar membatalkan proses jika halaman log masuk mengalih ke hos lain, jika borang log masuk mempunyai CAPTCHA (kami tidak memintas CAPTCHA) atau jika medan kata laluan masih kelihatan selepas penghantaran (scanner/src/login.js). Pelayar kemudian membersihkan medan kata laluan dalam ingatan halaman dan melupakan butiran kelayakan (scanner/src/login.js).
5. Pelayar membaca paling banyak lima halaman domain yang sama yang ditetapkan oleh Pelanggan. Alamat yang mengandungi perkataan untuk log keluar, memadam, mengeluarkan atau membatalkan disekat (scanner/src/login.js). Tiada apa-apa dihantar selepas log masuk, tiada tangkapan skrin diambil dan kuki serta pautan tidak dimasukkan dalam hasil (scanner/src/login.js).
6. Pemadaman adalah muktamad: teks sifer ditulis ganti dengan data rawak yang sama panjang, baris dipadamkan dan tugas yang menunggu dibersihkan (cfg/login_lib.php). Apabila domain dipadamkan, baris hilang secara automatik melalui kunci asing.

6.6 Semakan penghantaran e-mel

Semakan penghantaran e-mel menjawab soalan sama ada e-mel daripada borang hubungan benar-benar tiba dan menilai ciri ketulenannya. Fungsi ini pilihan, dimatikan secara lalai dan memerlukan peti mel kawalan disediakan (cfg/zustellung_lib.php).

1. Jika Pelanggan mengaktifkannya, domain menerima tag rawak. Pelanggan memasukkan alamat kawalan dengan tag ini sebagai salinan tersembunyi dalam borangnya.
2. Sejak itu, setiap e-mel borang turut dihantar ke peti mel kawalan: penghantaran ujian kami yang ditandakan dan semua mesej sebenar daripada pelawat. E-mel dihantar terus ke peti mel di Namecheap, Inc. (Private Email), Phoenix, Arizona, USA – e-mel hanya tiba jika rekod MX domain kami menghala ke situ; melalui pemajuan, contohnya di pendaftar domain Namecheap, Inc., e-mel tidak sampai ke peti mel – dan kekal di situ sehingga diambil.
3. Proses status mengambil e-mel dalam peti mel setiap lima minit (srv/cron_status.php). Bagi setiap e-mel, proses membaca pengepala dan paling banyak 8 KB pertama teks, tanpa menandakannya sebagai telah dibaca (cfg/zustellung_lib.php).
4. Daripada pengepala, proses menentukan tag dan dengan itu domain, serta daripada teks, jika berkenaan, pengenal ujian kami (cfg/zustellung_lib.php). Perkara yang disimpan ialah masa, domain dan, jika berkenaan, pengenal ujian (cfg/zustellung_lib.php), selama 180 hari (cfg/zustellung_lib.php).
5. Daripada pengepala, proses menilai SPF, DKIM dan DMARC serta menyimpan hasil bagi domain: hasil semakan, domain alamat penghantar, domain tandatangan dan alamat pelayan e-mel penghantar (cfg/zustellung_lib.php). Jika hasil merosot, amaran yang boleh menyatakan domain penghantar dihantar sekali kepada Pelanggan (cfg/zustellung_lib.php).
6. Proses kemudian menandakan setiap e-mel yang diambil untuk pemadaman, termasuk e-mel yang tidak dapat dipadankan dengan mana-mana domain, dan mengeluarkannya daripada peti mel pada penghujung proses (cfg/zustellung_lib.php). Jika proses terhenti sebelum itu, e-mel kekal sehingga proses seterusnya yang berjaya.
7. Hanya salinan ujian yang tepat berkenaan dikira sebagai bukti penghantaran (cfg/zustellung_lib.php). Jika salinan tidak tiba dalam tiga jam (delivery_wait_h), perkhidmatan melaporkan “Penghantaran tiada”.

Teks mesej sebenar tidak sekali-kali ditulis ke dalam pangkalan data, begitu juga alamat pelawat. Namun, kedua-duanya dibaca: pengambilan memuatkan 8 KB pertama setiap e-mel ke dalam ingatan untuk mencari pengenal ujian.

6.7 Perlindungan berkelompok

1. Lapisan perlindungan pemalam WordPress menghentikan mesej sebagai spam dan mengira domain pautan di dalamnya. Sekali sehari, pemalam melaporkan domain ini bersama bilangan padanannya kepada kami, paling banyak 60 sehari; tiada alamat, tiada teks, tiada alamat IP (cfg/swarm_lib.php).
2. Sekali sehari, kami menyusun senarai daripadanya: domain dimasukkan jika dilaporkan dalam tujuh hari oleh sekurang-kurangnya tiga laman web berbeza dan dengan sekurang-kurangnya lima padanan (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Perkhidmatan besar daripada senarai pengecualian tetap dan domain Pelanggan kami, dalam setiap kes termasuk subdomain, tidak sekali-kali dimasukkan ke dalam senarai (cfg/swarm_lib.php).
3. Senarai dihantar kepada semua laman web yang disambungkan bersama respons kepada laporan harian. Lapisan perlindungan mereka memasukkan mesej dengan pautan ke domain yang disenaraikan ke kuarantin, bukan ke tong sampah.
4. Apa-apa yang tidak lagi muncul dalam senarai baharu dikeluarkan; laporan dipadamkan selepas 30 hari (cfg/swarm_lib.php).
5. Rangkaian IP (/24 atau /48) telah disediakan tetapi dimatikan sehingga semakan undang-undang selesai (cfg/swarm_lib.php).

6.8 Penggunaan kecerdasan buatan

Model bahasa berjalan pada pelayan imbasan kami sendiri, bukan dengan penyedia AI. Model digunakan di tiga tempat: dalam perkhidmatan semakan, model mengelaskan borang yang jenisnya tidak dikenal pasti oleh peraturan; semasa itu, model melihat tajuk halaman, alamat halaman, label butang hantar, jenis, nama, label dan pemegang tempat medan, serta sehingga 400 aksara teks borang (scanner/src/classify.js). Model hanya ditanya jika peraturan memberikan hasil “unknown”; borang yang dikelaskan dengan cara ini tidak sekali-kali dihantar dan tidak diambil kira dalam skor dan penilaian keseluruhan. Skor, penilaian keseluruhan, pencegahan penyalahgunaan, perlindungan berkelompok dan peraturan spam ialah peraturan tetap, bukan AI. Dalam “Fix it for me”, model menulis semula kod borang yang ditampal; kod tidak disimpan. Bagi semakan domain yang memenuhi syarat dalam akaun berbayar, model turut menjana pelan tindakan mengikut keutamaan daripada nama hos, hasil keseluruhan dan skor, CMS, jenis borang dan alamat halaman yang berkaitan, apa-apa pemalam yang dikenal pasti serta dapatan terpilih yang gagal atau tidak jelas. Permintaan disimpan sementara dalam baris gilir tugas dalaman dan dipadamkan selepas diambil atau melalui pembersihan berjadual bagi entri yang berusia lebih daripada satu jam. Teks yang dijana, bahasa, status dan cap masa disimpan bersama hasil imbasan di bawah peraturan penyimpanannya. Laporan melabelkan pelan sebagai ringkasan AI dan menetapkan dapatan individu sebagai rujukan yang muktamad; pelan tidak mengubah laman web atau hasil imbasan. Model tidak membuat keputusan tentang orang. Maklumat lanjut terdapat pada halaman Akta AI EU: Cara formexposed Menggunakan AI.

6.9 Asas undang-undang

Operasi pemprosesan	Asas undang-undang
P1 Semakan percuma: menyemak domain yang diminta; had dan pencegahan penyalahgunaan	berhubung dengan orang yang meminta, Art. 6(1)(b); berhubung dengan pengendali dan orang yang dipaparkan, Art. 6(1)(f); pencegahan penyalahgunaan, Art. 6(1)(f)
P2 Semakan laman bakal pelanggan	Art. 6(1)(f) (kepentingan yang sah agensi dan formexposed)
P3 Kajian	Art. 6(1)(f)
P4 Semakan domain Pelanggan	Art. 6(1)(b) berhubung dengan Pelanggan; bagi data pihak ketiga pada laman webnya, arahan Pelanggan di bawah Art. 28
P5 Imbasan selepas log masuk	Arahan Pelanggan di bawah Art. 28; asas undang-undang Pelanggan
P6 Semakan penghantaran e-mel	Arahan Pelanggan di bawah Art. 28; asas undang-undang Pelanggan (dalam teks cadangan kami untuk Pelanggan, Art. 6(1)(f))
P7 Perlindungan berkelompok	Art. 6(1)(f) (pertahanan bersama daripada spam merentasi banyak laman web)

Kepentingan kami yang sah dalam P1 hingga P3 adalah untuk menunjukkan kepada pengendali dan penyedia perkhidmatan mereka kelemahan borang sebelum dieksploitasi untuk spam atau penyalahgunaan, serta untuk menyediakan perkhidmatan. Data berasal daripada sumber yang boleh dicapai secara awam. Pengimbangan kepentingan dinyatakan dalam seksyen 7; sama ada Art. 6(1)(f) menyokong semakan laman web pihak ketiga atas permintaan ialah persoalan terbuka untuk semakan undang-undang.

