Оценка воздействия на защиту данных (ст. 35 GDPR)

Этот документ опубликован на нескольких языках. В случае расхождений между языковыми версиями обязательной является польская версия.

Версия 1.1 · Последнее обновление: 23 октября 2026 г.

1. О чём идёт речь и что представляет собой эта страница

Эта страница является оценкой воздействия на защиту данных (ОВЗД) formexposed согласно ст. 35 GDPR. Сначала она отвечает на предварительный вопрос о том, требуется ли ОВЗД вообще, — отдельно для каждого вида обработки, а не для сервиса в целом. Если ответ положительный, она проводит оценку согласно ст. 35(7)(a)–(d): систематическое описание, необходимость и соразмерность, риски для субъектов данных и меры по их устранению. Далее следуют остаточный риск, вопрос о предварительной консультации согласно ст. 36 и правила пересмотра.

Ст. 35 не требует публиковать ОВЗД. Мы публикуем её по двум причинам. Во-первых, Клиентам, которые используют проверку доставки или сканирование после входа, для их собственной оценки нужны факты, известные только нам; как обработчик мы в любом случае обязаны их предоставить (ст. 28(3)(f) GDPR). Во-вторых, наш краулер проверяет сайты, операторы которых нас не знают. Они должны иметь возможность прочитать, какие риски мы видим для них и для людей на их страницах и что мы с этим делаем.

Правовая природа. Эта ОВЗД является документацией контролёра согласно ст. 35 GDPR, которую мы публикуем добровольно. Она не является частью какого-либо договора и не представляет собой заверения, гарантии или соглашения о качестве по отношению к Клиентам или третьим лицам. Какие услуги и гарантии мы обязаны предоставлять Клиентам, определяется Условиями использования, Соглашением об обработке данных и приложениями к нему; в отношении этих обязательств они имеют приоритет над этой страницей. Страница описывает положение на дату этой версии. Оценки рисков и суждения являются нашей собственной позицией и не предвосхищают юридическую оценку надзорного органа или суда; меры, обозначенные как «запланированные», являются намерениями без обязательной даты. Для Клиентов страница является основой для их собственной оценки, а не юридической консультацией.

Это первая версия пороговой оценки. Она проверяет по каждому виду обработки, требуется ли ОВЗД, и фиксирует результат в разделе 3.5.

Каждое фактическое утверждение подчиняется тому же принципу, что и в других наших юридических документах: измерено, а не задумано. То, что подтверждено в коде или в базе данных, указано здесь со ссылкой на источник. То, что подтвердить не удалось, помечено как «не проверено». То, что лишь запланировано, названо «запланированным». Мы открыто называем открытые пункты вместе с запланированной мерой; ОВЗД, в которой перечислены только сильные стороны, не помогает людям, которых она касается.

Термины: оператор — тот, кто управляет проверяемым сайтом. Клиент имеет учётную запись в formexposed. Посетитель — тот, кто пользуется сайтом Клиента, например его контактной формой. Ссылка на источник означает файл, функцию или настройку в исходном коде, измеренные по состоянию системы разработки на 11 октября 2026 г.

В вопросе открытости мы сознательно проводим одну границу: открытые пункты в защите наших собственных серверов описаны лишь в общих чертах (R13). Мы называем риск и его уровень, но не путь к конкретной уязвимости; подробности мы предоставим надзорному органу по запросу.

2. Роли: на ком лежит обязанность и в отношении чего

Ст. 35 возлагает обязанность на контролёра. formexposed является контролёром для одних видов обработки, обработчиком своих Клиентов для других и ни тем, ни другим — для данных, которые наш плагин WordPress и наше расширение TYPO3 хранят на сайте Клиента. Ответ почти на каждый вопрос в этом документе зависит от того, в отношении какой роли задаётся вопрос. Распределение соответствует Политике конфиденциальности и Соглашению об обработке данных.

Вид обработки	Роль formexposed	На ком лежит обязанность по ст. 35
Проверка чужих сайтов без поручения их оператора: бесплатная проверка, проверка потенциальных клиентов для агентств, исследование	Контролёр	formexposed
Проверка доменов в учётной записи Клиента: мониторинг, активные тестовые отправки, браузерные сценарии, открытые файлы, пульс формы	Контролёр в отношении учётной записи Клиента и данных проверок; обработчик в отношении персональных данных третьих лиц, видимых на подтверждённом сайте Клиента; пока домен не подтверждён — контролёр, как при бесплатной проверке	formexposed — в своей части; Клиент — в отношении данных третьих лиц на его сайте
Сканирование после входа с тестовой учётной записью	Обработчик: учётные данные и содержимое за страницей входа принадлежат сайту Клиента	Клиент; formexposed оказывает содействие
Проверка доставки с контрольной копией	Обработчик	Клиент; formexposed оказывает содействие
Коллективная защита: общий список доменов ссылок из заблокированного спама	Контролёр: мы объединяем сообщения многих сайтов, составляем список и распространяем его	formexposed
Учётные записи Клиентов, вход, журналы, поддержка, отправка электронной почты, платежи, записи-доказательства	Контролёр	formexposed
Клиентский портал и ежемесячный отчёт для подписчиков агентства	Обработчик	Агентство
Данные, которые плагин и расширение хранят на сайте Клиента (карантин, страховочная сеть, сохранённые обращения)	Ни то, ни другое: данные никогда не покидают сайт	Оператор сайта

Отсюда вытекает различие, которое мы прямо оговариваем, поскольку его часто понимают неправильно в обе стороны. Если formexposed является контролёром, мы проводим оценку сами и несём ответственность за её результат. Если мы являемся обработчиком, мы не можем провести оценку вместо Клиента, решить за него вопрос о необходимости или консультироваться от его имени с надзорным органом согласно ст. 36. Что мы можем и должны сделать в этом случае — предоставить ему всё необходимое: описание по пункту (a), измеренные факты о рисках по пункту (c) и честный перечень статуса мер по пункту (d). Для проверки доставки и сканирования после входа эта страница является именно этим.

Клиент, который без изменений принимает разделы о проверке доставки в качестве собственной ОВЗД, её не провёл. Оправдана ли контрольная копия для его форм, следует ли ожидать там специальных категорий персональных данных и как он информирует своих посетителей — решить может только он сам. В разделе 11 кратко изложено, что для этого необходимо выяснить.

3. Пороговая оценка: требуется ли ОВЗД?

3.1 Ст. 35(1) и ст. 35(3)

Ст. 35(1) требует проведения ОВЗД, если вид обработки, в частности с использованием новых технологий, с учётом характера, объёма, контекста и целей обработки, вероятно, приведёт к высокому риску для прав и свобод физических лиц. Ст. 35(3) называет три случая, в которых это имеет место в особенности. Ни один из трёх не подходит к formexposed, и это следует обосновать, а не просто утверждать:

• Пункт (a) — систематическая и обширная оценка личных аспектов физических лиц, основанная на автоматизированной обработке, на которой основываются решения, порождающие юридические последствия или аналогичным образом существенно затрагивающие их. Мы оцениваем формы и сайты, а не личные аспекты людей. Сервис не принимает решений с юридическими последствиями для какого-либо лица. Ближе всего к этому коллективная защита: сообщения со ссылкой на домен из списка попадают в карантин на подключённых сайтах. Это автоматизированное последствие для сообщения, а не обширная оценка человека; мы рассматриваем его в рамках критерия «Оценка или скоринг» в разделе 3.3.
• Пункт (b) — крупномасштабная обработка специальных категорий по ст. 9 или данных об уголовных правонарушениях по ст. 10. Не предусмотрена и не реализована. Тем не менее такие данные могут попасть к нам одним путём: в контрольной копии реальных сообщений посетителей при проверке доставки. Это зависит от конкретного случая и не является крупномасштабным в смысле данного положения; однако это учитывается при оценке рисков (R1).
• Пункт (c) — систематический мониторинг общедоступной зоны в крупном масштабе. Имеется в виду физическое наблюдение за местами, а не получение публичных веб-страниц. Ссылаться на это положение как на основание для веб-краулера было бы неверно.

Поэтому правильным путём является сама ст. 35(1), применяемая через девять критериев Руководства Рабочей группы по статье 29 по оценке воздействия на защиту данных (WP248 rev.01, одобрено Европейским советом по защите данных), и перечень польского надзорного органа согласно ст. 35(4) (раздел 3.4).

3.2 Девять критериев руководства WP248

Руководство называет девять признаков, указывающих на вероятный высокий риск. Как правило, вид обработки, отвечающий двум из них, в большинстве случаев требует ОВЗД. Контролёр может прийти к иному выводу в отдельном случае, но должен тогда обосновать его и задокументировать. И наоборот, может быть достаточно одного критерия. На этой странице мы используем следующие краткие обозначения:

1. C1 – Оценка или скоринг, включая профилирование и прогнозирование, например рабочих результатов, экономического положения, надёжности или поведения.
2. C2 – Автоматизированное принятие решений с юридическими или аналогичными существенными последствиями.
3. C3 – Систематический мониторинг, т. е. обработка, используемая для наблюдения, мониторинга или контроля субъектов данных, в том числе через сети. Руководство прямо обосновывает этот критерий тем, что субъекты данных часто не знают, кто собирает их данные и с какой целью.
4. C4 – Чувствительные данные или данные сугубо личного характера: специальные категории по ст. 9 и 10, но также данные, раскрытие которых существенно затрагивает повседневную жизнь, включая электронные сообщения, конфиденциальность которых должна быть защищена.
5. C5 – Крупномасштабная обработка данных, определяемая по количеству субъектов данных, объёму и спектру данных, продолжительности и географическому охвату.
6. C6 – Сопоставление или объединение наборов данных, полученных в результате разных видов обработки или от разных контролёров, способом, которого субъекты данных не ожидали бы.
7. C7 – Данные об уязвимых субъектах данных, например работниках, детях, пациентах или иных лицах в ситуации неравенства сил.
8. C8 – Инновационное использование или применение новых технологических или организационных решений; в практике надзорных органов использование искусственного интеллекта регулярно относится к этому критерию.
9. C9 – Обработка, которая препятствует субъектам данных в осуществлении права или в пользовании услугой либо договором.

Мы оцениваем каждый критерий как «выполнен», «пограничный случай» или «не выполнен» и обосновываем оценку кодом. Пограничный случай не засчитывается в сумме как выполненный, но указывается в результате; если несколько пограничных случаев указывают в одном направлении, мы включаем вид обработки в оценку.

3.3 Оценка по видам обработки

P1 – Бесплатная проверка без учётной записи (проверка любого чужого сайта по запросу)

Любой может ввести домен на главной странице. Затем краулер получает не более восьми публичных страниц этого сайта, считывает формы, делает снимки экрана и формирует отчёт, который может увидеть любой, кто знает его случайную ссылку. Оператор сайта ничего об этом не узнаёт, если только не заметит идентификатор краулера в своих журналах.

• C1 – пограничный случай. Отчёт оценивает защиту формы уровнем («Уязвимо», «Частично защищено», «Защищено») и баллом. Для общества с ограниченной ответственностью это не касается физического лица. У индивидуальных предпринимателей и фрилансеров домен может быть отнесён к конкретному человеку, и тогда уровень говорит кое-что о тщательности в его профессиональной деятельности. Однако оценивается техническая конфигурация, а не поведение или характеристики человека. Мы рассматриваем это как пограничный случай.
• C2 – не выполнен. В отношении оператора ничего не решается. В отношении лица, запрашивающего проверку, действуют ограничения по IP-адресу и сеансу (cfg/check_lib.php); отклонённая проверка не имеет существенных последствий.
• C3 – не выполнен. Это однократное получение страниц по запросу, не чаще одного раза на домен в неделю (cfg/check_lib.php, настройка fc_domain_days = 7). За людьми не наблюдают. Однако обстоятельство, которым руководство обосновывает C3, — субъекты данных ничего не знают об обработке — присутствует. Оно учитывается при оценке рисков (R5).
• C4 – не выполнен. Сохраняются структура формы и находки, а не введённые значения (scanner/src/crawl.js для видимых полей сохраняет только длину значения). Начала предварительно заполненных скрытых полей (до 24 символов) и data-атрибутов (до 60 символов) сканер считывает только во время проверки, чтобы распознавать токены и метки времени; они не сохраняются. На снимках экрана могут случайно оказаться люди и имена; сайт медицинской практики показывает на изображении её специализацию. Это публичные профессиональные сведения, а не данные о здоровье конкретного человека.
• C5 – пограничный случай. Дневной лимит составляет 200 принятых проверок (fc_daily_cap), т. е. арифметически до около 73 000 сайтов в год. На каждый сайт приходится лишь несколько элементов персональных данных, а срок короткий (30 дней). По замерам в системе разработки в наборе данных 2 анонимные проверки. Сегодня не выполнен; пограничный случай с учётом проектной мощности.
• C6 – не выполнен. Помимо получения страниц, сервис запрашивает возраст домена через службу RDAP rdap.org (передаётся только доменное имя; сохраняется, с кешированием, только дата регистрации) и разрешает DNS. Это технические сведения о домене, а не объединение наборов данных о людях.
• C7 – не выполнен.
• C8 – выполнен в слабой форме. Автоматизированный браузер проверяет страницы, а языковая модель на нашем собственном сервере классифицирует формы, которые не распознаются правилами (scanner/src/classify.js). Модель видит заголовок страницы, адрес, подписи полей и до 400 символов текста формы. Она никогда не может сделать форму «допустимой к отправке».
• C9 – не выполнен.

