Tehnični in organizacijski ukrepi

Ta dokument je objavljen v več jezikih. V primeru neskladja med jezikovnimi različicami je zavezujoča poljska različica.

Različica 1.1 · Zadnja posodobitev: 22. oktober 2026

Ukrepi v skladu s členom 32 GDPR, s katerimi LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poljska, varuje storitev formexposed. Ta stran je kot Priloga 2 sestavni del Pogodbe o obdelavi podatkov.

1. Področje uporabe in načelo

Ukrepi veljajo za vse podatke, ki jih storitev obdeluje: za podatke, ki jih obdelujemo v imenu naših strank (opisani v Pogodbi o obdelavi podatkov), in za podatke, za katere smo upravljavec sami, na primer račune strank in dnevnike. Za oboje ni ločenih ravni zaščite; kar varuje račun, varuje tudi podatke, ki jih obdelujemo kot obdelovalec.

Struktura v skladu s členom 32(1) GDPR. Psevdonimizacija in šifriranje (točka (a)) sta obravnavana v oddelku 4; stalna zaupnost, celovitost, razpoložljivost in odpornost sistemov (točka (b)) v oddelkih 3, 5, 6 in 7; zmožnost pravočasne povrnitve razpoložljivosti po incidentu (točka (c)) v oddelku 7.1; postopek rednega testiranja, ocenjevanja in vrednotenja učinkovitosti (točka (d)) v oddelku 9. Ukrepe smo izbrali na podlagi tveganj, opisanih v naši Oceni učinka v zvezi z varstvom podatkov, ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja.

Načelo: izmerjeno, ne nameravano. Tukaj je navedeno le, kar je bilo dejansko izvedeno v kodi ali v delovanju. Kar je načrtovano, a še ni izvedeno, je v oddelku 10 izrecno navedeno kot »načrtovano«. Ukrep, ki tukaj manjka, ni tiho vzpostavljen.

Imena strojev, notranji naslovi, vrata, uporabniška imena in različice programske opreme namenoma niso navedeni. Nikomur ne pomagajo oceniti ukrepov, pomagajo pa tistemu, ki jih želi zaobiti. Kdor jih potrebuje za revizijo v skladu s Pogodbo o obdelavi podatkov, jih prejme v okviru te revizije pod pogojem zaupnosti, kolikor so za revizijo potrebni.

2. Zgradba storitve

Storitev teče na dveh lastnih strežnikih ponudnika na Poljskem, ki sta v istem notranjem omrežju:

Spletni strežnik s podatkovno zbirko. Dostavlja aplikacijo, hrani podatkovno zbirko, pošilja obvestila in varnostno kopira podatke. Le ta je nastavljen za sprejemanje zahtev iz interneta.
Strežnik za preglede. V brskalniku izvaja preverjanja spletnih mest tretjih oseb in lastnih spletnih mest ter poganja jezikovni model, ki razvršča posamezne obrazce in dodaja kodo v funkciji »Fix it for me«. Ni nastavljen za sprejemanje zahtev iz interneta, temveč svoja opravila sam pridobiva s spletnega strežnika in tja vrača rezultate.

Pri delovanju ni vključen noben ponudnik gostovanja, podatkovnega centra ali oblačnih storitev in nič ne gre zunanji storitvi UI. Katere tretje osebe prejemajo podatke, je navedeno na strani Podobdelovalci.

3. Zaupnost

3.1 Nadzor fizičnega dostopa

Strežniki so v prostorih ponudnika na Poljskem, ki niso odprti za javnost. Dostop ima le lastnik (po navedbi operaterja). Točen naslov lokacije tukaj namenoma ni naveden.