6.10 Penerima dan pemindahan ke negara ketiga

Penerima	Perkara	Operasi pemprosesan	Status
Tiada sesiapa di luar formexposed	Hasil semakan, tangkapan skrin, pengelasan oleh model bahasa	P1–P5	Perkhidmatan semakan dan model bahasa berjalan pada pelayan kami sendiri; dalam laluan semakan perangkak, tiada panggilan kepada pihak ketiga ditemukan selain kepada laman web yang disemak itu sendiri, perkhidmatan yang kandungannya dibenamkan oleh laman itu (seperti mana-mana pelawat) dan perkhidmatan RDAP rdap.org bagi umur domain (nama domain sahaja); pemantauan disenaraikan dalam baris seterusnya
Sesiapa yang mengetahui pautan	Laporan dengan dapatan dan tangkapan skrin	P1, P2, P4	pautan rawak dengan 128 bit (cfg/check_lib.php), halaman dengan noindex (www/report.php)
Perkhidmatan yang ditanya oleh pemantauan domain Pelanggan	Senarai sekatan DNS (SpamCop, PSBL, Mailspike, SURBL): domain dan alamat IP pelayan, tiada data pelawat; Google Web Risk hanya jika disediakan: alamat halaman utama; pihak berkuasa cap masa Certum dan DigiCert: hanya nilai cincang log bukti; RDAP melalui daftar IANA: nama domain sahaja; halaman status penyedia: tiada apa-apa dihantar; wpvulnerability.net: pengenal pemalam (tanpa versi) atau tema serta versi WordPress	P4	sedang digunakan; butiran dalam Rekod Aktiviti Pemprosesan dan pada halaman Subpemproses Data
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Salinan kawalan termasuk mesej pelawat sebenar	P6	Kontrak belum dimeterai; tempat pemprosesan dan mekanisme pemindahan masih perlu diteliti
Namecheap, Inc. (Amerika Syarikat)	Pendaftar dan DNS; sehingga peti mel disediakan, pemajuan e-mel umum ke alamat domain kami, bukan salinan kawalan (salinan ini hanya sampai ke peti mel melalui rekod MX yang menghala terus ke situ)	– (tiada salinan kawalan)	Mekanisme pemindahan perlu diteliti
Saluran amaran yang dipilih oleh Pelanggan (e-mel, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	Peristiwa, domain, pautan; bagi semakan ketulenan, domain penghantar jika bukan milik laman web	P4, P6	destinasi dipilih oleh Pelanggan; sebahagiannya di luar EU. Kami menghantar mesej Telegram melalui bot kami; mekanisme pemindahan bagi perkara ini ialah persoalan terbuka untuk semakan undang-undang
Semua laman web yang disambungkan	Senarai domain pautan	P7	melalui respons kepada pemalam
Prob kedua	Domain, alamat borang, pemilih, langkah	P4	dimatikan

6.11 Penyimpanan, diukur, bukan sekadar diniatkan

Pemadaman kebanyakannya berlaku pada waktu malam pada 03:00 dalam proses status (srv/cron_status.php, cfg/fristen_lib.php); laporan perlindungan berkelompok dan baris bakal pelanggan dipadamkan setiap hari mulai 04:00, pemadanan semakan penghantaran e-mel pada setiap pengambilan; laporan tanpa nama dan bakal pelanggan dipadamkan melalui tarikh luputnya (cfg/check_lib.php). Tangkapan skrin dipadamkan daripada cakera bersama imbasannya (cfg/fristen_lib.php).

Data	Tempoh mengikut kod	Rujukan sumber	Dapatan
Semakan percuma termasuk imej	30 hari	cfg/check_lib.php	berkesan
Semakan laman bakal pelanggan termasuk imej	90 hari	cfg/akquise_lib.php; srv/cron_status.php (baris bakal pelanggan)	berkesan
Semakan domain Pelanggan	13 bulan; semakan terakhir dikekalkan selagi domain wujud	cfg/fristen_lib.php	berkesan
Hasil aliran semakan dalam pelayar termasuk imej yang dihitamkan	13 bulan	cfg/fristen_lib.php	berkesan
Data domain yang dipadamkan	serta-merta; data yatim pada waktu malam	cfg/fristen_lib.php (fe_domain_loeschen(), fe_fristen_lauf())	berkesan, termasuk inventori skrip dan perubahan skrip, yang tidak mempunyai tempoh penyimpanan tersendiri selain itu (lihat Rekod Aktiviti Pemprosesan)
Kajian: data mentah termasuk imej	semasa penerbitan	cfg/studie_lib.php	tanpa penerbitan, tiada had masa; senarai hos yang disemak kekal tanpa had masa walaupun selepas penerbitan
Semakan dalaman tanpa domain dan tanpa laporan	tiada	–	tiada pemadaman; diukur: 85 semakan dengan 369 imej sejak 22 September 2026 (R4)
Pemadanan semakan penghantaran e-mel	180 hari	cfg/zustellung_lib.php	berkesan
Hasil semakan ketulenan bagi domain	sehingga hasil seterusnya atau pemadaman domain	cfg/zustellung_lib.php	ditulis ganti, bukan dihadkan masa
Salinan kawalan dalam peti mel	sehingga pengambilan seterusnya yang berjaya (sela lima minit)	cfg/zustellung_lib.php	salinan dan sandaran di penyedia peti mel belum disahkan
Butiran kelayakan bagi imbasan selepas log masuk	sehingga dipadamkan oleh Pelanggan atau sehingga domain dipadamkan; dalam tugas paling lama sehingga penghujung proses, baki selepas satu jam	cfg/login_lib.php	berkesan; dalam sandaran hanya sebagai teks sifer sehingga 14 hari
Laporan dalam perlindungan berkelompok	30 hari	cfg/swarm_lib.php	berkesan
Had semakan percuma (IP, negara, nilai cincang sesi)	7 hari	srv/cron_status.php	berkesan
Nota tentang tingkah laku ketara dengan alamat IP	90 hari selepas penyelesaian	srv/cron_status.php	nota yang belum diselesaikan tanpa had masa; diukur: 3 nota, semuanya diselesaikan
Alamat IP, negara, pelayar berkaitan dengan pengecualian	12 bulan; pengecualian kekal	cfg/fristen_lib.php	berkesan
Sandaran pangkalan data	14 hari	cfg/backup_lib.php	berkesan; sandaran pada masa ini disimpan di lokasi yang sama dengan pangkalan data dan tidak disulitkan secara berasingan; salinan disulitkan di lokasi kedua dirancang (R13)

7. (b) Penilaian keperluan dan perkadaran

Kayu ukur ialah tujuan yang dinyatakan: menunjukkan kepada pengendali sama ada borang mereka dilindungi daripada spam dan penyalahgunaan (P1 hingga P5), menyemak sama ada e-mel borang tiba dan kelihatan tulen (P6), serta bertahan bersama daripada spam merentasi banyak laman web (P7). Tujuan ini sah. Soalan di bawah Art. 35(7)(b) lebih sempit: adakah pemprosesan ini diperlukan pada kedalaman ini bagi tujuan tersebut, dan adakah gangguannya seimbang dengan manfaat?

Komponen	Perlu bagi tujuan?	Seimbang dalam bentuk yang dibina?
Pengambilan beberapa halaman awam, struktur borang, langkah perlindungan yang dikesan	Ya. Tanpanya, tiada dapatan.	Ya. Paling banyak lapan halaman (serta paparan daripada seksyen 6.1), larangan halaman utama dalam robots.txt dipatuhi, tiada nilai medan yang kelihatan, alamat penerima hanya sebagai domain.
Tangkapan skrin bagi setiap borang	Ya, sebagai bukti dalam laporan: pengendali boleh melihat borang yang dimaksudkan.	Sebahagian besarnya. Medan kosong kerana perangkak tidak menaip apa-apa. Walau bagaimanapun, imej menunjukkan persekitaran elemen borang tanpa menghitamkan apa-apa (R3).
Tangkapan skrin halaman utama	Tidak diperlukan bagi dapatan itu sendiri. Tujuannya adalah untuk mengenali laman web yang disemak dalam laporan.	Hanya pada tahap terhad; peminimuman lanjut dirancang. Halaman utama sering menunjukkan orang: foto pasukan, orang untuk dihubungi, testimoni pelanggan dengan nama. Lihat R3 dan seksyen 9.3.
Membaca nilai medan tersembunyi (24 aksara pertama, hanya semasa semakan)	Ya: token dan cap masa dikesan daripadanya.	Ya. Hanya hasil pengesanan disimpan, bukan nilai, juga selepas log masuk (R8).
Halaman respons kepada penghantaran ujian (imej dan 300 aksara teks)	Ya, sebagai bukti cara borang memberikan respons.	Ya. Respons berkaitan dengan mesej ujian kami yang ditandakan tanpa data peribadi.
Pengelasan oleh model bahasa	Berguna, bukan perlu: tanpanya, lebih banyak borang kekal “unknown”.	Ya. Setempat, tanpa pendedahan, tanpa hak untuk menghantar.
Pelan tindakan setempat daripada dapatan terpilih dan metadata imbasan	Berguna untuk mengutamakan pembaikan, bukan perlu untuk menghasilkan dapatan individu.	Terhad pada metadata imbasan sedia ada dan paling banyak 18 dapatan berbeza yang gagal atau tidak jelas, tanpa tangkapan skrin atau nilai medan yang dimasukkan dalam prompt. Pelan bersifat nasihat dan dilabelkan sebagai dijana AI; dapatan individu kekal menjadi rujukan yang muktamad. URL dan nota masih mungkin mengandungi data peribadi, dan teks yang dijana disimpan mengikut tempoh penyimpanan imbasan dan boleh diakses oleh sesiapa yang mempunyai pautannya. Batas ini mengurangkan pendedahan tetapi tidak membuktikan ketepatan fakta (R10).
Penghantaran ujian aktif	Ya. Sama ada perlindungan berfungsi hanya menjadi jelas apabila diuji.	Ya, dengan had dan penandaan. Walau bagaimanapun, prasyaratnya – bukti hak kawalan domain – tidak pernah diperbaharui (R7).
Carian fail yang terdedah	Ya bagi Pelanggan, yang data borangnya mungkin terdedah di situ.	Ya. Domain yang telah disahkan sahaja, paling banyak 8 KB, kandungan tidak sekali-kali disimpan.
Imbasan selepas log masuk	Ya bagi borang dalam bahagian ahli yang jika tidak, tidak akan disemak.	Sebahagian besarnya. Penyulitan dan pemadaman dibina dengan teliti; namun, log masuk menerima sambungan tidak disulitkan dan sijil yang bermasalah (R8).
Salinan kawalan mesej pelawat sebenar	Bukan bagi bukti penghantaran. Bukti itu hanya bergantung pada salinan ujian kami (cfg/zustellung_lib.php). Mesej sebenar turut disalin kerana salinan tersembunyi dalam borang tidak membezakan antara ujian dan mesej sebenar. Mesej ini berguna bagi semakan ketulenan (SPF, DKIM, DMARC) kerana menunjukkan laluan penghantaran sebenar.	Sebahagiannya. Kandungan tidak disimpan tetapi dibaca, dan kekal dengan penyedia peti mel, yang kontraknya masih terbuka, sehingga pengambilan (R1, R2). Reka bentuk yang kurang mengganggu boleh dilakukan secara teknikal: dengan pemalam kami, salinan tersembunyi boleh dihadkan pada mesej ujian yang ditandakan (seksyen 9.3).
Penyimpanan domain penghantar mesej sebenar	Sebahagiannya: menunjukkan sama ada borang menghantar dengan alamat pelawat sebagai penghantar (punca kerap pengelasan sebagai spam).	Bersyarat. Bagi individu dengan domain sendiri, domain ialah data peribadi dan dihantar dalam amaran kepada Pelanggan dan salurannya (R1).
Senarai bersama domain pautan	Ya. Pautan spam yang muncul serentak pada banyak laman web ialah isyarat kuat yang tidak dimiliki oleh satu laman web sahaja.	Ya, dengan bilangan minimum, pengecualian dan kuarantin bukannya pemadaman. Rangkaian IP tidak akan seimbang tanpa penilaian baharu.
Data mentah kajian	Sehingga penilaian, ya.	Tanpa tempoh maksimum, tidak (R4).
Laporan melalui pautan rawak	Ya. Menyampaikan laporan – contohnya kepada penyedia perkhidmatan yang menjaga laman web – ialah tujuan semakan percuma.	Ya. Pautan rawak dengan 128 bit, noindex, laporan percuma hanya sebagai petikan (cfg/check_lib.php, FE_FREE_DETEKTOREN), pemadaman selepas 30 hari.