Промежуточный результат P1: один критерий в слабой форме (C8), два пограничных случая (C1, C5). Обязанности по эмпирическому правилу нет. Поскольку оба пограничных случая указывают в одном направлении, а субъекты данных ничего не знают об обработке, мы включаем P1 в оценку.

P2 – Проверка потенциальных клиентов для агентств

Агентство на тарифе Business с настроенным собственным брендом может пассивно проверить сайт потенциального клиента. Оно получает краткое заключение под своим брендом и подробный отчёт и само передаёт ссылку (cfg/akquise_lib.php). Мы ни с кем не связываемся.

• C1 – пограничный случай, выраженный сильнее, чем для P1. Краткое заключение прямо задумано как «повод для первого разговора». Таким образом, оценка сайта становится основой для коммерческого обращения к человеку.
• C5 – не выполнен. Не более 30 проверок на агентство в месяц (prospect_monthly), удаление через 90 дней.
• C8 – выполнен в слабой форме (та же технология, что и в P1).
• Прочие критерии – не выполнены. Заключение представляется с брендом агентства, но не связывается с другими данными об операторе.

Промежуточный результат P2: обязанности по эмпирическому правилу нет; включено по тем же причинам, что и P1, а также потому, что цель — привлечение клиентов — несёт собственный риск (R6).

P3 – Исследование «Индекс безопасности форм»

Для исследования пассивно проверяется список сайтов, с ограничением не более пяти открытых заданий за прогон процесса статуса, который выполняется каждые пять минут (cfg/studie_lib.php). Публикуются только итоги, а сегменты — только начиная с 20 сайтов с формой (study_min_segment, cfg/studie_lib.php). Исходные данные удаляются при публикации (cfg/studie_lib.php).

• C5 – пограничный случай, для больших списков выполнен. Размер списка в коде не ограничен; ограничение скорости арифметически допускает более тысячи проверок в день. Исследование национального рынка охватывает тысячи сайтов, многими из которых управляют индивидуальные предприниматели. Начиная с такого размера мы считаем критерий выполненным.
• C8 – выполнен в слабой форме.
• C1 – не выполнен. Хотя отдельный сайт оценивается, публикуется только итог; оценка не служит для того, чтобы делать выводы об отдельном операторе.
• Прочие критерии – не выполнены.

Промежуточный результат P3: для исследований проектного размера — два критерия (C5, C8). Таким образом, исследование достигает порога; formexposed проводит оценку как контролёр. По замерам в системе разработки ни одного исследования пока не создано.

P4 – Проверка доменов в учётной записи Клиента

Клиент регулярно проверяет домены в своей учётной записи. Как только он доказал, что вправе контролировать домен, добавляются активные тестовые отправки (не более пяти за проверку), поиск открытых файлов и настроенные браузерные сценарии.

• C3 – не выполнен. Проверка запланирована и повторяется, но касается собственного сайта Клиента и проводится по его запросу, а не для наблюдения за людьми.
• C4 – пограничный случай, нет. Поиск открытых файлов считывает не более первых 8 КБ по путям вроде /backup.sql или журнала отладки, чтобы по содержимому определить, действительно ли файл открыт (cfg/dateien_lib.php). Такой фрагмент может содержать данные форм, введённые посетителями. Он проверяется только в памяти и никогда не сохраняется; сохраняются путь, тип и степень серьёзности.
• C8 – выполнен в слабой форме.
• Прочие критерии – не выполнены.

Дополнительный этап составления плана действий. Подходящие платные отчёты могут содержать локально сгенерированный рекомендательный текст на основе выбранных находок и метаданных сканирования. Он хранится вместе с проверкой и отображается с уведомлением об ИИ; определяющее значение имеют отдельные находки. Он не меняет сайты автоматически и не принимает решений о людях, имеющих правовые или аналогичным образом существенные последствия. Использование языковой модели само по себе не определяет, требуется ли отдельная ОВЗД. Её входные данные, получателей, масштаб и остаточные риски необходимо оценивать вместе с самой проверкой, в том числе возможное повторение персональных данных из URL или заметок и неверные рекомендации в отчёте, которым можно поделиться по ссылке. Разделы 7–9 ниже включают этот этап; это фактическое дополнение не заявляет ни завершённых измерений на производственной системе, ни утверждения владельцем, ни новой оценки остаточного риска.

Промежуточный результат P4: Сама техническая проверка не достигает порога на основании описанных выше фактов. Добавленный локальный рекомендательный этап сам по себе не устанавливает отдельной обязанности, но прежний пороговый результат не заменяет рассмотрение его фактических входных данных, масштаба, получателей и последствий. Включено, поскольку активные тестовые отправки и проверка файлов зависят от подтверждения, которое никогда не обновляется (R7).

P5 – Сканирование после входа

Для подтверждённого домена Клиент может сохранить тестовую учётную запись для своего сайта. Сканер входит с её помощью и считывает формы на не более чем пяти указанных страницах закрытой зоны (cfg/login_lib.php, scanner/src/login.js).

• C4 – пограничный случай. Учётные данные не являются данными сугубо личного характера в смысле руководства, но их неправомерное использование открывает доступ к закрытой зоне. В зависимости от сайта за страницей входа может находиться конфиденциальное содержимое, например на портале для членов или пациентов. Это зависит от Клиента, а не от нас.
• C8 – не выполнен. Автоматизированный вход распространён в сервисах мониторинга.
• Прочие критерии – не выполнены.

Промежуточный результат P5: обязанности по эмпирическому правилу нет. Для Клиентов, закрытая зона которых показывает конфиденциальное содержимое, ситуация может измениться; решение тогда за ними. Включено из-за рисков безопасности (R8).

P6 – Проверка доставки с контрольной копией

Клиент вводит контрольный адрес formexposed в качестве скрытой копии в настройках почты своей формы. В результате каждое электронное письмо формы также поступает в наш контрольный почтовый ящик — как наше тестовое сообщение, так и каждое реальное сообщение посетителя. Автоматическое получение считывает заголовки и первые 8 КБ, сопоставляет письмо, оценивает SPF, DKIM и DMARC и удаляет его (cfg/zustellung_lib.php).

• C4 – выполнен. То, что посетители пишут в контактной форме, — это электронное сообщение предприятию с произвольным содержанием. На сайте медицинской практики, юридической фирмы, консультационной службы или школы следует ожидать данных по ст. 9 или данных о детях. Руководство прямо называет в рамках этого критерия конфиденциальные электронные сообщения.
• C3 – пограничный случай, скорее выполнен. Каждое сообщение планомерно и непрерывно копируется и автоматически анализируется, причём отправитель этого не замечает. Цель — проверить почтовый маршрут, а не наблюдать за людьми. Однако обстоятельство, которым руководство обосновывает критерий, — субъекты данных не знают, кто получает их данные, — присутствует в полной мере, пока Клиент не информирует своих посетителей.
• C7 – в зависимости от Клиента. Пациенты, клиенты юридических фирм, соискатели, родители и ученики часто находятся в зависимости от получателя своего сообщения.
• C5 – пограничный случай, нет. Для отдельного Клиента — не крупномасштабно. У formexposed копии многих Клиентов сходятся в одном почтовом ящике; это повышает тяжесть нарушения, но не количество на одного контролёра.
• Прочие критерии – не выполнены. Сопоставление с доменом и тестом не является сопоставлением наборов данных о людях; технология не нова.

Промежуточный результат P6: C4 выполнен, C3 — пограничный случай, скорее выполнен, C7 выполнен для многих типичных Клиентов. Таким образом, в типичной ситуации выполнены два или более критерия. ОВЗД требуется — как обязанность Клиента, который является контролёром. Разделы 6–11 предоставляют ему для этого факты.

P7 – Коллективная защита

Подключённые сайты WordPress раз в день сообщают домены ссылок из сообщений, которые остановил их уровень защиты. Домен, который появляется как минимум на трёх разных сайтах как минимум с пятью срабатываниями в течение семи дней, попадает в общий список; список отправляется обратно на все подключённые сайты, которые затем помещают сообщения со ссылками на этот домен в карантин (cfg/swarm_lib.php).

• C6 – выполнен. Сообщения многих независимых друг от друга сайтов, т. е. разных контролёров, объединяются и возвращаются всем им в виде общего списка.
• C1 – выполнен, поскольку домен может быть отнесён к физическому лицу. Список представляет собой классификацию в качестве источника спама. Руководство называет примером этого критерия проверку по общей базе данных о мошенничестве. Большинство доменов в таком списке принадлежат предприятиям или являются одноразовыми; однако в него может попасть и домен частного лица — обоснованно или в результате намеренно подброшенных ложных сообщений.
• C9 – пограничный случай. Сообщение со ссылкой из списка не доходит до получателя сразу, а находится в его карантине, пока он его не разблокирует. Оно не теряется.
• C2 – не выполнен. Карантин — это автоматизированное последствие для сообщения, без юридических последствий и с разблокировкой человеком-получателем.
• Прочие критерии – не выполнены. IP-сети отключены (swarm_ip_enabled = 0, cfg/swarm_lib.php).

Промежуточный результат P7: два критерия (C6, C1) и один пограничный случай (C9). Порог достигнут; formexposed проводит оценку как контролёр. При включённых IP-сетях C1 и C6 были бы выполнены без ограничений; их включение требует новой версии этой оценки (раздел 12). По замерам в системе разработки нет ни сообщений, ни записей в списке.

P8 – Учётные записи Клиентов, вход, журналы, поддержка, электронная почта, платежи

• C1 и C9 – не выполнены. Подозрительное поведение при бесплатной проверке приводит к пометке с IP-адресом (cfg/check_lib.php) и при необходимости к отклонению дальнейших проверок. Это предотвращение злоупотреблений с незначительными последствиями, а не оценка личных аспектов.
• Прочие критерии – не выполнены. Это обычные данные сервиса для предприятий.

Промежуточный результат P8: ОВЗД не требуется. Виды обработки описаны в Реестре операций по обработке.

P9 – Показатели плагина, ошибки полей, рекордер, значок, клиентский портал, «Fix it for me»

• Плагин и расширение передают ежедневные показатели, инвентарь плагинов и категории ошибок, а плагин WordPress дополнительно передаёт домены ссылок для коллективной защиты (по умолчанию включено) (P7) — без содержимого, адресов, имён или IP-адресов посетителей; рекордер хранит селекторы не более 15 минут в браузере администратора. Критерии не выполнены.
• При загрузке значок передаёт обычные данные соединения в журнал веб-сервера, без cookie. Критерии не выполнены.
• Клиентский портал обрабатывает адреса электронной почты подписчиков с двойным подтверждением (double opt-in) по поручению агентства. Критерии не выполнены.
• «Fix it for me» поручает языковой модели на нашем собственном сервере переписать вставленный код формы; код не сохраняется. C8 в слабой форме, больше ничего.

Промежуточный результат P9: ОВЗД не требуется.

3.4 Перечень польского надзорного органа согласно ст. 35(4)

Компетентным органом является Председатель Управления по защите персональных данных (Prezes Urzędu Ochrony Danych Osobowych, UODO). Председатель опубликовал перечень видов операций обработки, требующих ОВЗД, в сообщении от 17 июня 2019 г. (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, поз. 666). Перечень соотносит свои позиции с критериями руководства WP248, приводит примеры и прямо не является исчерпывающим; он не заменяет оценку согласно ст. 35(1).

По нашему прочтению, следующие виды обработки из перечня по существу соответствуют видам обработки formexposed:

Вид обработки по перечню (в пересказе)	Соответствующий критерий	Вид обработки в formexposed	Оценка
Сравнение, оценка или выводы на основе анализа данных из разных источников	C6	P7 Коллективная защита	применимо
Оценка или скоринг, включая профилирование	C1	P7 Коллективная защита; P1 и P2 как пограничные случаи	применимо к P7
Обработка специальных категорий персональных данных	C4	P6 Проверка доставки	применимо в зависимости от Клиента
Инновационное использование или применение технологических решений	C8	P1–P4 (языковая модель для классификации)	применимо в слабой форме
Крупномасштабная обработка	C5	P3 Исследование	применимо к большим спискам
Систематический мониторинг общедоступных мест, в том числе с распознаванием признаков	C3	–	не применимо: имеются в виду места, а не сайты

Это соотнесение является прочтением, а не цитатой; формулировки позиций подлежат сверке с ним в ходе юридической проверки. Оно подтверждает результат раздела 3.3, но не изменяет его. Насколько нам известно, UODO не опубликовало перечень согласно ст. 35(5) — видов обработки, для которых ОВЗД не требуется.

