Evaluarea impactului asupra protecției datelor (art. 35 RGPD)

Acest document este publicat în mai multe limbi. În cazul oricărei neconcordanțe între versiunile lingvistice, versiunea în limba polonă este cea obligatorie.

Versiunea 1.0 · Ultima actualizare: 16 octombrie 2026

1. Despre ce este vorba și ce reprezintă această pagină

Această pagină reprezintă evaluarea impactului asupra protecției datelor (EIPD) realizată de formexposed în temeiul art. 35 RGPD. Ea răspunde mai întâi la întrebarea preliminară dacă o EIPD este necesară – separat pentru fiecare operațiune de prelucrare, nu pentru serviciul în ansamblu. Acolo unde răspunsul este afirmativ, realizează evaluarea conform art. 35(7)(a)–(d): o descriere sistematică, necesitatea și proporționalitatea, riscurile pentru persoanele vizate și măsurile de abordare a acestora. Urmează riscul rezidual, chestiunea consultării prealabile în temeiul art. 36 și regulile de revizuire.

art. 35 nu impune publicarea unei EIPD. O publicăm din două motive. În primul rând, Clienții care utilizează verificarea livrării sau scanarea din spatele autentificării au nevoie, pentru propria evaluare, de informații pe care doar noi le cunoaștem; în calitate de persoană împuternicită de operator, le datorăm oricum aceste informații (art. 28(3)(f) RGPD). În al doilea rând, crawlerul nostru verifică site-uri ai căror administratori nu ne cunosc. Aceștia ar trebui să poată citi ce riscuri vedem pentru ei și pentru persoanele de pe paginile lor și ce facem în privința lor.

Natura juridică. Această EIPD reprezintă documentația operatorului în temeiul art. 35 RGPD, pe care o publicăm în mod voluntar. Ea nu face parte din niciun contract și nu constituie nicio declarație, garanție sau convenție privind calitatea față de Clienți sau terți. Serviciile și garanțiile pe care le datorăm Clienților sunt reglementate de Condițiile de utilizare, de Acordul de prelucrare a datelor și de anexele acestuia; în ceea ce privește aceste obligații, ele prevalează asupra acestei pagini. Pagina descrie situația la data acestei versiuni. Evaluările riscurilor și aprecierile reprezintă propria noastră opinie și nu anticipează nicio evaluare juridică a unei autorități de supraveghere sau a unei instanțe; măsurile descrise ca „planificate” sunt intenții fără un termen asumat. Pentru Clienți, pagina constituie o bază pentru propria evaluare, nu o consultanță juridică.

Aceasta este prima versiune a evaluării pragului. Ea examinează, operațiune de prelucrare cu operațiune de prelucrare, dacă este necesară o EIPD și consemnează rezultatul în secțiunea 3.5.

Fiecare afirmație factuală respectă același principiu ca în celelalte documente juridice ale noastre: măsurat, nu intenționat. Ceea ce este documentat în cod sau în baza de date este indicat aici împreună cu referința la sursă. Ceea ce nu a putut fi documentat este marcat „neverificat”. Ceea ce este doar planificat este numit „planificat”. Menționăm deschis punctele deschise, împreună cu măsura planificată; o EIPD care enumeră doar punctele forte nu le este de folos persoanelor pe care le privește.

Termeni: administrator este cel care exploatează un site verificat. Un Client are un cont la formexposed. Un vizitator este cel care utilizează site-ul unui Client, de exemplu formularul său de contact. O referință la sursă înseamnă un fișier, o funcție sau o setare din codul sursă, măsurată în raport cu starea sistemului de dezvoltare la 11 octombrie 2026.

Trasăm în mod deliberat o limită în privința transparenței: punctele deschise privind securizarea propriilor noastre servere sunt descrise doar în termeni generali (R13). Menționăm riscul și nivelul acestuia, dar nu și calea către o vulnerabilitate concretă; vom pune detaliile la dispoziția unei autorități de supraveghere, la cerere.

2. Roluri: cine are obligația și pentru ce

art. 35 impune obligația operatorului. formexposed este operator pentru unele operațiuni de prelucrare, persoană împuternicită de operator pentru Clienții săi pentru altele și niciuna dintre acestea pentru datele pe care pluginul nostru WordPress și extensia noastră TYPO3 le stochează pe site-ul unui Client. Răspunsul la aproape fiecare întrebare din acest document depinde de rolul la care se referă întrebarea. Repartizarea urmează Politica de confidențialitate și Acordul de prelucrare a datelor.

Operațiune de prelucrare	Rolul formexposed	Cine are obligația în temeiul art. 35
Verificarea site-urilor unor terți fără instrucțiuni din partea administratorului acestora: verificarea gratuită, verificarea potențialilor clienți pentru agenții, studiul	Operator	formexposed
Verificarea domeniilor din contul Clientului: monitorizare, trimiteri active de test, parcursuri în browser, fișiere expuse, pulsul formularului	Operator pentru datele contului și ale verificărilor Clientului; persoană împuternicită de operator pentru datele cu caracter personal ale terților vizibile pe site-ul verificat al Clientului; cât timp un domeniu nu este verificat, operator, ca în cazul verificării gratuite	formexposed pentru partea proprie; Clientul pentru datele terților de pe site-ul său
Scanarea din spatele autentificării cu un cont de test	Persoană împuternicită de operator: datele de acces și conținutul din spatele autentificării aparțin site-ului Clientului	Clientul; formexposed oferă asistență
Verificarea livrării cu copie de control	Persoană împuternicită de operator	Clientul; formexposed oferă asistență
Protecția colectivă (swarm): listă comună de domenii de linkuri din spamul blocat	Operator: combinăm rapoartele multor site-uri, întocmim lista și o distribuim	formexposed
Conturile Clienților, autentificarea, jurnalele, suportul, trimiterea e-mailurilor, plățile, evidențele de dovezi	Operator	formexposed
Portalul pentru clienți și raportul lunar către abonații unei agenții	Persoană împuternicită de operator	Agenția
Datele pe care pluginul și extensia le stochează pe site-ul Clientului (carantină, plasă de siguranță, solicitări stocate)	Niciunul: datele nu părăsesc niciodată site-ul	Administratorul site-ului

De aici rezultă o distincție pe care o formulăm în mod expres, deoarece este adesea înțeleasă greșit în ambele sensuri. Acolo unde formexposed este operator, realizăm evaluarea noi înșine și ne asumăm rezultatul acesteia. Acolo unde suntem persoană împuternicită de operator, nu putem realiza evaluarea Clientului în locul acestuia, nu putem decide pentru el chestiunea necesității și nu putem consulta în numele lui autoritatea de supraveghere în temeiul art. 36. Ceea ce putem și trebuie să facem în acest caz este să îi furnizăm tot ce are nevoie: descrierea de la litera (a), faptele măsurate privind riscurile de la litera (c) și o listă onestă a stadiului măsurilor de la litera (d). Pentru verificarea livrării și scanarea din spatele autentificării, această pagină reprezintă exact acest lucru.

Un Client care preia nemodificat secțiunile privind verificarea livrării ca propria sa EIPD nu a realizat o evaluare. Dacă copia de control este justificată pentru formularele sale, dacă acolo sunt de așteptat categorii speciale de date cu caracter personal și cum își informează vizitatorii sunt chestiuni pe care doar el le poate decide. Secțiunea 11 rezumă ce trebuie clarificat în acest scop.

3. Evaluarea pragului: este necesară o EIPD?

3.1 art. 35(1) și art. 35(3)

art. 35(1) impune o EIPD atunci când un tip de prelucrare, în special cel bazat pe utilizarea noilor tehnologii, ținând seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, este susceptibil să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice. art. 35(3) menționează trei cazuri în care acest lucru se întâmplă în special. Niciunul dintre cele trei nu se potrivește formexposed, iar acest lucru trebuie motivat, nu doar afirmat:

• Litera (a) – o evaluare sistematică și cuprinzătoare a aspectelor personale referitoare la persoane fizice, care se bazează pe prelucrarea automată și care stă la baza unor decizii care produc efecte juridice sau care afectează în mod similar într-o măsură semnificativă persoanele respective. Noi evaluăm formulare și site-uri, nu aspecte personale ale oamenilor. Serviciul nu ia nicio decizie cu efect juridic asupra vreunei persoane. Cel mai apropiat caz este protecția colectivă (swarm): mesajele care conțin un link către un domeniu de pe listă ajung în carantină pe site-urile conectate. Aceasta este o consecință automată pentru mesaj, nu o evaluare cuprinzătoare a unei persoane; o tratăm la criteriul „Evaluare sau atribuire de punctaje” din secțiunea 3.3.
• Litera (b) – prelucrarea pe scară largă a categoriilor speciale prevăzute la art. 9 sau a datelor referitoare la infracțiuni prevăzute la art. 10. Nu este intenționată și nu este construită. Astfel de date pot totuși ajunge la noi pe o singură cale: în copia de control a mesajelor reale ale vizitatorilor din verificarea livrării. Aceasta depinde de cazul individual și nu reprezintă o prelucrare pe scară largă în sensul acestei dispoziții; este însă luată în considerare în evaluarea riscurilor (R1).
• Litera (c) – o monitorizare sistematică pe scară largă a unei zone accesibile publicului. Aceasta înseamnă observarea fizică a unor locuri, nu accesarea unor pagini web publice. Invocarea acestei dispoziții ca punct de sprijin pentru un crawler web ar fi incorectă.

Calea corectă este, așadar, art. 35(1) însuși, aplicat prin cele nouă criterii din Ghidul Grupului de lucru Articolul 29 privind evaluarea impactului asupra protecției datelor (WP248 rev.01, aprobat de Comitetul european pentru protecția datelor), precum și lista autorității poloneze de supraveghere în temeiul art. 35(4) (secțiunea 3.4).

3.2 Cele nouă criterii din ghidul WP248

Ghidul menționează nouă caracteristici care indică un risc ridicat probabil. Ca regulă generală, o operațiune de prelucrare care îndeplinește două dintre ele va necesita, în majoritatea cazurilor, o EIPD. Un operator poate ajunge la o altă concluzie într-un caz individual, dar trebuie atunci să o motiveze și să o documenteze. Invers, un singur criteriu poate fi suficient. Pe această pagină folosim următoarele denumiri scurte:

1. C1 – Evaluare sau atribuire de punctaje, inclusiv crearea de profiluri și previzionarea, de exemplu a performanței la locul de muncă, a situației economice, a fiabilității sau a comportamentului.
2. C2 – Procesul decizional automatizat cu efect juridic sau cu un efect similar semnificativ.
3. C3 – Monitorizarea sistematică, adică prelucrarea utilizată pentru a observa, monitoriza sau controla persoanele vizate, inclusiv prin intermediul rețelelor. Ghidul justifică în mod expres acest criteriu prin faptul că persoanele vizate adesea nu știu cine le colectează datele și în ce scop.
4. C4 – Date sensibile sau date cu un caracter foarte personal: categoriile speciale prevăzute la art. 9 și 10, dar și datele a căror divulgare afectează semnificativ viața de zi cu zi, inclusiv comunicațiile electronice a căror confidențialitate ar trebui protejată.
5. C5 – Date prelucrate pe scară largă, măsurate în funcție de numărul persoanelor vizate, volumul și gama datelor, durata și extinderea geografică.
6. C6 – Asocierea sau combinarea seturilor de date provenite din operațiuni de prelucrare diferite sau de la operatori diferiți, într-un mod la care persoanele vizate nu s-ar aștepta.
7. C7 – Date privind persoane vizate vulnerabile, de exemplu angajați, copii, pacienți sau alte persoane aflate într-un dezechilibru de putere.
8. C8 – Utilizarea inovatoare sau aplicarea unor noi soluții tehnologice sau organizatorice; în practica autorităților de supraveghere, utilizarea inteligenței artificiale este considerată în mod regulat ca intrând sub incidența acestui criteriu.
9. C9 – Prelucrarea care împiedică persoanele vizate să își exercite un drept sau să utilizeze un serviciu ori un contract.

Evaluăm fiecare criteriu ca „îndeplinit”, „caz-limită” sau „neîndeplinit” și motivăm evaluarea pe baza codului. Un caz-limită nu se socotește ca îndeplinit în total, dar este menționat în rezultat; atunci când mai multe cazuri-limită indică aceeași direcție, includem operațiunea de prelucrare în evaluare.

3.3 Evaluarea pe operațiuni de prelucrare

P1 – Verificarea gratuită fără cont (verificarea oricărui site al unui terț, la cerere)

Oricine poate introduce un domeniu pe pagina principală. Crawlerul accesează apoi cel mult opt pagini publice ale acelui site, citește formularele, realizează capturi de ecran și generează un raport pe care îl poate vedea oricine cunoaște linkul său aleatoriu. Administratorul site-ului nu află nimic despre acest lucru, cu excepția cazului în care observă identificatorul crawlerului în jurnalele sale.

• C1 – caz-limită. Raportul evaluează protecția unui formular cu un nivel („Expus”, „Parțial protejat”, „Protejat”) și un scor. În cazul unei societăți cu răspundere limitată, acest lucru nu privește o persoană fizică. În cazul comercianților individuali și al profesioniștilor independenți, domeniul poate fi atribuit persoanei, iar nivelul spune atunci ceva despre grija manifestată în activitatea sa profesională. Ceea ce se evaluează este însă o configurație tehnică, nu comportamentul sau caracteristicile unei persoane. Tratăm acest lucru ca un caz-limită.
• C2 – neîndeplinit. Nu se decide nimic în privința administratorului. În privința persoanei care solicită verificarea se aplică limite per adresă IP și sesiune (cfg/check_lib.php); o verificare respinsă nu are un efect semnificativ.
• C3 – neîndeplinit. Este o singură accesare, la cerere, cel mult o dată pe domeniu și săptămână (cfg/check_lib.php, setarea fc_domain_days = 7). Nu sunt observate persoane. Circumstanța pe care ghidul o invocă pentru a justifica C3 – persoanele vizate nu știu nimic despre prelucrare – este însă prezentă. Ea este luată în considerare în evaluarea riscurilor (R5).
• C4 – neîndeplinit. Se stochează structura formularului și constatările, nu valorile introduse (scanner/src/crawl.js stochează pentru câmpurile vizibile doar lungimea unei valori). Scannerul citește începuturile câmpurilor ascunse precompletate (până la 24 de caractere) și ale atributelor de date (până la 60 de caractere) doar în timpul verificării, pentru a detecta tokenurile și marcajele de timp; acestea nu sunt stocate. Capturile de ecran pot prezenta incidental persoane și nume; site-ul unui cabinet medical își arată specialitatea în imagine. Acestea sunt informații profesionale publice, nu date privind sănătatea unei anumite persoane.
• C5 – caz-limită. Plafonul zilnic este de 200 de verificări acceptate (fc_daily_cap), adică, aritmetic, până la aproximativ 73.000 de site-uri pe an. Pentru fiecare site rezultă doar câteva date cu caracter personal, iar durata este scurtă (30 zile). Pe sistemul de dezvoltare au fost măsurate 2 verificări anonime în setul de date. Neîndeplinit în prezent; caz-limită având în vedere capacitatea proiectată.
• C6 – neîndeplinit. Pe lângă accesarea paginilor, serviciul interoghează vechimea domeniului prin serviciul RDAP rdap.org (se transmite doar numele de domeniu; se stochează doar data înregistrării, în cache) și rezolvă DNS-ul. Acestea sunt detalii tehnice despre domeniu, nu o combinare de seturi de date despre persoane.
• C7 – neîndeplinit.
• C8 – îndeplinit, într-o formă slabă. Un browser automatizat verifică paginile, iar un model lingvistic de pe propriul nostru server clasifică formularele pe care regulile nu le recunosc (scanner/src/classify.js). Modelul vede titlul paginii, adresa, etichetele câmpurilor și până la 400 de caractere din textul formularului. El nu poate face niciodată un formular „trimisibil”.
• C9 – neîndeplinit.