Kesahan. Bagi P1 hingga P3 dan P7, kami bergantung pada Art. 6(1)(f). Yang menyokong pengimbangan: data adalah awam dan diambil dengan cara yang sama seperti mana-mana pelawat; tiada apa-apa dihantar; data peribadi adalah sampingan dan sedikit; tempohnya singkat; pengendali boleh mengecualikan semakan lanjut oleh perangkak melalui larangan halaman utama dalam robots.txt dan mana-mana semakan lanjut melalui halaman pengecualian kami, serta-merta dan tanpa bukti; manfaat – borang yang dilindungi – turut diperoleh oleh pengendali dan pelawatnya. Yang menentangnya: pengendali tidak mengetahui apa-apa tentang semakan, laporan dimaksudkan untuk pihak ketiga dan, bagi peniaga tunggal, laporan menilai seseorang. Kami menganggap pengimbangan boleh dipertahankan selagi langkah daripada seksyen 9.1 kekal; pengesahan undang-undang masih belum diperoleh.

Maklumat kepada subjek data (Art. 13 dan 14). Kami memaklumkan pengendali dan orang pada halaman yang disemak melalui halaman perangkak, yang dinyatakan dalam pengenal setiap pengambilan, melalui Dasar Privasi dan melalui halaman pengecualian. Memaklumkan secara individu orang yang muncul secara sampingan dalam tangkapan skrin hanya mungkin jika kami mengenal pasti mereka – yang merupakan gangguan lanjut yang lebih serius. Setakat itu, kami bergantung pada Art. 14(5)(b). Pelawat yang mesejnya melalui salinan kawalan dimaklumkan oleh Pelanggan; Perjanjian Pemprosesan Data mewajibkannya, dan kami menyediakan blok teks untuk tujuan itu.

Peminimuman data (Art. 5(1)(c)). Ini kelihatan di banyak tempat dan berasaskan kod: tiada nilai medan, alamat penerima hanya sebagai domain, pengenal akaun dalam alamat skrip disembunyikan, tiada kandungan daripada salinan kawalan dalam pangkalan data, tiada tangkapan skrin selepas log masuk, hanya domain dalam perlindungan berkelompok. Di dua tempat, peminimuman lanjut boleh dilakukan dan dirancang (seksyen 9.3): tangkapan skrin halaman utama tanpa penghitaman dan domain penghantar mesej sebenar.

Pembatasan penyimpanan (Art. 5(1)(e)). Sejak 27 September 2026, proses setiap malam mematuhi tempoh dalam Dasar Privasi bagi data Pelanggan dan membersihkan data yang tertinggal tanpa domain berkaitan daripada tempoh sebelumnya (cfg/fristen_lib.php). Dua laluan tanpa had masa kekal terbuka: semakan dalaman dan kajian yang tidak diterbitkan (R4).

Ketepatan (Art. 5(1)(d)). Dapatan boleh menjadi salah: borang kelihatan tidak dilindungi kerana perlindungan hanya dimuatkan selepas interaksi, atau perangkak dilayan secara berbeza daripada pelawat oleh tembok api. Bagi pengendali yang laman webnya diedarkan secara awam sebagai “Terdedah”, ini ialah persoalan reputasi. Oleh itu, laporan menyatakan kaedah, menunjukkan bukti dan menerangkan batas semakan dari luar.

Hasil berhubung perkadaran: Semakan laman web pihak ketiga dan laman web sendiri pada asasnya seimbang dalam bentuk yang dibina. Di tiga tempat terdapat keperluan penambahbaikan yang boleh ditangani melalui cara biasa dan yang langkahnya dirancang (seksyen 9.3): tangkapan skrin halaman utama, semakan dalaman tanpa had masa dan log masuk tidak disulitkan bagi imbasan selepas log masuk. Semakan penghantaran e-mel seimbang bagi salinan ujian dan semakan ketulenan; bagi mesej pelawat sebenar, ini hanya terpakai selagi kandungannya tidak disimpan, laluan melalui penyedia peti mel dilindungi melalui kontrak dan Pelanggan memaklumkan pelawatnya. Pada masa ini, perkara kedua daripada tiga perkara ini masih tiada.

8. (c) Penilaian risiko terhadap hak dan kebebasan subjek data

Perkara yang dinilai ialah risiko kepada subjek data, bukan kepada formexposed. Kebarangkalian dinilai sebagai kecil kemungkinannya, mungkin, berkemungkinan atau telah berlaku; “telah berlaku” bermaksud peristiwa itu bukan ramalan tetapi keadaan yang diukur. Keterukan dinilai sebagai terhad, ketara, serius atau sangat serius, bergantung pada perkara yang mungkin hilang daripada orang itu: kerahsiaan mesej, kawalan akaun, reputasi perniagaan, keupayaan melaksanakan hak. Tahap terhasil daripada kedua-duanya dan menerangkan keadaan semasa dengan langkah daripada seksyen 9.1.

No.	Risiko	Operasi pemprosesan	Kebarangkalian	Keterukan	Tahap
R1	Mesej pelawat sebenar dalam salinan kawalan, termasuk kemungkinan kategori khas	P6	Telah berlaku sebaik sahaja diaktifkan	Serius	Tinggi
R2	Laluan salinan kawalan melalui penyedia peti mel tanpa kontrak yang dimeterai dan dengan kemungkinan kaitan negara ketiga	P6	Berkemungkinan selagi kontrak tiada	Serius	Tinggi
R3	Tangkapan skrin laman web pihak ketiga tanpa penghitaman	P1–P4	Berkemungkinan	Terhad	Sederhana
R4	Data semakan dan tangkapan skrin tanpa laluan pemadaman	P3, semakan dalaman	Telah berlaku	Ketara	Tinggi
R5	Semakan dan penarafan awam laman web pihak ketiga tanpa pengetahuan pengendali; penyalahgunaan sebagai alat peninjauan	P1	Mungkin	Ketara	Sederhana
R6	Semakan laman bakal pelanggan sebagai asas pendekatan tanpa diminta	P2	Berkemungkinan	Terhad	Sederhana
R7	Bukti hak kawalan domain tidak pernah diperbaharui	P4, P5	Mungkin	Ketara	Sederhana
R8	Butiran kelayakan dan kandungan dalam imbasan selepas log masuk	P5	Mungkin	Serius	Sederhana; tinggi bagi akaun sebenar
R9	Penghantaran ujian aktif dan semakan fail pada laman web Pelanggan	P4	Kecil kemungkinannya	Ketara	Rendah
R10	Pengelasan oleh model bahasa	P1–P4	Kecil kemungkinannya	Terhad	Rendah
R11	Senarai sekatan bersama daripada laporan banyak laman web	P7	Mungkin	Terhad	Rendah hingga sederhana; tinggi dengan rangkaian IP
R12	Laporan dan tangkapan skrin melalui pautan awam	P1, P2, P4	Mungkin	Terhad	Rendah
R13	Kelemahan infrastruktur: sandaran, akses pelayan, pelayan imbasan	semua	Mungkin	Serius	Tinggi
R14	Hak subjek data bagi orang yang tidak mengenali kami	P1–P6	Berkemungkinan	Terhad	Rendah

R1 – Mesej pelawat sebenar dalam salinan kawalan

Ini ialah risiko perkhidmatan yang paling serius dan terhasil bukan daripada ralat tetapi daripada reka bentuk. Salinan tersembunyi dalam borang tidak membezakan antara mesej ujian kami dan mesej pelawat. Jika Pelanggan mengaktifkan semakan penghantaran e-mel, setiap mesej yang dihantar melalui borang itu sampai ke peti mel kawalan kami (cfg/zustellung_lib.php). Proses pengambilan membaca pengepala dan 8 KB pertama teks ke dalam ingatan untuk mencari pengenal ujian kami (cfg/zustellung_lib.php). Bagi borang hubungan biasa, ini bermaksud nama, alamat e-mel, nombor telefon dan mesej lengkap.

Perkara yang ditulis oleh pelawat ditentukan oleh pelawat itu sendiri, dan medan mengundang kandungan peribadi: permintaan janji temu yang menerangkan gejala kepada klinik perubatan, penerangan pertikaian undang-undang kepada firma guaman, permohonan pekerjaan, pertanyaan tentang kanak-kanak kepada sekolah. Dokumen undang-undang kami menyatakan bahawa salinan “sepatutnya tidak mengandungi apa-apa kategori khas data peribadi”. Itu ialah permintaan kepada Pelanggan, bukan langkah perlindungan: Pelanggan mahupun kami tidak mengetahui terlebih dahulu perkara yang akan ditulis oleh pelawat.

