Technické a organizačné opatrenia

Tento dokument je zverejnený vo viacerých jazykoch. V prípade akéhokoľvek rozporu medzi jazykovými verziami je záväzná poľská verzia.

Verzia 1.1 · Posledná aktualizácia: 22. októbra 2026

Opatrenia podľa čl. 32 GDPR, ktorými LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poľsko, chráni službu formexposed. Táto stránka je súčasťou Zmluvy o spracúvaní osobných údajov ako príloha 2.

1. Rozsah a zásada

Opatrenia sa vzťahujú na všetky údaje, ktoré služba spracúva: na údaje, ktoré spracúvame v mene našich zákazníkov (opísané v Zmluve o spracúvaní osobných údajov), aj na údaje, pre ktoré sme prevádzkovateľom sami, napríklad zákaznícke účty a logy. Pre tieto dve skupiny neexistujú odlišné úrovne ochrany; čo chráni účet, chráni aj údaje spracúvané ako sprostredkovateľ.

Štruktúra podľa čl. 32 ods. 1 GDPR. Pseudonymizácia a šifrovanie (písm. a)) sú pokryté v oddiele 4; trvalá dôvernosť, integrita, dostupnosť a odolnosť systémov (písm. b)) v oddieloch 3, 5, 6 a 7; schopnosť včas obnoviť dostupnosť po incidente (písm. c)) v oddiele 7.1; proces pravidelného testovania, posudzovania a hodnotenia účinnosti (písm. d)) v oddiele 9. Opatrenia sme vybrali na základe rizík opísaných v našom Posúdení vplyvu na ochranu údajov so zreteľom na najnovšie poznatky a náklady na vykonanie.

Zásada: namerané, nie zamýšľané. Uvádza sa tu len to, čo bolo skutočne zavedené v kóde alebo v prevádzke. Čo je plánované, ale ešte nezavedené, je výslovne uvedené ako „plánované“ v oddiele 10. Opatrenie, ktoré tu chýba, nie je mlčky zavedené.

Názvy strojov, interné adresy, porty, používateľské mená a verzie softvéru zámerne neuvádzame. Nikomu nepomôžu posúdiť opatrenia, pomôžu však tomu, kto ich chce obísť. Kto ich potrebuje na audit podľa Zmluvy o spracúvaní osobných údajov, dostane ich v rámci tohto auditu pod podmienkou mlčanlivosti, v rozsahu potrebnom na audit.

2. Štruktúra služby

Služba beží na dvoch vlastných serveroch poskytovateľa v Poľsku, ktoré sa nachádzajú v tej istej internej sieti:

Webový server s databázou. Poskytuje aplikáciu, uchováva databázu, odosiela oznámenia a zálohuje údaje. Len on je nastavený na prijímanie požiadaviek z internetu.
Skenovací server. Vykonáva kontroly webových stránok tretích strán a vlastných webových stránok v prehliadači a prevádzkuje jazykový model, ktorý klasifikuje jednotlivé formuláre a pridáva kód vo „Fix it for me“. Nie je nastavený na prijímanie požiadaviek z internetu, ale svoje úlohy si sám načítava z webového servera a vracia tam výsledky.

Do prevádzky nie je zapojený žiadny poskytovateľ hostingu, dátového centra ani cloudu a nič nejde externej službe AI. Ktoré tretie strany dostávajú údaje, je uvedené na stránke Ďalší sprostredkovatelia.

3. Dôvernosť

3.1 Kontrola fyzického prístupu

Servery sa nachádzajú v priestoroch poskytovateľa v Poľsku, ktoré nie sú verejne prístupné. Prístup má len vlastník (podľa vyhlásenia prevádzkovateľa). Presnú adresu umiestnenia tu zámerne neuvádzame.

