Rekod Aktiviti Pemprosesan (Art. 30 GDPR)

Dokumen ini diterbitkan dalam beberapa bahasa. Sekiranya terdapat percanggahan antara versi bahasa, versi bahasa Poland adalah mengikat.

Versi 1.2 · Kemas kini terakhir: 29 Oktober 2026

1. Cara membaca rekod ini

Ini ialah rekod aktiviti pemprosesan di bawah Art. 30 GDPR bagi formexposed. Rekod ini bukan dasar privasi dan bukan bahan pemasaran. Tujuannya adalah untuk menunjukkan kepada pihak berkuasa penyeliaan, Pelanggan yang mengaudit kami sebagai pemproses data, atau orang seterusnya yang perlu menjawab sesuatu soalan, perkara yang benar-benar diproses, tempat data disimpan, pihak yang menerimanya dan tempoh data itu disimpan. Kami menerbitkannya kerana perkhidmatan yang menyemak dan memantau borang sepatutnya turut terbuka untuk disemak.

Tiga peraturan menjadi panduan semasa rekod ini ditulis.

1. Diukur, bukan sekadar diniatkan. Pernyataan tentang medan data, tempoh penyimpanan, penerima atau perlindungan hanya dimasukkan apabila disokong oleh kod program, skema pangkalan data atau pengukuran. Perkara yang dirancang disebut sebagai “dirancang”. Perkara yang dimatikan secara lalai disebut sebagai “dimatikan secara lalai”. Jika kami tidak dapat membuktikan sesuatu, kami menyatakannya.
2. Penyimpanan dinyatakan dua kali. Sekali bagi setiap aktiviti pemprosesan dan sekali lagi dalam seksyen 6 sebagai gambaran keseluruhan: proses setiap malam yang memadamkan sesuatu data, dan data yang tidak diliputi oleh proses itu. Rekod yang mendakwa suatu tempoh penyimpanan yang sebenarnya hanya terpakai pada sebahagian data adalah lebih buruk daripada rekod yang menyatakan perkara yang masih terbuka.
3. Perkara yang masih terbuka dinyatakan dalam teks, bukan dalam nota kaki. Seksyen 8.1 menyenaraikan langkah yang belum dilaksanakan, manakala seksyen 10 menyenaraikan perkara yang masih terbuka bersama langkah yang dirancang. Rekod ialah alat kerja, bukan sijil.

Medan data dan bukannya nama jadual. Bagi setiap aktiviti pemprosesan, kami menyenaraikan data yang disimpan sebagai medan yang diterangkan dalam bahasa mudah. Nama jadual pangkalan data dinyatakan selepasnya dalam kurungan supaya juruaudit dapat menemukan lokasinya, contohnya “cubaan log masuk (login_attempts)”. Senarai medan diperoleh daripada skema pangkalan data, bukan berdasarkan ingatan.

Tempoh penyimpanan sebagai pemegang tempat. Jika tempoh penyimpanan boleh ditetapkan dalam bahagian pentadbiran, tempoh itu dipaparkan di sini tepat seperti yang dibaca oleh proses setiap malam: nombor yang anda lihat berasal daripada tetapan yang sama yang mengawal pemadaman. Tempoh penyimpanan yang ditetapkan secara tetap dalam program dinyatakan sebagai nombor.

Asas pengukuran. Skema, kod dan tetapan diukur pada 11 Oktober 2026 dalam sistem pembangunan, yang kod dan skemanya sepadan dengan sistem pengeluaran. Kami tidak memberikan bilangan baris daripada sistem pembangunan; baris tersebut mengandungi data ujian dan tidak memberikan maklumat tentang operasi sebenar.

Sengaja tidak disertakan. Rekod ini tidak menyatakan nama hos, alamat rangkaian dalaman, port, nama pengguna atau versi perisian pelayan kami. Butiran sedemikian membantu penyerang, bukan subjek data. Atas sebab yang sama, kami hanya menerangkan secara umum perkara yang masih terbuka dalam perlindungan pelayan kami sendiri (seksyen 8.1): kami menyatakan risikonya, bukan laluan untuk mengeksploitasinya. Kami memberikan butiran tersebut kepada pihak berkuasa penyeliaan atas permintaan.

Sifat undang-undang. Rekod ini ialah dokumentasi yang kami selenggarakan di bawah Art. 30 GDPR untuk pihak berkuasa penyeliaan; rekod ini diterbitkan secara sukarela. Rekod ini tidak menjadi sebahagian daripada mana-mana kontrak dan tidak merupakan apa-apa representasi, jaminan atau persetujuan tentang kualiti terhadap Pelanggan atau pihak ketiga. Kewajipan kami terhadap Pelanggan ditentukan oleh Terma Perkhidmatan, Perjanjian Pemprosesan Data dan lampirannya; berhubung dengan kewajipan tersebut, dokumen itu mengatasi rekod ini. Rekod ini menerangkan keadaan pada tarikh versi ini. Pengelasan seperti “perkara yang masih terbuka” atau “penilaian” mencerminkan pandangan kami sendiri dan tidak mendahului apa-apa penilaian undang-undang oleh pihak berkuasa penyeliaan atau mahkamah; langkah yang diterangkan sebagai “dirancang” ialah niat tanpa tarikh yang dijanjikan.

2. Entiti undang-undang dan sebab rekod ini mempunyai dua bahagian

Medan	Butiran
Entiti undang-undang	LW IT Solutions Company Lukas Wójcik, perniagaan milikan tunggal yang didaftarkan dalam daftar perniagaan Poland (CEIDG); pemilik Lukas Wójcik
Alamat	al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland
Pengenal cukai	NIP 7252266190, VAT ID PL7252266190
Hubungan	contact@lukaswojcik.com; tetingkap sokongan (tanda soal dalam navigasi); halaman hubungan
Perkhidmatan	formexposed: menyemak, memantau dan melindungi borang hubungan pada laman web (aplikasi di formexposed.com, halaman pendaratan di form.exposed)
Wakil di bawah Art. 27 GDPR	Tidak berkenaan. Entiti undang-undang ini ditubuhkan di Kesatuan Eropah (Poland).
Pegawai perlindungan data	Tidak dilantik. Penilaian di bawah Art. 37 terdapat dalam seksyen 9.
Pihak berkuasa penyeliaan yang berwibawa	Prezes Urzędu Ochrony Danych Osobowych (UODO, pihak berkuasa perlindungan data Poland), ul. Moniuszki 1A, 00-014 Warszawa
Pengehosan	Pelayan kami sendiri di Poland: satu pelayan web dengan aplikasi dan pangkalan data, serta satu pelayan imbasan dengan model bahasa setempat pada rangkaian dalaman yang sama. Tiada pusat data atau penyedia awan pihak ketiga.

formexposed memainkan peranan yang berbeza terhadap kumpulan orang yang berbeza. Mencampuradukkan peranan itu menghasilkan rekod yang tidak tepat untuk mana-mana kumpulan tersebut.

• Pengawal data (Bahagian B, Art. 30(1)). Kami sendiri merupakan pengawal data bagi data Pelanggan kami dan ahli pasukan mereka (akaun, log masuk, pengebilan, sokongan, log), bagi pelawat laman web kami sendiri, bagi semakan tanpa akaun (semakan percuma, alat pengepala, kajian, semakan laman bakal pelanggan) dan bagi pencegahan penyalahgunaan.
• Pemproses data (Bahagian A, Art. 30(2)). Bagi data peribadi pihak ketiga yang dibawa oleh Pelanggan ke dalam perkhidmatan atau yang terhasil apabila kami melaksanakan perkhidmatan untuk Pelanggan, kami bertindak bagi pihak Pelanggan: salinan e-mel borang sebenar dalam semakan penghantaran e-mel, pelanggan laporan portal pelanggan milik Pelanggan, penerima amaran Pelanggan, orang yang kebetulan kelihatan pada halaman Pelanggan yang disemak, butiran kelayakan akaun ujian Pelanggan, dan kod borang yang ditampal oleh Pelanggan. Asasnya ialah Perjanjian Pemprosesan Data, yang dimeterai dengan setiap Pelanggan semasa pendaftaran.
• Hanya di pihak Pelanggan. Sesetengah fungsi pemalam WordPress dan sambungan TYPO3 memproses data secara eksklusif pada laman web Pelanggan tanpa data itu pernah sampai kepada kami (kuarantin, jaring keselamatan, teka-teki aritmetik, tetapan penyimpanan, pembilang setempat, perakam). Fungsi itu bukan pemprosesan oleh kami dan oleh itu tidak disenaraikan dalam mana-mana bahagian. Walau bagaimanapun, kami menerangkannya pada penghujung Bahagian A supaya sempadannya jelas.

Pemisahan itu diterapkan dalam kod, bukan hanya dalam teks: daripada e-mel borang sebenar, semakan penghantaran e-mel hanya menulis masa, pemadanan dan hasil pengesahan ke dalam pangkalan data; tangkapan skrin semakan pelayar menyamarkan medan input; butiran kelayakan akaun ujian disulitkan dengan cara yang menyebabkan pelayan web tidak lagi dapat membacanya. Butirannya diberikan dalam entri berkenaan.

Seksyen 6 hingga 11 terpakai pada kedua-dua bahagian: penyimpanan, keputusan automatik, langkah teknikal dan organisasi, pegawai perlindungan data, perkara yang masih terbuka dan penyelenggaraan rekod ini.

Skop. Dokumen ini ialah bahagian rekod yang berkaitan dengan perkhidmatan formexposed. Pemprosesan oleh entiti undang-undang yang sama bagi perkhidmatan lain direkodkan dalam rekod masing-masing; perakaunan am dan pentadbiran perniagaan di luar perkhidmatan ini tidak diliputi oleh bahagian ini.

3. Bahagian A – Art. 30(2): pemprosesan bagi pihak Pelanggan

A.0 Pihak yang terlibat

Medan	Butiran
Pemproses data	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland; contact@lukaswojcik.com
Pengawal data	Pelanggan formexposed: perniagaan dan agensi yang menyimpan domain dalam akaun mereka dan menggunakan fungsi yang menghasilkan data pihak ketiga. Bagi agensi, pelanggan agensi itu sendiri juga boleh menjadi pengawal data; dalam keadaan itu agensi bertindak sebagai pemproses data terhadap pelanggan tersebut dan kami bertindak sebagai pemproses data selanjutnya.
Senarai pengawal data	Sebahagian daripada rekod ini, disimpan dalam bentuk elektronik (Art. 30(3) GDPR) dalam sistem perkhidmatan dan tidak diterbitkan semula dalam versi awam ini kerana mengandungi data peribadi Pelanggan dan akan menjadi tidak terkini setiap kali ada Pelanggan baharu: pemilik setiap ruang kerja bersama nama, alamat e-mel dan syarikat daripada akaun pelanggan (alamat dan VAT ID hanya di Stripe) (users, workspaces, workspace_users), serta domain ruang kerja (domains). Kami memberikannya kepada pihak berkuasa penyeliaan sebagai petikan atas permintaan.
Wakil dan pegawai perlindungan data pengawal data	Tiada medan khusus untuk perkara ini dalam sistem. Jika Pelanggan telah melantik wakil di bawah Art. 27 GDPR atau pegawai perlindungan data, Pelanggan boleh memaklumkan butiran mereka kepada kami; kami menyimpan pemberitahuan itu bersama senarai pengawal data.
Wakil pemproses data	Tidak berkenaan (ditubuhkan di Poland).
Pegawai perlindungan data	Tidak dilantik (seksyen 9).
Arahan	Arahan terhasil daripada Perjanjian Pemprosesan Data dan tetapan yang dibuat oleh Pelanggan: Pelanggan mengaktifkan semakan penghantaran e-mel, menyediakan destinasi amaran, menyimpan akaun ujian dan menyediakan portal pelanggan. Tanpa tindakan tersebut, pemprosesan berkenaan tidak berlaku.
Langkah teknikal dan organisasi	Seksyen 8 dan halaman Langkah Teknikal dan Organisasi terpakai pada setiap aktiviti pemprosesan dalam Bahagian A. Langkah khusus dinyatakan dalam entri yang berkaitan.

A.1 Semakan penghantaran e-mel – salinan kawalan e-mel borang

Medan	Butiran
Tujuan	Menyemak sama ada e-mel daripada borang hubungan Pelanggan benar-benar dihantar dan cara e-mel itu disahkan (SPF, DKIM, DMARC, penjajaran). Selepas penghantaran ujian aktif diterima, salinannya mesti tiba dalam peti mel kawalan dalam tempoh menunggu yang boleh dilaraskan (pada masa ini 3 jam); jika tidak, amaran “E-mel ujian tidak diterima” dicetuskan. Pengepala juga digunakan untuk menentukan ketulenan e-mel borang, perkhidmatan e-mel yang digunakan dan alamat penghantaran bagi semakan senarai sekatan.
Prasyarat	Pelan berbayar, domain yang telah disahkan, diaktifkan oleh Pelanggan. Pelanggan memasukkan alamat kawalannya sendiri dengan pengenal (dalam bentuk “delivery+identifier@…”) sebagai salinan tersembunyi dalam pemberitahuan borangnya. Tanpa peti mel kawalan yang dikonfigurasikan, fungsi ini tidak tersedia.
Kategori subjek data	Pelawat laman web Pelanggan yang menghantar borang Pelanggan; orang yang datanya ditulis oleh pelawat dalam mesej; kakitangan Pelanggan yang muncul sebagai penerima dalam pengepala.
Kategori data peribadi	Dalam peti mel kawalan (di penyedia perkhidmatan e-mel): salinan lengkap setiap e-mel borang, termasuk pertanyaan sebenar dengan nama, alamat e-mel, nombor telefon dan teks bebas, sehingga dipadamkan. Dibaca semasa pengambilan: pengepala dan paling banyak 8 KB pertama badan mesej. Dalam pangkalan data: masa penerimaan, pemadanan kepada domain dan, jika berkenaan, kepada proses ujian (delivery_log); hasil pengesahan terkini bagi setiap domain dengan hasil SPF, DKIM dan DMARC, penjajaran, domain penghantar, domain penandatanganan dan alamat pelayan e-mel penghantar (medan pengesahan domain dalam domains). Kandungan, subjek dan alamat penghantar pelawat tidak ditulis ke dalam pangkalan data.
Nota tentang domain penghantar	Jika borang memasukkan alamat pelawat sebagai penghantar (salah konfigurasi yang semakan ini direka untuk mengesannya), hasil pengesahan mengandungi domain alamat tersebut, bukan alamat itu sendiri. Jika pelawat menggunakan domain peribadi, ini juga boleh menjadi data peribadi. Data itu ditulis ganti pada penerimaan seterusnya.
Sumber	Borang pada laman web Pelanggan, melalui salinan tersembunyi yang dimasukkan oleh Pelanggan.
Asas undang-undang (ditentukan oleh pengawal data)	Ditentukan oleh Pelanggan. Teks cadangan kami untuk dasar privasi Pelanggan mendasarkan salinan itu pada Art. 6(1)(f) GDPR (kepentingan yang sah untuk menerima pertanyaan dengan pasti). Pelanggan memaklumkan pelawatnya tentang aliran data ini; Perjanjian Pemprosesan Data mewajibkan Pelanggan berbuat demikian.
Penerima	Penyedia perkhidmatan e-mel yang mengendalikan peti mel kawalan (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Salinan itu dihantar terus ke sana: salinan hanya tiba jika rekod MX domain kami menghala ke peti mel ini (senarai semak sebelum pelancaran menyemak perkara ini); salinan tidak sampai ke peti mel melalui pemajuan. Pada halaman domain, Pelanggan hanya melihat masa, pemadanan dan hasil pengesahan. Jika hasil pengesahan merosot, amaran kepada Pelanggan dan saluran yang dipilihnya menyatakan domain penghantar jika domain itu bukan milik laman web tersebut (A.3, 4.1).
Negara ketiga	Bergantung pada penyedia perkhidmatan e-mel; lihat seksyen 4. Kontrak dengan penyedia yang dirancang dan asas pemindahan belum didokumenkan.
Penyimpanan	Selepas pemprosesan berjaya, e-mel ditandakan untuk pemadaman dan dikeluarkan daripada peti mel dalam proses yang sama, walaupun e-mel itu tidak dapat dipadankan dengan mana-mana domain. Pengambilan dijalankan bersama proses status setiap lima minit semasa pemantauan diaktifkan dalam bahagian pentadbiran (srv/cron_status.php, cfg/zustellung_lib.php). Jika pengambilan atau pemadaman gagal, e-mel kekal dalam peti mel sehingga proses seterusnya yang berjaya. Proses pengambilan yang sama memadamkan pemadanan dalam delivery_log selepas 180 hari. Hasil pengesahan disimpan selagi domain itu wujud.
Perkara yang dibuktikan oleh bukti	Hanya penerimaan, dalam peti mel kawalan, salinan yang dipadankan dengan proses ujian tertentu. Ini tidak membuktikan penerimaan oleh penerima sebenar atau kemasukan dalam CRM. Pengesahan asli daripada HubSpot tidak ditawarkan.
Langkah teknikal dan organisasi	Seksyen 8. Khususnya: kandungan hanya dinilai dalam ingatan; badan mesej, subjek atau alamat penghantar penuh tidak disimpan; pemadaman dilakukan tanpa mengira sama ada pemadanan berjaya.

Semakan penghantaran e-mel ialah satu-satunya fungsi yang melaluinya mesej sebenar daripada pelawat Pelanggan kami sampai kepada kami. Oleh itu, fungsi ini merupakan pemprosesan bagi pihak Pelanggan dan bukannya perkhidmatan di bawah tanggungjawab kami sendiri, dan oleh itu tempoh mesej berada dalam peti mel merupakan ukuran risiko yang sebenar: lazimnya beberapa minit; jika pengambilan terganggu, sehingga proses itu berjalan semula. Salinan sepatutnya tidak mengandungi kategori khas data peribadi; kami tidak dapat mencegahnya secara teknikal kerana perkara yang ditulis oleh pelawat ditentukan oleh pelawat itu sendiri.

A.2 Portal pelanggan dan laporan bulanan kepada pelanggan laporan

Medan	Butiran
Tujuan	Agensi (pelan Business) menunjukkan kepada pelanggannya keadaan domain mereka di bawah jenamanya sendiri (portal pada alamat rawak, secara pilihan dengan kata laluan, secara pilihan di bawah subdomain milik agensi itu sendiri). Pelanggan agensi boleh meminta laporan bulanan melalui e-mel di situ. Laporan dihantar atas nama agensi.
Kategori subjek data	Pelanggan agensi dan kakitangan mereka yang meminta laporan; orang yang membuka portal.
Kategori data peribadi	Pelanggan laporan: alamat e-mel, bahasa, pengenal pengesahan, masa permintaan dan alamat IP pada masa permintaan, masa pengesahan (pengesahan langganan dua langkah), masa berhenti melanggan, bulan terakhir laporan dihantar (client_subscribers). Portal: nama, pilihan domain, pengenal rawak, kata laluan hanya sebagai nilai cincang, orang yang menciptanya, masa, pembatalan (client_portals). Lawatan ke portal muncul dalam log paparan halaman (B.2).
Sumber	Dimasukkan oleh pelanggan laporan sendiri dalam portal.
Asas undang-undang (ditentukan oleh pengawal data)	Persetujuan pelanggan laporan, yang diperoleh melalui prosedur pengesahan langganan dua langkah; pengawal data ialah agensi. Kami tidak menghantar e-mel kepada sesiapa yang belum mendaftar dan mengesahkan sendiri pendaftaran mereka.
Penerima	Agensi (melihat pelanggan laporannya); penyedia perkhidmatan e-mel (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) bagi e-mel pengesahan dan laporan.
Negara ketiga	Melalui penyedia perkhidmatan e-mel; lihat seksyen 4.
Penyimpanan	Proses pemadaman setiap malam (cfg/fristen_lib.php, bahagian “pelanggan laporan portal”): permintaan yang tidak pernah disahkan dipadamkan selepas 30 hari; pelanggan laporan yang telah berhenti melanggan dipadamkan tiga tahun selepas berhenti melanggan, sebagai bukti persetujuan terdahulu. Pelanggan laporan yang telah mengesahkan pendaftaran dan belum berhenti melanggan kekal selagi ruang kerja agensi wujud. Portal yang dibatalkan hanya disekat, bukan dipadamkan; pelanggan laporannya tidak lagi menerima laporan, tetapi data mereka kekal (seksyen 10). Portal dan pelanggan laporan dipadamkan serta-merta bersama ruang kerja (fe_arbeitsbereich_daten_loeschen()). Laporan yang telah dihantar kekal dalam peti keluar selama 30 hari (B.25).
Langkah teknikal dan organisasi	Seksyen 8. Khususnya: kata laluan portal hanya sebagai nilai cincang, cubaan meneka dihadkan (sepuluh bagi setiap portal dan alamat IP, 50 bagi setiap portal dalam 15 minit); berhenti melanggan dengan satu klik dalam setiap e-mel; portal hanya menunjukkan status dan angka utama, bukan dapatan individu berserta bukti.