Dua laluan sampingan termasuk dalam perkara ini. Pertama, semakan ketulenan menyimpan domain alamat penghantar bagi domain berkenaan (cfg/zustellung_lib.php). Jika borang menghantar dengan alamat pelawat sebagai penghantar, ini ialah domain pelawat – tidak bermakna bagi penyedia e-mel besar, tetapi data peribadi bagi individu dengan domain sendiri. Domain ini turut muncul dalam amaran yang dihantar kepada Pelanggan dan saluran pilihannya (cfg/zustellung_lib.php). Kedua, fungsi menyimpan alamat pelayan e-mel penghantar (cfg/zustellung_lib.php); lazimnya, ini ialah pelayan laman web, bukan pelayan pelawat.

Kebarangkalian – telah berlaku sebaik sahaja diaktifkan. Persoalannya bukan sama ada mesej sebenar tiba, tetapi berapa banyak. Diukur pada sistem pembangunan, fungsi tidak diaktifkan bagi mana-mana domain. Keterukan – serius. Kerahsiaan mesej kepada perniagaan penting kepada ramai orang, dan data di bawah Art. 9 dijangka muncul bagi sesetengah Pelanggan lazim. Keterukan dikurangkan oleh hakikat bahawa kandungan tidak dimasukkan ke pangkalan data, hanya berada sebentar dalam peti mel dan tidak dibaca oleh sesiapa di formexposed. Tahap – tinggi.

R2 – Laluan salinan kawalan melalui penyedia peti mel tanpa kontrak yang dimeterai

Sebelum proses pengambilan kami melihat salinan kawalan, salinan itu berada dalam peti mel di Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Salinan hanya tiba di situ jika rekod MX domain kami menghala terus ke peti mel ini; pemajuan di pendaftar domain Namecheap, Inc. bukan persinggahan salinan kawalan (melalui pemajuan, salinan tidak sampai ke peti mel). Bagi persinggahan yang tinggal, pengaturan kontrak masih terbuka: kontrak dengan penyedia peti mel belum dimeterai, lokasi storan, subpemproses data dan tempoh sandarannya belum dipastikan, dan sama ada keputusan kecukupan atau klausa kontrak standard diperlukan bagi tempat pemprosesannya dan terpakai masih terbuka. Bagi e-mel transaksi kami sendiri, ini ialah persoalan reka bentuk kontrak. Bagi salinan kawalan, perkara ini lebih serius: data itu diterima oleh kami sebagai pemproses data dan setiap penyedia perkhidmatan sepanjang laluan ialah subpemproses data yang kami tanggung liabilitinya di bawah Art. 28(4).

Selain itu, “dipadamkan selepas pengambilan” hanya terpakai pada pandangan kami terhadap peti mel. Sama ada penyedia menyimpan e-mel yang dipadamkan dalam sandarannya sendiri atau dalam tong sampah, dan untuk berapa lama, belum disahkan. Jika pengambilan terhenti, e-mel kekal sehingga proses seterusnya yang berjaya (cfg/zustellung_lib.php); jika proses status gagal, e-mel kekal tanpa had masa. Akhir sekali, perlindungan pengambilan itu sendiri ialah antara perkara yang perlu disemak pada sistem pengeluaran sebelum pelancaran (seksyen 9.3).

Kebarangkalian – berkemungkinan selagi kontrak tiada: setiap salinan kawalan melalui laluan ini. Keterukan – serius, atas sebab yang sama seperti R1. Tahap – tinggi. Senarai semak persediaan aplikasi melaporkan peti mel yang tiada sebagai amaran; tiada kunci yang menyekat semakan penghantaran e-mel tanpa kontrak yang didokumenkan.

R3 – Tangkapan skrin laman web pihak ketiga tanpa penghitaman

Perangkak mengambil tangkapan skrin kawasan halaman pertama yang kelihatan dan imej elemen borang bagi setiap borang yang kelihatan (scanner/src/crawl.js). Tiada apa-apa dihitamkan dalam proses itu. Ini berbeza bagi aliran semakan dalam pelayar: dalam keadaan itu, medan input disamarkan sebelum tangkapan skrin (scanner/src/browser.js). Oleh itu, hanya imej aliran semakan dalam pelayar yang “dibersihkan”, bukan imej perangkak dan bukan imej halaman respons semakan aktif.

Oleh sebab perangkak tidak menaip apa-apa, medan borang kosong. Walau bagaimanapun, halaman utama perniagaan kecil sering menunjukkan pemilik, pasukan, testimoni pelanggan dengan nama dan foto, atau tetingkap sembang dengan gambar pekerja. Semua ini awam; tangkapan skrin menjadikannya salinan yang disimpan dengan kami, muncul dalam laporan dan boleh disampaikan melalui pautan.

Kebarangkalian – berkemungkinan. 432 tangkapan skrin diukur dalam set data sistem pembangunan. Keterukan – terhad: kandungan sudah awam dan tempoh bagi semakan tanpa akaun adalah singkat. Tahap – sederhana, kerana orang yang dipaparkan tidak mengetahuinya dan imej halaman utama tidak diperlukan bagi dapatan.

R4 – Data semakan dan tangkapan skrin tanpa laluan pemadaman

Proses setiap malam memadamkan semakan melalui dua laluan: melalui tarikh luput laporan (cfg/check_lib.php) dan melalui tempoh bagi semakan domain Pelanggan (cfg/fristen_lib.php, hanya bagi semakan dengan domain). Semakan yang tidak mempunyai laporan atau domain terlepas daripada kedua-dua jaringan ini. Inilah semakan dengan tahap kepercayaan “internal”: kajian dan semakan yang dicipta oleh penyedia melalui baris perintah.

• Kajian memadamkan data mentah semasa penerbitan (cfg/studie_lib.php). Jika kajian tidak pernah diterbitkan – kerana terlalu sedikit laman web dengan borang (cfg/studie_lib.php kemudian menolak penerbitan) atau kerana kajian dibiarkan – semakan, borang, dapatan dan tangkapan skrin kekal tanpa had masa.
• Semakan dalaman melalui baris perintah langsung tidak mempunyai laluan pemadaman. Diukur pada 11 Oktober 2026: 85 semakan sedemikian terhadap laman web pihak ketiga dengan 978 borang dan 369 tangkapan skrin, yang tertua dari 22 September 2026, tiada satu pun dengan laporan atau domain.
• Nota tentang tingkah laku ketara dalam semakan percuma mengandungi alamat IP dan dipadamkan 90 hari selepas diselesaikan (srv/cron_status.php). Nota yang tidak pernah diselesaikan kekal. Diukur: tiga nota, semuanya diselesaikan.

Kebarangkalian – telah berlaku. 85 semakan itu bukan senario tetapi data sedia ada. Pada sistem pembangunan, semakan ini daripada ujian lapangan; kod yang sama terpakai pada sistem pengeluaran. Keterukan – ketara: tiada tempoh penyimpanan bagi data ini. Berhubung dengan prinsip pembatasan penyimpanan (Art. 5(1)(e)), ini ialah perkara yang masih terbuka dengan langkah yang dirancang (seksyen 9.3, keutamaan “pertama”), dan menjejaskan tepatnya orang yang tidak mengetahui apa-apa tentang semakan. Semakan dalaman diterangkan dalam Rekod Aktiviti Pemprosesan; Dasar Privasi belum menyatakannya secara berasingan (seksyen 9.4). Tahap – tinggi.

R5 – Semakan dan penarafan awam laman web pihak ketiga tanpa pengetahuan pengendali

Sesiapa sahaja boleh meminta mana-mana laman web yang boleh dicapai secara awam disemak, tanpa akaun dan tanpa sebarang kaitan dengannya. Pengendali tidak dimaklumkan. Hasilnya ialah laporan yang menilai laman web sebagai “Terdedah”, “Dilindungi sebahagiannya” atau “Dilindungi” dan yang boleh dilihat oleh sesiapa yang mempunyai pautan. Dua akibat boleh dibayangkan bagi subjek data. Peniaga tunggal diberikan penarafan secara awam – walaupun hanya bagi penerima pautan – yang mungkin merupakan dapatan salah. Laporan juga menunjukkan kepada penghantar spam borang yang boleh diisi tanpa halangan.

Beberapa sekatan menentang perkara ini (cfg/check_lib.php): paling banyak satu semakan bagi setiap domain dalam tujuh hari, selepas itu laporan yang sama; had bagi setiap alamat IP dan sesi; had harian seluruh perkhidmatan; tiada semakan domain yang sangat baharu, yang lazim dalam penyalahgunaan; nota dan isyarat bagi tingkah laku ketara; robots.txt dan pengecualian, disemak dua kali (cfg/check_lib.php dan dalam perkhidmatan semakan). Laporan percuma ialah petikan: hanya menunjukkan dapatan asas, bukan bukti semua pengesan. Laporan juga tidak menyatakan apa-apa yang tidak dapat diketahui sendiri oleh bot dalam beberapa saat – borang yang tidak dilindungi kelihatan dari luar.

Kebarangkalian – mungkin. Keterukan – ketara bagi peniaga tunggal yang borangnya disasarkan selepas laporan atau yang penarafannya salah. Tahap – sederhana.

R6 – Semakan laman bakal pelanggan sebagai asas pendekatan tanpa diminta

Dalam antara muka, semakan laman bakal pelanggan diterangkan sebagai “pembuka jalan untuk perbualan pertama”. Cara agensi menggunakan dapatan ringkas ditentukan oleh agensi; secara teknikal, agensi juga boleh menghantarnya kepada pengendali yang tidak memintanya. Kami tidak menghubungi sesiapa (cfg/akquise_lib.php), dan Terma Perkhidmatan mewajibkan agensi mematuhi peraturan pengiklanan dan pendekatan pemasaran. Walau bagaimanapun, e-mel tanpa diminta dengan dapatan ialah pemasaran langsung walaupun antara perniagaan, yang di Poland (Art. 398 Undang-undang Komunikasi Elektronik (Prawo komunikacji elektronicznej, PKE)) dan di Jerman (§ 7(2) Akta Jerman Menentang Persaingan Tidak Adil (Gesetz gegen den unlauteren Wettbewerb, UWG)) memerlukan persetujuan terlebih dahulu. Antara muka tidak menunjukkan perkara ini; teks semakan laman bakal pelanggan hanya menyebut “pasif” dan “senarai pengecualian”.

Kebarangkalian – berkemungkinan, kerana fungsi bertujuan memperoleh pelanggan dan kami tidak dapat mengesahkan sama ada penerima telah bersetuju. Keterukan – terhad: bagi pengendali, ini ialah e-mel pemasaran yang mengganggu dengan penarafan laman webnya. Tahap – sederhana. Risiko terletak pada kelakuan agensi; oleh sebab fungsi berasal daripada kami, notis dalam antara muka dirancang (seksyen 9.3).

