Tehničke i organizacione mere

Ovaj dokument je objavljen na više jezika. U slučaju neslaganja između jezičkih verzija, merodavna je poljska verzija.

Verzija 1.1 · Poslednje ažuriranje: 22. oktobar 2026.

Mere prema čl. 32 GDPR-a kojima LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, štiti uslugu formexposed. Ova stranica je deo Ugovora o obradi podataka kao Prilog 2.

1. Područje primene i načelo

Mere važe za sve podatke koje usluga obrađuje: za podatke koje obrađujemo u ime svojih Klijenata (opisane u Ugovoru o obradi podataka) i za podatke za koje smo sami rukovalac podacima o ličnosti, poput naloga klijenata i dnevnika. Za njih ne postoje odvojeni nivoi zaštite; ono što štiti nalog štiti i podatke koje obrađujemo kao obrađivač.

Struktura prema čl. 32(1) GDPR-a. Pseudonimizacija i šifrovanje (tačka (a)) obuhvaćeni su odeljkom 4; trajna poverljivost, integritet, dostupnost i otpornost sistema (tačka (b)) odeljcima 3, 5, 6 i 7; sposobnost blagovremene obnove dostupnosti nakon incidenta (tačka (c)) odeljkom 7.1; postupak redovnog testiranja, procene i ocenjivanja delotvornosti (tačka (d)) odeljkom 9. Mere smo izabrali na osnovu rizika opisanih u našoj Proceni uticaja na zaštitu podataka, uzimajući u obzir stanje tehnike i troškove sprovođenja.

Načelo: izmereno, a ne nameravano. Ovde se navodi samo ono što je zaista sprovedeno u kodu ili radu. Ono što je planirano, ali još nije sprovedeno izričito je navedeno kao „planirano“ u odeljku 10. Mera koja ovde nedostaje ne postoji prećutno.

Imena mašina, interne adrese, portovi, korisnička imena i verzije softvera namerno se ne navode. Ne pomažu u proceni mera, ali pomažu nekome ko želi da ih zaobiđe. Ko ih treba za reviziju prema Ugovoru o obradi podataka dobiće ih tokom te revizije pod obavezom poverljivosti, u meri neophodnoj za reviziju.

2. Struktura usluge

Usluga radi na dva sopstvena servera pružaoca u Poljskoj, smeštena u istoj internoj mreži:

• Veb-server sa bazom podataka. Isporučuje aplikaciju, drži bazu podataka, šalje obaveštenja i pravi rezervne kopije podataka. Samo on je podešen da prima zahteve sa interneta.
• Server za skeniranje. Sprovodi provere tuđih i sopstvenih sajtova u pregledaču i pokreće jezički model koji klasifikuje pojedinačne obrasce, sažima nalaze skeniranja u prioritetne planove mera za plaćene naloge i dodaje kod u „Fix it for me“. Nije podešen da prima zahteve sa interneta, već sam preuzima poslove sa veb-servera i tamo vraća rezultate.

U rad nije uključen hosting pružalac, centar podataka ili pružalac usluga u oblaku i ništa ne odlazi spoljnoj usluzi veštačke inteligencije. Koje treće strane primaju podatke navedeno je na stranici Podobrađivači.

3. Poverljivost

3.1 Kontrola fizičkog pristupa

Serveri se nalaze u prostorijama pružaoca u Poljskoj koje nisu otvorene za javnost. Samo vlasnik ima pristup (prema navodu operatora). Tačna adresa lokacije namerno nije navedena ovde.