3.5 Результат пороговой оценки

Вид обработки	Выполнен	Пограничный случай	Результат
P1 Бесплатная проверка	C8 (слабо)	C1, C5	не обязательна; включено
P2 Проверка потенциальных клиентов	C8 (слабо)	C1	не обязательна; включено
P3 Исследование	C8 (слабо), C5 для больших списков	–	требуется (обязанность formexposed)
P4 Проверка доменов Клиентов	C8 (слабо)	C4 (проверка файлов)	не обязательна; включено
P5 Сканирование после входа	–	C4	не обязательна; включено; для Клиента — в зависимости от содержимого
P6 Проверка доставки	C4; C7 в зависимости от Клиента	C3 (скорее выполнен), C5	требуется (обязанность Клиента; эта страница оказывает содействие согласно ст. 28(3)(f))
P7 Коллективная защита	C6, C1	C9	требуется (обязанность formexposed)
P8 Учётные записи, журналы, поддержка, платежи	–	–	не требуется
P9 Показатели плагина, значок, портал, «Fix it for me»	C8 (слабо, только «Fix it for me»)	–	не требуется

Результат по ст. 35(1): ОВЗД требуется для отдельных видов обработки formexposed. Она требуется для коллективной защиты и для исследований проектного размера, и formexposed проводит её как контролёр. Для проверки доставки она требуется в типичной ситуации, но как обязанность Клиента; formexposed предоставляет основу. Для остальных проверок чужих и собственных сайтов она не обязательна. Тем не менее мы включаем их, поскольку они используют ту же технологию, поскольку несколько пограничных случаев указывают в одном направлении и поскольку субъекты данных — операторы без учётной записи и люди на проверяемых страницах — ничего не знают об обработке. Для учётных записей, журналов, поддержки и платежей оценка не требуется.

Поэтому разделы 6–10 применяются к P1–P7. Если утверждение относится только к одному из этих видов обработки, это отмечено.

4. Инспектор по защите данных: оценка согласно ст. 37

Инспектор по защите данных не назначен. Ст. 37(1) в равной мере обязывает контролёра и обработчика; поэтому этот вопрос касается нас самих. Три предусмотренных законом случая:

Ст. 37(1)	Условие	Результат
пункт (a)	Государственный орган или учреждение	Не применимо; LW IT Solutions Company Lukas Wójcik — частное индивидуальное предприятие.
пункт (b)	Основная деятельность состоит из операций обработки, требующих регулярного и систематического мониторинга субъектов данных в крупном масштабе	Основная деятельность — регулярная и систематическая проверка и мониторинг сайтов и форм. Однако за людьми мониторинг не ведётся: краулер не наблюдает за поведением, а проверка доставки анализирует электронные письма только на предмет доставки и подлинности. Не выполнено.
пункт (c)	Основная деятельность состоит из крупномасштабной обработки данных по ст. 9 или 10	Не по замыслу. Специальные категории могут попасть к нам через контрольную копию проверки доставки; это случайно, а не основная деятельность. Не выполнено.

Поэтому, по нашей оценке, обязанности назначать инспектора нет. Требует ли польское законодательство назначения сверх этого согласно ст. 37(4) — открытый вопрос для юридической проверки. Поскольку инспектор по защите данных не назначен, консультация согласно ст. 35(2) не применяется. Если юридическая проверка установит наличие обязанности назначения, до утверждения этой оценки будет получена консультация назначенного тогда инспектора по защите данных (раздел 12). Контактное лицо по вопросам этой оценки — владелец, contact@lukaswojcik.com.

5. Методика, источники и ограничения этой версии

Факты в этом документе получены из исходного кода приложения и сканера, из схемы базы данных, а также из количества строк и настроек системы разработки, измеренных 11 октября 2026 г. Доступ к базе данных и серверам осуществлялся только для чтения. Если измерение противоречит намерению — в том числе утверждению в наших собственных юридических документах, — мы сообщаем результат измерения. Мы не применяем одобренные кодексы поведения согласно ст. 40, соблюдение которых следовало бы учитывать согласно ст. 35(8).

• Измерялась система разработки. Сервис ещё не запущен. Поэтому цифры невелики и отчасти являются артефактами тестирования: 112 проверок, из них 110 без домена Клиента; 432 снимка экрана; 2 домена, из них 1 подтверждён; ни одна проверка доставки не включена; ни одной тестовой учётной записи для сканирования после входа не сохранено; ни одного исследования; ни одного сообщения в коллективной защите. Измерения подлежат повторению до запуска и регулярно после него.
• В этой версии не измерены и подлежат добавлению до утверждения: конфигурация рабочей системы, включая то, настроен ли там контрольный почтовый ящик и каким образом, а также настроена ли пара ключей для сканирования после входа; ведёт ли программное обеспечение языковой модели журнал запросов; состояние администрирования серверов (R13); договор с провайдером электронной почты.
• Измерить не удалось, сколько реальных сообщений посетителей пройдёт через контрольную копию и из каких отраслей будут Клиенты. Оба фактора определяют тяжесть R1 и R2 и подлежат установлению после запуска.
• Ссылки на источники указывают на файлы и функции в исходном коде системы разработки. Решающее значение имеет описанная функция, а не её расположение в файле.

Этот документ является проектом. Он ещё не утверждён контролёром (раздел 12), и два его вывода — оценка масштаба для P1 и P3 и значимость проверки доставки — зависят от цифр, которые появятся только после запуска.

6. (a) Систематическое описание видов обработки и целей

6.1 Как устроена система проверки

formexposed работает на собственных серверах в Польше, без внешнего хостинг-провайдера: веб-сервер с приложением и базой данных и сервер сканирования со службой проверки и локальной языковой моделью, оба в одной внутренней сети. Проверка проходит следующим образом:

1. Приложение создаёт задание в базе данных — с учётом ограничений и блокировок, описанных в разделе 6.3.
2. Служба проверки на сервере сканирования забирает задание, повторно проверяет список блокировки, имена хостов и, для анонимных проверок, возраст домена и запускает изолированный контейнер именно для этого задания: собственная сеть с собственными правилами фильтрации, без особых привилегий, файловая система только для чтения, лимиты памяти и процессов, а также ограничение по времени (scanner/src/worker.js).
3. Внутри контейнера автоматизированный браузер получает не более восьми публичных страниц: сначала главную страницу, затем предпочтительно страницы контактов, выходных данных и поддержки. Перед этим он считывает robots.txt; запрет для FormExposedBot или для всех краулеров, распространяющийся на главную страницу, завершает проверку, так же как и недоступный robots.txt или ошибка сервера при его получении (scanner/src/net.js). Запреты для отдельных подпутей отдельно не соблюдаются. Пульс формы, получение подтверждения, инструмент заголовков и поиск открытых файлов robots.txt не считывают. Помимо восьми страниц, добавляются до трёх страниц с нажатием «Отклонить» в cookie-баннере, до трёх страниц в мобильном представлении, активные зонды для подтверждённых доменов и до пяти страниц за страницей входа; страницы загружаются одна за другой, а не параллельно. Каждый запрос браузера — включая перенаправления и встроенный контент — проходит через фильтр, который отклоняет частные сети и другие порты.
4. Контейнер записывает результат и снимки экрана во временный каталог. Служба проверки передаёт результат и изображения приложению по внутренней сети и удаляет временный каталог, даже после ошибки (scanner/src/worker.js).
5. Приложение обрабатывает результат, для доменов Клиентов сравнивает его с предыдущей проверкой и сообщает об изменениях адресатам, которых настроил Клиент.

6.2 Что сохраняет краулер — и чего не сохраняет

Элемент	Что сохраняется	Что не сохраняется	Ссылка на источник
Страницы	Адрес, HTTP-статус, заголовки, Content Security Policy, запрошенные сторонние хосты (не более 120)	Содержимое страницы в виде текста или HTML	scanner/src/crawl.js
Поля формы	Тип, имя, подпись, placeholder, обязательное поле, видимость, длина имеющегося значения	Значения полей; у скрытых полей первые 24 символа значения только считываются во время проверки (для распознавания токенов)	scanner/src/crawl.js
Адреса получателей в форме	только домен	адрес	scanner/src/crawl.js
Скрипты	Инвентаризация с контрольной суммой; адреса и начальный текст без идентификаторов учётных записей рекламных и аналитических сервисов	Идентификаторы учётных записей и пикселей	scanner/src/crawl.js
Скрытые наблюдатели	какие рекламные пиксели и инструменты записи загружаются до и после нажатия «Отклонить» в cookie-баннере и маскируют ли они ввод	Идентификаторы учётных записей в этих сервисах	scanner/src/mitleser.js, scanner/src/einwilligung.js
Текст формы	до 400 символов передаются локальной языковой модели, если правила не распознают тип	Раскрытие третьим лицам; сохранение текста	scanner/src/classify.js
Снимки экрана (краулер)	видимая область первой страницы; для каждой видимой формы — изображение элемента формы	–	scanner/src/crawl.js
Снимки экрана (активная проверка)	Изображение страницы ответа на тестовую отправку; дополнительно статус, целевой адрес, заголовок и первые 300 символов её текста	–	scanner/src/active.js
Снимки экрана (браузерные сценарии)	Изображение формы с затемнёнными полями ввода, сжатое, не более 32 КБ	Вводимые данные	scanner/src/browser.js
За страницей входа	как для полей формы выше	Снимки экрана, cookie, ссылки	scanner/src/login.js

Персональные данные не содержатся в этих элементах по замыслу, но попадают в них случайно: имя контактного лица рядом с формой, фотография команды на главной странице, номер телефона в подписи, домен электронной почты частного лица, имя в placeholder. За страницей входа добавляются сведения о тестовой учётной записи и, в зависимости от сайта, о других пользователях.

6.3 Кто инициирует проверку и что тогда действует

Инициатор	Уровень доверия в задании	Тестовые отправки	Результат доступен через	Удаление
Кто-то вводит домен на главной странице (бесплатная проверка)	anonymous	нет	Отчёт по случайной ссылке	30 дней, включая изображения (cfg/check_lib.php)
Плагин или расширение без учётной записи	plugin	нет	Отчёт по случайной ссылке	30 дней
Агентство для потенциального клиента	registered	нет	Краткое заключение и отчёт по случайной ссылке	90 дней (cfg/akquise_lib.php)
Клиент, домен без подтверждения	registered	нет	Учётная запись; отчёт по случайной ссылке	13 месяцев, последняя проверка сохраняется
Клиент, домен с подтверждением	verified	да, не более пяти за проверку	Учётная запись; отчёт по случайной ссылке	13 месяцев, последняя проверка сохраняется (cfg/fristen_lib.php)
Исследование	internal	нет	только итоги после публикации	при публикации; без публикации — без ограничения по времени (R4)
Внутренняя проверка из командной строки провайдером	internal; для наших собственных тестовых и демонстрационных доменов также «verified»	нет; при уровне «verified» — да (только наши собственные тестовые и демонстрационные домены)	только внутренне	без ограничения по времени (R4)

Перед бесплатной проверкой стоят несколько уровней (cfg/check_lib.php): аварийная остановка; reCAPTCHA; один и тот же домен не чаще одного раза в семь дней (после этого показывается существующий отчёт); ограничения по IP-адресу, по сеансу (в виде хеш-значения, никогда не сам идентификатор сеанса) и для всего сервиса в день; список блокировки из opt-out и robots.txt; проверка того, что домен указывает на публичные адреса; и блокировка очень новых или неизвестных доменов. Аномалии — много разных доменов с одного IP-адреса, много запросов за короткое время — фиксируются с IP-адресом и вызывают сигнал без содержимого (cfg/check_lib.php).

6.4 Проверка доменов в учётной записи Клиента

Клиент доказывает, что вправе контролировать домен: с помощью DNS-записи, метатега, файла или через наш плагин (cfg/verify_lib.php). Только после этого домен считается подтверждённым. Планировщик мониторинга планирует регулярные проверки только для активных, отслеживаемых и подтверждённых доменов (cfg/monitor_lib.php).

• Активные тестовые отправки связаны с двумя барьерами: приложение устанавливает активный режим для Клиентов только для подтверждённых доменов (для наших собственных тестовых и демонстрационных доменов провайдер может создать проверку с уровнем «verified» через внутренний инструмент командной строки), а служба проверки повторно проверяет уровень доверия и аварийный выключатель fc_active_enabled (scanner/src/worker.js). Отправить можно только форму, которую правила с высокой степенью уверенности распознают как общую контактную форму, у которой нет обязательных полей для реальных персональных данных и домен которой не похож на домен государственного органа, учебного заведения, клиники, медицинской практики, полиции или суда (scanner/src/classify.js). Языковая модель не может сделать форму допустимой к отправке (scanner/src/classify.js). За одну проверку отправляется не более пяти отправок (fc_active_max_posts), с чёткой маркировкой, с отправителем dummy@formexposed.com, адресом под .invalid для проверки валидации электронной почты и безобидной дополнительной строкой заголовка для обнаружения внедрения заголовков (scanner/src/active.js).
• Браузерные сценарии проверяют настроенные сценарии заполнения формы в браузере вплоть до момента непосредственно перед отправкой. Разрешены только запросы GET и HEAD; всё остальное прерывается, как и адреса, содержащие слова, обозначающие выход, удаление, покупку или оплату (scanner/src/browser.js). Для проверки обязательные поля заполняются вымышленными значениями, которые никогда не покидают браузер.
• Открытые файлы ищутся еженедельно, только для подтверждённых доменов, не более одного получения на путь, не более 8 КБ, содержимое никогда не сохраняется (cfg/dateien_lib.php).
• Независимый второй зонд подготовлен и по умолчанию выключен (browser_probe_enabled = 0). При включении он получал бы только домен, адрес, селектор, шаги и выбор браузера, но никогда не учётные данные, снимки экрана или данные посетителей (cfg/formular_probe_lib.php).