R7 – Bukti hak kawalan domain tidak pernah diperbaharui

Penghantaran ujian aktif, carian fail yang terdedah dan imbasan selepas log masuk memerlukan Pelanggan telah membuktikan bahawa Pelanggan berhak mengawal domain. Bukti ini disemak sekali (cfg/verify_lib.php) dan tidak pernah lagi. Tiada laluan dalam kod yang menyebabkan domain kehilangan buktinya. Jika domain bertukar pemilik, agensi menamatkan pelibatannya atau pengendali mengeluarkan rekod DNS, semakan diteruskan – sehingga setiap hari, dengan sehingga lima penghantaran ujian dan, jika disimpan, dengan log masuk akaun ujian yang mungkin tidak diketahui oleh pengendali baharu. Sebaliknya, memindahkan bukti ke hos lain melalui penamaan semula tidak boleh dilakukan: nama hos domain dengan bukti hak kawalan domain tidak boleh diubah.

Kebarangkalian – mungkin: perubahan domain dan pelibatan ialah kejadian harian bagi agensi. Keterukan – ketara bagi pengendali baharu dan pekerjanya, yang menerima mesej ujian bertanda dan yang laman webnya dicari bagi fail yang terdedah tanpa persetujuan mereka. Tahap – sederhana. Mesej ujian menerangkan dirinya dan merujuk kepada halaman perangkak serta pengecualian; pengecualian turut berkesan terhadap semakan oleh Pelanggan.

R8 – Butiran kelayakan dan kandungan dalam imbasan selepas log masuk

Penyulitan butiran kelayakan dibina dengan teliti: pelayan web tidak lagi dapat membacanya selepas penyimpanan, pangkalan data dan sandaran hanya mengandungi teks sifer, rekod terikat pada domainnya, butiran kelayakan memasuki bekas hanya melalui input standard dan kemudian dibersihkan daripada ingatan (seksyen 6.5). Dua jurang kekal; perkara ketiga hanya berkaitan dengan pembacaan, bukan penyimpanan.

• Log masuk tidak disulitkan dibenarkan. Semakan alamat membenarkan http selain https (cfg/login_lib.php, scanner/src/login.js). Jika Pelanggan memasukkan halaman log masuk dengan http, nama pengguna dan kata laluan dihantar melalui internet dalam teks biasa pada setiap semakan.
• Ralat sijil tidak menghentikan log masuk. Pada masa ini, log masuk tidak dibatalkan apabila sijil laman Pelanggan tidak sah (scanner/src/login.js). Oleh itu, sijil tidak melindungi sepenuhnya butiran kelayakan semasa penghantaran ke laman Pelanggan. Pembatalan apabila berlaku ralat sijil dirancang (seksyen 9.3, keutamaan “pertama”).
• Nilai medan tersembunyi selepas log masuk dibaca, bukan disimpan. Perangkak membaca 24 aksara pertama nilai medan tersembunyi (scanner/src/crawl.js), dan fungsi pengekstrakan yang sama berjalan selepas log masuk (scanner/src/login.js). Di situ, medan tersembunyi sering mengandungi nombor akaun, pengenal pengguna atau alamat e-mel akaun yang telah log masuk; namun, hanya nama, jenis dan label medan serta hasil pengesanan dimasukkan ke peta medan dan dapatan.

Selain itu, terdapat perkara yang tidak dapat dicegah oleh kod: Pelanggan mengesahkan bahawa Pelanggan menggunakan akaun ujian dengan hak sesedikit mungkin (cfg/login_lib.php), tetapi Pelanggan boleh memasukkan akaun pentadbir sebenar. Halaman yang kemudian dibaca oleh pengimbas ditentukan oleh Pelanggan; alamat yang mengandungi perkataan untuk log keluar dan memadam disekat, tetapi tindakan lain yang dicetuskan oleh laman web melalui permintaan mudah tidak disekat.

Kebarangkalian – mungkin. Keterukan – serius jika akaun dengan hak yang luas terjejas; bahagian ahli dengan data semua pengguna kemudian terbuka. Tahap – sederhana bagi akaun ujian dengan sedikit hak, tinggi bagi akaun sebenar. Diukur pada sistem pembangunan, tiada akaun ujian disimpan.

R9 – Penghantaran ujian aktif dan semakan fail pada laman web Pelanggan

Penghantaran ujian dihantar kepada orang yang membaca e-mel borang Pelanggan – pekerja atau penyedia perkhidmatannya. Penghantaran tidak mengandungi data peribadi: penghantarnya ialah dummy@formexposed.com, teks dan subjek ditandakan dan menyatakan pengenal semakan (scanner/src/active.js). Risiko terletak pada salah pengelasan: jika pengimbas menyangka borang permohonan, tempahan atau nasihat sebagai borang hubungan, mesej ujian akan memasuki proses yang mempunyai akibat. Peraturan ketat bagi “boleh dihantar” (scanner/src/classify.js), sekatan domain pihak berkuasa awam, institusi pendidikan, klinik, pusat perubatan, polis dan mahkamah (scanner/src/classify.js) serta pengecualian model bahasa daripada keputusan ini (scanner/src/classify.js) menentang risiko itu. Daripada respons, status, alamat sasaran, tajuk, 300 aksara teks dan imej disimpan; data itu berkaitan dengan mesej ujian kami.

Semakan fail membaca paling banyak 8 KB daripada laluan lazim. Jika dump pangkalan data benar-benar terdedah di situ, 8 KB ini mungkin mengandungi entri borang yang dibuat oleh pelawat. Data hanya disemak untuk corak pengenal dan dibuang (cfg/dateien_lib.php); perkara yang disimpan ialah laluan, jenis dan tahap keterukan.

Kebarangkalian – kecil kemungkinannya. Keterukan – ketara. Tahap – rendah. Diukur pada sistem pembangunan, terdapat satu semakan aktif dalam set data, tanpa penghantaran yang diterima.

R10 – Pengelasan oleh model bahasa

Bagi borang yang tidak dikenal pasti oleh peraturan, model bahasa menerima tajuk halaman, alamat, teks butang, penerangan medan dan sehingga 400 aksara teks borang (scanner/src/classify.js). Ini mungkin termasuk nama, contohnya “Orang yang boleh anda hubungi: …”. Model berjalan pada pelayan kami sendiri; dalam kod, tiada apa-apa dihantar kepada pihak ketiga. Sama ada perisian model merekodkan permintaan dalam log belum disahkan. Hasilnya hanya menentukan jenis borang yang dipaparkan dan tidak boleh menjadikan borang boleh dihantar; salah pengelasan membawa kepada dapatan yang lebih buruk, bukan tindakan.

Kebarangkalian – kecil kemungkinannya. Keterukan – terhad. Tahap – rendah.

R10 – Peringkat pelan tindakan tambahan

Bagi laporan berbayar yang memenuhi syarat, model setempat yang sama turut menjana langkah nasihat daripada dapatan terpilih dan metadata imbasan. Berbeza daripada pengelasan, outputnya ialah ringkasan bahasa semula jadi yang disimpan bersama imbasan. Nama hos, alamat halaman dan nota mungkin mengandungi data peribadi yang boleh diulang oleh model. Cadangan salah mungkin menyebabkan pembaca melemahkan perlindungan atau membuat perubahan yang tidak perlu; penyampaian pautan laporan mungkin mendedahkan data peribadi yang diulang kepada penerima lain. Kod tidak melaksanakan cadangan secara automatik, tidak mengubah skor atau penilaian keseluruhan dan tidak menyemak ketepatan fakta teks. Kod mengehadkan panjang input dan output, melabelkan ringkasan sebagai dijana AI dan menyatakan bahawa dapatan individu menjadi rujukan yang muktamad. Ini ialah kawalan, bukan bukti bahawa cadangan betul atau laporan tanpa nama. Penarafan kebarangkalian dan keterukan terdahulu bagi pengelasan tidak dengan sendirinya menilai peringkat penjanaan tambahan ini; risiko bakinya mesti dinilai dengan data sebenar dan penggunaan semakan asas.

R11 – Senarai sekatan bersama daripada laporan banyak laman web

Domain dalam senarai menyebabkan mesej dengan pautan kepadanya masuk ke kuarantin pada semua laman web yang disambungkan. Jika domain milik individu – tukang, jurugambar, blog – mesej mereka yang mengandungi pautan ke laman web sendiri sampai lewat kepada penerima. Domain sedemikian boleh dimasukkan ke dalam senarai kerana disalahgunakan oleh penghantar spam, atau kerana seseorang sengaja menghantar mesej yang gagal melepasi perlindungan dan mengandunginya kepada beberapa laman web.

Perkara yang menentang risiko ini ialah (cfg/swarm_lib.php): minimum tiga laman web berbeza dan lima padanan dalam tujuh hari; pengecualian tetap bagi perkhidmatan besar; bukan domain Pelanggan kami; penyingkiran manual melalui alat pada pelayan; kuarantin dan bukannya pemadaman; senarai dibina semula setiap hari dan apa-apa yang tidak lagi dilaporkan dikeluarkan. Pihak yang terjejas tidak dapat melihat senarai dan tidak mempunyai laluan sendiri untuk menuntut penyingkiran selain melalui kami.

Kebarangkalian – mungkin. Keterukan – terhad, kerana tiada apa-apa hilang dan penerima boleh melepaskan mesej. Tahap – rendah hingga sederhana. Jika rangkaian IP diaktifkan, rangkaian seluruh penyedia akan terjejas, alamat IP ialah data peribadi dan keterukan akan meningkat kepada ketara: tinggi.

R12 – Laporan dan tangkapan skrin melalui pautan awam

Laporan semakan percuma, semakan laman bakal pelanggan dan semakan domain Pelanggan boleh dicapai tanpa log masuk melalui pautan rawak. Pautan mengandungi 128 bit kerawakan dan tidak dapat diteka (cfg/check_lib.php). Halaman menggunakan noindex, aplikasi menghantar dasar perujuk yang hanya menyampaikan asal (www/.htaccess), dan tangkapan skrin hanya disampaikan bersama laporan yang berkaitan dengannya; nombor imej lain memberikan hasil “tidak ditemukan” (www/shot.php). Risiko bukan kriptografi tetapi manusia: pautan disampaikan, disalin ke tiket, dikongsi dalam sembang. Sesiapa yang membukanya hanya direkodkan dalam log akses halaman seperti mana-mana paparan halaman (60 hari), yang pautan itu sendiri hanya muncul dalam bentuk disamarkan; tiada senarai pembaca bagi setiap laporan.