3.2 Kontrola pristupa: prijavljivanje na uslugu

• Lozinke se čuvaju samo kao heš pomoću standardnog PHP postupka (bcrypt). Ako se standardni postupak promeni, heš se obnavlja pri sledećem prijavljivanju. Pri pokušaju prijavljivanja sa nepoznatom adresom server ipak izračunava heš kako vreme odgovora ne bi otkrilo da li nalog postoji. Isto tako odgovor na zahtev za resetovanje lozinke ni tekstom ni trajanjem ne otkriva da li nalog postoji; e-poruke za resetovanje šalju se na istu adresu najviše tri puta na sat. Nove lozinke moraju da imaju najmanje deset znakova i ne smeju da premaše 72 bajta (UTF-8), jer bcrypt ne uzima u obzir više bajtova. Promena lozinke odjavljuje sve druge uređaje; resetovanje preko linka odjavljuje sve uređaje, a link važi samo jednom.
• Blokada nakon neuspešnih pokušaja. Neuspešna prijavljivanja broje se po IP adresi; nakon previše u kratkom vremenu (trenutno osam u 15 minuta) prijavljivanje sa te adrese privremeno se blokira. Uspešno prijavljivanje resetuje ovaj brojač. Pokušaji se brišu nakon sedam dana. Pored toga, pre svake provere lozinke broji se jedan pokušaj po nalogu (za nepoznatu adresu, po unetoj adresi) i po IP adresi, uključujući uspešne pokušaje: trenutno najviše osam po nalogu sa iste IP adrese i 80 po IP adresi u 15 minuta; znatno viši limit važi po nalogu preko svih adresa zajedno, radi zaštite od distribuiranog pogađanja. Neuspešni pokušaji sa druge adrese zato više ne blokiraju vlasniku pristup nalogu. Ovi brojači sadrže samo HMAC ključ, bez adrese e-pošte ili IP adrese u otvorenom tekstu, i ističu sa svojim vremenskim prozorom. Ako skladište brojača nije dostupno, prijavljivanje se odbija, ne propušta. Ista vrsta ograničenja važi za potvrdu lozinke pre promene lozinke ili adrese, uključivanje ili isključivanje drugog faktora, prenos radnog prostora, izvoz podataka i brisanje naloga (pet pokušaja po nalogu u 15 minuta), za registracije (deset po IP adresi na sat) i lozinke portala za klijente (deset pokušaja po portalu i IP adresi, 50 po portalu u 15 minuta).
• Drugi faktor. Svaki nalog može da uključi prijavljivanje jednokratnim kodom prema RFC 6238 (TOTP). Tajna za to čuva se šifrovano u bazi podataka; ključ se ne čuva u bazi, pa sam izvod baze nije dovoljan. Prihvaćen kod ne važi drugi put. Deset kodova za oporavak čuva se samo kao heš. Jednokratni kodovi i kodovi za oporavak ograničeni su na deset pokušaja po nalogu u 15 minuta, uključujući tokom podešavanja.
• Administracija samo sa drugim faktorom. Administratorski deo operatora otvara se samo nalozima sa uključenim drugim faktorom. Kontrolna lista podešavanja prijavljuje svaki administratorski nalog bez drugog faktora.
• Sesije. Skripte ne mogu da čitaju kolačić sesije (HttpOnly), šalje se samo preko HTTPS-a (Secure) i ne šalje se sa zahtevima sa sajtova trećih strana koji bi mogli nešto da promene (SameSite=Lax). Pri prijavljivanju pravi se novi ID sesije, tako da unapred podmetnut ID više ne važi; server ne prihvata ID sesije koji nije sam izdao. Svaki nalog vidi svoje prijavljene uređaje i može pojedinačno da ih odjavi.
• „Ostanite prijavljeni“ je opciono i važi 30 dana, ali ne za naloge sa administratorskim pravima; oni se uvek prijavljuju lozinkom i drugim faktorom. Token se sastoji od dva dela; deo za proveru čuva se u bazi podataka samo kao heš. Svaka upotreba ga zamenjuje novim, a čak i pri istovremenim zahtevima svaki token važi samo jednom, tako da se ukraden token primeti najkasnije pri sledećoj stvarnoj poseti.
• Linkovi u e-porukama. Linkovi za potvrdu adrese i resetovanje lozinke čuvaju se u bazi podataka samo kao heš. Link za resetovanje važi jedan sat, link za potvrdu registracije 72 sata, a link za potvrdu promenjene adrese 24 sata. Ako se adresa e-pošte promeni, otvoreni link za resetovanje postaje nevažeći.
• Interfejsi. API ključevi, kodovi za povezivanje proširenja i kodovi za povezivanje većeg broja sajtova čuvaju se samo kao heš. API ključevi mogu da se koriste samo ograničen broj puta po minutu; kodovi za povezivanje proširenja važe 15 minuta i samo jednom.
• Zaštita od botova na javnim obrascima (registracija, prijavljivanje, lozinka, provera, alat za zaglavlja, izuzimanje, podrška i kontakt): Google reCAPTCHA, koja se učitava samo pri slanju. Prihvata se samo važeći Google odgovor sa dovoljnom ocenom za tačno onu radnju obrasca; ako Google ne odgovori u roku od tri sekunde, slanje se odbija. Detalji su u Politici privatnosti.