6.5 Сканирование после входа

Предварительные условия: функция настроена, домен подтверждён, Клиент находится на платном тарифе и является владельцем или администратором рабочего пространства (cfg/login_lib.php); он подтверждает, что учётная запись является тестовой с минимально возможными правами (cfg/login_lib.php).

1. Имя пользователя и пароль сразу же шифруются на веб-сервере открытым ключом сервера сканирования: одноразовый ключ для каждой записи (X25519), выработка ключа (HKDF-SHA256), AES-256-GCM, с привязкой к домену (cfg/login_lib.php). Закрытый ключ есть только у службы проверки на сервере сканирования (scanner/src/geheim.js). Тот, кто получил веб-сервер, базу данных или резервную копию, имеет только шифротекст.
2. Интерфейс показывает только первый символ и длину имени пользователя (cfg/login_lib.php). Учётные данные никогда не отображаются, никогда не записываются в журналы и никогда не выводятся через API.
3. Для проверки приложение прикрепляет шифротекст к заданию. Служба проверки расшифровывает его, немедленно очищает поле в задании и передаёт учётные данные контейнеру только через стандартный ввод, никогда в виде аргументов командной строки (scanner/src/worker.js). Остатки в прерванных заданиях очищаются процессом статуса через один час (cfg/login_lib.php).
4. Внутри контейнера браузер выполняет вход. Он прерывает работу, если страница входа перенаправляет на другой хост, если форма входа содержит CAPTCHA (мы не обходим CAPTCHA) или если после отправки поле пароля всё ещё видно (scanner/src/login.js). Затем он очищает поле пароля в памяти страницы и забывает учётные данные (scanner/src/login.js).
5. Он считывает не более пяти указанных Клиентом страниц того же домена. Адреса, содержащие слова, обозначающие выход, удаление, удаление из списка или отмену, блокируются (scanner/src/login.js). За страницей входа ничего не отправляется, снимки экрана не делаются, а cookie и ссылки не попадают в результат (scanner/src/login.js).
6. Удаление является окончательным: шифротекст перезаписывается случайными данными той же длины, строка удаляется, а ожидающие задания очищаются (cfg/login_lib.php). При удалении домена строка автоматически исчезает через внешний ключ.

6.6 Проверка доставки

Проверка доставки отвечает на вопрос, действительно ли доходит электронное письмо из контактной формы, и оценивает его признаки подлинности. Она необязательна, по умолчанию выключена и требует настройки контрольного почтового ящика (cfg/zustellung_lib.php).

1. Если Клиент её включает, домен получает случайную метку. Клиент вводит контрольный адрес с этой меткой в качестве скрытой копии в своей форме.
2. С этого момента каждое электронное письмо формы также поступает в контрольный почтовый ящик: наши маркированные тестовые отправки и все реальные сообщения посетителей. Письма поступают непосредственно в почтовый ящик у Namecheap, Inc. (Private Email), Phoenix, Arizona, USA — они доходят только в том случае, если MX-записи нашего домена указывают туда; через переадресацию, например у регистратора доменов Namecheap, Inc., они в почтовый ящик не попадают — и остаются там до получения.
3. Процесс статуса забирает почту из ящика каждые пять минут (srv/cron_status.php). Для каждого письма он считывает заголовки и не более первых 8 КБ текста, не помечая их как прочитанные (cfg/zustellung_lib.php).
4. По заголовкам он определяет метку и тем самым домен, а по тексту — при наличии — идентификатор нашего теста (cfg/zustellung_lib.php). Сохраняются время, домен и при наличии идентификатор теста (cfg/zustellung_lib.php) на 180 дней (cfg/zustellung_lib.php).
5. По заголовкам он оценивает SPF, DKIM и DMARC и сохраняет результат применительно к домену: результаты проверки, домен адреса отправителя, домены подписей и адрес отправляющего почтового сервера (cfg/zustellung_lib.php). Если результат ухудшается, Клиенту однократно направляется оповещение, в котором может быть указан домен отправителя (cfg/zustellung_lib.php).
6. Затем он помечает для удаления каждое полученное письмо, включая то, которое не удалось сопоставить ни с одним доменом, и удаляет его из почтового ящика в конце прогона (cfg/zustellung_lib.php). Если прогон прерывается раньше, письма остаются до следующего успешного прогона.
7. Доказательством доставки считается только копия именно соответствующего теста (cfg/zustellung_lib.php). Если она не приходит в течение трёх часов (delivery_wait_h), сервис сообщает «Доставка отсутствует».

Текст реальных сообщений никогда не записывается в базу данных, как и адрес посетителя. Тем не менее оба считываются: при получении первые 8 КБ каждого письма загружаются в память, чтобы найти идентификатор теста.

6.7 Коллективная защита

1. Уровень защиты плагина WordPress останавливает сообщение как спам и подсчитывает домены содержащихся в нём ссылок. Раз в день плагин сообщает нам эти домены с количеством срабатываний, не более 60 в день; без адресов, без текста, без IP-адресов (cfg/swarm_lib.php).
2. Раз в день мы составляем из этого список: домен попадает в него, если в течение семи дней о нём сообщили как минимум три разных сайта как минимум с пятью срабатываниями (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Крупные сервисы из фиксированного списка исключений и домены наших Клиентов, в каждом случае включая поддомены, никогда не попадают в список (cfg/swarm_lib.php).
3. Список поступает на все подключённые сайты вместе с ответом на ежедневное сообщение. Их уровень защиты помещает сообщения со ссылками на домены из списка в карантин, а не в корзину.
4. Всё, что больше не появляется в новом списке, выпадает из него; сообщения удаляются через 30 дней (cfg/swarm_lib.php).
5. IP-сети (/24 или /48) подготовлены, но отключены до завершения юридической проверки (cfg/swarm_lib.php).

6.8 Использование искусственного интеллекта

Языковая модель работает на нашем собственном сервере сканирования, а не у поставщика ИИ. Она используется в трёх местах: в службе проверки она классифицирует формы, тип которых правила не распознают; при этом она видит заголовок страницы, адрес страницы, подписи кнопок отправки, типы полей, имена, подписи и placeholder, а также до 400 символов текста формы (scanner/src/classify.js). К ней обращаются, только если правила возвращают «неизвестно»; классифицированные таким образом формы никогда не отправляются и не учитываются в оценке и вердикте. Оценка, вердикт, предотвращение злоупотреблений, коллективная защита и правила спама — это фиксированные правила, а не ИИ. В «Fix it for me» она переписывает вставленный код формы; код не сохраняется. Для подходящих проверок доменов в учётных записях на платных тарифах она также генерирует план действий в порядке приоритетов на основе имени хоста, общего результата и оценки, CMS, релевантного типа формы и адреса страницы, выявленного плагина, если он есть, и выбранных находок с отрицательным или неопределённым результатом. Запрос временно хранится во внутренней очереди заданий и удаляется после получения результата либо при плановой очистке записей старше одного часа. Сгенерированный текст, язык, статус и метка времени сохраняются вместе с результатом сканирования по применимым к нему правилам хранения. В отчёте план помечается как сводка ИИ, а отдельным находкам придаётся определяющее значение; план не меняет сайт или результат сканирования. Модель не принимает решений о людях. Подробнее — на странице Закон ЕС об ИИ: как formexposed использует ИИ.

6.9 Правовые основания

Вид обработки	Правовое основание
P1 Бесплатная проверка: проверка запрошенного домена; ограничения и предотвращение злоупотреблений	в отношении запрашивающего лица — ст. 6(1)(b); в отношении оператора и изображённых лиц — ст. 6(1)(f); предотвращение злоупотреблений — ст. 6(1)(f)
P2 Проверка потенциальных клиентов	Ст. 6(1)(f) (законный интерес агентства и formexposed)
P3 Исследование	Ст. 6(1)(f)
P4 Проверка доменов Клиентов	Ст. 6(1)(b) в отношении Клиента; для данных третьих лиц на его сайте — указания Клиента согласно ст. 28
P5 Сканирование после входа	Указания Клиента согласно ст. 28; правовое основание Клиента
P6 Проверка доставки	Указания Клиента согласно ст. 28; правовое основание Клиента (в предлагаемом нами тексте для Клиентов — ст. 6(1)(f))
P7 Коллективная защита	Ст. 6(1)(f) (совместная защита от спама на многих сайтах)

Наш законный интерес в P1–P3 состоит в том, чтобы показать операторам и их поставщикам услуг слабые места их форм до того, как они будут использованы для спама или злоупотреблений, и в оказании услуги. Данные получены из общедоступных источников. Взвешивание интересов изложено в разделе 7; позволяет ли ст. 6(1)(f) проверять чужие сайты по запросу — открытый вопрос для юридической проверки.

6.10 Получатели и передача в третьи страны

Получатель	Что	Вид обработки	Статус
Никто за пределами formexposed	Результаты проверок, снимки экрана, классификация языковой моделью	P1–P5	Служба проверки и языковая модель работают на наших собственных серверах; в цепочке проверки краулера не обнаружено обращений к третьим сторонам, кроме самого проверяемого сайта, сервисов, контент которых он встраивает (как у любого посетителя), и службы RDAP rdap.org для определения возраста домена (только доменное имя); средства контроля мониторинга перечислены в следующей строке
Любой, кто знает ссылку	Отчёт с находками и снимками экрана	P1, P2, P4	случайная ссылка длиной 128 бит (cfg/check_lib.php), страницы с noindex (www/report.php)
Сервисы, запрашиваемые при мониторинге домена Клиента	DNS-чёрные списки (SpamCop, PSBL, Mailspike, SURBL): домены и IP-адреса серверов, без данных посетителей; Google Web Risk — только если настроен: адрес главной страницы; службы штампов времени Certum и DigiCert: только хеш-значение журнала доказательств; RDAP через реестр IANA: только доменное имя; страницы статуса провайдеров: ничего не передаётся; wpvulnerability.net: идентификатор плагина (без версии) или темы и версия WordPress	P4	используется; подробности — в Реестре операций по обработке и на странице Субобработчики
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Контрольные копии, включая реальные сообщения посетителей	P6	Договор ещё не заключён; место обработки и механизм передачи ещё подлежат изучению
Namecheap, Inc. (США)	Регистратор и DNS; до настройки почтового ящика — переадресация общих электронных писем на адреса нашего домена, но не контрольных копий (они попадают в почтовый ящик только через MX-записи, указывающие непосредственно на него)	– (без контрольных копий)	Механизм передачи подлежит изучению
Каналы оповещений, выбранные Клиентом (электронная почта, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	Событие, домен, ссылка; для проверки подлинности — домен отправителя, если он не принадлежит сайту	P4, P6	адресат выбирается Клиентом; частично за пределами ЕС. Сообщения в Telegram мы отправляем через нашего бота; механизм передачи для этого — открытый вопрос для юридической проверки
Все подключённые сайты	Список доменов ссылок	P7	через ответ плагину
Второй зонд	Домен, адрес формы, селектор, шаги	P4	выключен

6.11 Хранение: измерено, а не задумано

Удаление в основном происходит ночью в 03:00 в процессе статуса (srv/cron_status.php, cfg/fristen_lib.php); сообщения коллективной защиты и строки потенциальных клиентов удаляются ежедневно начиная с 04:00, сопоставления проверки доставки — при каждом получении почты; анонимные отчёты и отчёты о потенциальных клиентах удаляются по дате истечения их срока (cfg/check_lib.php). Снимки экрана удаляются с диска вместе со своим сканированием (cfg/fristen_lib.php).

