Evidencija radnji obrade (čl. 30 GDPR-a)

Ovaj dokument je objavljen na više jezika. U slučaju neslaganja između jezičkih verzija, merodavna je poljska verzija.

Verzija 1.2 · Poslednje ažuriranje: 29. oktobar 2026.

1. Kako čitati ovu evidenciju

Ovo je evidencija radnji obrade prema čl. 30 GDPR-a za formexposed. Ovo nije politika privatnosti niti marketinški tekst. Njena svrha je da nadzornom organu, klijentu koji proverava nas kao obrađivača ili sledećoj osobi koja mora da odgovori na neko pitanje pokaže šta se zaista obrađuje, gde se čuva, ko to prima i koliko dugo ostaje sačuvano. Objavljujemo je zato što bi usluga koja proverava i nadzire obrasce i sama trebalo da bude podložna proveri.

Pri njenom sastavljanju važila su tri pravila.

1. Izmereno, a ne nameravano. Tvrdnja o poljima podataka, rokovima čuvanja, primaocima ili zaštitnim merama navodi se samo kada je potkrepljuju programski kod, šema baze podataka ili merenje. Ono što je planirano označeno je kao „planirano“. Ono što je podrazumevano isključeno označeno je kao „podrazumevano isključeno“. Kada nešto ne možemo da dokažemo, to i kažemo.
2. Čuvanje se navodi dvaput. Jednom za svaku radnju obrade, a jednom u odeljku 6 kao celovit pregled: koje noćno izvršavanje briše koje podatke i do kojih podataka ne dopire. Evidencija koja tvrdi da važi rok čuvanja koji se odnosi samo na deo podataka lošija je od one koja navodi otvoreno pitanje.
3. Otvorena pitanja navode se u tekstu, a ne u fusnoti. Odeljak 8.1 navodi mere koje još nisu sprovedene, a odeljak 10 otvorena pitanja sa planiranim merama. Evidencija je radni alat, a ne sertifikat.

Polja podataka umesto naziva tabela. Za svaku radnju obrade navodimo sačuvane podatke kao polja opisana razumljivim jezikom. Naziv tabele u bazi podataka sledi u zagradama kako bi revizor mogao da pronađe odgovarajuće mesto, na primer „pokušaji prijavljivanja (login_attempts)“. Spiskovi polja izvedeni su iz šeme baze podataka, a ne iz sećanja.

Rokovi čuvanja kao promenljive vrednosti. Kada rok čuvanja može da se podesi u administrativnom delu, ovde se prikazuje tačno onako kako ga čita noćno izvršavanje: broj koji vidite potiče iz iste postavke koja upravlja brisanjem. Rokovi čuvanja fiksirani u programu navedeni su brojevima.

Osnova merenja. Šema, kod i postavke provereni su merenjem 11. oktobra 2026. na razvojnom sistemu, koji se po kodu i šemi podudara sa produkcionim sistemom. Ne navodimo broj redova iz razvojnog sistema; oni sadrže testne podatke i ništa ne govore o radu u produkciji.

Namerno izostavljeno. Ova evidencija ne navodi nazive hostova, interne mrežne adrese, portove, korisnička imena niti verzije softvera naših servera. Takvi detalji pomažu napadaču, a ne licima na koja se podaci odnose. Iz istog razloga otvorena pitanja u vezi sa zaštitom sopstvenih servera opisujemo samo uopšteno (odeljak 8.1): navodimo rizik, a ne put do njega. Pojedinosti dostavljamo nadzornom organu na zahtev.

Pravna priroda. Ova evidencija je dokumentacija koju vodimo prema čl. 30 GDPR-a za nadzorni organ; objavljuje se dobrovoljno. Ona nije deo nijednog ugovora i ne predstavlja nikakvu izjavu, garanciju niti sporazum o kvalitetu prema klijentima ili trećim licima. Naše obaveze prema klijentima uređuju Uslovi korišćenja, Ugovor o obradi podataka i njegovi prilozi; u pogledu tih obaveza, oni imaju prednost nad ovom evidencijom. Evidencija opisuje stanje na datum ove verzije. Klasifikacije poput „otvoreno pitanje“ ili „procena“ odražavaju naše sopstveno viđenje i ne prejudiciraju pravnu ocenu nadzornog organa ili suda; mere opisane kao „planirane“ jesu namere bez obavezujućeg datuma.

2. Pravni subjekt i zašto ova evidencija ima dve polovine

Polje	Unos
Pravni subjekt	LW IT Solutions Company Lukas Wójcik, preduzetnička radnja registrovana u poljskom poslovnom registru (CEIDG); vlasnik Lukas Wójcik
Adresa	al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland
Poreski identifikatori	NIP 7252266190, PDV identifikacioni broj PL7252266190
Kontakt	contact@lukaswojcik.com; prozor za podršku (upitnik u navigaciji); kontakt stranica
Usluga	formexposed: provera, nadzor i zaštita kontakt obrazaca na veb-sajtovima (aplikacija na formexposed.com, odredišna stranica na form.exposed)
Predstavnik prema čl. 27 GDPR-a	Nije primenljivo. Pravni subjekt ima sedište u Uniji (Poljska).
Lice za zaštitu podataka o ličnosti	Nije imenovano. Procena prema čl. 37 nalazi se u odeljku 9.
Nadležni nadzorni organ	Prezes Urzędu Ochrony Danych Osobowych (UODO, poljski organ za zaštitu podataka o ličnosti), ul. Moniuszki 1A, 00-014 Warszawa
Hosting	Sopstveni serveri u Poljskoj: jedan veb-server sa aplikacijom i bazom podataka i jedan server za skeniranje sa lokalnim jezičkim modelom na istoj internoj mreži. Bez centra podataka treće strane ili pružaoca usluga u oblaku.

formexposed ima različite uloge prema različitim grupama ljudi. Njihovim mešanjem nastaje evidencija koja nije tačna ni za jednu od njih.

• Rukovalac podacima o ličnosti (deo B, čl. 30(1)). Sami smo rukovalac podacima svojih klijenata i članova njihovih timova (nalog, prijavljivanje, naplata, podrška, dnevnici), posetilaca sopstvenog veb-sajta, za provere bez naloga (besplatna provera, alat za zaglavlja, studija, provera potencijalnih klijenata) i za sprečavanje zloupotreba.
• Obrađivač podataka o ličnosti (deo A, čl. 30(2)). Za podatke o ličnosti trećih lica koje klijent unese u uslugu ili koji nastanu pri pružanju usluge klijentu, postupamo u ime klijenta: kopije stvarnih e-poruka iz obrazaca u proveri isporuke e-pošte, pretplatnici klijentovog portala za klijente, primaoci klijentovih upozorenja, osobe koje se slučajno vide na klijentovim proveravanim stranicama, pristupni podaci klijentovog testnog naloga i kod obrasca koji klijent nalepi. Osnov je Ugovor o obradi podataka, koji se zaključuje sa svakim klijentom pri registraciji.
• Samo na strani klijenta. Neke funkcije WordPress dodatka i TYPO3 proširenja obrađuju podatke isključivo na klijentovom veb-sajtu, bez ikakvog dospevanja podataka do nas (karantin, zaštitna mreža, računski zadatak, postavke čuvanja, lokalni brojači, snimač). To nije obrada koju mi vršimo i zato se ne navodi ni u jednom delu. Ipak ih opisujemo na kraju dela A kako bi granica bila vidljiva.

Razdvajanje je ugrađeno u kod, a ne samo u tekst: iz stvarne e-poruke iz obrasca provera isporuke e-pošte u bazu podataka upisuje samo vreme, dodelu i rezultat autentifikacije; snimci ekrana provera u pregledaču maskiraju polja za unos; pristupni podaci testnog naloga šifrovani su tako da veb-server više ne može da ih pročita. Pojedinosti su navedene u pojedinačnim unosima.

Odeljci 6 do 11 važe za obe polovine: čuvanje, automatizovane odluke, tehničke i organizacione mere, lice za zaštitu podataka o ličnosti, otvorena pitanja i održavanje ove evidencije.

Obuhvat. Ovaj dokument je deo evidencije koji se odnosi na uslugu formexposed. Obrada koju isti pravni subjekt vrši za druge usluge evidentira se u njihovim zasebnim evidencijama; opšte računovodstvo i poslovna administracija izvan usluge nisu obuhvaćeni ovim delom.

3. Deo A – čl. 30(2): obrada u ime klijenata

A.0 Učesnici

Polje	Unos
Obrađivač podataka o ličnosti	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland; contact@lukaswojcik.com
Rukovaoci podacima o ličnosti	Klijenti usluge formexposed: preduzeća i agencije koji imaju domene na svom nalogu i koriste funkcije u kojima nastaju podaci trećih lica. Kod agencija, i klijent same agencije može da bude rukovalac podacima o ličnosti; agencija tada prema tom klijentu deluje kao obrađivač podataka o ličnosti, a mi kao dalji obrađivač.
Spisak rukovalaca podacima o ličnosti	Deo ove evidencije, vodi se u elektronskom obliku (čl. 30(3) GDPR-a) u sistemu usluge i nije prikazan u ovoj javnoj verziji, jer sadrži podatke o ličnosti klijenata i zastareo bi sa svakim novim klijentom: vlasnik svakog radnog prostora sa imenom, adresom e-pošte i preduzećem iz korisničkog naloga (adresa i PDV identifikacioni broj samo kod Stripe-a) (users, workspaces, workspace_users), uz domene radnog prostora (domains). Na zahtev dostavljamo izvod nadzornom organu.
Predstavnici i lica za zaštitu podataka o ličnosti kod rukovalaca	U sistemu za to ne postoji posebno polje. Ako je klijent imenovao predstavnika prema čl. 27 GDPR-a ili lice za zaštitu podataka o ličnosti, može da nas obavesti o njima; obaveštenje čuvamo zajedno sa spiskom rukovalaca podacima o ličnosti.
Predstavnik obrađivača podataka o ličnosti	Nije primenljivo (sedište u Poljskoj).
Lice za zaštitu podataka o ličnosti	Nije imenovano (odeljak 9).
Uputstva	Uputstvo proizlazi iz Ugovora o obradi podataka i postavki koje klijent izvrši: klijent uključuje proveru isporuke e-pošte, podešava odredišta upozorenja, čuva testni nalog i postavlja portal za klijente. Bez te radnje predmetna obrada se ne vrši.
Tehničke i organizacione mere	Odeljak 8 i stranica Tehničke i organizacione mere važe za svaku radnju obrade u delu A. Posebne mere navedene su u odgovarajućem unosu.

A.1 Provera isporuke e-pošte – kontrolna kopija e-poruka iz obrazaca

Polje	Unos
Svrha	Provera da li se e-poruka iz klijentovog kontakt obrasca zaista šalje i kako se autentifikuje (SPF, DKIM, DMARC, usklađenost). Nakon prihvaćene aktivne testne poruke, njena kopija mora da stigne u kontrolno poštansko sanduče u podesivom roku čekanja (trenutno 3 sata); u suprotnom se pokreće upozorenje „Testna e-poruka nije primljena“. Zaglavlja služe i za utvrđivanje autentičnosti e-poruke iz obrasca, korišćene usluge e-pošte i adrese pošiljaoca za proveru liste blokiranih.
Preduslov	Plaćeni paket, potvrđen domen, klijent je uključio funkciju. Klijent unosi sopstvenu kontrolnu adresu sa identifikatorom (oblika „delivery+identifier@…“) kao skrivenu kopiju u obaveštenju svog obrasca. Bez podešenog kontrolnog poštanskog sandučeta funkcija nije dostupna.
Kategorije lica na koja se podaci odnose	Posetioci klijentovog veb-sajta koji šalju klijentov obrazac; osobe čije podatke posetilac upiše u poruku; klijentovi zaposleni koji se u zaglavljima pojavljuju kao primaoci.
Kategorije podataka o ličnosti	U kontrolnom poštanskom sandučetu (kod pružaoca usluge e-pošte): potpuna kopija svake e-poruke iz obrasca, uključujući stvarne upite sa imenom, adresom e-pošte, brojem telefona i slobodnim tekstom, do brisanja. Čita se pri preuzimanju: zaglavlja i najviše prvih 8 KB tela poruke. U bazi podataka: vreme prijema, dodela domenu i, kada je primenljivo, testnom izvršavanju (delivery_log); poslednji rezultat autentifikacije po domenu sa SPF, DKIM i DMARC rezultatom, usklađenošću, domenom pošiljaoca, domenima potpisivanja i adresom poštanskog servera pošiljaoca (polje autentifikacije domena u domains). Sadržaj, predmet i adresa posetioca kao pošiljaoca ne upisuju se u bazu podataka.
Napomena o domenu pošiljaoca	Ako obrazac postavi adresu posetioca kao pošiljaoca (pogrešna konfiguracija koju provera treba da otkrije), rezultat autentifikacije sadrži domen te adrese, a ne samu adresu. Kada posetilac koristi lični domen, i to može da bude podatak o ličnosti. Prepisuje se pri sledećem prijemu.
Izvor	Obrazac na klijentovom veb-sajtu, preko skrivene kopije koju je klijent uneo.
Pravni osnov (određuje rukovalac podacima o ličnosti)	Određuje klijent. Naš predlog teksta za klijentovu politiku privatnosti zasniva kopiju na čl. 6(1)(f) GDPR-a (legitimni interes za pouzdan prijem upita). Klijent obaveštava posetioce o ovom toku podataka; Ugovor o obradi podataka ga na to obavezuje.
Primaoci	Pružalac usluge e-pošte koji upravlja kontrolnim poštanskim sandučetom (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Kopija ide direktno tamo: stiže samo ako MX zapisi našeg domena upućuju na ovo sanduče (to proverava kontrolna lista pre pokretanja); putem prosleđivanja ne stiže u sanduče. Na stranici domena klijent vidi samo vreme, dodelu i rezultat autentifikacije. Ako se rezultat autentifikacije pogorša, upozorenje klijentu i kanalima koje je odabrao navodi domen pošiljaoca ako on ne pripada veb-sajtu (A.3, 4.1).
Treća zemlja	Zavisi od pružaoca usluge e-pošte; videti odeljak 4. Ugovor sa predviđenim pružaocem i osnov za prenos još nisu dokumentovani.
Čuvanje	Nakon uspešne obrade e-poruka se označava za brisanje i uklanja iz sandučeta u istom izvršavanju, čak i ako nije moguće dodeliti je nijednom domenu. Preuzimanje se izvršava zajedno sa proverom statusa svakih pet minuta dok je nadzor uključen u administrativnom delu (srv/cron_status.php, cfg/zustellung_lib.php). Ako preuzimanje ili brisanje ne uspe, e-poruka ostaje u sandučetu do sledećeg uspešnog izvršavanja. Isto preuzimanje briše dodele u delivery_log nakon 180 dana. Rezultat autentifikacije postoji dok postoji domen.
Šta dokaz potvrđuje	Samo prijem kopije dodeljene konkretnom testnom izvršavanju u kontrolno poštansko sanduče. Ne dokazuje ni prijem kod stvarnog primaoca ni unos u CRM. Izvorna potvrda iz HubSpot-a nije ponuđena.
TOM	Odeljak 8. Naročito: sadržaj se procenjuje samo u memoriji; telo poruke, predmet i pune adrese pošiljaoca se ne čuvaju; brisanje nezavisno od uspešnosti dodele.

Provera isporuke e-pošte jedina je funkcija putem koje stvarne poruke posetilaca naših klijenata dospevaju do nas. Zato je to obrada u ime klijenta, a ne usluga pod našom sopstvenom odgovornošću, i zato je vreme provedeno u sandučetu stvarna mera rizika: obično nekoliko minuta; ako je preuzimanje prekinuto, do njegovog ponovnog izvršavanja. Kopije ne bi trebalo da sadrže posebne kategorije podataka o ličnosti; to tehnički ne možemo da sprečimo jer o tome šta će posetilac napisati odlučuje sam posetilac.

A.2 Portal za klijente i mesečni izveštaj pretplatnicima

Polje	Unos
Svrha	Agencija (paket Business) prikazuje svojim klijentima stanje njihovih domena pod sopstvenim brendom (portal na nasumičnoj adresi, po izboru sa lozinkom, po izboru na sopstvenom poddomenu agencije). Klijent tamo može da naruči mesečni izveštaj e-poštom. Izveštaj se šalje u ime agencije.
Kategorije lica na koja se podaci odnose	Klijenti agencije i njihovi zaposleni koji naručuju izveštaj; osobe koje otvaraju portal.
Kategorije podataka o ličnosti	Pretplatnik: adresa e-pošte, jezik, identifikator potvrde, vreme naručivanja i IP adresa u trenutku naručivanja, vreme potvrde (postupak dvostruke potvrde), vreme odjave, poslednji mesec za koji je izveštaj poslat (client_subscribers). Portal: naziv, izbor domena, nasumični identifikator, lozinka samo kao heš, osoba koja ga je napravila, vreme, opoziv (client_portals). Posete portalu pojavljuju se u dnevniku pregleda stranica (B.2).
Izvor	Sami pretplatnici unose podatke u portal.
Pravni osnov (određuje rukovalac podacima o ličnosti)	Pristanak pretplatnika, pribavljen postupkom dvostruke potvrde; rukovalac podacima o ličnosti je agencija. Ne pišemo nikome ko se nije sam prijavio i potvrdio prijavu.
Primaoci	Agencija (vidi svoje pretplatnike); pružalac usluge e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) za e-poruku sa potvrdom i izveštaj.
Treća zemlja	Preko pružaoca usluge e-pošte; videti odeljak 4.
Čuvanje	Noćno izvršavanje brisanja (cfg/fristen_lib.php, deo „pretplatnici portala“): narudžbine koje nikada nisu potvrđene nakon 30 dana; odjavljeni pretplatnici tri godine nakon odjave, kao dokaz ranijeg pristanka. Potvrđeni pretplatnici koji se nisu odjavili ostaju dok postoji radni prostor agencije. Opozvani portal se samo blokira, ne briše se; njegovi pretplatnici više ne primaju izveštaje, ali njihovi podaci ostaju (odeljak 10). Portali i pretplatnici brišu se odmah sa radnim prostorom (fe_arbeitsbereich_daten_loeschen()). Poslati izveštaji ostaju u odlaznom sandučetu 30 dana (B.25).
TOM	Odeljak 8. Naročito: lozinka portala samo kao heš, pokušaji pogađanja ograničeni (deset po portalu i IP adresi, 50 po portalu za 15 minuta); odjava jednim klikom u svakoj e-poruci; portal prikazuje samo status i ključne pokazatelje, bez pojedinačnih nalaza sa dokazima.