Kebarangkalian – mungkin. Keterukan – terhad, kerana laporan hanya menunjukkan maklumat awam dan masing-masing luput selepas 30 atau 90 hari; laporan domain Pelanggan kekal boleh dicapai selagi semakan wujud (13 bulan, semakan terakhir lebih lama). Tahap – rendah.

R13 – Kelemahan infrastruktur

Perkara berikut disenaraikan sebagai terbuka dalam pakej semakan dalaman kami dan tidak disembunyikan di sini. Kami menerangkannya setepat yang diperlukan oleh Pelanggan bagi penilaian sendiri, tetapi bukan sehingga penerangan menunjukkan laluan kepada penyerang; kami akan memberikan butiran kepada pihak berkuasa penyeliaan atas permintaan.

• Sandaran pangkalan data pada masa ini disimpan di lokasi yang sama dengan pangkalan data dan tidak disulitkan secara berasingan; salinan disulitkan di lokasi kedua dirancang (cfg/backup_lib.php). Sehingga itu, sandaran tidak melindungi daripada kehilangan lokasi, dan sesiapa yang memperoleh pangkalan data turut memperoleh sandaran. Butiran kelayakan bagi imbasan selepas log masuk hanya terkandung di dalamnya sebagai teks sifer.
• Tiada penyulitan pangkalan data semasa tersimpan. Pengecualian ialah medan yang disulitkan secara individu (butiran kelayakan akaun ujian, rahsia dua faktor).
• Sambungan dalam rangkaian dalaman kami tidak disulitkan secara menyeluruh.
• Pentadbiran pelayan. Keselamatan akses pentadbiran kepada pelayan kami belum memenuhi piawaian yang kami sasarkan untuk operasi; pengukuhan pentadbiran pelayan sedang diteruskan.
• Persekitaran semakan. Pelayan imbasan membuka laman web pihak ketiga dalam pelayar. Bekas semakan diasingkan – rangkaian sendiri, tiada keistimewaan khas, baca sahaja, dihadkan (scanner/src/worker.js). Pemisahan antara persekitaran semakan dan bahagian perkhidmatan lain sedang diperkukuh lagi (seksyen 9.3).

Kebarangkalian – mungkin. Keterukan – serius, kerana dalam kecemasan, semuanya akan terjejas serentak. Tahap – tinggi. Perkara individu boleh ditangani melalui cara biasa (seksyen 9.3).

R14 – Hak subjek data bagi orang yang tidak mengenali kami

Sesiapa yang muncul secara sampingan dalam tangkapan skrin atau yang mesejnya melalui salinan kawalan lazimnya tidak mengetahui bahawa kami wujud. Walaupun mengetahui, mereka tidak mempunyai kunci kepada data “mereka”: kami tidak menyimpannya mengikut orang tetapi mengikut domain dan semakan. Kami hanya dapat menjawab permintaan akses di bawah Art. 15 jika orang itu menamakan domain; kami kemudian boleh meneliti semakan dan imej sedia ada. Bagi mesej pelawat sebenar, tiada apa-apa untuk didedahkan kerana kami tidak menyimpannya – kecuali domain penghantar daripada R1. Pengecualian hanya berfungsi bagi pengendali domain, bukan bagi orang yang dipaparkan; bagi mereka, laluan melalui contact@lukaswojcik.com kekal.

Kebarangkalian – berkemungkinan sebagai keadaan struktur. Keterukan – terhad, kerana data berjangka pendek dan tidak disusun mengikut orang. Tahap – rendah.

9. (d) Langkah untuk menangani risiko

Setiap langkah mempunyai status dan status itu bukan hiasan. Dilaksanakan pada masa ini – disahkan bermaksud: dibaca dalam kod sistem pembangunan dan, jika boleh, diukur terhadap pangkalan data. Sebahagian bermaksud: mekanisme wujud tetapi belum mencapai tujuannya sepenuhnya. Dirancang bermaksud: dicadangkan oleh penilaian ini dan belum dibina; sama ada dan bila ditentukan oleh pemilik. Masih perlu ditentukan ialah prosedur dan keputusan yang tidak boleh digantikan oleh kod. DPIA yang mempersembahkan langkah dirancang sebagai telah dilaksanakan kehilangan nilainya tepat dalam keadaan yang memerlukannya.

9.1 Dilaksanakan pada masa ini – disahkan

Langkah	Menangani	Rujukan sumber
robots.txt dibaca oleh perangkak sebelum setiap semakan; pengecualian yang meliputi halaman utama, robots.txt yang tidak dapat dicapai atau ralat pelayan menamatkan semakan (sublaluan tidak dipatuhi secara individu; semakan berkala, pengambilan bukti, alat pengepala dan carian fail tidak membacanya)	R5, kesahan	scanner/src/net.js
Pengecualian tanpa bukti, berkesan serta-merta bagi domain dan varian www-nya, bagi semakan tanpa nama, bakal pelanggan, kajian dan semakan Pelanggan (pemantauan yang sedang berjalan tamat pada semakan berjadual seterusnya); disemak dua kali (aplikasi dan perkhidmatan semakan); ditarik balik hanya oleh kami atas permintaan dengan bukti	R5, R7, Art. 21	cfg/check_lib.php; cfg/akquise_lib.php; cfg/studie_lib.php; scanner/src/worker.js
Semakan percuma: henti kecemasan, reCAPTCHA, satu semakan bagi setiap domain dan minggu, had bagi setiap alamat IP dan sesi, had harian, tiada domain baharu, alamat awam sahaja, nota dan isyarat tanpa kandungan jika berlaku anomali	R5	cfg/check_lib.php
Bagi had, sesi hanya disimpan sebagai nilai cincang, bukan pengenal sesi	Peminimuman	cfg/check_lib.php
Tiada nilai medan (permulaan medan tersembunyi dan atribut data hanya dibaca semasa semakan, seksyen 6.2); alamat penerima hanya sebagai domain; pengenal akaun dalam alamat skrip disembunyikan	Peminimuman	scanner/src/crawl.js
Laporan percuma ialah petikan: dapatan asas sahaja, tiada bukti daripada semua pengesan	R5	cfg/check_lib.php, FE_FREE_DETEKTOREN
Laporan melalui pautan rawak 128 bit, noindex, imej hanya bagi laporannya sendiri, di luar direktori web awam; pautan hanya muncul dalam log akses halaman dalam bentuk disamarkan	R12	cfg/check_lib.php; www/report.php; www/shot.php
Pemadaman: laporan tanpa nama selepas 30 hari, bakal pelanggan selepas 90 hari, semakan Pelanggan selepas 13 bulan (semakan terakhir bagi setiap domain dikekalkan selagi domain wujud), data domain yang dipadamkan serta-merta (bagi pengecualian lihat seksyen 6.11), imej dalam setiap kes bersama data tersebut	Pembatasan penyimpanan	cfg/check_lib.php; cfg/fristen_lib.php
Kajian: penerbitan hanya sebagai jumlah keseluruhan, segmen hanya daripada sekurang-kurangnya 20 laman web dengan borang, data mentah dipadamkan semasa penerbitan	R4 sebahagiannya, P3	cfg/studie_lib.php
Bekas semakan: rangkaian terpencil sendiri, tiada keistimewaan khas, baca sahaja, had ingatan dan proses, had masa; penapis terhadap destinasi persendirian bagi setiap permintaan, service worker disekat dan sambungan WebSocket ditutup supaya tiada apa-apa memintas penapis; permintaan pelayan web hanya pada port web dan hanya ke alamat awam tepat yang disemak terlebih dahulu	R13	scanner/src/worker.js; scanner/src/net.js
Semakan aktif bagi Pelanggan hanya untuk domain yang telah disahkan (secara dalaman juga bagi domain ujian dan demo kami sendiri) dan dengan henti kecemasan diaktifkan, disemak dua kali; paling banyak lima penghantaran; hanya borang hubungan yang dikenal pasti dengan jelas tanpa data peribadi wajib; tiada domain pihak berkuasa awam, institusi pendidikan, klinik, pusat perubatan, polis atau mahkamah; model bahasa tidak boleh membenarkan apa-apa dihantar; mesej ujian tanpa data peribadi, ditandakan, dengan rujukan kepada halaman perangkak dan pengecualian	R9	scanner/src/worker.js; scanner/src/classify.js; scanner/src/active.js
Aliran semakan dalam pelayar: GET dan HEAD sahaja, alamat berbahaya disekat, nilai rekaan tidak meninggalkan pelayar, imej dengan medan input dihitamkan	R3 (bagi imej ini), R9	scanner/src/browser.js
Semakan fail: domain yang telah disahkan sahaja, satu pengambilan bagi setiap laluan, paling banyak 8 KB, kandungan tidak sekali-kali disimpan	R9	cfg/dateien_lib.php
Prob kedua: dimatikan secara lalai; hanya akan menerima senarai tetap perkara yang tidak memudaratkan, ditandatangani	Penerima	cfg/formular_probe_lib.php
Imbasan selepas log masuk: hanya domain yang telah disahkan, pelan berbayar, pemilik atau pentadbir, pengesahan “akaun ujian”; penyulitan dengan kunci awam pelayan imbasan, terikat pada domain; butiran kelayakan tidak sekali-kali dipaparkan, direkodkan dalam log atau dikeluarkan melalui API; penyerahan hanya melalui input standard; medan dalam tugas dibersihkan serta-merta, baki selepas satu jam; tiada tangkapan skrin, tiada penghantaran, tiada alamat log keluar atau pemadaman, pembatalan apabila terdapat CAPTCHA; pemadaman muktamad dengan penulisan ganti	R8	cfg/login_lib.php; scanner/src/login.js; scanner/src/geheim.js; scanner/src/worker.js
Semakan penghantaran e-mel: dimatikan secara lalai; pengambilan hanya membaca pengepala dan 8 KB, tanpa penanda telah dibaca; kandungan dan alamat pelawat tidak sekali-kali dalam pangkalan data; setiap e-mel yang diambil dipadamkan, termasuk yang tidak dapat dipadankan; pemadanan dipadamkan selepas 180 hari; bukti hanya melalui salinan ujian yang tepat ini	R1, R2	cfg/zustellung_lib.php
Perlindungan berkelompok: domain sahaja, rangkaian IP dimatikan; bilangan minimum; pengecualian bagi perkhidmatan besar dan domain Pelanggan; kuarantin bukannya pemadaman; senarai dibina semula setiap hari; laporan dipadamkan selepas 30 hari	R11	cfg/swarm_lib.php
Model bahasa pada pelayan kami sendiri, tanpa hak untuk menghantar	R10	scanner/src/classify.js
Pelan tindakan: penjanaan setempat daripada dapatan terpilih, tiada tangkapan skrin atau nilai medan yang dimasukkan dalam promptnya; bilangan dapatan dan panjang nota dihadkan; teks biasa yang dibersihkan dengan panjang dihadkan; notis AI yang kelihatan, dapatan individu menjadi rujukan yang muktamad; tiada perubahan laman web automatik atau keputusan skor/penilaian keseluruhan	R10 sebahagiannya; nasihat salah dan data peribadi sampingan masih mungkin	cfg/plan_lib.php; www/report.php
Isyarat melalui Telegram hanya mengandungi ayat tetap tanpa pemboleh ubah	Penerima	cfg/check_lib.php
Ujian pemulihan sandaran setiap minggu dengan amaran apabila gagal	Ketersediaan	cfg/backup_lib.php; srv/cron_status.php