3.3 Kontrola pristupa: administracija servera

• Server dostupan sa interneta koristi filter paketa da dozvoli samo usluge koje nudi i automatski blokira adrese nakon ponovljenih neuspešnih prijavljivanja u administraciju servera.
• Automatizovani procesi između servera koriste sopstvene ključeve sa usko ograničenim pravima. Ključ kojim veb-server isporučuje nove verzije skenera može da izvrši samo utvrđenu listu komandi na serveru za skeniranje i može samo da kopira, isključivo upisivanjem, u direktorijum skenera; interaktivno prijavljivanje njime nije moguće i svaka odbijena komanda se beleži. Isto tako, server za skeniranje može da upisuje snimke ekrana samo u određeni direktorijum na veb-serveru.
• Proces koji opslužuje sajt nema ni pravo upisa u produkcionu instalaciju ni ključ za server za skeniranje. Objavljivanje izmena pokrenuto u administraciji samo upisuje posao koji zaseban postupak izvršava.
• Tajne poput podataka za pristup bazi i ključeva čuvaju se u konfiguracionim datotekama izvan direktorijuma koji se poslužuje i ne kopiraju se tokom objavljivanja izmena. Konfiguracija veb-servera ne distribuira se preko veb-interfejsa.

3.4 Kontrola ovlašćenja: prava u usluzi

• Uloge. Svaki radni prostor ima uloge vlasnika, administratora i posmatrača. Izmene, brisanje, pozivanje i čuvanje pristupnih podataka rezervisani su za vlasnike i administratore; samo vlasnik može da menja uloge i uklanja članove. Pozivnica važi samo dok je osoba koja ju je poslala i dalje vlasnik ili administrator. Posmatrači vide adrese webhook-ova i kanala za razgovor skraćene samo na host, jer sama adresa omogućava objavljivanje u kanalu. Provera se sprovodi na serveru, ne samo u interfejsu.
• Vezivanje za radni prostor. Domeni i podešavanja dostupni su samo članovima radnog prostora. Za svaku proveru Usluga pravi izveštaj pod nasumičnim linkom koji ne može da se pogodi; rezultati i snimci ekrana provere dostupni su preko tog linka bez prijavljivanja, snimci ekrana samo zajedno sa linkom svog izveštaja. Link se pojavljuje u nalogu i upozorenjima; ko ga prosledi, prosleđuje izveštaj.
• Zahtevi koji menjaju stanje zahtevaju bezbednosni token po sesiji (CSRF zaštita), koji se poredi u konstantnom vremenu.
• „Prikaz kao klijent“. Radi podrške operator može da vidi aplikaciju onako kako je vidi Klijent. Prikaz prestaje nakon jednog sata, blokira promene lozinke, adrese, drugog faktora, uređaja, pretplate, izvoza i brisanja, u međuvremenu zatvara administraciju i beleži se. Njegov završetak potpuno odjavljuje operatora; operator može da se vrati u administraciju samo ponovnim prijavljivanjem lozinkom i drugim faktorom. Klijent to može da vidi u svom izvozu podataka.
• Administracija. Samo nekoliko izričito ovlašćenih naloga ima administratorska prava; svako resetovanje drugog faktora od strane administracije se beleži.

3.5 Kontrola razdvajanja

• Podaci Klijenata logički su odvojeni po radnim prostorima. Svaka putanja čitanja i pisanja u prijavljenom delu nosi ovo vezivanje; izveštaji su dodatno dostupni preko svog linka (odeljak 3.4).
• Razvoj i rad odvijaju se u zasebnim instalacijama sa zasebnim bazama podataka i korisnicima baze podataka. Razvojni korisnik nema pristup produkcionoj bazi podataka. Stvarni podaci klijenata ne kopiraju se u razvoj; tamo radimo sa generisanim probnim podacima.
• Za svako okruženje skener ima sopstvene pristupne podatke sa pravima samo za podatke potrebne za njegove poslove. Ne može da čita naloge, obračun ili dnevnike.
• Na veb-serveru rade i druge usluge istog pružaoca. Imaju sopstvene baze podataka i sopstvene korisnike baza bez pristupa podacima ove usluge.