A.3 Primaoci klijentovih upozorenja, osobe koje potvrđuju prijem i zadužene osobe

Polje	Unos
Svrha	Obaveštenja o greškama i promenama na odredišta koja klijent podešava za domen: e-pošta, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram. Za svako odredište odmah ili zbirno dnevno ili nedeljno, uz odredišta samo za eskalacije. Svako obaveštenje o problemu postaje incident, čiji prijem primalac može da potvrdi putem linka. Za nadzirane obrasce klijent može da odredi odgovornu osobu i rok.
Kategorije lica na koja se podaci odnose	Zaposleni i pružaoci usluga klijenta koje klijent unosi kao odredište upozorenja ili imenuje kao zadužene osobe; osobe koje potvrđuju prijem incidenta. Članovi tima sa sopstvenim nalogom pojavljuju se i u delu B.
Kategorije podataka o ličnosti	Odredište upozorenja: kanal, odredišna adresa (adresa e-pošte, webhook ili adresa ćaskanja, Telegram ID ćaskanja), izabrani događaji, način isporuke, tajni ključ za potpisivanje webhook-ova, poslednja isporuka i poslednja greška (alerts). Dnevnik isporuke: odredište, događaji, status, greška, vreme (alert_log). Red zbirnih obaveštenja: redovi obaveštenja i link do isporuke (alert_queue). Incident: naslov, redovi obaveštenja, link, identifikator potvrde prijema, vreme i ime ili adresa e-pošte osobe koja potvrđuje prijem kako su uneti u obrazac, a u suprotnom adresa prijavljenog člana (alert_incidents). Pokušaji isporuke eskalacije po incidentu i odredištu: broj pokušaja (najviše pet), vremena poslednjeg i sledećeg pokušaja i uspeha, referenca na e-poruku u odlaznom sandučetu, greška (tabela alert_escalation_deliveries). Dodela: nalog odgovorne osobe i rok (u monitored_forms).
Sadržaj obaveštenja	Domen, događaj, kratko objašnjenje i link do stranice domena. Bez sadržaja poruka posetilaca.
Izvor	Unosi klijent; osoba koja potvrđuje prijem sama unosi svoje ime; Telegram ID ćaskanja nastaje kada primalac pritisne „Start“ u botu (B.32).
Pravni osnov (određuje rukovalac podacima o ličnosti)	Određuje klijent; po pravilu organizacija sopstvenog poslovanja klijenta (čl. 6(1)(b) ili (f) GDPR-a u odnosu na klijentove zaposlene i pružaoce usluga).
Primaoci	Operateri izabranih kanala; videti 4.1. Upozorenja e-poštom preko pružaoca usluge e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Treća zemlja	Zavisno od izabranog kanala; nekoliko pružalaca ima sedište u SAD, Telegram izvan EU bez odluke o primerenosti. Videti 4.1.
Čuvanje	Dnevnik isporuke nakon 90 dana (noću, fe_alert_log_aufraeumen() iz srv/cron_status.php). Zbirna obaveštenja 30 dana nakon isporuke (cfg/kanal_lib.php, pri svakoj isporuci zbirnog obaveštenja). Incidenti dok nisu rešeni; rešeni 180 dana nakon rešavanja (cfg/vorfall_lib.php, izvršavanje eskalacije), zajedno sa njihovim pokušajima isporuke eskalacije. Odredišta upozorenja i dodele dok ih klijent ne obriše ili zajedno sa domenom.
TOM	Odeljak 8. Naročito: webhook-ovi se potpisuju zasebnim tajnim ključem za svako odredište; potvrda prijema tek nakon klika (POST), kako pregledi linkova u programima za ćaskanje ne bi ništa pokrenuli; upozorenja tokom perioda održavanja samo se evidentiraju, ne šalju se.

A.4 Osobe koje se slučajno vide na proveravanim stranicama klijenta i na snimcima ekrana

Polje	Unos
Svrha	Provera domena na klijentovom nalogu (skeniranje, nadzor, aktivna provera) čita klijentove javne stranice i pravi snimke ekrana obrazaca. Ono što sama stranica prikazuje može da se odnosi na osobe koje nemaju nikakve veze sa proverom. Ti podaci nastaju usput; oni nisu svrha provere.
Kategorije lica na koja se podaci odnose	Osobe čije se ime, fotografija ili kontakt podaci pojavljuju na proveravanoj stranici (kontakt osoba pored obrasca, fotografije tima na početnoj stranici, podaci o pružaocu usluge).
Kategorije podataka o ličnosti	Snimci ekrana: vidljivi deo početne stranice, svaki vidljivi obrazac kao isečak i slika naredne stranice nakon slanja aktivne testne poruke; čuvaju se kao datoteke izvan veb-direktorijuma, sa samo referencom u bazi podataka (scan_screenshots). Struktura obrasca: adresa stranice, selektor, nazivi polja, tipovi polja, oznake polja, oznake obaveznosti i vidljivosti, oznake dugmadi za slanje (forms, polje „mapa polja“); bez vrednosti polja. Skener čita početak skrivenih polja (do 24 znaka) i atribute podataka (do 60 znakova) samo tokom provere, radi prepoznavanja vremenskih žigova i tokena; čuva se samo rezultat. Nalazi sa dokazima (findings), sažetak sa naslovima stranica (scans). Za odgovarajuće provere na plaćenim nalozima, lokalni model iz izabranih nalaza i metapodataka skeniranja stvara akcioni plan sa prioritetima; njegov tekst, jezik, status i vremenski žig čuvaju se u sažetku skeniranja. Ako se u obrascu pojavi adresa e-pošte kao primalac, čuva se samo njen domen, nikada adresa.
Izvor	Javne stranice klijentovog domena koje preuzima skener.
Pravni osnov (određuje rukovalac podacima o ličnosti)	Određuje klijent za sadržaj sopstvenog veb-sajta. Za nas je obrada deo naručene provere.
Primaoci	Klijent; kod agencija, njihov klijent putem portala ili izveštaja pod sopstvenim brendom; svako ko dobije link do izveštaja (izveštaji na nasumičnim adresama, nisu u pretraživačima). Kada je tip obrasca nejasan, lokalni jezički model na našem sopstvenom serveru prima strukturu obrasca sa naslovom stranice, adresom stranice i vidljivim tekstom obrasca (do 400 znakova) radi klasifikacije; ne prima slike. Za odgovarajuće plaćene provere lokalni model prima i naziv hosta, ukupan rezultat i ocenu, CMS, relevantni tip obrasca i adresu stranice, eventualno prepoznati dodatak i izabrane neuspešne ili nejasne nalaze radi izrade akcionog plana. Zahtev se privremeno zadržava u internom redu zadataka i briše nakon preuzimanja ili planiranim čišćenjem unosa starijih od jednog sata.
Treća zemlja	Nema.
Čuvanje	Rezultati provere domena najviše 13 meseci; poslednja završena provera po domenu ostaje (noćno izvršavanje brisanja, deo „stari rezultati provera“). Obrasci, nalazi, reference na slike i datoteke slika brišu se sa rezultatom provere. Sa domenom se ovi podaci brišu odmah (lanac brisanja u B.15; izuzeci u odeljku 6.4).
Granice maskiranja	Snimci ekrana potpune provere ne maskiraju ništa: prikazuju ono što stranica prikazuje svakom posetiocu. Polja obrasca prazna su pri preuzimanju jer skener ništa ne unosi; unapred popunjene vrednosti bile bi vidljive. Nakon prijavljivanja se ne prave snimci ekrana (A.5). Slike provera u pregledaču maskiraju polja za unos (A.6).
TOM	Odeljak 8. Naročito: slike se mogu preuzeti samo preko izveštaja, a tuđ identifikator slike vraća „not found“; izveštaji sa noindex; svaka provera izvršava se u sopstvenom izolovanom kontejneru.

Isti podaci nastaju u proverama bez naloga (besplatna provera, studija, provera potencijalnih klijenata). Tamo ne postoji klijent u čije ime postupamo; ti slučajevi se zato nalaze u delu B (B.5, B.7, B.8).

A.5 Pristupni podaci testnog naloga za skeniranje nakon prijavljivanja

Polje	Unos
Svrha	Čitanje obrazaca koji se pojavljuju tek nakon prijavljivanja (korisnički deo, deo za članove). Skener se prijavljuje testnim nalogom koji je klijent napravio na sopstvenom veb-sajtu i čita navedene stranice. Osim obrasca za prijavu, ništa ne šalje, tamo ne vrši aktivnu proveru, ne pravi snimke ekrana i ne posećuje adrese za odjavu, brisanje ili otkazivanje. Ako obrazac za prijavu ima CAPTCHA proveru, zaustavlja se; CAPTCHA provere se ne zaobilaze.
Preduslov	Potvrđen domen, plaćeni paket, uloga vlasnika ili administratora, izričita potvrda da je nalog testni. Najviše pet stranica, sve na istom domenu.
Kategorije lica na koja se podaci odnose	Osoba na čije ime glasi testni nalog (idealno niko; klijent bi trebalo da koristi funkcionalni nalog); osobe čiji se podaci pojavljuju na stranicama dostupnim nakon prijavljivanja.
Kategorije podataka o ličnosti	Korisničko ime i lozinka testnog naloga, samo u šifrovanom obliku; nagoveštaj korisničkog imena (prvi znak i dužina); adresa za prijavu, spisak stranica, nazivi polja za prijavu, pokazatelj uspeha, osoba koja ga je napravila, vremena, poslednji rezultat kao kratak kod (domain_logins). Za zadatak koji se izvršava, kopija šifrata (polje „paket za prijavu“ u scan_jobs). Sa stranica dostupnih nakon prijavljivanja: struktura obrasca kao u A.4, bez snimaka ekrana i bez kolačića.
Izvor	Klijent unosi podatke na nalogu.
Pravni osnov (određuje rukovalac podacima o ličnosti)	Određuje klijent. Klijent garantuje da ima pravo da koristi testni nalog.
Primaoci	Nema. Ni klijent ni podrška ni programski interfejs ne mogu da očitaju pristupne podatke; interfejs prikazuje samo nagoveštaj korisničkog imena.
Treća zemlja	Nema.
Zaštita pristupnih podataka	Korisničko ime i lozinka šifruju se odmah pri čuvanju javnim ključem servera za skeniranje (X25519, HKDF-SHA256, AES-256-GCM; domen je vezan kao pridruženi podatak, tako da šifrat ne može da se prikači drugom domenu). Samo server za skeniranje ima privatni ključ. Veb-server, baza podataka i rezervne kopije sadrže samo šifrat; ni mi tamo ne možemo da ga dešifrujemo. Server za skeniranje dešifruje samo za izvršavanje, prosleđuje pristupne podatke izolovanom kontejneru za proveru isključivo preko standardnog ulaza, odmah briše kopiju u zadatku i ne upisuje je ni u jedan rezultat, dnevnik ili tekst greške. Na putu do klijentovog veb-sajta zaštićeni su samo šifrovanjem tog veb-sajta; granice tog prenosa navedene su u odeljku 10.
Čuvanje	Sačuvani pristupni podaci dok ih klijent ne obriše. Pri brisanju šifrat se prepisuje nasumičnim podacima iste dužine i red se briše; zadaci na čekanju se čiste (fe_login_loeschen()). Sa domenom se red briše preko stranog ključa. Server za skeniranje čisti kopije u zadacima nakon izvršavanja; sve preostalo (prekinut zadatak, nedostupan server za skeniranje) čisti izvršavanje provere statusa najkasnije nakon jednog sata (fe_login_aufraeumen(), deo „login_jobs“). Rezervne kopije baze podataka sadrže šifrat dok rezervna kopija ne istekne nakon 14 dana.
TOM	Odeljak 8. Naročito: asimetrično šifrovanje sa odvojenim ključevima; lista blokiranih putanja za odjavu i brisanje; bez snimaka ekrana nakon prijavljivanja; funkcija samo za plaćene pakete i potvrđene domene; svaka promena u dnevniku aktivnosti (bez pristupnih podataka).

Namerno nismo napravili nikakvu mogućnost čuvanja pristupnih podataka za klijentov server, administrativni deo CMS-a ili hosting naloge. Testni nalog je nalog posetioca na klijentovom veb-sajtu, a ne pristup klijentovom sistemu.

A.6 Podešeni tokovi kroz obrasce, provere u pregledaču i nezavisna sonda

Polje	Unos
Svrha	Kroz nadzirani obrazac prolazi se u stvarnom pregledaču (Chromium, WebKit ili oba) do tačke neposredno pre slanja: učitavanje stranice, prethodni klikovi (najviše pet, nikada na polje za unos ili dugme za slanje), popunjavanje polja prepoznatljivo sintetičkim vrednostima (poput adrese sa rezervisanim završetkom .invalid), napredovanje kroz višekoračne obrasce. Provera u pregledaču ništa ne šalje; slanje je tehnički blokirano u pregledaču. Uz to, merenja vremena i vizuelna poređenja obrasca.
Kategorije lica na koja se podaci odnose	Kao u A.4 (osobe vidljive na stranici obrasca); klijentovi zaposleni uneti kao zadužene osobe (A.3).
Kategorije podataka o ličnosti	Konfiguracija: adresa obrasca, selektori, početna adresa, koraci klikanja, izbor pregledača, oznaka, kritičnost, dodela, rok (monitored_forms). Rezultati po izvršavanju: stanje, tehnički razlog neuspeha, očišćene poruke o greškama, mrežna i vremenska merenja, slika obrasca kao JPEG od najviše 32 KB sa maskiranim poljima za unos (form_browser_runs). Zapažanja po proveri (form_observations), vremenske serije (form_performance). Zadaci sa spiskom odredišta (polja „targets“ i „result“ u scan_jobs).
Testni pristup	Ako je klijent sačuvao testni nalog (A.5), potpuna provera ga koristi i za podešene tokove kroz obrasce. Prema proverenom kodu, samostalne provere u pregledaču između dve potpune provere rade bez testnog naloga.
Nezavisna sonda	Predviđena je druga kontrolna tačka na drugoj lokaciji, koja bi izvršila dodatnu proveru pre upozorenja. Primala bi domen, očišćenu konfiguraciju i identifikator zadatka, bez unosa posetilaca i bez pristupnih podataka. Trenutno nije postavljena (podrazumevano isključena). Bez sonde nema dokaza sa druge lokacije; upozorenje se tada zasniva na našem sopstvenom merenju.
Izvor	Podešava klijent; rezultati potiču iz preuzimanja klijentove stranice.
Pravni osnov (određuje rukovalac podacima o ličnosti)	Određuje klijent za sadržaj svog veb-sajta i za zaduženja svojih zaposlenih.
Primaoci	Klijent; kada je sonda postavljena, njen operater (trenutno niko).
Treća zemlja	Nema.
Čuvanje	Rezultati izvršavanja u pregledaču, završeni zadaci pregledača i vremenske serije nakon 13 meseci (noćno izvršavanje brisanja, delovi „browser_runs“, „browser_jobs“, „form_performance“). Konfiguracije do brisanja domena (pojedinačno mogu da se promene ili isključe, ne i obrišu); sa domenom se brišu zajedno sa izvršavanjima, zapažanjima i vremenskim serijama preko stranih ključeva.
Šta merenje dokazuje	Vremena i stanja iz našeg pregledača za proveru. Ne mere iskustvo stvarnih posetilaca i ne dokazuju ni stope završavanja ni izgubljene upite.
TOM	Odeljak 8. Naročito: slanje tehnički sprečeno; samo adrese na istom domenu; maskirane slike; izolovan kontejner za proveru.

A.7 „Fix it for me“ – nalepljeni kod obrasca

Polje	Unos
Svrha	Klijent nalepljuje kod svog obrasca; jezički model na našem sopstvenom hardveru ugrađuje modul za zaštitu. Vraćaju se izmenjena datoteka, zakrpa, rezultat provere sintakse i naznaka da li je poziv provere zaista ugrađen. Bez nalepljenog koda, usluga isporučuje gotov modul sa nazivima polja iz poslednjeg skeniranja.
Kategorije lica na koja se podaci odnose	Osobe čiji se podaci slučajno nalaze u nalepljenom kodu (poput adrese primaoca, imena u komentarima, pristupnih podataka poštanskog servera).
Kategorije podataka o ličnosti	Nalepljeni kod, najviše 30.000 znakova. U bazi podataka samo unos u dnevnik aktivnosti (radnja „fix_ai“ sa radnim prostorom i vremenom), koji se računa u dnevno ograničenje od trenutno deset poziva po radnom prostoru.
Izvor	Nalepljuje klijent.
Pravni osnov	Izvršenje ugovora sa klijentom (čl. 6(1)(b) GDPR-a) za sam kod; za podatke trećih lica koji se slučajno nalaze u njemu, osnov određuje klijent.
Primaoci	Nema. Jezički model radi na našem sopstvenom serveru za skeniranje u internoj mreži; nema spoljne AI usluge, čak ni kao rezervne mogućnosti.
Treća zemlja	Nema.
Čuvanje	Kod se ne čuva. Za proveru sintakse pravi se privremena datoteka koja se odmah nakon toga briše. Unos u dnevnik aktivnosti briše se nakon 365 dana.
Napomena za klijenta	Kod koji sadrži lozinke, API ključeve ili podatke o ličnosti trebalo bi očistiti pre nalepljivanja. Ne proveravamo sadržaj.
TOM	Odeljak 8. Naročito: samo vlasnici i administratori na plaćenim paketima; nalepljeni kod prosleđuje se modelu označen kao podatak i nikada se ne izvršava; bez slanja na servere trećih strana.

A.8 Brend pod sopstvenim imenom i kontakt osobe agencije

Polje	Unos
Svrha	Izveštaji, kratki izveštaji, evidencije dokaza i portal za klijente agencije (paket Business) prikazuju se pod njenim brendom, na zahtev na sopstvenom poddomenu agencije.
Kategorije lica na koja se podaci odnose	Kontakt osobe u agenciji čije se ime ili kontakt podaci pojavljuju u kontakt liniji.
Kategorije podataka o ličnosti	Naziv preduzeća, veb-sajt, kontakt linija, napomena klijentu, akcentna boja, izgled, datoteka logotipa, prekidač za upućivanje na formexposed, sopstveni domen sa identifikatorom i statusom potvrde (workspace_branding).
Izvor	Unosi agencija.
Pravni osnov	Izvršenje ugovora sa agencijom (čl. 6(1)(b) GDPR-a). Kada kontakt linija navodi zaposlene u agenciji, osnov određuje agencija.
Primaoci	Svako kome agencija dostavi izveštaj, kratki izveštaj ili link do portala.
Treća zemlja	Nema.
Čuvanje	Dok agencija ne promeni podatke; brend i datoteka logotipa brišu se sa radnim prostorom (fe_arbeitsbereich_daten_loeschen()). Sopstveni domen čija DNS potvrda ne uspeva sedam dana isključuje se. Sopstveni domen je podrazumevano isključen.
TOM	Odeljak 8.

A.9 Brojke, pokazatelji statusa i greške polja iz dodatka i proširenja

Polje	Unos
Svrha	Jednom dnevno WordPress dodatak i TYPO3 proširenje prijavljuju brojke o obrascima na povezanom veb-sajtu: blokirana slanja po razlogu, slanja, poslate i neuspešne e-poruke, pokazatelje statusa postavki obrasca, sačuvane upite po izvoru i rok čuvanja. Opciono, podrazumevano isključeno: događaji obrasca i kategorije grešaka polja po položaju polja. Na osnovu tih brojki nastaju „Zaštita u brojevima“, mesečni izveštaj, upozorenje o izostanku aktivnosti i obaveštenja o rizičnim postavkama.
Klasifikacija	Brojke su osmišljene tako da ne opisuju nijednu osobu. Navodimo ih u delu A zato što nastaju iz događaja na klijentovom veb-sajtu koje pokreću klijentovi posetioci; po našem mišljenju one su podaci o ličnosti najviše u graničnim slučajevima (veb-sajt sa vrlo malo slanja određenog dana). Sam prenos (ključevi, verzije, host) nalazi se u delu B (B.20).
Kategorije lica na koja se podaci odnose	Posetioci klijentovog veb-sajta koji šalju obrazac.
Kategorije podataka o ličnosti	Dnevne brojke po hostu: ukupan broj blokiranih slanja i po razlogu, slanja, poslate i neuspešne e-poruke, kategorija greške slanja e-pošte (samo jedna od četiri kategorije, nikada tekst greške, jer može da sadrži adrese primalaca), broj reCAPTCHA odgovora, obrisani i oslobođeni upiti (plugin_stats). Status: verzije sa fiksnog spiska dodataka za obrasce, CAPTCHA i e-poštu, pokazatelji postavki kao brojevi, rokovi čuvanja (plugin_health). Obaveštenja o promenama: naziv i verzija ažuriranog dodatka (plugin_changes). Opciono: brojači po obrascu i danu sa kategorijama grešaka po položaju polja (form_metrics). Nikada: unosi, nazivi polja, lozinke, datoteke, adrese e-pošte, imena, IP adrese ili trajni identifikatori posetilaca.
Izvor	Dodatak na klijentovom veb-sajtu, preko programskog interfejsa uz korišćenje tajnog ključa za povezivanje veb-sajta.
Pravni osnov (određuje rukovalac podacima o ličnosti)	Određuje klijent; klijent odlučuje da li će aktivirati opcione brojače i kako će obavestiti svoje posetioce.
Primaoci	Klijent. Domeni iz linkova u blokiranim porukama ulaze u zajedničku zaštitu (B.21).
Treća zemlja	Nema.
Čuvanje	Dnevne brojke, obaveštenja o promenama i brojači obrazaca nakon 13 meseci (noćno izvršavanje brisanja, delovi „plugin_stats“ i „form_metrics“). Pokazatelji statusa prepisuju se sa svakim izveštajem. Svi podaci dodatka za host brišu se čim nijedan domen u sistemu više ne upućuje na taj host (odmah pri brisanju poslednjeg domena; stari podaci noću, deo „orphan_hosts“).
Šta brojke dokazuju	Ono što je dodatak izbrojao. Ne dokazuju ni stope završavanja ni izgubljene upite.
TOM	Odeljak 8. Naročito: prihvatanje samo uz vezani par ključeva veb-sajta; prihvataju se samo poznati ključevi i brojevi, sve ostalo se odbacuje; dani izvan perioda od 14 dana se odbijaju.