Данные	Срок согласно коду	Ссылка на источник	Вывод
Бесплатная проверка, включая изображения	30 дней	cfg/check_lib.php	действует
Проверка потенциального клиента, включая изображения	90 дней	cfg/akquise_lib.php; srv/cron_status.php (строки потенциальных клиентов)	действует
Проверки домена Клиента	13 месяцев; последняя сохраняется, пока существует домен	cfg/fristen_lib.php	действует
Результаты браузерных сценариев, включая затемнённые изображения	13 месяцев	cfg/fristen_lib.php	действует
Данные удалённого домена	немедленно; осиротевшие данные — ночью	cfg/fristen_lib.php (fe_domain_loeschen(), fe_fristen_lauf())	действует, включая инвентаризацию скриптов и изменения скриптов, у которых сверх этого нет собственного срока хранения (см. Реестр операций по обработке)
Исследование: исходные данные, включая изображения	при публикации	cfg/studie_lib.php	без публикации — без ограничения по времени; список проверенных хостов и после публикации остаётся без ограничения по времени
Внутренние проверки без домена и без отчёта	нет	–	удаления нет; измерено: 85 проверок с 369 изображениями с 22 сентября 2026 г. (R4)
Сопоставления проверки доставки	180 дней	cfg/zustellung_lib.php	действует
Результат проверки подлинности применительно к домену	до следующего результата или удаления домена	cfg/zustellung_lib.php	перезаписывается, не ограничен по времени
Контрольные копии в почтовом ящике	до следующего успешного получения (интервал пять минут)	cfg/zustellung_lib.php	копии и резервные копии у провайдера почтового ящика не проверены
Учётные данные для сканирования после входа	до удаления Клиентом или удаления домена; в задании — не дольше конца прогона, остатки — через один час	cfg/login_lib.php	действует; в резервных копиях — только в виде шифротекста до 14 дней
Сообщения в коллективной защите	30 дней	cfg/swarm_lib.php	действует
Ограничения бесплатной проверки (IP, страна, хеш сеанса)	7 дней	srv/cron_status.php	действует
Пометки о подозрительном поведении с IP-адресом	90 дней после устранения	srv/cron_status.php	неустранённые пометки — без ограничения по времени; измерено: 3 пометки, все устранены
IP-адрес, страна, браузер в связи с opt-out	12 месяцев; исключение сохраняется	cfg/fristen_lib.php	действует
Резервные копии базы данных	14 дней	cfg/backup_lib.php	действует; в настоящее время резервные копии хранятся в том же месте, что и база данных, и не зашифрованы отдельно; запланирована зашифрованная копия во втором месте (R13)

7. (b) Оценка необходимости и соразмерности

Мерилом служат заявленные цели: показать операторам, защищены ли их формы от спама и злоупотреблений (P1–P5), проверить, доходят ли электронные письма форм и выглядят ли они подлинными (P6), и совместно защищаться от спама на многих сайтах (P7). Эти цели законны. Вопрос по ст. 35(7)(b) уже: необходима ли эта обработка в этом объёме для достижения цели и соразмерно ли вмешательство пользе?

Компонент	Необходим для цели?	Соразмерен в реализованном виде?
Получение нескольких публичных страниц, структура форм, обнаруженные защитные меры	Да. Без них нет заключения.	Да. Не более восьми страниц (плюс представления из раздела 6.1), запрет главной страницы в robots.txt соблюдается, без значений видимых полей, адреса получателей только в виде домена.
Снимок экрана для каждой формы	Да, как доказательство в отчёте: оператор видит, о какой форме идёт речь.	В основном. Поля пусты, поскольку краулер ничего не вводит. Однако изображение показывает окружение элемента формы без затемнения (R3).
Снимок экрана главной страницы	Для самого заключения не требуется. Он служит для узнавания проверенного сайта в отчёте.	Лишь в ограниченной мере; запланирована дальнейшая минимизация. На главных страницах часто изображены люди: фотографии команды, контактные лица, отзывы клиентов с именами. См. R3 и раздел 9.3.
Считывание значений скрытых полей (первые 24 символа, только во время проверки)	Да: по ним распознаются токены и метки времени.	Да. Сохраняется только результат распознавания, а не значение, в том числе за страницей входа (R8).
Страница ответа на тестовую отправку (изображение и 300 символов текста)	Да, как доказательство того, как отреагировала форма.	Да. Ответ относится к нашему маркированному тестовому сообщению без персональных данных.
Классификация языковой моделью	Полезна, но не необходима: без неё больше форм остаются «неизвестными».	Да. Локально, без раскрытия, без права на отправку.
Локальный план действий на основе выбранных находок и метаданных сканирования	Полезен для определения приоритетов устранения проблем, но не необходим для получения отдельных находок.	Ограничен существующими метаданными сканирования и не более чем 18 различными находками с отрицательным или неопределённым результатом, без снимков экрана или введённых значений полей в промпте. План носит рекомендательный характер и помечается как созданный ИИ; определяющее значение имеют отдельные находки. URL и заметки всё ещё могут содержать персональные данные, а к сгенерированному тексту применяются срок хранения сканирования и доступ по ссылке, владения которой достаточно для открытия отчёта. Эти ограничения уменьшают раскрытие данных, но не доказывают фактическую точность (R10).
Активные тестовые отправки	Да. Работает ли защита, становится ясно только при её тестировании.	Да, с ограничением и маркировкой. Однако предварительное условие — подтверждение контроля — никогда не обновляется (R7).
Поиск открытых файлов	Да для Клиента, данные форм которого могут быть там открыты.	Да. Только подтверждённые домены, не более 8 КБ, содержимое никогда не сохраняется.
Сканирование после входа	Да для форм в закрытой зоне, которые иначе остались бы непроверенными.	В основном. Шифрование и удаление тщательно реализованы; однако вход допускает незашифрованные соединения и ошибочные сертификаты (R8).
Контрольная копия реальных сообщений посетителей	Не для доказательства доставки. Оно основывается только на копии нашего теста (cfg/zustellung_lib.php). Реальные сообщения попадают туда, поскольку скрытая копия в форме не различает тест и реальное сообщение. Они полезны для проверки подлинности (SPF, DKIM, DMARC), поскольку показывают фактический маршрут отправки.	Частично. Содержимое не сохраняется, но считывается, и до получения оно остаётся у провайдера почтового ящика, договор с которым ещё не заключён (R1, R2). Технически возможна менее инвазивная конструкция: с нашим плагином скрытую копию можно было бы ограничить маркированными тестовыми сообщениями (раздел 9.3).
Сохранение домена отправителя реальных сообщений	Частично: он показывает, отправляет ли форма письма с адресом посетителя в качестве отправителя (частая причина классификации как спама).	Условно. Для частного лица с собственным доменом домен является персональными данными, и он попадает в оповещение Клиенту и в его каналы (R1).
Общий список доменов ссылок	Да. Спам-ссылка, которая одновременно появляется на многих сайтах, — сильный сигнал, которого нет у отдельного сайта.	Да, с минимальными порогами, исключениями и карантином вместо удаления. IP-сети без новой оценки не были бы соразмерными.
Исходные данные исследования	До анализа — да.	Без максимального срока — нет (R4).
Отчёт по случайной ссылке	Да. Передача отчёта — например, поставщику услуг, обслуживающему сайт, — и есть цель бесплатной проверки.	Да. Случайная ссылка длиной 128 бит, noindex, бесплатный отчёт только в виде выдержки (cfg/check_lib.php, FE_FREE_DETEKTOREN), удаление через 30 дней.

Законность. Для P1–P3 и P7 мы ссылаемся на ст. 6(1)(f). В пользу взвешивания говорит следующее: данные являются публичными и получаются так же, как это делает любой посетитель; ничего не отправляется; персональные данные случайны и незначительны; сроки короткие; оператор может исключить дальнейшие проверки краулером, запретив главную страницу в robots.txt, а любую дальнейшую проверку — через нашу страницу opt-out, немедленно и без подтверждения; польза — защищённая форма — достаётся также оператору и его посетителям. Против: оператор ничего не узнаёт о проверке, отчёт предназначен для третьих лиц, а в случае индивидуальных предпринимателей он оценивает человека. Мы считаем взвешивание обоснованным, пока сохраняются меры из раздела 9.1; юридическое подтверждение ожидается.

Информирование субъектов данных (ст. 13 и 14). Мы информируем операторов и людей на проверяемых страницах через страницу краулера, которая указывается в идентификаторе каждого запроса, через Политику конфиденциальности и через страницу opt-out. Индивидуально информировать людей, случайно попавших на снимок экрана, можно было бы, только установив их личность, — а это было бы дополнительным, более серьёзным вмешательством. В этой части мы ссылаемся на ст. 14(5)(b). Посетителей, сообщения которых проходят через контрольную копию, информирует Клиент; этого требует Соглашение об обработке данных, и мы предоставляем для этого текстовый блок.

Минимизация данных (ст. 5(1)(c)). Она заметна во многих местах и закреплена в коде: без значений полей, адреса получателей только в виде домена, идентификаторы учётных записей в адресах скриптов скрыты, никакого содержимого из контрольной копии в базе данных, никаких снимков экрана за страницей входа, в коллективной защите — только домены. В двух местах дальнейшая минимизация возможна и запланирована (раздел 9.3): для снимка экрана главной страницы без затемнения и для домена отправителя реальных сообщений.

Ограничение хранения (ст. 5(1)(e)). С 27 сентября 2026 г. ночной прогон соблюдает сроки из Политики конфиденциальности для данных Клиентов и очищает данные без связанного домена, оставшиеся с предшествующего периода (cfg/fristen_lib.php). Открытыми остаются два пути без ограничения по времени: внутренние проверки и неопубликованные исследования (R4).

Точность (ст. 5(1)(d)). Заключение может быть ошибочным: форма кажется незащищённой, потому что защита загружается только после взаимодействия, или межсетевой экран обошёлся с краулером иначе, чем с посетителем. Для оператора, сайт которого публично распространяется с пометкой «Уязвимо», это вопрос репутации. Поэтому отчёт называет методику, показывает доказательства и указывает на ограничения проверки извне.

Результат по соразмерности: Проверка чужих и собственных сайтов в реализованном виде в основном соразмерна. В трёх местах есть потребность в улучшении, которую можно устранить обычными средствами и для которой запланированы меры (раздел 9.3): снимки экрана главной страницы, внутренние проверки без ограничения по времени и незашифрованный вход при сканировании после входа. Проверка доставки соразмерна для тестовой копии и для проверки подлинности; для реальных сообщений посетителей это верно лишь до тех пор, пока их содержимое не сохраняется, маршрут через провайдера почтового ящика обеспечен договором, а Клиент информирует своих посетителей. На сегодня второго из этих трёх пунктов нет.

8. (c) Оценка рисков для прав и свобод субъектов данных

Оценивается риск для субъектов данных, а не для formexposed. Вероятность оценивается как маловероятная, возможная, вероятная или реализовавшаяся; «реализовавшаяся» означает, что событие является не прогнозом, а измеренным состоянием. Тяжесть оценивается как ограниченная, значительная, серьёзная или очень серьёзная в зависимости от того, что человек может потерять: конфиденциальность своего сообщения, контроль над учётной записью, деловую репутацию, возможность осуществить право. Уровень складывается из обоих показателей и описывает текущее состояние с мерами из раздела 9.1.

№	Риск	Вид обработки	Вероятность	Тяжесть	Уровень
R1	Реальные сообщения посетителей в контрольной копии, включая возможные специальные категории	P6	Реализовавшаяся после включения	Серьёзная	Высокий
R2	Маршрут контрольной копии через провайдера почтового ящика без заключённого договора и с возможной связью с третьей страной	P6	Вероятная, пока договор отсутствует	Серьёзная	Высокий
R3	Снимки экрана чужих сайтов без затемнения	P1–P4	Вероятная	Ограниченная	Средний
R4	Данные проверок и снимки экрана без пути удаления	P3, внутренние проверки	Реализовавшаяся	Значительная	Высокий
R5	Проверка и публичная оценка чужих сайтов без ведома оператора; злоупотребление в качестве инструмента разведки	P1	Возможная	Значительная	Средний
R6	Проверка потенциальных клиентов как основа для нежелательных обращений	P2	Вероятная	Ограниченная	Средний
R7	Подтверждение контроля никогда не обновляется	P4, P5	Возможная	Значительная	Средний
R8	Учётные данные и содержимое при сканировании после входа	P5	Возможная	Серьёзная	Средний; высокий для реальных учётных записей
R9	Активные тестовые отправки и проверка файлов на сайте Клиента	P4	Маловероятная	Значительная	Низкий
R10	Классификация языковой моделью	P1–P4	Маловероятная	Ограниченная	Низкий
R11	Общий список блокировки на основе сообщений многих сайтов	P7	Возможная	Ограниченная	От низкого до среднего; высокий с IP-сетями
R12	Отчёты и снимки экрана по публичной ссылке	P1, P2, P4	Возможная	Ограниченная	Низкий
R13	Слабые места инфраструктуры: резервные копии, доступ к серверам, сервер сканирования	все	Возможная	Серьёзная	Высокий
R14	Права субъектов данных для людей, которые нас не знают	P1–P6	Вероятная	Ограниченная	Низкий

R1 – Реальные сообщения посетителей в контрольной копии

Это самый серьёзный риск сервиса, и он возникает не из ошибки, а из устройства функции. Скрытая копия в форме не отличает наше тестовое сообщение от сообщения посетителя. Если Клиент включает проверку доставки, каждое сообщение, отправленное через эту форму, поступает в наш контрольный ящик (cfg/zustellung_lib.php). Получение читает заголовки и первые 8 КБ текста в память для поиска нашего тестового идентификатора (cfg/zustellung_lib.php). Для обычной контактной формы это означает имя, адрес электронной почты, номер телефона и полное сообщение.

Что пишет посетитель, решает он сам, а поле располагает к личному содержанию: запись к врачу с описанием симптомов, изложение правового спора юридической фирме, заявление о приёме на работу, вопрос о ребёнке школе. Наши правовые документы говорят, что копии «не должны содержать особые категории персональных данных». Это просьба к Клиенту, а не защитная мера: ни Клиент, ни мы заранее не знаем, что напишет посетитель.

