Register van verwerkingsactiviteiten (Art. 30 AVG)

Dit document is in meerdere talen gepubliceerd. Bij verschillen tussen de taalversies is de Poolse versie bindend.

Versie 1.2 · Laatst bijgewerkt: 29 oktober 2026

1. Hoe u dit register leest

Dit is het register van verwerkingsactiviteiten volgens Art. 30 AVG voor formexposed. Het is geen privacyverklaring en geen marketing. Het moet een toezichthoudende autoriteit, een Klant die ons als verwerker controleert, of de volgende persoon die een vraag moet beantwoorden, laten zien wat er daadwerkelijk wordt verwerkt, waar het wordt bewaard, wie het ontvangt en hoe lang het blijft. Wij publiceren het omdat een dienst die formulieren controleert en monitort, zelf ook controleerbaar moet zijn.

Bij het opstellen golden drie regels.

1. Gemeten, niet bedoeld. Een uitspraak over gegevensvelden, bewaartermijnen, ontvangers of waarborgen staat er alleen waar de programmacode, het databaseschema of een meting die ondersteunt. Wat gepland is, heet “gepland”. Wat standaard is uitgeschakeld, heet “standaard uitgeschakeld”. Waar wij iets niet kunnen aantonen, zeggen wij dat.
2. De bewaring wordt twee keer vermeld. Eenmaal per verwerkingsactiviteit en eenmaal in paragraaf 6 als totaalbeeld: welke nachtelijke run welke gegevens verwijdert, en welke gegevens hij niet bereikt. Een register dat een bewaartermijn claimt die slechts voor een deel van de gegevens geldt, is slechter dan een register dat het openstaande punt benoemt.
3. Openstaande punten staan in de tekst, niet in een voetnoot. Paragraaf 8.1 noemt maatregelen die nog niet zijn geïmplementeerd, paragraaf 10 de openstaande punten met de geplande maatregelen. Een register is een werkinstrument, geen certificaat.

Gegevensvelden in plaats van tabelnamen. Per verwerkingsactiviteit vermelden wij de opgeslagen gegevens als velden in gewone taal. De naam van de databasetabel volgt tussen haakjes, zodat een controleur de plek kan vinden, bijvoorbeeld “inlogpogingen (login_attempts)”. De veldlijsten zijn afgeleid uit het databaseschema, niet uit het geheugen.

Bewaartermijnen als placeholders. Waar een bewaartermijn in de beheeromgeving kan worden ingesteld, verschijnt deze hier precies zoals de nachtelijke run hem leest: het getal dat u ziet, komt uit dezelfde instelling die de verwijdering bepaalt. In het programma vastgelegde bewaartermijnen worden als getallen vermeld.

Meetbasis. Schema, code en instellingen zijn op 11 oktober 2026 gemeten op het ontwikkelsysteem, dat qua code en schema overeenkomt met het productiesysteem. Rijenaantallen uit het ontwikkelsysteem vermelden wij niet; die bevatten testgegevens en zeggen niets over de live werking.

Bewust weggelaten. Dit register noemt geen hostnamen, interne netwerkadressen, poorten, gebruikersnamen of softwareversies van onze servers. Zulke gegevens helpen een aanvaller en geen enkele betrokkene. Om dezelfde reden beschrijven wij openstaande punten bij de beveiliging van onze eigen servers slechts in algemene termen (paragraaf 8.1): wij noemen het risico, niet de weg ernaartoe. Op verzoek verstrekken wij de details aan een toezichthoudende autoriteit.

Juridisch karakter. Dit register is de documentatie die wij op grond van Art. 30 AVG voor de toezichthoudende autoriteit bijhouden; het wordt vrijwillig gepubliceerd. Het maakt geen deel uit van een overeenkomst en vormt geen verklaring, garantie of afspraak over kwaliteit jegens Klanten of derden. Wat wij Klanten verschuldigd zijn, is geregeld in de Algemene voorwaarden, de Verwerkersovereenkomst en de bijlagen daarvan; wat deze verplichtingen betreft, hebben zij voorrang op dit register. Het register beschrijft de situatie op de datum van deze versie. Kwalificaties zoals “openstaand punt” of “beoordeling” geven onze eigen visie weer en lopen niet vooruit op een juridische beoordeling door een toezichthoudende autoriteit of een rechter; als “gepland” beschreven maatregelen zijn voornemens zonder toegezegde datum.

2. De rechtspersoon en waarom dit register twee helften heeft

Veld	Vermelding
Rechtspersoon	LW IT Solutions Company Lukas Wójcik, eenmanszaak ingeschreven in het Poolse ondernemingsregister (CEIDG); eigenaar Lukas Wójcik
Adres	al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen
Fiscale nummers	NIP 7252266190, btw-id PL7252266190
Contact	contact@lukaswojcik.com; het supportvenster (vraagteken in de navigatie); de contactpagina
Dienst	formexposed: controleren, monitoren en beveiligen van contactformulieren op websites (app op formexposed.com, landingspagina op form.exposed)
Vertegenwoordiger op grond van Art. 27 AVG	Niet van toepassing. De rechtspersoon is gevestigd in de Unie (Polen).
Functionaris voor gegevensbescherming	Niet aangewezen. De beoordeling op grond van Art. 37 staat in paragraaf 9.
Bevoegde toezichthoudende autoriteit	Prezes Urzędu Ochrony Danych Osobowych (UODO, de Poolse toezichthouder voor gegevensbescherming), ul. Moniuszki 1A, 00-014 Warszawa
Hosting	Eigen servers in Polen: één webserver met de applicatie en de database, en één scanserver met een lokaal taalmodel in hetzelfde interne netwerk. Geen datacenter of cloudprovider van derden.

formexposed speelt tegenover verschillende groepen personen verschillende rollen. Wie die door elkaar haalt, krijgt een register dat voor geen van hen klopt.

• Verwerkingsverantwoordelijke (deel B, Art. 30(1)). Wij zijn zelf de verwerkingsverantwoordelijke voor de gegevens van onze eigen Klanten en hun teamleden (account, login, facturering, support, logs), voor bezoekers van onze eigen website, voor controles zonder account (gratis controle, headertool, onderzoek, prospectcontrole) en voor misbruikpreventie.
• Verwerker (deel A, Art. 30(2)). Voor persoonsgegevens van derden die een Klant in de dienst brengt of die ontstaan wanneer wij een dienst voor de Klant uitvoeren, handelen wij namens de Klant: kopieën van echte formuliere-mails in de bezorgcontrole, abonnees van het klantportaal van de Klant, ontvangers van de meldingen van de Klant, personen die toevallig zichtbaar zijn op de gecontroleerde pagina’s van de Klant, de inloggegevens van het testaccount van de Klant en de formuliercode die de Klant inplakt. De grondslag is de Verwerkersovereenkomst, die bij de registratie met iedere Klant wordt gesloten.
• Alleen aan de kant van de Klant. Sommige functies van de WordPress-plugin en de TYPO3-extensie verwerken gegevens uitsluitend op de website van de Klant, zonder dat de gegevens ons ooit bereiken (quarantaine, vangnet, rekenpuzzel, bewaarinstellingen, lokale tellers, recorder). Dit is geen verwerking door ons en komt daarom in geen van beide delen voor. Wij beschrijven ze toch aan het einde van deel A, zodat de grens zichtbaar is.

De scheiding is ingebouwd in de code, niet alleen in de tekst: van een echte formuliere-mail schrijft de bezorgcontrole alleen het tijdstip, de toewijzing en het authenticatieresultaat in de database; de screenshots van de browsercontroles maskeren invoervelden; inloggegevens van testaccounts worden zo versleuteld dat de webserver ze niet meer kan lezen. De details staan in de vermeldingen.

De paragrafen 6 tot en met 11 gelden voor beide helften: bewaring, geautomatiseerde besluiten, technische en organisatorische maatregelen, functionaris voor gegevensbescherming, openstaande punten en het bijhouden van dit register.

Reikwijdte. Dit document is het deel van het register dat de dienst formexposed betreft. Verwerkingen door dezelfde rechtspersoon voor andere diensten zijn in hun eigen registers vastgelegd; de algemene boekhouding en bedrijfsadministratie buiten de dienst vallen niet onder dit deel.

3. Deel A – Art. 30(2): verwerking namens Klanten

A.0 Betrokken partijen

Veld	Vermelding
Verwerker	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen; contact@lukaswojcik.com
Verwerkingsverantwoordelijken	De Klanten van formexposed: ondernemingen en bureaus die domeinen in hun account hebben en functies gebruiken waarbij gegevens van derden ontstaan. Bij bureaus kan daarnaast de eigen klant van het bureau de verwerkingsverantwoordelijke zijn; het bureau handelt dan als verwerker jegens die klant en wij als verdere verwerker.
Lijst van verwerkingsverantwoordelijken	Onderdeel van dit register, in elektronische vorm bijgehouden (Art. 30(3) AVG) in het systeem van de dienst en niet weergegeven in deze openbare versie, omdat zij persoonsgegevens van Klanten bevat en bij elke nieuwe Klant verouderd zou zijn: de eigenaar van elke werkruimte met naam, e-mailadres en bedrijf uit het klantaccount (adres en btw-id alleen bij Stripe) (users, workspaces, workspace_users), plus de domeinen van de werkruimte (domains). Op verzoek verstrekken wij een toezichthoudende autoriteit een uittreksel.
Vertegenwoordigers en functionarissen voor gegevensbescherming van de verwerkingsverantwoordelijken	Daarvoor is in het systeem geen apart veld. Als een Klant een vertegenwoordiger op grond van Art. 27 AVG of een functionaris voor gegevensbescherming heeft aangewezen, kan hij die aan ons melden; wij bewaren de melding samen met de lijst van verwerkingsverantwoordelijken.
Vertegenwoordiger van de verwerker	Niet van toepassing (gevestigd in Polen).
Functionaris voor gegevensbescherming	Niet aangewezen (paragraaf 9).
Instructies	De instructie volgt uit de Verwerkersovereenkomst en uit de instellingen die de Klant maakt: de Klant schakelt de bezorgcontrole in, stelt meldingsdoelen in, slaat een testaccount op en richt een klantportaal in. Zonder die handeling vindt de betreffende verwerking niet plaats.
Technische en organisatorische maatregelen	Paragraaf 8 en de pagina Technische en organisatorische maatregelen gelden voor elke verwerkingsactiviteit in deel A. Bijzondere maatregelen staan in de betreffende vermelding.

A.1 Bezorgcontrole – controlekopie van formuliere-mails

Veld	Vermelding
Doel	Controleren of de e-mail uit het contactformulier van de Klant daadwerkelijk wordt verzonden en hoe deze wordt geauthenticeerd (SPF, DKIM, DMARC, alignment). Na een geaccepteerde actieve testverzending moet de kopie daarvan binnen een instelbare wachttijd (momenteel 3 uur) in de controlemailbox aankomen; anders wordt de melding “Test-e-mail niet ontvangen” gegeven. Uit de headers worden bovendien de authenticiteit van de formuliere-mail, de gebruikte e-maildienst en het verzendadres voor de blokkadelijstcontrole afgeleid.
Voorwaarde	Betaald abonnement, geverifieerd domein, door de Klant ingeschakeld. De Klant voert zijn eigen controleadres met een kenmerk (in de vorm “delivery+kenmerk@…”) in als blinde kopie in de melding van zijn formulier. Zonder ingestelde controlemailbox is de functie niet beschikbaar.
Categorieën van betrokkenen	Bezoekers van de website van de Klant die het formulier van de Klant verzenden; personen van wie een bezoeker gegevens in het bericht schrijft; medewerkers van de Klant die als ontvangers in de headers voorkomen.
Categorieën van persoonsgegevens	In de controlemailbox (bij de e-maildienstverlener): de volledige kopie van elke formuliere-mail, inclusief echte aanvragen met naam, e-mailadres, telefoonnummer en vrije tekst, tot de verwijdering. Gelezen door de ophaalactie: de headers en maximaal de eerste 8 KB van de berichttekst. In de database: tijdstip van ontvangst, toewijzing aan het domein en, in voorkomend geval, aan de testrun (delivery_log); het meest recente authenticatieresultaat per domein met SPF-, DKIM- en DMARC-resultaat, alignment, afzenderdomein, ondertekenende domeinen en het adres van de verzendende mailserver (authenticatieveld van het domein in domains). Inhoud, onderwerp en het afzenderadres van de bezoeker worden niet in de database geschreven.
Opmerking over het afzenderdomein	Als een formulier het adres van de bezoeker als afzender invoert (een configuratiefout die de controle juist moet blootleggen), bevat het authenticatieresultaat het domein van dat adres, niet het adres zelf. Als een bezoeker een persoonlijk domein gebruikt, kan ook dit een persoonsgegeven zijn. Het wordt bij de volgende ontvangst overschreven.
Bron	Het formulier op de website van de Klant, via de door de Klant ingevoerde blinde kopie.
Rechtsgrond (bepaald door de verwerkingsverantwoordelijke)	Bepaald door de Klant. Onze voorgestelde tekst voor de privacyverklaring van de Klant baseert de kopie op Art. 6(1)(f) AVG (gerechtvaardigd belang bij het betrouwbaar ontvangen van aanvragen). De Klant informeert zijn bezoekers over deze gegevensstroom; de Verwerkersovereenkomst verplicht hem daartoe.
Ontvangers	De e-maildienstverlener die de controlemailbox beheert (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). De kopie gaat daar rechtstreeks heen: zij komt alleen aan als de MX-records van ons domein naar deze mailbox wijzen (de checklist vóór de lancering controleert dit); via een doorsturing bereikt zij de mailbox niet. Op de domeinpagina ziet de Klant alleen tijdstip, toewijzing en authenticatieresultaat. Als het authenticatieresultaat verslechtert, noemt de melding aan de Klant en aan de door hem gekozen kanalen het afzenderdomein als dat niet bij de website hoort (A.3, 4.1).
Derde land	Afhankelijk van de e-maildienstverlener; zie paragraaf 4. De overeenkomst met de beoogde aanbieder en de doorgiftegrondslag zijn nog niet gedocumenteerd.
Bewaring	Na succesvolle verwerking wordt de e-mail gemarkeerd voor verwijdering en in dezelfde run uit de mailbox verwijderd, ook als zij aan geen enkel domein kan worden toegewezen. Het ophalen loopt met de statusrun elke vijf minuten mee zolang de monitoring in de beheeromgeving is ingeschakeld (srv/cron_status.php, cfg/zustellung_lib.php). Als ophalen of verwijderen mislukt, blijft de e-mail tot de volgende succesvolle run in de mailbox. Dezelfde ophaalactie verwijdert de toewijzingen in delivery_log na 180 dagen. Het authenticatieresultaat bestaat zolang het domein bestaat.
Wat het bewijs aantoont	Alleen de ontvangst, in de controlemailbox, van de kopie die aan de specifieke testrun is toegewezen. Het bewijst noch de ontvangst door de eigenlijke ontvanger, noch een vermelding in het CRM. Een native bevestiging vanuit HubSpot wordt niet aangeboden.
TOM’s	Paragraaf 8. In het bijzonder: inhoud wordt alleen in het geheugen geëvalueerd; geen opslag van berichttekst, onderwerp of volledige afzenderadressen; verwijdering ongeacht of de toewijzing is geslaagd.

De bezorgcontrole is de enige functie waarmee echte berichten van bezoekers van onze Klanten ons bereiken. Daarom is het een verwerking namens de Klant en geen dienst onder onze eigen verantwoordelijkheid, en daarom is de verblijftijd in de mailbox de eigenlijke maatstaf voor het risico: normaal gesproken minuten; bij een verstoorde ophaalactie tot deze weer draait. Kopieën mogen geen bijzondere categorieën van persoonsgegevens bevatten; technisch kunnen wij dat niet voorkomen, omdat wat een bezoeker schrijft aan de bezoeker is.

A.2 Klantportaal en maandelijks rapport aan abonnees

Veld	Vermelding
Doel	Een bureau (Business-abonnement) toont zijn klanten onder zijn eigen merk de status van hun domeinen (portaal op een willekeurig adres, optioneel met wachtwoord, optioneel onder een eigen subdomein van het bureau). De klant kan daar een maandelijks rapport per e-mail bestellen. Het rapport wordt in naam van het bureau verstuurd.
Categorieën van betrokkenen	De klanten van het bureau en hun medewerkers die het rapport bestellen; personen die het portaal openen.
Categorieën van persoonsgegevens	Abonnee: e-mailadres, taal, bevestigingskenmerk, tijdstip van de bestelling en IP-adres op het moment van de bestelling, tijdstip van de bevestiging (double opt-in), tijdstip van de afmelding, laatst verzonden maand (client_subscribers). Portaal: naam, selectie van domeinen, willekeurig kenmerk, wachtwoord alleen als hash, persoon die het heeft aangemaakt, tijdstip, intrekking (client_portals). Bezoeken aan het portaal verschijnen in het log van paginaweergaven (B.2).
Bron	Door de abonnees zelf in het portaal ingevoerd.
Rechtsgrond (bepaald door de verwerkingsverantwoordelijke)	De toestemming van de abonnee, verkregen via een double-opt-inprocedure; de verwerkingsverantwoordelijke is het bureau. Wij schrijven niemand aan die zich niet zelf heeft aangemeld en dat heeft bevestigd.
Ontvangers	Het bureau (ziet zijn abonnees); de e-maildienstverlener (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) voor de bevestigingsmail en het rapport.
Derde land	Via de e-maildienstverlener; zie paragraaf 4.
Bewaring	Nachtelijke verwijderrun (cfg/fristen_lib.php, onderdeel “portaalabonnees”): nooit bevestigde bestellingen na 30 dagen; afgemelde abonnees drie jaar na de afmelding, als bewijs van de eerdere toestemming. Bevestigde abonnees die zich niet hebben afgemeld, blijven bestaan zolang de werkruimte van het bureau bestaat. Een ingetrokken portaal wordt alleen geblokkeerd, niet verwijderd; de abonnees ervan ontvangen geen rapporten meer, maar hun gegevens blijven bewaard (paragraaf 10). Portalen en abonnees worden onmiddellijk met de werkruimte verwijderd (fe_arbeitsbereich_daten_loeschen()). Verzonden rapporten blijven 30 dagen in de outbox (B.25).
TOM’s	Paragraaf 8. In het bijzonder: portaalwachtwoord alleen als hash, raadpogingen begrensd (tien per portaal en IP-adres, 50 per portaal in 15 minuten); afmelden met één klik in elke e-mail; het portaal toont alleen status en kerncijfers, geen afzonderlijke bevindingen met bewijs.