A.10 Granica: šta ostaje samo na klijentovom veb-sajtu

Sledeće funkcije WordPress dodatka i TYPO3 proširenja obrađuju podatke isključivo na klijentovom serveru. Oni ne dospevaju do nas i mi im nemamo pristup. Isključivo je odgovoran operater veb-sajta; operater odlučuje o aktivaciji, rokovima čuvanja i načinu obaveštavanja svojih posetilaca. U tu svrhu dodatak predlaže pasuse za politiku privatnosti operatera.

Funkcija	Šta se obrađuje lokalno	Čuvanje na strani klijenta
Karantin	Zaustavljena slanja sa razlogom, koja mogu da se oslobode e-poštom na adresu veb-sajta	14 dana
Zaštitna mreža	Slanja kod kojih slanje e-poruke iz obrasca nije uspelo, radi ponovnog slanja (podrazumevano uključeno)	30 dana
Računski zadatak umesto reCAPTCHA	Računski zadatak u pregledaču posetioca, bez usluge treće strane (podrazumevano isključeno)	–
Postavke čuvanja	Brisanje sačuvanih upita u dodacima za obrasce nakon perioda koji odabere operater (podrazumevano isključeno)	prema konfiguraciji
Ograničavanje učestalosti	kratkotrajan identifikator izveden iz IP adrese, koji se ne prenosi nama	kratkotrajno
Lokalni dnevni brojači	Vrednosti brojača pre prenosa	najviše 14 dana
Snimač za administratore	tehnički selektori i koraci navigacije u skladištu sesije pregledača prijavljenog administratora; unosi se ne čitaju. Prenosi se samo izabrana konfiguracija (tada A.6)	najviše 15 minuta
Pomoć posetiocima	može da se aktivira zasebno; ne čuva nacrte i ne šalje ponovo automatski	–
Posmatranje novih pravila protiv neželjenih poruka	dodatna podudaranja broje se lokalno, bez automatske aktivacije	sedam dana

A.11 Zaštita obrazaca (formconfirmed)

Polje	Unos
Svrha	Ocenjivanje slanja putem obrazaca na veb-sajtovima klijenta radi prepoznavanja automatizovanih slanja: izdavanje i provera zadataka (računski dokaz), jednokratni kontrolni tokeni, vreme popunjavanja, polje zamka, učestali zahtevi; na zahtev klijenta ocenjivanje teksta poruke pomoću jezičkog modela. Samo za klijente koji uključe zaštitu obrazaca.
Kategorije lica na koja se podaci odnose	Posetioci veb-sajtova klijenta koji otvore stranicu sa zaštićenim obrascem ili ga pošalju.
Kategorije podataka o ličnosti	IP adresa (čuva se samo skraćena i kao heš sa ključem koji se menja svakog dana), adresa i domen stranice, vremenske oznake i vreme popunjavanja, polje zamka popunjeno da/ne, identifikator pregledača u dnevniku veb-servera; samo kada je uključena provera sadržaja, tekst poruke (samo u radnoj memoriji).
Poreklo	Pregledač posetioca (zadatak, kontrolni token); server klijenta (zahtev za proveru, po potrebi tekst).
Primaoci	Klijent (ocena, radnja, razlozi). Nema drugih; za ovu obradu nema podobrađivača.
Treća zemlja	Nijedna.
Čuvanje	Heš identifikator 1 sat; iskorišćeni kontrolni tokeni najviše 11 minuta; rezultati provera bez IP adrese i bez teksta 30 dana; dnevne brojke 400 dana; dnevnik veb-servera 14 dana; tekst se ne čuva.
TOM	Odeljak 8; dodatno skraćivanje i heš sa dnevnim ključem, potpisani zadaci, jednokratna upotreba, jezički model na sopstvenom hardveru bez beleženja teksta.

4. Deo A – primaoci, podobrađivači i prenosi u treće zemlje

Sledeća tabela navodi primaoce koje sami angažujemo i koji mogu da prime podatke iz dela A. Merodavan, stalno ažuriran spisak nalazi se na stranici Podobrađivači; ako se razlikuje od ove tabele, to je nalaz, a ne pitanje formatiranja.

Primalac	Šta prima	Treća zemlja	Osnov	Status
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Kontrolno poštansko sanduče provere isporuke e-pošte (A.1); slanje upozorenja e-poštom (A.3), potvrda i izveštaja pretplatnicima portala (A.2)	Mesto obrade još treba proveriti; videti stranicu „Podobrađivači“	Ugovor o obradi podataka; osnov za prenos još treba proveriti	Otvoreno. Odgovarajući ugovor, stvarna mesta obrade i osnov za prenos još nisu dokumentovani. Ova evidencija ne potvrđuje ni sertifikaciju ni zaključen ugovor.
Namecheap, Inc. (registrar, DNS; prosleđivanje e-pošte do postavljanja poštanskog sandučeta)	Do postavljanja sandučeta, opšta dolazna pošta na adrese našeg domena; ne i kopije iz provere isporuke e-pošte, koje stižu samo uz MX zapise koji upućuju direktno na sanduče (A.1)	SAD	treba proveriti: sertifikacija prema Okviru za zaštitu podataka EU–SAD ili standardne ugovorne klauzule	U upotrebi; osnov otvoren.
Naš sopstveni server za skeniranje sa lokalnim jezičkim modelom	Struktura obrasca za klasifikaciju i izabrani nalazi sa metapodacima skeniranja za akcione planove na plaćenim nalozima (A.4), nalepljeni kod (A.7), dešifrovani testni pristup samo tokom izvršavanja (A.5)	–	Njime upravljamo mi, nije treća strana	U upotrebi.
Nezavisna sonda na drugoj lokaciji	Domen, očišćena konfiguracija, identifikator zadatka (A.6)	zavisno od lokacije	treba utvrditi pre puštanja u rad	Nije postavljena.

Hosting: bez treće strane. Aplikacija, baza podataka, snimci ekrana i rezervne kopije čuvaju se na našim sopstvenim serverima u Poljskoj. Ako pređemo u centar podataka ili kod pružaoca usluga u oblaku, ovaj pasus mora da se napiše iznova.

4.1 Kanali upozorenja koje bira klijent

Pored primalaca koje angažujemo mi, postoje kanali koje klijent bira za svoja upozorenja (A.3). Naš server pokreće prenos; klijent određuje odredište i pružaoca usluge. Izbor kanala ne oslobađa nas sopstvenih obaveza kao obrađivača podataka o ličnosti. Za svakog pružaoca moraju da se utvrde uloga, ugovor i zaštitne mere potrebne za treće zemlje; za usluge ćaskanja to još nije završeno (otvoreno pitanje za pravnu proveru).

Kanal	Šta se šalje	Sedište pružaoca
E-pošta	Domen, događaj, objašnjenje, link; na unetu adresu	preko Namecheap, Inc. (Private Email), Phoenix, Arizona, USA
Webhook na slobodno izabranu adresu	Događaj kao JSON (domen, događaji, redovi, link, vremenski žig), potpisan tajnim ključem odredišta	određuje klijent
Slack, Discord, Microsoft Teams, Google Chat	isto obaveštenje kao poruka u ćaskanju na unetu webhook adresu	pretežno SAD
Telegram	odredište bira klijent; poruku šaljemo preko našeg bota na povezani ID ćaskanja	izvan EU, bez odluke o primerenosti; osnov za prenos je otvoreno pitanje za pravnu proveru

Ni u jednom slučaju ne šalje se sadržaj poruke posetioca. Obaveštenja nose domen, događaj i link.

5. Deo B – čl. 30(1): obrada pod sopstvenom odgovornošću

Rukovalac podacima o ličnosti za sve u ovom delu: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, contact@lukaswojcik.com. Predstavnik nije potreban (sedište u Uniji). Lice za zaštitu podataka o ličnosti nije imenovano (odeljak 9). Tehničke i organizacione mere: odeljak 8 i stranica Tehničke i organizacione mere. Kako lica na koja se podaci odnose ostvaruju svoja prava opisano je na stranici Pristup, brisanje i Vaša druga prava; vlasnici naloga mogu sami da preuzmu svoje podatke kao datoteku („Podešavanja“).

Kada se pozivamo na legitimne interese (čl. 6(1)(f) GDPR-a), navodimo interes i razlog zbog kog manje invazivno sredstvo nije dovoljno. Odmeravanje je naša procena; ono je deo pravne provere.

B.1 Posetioci našeg veb-sajta – dnevnici veb-servera

Polje	Unos
Svrha	Rad i bezbednost veb-sajta i aplikacije: isporuka, otklanjanje grešaka, otkrivanje napada i preopterećenja.
Kategorije lica na koja se podaci odnose	Svako ko otvori stranicu sajta formexposed.com ili form.exposed, uključujući posetioce klijentovih stranica čiji pregledač učitava sliku naše oznake (B.18), primaoce koji otvaraju link do izveštaja ili potvrde prijema i veb-sajtove čiji dodatak poziva naš interfejs.
Kategorije podataka o ličnosti	Puna IP adresa, vreme, zatražena adresa, statusni kod, preneti bajtovi, stranica upućivanja (referrer), identifikator pregledača (user agent).
Gde se čuva	Dnevnici pristupa prethodnog proksija i veb-servera kao datoteke na veb-serveru, ne u bazi podataka.
Izvor	Pregledač ili program koji šalje zahtev.
Pravni osnov	Čl. 6(1)(f) GDPR-a. Interes: bezbedan i neprekidan rad. Odmeravanje: bez pune adrese ponovljeni zahtevi istog pošiljaoca ne mogu da se povežu i napadi ne mogu da se odbiju; skraćena adresa ne omogućava ovo razlikovanje. Dnevnici se ne kombinuju sa drugim podacima i brišu se nakon kratkog perioda.
Primaoci	Nema.
Treća zemlja	Nema.
Čuvanje	14 dana: dnevna rotacija sa 14 generacija, zatim prepisivanje (sistemska usluga rotacije dnevnika, ne noćno izvršavanje brisanja aplikacije).
TOM	Odeljak 8.

B.2 Dnevnik pregleda stranica aplikacije

Polje	Unos
Svrha	Bezbednost i otkrivanje zloupotreba (ko šta traži i koliko često), sledljivost pristupa nalogu, jednostavna statistika korišćenja bez analitičke usluge.
Kategorije lica na koja se podaci odnose	Svi posetioci veb-sajta i korisnici aplikacije pri stvarnim pregledima stranica (bez zahteva u pozadini, bez slanja obrazaca).
Kategorije podataka o ličnosti	Puna IP adresa, zemlja izvedena iz nje pri upisu (lokalna geografska baza, bez upita trećoj strani), ID naloga za prijavljene korisnike, zatražena adresa i stranica upućivanja (pristupni tokeni u njima, poput onih iz linkova do izveštaja ili portala, maskirani), identifikator pregledača i iz njega izvedeni tip uređaja, operativni sistem i pregledač, jezik, vreme (access_logs). Tokom korišćenja funkcije „Prikaz kao klijent“ (B.14) ne postavlja se ID naloga kako se pregledi stranica podrške ne bi pojavili u klijentovom dnevniku.
Izvor	Zahtev pregledača.
Pravni osnov	Čl. 6(1)(f) GDPR-a. Interes: sprečavanje zloupotreba i sledljivost. Odmeravanje: kao u B.1; rok čuvanja je duži jer obrasci zloupotrebe postaju vidljivi tokom više nedelja. Da li IP adresu treba skratiti ili rok čuvanja smanjiti otvoreno je pitanje za pravnu proveru.
Primaoci	Nema. Vlasnici naloga dobijaju sopstvene preglede stranica u izvozu podataka.
Treća zemlja	Nema.
Čuvanje	60 dana (noću između 03:00 i 03:05, srv/cron_status.php, postavka „dnevnik pregleda stranica“).
TOM	Odeljak 8. IP adresa uzima se iz prosleđenog zaglavlja samo ako zahtev dolazi od našeg sopstvenog prethodnog proksija, i tada samo unos koji je taj proksi dodao; inače bi svako mogao proizvoljno da navede svoje poreklo.

B.3 Kolačići i čuvanje u pregledaču

Polje	Unos
Svrha	Tehnički neophodno čuvanje: sesija, zaštita od falsifikovanja zahteva sa drugih sajtova (CSRF), brojanje ograničenja za provere bez naloga, prijava, ostajanje u prijavljenom stanju na zahtev, svetao ili taman prikaz.
Kategorije lica na koja se podaci odnose	Posetioci i korisnici sajta formexposed.com.
Kategorije podataka o ličnosti	Kolačić sesije bpid (identifikator sesije; završava se zatvaranjem pregledača; HttpOnly, SameSite=Lax, Secure preko HTTPS-a). Kolačić bp_remember samo nakon izbora „Ostanite prijavljeni“ (selektor i verifikator; 30 dana). Lokalno skladište bp_theme (svetlo, tamno ili sistemsko). U administrativnom delu dodatno lokalne postavke prikaza operatera. Za ograničenja se formira heš od identifikatora sesije; sam identifikator se ne čuva.
Ne postavlja se	Bez analitičkih, reklamnih ili kolačića za praćenje. Partnerski program (B.33) radi bez kolačića. Slika oznake na klijentovim stranicama ne postavlja kolačić (B.18). reCAPTCHA može da postavi Google kolačiće kada se pošalje zaštićeni obrazac (B.23).
Pravni osnov	Pristup krajnjem uređaju: strogo neophodan za uslugu koju korisnik traži (§ 25(2) br. 2 TDDDG, nemački Zakon o zaštiti podataka u telekomunikacionim digitalnim uslugama; čl. 399(3) PKE, poljski Zakon o elektronskim komunikacijama (Prawo komunikacji elektronicznej)). Obrada: čl. 6(1)(b) GDPR-a (nalog) i (f) (bezbednost, ograničenja).
Primaoci	Nema.
Treća zemlja	Nema.
Čuvanje	Sesija; 30 dana za token pamćenja prijave. Noćno izvršavanje briše istekle tokene pamćenja prijave u bazi podataka (remember_tokens); pri odjavi, promeni lozinke i opozivu uređaja odmah.
TOM	Odeljak 8.

B.4 Besplatna provera bez naloga – prihvatanje, ograničenja i nadzor zloupotreba

Polje	Unos
Svrha	Svako može da zatraži proveru domena bez naloga. Da polje za unos ne bi postalo oružje protiv tuđih veb-sajtova, važe stepenasta ograničenja: jedna anonimna provera po domenu u sedam dana (nakon toga isti izveštaj), ograničenja po IP adresi i po sesiji u 24 sata, dnevno ograničenje za ceo sistem, blokada veoma mladih domena, lista blokiranih i isključivanje iz provera, samo javne adrese. Upadljivi obrasci se evidentiraju i prijavljuju operateru. Ograničenja po IP adresi, po sesiji i za ceo sistem, od kojih se svako broji zasebno, važe i za proveru iz dodatka bez naloga (dodatak sa vezanim parom ključeva računa se po veb-sajtu umesto po adresi) i za isključivanje iz provera (B.30); besplatan alat za zaglavlja (B.9) ima sopstvena ograničenja po IP adresi i danu i za ceo sistem.
Kategorije lica na koja se podaci odnose	Osobe koje pokreću proveru, zahtev alatu za zaglavlja ili isključivanje iz provera; serveri na kojima je instaliran dodatak.
Kategorije podataka o ličnosti	Dnevnik svakog zahteva: izvor (provera, dodatak, alat za zaglavlja, isključivanje iz provera), puna IP adresa, heš identifikatora sesije, provereni host, zemlja iz IP adrese, prihvaćen ili odbijen uz razlog, vreme (check_throttle). Nepravilnosti: tip (IP adresa, sesija, zemlja, sistem), ključ (za tip „IP“ puna IP adresa), obrazac, ozbiljnost, kratak opis, vremena otkrivanja i rešavanja, osoba koja rešava (abuse_flags). Zadatak: host, režim, nivo poverenja i skraćeni heš sesije kao identifikator podnosioca zahteva (scan_jobs). Izveštaj: nasumični identifikator, host, jezik, istek, prvi pregled, broj pregleda (reports). Keširana starost domena iz upita registru (domain_age_cache).
Izvor	Unos osobe; njen zahtev; upit registru (RDAP) za starost domena.
Pravni osnov	Izvršavanje zatražene provere: čl. 6(1)(b) GDPR-a (korišćenje besplatne provere prema Uslovima korišćenja); alternativno, (f). Ograničenja i nadzor: čl. 6(1)(f). Interes: sprečavanje korišćenja usluge kao alata protiv tuđih veb-sajtova ili kao topa za neželjene poruke. Odmeravanje: bez povezivanja sa adresom i sesijom ograničenja ne bi mogla da se sprovode; period od sedam dana kratak je koliko i najduže ograničenje koje se na osnovu njega broji.
Primaoci	Google (reCAPTCHA pri slanju, B.23). Za starost domena skener upituje RDAP uslugu preusmeravanja rdap.org, koja prosleđuje nadležnom registru; prenosi se samo naziv domena. Kada nastane nepravilnost, operater prima signal preko Telegram-a bez ikakve promenljive (bez hosta, bez adrese). Izveštaj može da vidi svako ko ima njegov nasumični link.
Treća zemlja	SAD preko reCAPTCHA (B.23).
Čuvanje	Dnevnik zahteva 7 dana (noću, srv/cron_status.php). Rešene nepravilnosti 90 dana nakon rešavanja; nerešene ostaju dok ih neko ne reši (odeljak 10). Anonimni izveštaji ističu nakon 30 dana; noćno izvršavanje zatim briše izveštaj, zadatak, rezultat provere, obrasce, nalaze i slike (fe_reports_aufraeumen()). Administrator može ručno da oslobodi unose za neku adresu; time se briše njen dnevnik za poslednja 24 sata.
TOM	Odeljak 8. Hitno zaustavljanje svih anonimnih provera u administrativnom delu; kontrola opterećenja koja ne prihvata nove besplatne provere kada postoji zaostatak.