3.2 Nadzor dostopa: prijava v storitev

Gesla se shranjujejo le kot zgoščena vrednost s standardno metodo PHP (bcrypt). Če se standardna metoda spremeni, se zgoščena vrednost ob naslednji prijavi obnovi. Pri poskusu prijave z neznanim naslovom strežnik vseeno izračuna zgoščeno vrednost, da odzivni čas ne razkrije, ali račun obstaja. Prav tako odziv na zahtevo za ponastavitev gesla niti z besedilom niti s trajanjem ne razkrije, ali račun obstaja; e-poštna sporočila za ponastavitev se na isti naslov pošljejo največ trikrat na uro. Nova gesla morajo biti dolga vsaj deset znakov in ne smejo presegati 72 bajtov (UTF-8), ker bcrypt več bajtov ne upošteva. Sprememba gesla odjavi vse druge naprave; ponastavitev prek povezave odjavi vse naprave, povezava pa velja le enkrat.
Zaklepanje po neuspešnih poskusih. Neuspešne prijave se štejejo po naslovu IP; po preveč poskusih v kratkem času (trenutno osem v 15 minutah) je prijava s tega naslova začasno blokirana. Uspešna prijava ta števec ponastavi. Poskusi se izbrišejo po sedmih dneh. Poleg tega se pred vsakim preverjanjem gesla šteje en poskus na račun (pri neznanem naslovu na vneseni naslov) in na naslov IP, vključno z uspešnimi poskusi: trenutno največ osem na račun z istega naslova IP in 80 na naslov IP v 15 minutah; za račun čez vse naslove skupaj velja precej višja omejitev, ki varuje pred porazdeljenim ugibanjem. Neuspešni poskusi z drugega naslova zato lastnika ne zaklenejo več iz računa. Ti števci vsebujejo le ključ HMAC, ne pa e-poštnega naslova ali naslova IP v čistopisu, in potečejo s svojim časovnim oknom. Če shramba števcev ni na voljo, se prijava zavrne, ne prepusti. Enaka vrsta omejitve velja za potrditev gesla pred spremembo gesla ali naslova, vklop ali izklop drugega faktorja, prenos delovnega prostora, izvoz podatkov in izbris računa (pet poskusov na račun v 15 minutah), za registracije (deset na naslov IP na uro) in za gesla portalov za kliente (deset poskusov na portal in naslov IP, 50 na portal v 15 minutah).
Drugi faktor. Vsak račun lahko omogoči prijavo z enkratno kodo v skladu z RFC 6238 (TOTP). Skrivnost zanjo je v podatkovni zbirki shranjena šifrirano; ključ ni shranjen v podatkovni zbirki, zato izvleček podatkovne zbirke sam po sebi ne zadostuje. Sprejeta koda ne velja drugič. Deset obnovitvenih kod je shranjenih le kot zgoščena vrednost. Enkratne in obnovitvene kode so omejene na deset poskusov na račun v 15 minutah, tudi med nastavitvijo.
Skrbniško območje le z drugim faktorjem. Operaterjevo skrbniško območje se odpre le računom z omogočenim drugim faktorjem. Kontrolni seznam nastavitev prijavi vsak skrbniški račun brez drugega faktorja.
Seje. Sejnega piškotka skripti ne morejo prebrati (HttpOnly), pošilja se le prek HTTPS (Secure) in se ne pošlje z zahtevami s spletnih mest tretjih oseb, ki bi lahko kaj spremenile (SameSite=Lax). Ob prijavi se ustvari nov ID seje, tako da predhodno podtaknjeni ID ne velja več; strežnik ne sprejme ID-ja seje, ki ga ni izdal sam. Vsak račun vidi svoje prijavljene naprave in jih lahko posamično odjavi.
»Ostani prijavljen« je neobvezno in velja 30 dni, ne pa za račune s skrbniškimi pravicami; ti se vedno prijavijo z geslom in drugim faktorjem. Žeton je sestavljen iz dveh delov; preverjalni del je v podatkovni zbirki shranjen le kot zgoščena vrednost. Vsaka uporaba ga nadomesti z novim in tudi pri sočasnih zahtevah vsak žeton velja le enkrat, tako da se ukraden žeton opazi najpozneje ob naslednjem pristnem obisku.
Povezave v e-poštnih sporočilih. Povezave za potrditev naslova in ponastavitev gesla so v podatkovni zbirki shranjene le kot zgoščena vrednost. Povezava za ponastavitev velja eno uro, povezava za potrditev registracije 72 ur, povezava za potrditev spremenjenega naslova 24 ur. Če se e-poštni naslov spremeni, odprta povezava za ponastavitev postane neveljavna.
Vmesniki. Ključi API, kode za povezavo razširitev in kode za uvajanje so shranjeni le kot zgoščena vrednost. Ključe API je mogoče uporabiti le omejeno število krat na minuto; kode za povezavo razširitev veljajo 15 minut in le enkrat.
Zaščita pred boti na javnih obrazcih (registracija, prijava, geslo, preverjanje, orodje za glave, opt-out, podpora in kontakt): Google reCAPTCHA, ki se naloži šele ob oddaji. Sprejme se le veljaven odgovor Googla z zadostno oceno za točno tisto dejanje obrazca; če Google ne odgovori v treh sekundah, se oddaja zavrne. Podrobnosti so v Politiki zasebnosti.