Сюда относятся два побочных пути. Во-первых, проверка подлинности сохраняет домен адреса отправителя в записи домена (cfg/zustellung_lib.php). Если форма отправляет с адресом посетителя в качестве отправителя, это домен посетителя — ничего не значащий для крупного почтового провайдера, но персональные данные для человека с собственным доменом. Этот домен также появляется в оповещении, поступающем Клиенту и выбранным им каналам (cfg/zustellung_lib.php). Во-вторых, сохраняется адрес отправляющего почтового сервера (cfg/zustellung_lib.php); как правило, это сервер сайта, а не посетителя.

Вероятность – реализуется после включения. Вопрос не в том, поступают ли реальные сообщения, а в их количестве. По измерению на системе разработки функция не включена ни для одного домена. Тяжесть – серьёзная. Конфиденциальность сообщения предприятию важна многим людям, и для части типичных Клиентов следует ожидать данные по ст. 9. Тяжесть смягчается тем, что содержимое не попадает в базу данных, находится в ящике лишь кратковременно и не читается ни одним человеком в formexposed. Уровень – высокий.

R2 – Путь контрольной копии через поставщика почтового ящика без заключённого договора

Прежде чем наше получение увидит контрольную копию, она хранится в ящике у Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Она поступает туда только при MX-записях нашего домена, указывающих прямо на этот ящик; пересылка у регистратора домена Namecheap, Inc. не является этапом пути контрольных копий (через пересылку они не поступают в ящик). Для оставшегося этапа договорные условия всё ещё открыты: договор с поставщиком ящика не заключён, места хранения, субобработчики и сроки резервных копий не установлены, и остаётся открытым, требуются ли и действуют ли для места обработки решение об адекватности или стандартные договорные положения. Для наших собственных транзакционных писем это вопрос оформления договора. Для контрольных копий ситуация серьёзнее: это данные, получаемые нами как обработчиком, и каждый поставщик услуг на пути является субобработчиком, за которого мы отвечаем по ст. 28(4).

Кроме того, «удалено после получения» относится только к нашему представлению ящика. Хранит ли поставщик удалённые письма в собственных резервных копиях или корзине и как долго, не проверено. При прерывании получения письма остаются до следующего успешного запуска (cfg/zustellung_lib.php); при отказе процесса проверки состояния они остаются бессрочно. Наконец, безопасность самого получения — один из пунктов, подлежащих проверке на производственной системе до запуска (раздел 9.3).

Вероятность – вероятная, пока нет договора: каждая контрольная копия проходит этот путь. Тяжесть – серьёзная по тем же причинам, что R1. Уровень – высокий. Перечень настройки приложения предупреждает об отсутствующем ящике; блокировки проверки доставки без задокументированного договора нет.

R3 – Снимки экрана чужих сайтов без затемнения

Краулер делает снимок видимой области первой страницы и изображение элемента каждой видимой формы (scanner/src/crawl.js). При этом ничего не затемняется. Для браузерных сценариев это иначе: там перед снимком маскируются поля ввода (scanner/src/browser.js). Поэтому «очищены» только изображения браузерных сценариев, а не краулера и не изображение страницы ответа активной проверки.

Поскольку краулер ничего не вводит, поля формы пусты. Однако главная страница малого предприятия часто показывает владельца, команду, отзывы клиентов с именами и фотографиями или окно чата с фотографией сотрудника. Всё это публично; снимок превращает это в копию, которая хранится у нас, появляется в отчёте и может передаваться по ссылке.

Вероятность – вероятная. В наборе данных системы разработки измерено 432 снимка экрана. Тяжесть – ограниченная: содержимое уже публично, а сроки для проверок без аккаунта коротки. Уровень – средний, поскольку изображённые люди не осведомлены, а изображение главной страницы для находки не требуется.

R4 – Данные проверок и снимки экрана без пути удаления

Ночной запуск удаляет проверки двумя путями: через срок действия отчёта (cfg/check_lib.php) и через срок хранения проверок домена Клиента (cfg/fristen_lib.php, только для проверок с доменом). Проверка без отчёта и домена не попадает ни под один путь. Это проверки с уровнем доверия «внутренний»: исследования и проверки, создаваемые поставщиком из командной строки.

• Исследования удаляют исходные данные при публикации (cfg/studie_lib.php). Если исследование никогда не публикуется — из-за слишком малого числа сайтов с формой (тогда cfg/studie_lib.php отказывает в публикации) или потому, что его оставили лежать, — проверки, формы, находки и снимки экрана остаются без ограничения срока.
• Внутренние проверки из командной строки вообще не имеют пути удаления. Измерено 11 октября 2026 года: 85 таких проверок сторонних сайтов с 978 формами и 369 снимками экрана, самая старая от 22 сентября 2026 года, ни одна не имеет отчёта или домена.
• Заметки о подозрительном поведении в бесплатной проверке содержат IP-адрес и удаляются через 90 дней после разрешения (srv/cron_status.php). Заметка, которую никогда не разрешают, остаётся. Измерено: три заметки, все разрешены.

Вероятность – реализовавшаяся. Эти 85 проверок — не сценарий, а существующие данные. На системе разработки это проверки полевого теста; на производственной системе действует тот же код. Тяжесть – значительная: срока хранения этих данных нет. В отношении принципа ограничения хранения (ст. 5(1)(e)) это открытый вопрос с запланированной мерой (раздел 9.3, приоритет «в первую очередь»), причём он затрагивает именно людей, ничего не знающих о проверке. Внутренние проверки описаны в документе Реестр операций по обработке; Политика конфиденциальности пока не называет их отдельно (раздел 9.4). Уровень – высокий.

R5 – Проверка и публичная оценка чужих сайтов без ведома оператора

Любой может заказать проверку любого публично доступного сайта без аккаунта и без какой-либо связи с ним. Оператор не уведомляется. Результат — отчёт, оценивающий сайт как «Не защищён», «Частично защищён» или «Защищён», который видит любой со ссылкой. Для субъектов данных мыслимы два последствия. Индивидуальный предприниматель публично — пусть только для получателей ссылки — получает оценку, которая может быть ошибочной. А спамеру отчёт показывает, какую форму можно заполнить беспрепятственно.

Этому противостоит ряд блокировок (cfg/check_lib.php): не более одной проверки домена за семь дней, затем тот же отчёт; лимиты по IP-адресу и сеансу; дневной предел всего сервиса; отсутствие проверок очень новых доменов, типичных для злоупотреблений; заметка и сигнал о подозрительном поведении; robots.txt и исключение из проверок, проверяемые дважды (cfg/check_lib.php и в проверяющем сервисе). Бесплатный отчёт — выдержка: он показывает только основные находки, а не доказательства всех детекторов. И он не сообщает ничего, чего бот не смог бы узнать сам за секунды, — незащищённая форма видна снаружи.

Вероятность – возможная. Тяжесть – значительная для индивидуального предпринимателя, форма которого становится целью после отчёта или чья оценка неверна. Уровень – средний.

R6 – Проверка потенциальных клиентов как основа для нежелательных обращений

В интерфейсе проверка потенциальных клиентов описана как «способ начать первый разговор». Как агентство использует краткую находку, решает оно само; технически оно может отправить её и оператору, который об этом не просил. Мы ни с кем не связываемся (cfg/akquise_lib.php), а Условия использования обязывают агентство соблюдать правила рекламы и привлечения клиентов. Однако нежелательное письмо с находкой является прямым маркетингом даже между предприятиями, что в Польше (ст. 398 Закона об электронных коммуникациях (Prawo komunikacji elektronicznej, PKE)) и Германии (§ 7(2) немецкого Закона против недобросовестной конкуренции (Gesetz gegen den unlauteren Wettbewerb, UWG)) требует предварительного согласия. Интерфейс этого не указывает; тексты проверки потенциальных клиентов говорят лишь о «пассивности» и «списке исключений».

Вероятность – вероятная, поскольку функция служит привлечению клиентов, а проверить согласие получателя мы не можем. Тяжесть – ограниченная: для оператора это назойливое маркетинговое письмо с оценкой его сайта. Уровень – средний. Риск заключается в поведении агентства; поскольку функция предоставлена нами, в интерфейсе запланировано уведомление (раздел 9.3).

R7 – Подтверждение контроля никогда не обновляется

Активные тестовые отправки, поиск открытых файлов и сканирование после входа требуют, чтобы Клиент доказал право контролировать домен. Это подтверждение проверяется один раз (cfg/verify_lib.php) и больше никогда. В коде нет пути, по которому домен теряет подтверждение. Если домен меняет владельца, агентство завершает поручение или оператор удаляет DNS-запись, проверки продолжаются — вплоть до ежедневных, с числом тестовых отправок до пяти и, если сохранён, с входом тестового аккаунта, о котором новый оператор может не знать. Напротив, перенести подтверждение на другой хост переименованием невозможно: имя хоста домена с подтверждением контроля изменить нельзя.

Вероятность – возможная: смена домена и завершение поручений — повседневные события для агентств. Тяжесть – значительная для нового оператора и его сотрудников, получающих обозначенные тестовые сообщения и на чьём сайте без согласия ищут открытые файлы. Уровень – средний. Тестовые сообщения объясняют себя и ссылаются на страницу краулера и исключение из проверок; исключение действует и против проверок Клиентами.

R8 – Учётные данные и содержимое при сканировании после входа

Шифрование учётных данных тщательно построено: веб-сервер после сохранения уже не может прочитать их, база данных и резервная копия содержат только шифротекст, запись привязана к своему домену, учётные данные поступают в контейнер только через стандартный ввод и затем очищаются из памяти (раздел 6.5). Остаются два пробела; третий пункт касается только чтения, а не хранения.

• Незашифрованный вход разрешён. Проверка адреса допускает http наряду с https (cfg/login_lib.php, scanner/src/login.js). Если Клиент указывает страницу входа с http, имя пользователя и пароль при каждой проверке передаются через интернет открытым текстом.
• Ошибки сертификата не останавливают вход. Сейчас вход не прерывается при недействительном сертификате сайта Клиента (scanner/src/login.js). Поэтому сертификат не обеспечивает полную защиту учётных данных при передаче на сайт Клиента. Прерывание при ошибках сертификата запланировано (раздел 9.3, приоритет «в первую очередь»).
• Значения скрытых полей после входа читаются, но не сохраняются. Краулер читает первые 24 символа значения скрытых полей (scanner/src/crawl.js), и та же функция извлечения выполняется после входа (scanner/src/login.js). Там скрытые поля часто содержат номер аккаунта, идентификатор пользователя или адрес электронной почты вошедшего аккаунта; однако в карту полей и находки попадают только имя, тип, подпись поля и результат обнаружения.

К этому добавляется то, чего код предотвратить не может: Клиент подтверждает использование тестового аккаунта с минимально возможными правами (cfg/login_lib.php), но может ввести реальный аккаунт администратора. Страницы, которые затем читает сканер, определяет Клиент; адреса со словами выхода и удаления блокируются, но другие действия, запускаемые сайтом простым запросом, — нет.

Вероятность – возможная. Тяжесть – серьёзная, если затронут аккаунт с широкими правами; тогда открывается зона участников с данными всех пользователей. Уровень – средний для тестового аккаунта с небольшими правами, высокий для реального аккаунта. По измерению на системе разработки тестовых аккаунтов не сохранено.

R9 – Активные тестовые отправки и проверка файлов на сайте Клиента

Тестовая отправка поступает людям, читающим письма формы Клиента, — его сотрудникам или поставщику услуг. Она не содержит персональных данных: отправитель — dummy@formexposed.com, текст и тема обозначены и указывают идентификатор проверки (scanner/src/active.js). Риск заключается в неверной классификации: если сканер примет форму заявления, бронирования или консультации за контактную, тестовое сообщение попадёт в процесс с последствиями. Этому противостоят строгие правила допуска к отправке (scanner/src/classify.js), блокировка доменов органов власти, образовательных учреждений, клиник, врачебных практик, полиции и судов (scanner/src/classify.js) и исключение языковой модели из этого решения (scanner/src/classify.js). Из ответа сохраняются состояние, целевой адрес, заголовок, 300 символов текста и изображение; они относятся к нашему тестовому сообщению.

Проверка файлов читает не более 8 КБ по типичным путям. Если там действительно открыт дамп базы данных, эти 8 КБ могут содержать записи форм посетителей. Они только проверяются на сигнатуру и отбрасываются (cfg/dateien_lib.php); сохраняются путь, тип и серьёзность.

Вероятность – маловероятная. Тяжесть – значительная. Уровень – низкий. По измерению на системе разработки в наборе данных одна активная проверка, без принятой отправки.

R10 – Классификация языковой моделью

Для форм, не распознаваемых правилами, языковая модель получает заголовок страницы, адрес, тексты кнопок, описания полей и до 400 символов текста формы (scanner/src/classify.js). Это может включать имя, например «Ваше контактное лицо: …». Модель работает на нашем сервере; согласно коду ничего не передаётся третьим лицам. Регистрирует ли программное обеспечение модели запросы, не проверено. Её результат определяет только показываемый тип формы и не может разрешить её отправку; неверная классификация приводит к худшей находке, а не к действию.