B.5 Provera tuđih veb-sajtova pomoću prikupljača

Polje	Unos
Svrha	Bezbednosna provera javnih kontakt obrazaca: zaštitne mere protiv neželjenih poruka i zloupotreba, funkcije zaštite podataka i pristupačnosti, ugrađene skripte trećih strana, ponašanje nakon odbijanja u baneru za kolačiće, prikaz na mobilnom uređaju. Važi za provere bez naloga (B.4), za domene na nalogu koji još nisu potvrđeni i kao osnova za studiju (B.7) i proveru potencijalnih klijenata (B.8). Za potvrđene domene na nalogu postupamo u ime klijenta (A.4).
Ponašanje prikupljača	Sopstveni identifikator sa upućivanjem na stranicu prikupljača; čita robots.txt pre provere i zaustavlja se ako pravilo zabrane obuhvata početnu stranicu (isto tako ako robots.txt nije dostupan ili dođe do greške servera); pravila zabrane za pojedinačne potputanje ne poštuju se zasebno. Provera dostupnosti obrasca, preuzimanje dokaza kontrole, alat za zaglavlja i traženje izloženih datoteka ne čitaju robots.txt. Najviše osam javnih stranica po proveri, uz do tri stranice sa klikom na „Odbij“ u baneru za kolačiće, do tri stranice u prikazu telefona, aktivne probe za potvrđene domene i do pet stranica dostupnih nakon prijavljivanja (A.5); stranice se učitavaju jedna za drugom, ne paralelno; samo javne adrese, bez internih mreža, preusmeravanja se ponovo proveravaju; lista blokiranih i isključivanje iz provera proveravaju se pre prihvatanja i drugi put u skeneru. Pasivno: bez dokaza kontrole ništa se ne šalje za klijente (izuzetak: interne provere naših sopstvenih testnih i demonstracionih domena, B.6).
Kategorije lica na koja se podaci odnose	Operateri proveravanih veb-sajtova (kada su fizička lica, poput preduzetnika); osobe koje se slučajno vide na proveravanim stranicama.
Kategorije podataka o ličnosti	Kao u A.4: adrese i naslovi stranica, struktura obrasca (nazivi, tipovi i oznake polja, bez vrednosti polja), zaštitne mere, skripte trećih strana (adrese; ID-jevi naloga piksela i alata za snimanje zamenjuju se pre čuvanja), ponašanje banera za kolačiće, snimci ekrana (vidljivi deo početne stranice, obrasci). Ako se u obrascu pojavi adresa primaoca, samo njen domen (scans, forms, findings, scan_screenshots).
Izvor	Javno dostupne stranice.
Pravni osnov	Čl. 6(1)(f) GDPR-a. Interes: izvršavanje zatražene bezbednosne provere; upozoravanje operatera veb-sajtova na slabosti koje mogu da naškode njihovim posetiocima. Odmeravanje: čita se samo ono što svaki posetilac vidi, u malom obimu i bez ikakvog slanja; operater može u svakom trenutku trajno da isključi svoj domen bez dokazivanja. Informacije prema čl. 14 GDPR-a pružaju se putem stranice prikupljača, isključivanja iz provera i Politike privatnosti; da li je to dovoljno prema čl. 14(5)(b) otvoreno je pitanje za pravnu proveru.
Primaoci	Svako ko pokrene izveštaj i svako kome dostavi nasumični link; lokalni jezički model na našem sopstvenom serveru kada je tip obrasca nejasan (struktura obrasca, naslov i adresa stranice, vidljivi tekst obrasca). Upozorenja o ranjivostima na osnovu verzija dodataka nikada se ne pojavljuju u anonimnim izveštajima.
Treća zemlja	Nema.
Čuvanje	Anonimno: 30 dana (B.4). Provera potencijalnih klijenata: 90 dana (B.8). Studija: do objavljivanja (B.7). Domen na nalogu: najviše 13 meseci, poslednja provera ostaje; odmah sa domenom. Interne provere operatera bez domena i bez izveštaja (poput onih napravljenih iz komandne linije): bez roka čuvanja (odeljak 10). Privremene datoteke na serveru za skeniranje brišu se nakon svakog izvršavanja.
TOM	Odeljak 8. Naročito: zaseban kontejner za proveru sa smanjenim privilegijama, sistemom datoteka samo za čitanje, ograničenjem memorije i sopstvenom mrežom; dvostruka provera odredišta.

B.6 Aktivne testne poruke

Polje	Unos
Svrha	Provera da li kontakt obrazac prihvata slanje bez zaštite, da li CAPTCHA, polje zamka (honeypot), token, validacija adrese e-pošte i ograničavanje učestalosti deluju na strani servera i da li je moguće ubacivanje zaglavlja.
Preduslov	Za klijente, samo za domene za koje je dostavljen dokaz kontrole (DNS zapis, meta oznaka, datoteka ili povezani dodatak); pored toga, operater koristi interni alat komandne linije za pravljenje provera sa nivoom „verified“ za naše sopstvene testne i demonstracione domene. Samo kada je globalni prekidač uključen, samo za obrazac pouzdano klasifikovan kao opšti kontakt obrazac. Nikada za porudžbine, rezervacije, registracije, biltene, plaćanja, otpremanje datoteka, obavezna polja sa stvarnim podacima o ličnosti ili domene organa javne vlasti, zdravstvenih ili obrazovnih ustanova.
Kategorije lica na koja se podaci odnose	Klijentovi zaposleni koji primaju e-poruke iz obrasca.
Kategorije podataka o ličnosti	Testna poruka ne sadrži podatke o ličnosti: pošiljalac „FormExposed Security Scanner“, naša sopstvena adresa pošiljaoca ili adresa sa završetkom .invalid, označen predmet i tekst na jeziku stranice sa upućivanjem na stranicu prikupljača, isključivanje iz provera i broj provere. Mi čuvamo: odgovor stranice, nalaze, sliku naredne stranice (kao u A.4).
Obim	Najviše pet slanja po proveri (postavka, podrazumevano 5); ponavljaju se učestalošću provera paketa, svakodnevno u najvišem paketu.
Izvor	Uputstvo klijenta.
Pravni osnov	Izvršenje ugovora sa klijentom (čl. 6(1)(b) GDPR-a); poruke odlaze u klijentov sopstveni obrazac. Za primaoce na strani klijenta: organizacija klijenta.
Primaoci	Klijent (e-pošta njegovog obrasca).
Treća zemlja	Nema preko nas.
Čuvanje	Rezultati kao u A.4.
TOM	Odeljak 8. Ubacivanje zaglavlja samo se otkriva, nikada se ne izvršava sa stvarnim primaocem; validacija adrese e-pošte koristi samo domen koji ne može da postoji.

B.7 Studija „Indeks bezbednosti obrazaca“

Polje	Unos
Svrha	Statistika zaštite kontakt obrazaca u zemlji ili sektoru. Objavljuju se samo ukupni podaci, bez naziva veb-sajtova; segmenti samo od 20 stranica sa obrascem.
Kategorije lica na koja se podaci odnose	Operateri veb-sajtova sa spiska; osobe koje se slučajno vide.
Kategorije podataka o ličnosti	Kao u B.5, samo pasivno. Dodatno spisak: host, segment, status, zadatak (study_domains); studija sa naslovom, zemljom, zbirnim rezultatima (studies).
Izvor	Spisak javnih veb-sajtova koji sastavlja operater; same stranice.
Pravni osnov	Čl. 6(1)(f) GDPR-a. Interes: statistički iskazi o stanju bezbednosti obrazaca. Odmeravanje: pasivno, sa ograničenom učestalošću (malo zadataka po izvršavanju), važe lista blokiranih i isključivanje iz provera, objavljivanje samo zbirno, sirovi podaci se brišu.
Primaoci	Javnost, samo ukupni podaci.
Treća zemlja	Nema.
Čuvanje	Sirovi podaci (rezultati provera, obrasci, nalazi, slike, zadaci) brišu se pri objavljivanju (fe_studie_veroeffentlichen()). Spisak hostova sa segmentom ostaje nakon toga; za njega ili za studije koje nikada nisu objavljene nema roka čuvanja (odeljak 10). Operater odlučuje koji spiskovi se proveravaju i da li se studije objavljuju.
TOM	Odeljak 8.

B.8 Provera potencijalnih klijenata (režim akvizicije za agencije)

Polje	Unos
Svrha	Agencija (paket Business) pasivno proverava veb-sajt potencijalnog klijenta i dobija kratki izveštaj pod svojim brendom i pasivni izveštaj. Mi nikoga ne kontaktiramo; agencija sama prosleđuje link.
Kategorije lica na koja se podaci odnose	Operater proveravanog veb-sajta; osobe koje se slučajno vide; zaposleni u agenciji koji pokreću proveru.
Kategorije podataka o ličnosti	Kao u B.5, samo pasivno. Dodatno: radni prostor, osoba koja pokreće proveru, host, nasumični identifikator izveštaja, vreme (prospect_checks).
Izvor	Unos agencije; javne stranice.
Pravni osnov	Čl. 6(1)(f) GDPR-a (naš interes za pružanje usluge i interes agencije za utemeljen pristup). Uloge agencije i nas i obaveze agencije pri prosleđivanju izveštaja otvorena su pitanja za pravnu proveru: ako agencija pošalje izveštaj e-poštom bez prethodnog zahteva ili telefonira, to je direktni marketing koji zahteva pristanak prema čl. 398 PKE i § 7(2) UWG (nemački Zakon protiv nelojalne konkurencije), čak i između preduzeća. Za to je odgovorna agencija; Uslovi korišćenja je na odgovarajući način obavezuju.
Primaoci	Agencija i svako kome dostavi link.
Treća zemlja	Nema.
Čuvanje	Izveštaj i rezultat provere ističu nakon 90 dana i tada ih briše noćno izvršavanje (fe_reports_aufraeumen()); unos provere briše se nakon 90 dana u dnevnom izvršavanju zajedničke zaštite od 04:00 (srv/cron_status.php). Sa radnim prostorom odmah.
TOM	Odeljak 8. Mesečna kvota (postavka, podrazumevano 30); ista stranica u roku od sedam dana vraća isti izveštaj; važi isključivanje iz provera.

B.9 Alat za zaglavlja bez naloga

Polje	Unos
Svrha	Besplatna ocena (A+ do F) bezbednosnih zaglavlja početne stranice domena. Dva zahteva, bez pregledača, bez obrasca, bez slanja.
Kategorije lica na koja se podaci odnose	Osobe koje koriste alat; operateri proveravanog domena.
Kategorije podataka o ličnosti	Dnevnik zahteva kao u B.4 (izvor „headers“, IP adresa, heš sesije, host). Rezultat: host, ocena, poeni, procenjena zaglavlja (header_checks).
Pravni osnov	Čl. 6(1)(f) GDPR-a, kao u B.4 i B.5.
Primaoci	Google (reCAPTCHA, B.23).
Treća zemlja	SAD preko reCAPTCHA.
Čuvanje	Dnevnik zahteva 7 dana; rezultati nakon trenutno 90 dana (noćno izvršavanje brisanja, deo „header_checks“, postavka „headers_keep_days“). Za domene na nalogu ocena se ponovo utvrđuje svakodnevno i čuva uz domen.
TOM	Odeljak 8. Ograničenja po IP adresi i danu; važi isključivanje iz provera.

B.10 Korisnički nalozi

Polje	Unos
Svrha	Upravljanje korisničkim nalozima, radnim prostorima i paketima.
Kategorije lica na koja se podaci odnose	Klijenti (preduzeća) i članovi njihovih timova sa sopstvenim nalogom.
Kategorije podataka o ličnosti	Adresa e-pošte i normalizovani oblik, lozinka samo kao heš, ime (obavezno), prezime i preduzeće (kada su navedeni); aplikacija ne čuva adresu i PDV identifikacioni broj, oni se navode samo kod Stripe-a (B.26); status, jezik, režim prikaza, valuta, paket i status naplate, Stripe ID klijenta i pretplate, kraj obračunskog perioda, otkazivanje na kraju perioda, identifikatori potvrde i resetovanja sa istekom, nova adresa e-pošte do potvrde, vreme registracije, poslednje prijavljivanje i poslednja IP adresa, vreme opoziva svih sesija, podaci za dva faktora (B.11), mesečni izveštaj uključen/isključen, vreme e-poruke podsetnika, otključavanja putem kodova, kod preporuke i preporuka (users). Radni prostori sa nazivom, vremenima, statusom (workspaces); članstvo sa ulogom i datumom pridruživanja (workspace_users).
Izvor	Registracija i postavke koje vrši osoba; status naplate od Stripe-a.
Pravni osnov	Čl. 6(1)(b) GDPR-a (ugovor). Poslednja IP adresa: (f) (bezbednost naloga).
Primaoci	Stripe (B.26); pružalac usluge e-pošte za e-poruke naloga (B.25). Članovi istog radnog prostora vide ime, adresu e-pošte i ulogu drugih članova.
Treća zemlja	Preko Stripe-a i pružaoca usluge e-pošte.
Čuvanje	Dok vlasnik naloga ne obriše nalog. Pri brisanju, sopstveni radni prostori vlasnika koje niko drugi ne koristi brišu se sa svim domenima i njihovim podacima; radni prostori sa dodatnim članovima prelaze na drugog člana, prvo na administratore, a među njima na onog sa najdužim članstvom. Članstva, tokeni pamćenja prijave, uređaji, API ključevi, otvoreni Telegram kodovi, povratne informacije o izveštajima (B.35) i red naloga brišu se; aktivna plaćena pretplata prvo se odmah okončava kod Stripe-a, bez povraćaja novca (www/ajax.php, fe_konto_reste_loeschen()). Nasuprot tome, otkazivanje u delu za naplatu stupa na snagu na kraju perioda; nakon toga nalog nastavlja na besplatnom paketu. Šta ostaje navedeno je u odeljku 6.4. Nalozi koji nikada nisu potvrđeni i na koje se nikada nije prijavljivalo brišu se nakon 30 dana, osim ako je drugi član povezan sa njihovim radnim prostorom (noćno izvršavanje brisanja, deo „pending_accounts“). Neaktivni nalozi se ne brišu. Ako ugovor za nalog prestane na drugi način, na primer našim otkazom, nalog brišemo najkasnije 30 dana nakon prestanka ugovora; to se trenutno vrši ručno (obaveza iz Ugovora o obradi podataka).
TOM	Odeljak 8.

B.11 Prijava, uređaji, drugi faktor i dnevnik aktivnosti

Polje	Unos
Svrha	Zaštita naloga: ograničavanje pokušaja prijavljivanja i drugih pokušaja unosa lozinke, prikaz i opoziv prijavljenih uređaja, prijava sa dva faktora, sledljivost promena.
Kategorije lica na koja se podaci odnose	Vlasnici naloga i članovi timova; osobe koje pokušavaju prijavu, registraciju ili unos lozinke portala za klijente.
Kategorije podataka o ličnosti	Pokušaji prijavljivanja: IP adresa, uneta adresa e-pošte, uspeh, vreme (login_attempts). Uređaji: heš identifikatora sesije (nikada sam identifikator), veza sa tokenom pamćenja prijave, IP adresa, identifikator pregledača i iz njega izvedeni pregledač, operativni sistem i tip uređaja, vremena prijavljivanja, poslednje aktivnosti i opoziva, a za funkciju „Prikaz kao klijent“ identifikator osobe iz podrške (login_sessions). Tokeni pamćenja prijave za „Ostanite prijavljeni“: selektor, verifikator, istek (remember_tokens). Dva faktora: šifrovana tajna, vreme aktivacije, poslednji korišćeni vremenski korak, kodovi za oporavak samo kao heš (u users). Dnevnik aktivnosti: nalog, radni prostor, radnja, cilj, detalji, IP adresa, zemlja, vreme (audit_logs). Brojači pokušaja za prijavu, drugi faktor, potvrdu lozinke, resetovanje lozinke, registraciju i lozinke portala za klijente: HMAC ključ izveden iz svrhe i ID-ja naloga (za nepoznatu adresu ili resetovanje, adresa e-pošte malim slovima), IP adresa, nalog i IP adresa zajedno ili ID portala (takođe zajedno sa IP adresom), broj pokušaja, istek; adrese e-pošte i IP adrese tamo se ne čuvaju u čitljivom obliku (tabela auth_attempt_buckets).
Pravni osnov	Čl. 6(1)(b) GDPR-a u vezi sa čl. 32 (spisak uređaja, drugi faktor) i (f) (pokušaji prijavljivanja, dnevnik aktivnosti). Interes: zaštita naloga od preuzimanja, dokumentovanje promena (čl. 5(2)). Odmeravanje: skraćena adresa ne odgovara na pitanje „da li je to bila moja radnja?“; dnevnik aktivnosti mora da traje duže od spora koji nastane tek mesecima kasnije.
Primaoci	Nema. Vlasnik naloga vidi svoje uređaje i dobija pokušaje prijavljivanja, uređaje i aktivnosti u izvozu podataka; tokom sesije funkcije „Prikaz kao klijent“ tamo se ne pojavljuju ni IP adresa ni pregledač osobe iz podrške.
Treća zemlja	Nema.
Čuvanje	Pokušaji prijavljivanja 7 dana; nakon uspešne prijave neuspešni pokušaji sa iste adrese brišu se odmah. Brojači pokušaja na kraju njihovog vremenskog prozora (trenutno 15 minuta, jedan sat za resetovanje lozinke i registraciju); istekli se brišu pri sledećem pristupu i noćnim izvršavanjem. Uređaji 90 dana nakon poslednje upotrebe ili nakon opoziva (noćno izvršavanje brisanja, deo „sessions“), odmah sa nalogom. Tokeni pamćenja prijave ističu nakon 30 dana. Dnevnik aktivnosti 365 dana (noću); kada se nalog obriše, njegovi unosi ostaju do kraja roka čuvanja (odeljak 6.4).
TOM	Odeljak 8.

B.12 Dokaz o zaključenju ugovora

Polje	Unos
Svrha	Dokazivanje koju verziju Uslova korišćenja, Ugovora o obradi podataka i Politike privatnosti je klijent prihvatio ili primio k znanju pri registraciji i da klijent koristi uslugu za svoje poslovanje.
Kategorije lica na koja se podaci odnose	Klijenti.
Kategorije podataka o ličnosti	Po dokumentu: nalog, dokument, verzija (heš prikazanog teksta), povod, IP adresa, identifikator pregledača, vreme (legal_consents). Sama prikazana verzija sa celim tekstom, jezikom, naslovom i adresom, jednom po verziji (legal_versions; ne sadrži podatke o ličnosti).
Pravni osnov	Čl. 6(1)(b) i (f) GDPR-a (dokaz zaključenja ugovora, odbrana od zahteva).
Primaoci	Nema. Vlasnik naloga dobija svoje zapise u izvozu podataka.
Treća zemlja	Nema.
Čuvanje	Dok nalog postoji; nakon brisanja naloga četiri godine od pristanka, zatim brisanje noću (srv/cron_status.php). Obrazloženje u kodu: trogodišnji rok zastarelosti od kraja godine, zaokružen naviše. Da li poljsko pravo upućuje na drugi rok deo je pravne provere.
TOM	Odeljak 8. Ako neki od tri dokumenta nedostaje, registracija je zatvorena.

B.13 Pozivi u tim

Polje	Unos
Svrha	Pozivanje dodatnih osoba u radni prostor.
Kategorije lica na koja se podaci odnose	Pozvane osobe.
Kategorije podataka o ličnosti	Adresa e-pošte, uloga, identifikator poziva, osoba koja poziva, istek, vreme prihvatanja (workspace_invites); e-poruka poziva u odlaznom sandučetu (B.25).
Izvor	Unosi član koji poziva.
Pravni osnov	Čl. 6(1)(b) GDPR-a u odnosu na klijenta; prema pozvanoj osobi (f) (interes klijenta da uključi svoj tim).
Primaoci	Pružalac usluge e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Treća zemlja	Preko pružaoca usluge e-pošte.
Čuvanje	Poziv važi 14 dana i samo dok je osoba koja poziva vlasnik ili administrator radnog prostora. Neprihvaćeni pozivi nakon isteka, prihvaćeni 30 dana nakon prihvatanja (noću, srv/cron_status.php i deo „invites“ u cfg/fristen_lib.php). Sa radnim prostorom odmah.
TOM	Odeljak 8.