Rezultat intermediar P1: un criteriu într-o formă slabă (C8), două cazuri-limită (C1, C5). Nicio obligație conform regulii generale. Deoarece ambele cazuri-limită indică aceeași direcție, iar persoanele vizate nu știu nimic despre prelucrare, includem P1 în evaluare.

P2 – Verificarea potențialilor clienți pentru agenții

O agenție cu planul Business și cu propria marcă configurată poate solicita verificarea pasivă a site-ului unui potențial client. Ea primește o constatare scurtă sub marca sa și un raport detaliat și transmite ea însăși linkul mai departe (cfg/akquise_lib.php). Noi nu contactăm pe nimeni.

• C1 – caz-limită, mai pronunțat decât la P1. Constatarea scurtă este concepută în mod expres ca „deschizător de uși pentru prima discuție”. Evaluarea site-ului devine astfel baza pentru abordarea comercială a unei persoane.
• C5 – neîndeplinit. Cel mult 30 de verificări per agenție și lună (prospect_monthly), șterse după 90 de zile.
• C8 – îndeplinit, într-o formă slabă (aceeași tehnologie ca la P1).
• Celelalte criterii – neîndeplinite. Constatarea este prezentată cu marca agenției, dar nu este legată de alte date despre administrator.

Rezultat intermediar P2: nicio obligație conform regulii generale; inclusă din aceleași motive ca P1 și pentru că scopul – atragerea de clienți – comportă un risc propriu (R6).

P3 – Studiul „Form Security Index”

Pentru un studiu, o listă de site-uri este verificată pasiv, cu limitare la cel mult cinci sarcini deschise per rulare a procesului de stare, care rulează la fiecare cinci minute (cfg/studie_lib.php). Sunt publicate doar totalurile, iar segmentele doar începând de la 20 de site-uri cu formular (study_min_segment, cfg/studie_lib.php). Datele brute sunt șterse la publicare (cfg/studie_lib.php).

• C5 – caz-limită, îndeplinit pentru listele mari. Dimensiunea listei nu este limitată în cod; limitarea permite, aritmetic, peste o mie de verificări pe zi. Un studiu al unei piețe naționale cuprinde mii de site-uri, multe dintre ele administrate de comercianți individuali. Începând de la o astfel de dimensiune, considerăm criteriul îndeplinit.
• C8 – îndeplinit, într-o formă slabă.
• C1 – neîndeplinit. Deși fiecare site este evaluat, se publică doar totalul; evaluarea nu servește la formularea unei afirmații despre administratorul individual.
• Celelalte criterii – neîndeplinite.

Rezultat intermediar P3: pentru studiile de dimensiunea proiectată, două criterii (C5, C8). Studiul atinge, așadar, pragul; formexposed realizează evaluarea în calitate de operator. Conform măsurătorilor de pe sistemul de dezvoltare, până în prezent nu a fost creat niciun studiu.

P4 – Verificarea domeniilor din contul Clientului

Clientul solicită verificarea periodică a domeniilor din contul său. După ce a dovedit că are dreptul de a controla domeniul, se adaugă trimiterile active de test (cel mult cinci per verificare), căutarea fișierelor expuse și parcursurile configurate în browser.

• C3 – neîndeplinit. Verificarea este programată și recurentă, dar privește site-ul propriu al Clientului și se efectuează la cererea acestuia, nu pentru a observa persoane.
• C4 – caz-limită, nu. Căutarea fișierelor expuse citește cel mult primii 8 KB din căi precum /backup.sql sau un jurnal de depanare, pentru a determina din conținut dacă fișierul este într-adevăr expus (cfg/dateien_lib.php). Un astfel de extras poate conține date introduse de vizitatori în formulare. El este verificat doar în memorie și nu este niciodată stocat; se stochează calea, tipul și gravitatea.
• C8 – îndeplinit, într-o formă slabă.
• Celelalte criterii – neîndeplinite.

Rezultat intermediar P4: nicio obligație. Inclusă deoarece trimiterile active de test și verificarea fișierelor depind de o dovadă care nu este niciodată reînnoită (R7).

P5 – Scanarea din spatele autentificării

Pentru un domeniu verificat, Clientul poate stoca un cont de test pentru site-ul său. Scannerul se autentifică cu acesta și citește formularele de pe până la cinci pagini specificate din zona pentru membri (cfg/login_lib.php, scanner/src/login.js).

• C4 – caz-limită. Datele de acces nu sunt date cu un caracter foarte personal în sensul ghidului, dar utilizarea lor abuzivă deschide accesul la zona pentru membri. În funcție de site, în spatele unei autentificări se poate afla conținut confidențial, de exemplu într-un portal pentru membri sau pentru pacienți. Acest lucru depinde de Client, nu de noi.
• C8 – neîndeplinit. Autentificările automatizate sunt uzuale în serviciile de monitorizare.
• Celelalte criterii – neîndeplinite.

Rezultat intermediar P5: nicio obligație conform regulii generale. Pentru Clienții a căror zonă pentru membri afișează conținut confidențial, situația se poate schimba; decizia le aparține atunci acestora. Inclusă din cauza riscurilor de securitate (R8).

P6 – Verificarea livrării cu copie de control

Clientul introduce o adresă de control a formexposed ca destinatar în copie ascunsă în setările de e-mail ale formularului său. Drept urmare, fiecare e-mail din formular ajunge și în căsuța noastră poștală de control – atât mesajul nostru de test, cât și fiecare mesaj real al unui vizitator. O preluare automată citește antetele și primii 8 KB, asociază e-mailul, evaluează SPF, DKIM și DMARC și îl șterge (cfg/zustellung_lib.php).

• C4 – îndeplinit. Ceea ce scriu vizitatorii într-un formular de contact este o comunicare electronică adresată unei întreprinderi, cu conținut arbitrar. Pe site-ul unui cabinet medical, al unui cabinet de avocatură, al unui serviciu de consiliere sau al unei școli, sunt de așteptat date în sensul art. 9 sau date despre copii. Ghidul menționează în mod expres comunicațiile electronice confidențiale la acest criteriu.
• C3 – caz-limită, mai degrabă îndeplinit. Fiecare mesaj este copiat în mod planificat și continuu și evaluat automat, fără ca expeditorul să observe. Scopul este verificarea rutei de e-mail, nu observarea persoanelor. Totuși, circumstanța prin care ghidul justifică criteriul – persoanele vizate nu știu cine le primește datele – este pe deplin prezentă atât timp cât Clientul nu își informează vizitatorii.
• C7 – în funcție de Client. Pacienții, clienții cabinetelor de avocatură, candidații la locuri de muncă, părinții și elevii se află adesea într-o relație de dependență față de destinatarul mesajului lor.
• C5 – caz-limită, nu. Nu este o prelucrare pe scară largă pentru Clientul individual. La formexposed, copiile multor Clienți converg într-o singură căsuță poștală; aceasta crește gravitatea unei încălcări, nu numărul per operator.
• Celelalte criterii – neîndeplinite. Asocierea la domeniu și test nu reprezintă o combinare de seturi de date despre persoane; tehnologia nu este nouă.

Rezultat intermediar P6: C4 îndeplinit, C3 caz-limită și mai degrabă îndeplinit, C7 îndeplinit pentru mulți Clienți tipici. În configurația tipică sunt, așadar, îndeplinite două sau mai multe criterii. Este necesară o EIPD – ca obligație a Clientului, care este operatorul. Secțiunile 6–11 îi furnizează faptele necesare în acest scop.

P7 – Protecția colectivă (swarm)

Site-urile WordPress conectate raportează o dată pe zi domeniile linkurilor din mesajele oprite de stratul lor de protecție. Un domeniu care apare pe cel puțin trei site-uri diferite, cu cel puțin cinci apariții în decurs de șapte zile, este trecut pe o listă comună; lista este trimisă înapoi tuturor site-urilor conectate, care plasează apoi în carantină mesajele cu linkuri către acel domeniu (cfg/swarm_lib.php).

• C6 – îndeplinit. Rapoartele provenite de la numeroase site-uri independente unele de altele, adică de la operatori diferiți, sunt combinate și returnate tuturor acestora sub forma unei liste comune.
• C1 – îndeplinit, în măsura în care un domeniu poate fi atribuit unei persoane fizice. Lista reprezintă o clasificare ca sursă de spam. Ghidul menționează verificarea în raport cu o bază de date comună privind frauda ca exemplu pentru acest criteriu. Majoritatea domeniilor de pe o astfel de listă aparțin unor întreprinderi sau sunt domenii de unică folosință; totuși, domeniul unei persoane fizice poate ajunge pe listă, pe drept sau ca urmare a unor rapoarte false plasate în mod deliberat.
• C9 – caz-limită. Un mesaj cu un link de pe listă nu ajunge imediat la destinatar, ci rămâne în carantina acestuia până când îl eliberează. Mesajul nu se pierde.
• C2 – neîndeplinit. Carantina este o consecință automată pentru un mesaj, fără efect juridic și cu eliberare umană de către destinatar.
• Celelalte criterii – neîndeplinite. Rețelele IP sunt dezactivate (swarm_ip_enabled = 0, cfg/swarm_lib.php).

Rezultat intermediar P7: două criterii (C6, C1) și un caz-limită (C9). Pragul este atins; formexposed realizează evaluarea în calitate de operator. Cu rețelele IP activate, C1 și C6 ar fi îndeplinite fără restricții; activarea acestora necesită o nouă versiune a acestei evaluări (secțiunea 12). Conform măsurătorilor de pe sistemul de dezvoltare, nu există nici rapoarte, nici intrări pe listă.

P8 – Conturile Clienților, autentificarea, jurnalele, suportul, e-mailul, plățile

• C1 și C9 – neîndeplinite. Un comportament suspect în cadrul verificării gratuite duce la o notă cu adresa IP (cfg/check_lib.php) și, după caz, la respingerea altor verificări. Aceasta este o prevenire a abuzurilor cu efect redus, nu o evaluare a aspectelor personale.
• Celelalte criterii – neîndeplinite. Acestea sunt datele obișnuite ale unui serviciu pentru întreprinderi.

Rezultat intermediar P8: nu este necesară o EIPD. Operațiunile de prelucrare sunt descrise în Evidența activităților de prelucrare.

P9 – Cifrele pluginului, erorile de câmp, înregistratorul, insigna, portalul pentru clienți, „Fix it for me”

• Pluginul și extensia transmit cifre zilnice, inventarul pluginurilor și categorii de erori, iar pluginul WordPress transmite în plus domeniile linkurilor pentru protecția colectivă (activată implicit) (P7), fără conținut, adrese, nume sau IP-uri ale vizitatorilor; înregistratorul păstrează selectorii cel mult 15 minute în browserul administratorului. Niciun criteriu îndeplinit.
• La încărcare, insigna transferă datele de conexiune obișnuite în jurnalul serverului web, fără cookie. Niciun criteriu îndeplinit.
• Portalul pentru clienți prelucrează adresele de e-mail ale abonaților cu dublă confirmare (double opt-in), în numele agenției. Niciun criteriu îndeplinit.
• „Fix it for me” rescrie codul de formular lipit cu ajutorul unui model lingvistic de pe propriul nostru server; codul nu este stocat. C8 într-o formă slabă, nimic altceva.

Rezultat intermediar P9: nu este necesară o EIPD.

3.4 Lista autorității poloneze de supraveghere în temeiul art. 35(4)

Autoritatea competentă este Președintele Oficiului pentru Protecția Datelor cu Caracter Personal (Prezes Urzędu Ochrony Danych Osobowych, UODO). Președintele a publicat lista tipurilor de operațiuni de prelucrare care necesită o EIPD în comunicatul din 17 iunie 2019 (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, poziția 666). Lista atribuie intrările sale criteriilor din ghidul WP248, oferă exemple și nu este, în mod expres, exhaustivă; ea nu înlocuiește evaluarea în temeiul art. 35(1).

În interpretarea noastră, următoarele tipuri de prelucrare de pe listă corespund în substanță unor operațiuni de prelucrare ale formexposed:

Tipul de prelucrare conform listei (parafrazat)	Criteriul atribuit	Operațiunea de prelucrare la formexposed	Evaluare
Compararea, evaluarea sau deducerea pe baza analizei datelor din surse diferite	C6	P7 Protecția colectivă	se aplică
Evaluarea sau atribuirea de punctaje, inclusiv crearea de profiluri	C1	P7 Protecția colectivă; P1 și P2 drept cazuri-limită	se aplică pentru P7
Prelucrarea categoriilor speciale de date cu caracter personal	C4	P6 Verificarea livrării	se aplică în funcție de Client
Utilizarea inovatoare sau aplicarea unor soluții tehnologice	C8	P1–P4 (model lingvistic pentru clasificare)	se aplică într-o formă slabă
Prelucrarea pe scară largă	C5	P3 Studiu	se aplică pentru listele mari
Monitorizarea sistematică a locurilor accesibile publicului, inclusiv cu recunoașterea caracteristicilor	C3	–	nu se aplică: sunt avute în vedere locuri, nu site-uri

Această repartizare este o interpretare, nu un citat; formularea intrărilor trebuie verificată în raport cu aceasta în cadrul analizei juridice. Ea confirmă rezultatul din secțiunea 3.3, dar nu îl modifică. Din câte știm, UODO nu a publicat o listă în temeiul art. 35(5) – operațiuni de prelucrare pentru care nu este necesară o EIPD.