A.3 Penerima amaran, pengesah penerimaan dan penerima tugasan Pelanggan

Medan	Butiran
Tujuan	Pemberitahuan tentang kerosakan dan perubahan kepada destinasi yang disediakan oleh Pelanggan untuk sesuatu domain: e-mel, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram. Bagi setiap destinasi, pemberitahuan dihantar serta-merta atau dikumpulkan secara harian atau mingguan, di samping destinasi yang hanya digunakan untuk peningkatan amaran. Setiap pemberitahuan masalah menjadi insiden, yang penerimanya boleh mengesahkan penerimaannya melalui pautan. Bagi borang yang dipantau, Pelanggan boleh menetapkan orang yang bertanggungjawab dan tarikh akhir.
Kategori subjek data	Kakitangan dan penyedia perkhidmatan Pelanggan yang dimasukkan oleh Pelanggan sebagai destinasi amaran atau dinamakan sebagai penerima tugasan; orang yang mengesahkan penerimaan insiden. Ahli pasukan yang mempunyai akaun sendiri turut disenaraikan dalam Bahagian B.
Kategori data peribadi	Destinasi amaran: saluran, alamat destinasi (alamat e-mel, alamat webhook atau sembang, ID sembang Telegram), peristiwa yang dipilih, mod penghantaran, rahsia penandatanganan bagi webhook, penghantaran terakhir dan ralat terakhir (alerts). Log penghantaran: destinasi, peristiwa, status, ralat, masa (alert_log). Baris gilir ringkasan: baris pemberitahuan dan pautan sehingga dihantar (alert_queue). Insiden: tajuk, baris pemberitahuan, pautan, pengenal pengesahan penerimaan, masa dan nama atau alamat e-mel orang yang mengesahkan penerimaan seperti yang dimasukkan dalam borang, atau jika tiada, alamat ahli yang sedang log masuk (alert_incidents). Cubaan penghantaran peningkatan amaran bagi setiap insiden dan destinasi: bilangan cubaan (paling banyak lima), masa cubaan terakhir dan seterusnya serta masa kejayaan, rujukan kepada e-mel dalam peti keluar, ralat (jadual alert_escalation_deliveries). Tugasan: akaun orang yang bertanggungjawab dan tarikh akhir (dalam monitored_forms).
Kandungan pemberitahuan	Domain, peristiwa, penerangan ringkas dan pautan ke halaman domain. Tiada kandungan mesej pelawat.
Sumber	Dimasukkan oleh Pelanggan; orang yang mengesahkan penerimaan memasukkan namanya sendiri; ID sembang Telegram diwujudkan apabila penerima menekan “Start” dalam bot (B.32).
Asas undang-undang (ditentukan oleh pengawal data)	Ditentukan oleh Pelanggan; lazimnya pengurusan operasi Pelanggan sendiri (Art. 6(1)(b) atau (f) GDPR berhubung dengan kakitangan dan penyedia perkhidmatan Pelanggan).
Penerima	Pengendali saluran yang dipilih; lihat 4.1. Amaran e-mel melalui penyedia perkhidmatan e-mel (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Negara ketiga	Bergantung pada saluran yang dipilih; beberapa penyedia berpangkalan di Amerika Syarikat, manakala Telegram berada di luar EU tanpa keputusan kecukupan. Lihat 4.1.
Penyimpanan	Log penghantaran dipadamkan selepas 90 hari (setiap malam, fe_alert_log_aufraeumen() daripada srv/cron_status.php). Pemberitahuan ringkasan dipadamkan 30 hari selepas penghantaran (cfg/kanal_lib.php, pada setiap penghantaran ringkasan). Insiden disimpan selagi belum diselesaikan; insiden yang diselesaikan dipadamkan 180 hari selepas penyelesaian (cfg/vorfall_lib.php, proses peningkatan amaran), bersama cubaan penghantaran peningkatan amarannya. Destinasi amaran dan tugasan disimpan sehingga dipadamkan oleh Pelanggan atau bersama domain.
Langkah teknikal dan organisasi	Seksyen 8. Khususnya: webhook ditandatangani dengan rahsia berasingan bagi setiap destinasi; pengesahan penerimaan hanya dilakukan selepas klik (POST), supaya pratonton pautan dalam program sembang tidak mencetuskan apa-apa; amaran semasa tetingkap penyelenggaraan hanya direkodkan dalam log, bukan dihantar.

A.4 Orang yang kebetulan kelihatan pada halaman Pelanggan yang disemak dan dalam tangkapan skrin

Medan	Butiran
Tujuan	Semakan domain dalam akaun Pelanggan (imbasan, pemantauan, semakan aktif) membaca halaman awam Pelanggan dan mengambil tangkapan skrin borang. Kandungan yang dipaparkan oleh halaman itu sendiri mungkin berkaitan dengan orang yang tiada kaitan dengan semakan. Data ini terhasil secara sampingan; data ini bukan tujuan semakan.
Kategori subjek data	Orang yang nama, foto atau butiran hubungannya muncul pada halaman yang disemak (orang untuk dihubungi di sebelah borang, foto pasukan pada halaman utama, butiran penyedia).
Kategori data peribadi	Tangkapan skrin: kawasan halaman utama yang kelihatan, potongan imej setiap borang yang kelihatan, dan imej halaman susulan selepas penghantaran ujian aktif; disimpan sebagai fail di luar direktori web, dengan hanya rujukannya dalam pangkalan data (scan_screenshots). Struktur borang: alamat halaman, pemilih elemen, nama medan, jenis medan, label medan, penanda wajib dan keterlihatan, label butang hantar (forms, medan “peta medan”); tiada nilai medan. Pengimbas membaca permulaan medan tersembunyi (sehingga 24 aksara) dan atribut data (sehingga 60 aksara) hanya semasa semakan untuk mengenal pasti cap masa dan token; hanya hasilnya disimpan. Dapatan berserta bukti (findings), ringkasan dengan tajuk halaman (scans). Bagi semakan yang memenuhi syarat dalam akaun berbayar, model setempat menjana pelan tindakan mengikut keutamaan daripada dapatan terpilih dan metadata imbasan; teks, bahasa, status dan cap masanya disimpan dalam ringkasan imbasan. Jika alamat e-mel muncul dalam borang sebagai penerima, hanya domainnya disimpan, bukan alamat tersebut.
Sumber	Halaman awam domain Pelanggan, yang diambil oleh pengimbas.
Asas undang-undang (ditentukan oleh pengawal data)	Ditentukan oleh Pelanggan bagi kandungan laman web Pelanggan sendiri. Bagi kami, pemprosesan itu ialah sebahagian daripada semakan yang ditauliahkan.
Penerima	Pelanggan; bagi agensi, pelanggan mereka melalui portal atau laporan berjenama anda; sesiapa yang menerima pautan laporan (laporan pada alamat rawak, tidak disenaraikan dalam enjin carian). Jika jenis borang tidak jelas, model bahasa setempat pada pelayan kami sendiri menerima struktur borang dengan tajuk halaman, alamat halaman dan teks borang yang kelihatan (sehingga 400 aksara) untuk pengelasan; model itu tidak menerima imej. Bagi semakan berbayar yang memenuhi syarat, model setempat juga menerima nama hos, hasil keseluruhan dan skor, CMS, jenis borang dan alamat halaman yang berkaitan, apa-apa pemalam yang dikenal pasti serta dapatan terpilih yang gagal atau tidak jelas untuk menghasilkan pelan tindakan. Permintaan disimpan sementara dalam baris gilir tugas dalaman dan dipadamkan selepas diambil atau melalui pembersihan berjadual bagi entri yang berusia lebih daripada satu jam.
Negara ketiga	Tiada.
Penyimpanan	Hasil semakan sesuatu domain disimpan selama paling lama 13 bulan; semakan lengkap terakhir bagi setiap domain dikekalkan (proses pemadaman setiap malam, bahagian “hasil semakan lama”). Borang, dapatan, rujukan imej dan fail imej dipadamkan bersama hasil semakan. Bersama domain, data ini dipadamkan serta-merta (rantaian pemadaman dalam B.15; pengecualian dalam seksyen 6.4).
Batas penyamaran	Tangkapan skrin semakan penuh tidak menyamarkan apa-apa: tangkapan skrin itu menunjukkan perkara yang dipaparkan oleh halaman kepada setiap pelawat. Medan borang kosong semasa halaman diambil kerana pengimbas tidak memasukkan apa-apa; nilai yang telah diisi awal akan kelihatan. Tiada tangkapan skrin diambil selepas log masuk (A.5). Imej semakan pelayar menyamarkan medan input (A.6).
Langkah teknikal dan organisasi	Seksyen 8. Khususnya: imej hanya boleh diambil melalui laporan, dan pengenal imej milik orang lain memberikan hasil “tidak ditemukan”; laporan menggunakan noindex; setiap semakan berjalan dalam bekas terpencilnya sendiri.

Data yang sama terhasil dalam semakan tanpa akaun (semakan percuma, kajian, semakan laman bakal pelanggan). Dalam keadaan itu, tiada Pelanggan yang kami wakili; oleh itu kes ini disenaraikan dalam Bahagian B (B.5, B.7, B.8).

A.5 Butiran kelayakan akaun ujian untuk imbasan selepas log masuk

Medan	Butiran
Tujuan	Membaca borang yang hanya muncul selepas log masuk (bahagian pelanggan, bahagian ahli). Pengimbas log masuk dengan akaun ujian yang dicipta oleh Pelanggan pada laman webnya sendiri dan membaca halaman yang ditetapkan. Selain borang log masuk, pengimbas tidak menghantar apa-apa, tidak menjalankan ujian aktif di situ, tidak mengambil tangkapan skrin dan tidak melawat alamat log keluar, pemadaman atau pembatalan. Jika borang log masuk mempunyai CAPTCHA, pengimbas berhenti; CAPTCHA tidak dipintas.
Prasyarat	Domain yang telah disahkan, pelan berbayar, peranan pemilik atau pentadbir, pengesahan nyata bahawa akaun itu ialah akaun ujian. Paling banyak lima halaman, semuanya pada domain yang sama.
Kategori subjek data	Orang yang namanya digunakan untuk akaun ujian (sebaik-baiknya tiada sesiapa; Pelanggan sepatutnya menggunakan akaun fungsian); orang yang datanya muncul pada halaman selepas log masuk.
Kategori data peribadi	Nama pengguna dan kata laluan akaun ujian, hanya dalam bentuk disulitkan; petunjuk bagi nama pengguna (aksara pertama dan panjang); alamat log masuk, senarai halaman, nama medan log masuk, penunjuk kejayaan, orang yang menciptanya, masa, hasil terakhir sebagai kod ringkas (domain_logins). Bagi tugas yang sedang berjalan, salinan teks sifer (medan “pakej log masuk” dalam scan_jobs). Daripada halaman selepas log masuk: struktur borang seperti dalam A.4, tanpa tangkapan skrin dan tanpa kuki.
Sumber	Dimasukkan oleh Pelanggan dalam akaun.
Asas undang-undang (ditentukan oleh pengawal data)	Ditentukan oleh Pelanggan. Pelanggan menjamin bahawa Pelanggan berhak menggunakan akaun ujian itu.
Penerima	Tiada. Pelanggan, sokongan mahupun antara muka pengaturcaraan tidak dapat membaca keluar butiran kelayakan; antara muka hanya menunjukkan petunjuk bagi nama pengguna.
Negara ketiga	Tiada.
Perlindungan butiran kelayakan	Nama pengguna dan kata laluan disulitkan serta-merta semasa disimpan dengan kunci awam pelayan imbasan (X25519, HKDF-SHA256, AES-256-GCM; domain diikat sebagai data berkaitan, supaya teks sifer tidak boleh dipadankan kepada domain lain). Hanya pelayan imbasan mempunyai kunci persendirian. Pelayan web, pangkalan data dan sandaran hanya mengandungi teks sifer; kami juga tidak dapat menyahsulitkannya di situ. Pelayan imbasan menyahsulitkan hanya untuk proses semakan, menghantar butiran kelayakan ke dalam bekas semakan terpencil hanya melalui input standard, memadamkan salinan dalam tugas serta-merta dan tidak menulisnya ke dalam mana-mana hasil, log atau teks ralat. Semasa dihantar ke laman web Pelanggan, butiran tersebut hanya dilindungi oleh penyulitan laman web itu; batas penghantaran ini dinyatakan dalam seksyen 10.
Penyimpanan	Butiran kelayakan disimpan sehingga dipadamkan oleh Pelanggan. Semasa pemadaman, teks sifer ditulis ganti dengan data rawak yang sama panjang dan baris itu dipadamkan; tugas yang menunggu dibersihkan (fe_login_loeschen()). Bersama domain, baris dipadamkan melalui kunci asing. Pelayan imbasan membersihkan salinan dalam tugas selepas proses selesai; apa-apa yang tertinggal (tugas dibatalkan, pelayan imbasan tidak berfungsi) dibersihkan oleh proses status selewat-lewatnya selepas satu jam (fe_login_aufraeumen(), bahagian “login_jobs”). Sandaran pangkalan data mengandungi teks sifer sehingga sandaran itu luput selepas 14 hari.
Langkah teknikal dan organisasi	Seksyen 8. Khususnya: penyulitan asimetri dengan kunci berasingan; senarai sekatan bagi laluan log keluar dan pemadaman; tiada tangkapan skrin selepas log masuk; fungsi hanya untuk pelan berbayar dan domain yang telah disahkan; setiap perubahan direkodkan dalam log aktiviti (tanpa butiran kelayakan).

Kami sengaja tidak menyediakan sebarang cara untuk menyimpan butiran kelayakan pelayan Pelanggan, bahagian pentadbiran CMS atau akaun pengehosan. Akaun ujian ialah akaun pelawat pada laman web Pelanggan, bukan akses kepada sistem Pelanggan.

A.6 Aliran borang yang dikonfigurasikan, semakan pelayar dan prob bebas

Medan	Butiran
Tujuan	Borang yang dipantau dilalui dalam pelayar sebenar (Chromium, WebKit atau kedua-duanya) sehingga titik sejurus sebelum penghantaran: memuatkan halaman, melakukan klik awal (paling banyak lima, tidak sekali-kali pada medan input atau butang hantar), mengisi medan dengan nilai yang jelas merupakan nilai ujian (seperti alamat di bawah akhiran terpelihara .invalid), meneruskan borang berbilang langkah. Semakan pelayar tidak menghantar apa-apa; penghantaran disekat secara teknikal dalam pelayar. Selain itu, pengukuran masa dan perbandingan visual borang dilakukan.
Kategori subjek data	Seperti A.4 (orang yang kelihatan pada halaman borang); kakitangan Pelanggan yang dimasukkan sebagai penerima tugasan (A.3).
Kategori data peribadi	Konfigurasi: alamat borang, pemilih elemen, alamat permulaan, langkah klik, pilihan pelayar, label, tahap kritikal, tugasan, tarikh akhir (monitored_forms). Hasil bagi setiap proses: keadaan, sebab kegagalan teknikal, mesej ralat yang telah dibersihkan, pengukuran rangkaian dan masa, imej borang sebagai JPEG bersaiz paling banyak 32 KB dengan medan input yang disamarkan (form_browser_runs). Pemerhatian bagi setiap semakan (form_observations), siri masa (form_performance). Tugas dengan senarai sasaran (medan “targets” dan “result” dalam scan_jobs).
Akses ujian	Jika Pelanggan telah menyimpan akaun ujian (A.5), semakan penuh turut menggunakannya untuk aliran borang yang dikonfigurasikan. Menurut kod yang diukur, semakan pelayar kendiri antara dua semakan penuh berfungsi tanpa akaun ujian.
Prob bebas	Titik semakan kedua di lokasi lain dirancang untuk menyemak silang sebelum amaran dikeluarkan. Titik itu akan menerima domain, konfigurasi yang telah dibersihkan dan pengenal tugas, tanpa input pelawat atau butiran kelayakan. Pada masa ini, titik itu belum disediakan (dimatikan secara lalai). Tanpa prob itu, tiada bukti daripada lokasi kedua; amaran ketika itu berdasarkan pengukuran kami sendiri.
Sumber	Dikonfigurasikan oleh Pelanggan; hasil diperoleh daripada pengambilan halaman Pelanggan.
Asas undang-undang (ditentukan oleh pengawal data)	Ditentukan oleh Pelanggan bagi kandungan laman web Pelanggan dan tanggungjawab kakitangan Pelanggan.
Penerima	Pelanggan; jika prob disediakan, pengendalinya (pada masa ini tiada sesiapa).
Negara ketiga	Tiada.
Penyimpanan	Hasil proses pelayar, tugas pelayar yang telah selesai dan siri masa dipadamkan selepas 13 bulan (proses pemadaman setiap malam, bahagian “browser_runs”, “browser_jobs”, “form_performance”). Konfigurasi disimpan sehingga domain dipadamkan (secara individu, konfigurasi boleh diubah atau dimatikan, bukan dipadamkan); bersama domain, konfigurasi dipadamkan bersama proses, pemerhatian dan siri masa melalui kunci asing.
Perkara yang dibuktikan oleh pengukuran	Masa dan keadaan daripada pelayar semakan kami. Pengukuran ini tidak mengukur pengalaman pelawat sebenar dan tidak membuktikan kadar penyempurnaan atau pertanyaan yang hilang.
Langkah teknikal dan organisasi	Seksyen 8. Khususnya: penghantaran dicegah secara teknikal; hanya alamat pada domain yang sama; imej disamarkan; bekas semakan terpencil.

A.7 “Fix it for me” – kod borang yang ditampal

Medan	Butiran
Tujuan	Pelanggan menampal kod borangnya; model bahasa pada perkakasan kami sendiri memasukkan modul perlindungan. Hasil yang dikembalikan ialah fail yang telah diubah suai, patch, hasil semakan sintaks dan petunjuk sama ada panggilan semakan benar-benar telah dimasukkan. Tanpa kod yang ditampal, perkhidmatan memberikan modul siap guna dengan nama medan daripada imbasan terakhir.
Kategori subjek data	Orang yang datanya kebetulan terdapat dalam kod yang ditampal (seperti alamat penerima, nama dalam komen, butiran kelayakan pelayan e-mel).
Kategori data peribadi	Kod yang ditampal, paling banyak 30,000 aksara. Dalam pangkalan data hanya terdapat satu entri dalam log aktiviti (tindakan “fix_ai” dengan ruang kerja dan masa), yang diambil kira dalam had harian yang pada masa ini ialah sepuluh panggilan bagi setiap ruang kerja.
Sumber	Ditampal oleh Pelanggan.
Asas undang-undang	Pelaksanaan kontrak dengan Pelanggan (Art. 6(1)(b) GDPR) bagi kod itu sendiri; bagi data pihak ketiga yang kebetulan terkandung di dalamnya, Pelanggan menentukan asasnya.
Penerima	Tiada. Model bahasa berjalan pada pelayan imbasan kami sendiri dalam rangkaian dalaman; tiada perkhidmatan AI luaran, walaupun sebagai pilihan sandaran.
Negara ketiga	Tiada.
Penyimpanan	Kod tidak disimpan. Fail sementara dicipta untuk semakan sintaks dan dipadamkan serta-merta selepas itu. Entri dalam log aktiviti dipadamkan selepas 365 hari.
Nota kepada Pelanggan	Kod yang mengandungi kata laluan, kunci API atau data peribadi sepatutnya dibersihkan sebelum ditampal. Kami tidak menyemak kandungannya.
Langkah teknikal dan organisasi	Seksyen 8. Khususnya: hanya pemilik dan pentadbir pada pelan berbayar; kod yang ditampal dihantar kepada model dengan ditandakan sebagai data dan tidak sekali-kali dilaksanakan; tiada muat naik ke pelayan pihak ketiga.

A.8 Jenama sendiri dan orang untuk dihubungi bagi agensi

Medan	Butiran
Tujuan	Laporan, laporan ringkas, log bukti dan portal pelanggan agensi (pelan Business) dipaparkan di bawah jenamanya, dan atas permintaan di bawah subdomain milik agensi itu sendiri.
Kategori subjek data	Orang untuk dihubungi di agensi yang nama atau butiran hubungannya dipaparkan dalam baris hubungan.
Kategori data peribadi	Nama syarikat, laman web, baris hubungan, nota kepada pelanggan, warna aksen, paparan, fail logo, suis bagi rujukan kepada formexposed, domain sendiri dengan pengenal pengesahan dan status pengesahan (workspace_branding).
Sumber	Dimasukkan oleh agensi.
Asas undang-undang	Pelaksanaan kontrak dengan agensi (Art. 6(1)(b) GDPR). Jika baris hubungan menamakan kakitangan agensi, agensi menentukan asasnya.
Penerima	Sesiapa yang diberikan laporan, laporan ringkas atau pautan portal oleh agensi.
Negara ketiga	Tiada.
Penyimpanan	Sehingga diubah oleh agensi; jenama dan fail logo dipadamkan bersama ruang kerja (fe_arbeitsbereich_daten_loeschen()). Domain sendiri yang pengesahan DNS-nya gagal selama tujuh hari dimatikan. Domain sendiri dimatikan secara lalai.
Langkah teknikal dan organisasi	Seksyen 8.