4. Šifrovanje, pseudonimizacija i minimizacija podataka

4.1 Pristupni podaci za skeniranje nakon prijavljivanja

Za ovu funkciju Klijent čuva korisničko ime i lozinku test naloga. To su najosetljiviji podaci u usluzi i zato su zaštićeni drugačije od svega ostalog:

• Pri čuvanju ih veb-server šifruje javnim ključem servera za skeniranje (ECIES: X25519 sa jednokratnim ključem po zapisu, HKDF-SHA256, AES-256-GCM). Privatni ključ postoji samo na serveru za skeniranje. Veb-server, baza podataka i rezervne kopije sadrže samo šifrovani tekst; ni mi tamo ne možemo da ga pročitamo.
• Svaki zapis kriptografski je vezan za svoj domen. Ako se premesti na drugi domen, dešifrovanje ne uspeva.
• Za skeniranje šifrovani tekst se prilaže poslu. Server za skeniranje ga dešifruje i prosleđuje pristupne podatke kontejneru za proveru samo preko standardnog ulaza, nikada kao argument komandne linije koji bi bio vidljiv u listama procesa. Čim ga server za skeniranje pročita, šifrovani tekst se briše iz posla; postupak uklanja eventualne ostatke najkasnije nakon jednog sata.
• Pristupni podaci se nikada ne prikazuju, ne beleže u dnevnike, ne iznose preko API-ja i ne izvoze. Interfejs prikazuje samo prvi znak i dužinu korisničkog imena. Uklanjanje prepisuje šifrovani tekst.
• Nakon prijavljivanja skener samo čita: bez slanja, bez aktivnog testa, bez snimaka ekrana, bez stranica za odjavljivanje, brisanje ili otkazivanje.

4.2 Dodatno šifrovanje i heševi

• Lozinke, kodovi za oporavak, lozinke portala za klijente, API ključevi, kodovi za povezivanje i kodovi za povezivanje većeg broja sajtova, tokeni „Ostanite prijavljeni“, ID-jevi sesija u listi uređaja i linkovi za potvrdu i resetovanje čuvaju se samo kao heš.
• Tajne za drugi faktor čuvaju se šifrovano (odeljak 3.2).
• Ne tvrdimo da je cela baza podataka šifrovana u mirovanju. Osetljive vrednosti zaštićene su pojedinačno, kako je gore opisano.

4.3 Minimizacija podataka kroz dizajn

• Provera isporuke e-pošte: Čitaju se samo zaglavlja i najviše prvih 8 KB teksta. U bazu podataka ulaze samo vreme, dodela, kada je primenljivo ID test slanja i rezultat provere autentičnosti (SPF, DKIM, DMARC), nikada sadržaj ili puna adresa pošiljaoca. Rezultat autentičnosti najnovije e-poruke čuva se sa domenom i prepisuje sledećom; sadrži IP adresu servera koji isporučuje e-poštu i domen e-pošte pošiljaoca. E-poruka se briše iz sandučeta nakon uspešne obrade; ako preuzimanje ili brisanje ne uspe, to se dešava pri sledećem uspešnom izvršavanju.
• Provere: Struktura obrazaca čuva se sa imenima polja, tipovima i oznakama, atributima obaveznosti i vidljivosti, bez vrednosti; skener čita početke unapred popunjenih skrivenih polja (do 24 znaka) i data atributa (do 60 znakova) samo tokom provere i ne čuva ih. Snimci ekrana potpune provere nisu obrađeni radi prikrivanja sadržaja; samo provere u pregledaču prekrivaju polja za unos. Adrese primalaca obrazaca čuvaju se samo kao domen. Aktivna test slanja sadrže samo označene test tekstove bez podataka o ličnosti.
• Proširenja za WordPress i TYPO3 prenose samo dnevne brojke i karakteristike poput inventara dodataka i za povezani WordPress dodatak i domene linkova iz blokiranih poruka za zajedničku zaštitu (podrazumevano uključenu); bez drugog sadržaja, imena, adresa ili IP adresa posetilaca. Opcioni brojači događaja obrazaca i grešaka polja podrazumevano su isključeni.
• „Fix it for me“: Nalepljeni kod obrađuje se samo tokom trajanja zahteva i ne čuva se.
• Oznaka: Slika oznake na sajtovima klijenata ne postavlja kolačić i ne pokreće sesiju.
• Operativna obaveštenja na telefon operatora unapred su utvrđeni tekstovi bez promenljivih, odnosno bez imena, adresa ili sadržaja. Obaveštenja o greškama e-poštom operatoru sadrže sirovi tekst poruke o grešci, bez prečišćavanja i skraćen na 400 znakova; u pojedinačnim slučajevima može da sadrži adrese ili linkove.
• Zajednička zaštita: Između proširenja Klijenata dele se samo domeni linkova iz blokiranih neželjenih poruka; razmena IP mreža je isključena.
• Lokacija: Država IP adrese određuje se iz lokalne datoteke baze podataka; nijedna adresa ne odlazi usluzi geolokacije.