3.5 Rezultatul evaluării pragului

Operațiune de prelucrare	Îndeplinit	Caz-limită	Rezultat
P1 Verificarea gratuită	C8 (slab)	C1, C5	nu este obligatorie; inclusă
P2 Verificarea potențialilor clienți	C8 (slab)	C1	nu este obligatorie; inclusă
P3 Studiu	C8 (slab), C5 pentru listele mari	–	necesară (obligația formexposed)
P4 Verificarea domeniilor Clienților	C8 (slab)	C4 (verificarea fișierelor)	nu este obligatorie; inclusă
P5 Scanarea din spatele autentificării	–	C4	nu este obligatorie; inclusă; pentru Client, în funcție de conținut
P6 Verificarea livrării	C4; C7 în funcție de Client	C3 (mai degrabă îndeplinit), C5	necesară (obligația Clientului; această pagină oferă asistență în temeiul art. 28(3)(f))
P7 Protecția colectivă	C6, C1	C9	necesară (obligația formexposed)
P8 Conturi, jurnale, suport, plăți	–	–	nu este necesară
P9 Cifrele pluginului, insigna, portalul, „Fix it for me”	C8 (slab, doar „Fix it for me”)	–	nu este necesară

Rezultat privind art. 35(1): Pentru anumite operațiuni de prelucrare ale formexposed este necesară o EIPD. Aceasta este necesară pentru protecția colectivă și pentru studiile de dimensiunea proiectată, iar formexposed o realizează în calitate de operator. Pentru verificarea livrării, ea este necesară în configurația tipică, dar ca obligație a Clientului; formexposed furnizează baza. Pentru celelalte verificări ale site-urilor terților și ale site-urilor proprii, ea nu este obligatorie. Le includem totuși, deoarece utilizează aceeași tehnologie, deoarece mai multe cazuri-limită indică aceeași direcție și deoarece persoanele vizate – administratorii fără cont și persoanele de pe paginile verificate – nu știu nimic despre prelucrare. Pentru conturi, jurnale, suport și plăți nu este necesară nicio evaluare.

Secțiunile 6–10 se aplică, așadar, pentru P1–P7. Acolo unde o afirmație se aplică doar uneia dintre aceste operațiuni de prelucrare, ea este marcată ca atare.

4. Responsabilul cu protecția datelor: evaluarea în temeiul art. 37

Nu a fost desemnat niciun responsabil cu protecția datelor. art. 37(1) obligă deopotrivă operatorul și persoana împuternicită de operator; întrebarea ne privește, așadar, pe noi înșine. Cele trei cazuri prevăzute de lege:

art. 37(1)	Condiție	Rezultat
litera (a)	Autoritate sau organism public	Nu se aplică; LW IT Solutions Company Lukas Wójcik este o întreprindere individuală privată.
litera (b)	Activitățile principale constau în operațiuni de prelucrare care necesită o monitorizare periodică și sistematică a persoanelor vizate pe scară largă	Activitatea principală este verificarea și monitorizarea site-urilor și a formularelor, în mod periodic și sistematic. Totuși, nu sunt monitorizate persoane: crawlerul nu observă comportamente, iar verificarea livrării evaluează e-mailurile doar în ceea ce privește livrarea și autenticitatea. Neîndeplinit.
litera (c)	Activitățile principale constau în prelucrarea pe scară largă a datelor prevăzute la art. 9 sau 10	Nu prin concepție. Categoriile speciale pot ajunge la noi prin copia de control a verificării livrării; acest lucru este incidental, nu o activitate principală. Neîndeplinit.

În evaluarea noastră, nu există, așadar, obligația de a desemna un responsabil. Dacă legislația poloneză impune o desemnare dincolo de aceasta, în temeiul art. 37(4), este o întrebare deschisă pentru analiza juridică. Întrucât nu a fost desemnat niciun responsabil cu protecția datelor, consultarea prevăzută la art. 35(2) nu se aplică. Dacă analiza juridică constată existența obligației de desemnare, înainte de aprobarea acestei evaluări se va solicita avizul responsabilului cu protecția datelor desemnat atunci (secțiunea 12). Persoana de contact pentru întrebări privind această evaluare este proprietarul, la contact@lukaswojcik.com.

5. Metodă, surse și limitele acestei versiuni

Faptele din acest document provin din codul sursă al aplicației și al scannerului, din schema bazei de date, precum și din numărul de rânduri și din setările sistemului de dezvoltare, măsurate la 11 octombrie 2026. Baza de date și serverele au fost accesate doar în citire. Acolo unde o măsurătoare contrazice o intenție – inclusiv o afirmație din propriile noastre documente juridice –, raportăm măsurătoarea. Nu aplicăm coduri de conduită aprobate în temeiul art. 40, a căror respectare ar trebui luată în considerare conform art. 35(8).

• A fost măsurat sistemul de dezvoltare. Serviciul nu a fost încă lansat. Cifrele sunt, prin urmare, mici și parțial artefacte ale testării: 112 verificări, dintre care 110 fără domeniu al unui Client; 432 de capturi de ecran; 2 domenii, dintre care 1 verificat; nicio verificare a livrării activată; niciun cont de test stocat pentru scanarea din spatele autentificării; niciun studiu; niciun raport în protecția colectivă. Măsurătorile trebuie repetate înainte de lansare și, ulterior, la intervale regulate.
• Nu au fost măsurate în această versiune și trebuie adăugate înainte de aprobare: configurația sistemului de producție, inclusiv dacă și cum este configurată căsuța poștală de control și dacă acolo este configurată perechea de chei pentru scanarea din spatele autentificării; dacă software-ul modelului lingvistic înregistrează solicitările; starea administrării serverelor (R13); contractul cu furnizorul de servicii de e-mail.
• Nu s-a putut măsura câte mesaje reale ale vizitatorilor vor trece prin copia de control și din ce sectoare vor proveni Clienții. Ambele determină gravitatea R1 și R2 și trebuie stabilite după lansare.
• Referințele la sursă indică fișiere și funcții din codul sursă al sistemului de dezvoltare. Determinantă este funcția descrisă, nu locul acesteia în fișier.

Acest document este un proiect. El nu a fost încă aprobat de operator (secțiunea 12), iar două dintre concluziile sale – aprecierea amplorii pentru P1 și P3 și ponderea verificării livrării – depind de cifre care vor exista abia după lansare.

6. (a) Descrierea sistematică a operațiunilor de prelucrare și a scopurilor

6.1 Cum este structurat sistemul de verificare

formexposed rulează pe propriile servere din Polonia, fără un furnizor extern de găzduire: un server web cu aplicația și baza de date și un server de scanare cu serviciul de verificare și un model lingvistic local, ambele în aceeași rețea internă. O verificare se desfășoară astfel:

1. Aplicația creează o sarcină în baza de date – sub rezerva limitelor și blocărilor prezentate în secțiunea 6.3.
2. Serviciul de verificare de pe serverul de scanare preia sarcina, verifică încă o dată lista de blocare, numele de host și, pentru verificările anonime, vechimea domeniului și pornește un container izolat exact pentru această sarcină: o rețea proprie cu reguli de filtrare proprii, fără privilegii speciale, un sistem de fișiere doar în citire, limite de memorie și de procese și o limită de timp (scanner/src/worker.js).
3. În interiorul containerului, un browser automatizat accesează cel mult opt pagini publice, mai întâi pagina principală, apoi, cu prioritate, paginile de contact, de informații legale și de suport. Înainte de aceasta, citește robots.txt; o excludere pentru FormExposedBot sau pentru toți crawlerii care acoperă pagina principală încheie verificarea, la fel ca un robots.txt inaccesibil sau o eroare de server la accesare (scanner/src/net.js). Interdicțiile pentru anumite subcăi nu sunt respectate separat. Pulsul formularului, preluarea dovezii, instrumentul pentru antete și căutarea fișierelor expuse nu citesc robots.txt. Pe lângă cele opt pagini, există până la trei pagini cu un clic pe „Respinge” în bannerul de cookie-uri, până la trei pagini în vizualizarea pentru telefon, sonde active pentru domeniile verificate și până la cinci pagini din spatele unei autentificări; paginile sunt încărcate una după alta, nu în paralel. Fiecare solicitare a browserului – inclusiv redirecționările și conținutul integrat – trece printr-un filtru care respinge rețelele private și alte porturi.
4. Containerul scrie un rezultat și capturile de ecran într-un director temporar. Serviciul de verificare transmite rezultatul și imaginile aplicației prin rețeaua internă și șterge directorul temporar, chiar și după o eroare (scanner/src/worker.js).
5. Aplicația procesează rezultatul, îl compară cu verificarea anterioară pentru domeniile Clienților și raportează modificările către destinațiile configurate de Client.

6.2 Ce stochează crawlerul – și ce nu

Element	Ce se stochează	Ce nu se stochează	Referință la sursă
Pagini	Adresa, starea HTTP, antetele, Content Security Policy, hosturile terților solicitate (cel mult 120)	Conținutul paginii ca text sau HTML	scanner/src/crawl.js
Câmpurile formularului	Tipul, numele, eticheta, placeholderul, câmpul obligatoriu, vizibilitatea, lungimea unei valori existente	Valorile câmpurilor; pentru câmpurile ascunse, primele 24 de caractere ale valorii sunt doar citite în timpul verificării (pentru detectarea tokenurilor)	scanner/src/crawl.js
Adresele destinatarilor din formular	doar domeniul	adresa	scanner/src/crawl.js
Scripturi	Inventar cu sumă de control; adrese și textul de început fără identificatorii de cont ai serviciilor de publicitate și de analiză	Identificatorii de cont și de pixel	scanner/src/crawl.js
Instrumente de ascultare	ce pixeli de publicitate și instrumente de înregistrare se încarcă înainte și după un clic pe „Respinge” în bannerul de cookie-uri și dacă acestea maschează datele introduse	Identificatorii conturilor la aceste servicii	scanner/src/mitleser.js, scanner/src/einwilligung.js
Textul formularului	până la 400 de caractere ajung la modelul lingvistic local dacă regulile nu recunosc tipul	Divulgarea către terți; stocarea textului	scanner/src/classify.js
Capturi de ecran (crawler)	zona vizibilă a primei pagini; pentru fiecare formular vizibil, o imagine a elementului de formular	–	scanner/src/crawl.js
Capturi de ecran (verificare activă)	Imaginea paginii de răspuns la trimiterea de test; în plus, starea, adresa țintă, titlul și primele 300 de caractere din textul acesteia	–	scanner/src/active.js
Capturi de ecran (parcursuri în browser)	Imaginea formularului cu câmpurile de introducere înnegrite, comprimată, cel mult 32 KB	Datele introduse	scanner/src/browser.js
În spatele autentificării	ca la câmpurile formularului de mai sus	Capturi de ecran, cookie-uri, linkuri	scanner/src/login.js

Aceste elemente nu conțin date cu caracter personal prin concepție, dar le conțin incidental: numele unei persoane de contact lângă formular, o fotografie a echipei pe pagina principală, un număr de telefon într-o etichetă, domeniul de e-mail al unei persoane fizice, un nume într-un placeholder. În spatele autentificării se adaugă detalii ale contului de test și, în funcție de site, ale altor utilizatori.

6.3 Cine declanșează o verificare și ce se aplică atunci

Declanșator	Nivelul de încredere în sarcină	Trimiteri de test	Rezultat accesibil prin	Ștergere
Cineva introduce un domeniu pe pagina principală (verificare gratuită)	anonim	nu	Raport sub un link aleatoriu	30 zile, inclusiv imaginile (cfg/check_lib.php)
Plugin sau extensie fără cont	plugin	nu	Raport sub un link aleatoriu	30 zile
Agenție pentru un potențial client	înregistrat	nu	Constatare scurtă și raport sub un link aleatoriu	90 de zile (cfg/akquise_lib.php)
Client, domeniu fără dovadă	înregistrat	nu	Cont; raport sub un link aleatoriu	13 luni, ultima verificare se păstrează
Client, domeniu cu dovadă	verificat	da, cel mult cinci per verificare	Cont; raport sub un link aleatoriu	13 luni, ultima verificare se păstrează (cfg/fristen_lib.php)
Studiu	intern	nu	doar totalurile, după publicare	la publicare; fără publicare, fără limită de timp (R4)
Verificare internă din linia de comandă de către furnizor	intern; pentru propriile noastre domenii de test și demonstrație și „verificat”	nu; cu nivelul „verificat”, da (doar propriile noastre domenii de test și demonstrație)	doar intern	fără limită de timp (R4)

În fața verificării gratuite se află mai multe niveluri (cfg/check_lib.php): o oprire de urgență; reCAPTCHA; același domeniu cel mult o dată la șapte zile (după aceea este afișat raportul existent); limite per adresă IP, per sesiune (ca valoare hash, niciodată identificatorul de sesiune însuși) și pentru întregul serviciu pe zi; lista de blocare din opt-out și robots.txt; verificarea faptului că domeniul indică adrese publice; și o blocare pentru domeniile foarte noi sau necunoscute. Anomaliile – multe domenii diferite de la o singură adresă IP, multe solicitări într-un timp scurt – sunt notate cu adresa IP și declanșează un semnal fără conținut (cfg/check_lib.php).

6.4 Verificarea domeniilor din contul Clientului

Clientul dovedește că are dreptul de a controla un domeniu: prin înregistrare DNS, meta tag, fișier sau prin pluginul nostru (cfg/verify_lib.php). Abia atunci domeniul este tratat ca verificat. Planificatorul de monitorizare programează verificări periodice doar pentru domeniile active, monitorizate și verificate (cfg/monitor_lib.php).

• Trimiterile active de test sunt condiționate de două bariere: aplicația setează modul activ pentru Clienți doar pentru domeniile verificate (pentru propriile noastre domenii de test și demonstrație, furnizorul poate crea o verificare cu nivelul „verificat” printr-un instrument intern de linie de comandă), iar serviciul de verificare verifică din nou nivelul de încredere și oprirea de urgență fc_active_enabled (scanner/src/worker.js). Poate fi trimis doar un formular pe care regulile îl recunosc cu un grad ridicat de certitudine ca formular de contact general, care nu are câmpuri obligatorii pentru date cu caracter personal reale și al cărui domeniu nu pare a aparține unei autorități publice, unei instituții de învățământ, unei clinici, unui cabinet medical, poliției sau unei instanțe (scanner/src/classify.js). Modelul lingvistic nu poate face un formular trimisibil (scanner/src/classify.js). Per verificare se trimit cel mult cinci trimiteri (fc_active_max_posts), marcate clar, cu expeditorul dummy@formexposed.com, o adresă sub .invalid pentru testarea validării e-mailului și o linie de antet suplimentară inofensivă pentru detectarea injecției de antet (scanner/src/active.js).
• Parcursurile în browser verifică parcursurile configurate ale formularelor într-un browser până imediat înainte de trimitere. Sunt permise doar solicitări GET și HEAD; orice altceva este întrerupt, la fel ca adresele care conțin cuvinte pentru deconectare, ștergere, cumpărare sau plată (scanner/src/browser.js). Pentru verificare, câmpurile obligatorii sunt completate cu valori inventate care nu părăsesc niciodată browserul.
• Fișierele expuse sunt căutate săptămânal, doar pentru domeniile verificate, cu cel mult o accesare per cale, cel mult 8 KB, iar conținutul nu este stocat niciodată (cfg/dateien_lib.php).
• O a doua sondă independentă a fost pregătită și este dezactivată implicit (browser_probe_enabled = 0). Dacă ar fi activată, ar primi doar domeniul, adresa, selectorul, pașii și alegerea browserului, niciodată date de acces, capturi de ecran sau date ale vizitatorilor (cfg/formular_probe_lib.php).