B.14 „Prikaz kao klijent“ u podršci

Polje	Unos
Svrha	Superadministrator vidi aplikaciju onako kako je vidi klijent radi rešavanja pitanja podrške („kod mene nedostaje dugme“).
Kategorije lica na koja se podaci odnose	Dotični klijent; superadministrator.
Kategorije podataka o ličnosti	Sve što klijent vidi u aplikaciji. Evidentira se: zaseban red uređaja sa identifikatorom superadministratora (login_sessions), početak i kraj u dnevniku aktivnosti (audit_logs).
Pravni osnov	Čl. 6(1)(b) GDPR-a (podrška kao deo usluge), alternativno (f).
Ograničenja	Najviše jedan sat, zatim potpuna odjava. Završetak prikaza takođe potpuno odjavljuje superadministratora, uključujući sesiju iz koje je došao; u administrativni deo vraća se tek ponovnom prijavom sa lozinkom i drugim faktorom. Završava se odmah ako se superadministratoru smanji uloga ili se blokira. Blokirano je sve što menja klijentov nalog: lozinka, adresa e-pošte, drugi faktor, uređaji, pretplata, izvoz, brisanje, prenos. Administrativni deo je zatvoren tokom sesije. Klijent vidi pristup u svom spisku uređaja i u izvozu podataka kao pristup podrške.
Primaoci	Nema.
Treća zemlja	Nema.
Čuvanje	Red uređaja 90 dana, dnevnik aktivnosti 365 dana.
TOM	Odeljak 8.

B.15 Domeni, dokaz kontrole i nadzor

Polje	Unos
Svrha	Osnovna usluga za klijente: držanje domena na nalogu, dostavljanje dokaza kontrole, redovne provere i otkrivanje promena. To obuhvata proveru dostupnosti obrasca (lagan zahtev bez pregledača svakih 10 do 30 minuta zavisno od paketa), dnevni nadzor DNS-a e-pošte i sertifikata, datum isteka domena, liste blokiranih, izložene datoteke, verzije vidljive spolja, inventar skripti, vizuelne promene obrasca, prekide rada CAPTCHA pružalaca i pružalaca e-pošte i nadzor ranjivosti dodataka za obrasce.
Kategorije lica na koja se podaci odnose	Klijenti i članovi njihovih timova; operateri domena kada su fizička lica.
Kategorije podataka o ličnosti	Domen sa hostom, javnim identifikatorom, napomenom, oznakom klijenta, tipom i identifikatorom dokaza, učestalošću provera, uključenim/isključenim nadzorom, periodima održavanja, vrednošću upita, identifikatorima za oznaku, proveru isporuke e-pošte i deploy hook, ključem dodatka, stanjima i poslednjim rezultatima nadzora (DNS, sertifikat, autentičnost e-poruke iz obrasca, liste blokiranih, izložene datoteke, zaglavlja, verzije) (domains). Provera dostupnosti po stranici obrasca (form_pulse). Ranjivosti na osnovu verzija dodataka (vuln_hits). Inventar skripti sa adresom, hešom, veličinom, odobrenjem uz osobu koja odobrava i razlog (script_inventory, script_changes). Provere kao u A.4. Za izložene datoteke čuvaju se putanja, ozbiljnost i tip, nikada sadržaj.
Zahtevi trećim stranama	DNS upiti (SPF, DMARC, MX, zapis dokaza). Upit registru preko RDAP-a prema IANA direktorijumu: samo naziv domena. DNS liste blokiranih (SpamCop, PSBL, Mailspike, SURBL; Spamhaus samo sa sačuvanim pristupnim podacima, trenutno ne): IP adrese veb-servera i poštanskog servera i naziv domena, bez podataka posetilaca. Google Web Risk samo ako je podešen (trenutno nije): adresa početne stranice. Autoritet za vremenske žigove: samo heš vrednost (B.19). WPVulnerability: samo identifikator dodatka ili teme ili verzija WordPress-a; poređenje sa instaliranom verzijom dodatka vršimo sami. Statusne stranice Cloudflare, hCaptcha, Google Cloud, SendGrid, Mailgun i Brevo: ne prenosi se ništa osim samog zahteva.
Izvor	Klijent; zahtevi klijentovoj stranici; javni direktorijumi.
Pravni osnov	Čl. 6(1)(b) GDPR-a.
Primaoci	Navedene usluge ne primaju podatke o ličnosti naših klijenata, u meri u kojoj nazivi domena i adrese servera preduzeća nisu podaci o ličnosti; kod preduzetnika naziv domena može da bude podatak o ličnosti. Članovi radnog prostora vide domen.
Treća zemlja	Zahtevi mogu da stignu do usluga u trećim zemljama (poput upita registru, lista blokiranih). Prenosi se samo ono što je navedeno u redu „Zahtevi trećim stranama“.
Čuvanje	Do brisanja domena. fe_domain_loeschen() tada odmah briše rezultate provera, obrasce, nalaze, slike, izveštaje, zadatke, odredišta upozorenja i dnevnik upozorenja, incidente, Telegram kodove, isporuke, proveru dostupnosti, ranjivosti i dokaze; preko stranih ključeva nadzirane obrasce, izvršavanja pregledača, testni nalog i brojače obrazaca; podatke dodatka za host ako nijedan drugi domen ne upućuje na njega. Takođe se brišu inventar skripti domena i promene skripti; oni nemaju sopstveni rok čuvanja (odeljak 6.4). Rezultati provera najviše 13 meseci, poslednji ostaje.
TOM	Odeljak 8. Nadzor izloženih datoteka i verzija samo za potvrđene domene, najviše jedan zahtev po putanji, samo prvih 8 KB; ispitivanje tuđih putanja bez zahteva bilo bi alat za napad.

B.16 Upozorenja, incidenti i eskalacija prema vlasniku naloga

Polje	Unos
Svrha	Obaveštavanje klijenta o greškama i promenama, poštovanje perioda održavanja, potvrđivanje prijema i eskaliranje incidenata. Kada su odredišta treća lica, postupamo u ime klijenta (A.3); kada je to sam vlasnik naloga, navedeno je ovde.
Kategorije lica na koja se podaci odnose	Vlasnici naloga i članovi timova kao primaoci.
Kategorije podataka o ličnosti	Kao u A.3. Obaveštenja se prikazuju na jeziku vlasnika naloga.
Pravni osnov	Čl. 6(1)(b) GDPR-a.
Primaoci	Pružalac usluge e-pošte; izabrane usluge ćaskanja (4.1).
Treća zemlja	Zavisno od kanala (4.1).
Čuvanje	Kao u A.3: dnevnik isporuke 90 dana, zbirna obaveštenja 30 dana nakon isporuke, incidenti do rešavanja i zatim 180 dana. Odredišta upozorenja sa domenom.
TOM	Odeljak 8.

B.17 Mesečni izveštaj nalozima

Polje	Unos
Svrha	Svakog 1. u mesecu od 08:00 (naknadno slanje do 3.), jedna e-poruka po nalogu koja obuhvata sve njegove domene: nivo, ocena i promena, upozorenja, blokirani botovi, slanje e-pošte, uporedna vrednost.
Kategorije lica na koja se podaci odnose	Aktivni vlasnici naloga sa uključenim mesečnim izveštajem.
Kategorije podataka o ličnosti	Adresa e-pošte, jezik, ključni pokazatelji domena.
Pravni osnov	Čl. 6(1)(b) GDPR-a (deo usluge). Može da se odjavi u postavkama; može centralno da se isključi.
Primaoci	Pružalac usluge e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Treća zemlja	Preko pružaoca usluge e-pošte.
Čuvanje	Nema zasebnog čuvanja; e-poruka ostaje u odlaznom sandučetu 30 dana (B.25).
TOM	Odeljak 8.

B.18 Oznaka i javna stranica potvrde

Polje	Unos
Svrha	Klijent može da ugradi sliku oznake na svoj veb-sajt i poveže je sa javnom stranicom potvrde. Oznaka prikazuje „Zaštićeno“ samo ako je domen potvrđen, nadzor radi, a poslednja završena provera nije starija od 45 dana i dala je rezultat „Zaštićeno“ ili „Delimično zaštićeno“; u suprotnom neutralno prikazuje „Provera kontakt obrasca“. Stranica potvrde navodi nivo i datum, bez pojedinačnih nalaza.
Kategorije lica na koja se podaci odnose	Posetioci klijentovog veb-sajta čiji pregledač učitava sliku; posetioci stranice potvrde.
Kategorije podataka o ličnosti	Pri učitavanju slike: IP adresa, vreme, zatražena adresa, stranica upućivanja i identifikator pregledača u dnevniku veb-servera (B.1). Adresa slike ne pokreće sesiju, ne postavlja kolačić i ne upisuje u dnevnik pregleda stranica. Stranica potvrde je obična stranica (B.2, B.3).
Pravni osnov	Čl. 6(1)(f) GDPR-a. Interes: isporuka slike i održavanje bezbednog rada. Da li smo klijent i mi zajednički rukovaoci podacima o ličnosti za prenos IP adrese posetioca u smislu sudske prakse o ugrađenom sadržaju trećih strana i da li je potreban sporazum prema čl. 26 otvoreno je pitanje za pravnu proveru. Klijent dobija predlog teksta za svoju politiku privatnosti.
Primaoci	Nema.
Treća zemlja	Nema.
Čuvanje	14 dana (dnevnik veb-servera). Slika se kešira jedan sat. Kada se oznaka isključi, identifikator prestaje da važi.
TOM	Odeljak 8.

B.19 Evidencija dokaza i vremenski žig

Polje	Unos
Svrha	Jedna evidencija po domenu i mesecu (plaćeni paketi): šta je provereno, sa kojim rezultatom, šta je prijavljeno i šta se promenilo, kao dokaz za odgovornost, osiguravače ili revizije dobavljača. Svaka verzija dobija broj provere; javna stranica potvrđuje domen, period i ključne pokazatelje, bez detalja. Od 7. oktobra 2026. autoritet za vremenske žigove prema RFC 3161 potvrđuje vreme.
Kategorije lica na koja se podaci odnose	Klijenti; posredno, osobe koje mogu biti navedene u evidenciji kao osobe koje odobravaju ili potvrđuju prijem.
Kategorije podataka o ličnosti	Domen, mesec, broj provere, heš sadržaja (SHA-512), sažetak i podaci evidencije, odgovor sa vremenskim žigom, autoritet za vremenske žigove i vreme, neuspešni pokušaji (proof_docs).
Pravni osnov	Čl. 6(1)(b) GDPR-a.
Primaoci	Autoritet za vremenske žigove (podrazumevano Certum, rezervno DigiCert) prima samo heš evidencije, ne njen sadržaj. Javno: ključni pokazatelji putem stranice potvrde. Klijent i svako kome klijent dostavi evidenciju ili broj provere.
Treća zemlja	Nema prenosa podataka o ličnosti: heš ne omogućava zaključivanje o sadržaju. Rezervni autoritet ima sedište u SAD.
Čuvanje	Do brisanja domena (fe_domain_loeschen()). Vremenski žig nije kvalifikovani vremenski žig prema eIDAS-u.
TOM	Odeljak 8.

B.20 Dodatak i proširenje: provera, povezivanje i prenos

Polje	Unos
Svrha	WordPress dodatak i TYPO3 proširenje mogu da zatraže proveru (čak i bez naloga), povežu se sa nalogom (instalacija se računa kao dokaz kontrole jednim klikom na nalogu), otključaju funkcije zaštite, prijavljuju brojke svakodnevno (A.9) i odmah prijave greške e-pošte i režim održavanja.
Kategorije lica na koja se podaci odnose	Klijenti; operateri veb-sajtova koji koriste dodatak bez naloga.
Kategorije podataka o ličnosti	Po hostu: verzija dodatka i CMS-a, broj provera, identifikator poslednjeg izveštaja, heš tajnog ključa za povezivanje, prvi i poslednji kontakt (plugin_sites). Jednokratni kodovi za povezivanje kao heš sa istekom (plugin_connect_tokens). Kodovi za povezivanje agencije kao heš sa prefiksom, oznakom, upotrebama, osobom koja ih je napravila (workspace_connect_codes). Dnevnik zahteva sa IP adresom servera koji poziva (B.4). Ključ dodatka je javno vidljiv u zaglavlju veb-sajta; on je heš tajnog ključa, a sam tajni ključ čuva se samo kao heš i nikada se ne vraća.
Pravni osnov	Čl. 6(1)(b) GDPR-a (nalog); bez naloga (f) (zatražena provera, sprečavanje zloupotreba).
Primaoci	Nema.
Treća zemlja	Nema.
Čuvanje	Podaci hosta brišu se čim nijedan domen više ne upućuje na njega; red dodatka bez naloga tek nakon 90 dana bez kontakta (noćno izvršavanje brisanja, deo „orphan_hosts“). Jednokratni kodovi jedan dan nakon isteka. Kodovi za povezivanje sa radnim prostorom.
TOM	Odeljak 8. Od 27. septembra 2026. server prihvata samo parove ključeva vezane za veb-sajt; stariji, nevezani tajni ključevi za povezivanje su obrisani.

B.21 Zajednička zaštita

Polje	Unos
Svrha	Zajednička odbrana od neželjenih poruka: povezani veb-sajtovi prijavljuju domene linkova u porukama koje je njihov zaštitni sloj zaustavio. Domen koji se pojavi na najmanje tri veb-sajta sa najmanje pet podudaranja u roku od sedam dana stavlja se na spisak koji se vraća svim povezanim veb-sajtovima; njihov zaštitni sloj premešta poruke sa takvim linkovima u karantin, nikada ih ne odbacuje bez traga.
Kategorije lica na koja se podaci odnose	Vlasnici prijavljenih domena linkova kada su fizička lica (poput operatera sajta za neželjene poruke pod sopstvenim imenom). Ne pošiljaoci i primaoci poruka: adrese, tekstovi i imena se ne prijavljuju.
Kategorije podataka o ličnosti	Signali: tip, domen, host koji prijavljuje, dan, podudaranja (swarm_signals). Spisak: tip, domen, broj veb-sajtova i podudaranja, vremena (swarm_list). Velike usluge, domeni naših klijenata i izuzeci koje postavi operater nikada se ne stavljaju na spisak.
IP mreže	Deljenje IP mreža (/24, /48) je pripremljeno. Ono je isključeno i dodatak ih ne prijavljuje; uključiće se tek nakon pravne provere jer su IP adrese podaci o ličnosti.
Pravni osnov	Čl. 6(1)(f) GDPR-a. Interes: zaštita obrazaca svih klijenata od talasa neželjenih poruka. Odmeravanje: samo domeni, minimalni pragovi protiv trovanja podacima, bez gubitka poruka, uklanjanje moguće u svakom trenutku.
Primaoci	Svi povezani veb-sajtovi (spisak domena).
Treća zemlja	Zavisno od lokacije povezanih veb-sajtova; spisak može da stigne i do veb-sajtova izvan EEP-a. On predstavlja podatke o ličnosti samo u graničnim slučajevima (domeni fizičkih lica). Osnov za prenos prema poglavlju V GDPR-a za te slučajeve tek treba utvrditi (otvoreno pitanje za pravnu proveru).
Čuvanje	Signali 30 dana (dnevno izvršavanje zajedničke zaštite od 04:00, cfg/swarm_lib.php). Spisak se svakodnevno ponovo izračunava; ono što više ne dostiže prag ispada.
TOM	Odeljak 8.

B.22 API ključevi, programski interfejs i MCP server

Polje	Unos
Svrha	Pristup klijentovih sopstvenih alata (REST API, Zapier, Make, MCP server za AI asistente) klijentovim domenima, proverama i incidentima.
Kategorije lica na koja se podaci odnose	Klijenti koji prave ključeve.
Kategorije podataka o ličnosti	Ključ samo kao heš, prefiks, oznaka, vremena pravljenja, poslednje upotrebe i opoziva (api_keys). Pozivi po minutu (api_usage).
Pravni osnov	Čl. 6(1)(b) GDPR-a.
Primaoci	Alat koji klijent opremi ključem; klijent ga određuje.
Treća zemlja	Zavisno od klijentovog alata.
Čuvanje	Ključevi do opoziva, odmah sa nalogom; ključevi bez naloga (stari podaci) noću. Brojači poziva nakon jednog dana (povremeno čišćenje pri pozivu).
TOM	Odeljak 8.

B.23 reCAPTCHA i naša sopstvena zaštita obrazaca

Polje	Unos
Svrha	Odbrana od automatizovanog pristupa našim sopstvenim obrascima: besplatna provera, alat za zaglavlja, isključivanje iz provera, prijava, registracija, zaboravljena lozinka i resetovanje lozinke, podrška i kontakt. Uz to, naša sopstvena zaštita bez trećih strana: polje zamka (skriveno polje), potpisana provera vremena i CSRF token. Od 29. oktobra 2026. dodatno i naša zaštita obrazaca formconfirmed (računski dokaz i jednokratni kontrolni token) kod besplatne provere, registracije, prijave i funkcije „Zaboravljena lozinka“.
Kategorije lica na koja se podaci odnose	Osobe koje šalju ove obrasce.
Kategorije podataka o ličnosti	Kod Google-a: IP adresa, podaci o pregledaču i uređaju, podaci o ponašanju, Google kolačići. Kod nas: procena Google-a (ocena i radnja) samo u trenutku provere, bez čuvanja, čak ni kada se slanje odbije. Kod sopstvene zaštite obrazaca: IP adresa (čuva se samo skraćena i kao heš vrednost), stranica, vremenske oznake, polje zamka popunjeno da/ne; bez sadržaja.
Vreme	Google skripta učitava se tek kada se zaštićeni obrazac šalje, ne pri otvaranju stranice. Sopstvena zaštita obrazaca preuzima svoj zadatak pri otvaranju stranice i računa čim se obrazac počne koristiti. Na razvojnom sistemu reCAPTCHA je isključena.
Pravni osnov	Čl. 6(1)(f) GDPR-a. Interes: zaštita od botova, naročito za besplatnu proveru koja bi inače mogla da se koristi protiv tuđih veb-sajtova. Da li pristup krajnjem uređaju zahteva pristanak prema § 25 TDDDG ili čl. 399 PKE, iako se skripta učitava tek pri slanju, otvoreno je pitanje za pravnu proveru. Sopstvena zaštita obrazaca ne postavlja kolačiće, ništa ne čuva u pregledaču i ne pravi otisak uređaja; dugoročno treba da zameni reCAPTCHA zaštitu.
Primaoci	Google Ireland Limited; Google LLC. Kod sopstvene zaštite obrazaca nema ih.
Treća zemlja	SAD (samo reCAPTCHA). Osnov: sertifikacija prema Okviru za zaštitu podataka EU–SAD ili standardne ugovorne klauzule; treba detaljno dokumentovati.
Čuvanje	reCAPTCHA: kod nas se ne čuva; kod Google-a prema njegovim pravilima. Sopstvena zaštita obrazaca: heš identifikator 1 sat, iskorišćeni kontrolni tokeni najviše 11 minuta, rezultati provera bez IP adrese 30 dana.
Prekid rada	Ako Google ne odgovori u roku od tri sekunde ili vrati neupotrebljiv odgovor, slanje se odbija; isto važi za prazan token i odgovor za radnju koja ne odgovara obrascu. Provera se preskače samo kada je reCAPTCHA isključena. Kod sopstvene zaštite obrazaca slanje bez važećeg kontrolnog tokena se odbija; ako usluga nije bila dostupna za preuzimanje zadatka, slanje se dozvoljava.
TOM	Odeljak 8.

