การประเมินผลกระทบด้านการคุ้มครองข้อมูล (มาตรา 35 GDPR)

เอกสารนี้เผยแพร่หลายภาษา หากฉบับภาษาต่าง ๆ มีความแตกต่างกัน ให้ถือฉบับภาษาโปแลนด์เป็นหลักที่มีผลผูกพัน

เวอร์ชัน 1.1 · ปรับปรุงล่าสุด: 23 ตุลาคม 2026

1. เรื่องที่กล่าวถึงและลักษณะของหน้านี้

หน้านี้คือการประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA) ของ formexposed ตามมาตรา 35 GDPR โดยเริ่มจากการตอบคำถามเบื้องต้นว่าจำเป็นต้องมี DPIA หรือไม่ ด้วยการพิจารณาการประมวลผลแต่ละรายการแยกกัน ไม่ใช่พิจารณาบริการทั้งหมดรวมกัน หากคำตอบคือจำเป็น หน้านี้จะดำเนินการประเมินตามมาตรา 35(7)(a) ถึง (d): คำอธิบายอย่างเป็นระบบ ความจำเป็นและความได้สัดส่วน ความเสี่ยงต่อเจ้าของข้อมูลและมาตรการจัดการ จากนั้นเป็นความเสี่ยงคงเหลือ ประเด็นการปรึกษาล่วงหน้าตามมาตรา 36 และกฎการทบทวน

มาตรา 35 ไม่กำหนดให้เผยแพร่ DPIA เราเผยแพร่ด้วยสองเหตุผล ประการแรก ลูกค้าที่ใช้การตรวจสอบการส่งถึงหรือสแกนหลังเข้าสู่ระบบต้องการข้อเท็จจริงที่มีเพียงเราทราบเพื่อประเมินเอง เรามีหน้าที่ให้ข้อเท็จจริงเหล่านี้ในฐานะผู้ประมวลผลข้อมูลอยู่แล้ว (มาตรา 28(3)(f) GDPR) ประการที่สอง ตัวรวบรวมข้อมูลของเราตรวจสอบเว็บไซต์ที่ผู้ดำเนินการไม่รู้จักเรา บุคคลเหล่านั้นควรอ่านได้ว่าเราเห็นความเสี่ยงใดต่อพวกเขาและบุคคลบนหน้าเว็บ และเราทำอะไรเพื่อจัดการ

ลักษณะทางกฎหมาย DPIA นี้เป็นเอกสารของผู้ควบคุมข้อมูลตามมาตรา 35 GDPR ซึ่งเราเผยแพร่โดยสมัครใจ เอกสารนี้ไม่เป็นส่วนหนึ่งของสัญญาใดและไม่ถือเป็นคำรับรอง การรับประกัน หรือข้อตกลงด้านคุณภาพต่อลูกค้าหรือบุคคลภายนอก บริการและมาตรการคุ้มครองที่เรามีหน้าที่ให้ลูกค้าอยู่ภายใต้ข้อกำหนดการใช้บริการ ข้อตกลงการประมวลผลข้อมูลและภาคผนวก สำหรับหน้าที่เหล่านี้ เอกสารดังกล่าวมีผลเหนือหน้านี้ หน้านี้อธิบายสถานะ ณ วันที่เวอร์ชันนี้ การจัดระดับความเสี่ยงและการประเมินเป็นมุมมองของเราเอง ไม่เป็นการวินิจฉัยล่วงหน้าแทนการประเมินทางกฎหมายของหน่วยงานกำกับดูแลหรือศาล มาตรการที่ระบุว่า “วางแผนไว้” เป็นความตั้งใจโดยไม่มีวันที่ผูกพันจะดำเนินการให้เสร็จ สำหรับลูกค้า หน้านี้เป็นฐานสำหรับการประเมินของตนเอง ไม่ใช่คำปรึกษากฎหมาย

นี่คือการประเมินเกณฑ์ฉบับแรก โดยพิจารณาการประมวลผลแต่ละรายการว่าจำเป็นต้องมี DPIA หรือไม่ และบันทึกผลในหัวข้อ 3.5

ข้อความข้อเท็จจริงทุกข้ออยู่ภายใต้หลักเดียวกับเอกสารกฎหมายอื่นของเรา: ตรวจวัดแล้ว ไม่ใช่เพียงตั้งใจ เราระบุสิ่งที่มีหลักฐานในโค้ดหรือฐานข้อมูลไว้ที่นี่พร้อมแหล่งอ้างอิง ส่วนสิ่งที่ไม่สามารถยืนยันด้วยหลักฐานได้จะระบุว่า “ยังไม่ยืนยัน” สิ่งที่อยู่เพียงในแผนจะเรียกว่า “วางแผนไว้” เราระบุประเด็นที่ยังไม่ยุติอย่างเปิดเผยพร้อมมาตรการที่วางแผนไว้ การประเมิน DPIA ที่แสดงเพียงจุดแข็งไม่ช่วยบุคคลที่เกี่ยวข้อง

คำศัพท์: ผู้ดำเนินการคือผู้ที่ดำเนินเว็บไซต์ที่ตรวจสอบ ลูกค้ามีบัญชีที่ formexposed ผู้เยี่ยมชมคือผู้ใช้เว็บไซต์ลูกค้า เช่น แบบฟอร์มติดต่อ แหล่งอ้างอิงหมายถึงไฟล์ ฟังก์ชัน หรือการตั้งค่าในซอร์สโค้ด ซึ่งตรวจวัดเทียบกับสถานะระบบพัฒนาเมื่อ 11 ตุลาคม 2026

เราจงใจกำหนดขอบเขตความเปิดเผยหนึ่งอย่าง: เราอธิบายประเด็นที่ยังไม่ยุติในการรักษาความปลอดภัยเซิร์ฟเวอร์ของเราเองเฉพาะในภาพรวมเท่านั้น (R13) เราระบุความเสี่ยงและระดับ แต่ไม่ระบุเส้นทางสู่ช่องโหว่เฉพาะ เราจะให้รายละเอียดแก่หน่วยงานกำกับดูแลเมื่อได้รับการร้องขอ

2. บทบาท: ใครมีหน้าที่และสำหรับอะไร

มาตรา 35 กำหนดหน้าที่แก่ผู้ควบคุมข้อมูล formexposed เป็นผู้ควบคุมข้อมูลสำหรับการประมวลผลบางรายการ เป็นผู้ประมวลผลข้อมูลให้ลูกค้าสำหรับรายการอื่น และไม่เป็นทั้งสองบทบาทสำหรับข้อมูลที่ปลั๊กอิน WordPress และส่วนขยาย TYPO3 เก็บบนเว็บไซต์ลูกค้า คำตอบของเกือบทุกคำถามในเอกสารนี้ขึ้นอยู่กับว่าคำถามนั้นเกี่ยวข้องกับบทบาทใด การแบ่งบทบาทเป็นไปตามนโยบายความเป็นส่วนตัวและข้อตกลงการประมวลผลข้อมูล

การประมวลผล	บทบาทของ formexposed	ผู้มีหน้าที่ตามมาตรา 35
ตรวจเว็บไซต์บุคคลภายนอกโดยไม่มีคำสั่งจากผู้ดำเนินการ: การตรวจสอบฟรี การตรวจสอบสำหรับผู้สนใจใช้บริการของเอเจนซี การศึกษา	ผู้ควบคุมข้อมูล	formexposed
ตรวจโดเมนในบัญชีลูกค้า: การเฝ้าติดตาม การส่งทดสอบเชิงรุก ขั้นตอนการใช้งานผ่านเบราว์เซอร์ ไฟล์ที่เปิดเผย การตรวจชีพจรแบบฟอร์ม	ผู้ควบคุมข้อมูลสำหรับบัญชีและข้อมูลตรวจสอบของลูกค้า ผู้ประมวลผลข้อมูลสำหรับข้อมูลส่วนบุคคลของบุคคลภายนอกที่มองเห็นบนเว็บไซต์ลูกค้าที่ยืนยันแล้ว ตราบใดที่ยังไม่ได้ยืนยันโดเมน เราเป็นผู้ควบคุมข้อมูลเช่นเดียวกับการตรวจสอบฟรี	formexposed สำหรับส่วนของตน ลูกค้าสำหรับข้อมูลบุคคลภายนอกบนเว็บไซต์ตน
สแกนหลังเข้าสู่ระบบด้วยบัญชีทดสอบ	ผู้ประมวลผลข้อมูล: ข้อมูลรับรองและเนื้อหาหลังเข้าสู่ระบบเป็นของเว็บไซต์ลูกค้า	ลูกค้าเป็นผู้มีหน้าที่ โดย formexposed ให้ความช่วยเหลือ
การตรวจสอบการส่งถึงพร้อมสำเนาควบคุม	ผู้ประมวลผลข้อมูล	ลูกค้าเป็นผู้มีหน้าที่ โดย formexposed ให้ความช่วยเหลือ
การป้องกันร่วม: รายชื่อโดเมนลิงก์ร่วมจากสแปมที่ถูกบล็อก	ผู้ควบคุมข้อมูล: เรารวมรายงานหลายเว็บไซต์ จัดทำรายการและแจกจ่าย	formexposed
บัญชีลูกค้า การเข้าสู่ระบบ บันทึก ความช่วยเหลือ การส่งอีเมล การชำระเงิน บันทึกหลักฐาน	ผู้ควบคุมข้อมูล	formexposed
พอร์ทัลลูกค้าและรายงานรายเดือนให้สมาชิกของเอเจนซี	ผู้ประมวลผลข้อมูล	เอเจนซี
ข้อมูลที่ปลั๊กอินและส่วนขยายเก็บบนเว็บไซต์ลูกค้า (การกักกัน ระบบสำรองป้องกันข้อความสูญหาย ข้อความสอบถามที่เก็บ)	ไม่เป็นทั้งสอง: ข้อมูลไม่เคยออกจากเว็บไซต์	ผู้ดำเนินการเว็บไซต์

สิ่งนี้ทำให้ต้องแยกบทบาทดังต่อไปนี้ ซึ่งเราระบุไว้อย่างชัดแจ้ง เพราะมักเข้าใจผิดทั้งสองทาง เมื่อ formexposed เป็นผู้ควบคุมข้อมูล เราประเมินเองและรับผิดชอบผล เมื่อเราเป็นผู้ประมวลผลข้อมูล เราไม่อาจประเมินแทนลูกค้า ตัดสินความจำเป็นแทน หรือปรึกษาหน่วยงานกำกับดูแลตามมาตรา 36 ในนามลูกค้า สิ่งที่เราทำได้และต้องทำคือให้ทุกสิ่งที่ลูกค้าต้องการ: คำอธิบายตามข้อ (a) ข้อเท็จจริงที่ตรวจวัดเกี่ยวกับความเสี่ยงตามข้อ (c) และรายการสถานะมาตรการที่ตรงไปตรงมาตามข้อ (d) สำหรับการตรวจสอบการส่งถึงและสแกนหลังเข้าสู่ระบบ หน้านี้ทำหน้าที่นั้นโดยตรง

ลูกค้าที่นำหัวข้อการตรวจสอบการส่งถึงไปเป็น DPIA ของตนโดยไม่เปลี่ยนแปลง ยังไม่ได้ดำเนินการประเมิน ประเด็นว่าสำเนาควบคุมเหมาะสมกับแบบฟอร์มของตนหรือไม่ คาดว่าจะมีข้อมูลส่วนบุคคลประเภทพิเศษหรือไม่ และจะแจ้งผู้เยี่ยมชมอย่างไร มีเพียงลูกค้าที่ตัดสินได้ หัวข้อ 11 สรุปสิ่งที่ต้องชี้แจงเพื่อวัตถุประสงค์นี้

3. การประเมินเกณฑ์: จำเป็นต้องมี DPIA หรือไม่?

