Procena uticaja na zaštitu podataka (čl. 35 GDPR-a)

Ovaj dokument je objavljen na više jezika. U slučaju neslaganja između jezičkih verzija, merodavna je poljska verzija.

Verzija 1.1 · Poslednje ažuriranje: 23. oktobar 2026.

1. O čemu je reč i šta predstavlja ova stranica

Ova stranica je procena uticaja na zaštitu podataka (DPIA) usluge formexposed prema čl. 35 GDPR-a. Prvo odgovara na prethodno pitanje da li je DPIA uopšte potrebna – za svaku radnju obrade zasebno, ne za uslugu u celini. Kada je odgovor potvrdan, sprovodi procenu prema čl. 35(7)(a) do (d): sistematski opis, neophodnost i srazmernost, rizike za lica na koja se podaci odnose i mere za njihovo rešavanje. Zatim slede preostali rizik, pitanje prethodnih konsultacija prema čl. 36 i pravila za preispitivanje.

Čl. 35 ne zahteva objavljivanje DPIA. Objavljujemo je iz dva razloga. Prvo, klijentima koji koriste proveru isporuke e-pošte ili skeniranje nakon prijavljivanja potrebne su za njihovu sopstvenu procenu činjenice koje samo mi znamo; kao obrađivač podataka o ličnosti svakako smo dužni da im pružimo te činjenice (čl. 28(3)(f) GDPR-a). Drugo, naš prikupljač proverava veb-sajtove čiji nas operateri ne poznaju. Trebalo bi da mogu da pročitaju koje rizike vidimo za njih i za ljude na njihovim stranicama i šta preduzimamo u vezi sa njima.

Pravna priroda. Ova DPIA je dokumentacija rukovaoca podacima o ličnosti prema čl. 35 GDPR-a, koju objavljujemo dobrovoljno. Ona nije deo nijednog ugovora i ne predstavlja nikakvu izjavu, garanciju niti sporazum o kvalitetu prema klijentima ili trećim licima. Koje usluge i zaštitne mere dugujemo klijentima uređuju Uslovi korišćenja, Ugovor o obradi podataka i njegovi prilozi; u pogledu tih obaveza, oni imaju prednost nad ovom stranicom. Stranica opisuje stanje na datum ove verzije. Ocene rizika i procene naše su sopstveno viđenje i ne prejudiciraju pravnu ocenu nadzornog organa ili suda; mere opisane kao „planirane“ jesu namere bez obavezujućeg datuma. Za klijente je stranica osnova za sopstvenu procenu, a ne pravni savet.

Ovo je prva verzija procene praga. Ispituje, radnju obrade po radnju obrade, da li je DPIA potrebna i beleži rezultat u odeljku 3.5.

Svaka činjenična tvrdnja podleže istom načelu kao u našim drugim pravnim dokumentima: izmereno, a ne nameravano. Ono što je potkrepljeno kodom ili bazom podataka ovde je navedeno uz upućivanje na izvor. Ono što nije moglo da se potkrepi označeno je kao „nije provereno“. Ono što je samo planirano naziva se „planirano“. Otvorena pitanja navodimo otvoreno, zajedno sa planiranom merom; DPIA koja navodi samo prednosti ne pomaže ljudima na koje se odnosi.

Pojmovi: operater je svako ko upravlja proveravanim veb-sajtom. Klijent ima nalog kod formexposed. Posetilac je svako ko koristi klijentov veb-sajt, na primer njegov kontakt obrazac. Upućivanje na izvor znači datoteku, funkciju ili postavku u izvornom kodu, proverenu merenjem prema stanju razvojnog sistema 11. oktobra 2026.

Namerno postavljamo jednu granicu otvorenosti: otvorena pitanja zaštite naših sopstvenih servera opisujemo samo uopšteno (R13). Navodimo rizik i njegov nivo, ali ne put do konkretne ranjivosti; pojedinosti ćemo dostaviti nadzornom organu na zahtev.

2. Uloge: ko snosi obavezu i za šta

Čl. 35 stavlja obavezu na rukovaoca podacima o ličnosti. formexposed je rukovalac za neke radnje obrade, obrađivač za svoje klijente za druge, a nije ni jedno ni drugo za podatke koje naš WordPress dodatak i naše TYPO3 proširenje čuvaju na klijentovom veb-sajtu. Odgovor na gotovo svako pitanje u ovom dokumentu zavisi od uloge za koju se pitanje postavlja. Raspodela prati Politiku privatnosti i Ugovor o obradi podataka.

Radnja obrade	Uloga usluge formexposed	Ko snosi obavezu prema čl. 35
Provera tuđih veb-sajtova bez uputstva njihovog operatera: besplatna provera, provera potencijalnih klijenata za agencije, studija	Rukovalac podacima o ličnosti	formexposed
Provera domena na klijentovom nalogu: nadzor, aktivne testne poruke, tokovi kroz obrasce u pregledaču, izložene datoteke, provera dostupnosti obrasca	Rukovalac za klijentov nalog i podatke provere; obrađivač za podatke o ličnosti trećih lica vidljive na klijentovom potvrđenom veb-sajtu; dok domen nije potvrđen, rukovalac kao kod besplatne provere	formexposed za svoj deo; klijent za podatke trećih lica na svom veb-sajtu
Skeniranje nakon prijavljivanja testnim nalogom	Obrađivač podataka o ličnosti: pristupni podaci i sadržaj dostupan nakon prijavljivanja pripadaju klijentovom veb-sajtu	Klijent; formexposed pomaže
Provera isporuke e-pošte sa kontrolnom kopijom	Obrađivač podataka o ličnosti	Klijent; formexposed pomaže
Zajednička zaštita: zajednički spisak domena linkova iz blokiranih neželjenih poruka	Rukovalac podacima o ličnosti: kombinujemo prijave mnogih veb-sajtova, sastavljamo spisak i distribuiramo ga	formexposed
Korisnički nalozi, prijava, dnevnici, podrška, slanje e-pošte, plaćanja, evidencije dokaza	Rukovalac podacima o ličnosti	formexposed
Portal za klijente i mesečni izveštaj pretplatnicima agencije	Obrađivač podataka o ličnosti	Agencija
Podaci koje dodatak i proširenje čuvaju na klijentovom veb-sajtu (karantin, zaštitna mreža, sačuvani upiti)	Ni jedno ni drugo: podaci nikada ne napuštaju veb-sajt	Operater veb-sajta

Iz toga proizlazi razlika koju izričito navodimo, jer se često pogrešno shvata u oba smera. Kada je formexposed rukovalac podacima o ličnosti, sami sprovodimo procenu i snosimo njen rezultat. Kada smo obrađivač, ne možemo umesto klijenta da sprovedemo njegovu procenu, odlučimo o njenoj neophodnosti za njega ili u njegovo ime konsultujemo nadzorni organ prema čl. 36. Ono što tu možemo i moramo da uradimo jeste da mu dostavimo sve što mu je potrebno: opis prema tački (a), izmerene činjenice o rizicima prema tački (c) i iskren spisak stanja mera prema tački (d). Za proveru isporuke e-pošte i skeniranje nakon prijavljivanja ova stranica je upravo to.

Klijent koji neizmenjeno preuzme odeljke o proveri isporuke e-pošte kao svoju DPIA nije je sproveo. Da li je kontrolna kopija opravdana za njegove obrasce, da li se tu mogu očekivati posebne kategorije podataka o ličnosti i kako obaveštava svoje posetioce pitanja su o kojima samo on može da odluči. Odeljak 11 sažima šta za tu svrhu treba razjasniti.

3. Procena praga: da li je DPIA potrebna?

3.1 Čl. 35(1) i čl. 35(3)

Čl. 35(1) zahteva DPIA kada je verovatno da će neki tip obrade, naročito uz korišćenje novih tehnologija, uzimajući u obzir prirodu, obim, okolnosti i svrhe obrade, proizvesti visok rizik za prava i slobode fizičkih lica. Čl. 35(3) navodi tri slučaja u kojima je to naročito tako. Nijedan od tri ne odgovara usluzi formexposed, a to bi trebalo obrazložiti umesto samo tvrditi:

Tačka (a) – sistematska i obimna procena ličnih aspekata fizičkih lica zasnovana na automatizovanoj obradi, na kojoj se zasnivaju odluke koje proizvode pravne posledice ili slično značajno utiču na njih. Procenjujemo obrasce i veb-sajtove, ne lične aspekte ljudi. Usluga ne donosi odluku sa pravnim dejstvom po bilo koju osobu. Najbliža tome je zajednička zaštita: poruke koje sadrže link do domena sa spiska završavaju u karantinu na povezanim veb-sajtovima. To je automatizovana posledica za poruku, ne obimna procena osobe; obrađujemo je pod kriterijumom „Procena ili bodovanje“ u odeljku 3.3.
Tačka (b) – obrada posebnih kategorija prema čl. 9 ili podataka o krivičnim delima prema čl. 10 u velikom obimu. Nije nameravana niti izgrađena. Takvi podaci ipak mogu da dospeju do nas jednim putem: u kontrolnoj kopiji stvarnih poruka posetilaca u proveri isporuke e-pošte. To zavisi od pojedinačnog slučaja i nije veliki obim u smislu ove odredbe; ipak se uzima u obzir u proceni rizika (R1).
Tačka (c) – sistematski nadzor javno dostupne oblasti u velikom obimu. To znači fizičko posmatranje mesta, ne preuzimanje javnih veb-stranica. Pozivanje na ovu odredbu kao osnov za prikupljač veb-sajtova bilo bi pogrešno.

Ispravan put je zato sam čl. 35(1), primenjen kroz devet kriterijuma Smernica Radne grupe iz člana 29 o proceni uticaja na zaštitu podataka (WP248 rev.01, koje je podržao Evropski odbor za zaštitu podataka) i spisak poljskog nadzornog organa prema čl. 35(4) (odeljak 3.4).

3.2 Devet kriterijuma smernica WP248

Smernice navode devet karakteristika koje ukazuju na verovatan visok rizik. Po opštem pravilu, radnja obrade koja ispunjava dve od njih u većini slučajeva zahtevaće DPIA. Rukovalac podacima o ličnosti može u pojedinačnom slučaju doći do drugačijeg zaključka, ali tada mora da ga obrazloži i dokumentuje. Obrnuto, i jedan kriterijum može biti dovoljan. Na ovoj stranici koristimo sledeće kratke oznake:

C1 – Procena ili bodovanje, uključujući profilisanje i predviđanje, na primer radnog učinka, ekonomskog položaja, pouzdanosti ili ponašanja.
C2 – Automatizovano donošenje odluka sa pravnim ili sličnim značajnim dejstvom.
C3 – Sistematski nadzor, odnosno obrada koja se koristi za posmatranje, praćenje ili kontrolu lica na koja se podaci odnose, uključujući putem mreža. Smernice izričito opravdavaju ovaj kriterijum činjenicom da lica često ne znaju ko prikuplja njihove podatke i u koju svrhu.
C4 – Osetljivi podaci ili podaci izrazito lične prirode: posebne kategorije prema čl. 9 i 10, ali i podaci čije otkrivanje značajno utiče na svakodnevni život, uključujući elektronske komunikacije čiju bi poverljivost trebalo zaštititi.
C5 – Podaci obrađeni u velikom obimu, mereno brojem lica na koja se podaci odnose, količinom i rasponom podataka, trajanjem i geografskim obuhvatom.
C6 – Uparivanje ili kombinovanje skupova podataka koji potiču iz različitih radnji obrade ili od različitih rukovalaca podacima o ličnosti, na način koji lica ne bi očekivala.
C7 – Podaci o ranjivim licima na koja se podaci odnose, na primer zaposlenima, deci, pacijentima ili drugim osobama u neravnoteži moći.
C8 – Inovativna upotreba ili primena novih tehnoloških ili organizacionih rešenja; u nadzornoj praksi upotreba veštačke inteligencije redovno se smatra obuhvaćenom ovim kriterijumom.
C9 – Obrada koja sprečava lica na koja se podaci odnose da ostvare pravo ili koriste uslugu ili ugovor.

Svaki kriterijum ocenjujemo kao „ispunjen“, „graničan“ ili „nije ispunjen“ i obrazlažemo ocenu na osnovu koda. Granični slučaj se u zbiru ne računa kao ispunjen, ali se navodi u rezultatu; kada više graničnih slučajeva upućuje u istom smeru, uključujemo radnju obrade u procenu.

3.3 Procena po radnji obrade

P1 – Besplatna provera bez naloga (provera bilo kog tuđeg veb-sajta na zahtev)

Svako može da unese domen na početnoj stranici. Prikupljač zatim preuzima najviše osam javnih stranica tog veb-sajta, čita obrasce, pravi snimke ekrana i izrađuje izveštaj koji može da vidi svako ko zna njegov nasumični link. Operater veb-sajta ništa ne saznaje o tome osim ako ne primeti identifikator prikupljača u svojim dnevnicima.

C1 – granično. Izveštaj ocenjuje zaštitu obrasca nivoom („Izloženo“, „Delimično zaštićeno“, „Zaštićeno“) i ocenom. Za društvo sa ograničenom odgovornošću to se ne odnosi na fizičko lice. Kod preduzetnika i samostalnih stručnjaka domen može da se pripiše pojedincu, pa nivo govori nešto o pažnji u njegovoj profesionalnoj delatnosti. Ipak se procenjuje tehnička postavka, ne ponašanje ili svojstva osobe. To tretiramo kao granično.
C2 – nije ispunjen. Ništa se ne odlučuje u odnosu na operatera. U odnosu na osobu koja traži proveru važe ograničenja po IP adresi i sesiji (cfg/check_lib.php); odbijena provera nema značajno dejstvo.
C3 – nije ispunjen. To je jednokratno preuzimanje na zahtev, najviše jednom po domenu i nedelji (cfg/check_lib.php, postavka fc_domain_days = 7). Ljudi se ne posmatraju. Ipak postoji okolnost koju smernice navode kao opravdanje za C3 – lica na koja se podaci odnose ništa ne znaju o obradi. Ona se uzima u obzir u proceni rizika (R5).
C4 – nije ispunjen. Čuvaju se struktura obrasca i nalazi, ne unete vrednosti (scanner/src/crawl.js čuva samo dužinu vrednosti za vidljiva polja). Skener čita početke unapred popunjenih skrivenih polja (do 24 znaka) i atribute podataka (do 60 znakova) samo tokom provere radi otkrivanja tokena i vremenskih žigova; oni se ne čuvaju. Snimci ekrana mogu usputno da prikažu ljude i imena; veb-sajt ordinacije na slici prikazuje specijalnost. To su javni profesionalni podaci, ne zdravstveni podaci određene osobe.
C5 – granično. Dnevni maksimum je 200 prihvaćenih provera (fc_daily_cap), odnosno računski do oko 73.000 veb-sajtova godišnje. Po veb-sajtu nastaje samo nekoliko podataka o ličnosti, a trajanje je kratko (30 dana). Prema merenju na razvojnom sistemu, u skupu podataka postoje 2 anonimne provere. Danas nije ispunjen; graničan s obzirom na projektovani kapacitet.
C6 – nije ispunjen. Pored preuzimanja stranica, usluga upituje starost domena preko RDAP usluge rdap.org (prenosi se samo naziv domena; čuva se samo datum registracije, keširano) i razrešava DNS. To su tehnički detalji domena, ne kombinacija skupova podataka o ljudima.
C7 – nije ispunjen.
C8 – ispunjen, u slabom obliku. Automatizovani pregledač proverava stranice, a jezički model na našem sopstvenom serveru klasifikuje obrasce koje pravila ne prepoznaju (scanner/src/classify.js). Model vidi naslov stranice, adresu, oznake polja i do 400 znakova teksta obrasca. Nikada ne može da učini obrazac „podobnim za slanje“.
C9 – nije ispunjen.