3.3 Nadzor dostopa: upravljanje strežnikov

Strežnik, dosegljiv iz interneta, s paketnim filtrom dovoljuje le storitve, ki jih ponuja, in po ponavljajočih se neuspešnih prijavah v upravljanje strežnika samodejno blokira naslove.
Avtomatizirani procesi med strežniki uporabljajo lastne ključe z ozko omejenimi pravicami. Ključ, s katerim spletni strežnik dostavlja nove različice pregledovalnika, sme na strežniku za preglede izvajati le določen seznam ukazov in sme le kopirati, samo s pisanjem, v imenik pregledovalnika; interaktivna prijava z njim ni mogoča, vsak zavrnjeni ukaz pa se zabeleži. Prav tako sme strežnik za preglede posnetke zaslona zapisovati le v določen imenik na spletnem strežniku.
Proces, ki streže spletno mesto, nima niti pravice pisanja v produkcijsko namestitev niti ključa za strežnik za preglede. Uvajanje, sproženo v skrbniškem območju, le vloži opravilo, ki ga izvede ločen postopek.
Skrivnosti, kot so prijavni podatki za podatkovno zbirko in ključi, so shranjene v konfiguracijskih datotekah zunaj streženega imenika in se pri uvajanju ne kopirajo zraven. Konfiguracija spletnega strežnika se ne distribuira prek spletnega vmesnika.

3.4 Nadzor pooblastil: pravice znotraj storitve

Vloge. Vsak delovni prostor ima vloge lastnik, skrbnik in bralec. Spreminjanje, brisanje, vabljenje in shranjevanje prijavnih podatkov so pridržani lastnikom in skrbnikom; le lastnik sme spreminjati vloge in odstranjevati člane. Povabilo velja le, dokler je oseba, ki ga je poslala, še lastnik ali skrbnik. Bralci vidijo naslove webhookov in klepetalnih kanalov le skrajšane na gostitelja, ker že sam naslov omogoča objavljanje v kanalu. Preverjanje poteka na strežniku, ne le v vmesniku.
Vezava na delovni prostor. Domene in nastavitve so dostopne le članom delovnega prostora. Za vsako preverjanje Storitev ustvari poročilo pod naključno povezavo, ki je ni mogoče uganiti; rezultati in posnetki zaslona preverjanja so prek te povezave dostopni brez prijave, posnetki zaslona le skupaj s povezavo do njihovega poročila. Povezava se prikaže v računu in v opozorilih; kdor jo posreduje naprej, posreduje poročilo.
Zahteve, ki spreminjajo stanje, zahtevajo varnostni žeton na sejo (zaščita CSRF), ki se primerja v konstantnem času.
»Ogled kot stranka«. Za podporo lahko operater vidi aplikacijo tako, kot jo vidi stranka. Pogled se konča po eni uri, blokira spremembe gesla, naslova, drugega faktorja, naprav, naročnine, izvoza in izbrisa, medtem zapre skrbniško območje in se beleži. Njegov konec operaterja popolnoma odjavi; v skrbniško območje se lahko vrne le s ponovno prijavo z geslom in drugim faktorjem. Stranka ga vidi v svojem izvozu podatkov.
Upravljanje. Skrbniške pravice ima le nekaj izrecno pooblaščenih računov; vsaka ponastavitev drugega faktorja s strani upravljanja se zabeleži.

3.5 Nadzor ločevanja

Podatki strank so logično ločeni po delovnih prostorih. Vsaka pot branja in pisanja v območju za prijavljene uporabnike nosi to vezavo s seboj; poročila so dodatno dostopna prek svoje povezave (oddelek 3.4).
Razvoj in delovanje potekata v ločenih namestitvah z ločenimi podatkovnimi zbirkami in ločenimi uporabniki podatkovnih zbirk. Razvojni uporabnik nima dostopa do produkcijske podatkovne zbirke. Resnični podatki strank se ne kopirajo v razvoj; tam delamo z ustvarjenimi vzorčnimi podatki.
Pregledovalnik ima za vsako okolje lastne prijavne podatke s pravicami le do podatkov, ki jih potrebuje za svoja opravila. Ne more brati računov, obračunov ali dnevnikov.
Na spletnem strežniku tečejo tudi druge storitve istega ponudnika. Imajo lastne podatkovne zbirke in lastne uporabnike podatkovnih zbirk brez dostopa do podatkov te storitve.