3.1 มาตรา 35(1) และมาตรา 35(3)

มาตรา 35(1) กำหนดให้มี DPIA เมื่อการประมวลผลประเภทหนึ่ง โดยเฉพาะที่ใช้เทคโนโลยีใหม่ เมื่อพิจารณาลักษณะ ขอบเขต บริบท และวัตถุประสงค์แล้ว มีแนวโน้มเกิดความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคลธรรมดา มาตรา 35(3) ระบุสามกรณีที่เป็นเช่นนั้นโดยเฉพาะ ทั้งสามไม่ตรงกับ formexposed และควรให้เหตุผล ไม่ใช่เพียงกล่าวอ้าง:

ข้อ (a) — การประเมินแง่มุมส่วนบุคคลเกี่ยวกับบุคคลธรรมดาอย่างเป็นระบบและกว้างขวางบนฐานการประมวลผลอัตโนมัติ และใช้เป็นฐานการตัดสินใจที่มีผลทางกฎหมายหรือกระทบอย่างมีนัยสำคัญในลักษณะคล้ายกัน เราประเมินแบบฟอร์มและเว็บไซต์ ไม่ใช่แง่มุมส่วนบุคคล บริการไม่ตัดสินใจที่มีผลทางกฎหมายต่อบุคคลใด สิ่งที่ใกล้ที่สุดคือการป้องกันร่วม: ข้อความที่มีลิงก์ไปโดเมนในรายการจะเข้าไปในการกักกันบนเว็บไซต์ที่เชื่อมต่อ นี่เป็นผลอัตโนมัติต่อข้อความ ไม่ใช่การประเมินบุคคลอย่างกว้างขวาง เราพิจารณาภายใต้เกณฑ์ “การประเมินหรือให้คะแนน” ในหัวข้อ 3.3
ข้อ (b) — การประมวลผลข้อมูลประเภทพิเศษตามมาตรา 9 หรือข้อมูลเกี่ยวกับความผิดอาญาตามมาตรา 10 ในวงกว้าง เราไม่ได้ตั้งใจให้มีการประมวลผลเช่นนี้และไม่ได้สร้างระบบให้ทำเช่นนั้น อย่างไรก็ตาม ข้อมูลเช่นนี้อาจมาถึงเราทางหนึ่งคือสำเนาควบคุมข้อความผู้เยี่ยมชมจริงในการตรวจสอบการส่งถึง การได้รับข้อมูลดังกล่าวขึ้นอยู่กับแต่ละกรณีและไม่ใช่การประมวลผลในวงกว้างตามบทบัญญัตินี้ อย่างไรก็ตาม เรานำเรื่องนี้มาพิจารณาในการประเมินความเสี่ยง (R1)
ข้อ (c) — การเฝ้าติดตามพื้นที่ที่สาธารณชนเข้าถึงได้อย่างเป็นระบบในวงกว้าง บทบัญญัตินี้หมายถึงการสังเกตสถานที่ทางกายภาพ ไม่ใช่ดึงหน้าเว็บสาธารณะ การอ้างบทบัญญัตินี้เป็นฐานสำหรับตัวรวบรวมข้อมูลเว็บไซต์จึงไม่ถูกต้อง

แนวทางที่ถูกต้องจึงเป็นมาตรา 35(1) เอง โดยใช้เกณฑ์เก้าข้อจากแนวทางการประเมินผลกระทบด้านการคุ้มครองข้อมูลของคณะทำงานมาตรา 29 (WP248 rev.01 ซึ่งคณะกรรมการคุ้มครองข้อมูลยุโรปรับรอง) และรายการของหน่วยงานกำกับดูแลโปแลนด์ตามมาตรา 35(4) (หัวข้อ 3.4)

3.2 เกณฑ์เก้าข้อของแนวทาง WP248

แนวทางระบุลักษณะเก้าข้อที่บ่งชี้ความเสี่ยงสูงที่น่าจะเกิด โดยหลักทั่วไป การประมวลผลที่เข้าเกณฑ์สองข้อมักต้องมี DPIA ผู้ควบคุมข้อมูลอาจได้ข้อสรุปต่างในแต่ละกรณี แต่ต้องให้เหตุผลและบันทึกไว้ ในทางกลับกัน เกณฑ์เดียวก็อาจเพียงพอ หน้านี้ใช้ชื่อย่อต่อไปนี้:

C1 — การประเมินหรือให้คะแนน รวมการจัดทำโปรไฟล์และการคาดการณ์ เช่น ผลการปฏิบัติงาน สถานะเศรษฐกิจ ความน่าเชื่อถือ หรือพฤติกรรม
C2 — การตัดสินใจอัตโนมัติที่มีผลทางกฎหมายหรือมีนัยสำคัญในลักษณะคล้ายกัน
C3 — การเฝ้าติดตามอย่างเป็นระบบ คือการประมวลผลเพื่อสังเกต เฝ้าติดตาม หรือควบคุมเจ้าของข้อมูล รวมถึงผ่านเครือข่าย แนวทางให้เหตุผลเกณฑ์นี้โดยชัดแจ้งว่าเจ้าของข้อมูลมักไม่รู้ว่าใครกำลังเก็บข้อมูลและเพื่อวัตถุประสงค์ใด
C4 — ข้อมูลอ่อนไหวหรือข้อมูลที่มีลักษณะส่วนบุคคลอย่างสูง: ประเภทพิเศษตามมาตรา 9 และ 10 รวมถึงข้อมูลที่การเปิดเผยกระทบชีวิตประจำวันอย่างมีนัยสำคัญ รวมการสื่อสารอิเล็กทรอนิกส์ที่ควรรักษาความลับ
C5 — ข้อมูลที่ประมวลผลในวงกว้าง วัดจากจำนวนเจ้าของข้อมูล ปริมาณและความหลากหลายข้อมูล ระยะเวลา และขอบเขตทางภูมิศาสตร์
C6 — การจับคู่หรือรวมชุดข้อมูล ที่มาจากการประมวลผลต่างรายการหรือผู้ควบคุมข้อมูลต่างราย ในลักษณะที่เจ้าของข้อมูลไม่คาดหมาย
C7 — ข้อมูลเกี่ยวกับเจ้าของข้อมูลที่เปราะบาง เช่น พนักงาน เด็ก ผู้ป่วย หรือบุคคลอื่นในความสัมพันธ์ที่อำนาจไม่สมดุล
C8 — การใช้อย่างมีนวัตกรรมหรือใช้แนวทางเทคโนโลยีหรือองค์กรใหม่ ในแนวปฏิบัติการกำกับดูแล การใช้ปัญญาประดิษฐ์มักถือว่าอยู่ภายใต้เกณฑ์นี้
C9 — การประมวลผลที่ขัดขวางเจ้าของข้อมูลจากการใช้สิทธิหรือใช้บริการหรือสัญญา

เราให้ผลการประเมินแต่ละเกณฑ์ว่า “เข้าเกณฑ์” “คาบเส้น” หรือ “ไม่เข้าเกณฑ์” พร้อมเหตุผลจากโค้ด เราไม่นับกรณีคาบเส้นเป็นเกณฑ์ที่เข้าเกณฑ์ในยอดรวม แต่จะระบุกรณีนั้นไว้ในผลการประเมิน หากหลายกรณีคาบเส้นชี้ไปทิศเดียวกัน เรารวมการประมวลผลนั้นในการประเมิน

3.3 การประเมินแยกตามการประมวลผล

P1 — การตรวจสอบฟรีโดยไม่มีบัญชี (ตรวจเว็บไซต์บุคคลภายนอกใดก็ได้ตามคำขอ)

ทุกคนกรอกโดเมนในหน้าแรกได้ จากนั้นตัวรวบรวมข้อมูลดึงหน้าสาธารณะของเว็บไซต์นั้นสูงสุดแปดหน้า อ่านแบบฟอร์ม ถ่ายภาพหน้าจอ และสร้างรายงานที่ใครก็ตามที่รู้ลิงก์สุ่มดูได้ ผู้ดำเนินการเว็บไซต์ไม่ทราบเรื่องนี้ เว้นแต่สังเกตตัวระบุตัวรวบรวมข้อมูลในบันทึกของตน

C1 — คาบเส้น รายงานประเมินการป้องกันแบบฟอร์มด้วยระดับ (“ไม่มีการป้องกัน” “มีการป้องกันบางส่วน” “มีการป้องกัน”) และคะแนน สำหรับบริษัทจำกัด สิ่งนี้ไม่เกี่ยวกับบุคคลธรรมดา สำหรับผู้ประกอบการรายบุคคลและผู้ประกอบอาชีพอิสระ โดเมนอาจเชื่อมโยงกับบุคคล และระดับจึงบ่งบอกความใส่ใจในกิจกรรมวิชาชีพของเขา อย่างไรก็ตาม สิ่งที่ประเมินคือการตั้งค่าทางเทคนิค ไม่ใช่พฤติกรรมหรือคุณลักษณะบุคคล เราถือว่าเป็นกรณีคาบเส้น
C2 — ไม่เข้าเกณฑ์ ไม่มีการตัดสินใจเกี่ยวกับผู้ดำเนินการ สำหรับผู้ที่ขอตรวจสอบ ระบบใช้ขีดจำกัดต่อที่อยู่ IP และต่อเซสชัน (cfg/check_lib.php) การปฏิเสธตรวจสอบไม่มีผลอย่างมีนัยสำคัญ
C3 — ไม่เข้าเกณฑ์ เป็นการดึงครั้งเดียวตามคำขอ สูงสุดหนึ่งครั้งต่อโดเมนและสัปดาห์ (cfg/check_lib.php การตั้งค่า fc_domain_days = 7) การตรวจสอบนี้ไม่ได้สังเกตบุคคล อย่างไรก็ตาม มีพฤติการณ์ที่แนวทางใช้ให้เหตุผล C3 คือเจ้าของข้อมูลไม่ทราบการประมวลผล เรานำเรื่องนี้มาพิจารณาในการประเมินความเสี่ยง (R5)
C4 — ไม่เข้าเกณฑ์ สิ่งที่เก็บคือโครงสร้างแบบฟอร์มและผลการตรวจสอบ ไม่ใช่ค่าที่กรอก (scanner/src/crawl.js เก็บเฉพาะความยาวค่าสำหรับฟิลด์ที่มองเห็น) ตัวสแกนอ่านส่วนต้นของฟิลด์ซ่อนที่กรอกไว้ล่วงหน้า (สูงสุด 24 อักขระ) และแอตทริบิวต์ข้อมูล (สูงสุด 60 อักขระ) ระหว่างตรวจสอบเท่านั้น เพื่อตรวจจับโทเค็นและการประทับเวลา ระบบจะไม่จัดเก็บค่าเหล่านั้น ภาพหน้าจออาจมีบุคคลและชื่อโดยบังเอิญ เว็บไซต์คลินิกแสดงสาขาเฉพาะทางในภาพ นี่คือรายละเอียดวิชาชีพสาธารณะ ไม่ใช่ข้อมูลสุขภาพบุคคลใดโดยเฉพาะ
C5 — คาบเส้น ขีดจำกัดรายวันคือรับการตรวจสอบ 200 ครั้ง (fc_daily_cap) ตามการคำนวณจึงสูงสุดประมาณ 73,000 เว็บไซต์ต่อปี แต่ละเว็บไซต์มีข้อมูลส่วนบุคคลเพียงไม่กี่รายการและระยะเวลาสั้น (30 วัน) จากการตรวจวัดระบบพัฒนา มีการตรวจสอบไม่ระบุตัวตน 2 รายการในชุดข้อมูล ปัจจุบันไม่เข้าเกณฑ์ แต่คาบเส้นเมื่อพิจารณาความสามารถที่ออกแบบไว้
C6 — ไม่เข้าเกณฑ์ นอกจากดึงหน้าเว็บ บริการสอบถามอายุโดเมนผ่านบริการ RDAP rdap.org (ส่งเฉพาะชื่อโดเมน เก็บเฉพาะวันที่จดทะเบียนในแคช) และแปลงชื่อ DNS นี่คือรายละเอียดทางเทคนิคเกี่ยวกับโดเมน ไม่ใช่รวมชุดข้อมูลเกี่ยวกับบุคคล
C7 — ไม่เข้าเกณฑ์
C8 — เข้าเกณฑ์ในระดับอ่อน เบราว์เซอร์อัตโนมัติตรวจหน้าเว็บ และโมเดลภาษาบนเซิร์ฟเวอร์เราเองจัดประเภทแบบฟอร์มที่กฎไม่รู้จำ (scanner/src/classify.js) โมเดลเห็นชื่อหน้า ที่อยู่ ป้ายชื่อฟิลด์ และข้อความแบบฟอร์มสูงสุด 400 อักขระ แต่โมเดลไม่สามารถทำให้แบบฟอร์มมีสถานะ “ส่งได้” ได้เลย
C9 — ไม่เข้าเกณฑ์

ผลเบื้องต้น P1: หนึ่งเกณฑ์ในระดับอ่อน (C8) สองกรณีคาบเส้น (C1, C5) ไม่มีหน้าที่ตามหลักทั่วไป แต่เพราะทั้งสองกรณีคาบเส้นชี้ไปทิศเดียวกันและเจ้าของข้อมูลไม่ทราบการประมวลผล เรารวม P1 ในการประเมิน

P2 — การตรวจสอบสำหรับผู้สนใจใช้บริการของเอเจนซี

เอเจนซีที่ใช้แพ็กเกจ Business และตั้งค่าแบรนด์ของตนเองไว้สามารถขอให้ตรวจสอบเว็บไซต์ของผู้สนใจใช้บริการแบบรับข้อมูลอย่างเดียวได้ เอเจนซีจะได้รับผลการตรวจสอบฉบับย่อภายใต้แบรนด์ของตนและรายงานโดยละเอียด แล้วเป็นผู้ส่งต่อลิงก์ด้วยตนเอง (cfg/akquise_lib.php) เราไม่ติดต่อผู้ใด