Međurezultat P1: jedan kriterijum u slabom obliku (C8), dva granična slučaja (C1, C5). Nema obaveze prema opštem pravilu. Pošto oba granična slučaja upućuju u istom smeru i lica ništa ne znaju o obradi, uključujemo P1 u procenu.

P2 – Provera potencijalnih klijenata za agencije

Agencija na paketu Business sa podešenim sopstvenim brendom može da zatraži pasivnu proveru veb-sajta potencijalnog klijenta. Dobija kratak nalaz pod svojim brendom i detaljan izveštaj i sama prosleđuje link (cfg/akquise_lib.php). Mi nikoga ne kontaktiramo.

C1 – granično, izraženije nego za P1. Kratak nalaz je izričito namenjen kao „otvaranje vrata za prvi razgovor“. Procena veb-sajta tako postaje osnova za komercijalno obraćanje osobi.
C5 – nije ispunjen. Najviše 30 provera po agenciji i mesecu (prospect_monthly), brisanje nakon 90 dana.
C8 – ispunjen, u slabom obliku (ista tehnologija kao P1).
Ostali kriterijumi – nisu ispunjeni. Nalaz se prikazuje pod brendom agencije, ali se ne povezuje sa drugim podacima o operateru.

Međurezultat P2: nema obaveze prema opštem pravilu; uključen iz istih razloga kao P1 i zato što svrha – pridobijanje klijenata – nosi sopstveni rizik (R6).

P3 – Studija „Indeks bezbednosti obrazaca“

Za studiju se pasivno proverava spisak veb-sajtova, uz ograničenje na najviše pet otvorenih zadataka po izvršavanju procesa statusa, koji se izvršava svakih pet minuta (cfg/studie_lib.php). Objavljuju se samo ukupni podaci, a segmenti samo od 20 veb-sajtova sa obrascem (study_min_segment, cfg/studie_lib.php). Sirovi podaci brišu se pri objavljivanju (cfg/studie_lib.php).

C5 – granično, ispunjen za velike spiskove. Veličina spiska nije ograničena u kodu; ograničavanje učestalosti računski omogućava više od hiljadu provera dnevno. Studija nacionalnog tržišta obuhvata hiljade veb-sajtova, od kojih mnogima upravljaju preduzetnici. Od takve veličine naviše smatramo kriterijum ispunjenim.
C8 – ispunjen, u slabom obliku.
C1 – nije ispunjen. Iako se pojedinačni veb-sajt ocenjuje, objavljuje se samo zbir; ocena ne služi za iskaz o pojedinačnom operateru.
Ostali kriterijumi – nisu ispunjeni.

Međurezultat P3: za studije projektovane veličine dva kriterijuma (C5, C8). Studija zato dostiže prag; formexposed sprovodi procenu kao rukovalac podacima o ličnosti. Prema merenju na razvojnom sistemu, do sada nije napravljena nijedna studija.

P4 – Provera domena na klijentovom nalogu

Klijent redovno proverava domene na svom nalogu. Kada dokaže da ima pravo da kontroliše domen, dodaju se aktivne testne poruke (najviše pet po proveri), traženje izloženih datoteka i podešeni tokovi kroz obrasce u pregledaču.

C3 – nije ispunjen. Provera je planirana i ponavlja se, ali se odnosi na klijentov sopstveni veb-sajt i vrši se na njegov zahtev, ne radi posmatranja ljudi.
C4 – granično, ne. Traženje izloženih datoteka čita najviše prvih 8 KB sa putanja poput /backup.sql ili dnevnika za otklanjanje grešaka kako bi iz sadržaja utvrdilo da li je datoteka zaista izložena (cfg/dateien_lib.php). Takav izvod može da sadrži unose posetilaca u obrasce. Proverava se samo u memoriji i nikada se ne čuva; čuvaju se putanja, tip i ozbiljnost.
C8 – ispunjen, u slabom obliku.
Ostali kriterijumi – nisu ispunjeni.

Dodatna faza akcionog plana. Odgovarajući plaćeni izveštaji mogu da sadrže lokalno generisan savetodavni tekst zasnovan na izabranim nalazima i metapodacima skeniranja. Čuva se uz proveru i prikazuje uz AI napomenu; pojedinačni nalazi ostaju merodavni. Ne menja veb-sajtove automatski niti donosi odluke o ljudima sa pravnim ili sličnim značajnim dejstvom. Sama upotreba jezičkog modela ne određuje da li je potrebna zasebna DPIA. Njegovi ulazni podaci, primaoci, obim i preostali rizici moraju da se procene sa osnovnom proverom, uključujući moguće ponavljanje podataka o ličnosti iz URL adresa ili napomena i netačne preporuke u izveštaju koji se može deliti linkom. Odeljci 7 do 9 ispod uključuju ovu fazu; ovaj činjenični dodatak ne tvrdi da postoje završeno merenje u produkciji, odobrenje vlasnika ili nova ocena preostalog rizika.

Međurezultat P4: Osnovna tehnička provera ne dostiže prag prema gore opisanim činjenicama. Dodatna lokalna savetodavna faza sama po sebi ne uspostavlja zasebnu obavezu, ali raniji rezultat praga nije zamena za razmatranje njenih stvarnih ulaznih podataka, obima, primalaca i dejstava. Uključena zato što aktivne testne poruke i provera datoteka zavise od dokaza koji se nikada ne obnavlja (R7).

P5 – Skeniranje nakon prijavljivanja

Za potvrđen domen klijent može da sačuva testni nalog za svoj veb-sajt. Skener se prijavljuje njime i čita obrasce na do pet navedenih stranica dela za članove (cfg/login_lib.php, scanner/src/login.js).

C4 – granično. Pristupni podaci nisu podaci izrazito lične prirode u smislu smernica, ali njihova zloupotreba otvara deo za članove. Zavisno od veb-sajta, nakon prijavljivanja može da bude dostupan poverljiv sadržaj, na primer u portalu za članove ili pacijente. To zavisi od klijenta, ne od nas.
C8 – nije ispunjen. Automatizovane prijave uobičajene su kod usluga nadzora.
Ostali kriterijumi – nisu ispunjeni.

Međurezultat P5: nema obaveze prema opštem pravilu. Za klijente čiji deo za članove prikazuje poverljiv sadržaj to može da se promeni; odluka tada leži na njima. Uključen zbog bezbednosnih rizika (R8).

P6 – Provera isporuke e-pošte sa kontrolnom kopijom

Klijent unosi kontrolnu adresu usluge formexposed kao skrivenu kopiju u postavkama pošte svog obrasca. Zbog toga svaka e-poruka iz obrasca odlazi i u naše kontrolno poštansko sanduče – naša testna poruka kao i svaka stvarna poruka posetioca. Automatizovano preuzimanje čita zaglavlja i prvih 8 KB, dodeljuje e-poruku, procenjuje SPF, DKIM i DMARC i briše je (cfg/zustellung_lib.php).

C4 – ispunjen. Ono što posetioci napišu u kontakt obrazac jeste elektronska komunikacija preduzeću sa proizvoljnim sadržajem. Na veb-sajtu ordinacije, advokatske kancelarije, savetovališta ili škole mogu da se očekuju podaci prema čl. 9 ili o deci. Smernice izričito navode poverljive elektronske komunikacije pod ovim kriterijumom.
C3 – graničan, pre bi se ocenio kao ispunjen. Svaka poruka se planski i kontinuirano kopira i automatski procenjuje, a da pošiljalac to ne primećuje. Svrha je provera putanje pošte, ne posmatranje ljudi. Ipak okolnost kojom smernice opravdavaju kriterijum – lica ne znaju ko prima njihove podatke – u potpunosti postoji dok klijent ne obavesti svoje posetioce.
C7 – zavisno od klijenta. Pacijenti, klijenti advokatskih kancelarija, kandidati za posao, roditelji i učenici često su u odnosu zavisnosti prema primaocu svoje poruke.
C5 – granično, ne. Nije veliki obim za pojedinačnog klijenta. Kod formexposed kopije mnogih klijenata skupljaju se u jednom sandučetu; to povećava težinu povrede, ne broj po rukovaocu podacima o ličnosti.
Ostali kriterijumi – nisu ispunjeni. Dodela domenu i testu nije uparivanje skupova podataka o ljudima; tehnologija nije nova.

Međurezultat P6: C4 je ispunjen, C3 je graničan i pre bi se ocenio kao ispunjen, a C7 je ispunjen za mnoge tipične klijente. U tipičnoj konstelaciji zato su ispunjena dva ili više kriterijuma. DPIA je potrebna – kao obaveza klijenta, koji je rukovalac podacima o ličnosti. Odeljci 6 do 11 pružaju mu činjenice za to.

P7 – Zajednička zaštita

Povezani WordPress veb-sajtovi jednom dnevno prijavljuju domene linkova iz poruka koje je njihov zaštitni sloj zaustavio. Domen koji se pojavi na najmanje tri različita veb-sajta sa najmanje pet podudaranja u roku od sedam dana stavlja se na zajednički spisak; spisak se vraća svim povezanim veb-sajtovima, koji zatim stavljaju poruke sa linkovima do tog domena u karantin (cfg/swarm_lib.php).

C6 – ispunjen. Prijave mnogih međusobno nezavisnih veb-sajtova, odnosno različitih rukovalaca podacima o ličnosti, kombinuju se i vraćaju svima njima kao zajednički spisak.
C1 – ispunjen, ukoliko domen može da se pripiše fizičkom licu. Spisak je klasifikacija izvora neželjenih poruka. Smernice kao primer ovog kriterijuma navode proveravanje prema zajedničkoj bazi podataka o prevarama. Većina domena na takvom spisku pripada preduzećima ili su jednokratni domeni; ipak domen pojedinca može da završi na njemu, opravdano ili putem namerno podmetnutih lažnih prijava.
C9 – granično. Poruka sa linkom sa spiska ne stiže primaocu odmah, već stoji u njegovom karantinu dok je ne oslobodi. Ne gubi se.
C2 – nije ispunjen. Karantin je automatizovana posledica za poruku, bez pravnog dejstva i sa ljudskim oslobađanjem od strane primaoca.
Ostali kriterijumi – nisu ispunjeni. IP mreže su isključene (swarm_ip_enabled = 0, cfg/swarm_lib.php).

Međurezultat P7: dva kriterijuma (C6, C1) i jedan granični slučaj (C9). Prag je dostignut; formexposed sprovodi procenu kao rukovalac podacima o ličnosti. Sa uključenim IP mrežama C1 i C6 bili bi ispunjeni bez ograničenja; njihovo uključivanje zahteva novu verziju ove procene (odeljak 12). Prema merenju na razvojnom sistemu, nema ni prijava ni unosa na spisku.

P8 – Korisnički nalozi, prijava, dnevnici, podrška, e-pošta, plaćanja

C1 i C9 – nisu ispunjeni. Upadljivo ponašanje u besplatnoj proveri dovodi do napomene sa IP adresom (cfg/check_lib.php) i, kada je primenljivo, do odbijanja daljih provera. To je sprečavanje zloupotreba sa malim dejstvom, ne procena ličnih aspekata.
Ostali kriterijumi – nisu ispunjeni. To su uobičajeni podaci usluge za preduzeća.

Međurezultat P8: DPIA nije potrebna. Radnje obrade opisane su u Evidenciji radnji obrade.

P9 – Brojke dodatka, greške polja, snimač, oznaka, portal za klijente, „Fix it for me“

Dodatak i proširenje prenose dnevne brojke, inventar dodataka i kategorije grešaka, a WordPress dodatak dodatno prenosi domene linkova za zajedničku zaštitu (podrazumevano uključeno) (P7), bez sadržaja, adresa, imena ili IP adresa posetilaca; snimač drži selektore najviše 15 minuta u pregledaču administratora. Nijedan kriterijum nije ispunjen.
Pri učitavanju oznaka prenosi uobičajene podatke veze u dnevnik veb-servera, bez kolačića. Nijedan kriterijum nije ispunjen.
Portal za klijente obrađuje adrese e-pošte pretplatnika uz dvostruku potvrdu u ime agencije. Nijedan kriterijum nije ispunjen.
„Fix it for me“ prepravlja nalepljeni kod obrasca pomoću jezičkog modela na našem sopstvenom serveru; kod se ne čuva. C8 u slabom obliku, ništa drugo.

Međurezultat P9: DPIA nije potrebna.

3.4 Spisak poljskog nadzornog organa prema čl. 35(4)

Nadležni organ je predsednik Kancelarije za zaštitu podataka o ličnosti (Prezes Urzędu Ochrony Danych Osobowych, UODO). Predsednik je objavio spisak vrsta radnji obrade koje zahtevaju DPIA u saopštenju od 17. juna 2019. (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, tačka 666). Spisak dodeljuje svoje unose kriterijumima smernica WP248, daje primere i izričito nije iscrpan; ne zamenjuje procenu prema čl. 35(1).

Prema našem tumačenju, sledeće vrste obrade sa spiska suštinski odgovaraju radnjama obrade usluge formexposed:

Vrsta obrade prema spisku (prepričano)	Dodeljeni kriterijum	Radnja obrade kod formexposed	Procena
Poređenje, procena ili zaključivanje na osnovu analize podataka iz različitih izvora	C6	P7 Zajednička zaštita	primenljivo
Procena ili bodovanje, uključujući profilisanje	C1	P7 Zajednička zaštita; P1 i P2 kao granični slučajevi	primenljivo na P7
Obrada posebnih kategorija podataka o ličnosti	C4	P6 Provera isporuke e-pošte	primenljivo zavisno od klijenta
Inovativna upotreba ili primena tehnoloških rešenja	C8	P1 do P4 (jezički model za klasifikaciju)	primenljivo u slabom obliku
Obrada u velikom obimu	C5	P3 Studija	primenljivo na velike spiskove
Sistematski nadzor javno dostupnih mesta, uključujući prepoznavanje svojstava	C3	–	nije primenljivo: misli se na mesta, ne veb-sajtove

Ova raspodela je tumačenje, ne citat; formulacije unosa treba proveriti prema njemu u pravnoj proveri. Potvrđuje rezultat odeljka 3.3, ali ga ne menja. Prema našem saznanju, UODO nije objavio spisak prema čl. 35(5) – radnje obrade za koje DPIA nije potrebna.