Вероятность – маловероятная. Тяжесть – ограниченная. Уровень – низкий.

R10 – Дополнительный этап составления плана действий

Для подходящих платных отчётов та же локальная модель также генерирует рекомендательные шаги на основе выбранных находок и метаданных сканирования. В отличие от классификации, результат представляет собой сводку на естественном языке, сохраняемую вместе со сканированием. Имена хостов, адреса страниц и заметки могут содержать персональные данные, которые модель может повторить. Неверная рекомендация может побудить читателя ослабить защиту или внести ненужное изменение; передача ссылки на отчёт может раскрыть повторённые персональные данные другому получателю. Код не выполняет рекомендацию автоматически, не меняет оценку или вердикт и не проверяет фактическую правильность текста. Он ограничивает длину входных и выходных данных, помечает сводку как созданную ИИ и указывает, что определяющее значение имеют отдельные находки. Это меры контроля, а не доказательство правильности рекомендаций или анонимности отчёта. Прежняя оценка вероятности и тяжести для классификации сама по себе не оценивает этот дополнительный этап генерации; его остаточный риск необходимо оценивать с учётом фактических данных и использования самой проверки.

R11 – Общий список блокировки на основе сообщений многих сайтов

Домен в списке приводит к тому, что сообщения со ссылками на него попадают в карантин на всех подключённых сайтах. Если домен принадлежит человеку — мастеру, фотографу, автору блога, — его сообщения со ссылкой на собственный сайт доходят до получателей с задержкой. Такой домен может попасть в список из-за использования спамерами или намеренной отправки кем-либо не проходящих проверку сообщений с ним на несколько сайтов.

Этому противостоят (cfg/swarm_lib.php): минимум три разных сайта и пять совпадений за семь дней; фиксированные исключения для крупных сервисов; никогда домены наших Клиентов; ручное удаление инструментом на сервере; карантин вместо удаления; список перестраивается ежедневно, и то, о чём больше не сообщают, выпадает из него. Затронутые лица не видят список и не имеют собственного пути потребовать удаления иначе, чем через нас.

Вероятность – возможная. Тяжесть – ограниченная, поскольку ничего не теряется и получатель может выпустить сообщение. Уровень – от низкого до среднего. При включённых IP-сетях затрагивались бы сети целых провайдеров, IP-адреса являются персональными данными, а тяжесть выросла бы до значительной: высокий.

R12 – Отчёты и снимки экрана по публичной ссылке

Отчёты бесплатной проверки, проверки потенциальных клиентов и проверок доменов Клиента доступны без входа по случайной ссылке. Ссылка содержит 128 бит случайности и не поддаётся угадыванию (cfg/check_lib.php). Страницы содержат noindex, приложение отправляет политику referrer, передающую только источник (www/.htaccess), а снимки экрана выдаются только вместе с соответствующим отчётом; чужой номер изображения возвращает «не найдено» (www/shot.php). Риск не криптографический, а человеческий: ссылку передают, копируют в тикет, делятся в чате. Открывший её фиксируется лишь в журнале доступа к страницам, как при любом просмотре (60 дней), причём сама ссылка там только в замаскированной форме; списка читателей каждого отчёта нет.

Вероятность – возможная. Тяжесть – ограниченная, поскольку отчёт показывает лишь публичную информацию и истекает через 30 или 90 дней соответственно; отчёты доменов Клиента доступны, пока существует проверка (13 месяцев, последняя дольше). Уровень – низкий.

R13 – Слабые места инфраструктуры

Следующие пункты указаны открытыми в нашем внутреннем пакете проверки и здесь не приукрашиваются. Мы описываем их настолько точно, насколько Клиентам нужно для собственной оценки, но не настолько, чтобы описание указывало путь атакующему; по запросу мы предоставим подробности надзорному органу.

• Резервные копии базы данных сейчас находятся в том же месте, что и база данных, и отдельно не шифруются; зашифрованная копия во втором местоположении запланирована (cfg/backup_lib.php). До этого они не защищают от утраты местоположения, а получивший базу данных получает также резервные копии. Учётные данные сканирования после входа содержатся в них только в виде шифротекста.
• Нет шифрования базы данных при хранении. Исключения — отдельно шифруемые поля (учётные данные тестовых аккаунтов, секрет второго фактора).
• Соединения в нашей внутренней сети зашифрованы не полностью.
• Администрирование серверов. Безопасность административного доступа к нашим серверам пока не соответствует стандарту, к которому мы стремимся для эксплуатации; укрепление администрирования серверов продолжается.
• Среда проверки. Сервер сканирования открывает сторонние сайты в браузере. Контейнеры проверок изолированы — собственная сеть, без особых привилегий, только чтение, ограничения (scanner/src/worker.js). Разделение среды проверки и других частей сервиса дополнительно усиливается (раздел 9.3).

Вероятность – возможная. Тяжесть – серьёзная, поскольку в чрезвычайном случае всё было бы затронуто сразу. Уровень – высокий. Отдельные пункты можно устранить обычными средствами (раздел 9.3).

R14 – Права субъектов данных для людей, которые нас не знают

Тот, кто случайно попал на снимок экрана или чьё сообщение прошло через контрольную копию, обычно не знает о нашем существовании. Даже если знает, у него нет ключа к «своим» данным: мы храним их не по человеку, а по домену и проверке. Мы можем ответить на запрос доступа по ст. 15 только если человек назовёт домен; тогда мы сможем просмотреть существующие проверки и изображения. По реальным сообщениям посетителей раскрывать нечего, поскольку мы их не храним, — кроме домена отправителя из R1. Исключение из проверок работает только для операторов домена, не для изображённых людей; для них остаётся обращение на contact@lukaswojcik.com.

Вероятность – вероятная как структурная ситуация. Тяжесть – ограниченная, поскольку данные кратковременны и не организованы по человеку. Уровень – низкий.

9. (d) Меры по устранению рисков

У каждой меры есть статус, и статусы не декоративны. Реализовано сегодня – проверено означает: прочитано в коде системы разработки и, где возможно, измерено по базе данных. Частично означает: механизм существует, но ещё не полностью достигает цели. Запланировано означает: предложено этой оценкой и не построено; будет ли и когда — решает владелец. Ещё предстоит определить — процедуры и решения, которые не заменит никакой код. Оценка воздействия на защиту данных, представляющая запланированные меры как реализованные, теряет ценность именно тогда, когда нужна.

9.1 Реализовано сегодня – проверено

Мера	Затрагивает	Ссылка на источник
Краулер читает robots.txt перед каждой проверкой; исключение главной страницы, недоступный robots.txt или ошибка сервера прекращают проверку (подпути отдельно не учитываются; пульс, получение подтверждения, инструмент заголовков и поиск файлов его не читают)	R5, правомерность	scanner/src/net.js
Исключение без подтверждения, действует немедленно для домена и его варианта с www, для анонимных проверок, потенциальных клиентов, исследований и проверок Клиентов (текущий мониторинг заканчивается при следующей плановой проверке); двойная проверка (приложение и проверяющий сервис); снимается только нами по запросу с подтверждением	R5, R7, ст. 21	cfg/check_lib.php; cfg/akquise_lib.php; cfg/studie_lib.php; scanner/src/worker.js
Бесплатная проверка: аварийная остановка, reCAPTCHA, одна проверка домена в неделю, лимиты по IP-адресу и сеансу, дневной предел, без новых доменов, только публичные адреса, заметка и сигнал без содержимого при аномалиях	R5	cfg/check_lib.php
Для лимитов сеанс сохраняется только в виде хеша, никогда не сам идентификатор сеанса	Минимизация	cfg/check_lib.php
Без значений полей (начала скрытых полей и атрибутов данных читаются только во время проверки, раздел 6.2); адреса получателей только как домен; идентификаторы аккаунтов в адресах скриптов скрыты	Минимизация	scanner/src/crawl.js
Бесплатный отчёт — выдержка: только основные находки, без доказательств всех детекторов	R5	cfg/check_lib.php, FE_FREE_DETEKTOREN
Отчёты по случайной ссылке в 128 бит, noindex, изображения только для своего отчёта, вне публичного веб-каталога; в журнале доступа к страницам ссылка только в замаскированном виде	R12	cfg/check_lib.php; www/report.php; www/shot.php
Удаление: анонимные отчёты через 30 дней, потенциальные клиенты через 90 дней, проверки Клиентов через 13 месяцев (последняя по каждому домену сохраняется, пока существует домен), данные удалённого домена немедленно (исключения см. в разделе 6.11), изображения каждый раз вместе с ними	Ограничение хранения	cfg/check_lib.php; cfg/fristen_lib.php
Исследование: публикация только общих показателей, сегменты только от 20 сайтов с формой, исходные данные удаляются при публикации	R4 частично, P3	cfg/studie_lib.php
Контейнеры проверок: собственная изолированная сеть, без особых привилегий, только чтение, лимиты памяти и процессов, ограничение времени; фильтр частных целей для каждого запроса, service workers блокируются, соединения WebSocket закрываются, чтобы ничто не обходило фильтр; запросы веб-сервера только на веб-порты и точно на предварительно проверенный публичный адрес	R13	scanner/src/worker.js; scanner/src/net.js
Активная проверка для Клиентов только на подтверждённом домене (внутренне также на собственных тестовых и демонстрационных доменах) и при включённом аварийном переключателе, двойная проверка; не более пяти отправок; только однозначно распознанные контактные формы без обязательных персональных данных; без доменов органов власти, образовательных учреждений, клиник, врачебных практик, полиции и судов; языковая модель ничего не может допускать к отправке; тестовое сообщение без персональных данных, обозначенное, со ссылкой на страницу краулера и исключение	R9	scanner/src/worker.js; scanner/src/classify.js; scanner/src/active.js
Браузерные сценарии: только GET и HEAD, опасные адреса блокируются, вымышленные значения не покидают браузер, изображения с затемнёнными полями ввода	R3 (для этих изображений), R9	scanner/src/browser.js
Проверка файлов: только подтверждённые домены, одно получение на путь, не более 8 КБ, содержимое никогда не сохраняется	R9	cfg/dateien_lib.php
Вторая точка проверки: по умолчанию выключена; получала бы только фиксированный список безопасных элементов, с подписью	Получатели	cfg/formular_probe_lib.php
Сканирование после входа: только подтверждённый домен, платный тариф, владелец или администратор, подтверждение «тестовый аккаунт»; шифрование открытым ключом сервера сканирования с привязкой к домену; учётные данные никогда не показываются, не регистрируются и не выводятся через API; передача только через стандартный ввод; поле в задании очищается немедленно, остатки через час; без снимков экрана, отправок, адресов выхода или удаления, остановка на CAPTCHA; окончательное удаление с перезаписью	R8	cfg/login_lib.php; scanner/src/login.js; scanner/src/geheim.js; scanner/src/worker.js
Проверка доставки: по умолчанию выключена; получение читает только заголовки и 8 КБ без отметки о прочтении; содержимое и адрес посетителя никогда не попадают в базу данных; каждое полученное письмо удаляется, включая не поддающиеся привязке; привязки удаляются через 180 дней; доказательство только через копию именно этого теста	R1, R2	cfg/zustellung_lib.php
Коллективная защита: только домены, IP-сети выключены; минимальные количества; исключения для крупных сервисов и доменов Клиентов; карантин вместо удаления; список перестраивается ежедневно; сообщения удаляются через 30 дней	R11	cfg/swarm_lib.php
Языковая модель на собственном сервере без права отправки	R10	scanner/src/classify.js
План действий: локальная генерация на основе выбранных находок, без снимков экрана или введённых значений полей в промпте; ограничение числа находок и длины заметок; очищенный обычный текст с ограниченной длиной; видимое уведомление об ИИ, определяющее значение отдельных находок; без автоматических изменений сайта или решений об оценке/вердикте	R10 частично; неверные советы и случайно попавшие персональные данные остаются возможными	cfg/plan_lib.php; www/report.php
Сигналы через Telegram содержат только фиксированное предложение без переменных	Получатели	cfg/check_lib.php
Еженедельный тест восстановления резервной копии с оповещением при неудаче	Доступность	cfg/backup_lib.php; srv/cron_status.php

9.2 Частично – имеется, но ещё не достигает цели

Мера	Почему ещё не полностью эффективна
«Очищенные» снимки экрана	Затемняются только изображения браузерных сценариев. Изображения краулера — главная страница и элементы форм — и изображение страницы ответа активной проверки не затемняются (R3).
Сроки для данных проверок	Действуют для анонимных проверок, проверок потенциальных клиентов и Клиентов; не для внутренних проверок и неопубликованных исследований; неразрешённые заметки об аномалиях без ограничения срока (R4).
Удаление контрольных копий	Действует в нашем представлении ящика. При прерывании запуска письма остаются; что поставщик ящика хранит в собственных резервных копиях, не проверено (R2).
Защита учётных данных при сканировании после входа	Надёжная при хранении и в проверяющем сервисе; не при передаче на сайт: http разрешён, ошибки сертификата игнорируются (R8).
Подтверждение контроля	Проверяется один раз и затем действует вечно; однако имя хоста домена с подтверждением контроля изменить нельзя, поэтому подтверждение не переходит на другой хост (R7).
Информирование субъектов данных	Для операторов имеется через страницу краулера, идентификатор, Политику конфиденциальности и исключение из проверок; для посетителей при проверке доставки зависит от принятия Клиентом текстового блока; приложение это не проверяет.
Просьба к Клиентам не включать особые категории данных в контрольную копию	Указана в правовых документах, но технически не поддерживается: при настройке приложение не спрашивает тип сайта и не предупреждает о доменах, похожих на здравоохранение, право или образование (R1).