A.9 Kiraan, penunjuk status dan ralat medan daripada pemalam dan sambungan

Medan	Butiran
Tujuan	Sekali sehari, pemalam WordPress dan sambungan TYPO3 melaporkan angka tentang borang pada laman web yang disambungkan: penghantaran yang disekat mengikut sebab, penghantaran, e-mel yang dihantar dan gagal dihantar, penunjuk status tetapan borang, pertanyaan yang disimpan mengikut sumber dan tempoh penyimpanan. Secara pilihan, dimatikan secara lalai: peristiwa borang dan kategori ralat medan mengikut kedudukan medan. Angka ini menghasilkan “Perlindungan dalam angka”, laporan bulanan, amaran ketiadaan aktiviti dan notis tentang tetapan berisiko.
Pengelasan	Angka ini direka supaya tidak menerangkan mana-mana orang. Kami menyenaraikannya dalam Bahagian A kerana angka itu terhasil daripada peristiwa pada laman web Pelanggan yang dicetuskan oleh pelawat Pelanggan; pada pandangan kami, angka itu hanya menjadi data peribadi dalam keadaan pinggiran (laman web dengan sangat sedikit penghantaran pada sesuatu hari). Penghantaran data itu sendiri (kunci, versi, hos) disenaraikan dalam Bahagian B (B.20).
Kategori subjek data	Pelawat laman web Pelanggan yang menghantar borang.
Kategori data peribadi	Angka harian bagi setiap hos: jumlah yang disekat dan mengikut sebab, penghantaran, e-mel yang dihantar dan gagal dihantar, kategori ralat penghantaran e-mel (hanya satu daripada empat kategori, bukan teks ralat kerana teks itu boleh mengandungi alamat penerima), kiraan respons reCAPTCHA, pertanyaan yang dipadamkan dan dilepaskan (plugin_stats). Status: versi daripada senarai tetap pemalam borang, CAPTCHA dan e-mel, penunjuk tetapan sebagai nombor, tempoh penyimpanan (plugin_health). Pemberitahuan perubahan: nama dan versi pemalam yang dikemas kini (plugin_changes). Secara pilihan: pembilang bagi setiap borang dan hari dengan kategori ralat mengikut kedudukan medan (form_metrics). Tidak sekali-kali: input, nama medan, kata laluan, fail, alamat e-mel, nama, alamat IP atau pengenal pelawat yang berterusan.
Sumber	Pemalam pada laman web Pelanggan, melalui antara muka pengaturcaraan menggunakan rahsia sambungan laman web.
Asas undang-undang (ditentukan oleh pengawal data)	Ditentukan oleh Pelanggan; Pelanggan memutuskan sama ada untuk mengaktifkan kiraan pilihan dan cara memaklumkan pelawatnya.
Penerima	Pelanggan. Domain daripada pautan dalam mesej yang disekat dimasukkan ke dalam perlindungan berkelompok (B.21).
Negara ketiga	Tiada.
Penyimpanan	Angka harian, pemberitahuan perubahan dan pembilang borang dipadamkan selepas 13 bulan (proses pemadaman setiap malam, bahagian “plugin_stats” dan “form_metrics”). Penunjuk status ditulis ganti dengan setiap laporan. Semua data pemalam bagi sesuatu hos dipadamkan sebaik sahaja tiada lagi domain dalam sistem merujuk kepada hos itu (serta-merta semasa domain terakhir dipadamkan; data legasi dipadamkan setiap malam, bahagian “orphan_hosts”).
Perkara yang dibuktikan oleh angka	Perkara yang dikira oleh pemalam. Angka itu tidak membuktikan kadar penyempurnaan atau pertanyaan yang hilang.
Langkah teknikal dan organisasi	Seksyen 8. Khususnya: penerimaan hanya dengan pasangan kunci yang terikat pada laman web; hanya kunci dan nombor yang diketahui diterima, semua yang lain dibuang; hari di luar tetingkap 14 hari ditolak.

A.10 Sempadan: perkara yang kekal hanya pada laman web Pelanggan

Fungsi pemalam WordPress dan sambungan TYPO3 yang berikut memproses data secara eksklusif pada pelayan Pelanggan. Data itu tidak sampai kepada kami, dan kami tidak mempunyai akses kepadanya. Pengendali laman web sahaja yang bertanggungjawab; pengendali memutuskan pengaktifan, tempoh penyimpanan dan cara memaklumkan pelawatnya. Untuk tujuan ini, pemalam mencadangkan perenggan bagi dasar privasi pengendali.

Fungsi	Perkara yang diproses secara setempat	Penyimpanan di pihak Pelanggan
Kuarantin	Penghantaran yang dihentikan bersama sebabnya, yang boleh dilepaskan melalui e-mel ke alamat laman web	14 hari
Jaring keselamatan	Penghantaran yang e-mel borangnya gagal dihantar, untuk penghantaran semula (diaktifkan secara lalai)	30 hari
Teka-teki aritmetik menggantikan reCAPTCHA	Tugasan aritmetik dalam pelayar pelawat, tiada perkhidmatan pihak ketiga (dimatikan secara lalai)	–
Tetapan penyimpanan	Pemadaman pertanyaan yang disimpan dalam pemalam borang selepas tempoh yang dipilih oleh pengendali (dimatikan secara lalai)	seperti yang dikonfigurasikan
Penghadan kadar	pengenal jangka pendek yang diperoleh daripada alamat IP, tidak dihantar kepada kami	jangka pendek
Pembilang harian setempat	Nilai pembilang sebelum penghantaran	paling lama 14 hari
Perakam untuk pentadbir	pemilih teknikal dan langkah navigasi dalam storan sesi pelayar pentadbir yang telah log masuk; input tidak dibaca. Hanya konfigurasi yang dipilih dihantar (kemudian A.6)	paling lama 15 minit
Bantuan pelawat	boleh diaktifkan secara berasingan; tidak menyimpan draf dan tidak menghantar semula secara automatik	–
Pemerhatian peraturan spam baharu	padanan tambahan dikira secara setempat, tanpa pengaktifan automatik	tujuh hari

A.11 Perlindungan borang (formconfirmed)

Medan	Butiran
Tujuan	Penilaian penghantaran melalui borang pada laman web Pelanggan untuk mengenal pasti penghantaran automatik: pengeluaran dan pengesahan tugasan (bukti kerja), token semakan sekali guna, masa pengisian, medan perangkap, permintaan berulang yang kerap; atas permintaan Pelanggan, penilaian teks mesej oleh model bahasa. Hanya bagi Pelanggan yang mengaktifkan perlindungan borang.
Kategori subjek data	Pelawat laman web Pelanggan yang membuka halaman yang mengandungi borang dilindungi atau menghantarnya.
Kategori data peribadi	Alamat IP (disimpan hanya dalam bentuk dipendekkan dan dicincang dengan kunci yang bertukar setiap hari), alamat dan domain halaman, masa-masa berkaitan dan masa pengisian, medan perangkap diisi ya/tidak, pengecam pelayar dalam log pelayan web; hanya jika semakan kandungan diaktifkan, teks mesej (hanya dalam memori kerja).
Sumber	Pelayar pelawat (tugasan, token semakan); pelayan Pelanggan (permintaan pengesahan, teks jika berkenaan).
Penerima	Pelanggan (skor, tindakan, sebab). Tiada penerima lain; tiada subpemproses data bagi pemprosesan ini.
Negara ketiga	Tiada.
Penyimpanan	Pengecam yang dicincang 1 jam; token semakan yang telah digunakan paling lama 11 minit; hasil semakan tanpa alamat IP dan tanpa teks 30 hari; angka harian 400 hari; log pelayan web 14 hari; teks tidak disimpan.
Langkah teknikal dan organisasi	Seksyen 8; di samping itu, pemendekan dan pencincangan dengan kunci harian, tugasan bertandatangan, penggunaan sekali, model bahasa pada perkakasan sendiri tanpa log teks.

4. Bahagian A – penerima, subpemproses data dan pemindahan ke negara ketiga

Jadual berikut menyenaraikan penerima yang dilantik oleh kami sendiri dan yang mungkin menerima data daripada Bahagian A. Senarai berwibawa yang dikemas kini secara berterusan ialah halaman Subpemproses Data; jika senarai itu berbeza daripada jadual ini, perbezaan itu ialah suatu dapatan, bukan isu pemformatan.

Penerima	Perkara yang diterima	Negara ketiga	Asas	Status
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Peti mel kawalan semakan penghantaran e-mel (A.1); penghantaran e-mel amaran (A.3), pengesahan dan laporan kepada pelanggan laporan portal (A.2)	Tempat pemprosesan masih perlu disahkan; lihat halaman “Subpemproses Data”	Perjanjian Pemprosesan Data; asas pemindahan masih perlu disahkan	Terbuka. Kontrak yang berkaitan, tempat pemprosesan sebenar dan asas pemindahan belum didokumenkan. Rekod ini tidak mengesahkan pensijilan atau kontrak yang telah dimeterai.
Namecheap, Inc. (pendaftar, DNS; pemajuan e-mel sehingga peti mel disediakan)	Sehingga peti mel disediakan, e-mel masuk umum ke alamat pada domain kami; bukan salinan daripada semakan penghantaran e-mel, yang hanya tiba dengan rekod MX yang menghala terus ke peti mel (A.1)	Amerika Syarikat	perlu disahkan: pensijilan di bawah EU-US Data Privacy Framework atau klausa kontrak standard	Sedang digunakan; asas masih terbuka.
Pelayan imbasan kami sendiri dengan model bahasa setempat	Struktur borang untuk pengelasan dan dapatan terpilih dengan metadata imbasan bagi pelan tindakan dalam akaun berbayar (A.4), kod yang ditampal (A.7), akses ujian yang dinyahsulitkan hanya semasa proses berjalan (A.5)	–	Dikendalikan oleh kami, bukan pihak ketiga	Sedang digunakan.
Prob bebas di lokasi kedua	Domain, konfigurasi yang telah dibersihkan, pengenal tugas (A.6)	bergantung pada lokasi	akan ditentukan sebelum mula digunakan	Belum disediakan.

Pengehosan: tiada pihak ketiga. Aplikasi, pangkalan data, tangkapan skrin dan sandaran disimpan pada pelayan kami sendiri di Poland. Jika kami berpindah ke pusat data atau penyedia awan, perenggan ini mesti ditulis semula.

4.1 Saluran amaran yang dipilih oleh Pelanggan

Selain penerima yang dilantik oleh kami, terdapat saluran yang dipilih oleh Pelanggan untuk amarannya (A.3). Pelayan kami mencetuskan penghantaran; Pelanggan menentukan destinasi dan penyedia. Pemilihan saluran tidak membebaskan kami daripada kewajipan kami sendiri sebagai pemproses data. Peranan, kontrak dan perlindungan yang diperlukan bagi negara ketiga mesti ditentukan untuk setiap penyedia; bagi perkhidmatan sembang, perkara ini belum diselesaikan (persoalan terbuka untuk semakan undang-undang).

Saluran	Perkara yang dihantar	Tempat kedudukan penyedia
E-mel	Domain, peristiwa, penerangan, pautan; ke alamat yang dimasukkan	melalui Namecheap, Inc. (Private Email), Phoenix, Arizona, USA
Webhook ke alamat yang dipilih secara bebas	Peristiwa sebagai JSON (domain, peristiwa, baris, pautan, cap masa), ditandatangani dengan rahsia destinasi	ditentukan oleh Pelanggan
Slack, Discord, Microsoft Teams, Google Chat	pemberitahuan yang sama sebagai mesej sembang ke alamat webhook yang dimasukkan	terutamanya Amerika Syarikat
Telegram	destinasi dipilih oleh Pelanggan; kami menghantar mesej melalui bot kami ke ID sembang yang dipautkan	di luar EU, tiada keputusan kecukupan; asas pemindahan ialah persoalan terbuka untuk semakan undang-undang

Kandungan mesej pelawat tidak dihantar dalam apa-apa keadaan. Pemberitahuan membawa domain, peristiwa dan pautan.

5. Bahagian B – Art. 30(1): pemprosesan di bawah tanggungjawab kami sendiri

Pengawal data bagi semua perkara dalam bahagian ini: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, contact@lukaswojcik.com. Tiada wakil diperlukan (ditubuhkan di Kesatuan Eropah). Tiada pegawai perlindungan data dilantik (seksyen 9). Langkah teknikal dan organisasi: seksyen 8 dan halaman Langkah Teknikal dan Organisasi. Cara subjek data melaksanakan hak mereka diterangkan pada halaman Akses, Pemadaman dan Hak Anda yang Lain; pemegang akaun boleh memuat turun data mereka sendiri sebagai fail (Tetapan).

Apabila kami bergantung pada kepentingan yang sah (Art. 6(1)(f) GDPR), kami menyatakan kepentingan tersebut dan sebab cara yang kurang mengganggu tidak mencukupi. Pengimbangan itu ialah penilaian kami; penilaian ini merupakan sebahagian daripada semakan undang-undang.

B.1 Pelawat laman web kami – log pelayan web

Medan	Butiran
Tujuan	Operasi dan keselamatan laman web serta aplikasi: penyampaian, penyelesaian masalah, pengesanan serangan dan beban berlebihan.
Kategori subjek data	Semua orang yang membuka halaman formexposed.com atau form.exposed, termasuk pelawat halaman Pelanggan yang pelayarnya memuatkan imej lencana kami (B.18), penerima yang membuka pautan laporan atau pengesahan penerimaan, dan laman web yang pemalamnya memanggil antara muka kami.
Kategori data peribadi	Alamat IP penuh, masa, alamat yang diminta, kod status, bait yang dipindahkan, halaman perujuk (referrer), pengenal pelayar (user agent).
Tempat penyimpanan	Log akses proksi huluan dan pelayan web sebagai fail pada pelayan web, bukan dalam pangkalan data.
Sumber	Pelayar atau program yang membuat permintaan.
Asas undang-undang	Art. 6(1)(f) GDPR. Kepentingan: operasi yang selamat dan tidak terganggu. Pengimbangan: tanpa alamat penuh, permintaan berulang daripada penghantar yang sama tidak dapat dikaitkan dan serangan tidak dapat ditangkis; alamat yang dipendekkan tidak membolehkan pembezaan ini. Log tidak digabungkan dengan data lain dan dipadamkan selepas tempoh yang singkat.
Penerima	Tiada.
Negara ketiga	Tiada.
Penyimpanan	14 hari: penggiliran harian dengan 14 generasi, kemudian ditulis ganti (perkhidmatan penggiliran log sistem, bukan proses pemadaman setiap malam aplikasi).
Langkah teknikal dan organisasi	Seksyen 8.

B.2 Log paparan halaman aplikasi

Medan	Butiran
Tujuan	Keselamatan dan pengesanan penyalahgunaan (siapa yang meminta apa dan sekerap mana), kebolehkesanan akses akaun, statistik penggunaan mudah tanpa perkhidmatan analitik.
Kategori subjek data	Semua pelawat laman web dan pengguna aplikasi semasa paparan halaman sebenar (tiada permintaan latar belakang, tiada penghantaran borang).
Kategori data peribadi	Alamat IP penuh, negara yang ditentukan daripadanya semasa penulisan (pangkalan data geografi setempat, tiada pertanyaan kepada pihak ketiga), ID akaun bagi pengguna yang telah log masuk, alamat yang diminta dan halaman perujuk (token akses di dalamnya, seperti token pautan laporan atau portal, disamarkan), pengenal pelayar serta jenis peranti, sistem pengendalian dan pelayar yang ditentukan daripadanya, bahasa, masa (access_logs). Semasa “Lihat sebagai Pelanggan” (B.14), tiada ID akaun ditetapkan supaya paparan halaman oleh sokongan tidak muncul dalam log Pelanggan.
Sumber	Permintaan pelayar.
Asas undang-undang	Art. 6(1)(f) GDPR. Kepentingan: pencegahan penyalahgunaan dan kebolehkesanan. Pengimbangan: seperti B.1; tempoh penyimpanan lebih panjang kerana corak penyalahgunaan menjadi kelihatan sepanjang beberapa minggu. Sama ada alamat IP sepatutnya dipendekkan atau tempoh penyimpanan dipersingkat ialah persoalan terbuka untuk semakan undang-undang.
Penerima	Tiada. Pemegang akaun menerima paparan halaman mereka sendiri dalam eksport data.
Negara ketiga	Tiada.
Penyimpanan	60 hari (setiap malam antara 03:00 dan 03:05, srv/cron_status.php, tetapan “log paparan halaman”).
Langkah teknikal dan organisasi	Seksyen 8. Alamat IP hanya diambil daripada pengepala pemajuan jika permintaan datang daripada proksi huluan kami sendiri, dan dalam keadaan itu hanya entri yang ditambah oleh proksi itu; jika tidak, sesiapa sahaja boleh menyatakan asalnya sesuka hati.

B.3 Kuki dan storan dalam pelayar

Medan	Butiran
Tujuan	Storan yang diperlukan secara teknikal: sesi, perlindungan daripada pemalsuan permintaan rentas laman (CSRF), pengiraan had bagi semakan tanpa akaun, log masuk, kekal log masuk atas permintaan, paparan cerah atau gelap.
Kategori subjek data	Pelawat dan pengguna formexposed.com.
Kategori data peribadi	Kuki sesi bpid (pengenal sesi; tamat apabila pelayar ditutup; HttpOnly, SameSite=Lax, Secure melalui HTTPS). Kuki bp_remember hanya selepas memilih “Kekalkan log masuk saya” (pemilih dan pengesah; 30 hari). Storan setempat bp_theme (cerah, gelap atau sistem). Dalam bahagian pentadbiran, terdapat juga tetapan paparan setempat pengendali. Bagi had, nilai cincang dibentuk daripada pengenal sesi; pengenal itu sendiri tidak disimpan.
Tidak ditetapkan	Tiada kuki analitik, pengiklanan atau penjejakan. Program rakan kongsi (B.33) berfungsi tanpa kuki. Imej lencana pada halaman Pelanggan tidak menetapkan kuki (B.18). reCAPTCHA mungkin menetapkan kuki daripada Google apabila borang yang dilindungi dihantar (B.23).
Asas undang-undang	Akses kepada peranti terminal: benar-benar diperlukan untuk perkhidmatan yang diminta oleh pengguna (§ 25(2) no. 2 TDDDG, Akta Perlindungan Data Perkhidmatan Digital Telekomunikasi Jerman; Art. 399(3) PKE, Undang-undang Komunikasi Elektronik Poland (Prawo komunikacji elektronicznej)). Pemprosesan: Art. 6(1)(b) GDPR (akaun) dan (f) (keselamatan, had).
Penerima	Tiada.
Negara ketiga	Tiada.
Penyimpanan	Sesi; 30 hari bagi token kekal log masuk. Proses setiap malam memadamkan token kekal log masuk yang luput dalam pangkalan data (remember_tokens); pemadaman dilakukan serta-merta semasa log keluar, perubahan kata laluan dan pembatalan peranti.
Langkah teknikal dan organisasi	Seksyen 8.

B.4 Semakan percuma tanpa akaun – penerimaan, had dan pemantauan penyalahgunaan

Medan	Butiran
Tujuan	Sesiapa sahaja boleh meminta semakan domain tanpa akaun. Supaya medan input tidak menjadi senjata terhadap laman web pihak ketiga, had berperingkat dikenakan: satu semakan tanpa nama bagi setiap domain dalam tujuh hari (selepas itu, laporan yang sama diberikan), had bagi setiap alamat IP dan setiap sesi dalam 24 jam, had harian bagi seluruh sistem, sekatan domain yang sangat baharu, senarai sekatan dan pengecualian, hanya alamat awam. Corak yang ketara direkodkan dan dilaporkan kepada pengendali. Had bagi setiap alamat IP, setiap sesi dan seluruh sistem, yang masing-masing dikira secara berasingan, turut terpakai pada semakan daripada pemalam tanpa akaun (pemalam dengan pasangan kunci terikat dikira mengikut laman web dan bukannya alamat) dan pada pengecualian (B.30); alat pengepala percuma (B.9) mempunyai hadnya sendiri bagi setiap alamat IP dan hari serta bagi seluruh sistem.
Kategori subjek data	Orang yang mencetuskan semakan, permintaan alat pengepala atau pengecualian; pelayan yang dipasang pemalam.
Kategori data peribadi	Log setiap permintaan: sumber (semakan, pemalam, alat pengepala, pengecualian), alamat IP penuh, nilai cincang pengenal sesi, hos yang disemak, negara daripada alamat IP, diterima atau ditolak berserta sebab, masa (check_throttle). Anomali: jenis (alamat IP, sesi, negara, sistem), kunci (bagi jenis “IP”, alamat IP penuh), corak, tahap keterukan, penerangan ringkas, masa pengesanan dan penyelesaian, orang yang menyelesaikannya (abuse_flags). Tugas: hos, mod, tahap kepercayaan dan nilai cincang sesi yang dipendekkan sebagai pengenal peminta (scan_jobs). Laporan: pengenal rawak, hos, bahasa, tarikh luput, paparan pertama, bilangan paparan (reports). Umur domain yang dicache daripada carian badan pendaftaran (domain_age_cache).
Sumber	Input orang tersebut; permintaannya; carian badan pendaftaran (RDAP) bagi umur domain.
Asas undang-undang	Pelaksanaan semakan yang diminta: Art. 6(1)(b) GDPR (penggunaan semakan percuma di bawah Terma Perkhidmatan); sebagai alternatif, (f). Had dan pemantauan: Art. 6(1)(f). Kepentingan: mencegah perkhidmatan daripada digunakan sebagai alat terhadap laman web pihak ketiga atau sebagai alat penghantaran spam secara besar-besaran. Pengimbangan: tanpa perkaitan dengan alamat dan sesi, had tidak dapat dikuatkuasakan; tempoh tujuh hari adalah sesingkat had paling panjang yang dikira daripadanya.
Penerima	Google (reCAPTCHA semasa penghantaran, B.23). Bagi umur domain, pengimbas membuat pertanyaan kepada perkhidmatan pengalihan RDAP rdap.org, yang mengalihkannya kepada badan pendaftaran yang bertanggungjawab; hanya nama domain dihantar. Apabila anomali berlaku, pengendali menerima isyarat melalui Telegram tanpa sebarang pemboleh ubah (tiada hos, tiada alamat). Laporan boleh dilihat oleh sesiapa yang mempunyai pautan rawaknya.
Negara ketiga	Amerika Syarikat melalui reCAPTCHA (B.23).
Penyimpanan	Log permintaan disimpan selama 7 hari (setiap malam, srv/cron_status.php). Anomali yang diselesaikan dipadamkan 90 hari selepas penyelesaian; anomali yang belum diselesaikan kekal sehingga seseorang menyelesaikannya (seksyen 10). Laporan tanpa nama luput selepas 30 hari; proses setiap malam kemudian memadamkan laporan, tugas, hasil semakan, borang, dapatan dan imej (fe_reports_aufraeumen()). Pentadbir boleh melepaskan entri bagi sesuatu alamat secara manual; ini memadamkan log alamat itu bagi 24 jam yang lalu.
Langkah teknikal dan organisasi	Seksyen 8. Henti kecemasan bagi semua semakan tanpa nama dalam bahagian pentadbiran; kawalan tekanan balik yang tidak menerima semakan percuma baharu apabila terdapat tunggakan.