B.24 Podrška i kontakt obrazac

Polje	Unos
Svrha	Prijem upita i odgovaranje putem prozora za podršku i kontakt stranice. Oba koriste istu putanju i istu tabelu.
Kategorije lica na koja se podaci odnose	Podnosioci upita, prijavljeni ili ne.
Kategorije podataka o ličnosti	Nalog (ako je osoba prijavljena; tada važi adresa naloga, a ne uneta adresa), adresa e-pošte, razlog sa fiksnog spiska, tekst do 4.000 znakova, status, puna IP adresa, zemlja, identifikator pregledača, stranica upućivanja (samo sopstvene putanje), jezik, vremena prijema i odgovora (support_requests); unos u dnevnik aktivnosti (bez teksta); potvrda prijema podnosiocu upita u odlaznom sandučetu (B.25), sa tekstom do 2.000 znakova samo za prijavljene pošiljaoce, bez teksta za zahteve podnete bez prijave.
Pravni osnov	Čl. 6(1)(b) GDPR-a kada se upit odnosi na ugovor; inače (f). Puna IP adresa: (f) (ograničenje od tri upita po satu i adresi, sprečavanje zloupotreba).
Primaoci	Pružalac usluge e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) za potvrdu prijema i odgovor. Telegram prima fiksni signal bez ikakve promenljive („postoji novi zahtev za podršku“), a time i bez podataka o ličnosti.
Treća zemlja	Preko pružaoca usluge e-pošte.
Čuvanje	24 meseci (noćno izvršavanje brisanja, deo „support“); ručno ranije. Kada se nalog obriše, upiti ostaju do kraja roka čuvanja (odeljak 6.4).
TOM	Odeljak 8. reCAPTCHA, sopstvena zaštita obrazaca, ograničavanje učestalosti.

B.25 Slanje e-pošte (odlazno sanduče)

Polje	Unos
Svrha	Transakcione e-poruke: potvrda registracije i novih adresa e-pošte, resetovanje lozinke, pozivi, upozorenja, mesečni izveštaji, potvrde i izveštaji portala, potvrde prijema i odgovori podrške, podsetnici na probni period i podešavanje, operativna obaveštenja operaterima. Bez reklama, bez e-poruka osobama koje se nisu same prijavile ili koje klijent nije uneo kao primaoce.
Kategorije lica na koja se podaci odnose	Primaoci ovih e-poruka.
Kategorije podataka o ličnosti	Adresa primaoca, predmet, potpun sadržaj, adresa za odgovor, svrha, putanja slanja, status, greška, pokušaji, vremena (mail_outbox). Sadržaj može da obuhvati linkove za potvrdu i resetovanje sa važećim identifikatorima.
Pravni osnov	Čl. 6(1)(b) GDPR-a; za operativna obaveštenja (f).
Primaoci	Namecheap, Inc. (Private Email), Phoenix, Arizona, USA (slanje); vlasnik naloga vidi svoje poslate e-poruke u izvozu podataka (bez sadržaja).
Treća zemlja	Zavisno od mesta obrade kod pružaoca usluge e-pošte; ugovor i osnov za prenos još treba dokumentovati (odeljak 4).
Čuvanje	30 dana (noću, srv/cron_status.php). Ovaj period je namerno najkraći među dnevnicima: dug dnevnik slanja bio bi zbirka važećih ključeva. Izvršavanje provere statusa svakih pet minuta proverava da li je vreme za ponovni pokušaj.
Status	Slanje e-pošte mora da se podesi pre pokretanja. Dok se ne utvrde pružalac usluge e-pošte, njegovo sedište i osnov, pravni tekstovi prikazuju oznaku.
TOM	Odeljak 8. E-poruke koje nisu uspešno poslate ponovo se šalju u sve dužim razmacima, a nakon maksimalnog broja pokušaja od slanja se odustaje.

B.26 Plaćanja i naplata

Polje	Unos
Svrha	Zaključivanje i upravljanje pretplatama (mesečno ili godišnje unapred), probni period od 14 dana bez kartice sa podsetnikom tri dana pre kraja, plaćanje po fakturi za godišnje pretplate (podrazumevano isključeno), otključavanja putem kodova hosting pružalaca i partnera bez plaćanja, fakturisanje, čuvanje u poreske svrhe.
Kategorije lica na koja se podaci odnose	Klijenti.
Kategorije podataka o ličnosti	Kod Stripe-a: adresa e-pošte, ime, adresa za naplatu, PDV identifikacioni broj, podaci o plaćanju, fakture; kao metapodaci naš ID naloga i paket. Kod nas: Stripe ID klijenta i pretplate, paket, status, kraj perioda, otkazivanje na kraju perioda (users); primljeni Stripe događaji samo sa identifikatorom, tipom, statusom i vremenima, bez sadržaja (stripe_events); iskorišćeni kodovi hosting pružalaca sa nalogom, kampanjom i istekom (bundle_redemptions). Podaci kartice nikada ne dospevaju do nas.
Izvor	Klijent u Stripe-ovom postupku naplate; događaji od Stripe-a.
Pravni osnov	Čl. 6(1)(b) GDPR-a; za čuvanje u poreske svrhe (c).
Primaoci	Stripe Payments Europe Limited (Irska); Stripe, Inc. (SAD). Za delove obrade plaćanja Stripe deluje pod sopstvenom odgovornošću; precizna raspodela uloga deo je pravne provere.
Treća zemlja	SAD preko Stripe, Inc.; osnov: Okvir za zaštitu podataka ili standardne ugovorne klauzule prema uslovima Stripe-a.
Čuvanje	Polja naplate sa nalogom; aktivna pretplata završava se pre brisanja naloga. Fakture i evidencije naplate prema poljskom poreskom pravu pet godina od kraja godine u kojoj je istekao rok za plaćanje poreza; čuvaju se kod Stripe-a i mogu da se preuzmu u Stripe-ovom korisničkom portalu. Stripe događaji i iskorišćavanja kodova nemaju rok čuvanja (odeljak 6.4).
TOM	Odeljak 8. Stripe događaji prihvataju se samo sa važećim potpisom; svaki događaj se obrađuje jednom.

B.27 Rezervne kopije

Polje	Unos
Svrha	Oporavak nakon greške: pogrešno brisanje, oštećena migracija.
Kategorije lica na koja se podaci odnose	Svako čiji se podaci nalaze u bazi podataka.
Kategorije podataka o ličnosti	Potpun, kompresovan izvoz baze podataka aplikacije. Snimci ekrana i datoteke logotipa čuvaju se izvan baze podataka i nisu deo ove rezervne kopije. Pristupni podaci testnog naloga sadržani su samo kao šifrat (A.5).
Postupak	Noću u 03:00, nakon izvršavanja brisanja, kako rezervna kopija ne bi ponela ono što su rokovi čuvanja upravo obrisali. Izvoz se zadržava tek nakon provere sadržaja (izlazni kod, broj tabela, poslednji red). Nedeljom test vraćanja učitava najnoviju rezervnu kopiju u privremenu bazu podataka i poredi je tabelu po tabelu. Ako nešto ne uspe, operaterima se šalju signal i e-poruka.
Pravni osnov	Čl. 6(1)(f) GDPR-a u vezi sa čl. 32(1)(c).
Primaoci	Nema.
Treća zemlja	Nema.
Čuvanje	14 dana; stariji izvozi uklanjaju se tek nakon uspešne nove rezervne kopije (cfg/backup_lib.php). Brisanja izvršena tokom tog perioda dopiru do rezervne kopije tek pri njenom isteku; ako se podaci vrate iz rezervne kopije, zahtevi za brisanje se naknadno ponovo primenjuju.
Lokacija	Rezervne kopije se trenutno čuvaju na istoj lokaciji kao baza podataka i nisu zasebno šifrovane; planirana je šifrovana kopija na drugoj lokaciji (odeljci 8.1 i 10).
TOM	Odeljak 8.

B.28 Dnevnik grešaka i upozorenje o grešci

Polje	Unos
Svrha	Pronalaženje i ispravljanje grešaka pre nego što ih klijent prijavi. Novi tipovi grešaka i talasi grešaka prijavljuju se operaterima, uz dnevni pregled od 08:00.
Kategorije lica na koja se podaci odnose	Korisnici čiji zahtev izaziva grešku; posredno, osobe čiji se podaci pojavljuju u poruci o grešci.
Kategorije podataka o ličnosti	Nivo, izvor, poruka, kontekst kao JSON, ID naloga sesije, vreme (error_logs). Tipovi grešaka: otisak, obrazac (iz kog su uklonjene adrese e-pošte, adrese, brojevi i identifikatori), jedan neizmenjen primer poruke do 2.000 znakova, prvo i poslednje pojavljivanje, broj (error_kinds).
Pravni osnov	Čl. 6(1)(f) GDPR-a (bezbednost rada, čl. 32).
Primaoci	Operateri e-poštom preko pružaoca usluge e-pošte: za novi tip greške, izvor i sirovi tekst poruke do 400 znakova (neočišćen), uz dnevnu preglednu e-poruku; za talas grešaka šalje se samo Telegram signal. Telegram prima samo fiksne rečenice bez promenljivih („Pojavio se novi tip greške“, „Mnogo grešaka u kratkom vremenu“).
Treća zemlja	Preko pružaoca usluge e-pošte.
Čuvanje	Dnevnik grešaka 90 dana (noću). Tipovi grešaka bez roka čuvanja (odeljak 10). Upozorenje o grešci uključeno je na produkcionom sistemu, a isključeno na razvojnom.
TOM	Odeljak 8.

B.29 Operativni signali i nadzor statusa

Polje	Unos
Svrha	Uočavanje prekida rada: svakih pet minuta provera komponenti (početna stranica, baza podataka, prostor na disku, signal rada skenera, zaostatak u redu), statusna stranica, signal pri smetnji i prestanku smetnje, signal rada spoljnoj usluzi nadzora kako bi se primetio čak i potpun prekid rada; zaostatak pred skenerom.
Kategorije lica na koja se podaci odnose	Po pravilu nema.
Kategorije podataka o ličnosti	Nema. Dnevni redovi po komponenti sa brojem provera i poslednjom greškom (system_status_logs), signal rada skenera (scanner_heartbeat), dnevni ključni pokazatelji bez veze sa ličnošću (daily_stats). Signali Telegram-u su fiksne rečenice bez promenljivih; signal rada je zahtev bez sadržaja.
Pravni osnov	Nije primenljivo jer nema podataka o ličnosti; iz predostrožnosti čl. 6(1)(f).
Primaoci	Telegram (fiksne rečenice); spoljna usluga nadzora (samo zahtev); operateri e-poštom.
Treća zemlja	Telegram izvan EU; ne prenose se podaci o ličnosti.
Čuvanje	Redovi statusa 400 dana (noću).
TOM	Odeljak 8.

B.30 Isključivanje iz provera – izuzimanje domena

Polje	Unos
Svrha	Svako može trajno da isključi bilo koji domen iz provera bez dokaza; blokada stupa na snagu odmah za sve putanje provere (besplatna provera, dodatak bez naloga, studija, provera potencijalnih klijenata, alat za zaglavlja), a i za domene klijenata koji plaćaju sa dokazom kontrole; njihov tekući nadzor završava se pri sledećoj planiranoj proveri. Važi za domen i njegovu www varijantu, ne za druge poddomene. Uklanjamo je samo mi, na zahtev i uz dokaz. Da bi zloupotrebe (poput konkurenta koji blokira tuđe domene) mogle da se otkriju i ponište, blokada se evidentira.
Kategorije lica na koja se podaci odnose	Osobe koje isključuju domen iz provera.
Kategorije podataka o ličnosti	Domen, dobrovoljni razlog do 250 znakova, izvor, IP adresa, zemlja, identifikator pregledača, vreme; pri uklanjanju, vreme, osoba koja uklanja blokadu i razlog (blocklist). Dnevnik zahteva kao u B.4.
Pravni osnov	Za isključivanje, čl. 6(1)(f) GDPR-a. Interes: trajno sprovođenje želje da se domen ne proverava, kroz sve putanje provere. Kada je osoba koja isključuje domen i sama lice na koje se podaci odnose, isključivanje ujedno sprovodi njen prigovor prema čl. 21 (čl. 6(1)(c)). Za adresu, zemlju i identifikator pregledača, (f) (otkrivanje zloupotreba).
Primaoci	Google (reCAPTCHA, B.23).
Treća zemlja	SAD preko reCAPTCHA.
Čuvanje	IP adresa, zemlja i identifikator pregledača nakon 12 meseci (noćno izvršavanje brisanja, deo „optout_ip“). Samo isključivanje ostaje trajno kako bi delovalo.
TOM	Odeljak 8. Mnogo blokada iz jedne zemlje za kratko vreme stvara nepravilnost (B.4).

B.31 Podsetnik nakon registracije

Polje	Unos
Svrha	Jedna e-poruka dva do 14 dana nakon registracije potvrđenim nalozima bez potvrđenog domena: „Dodajte sajt“ ili „Verifikujte domen“. Bez ponude, bez cene, bez prelaska na viši paket; uz napomenu da se neće ponovo slati. Radnim danima od 09:00 do 18:00, najviše 50 po izvršavanju.
Kategorije lica na koja se podaci odnose	Novi vlasnici naloga.
Kategorije podataka o ličnosti	Adresa e-pošte, jezik, vreme slanja (polje „podsetnik poslat“ u users), domen i status potvrde.
Pravni osnov	Čl. 6(1)(b) GDPR-a (napomena o podešavanju sopstvenog naloga). Da li se e-poruka računa kao komunikacija o ugovornom odnosu ili kao komercijalna informacija koja bi zahtevala pristanak (čl. 10 UŚUDE, poljski Zakon o pružanju usluga elektronskim putem (ustawa o świadczeniu usług drogą elektroniczną); čl. 398 PKE; § 7 UWG) otvoreno je pitanje za pravnu proveru; operater može centralno da je isključi.
Primaoci	Pružalac usluge e-pošte (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).
Treća zemlja	Preko pružaoca usluge e-pošte.
Čuvanje	Vreme postoji dok postoji nalog; e-poruka 30 dana u odlaznom sandučetu.
TOM	Odeljak 8. Vreme se postavlja pre slanja kako prekid ne bi pokrenuo drugu e-poruku.

B.32 Telegram bot za upozorenja klijenata

Polje	Unos
Svrha	Telegram ćaskanje povezuje se kao odredište upozorenja: klijent dobija link do našeg bota sa jednokratnim kodom; kada primalac pritisne „Start“, naš server čita kod iz novih poruka botu i čuva ID ćaskanja. Za to nije potrebna otvorena krajnja tačka na našoj strani (webhook).
Kategorije lica na koja se podaci odnose	Klijenti i osobe čije je Telegram ćaskanje povezano.
Kategorije podataka o ličnosti	Jednokratni kod, domen, nalog koji ga je napravio, događaji, način isporuke, ID ćaskanja, vremena (telegram_links); ID ćaskanja kao odredište (alerts). Telegram dostavlja dodatne podatke profila sa porukom; procenjuju se i čuvaju samo kod i ID ćaskanja.
Pravni osnov	Čl. 6(1)(b) GDPR-a; za treća lica kao primaoce A.3.
Primaoci	Telegram.
Treća zemlja	Izvan EU, bez odluke o primerenosti; izbor vrši klijent (4.1). Osnov i obaveštenje su otvorena pitanja za pravnu proveru.
Čuvanje	Kod važi 30 minuta; redovi povezivanja brišu se nakon jednog dana kada se napravi novi kod, otvoreni kodovi sa nalogom i domenom. ID ćaskanja kao odredište do brisanja odredišta upozorenja ili domena.
TOM	Odeljak 8.

B.33 Partnerski program i kodovi za otključavanje

Polje	Unos
Svrha	Nalog može da preporuči nove klijente putem koda preporuke i dobija proviziju od njihovih plaćenih faktura tokom ograničenog broja meseci. Kod putuje u adresi do registracije; kolačić se ne postavlja. Hosting pružaoci i partneri mogu da izdaju kodove koji otključavaju paket na određeni period bez plaćanja; jednu nedelju pre kraja klijent dobija podsetnik.
Status	Partnerski program je podrazumevano isključen dok Uslovi za partnere ne budu uspostavljeni.
Kategorije lica na koja se podaci odnose	Partneri i preporučeni klijenti.
Kategorije podataka o ličnosti	Kod preporuke, partner koji preporučuje i vreme preporuke (u users); provizija sa partnerom, klijentom, ID-jem Stripe fakture, iznosom, valutom, provizijom, statusom, vremenima (partner_commissions). Otključavanje sa paketom, krajem, izvorom, podsetnikom (u users); kampanje i iskorišćavanja (bundle_campaigns, bundle_redemptions).
Pravni osnov	Čl. 6(1)(b) GDPR-a (partnerski ugovor); za klijenta (f) (obračun provizije, bez prosleđivanja klijentovih podataka partneru izvan iznosa provizije); poreske evidencije (c).
Primaoci	Partner vidi svoje provizije.
Treća zemlja	Nema.
Čuvanje	Preporuka i otključavanje sa nalogom. Provizije i iskorišćavanja nemaju rok čuvanja u kodu; kao računovodstvene evidencije provizije podležu čuvanju u poreske svrhe (odeljak 6.4).
TOM	Odeljak 8.

B.34 Mesto za prijavu ranjivosti

Polje	Unos
Svrha	Prijem prijava ranjivosti u usluzi formexposed, prema pravilima na stranici Bezbednost i u /.well-known/security.txt.
Kategorije lica na koja se podaci odnose	Podnosioci prijava; osobe čije podatke prijava sadrži kao dokaz.
Kategorije podataka o ličnosti	Adresa e-pošte, ime, sadržaj prijave i prilozi, onako kako ih podnosilac šalje. Prijava nam stiže e-poštom na tamo navedenu adresu; aplikacija je ne čuva.
Pravni osnov	Čl. 6(1)(f) GDPR-a (bezbednost usluge, čl. 32); kada prijava sadrži podatke o ličnosti trećih lica kao dokaz, takođe (f), radi otklanjanja ranjivosti.
Primaoci	Pružalac usluge e-pošte i, do postavljanja sandučeta, prosleđivanje domena kod Namecheap-a (odeljak 4).
Treća zemlja	Preko pružaoca usluge e-pošte i, do prelaska, prosleđivanja.
Čuvanje	Rok čuvanja nije određen niti se tehnički sprovodi (odeljak 10). Operater tek treba da odredi rok; očigledan pristup bio bi brisanje dokaza koji sadrže podatke trećih lica nakon otklanjanja ranjivosti i postupanje sa prepiskom kao sa upitima podršci.
TOM	Odeljak 8.