3.5 Rezultat procene praga

Radnja obrade	Ispunjeno	Granično	Rezultat
P1 Besplatna provera	C8 (slabo)	C1, C5	nije obavezna; uključena
P2 Provera potencijalnih klijenata	C8 (slabo)	C1	nije obavezna; uključena
P3 Studija	C8 (slabo), C5 za velike spiskove	–	potrebna (obaveza usluge formexposed)
P4 Provera klijentovih domena	C8 (slabo)	C4 (provera datoteka)	nije obavezna; uključena
P5 Skeniranje nakon prijavljivanja	–	C4	nije obavezna; uključena; za klijenta zavisno od sadržaja
P6 Provera isporuke e-pošte	C4; C7 zavisno od klijenta	C3 (pre bi se ocenio kao ispunjen), C5	potrebna (obaveza klijenta; ova stranica pomaže prema čl. 28(3)(f))
P7 Zajednička zaštita	C6, C1	C9	potrebna (obaveza usluge formexposed)
P8 Nalozi, dnevnici, podrška, plaćanja	–	–	nije potrebna
P9 Brojke dodatka, oznaka, portal, „Fix it for me“	C8 (slabo, samo „Fix it for me“)	–	nije potrebna

Rezultat za čl. 35(1): DPIA je potrebna za pojedine radnje obrade usluge formexposed. Potrebna je za zajedničku zaštitu i studije projektovane veličine, a formexposed je sprovodi kao rukovalac podacima o ličnosti. Za proveru isporuke e-pošte potrebna je u tipičnoj konstelaciji, ali kao obaveza klijenta; formexposed pruža osnovu. Za druge provere tuđih i sopstvenih veb-sajtova nije obavezna. Ipak ih uključujemo jer koriste istu tehnologiju, jer više graničnih slučajeva upućuje u istom smeru i jer lica na koja se podaci odnose – operateri bez naloga i ljudi na proveravanim stranicama – ništa ne znaju o obradi. Za naloge, dnevnike, podršku i plaćanja nije potrebna procena.

Odeljci 6 do 10 zato važe za P1 do P7. Kada neka tvrdnja važi samo za jednu od ovih radnji obrade, to je označeno.

4. Lice za zaštitu podataka o ličnosti: procena prema čl. 37

Lice za zaštitu podataka o ličnosti nije imenovano. Čl. 37(1) obavezuje i rukovaoca i obrađivača podataka o ličnosti; pitanje je zato naše sopstveno. Tri zakonska slučaja:

Čl. 37(1)	Uslov	Rezultat
tačka (a)	Organ javne vlasti ili javno telo	Nije primenljivo; LW IT Solutions Company Lukas Wójcik je privatna preduzetnička radnja.
tačka (b)	Osnovne aktivnosti sastoje se od radnji obrade koje zahtevaju redovno i sistematsko praćenje lica na koja se podaci odnose u velikom obimu	Osnovna aktivnost je provera i nadzor veb-sajtova i obrazaca, redovno i sistematski. Međutim, ljudi se ne prate: prikupljač ne posmatra ponašanje, a provera isporuke e-pošte procenjuje e-poruke samo u pogledu isporuke i autentičnosti. Nije ispunjeno.
tačka (c)	Osnovne aktivnosti sastoje se od obrade podataka prema čl. 9 ili 10 u velikom obimu	Ne prema nameri sistema. Posebne kategorije mogu da dospeju do nas kroz kontrolnu kopiju provere isporuke e-pošte; to je usputno, ne osnovna aktivnost. Nije ispunjeno.

Po našoj proceni zato nema obaveze imenovanja. Da li poljsko pravo zahteva imenovanje preko toga prema čl. 37(4) otvoreno je pitanje za pravnu proveru. Pošto lice za zaštitu podataka o ličnosti nije imenovano, savet prema čl. 35(2) nije primenljiv. Ako pravna provera utvrdi obavezu imenovanja, savet tada imenovanog lica tražiće se pre odobravanja ove procene (odeljak 12). Kontakt osoba za pitanja o ovoj proceni je vlasnik na contact@lukaswojcik.com.

5. Metod, izvori i granice ove verzije

Činjenice u ovom dokumentu potiču iz izvornog koda aplikacije i skenera, iz šeme baze podataka i iz broja redova i postavki razvojnog sistema, proverenih merenjem 11. oktobra 2026. Bazi podataka i serverima pristupalo se samo radi čitanja. Kada merenje protivreči nameri – uključujući tvrdnju u našim sopstvenim pravnim dokumentima – navodimo merenje. Ne primenjujemo odobrene kodekse postupanja prema čl. 40, čije bi poštovanje moralo da se uzme u obzir prema čl. 35(8).

Meren je razvojni sistem. Usluga još nije pokrenuta. Brojke su zato male i delom posledica testiranja: 112 provera, od toga 110 bez klijentovog domena; 432 snimka ekrana; 2 domena, od toga 1 potvrđen; nijedna uključena provera isporuke e-pošte; nijedan sačuvan testni nalog za skeniranje nakon prijavljivanja; nijedna studija; nema prijava u zajedničkoj zaštiti. Merenja treba ponoviti pre pokretanja i u redovnim razmacima nakon toga.
U ovoj verziji nisu izmereni i treba ih dodati pre odobrenja: konfiguracija produkcionog sistema, uključujući to da li je i kako kontrolno sanduče podešeno i da li je tamo podešen par ključeva za skeniranje nakon prijavljivanja; da li softver jezičkog modela beleži zahteve; stanje administracije servera (R13); ugovor sa pružaocem usluge e-pošte.
Nije moglo da se izmeri koliko stvarnih poruka posetilaca će proći kroz kontrolnu kopiju i iz kojih sektora će klijenti dolaziti. Oboje određuje težinu R1 i R2 i treba da se utvrdi nakon pokretanja.
Upućivanja na izvore vode do datoteka i funkcija u izvornom kodu razvojnog sistema. Presudna je opisana funkcija, ne njeno mesto u datoteci.

Ovaj dokument je nacrt. Još ga nije odobrio rukovalac podacima o ličnosti (odeljak 12), a dva njegova zaključka – procena obima za P1 i P3 i težina provere isporuke e-pošte – zavise od brojki koje će postojati tek nakon pokretanja.

6. (a) Sistematski opis radnji obrade i svrha

6.1 Kako je strukturisan sistem provere

formexposed radi na sopstvenim serverima u Poljskoj, bez spoljnog hosting pružaoca: veb-server sa aplikacijom i bazom podataka i server za skeniranje sa uslugom provere i lokalnim jezičkim modelom, oba u istoj internoj mreži. Provera teče ovako:

Aplikacija pravi zadatak u bazi podataka – uz ograničenja i blokade iz odeljka 6.3.
Usluga provere na serveru za skeniranje preuzima zadatak, drugi put proverava listu blokiranih, nazive hostova i, za anonimne provere, starost domena i pokreće izolovani kontejner tačno za ovaj zadatak: sopstvena mreža sa sopstvenim pravilima filtriranja, bez posebnih privilegija, sistem datoteka samo za čitanje, ograničenja memorije i procesa i vremensko ograničenje (scanner/src/worker.js).
Unutar kontejnera automatizovani pregledač preuzima najviše osam javnih stranica, prvo početnu, zatim prvenstveno stranice za kontakt, podatke o pružaocu usluge i podršku. Pre toga čita robots.txt; isključivanje za FormExposedBot ili za sve prikupljače koje obuhvata početnu stranicu završava proveru, kao i nedostupan robots.txt ili greška servera pri preuzimanju (scanner/src/net.js). Zabrane za pojedinačne potputanje ne poštuju se zasebno. Provera dostupnosti obrasca, preuzimanje dokaza kontrole, alat za zaglavlja i traženje izloženih datoteka ne čitaju robots.txt. Pored osam stranica, tu su do tri stranice sa klikom na „Odbij“ u baneru za kolačiće, do tri stranice u prikazu telefona, aktivne probe za potvrđene domene i do pet stranica dostupnih nakon prijavljivanja; stranice se učitavaju jedna za drugom, ne paralelno. Svaki zahtev pregledača – uključujući preusmeravanja i ugrađeni sadržaj – prolazi kroz filter koji odbija privatne mreže i druge portove.
Kontejner upisuje rezultat i snimke ekrana u privremeni direktorijum. Usluga provere prosleđuje rezultat i slike aplikaciji preko interne mreže i briše privremeni direktorijum, čak i nakon greške (scanner/src/worker.js).
Aplikacija obrađuje rezultat, poredi ga sa prethodnom proverom za klijentove domene i prijavljuje promene odredištima koja je klijent podesio.

6.2 Šta prikupljač čuva – a šta ne

Stavka	Šta se čuva	Šta se ne čuva	Upućivanje na izvor
Stranice	Adresa, HTTP status, zaglavlja, Content Security Policy, zatraženi hostovi trećih strana (najviše 120)	Sadržaj stranice kao tekst ili HTML	`scanner/src/crawl.js`
Polja obrasca	Tip, naziv, oznaka, tekst primera u polju, obaveznost polja, vidljivost, dužina postojeće vrednosti	Vrednosti polja; za skrivena polja prvih 24 znaka vrednosti samo se čitaju tokom provere (radi otkrivanja tokena)	`scanner/src/crawl.js`
Adrese primalaca u obrascu	samo domen	adresa	`scanner/src/crawl.js`
Skripte	Inventar sa kontrolnim zbirom; adrese i početni tekst bez identifikatora naloga reklamnih i analitičkih usluga	Identifikatori naloga i piksela	`scanner/src/crawl.js`
Prisluškivači	koji reklamni pikseli i alati za snimanje se učitavaju pre i posle klika na „Odbij“ u baneru za kolačiće i da li maskiraju unose	Identifikatori naloga kod ovih usluga	`scanner/src/mitleser.js`, `scanner/src/einwilligung.js`
Tekst obrasca	do 400 znakova ide lokalnom jezičkom modelu ako pravila ne prepoznaju tip	Otkrivanje trećim stranama; čuvanje teksta	`scanner/src/classify.js`
Snimci ekrana (prikupljač)	vidljivi deo prve stranice; za svaki vidljivi obrazac slika elementa obrasca	–	`scanner/src/crawl.js`
Snimci ekrana (aktivna provera)	Slika stranice odgovora na testnu poruku; dodatno status, odredišna adresa, naslov i prvih 300 znakova njenog teksta	–	`scanner/src/active.js`
Snimci ekrana (tokovi kroz obrasce u pregledaču)	Slika obrasca sa zacrnjenim poljima za unos, kompresovana, najviše 32 KB	Unosi	`scanner/src/browser.js`
Nakon prijavljivanja	kao za polja obrasca iznad	Snimci ekrana, kolačići, linkovi	`scanner/src/login.js`

Ove stavke ne sadrže podatke o ličnosti po nameri, ali ih sadrže usputno: ime kontakt osobe pored obrasca, fotografija tima na početnoj stranici, broj telefona u oznaci, domen e-pošte pojedinca, ime u tekstu primera u polju. Nakon prijavljivanja dodaju se podaci testnog naloga i, zavisno od veb-sajta, drugih korisnika.

6.3 Ko pokreće proveru i šta tada važi

Okidač	Nivo poverenja u zadatku	Testna slanja	Rezultat dostupan putem	Brisanje
Neko unosi domen na početnoj stranici (besplatna provera)	anonymous	ne	Izveštaj na nasumičnom linku	30 dana, uključujući slike (`cfg/check_lib.php`)
Dodatak ili proširenje bez naloga	plugin	ne	Izveštaj na nasumičnom linku	30 dana
Agencija za potencijalnog klijenta	registered	ne	Kratak nalaz i izveštaj na nasumičnom linku	90 dana (`cfg/akquise_lib.php`)
Klijent, domen bez dokaza	registered	ne	Nalog; izveštaj na nasumičnom linku	13 meseci, poslednja provera se zadržava
Klijent, domen sa dokazom	verified	da, najviše pet po proveri	Nalog; izveštaj na nasumičnom linku	13 meseci, poslednja provera se zadržava (`cfg/fristen_lib.php`)
Studija	internal	ne	samo ukupni podaci nakon objavljivanja	pri objavljivanju; bez objavljivanja nema vremenskog ograničenja (R4)
Interna provera iz komandne linije od strane pružaoca usluge	internal; za naše sopstvene testne i demonstracione domene i „verified“	ne; sa nivoom „verified“ da (samo naši sopstveni testni i demonstracioni domeni)	samo interno	bez vremenskog ograničenja (R4)

Ispred besplatne provere nalazi se nekoliko slojeva (cfg/check_lib.php): hitno zaustavljanje; reCAPTCHA; isti domen najviše jednom u sedam dana (nakon toga prikazuje se postojeći izveštaj); ograničenja po IP adresi, po sesiji (kao heš vrednost, nikada sam identifikator sesije) i za celu uslugu dnevno; lista blokiranih iz isključivanja iz provera i robots.txt; provera da domen upućuje na javne adrese; i blokada za veoma nove domene ili domene nepoznate starosti. Nepravilnosti – mnogo različitih domena sa jedne IP adrese, mnogo zahteva za kratko vreme – beleže se sa IP adresom i pokreću signal bez sadržaja (cfg/check_lib.php).

6.4 Provera domena na klijentovom nalogu

Klijent dokazuje da ima pravo da kontroliše domen: DNS zapisom, meta oznakom, datotekom ili preko našeg dodatka (cfg/verify_lib.php). Tek tada domen se smatra potvrđenim. Planer nadzora planira redovne provere samo za aktivne, nadzirane i potvrđene domene (cfg/monitor_lib.php).

Aktivne testne poruke vezane su za dve provere uslova: aplikacija postavlja aktivni režim za klijente samo za potvrđene domene (za naše sopstvene testne i demonstracione domene pružalac usluge može da napravi proveru sa nivoom „verified“ preko internog alata komandne linije), a usluga provere ponovo proverava nivo poverenja i hitno zaustavljanje fc_active_enabled (scanner/src/worker.js). Može da se pošalje samo obrazac koji pravila sa velikom sigurnošću prepoznaju kao opšti kontakt obrazac, koji nema obavezna polja za stvarne podatke o ličnosti i čiji domen ne liči na organ javne vlasti, obrazovnu ustanovu, kliniku, ordinaciju, policiju ili sud (scanner/src/classify.js). Jezički model ne može da učini obrazac podobnim za slanje (scanner/src/classify.js). Po proveri se šalje najviše pet poruka (fc_active_max_posts), jasno označenih, sa pošiljaocem dummy@formexposed.com, adresom sa završetkom .invalid za testiranje validacije e-pošte i bezazlenim dodatnim redom zaglavlja za otkrivanje ubacivanja zaglavlja (scanner/src/active.js).
Tokovi kroz obrasce u pregledaču proveravaju podešene tokove kroz obrasce u pregledaču do tačke neposredno pre slanja. Dozvoljeni su samo GET i HEAD zahtevi; sve ostalo se prekida, kao i adrese koje sadrže reči za odjavu, brisanje, kupovinu ili plaćanje (scanner/src/browser.js). Za proveru se obavezna polja popunjavaju izmišljenim vrednostima koje nikada ne napuštaju pregledač.
Izložene datoteke traže se nedeljno, samo za potvrđene domene, uz najviše jedno preuzimanje po putanji, najviše 8 KB i bez ikakvog čuvanja sadržaja (cfg/dateien_lib.php).
Nezavisna druga sonda pripremljena je i podrazumevano isključena (browser_probe_enabled = 0). Ako bi bila uključena, primala bi samo domen, adresu, selektor, korake i izbor pregledača, nikada pristupne podatke, snimke ekrana ili podatke posetilaca (cfg/formular_probe_lib.php).