3.2 Kontrola prístupu: prihlásenie do služby

Heslá sa ukladajú len ako hash pomocou štandardnej metódy PHP (bcrypt). Ak sa štandardná metóda zmení, hash sa pri ďalšom prihlásení obnoví. Pri pokuse o prihlásenie s neznámou adresou server hash aj tak vypočíta, aby čas odpovede neprezradil, či účet existuje. Rovnako ani odpoveď na žiadosť o obnovenie hesla neprezradí znením ani trvaním, či účet existuje; e-maily na obnovenie sa na tú istú adresu posielajú najviac trikrát za hodinu. Nové heslá musia mať aspoň desať znakov a nesmú presiahnuť 72 bajtov (UTF-8), pretože bcrypt viac bajtov nezohľadňuje. Zmena hesla odhlási všetky ostatné zariadenia; obnovenie cez odkaz odhlási všetky zariadenia a odkaz platí len raz.
Zablokovanie po neúspešných pokusoch. Neúspešné prihlásenia sa počítajú podľa IP adresy; po príliš mnohých v krátkom čase (v súčasnosti osem za 15 minút) sa prihlásenie z tejto adresy dočasne zablokuje. Úspešné prihlásenie toto počítadlo vynuluje. Pokusy sa vymažú po siedmich dňoch. Okrem toho sa pred každou kontrolou hesla započíta jeden pokus na účet (pri neznámej adrese na zadanú adresu) a na IP adresu, vrátane úspešných pokusov: v súčasnosti najviac osem na účet z tej istej IP adresy a 80 na IP adresu za 15 minút; na účet zo všetkých adries spolu platí výrazne vyšší limit, proti distribuovanému hádaniu. Neúspešné pokusy z inej adresy preto už vlastníka z účtu nezablokujú. Tieto počítadlá obsahujú len kľúč HMAC, žiadnu e-mailovú ani IP adresu v čitateľnej podobe, a uplynú so svojím časovým oknom. Ak úložisko počítadiel nie je dostupné, prihlásenie sa odmietne, nie prepustí. Rovnaký druh limitu platí pre potvrdenie hesla pred zmenou hesla alebo adresy, zapnutím alebo vypnutím druhého faktora, prevodom pracovného priestoru, exportom údajov a vymazaním účtu (päť pokusov na účet za 15 minút), pre registrácie (desať na IP adresu za hodinu) a pre heslá klientskych portálov (desať pokusov na portál a IP adresu, 50 na portál za 15 minút).
Druhý faktor. Každý účet môže zapnúť prihlásenie s jednorazovým kódom podľa RFC 6238 (TOTP). Tajomstvo na to sa ukladá v databáze zašifrované; kľúč sa v databáze neukladá, takže samotný výpis z databázy nestačí. Prijatý kód neplatí druhýkrát. Desať obnovovacích kódov sa ukladá len ako hash. Jednorazové a obnovovacie kódy sú obmedzené na desať pokusov na účet za 15 minút, a to aj počas nastavenia.
Administrácia len s druhým faktorom. Administrácia prevádzkovateľa sa otvorí len účtom so zapnutým druhým faktorom. Kontrolný zoznam nastavenia hlási každý administrátorský účet bez druhého faktora.
Relácie. Cookie relácie nemôžu čítať skripty (HttpOnly), posiela sa len cez HTTPS (Secure) a neposiela sa s požiadavkami zo stránok tretích strán, ktoré by mohli niečo zmeniť (SameSite=Lax). Pri prihlásení sa vytvorí nové ID relácie, takže vopred podstrčené ID už neplatí; server neprijme ID relácie, ktoré sám nevydal. Každý účet vidí svoje prihlásené zariadenia a môže ich jednotlivo odhlásiť.
„Zostať prihlásený“ je nepovinné a platí 30 dní, nie však pre účty s administrátorskými právami; tie sa vždy prihlasujú heslom a druhým faktorom. Token sa skladá z dvoch častí; overovacia časť sa v databáze ukladá len ako hash. Každé použitie ho nahradí novým a aj pri súbežných požiadavkách platí každý token len raz, takže ukradnutý token sa odhalí najneskôr pri ďalšej skutočnej návšteve.
Odkazy v e-mailoch. Odkazy na potvrdenie adresy a obnovenie hesla sa v databáze ukladajú len ako hash. Odkaz na obnovenie platí jednu hodinu, odkaz na potvrdenie registrácie 72 hodín, odkaz na potvrdenie zmenenej adresy 24 hodín. Ak sa e-mailová adresa zmení, otvorený odkaz na obnovenie stratí platnosť.
Rozhrania. API kľúče, pripojovacie kódy rozšírení a kódy nasadenia sa ukladajú len ako hash. API kľúče možno za minútu použiť len obmedzený počet krát; pripojovacie kódy rozšírení platia 15 minút a len raz.
Ochrana pred botmi na verejných formulároch (registrácia, prihlásenie, heslo, kontrola, nástroj na hlavičky, opt-out, podpora a kontakt): Google reCAPTCHA, ktorá sa načíta až pri odoslaní. Prijme sa len platná odpoveď od Google s dostatočným skóre presne pre akciu formulára; ak Google neodpovie do troch sekúnd, odoslanie sa odmietne. Podrobnosti sú v Zásadách ochrany osobných údajov.