5. Zaštita od zloupotrebe skenera

Skener učitava stranice trećih strana pravim pregledačem. Bez zaštite bio bi alatka kojom bi neko spolja mogao da dosegne našu internu mrežu ili druga nejavna odredišta (falsifikovanje zahteva na strani servera). Zato postoje dva nezavisna sloja i izolacija svakog pojedinačnog izvršavanja.

5.1 Izolovano izvršavanje

• Svaka provera radi u sopstvenom kontejneru, koji se nakon toga uklanja. Radi bez administratorskih prava, bez dodatnih ovlašćenja operativnog sistema i bez mogućnosti povećanja privilegija. Njegov sistem datoteka je samo za čitanje, osim malih prolaznih oblasti.
• Memorija, broj procesa i vreme izvršavanja su ograničeni; izvršavanje koje premaši vreme se prekida.

5.2 Mreža: dva sloja

• Prvi sloj, u skeneru: Pre skeniranja i zatim za svaki pojedinačni zahtev pregledača, uključujući preusmeravanja i ugrađeni sadržaj, proverava se na koju adresu se ime razrešava. Privatne, lokalne, rezervisane i dokumentacione mreže (IPv4 i IPv6) odbijaju se, kao i portovi različiti od uobičajenih za veb. Pregledač ne dozvoljava service worker-e, a WebSocket veze se zatvaraju jer bi oboje moglo da zaobiđe ovu proveru.
• Drugi sloj, u mreži: Kontejneri rade u sopstvenoj mreži. Pravila zaštitnog zida odatle dozvoljavaju veze ka internetu samo na veb-portovima; veze ka privatnim mrežama, uključujući našu internu mrežu sa veb-serverom i bazom podataka, blokirane su. Izuzeci potrebni samoj proveri ograničeni su na neophodno i opisani u našoj internoj dokumentaciji. Ovaj sloj deluje i ako se ime drugačije razreši tek nakon prve provere.

5.3 Zahtevi koje šalje veb-server

Kada sam veb-server zahteva adrese trećih strana — za dokaz o pravu upravljanja domenom, alat za zaglavlja, pretragu izloženih datoteka, zahteve provere dostupnosti, RDAP upite i proveru sertifikata, webhook-ove i upozorenja u razgovorima i opcionu drugu kontrolnu tačku — važe ista pravila: samo veb-protokoli, na uobičajenim veb-portovima (webhook-ovi i upozorenja u razgovorima samo preko HTTPS-a na standardnom portu), samo javne adrese, veza samo sa tačno onom adresom koja je prethodno proverena, tako da ime ne može naknadno da se preusmeri na interno odredište, preusmeravanja se ili uopšte ne prate ili prate samo ručno i svaki put ponovo proveravaju, kratka vremenska ograničenja; za dokaz o pravu upravljanja domenom, zahteve provere dostupnosti i drugu kontrolnu tačku u proverama u pregledaču i ograničena veličina odgovora.