C1 — คาบเส้น เข้มกว่าสำหรับ P1 ผลการตรวจสอบสั้นมีเจตนาชัดแจ้งเป็น “ตัวเปิดประตูสู่การสนทนาครั้งแรก” การประเมินเว็บไซต์จึงเป็นฐานสำหรับติดต่อบุคคลเชิงพาณิชย์
C5 — ไม่เข้าเกณฑ์ แต่ละเอเจนซีตรวจสอบได้สูงสุด 30 ครั้งต่อเดือน (prospect_monthly) ระบบจะลบข้อมูลหลังจาก 90 วัน
C8 — เข้าเกณฑ์ในระดับอ่อน (เทคโนโลยีเดียวกับ P1)
เกณฑ์อื่น — ไม่เข้าเกณฑ์ ผลการตรวจสอบแสดงภายใต้แบรนด์เอเจนซี แต่ไม่เชื่อมกับข้อมูลอื่นเกี่ยวกับผู้ดำเนินการ

ผลเบื้องต้น P2: ไม่มีหน้าที่ต้องจัดทำ DPIA ตามหลักทั่วไป เรานำการประมวลผลนี้มารวมในการประเมินด้วยเหตุผลเดียวกับ P1 และเพราะวัตถุประสงค์คือการหาลูกค้ามีความเสี่ยงของตนเอง (R6)

P3 — การศึกษา “ดัชนีความปลอดภัยแบบฟอร์ม”

สำหรับการศึกษา จะตรวจรายชื่อเว็บไซต์แบบรับข้อมูลอย่างเดียว โดยจำกัดให้มีงานเปิดอยู่สูงสุดห้างานต่อรอบกระบวนการตรวจสถานะที่ทำงานทุกห้านาที (cfg/studie_lib.php) เราจะเผยแพร่เฉพาะยอดรวม และจะแสดงกลุ่มย่อยต่อเมื่อมีอย่างน้อย 20 เว็บไซต์ที่มีแบบฟอร์ม (study_min_segment, cfg/studie_lib.php) ระบบจะลบข้อมูลดิบเมื่อเผยแพร่ผลการศึกษา (cfg/studie_lib.php)

C5 — คาบเส้น เข้าเกณฑ์สำหรับรายชื่อขนาดใหญ่ โค้ดไม่จำกัดขนาดรายชื่อ การจำกัดอัตราตามการคำนวณยอมให้ตรวจเกินหนึ่งพันครั้งต่อวัน การศึกษาตลาดระดับประเทศครอบคลุมเว็บไซต์หลายพันแห่ง หลายแห่งดำเนินการโดยผู้ประกอบการรายบุคคล ตั้งแต่ขนาดเช่นนั้น เราถือว่าเข้าเกณฑ์
C8 — เข้าเกณฑ์ในระดับอ่อน
C1 — ไม่เข้าเกณฑ์ แม้ให้ระดับประเมินเว็บไซต์แต่ละแห่ง แต่เผยแพร่เฉพาะยอดรวม ระดับประเมินไม่ได้ใช้กล่าวถึงผู้ดำเนินการรายบุคคล
เกณฑ์อื่น — ไม่เข้าเกณฑ์

ผลเบื้องต้น P3: สำหรับการศึกษาขนาดที่ออกแบบไว้ มีสองเกณฑ์ (C5, C8) การศึกษาจึงถึงเกณฑ์ที่ต้องจัดทำ DPIA และ formexposed ดำเนินการประเมินในฐานะผู้ควบคุมข้อมูล จากการตรวจวัดระบบพัฒนา ยังไม่มีการสร้างการศึกษา

P4 — การตรวจโดเมนในบัญชีลูกค้า

ลูกค้าให้ตรวจโดเมนในบัญชีเป็นประจำ เมื่อพิสูจน์ว่าตนมีสิทธิ์ควบคุมโดเมนแล้ว จะเพิ่มการส่งทดสอบเชิงรุก (สูงสุดห้าครั้งต่อการตรวจสอบ) การค้นหาไฟล์ที่เปิดเผย และขั้นตอนการใช้งานผ่านเบราว์เซอร์ที่ตั้งค่าไว้

C3 — ไม่เข้าเกณฑ์ การตรวจสอบมีตารางและทำซ้ำ แต่เกี่ยวกับเว็บไซต์ของลูกค้าเองและทำตามคำขอ ไม่ใช่เพื่อสังเกตบุคคล
C4 — คาบเส้น แต่ไม่เข้าเกณฑ์ การค้นไฟล์ที่เปิดเผยอ่านสูงสุด 8 KB แรกจากเส้นทาง เช่น /backup.sql หรือบันทึกดีบัก เพื่อพิจารณาจากเนื้อหาว่าไฟล์เปิดเผยจริงหรือไม่ (cfg/dateien_lib.php) ข้อมูลส่วนที่อ่านนั้นอาจมีข้อมูลที่ผู้เยี่ยมชมกรอกในแบบฟอร์ม ระบบจะตรวจสอบข้อมูลดังกล่าวเฉพาะในหน่วยความจำและจะไม่จัดเก็บไว้ สิ่งที่เก็บคือเส้นทาง ประเภท และระดับความรุนแรง
C8 — เข้าเกณฑ์ในระดับอ่อน
เกณฑ์อื่น — ไม่เข้าเกณฑ์

ขั้นตอนแผนดำเนินการที่เพิ่มเข้ามา รายงานแบบชำระเงินที่เข้าเกณฑ์อาจมีข้อความแนะนำที่สร้างภายในเครื่องจากผลการตรวจสอบที่เลือกและข้อมูลเมตาการสแกน ระบบเก็บข้อความนี้พร้อมกับการตรวจสอบและแสดงข้อความแจ้งว่าใช้ AI กำกับไว้ ผลการตรวจสอบรายข้อยังคงเป็นหลัก ขั้นตอนนี้ไม่ได้เปลี่ยนแปลงเว็บไซต์โดยอัตโนมัติหรือตัดสินใจเกี่ยวกับบุคคลในลักษณะที่มีผลทางกฎหมายหรือมีนัยสำคัญคล้ายกัน การใช้โมเดลภาษาเพียงอย่างเดียวไม่ได้กำหนดว่าต้องมี DPIA แยกหรือไม่ จำเป็นต้องประเมินข้อมูลเข้า ผู้รับ ขนาด และความเสี่ยงคงเหลือของขั้นตอนนี้ร่วมกับการตรวจสอบพื้นฐาน รวมถึงการอาจนำข้อมูลส่วนบุคคลจาก URL หรือหมายเหตุมากล่าวซ้ำ และคำแนะนำผิดในรายงานที่แชร์ผ่านลิงก์ได้ หัวข้อ 7 ถึง 9 ข้างล่างรวมขั้นตอนนี้ไว้ ภาคผนวกข้อเท็จจริงนี้ไม่กล่าวอ้างว่าตรวจวัดระบบใช้งานจริงเสร็จแล้ว เจ้าของอนุมัติแล้ว หรือมีการจัดระดับความเสี่ยงคงเหลือใหม่

ผลเบื้องต้น P4: การตรวจทางเทคนิคพื้นฐานไม่ถึงเกณฑ์ตามข้อเท็จจริงที่กล่าวข้างต้น ขั้นตอนคำแนะนำภายในเครื่องที่เพิ่มมาไม่ก่อหน้าที่แยกด้วยตัวมันเอง แต่ผลการประเมินเกณฑ์เดิมไม่อาจใช้แทนการพิจารณาข้อมูลเข้าจริง ขนาด ผู้รับ และผลกระทบของขั้นตอนนี้ได้ เรานำการประมวลผลนี้มารวมในการประเมินเพราะการส่งทดสอบเชิงรุกและตรวจไฟล์ขึ้นอยู่กับหลักฐานที่ไม่เคยต่ออายุ (R7)

P5 — การสแกนหลังเข้าสู่ระบบ

สำหรับโดเมนที่ยืนยันแล้ว ลูกค้าเก็บบัญชีทดสอบของเว็บไซต์ตนได้ ตัวสแกนใช้บัญชีเข้าสู่ระบบและอ่านแบบฟอร์มบนหน้าส่วนสมาชิกที่ระบุสูงสุดห้าหน้า (cfg/login_lib.php, scanner/src/login.js)

C4 — คาบเส้น ข้อมูลรับรองไม่ใช่ข้อมูลที่มีลักษณะส่วนบุคคลอย่างสูงตามความหมายแนวทาง แต่การใช้ในทางที่ผิดเปิดให้เข้าส่วนสมาชิกได้ เว็บไซต์แต่ละแห่งอาจมีเนื้อหาที่เป็นความลับอยู่หลังการเข้าสู่ระบบ เช่น ในพอร์ทัลสมาชิกหรือผู้ป่วย ลักษณะของเนื้อหานี้ขึ้นอยู่กับลูกค้า ไม่ใช่เรา
C8 — ไม่เข้าเกณฑ์ การเข้าสู่ระบบอัตโนมัติเป็นเรื่องทั่วไปในบริการเฝ้าติดตาม
เกณฑ์อื่น — ไม่เข้าเกณฑ์

ผลเบื้องต้น P5: ไม่มีหน้าที่ตามหลักทั่วไป ข้อสรุปนี้อาจเปลี่ยนแปลงได้สำหรับลูกค้าที่มีเนื้อหาที่เป็นความลับในส่วนสมาชิก โดยลูกค้าเป็นผู้ตัดสินใจในกรณีนั้น เรานำการประมวลผลนี้มารวมในการประเมินเพราะความเสี่ยงด้านความปลอดภัย (R8)

P6 — การตรวจสอบการส่งถึงพร้อมสำเนาควบคุม

ลูกค้าเพิ่มที่อยู่ควบคุมของ formexposed เป็นสำเนาลับในการตั้งค่าอีเมลแบบฟอร์ม จึงส่งอีเมลแบบฟอร์มทุกฉบับไปกล่องจดหมายควบคุมเราด้วย ทั้งข้อความทดสอบของเราและข้อความจริงทุกฉบับจากผู้เยี่ยมชม กระบวนการดึงข้อมูลอัตโนมัติจะอ่านส่วนหัวอีเมลและข้อมูล 8 KB แรก จับคู่อีเมล ประเมิน SPF, DKIM และ DMARC แล้วลบอีเมลนั้น (cfg/zustellung_lib.php)

C4 — เข้าเกณฑ์ สิ่งที่ผู้เยี่ยมชมเขียนในแบบฟอร์มติดต่อเป็นการสื่อสารอิเล็กทรอนิกส์ถึงธุรกิจที่มีเนื้อหาใดก็ได้ บนเว็บไซต์คลินิก สำนักงานกฎหมาย บริการให้คำปรึกษา หรือโรงเรียน คาดได้ว่าจะมีข้อมูลตามมาตรา 9 หรือเกี่ยวกับเด็ก แนวทางระบุการสื่อสารอิเล็กทรอนิกส์ที่เป็นความลับไว้ในเกณฑ์นี้โดยชัดแจ้ง
C3 — คาบเส้น ค่อนข้างเข้าเกณฑ์ ทุกข้อความถูกคัดลอกตามแผนอย่างต่อเนื่องและประเมินอัตโนมัติโดยผู้ส่งไม่สังเกต จุดประสงค์คือตรวจเส้นทางอีเมล ไม่ใช่สังเกตบุคคล อย่างไรก็ตาม พฤติการณ์ที่แนวทางใช้ให้เหตุผลเกณฑ์ คือเจ้าของข้อมูลไม่รู้ว่าใครได้รับข้อมูล มีครบตราบใดที่ลูกค้ายังไม่แจ้งผู้เยี่ยมชม
C7 — ขึ้นอยู่กับลูกค้า ผู้ป่วย ลูกค้าสำนักงานกฎหมาย ผู้สมัครงาน ผู้ปกครอง และนักเรียน มักมีความสัมพันธ์พึ่งพากับผู้รับข้อความ
C5 — คาบเส้น แต่ไม่เข้าเกณฑ์ การประมวลผลนี้ไม่เป็นการประมวลผลในวงกว้างสำหรับลูกค้าแต่ละราย แต่ที่ formexposed สำเนาจากลูกค้าหลายรายมารวมอยู่ในกล่องจดหมายเดียวกัน สิ่งนี้เพิ่มความร้ายแรงของการละเมิด ไม่ได้เพิ่มจำนวนข้อมูลต่อผู้ควบคุมข้อมูลแต่ละราย
เกณฑ์อื่น — ไม่เข้าเกณฑ์ การจับคู่กับโดเมนและการทดสอบไม่ใช่การจับคู่ชุดข้อมูลเกี่ยวกับบุคคล เทคโนโลยีไม่ใช่ของใหม่