6.5 Skeniranje nakon prijavljivanja

Preduslovi: funkcija je podešena, domen je potvrđen, klijent je na plaćenom paketu i vlasnik je ili administrator radnog prostora (cfg/login_lib.php); potvrđuje da je nalog testni sa što manjim pravima (cfg/login_lib.php).

Korisničko ime i lozinka odmah se šifruju na veb-serveru javnim ključem servera za skeniranje: jednokratni ključ po zapisu (X25519), izvođenje ključa (HKDF-SHA256), AES-256-GCM, vezano za domen (cfg/login_lib.php). Samo usluga provere na serveru za skeniranje ima privatni ključ (scanner/src/geheim.js). Svako ko ima veb-server, bazu podataka ili rezervnu kopiju ima samo šifrat.
Interfejs prikazuje samo prvi znak i dužinu korisničkog imena (cfg/login_lib.php). Pristupni podaci nikada se ne prikazuju, ne beleže u dnevnicima i ne ispisuju putem API-ja.
Za proveru aplikacija prilaže šifrat zadatku. Usluga provere ga dešifruje, odmah čisti polje u zadatku i prosleđuje pristupne podatke kontejneru samo putem standardnog ulaza, nikada kao argumente komandne linije (scanner/src/worker.js). Ostatke u prekinutim zadacima čisti proces statusa nakon jednog sata (cfg/login_lib.php).
Unutar kontejnera pregledač se prijavljuje. Prekida ako stranica za prijavu preusmeri na drugi host, ako obrazac za prijavu sadrži CAPTCHA proveru (ne zaobilazimo CAPTCHA provere) ili ako je polje lozinke i dalje vidljivo nakon slanja (scanner/src/login.js). Zatim čisti polje lozinke u memoriji stranice i zaboravlja pristupne podatke (scanner/src/login.js).
Čita najviše pet stranica istog domena koje navede klijent. Adrese koje sadrže reči za odjavu, brisanje, uklanjanje ili otkazivanje su blokirane (scanner/src/login.js). Nakon prijavljivanja ništa se ne šalje, ne prave se snimci ekrana, a kolačići i linkovi ne ulaze u rezultat (scanner/src/login.js).
Brisanje je konačno: šifrat se prepisuje nasumičnim podacima iste dužine, red se briše i zadaci na čekanju se čiste (cfg/login_lib.php). Kada se domen obriše, red automatski nestaje preko stranog ključa.

6.6 Provera isporuke e-pošte

Provera isporuke e-pošte odgovara na pitanje da li e-poruka iz kontakt obrasca zaista stiže i procenjuje njena svojstva autentičnosti. Opciona je, podrazumevano isključena i zahteva podešeno kontrolno poštansko sanduče (cfg/zustellung_lib.php).

Ako je klijent uključi, domen dobija nasumičnu oznaku. Klijent unosi kontrolnu adresu sa ovom oznakom kao skrivenu kopiju u svoj obrazac.
Od tada svaka e-poruka iz obrasca odlazi i u kontrolno poštansko sanduče: naše označene testne poruke i sve stvarne poruke posetilaca. E-poruke idu direktno u sanduče kod Namecheap, Inc. (Private Email), Phoenix, Arizona, USA – stižu samo ako MX zapisi našeg domena upućuju tamo; preko prosleđivanja, na primer kod registrara domena Namecheap, Inc., ne dospevaju u sanduče – i tamo ostaju dok ne budu preuzete.
Proces statusa preuzima sanduče svakih pet minuta (srv/cron_status.php). Za svaku e-poruku čita zaglavlja i najviše prvih 8 KB teksta, bez označavanja kao pročitane (cfg/zustellung_lib.php).
Iz zaglavlja utvrđuje oznaku i time domen, a iz teksta, kada je primenljivo, identifikator našeg testa (cfg/zustellung_lib.php). Čuvaju se vreme, domen i, kada je primenljivo, identifikator testa (cfg/zustellung_lib.php), tokom 180 dana (cfg/zustellung_lib.php).
Iz zaglavlja procenjuje SPF, DKIM i DMARC i čuva rezultat uz domen: rezultate provere, domen adrese pošiljaoca, domene potpisa i adresu poštanskog servera pošiljaoca (cfg/zustellung_lib.php). Ako se rezultat pogorša, klijentu se jednom šalje upozorenje koje može da navede domen pošiljaoca (cfg/zustellung_lib.php).
Zatim označava svaku preuzetu e-poruku za brisanje, uključujući onu koja nije mogla da se dodeli nijednom domenu, i uklanja je iz sandučeta na kraju izvršavanja (cfg/zustellung_lib.php). Ako se izvršavanje pre toga prekine, e-poruke ostaju do sledećeg uspešnog izvršavanja.
Samo kopija baš predmetnog testa računa se kao dokaz isporuke (cfg/zustellung_lib.php). Ako ne stigne u roku od tri sata (delivery_wait_h), usluga prijavljuje „Isporuka nedostaje“.

Tekst stvarnih poruka nikada se ne upisuje u bazu podataka, kao ni adresa posetioca. Ipak se oba čitaju: preuzimanje učitava prvih 8 KB svake e-poruke u memoriju kako bi potražilo identifikator testa.

6.7 Zajednička zaštita

Zaštitni sloj WordPress dodatka zaustavlja poruku kao neželjenu i broji domene linkova u njoj. Jednom dnevno dodatak nam prijavljuje te domene sa brojem podudaranja, najviše 60 dnevno; bez adresa, bez teksta, bez IP adresa (cfg/swarm_lib.php).
Jednom dnevno iz toga sastavljamo spisak: domen se stavlja na njega ako je u roku od sedam dana prijavljen sa najmanje tri različita veb-sajta i sa najmanje pet podudaranja (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Velike usluge sa fiksnog spiska izuzetaka i domeni naših klijenata, u oba slučaja uključujući poddomene, nikada ne ulaze na spisak (cfg/swarm_lib.php).
Spisak odlazi svim povezanim veb-sajtovima sa odgovorom na dnevni izveštaj. Njihov zaštitni sloj stavlja poruke sa linkovima do domena sa spiska u karantin, ne u korpu.
Ono što se više ne pojavljuje na novom spisku ispada; prijave se brišu nakon 30 dana (cfg/swarm_lib.php).
IP mreže (/24 ili /48) pripremljene su, ali isključene do završetka pravne provere (cfg/swarm_lib.php).

6.8 Upotreba veštačke inteligencije

Jezički model radi na našem sopstvenom serveru za skeniranje, ne kod AI pružaoca. Koristi se na tri mesta: u usluzi provere klasifikuje obrasce čiji tip pravila ne prepoznaju; pri tome vidi naslov stranice, adresu stranice, oznake dugmadi za slanje, tipove, nazive i oznake polja i tekstove primera u poljima, kao i do 400 znakova teksta obrasca (scanner/src/classify.js). Upituje se samo ako pravila vrate „unknown“; tako klasifikovani obrasci nikada se ne šalju i ne računaju se u ocenu u poenima i zaključnu procenu. Ocena u poenima, zaključna procena, sprečavanje zloupotreba, zajednička zaštita i pravila protiv neželjenih poruka fiksna su pravila, ne AI. U funkciji „Fix it for me“ prepravlja nalepljeni kod obrasca; kod se ne čuva. Za odgovarajuće provere domena na plaćenim nalozima takođe generiše akcioni plan sa prioritetima iz naziva hosta, ukupnog rezultata i ocene u poenima, CMS-a, relevantnog tipa obrasca i adrese stranice, eventualno prepoznatog dodatka i izabranih neuspešnih ili nejasnih nalaza. Zahtev se privremeno čuva u internom redu zadataka i briše nakon preuzimanja ili planiranog čišćenja unosa starijih od jednog sata. Generisani tekst, jezik, status i vremenski žig čuvaju se uz rezultat skeniranja prema njegovim pravilima čuvanja. Izveštaj označava plan kao AI sažetak i daje prednost pojedinačnim nalazima; plan ne menja veb-sajt niti rezultat skeniranja. Model ne donosi odluke o ljudima. Više o tome na stranici EU Akt o veštačkoj inteligenciji: kako formexposed koristi AI.

6.9 Pravni osnovi

Radnja obrade	Pravni osnov
P1 Besplatna provera: provera zatraženog domena; ograničenja i sprečavanje zloupotreba	u odnosu na podnosioca zahteva čl. 6(1)(b); u odnosu na operatera i prikazane osobe čl. 6(1)(f); sprečavanje zloupotreba čl. 6(1)(f)
P2 Provera potencijalnih klijenata	Čl. 6(1)(f) (legitimni interes agencije i usluge formexposed)
P3 Studija	Čl. 6(1)(f)
P4 Provera klijentovih domena	Čl. 6(1)(b) u odnosu na klijenta; za podatke trećih lica na njegovom veb-sajtu, uputstva klijenta prema čl. 28
P5 Skeniranje nakon prijavljivanja	Uputstva klijenta prema čl. 28; klijentov pravni osnov
P6 Provera isporuke e-pošte	Uputstva klijenta prema čl. 28; klijentov pravni osnov (u našem predlogu teksta za klijente čl. 6(1)(f))
P7 Zajednička zaštita	Čl. 6(1)(f) (zajednička odbrana od neželjenih poruka na mnogim veb-sajtovima)

Naš legitimni interes za P1 do P3 leži u pokazivanju operaterima i njihovim pružaocima usluga slabosti njihovih obrazaca pre nego što budu iskorišćene za neželjene poruke ili zloupotrebe i u pružanju usluge. Podaci potiču iz javno dostupnih izvora. Odmeravanje interesa navedeno je u odeljku 7; da li čl. 6(1)(f) podržava proveravanje tuđih veb-sajtova na zahtev otvoreno je pitanje za pravnu proveru.

6.10 Primaoci i prenosi u treće zemlje

Primalac	Šta	Radnja obrade	Status
Niko izvan formexposed	Rezultati provere, snimci ekrana, klasifikacija jezičkim modelom	P1–P5	Usluga provere i jezički model rade na našim sopstvenim serverima; na putanji provere prikupljača nije pronađen poziv trećoj strani osim samom proveravanom veb-sajtu, uslugama čiji sadržaj ugrađuje (kao kod svakog posetioca) i RDAP usluzi rdap.org za starost domena (samo naziv domena); nadzori praćenja navedeni su u sledećem redu
Svako ko zna link	Izveštaj sa nalazima i snimcima ekrana	P1, P2, P4	nasumični link sa 128 bita (`cfg/check_lib.php`), stranice sa `noindex` (`www/report.php`)
Usluge koje upituje nadzor klijentovog domena	DNS liste blokiranih (SpamCop, PSBL, Mailspike, SURBL): domeni i IP adrese servera, bez podataka posetilaca; Google Web Risk samo ako je podešen: adresa početne stranice; autoriteti za vremenske žigove Certum i DigiCert: samo heš vrednost evidencije dokaza; RDAP preko IANA registra: samo naziv domena; statusne stranice pružalaca: ništa se ne prenosi; wpvulnerability.net: identifikator dodatka (bez verzije) ili teme i verzija WordPress-a	P4	u upotrebi; pojedinosti u Evidenciji radnji obrade i na stranici Podobrađivači
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Kontrolne kopije uključujući stvarne poruke posetilaca	P6	Ugovor još nije zaključen; mesto obrade i mehanizam prenosa još treba ispitati
Namecheap, Inc. (SAD)	Registrar i DNS; do postavljanja sandučeta prosleđivanje opštih e-poruka na adrese našeg domena, ne kontrolnih kopija (one stižu u sanduče samo preko MX zapisa koji direktno upućuju na njega)	– (bez kontrolnih kopija)	Mehanizam prenosa treba ispitati
Kanali upozorenja koje bira klijent (e-pošta, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	Događaj, domen, link; za proveru autentičnosti domen pošiljaoca ako ne pripada veb-sajtu	P4, P6	odredište bira klijent; delom izvan EU. Telegram poruke šaljemo preko našeg bota; mehanizam prenosa za to otvoreno je pitanje za pravnu proveru
Svi povezani veb-sajtovi	Spisak domena linkova	P7	putem odgovora dodatku
Druga sonda	Domen, adresa obrasca, selektor, koraci	P4	isključena

6.11 Čuvanje, izmereno, a ne nameravano

Brisanje se uglavnom vrši noću u 03:00 u procesu statusa (srv/cron_status.php, cfg/fristen_lib.php); prijave zajedničke zaštite i redovi potencijalnih klijenata brišu se svakodnevno od 04:00, dodele provere isporuke e-pošte pri svakom preuzimanju; anonimni izveštaji i izveštaji potencijalnih klijenata brišu se preko datuma isteka (cfg/check_lib.php). Snimci ekrana brišu se sa diska zajedno sa svojim skeniranjem (cfg/fristen_lib.php).

Podaci	Rok prema kodu	Upućivanje na izvor	Nalaz
Besplatna provera uključujući slike	30 dana	`cfg/check_lib.php`	delotvorno
Provera potencijalnih klijenata uključujući slike	90 dana	`cfg/akquise_lib.php`; `srv/cron_status.php` (redovi potencijalnih klijenata)	delotvorno
Provere klijentovog domena	13 meseci; poslednja se zadržava dok domen postoji	`cfg/fristen_lib.php`	delotvorno
Rezultati tokova kroz obrasce u pregledaču uključujući zacrnjene slike	13 meseci	`cfg/fristen_lib.php`	delotvorno
Podaci obrisanog domena	odmah; preostali podaci bez domena noću	`cfg/fristen_lib.php` (`fe_domain_loeschen()`, `fe_fristen_lauf()`)	delotvorno, uključujući inventar skripti i promene skripti, koji osim toga nemaju sopstveni rok čuvanja (videti Evidenciju radnji obrade)
Studija: sirovi podaci uključujući slike	pri objavljivanju	`cfg/studie_lib.php`	bez objavljivanja nema vremenskog ograničenja; spisak proverenih hostova ostaje bez vremenskog ograničenja i nakon objavljivanja
Interne provere bez domena i bez izveštaja	nema	–	nema brisanja; izmereno: 85 provera sa 369 slika od 22. septembra 2026. (R4)
Dodele provere isporuke e-pošte	180 dana	`cfg/zustellung_lib.php`	delotvorno
Rezultat provere autentičnosti uz domen	do sledećeg rezultata ili brisanja domena	`cfg/zustellung_lib.php`	prepisuje se, nije vremenski ograničen
Kontrolne kopije u sandučetu	do sledećeg uspešnog preuzimanja (interval od pet minuta)	`cfg/zustellung_lib.php`	kopije i rezervne kopije kod pružaoca poštanskog sandučeta nisu proverene
Pristupni podaci za skeniranje nakon prijavljivanja	do brisanja koje vrši klijent ili brisanja domena; u zadatku najviše do kraja izvršavanja, ostaci nakon jednog sata	`cfg/login_lib.php`	delotvorno; u rezervnim kopijama samo kao šifrat do 14 dana
Prijave u zajedničkoj zaštiti	30 dana	`cfg/swarm_lib.php`	delotvorno
Ograničenja besplatne provere (IP, zemlja, heš sesije)	7 dana	`srv/cron_status.php`	delotvorno
Napomene o upadljivom ponašanju sa IP adresom	90 dana nakon rešavanja	`srv/cron_status.php`	nerešene napomene bez vremenskog ograničenja; izmereno: 3 napomene, sve rešene
IP adresa, zemlja, pregledač u vezi sa isključivanjem iz provera	12 meseci; isključivanje ostaje	`cfg/fristen_lib.php`	delotvorno
Rezervne kopije baze podataka	14 dana	`cfg/backup_lib.php`	delotvorno; rezervne kopije se trenutno čuvaju na istoj lokaciji kao baza podataka i nisu zasebno šifrovane; planirana je šifrovana kopija na drugoj lokaciji (R13)

7. (b) Procena neophodnosti i srazmernosti

Merilo su navedene svrhe: pokazati operaterima da li su njihovi obrasci zaštićeni od neželjenih poruka i zloupotreba (P1 do P5), proveriti da li e-poruke iz obrazaca stižu i deluju autentično (P6) i zajednički se braniti od neželjenih poruka na mnogim veb-sajtovima (P7). Te svrhe su legitimne. Pitanje prema čl. 35(7)(b) je uže: da li je ova obrada neophodna u ovoj dubini za tu svrhu i da li je zadiranje srazmerno koristi?