3.3 Kontrola prístupu: správa servera

Server dostupný z internetu povoľuje pomocou paketového filtra len služby, ktoré ponúka, a po opakovaných neúspešných prihláseniach do správy servera automaticky blokuje adresy.
Automatizované procesy medzi servermi používajú vlastné kľúče s úzko obmedzenými právami. Kľúč, ktorým webový server dodáva nové verzie skenera, môže na skenovacom serveri vykonávať len pevný zoznam príkazov a môže kopírovať len do adresára skenera, len na zápis; interaktívne prihlásenie s ním nie je možné a každý odmietnutý príkaz sa zaznamená. Rovnako skenovací server môže zapisovať snímky obrazovky len do konkrétneho adresára na webovom serveri.
Proces, ktorý obsluhuje webovú stránku, nemá ani prístup na zápis do produkčnej inštalácie, ani kľúč pre skenovací server. Nasadenie spustené v administrácii len zaradí úlohu, ktorú vykoná samostatný beh.
Tajomstvá, ako sú prístupové údaje k databáze a kľúče, sa uchovávajú v konfiguračných súboroch mimo obsluhovaného adresára a pri nasadení sa nekopírujú. Konfigurácia webového servera sa nešíri cez webové rozhranie.

3.4 Kontrola oprávnení: práva v rámci služby

Roly. Každý pracovný priestor má roly vlastník, správca a čitateľ. Zmeny, mazanie, pozývanie a ukladanie prihlasovacích údajov sú vyhradené vlastníkom a správcom; len vlastník môže meniť roly a odstraňovať členov. Pozvánka platí len dovtedy, kým osoba, ktorá ju poslala, je stále vlastníkom alebo správcom. Čitatelia vidia adresy webhookov a chatovacích kanálov len skrátené na hostiteľa, pretože samotná adresa umožňuje do kanála prispievať. Kontrola prebieha na serveri, nielen v rozhraní.
Viazanosť na pracovný priestor. Domény a nastavenia sú prístupné len členom pracovného priestoru. Pre každú kontrolu služba vytvorí správu pod náhodným odkazom, ktorý nemožno uhádnuť; výsledky a snímky obrazovky kontroly sú cez tento odkaz prístupné bez prihlásenia, snímky obrazovky len spolu s odkazom ich správy. Odkaz sa zobrazuje v účte a v upozorneniach; kto ho posunie ďalej, posúva ďalej správu.
Požiadavky meniace stav vyžadujú bezpečnostný token na reláciu (ochrana CSRF), ktorý sa porovnáva v konštantnom čase.
„Zobraziť ako zákazník“. Na účely podpory môže prevádzkovateľ vidieť aplikáciu tak, ako ju vidí zákazník. Zobrazenie skončí po jednej hodine, blokuje zmeny hesla, adresy, druhého faktora, zariadení, predplatného, exportu a vymazania, medzitým zatvorí administráciu a zaznamenáva sa. Jeho ukončenie prevádzkovateľa úplne odhlási; do administrácie sa môže vrátiť len opätovným prihlásením heslom a druhým faktorom. Zákazník to vidí vo svojom exporte údajov.
Administrácia. Administrátorské práva má len niekoľko výslovne oprávnených účtov; každé obnovenie druhého faktora administráciou sa zaznamenáva.

3.5 Kontrola oddelenia

Údaje zákazníkov sú logicky oddelené podľa pracovného priestoru. Každá cesta čítania a zápisu v prihlásenej oblasti nesie so sebou túto väzbu; správy sú navyše prístupné cez svoj odkaz (oddiel 3.4).
Vývoj a prevádzka bežia v oddelených inštaláciách s oddelenými databázami a oddelenými databázovými používateľmi. Vývojový používateľ nemá prístup k produkčnej databáze. Skutočné údaje zákazníkov sa do vývoja nekopírujú; tam pracujeme s vygenerovanými vzorovými údajmi.
Pre každé prostredie má skener vlastné prístupové údaje s právami len k údajom, ktoré potrebuje na svoje úlohy. Nemôže čítať účty, fakturáciu ani logy.
Na webovom serveri bežia aj iné služby toho istého poskytovateľa. Majú vlastné databázy a vlastných databázových používateľov bez prístupu k údajom tejto služby.