ผลเบื้องต้น P6: C4 เข้าเกณฑ์ C3 คาบเส้นและค่อนข้างเข้าเกณฑ์ C7 เข้าเกณฑ์สำหรับลูกค้าทั่วไปจำนวนมาก ในสถานการณ์ทั่วไปจึงเข้าเกณฑ์สองข้อขึ้นไป จึงจำเป็นต้องมี DPIA โดยเป็นหน้าที่ของลูกค้าซึ่งเป็นผู้ควบคุมข้อมูล หัวข้อ 6 ถึง 11 ให้ข้อเท็จจริงแก่ลูกค้าเพื่อใช้ในการประเมินนี้

P7 — การป้องกันร่วม

เว็บไซต์ WordPress ที่เชื่อมต่อจะรายงานโดเมนของลิงก์จากข้อความที่ชั้นป้องกันของตนหยุดไว้วันละครั้ง ระบบจะเพิ่มโดเมนที่ปรากฏบนเว็บไซต์ต่างกันอย่างน้อยสามแห่งและตรวจพบอย่างน้อยห้าครั้งภายในเจ็ดวันลงในรายการร่วม จากนั้นจะส่งรายการกลับไปยังทุกเว็บไซต์ที่เชื่อมต่อ ซึ่งจะวางข้อความที่มีลิงก์ไปโดเมนนั้นในการกักกัน (cfg/swarm_lib.php)

C6 — เข้าเกณฑ์ ระบบรวมรายงานจากหลายเว็บไซต์ที่เป็นอิสระต่อกัน กล่าวคือจากผู้ควบคุมข้อมูลต่างราย แล้วส่งกลับให้ทุกฝ่ายในรูปแบบรายการร่วม
C1 — เข้าเกณฑ์ในขอบเขตที่เชื่อมโยงโดเมนกับบุคคลธรรมดาได้ รายการเป็นการจัดประเภทว่าเป็นแหล่งสแปม แนวทางยกการคัดกรองเทียบฐานข้อมูลการฉ้อโกงร่วมเป็นตัวอย่างเกณฑ์นี้ โดเมนส่วนใหญ่ในรายการเช่นนี้เป็นของธุรกิจหรือใช้แล้วทิ้ง อย่างไรก็ตาม โดเมนบุคคลอาจเข้าในรายการโดยถูกต้องหรือจากรายงานเท็จที่จงใจป้อน
C9 — คาบเส้น ข้อความที่มีลิงก์ในรายการไม่ถึงผู้รับทันที แต่อยู่ในการกักกันจนผู้รับปล่อยผ่าน ไม่สูญหาย
C2 — ไม่เข้าเกณฑ์ การกักกันเป็นผลอัตโนมัติต่อข้อความ ไม่มีผลทางกฎหมายและผู้รับที่เป็นมนุษย์ปล่อยผ่านได้
เกณฑ์อื่น — ไม่เข้าเกณฑ์ ปิดเครือข่าย IP อยู่ (swarm_ip_enabled = 0, cfg/swarm_lib.php)

ผลเบื้องต้น P7: เข้าเกณฑ์สองข้อ (C6, C1) และมีหนึ่งกรณีคาบเส้น (C9) จึงถึงเกณฑ์ที่ต้องจัดทำ DPIA และ formexposed ดำเนินการประเมินในฐานะผู้ควบคุมข้อมูล หากเปิดเครือข่าย IP จะเข้า C1 และ C6 โดยไม่มีข้อจำกัด การเปิดต้องมีการประเมินฉบับใหม่ (หัวข้อ 12) จากการตรวจวัดระบบพัฒนา ไม่มีทั้งรายงานและรายการในรายการร่วม

P8 — บัญชีลูกค้า การเข้าสู่ระบบ บันทึก ความช่วยเหลือ อีเมล การชำระเงิน

C1 และ C9 — ไม่เข้าเกณฑ์ พฤติกรรมผิดสังเกตในการตรวจสอบฟรีทำให้มีหมายเหตุพร้อมที่อยู่ IP (cfg/check_lib.php) และอาจปฏิเสธการตรวจสอบต่อ เป็นการป้องกันการใช้งานในทางที่ผิดที่มีผลเล็กน้อย ไม่ใช่ประเมินแง่มุมส่วนบุคคล
เกณฑ์อื่น — ไม่เข้าเกณฑ์ เป็นข้อมูลทั่วไปของบริการสำหรับธุรกิจ

ผลเบื้องต้น P8: ไม่จำเป็นต้องมี DPIA การประมวลผลเหล่านี้มีคำอธิบายอยู่ในบันทึกกิจกรรมการประมวลผลข้อมูล

P9 — ตัวเลขปลั๊กอิน ข้อผิดพลาดฟิลด์ ตัวบันทึก ตราสัญลักษณ์ พอร์ทัลลูกค้า “Fix it for me”

ปลั๊กอินและส่วนขยายส่งตัวเลขรายวัน รายการปลั๊กอิน และประเภทข้อผิดพลาด ปลั๊กอิน WordPress ยังส่งโดเมนลิงก์สำหรับการป้องกันร่วม (เปิดโดยค่าเริ่มต้น) (P7) การส่งข้อมูลนี้ไม่มีเนื้อหา ที่อยู่ ชื่อ หรือ IP ของผู้เยี่ยมชม ตัวบันทึกเก็บตัวเลือกองค์ประกอบไว้ในเบราว์เซอร์ของผู้ดูแลระบบเป็นเวลาสูงสุด 15 นาที การประมวลผลนี้ไม่เข้าเกณฑ์ใด
เมื่อโหลด ตราสัญลักษณ์ส่งข้อมูลการเชื่อมต่อตามปกติไปบันทึกเว็บเซิร์ฟเวอร์ โดยไม่มีคุกกี้ การประมวลผลนี้ไม่เข้าเกณฑ์ใด
พอร์ทัลลูกค้าประมวลผลที่อยู่อีเมลสมาชิกด้วยการยืนยันการสมัครสองขั้นตอนในนามเอเจนซี การประมวลผลนี้ไม่เข้าเกณฑ์ใด
“Fix it for me” ให้โมเดลภาษาบนเซิร์ฟเวอร์ของเราเองเขียนโค้ดแบบฟอร์มที่ผู้ใช้วางเข้ามาใหม่ ระบบไม่จัดเก็บโค้ดดังกล่าว การประมวลผลนี้เข้าเกณฑ์ C8 ในระดับอ่อน และไม่เข้าเกณฑ์อื่น

ผลเบื้องต้น P9: ไม่จำเป็นต้องมี DPIA

3.4 รายการหน่วยงานกำกับดูแลโปแลนด์ตามมาตรา 35(4)

หน่วยงานที่มีอำนาจคือประธานสำนักงานคุ้มครองข้อมูลส่วนบุคคล (Prezes Urzędu Ochrony Danych Osobowych, UODO) ประธานเผยแพร่รายการประเภทการประมวลผลที่ต้องมี DPIA ในประกาศวันที่ 17 มิถุนายน 2019 (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, รายการ 666) รายการจัดหมวดตามเกณฑ์แนวทาง WP248 ให้ตัวอย่าง และระบุชัดว่าไม่ครอบคลุมทุกกรณี ไม่แทนการประเมินตามมาตรา 35(1)

ตามการอ่านของเรา ประเภทการประมวลผลต่อไปนี้ในรายการตรงในสาระกับการประมวลผลของ formexposed:

ประเภทการประมวลผลตามรายการ (เรียบเรียงใหม่)	เกณฑ์ที่จัดเข้า	การประมวลผลที่ formexposed	การประเมิน
เปรียบเทียบ ประเมิน หรืออนุมานบนฐานการวิเคราะห์ข้อมูลต่างแหล่ง	C6	P7 การป้องกันร่วม	ใช้ได้
ประเมินหรือให้คะแนน รวมการจัดทำโปรไฟล์	C1	P7 การป้องกันร่วม P1 และ P2 เป็นกรณีคาบเส้น	ใช้ได้กับ P7
ประมวลผลข้อมูลส่วนบุคคลประเภทพิเศษ	C4	P6 การตรวจสอบการส่งถึง	ใช้ได้โดยขึ้นอยู่กับลูกค้า
การใช้แนวทางเทคโนโลยีอย่างมีนวัตกรรม	C8	P1 ถึง P4 (โมเดลภาษาสำหรับจัดประเภท)	ใช้ได้ในระดับอ่อน
การประมวลผลในวงกว้าง	C5	P3 การศึกษา	ใช้ได้กับรายชื่อขนาดใหญ่
เฝ้าติดตามสถานที่เข้าถึงได้สาธารณะอย่างเป็นระบบ รวมการรู้จำลักษณะ	C3	–	ใช้ไม่ได้: หมายถึงสถานที่ ไม่ใช่เว็บไซต์

การจัดหมวดนี้เป็นการอ่านตีความ ไม่ใช่คำอ้างอิงโดยตรง ในการตรวจสอบทางกฎหมาย จำเป็นต้องตรวจถ้อยคำในรายการเทียบกับการจัดหมวดนี้ การจัดหมวดดังกล่าวยืนยันผลในหัวข้อ 3.3 แต่ไม่ได้เปลี่ยนแปลงผลนั้น เท่าที่เราทราบ UODO ไม่ได้เผยแพร่รายการตามมาตรา 35(5) คือการประมวลผลที่ไม่ต้องมี DPIA

3.5 ผลการประเมินเกณฑ์

การประมวลผล	เข้าเกณฑ์	คาบเส้น	ผล
P1 การตรวจสอบฟรี	C8 (อ่อน)	C1, C5	ไม่บังคับให้จัดทำ แต่เรารวมไว้ในการประเมิน
P2 การตรวจสอบสำหรับผู้สนใจใช้บริการ	C8 (อ่อน)	C1	ไม่บังคับให้จัดทำ แต่เรารวมไว้ในการประเมิน
P3 การศึกษา	C8 (อ่อน), C5 สำหรับรายชื่อขนาดใหญ่	–	จำเป็น (หน้าที่ของ formexposed)
P4 การตรวจโดเมนลูกค้า	C8 (อ่อน)	C4 (ตรวจไฟล์)	ไม่บังคับให้จัดทำ แต่เรารวมไว้ในการประเมิน
P5 การสแกนหลังเข้าสู่ระบบ	–	C4	ไม่บังคับให้จัดทำ แต่เรารวมไว้ในการประเมิน สำหรับลูกค้า ความจำเป็นขึ้นอยู่กับเนื้อหา
P6 การตรวจสอบการส่งถึง	C4; C7 ขึ้นอยู่กับลูกค้า	C3 (ค่อนข้างเข้าเกณฑ์), C5	จำเป็น (เป็นหน้าที่ของลูกค้า โดยหน้านี้ให้ความช่วยเหลือตามมาตรา 28(3)(f))
P7 การป้องกันร่วม	C6, C1	C9	จำเป็น (หน้าที่ของ formexposed)
P8 บัญชี บันทึก ความช่วยเหลือ การชำระเงิน	–	–	ไม่จำเป็น
P9 ตัวเลขปลั๊กอิน ตราสัญลักษณ์ พอร์ทัล “Fix it for me”	C8 (อ่อน เฉพาะ “Fix it for me”)	–	ไม่จำเป็น

ผลตามมาตรา 35(1): การประมวลผลบางรายการของ formexposed จำเป็นต้องมี DPIA ได้แก่ การป้องกันร่วมและการศึกษาขนาดที่ออกแบบไว้ ซึ่ง formexposed ประเมินในฐานะผู้ควบคุมข้อมูล สำหรับการตรวจสอบการส่งถึง จำเป็นในสถานการณ์ทั่วไปแต่เป็นหน้าที่ลูกค้า formexposed ให้ข้อมูลพื้นฐาน ส่วนการตรวจสอบอื่น ๆ ของเว็บไซต์บุคคลภายนอกและเว็บไซต์ของตนเองนั้น ไม่บังคับให้จัดทำ DPIA อย่างไรก็ตาม เรารวมไว้เพราะใช้เทคโนโลยีเดียวกัน หลายกรณีคาบเส้นชี้ไปทิศเดียวกัน และเจ้าของข้อมูล ได้แก่ ผู้ดำเนินการที่ไม่มีบัญชีและบุคคลบนหน้าที่ตรวจสอบ ไม่ทราบการประมวลผล ไม่จำเป็นต้องประเมินสำหรับบัญชี บันทึก ความช่วยเหลือ และการชำระเงิน

หัวข้อ 6 ถึง 10 จึงใช้กับ P1 ถึง P7 หากข้อความใช้กับการประมวลผลเพียงรายการเดียว จะระบุไว้