A.3 Meldingsontvangers, bevestigers en verantwoordelijken van de Klant

Veld	Vermelding
Doel	Meldingen over storingen en wijzigingen aan de doelen die de Klant voor een domein instelt: e-mail, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram. Per doel direct, of dagelijks of wekelijks verzameld, plus doelen alleen voor escalaties. Elke probleemmelding wordt een incident, dat de ontvanger via een link kan bevestigen. Voor gemonitorde formulieren kan de Klant een verantwoordelijke persoon en een deadline opgeven.
Categorieën van betrokkenen	Medewerkers en dienstverleners van de Klant die de Klant als meldingsdoel invoert of als verantwoordelijke aanwijst; personen die een incident bevestigen. Teamleden met een eigen account komen ook in deel B voor.
Categorieën van persoonsgegevens	Meldingsdoel: kanaal, doeladres (e-mailadres, webhook- of chatadres, Telegram-chat-ID), geselecteerde gebeurtenissen, aflevermodus, ondertekeningsgeheim voor webhooks, laatste aflevering en laatste fout (alerts). Afleverlog: doel, gebeurtenissen, status, fout, tijdstip (alert_log). Overzichtswachtrij: meldingsregels en link tot de aflevering (alert_queue). Incident: titel, meldingsregels, link, bevestigingskenmerk, tijdstip en naam of e-mailadres van de bevestigende persoon zoals ingevoerd in het formulier, anders het adres van het ingelogde lid (alert_incidents). Escalatie-afleverpogingen per incident en doel: aantal pogingen (maximaal vijf), tijdstippen van de laatste en de volgende poging en van het succes, verwijzing naar de e-mail in de outbox, fout (tabel alert_escalation_deliveries). Toewijzing: account van de verantwoordelijke persoon en deadline (in monitored_forms).
Inhoud van de meldingen	Domein, gebeurtenis, een korte toelichting en een link naar de domeinpagina. Geen inhoud van berichten van bezoekers.
Bron	Door de Klant ingevoerd; de bevestigende persoon voert zijn naam zelf in; de Telegram-chat-ID ontstaat wanneer de ontvanger in de bot op “Start” drukt (B.32).
Rechtsgrond (bepaald door de verwerkingsverantwoordelijke)	Bepaald door de Klant; in de regel de organisatie van de eigen bedrijfsvoering van de Klant (Art. 6(1)(b) of (f) AVG ten aanzien van de medewerkers en dienstverleners van de Klant).
Ontvangers	De exploitanten van de gekozen kanalen; zie 4.1. E-mailmeldingen via de e-maildienstverlener (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Derde land	Afhankelijk van het gekozen kanaal; meerdere aanbieders zijn gevestigd in de VS, Telegram buiten de EU zonder adequaatheidsbesluit. Zie 4.1.
Bewaring	Afleverlog na 90 dagen (nachtelijk, fe_alert_log_aufraeumen() uit srv/cron_status.php). Overzichtsmeldingen 30 dagen na de aflevering (cfg/kanal_lib.php, bij elke aflevering van een overzicht). Incidenten zolang ze onopgelost zijn; opgeloste 180 dagen na de oplossing (cfg/vorfall_lib.php, escalatierun), samen met hun escalatie-afleverpogingen. Meldingsdoelen en toewijzingen totdat de Klant ze verwijdert of samen met het domein.
TOM’s	Paragraaf 8. In het bijzonder: webhooks ondertekend met een afzonderlijk geheim per doel; bevestiging pas na een klik (POST), zodat linkvoorbeelden in chatprogramma’s niets activeren; meldingen tijdens een onderhoudsvenster worden alleen gelogd, niet verzonden.

A.4 Personen die toevallig zichtbaar zijn op gecontroleerde pagina’s van de Klant en in screenshots

Veld	Vermelding
Doel	De controle van de domeinen in het account van de Klant (scan, monitoring, actieve controle) leest de openbare pagina’s van de Klant en maakt screenshots van formulieren. Wat de pagina zelf toont, kan betrekking hebben op personen die niets met de controle te maken hebben. Deze gegevens ontstaan toevallig; ze zijn niet het doel van de controle.
Categorieën van betrokkenen	Personen van wie naam, foto of contactgegevens op de gecontroleerde pagina staan (contactpersoon naast het formulier, teamfoto’s op de homepage, colofongegevens).
Categorieën van persoonsgegevens	Screenshots: het zichtbare gedeelte van de homepage, elk zichtbaar formulier als uitsnede, en de afbeelding van de vervolgpagina na een actieve testverzending; opgeslagen als bestanden buiten de webmap, met alleen de verwijzing in de database (scan_screenshots). Formulierstructuur: paginaadres, selector, veldnamen, veldtypen, veldlabels, verplichte en zichtbaarheidskenmerken, labels van verzendknoppen (forms, veld “field map”); geen veldwaarden. De scanner leest het begin van verborgen velden (tot 24 tekens) en data-attributen (tot 60 tekens) alleen tijdens de controle, om tijdstempels en tokens te herkennen; alleen het resultaat wordt opgeslagen. Bevindingen met bewijs (findings), samenvatting met paginatitels (scans). Als in het formulier een e-mailadres als ontvanger voorkomt, wordt alleen het domein daarvan opgeslagen, nooit het adres.
Bron	De openbare pagina’s van het domein van de Klant, opgehaald door de scanner.
Rechtsgrond (bepaald door de verwerkingsverantwoordelijke)	Bepaald door de Klant voor de inhoud van zijn eigen website. Voor ons is de verwerking onderdeel van de opgedragen controle.
Ontvangers	De Klant; bij bureaus hun klant via het portaal of een white-labelrapport; iedereen die een rapportlink ontvangt (rapporten op willekeurige adressen, niet in zoekmachines). Waar het formuliertype onduidelijk is, ontvangt een lokaal taalmodel op onze eigen server de formulierstructuur met paginatitel, paginaadres en de zichtbare tekst van het formulier (tot 400 tekens) voor classificatie; het ontvangt geen afbeeldingen.
Derde land	Geen.
Bewaring	Controleresultaten voor een domein maximaal 13 maanden; de laatste voltooide controle per domein blijft (nachtelijke verwijderrun, onderdeel “oude controleresultaten”). Formulieren, bevindingen, afbeeldingsverwijzingen en de afbeeldingsbestanden verdwijnen met het controleresultaat. Met het domein verdwijnen deze gegevens onmiddellijk (verwijderketen in B.15; uitzonderingen in paragraaf 6.4).
Grenzen van het maskeren	De screenshots van de volledige controle maskeren niets: ze tonen wat de pagina aan elke bezoeker toont. Formuliervelden zijn bij het ophalen leeg, omdat de scanner niets invoert; vooraf ingevulde waarden zouden zichtbaar zijn. Achter een login worden geen screenshots gemaakt (A.5). De afbeeldingen van de browsercontroles maskeren invoervelden (A.6).
TOM’s	Paragraaf 8. In het bijzonder: afbeeldingen zijn alleen via het rapport op te vragen, en het afbeeldingskenmerk van een ander geeft “niet gevonden”; rapporten met noindex; elke controle draait in een eigen geïsoleerde container.

Dezelfde gegevens ontstaan bij controles zonder account (gratis controle, onderzoek, prospectcontrole). Daar is er geen Klant namens wie wij handelen; deze gevallen staan daarom in deel B (B.5, B.7, B.8).

A.5 Inloggegevens van een testaccount voor de scan achter de login

Veld	Vermelding
Doel	Het lezen van formulieren die pas na het inloggen verschijnen (klantengedeelte, ledengedeelte). De scanner logt in met een testaccount dat de Klant op zijn eigen website heeft aangemaakt en leest de opgegeven pagina’s. Behalve het inlogformulier verzendt hij niets, voert hij daar geen actieve test uit, maakt hij geen screenshots en bezoekt hij geen uitlog-, verwijder- of opzeggingsadressen. Als het inlogformulier een CAPTCHA heeft, stopt hij; CAPTCHA’s worden niet omzeild.
Voorwaarde	Geverifieerd domein, betaald abonnement, rol eigenaar of beheerder, uitdrukkelijke bevestiging dat het account een testaccount is. Maximaal vijf pagina’s, allemaal op hetzelfde domein.
Categorieën van betrokkenen	De persoon op wiens naam het testaccount staat (idealiter niemand; de Klant moet een functioneel account gebruiken); personen van wie gegevens op de pagina’s achter de login staan.
Categorieën van persoonsgegevens	Gebruikersnaam en wachtwoord van het testaccount, uitsluitend versleuteld; een hint voor de gebruikersnaam (eerste teken en lengte); inlogadres, lijst van pagina’s, namen van de inlogvelden, succesindicator, persoon die het heeft aangemaakt, tijdstippen, laatste resultaat als korte code (domain_logins). Voor een lopende taak een kopie van de versleutelde tekst (veld “login package” in scan_jobs). Van de pagina’s achter de login: formulierstructuur zoals in A.4, zonder screenshots en zonder cookies.
Bron	Door de Klant in het account ingevoerd.
Rechtsgrond (bepaald door de verwerkingsverantwoordelijke)	Bepaald door de Klant. De Klant staat ervoor in dat hij gerechtigd is het testaccount te gebruiken.
Ontvangers	Geen. Noch de Klant, noch support, noch de programmeerinterface kan de inloggegevens uitlezen; de interface toont alleen de hint voor de gebruikersnaam.
Derde land	Geen.
Bescherming van de inloggegevens	Gebruikersnaam en wachtwoord worden bij het opslaan onmiddellijk versleuteld met de openbare sleutel van de scanserver (X25519, HKDF-SHA256, AES-256-GCM; het domein wordt als bijbehorende gegevens gebonden, zodat een versleutelde tekst niet aan een ander domein kan worden gekoppeld). Alleen de scanserver heeft de privésleutel. Webserver, database en back-ups bevatten alleen versleutelde tekst; ook wij kunnen die daar niet ontsleutelen. De scanserver ontsleutelt alleen voor de run, geeft de inloggegevens alleen via standaardinvoer door aan de geïsoleerde controlecontainer, verwijdert de kopie in de taak onmiddellijk en schrijft ze in geen enkel resultaat, log of fouttekst. Op weg naar de website van de Klant worden ze alleen beschermd door de versleuteling van die website; de grenzen van dit transport staan in paragraaf 10.
Bewaring	Opgeslagen inloggegevens totdat de Klant ze verwijdert. Bij verwijdering wordt de versleutelde tekst overschreven met willekeurige gegevens van dezelfde lengte en wordt de rij verwijderd; wachtende taken worden opgeschoond (fe_login_loeschen()). Met het domein verdwijnt de rij via een externe sleutel. De scanserver wist kopieën in taken na de run; wat overblijft (taak afgebroken, scanserver uitgevallen), wist de statusrun uiterlijk na één uur (fe_login_aufraeumen(), onderdeel “login_jobs”). Databaseback-ups bevatten de versleutelde tekst totdat de back-up na 14 dagen verloopt.
TOM’s	Paragraaf 8. In het bijzonder: asymmetrische versleuteling met gescheiden sleutels; blokkadelijst voor uitlog- en verwijderpaden; geen screenshots achter de login; functie alleen voor betaalde abonnementen en geverifieerde domeinen; elke wijziging in het activiteitenlog (zonder inloggegevens).

Wij hebben bewust geen mogelijkheid ingebouwd om inloggegevens voor de server, de CMS-beheeromgeving of hostingaccounts van de Klant op te slaan. Het testaccount is een bezoekersaccount op de website van de Klant, geen toegang tot het systeem van de Klant.

A.6 Ingestelde formuliertrajecten, browsercontroles en onafhankelijk meetpunt

Veld	Vermelding
Doel	Een gemonitord formulier wordt in een echte browser (Chromium, WebKit of beide) doorlopen tot vlak vóór het verzenden: pagina laden, voorafgaande klikken uitvoeren (maximaal vijf, nooit op een invoerveld of een verzendknop), velden vullen met herkenbaar synthetische waarden (zoals een adres onder de gereserveerde extensie .invalid), formulieren met meerdere stappen doorlopen. De browsercontrole verzendt niets; verzenden is in de browser technisch geblokkeerd. Daarnaast tijdmetingen en visuele vergelijkingen van het formulier.
Categorieën van betrokkenen	Zoals A.4 (personen die zichtbaar zijn op de formulierpagina); medewerkers van de Klant die als verantwoordelijke zijn ingevoerd (A.3).
Categorieën van persoonsgegevens	Configuratie: formulieradres, selectors, startadres, klikstappen, browserkeuze, label, kriticiteit, toewijzing, deadline (monitored_forms). Resultaten per run: status, technische oorzaak van de fout, opgeschoonde foutmeldingen, netwerk- en tijdmetingen, een afbeelding van het formulier als JPEG van maximaal 32 KB met gemaskeerde invoervelden (form_browser_runs). Waarnemingen per controle (form_observations), tijdreeksen (form_performance). Taken met een doellijst (velden “targets” en “result” in scan_jobs).
Testtoegang	Als de Klant een testaccount heeft opgeslagen (A.5), gebruikt de volledige controle dit ook voor ingestelde formuliertrajecten. Volgens de gemeten code werken de afzonderlijke browsercontroles tussen twee volledige controles zonder testaccount.
Onafhankelijk meetpunt	Er is een tweede meetpunt op een andere locatie voorzien, dat vóór een melding een controlemeting zou doen. Het zou het domein, de opgeschoonde configuratie en het taakkenmerk ontvangen, geen invoer van bezoekers en geen inloggegevens. Het is momenteel niet ingericht (standaard uitgeschakeld). Zonder meetpunt is er geen bewijs vanaf een tweede locatie; een melding berust dan op onze eigen meting.
Bron	Ingesteld door de Klant; resultaten uit het ophalen van de pagina van de Klant.
Rechtsgrond (bepaald door de verwerkingsverantwoordelijke)	Bepaald door de Klant voor de inhoud van zijn website en voor de verantwoordelijkheden van zijn medewerkers.
Ontvangers	De Klant; waar een meetpunt is ingericht, de exploitant daarvan (momenteel niemand).
Derde land	Geen.
Bewaring	Resultaten van browserruns, voltooide browsertaken en tijdreeksen na 13 maanden (nachtelijke verwijderrun, onderdelen “browser_runs”, “browser_jobs”, “form_performance”). Configuraties totdat het domein wordt verwijderd (afzonderlijk kunnen ze worden gewijzigd of uitgeschakeld, niet verwijderd); met het domein verdwijnen ze, samen met runs, waarnemingen en tijdreeksen, via externe sleutels.
Wat de meting aantoont	Tijden en statussen uit onze controlebrowser. Ze meten niet wat echte bezoekers ervaren en bewijzen noch voltooiingspercentages noch gemiste aanvragen.
TOM’s	Paragraaf 8. In het bijzonder: verzenden technisch verhinderd; alleen adressen op hetzelfde domein; gemaskeerde afbeeldingen; geïsoleerde controlecontainer.

A.7 “Fix it for me” – ingeplakte formuliercode

Veld	Vermelding
Doel	De Klant plakt de code van zijn formulier in; een taalmodel op onze eigen hardware bouwt de beschermingsmodule in. Terug komen het gewijzigde bestand, een patch, het resultaat van een syntaxiscontrole en een aanwijzing of de controle-aanroep daadwerkelijk is ingebouwd. Zonder ingeplakte code levert de dienst een kant-en-klare module met de veldnamen uit de laatste scan.
Categorieën van betrokkenen	Personen van wie gegevens toevallig in de ingeplakte code staan (zoals een ontvangeradres, namen in opmerkingen, inloggegevens voor een mailserver).
Categorieën van persoonsgegevens	De ingeplakte code, maximaal 30.000 tekens. In de database alleen een vermelding in het activiteitenlog (actie “fix_ai” met werkruimte en tijdstip), die meetelt voor de daglimiet van momenteel tien aanroepen per werkruimte.
Bron	Door de Klant ingeplakt.
Rechtsgrond	Uitvoering van de overeenkomst met de Klant (Art. 6(1)(b) AVG) voor de code zelf; voor gegevens van derden die er toevallig in staan, bepaalt de Klant de grondslag.
Ontvangers	Geen. Het taalmodel draait op onze eigen scanserver in het interne netwerk; geen externe AI-dienst, ook niet als terugvaloptie.
Derde land	Geen.
Bewaring	De code wordt niet opgeslagen. Voor de syntaxiscontrole wordt een tijdelijk bestand aangemaakt en direct daarna verwijderd. De vermelding in het activiteitenlog wordt na 365 dagen verwijderd.
Opmerking voor de Klant	Code met wachtwoorden, API-sleutels of persoonsgegevens moet vóór het inplakken worden opgeschoond. Wij controleren de inhoud niet.
TOM’s	Paragraaf 8. In het bijzonder: alleen eigenaren en beheerders met een betaald abonnement; de ingeplakte code wordt als gegevens gemarkeerd aan het model doorgegeven en nooit uitgevoerd; geen upload naar servers van derden.

A.8 White-labelmerk en contactpersonen van het bureau

Veld	Vermelding
Doel	De rapporten, korte rapporten, bewijslogs en het klantportaal van een bureau (Business-abonnement) verschijnen onder zijn merk, op verzoek onder een eigen subdomein van het bureau.
Categorieën van betrokkenen	Contactpersonen bij het bureau van wie naam of contactgegevens in de contactregel staan.
Categorieën van persoonsgegevens	Bedrijfsnaam, website, contactregel, opmerking voor de klant, accentkleur, weergave, logobestand, schakelaar voor de verwijzing naar formexposed, eigen domein met verificatiekenmerk en verificatiestatus (workspace_branding).
Bron	Door het bureau ingevoerd.
Rechtsgrond	Uitvoering van de overeenkomst met het bureau (Art. 6(1)(b) AVG). Waar de contactregel medewerkers van het bureau noemt, bepaalt het bureau de grondslag.
Ontvangers	Iedereen aan wie het bureau een rapport, kort rapport of portaallink geeft.
Derde land	Geen.
Bewaring	Totdat het bureau ze wijzigt; merk en logobestand verdwijnen met de werkruimte (fe_arbeitsbereich_daten_loeschen()). Een eigen domein waarvan de DNS-verificatie zeven dagen mislukt, wordt uitgeschakeld. Het eigen domein is standaard uitgeschakeld.
TOM’s	Paragraaf 8.

A.9 Tellingen, statusindicatoren en veldfouten uit de plugin en de extensie

Veld	Vermelding
Doel	Eenmaal per dag melden de WordPress-plugin en de TYPO3-extensie cijfers over de formulieren op de gekoppelde website: geblokkeerde verzendingen per reden, verzendingen, verzonden en mislukte e-mails, statusindicatoren van de formulierinstellingen, opgeslagen aanvragen per bron en bewaartermijn. Optioneel, standaard uitgeschakeld: formuliergebeurtenissen en veldfoutcategorieën per veldpositie. Uit deze cijfers ontstaan “Bescherming in cijfers”, het maandelijkse rapport, de stiltemelding en meldingen over riskante instellingen.
Classificatie	De cijfers zijn zo opgezet dat ze geen persoon beschrijven. Wij vermelden ze in deel A omdat ze voortkomen uit gebeurtenissen op de website van de Klant die door de bezoekers van de Klant worden veroorzaakt; naar onze mening zijn het hooguit in grensgevallen persoonsgegevens (een website met zeer weinig verzendingen op een bepaalde dag). De doorgifte zelf (sleutels, versies, host) staat in deel B (B.20).
Categorieën van betrokkenen	Bezoekers van de website van de Klant die een formulier verzenden.
Categorieën van persoonsgegevens	Dagcijfers per host: totaal geblokkeerd en per reden, verzendingen, verzonden en mislukte e-mails, foutcategorie van de e-mailverzending (slechts een van vier categorieën, nooit de fouttekst, omdat die ontvangeradressen kan bevatten), aantallen reCAPTCHA-antwoorden, verwijderde en vrijgegeven aanvragen (plugin_stats). Status: versies uit een vaste lijst van formulier-, CAPTCHA- en mailplugins, instellingsindicatoren als getallen, bewaartermijnen (plugin_health). Wijzigingsmeldingen: naam en versie van een bijgewerkte plugin (plugin_changes). Optioneel: tellers per formulier en dag met foutcategorieën per veldpositie (form_metrics). Nooit: invoer, veldnamen, wachtwoorden, bestanden, e-mailadressen, namen, IP-adressen of blijvende identificatoren van bezoekers.
Bron	De plugin op de website van de Klant, via een programmeerinterface met het koppelgeheim van de website.
Rechtsgrond (bepaald door de verwerkingsverantwoordelijke)	Bepaald door de Klant; de Klant beslist of hij de optionele tellingen activeert en hoe hij zijn bezoekers informeert.
Ontvangers	De Klant. Domeinen uit links in geblokkeerde berichten gaan naar de zwermbescherming (B.21).
Derde land	Geen.
Bewaring	Dagcijfers, wijzigingsmeldingen en formuliertellers na 13 maanden (nachtelijke verwijderrun, onderdelen “plugin_stats” en “form_metrics”). Statusindicatoren worden bij elke melding overschreven. Alle plugingegevens van een host verdwijnen zodra geen enkel domein in het systeem meer naar die host verwijst (onmiddellijk bij het verwijderen van het laatste domein; oude gegevens nachtelijk, onderdeel “orphan_hosts”).
Wat de cijfers aantonen	Wat de plugin heeft geteld. Ze bewijzen noch voltooiingspercentages noch gemiste aanvragen.
TOM’s	Paragraaf 8. In het bijzonder: acceptatie alleen met het gebonden sleutelpaar van de website; alleen bekende sleutels en getallen worden geaccepteerd, al het andere wordt weggegooid; dagen buiten een venster van 14 dagen worden geweigerd.