4. Šifriranje, psevdonimizacija in najmanjši obseg podatkov

4.1 Prijavni podatki za pregled po prijavi

Za to funkcijo stranka shrani uporabniško ime in geslo testnega računa. To so najobčutljivejši podatki v storitvi, zato so zaščiteni drugače kot vse drugo:

Ob shranjevanju jih spletni strežnik šifrira z javnim ključem strežnika za preglede (ECIES: X25519 z enkratnim ključem za vsak zapis, HKDF-SHA256, AES-256-GCM). Zasebni ključ obstaja le na strežniku za preglede. Spletni strežnik, podatkovna zbirka in varnostne kopije vsebujejo le šifrirano besedilo; tudi mi ga tam ne moremo prebrati.
Vsak zapis je kriptografsko vezan na svojo domeno. Če se prestavi na drugo domeno, dešifriranje ne uspe.
Za pregled se šifrirano besedilo priloži opravilu. Strežnik za preglede ga dešifrira in prijavne podatke posreduje vsebniku za preverjanje le prek standardnega vhoda, nikoli kot argument ukazne vrstice, ki bi bil viden na seznamih procesov. Takoj ko ga strežnik za preglede prebere, se šifrirano besedilo izbriše iz opravila; postopek najpozneje po eni uri počisti morebitne ostanke.
Prijavni podatki se nikoli ne prikažejo, nikoli ne beležijo, nikoli ne izpišejo prek API-ja in se ne izvozijo. Vmesnik prikazuje le prvi znak in dolžino uporabniškega imena. Odstranitev prepiše šifrirano besedilo.
Za prijavo pregledovalnik le bere: brez oddajanja, brez aktivnega testa, brez posnetkov zaslona, brez strani za odjavo, izbris ali preklic.

4.2 Nadaljnje šifriranje in zgoščene vrednosti

Gesla, obnovitvene kode, gesla portalov za kliente, ključi API, kode za povezavo in uvajanje, žetoni »Ostani prijavljen«, ID-ji sej na seznamu naprav ter povezave za potrditev in ponastavitev so shranjeni le kot zgoščena vrednost.
Skrivnosti za drugi faktor so shranjene šifrirano (oddelek 3.2).
Ne trdimo, da je celotna podatkovna zbirka šifrirana v mirovanju. Občutljive vrednosti so zaščitene posamično, kot je opisano zgoraj.

4.3 Najmanjši obseg podatkov že pri zasnovi

Preverjanje dostave: Preberejo se le glave in največ prvih 8 KB besedila. V podatkovno zbirko pridejo le čas, dodelitev, po potrebi ID testne oddaje in rezultat preverjanja pristnosti (SPF, DKIM, DMARC), nikoli vsebina ali polni naslov pošiljatelja. Rezultat preverjanja pristnosti zadnjega e-poštnega sporočila se hrani pri domeni in ga prepiše naslednji; vsebuje naslov IP poštnega strežnika, ki je sporočilo dostavil, in e-poštno domeno pošiljatelja. E-poštno sporočilo se po uspešni obdelavi izbriše iz poštnega predala; če prevzem ali izbris ne uspe, se to zgodi ob naslednjem uspešnem izvajanju.
Preverjanja: Struktura obrazcev se shrani z imeni polj, vrstami in oznakami, atributi obveznosti in vidnosti, brez vrednosti; začetke vnaprej izpolnjenih skritih polj (do 24 znakov) in podatkovnih atributov (do 60 znakov) pregledovalnik prebere le med preverjanjem in jih ne shrani. Posnetki zaslona celovitega preverjanja niso zakriti; le preverjanja v brskalniku prekrijejo vnosna polja. Naslovi prejemnikov obrazcev se shranijo le kot domena. Aktivne testne oddaje vsebujejo le označena testna besedila brez osebnih podatkov.
Razširitve za WordPress in TYPO3 prenašajo le dnevne številke in značilnosti, kot je popis vtičnikov, pri povezanem vtičniku za WordPress pa tudi domene povezav iz blokiranih sporočil za zaščito roja (privzeto vklopljeno); nobene druge vsebine, nobenih imen, naslovov ali naslovov IP obiskovalcev. Neobvezni števci napak obrazcev in polj so privzeto izklopljeni.
»Fix it for me«: Prilepljena koda se obdeluje le za čas trajanja zahteve in se ne shrani.
Značka: Slika značke na spletnih straneh strank ne nastavi piškotka in ne začne seje.
Obratovalna obvestila na operaterjev telefon so fiksna besedila brez spremenljivk, torej brez imen, naslovov ali vsebine. Obvestila o napakah, ki jih operater prejme po e-pošti, vsebujejo surovo besedilo sporočila o napaki, ki ni prečiščeno in je skrajšano na 400 znakov; v posameznih primerih lahko vsebuje naslove ali povezave.
Zaščita roja: Med razširitvami strank se delijo le domene iz povezav v blokirani neželeni pošti; izmenjava omrežij IP je izklopljena.
Lokacija: Država naslova IP se določi iz lokalne datoteke podatkovne zbirke; noben naslov ne gre storitvi za geolokacijo.