4. เจ้าหน้าที่คุ้มครองข้อมูล: การประเมินตามมาตรา 37

เรายังไม่ได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูล มาตรา 37(1) มีผลผูกพันทั้งผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล ดังนั้น เราจึงต้องพิจารณาคำถามนี้สำหรับตนเองด้วย กฎหมายกำหนดไว้สามกรณีดังต่อไปนี้:

มาตรา 37(1)	เงื่อนไข	ผล
ข้อ (a)	หน่วยงานหรือองค์กรภาครัฐ	ไม่เกี่ยวข้อง LW IT Solutions Company Lukas Wójcik เป็นกิจการเจ้าของคนเดียวภาคเอกชน
ข้อ (b)	กิจกรรมหลักประกอบด้วยการประมวลผลที่ต้องเฝ้าติดตามเจ้าของข้อมูลอย่างสม่ำเสมอและเป็นระบบในวงกว้าง	กิจกรรมหลักคือตรวจสอบและเฝ้าติดตามเว็บไซต์และแบบฟอร์มอย่างสม่ำเสมอและเป็นระบบ อย่างไรก็ตาม เราไม่ได้เฝ้าติดตามบุคคล ตัวรวบรวมข้อมูลไม่ได้สังเกตพฤติกรรมของบุคคล และการตรวจสอบการส่งถึงประเมินอีเมลเฉพาะการส่งถึงและความแท้จริง ไม่เข้าเกณฑ์
ข้อ (c)	กิจกรรมหลักประกอบด้วยการประมวลผลข้อมูลตามมาตรา 9 หรือ 10 ในวงกว้าง	ระบบไม่ได้ออกแบบมาให้ประมวลผลเช่นนี้ ข้อมูลประเภทพิเศษอาจมาถึงเราผ่านสำเนาควบคุมของการตรวจสอบการส่งถึงได้ แต่เป็นสิ่งที่เกิดขึ้นโดยบังเอิญ ไม่ใช่กิจกรรมหลัก ไม่เข้าเกณฑ์

ตามการประเมินของเราจึงไม่มีหน้าที่แต่งตั้ง ประเด็นว่ากฎหมายโปแลนด์กำหนดให้แต่งตั้งเพิ่มเติมตามมาตรา 37(4) หรือไม่ ยังไม่ยุติและต้องตรวจสอบทางกฎหมาย เมื่อยังไม่ได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูล จึงไม่มีคำแนะนำตามมาตรา 35(2) หากการตรวจสอบทางกฎหมายพบว่าเรามีหน้าที่ต้องแต่งตั้ง เราจะขอคำแนะนำจากเจ้าหน้าที่คุ้มครองข้อมูลที่แต่งตั้งขึ้นก่อนอนุมัติการประเมินนี้ (หัวข้อ 12) ผู้ติดต่อสำหรับคำถามเกี่ยวกับการประเมินนี้คือเจ้าของที่ contact@lukaswojcik.com

5. วิธีการ แหล่งข้อมูล และข้อจำกัดของเวอร์ชันนี้

ข้อเท็จจริงในเอกสารนี้มาจากซอร์สโค้ดแอปและตัวสแกน โครงสร้างฐานข้อมูล ตลอดจนจำนวนแถวและการตั้งค่าของระบบพัฒนา ซึ่งตรวจวัดเมื่อ 11 ตุลาคม 2026 การเข้าถึงฐานข้อมูลและเซิร์ฟเวอร์เป็นแบบอ่านอย่างเดียว เมื่อการตรวจวัดขัดกับความตั้งใจ รวมถึงข้อความในเอกสารกฎหมายเราเอง เรารายงานการตรวจวัด เราไม่ได้ใช้ประมวลจรรยาบรรณที่ได้รับอนุมัติตามมาตรา 40 ซึ่งการปฏิบัติตามจะต้องนำมาพิจารณาตามมาตรา 35(8)

ตรวจวัดระบบพัฒนา บริการยังไม่เปิดใช้งาน ตัวเลขจึงน้อยและบางส่วนเป็นผลจากการทดสอบ: การตรวจสอบ 112 ครั้ง ในจำนวนนั้น 110 ครั้งไม่มีโดเมนลูกค้า ภาพหน้าจอ 432 ภาพ โดเมน 2 แห่ง ยืนยันแล้ว 1 แห่ง ยังไม่ได้เปิดการตรวจสอบการส่งถึง ยังไม่ได้จัดเก็บบัญชีทดสอบสำหรับการสแกนหลังเข้าสู่ระบบ ไม่มีการศึกษา และไม่มีรายงานในการป้องกันร่วม จำเป็นต้องตรวจวัดซ้ำก่อนเปิดให้บริการและตรวจวัดเป็นประจำหลังจากนั้น
สิ่งที่ยังไม่ได้ตรวจวัดในเวอร์ชันนี้และต้องเพิ่มก่อนอนุมัติ ได้แก่ การตั้งค่าระบบใช้งานจริง รวมถึงตั้งค่ากล่องจดหมายควบคุมไว้หรือไม่และอย่างไร และตั้งค่าคู่กุญแจสำหรับสแกนหลังเข้าสู่ระบบที่นั่นหรือไม่ ซอฟต์แวร์โมเดลภาษาบันทึกคำขอหรือไม่ สถานะการดูแลเซิร์ฟเวอร์ (R13) สัญญากับผู้ให้บริการอีเมล
ไม่สามารถตรวจวัดได้ว่าข้อความผู้เยี่ยมชมจริงจำนวนเท่าใดจะผ่านสำเนาควบคุม และลูกค้าจะมาจากภาคส่วนใด ข้อเท็จจริงทั้งสองประการนี้เป็นตัวกำหนดน้ำหนักของ R1 และ R2 และต้องตรวจสอบให้ทราบหลังเปิดให้บริการ
แหล่งอ้างอิงชี้ไปไฟล์และฟังก์ชันในซอร์สโค้ดระบบพัฒนา สิ่งชี้ขาดคือฟังก์ชันที่อธิบาย ไม่ใช่ตำแหน่งในไฟล์

เอกสารนี้เป็นฉบับร่าง และยังไม่ได้รับอนุมัติจากผู้ควบคุมข้อมูล (หัวข้อ 12) และข้อสรุปสองข้อ ได้แก่ การประเมินขนาดสำหรับ P1 และ P3 และน้ำหนักของการตรวจสอบการส่งถึง ขึ้นอยู่กับตัวเลขที่จะมีหลังเปิดให้บริการเท่านั้น

6. (a) คำอธิบายการประมวลผลและวัตถุประสงค์อย่างเป็นระบบ

6.1 โครงสร้างระบบตรวจสอบ

formexposed ทำงานบนเซิร์ฟเวอร์ของตนในโปแลนด์โดยไม่มีผู้ให้บริการโฮสติ้งภายนอก: เว็บเซิร์ฟเวอร์พร้อมแอปและฐานข้อมูล และเซิร์ฟเวอร์สแกนพร้อมบริการตรวจสอบและโมเดลภาษาภายในเครื่อง ทั้งคู่อยู่ในเครือข่ายภายในเดียวกัน การตรวจสอบดำเนินดังนี้:

แอปสร้างงานในฐานข้อมูล ภายใต้ขีดจำกัดและการบล็อกในหัวข้อ 6.3
บริการตรวจสอบบนเซิร์ฟเวอร์สแกนดึงงาน ตรวจรายการบล็อก ชื่อโฮสต์ และสำหรับการตรวจสอบไม่ระบุตัวตนตรวจอายุโดเมนซ้ำ แล้วเริ่มคอนเทนเนอร์แยกสำหรับงานนี้โดยเฉพาะ: คอนเทนเนอร์มีเครือข่ายและกฎการกรองของตนเอง ไม่มีสิทธิ์พิเศษ ใช้ระบบไฟล์แบบอ่านอย่างเดียว และมีขีดจำกัดหน่วยความจำ จำนวนกระบวนการ และเวลา (scanner/src/worker.js)
ภายในคอนเทนเนอร์ เบราว์เซอร์อัตโนมัติดึงหน้าสาธารณะสูงสุดแปดหน้า เริ่มหน้าแรก แล้วให้ความสำคัญกับหน้าติดต่อ ข้อมูลผู้ให้บริการ และความช่วยเหลือ ก่อนหน้านั้น เบราว์เซอร์จะอ่าน robots.txt หากมีการยกเว้น FormExposedBot หรือตัวรวบรวมข้อมูลทั้งหมดที่ครอบคลุมหน้าแรก จะยุติการตรวจสอบ เช่นเดียวกับเมื่อเข้าไม่ถึง robots.txt หรือเกิดข้อผิดพลาดเซิร์ฟเวอร์ขณะดึง (scanner/src/net.js) ระบบไม่ได้พิจารณาข้อห้ามของเส้นทางย่อยแต่ละเส้นทางแยกต่างหาก การตรวจชีพจรแบบฟอร์ม การดึงหลักฐาน เครื่องมือส่วนหัว และการค้นไฟล์ที่เปิดเผยไม่อ่าน robots.txt นอกจากแปดหน้า ยังมีสูงสุดสามหน้าที่คลิก “ปฏิเสธ” ในแบนเนอร์คุกกี้ สูงสุดสามหน้าในมุมมองโทรศัพท์ การตรวจสอบเชิงรุกสำหรับโดเมนที่ยืนยันแล้ว และสูงสุดห้าหน้าหลังเข้าสู่ระบบ ระบบจะโหลดหน้าเว็บทีละหน้า ไม่ได้โหลดพร้อมกัน ทุกคำขอจากเบราว์เซอร์ รวมการเปลี่ยนเส้นทางและเนื้อหาฝัง ผ่านตัวกรองที่ปฏิเสธเครือข่ายส่วนตัวและพอร์ตอื่น
คอนเทนเนอร์เขียนผลและภาพหน้าจอลงไดเรกทอรีชั่วคราว บริการตรวจสอบส่งผลและภาพให้แอปผ่านเครือข่ายภายในแล้วลบไดเรกทอรีชั่วคราว แม้ในกรณีที่เกิดข้อผิดพลาด (scanner/src/worker.js)
แอปประมวลผลผลลัพธ์ เปรียบเทียบกับการตรวจสอบก่อนหน้าสำหรับโดเมนลูกค้า และรายงานการเปลี่ยนแปลงไปยังปลายทางที่ลูกค้าตั้งไว้

6.2 สิ่งที่ตัวรวบรวมข้อมูลเก็บและไม่เก็บ

รายการ	สิ่งที่เก็บ	สิ่งที่ไม่เก็บ	แหล่งอ้างอิง
หน้าเว็บ	ที่อยู่ สถานะ HTTP ส่วนหัว Content Security Policy โฮสต์บุคคลภายนอกที่ร้องขอ (สูงสุด 120)	เนื้อหาหน้าเป็นข้อความหรือ HTML	`scanner/src/crawl.js`
ฟิลด์แบบฟอร์ม	ประเภท ชื่อ ป้ายชื่อ ข้อความตัวอย่าง ช่องบังคับ การมองเห็น ความยาวค่าที่มีอยู่	ค่าฟิลด์ สำหรับฟิลด์ซ่อน อ่านเพียง 24 อักขระแรกระหว่างตรวจสอบ (เพื่อตรวจจับโทเค็น)	`scanner/src/crawl.js`
ที่อยู่ผู้รับในแบบฟอร์ม	โดเมนเท่านั้น	ตัวที่อยู่	`scanner/src/crawl.js`
สคริปต์	รายการพร้อมค่าตรวจสอบ ที่อยู่และข้อความส่วนต้นโดยไม่มีตัวระบุบัญชีบริการโฆษณาและวิเคราะห์	ตัวระบุบัญชีและพิกเซล	`scanner/src/crawl.js`
เครื่องมือแอบติดตาม	พิกเซลโฆษณาและเครื่องมือบันทึกใดโหลดก่อนและหลังคลิก “ปฏิเสธ” ในแบนเนอร์คุกกี้ และปิดบังข้อมูลที่กรอกหรือไม่	ตัวระบุบัญชีกับบริการเหล่านี้	`scanner/src/mitleser.js`, `scanner/src/einwilligung.js`
ข้อความแบบฟอร์ม	ส่งให้โมเดลภาษาภายในเครื่องสูงสุด 400 อักขระ หากกฎไม่รู้จำประเภท	การเปิดเผยแก่บุคคลภายนอก การเก็บข้อความ	`scanner/src/classify.js`
ภาพหน้าจอ (ตัวรวบรวมข้อมูล)	พื้นที่ที่มองเห็นของหน้าแรก ภาพองค์ประกอบแบบฟอร์มสำหรับแต่ละแบบฟอร์มที่มองเห็น	–	`scanner/src/crawl.js`
ภาพหน้าจอ (การตรวจสอบเชิงรุก)	ภาพหน้าตอบกลับการส่งทดสอบ พร้อมสถานะ ที่อยู่เป้าหมาย ชื่อหน้า และข้อความ 300 อักขระแรก	–	`scanner/src/active.js`
ภาพหน้าจอ (ขั้นตอนการใช้งานผ่านเบราว์เซอร์)	ภาพแบบฟอร์มที่ปิดดำช่องกรอกข้อมูล บีบอัด สูงสุด 32 KB	ข้อมูลที่กรอก	`scanner/src/browser.js`
หลังเข้าสู่ระบบ	ตามฟิลด์แบบฟอร์มข้างบน	ภาพหน้าจอ คุกกี้ ลิงก์	`scanner/src/login.js`