4. Šifrovanie, pseudonymizácia a minimalizácia údajov

4.1 Prihlasovacie údaje pre skenovanie za prihlásením

Pre túto funkciu zákazník ukladá používateľské meno a heslo testovacieho účtu. Sú to najcitlivejšie údaje v službe, a preto sú chránené inak než všetko ostatné:

Pri ukladaní ich webový server zašifruje verejným kľúčom skenovacieho servera (ECIES: X25519 s jednorazovým kľúčom na záznam, HKDF-SHA256, AES-256-GCM). Súkromný kľúč existuje len na skenovacom serveri. Webový server, databáza a zálohy obsahujú len šifrovaný text; ani my ho tam nemôžeme prečítať.
Každý záznam je kryptograficky viazaný na svoju doménu. Pri presune na inú doménu dešifrovanie zlyhá.
Pri skene sa šifrovaný text priloží k úlohe. Skenovací server ho dešifruje a prihlasovacie údaje odovzdá kontrolnému kontajneru len cez štandardný vstup, nikdy ako argument príkazového riadka, ktorý by bol viditeľný v zoznamoch procesov. Len čo ho skenovací server prečíta, šifrovaný text sa z úlohy vymaže; prípadné zvyšky odstráni beh najneskôr po jednej hodine.
Prihlasovacie údaje sa nikdy nezobrazujú, nikdy nezaznamenávajú do logov, nikdy nevydávajú cez API a neexportujú sa. Rozhranie zobrazuje len prvý znak a dĺžku používateľského mena. Ich odstránenie prepíše šifrovaný text.
Za prihlásením skener len číta: žiadne odosielanie, žiadny aktívny test, žiadne snímky obrazovky, žiadne stránky na odhlásenie, vymazanie alebo zrušenie.

4.2 Ďalšie šifrovanie a hashe

Heslá, obnovovacie kódy, heslá klientskych portálov, API kľúče, pripojovacie kódy a kódy nasadenia, tokeny „Zostať prihlásený“, ID relácií v zozname zariadení a odkazy na potvrdenie a obnovenie sa ukladajú len ako hash.
Tajomstvá pre druhý faktor sa ukladajú zašifrované (oddiel 3.2).
Netvrdíme, že celá databáza je v pokoji šifrovaná. Citlivé hodnoty sú chránené jednotlivo, ako je opísané vyššie.

4.3 Minimalizácia údajov už pri návrhu

Kontrola doručenia: Číta sa len hlavička a najviac prvých 8 KB textu. Do databázy sa dostane len čas, priradenie, prípadne ID testovacieho odoslania a výsledok kontroly pravosti (SPF, DKIM, DMARC), nikdy obsah ani úplná adresa odosielateľa. Výsledok pravosti najnovšieho e-mailu sa uchováva pri doméne a prepíše ho nasledujúci; obsahuje IP adresu doručujúceho poštového servera a e-mailovú doménu odosielateľa. E-mail sa po úspešnom spracovaní zo schránky vymaže; ak načítanie alebo vymazanie zlyhá, stane sa tak pri ďalšom úspešnom behu.
Kontroly: Štruktúra formulárov sa ukladá s názvami polí, typmi a popiskami, atribútmi povinnosti a viditeľnosti, bez hodnôt; začiatky predvyplnených skrytých polí (do 24 znakov) a dátových atribútov (do 60 znakov) skener číta len počas kontroly a neukladá ich. Snímky obrazovky z úplnej kontroly nie sú anonymizované; vstupné polia zakrývajú len kontroly v prehliadači. Adresy príjemcov formulárov sa ukladajú len ako doména. Aktívne testovacie odoslania obsahujú len označené testovacie texty bez osobných údajov.
Rozšírenia pre WordPress a TYPO3 prenášajú len denné čísla a charakteristiky, ako je zoznam pluginov, a pri pripojenom plugine pre WordPress aj domény odkazov zo zablokovaných správ pre ochranu rojom (predvolene zapnutá); žiadny iný obsah, žiadne mená, adresy ani IP adresy návštevníkov. Nepovinné počty chýb formulárov a polí sú predvolene vypnuté.
„Fix it for me“: Vložený kód sa spracúva len počas trvania požiadavky a neukladá sa.
Odznak: Obrázok odznaku na webových stránkach zákazníkov nenastavuje žiadny cookie a nespúšťa reláciu.
Prevádzkové oznámenia na telefón prevádzkovateľa sú pevné texty bez premenných, t. j. bez mien, adries alebo obsahu. Chybové oznámenia e-mailom prevádzkovateľovi obsahujú surový text chybového hlásenia, neočistený a skrátený na 400 znakov; v jednotlivých prípadoch môže obsahovať adresy alebo odkazy.
Ochrana rojom: Medzi rozšíreniami zákazníkov sa zdieľajú len domény z odkazov v zablokovanom spame; výmena IP sietí je vypnutá.
Poloha: Krajina IP adresy sa určuje z lokálneho databázového súboru; žiadna adresa nejde do služby geolokácie.