5. Zaščita pred zlorabo pregledovalnika

Pregledovalnik nalaga strani tretjih oseb s pravim brskalnikom. Brez zaščite bi bil orodje, s katerim bi lahko nekdo od zunaj dosegel naše notranje omrežje ali druge nejavne cilje (ponarejanje zahtev na strani strežnika, SSRF). Zato obstajata dve neodvisni plasti in izolacija vsakega posameznega izvajanja.

5.1 Izolirano izvajanje

Vsako preverjanje teče v lastnem vsebniku, ki se nato odstrani. Teče brez skrbniških pravic, brez dodatnih zmožnosti operacijskega sistema in brez možnosti povečanja privilegijev. Njegov datotečni sistem je samo za branje, razen majhnih nestalnih območij.
Pomnilnik, število procesov in čas izvajanja so omejeni; izvajanje, ki preseže čas, se prekine.

5.2 Omrežje: dve plasti

Prva plast, v pregledovalniku: Pred pregledom in nato pri vsaki posamezni zahtevi brskalnika, vključno s preusmeritvami in vdelano vsebino, se preveri, kam se naslov razreši. Zasebna, lokalna, rezervirana in dokumentacijska omrežja (IPv4 in IPv6) se zavrnejo, prav tako vrata, ki niso običajna za splet. Brskalnik ne dovoljuje service workerjev, povezave WebSocket pa se zaprejo, ker bi oboje lahko zaobšlo to preverjanje.
Druga plast, v omrežju: Vsebniki tečejo v lastnem omrežju. Pravila požarnega zidu od tam dovoljujejo povezave v internet le na spletnih vratih; povezave v zasebna omrežja, vključno z našim notranjim omrežjem s spletnim strežnikom in podatkovno zbirko, so blokirane. Izjeme, ki jih potrebuje izvajanje preverjanja samo, so omejene na nujno potrebno in opisane v naši notranji dokumentaciji. Ta plast učinkuje tudi, če se ime drugače razreši šele po prvem preverjanju.

5.3 Zahteve spletnega strežnika

Kadar spletni strežnik sam zahteva naslove tretjih oseb – za dokazilo o nadzoru nad domeno, za orodje za glave, za iskanje izpostavljenih datotek, za zahteve utripa, za poizvedbe RDAP in preverjanje certifikatov, za webhooke in opozorila v klepetih ter za neobvezno drugo kontrolno točko –, veljajo enaka pravila: le spletni protokoli na običajnih spletnih vratih (webhooki in opozorila v klepetih le prek HTTPS na standardnih vratih), le javni naslovi, povezava le na točno tisti naslov, ki je bil predhodno preverjen, tako da imena ni mogoče naknadno preusmeriti na notranji cilj, preusmeritvam se sploh ne sledi ali pa le ročno in z vsakokratnim ponovnim preverjanjem, kratke časovne omejitve; za dokazilo o nadzoru nad domeno, za zahteve utripa in za drugo kontrolno točko pri preverjanjih v brskalniku tudi omejena velikost odziva.