B.5 Semakan perangkak terhadap laman web pihak ketiga

Medan	Butiran
Tujuan	Semakan keselamatan borang hubungan awam: perlindungan daripada spam dan penyalahgunaan, ciri perlindungan data dan kebolehcapaian, skrip pihak ketiga yang dibenamkan, tingkah laku selepas penolakan dalam sepanduk kuki, paparan mudah alih. Terpakai pada semakan tanpa akaun (B.4), pada domain dalam akaun yang belum disahkan, dan sebagai asas kajian (B.7) serta semakan laman bakal pelanggan (B.8). Bagi domain yang telah disahkan dalam akaun, kami bertindak bagi pihak Pelanggan (A.4).
Tingkah laku perangkak	Pengenalnya sendiri dengan rujukan kepada halaman perangkak; membaca robots.txt sebelum semakan dan berhenti jika peraturan disallow meliputi halaman utama (begitu juga jika robots.txt tidak dapat dicapai atau terdapat ralat pelayan); peraturan disallow bagi sublaluan individu tidak dipatuhi secara berasingan. Semakan berkala borang, pengambilan bukti, alat pengepala dan carian fail yang terdedah tidak membaca robots.txt. Paling banyak lapan halaman awam bagi setiap semakan, serta sehingga tiga halaman dengan klik pada “Tolak” dalam sepanduk kuki, sehingga tiga halaman dalam paparan telefon, prob aktif bagi domain yang telah disahkan dan sehingga lima halaman selepas log masuk (A.5); halaman dimuatkan satu demi satu, bukan secara selari; hanya alamat awam, tiada rangkaian dalaman, pengalihan disemak semula; senarai sekatan dan pengecualian disemak sebelum penerimaan dan sekali lagi dalam pengimbas. Pasif: tanpa bukti hak kawalan domain, tiada apa-apa dihantar bagi Pelanggan (pengecualian: semakan dalaman domain ujian dan demo kami sendiri, B.6).
Kategori subjek data	Pengendali laman web yang disemak (jika mereka orang perseorangan, seperti peniaga tunggal); orang yang kebetulan kelihatan pada halaman yang disemak.
Kategori data peribadi	Seperti A.4: alamat dan tajuk halaman, struktur borang (nama, jenis dan label medan, tiada nilai medan), perlindungan, skrip pihak ketiga (alamat; ID akaun piksel dan alat rakaman digantikan sebelum penyimpanan), tingkah laku sepanduk kuki, tangkapan skrin (kawasan halaman utama yang kelihatan, borang). Jika alamat penerima muncul dalam borang, hanya domainnya (scans, forms, findings, scan_screenshots).
Sumber	Halaman yang boleh dicapai secara awam.
Asas undang-undang	Art. 6(1)(f) GDPR. Kepentingan: melaksanakan semakan keselamatan yang diminta; memaklumkan pengendali laman web tentang kelemahan yang mungkin memudaratkan pelawat mereka. Pengimbangan: hanya perkara yang dilihat oleh setiap pelawat dibaca, dalam skala kecil dan tanpa menghantar apa-apa; pengendali boleh mengecualikan domainnya secara kekal pada bila-bila masa tanpa bukti. Maklumat di bawah Art. 14 GDPR diberikan melalui halaman perangkak, pengecualian dan Dasar Privasi; sama ada ini mencukupi di bawah Art. 14(5)(b) ialah persoalan terbuka untuk semakan undang-undang.
Penerima	Orang yang mencetuskan laporan dan sesiapa yang diberikan pautan rawak itu olehnya; model bahasa setempat pada pelayan kami sendiri apabila jenis borang tidak jelas (struktur borang, tajuk dan alamat halaman, teks borang yang kelihatan). Amaran kerentanan daripada versi pemalam tidak sekali-kali muncul dalam laporan tanpa nama.
Negara ketiga	Tiada.
Penyimpanan	Tanpa nama: 30 hari (B.4). Semakan laman bakal pelanggan: 90 hari (B.8). Kajian: sehingga penerbitan (B.7). Domain dalam akaun: paling lama 13 bulan, semakan terakhir dikekalkan; dipadamkan serta-merta bersama domain. Semakan dalaman oleh pengendali tanpa domain dan tanpa laporan (seperti yang dicipta melalui baris perintah): tiada tempoh penyimpanan (seksyen 10). Fail sementara pada pelayan imbasan dipadamkan selepas setiap proses.
Langkah teknikal dan organisasi	Seksyen 8. Khususnya: bekas semakan berasingan dengan keistimewaan yang digugurkan, sistem fail baca sahaja, had ingatan dan rangkaiannya sendiri; semakan sasaran dua kali.

B.6 Penghantaran ujian aktif

Medan	Butiran
Tujuan	Menyemak sama ada borang hubungan menerima penghantaran tanpa perlindungan, sama ada CAPTCHA, perangkap (medan perangkap), token, pengesahan alamat e-mel dan penghadan kadar berkesan di pihak pelayan, serta sama ada pengepala boleh disuntik.
Prasyarat	Bagi Pelanggan, hanya untuk domain yang bukti hak kawalannya telah diberikan (rekod DNS, tag meta, fail atau pemalam yang disambungkan); selain itu, pengendali menggunakan alat baris perintah dalaman untuk mencipta semakan dengan tahap “verified” bagi domain ujian dan demo kami sendiri. Hanya apabila suis global diaktifkan, dan hanya bagi borang yang dikelaskan dengan pasti sebagai borang hubungan umum. Tidak sekali-kali bagi pesanan, tempahan, pendaftaran, surat berita, pembayaran, muat naik fail, medan wajib dengan data peribadi sebenar, atau domain pihak berkuasa awam, institusi penjagaan kesihatan atau pendidikan.
Kategori subjek data	Kakitangan Pelanggan yang menerima e-mel borang.
Kategori data peribadi	Penghantaran ujian tidak mengandungi data peribadi: penghantar “FormExposed Security Scanner”, alamat penghantar kami sendiri atau alamat di bawah .invalid, baris subjek yang dilabelkan dan teks dalam bahasa halaman dengan rujukan kepada halaman perangkak, pengecualian dan nombor semakan. Disimpan oleh kami: respons halaman, dapatan, imej halaman susulan (seperti A.4).
Skop	Paling banyak lima penghantaran bagi setiap semakan (tetapan, lalai 5); berulang mengikut kekerapan semakan pelan, setiap hari dalam pelan tertinggi.
Sumber	Arahan Pelanggan.
Asas undang-undang	Pelaksanaan kontrak dengan Pelanggan (Art. 6(1)(b) GDPR); penghantaran dihantar ke borang Pelanggan sendiri. Bagi penerima di pihak Pelanggan: pengurusan organisasi Pelanggan.
Penerima	Pelanggan (e-mel borangnya).
Negara ketiga	Tiada melalui kami.
Penyimpanan	Hasil seperti A.4.
Langkah teknikal dan organisasi	Seksyen 8. Suntikan pengepala e-mel hanya dikesan, tidak sekali-kali dilakukan dengan penerima sebenar; pengesahan alamat e-mel hanya menggunakan domain yang tidak mungkin wujud.

B.7 Kajian “Indeks keselamatan borang”

Medan	Butiran
Tujuan	Statistik tentang perlindungan borang hubungan di sesebuah negara atau sektor. Hanya jumlah keseluruhan diterbitkan, tanpa nama laman web; segmen hanya diterbitkan jika merangkumi sekurang-kurangnya 20 halaman yang mempunyai borang.
Kategori subjek data	Pengendali laman web dalam senarai; orang yang kelihatan secara sampingan.
Kategori data peribadi	Seperti B.5, pasif sahaja. Selain itu, senarai: hos, segmen, status, tugas (study_domains); kajian dengan tajuk, negara, jumlah hasil (studies).
Sumber	Senarai laman web awam yang disusun oleh pengendali; halaman itu sendiri.
Asas undang-undang	Art. 6(1)(f) GDPR. Kepentingan: pernyataan statistik tentang keadaan keselamatan borang. Pengimbangan: pasif, dihadkan kelajuannya (beberapa tugas bagi setiap proses), senarai sekatan dan pengecualian terpakai, penerbitan hanya sebagai jumlah keseluruhan, data mentah dipadamkan.
Penerima	Orang awam, jumlah keseluruhan sahaja.
Negara ketiga	Tiada.
Penyimpanan	Data mentah (hasil semakan, borang, dapatan, imej, tugas) dipadamkan semasa penerbitan (fe_studie_veroeffentlichen()). Senarai hos dengan segmen kekal selepas itu; tiada tempoh penyimpanan bagi senarai itu atau bagi kajian yang tidak pernah diterbitkan (seksyen 10). Pengendali memutuskan senarai yang disemak dan sama ada kajian diterbitkan.
Langkah teknikal dan organisasi	Seksyen 8.

B.8 Semakan laman bakal pelanggan (mod pemerolehan pelanggan untuk agensi)

Medan	Butiran
Tujuan	Agensi (pelan Business) menyemak laman web bakal pelanggan secara pasif dan menerima laporan ringkas di bawah jenamanya serta laporan pasif. Kami tidak menghubungi sesiapa; agensi sendiri menyampaikan pautan.
Kategori subjek data	Pengendali laman web yang disemak; orang yang kelihatan secara sampingan; kakitangan agensi yang mencetuskan semakan.
Kategori data peribadi	Seperti B.5, pasif sahaja. Selain itu: ruang kerja, orang yang mencetuskan semakan, hos, pengenal rawak laporan, masa (prospect_checks).
Sumber	Input agensi; halaman awam.
Asas undang-undang	Art. 6(1)(f) GDPR (kepentingan kami untuk menyediakan perkhidmatan dan kepentingan agensi untuk membuat pendekatan yang berasas). Peranan agensi dan kami serta kewajipan agensi semasa menyampaikan laporan ialah persoalan terbuka untuk semakan undang-undang: jika agensi menghantar laporan melalui e-mel tanpa diminta atau membuat panggilan telefon, itu ialah pemasaran langsung yang memerlukan persetujuan di bawah Art. 398 PKE dan § 7(2) UWG (Akta Jerman Menentang Persaingan Tidak Adil), walaupun antara perniagaan. Itu tanggungjawab agensi; Terma Perkhidmatan mewajibkan agensi sewajarnya.
Penerima	Agensi dan sesiapa yang diberikan pautan olehnya.
Negara ketiga	Tiada.
Penyimpanan	Laporan dan hasil semakan luput selepas 90 hari dan kemudian dipadamkan oleh proses setiap malam (fe_reports_aufraeumen()); entri semakan dipadamkan selepas 90 hari dalam proses harian perlindungan berkelompok mulai 04:00 (srv/cron_status.php). Bersama ruang kerja, pemadaman dilakukan serta-merta.
Langkah teknikal dan organisasi	Seksyen 8. Kuota bulanan (tetapan, lalai 30); halaman yang sama dalam tujuh hari mengembalikan laporan yang sama; pengecualian terpakai.

B.9 Alat pengepala tanpa akaun

Medan	Butiran
Tujuan	Gred percuma (A+ hingga F) bagi pengepala keselamatan halaman utama domain. Dua permintaan, tiada pelayar, tiada borang, tiada penghantaran.
Kategori subjek data	Orang yang menggunakan alat; pengendali domain yang disemak.
Kategori data peribadi	Log permintaan seperti B.4 (sumber “headers”, alamat IP, nilai cincang sesi, hos). Hasil: hos, gred, mata, pengepala yang dinilai (header_checks).
Asas undang-undang	Art. 6(1)(f) GDPR, seperti B.4 dan B.5.
Penerima	Google (reCAPTCHA, B.23).
Negara ketiga	Amerika Syarikat melalui reCAPTCHA.
Penyimpanan	Log permintaan disimpan selama 7 hari; hasil dipadamkan selepas tempoh yang pada masa ini ialah 90 hari (proses pemadaman setiap malam, bahagian “header_checks”, tetapan “headers_keep_days”). Bagi domain dalam akaun, gred ditentukan semula setiap hari dan disimpan bersama domain.
Langkah teknikal dan organisasi	Seksyen 8. Had bagi setiap alamat IP dan hari; pengecualian terpakai.

B.10 Akaun pelanggan

Medan	Butiran
Tujuan	Mengendalikan akaun pelanggan, ruang kerja dan pelan.
Kategori subjek data	Pelanggan (perniagaan) dan ahli pasukan mereka dengan akaun sendiri.
Kategori data peribadi	Alamat e-mel dan bentuk yang dinormalkan, kata laluan hanya sebagai nilai cincang, nama pertama (wajib), nama keluarga dan syarikat (jika diberikan); aplikasi tidak menyimpan alamat dan VAT ID, butiran itu hanya diberikan di Stripe (B.26); status, bahasa, mod paparan, mata wang, pelan dan status pengebilan, ID pelanggan dan langganan Stripe, penghujung tempoh pengebilan, pembatalan pada penghujung tempoh, pengenal pengesahan dan penetapan semula dengan tarikh luput, alamat e-mel baharu sehingga disahkan, masa pendaftaran, log masuk terakhir dan alamat IP terakhir, masa semua sesi dibatalkan, data dua faktor (B.11), laporan bulanan diaktifkan/dimatikan, masa e-mel peringatan, pembukaan akses melalui kod, kod rujukan dan rujukan (users). Ruang kerja dengan nama, masa, status (workspaces); keahlian dengan peranan dan tarikh menyertai (workspace_users).
Sumber	Pendaftaran dan tetapan oleh orang tersebut; status pengebilan daripada Stripe.
Asas undang-undang	Art. 6(1)(b) GDPR (kontrak). Alamat IP terakhir: (f) (keselamatan akaun).
Penerima	Stripe (B.26); penyedia perkhidmatan e-mel bagi e-mel akaun (B.25). Ahli ruang kerja yang sama melihat nama, alamat e-mel dan peranan ahli lain.
Negara ketiga	Melalui Stripe dan penyedia perkhidmatan e-mel.
Penyimpanan	Sehingga dipadamkan oleh pemegang akaun. Semasa pemadaman, ruang kerja milik pemegang itu yang tidak digunakan oleh sesiapa lagi dipadamkan bersama semua domain dan datanya; ruang kerja dengan ahli lain dipindahkan kepada ahli lain, dengan keutamaan kepada pentadbir, dan dalam kalangan mereka kepada ahli yang paling lama menyertai. Keahlian, token kekal log masuk, peranti, kunci API, kod Telegram yang masih terbuka, maklum balas tentang laporan (B.35) dan baris akaun dipadamkan; langganan berbayar yang sedang berjalan ditamatkan terlebih dahulu secara serta-merta di Stripe, tanpa bayaran balik (www/ajax.php, fe_konto_reste_loeschen()). Sebaliknya, pembatalan dalam bahagian pengebilan berkuat kuasa pada penghujung tempoh; selepas itu, akaun diteruskan pada pelan percuma. Perkara yang kekal dinyatakan dalam seksyen 6.4. Akaun yang tidak pernah disahkan dan tidak pernah dilog masuk dipadamkan selepas 30 hari, melainkan jika ahli lain dipautkan kepada ruang kerjanya (proses pemadaman setiap malam, bahagian “pending_accounts”). Akaun tidak aktif tidak dipadamkan. Jika kontrak akaun berakhir dengan cara lain, contohnya melalui penamatan oleh kami, kami memadamkan akaun selewat-lewatnya 30 hari selepas kontrak berakhir; pada masa ini, perkara ini dilakukan secara manual (dijanjikan dalam Perjanjian Pemprosesan Data).
Langkah teknikal dan organisasi	Seksyen 8.

B.11 Log masuk, peranti, faktor kedua dan log aktiviti

Medan	Butiran
Tujuan	Melindungi akaun: mengehadkan cubaan log masuk dan cubaan kata laluan lain, memaparkan dan membatalkan peranti yang telah log masuk, log masuk dua faktor, kebolehkesanan perubahan.
Kategori subjek data	Pemegang akaun dan ahli pasukan; orang yang mencuba log masuk, pendaftaran atau kata laluan portal pelanggan.
Kategori data peribadi	Cubaan log masuk: alamat IP, alamat e-mel yang dimasukkan, kejayaan, masa (login_attempts). Peranti: nilai cincang pengenal sesi (bukan pengenal itu sendiri), pautan kepada token kekal log masuk, alamat IP, pengenal pelayar serta pelayar, sistem pengendalian dan jenis peranti yang ditentukan daripadanya, masa log masuk, aktiviti terakhir dan pembatalan, dan bagi “Lihat sebagai Pelanggan”, pengenal orang sokongan (login_sessions). Token kekal log masuk bagi “Kekalkan log masuk saya”: pemilih, pengesah, tarikh luput (remember_tokens). Dua faktor: rahsia disulitkan, masa pengaktifan, langkah masa terakhir yang digunakan, kod pemulihan hanya sebagai nilai cincang (dalam users). Log aktiviti: akaun, ruang kerja, tindakan, sasaran, butiran, alamat IP, negara, masa (audit_logs). Pembilang cubaan bagi log masuk, faktor kedua, pengesahan kata laluan, penetapan semula kata laluan, pendaftaran dan kata laluan portal pelanggan: kunci HMAC yang diperoleh daripada tujuan dan ID akaun (bagi alamat yang tidak diketahui atau penetapan semula, alamat e-mel dalam huruf kecil), alamat IP, akaun dan alamat IP bersama-sama, atau ID portal (juga bersama alamat IP), bilangan cubaan, tarikh luput; alamat e-mel dan IP tidak disimpan di situ dalam teks biasa (jadual auth_attempt_buckets).
Asas undang-undang	Art. 6(1)(b) GDPR bersama Art. 32 (senarai peranti, faktor kedua) dan (f) (cubaan log masuk, log aktiviti). Kepentingan: melindungi akaun daripada diambil alih, mendokumenkan perubahan (Art. 5(2)). Pengimbangan: alamat yang dipendekkan tidak menjawab soalan “adakah itu saya?”; log aktiviti mesti kekal melangkaui pertikaian yang hanya timbul beberapa bulan kemudian.
Penerima	Tiada. Pemegang akaun melihat perantinya dan menerima cubaan log masuk, peranti dan aktiviti dalam eksport data; semasa sesi “Lihat sebagai Pelanggan”, alamat IP mahupun pelayar orang sokongan tidak muncul di situ.
Negara ketiga	Tiada.
Penyimpanan	Cubaan log masuk disimpan selama 7 hari; selepas log masuk berjaya, cubaan gagal daripada alamat yang sama dipadamkan serta-merta. Pembilang cubaan disimpan sehingga penghujung tetingkap masanya (pada masa ini 15 minit, satu jam bagi penetapan semula kata laluan dan pendaftaran); pembilang yang luput dipadamkan pada akses seterusnya dan oleh proses setiap malam. Peranti dipadamkan 90 hari selepas penggunaan terakhir atau selepas pembatalan (proses pemadaman setiap malam, bahagian “sessions”), atau serta-merta bersama akaun. Token kekal log masuk luput selepas 30 hari. Log aktiviti disimpan selama 365 hari (setiap malam); apabila akaun dipadamkan, entrinya kekal sehingga penghujung tempoh penyimpanan (seksyen 6.4).
Langkah teknikal dan organisasi	Seksyen 8.

B.12 Bukti pemeteraian kontrak

Medan	Butiran
Tujuan	Membuktikan versi Terma Perkhidmatan, Perjanjian Pemprosesan Data dan Dasar Privasi yang diterima atau diambil maklum oleh Pelanggan semasa pendaftaran, serta bahawa Pelanggan menggunakan perkhidmatan untuk perniagaannya.
Kategori subjek data	Pelanggan.
Kategori data peribadi	Bagi setiap dokumen: akaun, dokumen, versi (nilai cincang teks yang dipaparkan), keadaan, alamat IP, pengenal pelayar, masa (legal_consents). Versi yang dipaparkan itu sendiri dengan teks penuh, bahasa, tajuk dan alamat, sekali bagi setiap versi (legal_versions; tidak mengandungi data peribadi).
Asas undang-undang	Art. 6(1)(b) dan (f) GDPR (bukti pemeteraian kontrak, pembelaan terhadap tuntutan).
Penerima	Tiada. Pemegang akaun menerima rekodnya dalam eksport data.
Negara ketiga	Tiada.
Penyimpanan	Selagi akaun wujud; selepas akaun dipadamkan, empat tahun dikira daripada persetujuan, kemudian dipadamkan setiap malam (srv/cron_status.php). Alasan dalam kod: tempoh had tiga tahun dari penghujung tahun, dibundarkan ke atas. Sama ada undang-undang Poland menunjukkan tempoh yang berbeza ialah sebahagian daripada semakan undang-undang.
Langkah teknikal dan organisasi	Seksyen 8. Jika mana-mana daripada tiga dokumen tiada, pendaftaran ditutup.