6.5 Scanarea din spatele autentificării

Condiții prealabile: funcția este configurată, domeniul este verificat, iar Clientul are un plan plătit și este proprietarul sau administratorul spațiului de lucru (cfg/login_lib.php); acesta confirmă că contul este un cont de test cu cât mai puține drepturi posibil (cfg/login_lib.php).

1. Numele de utilizator și parola sunt criptate imediat pe serverul web cu cheia publică a serverului de scanare: o cheie de unică folosință per înregistrare (X25519), derivarea cheii (HKDF-SHA256), AES-256-GCM, legată de domeniu (cfg/login_lib.php). Doar serviciul de verificare de pe serverul de scanare deține cheia privată (scanner/src/geheim.js). Oricine are acces la serverul web, la baza de date sau la o copie de rezervă dispune doar de text cifrat.
2. Interfața afișează doar primul caracter și lungimea numelui de utilizator (cfg/login_lib.php). Datele de acces nu sunt niciodată afișate, niciodată înregistrate în jurnale și niciodată furnizate prin API.
3. Pentru o verificare, aplicația atașează textul cifrat sarcinii. Serviciul de verificare îl decriptează, golește imediat câmpul din sarcină și transmite datele de acces containerului doar prin intrarea standard, niciodată ca argumente în linia de comandă (scanner/src/worker.js). Resturile din sarcinile întrerupte sunt eliminate de procesul de stare după o oră (cfg/login_lib.php).
4. În interiorul containerului, browserul se autentifică. Acesta se oprește dacă pagina de autentificare redirecționează către un alt host, dacă formularul de autentificare are un CAPTCHA (nu ocolim CAPTCHA-urile) sau dacă un câmp de parolă este încă vizibil după trimitere (scanner/src/login.js). Apoi golește câmpul de parolă din memoria paginii și uită datele de acces (scanner/src/login.js).
5. Citește cel mult cinci pagini ale aceluiași domeniu, specificate de Client. Adresele care conțin cuvinte pentru deconectare, ștergere, eliminare sau anulare sunt blocate (scanner/src/login.js). În spatele autentificării nu se trimite nimic, nu se realizează capturi de ecran, iar cookie-urile și linkurile nu ajung în rezultat (scanner/src/login.js).
6. Ștergerea este definitivă: textul cifrat este suprascris cu date aleatorii de aceeași lungime, rândul este șters, iar sarcinile în așteptare sunt eliminate (cfg/login_lib.php). La ștergerea domeniului, rândul dispare automat prin intermediul unei chei externe.

6.6 Verificarea livrării

Verificarea livrării răspunde la întrebarea dacă un e-mail din formularul de contact ajunge cu adevărat și evaluează caracteristicile sale de autenticitate. Este opțională, dezactivată implicit și necesită configurarea unei căsuțe poștale de control (cfg/zustellung_lib.php).

1. Dacă Clientul o activează, domeniul primește o etichetă aleatorie. Clientul introduce adresa de control cu această etichetă ca destinatar în copie ascunsă în formularul său.
2. De atunci, fiecare e-mail din formular ajunge și în căsuța poștală de control: trimiterile noastre de test marcate și toate mesajele reale ale vizitatorilor. E-mailurile ajung direct în căsuța poștală de la Namecheap, Inc. (Private Email), Phoenix, Arizona, USA – ele ajung doar dacă înregistrările MX ale domeniului nostru indică acolo; printr-o redirecționare, de exemplu la registrarul de domenii Namecheap, Inc., ele nu ajung în căsuța poștală – și rămân acolo până când sunt preluate.
3. Procesul de stare preia căsuța poștală la fiecare cinci minute (srv/cron_status.php). Pentru fiecare e-mail, citește antetele și cel mult primii 8 KB din text, fără a le marca drept citite (cfg/zustellung_lib.php).
4. Din antete determină eticheta și, astfel, domeniul, iar din text, după caz, identificatorul testului nostru (cfg/zustellung_lib.php). Se stochează momentul, domeniul și, după caz, identificatorul testului (cfg/zustellung_lib.php), timp de 180 de zile (cfg/zustellung_lib.php).
5. Din antete evaluează SPF, DKIM și DMARC și stochează rezultatul la domeniu: rezultatele verificărilor, domeniul adresei expeditorului, domeniile semnăturilor și adresa serverului de e-mail expeditor (cfg/zustellung_lib.php). Dacă rezultatul se deteriorează, Clientului i se trimite o singură dată o alertă care poate menționa domeniul expeditorului (cfg/zustellung_lib.php).
6. Apoi marchează pentru ștergere fiecare e-mail preluat, inclusiv unul care nu a putut fi asociat niciunui domeniu, și îl elimină din căsuța poștală la sfârșitul rulării (cfg/zustellung_lib.php). Dacă rularea se întrerupe înainte de aceasta, e-mailurile rămân până la următoarea rulare reușită.
7. Doar copia exact a testului în cauză este considerată dovadă a livrării (cfg/zustellung_lib.php). Dacă aceasta nu sosește în trei ore (delivery_wait_h), serviciul raportează „Livrare lipsă”.

Textul mesajelor reale nu este niciodată scris în baza de date, la fel ca adresa vizitatorului. Ambele sunt totuși citite: preluarea încarcă în memorie primii 8 KB ai fiecărui e-mail pentru a căuta identificatorul testului.

6.7 Protecția colectivă (swarm)

1. Stratul de protecție al pluginului WordPress oprește un mesaj ca spam și numără domeniile linkurilor din acesta. O dată pe zi, pluginul ne raportează aceste domenii împreună cu numărul de apariții, cel mult 60 pe zi; fără adrese, fără text, fără adrese IP (cfg/swarm_lib.php).
2. O dată pe zi întocmim lista pe această bază: un domeniu este trecut pe listă dacă a fost raportat în decurs de șapte zile de cel puțin trei site-uri diferite și cu cel puțin cinci apariții (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Serviciile mari de pe o listă fixă de excepții și domeniile Clienților noștri, în fiecare caz inclusiv subdomeniile, nu ajung niciodată pe listă (cfg/swarm_lib.php).
3. Lista ajunge la toate site-urile conectate împreună cu răspunsul la raportul zilnic. Stratul lor de protecție plasează mesajele cu linkuri către domeniile de pe listă în carantină, nu în coșul de gunoi.
4. Ceea ce nu mai apare în noua listă este eliminat; rapoartele sunt șterse după 30 de zile (cfg/swarm_lib.php).
5. Rețelele IP (/24 sau /48) au fost pregătite, dar sunt dezactivate până la finalizarea analizei juridice (cfg/swarm_lib.php).

6.8 Utilizarea inteligenței artificiale

Un model lingvistic rulează pe propriul nostru server de scanare, nu la un furnizor de IA. Este utilizat în două locuri: în serviciul de verificare, clasifică formularele al căror tip nu este recunoscut de reguli; în acest scop, vede titlul paginii, adresa paginii, etichetele butoanelor de trimitere, tipurile câmpurilor, numele, etichetele și placeholderele, precum și până la 400 de caractere din textul formularului (scanner/src/classify.js). Este consultat doar dacă regulile returnează „necunoscut”; formularele clasificate astfel nu sunt niciodată trimise și nu contează pentru scor și verdict. Scorul, verdictul, prevenirea abuzurilor, protecția colectivă și regulile antispam sunt reguli fixe, nu IA. În „Fix it for me”, rescrie codul de formular lipit; codul nu este stocat. Modelul nu ia decizii cu privire la persoane. Mai multe detalii pe pagina Regulamentul UE privind IA: cum utilizează formexposed inteligența artificială.

6.9 Temeiuri juridice

Operațiune de prelucrare	Temei juridic
P1 Verificarea gratuită: verificarea domeniului solicitat; limite și prevenirea abuzurilor	în raport cu persoana care solicită, art. 6(1)(b); în raport cu administratorul și persoanele reprezentate, art. 6(1)(f); prevenirea abuzurilor, art. 6(1)(f)
P2 Verificarea potențialilor clienți	art. 6(1)(f) (interesul legitim al agenției și al formexposed)
P3 Studiu	art. 6(1)(f)
P4 Verificarea domeniilor Clienților	art. 6(1)(b) în raport cu Clientul; pentru datele terților de pe site-ul său, instrucțiunile Clientului în temeiul art. 28
P5 Scanarea din spatele autentificării	Instrucțiunile Clientului în temeiul art. 28; temeiul juridic al Clientului
P6 Verificarea livrării	Instrucțiunile Clientului în temeiul art. 28; temeiul juridic al Clientului (în textul propus de noi pentru Clienți, art. 6(1)(f))
P7 Protecția colectivă	art. 6(1)(f) (apărarea comună împotriva spamului pe numeroase site-uri)

Interesul nostru legitim pentru P1–P3 constă în a arăta administratorilor și furnizorilor lor de servicii punctele slabe ale formularelor lor înainte ca acestea să fie exploatate pentru spam sau abuz, precum și în furnizarea serviciului. Datele provin din surse accesibile publicului. Echilibrarea intereselor este prezentată în secțiunea 7; dacă art. 6(1)(f) susține verificarea site-urilor unor terți la cerere este o întrebare deschisă pentru analiza juridică.

6.10 Destinatari și transferuri către țări terțe

Destinatar	Ce	Operațiune de prelucrare	Stare
Nimeni din afara formexposed	Rezultatele verificărilor, capturile de ecran, clasificarea de către modelul lingvistic	P1–P5	Serviciul de verificare și modelul lingvistic rulează pe propriile noastre servere; în calea de verificare a crawlerului nu a fost identificat niciun apel către un terț, cu excepția site-ului verificat însuși, a serviciilor al căror conținut îl integrează acesta (ca la orice vizitator) și a serviciului RDAP rdap.org pentru vechimea domeniului (doar numele de domeniu); supravegherile din cadrul monitorizării sunt enumerate pe rândul următor
Oricine cunoaște linkul	Raportul cu constatări și capturi de ecran	P1, P2, P4	link aleatoriu de 128 de biți (cfg/check_lib.php), pagini cu noindex (www/report.php)
Servicii interogate în cadrul monitorizării unui domeniu al Clientului	Liste de blocare DNS (SpamCop, PSBL, Mailspike, SURBL): domenii și adrese IP ale serverelor, fără date ale vizitatorilor; Google Web Risk doar dacă este configurat: adresa paginii principale; autoritățile de marcare temporală Certum și DigiCert: doar o valoare hash a jurnalului de dovezi; RDAP prin registrul IANA: doar numele de domeniu; paginile de stare ale furnizorilor: nu se transmite nimic; wpvulnerability.net: identificatorul unui plugin (fără versiune) sau al unei teme și versiunea WordPress	P4	în utilizare; detalii în Evidența activităților de prelucrare și pe pagina Persoane împuternicite secundare
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Copiile de control, inclusiv mesajele reale ale vizitatorilor	P6	Contractul nu a fost încă încheiat; locul prelucrării și mecanismul de transfer urmează să fie examinate
Namecheap, Inc. (SUA)	Registrar și DNS; până la configurarea căsuței poștale, redirecționarea e-mailurilor generale către adresele domeniului nostru, nu a copiilor de control (acestea ajung în căsuța poștală doar prin înregistrări MX care indică direct către ea)	– (fără copii de control)	Mecanismul de transfer urmează să fie examinat
Canalele de alertă alese de Client (e-mail, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	Evenimentul, domeniul, linkul; pentru verificarea autenticității, domeniul expeditorului, dacă acesta nu aparține site-ului	P4, P6	destinație aleasă de Client; parțial în afara UE. Trimitem mesajele Telegram prin botul nostru; mecanismul de transfer pentru acestea este o întrebare deschisă pentru analiza juridică
Toate site-urile conectate	Lista domeniilor de linkuri	P7	prin răspunsul către plugin
A doua sondă	Domeniul, adresa formularului, selectorul, pașii	P4	dezactivată

6.11 Durate de stocare, măsurate, nu intenționate

Ștergerea are loc în majoritatea cazurilor noaptea, la ora 03:00, în procesul de stare (srv/cron_status.php, cfg/fristen_lib.php); rapoartele protecției colective și rândurile privind potențialii clienți sunt șterse zilnic începând cu ora 04:00, asocierile verificării livrării la fiecare preluare; rapoartele anonime și cele privind potențialii clienți sunt șterse pe baza datei lor de expirare (cfg/check_lib.php). Capturile de ecran sunt șterse de pe disc împreună cu scanarea lor (cfg/fristen_lib.php).