5. Ochrana pred zneužitím skenera

Skener načítava stránky tretích strán skutočným prehliadačom. Bez ochrany by bol nástrojom, ktorým by sa niekto zvonka mohol dostať do našej internej siete alebo k iným neverejným cieľom (server-side request forgery). Preto existujú dve nezávislé vrstvy a izolácia každého jednotlivého behu.

5.1 Izolovaný beh

Každá kontrola beží vo vlastnom kontajneri, ktorý sa potom odstráni. Beží bez administrátorských práv, bez dodatočných schopností operačného systému a bez možnosti eskalácie oprávnení. Jeho súborový systém je okrem malých dočasných oblastí len na čítanie.
Pamäť, počet procesov a čas behu sú obmedzené; beh, ktorý prekročí čas, sa ukončí.

5.2 Sieť: dve vrstvy

Prvá vrstva, v skeneri: Pred skenom a potom pri každej jednotlivej požiadavke prehliadača vrátane presmerovaní a vloženého obsahu sa kontroluje, kam sa adresa preloží. Súkromné, lokálne, vyhradené a dokumentačné siete (IPv4 a IPv6) sa odmietajú, rovnako ako iné porty než tie, ktoré sú pre web obvyklé. Prehliadač nepovoľuje service workery a spojenia WebSocket sa zatvárajú, pretože oboje by mohlo túto kontrolu obísť.
Druhá vrstva, v sieti: Kontajnery bežia vo vlastnej sieti. Pravidlá firewallu odtiaľ povoľujú spojenia do internetu len na webových portoch; spojenia do súkromných sietí vrátane našej internej siete s webovým serverom a databázou sú blokované. Výnimky, ktoré si vyžaduje samotný beh kontroly, sú obmedzené na nevyhnutné minimum a opísané v našej internej dokumentácii. Táto vrstva účinkuje aj vtedy, ak sa názov preloží inak až po prvej kontrole.

5.3 Požiadavky webového servera

Ak webový server sám požaduje adresy tretích strán – na preukázanie kontroly nad doménou, pre nástroj na hlavičky, na hľadanie odhalených súborov, pre pulzové požiadavky, pre dopyty RDAP a kontrolu certifikátov, pre webhooky a upozornenia do chatov a pre nepovinný druhý kontrolný bod –, platia rovnaké pravidlá: len webové protokoly, na obvyklých webových portoch (webhooky a upozornenia do chatov len cez HTTPS na štandardnom porte), len verejné adresy, spojenie len presne na vopred skontrolovanú adresu, aby názov nemohol byť dodatočne presmerovaný na interný cieľ, presmerovania buď vôbec nesledované, alebo sledované len ručne a zakaždým znova skontrolované, krátke časové limity; pri preukázaní kontroly nad doménou, pulzových požiadavkách a druhom kontrolnom bode pri kontrolách v prehliadači aj obmedzená veľkosť odpovede.