A.10 Grens: wat alleen op de website van de Klant blijft

De volgende functies van de WordPress-plugin en de TYPO3-extensie verwerken gegevens uitsluitend op de server van de Klant. Ze bereiken ons niet, en wij hebben er geen toegang toe. Alleen de websitebeheerder is verantwoordelijk; de beheerder beslist over activering, bewaartermijnen en de manier waarop hij zijn bezoekers informeert. Daartoe stelt de plugin alinea’s voor de privacyverklaring van de beheerder voor.

Functie	Wat lokaal wordt verwerkt	Bewaring aan de kant van de Klant
Quarantaine	Tegengehouden verzendingen met reden, vrij te geven per e-mail aan het adres van de website	14 dagen
Vangnet	Verzendingen waarvan de formuliere-mail is mislukt, voor opnieuw verzenden (standaard ingeschakeld)	30 dagen
Rekenpuzzel in plaats van reCAPTCHA	Rekenopgave in de browser van de bezoeker, geen dienst van derden (standaard uitgeschakeld)	–
Bewaarinstellingen	Verwijdering van opgeslagen aanvragen in formulierplugins na de door de beheerder gekozen termijn (standaard uitgeschakeld)	zoals ingesteld
Snelheidsbegrenzing	een kortstondige, van het IP-adres afgeleide identificator, die niet aan ons wordt doorgegeven	kortstondig
Lokale dagtellers	Tellerwaarden vóór doorgifte	maximaal 14 dagen
Recorder voor beheerders	technische selectors en navigatiestappen in de sessieopslag van de browser van een ingelogde beheerder; invoer wordt niet gelezen. Alleen de gekozen configuratie wordt doorgegeven (dan A.6)	maximaal 15 minuten
Bezoekershulp	afzonderlijk te activeren; slaat geen concepten op en verzendt niet automatisch opnieuw	–
Observatie van nieuwe spamregels	extra treffers worden lokaal geteld, zonder automatische activering	zeven dagen

A.11 Formulierbescherming (formconfirmed)

Veld	Invulling
Doel	Beoordeling van inzendingen via formulieren op websites van de Klant om geautomatiseerde inzendingen te herkennen: uitgifte en controle van opgaven (rekenbewijs), eenmalige controletokens, invultijd, valveld, veelvuldige verzoeken; op verzoek van de Klant beoordeling van de berichttekst door een taalmodel. Alleen voor Klanten die de formulierbescherming inschakelen.
Categorieën van betrokkenen	Bezoekers van de websites van de Klant die een pagina met een beveiligd formulier openen of het verzenden.
Categorieën van persoonsgegevens	IP-adres (alleen ingekort en met een dagelijks wisselende sleutel gehasht opgeslagen), adres en domein van de pagina, tijdstippen en invultijd, valveld ingevuld ja/nee, browseridentificatie in het logbestand van de webserver; alleen bij ingeschakelde inhoudscontrole de berichttekst (alleen in het werkgeheugen).
Herkomst	Browser van de bezoeker (opgave, controletoken); server van de Klant (controleverzoek, in voorkomend geval tekst).
Ontvangers	De Klant (score, actie, redenen). Geen andere; geen subverwerkers voor deze verwerking.
Derde land	Geen.
Bewaartermijn	Gehashte identificator 1 uur; gebruikte controletokens hoogstens 11 minuten; controleresultaten zonder IP-adres en zonder tekst 30 dagen; dagcijfers 400 dagen; logbestand van de webserver 14 dagen; tekst geen opslag.
TOM's	Paragraaf 8; daarnaast inkorting en hash met dagsleutel, ondertekende opgaven, eenmalig gebruik, taalmodel op eigen hardware zonder logging van de tekst.

4. Deel A – ontvangers, subverwerkers en doorgiften naar derde landen

De volgende tabel vermeldt de ontvangers die wij zelf inschakelen en die gegevens uit deel A kunnen ontvangen. De gezaghebbende, doorlopend bijgewerkte lijst is de pagina Subverwerkers; als die afwijkt van deze tabel, is dat een bevinding, geen opmaakkwestie.

Ontvanger	Wat deze ontvangt	Derde land	Grondslag	Status
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Controlemailbox van de bezorgcontrole (A.1); verzending van meldingsmails (A.3), bevestigingen en rapporten aan portaalabonnees (A.2)	Plaats van verwerking nog te verifiëren; zie de pagina “Subverwerkers”	Verwerkersovereenkomst; doorgiftegrondslag nog te verifiëren	Open. De betreffende overeenkomst, de feitelijke plaatsen van verwerking en de doorgiftegrondslag zijn nog niet gedocumenteerd. Dit register bevestigt noch een certificering noch een gesloten overeenkomst.
Namecheap, Inc. (registrar, DNS; e-maildoorsturing totdat de mailbox is ingericht)	Totdat de mailbox is ingericht, algemene inkomende e-mail aan adressen op ons domein; niet de kopieën uit de bezorgcontrole, die alleen aankomen met MX-records die rechtstreeks naar de mailbox wijzen (A.1)	VS	te verifiëren: certificering onder het EU-US Data Privacy Framework of modelcontractbepalingen	In gebruik; grondslag open.
Onze eigen scanserver met een lokaal taalmodel	Formulierstructuur voor classificatie (A.4), ingeplakte code (A.7), ontsleutelde testtoegang alleen tijdens de run (A.5)	–	Door ons geëxploiteerd, geen derde	In gebruik.
Onafhankelijk meetpunt op een tweede locatie	Domein, opgeschoonde configuratie, taakkenmerk (A.6)	afhankelijk van de locatie	vóór ingebruikname vast te stellen	Niet ingericht.

Hosting: geen derde. Applicatie, database, screenshots en back-ups staan op onze eigen servers in Polen. Als wij overstappen naar een datacenter of cloudprovider, moet deze alinea worden herschreven.

4.1 Door de Klant gekozen meldingskanalen

Naast de ontvangers die wij inschakelen, zijn er kanalen die de Klant voor zijn meldingen kiest (A.3). Onze server zet de doorgifte in gang; de Klant bepaalt het doel en de aanbieder. De keuze van een kanaal ontslaat ons niet van onze eigen verplichtingen als verwerker. Rol, overeenkomst en de voor derde landen vereiste waarborgen moeten per aanbieder worden vastgesteld; voor de chatdiensten is dit nog niet afgerond (open vraag voor de juridische toetsing).

Kanaal	Wat wordt verzonden	Vestigingsplaats van de aanbieder
E-mail	Domein, gebeurtenis, toelichting, link; naar het ingevoerde adres	via Namecheap, Inc. (Private Email), Phoenix, Arizona, USA
Webhook naar een vrij gekozen adres	Gebeurtenis als JSON (domein, gebeurtenissen, regels, link, tijdstempel), ondertekend met het geheim van het doel	bepaald door de Klant
Slack, Discord, Microsoft Teams, Google Chat	dezelfde melding als chatbericht naar het ingevoerde webhookadres	overwegend VS
Telegram	door de Klant gekozen doel; wij sturen het bericht via onze bot naar de gekoppelde chat-ID	buiten de EU, geen adequaatheidsbesluit; doorgiftegrondslag is een open vraag voor de juridische toetsing

In geen enkel geval wordt de inhoud van een bericht van een bezoeker verzonden. De meldingen bevatten domein, gebeurtenis en link.

5. Deel B – Art. 30(1): verwerking onder eigen verantwoordelijkheid

Verwerkingsverantwoordelijke voor alles in dit deel: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen, contact@lukaswojcik.com. Geen vertegenwoordiger vereist (gevestigd in de Unie). Geen functionaris voor gegevensbescherming aangewezen (paragraaf 9). Technische en organisatorische maatregelen: paragraaf 8 en de pagina Technische en organisatorische maatregelen. Hoe betrokkenen hun rechten uitoefenen, staat op de pagina Inzage, verwijdering en uw andere rechten; accounthouders kunnen hun gegevens zelf als bestand downloaden (Instellingen).

Waar wij ons op gerechtvaardigde belangen beroepen (Art. 6(1)(f) AVG), noemen wij het belang en de reden waarom een minder ingrijpend middel niet volstaat. De afweging is onze beoordeling; zij maakt deel uit van de juridische toetsing.

B.1 Bezoekers van onze website – webserverlogs

Veld	Vermelding
Doel	Exploitatie en beveiliging van de website en de app: levering, probleemoplossing, herkennen van aanvallen en overbelasting.
Categorieën van betrokkenen	Iedereen die een pagina van formexposed.com of form.exposed opent, inclusief bezoekers van pagina’s van Klanten van wie de browser onze badge-afbeelding laadt (B.18), ontvangers die een rapport- of bevestigingslink openen, en websites waarvan de plugin onze interface aanroept.
Categorieën van persoonsgegevens	Volledig IP-adres, tijdstip, opgevraagd adres, statuscode, overgedragen bytes, verwijzende pagina (referrer), browseridentificatie (user agent).
Waar opgeslagen	Toegangslogs van de voorgeschakelde proxy en van de webserver als bestanden op de webserver, niet in de database.
Bron	De browser of het programma dat het verzoek doet.
Rechtsgrond	Art. 6(1)(f) AVG. Belang: veilige en ononderbroken exploitatie. Afweging: zonder het volledige adres kunnen herhaalde verzoeken van dezelfde afzender niet aan elkaar worden gekoppeld en kunnen aanvallen niet worden afgeslagen; een ingekort adres maakt dit onderscheid niet mogelijk. De logs worden niet met andere gegevens gecombineerd en na korte tijd verwijderd.
Ontvangers	Geen.
Derde land	Geen.
Bewaring	14 dagen: dagelijkse rotatie met 14 generaties, daarna overschreven (logrotatiedienst van het systeem, niet de nachtelijke verwijderrun van de applicatie).
TOM’s	Paragraaf 8.

B.2 Log van paginaweergaven van de applicatie

Veld	Vermelding
Doel	Beveiliging en misbruikdetectie (wie vraagt wat en hoe vaak op), herleidbaarheid van accounttoegang, eenvoudige gebruiksstatistieken zonder analysedienst.
Categorieën van betrokkenen	Alle bezoekers van de website en gebruikers van de app bij echte paginaweergaven (geen achtergrondverzoeken, geen formulierverzendingen).
Categorieën van persoonsgegevens	Volledig IP-adres, het daaruit bij het wegschrijven afgeleide land (lokale geodatabase, geen query bij een derde), account-ID bij ingelogde gebruikers, opgevraagd adres en verwijzende pagina (toegangstokens daarin, zoals die van rapport- of portaallinks, gemaskeerd), browseridentificatie en het daaruit afgeleide apparaattype, besturingssysteem en browser, taal, tijdstip (access_logs). Tijdens “Bekijken als klant” (B.14) wordt geen account-ID gezet, zodat de paginaweergaven van support niet in het log van de Klant verschijnen.
Bron	Het verzoek van de browser.
Rechtsgrond	Art. 6(1)(f) AVG. Belang: misbruikpreventie en herleidbaarheid. Afweging: zoals B.1; de bewaartermijn is langer omdat misbruikpatronen over weken zichtbaar worden. Of het IP-adres moet worden ingekort of de bewaartermijn verkort, is een open vraag voor de juridische toetsing.
Ontvangers	Geen. Accounthouders ontvangen hun eigen paginaweergaven in de gegevensexport.
Derde land	Geen.
Bewaring	60 dagen (nachtelijk tussen 03:00 en 03:05, srv/cron_status.php, instelling “log van paginaweergaven”).
TOM’s	Paragraaf 8. Het IP-adres wordt alleen uit een doorgestuurde header overgenomen als het verzoek van onze eigen voorgeschakelde proxy komt, en dan alleen de door die proxy toegevoegde vermelding; anders zou iedereen zijn herkomst naar believen kunnen opgeven.

B.3 Cookies en opslag in de browser

Veld	Vermelding
Doel	Technisch noodzakelijke opslag: sessie, bescherming tegen cross-site request forgery (CSRF), tellen van de limieten voor controles zonder account, login, op verzoek ingelogd blijven, lichte of donkere weergave.
Categorieën van betrokkenen	Bezoekers en gebruikers van formexposed.com.
Categorieën van persoonsgegevens	Sessiecookie bpid (sessie-identificator; eindigt bij het sluiten van de browser; HttpOnly, SameSite=Lax, Secure via HTTPS). Cookie bp_remember alleen na het kiezen van “Ingelogd blijven” (selector en verifier; 30 dagen). Lokale opslag bp_theme (licht, donker of systeem). In de beheeromgeving daarnaast lokale weergave-instellingen van de exploitanten. Voor de limieten wordt een hash gevormd uit de sessie-identificator; de identificator zelf wordt niet opgeslagen.
Niet geplaatst	Geen analyse-, advertentie- of trackingcookies. Het partnerprogramma (B.33) werkt zonder cookie. De badge-afbeelding op pagina’s van Klanten plaatst geen cookie (B.18). reCAPTCHA kan bij het verzenden van een beschermd formulier cookies van Google plaatsen (B.23).
Rechtsgrond	Toegang tot de eindapparatuur: strikt noodzakelijk voor de door de gebruiker gevraagde dienst (§ 25(2) nr. 2 TDDDG, de Duitse wet inzake gegevensbescherming bij telecommunicatie en digitale diensten; Art. 399(3) PKE, de Poolse wet op de elektronische communicatie (Prawo komunikacji elektronicznej)). Verwerking: Art. 6(1)(b) AVG (account) en (f) (beveiliging, limieten).
Ontvangers	Geen.
Derde land	Geen.
Bewaring	Sessie; 30 dagen voor het remember-token. De nachtelijke run verwijdert verlopen remember-tokens in de database (remember_tokens); bij afmelden, wachtwoordwijziging en intrekking van een apparaat onmiddellijk.
TOM’s	Paragraaf 8.

B.4 Gratis controle zonder account – acceptatie, limieten en misbruikbewaking

Veld	Vermelding
Doel	Iedereen kan een domein zonder account laten controleren. Om te voorkomen dat het invoerveld een wapen tegen websites van derden wordt, gelden getrapte limieten: één anonieme controle per domein in zeven dagen (daarna hetzelfde rapport), limieten per IP-adres en per sessie in 24 uur, een daglimiet voor het hele systeem, een blokkade voor zeer jonge domeinen, blokkadelijst en opt-out, alleen openbare adressen. Opvallende patronen worden vastgelegd en aan de exploitant gemeld. De limieten per IP-adres, per sessie en voor het hele systeem, elk afzonderlijk geteld, gelden ook voor de controle vanuit de plugin zonder account (een plugin met gebonden sleutelpaar telt per website in plaats van per adres) en voor de opt-out (B.30); de gratis headertool (B.9) heeft eigen limieten per IP-adres en dag en voor het hele systeem.
Categorieën van betrokkenen	Personen die een controle, een verzoek aan de headertool of een opt-out in gang zetten; servers waarop een plugin is geïnstalleerd.
Categorieën van persoonsgegevens	Log van elk verzoek: bron (controle, plugin, headertool, opt-out), volledig IP-adres, hash van de sessie-identificator, gecontroleerde host, land uit het IP-adres, geaccepteerd of geweigerd met reden, tijdstip (check_throttle). Afwijkingen: type (IP-adres, sessie, land, systeem), sleutel (bij type “IP” het volledige IP-adres), patroon, ernst, korte beschrijving, tijdstippen van detectie en afhandeling, afhandelende persoon (abuse_flags). Taak: host, modus, vertrouwensniveau en een ingekorte sessiehash als kenmerk van de aanvrager (scan_jobs). Rapport: willekeurig kenmerk, host, taal, vervaldatum, eerste weergave, aantal weergaven (reports). Gecachete domeinleeftijd uit de registeropvraging (domain_age_cache).
Bron	De invoer van de persoon; zijn verzoek; registeropvraging (RDAP) voor de domeinleeftijd.
Rechtsgrond	Uitvoering van de gevraagde controle: Art. 6(1)(b) AVG (gebruik van de gratis controle volgens de Algemene voorwaarden); subsidiair (f). Limieten en bewaking: Art. 6(1)(f). Belang: voorkomen dat de dienst wordt gebruikt als instrument tegen websites van derden of als spamkanon. Afweging: zonder koppeling aan het adres en de sessie zouden de limieten niet kunnen worden gehandhaafd; de termijn van zeven dagen is zo kort als de langste daaruit getelde limiet.
Ontvangers	Google (reCAPTCHA bij het verzenden, B.23). Voor de domeinleeftijd raadpleegt de scanner de RDAP-doorverwijsdienst rdap.org, die doorstuurt naar het verantwoordelijke register; alleen de domeinnaam wordt doorgegeven. Bij een afwijking ontvangt de exploitant via Telegram een signaal zonder enige variabele (geen host, geen adres). Het rapport kan worden bekeken door wie de willekeurige link ervan heeft.
Derde land	VS via reCAPTCHA (B.23).
Bewaring	Verzoeklog 7 dagen (nachtelijk, srv/cron_status.php). Afgehandelde afwijkingen 90 dagen na afhandeling; niet-afgehandelde blijven bestaan totdat iemand ze afhandelt (paragraaf 10). Anonieme rapporten verlopen na 30 dagen; de nachtelijke run verwijdert dan rapport, taak, controleresultaat, formulieren, bevindingen en afbeeldingen (fe_reports_aufraeumen()). Een beheerder kan vermeldingen voor een adres handmatig vrijgeven; daarbij wordt het log daarvan voor de afgelopen 24 uur verwijderd.
TOM’s	Paragraaf 8. Noodstop voor alle anonieme controles in de beheeromgeving; tegendruk die bij een achterstand geen nieuwe gratis controles accepteert.