5.4 Česa pregledovalnik na spletnih mestih tretjih oseb ne počne

Aktivne testne oddaje (največ pet na preverjanje) obstajajo za stranke le pri domenah, za katere je bilo predloženo dokazilo o nadzoru (DNS, metaoznaka, datoteka ali razširitev); edina izjema so notranja preverjanja naših lastnih testnih in predstavitvenih domen. Imena gostitelja domene z dokazilom o nadzoru ni mogoče spremeniti, tako da dokazilo ne preide na drugega gostitelja. Vse drugo je pasivno: branje strani kot obiskovalec.
Preverjanja v brskalniku segajo do trenutka pred oddajo in ne sprožijo nobenega naročila, plačila ali oddaje.
Domene na seznamu za opt-out se ne preverjajo; tekoče spremljanje se konča z naslednjim načrtovanim preverjanjem.

6. Celovitost: prenos in vnos

6.1 Prenos

Aplikacija je iz interneta dosegljiva le prek HTTPS; brskalniku je naročeno, da eno leto uporablja le HTTPS (HSTS). Certifikati se obnavljajo samodejno.
Nadaljnje glave omejujejo vdelavo aplikacije v strani tretjih oseb, ugibanje vrst datotek in oddajanje obrazcev na cilje tretjih oseb. Pravilnik o varnosti vsebine (CSP) v aplikaciji dovoli izvajanje le tistih skriptov, ki jih strežnik sprosti z ustreznim odzivom; sodobni brskalniki vrinjenih skriptov ali upravljalnikov dogodkov v HTML ne izvedejo.
Poštni predal za preverjanje dostave se prevzema prek šifrirane povezave s preverjanjem certifikata.
Webhooki so lahko podpisani s skrivnostjo stranke (HMAC-SHA256 s časovnim žigom), tako da lahko prejemnik preveri izvor in celovitost. Zahteve na neobvezno drugo kontrolno točko so podpisane, pri preverjanjih v brskalniku pa tudi njihovi odzivi.
Odkrito povedano: Povezave znotraj našega notranjega omrežja niso povsod šifrirane. Prijavni podatki za pregled po prijavi ostanejo ves čas šifrirani (oddelek 4.1).

6.2 Nadzor vnosa in dnevniki

Pomembna dejanja v računih in delovnih prostorih (na primer prijava, spremembe domen, ciljev opozoril in pravic, izbrisi, dostopi podpore) se zabeležijo v dnevnik dejavnosti z računom, časom, naslovom IP in državo ter se izbrišejo po 365 dneh.
Zapisi o dostopih do strani, ki se vodijo zaradi varnosti in preprečevanja zlorab, se izbrišejo po 60 dneh, dnevniki napak po 90 dneh, vsebine poslanih e-poštnih sporočil po 30 dneh. Žetoni za dostop v zahtevanih naslovih in napotiteljih (referrer), na primer tisti iz povezav do poročil ali portalov, se v zapisih o dostopih do strani pojavijo le v zakriti obliki.
Sprejetje pogodbenih dokumentov se shrani s prikazano različico, njeno kontrolno vsoto, časom, naslovom IP in identifikatorjem brskalnika.
Dokazni dnevniki so lahko opremljeni s časovnim žigom zunanjega izdajatelja časovnih žigov; k njemu gre le kontrolna vsota vsebine, ne vsebina sama.