5.4 Čo skener na stránkach tretích strán nerobí

Aktívne testovacie odoslania (najviac päť na kontrolu) existujú pre zákazníkov len pri doménach s preukázanou kontrolou (DNS, meta tag, súbor alebo rozšírenie); jedinou výnimkou sú interné kontroly našich vlastných testovacích a demo domén. Názov hostiteľa domény s preukázanou kontrolou nemožno zmeniť, aby preukázanie neprešlo na iného hostiteľa. Všetko ostatné je pasívne: čítanie stránok ako návštevník.
Kontroly v prehliadači idú až po okamih pred odoslaním a nespúšťajú žiadnu objednávku, platbu ani odoslanie.
Domény na zozname opt-out sa nekontrolujú; priebežné monitorovanie končí pri najbližšej naplánovanej kontrole.

6. Integrita: prenos a vstup

6.1 Prenos

Aplikácia je z internetu dostupná len cez HTTPS; prehliadač dostáva pokyn používať jeden rok len HTTPS (HSTS). Certifikáty sa obnovujú automaticky.
Ďalšie hlavičky obmedzujú vkladanie aplikácie do stránok tretích strán, hádanie typov súborov a odosielanie formulárov na ciele tretích strán. Politika bezpečnosti obsahu (Content Security Policy) povoľuje v aplikácii spúšťať len skripty, ktoré server uvoľní s príslušnou odpoveďou; súčasné prehliadače nevykonávajú vložené skripty ani obsluhy udalostí v HTML.
Schránka kontroly doručenia sa načítava cez šifrované spojenie s overením certifikátu.
Webhooky možno podpísať tajomstvom zákazníka (HMAC-SHA256 s časovou pečiatkou), aby príjemca mohol overiť pôvod a integritu. Požiadavky na nepovinný druhý kontrolný bod sú podpísané a pri kontrolách v prehliadači aj ich odpovede.
Otvorene uvedené: Spojenia v rámci našej internej siete nie sú šifrované v celom rozsahu. Prihlasovacie údaje pre skenovanie za prihlásením zostávajú šifrované v celom rozsahu (oddiel 4.1).

6.2 Kontrola vstupu a logy

Dôležité akcie v účtoch a pracovných priestoroch (napríklad prihlásenie, zmeny domén, cieľov upozornení a práv, vymazania, prístupy podpory) sa zaznamenávajú v protokole aktivít s účtom, časom, IP adresou a krajinou a vymažú sa po 365 dňoch.
Záznamy o prístupoch na stránky vedené na účely bezpečnosti a predchádzania zneužitiu sa vymažú po 60 dňoch, chybové logy po 90 dňoch, obsah odoslaných e-mailov po 30 dňoch. Prístupové tokeny v požadovaných adresách a refereroch, napríklad v odkazoch na správy alebo portály, sa v záznamoch o prístupoch zobrazujú len maskované.
Prijatie zmluvných dokumentov sa ukladá so zobrazenou verziou, jej kontrolným súčtom, časom, IP adresou a identifikátorom prehliadača.
Dôkazové logy možno opatriť časovou pečiatkou od externej certifikačnej autority pre časové pečiatky; posiela sa jej len kontrolný súčet obsahu, nie samotný obsah.

7. Dostupnosť a odolnosť

7.1 Zálohovanie

Databáza sa zálohuje každú noc. Záloha dostane svoj konečný názov až po kontrole obsahu: úspešné dokončenie zálohovacieho programu, aspoň jeden záznam, toľko tabuliek, koľko má databáza, a záverečný riadok úplného behu. Staršie zálohy sa odstraňujú až po úspešnej novej.
Každá záloha sa vymaže po 14 dňoch. Úložisko je mimo akéhokoľvek obsluhovaného adresára; umiestnenie v rámci projektu sa odmietne.
Test obnovy: Raz týždenne sa najnovšia záloha načíta do jednorazovej databázy, porovná sa tabuľku po tabuľke s produkciou a znova sa vymaže. Výsledok sa uloží.
Ak záloha alebo test zlyhá, odíde oznámenie e-mailom a na telefón prevádzkovateľa.
Obnova po incidente: Ak databáza zlyhá alebo sa údaje poškodia, obnovíme najnovšiu otestovanú zálohu. Zmeny vykonané od tejto zálohy, spravidla najviac zmeny z jedného dňa, sa pritom môžu stratiť; ak niektorá záloha zlyhala, zodpovedajúco viac. Potom znova vykonáme známe neskoršie žiadosti o vymazanie (oddiel 8). Nezaväzujeme sa k žiadnemu konkrétnemu času obnovy.
Obmedzenie, otvorene uvedené: Zálohy sú v súčasnosti uložené na tom istom mieste ako databáza a nie sú osobitne šifrované. Chránia pred chybami obsluhy, chybnými zmenami a poškodenými údajmi, nie pred stratou samotného servera. Šifrovaná kópia na druhom mieste je plánovaná (oddiel 10).
Prihlasovacie údaje pre skenovanie za prihlásením sú v zálohách obsiahnuté len ako šifrovaný text; tajomstvo druhého faktora len v zašifrovanej podobe, s kľúčom mimo databázy.