B.35 Povratne informacije o izveštaju

Polje	Unos
Svrha	Prijem povratnih informacija ispod izveštaja („Da li nešto nije u redu u ovom izveštaju?“) radi pronalaženja grešaka u prepoznavanju obrazaca. Superadministrator ih klasifikuje (novo, potvrđeno, ispravljeno, odbijeno) i može da preuzme podatke provere iz izveštaja kao testni slučaj (obrasci sa poljima, razlozima i nalazima, bez snimaka ekrana i bez aktivno poslatih tekstova).
Kategorije lica na koja se podaci odnose	Osobe koje gledaju izveštaj, prijavljene ili ne.
Kategorije podataka o ličnosti	Kategorija i provera sa fiksnih spiskova, adresa stranice do 500 znakova, tekst do 1.000 znakova, jezik, vreme, identifikator izveštaja, provera, host; identifikator naloga ako je osoba prijavljena; HMAC-SHA256 IP adrese sa tajnim ključem radi ograničenja; status, obrađivač zahteva, vreme obrade (report_feedback). Dnevnik aktivnosti: promene statusa i preuzimanja testnog slučaja. Bez adrese e-pošte, bez IP adrese u čitljivom obliku.
Pravni osnov	Čl. 6(1)(f) GDPR-a (pronalaženje i ispravljanje grešaka prepoznavanja; ograničenje protiv zloupotreba).
Primaoci	Nema.
Treća zemlja	Nema.
Čuvanje	24 meseci (noćno izvršavanje brisanja, deo „report_feedback“); kontrolni zbir IP adrese briše se nakon 2 dana (deo „report_feedback_ip“); odmah pri brisanju naloga. Preuzeti testni slučajevi ne sadrže podatke o podnosiocu prijave.
TOM	Odeljak 8. Sopstvena zaštita obrazaca (polje zamka, potpisano vreme, CSRF), najviše 5 prijava po satu i 20 dnevno po kontrolnom zbiru, 10 po izveštaju; mogu da čitaju samo superadministratori.

6. Čuvanje – šta obuhvata noćno izvršavanje brisanja, a šta ne

Automatsko brisanje postoji i ima svoje mesto. Izvršavanje provere statusa (srv/cron_status.php) pokreće se svakih pet minuta preko crontab-a veb-servera, na produkcionom kao i na razvojnom sistemu. Proverava komponente, preuzima poštu provere isporuke e-pošte, zakazuje provere i šalje upozorenja. Jednom dnevno, u vremenskom prozoru od 03:00 do 03:04, briše podatke prema rokovima čuvanja i zatim pravi rezervnu kopiju. Od 27. septembra 2026. dodatno poziva izvršavanje rokova čuvanja u cfg/fristen_lib.php (fe_fristen_lauf()), čiji delovi rade nezavisno jedan od drugog: ako jedan ne uspe, ostali nastavljaju, a greška se beleži u dnevniku grešaka.

Dokaz da se izvršavanje obavlja: status rezervnih kopija razvojnog sistema pokazuje uspešnu rezervnu kopiju u 03:00 11. oktobra 2026; rezervna kopija se pravi u istom bloku odmah nakon brisanja. Izvršavanje piše dnevnik po obrisanoj tabeli samo na standardni izlaz, koji crontab odbacuje; nema trajne evidencije šta je kada obrisano (odeljak 10).

Rokovi čuvanja koji se prikazuju kao promenljive vrednosti podešavaju se u administrativnom delu u postavkama čuvanja. Izvršavanje čita iste postavke; tekstovi zato uvek prikazuju period nakon kog se podaci zaista brišu.

6.1 Obuhvaćeno dnevnim izvršavanjem

Podaci	Rok čuvanja i okidač	Mesto u kodu
Dnevnik pregleda stranica (access_logs)	60 dana	srv/cron_status.php
Dnevnik aktivnosti (audit_logs)	365 dana	srv/cron_status.php
Dnevnik grešaka (error_logs)	90 dana	srv/cron_status.php
Odlazno sanduče (mail_outbox)	30 dana	srv/cron_status.php
Tokeni pamćenja prijave „Ostanite prijavljeni“ (remember_tokens)	nakon isteka (30 dana)	srv/cron_status.php
Neprihvaćeni pozivi (workspace_invites)	nakon isteka (14 dana)	srv/cron_status.php
Pokušaji prijavljivanja (login_attempts); brojači pokušaja (auth_attempt_buckets)	7 dana; brojači kada im istekne vremenski prozor (trenutno 15 minuta, jedan sat za resetovanje lozinke i registraciju), takođe pri sledećem pristupu	srv/cron_status.php
Dnevnik zahteva provera bez naloga (check_throttle)	7 dana	srv/cron_status.php
Jednokratni kodovi za povezivanje dodatka (plugin_connect_tokens)	1 dan nakon isteka	srv/cron_status.php
Rešene nepravilnosti (abuse_flags)	90 dana nakon rešavanja	srv/cron_status.php
Istekli izveštaji zajedno sa rezultatom provere, obrascima, nalazima, slikama i zadatkom (samo bez domena na nalogu)	anonimni 30 dana, potencijalni klijenti 90 dana	fe_reports_aufraeumen()
Dnevnik isporuke upozorenja (alert_log)	90 dana	fe_alert_log_aufraeumen()
Redovi statusa (system_status_logs)	400 dana	srv/cron_status.php
Evidencije pristanka obrisanih naloga (legal_consents)	kada je nalog obrisan i pristanak star 4 godine	srv/cron_status.php
Preostali podaci obrisanih domena: rezultati provera, zadaci, podaci upozorenja, incidenti, Telegram kodovi, isporuke, provera dostupnosti, ranjivosti, dokazi, inventar skripti i promene skripti	odmah pri sledećem izvršavanju	fe_fristen_lauf(), delovi „orphan_scans“, „orphan_rows“
Podaci dodataka hostova bez domena; red dodatka bez naloga	odmah; red nakon 90 dana bez kontakta	deo „orphan_hosts“
Rezultati alata za zaglavlja (header_checks)	trenutno 90 dana	deo „header_checks“
Rezultati provere domena sa obrascima, nalazima, slikama, izveštajima, zadacima	13 meseci; poslednja završena provera po domenu ostaje	deo „old_scans“
Izvršavanja pregledača, završeni zadaci pregledača, vremenske serije (form_browser_runs, scan_jobs, form_performance)	13 meseci	delovi „browser_runs“, „browser_jobs“, „form_performance“
Brojači obrazaca (form_metrics), dnevne brojke dodataka i obaveštenja o promenama (plugin_stats, plugin_changes)	13 meseci	delovi „form_metrics“, „plugin_stats“
Prijavljeni uređaji (login_sessions)	90 dana nakon poslednje upotrebe ili opoziva	deo „sessions“
Prihvaćeni pozivi	30 dana nakon prihvatanja	deo „invites“
Zahtevi za podršku (support_requests)	24 meseci	deo „support“
Povratne informacije o izveštajima (report_feedback)	24 meseci; kontrolni zbir IP adrese 2 dana	delovi „report_feedback“ i „report_feedback_ip“
PDF verzije izveštaja u kešu (var/pdf)	7 dana	deo „pdf_cache“
IP adresa, zemlja i identifikator pregledača pri isključivanju iz provera (blocklist)	12 meseci; isključivanje ostaje	deo „optout_ip“
Pretplatnici portala (client_subscribers)	nepotvrđeni 30 dana; odjavljeni 3 godine	deo „subscribers“
Nalozi koji nikada nisu potvrđeni, zajedno sa radnim prostorom	30 dana bez prijavljivanja, osim ako je drugi član povezan	deo „pending_accounts“
API ključevi bez naloga (stari podaci)	odmah	deo „api_keys“

6.2 Izvan vremenskog prozora od 03:00

Podaci	Rok čuvanja i okidač	Mesto u kodu
Kopije u kontrolnom poštanskom sandučetu provere isporuke e-pošte	nakon obrade, svakih pet minuta	fe_zustellung_abholen()
Dodele provere isporuke e-pošte (delivery_log)	180 dana, pri svakom preuzimanju	fe_zustellung_abholen()
Šifrat testnog naloga u zadacima (scan_jobs)	nakon izvršavanja, najkasnije nakon jednog sata	server za skeniranje; fe_login_aufraeumen()
Incidenti (alert_incidents) sa svojim pokušajima isporuke eskalacije	dok nisu rešeni; 180 dana nakon rešavanja	fe_vorfaelle_aufraeumen() u cfg/vorfall_lib.php
Poslata zbirna obaveštenja (alert_queue)	30 dana nakon isporuke	cfg/kanal_lib.php
Signali zajedničke zaštite (swarm_signals)	30 dana, svakodnevno od 04:00	cfg/swarm_lib.php
Provere potencijalnih klijenata (prospect_checks)	90 dana, svakodnevno od 04:00	srv/cron_status.php
Telegram kodovi za povezivanje (telegram_links)	1 dan, kada se napravi novi kod	cfg/kanal_lib.php
Brojači API poziva (api_usage)	1 dan, povremeno pri pozivu	cfg/agentur_lib.php
Rešeni prekidi rada pružalaca (provider_incidents), keš ranjivosti (vuln_cache)	90 odnosno 30 dana; bez podataka o ličnosti	cfg/anbieter_lib.php, cfg/luecken_lib.php
Sirovi podaci studije	pri objavljivanju	fe_studie_veroeffentlichen()
Rezervne kopije	14 dana, nakon uspešne nove rezervne kopije	cfg/backup_lib.php
Dnevnici veb-servera	14 dana	sistemska rotacija dnevnika

6.3 Pri brisanju koje vrši klijent

• Brisanje domena (fe_domain_loeschen()): rezultati provera sa obrascima, nalazima i datotekama slika, izveštaji, zadaci, odredišta upozorenja, dnevnik isporuke, red zbirnih obaveštenja, incidenti, Telegram kodovi, isporuke, provera dostupnosti, ranjivosti, evidencije dokaza, domen iz portala za klijente sa fiksnim izborom; preko stranih ključeva nadzirani obrasci sa izvršavanjima pregledača, zapažanjima i vremenskim serijama, testni nalog, brojači obrazaca; podaci dodatka za host ako nijedan drugi domen ne upućuje na njega. Inventar skripti domena i promene skripti takođe se brišu sa njim; nemaju sopstveni rok čuvanja (odeljci 6.4 i 10). Preostale podatke bez povezanog domena iz perioda pre 27. septembra 2026. čisti noćno izvršavanje (delovi „orphan_scans“, „orphan_rows“).
• Brisanje radnog prostora (fe_arbeitsbereich_daten_loeschen()): dodatno brend sa logotipom, portali za klijente sa pretplatnicima, kodovi za povezivanje, provere potencijalnih klijenata; uz pozive i članstva.
• Brisanje naloga: odmah završiti aktivnu plaćenu pretplatu kod Stripe-a, bez povraćaja novca; preneti ili obrisati sopstvene radne prostore vlasnika; obrisati članstva, tokene pamćenja prijave, uređaje, API ključeve sa brojačima, otvorene Telegram kodove i red naloga.
• Brisanje testnog naloga (fe_login_loeschen()): prepisati šifrat, obrisati red, očistiti zadatke na čekanju.

6.4 Šta izvršavanje ne obuhvata

Ovaj spisak je važniji. Navodi podatke za koje ne postoji automatski rok čuvanja ili koji ostaju nakon brisanja.

Podaci	Šta važi	Procena
Podaci naloga uključujući poslednju IP adresu (users)	dok ih vlasnik naloga ne obriše; nema brisanja neaktivnih naloga	ugovorni podaci; nedostaje pravilo za trajno neaktivne naloge bez pretplate
Dnevnik aktivnosti, pregledi stranica, dnevnik grešaka obrisanog naloga	ostaju sa ID-jem naloga i IP adresom do kraja svog roka čuvanja	nameravano (dokaz radnji i nakon prestanka); ID više ne upućuje na nalog
Zahtevi za podršku obrisanog naloga	ostaju do 24 meseci sa starim ID-jem naloga	nameravano; ID se ne briše
Evidencije pristanka obrisanog naloga	dok pristanak ne bude star 4 godine (računato od pristanka, ne od brisanja naloga)	nameravano (odeljak B.12)
Nerešene nepravilnosti sa IP adresom (abuse_flags)	dok ih neko ne reši	otvoreno pitanje (odeljak 10)
Tipovi grešaka sa neizmenjenim primerom poruke (error_kinds)	bez roka čuvanja	otvoreno pitanje (odeljak 10)
Inventar skripti i promene skripti (script_inventory, script_changes)	bez sopstvenog roka čuvanja; čuvaju se dok domen postoji i brišu se sa njim	otvoreno pitanje (odeljak 10)
Pretplatnici opozvanih portala za klijente	do brisanja radnog prostora	otvoreno pitanje (odeljak 10)
Opozvani API ključevi i kodovi za povezivanje	do brisanja naloga ili radnog prostora	samo heševi, prefiks i oznaka; mali značaj
Spisak hostova studije (study_domains), nikada objavljene studije	bez roka čuvanja	otvoreno pitanje (odeljak 10)
Interne provere bez domena i bez izveštaja (rezultati provera, obrasci, nalazi, snimci ekrana)	bez roka čuvanja; nijedna putanja brisanja ih ne obuhvata	otvoreno pitanje (odeljak 10)
Provizije, iskorišćavanja kodova, Stripe događaji	bez roka čuvanja	računovodstveni značaj; rok treba odrediti prema poreskom pravu
Keširana starost domena (domain_age_cache)	bez roka čuvanja	samo naziv domena i datum registracije
Rezultat autentifikacije e-poruke iz obrasca sa domenom pošiljaoca	sa domenom; prepisuje se pri svakom prijemu	videti A.1
Isključivanja iz provera	trajno	nameravano; bez trajnosti nijedno isključivanje ne deluje
E-poruke u sandučetu mesta za prijave i opštem poštanskom sandučetu	bez tehničkog roka čuvanja	otvoreno pitanje (odeljak 10)

6.5 Izvan baze podataka

• Snimci ekrana čuvaju se kao datoteke izvan veb-direktorijuma i brišu se sa svojim rezultatom provere (sve gore navedene putanje brisanja brišu i datoteke).
• Datoteke logotipa brenda brišu se pri zameni i sa radnim prostorom.
• Na serveru za skeniranje po zadatku se pravi privremeni direktorijum sa rezultatom i slikama; briše se nakon svakog izvršavanja, čak i nakon greške.
• Rezervne kopije čuvaju se na veb-serveru (B.27).
• Dnevnici veb-servera sa punom IP adresom čuvaju se 14 dana (B.1).

7. Automatizovane odluke, profilisanje i procena

formexposed procenjuje veb-sajtove, ne ljude. Po našoj proceni, usluga ne donosi odluku koja proizvodi pravne posledice po neku osobu ili slično značajno utiče na nju (čl. 22(1) GDPR-a). Ipak postoje automatizovane procene i automatske blokade. Navodimo ih kako bi klasifikacija mogla da se proveri.

Mehanizam	Šta radi	Na koga utiče
Ocena u poenima i zaključna procena provere	Ponderisani zbir nedostajućih slojeva zaštite (CAPTCHA, polje zamka, token, provera vremena, nedelotvorna CAPTCHA, poznata izložena konfiguracija), od 0 do 100; iz toga „Izloženo“, „Delimično zaštićeno“ ili „Zaštićeno“. Zaključna procena veb-sajta prati najlošiji kontakt obrazac koji su pravila prepoznala kao takav (ne jezički model); bez kontakt obrasca nema zaključne procene. Težine mogu da se podese u administrativnom delu.	Operateri veb-sajtova; kod preduzetnika posredno osoba. Zaključna procena nema pravnu posledicu; to je nalaz sa dokazima i uputstvima.
Klasifikacija tipa obrasca	Prvo pravila, lokalni jezički model samo ako pravila vrate „unknown“. Odlučuje da li je aktivna testna poruka dozvoljena (samo za kontakt obrazac koji su pravila pouzdano prepoznala). Obrasci koje klasifikuje jezički model nikada se ne šalju i ne računaju se u ocenu u poenima i zaključnu procenu.	Klijent i primaoci njegovih e-poruka iz obrasca; zaštitno dejstvo: kada postoji sumnja, ništa se ne šalje.
Akcioni plan sa prioritetima u plaćenim izveštajima	Lokalni jezički model sažima izabrane neuspešne ili nejasne nalaze i metapodatke skeniranja u kratke numerisane korake. Njegov tekst je označen kao AI sažetak; pojedinačni nalazi ostaju merodavni. Ne menja ocenu skeniranja u poenima, zaključnu procenu niti konfiguraciju veb-sajta.	Klijent ili drugi ovlašćeni čitalac izveštaja, koji odlučuje koje će korake preduzeti.
Oznaka	Prikazuje „Zaštićeno“ samo pod fiksnim uslovima (B.18), inače neutralno.	Klijent; bez uticaja na posetioce.
Ograničenja i blokade besplatne provere, alata za zaglavlja i isključivanja iz provera	Odbijaju zahteve ako su dostignuta ograničenja po adresi, sesiji, domenu ili sistemu, ako je domen premlad ili nepoznate starosti ili ako se nalazi na listi blokiranih.	Podnosioci zahteva; dejstvo: besplatna usluga se odbija na sate ili dane. Administrator može da oslobodi adresu; upiti preko kontakt stranice stižu do čoveka.
Nepravilnosti	Obrasci (mnogo domena sa jedne adrese, naleti zahteva, mnogo odbijanja, mnogo isključivanja iz provera iz jedne zemlje, dostignuto dnevno ograničenje) evidentiraju se i prijavljuju. Sami po sebi ne blokiraju; blokade proizlaze iz ograničenja.	Podnosioci zahteva.
Blokada prijave	Nakon trenutno osam neuspešnih prijava sa jedne adrese u roku od 15 minuta, prijave sa te adrese privremeno se odbijaju. Uz to, svi pokušaji prijavljivanja, uključujući uspešne, broje se po nalogu i IP adresi (trenutno osam), po nalogu sa svih adresa (znatno više, protiv distribuiranog pogađanja) i po IP adresi (trenutno 80) u roku od 15 minuta, kao i kodovi drugog faktora (deset po nalogu u roku od 15 minuta); nakon toga pokušaji se odbijaju. Neuspešni pokušaji sa druge adrese zato više ne blokiraju vlasniku pristup njegovom nalogu. Potvrde lozinke (pet po nalogu u roku od 15 minuta), e-poruke za resetovanje (tri po adresi na sat, sa nepromenjenim odgovorom), registracije (deset po IP adresi na sat) i pokušaji unosa lozinke portala za klijente (deset po portalu i IP adresi, 50 po portalu u roku od 15 minuta) ograničeni su na isti način.	Osobe koje se prijavljuju, registruju ili otvaraju portal za klijente; dejstvo je vremenski ograničeno, resetovanje lozinke ostaje moguće.
reCAPTCHA prag	Odbija slanja ispod Google ocene; prag po mestu upotrebe (trenutno 0,7 za proveru i isključivanje iz provera). Odbijaju se i odgovori za drugu radnju i slanja za koja Google ne odgovori u roku od tri sekunde.	Osobe koje šalju naše obrasce; dejstvo: novi pokušaj ili put preko kontakt stranice.
Zajednička zaštita	Automatski stavlja domen linka na spisak kada se dostignu minimalni pragovi; zaštitni slojevi povezanih veb-sajtova premeštaju poruke sa takvim linkovima u karantin.	Pošiljaoci poruka na klijentovim stranicama. Dejstvo: poruka se zadržava, ne briše se i operater veb-sajta može da je oslobodi. Odluku o poruci donosi dodatak operatera na njegovom veb-sajtu, ne mi.
Uporedne vrednosti	„Bolje zaštićeno od X % proverenih sajtova“, samo iz ukupnih podataka od najmanje 20 hostova.	Operateri veb-sajtova; bez dejstva.

Najbliže čl. 22 jeste zaštitni sloj dodatka na klijentovim stranicama, koji automatski zadržava slanja. To je obrada koju vrši operater veb-sajta na svom serveru (A.10). Ništa ne briše već premešta poruke u karantin i operater može da oslobodi svaku poruku. Tamo ni kod nas nema profilisanja posetilaca; ne postoji identifikator posetioca koji povezuje jednu poruku sa drugom.

8. Tehničke i organizacione mere (čl. 32) – opšti opis

Ovaj odeljak je opšti opis prema čl. 30(1)(g) i (2)(d) GDPR-a. Detaljna verzija nalazi se na stranici Tehničke i organizacione mere. Svaka mera ispod potkrepljena je kodom ili konfiguracijom. Mere koje još nisu sprovedene nalaze se u istom odeljku (8.1), kako bi opis bio potpun.