Date	Perioada conform codului	Referință la sursă	Constatare
Verificarea gratuită, inclusiv imaginile	30 zile	cfg/check_lib.php	efectivă
Verificarea potențialilor clienți, inclusiv imaginile	90 de zile	cfg/akquise_lib.php; srv/cron_status.php (rândurile privind potențialii clienți)	efectivă
Verificările unui domeniu al Clientului	13 luni; ultima se păstrează cât timp există domeniul	cfg/fristen_lib.php	efectivă
Rezultatele parcursurilor în browser, inclusiv imaginile înnegrite	13 luni	cfg/fristen_lib.php	efectivă
Datele unui domeniu șters	imediat; datele orfane noaptea	cfg/fristen_lib.php (fe_domain_loeschen(), fe_fristen_lauf())	efectivă, inclusiv pentru inventarul de scripturi și modificările de scripturi, care în afară de aceasta nu au o durată de stocare proprie (a se vedea Evidența activităților de prelucrare)
Studiu: datele brute, inclusiv imaginile	la publicare	cfg/studie_lib.php	fără publicare, fără limită de timp; lista hosturilor verificate rămâne fără limită de timp chiar și după publicare
Verificările interne fără domeniu și fără raport	niciuna	–	nicio ștergere; măsurat: 85 de verificări cu 369 de imagini începând cu 22 septembrie 2026 (R4)
Asocierile verificării livrării	180 de zile	cfg/zustellung_lib.php	efectivă
Rezultatul verificării autenticității, la domeniu	până la următorul rezultat sau la ștergerea domeniului	cfg/zustellung_lib.php	suprascris, nelimitat în timp
Copiile de control din căsuța poștală	până la următoarea preluare reușită (interval de cinci minute)	cfg/zustellung_lib.php	copiile și copiile de rezervă de la furnizorul căsuței poștale nu au fost verificate
Datele de acces pentru scanarea din spatele autentificării	până la ștergerea de către Client sau a domeniului; în sarcină cel mult până la sfârșitul rulării, resturile după o oră	cfg/login_lib.php	efectivă; în copiile de rezervă doar ca text cifrat, timp de până la 14 zile
Rapoartele din protecția colectivă	30 de zile	cfg/swarm_lib.php	efectivă
Limitele verificării gratuite (IP, țară, hash al sesiunii)	7 zile	srv/cron_status.php	efectivă
Notele privind comportamentul suspect, cu adresa IP	90 de zile după soluționare	srv/cron_status.php	notele nesoluționate fără limită de timp; măsurat: 3 note, toate soluționate
Adresa IP, țara, browserul aferente unui opt-out	12 luni; excluderea se păstrează	cfg/fristen_lib.php	efectivă
Copiile de rezervă ale bazei de date	14 zile	cfg/backup_lib.php	efectivă; copiile de rezervă sunt în prezent stocate în aceeași locație ca baza de date și nu sunt criptate separat; este planificată o copie criptată într-o a doua locație (R13)

7. (b) Evaluarea necesității și proporționalității

Etalonul îl constituie scopurile declarate: a arăta administratorilor dacă formularele lor sunt protejate împotriva spamului și a abuzurilor (P1–P5), a verifica dacă e-mailurile din formulare ajung și par autentice (P6) și a apăra în comun împotriva spamului pe numeroase site-uri (P7). Aceste scopuri sunt legitime. Întrebarea prevăzută la art. 35(7)(b) este mai restrânsă: este această prelucrare necesară la această profunzime pentru scop și este ingerința proporțională cu beneficiul?

Componentă	Necesară pentru scop?	Proporțională în forma construită?
Accesarea câtorva pagini publice, structura formularelor, măsurile de protecție detectate	Da. Fără acestea nu există constatare.	Da. Cel mult opt pagini (plus vizualizările din secțiunea 6.1), o interdicție a paginii principale în robots.txt este respectată, nicio valoare a câmpurilor vizibile, adresele destinatarilor doar ca domeniu.
Captură de ecran per formular	Da, ca dovadă în raport: administratorul poate vedea la ce formular se face referire.	În mare măsură. Câmpurile sunt goale, deoarece crawlerul nu introduce nimic. Imaginea arată însă împrejurimile elementului de formular fără a înnegri nimic (R3).
Captura de ecran a paginii principale	Nu este necesară pentru constatarea propriu-zisă. Servește la recunoașterea site-ului verificat în raport.	Doar într-o măsură limitată; este planificată o reducere suplimentară la minimum. Paginile principale arată adesea persoane: fotografii ale echipei, persoane de contact, recomandări ale clienților cu nume. A se vedea R3 și secțiunea 9.3.
Citirea valorilor câmpurilor ascunse (primele 24 de caractere, doar în timpul verificării)	Da: pe baza lor sunt detectate tokenurile și marcajele de timp.	Da. Se stochează doar rezultatul detectării, nu valoarea, inclusiv în spatele autentificării (R8).
Pagina de răspuns la trimiterea de test (imagine și 300 de caractere de text)	Da, ca dovadă a modului în care a răspuns formularul.	Da. Răspunsul se referă la mesajul nostru de test marcat, fără date cu caracter personal.
Clasificarea de către modelul lingvistic	Utilă, nu necesară: fără ea, mai multe formulare rămân „necunoscute”.	Da. Locală, fără divulgare, fără dreptul de a trimite.
Trimiterile active de test	Da. Dacă o protecție funcționează devine evident doar atunci când este testată.	Da, cu plafon și marcare. Condiția prealabilă – dovada controlului – nu este însă niciodată reînnoită (R7).
Căutarea fișierelor expuse	Da, pentru Client, ale cărui date din formulare pot fi expuse acolo.	Da. Doar domeniile verificate, cel mult 8 KB, conținutul nu este stocat niciodată.
Scanarea din spatele autentificării	Da, pentru formularele din zona pentru membri, care altfel ar rămâne neverificate.	În mare măsură. Criptarea și ștergerea sunt construite cu grijă; autentificarea acceptă însă conexiuni necriptate și certificate defecte (R8).
Copia de control a mesajelor reale ale vizitatorilor	Nu pentru dovada livrării. Aceasta se bazează doar pe copia testului nostru (cfg/zustellung_lib.php). Mesajele reale vin la pachet, deoarece o copie ascunsă în formular nu face distincția între un test și un mesaj real. Ele sunt utile pentru verificarea autenticității (SPF, DKIM, DMARC), deoarece arată ruta reală de trimitere.	Parțial. Conținutul nu este stocat, dar este citit și rămâne la furnizorul căsuței poștale, al cărui contract este încă deschis, până la preluare (R1, R2). Este posibilă din punct de vedere tehnic o concepție mai puțin intruzivă: cu pluginul nostru, copia ascunsă ar putea fi limitată la mesajele de test marcate (secțiunea 9.3).
Stocarea domeniului expeditorului mesajelor reale	Parțial: arată dacă formularul trimite cu adresa vizitatorului drept expeditor (o cauză frecventă a clasificării ca spam).	Condiționat. În cazul unei persoane fizice cu propriul domeniu, domeniul reprezintă date cu caracter personal și ajunge în alerta către Client și canalele acestuia (R1).
Lista comună de domenii de linkuri	Da. Un link de spam care apare simultan pe multe site-uri este un semnal puternic de care un singur site nu dispune.	Da, cu numere minime, excepții și carantină în loc de ștergere. Rețelele IP nu ar fi proporționale fără o nouă evaluare.
Datele brute ale studiului	Până la evaluare, da.	Fără o perioadă maximă, nu (R4).
Raportul sub un link aleatoriu	Da. Transmiterea raportului – de exemplu către furnizorul de servicii care se ocupă de site – este scopul verificării gratuite.	Da. Link aleatoriu de 128 de biți, noindex, raport gratuit doar ca extras (cfg/check_lib.php, FE_FREE_DETEKTOREN), ștergere după 30 zile.

Legalitate. Pentru P1–P3 și P7 ne bazăm pe art. 6(1)(f). În favoarea echilibrării: datele sunt publice și sunt accesate în același mod ca de orice vizitator; nu se trimite nimic; datele cu caracter personal sunt incidentale și minore; perioadele sunt scurte; administratorul poate exclude alte verificări ale crawlerului printr-o interdicție a paginii principale în robots.txt și orice altă verificare prin pagina noastră de opt-out, imediat și fără dovadă; beneficiul – un formular protejat – revine și administratorului și vizitatorilor acestuia. Împotrivă: administratorul nu află nimic despre verificare, raportul este destinat unor terți, iar în cazul comercianților individuali evaluează o persoană. Considerăm echilibrarea justificabilă atât timp cât măsurile din secțiunea 9.1 rămân în vigoare; confirmarea juridică este în așteptare.

Informarea persoanelor vizate (art. 13 și 14). Informăm administratorii și persoanele de pe paginile verificate prin pagina crawlerului, care este menționată în identificatorul fiecărei accesări, prin Politica de confidențialitate și prin pagina de opt-out. Informarea individuală a persoanelor care apar incidental într-o captură de ecran ar fi posibilă doar dacă le-am identifica – ceea ce ar constitui o ingerință suplimentară, mai gravă. În această măsură, ne bazăm pe art. 14(5)(b). Vizitatorii ale căror mesaje trec prin copia de control sunt informați de Client; Acordul de prelucrare a datelor impune acest lucru, iar noi punem la dispoziție un bloc de text în acest scop.

Reducerea la minimum a datelor (art. 5(1)(c)). Aceasta este vizibilă în multe locuri și ancorată în cod: nicio valoare a câmpurilor, adresele destinatarilor doar ca domeniu, identificatorii de cont din adresele scripturilor ascunși, niciun conținut din copia de control în baza de date, nicio captură de ecran în spatele autentificării, doar domenii în protecția colectivă. În două locuri, o reducere suplimentară este posibilă și planificată (secțiunea 9.3): pentru captura de ecran a paginii principale fără înnegrire și pentru domeniul expeditorului mesajelor reale.

Limitările legate de stocare (art. 5(1)(e)). Începând cu 27 septembrie 2026, rularea nocturnă respectă perioadele din Politica de confidențialitate pentru datele Clienților și elimină datele rămase fără un domeniu asociat din perioada anterioară (cfg/fristen_lib.php). Rămân deschise două căi fără limită de timp: verificările interne și studiile nepublicate (R4).

Exactitatea (art. 5(1)(d)). O constatare poate fi greșită: un formular pare neprotejat deoarece protecția se încarcă abia după o interacțiune sau crawlerul a fost tratat de un firewall altfel decât un vizitator. Pentru un administrator al cărui site circulă public ca „Expus”, aceasta este o chestiune de reputație. Prin urmare, raportul menționează metoda, prezintă dovezi și indică limitele unei verificări din exterior.

Rezultat privind proporționalitatea: Verificarea site-urilor terților și a celor proprii este, în forma construită, în esență proporțională. În trei locuri există o nevoie de îmbunătățire care poate fi remediată prin mijloace obișnuite și pentru care sunt planificate măsuri (secțiunea 9.3): capturile de ecran ale paginii principale, verificările interne fără limită de timp și autentificarea necriptată pentru scanarea din spatele autentificării. Verificarea livrării este proporțională pentru copia de test și pentru verificarea autenticității; pentru mesajele reale ale vizitatorilor, ea rămâne proporțională doar atât timp cât conținutul lor nu este stocat, ruta prin furnizorul căsuței poștale este asigurată contractual, iar Clientul își informează vizitatorii. În prezent, al doilea dintre aceste trei puncte lipsește.

8. (c) Evaluarea riscurilor pentru drepturile și libertățile persoanelor vizate

Se evaluează riscul pentru persoanele vizate, nu pentru formexposed. Probabilitatea este evaluată ca puțin probabilă, posibilă, probabilă sau materializată; „materializată” înseamnă că evenimentul nu este o prognoză, ci o stare măsurată. Gravitatea este evaluată ca limitată, semnificativă, gravă sau foarte gravă, în funcție de ce are persoana de pierdut: confidențialitatea mesajului său, controlul asupra unui cont, reputația sa profesională, posibilitatea de a-și exercita un drept. Nivelul rezultă din ambele și descrie starea actuală, cu măsurile din secțiunea 9.1.

Nr.	Risc	Operațiune de prelucrare	Probabilitate	Gravitate	Nivel
R1	Mesaje reale ale vizitatorilor în copia de control, inclusiv posibile categorii speciale	P6	Materializată de îndată ce este activată	Gravă	Ridicat
R2	Ruta copiei de control prin furnizorul căsuței poștale, fără contract încheiat și cu o posibilă legătură cu o țară terță	P6	Probabilă cât timp lipsește contractul	Gravă	Ridicat
R3	Capturi de ecran ale site-urilor terților fără înnegrire	P1–P4	Probabilă	Limitată	Mediu
R4	Date ale verificărilor și capturi de ecran fără cale de ștergere	P3, verificări interne	Materializată	Semnificativă	Ridicat
R5	Verificarea și evaluarea publică a site-urilor terților fără știrea administratorului; utilizarea abuzivă ca instrument de recunoaștere	P1	Posibilă	Semnificativă	Mediu
R6	Verificarea potențialilor clienți ca bază pentru abordări nesolicitate	P2	Probabilă	Limitată	Mediu
R7	Dovada controlului nu este niciodată reînnoită	P4, P5	Posibilă	Semnificativă	Mediu
R8	Date de acces și conținut în scanarea din spatele autentificării	P5	Posibilă	Gravă	Mediu; ridicat pentru conturi reale
R9	Trimiterile active de test și verificarea fișierelor pe site-ul Clientului	P4	Puțin probabilă	Semnificativă	Scăzut
R10	Clasificarea de către un model lingvistic	P1–P4	Puțin probabilă	Limitată	Scăzut
R11	Listă de blocare comună pe baza rapoartelor multor site-uri	P7	Posibilă	Limitată	Scăzut până la mediu; ridicat cu rețele IP
R12	Rapoarte și capturi de ecran sub un link public	P1, P2, P4	Posibilă	Limitată	Scăzut
R13	Puncte slabe ale infrastructurii: copii de rezervă, accesul la servere, serverul de scanare	toate	Posibilă	Gravă	Ridicat
R14	Drepturile persoanelor vizate pentru persoanele care nu ne cunosc	P1–P6	Probabilă	Limitată	Scăzut

R1 – Mesaje reale ale vizitatorilor în copia de control

Acesta este cel mai grav risc al serviciului și nu provine dintr-o eroare, ci din concepție. O copie ascunsă în formular nu face distincția între mesajul nostru de test și mesajul unui vizitator. Dacă un Client activează verificarea livrării, fiecare mesaj trimis prin acel formular ajunge în căsuța noastră poștală de control (cfg/zustellung_lib.php). Preluarea citește în memorie antetele și primii 8 KB din text pentru a căuta identificatorul nostru de test (cfg/zustellung_lib.php). Pentru un formular de contact obișnuit, aceasta înseamnă numele, adresa de e-mail, numărul de telefon și mesajul complet.

Ce scrie vizitatorul depinde de el, iar câmpul invită la conținut personal: o solicitare de programare care descrie simptome, adresată unui cabinet medical, prezentarea unui litigiu către un cabinet de avocatură, o candidatură pentru un loc de muncă, o întrebare despre un copil adresată unei școli. Documentele noastre juridice spun că copiile „nu ar trebui să conțină categorii speciale de date cu caracter personal”. Aceasta este o solicitare adresată Clientului, nu o măsură de protecție: nici el, nici noi nu știm dinainte ce va scrie un vizitator.

Acestui risc îi aparțin două căi secundare. În primul rând, verificarea autenticității stochează la domeniu domeniul adresei expeditorului (cfg/zustellung_lib.php). Dacă formularul trimite cu adresa vizitatorului drept expeditor, acesta este domeniul vizitatorului – lipsit de semnificație pentru un furnizor mare de e-mail, dar date cu caracter personal pentru o persoană fizică cu propriul domeniu. Acest domeniu apare și în alerta care ajunge la Client și la canalele alese de acesta (cfg/zustellung_lib.php). În al doilea rând, stochează adresa serverului de e-mail expeditor (cfg/zustellung_lib.php); de regulă, acesta este serverul site-ului, nu al vizitatorului.