Komponenta	Neophodna za svrhu?	Srazmerna u izgrađenom obliku?
Preuzimanje nekoliko javnih stranica, struktura obrazaca, otkrivene zaštitne mere	Da. Bez njih nema nalaza.	Da. Najviše osam stranica (uz prikaze iz odeljka 6.1), poštuje se zabrana početne stranice u robots.txt, bez vrednosti vidljivih polja, adrese primalaca samo kao domen.
Snimak ekrana po obrascu	Da, kao dokaz u izveštaju: operater može da vidi na koji se obrazac misli.	Uglavnom. Polja su prazna jer prikupljač ništa ne unosi. Slika ipak prikazuje okruženje elementa obrasca bez zacrnjivanja (R3).
Snimak ekrana početne stranice	Nije potreban za sam nalaz. Služi prepoznavanju proverenog veb-sajta u izveštaju.	Samo u ograničenoj meri; planirana dalja minimizacija. Početne stranice često prikazuju ljude: fotografije tima, kontakt osobe, izjave klijenata sa imenima. Videti R3 i odeljak 9.3.
Čitanje vrednosti skrivenih polja (prvih 24 znaka, samo tokom provere)	Da: iz njih se otkrivaju tokeni i vremenski žigovi.	Da. Čuva se samo rezultat otkrivanja, ne vrednost, i nakon prijavljivanja (R8).
Stranica odgovora na testnu poruku (slika i 300 znakova teksta)	Da, kao dokaz kako je obrazac odgovorio.	Da. Odgovor se odnosi na našu označenu testnu poruku bez podataka o ličnosti.
Klasifikacija jezičkim modelom	Korisna, ne neophodna: bez nje više obrazaca ostaje „unknown“.	Da. Lokalno, bez otkrivanja, bez prava na slanje.
Lokalni akcioni plan iz izabranih nalaza i metapodataka skeniranja	Koristan za određivanje prioriteta otklanjanja problema, nije neophodan za izradu pojedinačnih nalaza.	Ograničen na postojeće metapodatke skeniranja i najviše 18 različitih neuspešnih ili nejasnih nalaza, bez snimaka ekrana ili unetih vrednosti polja u upitu. Plan je savetodavan i označen kao AI-generisan; pojedinačni nalazi ostaju merodavni. URL adrese i napomene i dalje mogu da sadrže podatke o ličnosti, a generisani tekst prati čuvanje skeniranja i pristup putem linka koji daje pristup svakome ko ga poseduje. Ta ograničenja smanjuju izloženost, ali ne dokazuju činjeničnu tačnost (R10).
Aktivne testne poruke	Da. Da li zaštita radi postaje vidljivo tek kada se testira.	Da, uz ograničenje broja i označavanje. Preduslov – dokaz kontrole – ipak se nikada ne obnavlja (R7).
Traženje izloženih datoteka	Da za klijenta, čiji podaci obrazaca tamo mogu biti izloženi.	Da. Samo potvrđeni domeni, najviše 8 KB, sadržaj se nikada ne čuva.
Skeniranje nakon prijavljivanja	Da za obrasce u delu za članove koji bi inače ostali neprovereni.	Uglavnom. Šifrovanje i brisanje su pažljivo izgrađeni; prijava ipak prihvata nešifrovane veze i neispravne sertifikate (R8).
Kontrolna kopija stvarnih poruka posetilaca	Ne za dokaz isporuke. On se oslanja samo na kopiju našeg testa (`cfg/zustellung_lib.php`). Stvarne poruke dolaze uz to jer skrivena kopija u obrascu ne razlikuje test od stvarne poruke. Korisne su za proveru autentičnosti (SPF, DKIM, DMARC) jer pokazuju stvarnu putanju slanja.	Delimično. Sadržaj se ne čuva, ali se čita, a ostaje kod pružaoca poštanskog sandučeta, čiji je ugovor još otvoren, do preuzimanja (R1, R2). Manje invazivan dizajn tehnički je moguć: uz naš dodatak skrivena kopija mogla bi da se ograniči na označene testne poruke (odeljak 9.3).
Čuvanje domena pošiljaoca stvarnih poruka	Delimično: pokazuje da li obrazac šalje sa adresom posetioca kao pošiljaoca (čest uzrok klasifikacije kao neželjene poruke).	Uslovno. Za pojedinca sa sopstvenim domenom domen je podatak o ličnosti i odlazi u upozorenju klijentu i njegovim kanalima (R1).
Zajednički spisak domena linkova	Da. Neželjeni link koji se istovremeno pojavljuje na mnogim veb-sajtovima snažan je signal koji pojedinačni veb-sajt nema.	Da, uz minimalne brojke, izuzetke i karantin umesto brisanja. IP mreže ne bi bile srazmerne bez nove procene.
Sirovi podaci studije	Do evaluacije, da.	Bez maksimalnog roka, ne (R4).
Izveštaj na nasumičnom linku	Da. Prosleđivanje izveštaja – na primer pružaocu usluga koji se stara o veb-sajtu – svrha je besplatne provere.	Da. Nasumični link sa 128 bita, `noindex`, besplatan izveštaj samo kao izvod (`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`), brisanje nakon 30 dana.

Zakonitost. Za P1 do P3 i P7 oslanjamo se na čl. 6(1)(f). U prilog odmeravanju: podaci su javni i preuzimaju se na isti način kao kod svakog posetioca; ništa se ne šalje; podaci o ličnosti su usputni i malobrojni; rokovi su kratki; operater može da isključi dalje provere prikupljača zabranom početne stranice u robots.txt i svaku dalju proveru preko naše stranice za isključivanje iz provera, odmah i bez dokaza; korist – zaštićen obrazac – pripada i operateru i njegovim posetiocima. Protiv toga: operater ništa ne saznaje o proveri, izveštaj je namenjen trećim licima, a kod preduzetnika procenjuje osobu. Smatramo da se odmeravanje može opravdati dok mere iz odeljka 9.1 ostaju na snazi; pravna potvrda se čeka.

Informisanje lica na koja se podaci odnose (čl. 13 i 14). Operatere i ljude na proveravanim stranicama informišemo putem stranice prikupljača, navedene u identifikatoru svakog preuzimanja, putem Politike privatnosti i putem stranice za isključivanje iz provera. Pojedinačno informisanje osoba koje se slučajno pojave na snimku ekrana bilo bi moguće samo ako ih identifikujemo – što bi bilo dodatno, ozbiljnije zadiranje. U toj meri oslanjamo se na čl. 14(5)(b). Posetioce čije poruke prolaze kroz kontrolnu kopiju informiše klijent; Ugovor o obradi podataka to zahteva, a mi za to pružamo tekstualni blok.

Minimizacija podataka (čl. 5(1)(c)). Vidljiva je na mnogim mestima i utemeljena u kodu: bez vrednosti polja, adrese primalaca samo kao domen, identifikatori naloga u adresama skripti skriveni, bez sadržaja kontrolne kopije u bazi podataka, bez snimaka ekrana nakon prijavljivanja, samo domeni u zajedničkoj zaštiti. Na dva mesta dalja minimizacija je moguća i planirana (odeljak 9.3): za snimak ekrana početne stranice bez zacrnjivanja i za domen pošiljaoca stvarnih poruka.

Ograničenje čuvanja (čl. 5(1)(e)). Od 27. septembra 2026. noćno izvršavanje poštuje rokove iz Politike privatnosti za podatke klijenata i čisti preostale podatke bez povezanog domena iz perioda pre toga (cfg/fristen_lib.php). Dve putanje bez vremenskog ograničenja ostaju otvorene: interne provere i neobjavljene studije (R4).

Tačnost (čl. 5(1)(d)). Nalaz može biti pogrešan: obrazac deluje nezaštićeno jer se zaštita učitava tek nakon interakcije ili je zaštitni zid drugačije tretirao prikupljač nego posetioca. Za operatera čiji se veb-sajt javno prosleđuje kao „Izloženo“ to je pitanje ugleda. Izveštaj zato navodi metod, pokazuje dokaze i ističe granice provere spolja.

Rezultat o srazmernosti: Provera tuđih i sopstvenih veb-sajtova u svom izgrađenom obliku u osnovi je srazmerna. Na tri mesta postoji potreba za poboljšanjem koja se može rešiti uobičajenim sredstvima i za koju su mere planirane (odeljak 9.3): snimci ekrana početne stranice, interne provere bez vremenskog ograničenja i nešifrovana prijava za skeniranje nakon prijavljivanja. Provera isporuke e-pošte srazmerna je za testnu kopiju i proveru autentičnosti; za stvarne poruke posetilaca to važi samo pod uslovom da se njihov sadržaj ne čuva, da je put preko pružaoca sandučeta ugovorno obezbeđen i da klijent informiše svoje posetioce. Danas nedostaje druga od ove tri tačke.

8. (c) Procena rizika za prava i slobode lica na koja se podaci odnose

Procenjuje se rizik za lica na koja se podaci odnose, ne za formexposed. Verovatnoća se ocenjuje kao malo verovatna, moguća, verovatna ili ostvarena; „ostvarena“ znači da događaj nije prognoza već izmereno stanje. Ozbiljnost se ocenjuje kao ograničena, značajna, ozbiljna ili veoma ozbiljna, zavisno od onoga što osoba može da izgubi: poverljivost svoje poruke, kontrolu nad nalogom, poslovni ugled, mogućnost ostvarivanja prava. Nivo proizlazi iz oba i opisuje trenutno stanje sa merama iz odeljka 9.1.

Br.	Rizik	Radnja obrade	Verovatnoća	Ozbiljnost	Nivo
R1	Stvarne poruke posetilaca u kontrolnoj kopiji, uključujući moguće posebne kategorije	P6	Ostvareno čim se uključi	Ozbiljna	Visok
R2	Put kontrolne kopije preko pružaoca sandučeta bez zaključenog ugovora i uz moguću vezu sa trećom zemljom	P6	Verovatno dok ugovor nedostaje	Ozbiljna	Visok
R3	Snimci ekrana tuđih veb-sajtova bez zacrnjivanja	P1–P4	Verovatno	Ograničena	Srednji
R4	Podaci provere i snimci ekrana bez putanje brisanja	P3, interne provere	Ostvareno	Značajna	Visok
R5	Provera i javno ocenjivanje tuđih veb-sajtova bez znanja operatera; zloupotreba kao izviđačkog alata	P1	Moguće	Značajna	Srednji
R6	Provera potencijalnih klijenata kao osnova za neželjena obraćanja	P2	Verovatno	Ograničena	Srednji
R7	Dokaz kontrole nikada se ne obnavlja	P4, P5	Moguće	Značajna	Srednji
R8	Pristupni podaci i sadržaj u skeniranju nakon prijavljivanja	P5	Moguće	Ozbiljna	Srednji; visok za stvarne naloge
R9	Aktivne testne poruke i provera datoteka na klijentovom veb-sajtu	P4	Malo verovatno	Značajna	Nizak
R10	Klasifikacija jezičkim modelom	P1–P4	Malo verovatno	Ograničena	Nizak
R11	Zajednička lista blokiranih iz prijava mnogih veb-sajtova	P7	Moguće	Ograničena	Nizak do srednji; visok sa IP mrežama
R12	Izveštaji i snimci ekrana na javnom linku	P1, P2, P4	Moguće	Ograničena	Nizak
R13	Slabosti infrastrukture: rezervne kopije, pristup serveru, server za skeniranje	sve	Moguće	Ozbiljna	Visok
R14	Prava lica na koja se podaci odnose za ljude koji nas ne poznaju	P1–P6	Verovatno	Ograničena	Nizak

R1 – Stvarne poruke posetilaca u kontrolnoj kopiji

Ovo je najozbiljniji rizik usluge i ne nastaje iz greške već iz dizajna. Skrivena kopija u obrascu ne razlikuje našu testnu poruku od poruke posetioca. Ako klijent uključi proveru isporuke e-pošte, svaka poruka poslata tim obrascem dospeva u naše kontrolno poštansko sanduče (cfg/zustellung_lib.php). Preuzimanje čita zaglavlja i prvih 8 KB teksta u memoriju radi traženja našeg identifikatora testa (cfg/zustellung_lib.php). Za običan kontakt obrazac to znači ime, adresu e-pošte, broj telefona i celu poruku.

Šta će posetilac napisati zavisi od njega, a polje poziva na lični sadržaj: zahtev ordinaciji za termin sa opisom simptoma, opis pravnog spora advokatskoj kancelariji, prijava za posao, upit školi o detetu. Naši pravni dokumenti kažu da kopije „ne bi trebalo da sadrže posebne kategorije podataka o ličnosti“. To je molba klijentu, ne zaštitna mera: ni on ni mi unapred ne znamo šta će posetilac napisati.

Ovde spadaju i dve sporedne putanje. Prvo, provera autentičnosti čuva domen adrese pošiljaoca uz domen (cfg/zustellung_lib.php). Ako obrazac šalje sa adresom posetioca kao pošiljaoca, to je domen posetioca – bez značenja za velikog pružaoca e-pošte, ali podatak o ličnosti za pojedinca sa sopstvenim domenom. Taj domen pojavljuje se i u upozorenju koje ide klijentu i kanalima koje je odabrao (cfg/zustellung_lib.php). Drugo, čuva adresu poštanskog servera pošiljaoca (cfg/zustellung_lib.php); po pravilu to je server veb-sajta, ne posetiočev.

Verovatnoća – ostvareno čim se uključi. Pitanje nije da li stvarne poruke stižu, već koliko. Prema merenju na razvojnom sistemu, funkcija nije uključena ni za jedan domen. Ozbiljnost – ozbiljna. Poverljivost poruke preduzeću važna je mnogim ljudima, a za neke tipične klijente mogu se očekivati podaci prema čl. 9. Ozbiljnost se ublažava time što sadržaj ne završava u bazi podataka, u sandučetu ostaje samo kratko i nijedna osoba kod formexposed ga ne čita. Nivo – visok.