B.13 Jemputan pasukan

Medan	Butiran
Tujuan	Menjemput orang tambahan ke dalam ruang kerja.
Kategori subjek data	Orang yang dijemput.
Kategori data peribadi	Alamat e-mel, peranan, pengenal jemputan, orang yang menjemput, tarikh luput, masa penerimaan (workspace_invites); e-mel jemputan dalam peti keluar (B.25).
Sumber	Dimasukkan oleh ahli yang menjemput.
Asas undang-undang	Art. 6(1)(b) GDPR berhubung dengan Pelanggan; terhadap orang yang dijemput, (f) (kepentingan Pelanggan untuk melibatkan pasukannya).
Penerima	Penyedia perkhidmatan e-mel (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Negara ketiga	Melalui penyedia perkhidmatan e-mel.
Penyimpanan	Jemputan sah selama 14 hari dan hanya selagi orang yang menjemput ialah pemilik atau pentadbir ruang kerja. Jemputan yang tidak diterima dipadamkan selepas luput, manakala jemputan yang diterima dipadamkan 30 hari selepas penerimaan (setiap malam, srv/cron_status.php dan bahagian “invites” dalam cfg/fristen_lib.php). Bersama ruang kerja, pemadaman dilakukan serta-merta.
Langkah teknikal dan organisasi	Seksyen 8.

B.14 “Lihat sebagai Pelanggan” oleh sokongan

Medan	Butiran
Tujuan	Pentadbir super melihat aplikasi sebagaimana dilihat oleh Pelanggan untuk menyelesaikan pertanyaan sokongan (“butang itu tiada pada paparan saya”).
Kategori subjek data	Pelanggan berkenaan; pentadbir super.
Kategori data peribadi	Semua perkara yang dilihat oleh Pelanggan dalam aplikasi. Direkodkan dalam log: baris peranti berasingan dengan pengenal pentadbir super (login_sessions), permulaan dan penghujung dalam log aktiviti (audit_logs).
Asas undang-undang	Art. 6(1)(b) GDPR (sokongan sebagai sebahagian daripada perkhidmatan), atau sebagai alternatif (f).
Batas	Paling lama satu jam, kemudian log keluar sepenuhnya. Menamatkan paparan juga melog keluar pentadbir super sepenuhnya, termasuk sesi asalnya; pentadbir hanya kembali ke bahagian pentadbiran dengan log masuk semula menggunakan kata laluan dan faktor kedua. Sesi tamat serta-merta jika peranan pentadbir super diturunkan atau pentadbir itu disekat. Semua perkara yang mengubah akaun Pelanggan disekat: kata laluan, alamat e-mel, faktor kedua, peranti, langganan, eksport, pemadaman, pemindahan. Bahagian pentadbiran ditutup sepanjang sesi. Pelanggan melihat akses itu dalam senarai perantinya dan dalam eksport data sebagai akses sokongan.
Penerima	Tiada.
Negara ketiga	Tiada.
Penyimpanan	Baris peranti disimpan selama 90 hari, log aktiviti selama 365 hari.
Langkah teknikal dan organisasi	Seksyen 8.

B.15 Domain, bukti hak kawalan domain dan pemantauan

Medan	Butiran
Tujuan	Perkhidmatan teras bagi Pelanggan: menyimpan domain dalam akaun, memberikan bukti hak kawalan domain, membuat semakan berkala dan mengesan perubahan. Ini termasuk semakan berkala borang (permintaan ringan tanpa pelayar setiap 10 hingga 30 minit bergantung pada pelan), pemantauan harian DNS e-mel dan sijil, tarikh luput domain, senarai sekatan, fail yang terdedah, versi yang kelihatan dari luar, inventori skrip, perubahan visual borang, gangguan perkhidmatan penyedia CAPTCHA dan e-mel, serta pemantauan kerentanan pemalam borang.
Kategori subjek data	Pelanggan dan ahli pasukan mereka; pengendali domain jika mereka orang perseorangan.
Kategori data peribadi	Domain dengan hos, pengenal awam, nota, label pelanggan, jenis dan pengenal bukti, kekerapan semakan, pemantauan diaktifkan/dimatikan, tetingkap penyelenggaraan, nilai pertanyaan, pengenal bagi lencana, semakan penghantaran e-mel dan pencetus pelancaran, kunci pemalam, keadaan dan hasil terkini pemantauan (DNS, sijil, ketulenan e-mel borang, senarai sekatan, fail yang terdedah, pengepala, versi) (domains). Semakan berkala bagi setiap halaman borang (form_pulse). Kerentanan daripada versi pemalam (vuln_hits). Inventori skrip dengan alamat, nilai cincang, saiz, kelulusan dengan orang yang meluluskan dan sebabnya (script_inventory, script_changes). Semakan seperti A.4. Bagi fail yang terdedah, laluan, tahap keterukan dan jenis disimpan, bukan kandungannya.
Permintaan kepada pihak ketiga	Pertanyaan DNS (SPF, DMARC, MX, rekod bukti). Carian badan pendaftaran melalui RDAP mengikut direktori IANA: nama domain sahaja. Senarai sekatan DNS (SpamCop, PSBL, Mailspike, SURBL; Spamhaus hanya dengan butiran kelayakan akses yang disimpan, pada masa ini tidak): alamat IP pelayan web dan e-mel serta nama domain, tiada data pelawat. Google Web Risk hanya jika disediakan (pada masa ini tidak): alamat halaman utama. Pihak berkuasa cap masa: hanya nilai cincang (B.19). WPVulnerability: hanya pengenal pemalam atau tema, atau versi WordPress; kami sendiri membandingkannya dengan versi pemalam yang dipasang. Halaman status Cloudflare, hCaptcha, Google Cloud, SendGrid, Mailgun dan Brevo: tiada apa-apa dihantar selain permintaan itu sendiri.
Sumber	Pelanggan; permintaan kepada halaman Pelanggan; direktori awam.
Asas undang-undang	Art. 6(1)(b) GDPR.
Penerima	Perkhidmatan yang dinamakan tidak menerima data peribadi Pelanggan kami, setakat nama domain dan alamat pelayan sesuatu perniagaan bukan data peribadi; bagi peniaga tunggal, nama domain boleh menjadi data peribadi. Ahli ruang kerja melihat domain.
Negara ketiga	Permintaan mungkin sampai kepada perkhidmatan di negara ketiga (seperti carian badan pendaftaran, senarai sekatan). Hanya perkara yang dinyatakan dalam baris “Permintaan kepada pihak ketiga” dihantar.
Penyimpanan	Sehingga domain dipadamkan. fe_domain_loeschen() kemudian memadamkan serta-merta hasil semakan, borang, dapatan, imej, laporan, tugas, destinasi amaran dan log amaran, insiden, kod Telegram, penghantaran, semakan berkala, kerentanan dan bukti; melalui kunci asing, borang yang dipantau, proses pelayar, akaun ujian dan pembilang borang; data pemalam hos jika tiada domain lain merujuk kepadanya. Turut dipadamkan ialah inventori skrip dan perubahan skrip domain itu; data ini tidak mempunyai tempoh penyimpanan tersendiri (seksyen 6.4). Hasil semakan disimpan paling lama 13 bulan, hasil terakhir dikekalkan.
Langkah teknikal dan organisasi	Seksyen 8. Pemantauan fail yang terdedah dan versi hanya bagi domain yang telah disahkan, paling banyak satu permintaan bagi setiap laluan, hanya 8 KB pertama; menguji laluan pihak ketiga tanpa diminta akan menjadi alat serangan.

B.16 Amaran, insiden dan peningkatan amaran kepada pemegang akaun

Medan	Butiran
Tujuan	Memaklumkan Pelanggan tentang kerosakan dan perubahan, mematuhi tetingkap penyelenggaraan, mengesahkan penerimaan insiden dan menaikkan pengendaliannya ke peringkat seterusnya. Jika destinasi ialah pihak ketiga, kami bertindak bagi pihak Pelanggan (A.3); jika penerima ialah pemegang akaun sendiri, perkara itu dinyatakan di sini.
Kategori subjek data	Pemegang akaun dan ahli pasukan sebagai penerima.
Kategori data peribadi	Seperti A.3. Pemberitahuan dipaparkan dalam bahasa pemegang akaun.
Asas undang-undang	Art. 6(1)(b) GDPR.
Penerima	Penyedia perkhidmatan e-mel; perkhidmatan sembang yang dipilih (4.1).
Negara ketiga	Bergantung pada saluran (4.1).
Penyimpanan	Seperti A.3: log penghantaran disimpan selama 90 hari, pemberitahuan ringkasan selama 30 hari selepas penghantaran, insiden sehingga penyelesaian dan kemudian selama 180 hari. Destinasi amaran dipadamkan bersama domain.
Langkah teknikal dan organisasi	Seksyen 8.

B.17 Laporan bulanan kepada akaun

Medan	Butiran
Tujuan	Pada hari ke-1 setiap bulan mulai 08:00 (penghantaran susulan sehingga hari ke-3), satu e-mel bagi setiap akaun yang merangkumi semua domainnya: tahap, skor dan perubahan, amaran, bot yang disekat, penghantaran e-mel, nilai perbandingan.
Kategori subjek data	Pemegang akaun aktif yang mengaktifkan laporan bulanan.
Kategori data peribadi	Alamat e-mel, bahasa, angka utama domain.
Asas undang-undang	Art. 6(1)(b) GDPR (sebahagian daripada perkhidmatan). Langganan boleh dihentikan dalam tetapan; boleh dimatikan secara berpusat.
Penerima	Penyedia perkhidmatan e-mel (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Negara ketiga	Melalui penyedia perkhidmatan e-mel.
Penyimpanan	Tiada penyimpanan berasingan; e-mel kekal dalam peti keluar selama 30 hari (B.25).
Langkah teknikal dan organisasi	Seksyen 8.

B.18 Lencana dan halaman pengesahan awam

Medan	Butiran
Tujuan	Pelanggan boleh membenamkan imej lencana pada laman webnya dan memautkannya ke halaman pengesahan awam. Lencana hanya menunjukkan “Dilindungi” jika domain telah disahkan, pemantauan berjalan dan semakan lengkap terakhir berusia paling lama 45 hari serta menghasilkan keputusan “Dilindungi” atau “Dilindungi sebahagiannya”; jika tidak, lencana menunjukkan secara neutral “Semakan borang hubungan”. Halaman pengesahan menyatakan tahap dan tarikh, bukan dapatan individu.
Kategori subjek data	Pelawat laman web Pelanggan yang pelayarnya memuatkan imej; pelawat halaman pengesahan.
Kategori data peribadi	Apabila imej dimuatkan: alamat IP, masa, alamat yang diminta, halaman perujuk dan pengenal pelayar dalam log pelayan web (B.1). Alamat imej tidak memulakan sesi, tidak menetapkan kuki dan tidak menulis ke log paparan halaman. Halaman pengesahan ialah halaman biasa (B.2, B.3).
Asas undang-undang	Art. 6(1)(f) GDPR. Kepentingan: menyampaikan imej dan memastikan operasi selamat. Sama ada Pelanggan dan kami merupakan pengawal data bersama bagi penghantaran alamat IP pelawat, dalam erti kata undang-undang kes tentang kandungan pihak ketiga yang dibenamkan, dan sama ada pengaturan di bawah Art. 26 diperlukan, ialah persoalan terbuka untuk semakan undang-undang. Pelanggan menerima teks cadangan bagi dasar privasinya.
Penerima	Tiada.
Negara ketiga	Tiada.
Penyimpanan	14 hari (log pelayan web). Imej dicache selama satu jam. Apabila lencana dimatikan, pengenal tidak lagi sah.
Langkah teknikal dan organisasi	Seksyen 8.

B.19 Log bukti dan cap masa

Medan	Butiran
Tujuan	Satu log bagi setiap domain dan bulan (pelan berbayar): perkara yang disemak, hasilnya, perkara yang dilaporkan dan perkara yang berubah, sebagai bukti bagi kebertanggungjawaban, penanggung insurans atau audit pembekal. Setiap versi menerima nombor semakan; halaman awam mengesahkan domain, tempoh dan angka utama, bukan butiran. Sejak 7 Oktober 2026, pihak berkuasa cap masa di bawah RFC 3161 telah mengesahkan masa.
Kategori subjek data	Pelanggan; secara tidak langsung, orang yang mungkin dinamakan dalam log sebagai orang yang meluluskan atau mengesahkan penerimaan.
Kategori data peribadi	Domain, bulan, nombor semakan, nilai cincang kandungan (SHA-512), ringkasan dan data log, respons cap masa, pihak berkuasa cap masa dan masa, cubaan gagal (proof_docs).
Asas undang-undang	Art. 6(1)(b) GDPR.
Penerima	Pihak berkuasa cap masa (lalai Certum, pilihan sandaran DigiCert) menerima nilai cincang sahaja bagi log, bukan kandungannya. Awam: angka utama melalui halaman pengesahan. Pelanggan dan sesiapa yang diberikan log atau nombor semakan oleh Pelanggan.
Negara ketiga	Tiada pemindahan data peribadi: nilai cincang tidak membolehkan kesimpulan tentang kandungan dibuat. Pihak berkuasa pilihan sandaran berpangkalan di Amerika Syarikat.
Penyimpanan	Sehingga domain dipadamkan (fe_domain_loeschen()). Cap masa itu bukan cap masa berkelayakan di bawah eIDAS.
Langkah teknikal dan organisasi	Seksyen 8.

B.20 Pemalam dan sambungan: semakan, sambungan dan penghantaran

Medan	Butiran
Tujuan	Pemalam WordPress dan sambungan TYPO3 boleh meminta semakan (walaupun tanpa akaun), disambungkan kepada akaun (pemasangan dikira sebagai bukti hak kawalan domain dengan satu klik dalam akaun), membuka akses kepada fungsi perlindungan, melaporkan angka setiap hari (A.9), serta melaporkan ralat e-mel dan mod penyelenggaraan serta-merta.
Kategori subjek data	Pelanggan; pengendali laman web yang menggunakan pemalam tanpa akaun.
Kategori data peribadi	Bagi setiap hos: versi pemalam dan CMS, bilangan semakan, pengenal laporan terakhir, nilai cincang rahsia sambungan, hubungan pertama dan terakhir (plugin_sites). Kod sambungan sekali guna sebagai nilai cincang dengan tarikh luput (plugin_connect_tokens). Kod penyambungan agensi sebagai nilai cincang dengan awalan, label, penggunaan, orang yang mencipta (workspace_connect_codes). Log permintaan dengan alamat IP pelayan yang memanggil (B.4). Kunci pemalam kelihatan secara awam dalam bahagian head laman web; kunci itu ialah nilai cincang rahsia, dan rahsia itu sendiri hanya disimpan sebagai nilai cincang serta tidak sekali-kali dikembalikan.
Asas undang-undang	Art. 6(1)(b) GDPR (akaun); tanpa akaun, (f) (semakan yang diminta, pencegahan penyalahgunaan).
Penerima	Tiada.
Negara ketiga	Tiada.
Penyimpanan	Data hos dipadamkan sebaik sahaja tiada lagi domain merujuk kepadanya; baris pemalam tanpa akaun hanya dipadamkan selepas 90 hari tanpa hubungan (proses pemadaman setiap malam, bahagian “orphan_hosts”). Kod sekali guna dipadamkan satu hari selepas luput. Kod penyambungan dipadamkan bersama ruang kerja.
Langkah teknikal dan organisasi	Seksyen 8. Sejak 27 September 2026, pelayan hanya menerima pasangan kunci yang terikat pada laman web; rahsia sambungan lama yang tidak terikat telah dipadamkan.

B.21 Perlindungan berkelompok

Medan	Butiran
Tujuan	Pertahanan spam bersama: laman web yang disambungkan melaporkan domain pautan dalam mesej yang dihentikan oleh lapisan perlindungan mereka. Domain yang muncul pada sekurang-kurangnya tiga laman web dengan sekurang-kurangnya lima padanan dalam tujuh hari dimasukkan ke dalam senarai yang dihantar kembali kepada semua laman web yang disambungkan; lapisan perlindungan mereka memindahkan mesej dengan pautan sedemikian ke kuarantin, tidak sekali-kali menghilangkannya.
Kategori subjek data	Pemegang domain pautan yang dilaporkan, jika mereka orang perseorangan (seperti pengendali laman spam di bawah namanya sendiri). Bukan penghantar dan penerima mesej: alamat, teks dan nama tidak dilaporkan.
Kategori data peribadi	Isyarat: jenis, domain, hos yang melaporkan, hari, padanan (swarm_signals). Senarai: jenis, domain, bilangan laman web dan padanan, masa (swarm_list). Perkhidmatan besar, domain Pelanggan kami dan pengecualian yang ditetapkan oleh pengendali tidak sekali-kali disenaraikan.
Rangkaian IP	Perkongsian rangkaian IP (/24, /48) telah disediakan. Fungsi ini dimatikan dan pemalam tidak melaporkan sebarang rangkaian IP; fungsi hanya akan diaktifkan selepas semakan undang-undang kerana alamat IP ialah data peribadi.
Asas undang-undang	Art. 6(1)(f) GDPR. Kepentingan: melindungi borang semua Pelanggan daripada gelombang spam. Pengimbangan: domain sahaja, ambang minimum untuk mencegah pencemaran data, tiada kehilangan mesej, penyingkiran boleh dilakukan pada bila-bila masa.
Penerima	Semua laman web yang disambungkan (senarai domain).
Negara ketiga	Bergantung pada lokasi laman web yang disambungkan; senarai juga mungkin sampai ke laman web di luar EEA. Senarai hanya merupakan data peribadi dalam keadaan pinggiran (domain orang perseorangan). Asas pemindahan di bawah Bab V GDPR bagi kes ini masih perlu ditentukan (persoalan terbuka untuk semakan undang-undang).
Penyimpanan	Isyarat disimpan selama 30 hari (proses harian perlindungan berkelompok mulai 04:00, cfg/swarm_lib.php). Senarai dikira semula setiap hari; apa-apa yang tidak lagi mencapai ambang dikeluarkan.
Langkah teknikal dan organisasi	Seksyen 8.

B.22 Kunci API, antara muka pengaturcaraan dan pelayan MCP

Medan	Butiran
Tujuan	Akses oleh alat Pelanggan sendiri (REST API, Zapier, Make, pelayan MCP untuk pembantu AI) kepada domain, semakan dan insiden Pelanggan.
Kategori subjek data	Pelanggan yang mencipta kunci.
Kategori data peribadi	Kunci hanya sebagai nilai cincang, awalan, label, masa penciptaan, penggunaan terakhir dan pembatalan (api_keys). Panggilan seminit (api_usage).
Asas undang-undang	Art. 6(1)(b) GDPR.
Penerima	Alat yang diberikan kunci oleh Pelanggan; Pelanggan menentukannya.
Negara ketiga	Bergantung pada alat Pelanggan.
Penyimpanan	Kunci disimpan sehingga dibatalkan, atau dipadamkan serta-merta bersama akaun; kunci tanpa akaun (data legasi) dipadamkan setiap malam. Pembilang panggilan dipadamkan selepas satu hari (dibersihkan sekali-sekala semasa panggilan).
Langkah teknikal dan organisasi	Seksyen 8.

B.23 reCAPTCHA dan perlindungan borang kami sendiri

Medan	Butiran
Tujuan	Pertahanan daripada akses automatik kepada borang kami sendiri: semakan percuma, alat pengepala, pengecualian, log masuk, pendaftaran, kata laluan terlupa dan penetapan semulanya, sokongan dan hubungan. Selain itu, perlindungan kami sendiri tanpa pihak ketiga: perangkap (medan tersembunyi), semakan masa bertandatangan dan token CSRF. Sejak 29 Oktober 2026, turut digunakan perlindungan borang kami formconfirmed (bukti kerja dan token semakan sekali guna) bagi semakan percuma, pendaftaran, log masuk dan “kata laluan terlupa”.
Kategori subjek data	Orang yang menghantar borang ini.
Kategori data peribadi	Di Google: alamat IP, data pelayar dan peranti, data tingkah laku, kuki Google. Dengan kami: penilaian Google (skor dan tindakan) hanya pada saat semakan, tanpa penyimpanan, walaupun apabila penghantaran ditolak. Bagi perlindungan borang kami sendiri: alamat IP (disimpan hanya dalam bentuk dipendekkan dan dicincang), halaman, masa-masa berkaitan, medan perangkap diisi ya/tidak; tiada kandungan.
Masa	Skrip Google hanya dimuatkan apabila borang yang dilindungi dihantar, bukan apabila halaman dibuka. Perlindungan borang kami sendiri mendapatkan tugasannya apabila halaman dibuka dan membuat pengiraan sebaik sahaja borang digunakan. Dalam sistem pembangunan, reCAPTCHA dimatikan.
Asas undang-undang	Art. 6(1)(f) GDPR. Kepentingan: perlindungan daripada bot, khususnya bagi semakan percuma, yang jika tidak dilindungi boleh digunakan terhadap laman web pihak ketiga. Sama ada akses kepada peranti terminal memerlukan persetujuan di bawah § 25 TDDDG atau Art. 399 PKE, walaupun skrip hanya dimuatkan semasa penghantaran, ialah persoalan terbuka untuk semakan undang-undang. Perlindungan borang kami sendiri tidak menetapkan kuki, tidak menyimpan apa-apa dalam pelayar dan tidak membentuk cap jari; ia bertujuan menggantikan reCAPTCHA dalam jangka panjang.
Penerima	Google Ireland Limited; Google LLC. Tiada bagi perlindungan borang kami sendiri.
Negara ketiga	Amerika Syarikat (hanya reCAPTCHA). Asas: pensijilan di bawah EU-US Data Privacy Framework atau klausa kontrak standard; masih perlu didokumenkan secara terperinci.
Penyimpanan	reCAPTCHA: tiada penyimpanan dengan kami; di Google mengikut peraturannya. Perlindungan borang kami sendiri: pengecam yang dicincang 1 jam, token semakan yang telah digunakan paling lama 11 minit, hasil semakan tanpa alamat IP 30 hari.
Gangguan perkhidmatan	Jika Google tidak memberikan respons dalam tiga saat atau memberikan respons yang tidak boleh digunakan, penghantaran ditolak; begitu juga token kosong dan respons bagi tindakan selain tindakan borang itu. Semakan hanya dilangkau apabila reCAPTCHA dimatikan. Bagi perlindungan borang kami sendiri, penghantaran tanpa token semakan yang sah ditolak; jika perkhidmatan tidak dapat dicapai untuk tugasan tersebut, penghantaran dibenarkan.
Langkah teknikal dan organisasi	Seksyen 8.