5.4 Šta skener ne radi na sajtovima trećih lica

• Aktivna test slanja (najviše pet po proveri) za Klijente postoje samo za domene za koje je dostavljen dokaz o pravu upravljanja (DNS, meta oznaka, datoteka ili proširenje); jedini izuzetak su interne provere naših sopstvenih test i demonstracionih domena. Ime hosta domena sa dokazom o pravu upravljanja ne može da se promeni, tako da dokaz ne prelazi na drugi host. Sve ostalo je pasivno: čitanje stranica kao posetilac.
• Provere u pregledaču idu do tačke pre slanja i ne pokreću nikakvu porudžbinu, plaćanje ili slanje.
• Domeni na listi izuzimanja se ne proveravaju; tekući nadzor završava se pri sledećoj planiranoj proveri.

6. Integritet: prenos i unos

6.1 Prenos

• Aplikaciji sa interneta može da se pristupi samo preko HTTPS-a; pregledač dobija uputstvo da koristi samo HTTPS tokom jedne godine (HSTS). Sertifikati se automatski obnavljaju.
• Dodatna zaglavlja ograničavaju ugrađivanje aplikacije u stranice trećih strana, nagađanje tipova datoteka i slanje obrazaca na odredišta trećih strana. Politika bezbednosti sadržaja dopušta u aplikaciji izvršavanje samo skripti koje server odobri uz konkretni odgovor; savremeni pregledači ne izvršavaju ubačene skripte ili obrađivače događaja u HTML-u.
• Sanduče provere isporuke e-pošte preuzima se šifrovanom vezom sa proverom sertifikata.
• Webhook-ovi mogu da se potpišu tajnom Klijenta (HMAC-SHA256 sa vremenskom oznakom), tako da primalac može da verifikuje poreklo i integritet. Zahtevi opcionoj drugoj kontrolnoj tački su potpisani, a za provere u pregledaču i njihovi odgovori.
• Otvoreno navedeno: Veze unutar naše interne mreže nisu u celosti šifrovane. Pristupni podaci za skeniranje nakon prijavljivanja ostaju šifrovani celim putem (odeljak 4.1).

6.2 Kontrola unosa i dnevnici

• Važne radnje na nalozima i u radnim prostorima (poput prijavljivanja, promena domena, odredišta upozorenja i prava, brisanja, pristupa podrške) beleže se u dnevniku aktivnosti sa nalogom, vremenom, IP adresom i državom i brišu nakon 365 dana.
• Zapisi pristupa stranicama koji se čuvaju radi bezbednosti i sprečavanja zloupotrebe brišu se nakon 60 dana, dnevnici grešaka nakon 90 dana, sadržaj poslatih e-poruka nakon 30 dana. Pristupni tokeni u traženim adresama i referrer-ima, poput onih iz linkova izveštaja ili portala, pojavljuju se u zapisima pristupa stranicama samo maskirani.
• Prihvatanje ugovornih dokumenata čuva se sa prikazanom verzijom, njenom kontrolnom sumom, vremenom, IP adresom i identifikacionim stringom pregledača.
• Evidencije dokaza mogu da dobiju vremenski žig spoljnog izdavaoca vremenskih žigova; njemu odlazi samo kontrolna suma sadržaja, ne sam sadržaj.

7. Dostupnost i otpornost

7.1 Rezervna kopija

• Rezervna kopija baze podataka pravi se svake noći. Dobija konačno ime tek nakon provere sadržaja: uspešnog završetka programa za rezervne kopije, najmanje jednog zapisa, onoliko tabela koliko ih baza ima i završnog reda potpunog izvršavanja. Starije rezervne kopije uklanjaju se samo nakon uspešne nove.
• Svaka rezervna kopija briše se nakon 14 dana. Lokacija čuvanja je izvan svakog direktorijuma koji se poslužuje; lokacija unutar projekta se odbija.
• Test obnove: Jednom nedeljno najnovija rezervna kopija učitava se u privremenu bazu podataka, poredi tabela po tabela sa produkcijom i ponovo briše. Rezultat se čuva.
• Ako rezervna kopija ili test ne uspe, šalje se obaveštenje e-poštom i na telefon operatora.
• Oporavak nakon incidenta: Ako baza podataka otkaže ili podaci budu oštećeni, obnavljamo najnoviju testiranu rezervnu kopiju. Izmene nastale od te kopije, po pravilu najviše one od jednog dana, mogu pri tome da se izgube; ako je rezervna kopija bila neuspešna, srazmerno više. Zatim ponovo izvršavamo poznate kasnije zahteve za brisanje (odeljak 8). Ne obavezujemo se na određeno vreme oporavka.
• Ograničenje, otvoreno navedeno: Rezervne kopije trenutno se čuvaju na istoj lokaciji kao baza podataka i nisu zasebno šifrovane. Štite od grešaka u radu, pogrešnih izmena i oštećenih podataka, ne od gubitka samog servera. Planirana je šifrovana kopija na drugoj lokaciji (odeljak 10).
• Pristupni podaci za skeniranje nakon prijavljivanja sadržani su u rezervnim kopijama samo kao šifrovani tekst; tajna drugog faktora samo u šifrovanom obliku, sa ključem izvan baze podataka.