รายการเหล่านี้ไม่ได้มีข้อมูลส่วนบุคคลตามการออกแบบ แต่ข้อมูลส่วนบุคคลอาจปรากฏอยู่โดยบังเอิญได้: ชื่อผู้ติดต่อข้างแบบฟอร์ม ภาพทีมบนหน้าแรก หมายเลขโทรศัพท์ในป้ายชื่อ โดเมนอีเมลบุคคล ชื่อในข้อความตัวอย่าง หลังเข้าสู่ระบบ จะมีรายละเอียดของบัญชีทดสอบเพิ่มเข้ามาด้วย และอาจมีรายละเอียดของผู้ใช้อื่นเพิ่มเติม ขึ้นอยู่กับเว็บไซต์

6.3 ใครเริ่มการตรวจสอบ และมีเงื่อนไขใดใช้ตามมา

ผู้เริ่ม	ระดับความเชื่อถือในงาน	การส่งทดสอบ	ช่องทางเข้าถึงผล	การลบ
บุคคลกรอกโดเมนในหน้าแรก (การตรวจสอบฟรี)	anonymous	ไม่	รายงานภายใต้ลิงก์สุ่ม	30 วัน รวมภาพ (`cfg/check_lib.php`)
ปลั๊กอินหรือส่วนขยายโดยไม่มีบัญชี	plugin	ไม่	รายงานภายใต้ลิงก์สุ่ม	30 วัน
เอเจนซีสำหรับผู้สนใจใช้บริการ	registered	ไม่	ผลการตรวจสอบสั้นและรายงานภายใต้ลิงก์สุ่ม	90 วัน (`cfg/akquise_lib.php`)
ลูกค้า โดเมนไม่มีหลักฐาน	registered	ไม่	บัญชี รายงานภายใต้ลิงก์สุ่ม	13 เดือน เก็บการตรวจสอบล่าสุดไว้
ลูกค้า โดเมนมีหลักฐาน	verified	ใช่ สูงสุดห้าครั้งต่อการตรวจสอบ	บัญชี รายงานภายใต้ลิงก์สุ่ม	13 เดือน เก็บการตรวจสอบล่าสุดไว้ (`cfg/fristen_lib.php`)
การศึกษา	internal	ไม่	เฉพาะยอดรวมหลังเผยแพร่	เมื่อเผยแพร่ หากไม่เผยแพร่ไม่มีกำหนดเวลา (R4)
การตรวจสอบภายในจากบรรทัดคำสั่งโดยผู้ให้บริการ	internal สำหรับโดเมนทดสอบและสาธิตของเราเองใช้ “verified” ได้ด้วย	ไม่ หากระดับ “verified” ใช่ (เฉพาะโดเมนทดสอบและสาธิตของเราเอง)	ภายในเท่านั้น	ไม่มีกำหนดเวลา (R4)

ระบบมีกลไกป้องกันหลายชั้นก่อนเริ่มการตรวจสอบฟรี (cfg/check_lib.php): หยุดฉุกเฉิน reCAPTCHA โดเมนเดิมสูงสุดครั้งเดียวในเจ็ดวัน (หลังจากนั้นแสดงรายงานเดิม) ขีดจำกัดต่อที่อยู่ IP ต่อเซสชัน (เป็นค่าแฮช ไม่ใช่ตัวระบุเซสชันเอง) และทั้งบริการต่อวัน รายการบล็อกจากการยกเว้นโดเมนและ robots.txt ตรวจว่าโดเมนชี้ไปที่อยู่สาธารณะ และบล็อกโดเมนใหม่มากหรือไม่ทราบอายุ ระบบจะบันทึกความผิดปกติ เช่น การส่งโดเมนต่างกันจำนวนมากจากที่อยู่ IP เดียว หรือการส่งคำขอจำนวนมากในเวลาอันสั้น พร้อมกับที่อยู่ IP และส่งสัญญาณที่ไม่มีเนื้อหา (cfg/check_lib.php)

6.4 การตรวจโดเมนในบัญชีลูกค้า

ลูกค้าพิสูจน์ว่าตนมีสิทธิ์ควบคุมโดเมนด้วยระเบียน DNS เมตาแท็ก ไฟล์ หรือผ่านปลั๊กอินเรา (cfg/verify_lib.php) หลังจากนั้นจึงถือว่ายืนยันโดเมนแล้ว ตัวกำหนดเวลาการเฝ้าติดตามวางแผนตรวจประจำเฉพาะโดเมนที่ใช้งานอยู่ เปิดเฝ้าติดตาม และยืนยันแล้ว (cfg/monitor_lib.php)

การส่งทดสอบเชิงรุกผูกกับด่านสองชั้น: แอปตั้งโหมดเชิงรุกสำหรับลูกค้าเฉพาะโดเมนที่ยืนยันแล้ว (สำหรับโดเมนทดสอบและสาธิตของเราเอง ผู้ให้บริการสร้างการตรวจสอบระดับ “verified” ผ่านเครื่องมือบรรทัดคำสั่งภายในได้) และบริการตรวจสอบตรวจระดับความเชื่อถือกับสวิตช์หยุดฉุกเฉิน fc_active_enabled ซ้ำ (scanner/src/worker.js) ระบบจะส่งได้เฉพาะแบบฟอร์มที่กฎรู้จำด้วยความมั่นใจสูงว่าเป็นแบบฟอร์มติดต่อทั่วไป ไม่มีฟิลด์บังคับสำหรับข้อมูลส่วนบุคคลจริง และโดเมนไม่ดูเหมือนหน่วยงานรัฐ สถานศึกษา คลินิก สถานพยาบาล ตำรวจ หรือศาล (scanner/src/classify.js) โมเดลภาษาไม่สามารถทำให้แบบฟอร์มส่งได้ (scanner/src/classify.js) ระบบจะส่งออกสูงสุดห้าครั้งต่อการตรวจสอบ (fc_active_max_posts) โดยระบุชัดว่าเป็นการทดสอบ และใช้ผู้ส่ง dummy@formexposed.com ที่อยู่ภายใต้ .invalid เพื่อตรวจการยืนยันที่อยู่อีเมล และบรรทัดส่วนหัวเพิ่มเติมที่ไม่เป็นอันตรายเพื่อตรวจจับการแทรกส่วนหัวอีเมล (scanner/src/active.js)
ขั้นตอนการใช้งานผ่านเบราว์เซอร์ตรวจขั้นตอนการใช้งานแบบฟอร์มที่ตั้งไว้ในเบราว์เซอร์จนก่อนส่ง ระบบอนุญาตเฉพาะคำขอ GET และ HEAD โดยจะยุติคำขอชนิดอื่นทั้งหมด รวมถึงคำขอไปยังที่อยู่ที่มีคำเกี่ยวกับการออกจากระบบ การลบ การซื้อ หรือการชำระเงิน (scanner/src/browser.js) สำหรับการตรวจสอบ จะกรอกฟิลด์บังคับด้วยค่าที่แต่งขึ้นซึ่งไม่ออกจากเบราว์เซอร์
ไฟล์ที่เปิดเผยค้นหารายสัปดาห์เฉพาะโดเมนที่ยืนยันแล้ว ดึงสูงสุดหนึ่งครั้งต่อเส้นทาง สูงสุด 8 KB และไม่เก็บเนื้อหา (cfg/dateien_lib.php)
จุดตรวจสอบอิสระที่สองเตรียมไว้แล้วและปิดโดยค่าเริ่มต้น (browser_probe_enabled = 0) หากเปิดจะได้รับเฉพาะโดเมน ที่อยู่ ตัวเลือกองค์ประกอบ ขั้นตอน และตัวเลือกเบราว์เซอร์ จุดตรวจสอบนี้จะไม่ได้รับข้อมูลรับรอง ภาพหน้าจอ หรือข้อมูลผู้เยี่ยมชมไม่ว่าในกรณีใด (cfg/formular_probe_lib.php)

6.5 การสแกนหลังเข้าสู่ระบบ

เงื่อนไขเบื้องต้นคือ ต้องมีการตั้งค่าฟังก์ชันและยืนยันโดเมนแล้ว ลูกค้าต้องใช้แพ็กเกจแบบชำระเงินและเป็นเจ้าของหรือผู้ดูแลระบบของพื้นที่ทำงาน (cfg/login_lib.php) ลูกค้ายืนยันว่าเป็นบัญชีทดสอบที่มีสิทธิ์น้อยที่สุดเท่าที่เป็นไปได้ (cfg/login_lib.php)

ระบบจะเข้ารหัสชื่อผู้ใช้และรหัสผ่านทันทีบนเว็บเซิร์ฟเวอร์ด้วยกุญแจสาธารณะของเซิร์ฟเวอร์สแกน: กุญแจใช้ครั้งเดียวต่อรายการ (X25519) การสร้างกุญแจอนุพันธ์ (HKDF-SHA256), AES-256-GCM ผูกกับโดเมน (cfg/login_lib.php) มีเฉพาะบริการตรวจสอบบนเซิร์ฟเวอร์สแกนที่มีกุญแจส่วนตัว (scanner/src/geheim.js) ผู้ที่ได้เว็บเซิร์ฟเวอร์ ฐานข้อมูล หรือข้อมูลสำรองมีเพียงข้อความเข้ารหัส
ส่วนต่อประสานแสดงเฉพาะอักขระแรกและความยาวชื่อผู้ใช้ (cfg/login_lib.php) ระบบจะไม่แสดงข้อมูลรับรอง ไม่บันทึกลงในบันทึกการทำงาน และไม่ส่งออกผ่าน API ไม่ว่าในกรณีใด
สำหรับการตรวจสอบ แอปแนบข้อความเข้ารหัสกับงาน บริการตรวจสอบถอดรหัส ล้างฟิลด์ในงานทันที และส่งข้อมูลรับรองให้คอนเทนเนอร์ผ่านอินพุตมาตรฐานเท่านั้น ไม่เป็นอาร์กิวเมนต์บรรทัดคำสั่ง (scanner/src/worker.js) ส่วนที่เหลือในงานที่ยุติถูกล้างโดยกระบวนการตรวจสถานะหลังหนึ่งชั่วโมง (cfg/login_lib.php)
ภายในคอนเทนเนอร์ เบราว์เซอร์จะเข้าสู่ระบบ และจะยุติการทำงานหากหน้าเข้าสู่ระบบเปลี่ยนเส้นทางไปโฮสต์อื่น แบบฟอร์มเข้าสู่ระบบมี CAPTCHA (เราไม่ข้าม CAPTCHA) หรือยังมองเห็นฟิลด์รหัสผ่านหลังส่ง (scanner/src/login.js) จากนั้น เบราว์เซอร์จะล้างฟิลด์รหัสผ่านในหน่วยความจำของหน้าเว็บและลืมข้อมูลรับรอง (scanner/src/login.js)
เบราว์เซอร์จะอ่านหน้าเว็บในโดเมนเดียวกันตามที่ลูกค้าระบุสูงสุดห้าหน้า ระบบจะบล็อกที่อยู่ที่มีคำเกี่ยวกับการออกจากระบบ การลบ การนำออก หรือการยกเลิก (scanner/src/login.js) ระบบจะไม่ส่งข้อมูลใดผ่านแบบฟอร์มหลังเข้าสู่ระบบ ไม่ถ่ายภาพหน้าจอ และไม่รวมคุกกี้หรือลิงก์ไว้ในผลการตรวจสอบ (scanner/src/login.js)
การลบเป็นการถาวร โดยระบบจะเขียนทับข้อความเข้ารหัสด้วยข้อมูลสุ่มที่มีความยาวเท่ากัน ลบแถวข้อมูล และล้างข้อมูลในงานที่รอดำเนินการ (cfg/login_lib.php) เมื่อลบโดเมน แถวหายอัตโนมัติผ่านคีย์นอก