Probabilitate – materializată de îndată ce este activată. Întrebarea nu este dacă sosesc mesaje reale, ci câte. Conform măsurătorilor de pe sistemul de dezvoltare, funcția nu este activată pentru niciun domeniu. Gravitate – gravă. Confidențialitatea unui mesaj adresat unei întreprinderi contează pentru mulți oameni, iar pentru unii dintre Clienții tipici sunt de așteptat date în sensul art. 9. Gravitatea este atenuată de faptul că conținutul nu ajunge în baza de date, rămâne în căsuța poștală doar pentru scurt timp și nu este citit de nicio persoană de la formexposed. Nivel – ridicat.

R2 – Ruta copiei de control prin furnizorul căsuței poștale fără contract încheiat

Înainte ca preluarea noastră să vadă o copie de control, aceasta se află în căsuța poștală de la Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Ea ajunge acolo doar dacă înregistrările MX ale domeniului nostru indică direct către această căsuță poștală; redirecționarea de la registrarul de domenii Namecheap, Inc. nu este o etapă a copiilor de control (printr-o redirecționare, acestea nu ajung în căsuța poștală). Pentru etapa care rămâne, aranjamentele contractuale sunt încă deschise: contractul cu furnizorul căsuței poștale nu a fost încheiat, locațiile sale de stocare, persoane împuternicite secundarei și perioadele de păstrare a copiilor de rezervă nu au fost stabilite, iar dacă pentru locul său de prelucrare sunt necesare și aplicabile o decizie privind caracterul adecvat sau clauze contractuale standard este o chestiune deschisă. Pentru propriile noastre e-mailuri tranzacționale, aceasta este o chestiune de structurare a contractului. Pentru copiile de control, situația este mai gravă: aici este vorba de date pe care le primim în calitate de persoană împuternicită de operator, iar fiecare furnizor de servicii de pe rută este o persoană împuternicită secundară pentru care răspundem în temeiul art. 28(4).

În plus, „șters după preluare” se aplică doar perspectivei noastre asupra căsuței poștale. Dacă furnizorul păstrează e-mailurile șterse în propriile copii de rezervă sau într-un coș de gunoi și pentru cât timp nu a fost verificat. Dacă o preluare se întrerupe, e-mailurile rămân până la următoarea rulare reușită (cfg/zustellung_lib.php); dacă procesul de stare eșuează, ele rămân pe termen nedeterminat. În fine, securizarea preluării însăși este unul dintre punctele care trebuie verificate pe sistemul de producție înainte de lansare (secțiunea 9.3).

Probabilitate – probabilă cât timp lipsește contractul: fiecare copie de control urmează această rută. Gravitate – gravă, din aceleași motive ca la R1. Nivel – ridicat. Lista de configurare a aplicației raportează căsuța poștală lipsă ca avertisment; nu există niciun mecanism care să blocheze verificarea livrării în lipsa unui contract documentat.

R3 – Capturi de ecran ale site-urilor terților fără înnegrire

Crawlerul realizează o captură de ecran a zonei vizibile a primei pagini și o imagine a elementului de formular pentru fiecare formular vizibil (scanner/src/crawl.js). Nu se înnegrește nimic în acest proces. Situația este diferită la parcursurile în browser: acolo, câmpurile de introducere sunt mascate înainte de captura de ecran (scanner/src/browser.js). Așadar, doar imaginile din parcursurile în browser sunt „curățate”, nu și cele ale crawlerului și nici imaginea paginii de răspuns dintr-o verificare activă.

Deoarece crawlerul nu introduce nimic, câmpurile formularului sunt goale. Totuși, pagina principală a unei mici întreprinderi arată adesea proprietarul, echipa, recomandări ale clienților cu nume și fotografii sau o fereastră de chat cu poza unui angajat. Toate acestea sunt publice; captura de ecran le transformă într-o copie care este stocată la noi, apare în raport și poate fi transmisă mai departe împreună cu linkul.

Probabilitate – probabilă. În setul de date al sistemului de dezvoltare au fost măsurate 432 de capturi de ecran. Gravitate – limitată: conținutul este deja public, iar perioadele pentru verificările fără cont sunt scurte. Nivel – mediu, deoarece persoanele reprezentate nu știu acest lucru, iar imaginea paginii principale nu este necesară pentru constatare.

R4 – Date ale verificărilor și capturi de ecran fără cale de ștergere

Rularea nocturnă șterge verificările pe două căi: prin data de expirare a unui raport (cfg/check_lib.php) și prin perioada pentru verificările unui domeniu al Clientului (cfg/fristen_lib.php, doar pentru verificările cu domeniu). O verificare care nu are nici raport, nici domeniu scapă prin ambele plase. Acestea sunt verificările cu nivelul de încredere „intern”: studiile și verificările pe care furnizorul le creează din linia de comandă.

• Studiile își șterg datele brute la publicare (cfg/studie_lib.php). Dacă un studiu nu este publicat niciodată – deoarece are prea puține site-uri cu formular (caz în care cfg/studie_lib.php refuză publicarea) sau deoarece este lăsat deoparte –, verificările, formularele, constatările și capturile de ecran rămân fără limită de timp.
• Verificările interne din linia de comandă nu au nicio cale de ștergere. Măsurat la 11 octombrie 2026: 85 de astfel de verificări ale unor site-uri terțe, cu 978 de formulare și 369 de capturi de ecran, cea mai veche din 22 septembrie 2026, niciuna cu raport sau domeniu.
• Notele privind comportamentul suspect din verificarea gratuită conțin adresa IP și sunt șterse la 90 de zile după soluționare (srv/cron_status.php). O notă care nu este niciodată soluționată rămâne. Măsurat: trei note, toate soluționate.

Probabilitate – materializată. Cele 85 de verificări nu sunt un scenariu, ci date existente. Pe sistemul de dezvoltare, acestea sunt verificări dintr-un test de teren; același cod se aplică pe sistemul de producție. Gravitate – semnificativă: pentru aceste date nu există o durată de stocare. În ceea ce privește principiul limitărilor legate de stocare (art. 5(1)(e)), acesta este un punct deschis cu o măsură planificată (secțiunea 9.3, prioritatea „Prima”) și afectează tocmai persoane care nu știu nimic despre verificare. Verificările interne sunt descrise în Evidența activităților de prelucrare; Politica de confidențialitate nu le menționează încă separat (secțiunea 9.4). Nivel – ridicat.

R5 – Verificarea și evaluarea publică a site-urilor terților fără știrea administratorului

Oricine poate solicita verificarea oricărui site accesibil public, fără cont și fără vreo legătură cu acesta. Administratorul nu este notificat. Rezultatul este un raport care evaluează site-ul ca „Expus”, „Parțial protejat” sau „Protejat” și pe care îl poate vedea oricine are linkul. Pentru persoanele vizate sunt imaginabile două consecințe. Un comerciant individual primește în mod public – chiar dacă doar pentru destinatarii linkului – o evaluare care poate fi o constatare greșită. Iar raportul îi arată unui spammer ce formular poate fi completat fără obstacole.

Împotriva acestui risc stau o serie de blocări (cfg/check_lib.php): cel mult o verificare per domeniu în șapte zile, după aceea același raport; limite per adresă IP și sesiune; un plafon zilnic pentru întregul serviciu; nicio verificare a domeniilor foarte noi, tipice pentru abuzuri; o notă și un semnal în caz de comportament suspect; robots.txt și opt-out, verificate de două ori (cfg/check_lib.php și în serviciul de verificare). Raportul gratuit este un extras: arată doar constatările de bază, nu dovezile tuturor detectoarelor. Și nu spune nimic ce un bot nu ar putea afla singur în câteva secunde – un formular neprotejat este vizibil din exterior.

Probabilitate – posibilă. Gravitate – semnificativă pentru un comerciant individual al cărui formular este vizat după un raport sau a cărui evaluare este greșită. Nivel – mediu.

R6 – Verificarea potențialilor clienți ca bază pentru abordări nesolicitate

În interfață, verificarea potențialilor clienți este descrisă ca „deschizător de uși pentru prima discuție”. Modul în care agenția folosește constatarea scurtă ține de decizia agenției; din punct de vedere tehnic, ea o poate trimite și unui administrator care nu a solicitat-o. Noi nu contactăm pe nimeni (cfg/akquise_lib.php), iar Condițiile de utilizare obligă agenția să respecte regulile privind publicitatea și prospectarea. Un e-mail nesolicitat cu constatarea reprezintă totuși marketing direct chiar și între întreprinderi, care în Polonia (art. 398 din Prawo komunikacji elektronicznej (Legea poloneză privind comunicațiile electronice, PKE)) și în Germania (§ 7(2) din Legea germană împotriva concurenței neloiale (Gesetz gegen den unlauteren Wettbewerb, UWG)) necesită consimțământ prealabil. Interfața nu semnalează acest lucru; textele verificării potențialilor clienți vorbesc doar despre „pasiv” și „lista de opt-out”.

Probabilitate – probabilă, deoarece funcția servește atragerii de clienți și nu putem verifica dacă destinatarul și-a dat consimțământul. Gravitate – limitată: pentru administrator, este un e-mail de marketing deranjant cu o evaluare a site-ului său. Nivel – mediu. Riscul ține de conduita agenției; deoarece funcția provine de la noi, este planificată o notificare în interfață (secțiunea 9.3).

R7 – Dovada controlului nu este niciodată reînnoită

Trimiterile active de test, căutarea fișierelor expuse și scanarea din spatele autentificării presupun ca Clientul să fi dovedit că are dreptul de a controla domeniul. Această dovadă este verificată o singură dată (cfg/verify_lib.php) și niciodată din nou. Nu există în cod nicio cale prin care un domeniu să își piardă dovada. Dacă domeniul își schimbă proprietarul, o agenție își încheie mandatul sau administratorul elimină înregistrarea DNS, verificările continuă – până la zilnic, cu până la cinci trimiteri de test și, dacă a fost stocată, cu autentificarea unui cont de test despre care noul administrator poate să nu știe. Nu este posibil, în schimb, transferul dovezii către un alt host prin redenumire: numele de host al unui domeniu cu dovada controlului nu poate fi modificat.

Probabilitate – posibilă: schimbările de domeniu și de mandat sunt ceva obișnuit pentru agenții. Gravitate – semnificativă pentru noul administrator și angajații acestuia, care primesc mesaje de test marcate și al căror site este cercetat pentru fișiere expuse fără consimțământul lor. Nivel – mediu. Mesajele de test se explică singure și fac trimitere la pagina crawlerului și la opt-out; opt-out-ul funcționează și împotriva verificărilor efectuate de Clienți.

R8 – Date de acces și conținut în scanarea din spatele autentificării

Criptarea datelor de acces este construită cu grijă: serverul web nu le mai poate citi după stocare, baza de date și copia de rezervă conțin doar text cifrat, înregistrarea este legată de domeniul său, datele de acces intră în container doar prin intrarea standard și sunt apoi șterse din memorie (secțiunea 6.5). Rămân două lacune; un al treilea punct privește doar citirea, nu stocarea.

• Autentificarea necriptată este permisă. Verificarea adresei permite http alături de https (cfg/login_lib.php, scanner/src/login.js). Dacă Clientul introduce o pagină de autentificare cu http, numele de utilizator și parola circulă prin internet în text clar la fiecare verificare.
• Erorile de certificat nu opresc autentificarea. În prezent, autentificarea nu se întrerupe atunci când certificatul site-ului Clientului este invalid (scanner/src/login.js). Prin urmare, certificatul nu protejează pe deplin datele de acces pe drumul lor către site-ul Clientului. Întreruperea în cazul erorilor de certificat este planificată (secțiunea 9.3, prioritatea „Prima”).
• Valorile câmpurilor ascunse din spatele autentificării sunt citite, nu stocate. Crawlerul citește primele 24 de caractere ale valorii câmpurilor ascunse (scanner/src/crawl.js), iar aceeași funcție de extragere rulează și în spatele autentificării (scanner/src/login.js). Acolo, câmpurile ascunse conțin frecvent un număr de cont, un identificator de utilizator sau adresa de e-mail a contului autentificat; în harta câmpurilor și în constatări ajung însă doar numele câmpului, tipul, eticheta și rezultatul detectării.

La aceasta se adaugă ceea ce codul nu poate împiedica: Clientul confirmă că folosește un cont de test cu cât mai puține drepturi posibil (cfg/login_lib.php), dar poate introduce un cont real de administrator. Paginile pe care scannerul le citește apoi sunt stabilite de Client; adresele care conțin cuvinte pentru deconectare și ștergere sunt blocate, dar alte acțiuni pe care un site le declanșează printr-o simplă solicitare nu sunt.

Probabilitate – posibilă. Gravitate – gravă dacă este afectat un cont cu drepturi extinse; zona pentru membri cu datele tuturor utilizatorilor este atunci deschisă. Nivel – mediu pentru un cont de test cu puține drepturi, ridicat pentru un cont real. Conform măsurătorilor de pe sistemul de dezvoltare, nu este stocat niciun cont de test.

R9 – Trimiterile active de test și verificarea fișierelor pe site-ul Clientului

O trimitere de test ajunge la persoanele care citesc e-mailurile din formularul Clientului – angajații acestuia sau un furnizor de servicii. Ea nu conține date cu caracter personal: expeditorul este dummy@formexposed.com, textul și subiectul sunt marcate și indică identificatorul verificării (scanner/src/active.js). Riscul constă într-o clasificare greșită: dacă scannerul ar considera un formular de candidatură, de rezervare sau de consiliere drept formular de contact, mesajul de test ar ajunge într-un proces care are consecințe. Împotriva acestui risc stau regulile stricte pentru „trimisibil” (scanner/src/classify.js), blocarea pentru domeniile autorităților publice, instituțiilor de învățământ, clinicilor, cabinetelor medicale, poliției și instanțelor (scanner/src/classify.js) și excluderea modelului lingvistic de la această decizie (scanner/src/classify.js). Din răspuns se stochează starea, adresa țintă, titlul, 300 de caractere de text și o imagine; acestea se referă la mesajul nostru de test.

Verificarea fișierelor citește cel mult 8 KB din căi tipice. Dacă acolo este într-adevăr expus un dump al bazei de date, acești 8 KB pot conține date introduse de vizitatori în formulare. Ei sunt doar verificați pentru o semnătură și eliminați (cfg/dateien_lib.php); se stochează calea, tipul și gravitatea.