B.5 Crawlercontrole van websites van derden

Veld	Vermelding
Doel	Beveiligingscontrole van openbare contactformulieren: waarborgen tegen spam en misbruik, kenmerken op het gebied van gegevensbescherming en toegankelijkheid, ingesloten scripts van derden, gedrag na weigering in de cookiebanner, mobiele weergave. Geldt voor controles zonder account (B.4), voor domeinen in een account die nog niet zijn geverifieerd, en als basis voor het onderzoek (B.7) en de prospectcontrole (B.8). Voor geverifieerde domeinen in een account handelen wij namens de Klant (A.4).
Gedrag van de crawler	Eigen identificatie met een verwijzing naar de crawlerpagina; leest robots.txt vóór de controle en stopt als een disallow-regel de homepage omvat (eveneens als robots.txt niet bereikbaar is of er een serverfout optreedt); disallow-regels voor afzonderlijke subpaden worden niet apart in acht genomen. Formulierpuls, ophalen van het bewijs, headertool en het zoeken naar blootgestelde bestanden lezen robots.txt niet. Maximaal acht openbare pagina’s per controle, plus tot drie pagina’s met een klik op “Weigeren” in de cookiebanner, tot drie pagina’s in telefoonweergave, actieve tests voor geverifieerde domeinen en tot vijf pagina’s achter een login (A.5); de pagina’s worden na elkaar geladen, niet parallel; alleen openbare adressen, geen interne netwerken, omleidingen worden opnieuw gecontroleerd; blokkadelijst en opt-out worden vóór acceptatie en een tweede keer in de scanner gecontroleerd. Passief: zonder bewijs van zeggenschap wordt voor Klanten niets verzonden (uitzondering: interne controles van onze eigen test- en demodomeinen, B.6).
Categorieën van betrokkenen	Beheerders van de gecontroleerde websites (voor zover het natuurlijke personen zijn, zoals eenmanszaken); personen die toevallig zichtbaar zijn op de gecontroleerde pagina’s.
Categorieën van persoonsgegevens	Zoals A.4: paginaadressen en -titels, formulierstructuur (veldnamen, -typen en -labels, geen veldwaarden), waarborgen, scripts van derden (adressen; account-ID’s van pixels en opnametools worden vóór opslag vervangen), gedrag van de cookiebanner, screenshots (zichtbaar gedeelte van de homepage, formulieren). Als in het formulier een ontvangeradres voorkomt, alleen het domein daarvan (scans, forms, findings, scan_screenshots).
Bron	Openbaar toegankelijke pagina’s.
Rechtsgrond	Art. 6(1)(f) AVG. Belang: uitvoeren van de gevraagde beveiligingscontrole; websitebeheerders wijzen op zwakke plekken die hun bezoekers kunnen schaden. Afweging: er wordt alleen gelezen wat elke bezoeker ziet, in beperkte omvang en zonder iets te verzenden; de beheerder kan zijn domein op elk moment zonder bewijs permanent uitsluiten. Informatie op grond van Art. 14 AVG wordt verstrekt via de crawlerpagina, de opt-out en de Privacyverklaring; of dit volstaat op grond van Art. 14(5)(b), is een open vraag voor de juridische toetsing.
Ontvangers	Wie het rapport in gang zet en iedereen aan wie hij de willekeurige link geeft; het lokale taalmodel op onze eigen server waar het formuliertype onduidelijk is (formulierstructuur, paginatitel en -adres, zichtbare tekst van het formulier). Waarschuwingen over kwetsbaarheden op basis van pluginversies verschijnen nooit in anonieme rapporten.
Derde land	Geen.
Bewaring	Anoniem: 30 dagen (B.4). Prospectcontrole: 90 dagen (B.8). Onderzoek: tot de publicatie (B.7). Domein in een account: maximaal 13 maanden, de laatste controle blijft; onmiddellijk met het domein. Interne controles door de exploitant zonder domein en zonder rapport (zoals die vanaf de opdrachtregel worden aangemaakt): geen bewaartermijn (paragraaf 10). Tijdelijke bestanden op de scanserver worden na elke run verwijderd.
TOM’s	Paragraaf 8. In het bijzonder: afzonderlijke controlecontainer met ingeperkte rechten, alleen-lezen bestandssysteem, geheugenlimiet en een eigen netwerk; dubbele doelcontrole.

B.6 Actieve testverzendingen

Veld	Vermelding
Doel	Controleren of een contactformulier een verzending zonder bescherming accepteert, of CAPTCHA, val (honeypot), token, validatie van e-mailadressen en snelheidsbegrenzing aan de serverkant werken, en of headers kunnen worden geïnjecteerd.
Voorwaarde	Voor Klanten alleen voor domeinen waarvoor bewijs van zeggenschap is geleverd (DNS-record, metatag, bestand of gekoppelde plugin); daarnaast maakt de exploitant met een interne opdrachtregeltool controles met het niveau “geverifieerd” aan voor onze eigen test- en demodomeinen. Alleen met ingeschakelde globale schakelaar, alleen voor een formulier dat betrouwbaar als algemeen contactformulier is geclassificeerd. Nooit voor bestellingen, boekingen, registraties, nieuwsbrieven, betalingen, bestandsuploads, verplichte velden met echte persoonsgegevens, of domeinen van overheidsinstanties, zorg- of onderwijsinstellingen.
Categorieën van betrokkenen	Medewerkers van de Klant die de formuliere-mails ontvangen.
Categorieën van persoonsgegevens	De testverzending bevat geen persoonsgegevens: afzender “FormExposed Security Scanner”, ons eigen afzenderadres of een adres onder .invalid, een gemarkeerde onderwerpregel en een tekst in de taal van de pagina met een verwijzing naar de crawlerpagina en opt-out en het controlenummer. Door ons opgeslagen: de reactie van de pagina, bevindingen, een afbeelding van de vervolgpagina (zoals A.4).
Omvang	Maximaal vijf verzendingen per controle (instelling, standaard 5); terugkerend met de controlefrequentie van het abonnement, dagelijks in het hoogste abonnement.
Bron	De instructie van de Klant.
Rechtsgrond	Uitvoering van de overeenkomst met de Klant (Art. 6(1)(b) AVG); de verzendingen gaan naar het eigen formulier van de Klant. Voor de ontvangers bij de Klant: de organisatie van de Klant.
Ontvangers	De Klant (zijn formuliere-mail).
Derde land	Geen via ons.
Bewaring	Resultaten zoals A.4.
TOM’s	Paragraaf 8. Header-injectie wordt alleen gedetecteerd, nooit uitgevoerd met een echte ontvanger; de validatie van e-mailadressen gebruikt alleen een domein dat niet kan bestaan.

B.7 Onderzoek “Formulierbeveiligingsindex”

Veld	Vermelding
Doel	Statistieken over de bescherming van contactformulieren in een land of sector. Er worden alleen totalen gepubliceerd, zonder namen van websites; segmenten pas vanaf 20 pagina’s met een formulier.
Categorieën van betrokkenen	Beheerders van de websites op de lijst; toevallig zichtbare personen.
Categorieën van persoonsgegevens	Zoals B.5, uitsluitend passief. Daarnaast de lijst: host, segment, status, taak (study_domains); onderzoek met titel, land, resultaattotalen (studies).
Bron	Een door de exploitant samengestelde lijst van openbare websites; de pagina’s zelf.
Rechtsgrond	Art. 6(1)(f) AVG. Belang: statistische uitspraken over de stand van de formulierbeveiliging. Afweging: passief, afgeremd (weinig taken per run), blokkadelijst en opt-out gelden, publicatie alleen als totalen, ruwe gegevens worden verwijderd.
Ontvangers	Het publiek, alleen totalen.
Derde land	Geen.
Bewaring	Ruwe gegevens (controleresultaten, formulieren, bevindingen, afbeeldingen, taken) worden bij publicatie verwijderd (fe_studie_veroeffentlichen()). De lijst van hosts met segment blijft daarna bestaan; daarvoor en voor onderzoeken die nooit worden gepubliceerd, bestaat geen bewaartermijn (paragraaf 10). De exploitant beslist welke lijsten worden gecontroleerd en of onderzoeken worden gepubliceerd.
TOM’s	Paragraaf 8.

B.8 Prospectcontrole (acquisitiemodus voor bureaus)

Veld	Vermelding
Doel	Een bureau (Business-abonnement) controleert passief de website van een prospect en ontvangt een kort rapport onder zijn merk en het passieve rapport. Wij nemen met niemand contact op; het bureau geeft de link zelf door.
Categorieën van betrokkenen	Beheerder van de gecontroleerde website; toevallig zichtbare personen; medewerkers van het bureau die de controle in gang zetten.
Categorieën van persoonsgegevens	Zoals B.5, uitsluitend passief. Daarnaast: werkruimte, persoon die de controle in gang zet, host, willekeurig kenmerk van het rapport, tijdstip (prospect_checks).
Bron	De invoer van het bureau; openbare pagina’s.
Rechtsgrond	Art. 6(1)(f) AVG (ons belang bij het leveren van de dienst en het belang van het bureau bij een onderbouwde benadering). De rollen van het bureau en ons en de verplichtingen van het bureau bij het doorgeven van het rapport zijn open vragen voor de juridische toetsing: als het bureau het rapport ongevraagd per e-mail verstuurt of belt, is dat direct marketing waarvoor toestemming vereist is op grond van Art. 398 PKE en § 7(2) UWG (de Duitse wet tegen oneerlijke concurrentie), ook tussen ondernemingen. Dat valt onder de verantwoordelijkheid van het bureau; de Algemene voorwaarden verplichten het daartoe.
Ontvangers	Het bureau en iedereen aan wie het de link geeft.
Derde land	Geen.
Bewaring	Rapport en controleresultaat verlopen na 90 dagen en worden dan door de nachtelijke run verwijderd (fe_reports_aufraeumen()); de controlevermelding wordt na 90 dagen verwijderd in de dagelijkse zwermrun vanaf 04:00 (srv/cron_status.php). Met de werkruimte onmiddellijk.
TOM’s	Paragraaf 8. Maandquotum (instelling, standaard 30); dezelfde pagina binnen zeven dagen levert hetzelfde rapport op; opt-out geldt.

B.9 Headertool zonder account

Veld	Vermelding
Doel	Gratis beoordeling (A+ tot F) van de beveiligingsheaders van de homepage van een domein. Twee verzoeken, geen browser, geen formulier, geen verzending.
Categorieën van betrokkenen	Personen die de tool gebruiken; beheerders van het gecontroleerde domein.
Categorieën van persoonsgegevens	Verzoeklog zoals B.4 (bron “headers”, IP-adres, sessiehash, host). Resultaat: host, beoordeling, punten, geëvalueerde headers (header_checks).
Rechtsgrond	Art. 6(1)(f) AVG, zoals B.4 en B.5.
Ontvangers	Google (reCAPTCHA, B.23).
Derde land	VS via reCAPTCHA.
Bewaring	Verzoeklog 7 dagen; resultaten na momenteel 90 dagen (nachtelijke verwijderrun, onderdeel “header_checks”, instelling “headers_keep_days”). Voor domeinen in een account wordt de beoordeling dagelijks opnieuw bepaald en bij het domein opgeslagen.
TOM’s	Paragraaf 8. Limieten per IP-adres en dag; opt-out geldt.

B.10 Klantaccounts

Veld	Vermelding
Doel	Beheer van klantaccounts, werkruimten en abonnementen.
Categorieën van betrokkenen	Klanten (ondernemingen) en hun teamleden met een eigen account.
Categorieën van persoonsgegevens	E-mailadres en genormaliseerde vorm, wachtwoord alleen als hash, voornaam (verplicht), achternaam en bedrijf (indien opgegeven); adres en btw-id slaat de applicatie niet op, die worden alleen bij Stripe opgegeven (B.26); status, taal, weergavemodus, valuta, abonnement en factureringsstatus, klant- en abonnements-ID bij Stripe, einde van de factureringsperiode, opzegging aan het einde van de periode, bevestigings- en resetkenmerken met vervaldatum, nieuw e-mailadres tot de bevestiging, tijdstip van registratie, laatste login en laatste IP-adres, tijdstip waarop alle sessies zijn ingetrokken, gegevens van de tweede factor (B.11), maandelijks rapport aan/uit, tijdstip van de herinneringsmail, vrijgaven via codes, verwijzingscode en verwijzing (users). Werkruimten met naam, tijdstippen, status (workspaces); lidmaatschap met rol en datum van toetreding (workspace_users).
Bron	Registratie en instellingen door de persoon; factureringsstatus van Stripe.
Rechtsgrond	Art. 6(1)(b) AVG (overeenkomst). Laatste IP-adres: (f) (accountbeveiliging).
Ontvangers	Stripe (B.26); e-maildienstverlener voor accountmails (B.25). Leden van dezelfde werkruimte zien naam, e-mailadres en rol van de andere leden.
Derde land	Via Stripe en de e-maildienstverlener.
Bewaring	Totdat de accounthouder het verwijdert. Bij verwijdering verdwijnen de eigen werkruimten van de houder die niemand anders gebruikt, met alle domeinen en hun gegevens; werkruimten met andere leden gaan over op een ander lid, eerst op beheerders, en daaronder op het langst aanwezige lid. Lidmaatschappen, remember-tokens, apparaten, API-sleutels, openstaande Telegram-codes, feedback op rapporten (B.35) en de accountrij worden verwijderd; een lopend betaald abonnement wordt eerst onmiddellijk bij Stripe beëindigd, zonder terugbetaling (www/ajax.php, fe_konto_reste_loeschen()). Een opzegging in het factureringsgedeelte werkt daarentegen tegen het einde van de periode; daarna loopt het account door in het gratis abonnement. Wat blijft bestaan, staat in paragraaf 6.4. Nooit bevestigde accounts waarmee nooit is ingelogd, worden na 30 dagen verwijderd, tenzij er een ander lid aan hun werkruimte is gekoppeld (nachtelijke verwijderrun, onderdeel “pending_accounts”). Er is geen verwijdering van inactieve accounts. Eindigt de overeenkomst voor het account op een andere manier, bijvoorbeeld door onze opzegging, dan verwijderen wij het account uiterlijk 30 dagen na het einde van de overeenkomst; dit gebeurt momenteel handmatig (toegezegd in de Verwerkersovereenkomst).
TOM’s	Paragraaf 8.

B.11 Login, apparaten, tweede factor en activiteitenlog

Veld	Vermelding
Doel	Bescherming van accounts: beperken van inlog- en andere wachtwoordpogingen, weergeven en intrekken van ingelogde apparaten, inloggen met tweede factor, herleidbaarheid van wijzigingen.
Categorieën van betrokkenen	Accounthouders en teamleden; personen die een login, een registratie of het wachtwoord van een klantportaal proberen.
Categorieën van persoonsgegevens	Inlogpogingen: IP-adres, ingevoerd e-mailadres, succes, tijdstip (login_attempts). Apparaten: hash van de sessie-identificator (nooit de identificator zelf), koppeling aan het remember-token, IP-adres, browseridentificatie en de daaruit afgeleide browser, besturingssysteem en apparaattype, tijdstippen van login, laatste activiteit en intrekking, en bij “Bekijken als klant” het kenmerk van de supportmedewerker (login_sessions). Remember-tokens voor “Ingelogd blijven”: selector, verifier, vervaldatum (remember_tokens). Tweede factor: geheim versleuteld, tijdstip van activering, laatst gebruikte tijdstap, herstelcodes alleen als hash (in users). Activiteitenlog: account, werkruimte, actie, doel, details, IP-adres, land, tijdstip (audit_logs). Pogingentellers voor login, de tweede factor, wachtwoordbevestiging, wachtwoordreset, registratie en wachtwoorden van klantportalen: een HMAC-sleutel afgeleid van het doel en de account-ID (bij een onbekend adres of bij een reset het in kleine letters omgezette e-mailadres), het IP-adres, account en IP-adres samen, of de portaal-ID (ook samen met het IP-adres), aantal pogingen, vervaldatum; e-mail- en IP-adressen worden daar niet in leesbare vorm opgeslagen (tabel auth_attempt_buckets).
Rechtsgrond	Art. 6(1)(b) AVG in samenhang met Art. 32 (apparatenlijst, tweede factor) en (f) (inlogpogingen, activiteitenlog). Belang: accounts beschermen tegen overname, wijzigingen documenteren (Art. 5(2)). Afweging: een ingekort adres beantwoordt de vraag “was ik dat?” niet; het activiteitenlog moet een geschil overleven dat pas maanden later ontstaat.
Ontvangers	Geen. De accounthouder ziet zijn apparaten en ontvangt inlogpogingen, apparaten en activiteiten in de gegevensexport; tijdens een sessie “Bekijken als klant” verschijnen daar noch het IP-adres noch de browser van de supportmedewerker.
Derde land	Geen.
Bewaring	Inlogpogingen 7 dagen; na een geslaagde login worden de mislukte pogingen vanaf hetzelfde adres onmiddellijk verwijderd. Pogingentellers aan het einde van hun tijdvenster (momenteel 15 minuten, één uur voor wachtwoordreset en registratie); verlopen tellers worden bij de volgende toegang en door de nachtelijke run verwijderd. Apparaten 90 dagen na het laatste gebruik of na intrekking (nachtelijke verwijderrun, onderdeel “sessions”), onmiddellijk met het account. Remember-tokens verlopen na 30 dagen. Activiteitenlog 365 dagen (nachtelijk); bij verwijdering van een account blijven de vermeldingen daarvan tot het einde van de bewaartermijn bestaan (paragraaf 6.4).
TOM’s	Paragraaf 8.

B.12 Bewijs van de totstandkoming van de overeenkomst

Veld	Vermelding
Doel	Aantonen welke versie van de Algemene voorwaarden, de Verwerkersovereenkomst en de Privacyverklaring een Klant bij de registratie heeft aanvaard of waarvan hij kennis heeft genomen, en dat de Klant de dienst voor zijn onderneming gebruikt.
Categorieën van betrokkenen	Klanten.
Categorieën van persoonsgegevens	Per document: account, document, versie (hash van de getoonde tekst), aanleiding, IP-adres, browseridentificatie, tijdstip (legal_consents). De getoonde versie zelf met volledige tekst, taal, titel en adres, eenmaal per versie (legal_versions; bevat geen persoonsgegevens).
Rechtsgrond	Art. 6(1)(b) en (f) AVG (bewijs van de totstandkoming van de overeenkomst, verweer tegen vorderingen).
Ontvangers	Geen. De accounthouder ontvangt zijn vastleggingen in de gegevensexport.
Derde land	Geen.
Bewaring	Zolang het account bestaat; na verwijdering van het account vier jaar vanaf de toestemming, daarna nachtelijk verwijderd (srv/cron_status.php). Motivering in de code: verjaringstermijn van drie jaar vanaf het einde van het jaar, naar boven afgerond. Of het Poolse recht een andere termijn aangeeft, maakt deel uit van de juridische toetsing.
TOM’s	Paragraaf 8. Als een van de drie documenten ontbreekt, is de registratie gesloten.

B.13 Teamuitnodigingen

Veld	Vermelding
Doel	Andere personen uitnodigen in een werkruimte.
Categorieën van betrokkenen	Genodigden.
Categorieën van persoonsgegevens	E-mailadres, rol, uitnodigingskenmerk, uitnodigende persoon, vervaldatum, tijdstip van aanvaarding (workspace_invites); de uitnodigingsmail in de outbox (B.25).
Bron	Ingevoerd door het uitnodigende lid.
Rechtsgrond	Art. 6(1)(b) AVG ten aanzien van de Klant; jegens de uitgenodigde persoon (f) (het belang van de Klant om zijn team te betrekken).
Ontvangers	E-maildienstverlener (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Derde land	Via de e-maildienstverlener.
Bewaring	Een uitnodiging is 14 dagen geldig en alleen zolang de uitnodigende persoon eigenaar of beheerder van de werkruimte is. Niet-aanvaarde uitnodigingen na afloop, aanvaarde 30 dagen na aanvaarding (nachtelijk, srv/cron_status.php en onderdeel “invites” in cfg/fristen_lib.php). Met de werkruimte onmiddellijk.
TOM’s	Paragraaf 8.