9.2 Sebahagian – tersedia, tetapi belum mencapai tujuannya

Langkah	Sebab belum berkesan sepenuhnya
Tangkapan skrin yang “dibersihkan”	Hanya imej aliran semakan dalam pelayar dihitamkan. Imej perangkak – halaman utama dan elemen borang – serta imej halaman respons semakan aktif tidak dihitamkan (R3).
Tempoh bagi data semakan	Berkesan bagi semakan tanpa nama, bakal pelanggan dan Pelanggan; bukan bagi semakan dalaman dan kajian yang tidak diterbitkan; nota anomali yang belum diselesaikan tanpa had masa (R4).
Pemadaman salinan kawalan	Berkesan dalam pandangan kami terhadap peti mel. Jika proses terhenti, e-mel kekal; perkara yang disimpan oleh penyedia peti mel dalam sandarannya sendiri belum disahkan (R2).
Perlindungan butiran kelayakan dalam imbasan selepas log masuk	Kukuh semasa tersimpan dan dalam perkhidmatan semakan; bukan semasa penghantaran ke laman web: http dibenarkan, ralat sijil diabaikan (R8).
Bukti hak kawalan domain	Disemak sekali dan kemudian terpakai selama-lamanya; namun, nama hos domain dengan bukti hak kawalan domain tidak boleh diubah, supaya bukti tidak berpindah ke hos lain (R7).
Maklumat kepada subjek data	Tersedia bagi pengendali melalui halaman perangkak, pengenal, Dasar Privasi dan pengecualian; bagi pelawat dalam semakan penghantaran e-mel, bergantung pada Pelanggan menggunakan blok teks; aplikasi tidak menyemaknya.
Permintaan kepada Pelanggan supaya tidak memasukkan kategori khas dalam salinan kawalan	Dinyatakan dalam dokumen undang-undang, tetapi tidak disokong secara teknikal: semasa persediaan, aplikasi tidak bertanya tentang jenis laman web dan tidak memberi amaran tentang domain yang kelihatan berkaitan dengan kesihatan, undang-undang atau pendidikan (R1).

9.3 Dirancang – belum dilaksanakan

Langkah	Menangani	Keutamaan
Laluan pemadaman bagi semakan dalaman: memadamkan semakan tanpa domain dan tanpa laporan selepas tempoh tetap (cadangan: 30 hari); memadamkan data mentah kajian selewat-lewatnya suatu tempoh tetap selepas selesai, walaupun tanpa penerbitan (cadangan: 90 hari); memadamkan sekali 85 semakan sedia ada dengan 369 imej	R4	Pertama
Membolehkan semakan penghantaran e-mel hanya setelah kontrak dengan penyedia peti mel dimeterai, lokasi storan, subpemproses data dan tempoh sandaran didokumenkan, mekanisme pemindahan bagi penyedia peti mel dijelaskan, dan rekod MX domain kami menghala terus ke peti mel; sehingga itu, mengekalkan fungsi disekat dalam sistem pengeluaran	R2	Pertama
Menyemak dan mendokumenkan keselamatan pengambilan peti mel pada sistem pengeluaran sebelum semakan penghantaran e-mel dibolehkan	R2	Pertama
Imbasan selepas log masuk hanya melalui https dan dengan sijil yang sah; menolak alamat http; ralat sijil semasa log masuk sebagai sebab untuk membatalkan proses	R8	Pertama
Tidak menyimpan nilai medan tersembunyi selepas log masuk (hanya nama, jenis dan panjang) – sudah dilaksanakan sedemikian, tiada langkah lanjut	R8	Selesai
Mengehadkan salinan kawalan kepada mesej ujian jika pemalam atau sambungan digunakan: salinan tersembunyi hanya bagi penghantaran dengan pengenal ujian kami	R1	Tinggi
Tidak menyimpan domain penghantar mesej sebenar atau menulisnya dalam amaran jika domain itu bukan domain laman web atau domain perkhidmatan penghantaran yang diketahui; sebaliknya, dalam amaran, “domain penghantar asing”	R1	Tinggi
Amaran semasa menyediakan semakan penghantaran e-mel bagi domain yang kelihatan berkaitan dengan kesihatan, undang-undang, perkhidmatan sosial atau pendidikan, dengan rujukan kepada DPIA Pelanggan sendiri	R1	Tinggi
Memperbaharui bukti hak kawalan domain secara berkala (cadangan: sebelum setiap semakan aktif, mengesahkan sama ada rekod DNS, tag meta, fail atau sambungan pemalam masih wujud; jika tidak, meneruskan secara pasif dan memaklumkan Pelanggan)	R7	Tinggi
Berhenti mengambil imej halaman utama, atau hanya dengan imej dan wajah dihitamkan; mengehadkan imej borang kepada elemen borang (seperti pada masa ini) dan menyamarkan medan input seperti aliran semakan dalam pelayar	R3	Tinggi
Notis dalam antara muka semakan laman bakal pelanggan: menghantar dapatan ringkas tanpa diminta melalui e-mel atau telefon ialah pemasaran langsung walaupun antara perniagaan dan memerlukan persetujuan terlebih dahulu (Art. 398 Undang-undang Komunikasi Elektronik Poland; di Jerman § 7(2) UWG, walaupun persetujuan yang dianggap wujud mencukupi bagi panggilan kepada perniagaan)	R6	Tinggi
Infrastruktur: melengkapkan pengukuhan pentadbiran pelayan; salinan sandaran disulitkan di lokasi kedua; menyulitkan sambungan dalam rangkaian dalaman secara menyeluruh; memperkukuh lagi pemisahan antara pelayan imbasan dan aplikasi	R13	Tinggi
Tempoh bagi nota anomali yang belum diselesaikan (cadangan: penyelesaian dalam 30 hari, jika tidak, pemadaman alamat IP)	R4	Sederhana
Halaman atau borang yang membolehkan seseorang meminta domain dikeluarkan daripada perlindungan berkelompok	R11, R14	Sederhana
Sebelum mengaktifkan rangkaian IP dalam perlindungan berkelompok: versi baharu penilaian ini	R11	Syarat
Merekodkan sama ada perisian model bahasa menyimpan permintaan dan, jika ya, mematikan log ini	R10	Rendah

9.4 Prosedur dan keputusan yang masih perlu ditentukan

Selain perlindungan teknikal, Art. 35(7)(d) turut mewajibkan prosedur. Prosedur ini masih belum diselesaikan:

• Pelanggaran data peribadi. Pengesanan: pemilik, amaran ralat aplikasi, laporan melalui saluran pelaporan kerentanan atau contact@lukaswojcik.com. Keputusan tentang pemberitahuan kepada UODO dalam 72 jam (Art. 33(1)): pemilik. Memaklumkan Pelanggan yang terjejas sebagai pengawal data: tanpa kelewatan yang tidak wajar, jika boleh dalam 48 jam, seperti dijanjikan dalam Perjanjian Pemprosesan Data. Perlu ditentukan: penerangan prosedur bertulis dan latihan pertama; bagi semakan penghantaran e-mel, selain itu, cara menentukan Pelanggan yang terjejas oleh pelanggaran pada penyedia peti mel.
• Sektor. Perlu ditentukan: sama ada semakan penghantaran e-mel ditawarkan, ditawarkan dengan amaran atau dikecualikan bagi laman web kesihatan, undang-undang, perkhidmatan sosial dan pendidikan.
• Semakan dalaman. Perlu ditentukan: tujuan penyedia menggunakan semakan dalaman melalui baris perintah, siapa yang boleh menciptanya dan tempoh hasilnya kekal; serta sama ada, selain dalam Rekod Aktiviti Pemprosesan, semakan itu perlu dinyatakan dalam Dasar Privasi.
• Kajian. Perlu ditentukan: siapa yang menyusun senarai, daripada sumber apa, dengan saiz maksimum berapa, dan semakan sebelum setiap kajian sama ada kajian mematuhi andaian penilaian ini.
• Pandangan subjek data (Art. 35(9)). Pandangan belum diminta bagi versi ini. Art. 35(9) hanya mewajibkan pandangan diminta “jika sesuai”; pada penilaian kami, keadaan itu pada masa ini tidak terpakai di sini. Pengendali laman web yang disemak dan pelawat laman web Pelanggan tidak mempunyai saluran sendiri kepada kami; menghubungi mereka secara khusus sendiri merupakan pemprosesan baharu data mereka, dan perkhidmatan belum dilancarkan, jadi belum ada kumpulan subjek data sebenar. Kepentingan mereka diambil kira secara tidak langsung: melalui robots.txt dan pengecualian, melalui tempoh singkat dan melalui hakikat bahawa kandungan salinan kawalan tidak disimpan. Pada setiap semakan di bawah seksyen 12, kami mempertimbangkan semula sama ada meminta pandangan mereka sesuai, contohnya melalui maklum balas pada halaman perangkak atau daripada Pelanggan semakan penghantaran e-mel.