9.3 Запланировано – не реализовано

Мера	Затрагивает	Приоритет
Путь удаления внутренних проверок: удалять проверки без домена и отчёта через фиксированный срок (предложение: 30 дней); удалять исходные данные исследования не позднее фиксированного срока после завершения, даже без публикации (предложение: 90 дней); однократно удалить существующие 85 проверок с 369 изображениями	R4	В первую очередь
Включать проверку доставки только после заключения договора с поставщиком ящика, документирования мест хранения, субобработчиков и сроков резервных копий, выяснения механизма передачи поставщику ящика и настройки MX-записей нашего домена непосредственно на ящик; до этого держать функцию заблокированной в производственной системе	R2	В первую очередь
Проверить безопасность получения почты на производственной системе и задокументировать до включения проверки доставки	R2	В первую очередь
Сканирование после входа только через https и с действительным сертификатом; отклонять адреса http; ошибки сертификата при входе считать причиной остановки	R8	В первую очередь
Не сохранять значения скрытых полей после входа (только имя, тип и длину) – уже реализовано таким образом, дополнительных шагов нет	R8	Готово
Ограничить контрольную копию тестовыми сообщениями при использовании плагина или расширения: скрытая копия только для отправок с нашим тестовым идентификатором	R1	Высокий
Не сохранять домен отправителя реальных сообщений и не записывать его в оповещения, если он не является ни доменом сайта, ни доменом известного сервиса отправки; в оповещении вместо него «чужой домен отправителя»	R1	Высокий
Предупреждение при настройке проверки доставки для доменов, похожих на здравоохранение, право, социальные услуги или образование, со ссылкой на собственную оценку воздействия на защиту данных Клиента	R1	Высокий
Регулярно обновлять подтверждение контроля (предложение: перед каждой активной проверкой проверять наличие DNS-записи, метатега, файла или подключения плагина; иначе продолжать пассивно и уведомлять Клиента)	R7	Высокий
Перестать фотографировать главную страницу или делать это только с затемнёнными изображениями и лицами; ограничить изображения форм элементом формы (как сейчас) и маскировать поля ввода как в браузерных сценариях	R3	Высокий
Уведомление в интерфейсе проверки потенциальных клиентов: отправка краткой находки без запроса по электронной почте или телефону является прямым маркетингом даже между предприятиями и требует предварительного согласия (ст. 398 польского Закона об электронных коммуникациях; в Германии § 7(2) UWG, хотя для звонков предприятиям достаточно предполагаемого согласия)	R6	Высокий
Инфраструктура: завершить укрепление администрирования серверов; зашифрованная резервная копия во втором местоположении; полностью зашифровать соединения внутренней сети; дополнительно усилить разделение сервера сканирования и приложения	R13	Высокий
Срок для неразрешённых заметок об аномалиях (предложение: разрешение в течение 30 дней, иначе удаление IP-адреса)	R4	Средний
Страница или форма для запроса удаления домена из коллективной защиты	R11, R14	Средний
До включения IP-сетей в коллективной защите: новая версия этой оценки	R11	Условие
Зафиксировать, сохраняет ли программное обеспечение языковой модели запросы, и при положительном ответе отключить эти журналы	R10	Низкий

9.4 Процедуры и решения, которые ещё предстоит определить

Помимо технических мер защиты, ст. 35(7)(d) также требует процедур. Они пока отсутствуют:

• Нарушение безопасности персональных данных. Обнаружение: владелец, оповещение приложения об ошибках, сообщения через пункт приёма сообщений об уязвимостях или contact@lukaswojcik.com. Решение об уведомлении UODO в течение 72 часов (ст. 33(1)): владелец. Информирование затронутых Клиентов как контролёров: без неоправданной задержки, по возможности в течение 48 часов, как обещано в Соглашении об обработке данных. Предстоит определить: письменное описание процедуры и первое учение; для проверки доставки дополнительно — как установить, какие Клиенты затронуты нарушением у поставщика почтового ящика.
• Отрасли. Предстоит определить: предлагается ли проверка доставки сайтам здравоохранения, права, социальных услуг и образования без ограничений, с предупреждением или исключается.
• Внутренние проверки. Предстоит определить: для чего поставщик использует внутренние проверки из командной строки, кто может их создавать и как долго остаются результаты; а также нужно ли помимо Реестра операций по обработке называть их в Политике конфиденциальности.
• Исследования. Предстоит определить: кто составляет списки, из каких источников, с каким максимальным размером, и проверка перед каждым исследованием его соответствия предпосылкам этой оценки.
• Мнения субъектов данных (ст. 35(9)). Для этой версии они не запрашивались. Ст. 35(9) требует запрашивать их только «когда это уместно»; по нашей оценке, сейчас здесь это не так. У операторов проверяемых сайтов и посетителей сайтов Клиентов нет собственного канала к нам; целевое обращение к ним само было бы новой обработкой их данных, а сервис ещё не запущен, поэтому группы фактических субъектов данных пока нет. Их интересы учитываются косвенно: через robots.txt и исключение из проверок, короткие сроки и отсутствие хранения содержимого контрольных копий. При каждом пересмотре по разделу 12 мы заново оцениваем уместность запроса их мнения, например через обратную связь на странице краулера или от Клиентов проверки доставки.

10. Остаточный риск и предварительная консультация по ст. 36

Ст. 36(1) требует предварительной консультации с надзорным органом, если оценка воздействия на защиту данных указывает, что обработка привела бы к высокому риску без мер, принятых контролёром для его снижения. Поэтому вопрос не в том, выявлены ли высокие риски — их четыре, — а в том, остаётся ли высокий риск после внедрения мер.

Для операций обработки, контролёром которых является formexposed (P1–P4, P7), высокие риски R4 и R13 можно устранить обычными средствами: путём удаления и очисткой существующих данных, зашифрованной резервной копией вне основного местоположения и укреплением двух серверов. С мерами из 9.3 они снижаются до низкого–среднего. R3, R5, R6 и R7 находятся на среднем уровне и с предлагаемыми мерами снижаются до низкого. Коллективная защита без IP-сетей остаётся на низком–среднем уровне. Оснований для предварительной консультации по этой части нет, если меры с отметками «в первую очередь» и «высокий» реализованы до запуска. Если какая-либо из этих мер не реализована до запуска, для соответствующей операции обработки сохраняется высокий риск. Тогда эта операция будет начата только после реализации меры либо сначала будет проведена консультация с UODO по ст. 36(1).

Для проверки доставки (P6) ситуация иная по причине, которую ни одна мера полностью не устраняет: что пишет посетитель, решает он сам. При заключённом договоре, защищённом получении, ограничении тестовыми сообщениями там, где возможно, и отказе от домена отправителя R2 снижается до низкого, а R1 — до среднего. Однако для Клиентов, посетители которых обычно сообщают данные по ст. 9, R1 может оставаться высоким. Тогда обязанность консультации лежит на Клиенте как контролёре, а не на formexposed. Таким Клиентам мы рекомендуем не настраивать контрольную копию для общей контактной формы, а только для форм без чувствительного содержимого либо отказаться от проверки доставки.

Остаточный риск, указанный честно. Сегодня, с мерами из 9.1, четыре риска высокие: R1 и R2 (проверка доставки), R4 (данные проверок без пути удаления) и R13 (инфраструктура). С мерами из 9.3 R2, R4 и R13 снижаются до низкого–среднего. R1 остаётся средним и постоянно зависит от решений Клиентов. Ни один другой риск после мер не превышает среднего.

Ст. 36 — не наказание, а консультация — не признание. Это предусмотренный Регламентом путь для ситуации, когда полезная процедура несёт риск, не полностью контролируемый контролёром. Клиент, желающий использовать проверку доставки для сообщений с данными о здоровье, найдёт здесь факты для такого решения.

11. Что Клиентам нужно для собственной оценки воздействия на защиту данных (ст. 28(3)(f))

Для проверки доставки и сканирования после входа контролёром является Клиент. Эта страница предоставляет ему описание (разделы 6.5 и 6.6), риски с нашей точки зрения (R1, R2, R8) и состояние мер (раздел 9). Только Клиент может ответить на следующие вопросы:

1. Что пишут мои посетители? Следует ли ожидать поступления через форму данных о здоровье, религии, происхождении, членстве в профсоюзе, сексуальной ориентации, уголовных правонарушениях или детях? Тогда оценка воздействия на защиту данных для контрольной копии, как правило, необходима, и контрольную копию этой формы следует пересмотреть.
2. Нужна ли мне контрольная копия всех сообщений? Для доказательства получения нашего тестового сообщения достаточно копии этого сообщения. Если форма позволяет, настройте скрытую копию только для тестовых сообщений.
3. Как информировать посетителей? Соглашение об обработке данных требует этого; документ Текст политики конфиденциальности для Вашего сайта описывает путь копии и нашу роль.
4. Какое у меня правовое основание? Предлагаемый нами текст называет ст. 6(1)(f) (надёжное получение обращений). Для данных по ст. 9 одного этого основания недостаточно.
5. Какие каналы оповещений я выбираю? Оповещения проверки подлинности могут называть домен отправителя. Отправляющий оповещения в чат-сервисы вне ЕС передаёт его туда.
6. Для сканирования после входа: действительно ли тестовый аккаунт является тестовым с минимально необходимыми правами? Доступна ли страница входа только через https? Видит ли тестовый аккаунт данные других пользователей? Если да, на каких из указанных страниц?
7. Когда удалять? Проверку доставки и тестовый аккаунт можно в любое время выключить и удалить; тестовый аккаунт затем безвозвратно перезаписывается.

Другие документы для оценки Клиента: Соглашение об обработке данных, Технические и организационные меры, список Субобработчики и Реестр операций по обработке. На вопросы об отдельных фактах мы отвечаем по адресу contact@lukaswojcik.com.

12. Пересмотр, версия и утверждение

Ст. 35(11) требует пересмотра для оценки соответствия обработки оценке воздействия на защиту данных как минимум при изменении риска. Мы пересматриваем эту оценку не реже раза в год и перед каждым из следующих событий; каждое запускает новое измерение, а не просто чтение:

• запуск производственной эксплуатации с показателями производственной системы вместо системы разработки;
• первое включение проверки доставки на производственной системе и заключение договора с поставщиком ящика;
• включение IP-сетей в коллективной защите;
• первое исследование и каждое исследование со списком больше предыдущего;
• включение второй точки проверки или нового получателя на пути проверки;
• любое новое использование языковой модели за пределами применений, охваченных этой оценкой; план действий в порядке приоритетов в платных отчётах является добавленным применением и требует пересмотра оценки;
• любое изменение снимков экрана, сроков или предпосылок активных проверок.

Пункт	Запись
Контролёр	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Польша · NIP 7252266190 · contact@lukaswojcik.com
Компетентный надзорный орган	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Польша
Ответственный за защиту данных	Не назначен; оценка по ст. 37 в разделе 4
Основа фактов	Исходный код приложения и проверяющего сервиса, схема базы данных, число строк и настройки системы разработки, измерено 11 октября 2026 года, только чтение
Связанные документы	Политика конфиденциальности, Соглашение об обработке данных, Технические и организационные меры, Субобработчики, Реестр операций по обработке, Закон ЕС об ИИ, Допустимое использование и злоупотребления, FormExposedBot, Исключение домена
Версия	1.1 от 23 октября 2026 года; фактическое дополнение об этапе локального составления плана действий к первой версии от 11 октября 2026 года
Пересмотры по ст. 35(11)	23 октября 2026 года: проверка исходного кода добавленного этапа локального составления плана действий. В соответствующие разделы добавлены входные данные, хранение, роли, рекомендательный результат и реализованные меры защиты; завершённые измерения на производственной системе или новая оценка остаточного риска не заявляются. Прежние измерения от 11 октября 2026 года и приведённый ниже статус утверждения остаются неизменными. Дальнейшие пересмотры заносятся сюда с датой, причиной и результатом.
Утверждение	Пока не утверждено. Утверждение владельцем после юридической проверки и решения по мерам раздела 9.3 и вопросам раздела 9.4. Внешние консультации по защите данных пока не запрашивались.

Одно заключительное наблюдение должно находиться в документе, а не в сопроводительном письме. Части formexposed, глубже всего проникающие в чужие домены, — тестовые отправки и вход с чужими учётными данными — построены с наибольшей осторожностью: два барьера, жёсткие пределы, шифрование, закрывающее доступ даже нам. Риски этой оценки находятся преимущественно в другом: в сопутствующем — реальных сообщениях в скрытой копии, людях на снимке экрана, проверках, которые больше никто не удаляет. Это благоприятная исходная позиция, поскольку сопутствующее можно остановить без изменения сервиса.