R2 – Put kontrolne kopije preko pružaoca sandučeta bez zaključenog ugovora

Pre nego što naše preuzimanje vidi kontrolnu kopiju, ona se drži u sandučetu kod Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Tamo stiže samo ako MX zapisi našeg domena upućuju direktno na to sanduče; prosleđivanje kod registrara domena Namecheap, Inc. nije stanica kontrolnih kopija (preko prosleđivanja ne dospevaju u sanduče). Za preostalu stanicu ugovorna rešenja još su otvorena: ugovor sa pružaocem sandučeta nije zaključen, njegove lokacije skladištenja, podobrađivači i rokovi rezervnih kopija nisu utvrđeni i otvoreno je da li su za njegovo mesto obrade potrebne i primenljive odluka o primerenosti ili standardne ugovorne klauzule. Za naše sopstvene transakcione e-poruke to je pitanje ugovornog uređenja. Za kontrolne kopije je ozbiljnije: tu su podaci koje primamo kao obrađivač i svaki pružalac usluge na putanji je podobrađivač za koga odgovaramo prema čl. 28(4).

Uz to, „obrisano nakon preuzimanja“ važi samo za naš pogled na sanduče. Nije provereno da li pružalac čuva obrisane e-poruke u sopstvenim rezervnim kopijama ili korpi i koliko dugo. Ako se preuzimanje prekine, e-poruke ostaju do sledećeg uspešnog izvršavanja (cfg/zustellung_lib.php); ako proces statusa ne radi, ostaju neograničeno. Konačno, obezbeđivanje samog preuzimanja jedna je od tačaka koje treba proveriti na produkcionom sistemu pre pokretanja (odeljak 9.3).

Verovatnoća – verovatno dok ugovor nedostaje: svaka kontrolna kopija prolazi tim putem. Ozbiljnost – ozbiljna, iz istih razloga kao R1. Nivo – visok. Kontrolna lista podešavanja aplikacije prijavljuje nedostajuće sanduče kao upozorenje; ne postoji blokada koja sprečava proveru isporuke e-pošte bez dokumentovanog ugovora.

R3 – Snimci ekrana tuđih veb-sajtova bez zacrnjivanja

Prikupljač pravi snimak ekrana vidljivog dela prve stranice i sliku elementa obrasca za svaki vidljivi obrazac (scanner/src/crawl.js). Ništa se pri tome ne zacrnjuje. Kod tokova kroz obrasce u pregledaču to je drugačije: tamo se polja za unos maskiraju pre snimka ekrana (scanner/src/browser.js). Dakle, samo slike iz tokova kroz obrasce u pregledaču su „očišćene“, ne one iz prikupljača i ne slika stranice odgovora iz aktivne provere.

Pošto prikupljač ništa ne unosi, polja obrasca su prazna. Ipak početna stranica malog preduzeća često prikazuje vlasnika, tim, izjave klijenata sa imenima i fotografijama ili prozor za ćaskanje sa slikom zaposlenog. Sve je to javno; snimak ekrana pretvara to u kopiju koja se čuva kod nas, pojavljuje u izveštaju i može da se prosledi linkom.

Verovatnoća – verovatno. U skupu podataka razvojnog sistema izmerena su 432 snimka ekrana. Ozbiljnost – ograničena: sadržaj je već javan, a rokovi za provere bez naloga su kratki. Nivo – srednji, jer prikazane osobe nisu obaveštene i slika početne stranice nije potrebna za nalaz.

R4 – Podaci provere i snimci ekrana bez putanje brisanja

Noćno izvršavanje briše provere dvema putanjama: preko datuma isteka izveštaja (cfg/check_lib.php) i preko roka za provere klijentovog domena (cfg/fristen_lib.php, samo za provere sa domenom). Provera koja nema ni izveštaj ni domen prolazi kroz obe mreže. To su provere sa nivoom poverenja „internal“: studije i provere koje pružalac usluge pravi iz komandne linije.

Studije brišu svoje sirove podatke pri objavljivanju (cfg/studie_lib.php). Ako studija nikada nije objavljena – jer ima premalo veb-sajtova sa obrascem (cfg/studie_lib.php tada odbija objavljivanje) ili jer je ostavljena po strani – provere, obrasci, nalazi i snimci ekrana ostaju bez vremenskog ograničenja.
Interne provere iz komandne linije uopšte nemaju putanju brisanja. Izmereno 11. oktobra 2026: 85 takvih provera tuđih veb-sajtova sa 978 obrazaca i 369 snimaka ekrana, najstarije od 22. septembra 2026, nijedna sa izveštajem ili domenom.
Napomene o upadljivom ponašanju u besplatnoj proveri sadrže IP adresu i brišu se 90 dana nakon rešavanja (srv/cron_status.php). Napomena koja nikada nije rešena ostaje. Izmereno: tri napomene, sve rešene.

Verovatnoća – ostvareno. Ovih 85 provera nije scenario već postojeći podaci. Na razvojnom sistemu to su provere iz terenskog testa; isti kod važi na produkcionom sistemu. Ozbiljnost – značajna: za ove podatke nema roka čuvanja. U pogledu načela ograničenja čuvanja (čl. 5(1)(e)), to je otvoreno pitanje sa planiranom merom (odeljak 9.3, prioritet „prvo“) i utiče upravo na ljude koji ništa ne znaju o proveri. Interne provere opisane su u Evidenciji radnji obrade; Politika privatnosti ih još ne navodi zasebno (odeljak 9.4). Nivo – visok.

R5 – Provera i javno ocenjivanje tuđih veb-sajtova bez znanja operatera

Svako može da zatraži proveru bilo kog javno dostupnog veb-sajta, bez naloga i bez ikakve veze sa njim. Operater se ne obaveštava. Rezultat je izveštaj koji ocenjuje veb-sajt kao „Izloženo“, „Delimično zaštićeno“ ili „Zaštićeno“ i koji može da vidi svako sa linkom. Za lica na koja se podaci odnose zamislive su dve posledice. Preduzetnik dobija javnu ocenu – makar samo za primaoce linka – koja može biti pogrešan nalaz. A izveštaj pokazuje pošiljaocu neželjenih poruka koji obrazac može da se popuni bez prepreke.

Tome se suprotstavlja niz blokada (cfg/check_lib.php): najviše jedna provera po domenu u sedam dana, nakon toga isti izveštaj; ograničenja po IP adresi i sesiji; dnevni maksimum za celu uslugu; nema provera veoma novih domena, koji su tipični za zloupotrebu; napomena i signal za upadljivo ponašanje; robots.txt i isključivanje iz provera, provereni dvaput (cfg/check_lib.php i u usluzi provere). Besplatni izveštaj je izvod: pokazuje samo osnovne nalaze, ne dokaze svih detektora. I ne govori ništa što bot ne bi mogao sam da otkrije za nekoliko sekundi – nezaštićen obrazac je vidljiv spolja.

Verovatnoća – moguće. Ozbiljnost – značajna za preduzetnika čiji obrazac bude ciljan nakon izveštaja ili čija je ocena pogrešna. Nivo – srednji.

R6 – Provera potencijalnih klijenata kao osnova za neželjena obraćanja

U interfejsu je provera potencijalnih klijenata opisana kao „otvaranje vrata za prvi razgovor“. Kako agencija koristi kratak nalaz odlučuje sama agencija; tehnički može da ga pošalje i operateru koji ga nije tražio. Mi nikoga ne kontaktiramo (cfg/akquise_lib.php), a Uslovi korišćenja obavezuju agenciju da poštuje pravila o reklamiranju i pridobijanju klijenata. Ipak, neželjena e-poruka sa nalazom je direktni marketing čak i između preduzeća, koji u Poljskoj (čl. 398 Zakona o elektronskim komunikacijama (Prawo komunikacji elektronicznej, PKE)) i Nemačkoj (§ 7(2) nemačkog Zakona protiv nelojalne konkurencije (Gesetz gegen den unlauteren Wettbewerb, UWG)) zahteva prethodni pristanak. Interfejs na to ne ukazuje; tekstovi provere potencijalnih klijenata govore samo o „pasivnom“ i „spisku isključenih“.

Verovatnoća – verovatno, jer funkcija služi pridobijanju klijenata i ne možemo da proverimo da li je primalac pristao. Ozbiljnost – ograničena: za operatera to je dosadna marketinška e-poruka sa ocenom njegovog veb-sajta. Nivo – srednji. Rizik leži u ponašanju agencije; pošto funkcija potiče od nas, planirana je napomena u interfejsu (odeljak 9.3).

R7 – Dokaz kontrole nikada se ne obnavlja

Aktivne testne poruke, traženje izloženih datoteka i skeniranje nakon prijavljivanja zahtevaju da klijent dokaže da ima pravo da kontroliše domen. Taj dokaz se proverava jednom (cfg/verify_lib.php) i nikada više. U kodu ne postoji putanja kojom domen gubi dokaz. Ako domen promeni vlasnika, agencija završi angažman ili operater ukloni DNS zapis, provere se nastavljaju – do svakodnevno, sa do pet testnih poruka i, kada je sačuvana, sa prijavom testnog naloga za koji novi operater možda ne zna. Nasuprot tome, nije moguće preneti dokaz na drugi host preimenovanjem: naziv hosta domena sa dokazom kontrole ne može da se promeni.

Verovatnoća – moguće: promene domena i angažmana svakodnevne su u agencijama. Ozbiljnost – značajna za novog operatera i njegove zaposlene, koji primaju označene testne poruke i čiji se veb-sajt pretražuje radi izloženih datoteka bez njihovog pristanka. Nivo – srednji. Testne poruke objašnjavaju svoju svrhu i upućuju na stranicu prikupljača i isključivanje iz provera; isključivanje deluje i protiv provera klijenata.

R8 – Pristupni podaci i sadržaj u skeniranju nakon prijavljivanja

Šifrovanje pristupnih podataka pažljivo je izgrađeno: veb-server više ne može da ih čita nakon čuvanja, baza podataka i rezervna kopija sadrže samo šifrat, zapis je vezan za svoj domen, pristupni podaci ulaze u kontejner samo putem standardnog ulaza i zatim se čiste iz memorije (odeljak 6.5). Dva nedostatka ostaju; treća tačka odnosi se samo na čitanje, ne na čuvanje.

Nešifrovana prijava je dozvoljena. Provera adrese dozvoljava http pored https (cfg/login_lib.php, scanner/src/login.js). Ako klijent unese stranicu za prijavu sa http, korisničko ime i lozinka putuju preko interneta u čitljivom obliku pri svakoj proveri.
Greške sertifikata ne zaustavljaju prijavu. Prijava se trenutno ne prekida kada je sertifikat klijentovog sajta nevažeći (scanner/src/login.js). Sertifikat zato ne štiti u potpunosti pristupne podatke na putu do klijentovog sajta. Prekidanje pri greškama sertifikata je planirano (odeljak 9.3, prioritet „prvo“).
Vrednosti skrivenih polja nakon prijavljivanja čitaju se, ne čuvaju se. Prikupljač čita prvih 24 znaka vrednosti skrivenih polja (scanner/src/crawl.js), a ista funkcija izdvajanja radi nakon prijavljivanja (scanner/src/login.js). Tamo skrivena polja često nose broj naloga, identifikator korisnika ili adresu e-pošte prijavljenog naloga; ipak samo naziv polja, tip, oznaka i rezultat otkrivanja ulaze u mapu polja i nalaze.

Ovome se dodaje ono što kod ne može da spreči: klijent potvrđuje da koristi testni nalog sa što manjim pravima (cfg/login_lib.php), ali može da unese stvarni administratorski nalog. Stranice koje skener tada čita određuje klijent; adrese koje sadrže reči za odjavu i brisanje su blokirane, ali druge radnje koje veb-sajt pokreće jednostavnim zahtevom nisu.

Verovatnoća – moguće. Ozbiljnost – ozbiljna ako je pogođen nalog sa širokim pravima; deo za članove sa podacima svih korisnika tada je otvoren. Nivo – srednji za testni nalog sa malo prava, visok za stvarni nalog. Prema merenju na razvojnom sistemu, nijedan testni nalog nije sačuvan.

R9 – Aktivne testne poruke i provera datoteka na klijentovom veb-sajtu

Testna poruka odlazi ljudima koji čitaju klijentove e-poruke iz obrasca – njegovim zaposlenima ili pružaocu usluga. Ne sadrži podatke o ličnosti: pošiljalac je dummy@formexposed.com, tekst i predmet su označeni i navode identifikator provere (scanner/src/active.js). Rizik leži u pogrešnoj klasifikaciji: ako bi skener obrazac za prijavu, rezervaciju ili savetovanje smatrao kontakt obrascem, testna poruka završila bi u procesu koji ima posledice. Tome se suprotstavljaju stroga pravila za „podobnost za slanje“ (scanner/src/classify.js), blokada domena organa javne vlasti, obrazovnih ustanova, klinika, ordinacija, policije i sudova (scanner/src/classify.js) i isključivanje jezičkog modela iz ove odluke (scanner/src/classify.js). Iz odgovora se čuvaju status, odredišna adresa, naslov, 300 znakova teksta i slika; oni se odnose na našu testnu poruku.

Provera datoteka čita najviše 8 KB sa tipičnih putanja. Ako je tamo zaista izložen izvoz baze podataka, tih 8 KB može da sadrži unose posetilaca u obrasce. Proveravaju se samo radi prepoznavanja potpisa i odbacuju (cfg/dateien_lib.php); čuvaju se putanja, tip i ozbiljnost.

Verovatnoća – malo verovatno. Ozbiljnost – značajna. Nivo – nizak. Prema merenju na razvojnom sistemu, u skupu podataka postoji jedna aktivna provera, bez prihvaćenog slanja.

R10 – Klasifikacija jezičkim modelom

Za obrasce koje pravila ne prepoznaju jezički model prima naslov stranice, adresu, tekstove dugmadi, opise polja i do 400 znakova teksta obrasca (scanner/src/classify.js). To može da obuhvati ime, na primer „Vaša kontakt osoba: …“. Radi na našem sopstvenom serveru; u kodu ništa ne ide trećoj strani. Nije provereno da li softver modela beleži zahteve. Njegov rezultat određuje samo prikazani tip obrasca i ne može da učini obrazac podobnim za slanje; pogrešna klasifikacija dovodi do lošijeg nalaza, ne do radnje.

Verovatnoća – malo verovatno. Ozbiljnost – ograničena. Nivo – nizak.