B.14 “Weergave als Klant” door support

Veld	Invulling
Doel	Een superbeheerder ziet de applicatie zoals een Klant die ziet, om een supportvraag op te lossen (“bij mij ontbreekt de knop”).
Categorieën van betrokkenen	De betrokken Klant; de superbeheerder.
Categorieën van persoonsgegevens	Alles wat de Klant in de applicatie ziet. Vastgelegd: een aparte apparaatregel met de identificatiecode van de superbeheerder (login_sessions), begin en einde in het activiteitenlogboek (audit_logs).
Rechtsgrond	Art. 6(1)(b) AVG (support als onderdeel van de dienst), subsidiair (f).
Grenzen	Maximaal één uur, daarna volledige afmelding. Het beëindigen van de weergave meldt de superbeheerder ook volledig af, inclusief de sessie waaruit hij of zij kwam; terugkeer naar het beheergedeelte is alleen mogelijk door opnieuw in te loggen met wachtwoord en tweede factor. Eindigt onmiddellijk als de superbeheerder wordt teruggezet of geblokkeerd. Alles wat het account van de Klant wijzigt, is geblokkeerd: wachtwoord, e-mailadres, tweede factor, apparaten, abonnement, export, verwijdering, overdracht. Het beheergedeelte is tijdens de sessie gesloten. De Klant ziet de toegang in zijn of haar apparatenlijst en in de gegevensexport als supporttoegang.
Ontvangers	Geen.
Derde land	Geen.
Bewaartermijn	Apparaatregel 90 dagen, activiteitenlogboek 365 dagen.
TOM's	Paragraaf 8.

B.15 Domeinen, bewijs van zeggenschap en monitoring

Veld	Invulling
Doel	De kerndienst voor Klanten: domeinen in het account beheren, bewijs van zeggenschap leveren, regelmatig controleren en wijzigingen detecteren. Hiertoe behoren de formulierpuls (een lichte aanvraag zonder browser elke 10 tot 30 minuten, afhankelijk van het abonnement), de dagelijkse bewaking van mail-DNS en certificaat, de vervaldatum van het domein, blocklists, blootgestelde bestanden, van buitenaf zichtbare versies, de scriptinventaris, visuele wijzigingen aan het formulier, storingen bij CAPTCHA- en mailproviders en de bewaking van kwetsbaarheden in formulierplug-ins.
Categorieën van betrokkenen	Klanten en hun teamleden; beheerders van de domeinen, voor zover zij natuurlijke personen zijn.
Categorieën van persoonsgegevens	Domein met host, openbare identificatiecode, notitie, klantlabel, type en identificatiecode van het bewijs, controlefrequentie, monitoring aan/uit, onderhoudsvensters, waarde per aanvraag, identificatiecodes voor badge, bezorgingscontrole en deploy-hook, plug-insleutel, statussen en laatste resultaten van de bewakingen (DNS, certificaat, echtheid van de formulier-e-mail, blocklists, blootgestelde bestanden, headers, versies) (domains). Puls per formulierpagina (form_pulse). Kwetsbaarheden op basis van plug-inversies (vuln_hits). Scriptinventaris met adres, hash, grootte, goedkeuring met goedkeurende persoon en reden (script_inventory, script_changes). Controles zoals A.4. Bij blootgestelde bestanden worden pad, ernst en type opgeslagen, nooit de inhoud.
Aanvragen bij derden	DNS-query's (SPF, DMARC, MX, bewijsrecord). Registeropvraging via RDAP volgens de IANA-directory: alleen de domeinnaam. DNS-blocklists (SpamCop, PSBL, Mailspike, SURBL; Spamhaus alleen met opgeslagen toegangsgegevens, momenteel niet): IP-adressen van de web- en mailserver en de domeinnaam, geen bezoekersgegevens. Google Web Risk alleen indien ingericht (momenteel niet): het adres van de startpagina. Tijdstempelautoriteit: alleen een hashwaarde (B.19). WPVulnerability: alleen de identificatiecode van een plug-in of thema, of de WordPress-versie; de vergelijking met de geïnstalleerde plug-inversie voeren wij zelf uit. Statuspagina's van Cloudflare, hCaptcha, Google Cloud, SendGrid, Mailgun en Brevo: er wordt niets doorgegeven behalve de aanvraag zelf.
Bron	Klant; aanvragen bij de pagina van de Klant; openbare directory's.
Rechtsgrond	Art. 6(1)(b) AVG.
Ontvangers	De genoemde diensten ontvangen geen persoonsgegevens van onze Klanten, voor zover domeinnamen en serveradressen van een onderneming geen persoonsgegevens zijn; bij eenmanszaken kan de domeinnaam een persoonsgegeven zijn. Leden van de werkruimte zien het domein.
Derde land	De aanvragen kunnen diensten in derde landen bereiken (zoals registeropvragingen, blocklists). Alleen wat in de regel “Aanvragen bij derden” is vermeld, wordt doorgegeven.
Bewaartermijn	Tot het domein wordt verwijderd. fe_domain_loeschen() verwijdert dan onmiddellijk controleresultaten, formulieren, bevindingen, afbeeldingen, rapporten, taken, meldingsdoelen en meldingslogboek, incidenten, Telegram-codes, bezorgingen, puls, kwetsbaarheden en bewijzen; via vreemde sleutels gemonitorde formulieren, browserruns, testaccount en formuliertellers; de plug-ingegevens van de host als geen ander domein ernaar verwijst. Eveneens verwijderd worden de scriptinventaris en de scriptwijzigingen van het domein; deze hebben geen eigen bewaartermijn (paragraaf 6.4). Controleresultaten maximaal 13 maanden, het laatste blijft bewaard.
TOM's	Paragraaf 8. Bewaking van blootgestelde bestanden en versies alleen voor geverifieerde domeinen, maximaal één aanvraag per pad, alleen de eerste 8 KB; ongevraagd paden van derden aftasten zou een aanvalsinstrument zijn.

B.16 Meldingen, incidenten en escalatie richting de accounthouder

Veld	Invulling
Doel	De Klant informeren over storingen en wijzigingen, onderhoudsvensters in acht nemen, incidenten bevestigen en escaleren. Voor zover de doelen derden zijn, handelen wij in opdracht van de Klant (A.3); voor zover het de accounthouder zelf betreft, is dat hier geregeld.
Categorieën van betrokkenen	Accounthouders en teamleden als ontvangers.
Categorieën van persoonsgegevens	Zoals A.3. Meldingen verschijnen in de taal van de accounthouder.
Rechtsgrond	Art. 6(1)(b) AVG.
Ontvangers	Maildienstverlener; gekozen chatdiensten (4.1).
Derde land	Afhankelijk van het kanaal (4.1).
Bewaartermijn	Zoals A.3: bezorgingslogboek 90 dagen, overzichtsmeldingen 30 dagen na bezorging, incidenten tot de oplossing en daarna 180 dagen. Meldingsdoelen met het domein.
TOM's	Paragraaf 8.

B.17 Maandrapport aan accounts

Veld	Invulling
Doel	Op de 1e van elke maand vanaf 08:00 (inhaalverzending tot de 3e) één e-mail per account over al zijn domeinen: niveau, score en wijziging, meldingen, geblokkeerde bots, e-mailverzending, vergelijkingswaarde.
Categorieën van betrokkenen	Actieve accounthouders bij wie het maandrapport is ingeschakeld.
Categorieën van persoonsgegevens	E-mailadres, taal, kerncijfers van de domeinen.
Rechtsgrond	Art. 6(1)(b) AVG (onderdeel van de dienst). Kan in de instellingen worden afgemeld; kan centraal worden uitgeschakeld.
Ontvangers	Maildienstverlener (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Derde land	Via de maildienstverlener.
Bewaartermijn	Geen afzonderlijke opslag; de e-mail blijft 30 dagen in de outbox (B.25).
TOM's	Paragraaf 8.

B.18 Badge en openbare bevestigingspagina

Veld	Invulling
Doel	Een Klant kan een badge-afbeelding op zijn of haar website insluiten en die koppelen aan een openbare bevestigingspagina. De badge toont alleen “Beschermd” als het domein geverifieerd is, de monitoring loopt en de laatste afgeronde controle maximaal 45 dagen oud is en “Beschermd” of “Gedeeltelijk beschermd” opleverde; anders toont hij neutraal “Controle contactformulier”. De bevestigingspagina vermeldt niveau en datum, geen afzonderlijke bevindingen.
Categorieën van betrokkenen	Bezoekers van de website van de Klant van wie de browser de afbeelding laadt; bezoekers van de bevestigingspagina.
Categorieën van persoonsgegevens	Bij het laden van de afbeelding: IP-adres, tijdstip, opgevraagd adres, verwijzende pagina en browseridentificatie in het webserverlogboek (B.1). Het afbeeldingsadres start geen sessie, plaatst geen cookie en schrijft niet naar het logboek van paginaweergaven. De bevestigingspagina is een normale pagina (B.2, B.3).
Rechtsgrond	Art. 6(1)(f) AVG. Belang: de afbeelding leveren en de werking veilig houden. Of de Klant en wij gezamenlijke verwerkingsverantwoordelijken zijn voor de doorgifte van het IP-adres van de bezoeker, in de zin van de rechtspraak over ingesloten inhoud van derden, en of een regeling op grond van Art. 26 vereist is, is een open vraag voor de juridische toetsing. De Klant ontvangt een tekstvoorstel voor zijn of haar privacyverklaring.
Ontvangers	Geen.
Derde land	Geen.
Bewaartermijn	14 dagen (webserverlogboek). De afbeelding wordt één uur in de cache bewaard. Wanneer de badge wordt uitgeschakeld, vervalt de geldigheid van de identificatiecode.
TOM's	Paragraaf 8.

B.19 Bewijslogboek en tijdstempel

Veld	Invulling
Doel	Eén logboek per domein en maand (betaalde abonnementen): wat is gecontroleerd, met welk resultaat, wat is gemeld en wat is gewijzigd, als bewijs ten behoeve van de verantwoordingsplicht, verzekeraars of leveranciersaudits. Elke versie krijgt een controlenummer; een openbare pagina bevestigt domein, periode en kerncijfers, geen details. Sinds 7 oktober 2026 bevestigt een tijdstempelautoriteit volgens RFC 3161 het tijdstip.
Categorieën van betrokkenen	Klanten; indirect personen die in het logboek als goedkeurders of bevestigers kunnen worden genoemd.
Categorieën van persoonsgegevens	Domein, maand, controlenummer, inhoudshash (SHA-512), samenvatting en gegevens van het logboek, tijdstempelantwoord, tijdstempelautoriteit en tijdstip, mislukte pogingen (proof_docs).
Rechtsgrond	Art. 6(1)(b) AVG.
Ontvangers	De tijdstempelautoriteit (standaard Certum, uitwijkoptie DigiCert) ontvangt alleen de hash van het logboek, niet de inhoud. Openbaar: kerncijfers via de bevestigingspagina. De Klant en iedereen aan wie de Klant het logboek of het controlenummer verstrekt.
Derde land	Geen doorgifte van persoonsgegevens: een hash laat geen conclusies over de inhoud toe. De uitwijkautoriteit is gevestigd in de VS.
Bewaartermijn	Tot het domein wordt verwijderd (fe_domain_loeschen()). De tijdstempel is geen gekwalificeerde tijdstempel in de zin van eIDAS.
TOM's	Paragraaf 8.

B.20 Plug-in en extensie: controle, koppeling en doorgifte

Veld	Invulling
Doel	De WordPress-plug-in en de TYPO3-extensie kunnen een controle aanvragen (ook zonder account), met een account koppelen (de installatie geldt met één klik in het account als bewijs van zeggenschap), beschermingsfuncties ontgrendelen, dagelijks cijfers rapporteren (A.9) en e-mailfouten en de onderhoudsmodus onmiddellijk melden.
Categorieën van betrokkenen	Klanten; beheerders van websites die de plug-in zonder account gebruiken.
Categorieën van persoonsgegevens	Per host: plug-in- en CMS-versie, aantal controles, identificatiecode van het laatste rapport, hash van het koppelingsgeheim, eerste en laatste contact (plugin_sites). Eenmalige koppelingscodes als hash met vervaldatum (plugin_connect_tokens). Uitrolcodes van een bureau als hash met prefix, label, gebruiken, aanmakende persoon (workspace_connect_codes). Aanvraaglogboek met het IP-adres van de aanroepende server (B.4). De plug-insleutel is openbaar zichtbaar in de head van de website; het is een hash van het geheim, en het geheim zelf wordt alleen als hash opgeslagen en nooit teruggegeven.
Rechtsgrond	Art. 6(1)(b) AVG (account); zonder account (f) (aangevraagde controle, misbruikpreventie).
Ontvangers	Geen.
Derde land	Geen.
Bewaartermijn	De gegevens van een host verdwijnen zodra geen enkel domein er meer naar verwijst; de regel van een plug-in zonder account pas na 90 dagen zonder contact (nachtelijke verwijderrun, onderdeel “orphan_hosts”). Eenmalige codes één dag na het verstrijken. Uitrolcodes met de werkruimte.
TOM's	Paragraaf 8. Sinds 27 september 2026 accepteert de server alleen sleutelparen die aan de website gebonden zijn; oudere, niet-gebonden koppelingsgeheimen zijn verwijderd.

B.21 Zwermbescherming

Veld	Invulling
Doel	Gezamenlijke spamafweer: gekoppelde websites melden de domeinen van links in berichten die hun beschermingslaag heeft tegengehouden. Een domein dat binnen zeven dagen op ten minste drie websites met ten minste vijf treffers voorkomt, komt op een lijst die teruggaat naar alle gekoppelde websites; hun beschermingslaag verplaatst berichten met zulke links naar quarantaine, nooit naar de vergetelheid.
Categorieën van betrokkenen	Houders van de gemelde linkdomeinen, voor zover zij natuurlijke personen zijn (zoals de beheerder van een spamsite op eigen naam). Niet de afzenders en ontvangers van de berichten: adressen, teksten en namen worden niet gemeld.
Categorieën van persoonsgegevens	Signalen: type, domein, meldende host, dag, treffers (swarm_signals). Lijst: type, domein, aantal websites en treffers, tijdstippen (swarm_list). Grote diensten, de domeinen van onze Klanten en door de beheerder ingestelde uitzonderingen worden nooit op de lijst gezet.
IP-netwerken	Het delen van IP-netwerken (/24, /48) is voorbereid. Het is uitgeschakeld en de plug-in meldt er geen; het wordt pas na een juridische toetsing ingeschakeld, omdat IP-adressen persoonsgegevens zijn.
Rechtsgrond	Art. 6(1)(f) AVG. Belang: de formulieren van alle Klanten beschermen tegen spamgolven. Belangenafweging: alleen domeinen, minimumdrempels tegen vergiftiging, geen verlies van berichten, verwijdering op elk moment mogelijk.
Ontvangers	Alle gekoppelde websites (de lijst met domeinen).
Derde land	Afhankelijk van de locatie van de gekoppelde websites; de lijst kan ook websites buiten de EER bereiken. Het gaat slechts in grensgevallen om persoonsgegevens (domeinen van natuurlijke personen). De doorgiftegrondslag op grond van hoofdstuk V AVG voor deze gevallen moet nog worden bepaald (open vraag voor de juridische toetsing).
Bewaartermijn	Signalen 30 dagen (dagelijkse zwermrun vanaf 04:00, cfg/swarm_lib.php). De lijst wordt dagelijks opnieuw berekend; wat de drempel niet meer haalt, valt eraf.
TOM's	Paragraaf 8.

B.22 API-sleutels, programmeerinterface en MCP-server

Veld	Invulling
Doel	Toegang van de eigen tools van de Klant (REST API, Zapier, Make, MCP-server voor AI-assistenten) tot de domeinen, controles en incidenten van de Klant.
Categorieën van betrokkenen	Klanten die sleutels aanmaken.
Categorieën van persoonsgegevens	Sleutel alleen als hash, prefix, label, tijdstippen van aanmaak, laatste gebruik en intrekking (api_keys). Aanroepen per minuut (api_usage).
Rechtsgrond	Art. 6(1)(b) AVG.
Ontvangers	De tool die de Klant van de sleutel voorziet; de Klant bepaalt deze.
Derde land	Afhankelijk van de tool van de Klant.
Bewaartermijn	Sleutels tot de intrekking, onmiddellijk met het account; sleutels zonder account (oude gegevens) 's nachts. Aanroeptellers na één dag (af en toe opgeschoond bij een aanroep).
TOM's	Paragraaf 8.

B.23 reCAPTCHA en onze eigen formulierbescherming

Veld	Invulling
Doel	Afweer van geautomatiseerde toegang tot onze eigen formulieren: gratis controle, headertool, opt-out, inloggen, registratie, wachtwoord vergeten en opnieuw instellen, support en contact. Daarnaast onze eigen bescherming zonder derden: val (verborgen veld), ondertekende tijdcontrole en CSRF-token. Sinds 29 oktober 2026 bovendien onze formulierbescherming formconfirmed (rekenbewijs en eenmalig controletoken) bij de gratis controle, de registratie, het inloggen en „wachtwoord vergeten”.
Categorieën van betrokkenen	Personen die deze formulieren verzenden.
Categorieën van persoonsgegevens	Bij Google: IP-adres, browser- en apparaatgegevens, gedragsgegevens, Google-cookies. Bij ons: de beoordeling van Google (score en actie) alleen op het moment van de controle, zonder opslag, ook niet wanneer een verzending wordt geweigerd. Bij de eigen formulierbescherming: IP-adres (alleen ingekort en gehasht opgeslagen), pagina, tijdstippen, valveld ingevuld ja/nee; geen inhoud.
Tijdstip	Het script van Google wordt pas geladen wanneer een beschermd formulier wordt verzonden, niet bij het openen van de pagina. De eigen formulierbescherming haalt haar opgave op bij het openen van de pagina en rekent zodra het formulier wordt gebruikt. Op het ontwikkelsysteem is reCAPTCHA uitgeschakeld.
Rechtsgrond	Art. 6(1)(f) AVG. Belang: bescherming tegen bots, met name bij de gratis controle, die anders tegen websites van derden zou kunnen worden ingezet. Of de toegang tot de eindapparatuur toestemming vereist op grond van § 25 TDDDG of Art. 399 PKE, ook al wordt het script pas bij verzending geladen, is een open vraag voor de juridische toetsing. De eigen formulierbescherming plaatst geen cookies, slaat niets op in de browser en maakt geen vingerafdruk; zij moet reCAPTCHA op termijn vervangen.
Ontvangers	Google Ireland Limited; Google LLC. Bij de eigen formulierbescherming geen.
Derde land	VS (alleen reCAPTCHA). Grondslag: certificering onder het EU-VS-kader voor gegevensbescherming (Data Privacy Framework) of standaardcontractbepalingen; nog nader te documenteren.
Bewaartermijn	reCAPTCHA: geen opslag bij ons; bij Google volgens diens regels. Eigen formulierbescherming: gehashte identificator 1 uur, gebruikte controletokens hoogstens 11 minuten, controleresultaten zonder IP-adres 30 dagen.
Storing	Als Google niet binnen drie seconden antwoordt of een onbruikbaar antwoord geeft, wordt de verzending geweigerd; hetzelfde geldt voor een leeg token en een antwoord voor een andere actie dan die van het formulier. De controle wordt alleen overgeslagen wanneer reCAPTCHA is uitgeschakeld. Bij de eigen formulierbescherming wordt een verzending zonder geldig controletoken geweigerd; was de dienst voor de opgave niet bereikbaar, dan wordt zij toegelaten.
TOM's	Paragraaf 8.