6.6 การตรวจสอบการส่งถึง

การตรวจสอบการส่งถึงตอบว่าอีเมลจากแบบฟอร์มติดต่อมาถึงจริงหรือไม่ และประเมินคุณสมบัติยืนยันความแท้จริง ฟังก์ชันนี้เป็นตัวเลือกที่ปิดไว้โดยค่าเริ่มต้น และต้องมีการตั้งค่ากล่องจดหมายควบคุม (cfg/zustellung_lib.php)

หากลูกค้าเปิดฟังก์ชันนี้ ระบบจะกำหนดแท็กแบบสุ่มให้โดเมน ลูกค้าจะเพิ่มที่อยู่ควบคุมพร้อมแท็กนี้ไว้เป็นผู้รับสำเนาลับในแบบฟอร์มของตน
หลังจากนั้น อีเมลจากแบบฟอร์มทุกฉบับจะถูกส่งไปยังกล่องจดหมายควบคุมด้วย ทั้งการส่งทดสอบที่ระบุชัดของเราและข้อความจริงทั้งหมดจากผู้เยี่ยมชม อีเมลจะไปยังกล่องจดหมายที่ Namecheap, Inc. (Private Email), Phoenix, Arizona, USA โดยตรง และจะอยู่ที่นั่นจนกว่าจะถูกดึง ทั้งนี้ อีเมลจะมาถึงกล่องจดหมายได้เฉพาะเมื่อระเบียน MX ของโดเมนเราชี้ไปที่นั่น หากใช้การส่งต่อ เช่น ที่ผู้รับจดทะเบียนโดเมน Namecheap, Inc. อีเมลจะไปไม่ถึงกล่องจดหมาย
กระบวนการตรวจสถานะดึงกล่องจดหมายทุกห้านาที (srv/cron_status.php) สำหรับอีเมลแต่ละฉบับ กระบวนการนี้จะอ่านส่วนหัวอีเมลและข้อความส่วนต้นสูงสุด 8 KB โดยไม่ทำเครื่องหมายว่าอ่านแล้ว (cfg/zustellung_lib.php)
ระบบระบุแท็กและโดเมนที่ตรงกับแท็กนั้นจากส่วนหัวอีเมล และระบุตัวระบุการทดสอบของเราจากข้อความ หากมี (cfg/zustellung_lib.php) สิ่งที่เก็บคือเวลา โดเมน และตัวระบุการทดสอบหากมี (cfg/zustellung_lib.php) เป็นเวลา 180 วัน (cfg/zustellung_lib.php)
ระบบประเมิน SPF, DKIM และ DMARC จากส่วนหัวอีเมล และจัดเก็บผลไว้กับโดเมน ได้แก่ ผลการตรวจ โดเมนของที่อยู่ผู้ส่ง โดเมนลายเซ็น และที่อยู่เซิร์ฟเวอร์อีเมลผู้ส่ง (cfg/zustellung_lib.php) หากผลแย่ลง จะส่งการแจ้งเตือนถึงลูกค้าหนึ่งครั้งซึ่งอาจระบุโดเมนผู้ส่ง (cfg/zustellung_lib.php)
จากนั้น ระบบจะทำเครื่องหมายอีเมลที่ดึงมาทุกฉบับเพื่อให้ลบ รวมถึงที่จับคู่กับโดเมนใดไม่ได้ และนำออกจากกล่องจดหมายเมื่อจบรอบ (cfg/zustellung_lib.php) หากรอบการทำงานยุติก่อนถึงขั้นตอนนั้น อีเมลจะยังคงอยู่จนกว่ารอบถัดไปจะทำงานสำเร็จ
เฉพาะสำเนาของการทดสอบนั้นโดยตรงเท่านั้นที่นับเป็นหลักฐานการส่งถึง (cfg/zustellung_lib.php) หากไม่มาถึงภายในสามชั่วโมง (delivery_wait_h) บริการรายงาน “ไม่พบการส่งถึง”

ระบบจะไม่เขียนเนื้อหาข้อความจริงหรือที่อยู่ของผู้เยี่ยมชมลงในฐานข้อมูล แต่จะยังคงอ่านข้อมูลทั้งสองอย่าง กล่าวคือ กระบวนการดึงข้อมูลจะโหลดข้อมูล 8 KB แรกของอีเมลทุกฉบับเข้าสู่หน่วยความจำเพื่อค้นหาตัวระบุการทดสอบ

6.7 การป้องกันร่วม

ชั้นป้องกันปลั๊กอิน WordPress หยุดข้อความเป็นสแปมและนับโดเมนลิงก์ภายใน วันละครั้ง ปลั๊กอินรายงานโดเมนพร้อมจำนวนการตรวจพบให้เรา สูงสุด 60 ต่อวัน ไม่มีที่อยู่ ไม่มีข้อความ ไม่มีที่อยู่ IP (cfg/swarm_lib.php)
วันละครั้ง เราจัดทำรายการจากข้อมูลนี้: โดเมนเข้าในรายการหากมีการรายงานในเจ็ดวันจากเว็บไซต์ต่างกันอย่างน้อยสามแห่งและตรวจพบอย่างน้อยห้าครั้ง (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php) บริการใหญ่จากรายการยกเว้นตายตัวและโดเมนลูกค้าเรา ซึ่งรวมโดเมนย่อยในแต่ละกรณี ไม่เข้าในรายการ (cfg/swarm_lib.php)
ระบบส่งรายการไปยังทุกเว็บไซต์ที่เชื่อมต่อพร้อมกับคำตอบกลับของรายงานรายวัน ชั้นป้องกันของเว็บไซต์วางข้อความที่มีลิงก์ไปโดเมนในรายการในการกักกัน ไม่ใช่ถังขยะ
โดเมนที่ไม่ปรากฏในรายการใหม่จะถูกนำออกจากรายการ ระบบจะลบรายงานหลังจาก 30 วัน (cfg/swarm_lib.php)
เครือข่าย IP (/24 หรือ /48) เตรียมไว้แล้วแต่ปิดจนกว่าจะตรวจสอบทางกฎหมายเสร็จ (cfg/swarm_lib.php)

6.8 การใช้ปัญญาประดิษฐ์

โมเดลภาษาทำงานบนเซิร์ฟเวอร์สแกนของเราเอง ไม่ใช่กับผู้ให้บริการ AI เราใช้โมเดลในสามจุด ในบริการตรวจสอบ โมเดลจะจัดประเภทแบบฟอร์มที่กฎไม่รู้จำประเภท โดยโมเดลจะเห็นชื่อหน้า ที่อยู่หน้า ป้ายปุ่มส่ง ประเภทฟิลด์ ชื่อ ป้ายชื่อและข้อความตัวอย่าง และข้อความแบบฟอร์มสูงสุด 400 อักขระ (scanner/src/classify.js) ระบบจะถามโมเดลเฉพาะเมื่อกฎให้ผล “unknown” แบบฟอร์มที่จัดประเภทด้วยวิธีนี้จะไม่ถูกส่งและจะไม่นำมาคำนวณคะแนนหรือข้อสรุป คะแนน ข้อสรุป การป้องกันการใช้งานในทางที่ผิด การป้องกันร่วมและกฎสแปมเป็นกฎตายตัว ไม่ใช่ AI ใน “Fix it for me” โมเดลจะเขียนโค้ดแบบฟอร์มที่ผู้ใช้วางเข้ามาใหม่ โดยระบบไม่จัดเก็บโค้ด สำหรับการตรวจโดเมนที่เข้าเกณฑ์ในบัญชีแบบชำระเงิน โมเดลยังสร้างแผนดำเนินการที่จัดลำดับความสำคัญจากชื่อโฮสต์ ผลรวมและคะแนน CMS ประเภทแบบฟอร์มและที่อยู่หน้าที่เกี่ยวข้อง ปลั๊กอินที่ระบุได้หากมี และผลการตรวจสอบที่ไม่ผ่านหรือไม่ชัดเจนที่เลือก ระบบเก็บคำขอไว้ชั่วคราวในคิวงานภายใน และจะลบคำขอหลังจากมีการรับคำขอไปดำเนินการ หรือเมื่อล้างรายการที่เก่ากว่าหนึ่งชั่วโมงตามกำหนด ระบบเก็บข้อความที่สร้าง ภาษา สถานะ และการประทับเวลาไว้กับผลการสแกนตามกฎระยะเวลาการเก็บรักษาของผลนั้น รายงานติดป้ายแผนว่าเป็นสรุปโดย AI และให้ผลการตรวจสอบรายข้อเป็นหลัก แผนไม่เปลี่ยนเว็บไซต์หรือผลสแกน โมเดลไม่ตัดสินใจเกี่ยวกับบุคคล ดูเพิ่มเติมในหน้ากฎหมายสหภาพยุโรปว่าด้วย AI: formexposed ใช้ AI อย่างไร

6.9 ฐานกฎหมาย

การประมวลผล	ฐานกฎหมาย
P1 การตรวจสอบฟรี: ตรวจโดเมนตามคำขอ ขีดจำกัดและการป้องกันการใช้งานในทางที่ผิด	สำหรับผู้ร้องขอ มาตรา 6(1)(b) สำหรับผู้ดำเนินการและบุคคลในภาพ มาตรา 6(1)(f) การป้องกันการใช้งานในทางที่ผิด มาตรา 6(1)(f)
P2 การตรวจสอบสำหรับผู้สนใจใช้บริการ	มาตรา 6(1)(f) (ประโยชน์โดยชอบด้วยกฎหมายของเอเจนซีและ formexposed)
P3 การศึกษา	มาตรา 6(1)(f)
P4 การตรวจโดเมนลูกค้า	มาตรา 6(1)(b) ในความสัมพันธ์กับลูกค้า สำหรับข้อมูลบุคคลภายนอกบนเว็บไซต์ลูกค้า ใช้คำสั่งลูกค้าตามมาตรา 28
P5 การสแกนหลังเข้าสู่ระบบ	คำสั่งลูกค้าตามมาตรา 28 ฐานกฎหมายของลูกค้า
P6 การตรวจสอบการส่งถึง	คำสั่งลูกค้าตามมาตรา 28 ฐานกฎหมายของลูกค้า (ในข้อความแนะนำให้ลูกค้าของเราใช้มาตรา 6(1)(f))
P7 การป้องกันร่วม	มาตรา 6(1)(f) (ร่วมป้องกันสแปมข้ามหลายเว็บไซต์)

ประโยชน์โดยชอบด้วยกฎหมายของเราใน P1 ถึง P3 คือการแสดงจุดอ่อนของแบบฟอร์มให้ผู้ดำเนินการและผู้ให้บริการของตนทราบ ก่อนที่จุดอ่อนเหล่านั้นจะถูกใช้ส่งสแปมหรือใช้งานในทางที่ผิด รวมทั้งการให้บริการของเรา ข้อมูลมาจากแหล่งที่เข้าถึงสาธารณะ การชั่งน้ำหนักผลประโยชน์อยู่ในหัวข้อ 7 ประเด็นว่ามาตรา 6(1)(f) รองรับการตรวจเว็บไซต์บุคคลภายนอกตามคำขอหรือไม่ยังไม่ยุติและต้องตรวจสอบทางกฎหมาย