R10 – Dodatna faza akcionog plana

Za odgovarajuće plaćene izveštaje isti lokalni model generiše i savetodavne korake iz izabranih nalaza i metapodataka skeniranja. Za razliku od klasifikacije, izlaz je sažetak na prirodnom jeziku koji se čuva uz skeniranje. Nazivi hostova, adrese stranica i napomene mogu da sadrže podatke o ličnosti koje model može da ponovi. Pogrešna preporuka može navesti čitaoca da oslabi zaštitu ili izvrši nepotrebnu promenu; prosleđivanje linka izveštaja može otkriti ponovljene podatke o ličnosti drugom primaocu. Kod ne izvršava preporuku automatski, ne menja ocenu u poenima ili zaključnu procenu i ne proverava činjeničnu tačnost teksta. Ograničava dužinu ulaza i izlaza, označava sažetak kao AI-generisan i navodi da su pojedinačni nalazi merodavni. To su kontrolne mere, ne dokaz da su preporuke tačne ili da je izveštaj anoniman. Ranija ocena verovatnoće i ozbiljnosti za klasifikaciju sama po sebi ne ocenjuje ovu dodatnu fazu generisanja; njen preostali rizik mora da se proceni uz stvarne podatke i korišćenje osnovne provere.

R11 – Zajednička lista blokiranih iz prijava mnogih veb-sajtova

Domen na spisku dovodi do toga da poruke sa linkovima ka njemu završavaju u karantinu na svim povezanim veb-sajtovima. Ako domen pripada pojedincu – zanatliji, fotografu, blogu – njegove poruke sa linkom ka sopstvenom veb-sajtu kasno stižu primaocima. Takav domen može da dospe na spisak zato što ga pošiljaoci neželjenih poruka zloupotrebljavaju ili zato što neko namerno šalje poruke koje neće proći zaštitu, sa tim domenom, na više veb-sajtova.

Tome se suprotstavljaju (cfg/swarm_lib.php): minimum od tri različita veb-sajta i pet podudaranja u roku od sedam dana; fiksni izuzeci za velike usluge; nikada domeni naših klijenata; ručno uklanjanje putem alata na serveru; karantin umesto brisanja; spisak se svakodnevno obnavlja i ono što se više ne prijavljuje ispada. Pogođeni ne mogu da vide spisak i nemaju sopstveni put da zahtevaju uklanjanje osim preko nas.

Verovatnoća – moguće. Ozbiljnost – ograničena, jer se ništa ne gubi i primalac može da oslobodi poruku. Nivo – nizak do srednji. Sa uključenim IP mrežama bile bi pogođene mreže čitavih pružalaca, IP adrese su podaci o ličnosti i ozbiljnost bi porasla na značajnu: visok.

R12 – Izveštaji i snimci ekrana na javnom linku

Izveštaji iz besplatne provere, provere potencijalnih klijenata i provera klijentovih domena dostupni su bez prijave na nasumičnom linku. Link sadrži 128 bita slučajnosti i ne može da se pogodi (cfg/check_lib.php). Stranice nose noindex, aplikacija šalje politiku upućivanja koja prosleđuje samo poreklo (www/.htaccess), a snimci ekrana se isporučuju samo zajedno sa izveštajem kome pripadaju; drugi broj slike vraća „not found“ (www/shot.php). Rizik nije kriptografski nego ljudski: link se prosledi, kopira u tiket, podeli u ćaskanju. Ko ga otvori evidentira se samo u dnevniku pristupa stranicama kao svaki pregled stranice (60 dana), u kom se sam link pojavljuje samo u maskiranom obliku; nema spiska čitalaca po izveštaju.

Verovatnoća – moguće. Ozbiljnost – ograničena, jer izveštaj prikazuje samo javne informacije i ističe nakon 30 odnosno 90 dana; izveštaji o klijentovim domenima ostaju dostupni dok provera postoji (13 meseci, poslednja duže). Nivo – nizak.

R13 – Slabosti infrastrukture

Sledeće tačke navedene su kao otvorene u našem internom paketu za proveru i ovde se ne ulepšavaju. Opisujemo ih onoliko precizno koliko klijentima treba za sopstvenu procenu, ali ne toliko da opis napadaču pokaže put; pojedinosti ćemo dostaviti nadzornom organu na zahtev.

Rezervne kopije baze podataka trenutno se čuvaju na istoj lokaciji kao baza podataka i nisu zasebno šifrovane; planirana je šifrovana kopija na drugoj lokaciji (cfg/backup_lib.php). Do tada ne štite od gubitka lokacije, a ko pribavi bazu podataka pribavlja i rezervne kopije. Pristupni podaci za skeniranje nakon prijavljivanja sadržani su u njima samo kao šifrat.
Nema šifrovanja baze podataka u mirovanju. Izuzeci su polja koja se pojedinačno šifruju (pristupni podaci testnih naloga, tajna za dva faktora).
Veze unutar naše interne mreže nisu svuda šifrovane.
Administracija servera. Bezbednost administrativnog pristupa našim serverima još ne ispunjava standard koji nameravamo za rad; ojačavanje administracije servera se nastavlja.
Okruženje provere. Server za skeniranje otvara tuđe veb-sajtove u pregledaču. Kontejneri provere su izolovani – sopstvena mreža, bez posebnih privilegija, samo za čitanje, ograničeni (scanner/src/worker.js). Razdvajanje okruženja provere od drugih delova usluge dodatno se jača (odeljak 9.3).

Verovatnoća – moguće. Ozbiljnost – ozbiljna, jer bi u vanrednoj situaciji sve bilo pogođeno odjednom. Nivo – visok. Pojedinačne tačke mogu da se otklone uobičajenim sredstvima (odeljak 9.3).

R14 – Prava lica na koja se podaci odnose za ljude koji nas ne poznaju

Osoba koja se slučajno pojavi na snimku ekrana ili čija je poruka prošla kroz kontrolnu kopiju obično ne zna da postojimo. Čak i kada zna, nema ključ za „svoje“ podatke: ne čuvamo ih po osobi nego po domenu i proveri. Na zahtev za pristup prema čl. 15 možemo da odgovorimo samo ako osoba navede domen; tada možemo da pregledamo postojeće provere i slike. Za stvarne poruke posetilaca nema šta da se otkrije jer ih ne čuvamo – osim domena pošiljaoca iz R1. Isključivanje iz provera radi samo za operatere domena, ne za prikazane osobe; njima ostaje put preko contact@lukaswojcik.com.

Verovatnoća – verovatno kao strukturna situacija. Ozbiljnost – ograničena, jer su podaci kratkotrajni i nisu organizovani po osobi. Nivo – nizak.

9. (d) Mere za rešavanje rizika

Svaka mera nosi status, a statusi nisu ukras. Danas sprovedeno – provereno znači: pročitano u kodu razvojnog sistema i, gde je moguće, provereno merenjem prema bazi podataka. Delimično znači: mehanizam postoji, ali još ne ostvaruje u potpunosti svoju svrhu. Planirano znači: predloženo ovom procenom i nije izgrađeno; da li i kada odlučuje vlasnik. Tek treba utvrditi odnosi se na postupke i odluke koje nikakav kod ne zamenjuje. DPIA koja prikazuje planirane mere kao sprovedene gubi vrednost upravo u situaciji u kojoj je potrebna.

9.1 Danas sprovedeno – provereno

Mera	Rešava	Upućivanje na izvor
Prikupljač čita robots.txt pre svake provere; isključivanje koje obuhvata početnu stranicu, nedostupan robots.txt ili greška servera završavaju proveru (potputanje se ne posmatraju pojedinačno; provera dostupnosti, preuzimanje dokaza kontrole, alat za zaglavlja i traženje datoteka ga ne čitaju)	R5, zakonitost	`scanner/src/net.js`
Isključivanje iz provera bez dokaza, sa trenutnim dejstvom, za domen i njegovu www varijantu, za anonimne provere, potencijalne klijente, studije i klijentove provere (tekući nadzor završava se pri sledećoj planiranoj proveri); proverava se dvaput (aplikacija i usluga provere); uklanjamo ga samo mi na zahtev sa dokazom	R5, R7, čl. 21	`cfg/check_lib.php`; `cfg/akquise_lib.php`; `cfg/studie_lib.php`; `scanner/src/worker.js`
Besplatna provera: hitno zaustavljanje, reCAPTCHA, jedna provera po domenu i nedelji, ograničenja po IP adresi i sesiji, dnevni maksimum, bez novih domena, samo javne adrese, napomena i signal bez sadržaja pri nepravilnostima	R5	`cfg/check_lib.php`
Za ograničenja se sesija čuva samo kao heš vrednost, nikada identifikator sesije	Minimizacija	`cfg/check_lib.php`
Bez vrednosti polja (počeci skrivenih polja i atributi podataka samo se čitaju tokom provere, odeljak 6.2); adrese primalaca samo kao domen; identifikatori naloga u adresama skripti skriveni	Minimizacija	`scanner/src/crawl.js`
Besplatni izveštaj je izvod: samo osnovni nalazi, bez dokaza svih detektora	R5	`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`
Izveštaji na 128-bitnom nasumičnom linku, `noindex`, slike samo za sopstveni izveštaj, izvan javnog veb-direktorijuma; link se pojavljuje u dnevniku pristupa stranicama samo u maskiranom obliku	R12	`cfg/check_lib.php`; `www/report.php`; `www/shot.php`
Brisanje: anonimni izveštaji nakon 30 dana, potencijalni klijenti nakon 90 dana, klijentove provere nakon 13 meseci (poslednja po domenu zadržava se dok domen postoji), podaci obrisanog domena odmah (za izuzetke videti odeljak 6.11), slike u svakom slučaju zajedno sa njima	Ograničenje čuvanja	`cfg/check_lib.php`; `cfg/fristen_lib.php`
Studija: objavljivanje samo zbirno, segmenti samo od 20 veb-sajtova sa obrascem, sirovi podaci obrisani pri objavljivanju	R4 delimično, P3	`cfg/studie_lib.php`
Kontejneri provere: sopstvena izolovana mreža, bez posebnih privilegija, samo za čitanje, ograničenja memorije i procesa, vremensko ograničenje; filter protiv privatnih odredišta za svaki zahtev, service worker-i blokirani i WebSocket veze zatvorene kako ništa ne bi zaobišlo filter; zahtevi veb-servera samo na veb-portovima i samo ka tačno onoj javnoj adresi koja je prethodno proverena	R13	`scanner/src/worker.js`; `scanner/src/net.js`
Aktivna provera za klijente samo za potvrđen domen (interno i za naše sopstvene testne i demonstracione domene) i sa uključenim prekidačem za hitno zaustavljanje, provereno dvaput; najviše pet slanja; samo jasno prepoznati kontakt obrasci bez obaveznih podataka o ličnosti; bez domena organa javne vlasti, obrazovnih ustanova, klinika, ordinacija, policije ili sudova; jezički model ne sme ništa da odobri; testna poruka bez podataka o ličnosti, označena, sa upućivanjem na stranicu prikupljača i isključivanje iz provera	R9	`scanner/src/worker.js`; `scanner/src/classify.js`; `scanner/src/active.js`
Tokovi kroz obrasce u pregledaču: samo GET i HEAD, opasne adrese blokirane, izmišljene vrednosti ne napuštaju pregledač, slike sa zacrnjenim poljima za unos	R3 (za ove slike), R9	`scanner/src/browser.js`
Provera datoteka: samo potvrđeni domeni, jedno preuzimanje po putanji, najviše 8 KB, sadržaj se nikada ne čuva	R9	`cfg/dateien_lib.php`
Druga sonda: podrazumevano isključena; primala bi samo fiksni spisak bezazlenih stavki, potpisanih	Primaoci	`cfg/formular_probe_lib.php`
Skeniranje nakon prijavljivanja: samo potvrđen domen, plaćeni paket, vlasnik ili administrator, potvrda „testni nalog“; šifrovanje javnim ključem servera za skeniranje, vezano za domen; pristupni podaci se nikada ne prikazuju, ne beleže u dnevnicima i ne ispisuju putem API-ja; predaja samo standardnim ulazom; polje u zadatku očišćeno odmah, ostaci nakon jednog sata; bez snimaka ekrana, bez slanja, bez adresa za odjavu ili brisanje, prekid pri CAPTCHA proveri; konačno brisanje sa prepisivanjem	R8	`cfg/login_lib.php`; `scanner/src/login.js`; `scanner/src/geheim.js`; `scanner/src/worker.js`
Provera isporuke e-pošte: podrazumevano isključena; preuzimanje čita samo zaglavlja i 8 KB, bez oznake pročitanosti; sadržaj i adresa posetioca nikada nisu u bazi podataka; svaka preuzeta e-poruka se briše, uključujući nedodeljive; dodele obrisane nakon 180 dana; dokaz samo putem kopije baš tog testa	R1, R2	`cfg/zustellung_lib.php`
Zajednička zaštita: samo domeni, IP mreže isključene; minimalne brojke; izuzeci za velike usluge i klijentove domene; karantin umesto brisanja; spisak obnavljan svakodnevno; prijave obrisane nakon 30 dana	R11	`cfg/swarm_lib.php`
Jezički model na našem sopstvenom serveru, bez prava na slanje	R10	`scanner/src/classify.js`
Akcioni plan: lokalno generisanje iz izabranih nalaza, bez snimaka ekrana ili unetih vrednosti polja u upitu; ograničen broj nalaza i dužina napomena; očišćen običan tekst ograničene dužine; vidljiva AI napomena, pojedinačni nalazi merodavni; bez automatskih promena veb-sajta ili odluka o oceni u poenima/zaključnoj proceni	R10 delimično; netačni saveti i usputni podaci o ličnosti ostaju mogući	`cfg/plan_lib.php`; `www/report.php`
Signali preko Telegram-a sadrže samo fiksnu rečenicu bez promenljivih	Primaoci	`cfg/check_lib.php`
Nedeljni test vraćanja rezervne kopije, sa upozorenjem pri neuspehu	Dostupnost	`cfg/backup_lib.php`; `srv/cron_status.php`

9.2 Delimično – postoji, ali još ne ostvaruje svrhu

Mera	Zašto još nije potpuno delotvorna
„Očišćeni“ snimci ekrana	Zacrnjene su samo slike iz tokova kroz obrasce u pregledaču. Slike prikupljača – početna stranica i elementi obrazaca – i slika stranice odgovora iz aktivne provere nisu (R3).
Rokovi za podatke provera	Delotvorni za anonimne provere, provere potencijalnih klijenata i klijentove provere; ne za interne provere i neobjavljene studije; nerešene napomene o nepravilnostima bez vremenskog ograničenja (R4).
Brisanje kontrolnih kopija	Delotvorno u našem pogledu na sanduče. Ako se izvršavanje prekine, e-poruke ostaju; nije provereno šta pružalac sandučeta zadržava u sopstvenim rezervnim kopijama (R2).
Zaštita pristupnih podataka u skeniranju nakon prijavljivanja	Snažna u mirovanju i u usluzi provere; ne na putu do veb-sajta: `http` je dozvoljen, greške sertifikata se ignorišu (R8).
Dokaz kontrole	Proverava se jednom i zatim važi zauvek; ipak naziv hosta domena sa dokazom kontrole ne može da se promeni, tako da dokaz ne prelazi na drugi host (R7).
Informisanje lica na koja se podaci odnose	Postoji za operatere putem stranice prikupljača, identifikatora, Politike privatnosti i isključivanja iz provera; za posetioce u proveri isporuke e-pošte zavisi od klijentovog preuzimanja tekstualnog bloka; aplikacija to ne proverava.
Molba klijentima da ne stavljaju posebne kategorije u kontrolnu kopiju	Navedena u pravnim dokumentima, ali nije tehnički podržana: pri podešavanju aplikacija ne pita za tip veb-sajta i ne upozorava na domene koji liče na zdravstvo, pravo ili obrazovanje (R1).