B.24 Support- en contactformulier

Veld	Invulling
Doel	Vragen ontvangen en beantwoorden via het supportvenster en de contactpagina. Beide gebruiken dezelfde route en dezelfde tabel.
Categorieën van betrokkenen	Vraagstellers, al dan niet ingelogd.
Categorieën van persoonsgegevens	Account (indien ingelogd; dan geldt het adres van het account, niet het ingevoerde), e-mailadres, reden uit een vaste lijst, tekst tot 4.000 tekens, status, volledig IP-adres, land, browseridentificatie, verwijzende pagina (alleen eigen paden), taal, tijdstippen van ontvangst en antwoord (support_requests); vermelding in het activiteitenlogboek (zonder tekst); ontvangstbevestiging aan de vraagsteller in de outbox (B.25), met de tekst tot 2.000 tekens alleen voor ingelogde afzenders, zonder de tekst bij vragen die zonder inloggen zijn gesteld.
Rechtsgrond	Art. 6(1)(b) AVG voor zover de vraag een overeenkomst betreft; anders (f). Volledig IP-adres: (f) (limiet van drie vragen per uur en adres, misbruikpreventie).
Ontvangers	Maildienstverlener (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) voor bevestiging en antwoord. Telegram ontvangt een vast signaal zonder enige variabele (“er is een nieuwe supportvraag”) en dus geen persoonsgegevens.
Derde land	Via de maildienstverlener.
Bewaartermijn	24 maanden (nachtelijke verwijderrun, onderdeel “support”); handmatig eerder. Wanneer een account wordt verwijderd, blijven vragen bewaard tot het einde van de bewaartermijn (paragraaf 6.4).
TOM's	Paragraaf 8. reCAPTCHA, onze eigen formulierbescherming, snelheidsbegrenzing.

B.25 Verzending van e-mail (outbox)

Veld	Invulling
Doel	Transactionele e-mails: bevestiging van registratie en van nieuwe e-mailadressen, wachtwoordherstel, uitnodigingen, meldingen, maandrapporten, portaalbevestigingen en -meldingen, supportbevestigingen en -antwoorden, herinneringen over de proefperiode en de inrichting, operationele meldingen aan de beheerders. Geen reclame, geen e-mails aan personen die zich niet zelf hebben aangemeld of niet door de Klant als ontvanger zijn ingevoerd.
Categorieën van betrokkenen	Ontvangers van deze e-mails.
Categorieën van persoonsgegevens	Ontvangersadres, onderwerp, volledige inhoud, antwoordadres, doel, verzendroute, status, fout, pogingen, tijdstippen (mail_outbox). De inhoud kan bevestigings- en herstellinks met geldige identificatiecodes bevatten.
Rechtsgrond	Art. 6(1)(b) AVG; voor operationele meldingen (f).
Ontvangers	Namecheap, Inc. (Private Email), Phoenix, Arizona, USA (verzending); de accounthouder ziet zijn of haar verzonden e-mails in de gegevensexport (zonder inhoud).
Derde land	Afhankelijk van de verwerkingslocatie van de maildienstverlener; overeenkomst en doorgiftegrondslag moeten nog worden gedocumenteerd (paragraaf 4).
Bewaartermijn	30 dagen ('s nachts, srv/cron_status.php). Deze termijn is bewust de kortste van alle logboeken: een lang verzendlogboek zou een verzameling geldige sleutels zijn. De statusrun controleert elke vijf minuten of een nieuwe poging nodig is.
Status	De e-mailverzending moet vóór de lancering zijn ingericht. Zolang de maildienstverlener, met vestigingsplaats en grondslag, niet vaststaat, tonen de juridische teksten een markering.
TOM's	Paragraaf 8. Mislukte e-mails worden met toenemende tussenpozen opnieuw verzonden en na een maximaal aantal pogingen opgegeven.

B.26 Betalingen en facturering

Veld	Invulling
Doel	Afsluiten en beheren van abonnementen (maandelijks of jaarlijks vooraf), proefperiode van 14 dagen zonder kaart met een herinnering drie dagen voor het einde, betaling op factuur voor jaarabonnementen (standaard uit), ontgrendelingen via hoster- en partnercodes zonder betaling, facturering, bewaring voor fiscale doeleinden.
Categorieën van betrokkenen	Klanten.
Categorieën van persoonsgegevens	Bij Stripe: e-mailadres, naam, factuuradres, btw-identificatienummer, betaalgegevens, facturen; als metagegevens onze account-ID en het abonnement. Bij ons: Stripe-klant- en abonnements-ID, abonnement, status, einde van de periode, opzegging aan het einde van de periode (users); ontvangen Stripe-events alleen met identificatiecode, type, status en tijdstippen, zonder inhoud (stripe_events); inwisselingen van hostercodes met account, campagne en vervaldatum (bundle_redemptions). Kaartgegevens bereiken ons nooit.
Bron	De Klant in het afrekenproces van Stripe; events van Stripe.
Rechtsgrond	Art. 6(1)(b) AVG; voor de bewaring voor fiscale doeleinden (c).
Ontvangers	Stripe Payments Europe Limited (Ierland); Stripe, Inc. (VS). Voor delen van de betalingsverwerking handelt Stripe onder eigen verantwoordelijkheid; de precieze rolverdeling maakt deel uit van de juridische toetsing.
Derde land	VS via Stripe, Inc.; grondslag: Data Privacy Framework of standaardcontractbepalingen volgens de voorwaarden van Stripe.
Bewaartermijn	Factureringsvelden met het account; een lopend abonnement wordt beëindigd voordat het account wordt verwijderd. Facturen en factureringsgegevens volgens het Poolse belastingrecht gedurende vijf jaar vanaf het einde van het jaar waarin de betalingstermijn voor de belasting is verstreken; zij worden bij Stripe bewaard en kunnen in het klantenportaal van Stripe worden opgevraagd. Stripe-events en code-inwisselingen hebben geen bewaartermijn (paragraaf 6.4).
TOM's	Paragraaf 8. Stripe-events worden alleen met een geldige handtekening geaccepteerd; elk event wordt één keer verwerkt.

B.27 Back-ups

Veld	Invulling
Doel	Herstel na een fout: onterechte verwijdering, beschadigde migratie.
Categorieën van betrokkenen	Iedereen van wie gegevens in de database staan.
Categorieën van persoonsgegevens	Volledige, gecomprimeerde dump van de applicatiedatabase. Schermafbeeldingen en logobestanden worden buiten de database bewaard en maken geen deel uit van deze back-up. Inloggegevens van testaccounts zijn er alleen als versleutelde tekst in opgenomen (A.5).
Procedure	's Nachts om 03:00, na de verwijderrun, zodat de back-up niet meeneemt wat de bewaartermijnen zojuist hebben verwijderd. De dump wordt pas bewaard nadat de inhoud is gecontroleerd (exitcode, aantal tabellen, slotregel). Op zondag laadt een hersteltest de nieuwste back-up in een wegwerpdatabase en vergelijkt deze tabel voor tabel. Als er iets misgaat, volgen een signaal en een e-mail aan de beheerders.
Rechtsgrond	Art. 6(1)(f) AVG in samenhang met Art. 32(1)(c).
Ontvangers	Geen.
Derde land	Geen.
Bewaartermijn	14 dagen; oudere dumps worden pas na een geslaagde nieuwe back-up verwijderd (cfg/backup_lib.php). Verwijderingen die in deze periode plaatsvinden, bereiken de back-up pas wanneer deze verloopt; als gegevens uit een back-up worden hersteld, worden verwijderingsverzoeken daarna opnieuw toegepast.
Locatie	De back-ups worden momenteel op dezelfde locatie bewaard als de database en zijn niet afzonderlijk versleuteld; een versleutelde kopie op een tweede locatie is gepland (paragrafen 8.1 en 10).
TOM's	Paragraaf 8.

B.28 Foutenlogboek en foutmelding

Veld	Invulling
Doel	Fouten vinden en verhelpen voordat een Klant ze meldt. Nieuwe fouttypen en foutgolven worden aan de beheerders gemeld, plus een dagelijks overzicht vanaf 08:00.
Categorieën van betrokkenen	Gebruikers van wie de aanvraag een fout veroorzaakt; indirect personen van wie gegevens in een foutmelding voorkomen.
Categorieën van persoonsgegevens	Niveau, bron, melding, context als JSON, account-ID van de sessie, tijdstip (error_logs). Fouttypen: vingerafdruk, patroon (waaruit e-mailadressen, adressen, nummers en identificatiecodes zijn verwijderd), één ongewijzigd voorbeeldbericht van maximaal 2.000 tekens, eerste en laatste optreden, aantal (error_kinds).
Rechtsgrond	Art. 6(1)(f) AVG (bedrijfsbeveiliging, Art. 32).
Ontvangers	De beheerders per e-mail via de maildienstverlener: bij een nieuw fouttype bron en ruwe tekst van de melding tot 400 tekens (niet opgeschoond), plus de dagelijkse overzichtsmail; bij een foutgolf gaat alleen het Telegram-signaal uit. Telegram ontvangt alleen vaste zinnen zonder variabelen (“Er is een nieuw fouttype opgetreden”, “Veel fouten in korte tijd”).
Derde land	Via de maildienstverlener.
Bewaartermijn	Foutenlogboek 90 dagen ('s nachts). Fouttypen zonder bewaartermijn (paragraaf 10). De foutmelding staat aan in het productiesysteem en uit in het ontwikkelsysteem.
TOM's	Paragraaf 8.

B.29 Operationele signalen en statusbewaking

Veld	Invulling
Doel	Storingen opmerken: elke vijf minuten een controle van de componenten (startpagina, database, schijfruimte, hartslag van de scanner, achterstand in de wachtrij), statuspagina, signaal bij een storing en bij de opheffing ervan, hartslag naar een externe monitoringdienst zodat zelfs een volledige uitval wordt opgemerkt; achterstand vóór de scanner.
Categorieën van betrokkenen	In de regel geen.
Categorieën van persoonsgegevens	Geen. Dagelijkse regels per component met het aantal controles en de laatste fout (system_status_logs), hartslag van de scanner (scanner_heartbeat), dagelijkse kerncijfers zonder persoonsgebondenheid (daily_stats). De signalen naar Telegram zijn vaste zinnen zonder variabelen; de hartslag is een aanvraag zonder inhoud.
Rechtsgrond	Niet van toepassing, aangezien er geen persoonsgegevens zijn; voor de zekerheid Art. 6(1)(f).
Ontvangers	Telegram (vaste zinnen); de externe monitoringdienst (alleen de aanvraag); de beheerders per e-mail.
Derde land	Telegram buiten de EU; er worden geen persoonsgegevens doorgegeven.
Bewaartermijn	Statusregels 400 dagen ('s nachts).
TOM's	Paragraaf 8.

B.30 Opt-out – een domein uitsluiten

Veld	Invulling
Doel	Iedereen kan elk domein zonder bewijs blijvend van controles uitsluiten; de blokkering werkt onmiddellijk voor alle controleroutes (gratis controle, plug-in zonder account, onderzoek, prospectcontrole, headertool) en ook voor domeinen van betalende Klanten met bewijs van zeggenschap; hun lopende monitoring eindigt bij de volgende geplande controle. Zij geldt voor het domein en de www-variant ervan, niet voor andere subdomeinen. Zij wordt alleen door ons opgeheven, op verzoek en met bewijs. Om misbruik (zoals een concurrent die domeinen van anderen blokkeert) te kunnen opsporen en terug te draaien, wordt de blokkering vastgelegd.
Categorieën van betrokkenen	Personen die een domein uitsluiten.
Categorieën van persoonsgegevens	Domein, vrijwillige reden tot 250 tekens, bron, IP-adres, land, browseridentificatie, tijdstip; bij opheffing tijdstip, persoon die de blokkering opheft en reden (blocklist). Aanvraaglogboek zoals B.4.
Rechtsgrond	Voor de uitsluiting Art. 6(1)(f) AVG. Belang: blijvend en over alle controleroutes heen gevolg geven aan de wens dat een domein niet wordt gecontroleerd. Wanneer de uitsluitende persoon zelf betrokkene is, geeft de uitsluiting tegelijk gevolg aan zijn of haar bezwaar op grond van Art. 21 (Art. 6(1)(c)). Voor adres, land en browseridentificatie (f) (opsporing van misbruik).
Ontvangers	Google (reCAPTCHA, B.23).
Derde land	VS via reCAPTCHA.
Bewaartermijn	IP-adres, land en browseridentificatie na 12 maanden (nachtelijke verwijderrun, onderdeel “optout_ip”). De uitsluiting zelf blijft blijvend bestaan, zodat zij werkt.
TOM's	Paragraaf 8. Veel blokkeringen uit één land binnen korte tijd leiden tot een afwijkingsmelding (B.4).

B.31 Herinnering na registratie

Veld	Invulling
Doel	Eén enkele e-mail twee tot 14 dagen na registratie aan bevestigde accounts zonder bevestigd domein: “Website toevoegen” of “Domein bevestigen”. Geen aanbieding, geen prijs, geen upgrade; met de vermelding dat de e-mail niet opnieuw wordt verzonden. Werkdagen 09:00 tot 18:00, maximaal 50 per run.
Categorieën van betrokkenen	Nieuwe accounthouders.
Categorieën van persoonsgegevens	E-mailadres, taal, tijdstip van verzending (veld “herinnering verzonden” in users), domein en bevestigingsstatus.
Rechtsgrond	Art. 6(1)(b) AVG (aanwijzing over het inrichten van het eigen account). Of de e-mail geldt als communicatie over de contractuele relatie of als commerciële informatie waarvoor toestemming vereist zou zijn (Art. 10 UŚUDE, de Poolse wet inzake het verlenen van diensten langs elektronische weg (ustawa o świadczeniu usług drogą elektroniczną); Art. 398 PKE; § 7 UWG), is een open vraag voor de juridische toetsing; de beheerder kan haar centraal uitschakelen.
Ontvangers	Maildienstverlener (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Derde land	Via de maildienstverlener.
Bewaartermijn	Het tijdstip blijft bestaan zolang het account bestaat; de e-mail 30 dagen in de outbox.
TOM's	Paragraaf 8. Het tijdstip wordt vóór de verzending vastgelegd, zodat een onderbreking geen tweede e-mail veroorzaakt.

B.32 Telegram-bot voor meldingen aan Klanten

Veld	Invulling
Doel	Een Telegram-chat wordt als meldingsdoel gekoppeld: de Klant ontvangt een link naar onze bot met een eenmalige code; wanneer de ontvanger op “Start” drukt, leest onze server de code uit de nieuwe berichten aan de bot en slaat de chat-ID op. Daarvoor is geen open eindpunt aan onze kant (webhook) nodig.
Categorieën van betrokkenen	Klanten en de personen van wie de Telegram-chat wordt gekoppeld.
Categorieën van persoonsgegevens	Eenmalige code, domein, aanmakend account, gebeurtenissen, bezorgmodus, chat-ID, tijdstippen (telegram_links); de chat-ID als doel (alerts). Telegram levert met het bericht nog andere profielgegevens mee; alleen de code en de chat-ID worden geëvalueerd en opgeslagen.
Rechtsgrond	Art. 6(1)(b) AVG; voor derden als ontvangers A.3.
Ontvangers	Telegram.
Derde land	Buiten de EU, geen adequaatheidsbesluit; de keuze wordt gemaakt door de Klant (4.1). Grondslag en kennisgeving zijn open vragen voor de juridische toetsing.
Bewaartermijn	Een code is 30 minuten geldig; koppelingsregels worden na één dag verwijderd wanneer een nieuwe code wordt aangemaakt, openstaande codes met het account en het domein. De chat-ID als doel tot het meldingsdoel of het domein wordt verwijderd.
TOM's	Paragraaf 8.

B.33 Partnerprogramma en ontgrendelingscodes

Veld	Invulling
Doel	Een account kan via een verwijzingscode nieuwe Klanten aanbrengen en ontvangt gedurende een beperkt aantal maanden een commissie over hun betaalde facturen. De code reist tot de registratie mee in het adres; er wordt geen cookie geplaatst. Hosters en partners kunnen codes uitgeven die een abonnement voor een bepaalde periode zonder betaling ontgrendelen; een week voor het einde ontvangt de Klant een herinnering.
Status	Het partnerprogramma staat standaard uit totdat de Partnervoorwaarden van kracht zijn.
Categorieën van betrokkenen	Partners en aangebrachte Klanten.
Categorieën van persoonsgegevens	Verwijzingscode, verwijzende partner en tijdstip van verwijzing (in users); commissie met partner, Klant, Stripe-factuur-ID, bedrag, valuta, commissie, status, tijdstippen (partner_commissions). Ontgrendeling met abonnement, einde, bron, herinnering (in users); campagnes en inwisselingen (bundle_campaigns, bundle_redemptions).
Rechtsgrond	Art. 6(1)(b) AVG (partnerovereenkomst); voor de Klant (f) (afrekening van de commissie, zonder gegevens van de Klant aan de partner door te geven buiten het bedrag van de commissie); fiscale administratie (c).
Ontvangers	De partner ziet zijn of haar commissies.
Derde land	Geen.
Bewaartermijn	Verwijzing en ontgrendeling met het account. Commissies en inwisselingen hebben in de code geen bewaartermijn; als boekhoudkundige bescheiden vallen commissies onder de fiscale bewaarplicht (paragraaf 6.4).
TOM's	Paragraaf 8.

B.34 Meldpunt voor kwetsbaarheden

Veld	Invulling
Doel	Meldingen van kwetsbaarheden in formexposed ontvangen, volgens de regels op de pagina Beveiliging en in /.well-known/security.txt.
Categorieën van betrokkenen	Melders; personen van wie gegevens als bewijs in een melding staan.
Categorieën van persoonsgegevens	E-mailadres, naam, inhoud van de melding en bijlagen, zoals de melder ze verstuurt. De melding bereikt ons per e-mail op het daar vermelde adres; de applicatie slaat haar niet op.
Rechtsgrond	Art. 6(1)(f) AVG (beveiliging van de dienst, Art. 32); wanneer een melding persoonsgegevens van derden als bewijs bevat, eveneens (f), met als doel de kwetsbaarheid te dichten.
Ontvangers	Maildienstverlener en, totdat de mailbox is ingericht, de domeindoorsturing bij Namecheap (paragraaf 4).
Derde land	Via de maildienstverlener en, tot de overstap, de doorsturing.
Bewaartermijn	Er is geen bewaartermijn vastgesteld of technisch afgedwongen (paragraaf 10). De beheerder moet de termijn nog vaststellen; het ligt voor de hand bewijsmateriaal van derden te verwijderen zodra de kwetsbaarheid is gedicht en de correspondentie te behandelen als supportvragen.
TOM's	Paragraaf 8.