10. Risiko baki dan perundingan awal di bawah Art. 36

Art. 36(1) mewajibkan perundingan awal dengan pihak berkuasa penyeliaan apabila DPIA menunjukkan bahawa pemprosesan akan menghasilkan risiko tinggi jika tiada langkah diambil oleh pengawal data untuk mengurangkan risiko. Oleh itu, persoalannya bukan sama ada risiko tinggi dikenal pasti – empat telah dikenal pasti – tetapi sama ada risiko tinggi kekal setelah langkah tersedia.

Bagi operasi pemprosesan yang formexposed merupakan pengawal data (P1 hingga P4, P7), risiko tinggi R4 dan R13 boleh ditangani melalui cara biasa: laluan pemadaman dan pembersihan data sedia ada, sandaran luar lokasi disulitkan dan pengukuhan dua pelayan. Dengan langkah daripada 9.3, risiko itu turun kepada rendah hingga sederhana. R3, R5, R6 dan R7 berada pada tahap sederhana dan turun kepada rendah dengan langkah yang dicadangkan. Perlindungan berkelompok tanpa rangkaian IP kekal rendah hingga sederhana. Perundingan awal tidak ditunjukkan sebagai perlu bagi bahagian ini jika langkah yang ditandakan “pertama” dan “tinggi” dilaksanakan sebelum pelancaran. Jika mana-mana langkah ini belum dilaksanakan sebelum pelancaran, risiko tinggi kekal bagi operasi pemprosesan berkenaan. Operasi pemprosesan itu hanya akan dimulakan setelah langkah dilaksanakan, atau UODO akan dirujuk terlebih dahulu di bawah Art. 36(1).

Bagi semakan penghantaran e-mel (P6), keadaannya berbeza atas sebab yang tidak dapat dihapuskan sepenuhnya oleh sebarang langkah: perkara yang ditulis oleh pelawat ditentukan oleh pelawat itu sendiri. Dengan kontrak yang dimeterai, pengambilan yang dilindungi, pembatasan kepada mesej ujian jika boleh dan tidak menggunakan domain penghantar, R2 turun kepada rendah dan R1 kepada sederhana. Bagi Pelanggan yang pelawatnya lazimnya memberikan data di bawah Art. 9, R1 masih mungkin kekal tinggi. Kewajipan berunding kemudian terletak pada Pelanggan sebagai pengawal data, bukan pada formexposed. Cadangan kami kepada Pelanggan sedemikian adalah supaya tidak menyediakan salinan kawalan bagi borang hubungan umum, sebaliknya hanya bagi borang tanpa kandungan sensitif, atau tidak menggunakan semakan penghantaran e-mel.

Risiko baki, dinyatakan dengan jujur. Pada masa ini, dengan langkah daripada 9.1, empat risiko berada pada tahap tinggi: R1 dan R2 (semakan penghantaran e-mel), R4 (data semakan tanpa laluan pemadaman) dan R13 (infrastruktur). Dengan langkah daripada 9.3, R2, R4 dan R13 turun kepada rendah hingga sederhana. R1 kekal pada tahap sederhana dan sentiasa bergantung pada keputusan Pelanggan. Tiada risiko lain melebihi sederhana selepas langkah dilaksanakan.

Art. 36 bukan hukuman dan perundingan bukan pengakuan. Inilah laluan yang disediakan oleh Peraturan bagi keadaan apabila prosedur yang berguna membawa risiko yang tidak dikawal sepenuhnya oleh pengawal data. Pelanggan yang ingin menggunakan semakan penghantaran e-mel bagi mesej yang mengandungi data kesihatan akan menemukan fakta untuk keputusan itu di sini.

11. Perkara yang diperlukan oleh Pelanggan bagi DPIA sendiri (Art. 28(3)(f))

Bagi semakan penghantaran e-mel dan imbasan selepas log masuk, Pelanggan ialah pengawal data. Halaman ini memberikan penerangan (seksyen 6.5 dan 6.6), risiko daripada perspektif kami (R1, R2, R8) dan status langkah (seksyen 9). Hanya Pelanggan boleh menjawab soalan berikut:

1. Apakah yang ditulis oleh pelawat saya? Adakah data tentang kesihatan, agama, asal usul, keahlian kesatuan sekerja, orientasi seksual, kesalahan jenayah atau kanak-kanak dijangka diterima melalui borang? Jika ya, DPIA bagi salinan kawalan lazimnya diperlukan dan salinan kawalan bagi borang ini sepatutnya dipertimbangkan semula.
2. Adakah saya memerlukan salinan kawalan bagi semua mesej? Untuk membuktikan mesej ujian kami tiba, salinan bagi mesej itu mencukupi. Jika borang membenarkannya, tetapkan salinan tersembunyi hanya bagi mesej ujian.
3. Bagaimanakah saya memaklumkan pelawat saya? Perjanjian Pemprosesan Data mewajibkannya; Teks Dasar Privasi untuk Laman Web Anda menerangkan laluan salinan dan peranan kami.
4. Apakah asas undang-undang saya? Teks cadangan kami menyatakan Art. 6(1)(f) (penerimaan pertanyaan yang boleh dipercayai). Bagi data di bawah Art. 9, asas ini sahaja tidak mencukupi.
5. Saluran amaran manakah yang saya pilih? Amaran semakan ketulenan boleh menyatakan domain penghantar. Sesiapa yang menghantar amaran kepada perkhidmatan sembang di luar EU memindahkannya ke sana.
6. Bagi imbasan selepas log masuk: Adakah akaun ujian benar-benar akaun ujian dengan hak minimum yang diperlukan? Adakah halaman log masuk hanya boleh dicapai melalui https? Adakah akaun ujian melihat data pengguna lain? Jika ya: pada halaman mana antara halaman yang ditetapkan?
7. Bilakah saya memadamkan data? Semakan penghantaran e-mel dan akaun ujian boleh dimatikan dan dipadamkan pada bila-bila masa; akaun ujian kemudian ditulis ganti secara kekal.

Dokumen lanjut bagi penilaian Pelanggan: Perjanjian Pemprosesan Data, langkah teknikal dan organisasi, senarai subpemproses data dan Rekod Aktiviti Pemprosesan. Kami menjawab soalan tentang fakta individu di contact@lukaswojcik.com.

12. Semakan, versi dan kelulusan

Art. 35(11) mewajibkan semakan untuk menilai sama ada pemprosesan dilakukan selaras dengan DPIA, sekurang-kurangnya apabila risiko berubah. Kami menyemak penilaian ini sekurang-kurangnya setiap tahun dan juga sebelum setiap peristiwa berikut; setiap peristiwa mencetuskan pengukuran baharu, bukan hanya pembacaan:

• pelancaran operasi pengeluaran, dengan angka daripada sistem pengeluaran dan bukannya sistem pembangunan;
• pengaktifan pertama semakan penghantaran e-mel pada sistem pengeluaran dan pemeteraian kontrak dengan penyedia peti mel;
• pengaktifan rangkaian IP dalam perlindungan berkelompok;
• kajian pertama dan setiap kajian dengan senarai yang lebih besar daripada kajian sebelumnya;
• pengaktifan prob kedua atau penerima baharu dalam laluan semakan;
• apa-apa penggunaan baharu model bahasa yang melangkaui penggunaan yang diliputi oleh penilaian ini; pelan tindakan mengikut keutamaan dalam laporan berbayar ialah penggunaan tambahan dan memerlukan penilaian disemak semula;
• apa-apa perubahan pada tangkapan skrin, tempoh atau prasyarat semakan aktif.

Perkara	Butiran
Pengawal data	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland · NIP 7252266190 · contact@lukaswojcik.com
Pihak berkuasa penyeliaan yang berwibawa	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Poland
Pegawai perlindungan data	Tidak dilantik; penilaian di bawah Art. 37 dalam seksyen 4
Asas fakta	Kod sumber aplikasi dan perkhidmatan semakan, skema pangkalan data, bilangan baris dan tetapan sistem pembangunan, diukur pada 11 Oktober 2026, baca sahaja
Dokumen berkaitan	Dasar Privasi, Perjanjian Pemprosesan Data, Langkah Teknikal dan Organisasi, Subpemproses Data, Rekod Aktiviti Pemprosesan, Akta AI EU, Penggunaan yang Dibenarkan dan Penyalahgunaan, FormExposedBot, Pengecualian
Versi	1.1 bertarikh 23 Oktober 2026; tambahan fakta tentang peringkat pelan tindakan setempat kepada versi pertama 11 Oktober 2026
Semakan di bawah Art. 35(11)	23 Oktober 2026: semakan kod sumber peringkat pelan tindakan setempat tambahan. Input, penyimpanan, peranan, output nasihat dan perlindungan yang dilaksanakan ditambah kepada seksyen berkenaan; tiada pengukuran pengeluaran yang telah selesai atau penarafan risiko baki baharu didakwa. Pengukuran terdahulu bertarikh 11 Oktober 2026 dan status kelulusan di bawah kekal tidak berubah. Semakan lanjut dimasukkan di sini bersama tarikh, sebab dan hasil.
Kelulusan	Belum diluluskan. Kelulusan oleh pemilik selepas semakan undang-undang dan selepas keputusan tentang langkah daripada seksyen 9.3 serta soalan daripada seksyen 9.4. Nasihat perlindungan data luaran belum diminta setakat ini.

Satu pemerhatian penutup perlu dimasukkan dalam dokumen, bukan dalam surat iringan. Bahagian formexposed yang menjangkau paling jauh ke domain orang lain – penghantaran ujian dan log masuk dengan butiran kelayakan orang lain – dibina dengan paling berhati-hati: dua pintu kawalan, had tegas, penyulitan yang turut menghalang kami daripada mengaksesnya. Risiko dalam penilaian ini kebanyakannya terletak di tempat lain: pada perkara yang terikut secara sampingan – mesej sebenar dalam salinan tersembunyi, orang dalam tangkapan skrin, semakan yang tidak lagi dipadamkan oleh sesiapa. Itu ialah kedudukan permulaan yang baik kerana perkara sampingan boleh dihentikan tanpa mengubah perkhidmatan.