7.2 Nadzor

• Statusni postupak proverava komponente usluge svakih pet minuta, uključujući bazu podataka, red čekanja i signal aktivnosti skenera, koji skener redovno upisuje i kada nema posla. Ako komponenta otkaže, šalje se obaveštenje; ako se oporavi, obaveštenje da je problem otklonjen.
• Uzajamni nadzor: Statusni postupak ne može da prijavi otkaz mašine na kojoj radi. Server za skeniranje zato svakog minuta proverava da li aplikacija odgovara i, nakon više uzastopnih neuspeha, šalje unapred utvrđen tekst na telefon operatora. Obrnuto, veb-server prati signal aktivnosti skenera; kontrolna lista podešavanja pokazuje da li uzajamni nadzor radi.
• Upozorenje o grešci: Vrsta greške koja se nikada ranije nije pojavila prijavljuje se jednom odmah; nagomilavanje grešaka pokreće samo jedan signal na telefon operatora; jednom dnevno šalje se pregled. To znači da za grešku ne saznajemo prvo od Klijenta.
• Ograničenje, otvoreno navedeno: Oba servera su na istoj lokaciji. Otkaz cele lokacije, na primer napajanja ili internet veze, ne prijavljuje nijedan mehanizam upozoravanja, već ga primećuje čovek.

7.3 Izmene i objavljivanje

• Nove verzije prvo se izrađuju i testiraju u zasebnom razvojnom okruženju. Objavljivanje proverava sve preduslove pre upisa prve datoteke, izvršava izmene šeme baze podataka i dopušta tekućim proverama da se uredno završe pre ponovnog pokretanja skenera.
• Za putanju novog Klijenta postoji osnovni test preko stvarnog HTTP-a, koji se izvršava nakon promena. Ne tvrdimo da se automatizovani skup testova sprovodi pre svakog pojedinačnog objavljivanja.

8. Brisanje i rokovi čuvanja

• Noćni postupak brisanja sprovodi rokove navedene u Politici privatnosti i Ugovoru o obradi podataka. Čita ista podešavanja iz kojih se uzimaju brojke u tekstovima; zato za ove rokove tekst i ponašanje ne odstupaju.
• Rezultati provera uključujući snimke ekrana brišu se nakon 13 meseci (najnoviji po domenu ostaje), brojke proširenja nakon 13 meseci, dnevnici isporuke upozorenja nakon 90 dana, zahtevi podršci nakon 24 meseci.
• Uklanjanje domena briše podatke domena, uključujući provere, obrasce, nalaze, snimke ekrana, izveštaje, poslove, odredišta upozorenja i dnevnike, incidente, podatke isporuke, pristupne podatke za skeniranje nakon prijavljivanja i dokaze.
• Brisanje naloga izvršava se odmah; radni prostori bez dodatnih članova brišu se sa podacima, a radni prostori sa dodatnim članovima prelaze na drugog člana, prvo administratore, a među njima onog sa najdužim članstvom. Do isteka sopstvenih rokova ostaju: dnevnici čiji unosi zadržavaju stari broj naloga, koji se više ne odnosi na postojeći nalog, uključujući unos brisanja, kao i poslate e-poruke, dokaz zaključenja ugovora, zahtevi podršci, izveštaji provera potencijalnih klijenata (do 90 dana) i podaci za obračun kod Stripe-a; detalji su u Politici privatnosti.
• Izbrisani podaci ostaju u rezervnim kopijama do isteka nakon 14 dana. Ciljano brisanje unutar rezervne kopije se ne sprovodi; ako se rezervna kopija obnovi, poznati kasniji zahtevi za brisanje ponovo se izvršavaju ručno.