Probabilitate – puțin probabilă. Gravitate – semnificativă. Nivel – scăzut. Conform măsurătorilor de pe sistemul de dezvoltare, în setul de date există o verificare activă, fără nicio trimitere acceptată.

R10 – Clasificarea de către un model lingvistic

Pentru formularele pe care regulile nu le recunosc, modelul lingvistic primește titlul paginii, adresa, textele butoanelor, descrierile câmpurilor și până la 400 de caractere din textul formularului (scanner/src/classify.js). Acestea pot include un nume, de exemplu „Persoana dumneavoastră de contact: …”. Modelul rulează pe propriul nostru server; în cod, nimic nu ajunge la un terț. Dacă software-ul modelului înregistrează solicitările nu a fost verificat. Rezultatul său determină doar tipul de formular afișat și nu poate face un formular trimisibil; o clasificare greșită duce la o constatare mai slabă, nu la o acțiune.

Probabilitate – puțin probabilă. Gravitate – limitată. Nivel – scăzut.

R11 – Listă de blocare comună pe baza rapoartelor multor site-uri

Un domeniu de pe listă face ca mesajele cu linkuri către acesta să ajungă în carantină pe toate site-urile conectate. Dacă domeniul aparține unei persoane fizice – un meșteșugar, un fotograf, un blog –, mesajele acesteia care conțin un link către propriul site ajung cu întârziere la destinatari. Un astfel de domeniu poate ajunge pe listă deoarece spammerii îl folosesc abuziv sau deoarece cineva trimite în mod deliberat către mai multe site-uri mesaje respinse care îl conțin.

Împotriva acestui risc stau (cfg/swarm_lib.php): un minim de trei site-uri diferite și cinci apariții în decurs de șapte zile; excepții fixe pentru serviciile mari; niciodată domeniile Clienților noștri; eliminarea manuală printr-un instrument de pe server; carantină în loc de ștergere; lista este reconstruită zilnic, iar ceea ce nu mai este raportat este eliminat. Persoanele afectate nu pot vedea lista și nu au o cale proprie de a cere eliminarea, decât prin intermediul nostru.

Probabilitate – posibilă. Gravitate – limitată, deoarece nu se pierde nimic, iar destinatarul poate elibera mesajul. Nivel – scăzut până la mediu. Cu rețelele IP activate, ar fi afectate rețelele unor furnizori întregi, adresele IP sunt date cu caracter personal, iar gravitatea ar crește la semnificativă: ridicat.

R12 – Rapoarte și capturi de ecran sub un link public

Rapoartele din verificarea gratuită, din verificarea potențialilor clienți și din verificările domeniilor Clienților pot fi accesate fără autentificare, sub un link aleatoriu. Linkul conține 128 de biți de aleatoriu și nu poate fi ghicit (cfg/check_lib.php). Paginile poartă noindex, aplicația trimite o politică de referrer care transmite doar originea (www/.htaccess), iar capturile de ecran sunt livrate doar împreună cu raportul căruia îi aparțin; un alt număr de imagine returnează „negăsit” (www/shot.php). Riscul nu este criptografic, ci uman: un link este transmis mai departe, copiat într-un tichet, partajat într-un chat. Cine îl deschide este înregistrat doar în jurnalul de accesare a paginilor, ca orice afișare de pagină (60 zile), în care linkul însuși apare doar în formă mascată; nu există o listă a cititorilor per raport.

Probabilitate – posibilă. Gravitate – limitată, deoarece raportul arată doar informații publice și expiră după 30, respectiv 90 de zile; rapoartele privind domeniile Clienților rămân accesibile cât timp există verificarea (13 luni, ultima mai mult). Nivel – scăzut.

R13 – Puncte slabe ale infrastructurii

Punctele următoare sunt enumerate ca deschise în dosarul nostru intern de analiză și nu sunt trecute aici sub tăcere. Le descriem atât de precis cât au nevoie Clienții pentru propria evaluare, dar nu atât de precis încât descrierea să îi arate drumul unui atacator; vom pune detaliile la dispoziția unei autorități de supraveghere, la cerere.

• Copiile de rezervă ale bazei de date sunt în prezent stocate în aceeași locație ca baza de date și nu sunt criptate separat; este planificată o copie criptată într-o a doua locație (cfg/backup_lib.php). Până atunci, ele nu protejează împotriva pierderii locației, iar oricine obține baza de date obține și copiile de rezervă. Datele de acces pentru scanarea din spatele autentificării sunt conținute în ele doar ca text cifrat.
• Nicio criptare a bazei de date în repaus. Excepție fac câmpurile criptate individual (datele de acces ale conturilor de test, secretul pentru al doilea factor).
• Conexiunile din rețeaua noastră internă nu sunt criptate în totalitate.
• Administrarea serverelor. Securitatea accesului administrativ la serverele noastre nu atinge încă standardul pe care îl urmărim pentru funcționare; consolidarea securității administrării serverelor continuă.
• Mediul de verificare. Serverul de scanare deschide site-uri ale unor terți într-un browser. Containerele de verificare sunt izolate – rețea proprie, fără privilegii speciale, doar în citire, limitate (scanner/src/worker.js). Separarea dintre mediul de verificare și celelalte părți ale serviciului este consolidată în continuare (secțiunea 9.3).

Probabilitate – posibilă. Gravitate – gravă, deoarece, în caz de urgență, totul ar fi afectat simultan. Nivel – ridicat. Punctele individuale pot fi remediate prin mijloace obișnuite (secțiunea 9.3).

R14 – Drepturile persoanelor vizate pentru persoanele care nu ne cunosc

Cine apare incidental într-o captură de ecran sau al cărui mesaj a trecut printr-o copie de control de obicei nu știe că existăm. Chiar dacă știe, nu are nicio cheie către „datele sale”: noi nu le stocăm pe persoane, ci pe domenii și verificări. Putem răspunde la o cerere de acces în temeiul art. 15 doar dacă persoana indică domeniul; putem parcurge atunci verificările și imaginile existente. Pentru mesajele reale ale vizitatorilor nu există nimic de comunicat, deoarece nu le stocăm – cu excepția domeniului expeditorului de la R1. Opt-out-ul funcționează doar pentru administratorii unui domeniu, nu pentru persoanele reprezentate; pentru acestea rămâne calea prin contact@lukaswojcik.com.

Probabilitate – probabilă, ca situație structurală. Gravitate – limitată, deoarece datele sunt de scurtă durată și nu sunt organizate pe persoane. Nivel – scăzut.

9. (d) Măsuri de abordare a riscurilor

Fiecare măsură are o stare, iar stările nu sunt decorative. Implementat astăzi – verificat înseamnă: citit în codul sistemului de dezvoltare și, acolo unde este posibil, măsurat în raport cu baza de date. Parțial înseamnă: mecanismul există, dar nu își atinge încă pe deplin scopul. Planificat înseamnă: propus de această evaluare și neconstruit; dacă și când decide proprietarul. Încă de stabilit sunt procedurile și deciziile pe care niciun cod nu le înlocuiește. O EIPD care prezintă măsuri planificate ca implementate își pierde valoarea tocmai în situația în care este nevoie de ea.

9.1 Implementat astăzi – verificat

Măsură	Abordează	Referință la sursă
robots.txt este citit de crawler înainte de fiecare verificare; o excludere care acoperă pagina principală, un robots.txt inaccesibil sau o eroare de server încheie verificarea (subcăile nu sunt respectate individual; pulsul, preluarea dovezii, instrumentul pentru antete și căutarea de fișiere nu îl citesc)	R5, legalitate	scanner/src/net.js
Opt-out fără dovadă, cu efect imediat, pentru domeniu și varianta sa www, pentru verificările anonime, potențialii clienți, studii și verificările Clienților (monitorizarea în curs se încheie la următoarea verificare programată); verificat de două ori (aplicația și serviciul de verificare); ridicat doar de noi, la cerere și pe baza unei dovezi	R5, R7, art. 21	cfg/check_lib.php; cfg/akquise_lib.php; cfg/studie_lib.php; scanner/src/worker.js
Verificarea gratuită: oprire de urgență, reCAPTCHA, o verificare per domeniu și săptămână, limite per adresă IP și sesiune, plafon zilnic, niciun domeniu nou, doar adrese publice, notă și semnal fără conținut în caz de anomalii	R5	cfg/check_lib.php
Pentru limite, sesiunea este stocată doar ca valoare hash, niciodată identificatorul de sesiune	Reducere la minimum	cfg/check_lib.php
Nicio valoare a câmpurilor (începuturile câmpurilor ascunse și ale atributelor de date sunt doar citite în timpul verificării, secțiunea 6.2); adresele destinatarilor doar ca domeniu; identificatorii de cont din adresele scripturilor ascunși	Reducere la minimum	scanner/src/crawl.js
Raportul gratuit este un extras: doar constatările de bază, fără dovezile tuturor detectoarelor	R5	cfg/check_lib.php, FE_FREE_DETEKTOREN
Rapoarte sub un link aleatoriu de 128 de biți, noindex, imaginile doar pentru raportul propriu, în afara directorului web public; linkul apare în jurnalul de accesare a paginilor doar în formă mascată	R12	cfg/check_lib.php; www/report.php; www/shot.php
Ștergere: rapoartele anonime după 30 zile, potențialii clienți după 90 de zile, verificările Clienților după 13 luni (ultima per domeniu se păstrează cât timp există domeniul), datele unui domeniu șters imediat (pentru excepții, a se vedea secțiunea 6.11), imaginile de fiecare dată împreună cu acestea	Limitări legate de stocare	cfg/check_lib.php; cfg/fristen_lib.php
Studiu: publicare doar ca total, segmente doar începând de la 20 de site-uri cu formular, datele brute șterse la publicare	R4 parțial, P3	cfg/studie_lib.php
Containerele de verificare: rețea proprie izolată, fără privilegii speciale, doar în citire, limite de memorie și de procese, limită de timp; filtru împotriva destinațiilor private pentru fiecare solicitare, service workerii blocați și conexiunile WebSocket închise, astfel încât nimic să nu ocolească filtrul; solicitările serverului web doar pe porturile web și doar către exact adresa publică verificată în prealabil	R13	scanner/src/worker.js; scanner/src/net.js
Verificarea activă pentru Clienți doar pentru un domeniu verificat (intern și pentru propriile noastre domenii de test și demonstrație) și cu oprirea de urgență activată, verificat de două ori; cel mult cinci trimiteri; doar formulare de contact recunoscute clar, fără date cu caracter personal obligatorii; niciun domeniu al autorităților publice, instituțiilor de învățământ, clinicilor, cabinetelor medicale, poliției sau instanțelor; modelul lingvistic nu poate debloca nimic; mesaj de test fără date cu caracter personal, marcat, cu trimitere la pagina crawlerului și la opt-out	R9	scanner/src/worker.js; scanner/src/classify.js; scanner/src/active.js
Parcursurile în browser: doar GET și HEAD, adresele periculoase blocate, valorile inventate nu părăsesc browserul, imagini cu câmpurile de introducere înnegrite	R3 (pentru aceste imagini), R9	scanner/src/browser.js
Verificarea fișierelor: doar domeniile verificate, o accesare per cale, cel mult 8 KB, conținutul nu este stocat niciodată	R9	cfg/dateien_lib.php
A doua sondă: dezactivată implicit; ar primi doar o listă fixă de elemente inofensive, semnată	Destinatari	cfg/formular_probe_lib.php
Scanarea din spatele autentificării: doar domeniu verificat, plan plătit, proprietar sau administrator, confirmarea „cont de test”; criptare cu cheia publică a serverului de scanare, legată de domeniu; datele de acces nu sunt niciodată afișate, înregistrate în jurnale sau furnizate prin API; transmitere doar prin intrarea standard; câmpul din sarcină golit imediat, resturile după o oră; fără capturi de ecran, fără trimiteri, fără adrese de deconectare sau ștergere, întrerupere la CAPTCHA; ștergere definitivă cu suprascriere	R8	cfg/login_lib.php; scanner/src/login.js; scanner/src/geheim.js; scanner/src/worker.js
Verificarea livrării: dezactivată implicit; preluarea citește doar antetele și 8 KB, fără marcaj de citire; conținutul și adresa vizitatorului niciodată în baza de date; fiecare e-mail preluat este șters, inclusiv cele care nu pot fi asociate; asocierile șterse după 180 de zile; dovada doar prin copia exact a acestui test	R1, R2	cfg/zustellung_lib.php
Protecția colectivă: doar domenii, rețelele IP dezactivate; numere minime; excepții pentru serviciile mari și domeniile Clienților; carantină în loc de ștergere; lista reconstruită zilnic; rapoartele șterse după 30 de zile	R11	cfg/swarm_lib.php
Modelul lingvistic pe propriul nostru server, fără dreptul de a trimite	R10	scanner/src/classify.js
Semnalele prin Telegram conțin doar o propoziție fixă, fără variabile	Destinatari	cfg/check_lib.php
Test săptămânal de restaurare a copiei de rezervă, cu alertă în caz de eșec	Disponibilitate	cfg/backup_lib.php; srv/cron_status.php

9.2 Parțial – existent, dar fără a-și atinge încă scopul

Măsură	De ce nu este încă pe deplin eficientă
Capturi de ecran „curățate”	Doar imaginile din parcursurile în browser sunt înnegrite. Imaginile crawlerului – pagina principală și elementele de formular – și imaginea paginii de răspuns dintr-o verificare activă nu sunt (R3).
Perioadele pentru datele verificărilor	Eficiente pentru verificările anonime, ale potențialilor clienți și ale Clienților; nu și pentru verificările interne și studiile nepublicate; notele de anomalie nesoluționate fără limită de timp (R4).
Ștergerea copiilor de control	Eficientă din perspectiva noastră asupra căsuței poștale. Dacă rularea se întrerupe, e-mailurile rămân; ce păstrează furnizorul căsuței poștale în propriile copii de rezervă nu a fost verificat (R2).
Protecția datelor de acces în scanarea din spatele autentificării	Puternică în repaus și în serviciul de verificare; nu și pe drumul către site: http este permis, erorile de certificat sunt ignorate (R8).
Dovada controlului	Este verificată o singură dată și apoi se aplică pentru totdeauna; numele de host al unui domeniu cu dovada controlului nu poate fi însă modificat, astfel încât dovada să nu treacă la un alt host (R7).
Informarea persoanelor vizate	Existentă pentru administratori prin pagina crawlerului, identificator, Politica de confidențialitate și opt-out; pentru vizitatori, în cadrul verificării livrării, depinde de preluarea blocului de text de către Client; aplicația nu verifică acest lucru.
Solicitarea adresată Clienților de a nu introduce categorii speciale în copia de control	Formulată în documentele juridice, dar nesusținută tehnic: la configurare, aplicația nu întreabă despre tipul site-ului și nu avertizează în cazul domeniilor care par să țină de sănătate, drept sau educație (R1).