B.24 Sokongan dan borang hubungan

Medan	Butiran
Tujuan	Menerima dan menjawab pertanyaan melalui tetingkap sokongan dan halaman hubungan. Kedua-duanya menggunakan laluan dan jadual yang sama.
Kategori subjek data	Orang yang membuat pertanyaan, sama ada telah log masuk atau tidak.
Kategori data peribadi	Akaun (jika telah log masuk; alamat akaun terpakai, bukan alamat yang dimasukkan), alamat e-mel, sebab daripada senarai tetap, teks sehingga 4,000 aksara, status, alamat IP penuh, negara, pengenal pelayar, halaman perujuk (laluan sendiri sahaja), bahasa, masa penerimaan dan balasan (support_requests); entri dalam log aktiviti (tanpa teks); pengesahan penerimaan kepada orang yang bertanya dalam peti keluar (B.25), bersama teks sehingga 2,000 aksara hanya bagi penghantar yang telah log masuk, tanpa teks bagi permintaan yang dibuat tanpa log masuk.
Asas undang-undang	Art. 6(1)(b) GDPR jika pertanyaan berkaitan dengan kontrak; jika tidak, (f). Alamat IP penuh: (f) (had tiga pertanyaan sejam bagi setiap alamat, pencegahan penyalahgunaan).
Penerima	Penyedia perkhidmatan e-mel (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) bagi pengesahan penerimaan dan balasan. Telegram menerima isyarat tetap tanpa sebarang pemboleh ubah (“terdapat permintaan sokongan baharu”) dan oleh itu tidak menerima data peribadi.
Negara ketiga	Melalui penyedia perkhidmatan e-mel.
Penyimpanan	24 bulan (proses pemadaman setiap malam, bahagian “support”); secara manual boleh lebih awal. Apabila akaun dipadamkan, pertanyaan kekal sehingga penghujung tempoh penyimpanan (seksyen 6.4).
Langkah teknikal dan organisasi	Seksyen 8. reCAPTCHA, perlindungan borang kami sendiri, penghadan kadar.

B.25 Penghantaran e-mel (peti keluar)

Medan	Butiran
Tujuan	E-mel transaksi: pengesahan pendaftaran dan alamat e-mel baharu, penetapan semula kata laluan, jemputan, amaran, laporan bulanan, pengesahan dan laporan portal, pengesahan penerimaan dan balasan sokongan, peringatan tentang tempoh percubaan dan persediaan, pemberitahuan operasi kepada pengendali. Tiada pengiklanan, tiada e-mel kepada orang yang tidak mendaftar sendiri atau tidak dimasukkan sebagai penerima oleh Pelanggan.
Kategori subjek data	Penerima e-mel ini.
Kategori data peribadi	Alamat penerima, subjek, kandungan lengkap, alamat balasan, tujuan, laluan penghantaran, status, ralat, cubaan, masa (mail_outbox). Kandungan mungkin termasuk pautan pengesahan dan penetapan semula dengan pengenal yang sah.
Asas undang-undang	Art. 6(1)(b) GDPR; bagi pemberitahuan operasi, (f).
Penerima	Namecheap, Inc. (Private Email), Phoenix, Arizona, USA (penghantaran); pemegang akaun melihat e-mel yang telah dihantarnya dalam eksport data (tanpa kandungan).
Negara ketiga	Bergantung pada tempat pemprosesan penyedia perkhidmatan e-mel; kontrak dan asas pemindahan masih perlu didokumenkan (seksyen 4).
Penyimpanan	30 hari (setiap malam, srv/cron_status.php). Tempoh ini sengaja dijadikan yang terpendek antara log: log penghantaran yang panjang akan menjadi koleksi kunci yang sah. Proses status menyemak setiap lima minit sama ada masanya telah tiba untuk cubaan semula.
Status	Penghantaran e-mel mesti disediakan sebelum pelancaran. Sehingga penyedia perkhidmatan e-mel, tempat kedudukannya dan asasnya telah ditentukan, teks undang-undang memaparkan penanda.
Langkah teknikal dan organisasi	Seksyen 8. E-mel yang gagal dihantar dicuba semula pada sela masa yang meningkat dan dihentikan selepas bilangan maksimum cubaan.

B.26 Pembayaran dan pengebilan

Medan	Butiran
Tujuan	Memeterai dan mengurus langganan (bayaran bulanan atau tahunan terlebih dahulu), tempoh percubaan 14 hari tanpa kad dengan peringatan tiga hari sebelum tamat, pembayaran melalui invois bagi langganan tahunan (dimatikan secara lalai), pembukaan akses melalui kod penyedia pengehosan dan rakan kongsi tanpa pembayaran, pengeluaran invois, penyimpanan bagi tujuan cukai.
Kategori subjek data	Pelanggan.
Kategori data peribadi	Di Stripe: alamat e-mel, nama, alamat pengebilan, VAT ID, data pembayaran, invois; sebagai metadata, ID akaun kami dan pelan. Dengan kami: ID pelanggan dan langganan Stripe, pelan, status, penghujung tempoh, pembatalan pada penghujung tempoh (users); peristiwa Stripe yang diterima hanya dengan pengenal, jenis, status dan masa, tanpa kandungan (stripe_events); penebusan kod penyedia pengehosan dengan akaun, kempen dan tarikh luput (bundle_redemptions). Data kad tidak sekali-kali sampai kepada kami.
Sumber	Pelanggan dalam proses pembayaran Stripe; peristiwa daripada Stripe.
Asas undang-undang	Art. 6(1)(b) GDPR; bagi penyimpanan untuk tujuan cukai, (c).
Penerima	Stripe Payments Europe Limited (Ireland); Stripe, Inc. (Amerika Syarikat). Bagi sebahagian pemprosesan pembayaran, Stripe bertindak di bawah tanggungjawabnya sendiri; pembahagian peranan yang tepat ialah sebahagian daripada semakan undang-undang.
Negara ketiga	Amerika Syarikat melalui Stripe, Inc.; asas: Data Privacy Framework atau klausa kontrak standard di bawah terma Stripe.
Penyimpanan	Medan pengebilan dipadamkan bersama akaun; langganan yang sedang berjalan ditamatkan sebelum akaun dipadamkan. Invois dan rekod pengebilan disimpan di bawah undang-undang cukai Poland selama lima tahun dari penghujung tahun apabila tarikh akhir pembayaran cukai tamat; rekod itu disimpan di Stripe dan boleh diambil dalam portal pelanggan Stripe. Peristiwa Stripe dan penebusan kod tidak mempunyai tempoh penyimpanan (seksyen 6.4).
Langkah teknikal dan organisasi	Seksyen 8. Peristiwa Stripe hanya diterima dengan tandatangan yang sah; setiap peristiwa diproses sekali.

B.27 Sandaran

Medan	Butiran
Tujuan	Pemulihan selepas ralat: pemadaman yang tidak sepatutnya, migrasi yang rosak.
Kategori subjek data	Semua orang yang datanya berada dalam pangkalan data.
Kategori data peribadi	Salinan dump lengkap dan termampat pangkalan data aplikasi. Tangkapan skrin dan fail logo disimpan di luar pangkalan data dan bukan sebahagian daripada sandaran ini. Butiran kelayakan akaun ujian hanya terkandung di dalamnya sebagai teks sifer (A.5).
Prosedur	Setiap malam pada 03:00, selepas proses pemadaman, supaya sandaran tidak mengambil bersama data yang baru dipadamkan oleh tempoh penyimpanan. Dump hanya dikekalkan selepas kandungannya disemak (kod keluar, bilangan jadual, baris terakhir). Pada hari Ahad, ujian pemulihan memuatkan sandaran terkini ke dalam pangkalan data sementara untuk dibuang dan membandingkannya jadual demi jadual. Jika apa-apa gagal, isyarat dan e-mel dihantar kepada pengendali.
Asas undang-undang	Art. 6(1)(f) GDPR bersama Art. 32(1)(c).
Penerima	Tiada.
Negara ketiga	Tiada.
Penyimpanan	14 hari; dump lama hanya dikeluarkan selepas sandaran baharu berjaya (cfg/backup_lib.php). Pemadaman yang berlaku dalam tempoh ini hanya sampai ke sandaran apabila sandaran luput; jika data dipulihkan daripada sandaran, permintaan pemadaman dilaksanakan semula selepas itu.
Lokasi	Sandaran pada masa ini disimpan di lokasi yang sama dengan pangkalan data dan tidak disulitkan secara berasingan; salinan disulitkan di lokasi kedua dirancang (seksyen 8.1 dan 10).
Langkah teknikal dan organisasi	Seksyen 8.

B.28 Log ralat dan amaran ralat

Medan	Butiran
Tujuan	Mencari dan membetulkan ralat sebelum dilaporkan oleh Pelanggan. Jenis ralat baharu dan gelombang ralat dilaporkan kepada pengendali, serta gambaran keseluruhan harian mulai 08:00.
Kategori subjek data	Pengguna yang permintaannya menyebabkan ralat; secara tidak langsung, orang yang datanya muncul dalam mesej ralat.
Kategori data peribadi	Tahap, sumber, mesej, konteks sebagai JSON, ID akaun sesi, masa (error_logs). Jenis ralat: cap jari digital, corak (yang daripadanya alamat e-mel, alamat, nombor dan pengenal telah dikeluarkan), satu mesej contoh yang tidak diubah dengan panjang sehingga 2,000 aksara, kejadian pertama dan terakhir, bilangan (error_kinds).
Asas undang-undang	Art. 6(1)(f) GDPR (keselamatan operasi, Art. 32).
Penerima	Pengendali melalui e-mel oleh penyedia perkhidmatan e-mel: bagi jenis ralat baharu, sumber dan teks mentah mesej sehingga 400 aksara (tidak dibersihkan), serta e-mel gambaran keseluruhan harian; bagi gelombang ralat, hanya isyarat Telegram dihantar. Telegram hanya menerima ayat tetap tanpa pemboleh ubah (“Jenis ralat baharu telah berlaku”, “Banyak ralat dalam masa singkat”).
Negara ketiga	Melalui penyedia perkhidmatan e-mel.
Penyimpanan	Log ralat disimpan selama 90 hari (setiap malam). Jenis ralat tidak mempunyai tempoh penyimpanan (seksyen 10). Amaran ralat diaktifkan dalam sistem pengeluaran dan dimatikan dalam sistem pembangunan.
Langkah teknikal dan organisasi	Seksyen 8.

B.29 Isyarat operasi dan pemantauan status

Medan	Butiran
Tujuan	Mengesan gangguan perkhidmatan: semakan komponen setiap lima minit (halaman utama, pangkalan data, ruang cakera, isyarat hayat pengimbas, tunggakan baris gilir), halaman status, isyarat apabila berlaku kerosakan dan apabila keadaan pulih, isyarat hayat kepada perkhidmatan pemantauan luaran supaya gangguan menyeluruh sekalipun dapat dikesan; tunggakan sebelum pengimbas.
Kategori subjek data	Lazimnya tiada.
Kategori data peribadi	Tiada. Baris harian bagi setiap komponen dengan bilangan semakan dan ralat terakhir (system_status_logs), isyarat hayat pengimbas (scanner_heartbeat), angka utama harian tanpa rujukan peribadi (daily_stats). Isyarat kepada Telegram ialah ayat tetap tanpa pemboleh ubah; isyarat hayat ialah permintaan tanpa kandungan.
Asas undang-undang	Tidak berkenaan kerana tiada data peribadi; sebagai langkah berjaga-jaga, Art. 6(1)(f).
Penerima	Telegram (ayat tetap); perkhidmatan pemantauan luaran (permintaan sahaja); pengendali melalui e-mel.
Negara ketiga	Telegram di luar EU; tiada data peribadi dihantar.
Penyimpanan	Baris status disimpan selama 400 hari (setiap malam).
Langkah teknikal dan organisasi	Seksyen 8.

B.30 Pengecualian – mengecualikan domain

Medan	Butiran
Tujuan	Sesiapa sahaja boleh mengecualikan mana-mana domain secara kekal daripada semakan tanpa bukti; sekatan berkuat kuasa serta-merta bagi semua laluan semakan (semakan percuma, pemalam tanpa akaun, kajian, semakan laman bakal pelanggan, alat pengepala) dan juga bagi domain Pelanggan berbayar dengan bukti hak kawalan domain; pemantauan mereka yang sedang berjalan tamat pada semakan berjadual seterusnya. Pengecualian terpakai pada domain dan varian www-nya, bukan pada subdomain lain. Sekatan hanya ditarik balik oleh kami, atas permintaan dan dengan bukti. Supaya penyalahgunaan (seperti pesaing menyekat domain orang lain) dapat dikesan dan dipulihkan, sekatan direkodkan dalam log.
Kategori subjek data	Orang yang mengecualikan domain.
Kategori data peribadi	Domain, sebab secara sukarela sehingga 250 aksara, sumber, alamat IP, negara, pengenal pelayar, masa; semasa sekatan ditarik balik, masa, orang yang menarik balik sekatan dan sebabnya (blocklist). Log permintaan seperti B.4.
Asas undang-undang	Bagi pengecualian, Art. 6(1)(f) GDPR. Kepentingan: melaksanakan secara kekal dan merentasi semua laluan semakan hasrat supaya domain tidak disemak. Jika orang yang mengecualikan itu sendiri ialah subjek data, pengecualian pada masa yang sama melaksanakan bantahannya di bawah Art. 21 (Art. 6(1)(c)). Bagi alamat, negara dan pengenal pelayar, (f) (pengesanan penyalahgunaan).
Penerima	Google (reCAPTCHA, B.23).
Negara ketiga	Amerika Syarikat melalui reCAPTCHA.
Penyimpanan	Alamat IP, negara dan pengenal pelayar dipadamkan selepas 12 bulan (proses pemadaman setiap malam, bahagian “optout_ip”). Pengecualian itu sendiri kekal supaya terus berkesan.
Langkah teknikal dan organisasi	Seksyen 8. Banyak sekatan dari satu negara dalam masa singkat menghasilkan anomali (B.4).

B.31 Peringatan selepas pendaftaran

Medan	Butiran
Tujuan	Satu e-mel sahaja dua hingga 14 hari selepas pendaftaran kepada akaun yang telah disahkan tanpa domain yang disahkan: “Tambah laman web” atau “Sahkan domain”. Tiada tawaran, tiada harga, tiada naik taraf; dengan nota bahawa e-mel tidak akan dihantar lagi. Hari bekerja 09:00 hingga 18:00, paling banyak 50 bagi setiap proses.
Kategori subjek data	Pemegang akaun baharu.
Kategori data peribadi	Alamat e-mel, bahasa, masa penghantaran (medan “peringatan dihantar” dalam users), domain dan status pengesahan.
Asas undang-undang	Art. 6(1)(b) GDPR (nota tentang penyediaan akaun sendiri). Sama ada e-mel dikira sebagai komunikasi tentang hubungan kontrak atau sebagai maklumat komersial yang memerlukan persetujuan (Art. 10 UŚUDE, Akta Poland tentang Penyediaan Perkhidmatan melalui Cara Elektronik (ustawa o świadczeniu usług drogą elektroniczną); Art. 398 PKE; § 7 UWG) ialah persoalan terbuka untuk semakan undang-undang; pengendali boleh mematikannya secara berpusat.
Penerima	Penyedia perkhidmatan e-mel (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Negara ketiga	Melalui penyedia perkhidmatan e-mel.
Penyimpanan	Masa kekal selagi akaun wujud; e-mel disimpan selama 30 hari dalam peti keluar.
Langkah teknikal dan organisasi	Seksyen 8. Masa ditetapkan sebelum penghantaran supaya proses yang terhenti tidak mencetuskan e-mel kedua.

B.32 Bot Telegram untuk amaran Pelanggan

Medan	Butiran
Tujuan	Sembang Telegram dipautkan sebagai destinasi amaran: Pelanggan menerima pautan ke bot kami dengan kod sekali guna; apabila penerima menekan “Start”, pelayan kami membaca kod daripada mesej baharu kepada bot dan menyimpan ID sembang. Tiada titik akhir terbuka di pihak kami (webhook) diperlukan untuk ini.
Kategori subjek data	Pelanggan dan orang yang sembang Telegramnya dipautkan.
Kategori data peribadi	Kod sekali guna, domain, akaun yang mencipta, peristiwa, mod penghantaran, ID sembang, masa (telegram_links); ID sembang sebagai destinasi (alerts). Telegram memberikan butiran profil tambahan bersama mesej; hanya kod dan ID sembang dinilai dan disimpan.
Asas undang-undang	Art. 6(1)(b) GDPR; bagi pihak ketiga sebagai penerima, A.3.
Penerima	Telegram.
Negara ketiga	Di luar EU, tiada keputusan kecukupan; pilihan dibuat oleh Pelanggan (4.1). Asas dan pemberitahuan ialah persoalan terbuka untuk semakan undang-undang.
Penyimpanan	Kod sah selama 30 minit; baris pautan dipadamkan selepas satu hari apabila kod baharu dicipta, manakala kod yang masih terbuka dipadamkan bersama akaun dan domain. ID sembang sebagai destinasi disimpan sehingga destinasi amaran atau domain dipadamkan.
Langkah teknikal dan organisasi	Seksyen 8.

B.33 Program rakan kongsi dan kod pembukaan akses

Medan	Butiran
Tujuan	Akaun boleh merujuk Pelanggan baharu melalui kod rujukan dan menerima komisen atas invois berbayar mereka selama bilangan bulan yang terhad. Kod dibawa dalam alamat sehingga pendaftaran; tiada kuki ditetapkan. Penyedia pengehosan dan rakan kongsi boleh mengeluarkan kod yang membuka akses kepada pelan untuk suatu tempoh tanpa pembayaran; satu minggu sebelum tamat, Pelanggan menerima peringatan.
Status	Program rakan kongsi dimatikan secara lalai sehingga Terma Rakan Kongsi tersedia.
Kategori subjek data	Rakan kongsi dan Pelanggan yang dirujuk.
Kategori data peribadi	Kod rujukan, rakan kongsi yang merujuk dan masa rujukan (dalam users); komisen dengan rakan kongsi, Pelanggan, ID invois Stripe, amaun, mata wang, komisen, status, masa (partner_commissions). Pembukaan akses dengan pelan, penghujung, sumber, peringatan (dalam users); kempen dan penebusan (bundle_campaigns, bundle_redemptions).
Asas undang-undang	Art. 6(1)(b) GDPR (perjanjian rakan kongsi); bagi Pelanggan, (f) (penyelesaian komisen, tanpa menyampaikan data Pelanggan kepada rakan kongsi selain amaun komisen); rekod cukai, (c).
Penerima	Rakan kongsi melihat komisennya.
Negara ketiga	Tiada.
Penyimpanan	Rujukan dan pembukaan akses dipadamkan bersama akaun. Komisen dan penebusan tidak mempunyai tempoh penyimpanan dalam kod; sebagai rekod perakaunan, komisen tertakluk pada penyimpanan bagi tujuan cukai (seksyen 6.4).
Langkah teknikal dan organisasi	Seksyen 8.

B.34 Saluran pelaporan kerentanan

Medan	Butiran
Tujuan	Menerima laporan kerentanan dalam formexposed, di bawah peraturan pada halaman Keselamatan dan dalam /.well-known/security.txt.
Kategori subjek data	Orang yang melaporkan; orang yang datanya terkandung dalam laporan sebagai bukti.
Kategori data peribadi	Alamat e-mel, nama, kandungan laporan dan lampiran, seperti yang dihantar oleh orang yang melaporkan. Laporan sampai kepada kami melalui e-mel ke alamat yang dinyatakan di situ; aplikasi tidak menyimpannya.
Asas undang-undang	Art. 6(1)(f) GDPR (keselamatan perkhidmatan, Art. 32); jika laporan mengandungi data peribadi pihak ketiga sebagai bukti, begitu juga (f), dengan tujuan menutup kerentanan.
Penerima	Penyedia perkhidmatan e-mel dan, sehingga peti mel disediakan, pemajuan domain di Namecheap (seksyen 4).
Negara ketiga	Melalui penyedia perkhidmatan e-mel dan, sehingga pertukaran dibuat, pemajuan.
Penyimpanan	Tiada tempoh penyimpanan ditetapkan atau dikuatkuasakan secara teknikal (seksyen 10). Pengendali masih perlu menetapkan tempoh; pendekatan yang munasabah ialah memadamkan bukti pihak ketiga setelah kerentanan ditutup dan mengendalikan surat-menyurat seperti pertanyaan sokongan.
Langkah teknikal dan organisasi	Seksyen 8.