9. Organizacija i pregled

• Ljudi: Uslugom trenutno upravlja sam vlasnik. Dodatne osobe dobijaju pristup tek nakon obavezivanja na poverljivost i samo u neophodnoj meri i obrađuju podatke samo prema našim uputstvima (čl. 29 i čl. 32(4) GDPR-a).
• Podobrađivači: Angažujemo ih samo nakon provere njihovih garancija i na osnovu ugovora prema čl. 28(4) GDPR-a i navodimo ih na stranici Podobrađivači; detalji su uređeni Ugovorom o obradi podataka.
• Povrede podataka o ličnosti: Ako povreda podataka o ličnosti utiče na podatke koje obrađujemo kao obrađivač, obaveštavamo Klijenta bez nepotrebnog odlaganja, ako je moguće u roku od 48 sati; detalji su uređeni Ugovorom o obradi podataka.
• Prijavljivanje ranjivosti: Prijave primamo na stranici Bezbednost i preko datoteke /.well-known/security.txt.
• Kontrolna lista podešavanja i pokretanja: U administraciji kontrolna lista meri stanje bezbednosno relevantnih podešavanja, poput rezervnih kopija, administratora bez drugog faktora, podešavanja e-pošte i signala aktivnosti, i prikazuje odstupanja.
• Pregled ovih mera (čl. 32(1)(d) GDPR-a): pri svakoj značajnoj izmeni usluge, nakon svakog bezbednosnog incidenta i inače najmanje jednom godišnje. Pri tome procenjujemo da li su mere delotvorne i još odgovaraju rizicima i beležimo rezultat u novoj verziji ove stranice ili, ako se ništa ne menja, datumom pregleda u odeljku 11. Kontrolna lista podešavanja i pokretanja kontinuirano meri stanje podešavanja koja obuhvata.
• Spoljne revizije: Trenutno se ne naručuju spoljni penetracioni testovi i ne postoje bezbednosne sertifikacije. To je ovde navedeno da ih niko ne bi pretpostavio.

10. Planirano, još nije sprovedeno

Ove tačke nisu mere na koje se obavezujemo dok u novoj verziji ovde ne budu navedene kao sprovedene:

• Rezervna kopija na drugoj lokaciji: šifrovana kopija noćne rezervne kopije izvan servera, kako ni potpuni gubitak servera ne bi doveo do gubitka podataka.
• Druga kontrolna tačka: Nezavisna potvrda provera u pregledaču sa druge lokacije pripremljena je u usluzi, ali nije podešena. Bez nje nema potvrde sa druge lokacije.
• Jačanje administracije servera: Ovo se nastavlja. Iz razloga navedenih u odeljku 1 ne objavljujemo detalje.

11. Stanje i verzija

• Verzija 1.1 · Poslednje ažuriranje: 22. oktobar 2026. · u slučaju neslaganja između jezičkih verzija merodavna je poljska verzija umesto nemačke; nema druge izmene.
• Verzija 1.0 · Poslednje ažuriranje: 11. oktobar 2026. · prva verzija kao zasebna stranica; ranije Prilog 2 Ugovoru o obradi podataka. Ispravljeno u odnosu na prethodni prilog: test obnove sprovodi se nedeljno, rezervne kopije su na istom serveru, automatizovani skup testova ne sprovodi se pre svakog objavljivanja, veze u internoj mreži nisu u celosti šifrovane. Novo opisano: šifrovanje pristupnih podataka za skeniranje nakon prijavljivanja, izolacija skenera, uzajamni nadzor i upozorenje o grešci.
• Izmene se objavljuju sa novim brojem verzije ovde i u pregledu Izmene ugovorne dokumentacije; za svako slabljenje mera važi rok najave iz Ugovora o obradi podataka.
• U slučaju neslaganja između jezičkih verzija, merodavna je poljska verzija.