B.35 Feedback op een rapport

Veld	Invulling
Doel	Feedback onder een rapport ontvangen (“Klopt er iets niet in dit rapport?”) om fouten in de formulierherkenning te vinden. De superbeheerder classificeert de feedback (nieuw, bevestigd, verholpen, afgewezen) en kan de controlegegevens van het rapport downloaden als testgeval (formulieren met velden, redenen en bevindingen, zonder schermafbeeldingen en zonder actief verzonden teksten).
Categorieën van betrokkenen	Personen die een rapport bekijken, al dan niet ingelogd.
Categorieën van persoonsgegevens	Categorie en controle uit vaste lijsten, paginaadres tot 500 tekens, tekst tot 1.000 tekens, taal, tijdstip, rapport-identificatiecode, controle, host; account-identificatiecode indien ingelogd; HMAC-SHA256 van het IP-adres met een geheime sleutel voor de limiet; status, behandelaar, tijdstip van behandeling (report_feedback). Activiteitenlogboek: statuswijzigingen en downloads van een testgeval. Geen e-mailadres, geen IP-adres in leesbare vorm.
Rechtsgrond	Art. 6(1)(f) AVG (herkenningsfouten vinden en verhelpen; limiet tegen misbruik).
Ontvangers	Geen.
Derde land	Geen.
Bewaartermijn	24 maanden (nachtelijke verwijderrun, onderdeel “report_feedback”); de controlesom van het IP-adres wordt na 2 dagen gewist (onderdeel “report_feedback_ip”); onmiddellijk bij verwijdering van een account. Gedownloade testgevallen bevatten geen gegevens over de melder.
TOM's	Paragraaf 8. Eigen formulierbescherming (val, ondertekend tijdstip, CSRF), maximaal 5 meldingen per uur en 20 per dag per controlesom, 10 per rapport; alleen leesbaar voor superbeheerders.

6. Bewaring – wat de nachtelijke verwijderrun omvat en wat niet

Er is een automatische verwijdering, en die heeft een vaste plek. Een statusrun (srv/cron_status.php) wordt elke vijf minuten via de crontab van de webserver gestart, op het productiesysteem net als op het ontwikkelsysteem. Hij controleert de componenten, haalt de mail van de bezorgingscontrole op, plant controles in en verstuurt meldingen. Eén keer per dag, in het venster van 03:00 tot 03:04, verwijdert hij volgens de bewaartermijnen en maakt daarna de back-up. Sinds 27 september 2026 roept hij daarnaast de termijnrun in cfg/fristen_lib.php (fe_fristen_lauf()) aan, waarvan de onderdelen onafhankelijk van elkaar draaien: als er één mislukt, gaan de andere door, en de fout wordt in het foutenlogboek vastgelegd.

Bewijs dat de run draait: de back-upstatus van het ontwikkelsysteem toont een geslaagde back-up om 03:00 op 11 oktober 2026; de back-up wordt in hetzelfde blok direct na de verwijdering gemaakt. De run schrijft per verwijderde tabel een logregel alleen naar de standaarduitvoer, die de crontab weggooit; er is geen blijvende registratie van wat wanneer is verwijderd (paragraaf 10).

De bewaartermijnen die als placeholders verschijnen, worden in het beheergedeelte bij de bewaarinstellingen vastgesteld. De run leest dezelfde instellingen; de teksten tonen daardoor altijd de termijn waarna gegevens daadwerkelijk worden verwijderd.

6.1 Omvat door de dagelijkse run

Gegevens	Bewaartermijn en aanleiding	Plek in de code
Logboek van paginaweergaven (access_logs)	60 dagen	srv/cron_status.php
Activiteitenlogboek (audit_logs)	365 dagen	srv/cron_status.php
Foutenlogboek (error_logs)	90 dagen	srv/cron_status.php
Outbox (mail_outbox)	30 dagen	srv/cron_status.php
Onthoudtokens voor “Ingelogd blijven” (remember_tokens)	na het verstrijken (30 dagen)	srv/cron_status.php
Niet-geaccepteerde uitnodigingen (workspace_invites)	na het verstrijken (14 dagen)	srv/cron_status.php
Inlogpogingen (login_attempts); pogingentellers (auth_attempt_buckets)	7 dagen; tellers wanneer hun tijdvenster verstrijkt (momenteel 15 minuten, één uur bij wachtwoordherstel en registratie), ook bij de volgende toegang	srv/cron_status.php
Aanvraaglogboek van controles zonder account (check_throttle)	7 dagen	srv/cron_status.php
Eenmalige codes voor het koppelen van de plug-in (plugin_connect_tokens)	1 dag na het verstrijken	srv/cron_status.php
Afgehandelde afwijkingen (abuse_flags)	90 dagen na afhandeling	srv/cron_status.php
Verlopen rapporten samen met controleresultaat, formulieren, bevindingen, afbeeldingen en taak (alleen zonder domein in een account)	anoniem 30 dagen, prospects 90 dagen	fe_reports_aufraeumen()
Bezorgingslogboek van meldingen (alert_log)	90 dagen	fe_alert_log_aufraeumen()
Statusregels (system_status_logs)	400 dagen	srv/cron_status.php
Toestemmingsregistraties van verwijderde accounts (legal_consents)	zodra het account is verwijderd en de toestemming 4 jaar oud is	srv/cron_status.php
Wezen van verwijderde domeinen: controleresultaten, taken, meldingsgegevens, incidenten, Telegram-codes, bezorgingen, puls, kwetsbaarheden, bewijzen, scriptinventaris en scriptwijzigingen	onmiddellijk bij de volgende run	fe_fristen_lauf(), onderdelen “orphan_scans”, “orphan_rows”
Plug-ingegevens van hosts zonder domein; plug-inregel zonder account	onmiddellijk; regel na 90 dagen zonder contact	onderdeel “orphan_hosts”
Resultaten van de headertool (header_checks)	momenteel 90 dagen	onderdeel “header_checks”
Controleresultaten voor een domein met formulieren, bevindingen, afbeeldingen, rapporten, taken	13 maanden; het laatste afgeronde per domein blijft bewaard	onderdeel “old_scans”
Browserruns, afgeronde browsertaken, tijdreeksen (form_browser_runs, scan_jobs, form_performance)	13 maanden	onderdelen “browser_runs”, “browser_jobs”, “form_performance”
Formuliertellers (form_metrics), dagcijfers en wijzigingsmeldingen van de plug-in (plugin_stats, plugin_changes)	13 maanden	onderdelen “form_metrics”, “plugin_stats”
Ingelogde apparaten (login_sessions)	90 dagen na laatste gebruik of intrekking	onderdeel “sessions”
Geaccepteerde uitnodigingen	30 dagen na acceptatie	onderdeel “invites”
Supportvragen (support_requests)	24 maanden	onderdeel “support”
Feedback op rapporten (report_feedback)	24 maanden; controlesom van het IP-adres 2 dagen	onderdelen “report_feedback” en “report_feedback_ip”
PDF-versies van rapporten in de cache (var/pdf)	7 dagen	onderdeel “pdf_cache”
IP-adres, land en browseridentificatie bij de opt-out (blocklist)	12 maanden; de uitsluiting blijft	onderdeel “optout_ip”
Abonnees van portalen (client_subscribers)	onbevestigd 30 dagen; afgemeld 3 jaar	onderdeel “subscribers”
Nooit bevestigde accounts, samen met de werkruimte	30 dagen zonder inloggen, tenzij er een ander lid aan verbonden is	onderdeel “pending_accounts”
API-sleutels zonder account (oude gegevens)	onmiddellijk	onderdeel “api_keys”

6.2 Buiten het venster van 03:00

Gegevens	Bewaartermijn en aanleiding	Plek in de code
Kopieën in de controlemailbox van de bezorgingscontrole	na verwerking, elke vijf minuten	fe_zustellung_abholen()
Toewijzingen van de bezorgingscontrole (delivery_log)	180 dagen, bij elke ophaling	fe_zustellung_abholen()
Versleutelde tekst van testaccounts in taken (scan_jobs)	na de run, uiterlijk na één uur	scanserver; fe_login_aufraeumen()
Incidenten (alert_incidents) met hun escalatie-bezorgpogingen	zolang niet opgelost; 180 dagen na oplossing	fe_vorfaelle_aufraeumen() in cfg/vorfall_lib.php
Verzonden overzichtsmeldingen (alert_queue)	30 dagen na bezorging	cfg/kanal_lib.php
Zwermsignalen (swarm_signals)	30 dagen, dagelijks vanaf 04:00	cfg/swarm_lib.php
Prospectcontroles (prospect_checks)	90 dagen, dagelijks vanaf 04:00	srv/cron_status.php
Telegram-koppelingscodes (telegram_links)	1 dag, wanneer een nieuwe code wordt aangemaakt	cfg/kanal_lib.php
API-aanroeptellers (api_usage)	1 dag, af en toe bij een aanroep	cfg/agentur_lib.php
Opgeloste storingen bij providers (provider_incidents), kwetsbaarhedencache (vuln_cache)	respectievelijk 90 en 30 dagen; geen persoonsgegevens	cfg/anbieter_lib.php, cfg/luecken_lib.php
Ruwe onderzoeksgegevens	bij publicatie	fe_studie_veroeffentlichen()
Back-ups	14 dagen, na een geslaagde nieuwe back-up	cfg/backup_lib.php
Webserverlogboeken	14 dagen	logrotatie van het systeem

6.3 Bij verwijdering door de Klant

• Een domein verwijderen (fe_domain_loeschen()): controleresultaten met formulieren, bevindingen en afbeeldingsbestanden, rapporten, taken, meldingsdoelen, bezorgingslogboek, overzichtswachtrij, incidenten, Telegram-codes, bezorgingen, puls, kwetsbaarheden, bewijslogboeken, het domein uit klantportalen met een vaste selectie; via vreemde sleutels gemonitorde formulieren met browserruns, waarnemingen en tijdreeksen, testaccount, formuliertellers; de plug-ingegevens van de host als geen ander domein ernaar verwijst. De scriptinventaris en de scriptwijzigingen van het domein worden eveneens meeverwijderd; zij hebben geen eigen bewaartermijn (paragrafen 6.4 en 10). Gegevens die uit de periode vóór 27 september 2026 zonder bijbehorend domein zijn achtergebleven, worden door de nachtelijke run opgeruimd (onderdelen “orphan_scans”, “orphan_rows”).
• Een werkruimte verwijderen (fe_arbeitsbereich_daten_loeschen()): daarnaast huisstijl inclusief logo, klantportalen inclusief abonnees, uitrolcodes, prospectcontroles; plus uitnodigingen en lidmaatschappen.
• Een account verwijderen: een lopend betaald abonnement bij Stripe onmiddellijk beëindigen, zonder terugbetaling; de eigen werkruimten van de houder overdragen of verwijderen; lidmaatschappen, onthoudtokens, apparaten, API-sleutels met tellers, openstaande Telegram-codes en de accountregel verwijderen.
• Een testaccount verwijderen (fe_login_loeschen()): de versleutelde tekst overschrijven, de regel verwijderen, wachtende taken opschonen.

6.4 Wat de run niet omvat

Deze lijst is de belangrijkere. Zij noemt gegevens waarvoor geen automatische bewaartermijn bestaat of die een verwijdering overleven.

Gegevens	Wat geldt	Beoordeling
Accountgegevens inclusief laatste IP-adres (users)	tot verwijdering door de accounthouder; geen verwijdering van inactieve accounts	contractgegevens; een regeling voor blijvend inactieve accounts zonder abonnement ontbreekt
Activiteitenlogboek, paginaweergaven, foutenlogboek van een verwijderd account	blijven met account-ID en IP-adres bewaard tot het einde van hun bewaartermijn	bedoeld (bewijs van handelingen ook na beëindiging); de ID verwijst niet langer naar een account
Supportvragen van een verwijderd account	blijven tot 24 maanden bewaard met de oude account-ID	bedoeld; de ID wordt niet gewist
Toestemmingsregistraties van een verwijderd account	tot de toestemming 4 jaar oud is (gerekend vanaf de toestemming, niet vanaf de verwijdering van het account)	bedoeld (paragraaf B.12)
Niet-afgehandelde afwijkingen met IP-adres (abuse_flags)	tot iemand ze afhandelt	open punt (paragraaf 10)
Fouttypen met ongewijzigd voorbeeldbericht (error_kinds)	geen bewaartermijn	open punt (paragraaf 10)
Scriptinventaris en scriptwijzigingen (script_inventory, script_changes)	geen eigen bewaartermijn; bewaard zolang het domein bestaat en daarmee verwijderd	open punt (paragraaf 10)
Abonnees van ingetrokken klantportalen	tot de werkruimte wordt verwijderd	open punt (paragraaf 10)
Ingetrokken API-sleutels en uitrolcodes	tot het account of de werkruimte wordt verwijderd	alleen hashes, prefix en label; gering
Lijst van onderzoekshosts (study_domains), nooit gepubliceerde onderzoeken	geen bewaartermijn	open punt (paragraaf 10)
Interne controles zonder domein en zonder rapport (controleresultaten, formulieren, bevindingen, schermafbeeldingen)	geen bewaartermijn; geen enkele verwijderroute omvat ze	open punt (paragraaf 10)
Commissies, code-inwisselingen, Stripe-events	geen bewaartermijn	boekhoudkundig relevant; termijn vast te stellen op grond van het belastingrecht
In de cache opgeslagen domeinleeftijd (domain_age_cache)	geen bewaartermijn	alleen domeinnaam en registratiedatum
Authenticatieresultaat van de formulier-e-mail met afzenderdomein	met het domein; bij elke ontvangst overschreven	zie A.1
Uitsluitingen in de opt-out	blijvend	bedoeld; zonder blijvendheid werkt geen uitsluiting
E-mails in de mailbox van het meldpunt en in de algemene mailbox	geen technische bewaartermijn	open punt (paragraaf 10)

6.5 Buiten de database

• Schermafbeeldingen worden als bestanden buiten de webdirectory bewaard en met hun controleresultaat verwijderd (alle bovenstaande verwijderroutes verwijderen ook de bestanden).
• Logobestanden van de huisstijl worden verwijderd bij vervanging en met de werkruimte.
• Op de scanserver wordt per taak een tijdelijke directory met resultaat en afbeeldingen aangemaakt; deze wordt na elke run verwijderd, ook na een fout.
• Back-ups worden op de webserver bewaard (B.27).
• Webserverlogboeken met het volledige IP-adres worden 14 dagen bewaard (B.1).

7. Geautomatiseerde besluiten, profilering en beoordeling

formexposed beoordeelt websites, geen mensen. Naar ons oordeel neemt de dienst geen besluit dat rechtsgevolgen heeft voor een persoon of hem of haar anderszins in aanmerkelijke mate treft (Art. 22(1) AVG). Er zijn echter wel geautomatiseerde beoordelingen en automatische blokkeringen. Wij sommen ze op, zodat de indeling kan worden gecontroleerd.

Mechanisme	Wat het doet	Wie het raakt
Score en oordeel van een controle	Gewogen som van ontbrekende beschermingslagen (CAPTCHA, val, token, tijdcontrole, ineffectieve CAPTCHA, bekende blootgestelde configuratie), 0 tot 100; daaruit volgt “Blootgesteld”, “Gedeeltelijk beschermd” of “Beschermd”. Het oordeel over de website volgt het slechtste contactformulier dat door de regels (niet door het taalmodel) als zodanig is herkend; zonder contactformulier is er geen oordeel. De wegingen kunnen in het beheergedeelte worden ingesteld.	Websitebeheerders; bij eenmanszaken indirect een persoon. Het oordeel heeft geen rechtsgevolg; het is een bevinding met bewijs en instructies.
Classificatie van het formuliertype	Eerst regels, een lokaal taalmodel alleen als de regels “onbekend” opleveren. Bepaalt of een actieve testverzending is toegestaan (alleen voor een contactformulier dat door de regels betrouwbaar is herkend). Door het taalmodel geclassificeerde formulieren worden nooit verzonden en tellen niet mee voor score en oordeel.	De Klant en de ontvangers van zijn of haar formulier-e-mails; beschermende werking: bij twijfel wordt niets verzonden.
Badge	Toont “Beschermd” alleen onder vaste voorwaarden (B.18), anders neutraal.	Klant; geen effect op bezoekers.
Limieten en blokkeringen voor de gratis controle, de headertool en de opt-out	Weigeren aanvragen als limieten per adres, sessie, domein of systeem zijn bereikt, als het domein te jong is of een onbekende leeftijd heeft, of als het op de blocklist staat.	Aanvragers; effect: een gratis dienst wordt gedurende uren tot dagen geweigerd. Een beheerder kan een adres vrijgeven; vragen via de contactpagina komen bij een mens terecht.
Afwijkingen	Patronen (veel domeinen vanaf één adres, pieken in aanvragen, veel weigeringen, veel opt-outs uit één land, daglimiet bereikt) worden vastgelegd en gemeld. Zij blokkeren niet zelf; blokkeringen volgen uit de limieten.	Aanvragers.
Inlogblokkering	Na momenteel acht mislukte inlogpogingen vanaf één adres binnen 15 minuten worden inlogpogingen vanaf dat adres tijdelijk geweigerd. Daarnaast worden alle inlogpogingen, ook geslaagde, binnen 15 minuten geteld per account en IP-adres (momenteel acht), per account over alle adressen heen (aanzienlijk meer, tegen gedistribueerd raden) en per IP-adres (momenteel 80), net als codes voor de tweede factor (tien per account binnen 15 minuten); daarboven worden pogingen geweigerd. Mislukte pogingen vanaf een ander adres sluiten de eigenaar dus niet meer buiten zijn of haar account. Wachtwoordbevestigingen (vijf per account binnen 15 minuten), herstel-e-mails (drie per adres per uur, met een ongewijzigd antwoord), registraties (tien per IP-adres per uur) en pogingen op het wachtwoord van een klantportaal (tien per portaal en IP-adres, 50 per portaal binnen 15 minuten) zijn op dezelfde manier beperkt.	Personen die inloggen, zich registreren of een klantportaal openen; effect beperkt in de tijd, wachtwoordherstel blijft mogelijk.
reCAPTCHA-drempel	Weigert verzendingen onder een Google-score; drempel per gebruikspunt (momenteel 0,7 voor controle en opt-out). Antwoorden voor een andere actie en verzendingen waarop Google niet binnen drie seconden antwoordt, worden eveneens geweigerd.	Personen die onze formulieren verzenden; effect: een nieuwe poging of de route via de contactpagina.
Zwermbescherming	Zet een linkdomein automatisch op een lijst wanneer minimumdrempels zijn bereikt; beschermingslagen van gekoppelde websites verplaatsen berichten met zulke links naar quarantaine.	Afzenders van berichten aan pagina's van Klanten. Effect: het bericht wordt tegengehouden, niet verwijderd, en kan door de websitebeheerder worden vrijgegeven. Het besluit over het bericht wordt genomen door de plug-in van de beheerder op diens website, niet door ons.
Vergelijkingswaarden	“Beter beschermd dan X % van de gecontroleerde sites”, alleen op basis van totalen van ten minste 20 hosts.	Websitebeheerders; geen effect.

Het dichtst bij Art. 22 komt de beschermingslaag van de plug-in op pagina's van Klanten, die verzendingen automatisch tegenhoudt. Dat is verwerking door de websitebeheerder op diens server (A.10). Zij verwijdert niets, maar verplaatst berichten naar quarantaine, en de beheerder kan elk bericht vrijgeven. Daar noch bij ons vindt profilering van bezoekers plaats; er is geen bezoekersidentificatie die het ene bericht aan het andere koppelt.

8. Technische en organisatorische maatregelen (Art. 32) – algemene beschrijving

Deze paragraaf is de algemene beschrijving volgens Art. 30(1)(g) en (2)(d) AVG. De uitgebreide versie staat op de pagina Technische en organisatorische maatregelen. Elke onderstaande maatregel is aantoonbaar in de code of in de configuratie. Maatregelen die nog niet zijn geïmplementeerd, staan in dezelfde paragraaf (8.1), zodat de beschrijving volledig is.