B.35 Maklum balas tentang laporan

Medan	Butiran
Tujuan	Menerima maklum balas di bawah laporan (“Adakah terdapat kesilapan dalam laporan ini?”) untuk mencari ralat pengesanan borang. Pentadbir super mengelaskannya (baharu, disahkan, dibetulkan, ditolak) dan boleh memuat turun data semakan laporan sebagai kes ujian (borang dengan medan, sebab dan dapatan, tanpa tangkapan skrin dan tanpa teks yang dihantar secara aktif).
Kategori subjek data	Orang yang melihat laporan, sama ada telah log masuk atau tidak.
Kategori data peribadi	Kategori dan semakan daripada senarai tetap, alamat halaman sehingga 500 aksara, teks sehingga 1,000 aksara, bahasa, masa, pengenal laporan, semakan, hos; pengenal akaun jika telah log masuk; HMAC-SHA256 alamat IP dengan kunci rahsia bagi had; status, pengendali, masa dikendalikan (report_feedback). Log aktiviti: perubahan status dan muat turun kes ujian. Tiada alamat e-mel, tiada alamat IP dalam teks biasa.
Asas undang-undang	Art. 6(1)(f) GDPR (mencari dan membetulkan ralat pengesanan; had untuk mencegah penyalahgunaan).
Penerima	Tiada.
Negara ketiga	Tiada.
Penyimpanan	24 bulan (proses pemadaman setiap malam, bahagian “report_feedback”); jumlah semak alamat IP dibersihkan selepas 2 hari (bahagian “report_feedback_ip”); dipadamkan serta-merta apabila akaun dipadamkan. Kes ujian yang dimuat turun tidak mengandungi data tentang orang yang melaporkan.
Langkah teknikal dan organisasi	Seksyen 8. Perlindungan borang sendiri (perangkap, masa bertandatangan, CSRF), paling banyak 5 laporan sejam dan 20 sehari bagi setiap jumlah semak, 10 bagi setiap laporan; hanya boleh dibaca oleh pentadbir super.

6. Penyimpanan – perkara yang diliputi dan tidak diliputi oleh proses pemadaman setiap malam

Terdapat pemadaman automatik, dan pemadaman ini mempunyai tempatnya. Proses status (srv/cron_status.php) dimulakan setiap lima minit melalui crontab pelayan web, dalam sistem pengeluaran mahupun sistem pembangunan. Proses ini menyemak komponen, mengambil e-mel semakan penghantaran, menjadualkan semakan dan menghantar amaran. Sekali sehari, dalam tetingkap dari 03:00 hingga 03:04, proses memadamkan data mengikut tempoh penyimpanan dan kemudian mencipta sandaran. Sejak 27 September 2026, proses ini turut memanggil proses penyimpanan dalam cfg/fristen_lib.php (fe_fristen_lauf()), yang bahagian-bahagiannya berjalan secara bebas antara satu sama lain: jika satu gagal, yang lain diteruskan dan ralat direkodkan dalam log ralat.

Bukti bahawa proses berjalan: status sandaran sistem pembangunan menunjukkan sandaran yang berjaya pada 03:00 pada 11 Oktober 2026; sandaran dicipta dalam blok yang sama sejurus selepas pemadaman. Proses hanya menulis log bagi setiap jadual yang dipadamkan ke output standard, yang dibuang oleh crontab; tiada rekod kekal tentang perkara yang dipadamkan dan masanya (seksyen 10).

Tempoh penyimpanan yang muncul sebagai pemegang tempat ditetapkan dalam bahagian pentadbiran di bawah tetapan penyimpanan. Proses membaca tetapan yang sama; oleh itu teks sentiasa menunjukkan tempoh selepas mana data benar-benar dipadamkan.

6.1 Diliputi oleh proses harian

Data	Tempoh penyimpanan dan pencetus	Lokasi dalam kod
Log paparan halaman (access_logs)	60 hari	srv/cron_status.php
Log aktiviti (audit_logs)	365 hari	srv/cron_status.php
Log ralat (error_logs)	90 hari	srv/cron_status.php
Peti keluar (mail_outbox)	30 hari	srv/cron_status.php
Token kekal log masuk “Kekalkan log masuk saya” (remember_tokens)	selepas luput (30 hari)	srv/cron_status.php
Jemputan yang tidak diterima (workspace_invites)	selepas luput (14 hari)	srv/cron_status.php
Cubaan log masuk (login_attempts); pembilang cubaan (auth_attempt_buckets)	7 hari; pembilang apabila tetingkap masanya luput (pada masa ini 15 minit, satu jam bagi penetapan semula kata laluan dan pendaftaran), juga pada akses seterusnya	srv/cron_status.php
Log permintaan semakan tanpa akaun (check_throttle)	7 hari	srv/cron_status.php
Kod sekali guna untuk menyambungkan pemalam (plugin_connect_tokens)	1 hari selepas luput	srv/cron_status.php
Anomali yang diselesaikan (abuse_flags)	90 hari selepas penyelesaian	srv/cron_status.php
Laporan luput bersama hasil semakan, borang, dapatan, imej dan tugas (hanya tanpa domain dalam akaun)	tanpa nama 30 hari, bakal pelanggan 90 hari	fe_reports_aufraeumen()
Log penghantaran amaran (alert_log)	90 hari	fe_alert_log_aufraeumen()
Baris status (system_status_logs)	400 hari	srv/cron_status.php
Rekod persetujuan akaun yang dipadamkan (legal_consents)	setelah akaun dipadamkan dan persetujuan berusia 4 tahun	srv/cron_status.php
Data yatim domain yang dipadamkan: hasil semakan, tugas, data amaran, insiden, kod Telegram, penghantaran, semakan berkala, kerentanan, bukti, inventori skrip dan perubahan skrip	serta-merta pada proses seterusnya	fe_fristen_lauf(), bahagian “orphan_scans”, “orphan_rows”
Data pemalam hos tanpa domain; baris pemalam tanpa akaun	serta-merta; baris selepas 90 hari tanpa hubungan	bahagian “orphan_hosts”
Hasil alat pengepala (header_checks)	pada masa ini 90 hari	bahagian “header_checks”
Hasil semakan domain dengan borang, dapatan, imej, laporan, tugas	13 bulan; semakan lengkap terakhir bagi setiap domain dikekalkan	bahagian “old_scans”
Proses pelayar, tugas pelayar yang telah selesai, siri masa (form_browser_runs, scan_jobs, form_performance)	13 bulan	bahagian “browser_runs”, “browser_jobs”, “form_performance”
Pembilang borang (form_metrics), angka harian pemalam dan pemberitahuan perubahan (plugin_stats, plugin_changes)	13 bulan	bahagian “form_metrics”, “plugin_stats”
Peranti yang telah log masuk (login_sessions)	90 hari selepas penggunaan terakhir atau pembatalan	bahagian “sessions”
Jemputan yang diterima	30 hari selepas penerimaan	bahagian “invites”
Permintaan sokongan (support_requests)	24 bulan	bahagian “support”
Maklum balas tentang laporan (report_feedback)	24 bulan; jumlah semak alamat IP 2 hari	bahagian “report_feedback” dan “report_feedback_ip”
Versi PDF laporan dalam cache (var/pdf)	7 hari	bahagian “pdf_cache”
Alamat IP, negara dan pengenal pelayar dalam pengecualian (blocklist)	12 bulan; pengecualian kekal	bahagian “optout_ip”
Pelanggan laporan portal (client_subscribers)	belum disahkan 30 hari; berhenti melanggan 3 tahun	bahagian “subscribers”
Akaun yang tidak pernah disahkan, bersama ruang kerja	30 hari tanpa log masuk, melainkan jika ahli lain dipautkan	bahagian “pending_accounts”
Kunci API tanpa akaun (data legasi)	serta-merta	bahagian “api_keys”

6.2 Di luar tetingkap 03:00

Data	Tempoh penyimpanan dan pencetus	Lokasi dalam kod
Salinan dalam peti mel kawalan semakan penghantaran e-mel	selepas pemprosesan, setiap lima minit	fe_zustellung_abholen()
Pemadanan semakan penghantaran e-mel (delivery_log)	180 hari, pada setiap pengambilan	fe_zustellung_abholen()
Teks sifer akaun ujian dalam tugas (scan_jobs)	selepas proses, selewat-lewatnya selepas satu jam	pelayan imbasan; fe_login_aufraeumen()
Insiden (alert_incidents) dengan cubaan penghantaran peningkatan amarannya	selagi belum diselesaikan; 180 hari selepas penyelesaian	fe_vorfaelle_aufraeumen() dalam cfg/vorfall_lib.php
Pemberitahuan ringkasan yang telah dihantar (alert_queue)	30 hari selepas penghantaran	cfg/kanal_lib.php
Isyarat perlindungan berkelompok (swarm_signals)	30 hari, setiap hari mulai 04:00	cfg/swarm_lib.php
Semakan laman bakal pelanggan (prospect_checks)	90 hari, setiap hari mulai 04:00	srv/cron_status.php
Kod pautan Telegram (telegram_links)	1 hari, apabila kod baharu dicipta	cfg/kanal_lib.php
Pembilang panggilan API (api_usage)	1 hari, sekali-sekala semasa panggilan	cfg/agentur_lib.php
Gangguan penyedia yang diselesaikan (provider_incidents), cache kerentanan (vuln_cache)	masing-masing 90 dan 30 hari; tiada data peribadi	cfg/anbieter_lib.php, cfg/luecken_lib.php
Data mentah kajian	semasa penerbitan	fe_studie_veroeffentlichen()
Sandaran	14 hari, selepas sandaran baharu berjaya	cfg/backup_lib.php
Log pelayan web	14 hari	penggiliran log sistem

6.3 Apabila Pelanggan memadamkan data

• Memadamkan domain (fe_domain_loeschen()): hasil semakan dengan borang, dapatan dan fail imej, laporan, tugas, destinasi amaran, log penghantaran, baris gilir ringkasan, insiden, kod Telegram, penghantaran, semakan berkala, kerentanan, log bukti, domain daripada portal pelanggan dengan pilihan tetap; melalui kunci asing, borang yang dipantau dengan proses pelayar, pemerhatian dan siri masa, akaun ujian, pembilang borang; data pemalam hos jika tiada domain lain merujuk kepadanya. Inventori skrip dan perubahan skrip domain turut dipadamkan bersamanya; data ini tidak mempunyai tempoh penyimpanan tersendiri (seksyen 6.4 dan 10). Data yang tertinggal tanpa domain berkaitan daripada tempoh sebelum 27 September 2026 dibersihkan oleh proses setiap malam (bahagian “orphan_scans”, “orphan_rows”).
• Memadamkan ruang kerja (fe_arbeitsbereich_daten_loeschen()): selain itu, jenama termasuk logo, portal pelanggan termasuk pelanggan laporan, kod penyambungan, semakan laman bakal pelanggan; serta jemputan dan keahlian.
• Memadamkan akaun: menamatkan langganan berbayar yang sedang berjalan di Stripe serta-merta, tanpa bayaran balik; memindahkan atau memadamkan ruang kerja milik pemegang; memadamkan keahlian, token kekal log masuk, peranti, kunci API dengan pembilang, kod Telegram yang masih terbuka dan baris akaun.
• Memadamkan akaun ujian (fe_login_loeschen()): menulis ganti teks sifer, memadamkan baris, membersihkan tugas yang menunggu.

6.4 Perkara yang tidak diliputi oleh proses

Senarai ini lebih penting. Senarai ini menyatakan data yang tidak mempunyai tempoh penyimpanan automatik atau yang kekal selepas pemadaman.

Data	Perkara yang terpakai	Penilaian
Data akaun termasuk alamat IP terakhir (users)	sehingga dipadamkan oleh pemegang akaun; akaun tidak aktif tidak dipadamkan	data kontrak; peraturan bagi akaun yang tidak aktif secara kekal tanpa langganan masih tiada
Log aktiviti, paparan halaman, log ralat akaun yang dipadamkan	kekal dengan ID akaun dan alamat IP sehingga penghujung tempoh penyimpanannya	disengajakan (bukti tindakan walaupun selepas penamatan); ID tidak lagi merujuk kepada akaun
Permintaan sokongan akaun yang dipadamkan	kekal sehingga 24 bulan dengan ID akaun lama	disengajakan; ID tidak dibersihkan
Rekod persetujuan akaun yang dipadamkan	sehingga persetujuan berusia 4 tahun (dikira daripada persetujuan, bukan daripada pemadaman akaun)	disengajakan (seksyen B.12)
Anomali yang belum diselesaikan dengan alamat IP (abuse_flags)	sehingga seseorang menyelesaikannya	perkara yang masih terbuka (seksyen 10)
Jenis ralat dengan mesej contoh yang tidak diubah (error_kinds)	tiada tempoh penyimpanan	perkara yang masih terbuka (seksyen 10)
Inventori skrip dan perubahan skrip (script_inventory, script_changes)	tiada tempoh penyimpanan tersendiri; disimpan selagi domain wujud dan dipadamkan bersamanya	perkara yang masih terbuka (seksyen 10)
Pelanggan laporan portal pelanggan yang dibatalkan	sehingga ruang kerja dipadamkan	perkara yang masih terbuka (seksyen 10)
Kunci API dan kod penyambungan yang dibatalkan	sehingga akaun atau ruang kerja dipadamkan	nilai cincang, awalan dan label sahaja; kecil
Senarai hos kajian (study_domains), kajian yang tidak pernah diterbitkan	tiada tempoh penyimpanan	perkara yang masih terbuka (seksyen 10)
Semakan dalaman tanpa domain dan tanpa laporan (hasil semakan, borang, dapatan, tangkapan skrin)	tiada tempoh penyimpanan; tiada laluan pemadaman meliputinya	perkara yang masih terbuka (seksyen 10)
Komisen, penebusan kod, peristiwa Stripe	tiada tempoh penyimpanan	berkaitan dengan perakaunan; tempoh perlu ditetapkan di bawah undang-undang cukai
Umur domain yang dicache (domain_age_cache)	tiada tempoh penyimpanan	nama domain dan tarikh pendaftaran sahaja
Hasil pengesahan e-mel borang dengan domain penghantar	bersama domain; ditulis ganti pada setiap penerimaan	lihat A.1
Pengecualian dalam fungsi pengecualian	kekal	disengajakan; tanpa sifat kekal, pengecualian tidak berkesan
E-mel dalam peti mel saluran pelaporan dan peti mel umum	tiada tempoh penyimpanan teknikal	perkara yang masih terbuka (seksyen 10)

6.5 Di luar pangkalan data

• Tangkapan skrin disimpan sebagai fail di luar direktori web dan dipadamkan bersama hasil semakannya (semua laluan pemadaman di atas turut memadamkan fail).
• Fail logo jenama dipadamkan apabila digantikan dan bersama ruang kerja.
• Pada pelayan imbasan, direktori sementara dengan hasil dan imej dicipta bagi setiap tugas; direktori dipadamkan selepas setiap proses, walaupun selepas ralat.
• Sandaran disimpan pada pelayan web (B.27).
• Log pelayan web dengan alamat IP penuh disimpan selama 14 hari (B.1).

7. Keputusan automatik, pemprofilan dan penilaian

formexposed menilai laman web, bukan orang. Pada penilaian kami, perkhidmatan tidak membuat keputusan yang menghasilkan kesan undang-undang terhadap seseorang atau menjejaskannya secara ketara dengan cara yang serupa (Art. 22(1) GDPR). Walau bagaimanapun, terdapat penilaian automatik dan sekatan automatik. Kami menyenaraikannya supaya pengelasan itu dapat disemak.

Mekanisme	Perkara yang dilakukan	Pihak yang terjejas
Skor dan penilaian keseluruhan semakan	Jumlah berwajaran bagi lapisan perlindungan yang tiada (CAPTCHA, perangkap, token, semakan masa, CAPTCHA tidak berkesan, konfigurasi terdedah yang diketahui), 0 hingga 100; daripadanya, “Terdedah”, “Dilindungi sebahagiannya” atau “Dilindungi”. Penilaian keseluruhan laman web mengikut borang hubungan paling lemah yang dikenal pasti sedemikian oleh peraturan (bukan oleh model bahasa); tanpa borang hubungan, tiada penilaian keseluruhan. Wajaran boleh ditetapkan dalam bahagian pentadbiran.	Pengendali laman web; bagi peniaga tunggal, seseorang secara tidak langsung. Penilaian keseluruhan tidak mempunyai akibat undang-undang; penilaian itu ialah dapatan berserta bukti dan arahan.
Pengelasan jenis borang	Peraturan dahulu, model bahasa setempat hanya jika peraturan memberikan hasil “unknown”. Menentukan sama ada penghantaran ujian aktif dibenarkan (hanya bagi borang hubungan yang dikenal pasti dengan pasti oleh peraturan). Borang yang dikelaskan oleh model bahasa tidak sekali-kali dihantar dan tidak diambil kira dalam skor dan penilaian keseluruhan.	Pelanggan dan penerima e-mel borangnya; kesan perlindungan: jika ragu-ragu, tiada apa-apa dihantar.
Pelan tindakan mengikut keutamaan dalam laporan berbayar	Model bahasa setempat meringkaskan dapatan terpilih yang gagal atau tidak jelas serta metadata imbasan sebagai langkah ringkas bernombor. Teksnya dilabelkan sebagai ringkasan AI; dapatan individu kekal menjadi rujukan yang muktamad. Pelan itu tidak mengubah skor imbasan, penilaian keseluruhan atau konfigurasi laman web.	Pelanggan atau pembaca laporan lain yang dibenarkan, yang memutuskan langkah yang hendak diambil.
Lencana	Menunjukkan “Dilindungi” hanya di bawah syarat tetap (B.18), jika tidak, neutral.	Pelanggan; tiada kesan pada pelawat.
Had dan sekatan bagi semakan percuma, alat pengepala dan pengecualian	Menolak permintaan jika had bagi setiap alamat, sesi, domain atau sistem dicapai, jika domain terlalu baharu atau umurnya tidak diketahui, atau jika domain berada dalam senarai sekatan.	Peminta; kesan: perkhidmatan percuma ditolak selama beberapa jam hingga beberapa hari. Pentadbir boleh melepaskan alamat; pertanyaan melalui halaman hubungan sampai kepada manusia.
Anomali	Corak (banyak domain daripada satu alamat, lonjakan permintaan, banyak penolakan, banyak pengecualian dari satu negara, had harian dicapai) direkodkan dan dilaporkan. Corak tidak menyebabkan sekatan dengan sendirinya; sekatan terhasil daripada had.	Peminta.
Sekatan log masuk	Selepas bilangan yang pada masa ini ialah lapan log masuk gagal dari satu alamat dalam 15 minit, log masuk dari alamat itu ditolak sementara. Selain itu, semua cubaan log masuk, termasuk yang berjaya, dikira bagi setiap akaun dan alamat IP (pada masa ini lapan), bagi setiap akaun merentasi semua alamat (jauh lebih banyak, untuk menentang tekaan teragih) dan bagi setiap alamat IP (pada masa ini 80) dalam 15 minit, begitu juga kod faktor kedua (sepuluh bagi setiap akaun dalam 15 minit); selepas had itu, cubaan ditolak. Oleh itu, cubaan gagal dari alamat lain tidak lagi menyebabkan pemilik terkunci keluar daripada akaunnya. Pengesahan kata laluan (lima bagi setiap akaun dalam 15 minit), e-mel penetapan semula (tiga bagi setiap alamat sejam, dengan respons yang tidak berubah), pendaftaran (sepuluh bagi setiap alamat IP sejam) dan cubaan kata laluan portal pelanggan (sepuluh bagi setiap portal dan alamat IP, 50 bagi setiap portal dalam 15 minit) dihadkan dengan cara yang sama.	Orang yang log masuk, mendaftar atau membuka portal pelanggan; kesan terhad dari segi masa, penetapan semula kata laluan kekal boleh dilakukan.
Ambang reCAPTCHA	Menolak penghantaran apabila skor Google berada di bawah ambang; ambang mengikut titik penggunaan (pada masa ini 0.7 bagi semakan dan pengecualian). Respons bagi tindakan lain dan penghantaran yang Google tidak memberikan respons dalam tiga saat turut ditolak.	Orang yang menghantar borang kami; kesan: cubaan baharu atau laluan melalui halaman hubungan.
Perlindungan berkelompok	Memasukkan domain pautan ke dalam senarai secara automatik apabila ambang minimum dicapai; lapisan perlindungan laman web yang disambungkan memindahkan mesej dengan pautan sedemikian ke kuarantin.	Penghantar mesej kepada halaman Pelanggan. Kesan: mesej ditahan, bukan dipadamkan, dan boleh dilepaskan oleh pengendali laman web. Keputusan tentang mesej dibuat oleh pemalam pengendali pada laman web pengendali, bukan oleh kami.
Nilai perbandingan	“Lebih dilindungi daripada X % laman yang disemak”, hanya daripada jumlah keseluruhan sekurang-kurangnya 20 hos.	Pengendali laman web; tiada kesan.

Perkara yang paling hampir dengan Art. 22 ialah lapisan perlindungan pemalam pada halaman Pelanggan, yang menahan penghantaran secara automatik. Ini ialah pemprosesan oleh pengendali laman web pada pelayan pengendali (A.10). Lapisan itu tidak memadamkan apa-apa, sebaliknya memindahkan mesej ke kuarantin, dan pengendali boleh melepaskan mana-mana mesej. Tiada pemprofilan pelawat berlaku di situ atau dengan kami; tiada pengenal pelawat yang memautkan satu mesej kepada mesej lain.