7.2 Monitorovanie

Stavový beh každých päť minút kontroluje komponenty služby vrátane databázy, frontu a signálu činnosti (heartbeat) skenera, ktorý skener pravidelne zapisuje aj v nečinnosti. Ak komponent zlyhá, odíde oznámenie; ak sa obnoví, odíde odvolanie poplachu.
Vzájomný dohľad: Stavový beh nedokáže nahlásiť výpadok stroja, na ktorom beží. Skenovací server preto každú minútu kontroluje, či aplikácia odpovedá, a po niekoľkých po sebe nasledujúcich zlyhaniach to nahlási pevným textom na telefón prevádzkovateľa. Naopak, webový server monitoruje signál činnosti skenera; kontrolný zoznam nastavenia ukazuje, či vzájomný dohľad beží.
Upozornenie na chyby: Typ chyby, ktorý sa ešte nikdy nevyskytol, sa nahlási raz okamžite; nahromadenie chýb spustí len jediný signál na telefón prevádzkovateľa; raz denne sa posiela prehľad. Vďaka tomu sa o chybe nedozvieme až od zákazníka.
Obmedzenie, otvorene uvedené: Oba servery sú na tom istom mieste. Výpadok celého miesta, napríklad elektriny alebo internetového pripojenia, nehlási žiadny mechanizmus upozornení, ale všimne si ho človek.

7.3 Zmeny a nasadenie

Nové verzie sa najprv zostavujú a testujú v oddelenom vývojovom prostredí. Nasadenie skontroluje všetky predpoklady pred zápisom prvého súboru, vykoná zmeny schémy databázy a nechá prebiehajúce kontroly riadne dokončiť pred reštartom skenera.
Pre cestu nového zákazníka existuje smoke test cez skutočné HTTP, ktorý sa spúšťa po prechodoch. Netvrdíme, že pred každým jednotlivým nasadením beží automatizovaná sada testov.

8. Vymazanie a doby uchovávania

Proces vymazávania každú noc presadzuje lehoty uvedené v Zásadách ochrany osobných údajov a v Zmluve o spracúvaní osobných údajov. Číta tie isté nastavenia, z ktorých sa berú čísla v textoch; pri týchto lehotách sa preto text a správanie nerozchádzajú.
Výsledky kontrol vrátane snímok obrazovky sa vymažú po 13 mesiacoch (najnovší pre každú doménu zostáva), čísla z rozšírení po 13 mesiacoch, záznamy o doručení upozornení po 90 dňoch, žiadosti o podporu po 24 mesiacoch.
Odstránením domény sa vymažú údaje domény vrátane kontrol, formulárov, zistení, snímok obrazovky, správ, úloh, cieľov upozornení a logov, incidentov, údajov o doručení, prihlasovacích údajov pre skenovanie za prihlásením a dôkazov.
Vymazanie účtu prebehne okamžite; pracovné priestory bez ďalších členov sa vymažú s ich údajmi, pracovné priestory s ďalšími členmi prejdú na iného člena, najprv na správcov a medzi nimi na najdlhšie pôsobiaceho. Až do uplynutia ich vlastných lehôt zostávajú: logy, ktorých záznamy si ponechávajú staré číslo účtu, ktoré už neodkazuje na žiadny existujúci účet, vrátane záznamu o vymazaní, ako aj odoslané e-maily, doklad o uzavretí zmluvy, žiadosti o podporu, správy z kontrol potenciálnych klientov (až 90 dní) a fakturačné údaje v Stripe; podrobnosti sú v Zásadách ochrany osobných údajov.
Vymazané údaje zostávajú v zálohách, kým tie po 14 dňoch neuplynú. Cielené vymazanie v rámci zálohy sa nevykonáva; ak sa záloha obnoví, známe neskoršie žiadosti o vymazanie sa ručne vykonajú znova.