Gebied	Geldende maatregel
Transportversleuteling	HTTPS voor website, app en interfaces; HSTS; sessie- en onthoudtokencookies alleen via HTTPS, HttpOnly, SameSite=Lax.
Toegangscontrole (authenticatie)	Wachtwoorden alleen als hash, nieuwe met ten minste tien tekens en maximaal 72 bytes; inlogblokkering na herhaalde mislukte pogingen en pogingenlimieten per account en IP-adres samen, per account en per IP-adres, zodat mislukte pogingen vanaf een ander adres de eigenaar niet buitensluiten; pogingenlimieten ook voor wachtwoordbevestigingen, wachtwoordherstel (met hetzelfde antwoord en dezelfde antwoordtijd), registraties en portaalwachtwoorden; inloggen met twee factoren (TOTP) met versleuteld geheim, bescherming tegen hergebruik van codes en gehashte herstelcodes; nieuwe sessie-identificatiecode bij elke aanmelding, identificatiecodes die niet door de server zijn uitgegeven, worden niet geaccepteerd; “Ingelogd blijven” niet voor superbeheerders, elk token slechts één keer geldig; het wijzigen van het e-mailadres maakt een openstaande herstellink ongeldig; apparaten kunnen afzonderlijk of allemaal tegelijk worden ingetrokken; de apparatenlijst bevat alleen de hash van de sessie-identificatiecode.
Toegangscontrole (autorisatie)	Rollen per werkruimte (eigenaar, beheerder, lezer); rechten worden gecontroleerd aan de hand van het object, nooit aan de hand van een identificatiecode uit het formulier; testaccount, “Fix it for me” en actieve controles alleen voor eigenaren en beheerders; “Weergave als Klant” beperkt in de tijd en geblokkeerd voor handelingen die het account wijzigen, beëindiging meldt volledig af, terugkeer naar het beheergedeelte alleen met wachtwoord en tweede factor; uitnodigingen alleen geldig zolang de uitnodigende persoon eigenaar of beheerder is; adressen van webhooks en chatkanalen voor lezers alleen ingekort tot de host getoond; de hostnaam van een geverifieerd domein kan niet worden gewijzigd.
Applicatiebeveiliging	CSRF-tokens; voorbereide databasestatements; onze eigen formulierbescherming (val, ondertekende tijdcontrole); reCAPTCHA op de openbare formulieren; snelheidsbegrenzing voor support, controles en interfaces; slechts één “Fix it for me”-aanroep per werkruimte tegelijk, zodat het quotum ook bij gelijktijdige aanvragen geldt; Content Security Policy met framingbescherming die alleen scripts laat uitvoeren die de vrijgave (nonce) van het betreffende antwoord dragen; IP-adres uit doorgestuurde headers alleen van onze eigen proxy en alleen uit de door hem toegevoegde vermelding; toegangstokens gemaskeerd in het logboek van paginaweergaven.
Geheimen	API-sleutels, uitrolcodes, koppelingsgeheimen van de plug-in, eenmalige codes en portaalwachtwoorden alleen als hash; inloggegevens van testaccounts asymmetrisch versleuteld, privésleutel alleen op de scanserver; webhooks ondertekend; Stripe-events alleen met een geldige handtekening.
Minimale gegevensverwerking	De bezorgingscontrole slaat geen inhoud en geen volledige afzenderadressen op; ontvangersadressen in formulieren alleen als domein; account-ID's in scriptadressen worden vervangen; plug-incijfers alleen uit vaste lijsten; foutteksten van de e-mailverzending alleen als categorie; Telegram-signalen zonder variabelen; afbeeldingen van de browsercontrole met gemaskeerde invoer; geen schermafbeeldingen achter een login.
Isolatie van de scanner	Elke controle in een eigen container: alle Linux-capabilities verwijderd, geen escalatie van rechten, alleen-lezen bestandssysteem, geheugen- en proceslimiet, een eigen netwerk; doelcontrole tegen privé- en lokale netwerken vóór acceptatie en in de scanner, ook na omleidingen; service workers geblokkeerd, WebSocket-verbindingen gesloten. Aanvragen door de webserver (bewijs van zeggenschap, headertool, bestandszoektocht, puls, RDAP, certificaten, webhooks en chatmeldingen) alleen op de gebruikelijke webpoorten en alleen naar precies het gecontroleerde adres, webhooks en chatmeldingen alleen via HTTPS.
Opslag	Schermafbeeldingen buiten de webdirectory, alleen op te vragen via het rapport; rapporten op willekeurige adressen met noindex; back-updirectory alleen leesbaar voor de dienst.
Beschikbaarheid en herstel	Nachtelijke back-up met inhoudscontrole, wekelijkse hersteltest, melding bij mislukking; componentcontrole elke vijf minuten met signaal en e-mail; externe hartslag; noodstop voor anonieme controles; tegendruk bij een achterstand.
Traceerbaarheid	Activiteitenlogboek voor aanmeldingen, wijzigingen, verwijderingen, supporttoegang en goedkeuringen; foutenlogboek met melding.
Verwijdering	Bewaartermijnen op één plek in de code, op basis van dezelfde instellingen als de teksten (paragraaf 6); verwijderketens voor domein, werkruimte en account, met de uitzonderingen in paragraaf 6.4.
Rechten van betrokkenen	Export met één klik van alle accountgegevens als bestand, op basis van een toegestane lijst van velden, zonder geheimen.
Organisatie	Beheergedeelte alleen voor accounts met superbeheerrechten, geblokkeerd tijdens “Weergave als Klant”; ontwikkel- en productiesysteem gescheiden, het ontwikkelsysteem achter een extra toegangsdrempel; overdracht van juridische teksten na goedkeuring via een tool die concepten en placeholders weigert.

8.1 Nog niet geïmplementeerde maatregelen

• Geen versleuteling van de database in rust (gemeten op 11 oktober 2026). Uitzonderingen zijn de inloggegevens van testaccounts en het geheim voor de tweede factor, die op veldniveau zijn versleuteld.
• Interne verbindingen niet overal versleuteld. Verbindingen binnen ons interne netwerk zijn niet overal versleuteld. Inloggegevens van testaccounts gaan daar alleen als versleutelde tekst over.
• Geen back-up op een tweede locatie. De back-ups worden momenteel op dezelfde locatie bewaard als de database en zijn niet afzonderlijk versleuteld; een versleutelde kopie op een tweede locatie is gepland. Tot die tijd beschermen zij tegen een verkeerd verwijdercommando, niet tegen het verlies van de locatie.
• Beveiliging van het serverbeheer niet voltooid. De beveiliging van de beheertoegang tot onze servers voldoet nog niet aan de standaard die wij voor de bedrijfsvoering beogen; de beveiliging wordt voortgezet. Wij publiceren geen details, omdat die een aanvaller zouden helpen; op verzoek verstrekken wij ze aan een toezichthoudende autoriteit.
• Geen functioneel leeslogboek in het beheergedeelte. Schrijfhandelingen worden in het activiteitenlogboek vastgelegd; wie welke supportvraag of welk rapport alleen heeft bekeken, kan alleen uit het logboek van paginaweergaven worden afgeleid (60 dagen).
• Geen blijvend verwijderlogboek. Wat de nachtelijke run heeft verwijderd, wordt niet vastgelegd (paragraaf 6).
• Geen onafhankelijk tweede controlepunt. De probe op een tweede locatie is niet ingericht (A.6).

9. Functionaris voor gegevensbescherming – beoordeling op grond van Art. 37 AVG

Resultaat: Naar ons oordeel bestaat er geen verplichting om er een aan te wijzen. De beoordeling maakt deel uit van de juridische toetsing en wordt herhaald zodra een van de hieronder genoemde omstandigheden verandert.

Art. 37(1) vereist een aanwijzing in drie gevallen.

• Punt (a) (overheidsinstantie of overheidsorgaan) is niet van toepassing.
• Punt (b) (kernactiviteiten die regelmatige en stelselmatige observatie op grote schaal van betrokkenen vereisen): onze kernactiviteit is het regelmatig en stelselmatig controleren van websites en formulieren, niet het observeren van mensen. Wij maken geen bezoekersprofielen, gebruiken geen tracking en koppelen geen bericht aan een ander. De bezorgingscontrole (A.1) leidt echte bezoekersberichten door onze mailbox, maar evalueert voor de toewijzing alleen headers en de eerste 8 KB en slaat geen inhoud op; zij observeert bezorgroutes, geen mensen. Klantaccounts en logboeken zijn ondersteunend aan de bedrijfsactiviteit.
• Punt (c) (verwerking op grote schaal van bijzondere categorieën als bedoeld in Art. 9 of van gegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld in Art. 10 als kernactiviteit): niet vervuld. Bijzondere categorieën kunnen incidenteel voorkomen in kopieën van formulier-e-mails (A.1), op pagina's achter een login (A.5) of in geplakte code (A.7); incidentele vastlegging is geen kernactiviteit.

Art. 37(4) staat toe dat het nationale recht verdere gevallen toevoegt. Wij laten door een advocaat bevestigen of het Poolse recht ons tot aanwijzing verplicht.

Aanleidingen voor een nieuwe beoordeling: activering van de zwermbescherming met IP-netwerken; een functie die bezoekers over meerdere berichten of websites heen herkent; opslag van inhoud uit de bezorgingscontrole; een Klant van wie de formulieren overwegend bijzondere categorieën betreffen (gezondheid, sollicitaties) met de bezorgingscontrole op grote schaal ingeschakeld; de eerste werknemer met toegang tot klantgegevens. Een vrijwillige aanwijzing blijft mogelijk; Art. 37 tot en met 39 zijn dan volledig van toepassing.

Afzonderlijk: of voor afzonderlijke verwerkingsactiviteiten een gegevensbeschermingseffectbeoordeling op grond van Art. 35 vereist is, wordt beantwoord op de pagina Gegevensbeschermingseffectbeoordeling. De drempelbeoordeling daarin concludeert dat een GEB vereist is voor de zwermbescherming (B.21) en voor onderzoeken op de beoogde schaal (B.7) en door ons wordt uitgevoerd, en dat zij voor de bezorgingscontrole (A.1) in de typische constellatie vereist is, als verplichting van de Klant, die wij daarbij ondersteunen.

10. Open punten en geplande maatregelen

De volgende punten zijn aantoonbaar in de code, het schema of de configuratie, niet aangenomen. Zij beschrijven de stand op de datum van deze versie; de indeling is onze eigen en loopt niet vooruit op een juridische beoordeling. Zij zijn gerangschikt naar hun gewicht voor de betrokkenen, niet naar hoe gemakkelijk ze te verhelpen zijn. De geplande maatregelen en hun prioriteit staan in de Gegevensbeschermingseffectbeoordeling.

Open punt	Wat aantoonbaar is	Betekenis
Maildienstverlener zonder gedocumenteerde overeenkomst	Voor Namecheap, Inc. (Private Email), Phoenix, Arizona, USA zijn de overeenkomst, de verwerkingslocaties en de doorgiftegrondslag niet gedocumenteerd. Account-e-mails, meldingen en de controlemailbox met echte bezoekersberichten lopen via deze provider.	De relevante bepalingen zijn Art. 28(2) en (4) en hoofdstuk V AVG. Sluiting en documentatie zijn vóór de lancering gepland.
Grondslagen voor chatdiensten en reCAPTCHA open	Meldingen naar Telegram (geen adequaatheidsbesluit), Slack, Discord, Microsoft Teams en Google Chat; reCAPTCHA zonder toestemmingsvraag.	Open vragen voor de juridische toetsing; tot die tijd zijn kennisgeving en grondslag niet definitief.
Controlemailbox kan bij storingen berichten vasthouden	De verwijdering vindt plaats na geslaagde verwerking; als het ophalen mislukt, blijven de kopieën staan tot de volgende geslaagde run. Er is geen waarschuwing wanneer zich over een langere periode een achterstand in de mailbox opbouwt.	De kopieën bevatten echte vragen van bezoekers.
Geen back-up op een tweede locatie, geen versleuteling van de database in rust	Paragraaf 8.1. Een versleutelde kopie van de back-up op een tweede locatie is gepland.	Eén enkele gebeurtenis op de locatie zou gegevens en back-up tegelijk treffen; een gestolen opslagmedium zou leesbaar zijn.
Niet-afgehandelde afwijkingen zonder bewaartermijn	Afwijkingen met het volledige IP-adres als sleutel worden pas 90 dagen na afhandeling verwijderd; wat nooit wordt afgehandeld, blijft staan.	Betreft het beginsel van opslagbeperking (Art. 5(1)(e)); de verwijdering hangt af van handmatige afhandeling. Een vaste bewaartermijn is gepland (maatregelen van de gegevensbeschermingseffectbeoordeling).
Fouttypen met voorbeeldbericht zonder bewaartermijn	Het voorbeeldbericht wordt ongewijzigd opgeslagen tot 2.000 tekens; het opgeschoonde patroon verwijdert adressen en nummers, het voorbeeld niet.	Foutmeldingen kunnen e-mailadressen, hostnamen of IP-adressen bevatten.
Scriptinventaris zonder eigen bewaartermijn	Scriptinventaris en scriptwijzigingen worden met het domein verwijderd (FE_DOMAIN_TABELLEN), ook bij verwijdering van de werkruimte of het account en in de nachtelijke run voor wezen; zij hebben geen eigen bewaartermijn. Zij bevatten scriptadressen, paginaadressen en, bij goedkeuringen, de goedkeurende persoon en een vrij ingevulde reden.	Betreft het beginsel van opslagbeperking (Art. 5(1)(e)); het wijzigingslogboek met de goedkeuringen blijft groeien zolang het domein bestaat.
Abonnees van ingetrokken portalen	Een ingetrokken portaal wordt geblokkeerd, niet verwijderd; de abonnees blijven bewaard tot de werkruimte wordt verwijderd.	Het doel (het versturen van het rapport) is met de intrekking vervallen.
Onderzoekslijsten zonder bewaartermijn	Na publicatie blijven hosts en segmenten bewaard; nooit gepubliceerde onderzoeken behouden ook hun ruwe gegevens.	De toezegging “ruwe gegevens worden verwijderd” geldt alleen voor gepubliceerde onderzoeken.
Interne controles zonder verwijderroute	Controles met het vertrouwensniveau “intern” die noch een domein noch een rapport hebben (onderzoeken en door de beheerder via de opdrachtregel aangemaakte controles), vallen onder geen enkele verwijderroute; daarmee blijven formulieren, bevindingen en schermafbeeldingen van websites van derden bewaard.	Betreft het beginsel van opslagbeperking (Art. 5(1)(e)); raakt personen die niets van de controle weten. In de Gegevensbeschermingseffectbeoordeling beoordeeld als hoog risico.
Bewijs van zeggenschap wordt niet vernieuwd	Het bewijs van zeggenschap wordt één keer gecontroleerd; er is in de code geen route waarlangs een domein het weer verliest.	Actieve testverzendingen, bestandszoektocht en de scan achter de login gaan door na een wisseling van eigenaar of opdracht.
Scan achter de login: transport naar de pagina van de Klant	Als inlogadres is naast https ook http toegestaan, en certificaatfouten op de pagina van de Klant stoppen het inloggen niet.	Inloggegevens van testaccounts zouden onderweg naar de pagina van de Klant kunnen worden onderschept.
Verwijdering hangt af van een tijdvenster	Het dagelijkse blok draait alleen als er tussen 03:00 en 03:04 een statusrun start. Als deze ene run mislukt (database onbereikbaar, server herstart), vinden de verwijdering en de back-up van die dag niet plaats; er is geen inhaalslag. Wat is verwijderd, wordt niet blijvend vastgelegd.	De bewaartermijnen worden dan ongemerkt met een dag verlengd. Een gemist venster leidt niet tot een melding; alleen een back-up die draait en mislukt, wordt gemeld. De inrichtingslijst in het beheergedeelte toont de datum van de laatste geslaagde back-up.
Sommige verwijderingen hangen af van de monitoring	Het legen van de controlemailbox van de bezorgingscontrole, de verwijdering van incidenten, verzonden overzichtsmeldingen, zwermsignalen en prospectcontroles, en het opschonen van achtergebleven kopieën van testaccounts in taken draaien in het plannergedeelte van de statusrun, dat alleen werkt zolang de monitoring in het beheergedeelte is ingeschakeld; de toewijzingen van de bezorgingscontrole worden alleen verwijderd zolang er een controlemailbox is ingericht.	Als de monitoring centraal wordt uitgeschakeld of de mailbox wordt verwijderd, stoppen deze bewaartermijnen zonder dat iemand het merkt.
Meldpunt en mailboxen zonder bewaartermijn	Meldingen van kwetsbaarheden en andere inkomende e-mails worden buiten de applicatie bewaard; er is geen bewaartermijn vastgesteld.	Meldingen kunnen bewijsmateriaal van derden bevatten.
Waarden van verborgen velden worden tijdens de controle gelezen	De scanner leest de waarde van verborgen formuliervelden tot 24 tekens en data-attributen tot 60 tekens om tijdstempels en tokens te herkennen. Alleen veldnaam, type, label en het herkenningsresultaat komen in de veldkaart en de bevindingen, niet de waarde.	Geen leemte in de opslag; de waarde bevindt zich alleen tijdens de controle in het werkgeheugen van de scancontainer. Een vooraf ingevulde waarde (zoals een klantnummer) wordt daarbij gelezen, maar niet opgeslagen.
Afgeleid afzenderdomein in het authenticatieresultaat	A.1.	Bij persoonlijke domeinen van bezoekers persoonsgegevens die afkomstig zijn uit een echt bericht.
Beveiliging van het serverbeheer niet voltooid; interne verbindingen niet overal versleuteld	Paragraaf 8.1. De beveiliging wordt voortgezet; wij maken geen details openbaar.	Een beveiligingsincident op serverniveau zou applicatie, database en back-ups tegelijk treffen.
Meting op het ontwikkelsysteem	Schema, code en instellingen zijn op het ontwikkelsysteem gemeten.	Code en schema komen overeen met het productiesysteem; instellingen kunnen afwijken en moeten daar vóór de lancering opnieuw worden gecontroleerd.

11. Bijhouden van dit register

Art. 30 vereist dat het register schriftelijk wordt bijgehouden en op verzoek ter beschikking van de toezichthoudende autoriteit wordt gesteld. Daarvoor is iemand nodig die ervoor verantwoordelijk is, en een interval waarmee het wordt getoetst aan het systeem in plaats van aan de vorige versie.

• Verantwoordelijkheid: Lukas Wójcik, eigenaar. Het register wordt jaarlijks herzien en telkens wanneer een verwerkingsactiviteit verandert.
• Gebeurtenissen die een actualisering vereisen: een nieuwe of gewijzigde subverwerker, met name de keuze van de maildienstverlener; een nieuwe tabel of een nieuw veld met persoonsgegevens; een wijziging van de bewaartermijnen of de verwijderketens in cfg/fristen_lib.php of srv/cron_status.php; een nieuw meldingskanaal of een nieuwe aanvraag bij een derde; het inschakelen van een functie die standaard uit staat (zwermbescherming met IP-netwerken, probe, eigen domeinen, partnerprogramma, betaling op factuur, Spamhaus of Google Web Risk); een verhuizing naar andere servers.
• Werkwijze: elke uitspraak hier komt uit code, schema of meting. Een herziening die alleen de tekst leest, heeft niets herzien: schema en verwijderketens worden opnieuw gemeten, placeholders blijven placeholders, open punten worden afgesloten of met redenen overgenomen.
• Verhouding tot andere documenten: dit register vervangt niet de Privacyverklaring, de Verwerkersovereenkomst, de Technische en organisatorische maatregelen of de lijst van Subverwerkers. Waar die documenten en dit register van elkaar afwijken, is het verschil een bevinding.
• Wijzigingen in dit document worden vermeld op de pagina Wijzigingen in de contractdocumenten.