7. Razpoložljivost in odpornost

7.1 Varnostno kopiranje

Podatkovna zbirka se varnostno kopira vsako noč. Varnostna kopija dobi končno ime šele, ko je njena vsebina preverjena: uspešen zaključek programa za varnostno kopiranje, vsaj en zapis, toliko tabel, kot jih ima podatkovna zbirka, in zaključna vrstica popolnega izvajanja. Starejše varnostne kopije se odstranijo šele po uspešni novi.
Vsaka varnostna kopija se izbriše po 14 dneh. Mesto shranjevanja je zunaj vsakega streženega imenika; mesto znotraj projekta se zavrne.
Test obnovitve: Enkrat na teden se zadnja varnostna kopija naloži v začasno podatkovno zbirko, se tabelo za tabelo primerja s produkcijo in se znova izbriše. Rezultat se shrani.
Če varnostno kopiranje ali test ne uspe, se pošlje obvestilo po e-pošti in na operaterjev telefon.
Obnovitev po incidentu: Če podatkovna zbirka odpove ali so podatki poškodovani, obnovimo zadnjo preizkušeno varnostno kopijo. Spremembe od te varnostne kopije, praviloma največ spremembe enega dne, se lahko pri tem izgubijo; če je varnostno kopiranje spodletelo, ustrezno več. Nato ponovno izvedemo znane poznejše zahteve za izbris (oddelek 8). Ne zavezujemo se k določenemu času obnovitve.
Omejitev, odkrito povedano: Varnostne kopije so trenutno shranjene na isti lokaciji kot podatkovna zbirka in niso posebej šifrirane. Varujejo pred napakami pri upravljanju, napačnimi spremembami in poškodovanimi podatki, ne pa pred izgubo samega strežnika. Šifrirana kopija na drugi lokaciji je načrtovana (oddelek 10).
Prijavni podatki za pregled po prijavi so v varnostnih kopijah le kot šifrirano besedilo; skrivnost drugega faktorja le v šifrirani obliki, s ključem zunaj podatkovne zbirke.

7.2 Nadzor

Postopek za preverjanje stanja vsakih pet minut preveri komponente storitve, vključno s podatkovno zbirko, čakalno vrsto in srčnim utripom pregledovalnika, ki ga pregledovalnik redno zapisuje tudi v mirovanju. Če komponenta odpove, se pošlje obvestilo; ko se obnovi, obvestilo o odpravi.
Navzkrižni nadzor: Postopek za preverjanje stanja ne more sporočiti odpovedi stroja, na katerem teče. Zato strežnik za preglede vsako minuto preveri, ali se aplikacija odziva, in po več zaporednih odpovedih to s fiksnim besedilom sporoči na operaterjev telefon. Nasprotno spletni strežnik spremlja srčni utrip pregledovalnika; kontrolni seznam nastavitev prikazuje, ali navzkrižni nadzor deluje.
Opozorilo o napakah: Vrsta napake, ki se še nikoli ni pojavila, se takoj sporoči enkrat; kopičenje napak sproži le en signal na operaterjev telefon; enkrat na dan se pošlje pregled. Tako za napako ne izvemo šele od stranke.
Omejitev, odkrito povedano: Oba strežnika sta na isti lokaciji. Odpovedi celotne lokacije, na primer elektrike ali internetne povezave, ne sporoči noben mehanizem opozarjanja, temveč jo opazi človek.

7.3 Spremembe in uvajanje

Nove različice se najprej zgradijo in preizkusijo v ločenem razvojnem okolju. Uvajanje pred zapisom prve datoteke preveri vse predpogoje, izvede spremembe sheme podatkovne zbirke in pusti, da se tekoča preverjanja urejeno zaključijo, preden se pregledovalnik znova zažene.
Za pot nove stranke obstaja osnovni test (smoke test) prek pravega HTTP, ki se izvede po prehodih. Ne trdimo, da pred vsakim posameznim uvajanjem teče avtomatiziran nabor testov.

8. Izbris in obdobja hrambe

Postopek brisanja vsako noč uveljavlja roke, navedene v Politiki zasebnosti in Pogodbi o obdelavi podatkov. Bere enake nastavitve, iz katerih so vzete številke v besedilih; za te roke se besedilo in delovanje zato ne razhajata.
Rezultati preverjanj, vključno s posnetki zaslona, se izbrišejo po 13 mesecih (zadnji za vsako domeno ostane), številke razširitev po 13 mesecih, dnevniki dostave opozoril po 90 dneh, zahteve za podporo po 24 mesecih.
Odstranitev domene izbriše podatke domene, vključno s preverjanji, obrazci, ugotovitvami, posnetki zaslona, poročili, opravili, cilji opozoril in dnevniki, incidenti, podatki o dostavi, prijavnimi podatki za pregled po prijavi in dokazili.
Izbris računa se izvede takoj; delovni prostori brez nadaljnjih članov se izbrišejo z njihovimi podatki, delovni prostori z nadaljnjimi člani preidejo na drugega člana, najprej na skrbnike, med njimi pa na najdlje včlanjenega. Do izteka svojih rokov ostanejo: dnevniki, katerih vnosi ohranijo staro številko računa, ki se ne nanaša več na noben obstoječi račun, vključno z vnosom o izbrisu, ter poslana e-poštna sporočila, dokazilo o sklenitvi pogodbe, zahteve za podporo, poročila o preverjanjih potencialnih strank (do 90 dni) in podatki o obračunu pri Stripu; podrobnosti so v Politiki zasebnosti.
Izbrisani podatki ostanejo v varnostnih kopijah do njihovega izteka po 14 dneh. Ciljnega brisanja znotraj varnostne kopije ni; če se varnostna kopija obnovi, se znane poznejše zahteve za izbris ročno ponovno izvedejo.