9. Organizácia a preskúmanie

Osoby: Službu v súčasnosti prevádzkuje vlastník sám. Ďalšie osoby dostanú prístup len po zaviazaní sa k mlčanlivosti a len v nevyhnutnom rozsahu a údaje spracúvajú len na náš pokyn (čl. 29 a čl. 32 ods. 4 GDPR).
Ďalší sprostredkovatelia: Zapájame ich len po preskúmaní ich záruk a na základe zmluvy podľa čl. 28 ods. 4 GDPR a uvádzame ich na stránke Ďalší sprostredkovatelia; podrobnosti upravuje Zmluva o spracúvaní osobných údajov.
Porušenia ochrany osobných údajov: Ak sa porušenie ochrany osobných údajov týka údajov spracúvaných ako sprostredkovateľ, oznámime to zákazníkovi bez zbytočného odkladu, podľa možnosti do 48 hodín; podrobnosti upravuje Zmluva o spracúvaní osobných údajov.
Hlásenie zraniteľností: Hlásenia prijímame na stránke Bezpečnosť a cez súbor /.well-known/security.txt.
Kontrolný zoznam nastavenia a spustenia: V administrácii kontrolný zoznam meria stav nastavení relevantných pre bezpečnosť, napríklad zálohovania, administrátorov bez druhého faktora, nastavenia pošty a signálu činnosti, a zobrazuje odchýlky.
Preskúmanie týchto opatrení (čl. 32 ods. 1 písm. d) GDPR): pri každej významnej zmene služby, po každom bezpečnostnom incidente a inak najmenej raz ročne. Pritom posudzujeme, či sú opatrenia účinné a stále zodpovedajú rizikám, a výsledok zaznamenáme v novej verzii tejto stránky alebo, ak sa nič nemení, s dátumom preskúmania v oddiele 11. Priebežne kontrolný zoznam nastavenia a spustenia meria stav nastavení, ktoré pokrýva.
Externé audity: V súčasnosti nie sú objednané žiadne externé penetračné testy a neexistujú žiadne bezpečnostné certifikácie. Uvádzame to tu, aby ich nikto nepredpokladal.

10. Plánované, zatiaľ nezavedené

Tieto body nie sú záväznými opatreniami, kým tu nebudú v novej verzii uvedené ako zavedené:

Záloha na druhom mieste: šifrovaná kópia nočnej zálohy mimo servera, aby ani úplná strata servera neviedla k strate údajov.
Druhý kontrolný bod: Nezávislé potvrdenie kontrol v prehliadači z druhého miesta je v službe pripravené, nie je však nastavené. Bez neho neexistuje potvrdenie z druhého miesta.
Posilnenie správy servera: Pokračuje. Z dôvodov uvedených v oddiele 1 podrobnosti nezverejňujeme.

11. Stav a verzia

Verzia 1.1 · Posledná aktualizácia: 22. októbra 2026 · v prípade rozporov medzi jazykovými verziami má prednosť poľská verzia namiesto nemeckej; žiadna iná zmena.
Verzia 1.0 · Posledná aktualizácia: 11. októbra 2026 · prvá verzia ako samostatná stránka; predtým príloha 2 k Zmluve o spracúvaní osobných údajov. Opravené oproti predchádzajúcej prílohe: test obnovy prebieha týždenne, zálohy sú na tom istom serveri, pred každým nasadením nebeží automatizovaná sada testov, spojenia v internej sieti nie sú šifrované v celom rozsahu. Novo opísané: šifrovanie prihlasovacích údajov pre skenovanie za prihlásením, izolácia skenera, vzájomný dohľad a upozornenie na chyby.
Zmeny sa zverejňujú s novým číslom verzie tu a v prehľade Zmeny zmluvných dokumentov; pri akomkoľvek oslabení opatrení platí lehota na oznámenie podľa Zmluvy o spracúvaní osobných údajov.
V prípade rozporov medzi jazykovými verziami má prednosť poľská verzia.

Ako Vám môžeme pomôcť?