8. Langkah teknikal dan organisasi (Art. 32) – penerangan umum

Seksyen ini ialah penerangan umum di bawah Art. 30(1)(g) dan (2)(d) GDPR. Versi terperinci terdapat pada halaman Langkah Teknikal dan Organisasi. Setiap langkah di bawah dibuktikan dalam kod atau konfigurasi. Langkah yang belum dilaksanakan terdapat dalam seksyen yang sama (8.1), supaya penerangan itu lengkap.

Bidang	Langkah yang berkuat kuasa
Penyulitan penghantaran	HTTPS bagi laman web, aplikasi dan antara muka; HSTS; kuki sesi dan token kekal log masuk hanya melalui HTTPS, HttpOnly, SameSite=Lax.
Kawalan akses (pengesahan)	Kata laluan hanya sebagai nilai cincang, kata laluan baharu sekurang-kurangnya sepuluh aksara dan paling banyak 72 bait; sekatan log masuk selepas cubaan gagal berulang serta had cubaan bagi setiap akaun dan alamat IP bersama-sama, setiap akaun dan setiap alamat IP, supaya cubaan gagal dari alamat lain tidak mengunci pemilik keluar; had cubaan juga bagi pengesahan kata laluan, penetapan semula kata laluan (dengan respons dan masa respons yang sama), pendaftaran dan kata laluan portal; log masuk dua faktor (TOTP) dengan rahsia disulitkan, perlindungan daripada penggunaan semula kod dan kod pemulihan yang dicincang; pengenal sesi baharu pada setiap log masuk, pengenal yang tidak dikeluarkan oleh pelayan tidak diterima; “Kekalkan log masuk saya” bukan untuk pentadbir super, setiap token sah sekali sahaja; perubahan alamat e-mel membatalkan pautan penetapan semula yang masih terbuka; peranti boleh dibatalkan secara individu atau serentak; senarai peranti hanya menyimpan nilai cincang pengenal sesi.
Kawalan akses (kebenaran)	Peranan bagi setiap ruang kerja (pemilik, pentadbir, pemerhati); kebenaran disemak terhadap objek, bukan terhadap pengenal daripada borang; akaun ujian, “Fix it for me” dan semakan aktif hanya bagi pemilik dan pentadbir; “Lihat sebagai Pelanggan” dihadkan dari segi masa dan disekat bagi tindakan yang mengubah akaun, penamatannya melog keluar sepenuhnya, kembali ke bahagian pentadbiran hanya dengan kata laluan dan faktor kedua; jemputan sah hanya selagi orang yang menjemput ialah pemilik atau pentadbir; alamat webhook dan saluran sembang ditunjukkan kepada pemerhati hanya dalam bentuk dipendekkan kepada hos; nama hos domain yang telah disahkan tidak boleh diubah.
Keselamatan aplikasi	Token CSRF; pernyataan pangkalan data yang disediakan terlebih dahulu; perlindungan borang kami sendiri (perangkap, semakan masa bertandatangan); reCAPTCHA pada borang awam; penghadan kadar bagi sokongan, semakan dan antara muka; hanya satu panggilan “Fix it for me” bagi setiap ruang kerja pada satu-satu masa, supaya kuota turut terpakai pada permintaan serentak; Content Security Policy dengan perlindungan pembingkaian yang hanya membenarkan skrip dengan kebenaran (nonce) bagi respons berkenaan berjalan; alamat IP daripada pengepala pemajuan hanya daripada proksi kami sendiri dan hanya daripada entri yang ditambahkannya; token akses disamarkan dalam log paparan halaman.
Rahsia	Kunci API, kod penyambungan, rahsia sambungan pemalam, kod sekali guna dan kata laluan portal hanya sebagai nilai cincang; butiran kelayakan akaun ujian disulitkan secara asimetri, kunci persendirian hanya pada pelayan imbasan; webhook ditandatangani; peristiwa Stripe hanya dengan tandatangan yang sah.
Peminimuman data	Semakan penghantaran e-mel tidak menyimpan kandungan atau alamat penghantar penuh; alamat penerima dalam borang hanya sebagai domain; ID akaun dalam alamat skrip digantikan; angka pemalam hanya daripada senarai tetap; teks ralat penghantaran e-mel hanya sebagai kategori; isyarat Telegram tanpa pemboleh ubah; imej semakan pelayar dengan input disamarkan; tiada tangkapan skrin selepas log masuk.
Pengasingan pengimbas	Setiap semakan dalam bekasnya sendiri: semua keupayaan Linux digugurkan, tiada peningkatan keistimewaan, sistem fail baca sahaja, had ingatan dan proses, rangkaiannya sendiri; semakan sasaran terhadap rangkaian persendirian dan setempat sebelum penerimaan dan dalam pengimbas, juga selepas pengalihan; service worker disekat, sambungan WebSocket ditutup. Permintaan oleh pelayan web (bukti hak kawalan domain, alat pengepala, carian fail, semakan berkala, RDAP, sijil, webhook dan amaran sembang) hanya pada port web biasa dan hanya kepada alamat tepat yang disemak, webhook dan amaran sembang hanya melalui HTTPS.
Storan	Tangkapan skrin di luar direktori web, hanya boleh diambil melalui laporan; laporan pada alamat rawak dengan noindex; direktori sandaran hanya boleh dibaca oleh perkhidmatan.
Ketersediaan dan pemulihan	Sandaran setiap malam dengan semakan kandungan, ujian pemulihan mingguan, amaran apabila gagal; semakan komponen setiap lima minit dengan isyarat dan e-mel; isyarat hayat luaran; henti kecemasan bagi semakan tanpa nama; kawalan tekanan balik apabila terdapat tunggakan.
Kebolehkesanan	Log aktiviti bagi log masuk, perubahan, pemadaman, akses sokongan dan kelulusan; log ralat dengan amaran.
Pemadaman	Tempoh penyimpanan di satu tempat dalam kod, daripada tetapan yang sama seperti teks (seksyen 6); rantaian pemadaman bagi domain, ruang kerja dan akaun, dengan pengecualian dalam seksyen 6.4.
Hak subjek data	Eksport semua data akaun sebagai fail dengan satu klik, berdasarkan senarai medan yang dibenarkan, tanpa rahsia.
Organisasi	Bahagian pentadbiran hanya bagi akaun dengan hak pentadbir super, disekat semasa “Lihat sebagai Pelanggan”; sistem pembangunan dan pengeluaran dipisahkan, sistem pembangunan di belakang halangan akses tambahan; pemindahan teks undang-undang selepas kelulusan melalui alat yang menolak draf dan pemegang tempat.

8.1 Langkah yang belum dilaksanakan

• Tiada penyulitan pangkalan data semasa tersimpan (diukur pada 11 Oktober 2026). Pengecualian ialah butiran kelayakan akaun ujian dan rahsia dua faktor, yang disulitkan pada peringkat medan.
• Sambungan dalaman tidak disulitkan secara menyeluruh. Sambungan dalam rangkaian dalaman kami tidak disulitkan secara menyeluruh. Butiran kelayakan akaun ujian hanya dihantar di situ sebagai teks sifer.
• Tiada sandaran di lokasi kedua. Sandaran pada masa ini disimpan di lokasi yang sama dengan pangkalan data dan tidak disulitkan secara berasingan; salinan disulitkan di lokasi kedua dirancang. Sehingga itu, sandaran melindungi daripada perintah pemadaman yang salah, bukan daripada kehilangan lokasi.
• Pengukuhan pentadbiran pelayan belum lengkap. Keselamatan akses pentadbiran kepada pelayan kami belum memenuhi piawaian yang kami sasarkan untuk operasi; pengukuhan sedang diteruskan. Kami tidak menerbitkan butiran kerana butiran itu akan membantu penyerang; kami memberikannya kepada pihak berkuasa penyeliaan atas permintaan.
• Tiada log pembacaan fungsian dalam bahagian pentadbiran. Tindakan penulisan direkodkan dalam log aktiviti; siapa yang hanya melihat permintaan sokongan atau laporan tertentu hanya dapat ditentukan daripada log paparan halaman (60 hari).
• Tiada log pemadaman kekal. Perkara yang dipadamkan oleh proses setiap malam tidak direkodkan (seksyen 6).
• Tiada titik semakan kedua yang bebas. Prob di lokasi kedua belum disediakan (A.6).

9. Pegawai perlindungan data – penilaian di bawah Art. 37 GDPR

Hasil: Pada penilaian kami, tiada kewajipan untuk melantik pegawai sedemikian. Penilaian ini merupakan sebahagian daripada semakan undang-undang dan akan diulang sebaik sahaja mana-mana keadaan yang disenaraikan di bawah berubah.

Art. 37(1) mewajibkan pelantikan dalam tiga kes.

• Perkara (a) (pihak berkuasa atau badan awam) tidak terpakai.
• Perkara (b) (aktiviti teras yang memerlukan pemantauan subjek data secara tetap dan sistematik pada skala besar): aktiviti teras kami ialah semakan tetap dan sistematik laman web dan borang, bukan pemerhatian orang. Kami tidak mencipta profil pelawat, tidak menggunakan penjejakan dan tidak memautkan satu mesej kepada mesej lain. Semakan penghantaran e-mel (A.1) melalukan mesej pelawat sebenar melalui peti mel kami, tetapi hanya menilai pengepala dan 8 KB pertama untuk pemadanan dan tidak menyimpan kandungan; fungsi itu memerhatikan laluan penghantaran, bukan orang. Akaun pelanggan dan log ialah sampingan kepada aktiviti perniagaan.
• Perkara (c) (pemprosesan kategori khas pada skala besar di bawah Art. 9 atau data berkaitan kesalahan jenayah di bawah Art. 10 sebagai aktiviti teras): tidak dipenuhi. Kategori khas mungkin muncul secara sampingan dalam salinan e-mel borang (A.1), pada halaman selepas log masuk (A.5) atau dalam kod yang ditampal (A.7); tangkapan sampingan bukan aktiviti teras.

Art. 37(4) membenarkan undang-undang negara menambah kes lain. Kami sedang mendapatkan pengesahan peguam sama ada undang-undang Poland mewajibkan kami melantik pegawai sedemikian.

Pencetus penilaian baharu: pengaktifan perlindungan berkelompok dengan rangkaian IP; fungsi yang mengenal pasti pelawat merentasi beberapa mesej atau laman web; penyimpanan kandungan daripada semakan penghantaran e-mel; Pelanggan yang borangnya kebanyakannya berkaitan dengan kategori khas (kesihatan, permohonan pekerjaan) dengan semakan penghantaran e-mel diaktifkan pada skala besar; pekerja pertama yang mempunyai akses kepada data pelanggan. Pelantikan sukarela kekal boleh dilakukan; Art. 37 hingga 39 kemudiannya terpakai sepenuhnya.

Secara berasingan: sama ada penilaian impak perlindungan data di bawah Art. 35 diperlukan bagi aktiviti pemprosesan individu dijawab pada halaman Penilaian Impak Perlindungan Data. Penilaian ambangnya menyimpulkan bahawa DPIA diperlukan bagi perlindungan berkelompok (B.21) dan bagi kajian pada skala yang dirancang (B.7) dan dilaksanakan oleh kami, serta bahawa bagi semakan penghantaran e-mel (A.1), DPIA diperlukan dalam keadaan lazim, sebagai kewajipan Pelanggan yang kami sokong dalam hal ini.

10. Perkara yang masih terbuka dan langkah yang dirancang

Perkara berikut dibuktikan dalam kod, skema atau konfigurasi, bukan diandaikan. Perkara ini menerangkan keadaan pada tarikh versi ini; pengelasannya ialah pengelasan kami sendiri dan tidak mendahului apa-apa penilaian undang-undang. Perkara ini disusun mengikut kepentingannya bagi subjek data, bukan mengikut betapa mudahnya untuk dibaiki. Langkah yang dirancang dan keutamaannya dinyatakan dalam Penilaian Impak Perlindungan Data.

Perkara yang masih terbuka	Perkara yang dibuktikan	Kepentingan
Penyedia perkhidmatan e-mel tanpa kontrak yang didokumenkan	Bagi Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, kontrak, tempat pemprosesan dan asas pemindahan tidak didokumenkan. E-mel akaun, amaran dan peti mel kawalan dengan mesej pelawat sebenar melalui penyedia ini.	Peruntukan yang berkaitan ialah Art. 28(2) dan (4) serta Bab V GDPR. Pemeteraian dan pendokumenan dirancang sebelum pelancaran.
Asas bagi perkhidmatan sembang dan reCAPTCHA masih terbuka	Amaran kepada Telegram (tiada keputusan kecukupan), Slack, Discord, Microsoft Teams dan Google Chat; reCAPTCHA tanpa permintaan persetujuan.	Persoalan terbuka untuk semakan undang-undang; sehingga itu, pemberitahuan dan asas belum muktamad.
Peti mel kawalan mungkin menyimpan mesej semasa gangguan	Pemadaman berlaku selepas pemprosesan berjaya; jika pengambilan gagal, salinan kekal sehingga proses seterusnya yang berjaya. Tiada amaran apabila tunggakan terkumpul dalam peti mel untuk tempoh yang lebih panjang.	Salinan mengandungi pertanyaan pelawat sebenar.
Tiada sandaran di lokasi kedua, tiada penyulitan pangkalan data semasa tersimpan	Seksyen 8.1. Salinan sandaran yang disulitkan di lokasi kedua dirancang.	Satu kejadian di lokasi itu akan menjejaskan data dan sandaran serentak; medium storan yang dicuri boleh dibaca.
Anomali yang belum diselesaikan tanpa tempoh penyimpanan	Anomali dengan alamat IP penuh sebagai kunci hanya dipadamkan 90 hari selepas penyelesaian; apa-apa yang tidak pernah diselesaikan kekal.	Berkaitan dengan prinsip pembatasan penyimpanan (Art. 5(1)(e)); pemadaman bergantung pada penyelesaian manual. Tempoh penyimpanan tetap dirancang (langkah Penilaian Impak Perlindungan Data).
Jenis ralat dengan mesej contoh tanpa tempoh penyimpanan	Mesej contoh disimpan tanpa diubah sehingga 2,000 aksara; corak yang dibersihkan mengeluarkan alamat dan nombor, tetapi mesej contoh tidak.	Mesej ralat boleh mengandungi alamat e-mel, nama hos atau alamat IP.
Inventori skrip tanpa tempoh penyimpanan tersendiri	Inventori skrip dan perubahan skrip dipadamkan bersama domain (FE_DOMAIN_TABELLEN), termasuk apabila ruang kerja atau akaun dipadamkan dan dalam proses setiap malam bagi data yatim; data ini tidak mempunyai tempoh penyimpanan tersendiri. Data ini mengandungi alamat skrip, alamat halaman dan, bagi kelulusan, orang yang meluluskan serta sebab dalam teks bebas.	Berkaitan dengan prinsip pembatasan penyimpanan (Art. 5(1)(e)); log perubahan dengan kelulusan terus bertambah selagi domain wujud.
Pelanggan laporan portal yang dibatalkan	Portal yang dibatalkan disekat, bukan dipadamkan; pelanggan laporannya kekal sehingga ruang kerja dipadamkan.	Tujuan (menghantar laporan) tamat apabila portal dibatalkan.
Senarai kajian tanpa tempoh penyimpanan	Selepas penerbitan, hos dan segmen kekal; kajian yang tidak pernah diterbitkan turut mengekalkan data mentahnya.	Janji “data mentah dipadamkan” hanya terpakai pada kajian yang diterbitkan.
Semakan dalaman tanpa laluan pemadaman	Semakan dengan tahap kepercayaan “internal” yang tidak mempunyai domain atau laporan (kajian dan semakan yang dicipta oleh pengendali melalui baris perintah) tidak diliputi oleh mana-mana laluan pemadaman; bersama semakan itu kekal borang, dapatan dan tangkapan skrin laman web pihak ketiga.	Berkaitan dengan prinsip pembatasan penyimpanan (Art. 5(1)(e)); menjejaskan orang yang tidak mengetahui apa-apa tentang semakan. Dinilai sebagai risiko tinggi dalam Penilaian Impak Perlindungan Data.
Bukti hak kawalan domain tidak diperbaharui	Bukti hak kawalan domain disemak sekali; tiada laluan dalam kod yang menyebabkan domain kehilangannya semula.	Penghantaran ujian aktif, carian fail dan imbasan selepas log masuk diteruskan selepas pertukaran pemilik atau mandat.
Imbasan selepas log masuk: penghantaran ke halaman Pelanggan	Sebagai alamat log masuk, http dibenarkan selain https, dan ralat sijil pada halaman Pelanggan tidak menghentikan log masuk.	Butiran kelayakan akaun ujian boleh dipintas semasa dalam perjalanan ke halaman Pelanggan.
Pemadaman bergantung pada tetingkap masa	Blok harian hanya berjalan jika proses status bermula antara 03:00 dan 03:04. Jika satu proses ini gagal (pangkalan data tidak dapat dicapai, pelayan dimulakan semula), pemadaman dan sandaran hari itu tidak berlaku; tiada proses susulan untuk menggantikannya. Perkara yang dipadamkan tidak direkodkan secara kekal.	Tempoh penyimpanan kemudiannya dilanjutkan sehari tanpa disedari. Tetingkap yang terlepas tidak mencetuskan amaran; hanya sandaran yang berjalan dan gagal dilaporkan. Senarai persediaan dalam bahagian pentadbiran menunjukkan tarikh sandaran terakhir yang berjaya.
Sesetengah pemadaman bergantung pada pemantauan	Pengosongan peti mel kawalan semakan penghantaran e-mel, pemadaman insiden, pemberitahuan ringkasan yang dihantar, isyarat perlindungan berkelompok dan semakan laman bakal pelanggan, serta pembersihan salinan akaun ujian yang tertinggal dalam tugas berjalan dalam bahagian penjadual proses status, yang hanya berfungsi semasa pemantauan diaktifkan dalam bahagian pentadbiran; pemadanan semakan penghantaran e-mel hanya dipadamkan semasa peti mel kawalan disediakan.	Jika pemantauan dimatikan secara berpusat atau peti mel dikeluarkan, tempoh penyimpanan ini terhenti tanpa disedari oleh sesiapa.
Saluran pelaporan dan peti mel tanpa tempoh penyimpanan	Laporan kerentanan dan e-mel masuk lain disimpan di luar aplikasi; tiada tempoh penyimpanan ditetapkan.	Laporan mungkin mengandungi bukti pihak ketiga.
Nilai medan tersembunyi dibaca semasa semakan	Pengimbas membaca nilai medan borang tersembunyi sehingga 24 aksara dan atribut data sehingga 60 aksara untuk mengenal pasti cap masa dan token. Hanya nama, jenis dan label medan serta hasil pengecaman dimasukkan ke dalam peta medan dan dapatan, bukan nilainya.	Tiada jurang penyimpanan; nilai hanya berada dalam ingatan kerja bekas imbasan semasa semakan. Nilai yang diisi awal (seperti nombor pelanggan) dibaca dalam proses, tetapi tidak disimpan.
Domain penghantar yang diperoleh dalam hasil pengesahan	A.1.	Bagi domain peribadi pelawat, data peribadi yang berasal daripada mesej sebenar.
Pengukuhan pentadbiran pelayan belum lengkap; sambungan dalaman tidak disulitkan secara menyeluruh	Seksyen 8.1. Pengukuhan sedang diteruskan; kami tidak menyatakan butiran secara awam.	Insiden keselamatan pada peringkat pelayan akan menjejaskan aplikasi, pangkalan data dan sandaran serentak.
Pengukuran pada sistem pembangunan	Skema, kod dan tetapan diukur pada sistem pembangunan.	Kod dan skema sepadan dengan sistem pengeluaran; tetapan mungkin berbeza dan mesti disemak semula di situ sebelum pelancaran.

11. Penyelenggaraan rekod ini

Art. 30 mewajibkan rekod diselenggarakan secara bertulis dan disediakan kepada pihak berkuasa penyeliaan atas permintaan. Ini memerlukan seseorang yang bertanggungjawab terhadapnya dan sela masa untuk rekod disemak terhadap sistem, bukannya terhadap versi terdahulunya.

• Tanggungjawab: Lukas Wójcik, pemilik. Rekod disemak setiap tahun dan apabila aktiviti pemprosesan berubah.
• Peristiwa yang memerlukan kemas kini: subpemproses data baharu atau yang berubah, khususnya pemilihan penyedia perkhidmatan e-mel; jadual baharu atau medan baharu dengan data peribadi; perubahan tempoh penyimpanan atau rantaian pemadaman dalam cfg/fristen_lib.php atau srv/cron_status.php; saluran amaran baharu atau permintaan baharu kepada pihak ketiga; pengaktifan fungsi yang dimatikan secara lalai (perlindungan berkelompok dengan rangkaian IP, prob, domain sendiri, program rakan kongsi, pembayaran melalui invois, Spamhaus atau Google Web Risk); perpindahan ke pelayan lain.
• Prosedur: setiap pernyataan di sini berasal daripada kod, skema atau pengukuran. Semakan yang hanya membaca teks tidak menyemak apa-apa: skema dan rantaian pemadaman diukur semula, pemegang tempat kekal sebagai pemegang tempat, perkara yang masih terbuka ditutup atau dibawa ke hadapan dengan sebab.
• Hubungan dengan dokumen lain: rekod ini tidak menggantikan Dasar Privasi, Perjanjian Pemprosesan Data, Langkah Teknikal dan Organisasi atau senarai Subpemproses Data. Jika dokumen itu dan rekod ini berbeza, perbezaan itu ialah suatu dapatan.
• Perubahan kepada dokumen ini disenaraikan pada halaman Perubahan kepada Dokumen Kontrak.