9. Organizacija in pregled

Osebe: Storitev trenutno upravlja lastnik sam. Nadaljnje osebe dobijo dostop le po zavezi k zaupnosti in le v potrebnem obsegu ter podatke obdelujejo le po naših navodilih (člen 29 in člen 32(4) GDPR).
Podobdelovalci: Vključimo jih le po pregledu njihovih jamstev in na podlagi pogodbe v skladu s členom 28(4) GDPR ter jih navedemo na strani Podobdelovalci; podrobnosti ureja Pogodba o obdelavi podatkov.
Kršitve varstva osebnih podatkov: Če kršitev varstva osebnih podatkov zadeva podatke, ki jih obdelujemo kot obdelovalec, stranko brez nepotrebnega odlašanja, po možnosti v 48 urah, obvestimo; podrobnosti ureja Pogodba o obdelavi podatkov.
Prijava ranljivosti: Prijave sprejemamo na strani Varnost in prek datoteke /.well-known/security.txt.
Kontrolni seznam nastavitev in zagona: V skrbniškem območju kontrolni seznam meri stanje varnostno pomembnih nastavitev, kot so varnostno kopiranje, skrbniki brez drugega faktorja, nastavitev pošte in srčni utrip, ter prikazuje odstopanja.
Pregled teh ukrepov (člen 32(1)(d) GDPR): ob vsaki pomembni spremembi storitve, po vsakem varnostnem incidentu in sicer najmanj enkrat na leto. Pri tem ocenimo, ali so ukrepi učinkoviti in še ustrezajo tveganjem, ter rezultat zabeležimo v novi različici te strani ali, če se nič ne spremeni, z datumom pregleda v oddelku 11. Sprotno kontrolni seznam nastavitev in zagona meri stanje nastavitev, ki jih zajema.
Zunanje revizije: Trenutno niso naročeni nobeni zunanji penetracijski testi in ni varnostnih certifikatov. To je navedeno tukaj, da jih nihče ne bi domneval.

10. Načrtovano, še ne izvedeno

Te točke niso zavezujoči ukrepi, dokler tukaj v novi različici niso navedene kot izvedene:

Varnostna kopija na drugi lokaciji: šifrirana kopija nočne varnostne kopije zunaj strežnika, tako da niti popolna izguba strežnika ne povzroči izgube podatkov.
Druga kontrolna točka: Neodvisna potrditev preverjanj v brskalniku z druge lokacije je v storitvi pripravljena, vendar ni nastavljena. Brez nje ni potrditve z druge lokacije.
Utrjevanje upravljanja strežnikov: To se nadaljuje. Iz razlogov, navedenih v oddelku 1, podrobnosti ne objavljamo.

11. Stanje in različica

Različica 1.1 · Zadnja posodobitev: 22. oktober 2026 · v primeru razhajanj med jezikovnimi različicami zdaj namesto nemške prevlada poljska različica; nobene druge spremembe.
Različica 1.0 · Zadnja posodobitev: 11. oktober 2026 · prva različica kot ločena stran; prej Priloga 2 k Pogodbi o obdelavi podatkov. Popravljeno v primerjavi s prejšnjo prilogo: test obnovitve teče tedensko, varnostne kopije so na istem strežniku, pred vsakim uvajanjem ne teče avtomatiziran nabor testov, povezave v notranjem omrežju niso povsod šifrirane. Na novo opisano: šifriranje prijavnih podatkov za pregled po prijavi, izolacija pregledovalnika, navzkrižni nadzor in opozorilo o napakah.
Spremembe se objavijo z novo številko različice tukaj in v pregledu Spremembe pogodbenih dokumentov; za vsako oslabitev ukrepov velja rok za obvestilo iz Pogodbe o obdelavi podatkov.
V primeru razhajanj med jezikovnimi različicami prevlada poljska različica.

Kako Vam lahko pomagamo?