9.3 Planirano – nije sprovedeno

Mera	Rešava	Prioritet
Putanja brisanja za interne provere: brisati provere bez domena i bez izveštaja nakon fiksnog roka (predlog: 30 dana); brisati sirove podatke studije najkasnije određeni rok nakon njenog završetka, čak i bez objavljivanja (predlog: 90 dana); jednokratno obrisati postojećih 85 provera sa 369 slika	R4	Prvo
Omogućiti proveru isporuke e-pošte tek nakon zaključenja ugovora sa pružaocem sandučeta, dokumentovanja lokacija skladištenja, podobrađivača i rokova rezervnih kopija, razjašnjenja mehanizma prenosa za pružaoca sandučeta i usmeravanja MX zapisa našeg domena direktno na sanduče; do tada držati funkciju blokiranu na produkcionom sistemu	R2	Prvo
Proveriti bezbednost preuzimanja sandučeta na produkcionom sistemu i dokumentovati je pre omogućavanja provere isporuke e-pošte	R2	Prvo
Skeniranje nakon prijavljivanja samo putem `https` i sa važećim sertifikatom; odbiti `http` adrese; greške sertifikata pri prijavi kao razlog za prekid	R8	Prvo
Ne čuvati vrednosti skrivenih polja nakon prijavljivanja (samo naziv, tip i dužinu) – već sprovedeno na ovaj način, bez daljeg koraka	R8	Gotovo
Ograničiti kontrolnu kopiju na testne poruke gde se koristi dodatak ili proširenje: skrivena kopija samo za slanja sa našim identifikatorom testa	R1	Visok
Ne čuvati domen pošiljaoca stvarnih poruka niti ga upisivati u upozorenja ako nije ni domen veb-sajta ni domen poznate usluge slanja; u upozorenju umesto toga „strani domen pošiljaoca“	R1	Visok
Upozorenje pri podešavanju provere isporuke e-pošte za domene koji liče na zdravstvo, pravo, socijalne usluge ili obrazovanje, sa upućivanjem na sopstvenu DPIA klijenta	R1	Visok
Redovno obnavljati dokaz kontrole (predlog: pre svake aktivne provere proveriti da li DNS zapis, meta oznaka, datoteka ili veza dodatka i dalje postoji; u suprotnom nastaviti pasivno i obavestiti klijenta)	R7	Visok
Prestati sa snimanjem početne stranice ili to činiti samo sa zacrnjenim slikama i licima; ograničiti slike obrazaca na element obrasca (kao danas) i maskirati polja za unos kao kod tokova kroz obrasce u pregledaču	R3	Visok
Napomena u interfejsu provere potencijalnih klijenata: slanje kratkog nalaza bez prethodnog zahteva e-poštom ili telefonom je direktni marketing čak i između preduzeća i zahteva prethodni pristanak (čl. 398 poljskog Zakona o elektronskim komunikacijama; u Nemačkoj § 7(2) UWG, iako je pretpostavljeni pristanak dovoljan za pozive preduzećima)	R6	Visok
Infrastruktura: završiti ojačavanje administracije servera; šifrovana rezervna kopija na drugoj lokaciji; svuda šifrovati veze u internoj mreži; dodatno ojačati razdvajanje servera za skeniranje i aplikacije	R13	Visok
Rok za nerešene napomene o nepravilnostima (predlog: rešavanje u roku od 30 dana, u suprotnom brisanje IP adrese)	R4	Srednji
Stranica ili obrazac putem kog neko može da zatraži uklanjanje domena iz zajedničke zaštite	R11, R14	Srednji
Pre uključivanja IP mreža u zajedničkoj zaštiti: nova verzija ove procene	R11	Uslov
Zabeležiti da li softver jezičkog modela čuva zahteve i, ako da, isključiti te dnevnike	R10	Nizak

9.4 Postupci i odluke koje tek treba utvrditi

Pored tehničkih zaštitnih mera, čl. 35(7)(d) zahteva i postupke. Sledeći još nedostaju:

Povreda podataka o ličnosti. Otkrivanje: vlasnik, upozorenje o greškama aplikacije, prijave preko mesta za prijavu ranjivosti ili contact@lukaswojcik.com. Odluka o obaveštavanju UODO-a u roku od 72 sata (čl. 33(1)): vlasnik. Informisanje pogođenih klijenata kao rukovalaca podacima o ličnosti: bez nepotrebnog odlaganja, po mogućnosti u roku od 48 sati, kako je obećano Ugovorom o obradi podataka. Treba utvrditi: pisani opis postupka i prvu vežbu; za proveru isporuke e-pošte dodatno kako utvrditi koji su klijenti pogođeni povredom kod pružaoca sandučeta.
Sektori. Treba utvrditi: da li se provera isporuke e-pošte nudi, nudi uz upozorenje ili isključuje za veb-sajtove iz zdravstva, prava, socijalnih usluga i obrazovanja.
Interne provere. Treba utvrditi: za šta pružalac usluge koristi interne provere iz komandne linije, ko sme da ih pravi i koliko dugo njihovi rezultati ostaju; i da li ih, pored Evidencije radnji obrade, treba navesti u Politici privatnosti.
Studije. Treba utvrditi: ko sastavlja spiskove, iz kojih izvora, sa kojom maksimalnom veličinom, i proveru pre svake studije da li poštuje pretpostavke ove procene.
Mišljenja lica na koja se podaci odnose (čl. 35(9)). Za ovu verziju nisu tražena. Čl. 35(9) zahteva njihovo traženje samo „kada je primereno“; prema našoj proceni to ovde trenutno nije slučaj. Operateri proveravanih veb-sajtova i posetioci klijentovih veb-sajtova nemaju sopstveni kanal ka nama; ciljano obraćanje njima samo po sebi bilo bi nova obrada njihovih podataka, a usluga još nije pokrenuta, tako da još nema grupe stvarnih lica na koja se podaci odnose. Njihovi interesi uzimaju se u obzir posredno: putem robots.txt i isključivanja iz provera, kroz kratke rokove i kroz činjenicu da se sadržaj kontrolnih kopija ne čuva. Pri svakoj proveri prema odeljku 12 ponovo razmatramo da li je traženje njihovih mišljenja primereno, na primer putem povratnih informacija na stranici prikupljača ili od klijenata provere isporuke e-pošte.

10. Preostali rizik i prethodne konsultacije prema čl. 36

Čl. 36(1) zahteva prethodne konsultacije sa nadzornim organom kada DPIA pokaže da bi obrada proizvela visok rizik u odsustvu mera koje rukovalac podacima o ličnosti preduzima za njegovo ublažavanje. Pitanje zato nije da li su identifikovani visoki rizici – četiri jesu – već da li visok rizik ostaje kada su mere uspostavljene.

Za radnje obrade za koje je formexposed rukovalac podacima o ličnosti (P1 do P4, P7), visoki rizici R4 i R13 mogu da se otklone uobičajenim sredstvima: putanjom brisanja i čišćenjem postojećih podataka, šifrovanom rezervnom kopijom na drugoj lokaciji i ojačavanjem dva servera. Sa merama iz 9.3 padaju na nizak do srednji nivo. R3, R5, R6 i R7 su srednji i sa predloženim merama padaju na nizak. Zajednička zaštita bez IP mreža ostaje niska do srednja. Prethodne konsultacije nisu indicirane za ovaj deo ako su mere označene kao „prvo“ i „visok“ sprovedene pre pokretanja. Ako neka od tih mera nije sprovedena pre pokretanja, za predmetnu radnju obrade ostaje visok rizik. Ta radnja obrade tada će biti pokrenuta tek nakon sprovođenja mere ili će UODO prvo biti konsultovan prema čl. 36(1).

Za proveru isporuke e-pošte (P6) situacija je drugačija, iz razloga koji nijedna mera ne uklanja u potpunosti: šta će posetilac napisati zavisi od njega. Sa zaključenim ugovorom, obezbeđenim preuzimanjem, ograničenjem na testne poruke gde je moguće i odustajanjem od domena pošiljaoca, R2 pada na nizak, a R1 na srednji nivo. Za klijente čiji posetioci tipično navode podatke prema čl. 9, R1 ipak može da ostane visok. Obaveza konsultovanja tada leži na klijentu kao rukovaocu podacima o ličnosti, ne na formexposed. Naša preporuka takvim klijentima je da ne postavljaju kontrolnu kopiju za opšti kontakt obrazac, već samo za obrasce bez osetljivog sadržaja ili da ne koriste proveru isporuke e-pošte.

Preostali rizik, iskreno naveden. Danas, sa merama iz 9.1, četiri rizika su na visokom nivou: R1 i R2 (provera isporuke e-pošte), R4 (podaci provere bez putanje brisanja) i R13 (infrastruktura). Sa merama iz 9.3, R2, R4 i R13 padaju na nizak do srednji nivo. R1 ostaje srednji i trajno zavisi od odluka klijenata. Nijedan drugi rizik nije iznad srednjeg nakon mera.

Čl. 36 nije kazna, a konsultovanje nije priznanje. To je put koji Uredba predviđa za situaciju u kojoj koristan postupak nosi rizik koji rukovalac podacima o ličnosti ne kontroliše u potpunosti. Klijent koji želi da koristi proveru isporuke e-pošte za poruke sa zdravstvenim podacima ovde će pronaći činjenice za tu odluku.

11. Šta klijentima treba za sopstvenu DPIA (čl. 28(3)(f))

Za proveru isporuke e-pošte i skeniranje nakon prijavljivanja klijent je rukovalac podacima o ličnosti. Ova stranica mu pruža opis (odeljci 6.5 i 6.6), rizike iz naše perspektive (R1, R2, R8) i stanje mera (odeljak 9). Samo klijent može da odgovori na sledeća pitanja:

Šta moji posetioci pišu? Može li se očekivati da će putem obrasca stići podaci o zdravlju, veroispovesti, poreklu, članstvu u sindikatu, seksualnoj orijentaciji, krivičnim delima ili o deci? Tada je DPIA za kontrolnu kopiju po pravilu potrebna i kontrolnu kopiju za taj obrazac trebalo bi ponovo razmotriti.
Da li mi kontrolna kopija treba za sve poruke? Za dokaz da naša testna poruka stiže dovoljna je kopija te poruke. Gde obrazac dozvoljava, podesite skrivenu kopiju samo za testne poruke.
Kako informišem svoje posetioce? Ugovor o obradi podataka to zahteva; Tekst politike privatnosti za Vaš veb-sajt opisuje put kopije i našu ulogu.
Koji pravni osnov imam? Naš predlog teksta navodi čl. 6(1)(f) (pouzdan prijem upita). Za podatke prema čl. 9 sam ovaj osnov nije dovoljan.
Koje kanale upozorenja biram? Upozorenja iz provere autentičnosti mogu da navedu domen pošiljaoca. Svako ko šalje upozorenja uslugama ćaskanja izvan EU prenosi ga tamo.
Za skeniranje nakon prijavljivanja: Da li je testni nalog zaista testni sa najmanjim potrebnim pravima? Da li je stranica za prijavu dostupna samo putem https? Da li testni nalog vidi podatke drugih korisnika? Ako da: na kojim od navedenih stranica?
Kada brišem? Provera isporuke e-pošte i testni nalog mogu da se isključe i obrišu u svakom trenutku; testni nalog se tada trajno prepisuje.

Dalji dokumenti za klijentovu procenu: Ugovor o obradi podataka, tehničke i organizacione mere, spisak podobrađivača i Evidencija radnji obrade. Na pitanja o pojedinačnim činjenicama odgovaramo na contact@lukaswojcik.com.

12. Preispitivanje, verzija i odobrenje

Čl. 35(11) zahteva preispitivanje radi procene da li se obrada vrši u skladu sa DPIA, barem kada dođe do promene rizika. Ovu procenu preispitujemo najmanje jednom godišnje i pre svakog od sledećih događaja; svaki pokreće novo merenje, ne samo čitanje:

pokretanje produkcionog rada, sa brojkama iz produkcionog umesto razvojnog sistema;
prva aktivacija provere isporuke e-pošte na produkcionom sistemu i zaključenje ugovora sa pružaocem sandučeta;
uključivanje IP mreža u zajedničkoj zaštiti;
prva studija i svaka studija sa većim spiskom od prethodne;
uključivanje druge sonde ili novog primaoca na putanji provere;
svaka nova upotreba jezičkog modela koja prevazilazi upotrebe obuhvaćene ovom procenom; akcioni plan sa prioritetima u plaćenim izveštajima dodatna je upotreba i zahteva preispitivanje procene;
svaka promena snimaka ekrana, rokova ili preduslova za aktivne provere.

Stavka	Unos
Rukovalac podacima o ličnosti	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland · NIP 7252266190 · contact@lukaswojcik.com
Nadležni nadzorni organ	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Poland
Lice za zaštitu podataka o ličnosti	Nije imenovano; procena prema čl. 37 u odeljku 4
Osnova činjenica	Izvorni kod aplikacije i usluge provere, šema baze podataka, broj redova i postavke razvojnog sistema, provereno merenjem 11. oktobra 2026, samo za čitanje
Povezani dokumenti	Politika privatnosti, Ugovor o obradi podataka, Tehničke i organizacione mere, Podobrađivači, Evidencija radnji obrade, EU Akt o veštačkoj inteligenciji, Prihvatljivo korišćenje i zloupotrebe, FormExposedBot, Isključivanje iz provera
Verzija	1.1 od 23. oktobra 2026; činjenični dodatak o lokalnoj fazi akcionog plana prvoj verziji od 11. oktobra 2026.
Preispitivanja prema čl. 35(11)	23. oktobar 2026: pregled izvornog koda dodatne lokalne faze akcionog plana. Ulazni podaci, čuvanje, uloge, savetodavni izlaz i sprovedene zaštitne mere dodati su odgovarajućim odeljcima; ne tvrdi se da postoji završeno merenje u produkciji ili nova ocena preostalog rizika. Ranija merenja od 11. oktobra 2026. i status odobrenja ispod ostaju nepromenjeni. Dalja preispitivanja unose se ovde sa datumom, razlogom i rezultatom.
Odobrenje	Još nije odobreno. Odobrenje daje vlasnik nakon pravne provere i odluke o merama iz odeljka 9.3 i pitanjima iz odeljka 9.4. Spoljni savet o zaštiti podataka do sada nije tražen.

Jedna završna napomena pripada dokumentu, ne propratnom pismu. Delovi usluge formexposed koji najdalje zadiru u tuđe domene – testne poruke i prijava tuđim pristupnim podacima – izgrađeni su sa najviše opreza: dve provere uslova, čvrsta ograničenja, šifrovanje koje i nama zatvara pristup. Rizici ove procene uglavnom leže drugde: u onome što usput dolazi – stvarnim porukama u skrivenoj kopiji, ljudima na snimku ekrana, proverama koje više niko ne briše. To je povoljna polazna pozicija jer se usputno može zaustaviti bez promene usluge.

Kako možemo da pomognemo?