9.3 Planificat – neimplementat

Măsură	Abordează	Prioritate
Cale de ștergere pentru verificările interne: ștergerea verificărilor fără domeniu și fără raport după o perioadă fixă (propunere: 30 de zile); ștergerea datelor brute ale unui studiu cel târziu la o perioadă fixă după finalizarea acestuia, chiar și fără publicare (propunere: 90 de zile); ștergerea o singură dată a celor 85 de verificări existente cu 369 de imagini	R4	Prima
Activarea verificării livrării doar după încheierea contractului cu furnizorul căsuței poștale, documentarea locațiilor de stocare, a persoanelor împuternicite secundare și a perioadelor de păstrare a copiilor de rezervă, clarificarea mecanismului de transfer pentru furnizorul căsuței poștale și după ce înregistrările MX ale domeniului nostru indică direct către căsuța poștală; până atunci, menținerea funcției blocate în sistemul de producție	R2	Prima
Verificarea securității preluării din căsuța poștală pe sistemul de producție și documentarea acesteia înainte de activarea verificării livrării	R2	Prima
Scanarea din spatele autentificării doar prin https și cu un certificat valid; respingerea adreselor http; erorile de certificat la autentificare ca motiv de întrerupere	R8	Prima
Nestocarea valorilor câmpurilor ascunse din spatele autentificării (doar numele, tipul și lungimea) – deja implementat astfel, niciun pas suplimentar	R8	Realizat
Limitarea copiei de control la mesajele de test acolo unde se folosește pluginul sau extensia: copie ascunsă doar pentru trimiterile cu identificatorul nostru de test	R1	Ridicată
Nestocarea domeniului expeditorului mesajelor reale și nescrierea acestuia în alerte dacă nu este nici domeniul site-ului, nici cel al unui serviciu de trimitere cunoscut; în alertă, în schimb, „domeniu de expeditor străin”	R1	Ridicată
Avertisment la configurarea verificării livrării pentru domeniile care par să țină de sănătate, drept, servicii sociale sau educație, cu trimitere la propria EIPD a Clientului	R1	Ridicată
Reînnoirea periodică a dovezii controlului (propunere: înainte de fiecare verificare activă, verificarea faptului că înregistrarea DNS, meta tagul, fișierul sau conexiunea pluginului mai există; în caz contrar, continuare în mod pasiv și notificarea Clientului)	R7	Ridicată
Renunțarea la fotografierea paginii principale sau realizarea acesteia doar cu imagini și fețe înnegrite; limitarea imaginilor formularelor la elementul de formular (ca în prezent) și mascarea câmpurilor de introducere ca la parcursurile în browser	R3	Ridicată
Notificare în interfața verificării potențialilor clienți: trimiterea nesolicitată a constatării scurte prin e-mail sau telefon reprezintă marketing direct chiar și între întreprinderi și necesită consimțământ prealabil (art. 398 din Legea poloneză privind comunicațiile electronice; în Germania § 7(2) UWG, deși pentru apelurile către întreprinderi este suficient consimțământul prezumat)	R6	Ridicată
Infrastructură: finalizarea consolidării securității administrării serverelor; copie criptată a copiei de rezervă într-o a doua locație; criptarea integrală a conexiunilor din rețeaua internă; consolidarea în continuare a separării dintre serverul de scanare și aplicație	R13	Ridicată
Perioadă pentru notele de anomalie nesoluționate (propunere: soluționare în 30 de zile, în caz contrar ștergerea adresei IP)	R4	Medie
O pagină sau un formular prin care cineva poate solicita eliminarea unui domeniu din protecția colectivă	R11, R14	Medie
Înainte de activarea rețelelor IP în protecția colectivă: o nouă versiune a acestei evaluări	R11	Condiție
Consemnarea faptului dacă software-ul modelului lingvistic stochează solicitările și, dacă da, dezactivarea acestor jurnale	R10	Scăzută

9.4 Proceduri și decizii încă de stabilit

Pe lângă garanțiile tehnice, art. 35(7)(d) impune și proceduri. Acestea sunt încă în așteptare:

• Încălcarea securității datelor cu caracter personal. Detectare: proprietarul, alerta de erori a aplicației, rapoartele prin punctul de raportare a vulnerabilităților sau contact@lukaswojcik.com. Decizia privind notificarea către UODO în termen de 72 de ore (art. 33(1)): proprietarul. Informarea Clienților afectați, în calitate de operatori: fără întârzieri nejustificate, dacă este posibil în termen de 48 de ore, așa cum se promite în Acordul de prelucrare a datelor. De stabilit: o descriere scrisă a procedurii și un prim exercițiu; pentru verificarea livrării, în plus, modul de stabilire a Clienților afectați de o încălcare la furnizorul căsuței poștale.
• Sectoare. De stabilit: dacă verificarea livrării este oferită, oferită cu avertisment sau exclusă pentru site-urile din domeniile sănătății, dreptului, serviciilor sociale și educației.
• Verificări interne. De stabilit: pentru ce folosește furnizorul verificările interne din linia de comandă, cine le poate crea și cât timp rămân rezultatele acestora; și dacă, dincolo de Evidența activităților de prelucrare, ele trebuie menționate în Politica de confidențialitate.
• Studii. De stabilit: cine întocmește listele, din ce surse, cu ce dimensiune maximă, precum și o verificare înainte de fiecare studiu dacă acesta respectă ipotezele acestei evaluări.
• Opinia persoanelor vizate (art. 35(9)). Aceasta nu a fost solicitată pentru această versiune. art. 35(9) impune solicitarea ei doar „după caz”; în evaluarea noastră, acesta nu este în prezent cazul aici. Administratorii site-urilor verificate și vizitatorii site-urilor Clienților nu au un canal propriu către noi; abordarea lor țintită ar constitui ea însăși o nouă prelucrare a datelor lor, iar serviciul nu a fost încă lansat, astfel încât nu există încă un grup de persoane vizate efective. Interesele lor sunt luate în considerare indirect: prin robots.txt și opt-out, prin perioadele scurte și prin faptul că, din copiile de control, conținutul nu este stocat. La fiecare revizuire conform secțiunii 12 reanalizăm dacă solicitarea opiniei lor este oportună, de exemplu prin feedback pe pagina crawlerului sau de la Clienții verificării livrării.

10. Riscul rezidual și consultarea prealabilă în temeiul art. 36

art. 36(1) impune consultarea prealabilă a autorității de supraveghere atunci când EIPD indică faptul că prelucrarea ar genera un risc ridicat în absența unor măsuri luate de operator pentru atenuarea riscului. Întrebarea nu este, așadar, dacă au fost identificate riscuri ridicate – au fost identificate patru –, ci dacă rămâne un risc ridicat după ce măsurile sunt puse în aplicare.

Pentru operațiunile de prelucrare pentru care formexposed este operator (P1–P4, P7), riscurile ridicate R4 și R13 pot fi remediate prin mijloace obișnuite: o cale de ștergere și curățarea datelor existente, o copie de rezervă criptată în altă locație și consolidarea securității a două servere. Cu măsurile de la 9.3, acestea scad la scăzut până la mediu. R3, R5, R6 și R7 sunt la nivel mediu și scad la scăzut cu măsurile propuse. Protecția colectivă fără rețele IP rămâne la scăzut până la mediu. Consultarea prealabilă nu este indicată pentru această parte dacă măsurile marcate „Prima” și „Ridicată” sunt implementate înainte de lansare. Dacă vreuna dintre aceste măsuri nu a fost implementată înainte de lansare, pentru operațiunea de prelucrare în cauză rămâne un risc ridicat. Operațiunea de prelucrare respectivă va fi atunci începută doar după implementarea măsurii sau UODO va fi consultat în prealabil în temeiul art. 36(1).

Pentru verificarea livrării (P6), situația este diferită, dintr-un motiv pe care nicio măsură nu îl elimină complet: ce scrie un vizitator depinde de el. Cu un contract încheiat, o preluare securizată, limitarea la mesajele de test acolo unde este posibil și renunțarea la domeniul expeditorului, R2 scade la scăzut și R1 la mediu. Pentru Clienții ai căror vizitatori furnizează în mod tipic date în sensul art. 9, R1 poate totuși rămâne ridicat. Obligația de consultare revine atunci Clientului, în calitate de operator, nu formexposed. Recomandarea noastră pentru astfel de Clienți este să nu configureze copia de control pentru formularul de contact general, ci doar pentru formularele fără conținut sensibil, sau să renunțe la verificarea livrării.

Riscul rezidual, prezentat onest. În prezent, cu măsurile de la 9.1, patru riscuri sunt la nivel ridicat: R1 și R2 (verificarea livrării), R4 (date ale verificărilor fără cale de ștergere) și R13 (infrastructură). Cu măsurile de la 9.3, R2, R4 și R13 scad la scăzut până la mediu. R1 rămâne la nivel mediu și depinde permanent de deciziile luate de Clienți. Niciunul dintre celelalte riscuri nu depășește nivelul mediu după aplicarea măsurilor.

art. 36 nu este o sancțiune, iar consultarea nu este o recunoaștere a vinovăției. Este calea prevăzută de Regulament pentru situația în care o procedură utilă comportă un risc pe care operatorul nu îl controlează pe deplin. Un Client care dorește să utilizeze verificarea livrării pentru mesaje care conțin date privind sănătatea găsește aici faptele necesare pentru această decizie.

11. De ce au nevoie Clienții pentru propria EIPD (art. 28(3)(f))

Pentru verificarea livrării și scanarea din spatele autentificării, Clientul este operatorul. Această pagină îi furnizează descrierea (secțiunile 6.5 și 6.6), riscurile din perspectiva noastră (R1, R2, R8) și stadiul măsurilor (secțiunea 9). Doar Clientul poate răspunde la următoarele întrebări:

1. Ce scriu vizitatorii mei? Este de așteptat ca prin formular să sosească date privind sănătatea, religia, originea, apartenența la sindicate, orientarea sexuală, infracțiunile sau date despre copii? În acest caz, de regulă este necesară o EIPD pentru copia de control, iar copia de control pentru acest formular ar trebui reanalizată.
2. Am nevoie de copia de control pentru toate mesajele? Pentru a dovedi că mesajul nostru de test ajunge, este suficientă copia acelui mesaj. Acolo unde formularul permite, setați copia ascunsă doar pentru mesajele de test.
3. Cum îmi informez vizitatorii? Acordul de prelucrare a datelor impune acest lucru; Textul de politică de confidențialitate pentru site-ul dumneavoastră descrie ruta copiei și rolul nostru.
4. Ce temei juridic am? Textul propus de noi menționează art. 6(1)(f) (primirea fiabilă a solicitărilor). Pentru datele în sensul art. 9, acest temei singur nu este suficient.
5. Ce canale de alertă aleg? Alertele din verificarea autenticității pot menționa domeniul expeditorului. Cine trimite alerte către servicii de chat din afara UE îl transferă acolo.
6. Pentru scanarea din spatele autentificării: Este contul de test cu adevărat un cont de test cu drepturile minime necesare? Poate fi accesată pagina de autentificare doar prin https? Vede contul de test datele altor utilizatori? Dacă da: pe care dintre paginile specificate?
7. Când șterg? Verificarea livrării și contul de test pot fi dezactivate și șterse oricând; contul de test este atunci suprascris definitiv.

Alte documente pentru evaluarea Clientului: Acordul de prelucrare a datelor, măsurile tehnice și organizatorice, lista persoanelor împuternicite secundare și Evidența activităților de prelucrare. Răspundem la întrebări privind fapte individuale la contact@lukaswojcik.com.

12. Revizuire, versiune și aprobare

art. 35(11) impune o revizuire pentru a evalua dacă prelucrarea se desfășoară în conformitate cu EIPD, cel puțin atunci când are loc o modificare a riscului. Revizuim această evaluare cel puțin anual și, în plus, înainte de fiecare dintre evenimentele următoare; fiecare declanșează o nouă măsurare, nu doar o recitire:

• lansarea funcționării în producție, cu cifre din sistemul de producție în locul sistemului de dezvoltare;
• prima activare a verificării livrării pe sistemul de producție și încheierea contractului cu furnizorul căsuței poștale;
• activarea rețelelor IP în protecția colectivă;
• primul studiu și fiecare studiu cu o listă mai mare decât cel anterior;
• activarea celei de-a doua sonde sau un nou destinatar în calea de verificare;
• orice nouă utilizare a modelului lingvistic care depășește clasificarea formularelor și „Fix it for me”;
• orice modificare a capturilor de ecran, a perioadelor sau a condițiilor prealabile pentru verificările active.

Element	Mențiune
Operator	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polonia · NIP 7252266190 · contact@lukaswojcik.com
Autoritatea de supraveghere competentă	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Polonia
Responsabilul cu protecția datelor	Nedesemnat; evaluarea în temeiul art. 37 în secțiunea 4
Baza faptelor	Codul sursă al aplicației și al serviciului de verificare, schema bazei de date, numărul de rânduri și setările sistemului de dezvoltare, măsurate la 11 octombrie 2026, doar în citire
Documente conexe	Politica de confidențialitate, Acordul de prelucrare a datelor, Măsuri tehnice și organizatorice, Persoane împuternicite secundare, Evidența activităților de prelucrare, Regulamentul UE privind IA, Utilizare acceptabilă și abuz, FormExposedBot, Opt-out
Versiune	1.0 din 11 octombrie 2026, prima versiune
Revizuiri în temeiul art. 35(11)	Niciuna încă (prima versiune). Fiecare revizuire este consemnată aici cu data, motivul și rezultatul.
Aprobare	Neaprobată încă. Aprobarea de către proprietar după analiza juridică și după o decizie privind măsurile din secțiunea 9.3 și chestiunile din secțiunea 9.4. Până în prezent nu a fost solicitată consultanță externă în materie de protecție a datelor.

O observație finală își are locul în document, nu într-o scrisoare de însoțire. Părțile formexposed care pătrund cel mai adânc în domeniile altora – trimiterile de test și autentificarea cu datele de acces ale altcuiva – sunt construite cu cea mai mare prudență: două bariere, plafoane stricte, o criptare care ne blochează accesul chiar și nouă. Riscurile din această evaluare se află în mare parte în altă parte: în ceea ce vine la pachet în mod incidental – mesaje reale într-o copie ascunsă, persoane într-o captură de ecran, verificări pe care nu le mai șterge nimeni. Aceasta este o poziție de pornire favorabilă, deoarece incidentalul poate fi oprit fără a modifica serviciul.