Oblast	Mera koja se primenjuje
Šifrovanje prenosa	HTTPS za veb-sajt, aplikaciju i interfejse; HSTS; kolačići sesije i tokena pamćenja prijave samo preko HTTPS-a, HttpOnly, SameSite=Lax.
Kontrola pristupa (autentifikacija)	Lozinke samo kao heš, nove sa najmanje deset znakova i najviše 72 bajta; blokada prijave nakon ponovljenih neuspešnih pokušaja i ograničenja pokušaja po nalogu i IP adresi zajedno, po nalogu i po IP adresi, kako neuspešni pokušaji sa druge adrese ne bi blokirali vlasniku pristup nalogu; ograničenja pokušaja i za potvrde lozinke, resetovanje lozinke (sa istim odgovorom i vremenom odgovora), registracije i lozinke portala; prijava sa dva faktora (TOTP) sa šifrovanom tajnom, zaštitom od ponovne upotrebe koda i heširanim kodovima za oporavak; novi identifikator sesije pri svakoj prijavi, identifikatori koje server nije izdao ne prihvataju se; „Ostanite prijavljeni“ nije za superadministratore, svaki token važi samo jednom; promena adrese e-pošte poništava otvoren link za resetovanje; uređaji mogu da se opozovu pojedinačno ili svi odjednom; spisak uređaja sadrži samo heš identifikatora sesije.
Kontrola pristupa (autorizacija)	Uloge po radnom prostoru (vlasnik, administrator, posmatrač); dozvole se proveravaju prema objektu, nikada prema identifikatoru iz obrasca; testni nalog, „Fix it for me“ i aktivne provere samo za vlasnike i administratore; funkcija „Prikaz kao klijent“ vremenski ograničena i blokirana za radnje koje menjaju nalog, završetak potpuno odjavljuje, povratak u administrativni deo samo sa lozinkom i drugim faktorom; pozivi važe samo dok je osoba koja poziva vlasnik ili administrator; adrese webhook-ova i kanala za ćaskanje prikazuju se posmatračima skraćene samo na host; naziv hosta potvrđenog domena ne može da se promeni.
Bezbednost aplikacije	CSRF tokeni; pripremljeni upiti baze podataka; naša sopstvena zaštita obrazaca (polje zamka, potpisana provera vremena); reCAPTCHA na javnim obrascima; ograničavanje učestalosti za podršku, provere i interfejse; samo jedan poziv „Fix it for me“ po radnom prostoru istovremeno, kako bi kvota važila i za istovremene zahteve; Content Security Policy sa zaštitom od uokviravanja koja dozvoljava izvršavanje samo skripti sa odobrenjem (nonce) odgovarajućeg odgovora; IP adresa iz prosleđenih zaglavlja samo od našeg sopstvenog proksija i samo iz unosa koji je on dodao; pristupni tokeni maskirani u dnevniku pregleda stranica.
Tajne	API ključevi, kodovi za povezivanje, tajni ključevi povezivanja dodatka, jednokratni kodovi i lozinke portala samo kao heš; pristupni podaci testnog naloga asimetrično šifrovani, privatni ključ samo na serveru za skeniranje; webhook-ovi potpisani; Stripe događaji samo sa važećim potpisom.
Minimizacija podataka	Provera isporuke e-pošte ne čuva sadržaj niti pune adrese pošiljalaca; adrese primalaca u obrascima samo kao domen; ID-jevi naloga u adresama skripti se zamenjuju; brojke dodataka samo sa fiksnih spiskova; tekstovi grešaka slanja e-pošte samo kao kategorija; Telegram signali bez promenljivih; slike provera u pregledaču sa maskiranim unosima; bez snimaka ekrana nakon prijavljivanja.
Izolacija skenera	Svaka provera u sopstvenom kontejneru: uklonjena sva posebna Linux ovlašćenja, bez eskalacije privilegija, sistem datoteka samo za čitanje, ograničenje memorije i procesa, sopstvena mreža; provera odredišta prema privatnim i lokalnim mrežama pre prihvatanja i u skeneru, i nakon preusmeravanja; service worker-i blokirani, WebSocket veze zatvorene. Zahtevi veb-servera (dokaz kontrole, alat za zaglavlja, traženje datoteka, provera dostupnosti, RDAP, sertifikati, webhook-ovi i upozorenja u ćaskanju) samo na uobičajenim veb-portovima i samo ka tačno proverenoj adresi, webhook-ovi i upozorenja u ćaskanju samo preko HTTPS-a.
Skladištenje	Snimci ekrana izvan veb-direktorijuma, dostupni samo preko izveštaja; izveštaji na nasumičnim adresama sa noindex; direktorijum rezervnih kopija može da čita samo usluga.
Dostupnost i oporavak	Noćna rezervna kopija sa proverom sadržaja, nedeljni test vraćanja, upozorenje pri neuspehu; provera komponenti svakih pet minuta sa signalom i e-poštom; spoljni signal rada; hitno zaustavljanje anonimnih provera; kontrola opterećenja pri zaostatku.
Sledljivost	Dnevnik aktivnosti za prijave, promene, brisanja, pristup podrške i odobrenja; dnevnik grešaka sa upozorenjem.
Brisanje	Rokovi čuvanja na jednom mestu u kodu, iz istih postavki kao tekstovi (odeljak 6); lanci brisanja za domen, radni prostor i nalog, sa izuzecima iz odeljka 6.4.
Prava lica na koja se podaci odnose	Izvoz svih podataka naloga jednim klikom kao datoteka, na osnovu liste dozvoljenih polja, bez tajni.
Organizacija	Administrativni deo samo za naloge sa pravima superadministratora, blokiran tokom korišćenja funkcije „Prikaz kao klijent“; razvojni i produkcioni sistem odvojeni, razvojni sistem iza dodatne pristupne barijere; prenos pravnih tekstova nakon odobrenja preko alata koji odbija nacrte i promenljive oznake.

8.1 Mere koje još nisu sprovedene

• Nema šifrovanja baze podataka u mirovanju (provereno merenjem 11. oktobra 2026). Izuzeci su pristupni podaci testnog naloga i tajna za dva faktora, koji su šifrovani na nivou polja.
• Interne veze nisu u potpunosti šifrovane. Veze unutar naše interne mreže nisu svuda šifrovane. Pristupni podaci testnog naloga tamo putuju samo kao šifrat.
• Nema rezervne kopije na drugoj lokaciji. Rezervne kopije se trenutno čuvaju na istoj lokaciji kao baza podataka i nisu zasebno šifrovane; planirana je šifrovana kopija na drugoj lokaciji. Do tada štite od pogrešne komande brisanja, ne od gubitka lokacije.
• Ojačavanje administracije servera nije završeno. Bezbednost administrativnog pristupa našim serverima još ne ispunjava standard koji nameravamo za rad; ojačavanje se nastavlja. Ne objavljujemo detalje jer bi pomogli napadaču; dostavljamo ih nadzornom organu na zahtev.
• Nema funkcionalnog dnevnika čitanja u administrativnom delu. Radnje upisa beleže se u dnevniku aktivnosti; ko je samo pogledao koji zahtev za podršku ili koji izveštaj može da se utvrdi samo iz dnevnika pregleda stranica (60 dana).
• Nema trajnog dnevnika brisanja. Ono što je noćno izvršavanje obrisalo ne evidentira se (odeljak 6).
• Nema nezavisne druge kontrolne tačke. Sonda na drugoj lokaciji nije postavljena (A.6).

9. Lice za zaštitu podataka o ličnosti – procena prema čl. 37 GDPR-a

Rezultat: Po našoj proceni nema obaveze imenovanja. Procena je deo pravne provere i biće ponovljena čim se promeni neka od dole navedenih okolnosti.

Čl. 37(1) zahteva imenovanje u tri slučaja.

• Tačka (a) (organ javne vlasti ili javno telo) nije primenljiva.
• Tačka (b) (osnovne aktivnosti koje zahtevaju redovno i sistematsko praćenje lica na koja se podaci odnose u velikom obimu): naša osnovna aktivnost je redovna, sistematska provera veb-sajtova i obrazaca, ne posmatranje ljudi. Ne pravimo profile posetilaca, ne koristimo praćenje i ne povezujemo jednu poruku sa drugom. Provera isporuke e-pošte (A.1) propušta stvarne poruke posetilaca kroz naše poštansko sanduče, ali procenjuje samo zaglavlja i prvih 8 KB radi dodele i ne čuva sadržaj; posmatra putanje isporuke, ne ljude. Korisnički nalozi i dnevnici sporedni su u odnosu na poslovnu aktivnost.
• Tačka (c) (obrada posebnih kategorija prema čl. 9 ili podataka o krivičnim delima prema čl. 10 u velikom obimu kao osnovna aktivnost): nije ispunjena. Posebne kategorije mogu usputno da se pojave u kopijama e-poruka iz obrazaca (A.1), na stranicama dostupnim nakon prijavljivanja (A.5) ili u nalepljenom kodu (A.7); usputno prikupljanje nije osnovna aktivnost.

Čl. 37(4) dozvoljava nacionalnom pravu da doda druge slučajeve. Tražimo potvrdu advokata da li poljsko pravo zahteva da imenujemo takvo lice.

Okidači za novu procenu: aktivacija zajedničke zaštite sa IP mrežama; funkcija koja prepoznaje posetioce kroz više poruka ili veb-sajtova; čuvanje sadržaja iz provere isporuke e-pošte; klijent čiji obrasci pretežno obuhvataju posebne kategorije (zdravlje, prijave za posao) sa uključenom proverom isporuke e-pošte u velikom obimu; prvi zaposleni sa pristupom podacima klijenata. Dobrovoljno imenovanje ostaje moguće; čl. 37 do 39 tada važe u celosti.

Zasebno: na pitanje da li je za pojedinačne radnje obrade potrebna procena uticaja na zaštitu podataka prema čl. 35 odgovara stranica Procena uticaja na zaštitu podataka. Njena procena praga zaključuje da je DPIA potrebna za zajedničku zaštitu (B.21) i studije u predviđenom obimu (B.7) i da je mi sprovodimo, a da je za proveru isporuke e-pošte (A.1) potrebna u tipičnoj konstelaciji, kao obaveza klijenta, kome u tome pružamo podršku.

10. Otvorena pitanja i planirane mere

Sledeće tačke potkrepljene su kodom, šemom ili konfiguracijom, nisu pretpostavke. Opisuju stanje na datum ove verzije; klasifikacija je naša sopstvena i ne prejudicira pravnu ocenu. Poređane su prema značaju za lica na koja se podaci odnose, ne prema lakoći otklanjanja. Planirane mere i njihov prioritet navedeni su u Proceni uticaja na zaštitu podataka.

Otvoreno pitanje	Šta je potkrepljeno dokazima	Značaj
Pružalac usluge e-pošte bez dokumentovanog ugovora	Za Namecheap, Inc. (Private Email), Phoenix, Arizona, USA nisu dokumentovani ugovor, mesta obrade i osnov za prenos. E-poruke naloga, upozorenja i kontrolno poštansko sanduče sa stvarnim porukama posetilaca prolaze kroz ovog pružaoca.	Relevantne odredbe su čl. 28(2) i (4) i poglavlje V GDPR-a. Zaključivanje i dokumentovanje planirani su pre pokretanja.
Osnovi za usluge ćaskanja i reCAPTCHA otvoreni	Upozorenja ka Telegram-u (bez odluke o primerenosti), Slack-u, Discord-u, Microsoft Teams-u i Google Chat-u; reCAPTCHA bez traženja pristanka.	Otvorena pitanja za pravnu proveru; do tada obaveštenje i osnov nisu konačni.
Kontrolno poštansko sanduče može da zadržava poruke tokom smetnji	Brisanje se vrši nakon uspešne obrade; ako preuzimanje ne uspe, kopije ostaju do sledećeg uspešnog izvršavanja. Nema upozorenja kada se u sandučetu duže vreme gomila zaostatak.	Kopije sadrže stvarne upite posetilaca.
Nema rezervne kopije na drugoj lokaciji, nema šifrovanja baze podataka u mirovanju	Odeljak 8.1. Planirana je šifrovana rezervna kopija na drugoj lokaciji.	Jedan događaj na lokaciji pogodio bi istovremeno podatke i rezervnu kopiju; ukradeni medij za skladištenje bio bi čitljiv.
Nerešene nepravilnosti bez roka čuvanja	Nepravilnosti sa punom IP adresom kao ključem brišu se tek 90 dana nakon rešavanja; sve što nikada nije rešeno ostaje.	Odnosi se na načelo ograničenja čuvanja (čl. 5(1)(e)); brisanje zavisi od ručnog rešavanja. Planiran je fiksni rok čuvanja (mere iz Procene uticaja na zaštitu podataka).
Tipovi grešaka sa primerom poruke bez roka čuvanja	Primer poruke čuva se neizmenjen do 2.000 znakova; očišćen obrazac uklanja adrese i brojeve, primer ne.	Poruke o greškama mogu da sadrže adrese e-pošte, nazive hostova ili IP adrese.
Inventar skripti bez sopstvenog roka čuvanja	Inventar skripti i promene skripti brišu se sa domenom (FE_DOMAIN_TABELLEN), uključujući brisanje radnog prostora ili naloga i noćno izvršavanje za preostale podatke bez veze sa domenom; nemaju sopstveni rok čuvanja. Sadrže adrese skripti, adrese stranica, a za odobrenja i osobu koja odobrava i razlog u slobodnom tekstu.	Odnosi se na načelo ograničenja čuvanja (čl. 5(1)(e)); dnevnik promena sa odobrenjima nastavlja da raste dok domen postoji.
Pretplatnici opozvanih portala	Opozvani portal se blokira, ne briše se; njegovi pretplatnici ostaju do brisanja radnog prostora.	Svrha (slanje izveštaja) prestala je opozivom.
Spiskovi studija bez roka čuvanja	Nakon objavljivanja hostovi i segmenti ostaju; nikada objavljene studije zadržavaju i svoje sirove podatke.	Obećanje „sirovi podaci se brišu“ važi samo za objavljene studije.
Interne provere bez putanje brisanja	Provere sa nivoom poverenja „internal“ koje nemaju ni domen ni izveštaj (studije i provere koje operater pravi iz komandne linije) nisu obuhvaćene nijednom putanjom brisanja; sa njima ostaju obrasci, nalazi i snimci ekrana tuđih veb-sajtova.	Odnosi se na načelo ograničenja čuvanja (čl. 5(1)(e)); utiče na osobe koje ništa ne znaju o proveri. Procenjeno kao visok rizik u Proceni uticaja na zaštitu podataka.
Dokaz kontrole se ne obnavlja	Dokaz kontrole proverava se jednom; u kodu nema putanje kojom ga domen ponovo gubi.	Aktivne testne poruke, traženje datoteka i skeniranje nakon prijavljivanja nastavljaju se nakon promene vlasnika ili ovlašćenja.
Skeniranje nakon prijavljivanja: prenos ka klijentovoj stranici	Kao adresa za prijavu dozvoljen je http pored https, a greške sertifikata na klijentovoj stranici ne zaustavljaju prijavu.	Pristupni podaci testnog naloga mogli bi da se presretnu na putu do klijentove stranice.
Brisanje zavisi od vremenskog prozora	Dnevni blok izvršava se samo ako provera statusa počne između 03:00 i 03:04. Ako to jedno izvršavanje ne uspe (baza podataka nedostupna, server ponovo pokrenut), brisanje i rezervna kopija tog dana se ne obavljaju; nema naknadnog izvršavanja. Ono što je obrisano ne beleži se trajno.	Rokovi čuvanja tada se neprimetno produžavaju za jedan dan. Propušten prozor ne pokreće upozorenje; prijavljuje se samo rezervna kopija koja se pokrene pa ne uspe. Spisak za podešavanje u administrativnom delu prikazuje datum poslednje uspešne rezervne kopije.
Neka brisanja zavise od nadzora	Pražnjenje kontrolnog sandučeta provere isporuke e-pošte, brisanje incidenata, poslatih zbirnih obaveštenja, signala zajedničke zaštite i provera potencijalnih klijenata i čišćenje preostalih kopija testnog naloga u zadacima izvršavaju se u delu planera provere statusa, koji radi samo dok je nadzor uključen u administrativnom delu; dodele provere isporuke e-pošte brišu se samo dok je kontrolno sanduče podešeno.	Ako se nadzor centralno isključi ili se sanduče ukloni, ovi rokovi čuvanja prestaju da se sprovode, a da to niko ne primeti.
Mesto za prijave i poštanska sandučeta bez roka čuvanja	Prijave ranjivosti i druge dolazne e-poruke čuvaju se izvan aplikacije; rok čuvanja nije određen.	Prijave mogu da sadrže dokaze sa podacima trećih lica.
Vrednosti skrivenih polja čitaju se tokom provere	Skener čita vrednost skrivenih polja obrasca do 24 znaka i atribute podataka do 60 znakova radi prepoznavanja vremenskih žigova i tokena. U mapu polja i nalaze ulaze samo naziv, tip, oznaka polja i rezultat prepoznavanja, ne vrednost.	Nema nedostatka u čuvanju; vrednost se drži samo u radnoj memoriji kontejnera skeniranja tokom provere. Unapred popunjena vrednost (poput broja klijenta) pri tome se čita, ali se ne čuva.
Izvedeni domen pošiljaoca u rezultatu autentifikacije	A.1.	Za lične domene posetilaca, podaci o ličnosti koji potiču iz stvarne poruke.
Ojačavanje administracije servera nije završeno; interne veze nisu svuda šifrovane	Odeljak 8.1. Ojačavanje se nastavlja; detalje ne navodimo javno.	Bezbednosni incident na nivou servera pogodio bi istovremeno aplikaciju, bazu podataka i rezervne kopije.
Merenje na razvojnom sistemu	Šema, kod i postavke provereni su merenjem na razvojnom sistemu.	Kod i šema podudaraju se sa produkcionim sistemom; postavke mogu da se razlikuju i moraju tamo ponovo da se provere pre pokretanja.

11. Održavanje ove evidencije

Čl. 30 zahteva da se evidencija vodi u pisanom obliku i na zahtev stavi na raspolaganje nadzornom organu. Za to su potrebni odgovorna osoba i interval u kom se ona proverava prema sistemu, a ne prema svojoj prethodnoj verziji.

• Odgovornost: Lukas Wójcik, vlasnik. Evidencija se preispituje godišnje i kad god se neka radnja obrade promeni.
• Događaji koji zahtevaju ažuriranje: novi ili promenjeni podobrađivač, naročito izbor pružaoca usluge e-pošte; nova tabela ili novo polje sa podacima o ličnosti; promena rokova čuvanja ili lanaca brisanja u cfg/fristen_lib.php ili srv/cron_status.php; novi kanal upozorenja ili novi zahtev trećoj strani; uključivanje funkcije koja je podrazumevano isključena (zajednička zaštita sa IP mrežama, sonda, sopstveni domeni, partnerski program, plaćanje po fakturi, Spamhaus ili Google Web Risk); prelazak na druge servere.
• Postupak: svaka tvrdnja ovde potiče iz koda, šeme ili merenja. Provera koja samo čita tekst nije ništa proverila: šema i lanci brisanja ponovo se proveravaju merenjem, promenljive oznake ostaju promenljive oznake, otvorena pitanja se zatvaraju ili prenose dalje uz obrazloženje.
• Odnos prema drugim dokumentima: ova evidencija ne zamenjuje Politiku privatnosti, Ugovor o obradi podataka, Tehničke i organizacione mere niti spisak podobrađivača. Kada se oni i ova evidencija razlikuju, razlika je nalaz.
• Izmene ovog dokumenta navedene su na stranici Izmene ugovorne dokumentacije.