6.10 ผู้รับและการโอนไปประเทศที่สาม

ผู้รับ	ข้อมูล	การประมวลผล	สถานะ
ไม่มีผู้ใดนอก formexposed	ผลการตรวจสอบ ภาพหน้าจอ การจัดประเภทโดยโมเดลภาษา	P1–P5	บริการตรวจสอบและโมเดลภาษาทำงานบนเซิร์ฟเวอร์เราเอง ในเส้นทางตรวจสอบของตัวรวบรวมข้อมูล ไม่พบการเรียกบุคคลภายนอกนอกจากเว็บไซต์ที่ตรวจเอง บริการที่เว็บไซต์ฝังเนื้อหา (เช่นเดียวกับผู้เยี่ยมชมทั่วไป) และบริการ RDAP rdap.org สำหรับอายุโดเมน (เฉพาะชื่อโดเมน) ตัวเฝ้าระวังของการเฝ้าติดตามอยู่ในแถวถัดไป
ทุกคนที่รู้ลิงก์	รายงานพร้อมผลการตรวจสอบและภาพหน้าจอ	P1, P2, P4	ลิงก์สุ่ม 128 บิต (`cfg/check_lib.php`) หน้าใช้ `noindex` (`www/report.php`)
บริการที่การเฝ้าติดตามโดเมนลูกค้าสอบถาม	รายการบล็อก DNS (SpamCop, PSBL, Mailspike, SURBL): โดเมนและที่อยู่ IP เซิร์ฟเวอร์ ไม่มีข้อมูลผู้เยี่ยมชม Google Web Risk เฉพาะเมื่อตั้งค่า: ที่อยู่หน้าแรก หน่วยงานประทับเวลา Certum และ DigiCert: เฉพาะค่าแฮชบันทึกหลักฐาน RDAP ผ่านทะเบียน IANA: เฉพาะชื่อโดเมน หน้าสถานะผู้ให้บริการ: ไม่ส่งอะไร wpvulnerability.net: ตัวระบุปลั๊กอิน (ไม่มีเวอร์ชัน) หรือธีมและเวอร์ชัน WordPress	P4	ใช้งานอยู่ รายละเอียดในบันทึกกิจกรรมการประมวลผลข้อมูลและหน้าผู้ประมวลผลข้อมูลช่วง
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	สำเนาควบคุมรวมข้อความผู้เยี่ยมชมจริง	P6	ยังไม่ได้ทำสัญญา และยังต้องตรวจสอบสถานที่ประมวลผลและกลไกการโอนข้อมูล
Namecheap, Inc. (USA)	ผู้รับจดทะเบียนและ DNS จนกว่าจะตั้งค่ากล่องจดหมาย ส่งต่ออีเมลทั่วไปที่ส่งถึงที่อยู่โดเมนเรา ไม่ใช่สำเนาควบคุม (ซึ่งถึงกล่องจดหมายเฉพาะผ่านระเบียน MX ที่ชี้ตรงไป)	– (ไม่มีสำเนาควบคุม)	ต้องตรวจกลไกการโอน
ช่องทางการแจ้งเตือนที่ลูกค้าเลือก (อีเมล webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	เหตุการณ์ โดเมน ลิงก์ สำหรับการตรวจความแท้จริง มีโดเมนผู้ส่งหากไม่ใช่ของเว็บไซต์	P4, P6	ลูกค้าเป็นผู้เลือกปลายทาง ซึ่งบางส่วนอยู่นอก EU เราส่งข้อความ Telegram ผ่านบอตของเรา กลไกการโอนข้อมูลสำหรับการส่งนี้ยังเป็นประเด็นที่ต้องตรวจสอบทางกฎหมาย
ทุกเว็บไซต์ที่เชื่อมต่อ	รายชื่อโดเมนลิงก์	P7	ผ่านคำตอบกลับปลั๊กอิน
จุดตรวจสอบที่สอง	โดเมน ที่อยู่แบบฟอร์ม ตัวเลือกองค์ประกอบ ขั้นตอน	P4	ปิดอยู่

6.11 ระยะเวลาเก็บที่ตรวจวัด ไม่ใช่เพียงตั้งใจ

ระบบดำเนินการลบข้อมูลส่วนใหญ่ในเวลากลางคืนเวลา 03:00 ผ่านกระบวนการตรวจสถานะ (srv/cron_status.php, cfg/fristen_lib.php) ระบบจะลบรายงานการป้องกันร่วมและแถวข้อมูลผู้สนใจใช้บริการทุกวันตั้งแต่ 04:00 ลบข้อมูลการจับคู่ของการตรวจสอบการส่งถึงทุกครั้งที่ดึงข้อมูล และลบรายงานไม่ระบุตัวตนกับรายงานผู้สนใจใช้บริการตามวันหมดอายุของรายงาน (cfg/check_lib.php) ระบบจะลบภาพหน้าจอออกจากดิสก์พร้อมกับข้อมูลการสแกนที่เกี่ยวข้อง (cfg/fristen_lib.php)

ข้อมูล	ระยะเวลาตามโค้ด	แหล่งอ้างอิง	ข้อค้นพบ
การตรวจสอบฟรีรวมภาพ	30 วัน	`cfg/check_lib.php`	มีผลจริง
การตรวจสอบสำหรับผู้สนใจใช้บริการรวมภาพ	90 วัน	`cfg/akquise_lib.php`; `srv/cron_status.php` (แถวผู้สนใจใช้บริการ)	มีผลจริง
การตรวจโดเมนลูกค้า	13 เดือน เก็บครั้งล่าสุดตราบเท่าที่โดเมนยังอยู่	`cfg/fristen_lib.php`	มีผลจริง
ผลขั้นตอนการใช้งานผ่านเบราว์เซอร์รวมภาพปิดดำ	13 เดือน	`cfg/fristen_lib.php`	มีผลจริง
ข้อมูลโดเมนที่ลบแล้ว	ทันที ข้อมูลกำพร้าลบกลางคืน	`cfg/fristen_lib.php` (`fe_domain_loeschen()`, `fe_fristen_lauf()`)	มีผลจริง รวมรายการสคริปต์และการเปลี่ยนแปลงสคริปต์ซึ่งไม่มีระยะเวลาเก็บของตนเองนอกเหนือจากนั้น (ดูบันทึกกิจกรรมการประมวลผลข้อมูล)
การศึกษา: ข้อมูลดิบรวมภาพ	เมื่อเผยแพร่	`cfg/studie_lib.php`	หากไม่เผยแพร่ ไม่มีกำหนดเวลา รายชื่อโฮสต์ที่ตรวจยังอยู่โดยไม่มีกำหนดเวลาแม้หลังเผยแพร่
การตรวจสอบภายในที่ไม่มีโดเมนและรายงาน	ไม่มี	–	ไม่ลบ ตรวจวัดได้: การตรวจสอบ 85 ครั้งพร้อมภาพ 369 ภาพตั้งแต่ 22 กันยายน 2026 (R4)
การจับคู่การตรวจสอบการส่งถึง	180 วัน	`cfg/zustellung_lib.php`	มีผลจริง
ผลตรวจความแท้จริงที่เก็บกับโดเมน	จนมีผลถัดไปหรือลบโดเมน	`cfg/zustellung_lib.php`	ระบบจะเขียนทับผลเดิม โดยไม่ได้กำหนดระยะเวลาการเก็บรักษา
สำเนาควบคุมในกล่องจดหมาย	จนดึงสำเร็จครั้งถัดไป (ช่วงห้านาที)	`cfg/zustellung_lib.php`	ยังไม่ได้ตรวจยืนยันเรื่องสำเนาและข้อมูลสำรองที่ผู้ให้บริการกล่องจดหมาย
ข้อมูลรับรองสำหรับสแกนหลังเข้าสู่ระบบ	จนกว่าลูกค้าจะลบข้อมูลรับรองหรือจนกว่าจะลบโดเมน สำหรับสำเนาในงาน จะเก็บไว้ไม่เกินเวลาสิ้นสุดรอบการทำงาน และจะลบส่วนที่หลงเหลือหลังจากหนึ่งชั่วโมง	`cfg/login_lib.php`	มีผลจริง โดยข้อมูลรับรองที่อยู่ในข้อมูลสำรองจะมีเฉพาะในรูปข้อความเข้ารหัสเป็นเวลาสูงสุด 14 วัน
รายงานในการป้องกันร่วม	30 วัน	`cfg/swarm_lib.php`	มีผลจริง
ขีดจำกัดการตรวจสอบฟรี (IP ประเทศ แฮชเซสชัน)	7 วัน	`srv/cron_status.php`	มีผลจริง
หมายเหตุพฤติกรรมผิดสังเกตพร้อมที่อยู่ IP	90 วันหลังแก้ไข	`srv/cron_status.php`	หมายเหตุที่ยังไม่แก้ไขไม่มีกำหนดเวลา ตรวจวัดได้: หมายเหตุ 3 รายการ แก้ไขแล้วทั้งหมด
ที่อยู่ IP ประเทศ เบราว์เซอร์เกี่ยวกับการยกเว้นโดเมน	12 เดือน คงการยกเว้นไว้	`cfg/fristen_lib.php`	มีผลจริง
ข้อมูลสำรองฐานข้อมูล	14 วัน	`cfg/backup_lib.php`	มีผลจริง ปัจจุบันข้อมูลสำรองอยู่ในสถานที่เดียวกับฐานข้อมูลและไม่เข้ารหัสแยก เราวางแผนที่จะจัดเก็บสำเนาที่เข้ารหัสไว้ในสถานที่ที่สอง (R13)

7. (b) การประเมินความจำเป็นและความได้สัดส่วน

เกณฑ์วัดคือวัตถุประสงค์ที่ระบุ: แสดงให้ผู้ดำเนินการเห็นว่าแบบฟอร์มป้องกันสแปมและการใช้งานในทางที่ผิดหรือไม่ (P1 ถึง P5) ตรวจว่าอีเมลแบบฟอร์มมาถึงและดูแท้จริงหรือไม่ (P6) และร่วมป้องกันสแปมข้ามหลายเว็บไซต์ (P7) วัตถุประสงค์เหล่านี้ชอบด้วยกฎหมาย คำถามตามมาตรา 35(7)(b) แคบกว่า: การประมวลผลนี้จำเป็นต้องลึกถึงระดับนี้เพื่อวัตถุประสงค์หรือไม่ และการแทรกแซงได้สัดส่วนกับประโยชน์หรือไม่?

องค์ประกอบ	จำเป็นสำหรับวัตถุประสงค์หรือไม่?	ได้สัดส่วนในรูปแบบที่สร้างไว้หรือไม่?
ดึงหน้าสาธารณะไม่กี่หน้า โครงสร้างแบบฟอร์ม มาตรการป้องกันที่ตรวจพบ	ใช่ หากไม่มีจะไม่มีผลการตรวจสอบ	ใช่ ระบบดึงข้อมูลสูงสุดแปดหน้า (และมุมมองเพิ่มเติมตามหัวข้อ 6.1) ปฏิบัติตามข้อห้ามของหน้าแรกใน robots.txt ไม่เก็บค่าของฟิลด์ที่มองเห็น และเก็บเฉพาะโดเมนของที่อยู่ผู้รับ
ภาพหน้าจอต่อแบบฟอร์ม	ใช่ เพื่อเป็นหลักฐานในรายงาน ผู้ดำเนินการเห็นว่าหมายถึงแบบฟอร์มใด	ได้สัดส่วนเป็นส่วนใหญ่ ฟิลด์ยังคงว่างเพราะตัวรวบรวมข้อมูลไม่ได้พิมพ์สิ่งใดลงไป อย่างไรก็ตาม ภาพจะแสดงบริเวณโดยรอบองค์ประกอบแบบฟอร์มโดยไม่มีการปิดทับส่วนใดด้วยสีดำ (R3)
ภาพหน้าจอหน้าแรก	ไม่จำเป็นต่อตัวผลการตรวจสอบ ภาพนี้มีไว้เพื่อให้ผู้ที่อ่านรายงานจำเว็บไซต์ที่ตรวจสอบได้	ได้สัดส่วนอย่างจำกัดเท่านั้น มีแผนลดข้อมูลเพิ่มเติม หน้าแรกมักมีบุคคล: ภาพทีม ผู้ติดต่อ คำรับรองลูกค้าพร้อมชื่อ ดู R3 และหัวข้อ 9.3
อ่านค่าฟิลด์ซ่อน (24 อักขระแรก เฉพาะระหว่างตรวจ)	ใช่ ระบบใช้ค่าเหล่านี้เพื่อตรวจจับโทเค็นและการประทับเวลา	ใช่ ระบบจะเก็บเฉพาะผลการตรวจจับ ไม่เก็บค่าที่อ่าน รวมถึงในกรณีที่สแกนหลังเข้าสู่ระบบ (R8)
หน้าตอบกลับการส่งทดสอบ (ภาพและข้อความ 300 อักขระ)	ใช่ เป็นหลักฐานว่าแบบฟอร์มตอบอย่างไร	ใช่ คำตอบเกี่ยวกับข้อความทดสอบที่ระบุชัดของเราโดยไม่มีข้อมูลส่วนบุคคล
การจัดประเภทโดยโมเดลภาษา	มีประโยชน์แต่ไม่จำเป็น หากไม่ใช้โมเดล จะมีแบบฟอร์มที่ยังคงมีสถานะ “unknown” มากขึ้น	ใช่ การจัดประเภทเกิดขึ้นภายในเครื่อง ไม่มีการเปิดเผยข้อมูล และโมเดลไม่มีสิทธิ์ส่งแบบฟอร์ม
แผนดำเนินการภายในเครื่องจากผลการตรวจสอบที่เลือกและข้อมูลเมตาการสแกน	มีประโยชน์สำหรับจัดลำดับการแก้ไข ไม่จำเป็นต่อการสร้างผลการตรวจสอบรายข้อ	ระบบจำกัดข้อมูลเข้าไว้ที่ข้อมูลเมตาการสแกนที่มีอยู่และผลการตรวจสอบที่ไม่ผ่านหรือไม่ชัดเจนซึ่งไม่ซ้ำกันสูงสุด 18 ข้อ โดยไม่ใส่ภาพหน้าจอหรือค่าที่กรอกในฟิลด์ลงในคำสั่งให้โมเดล แผนมีลักษณะเป็นคำแนะนำและมีป้ายระบุว่าสร้างด้วย AI ส่วนผลการตรวจสอบรายข้อยังคงเป็นหลัก URL และหมายเหตุอาจยังมีข้อมูลส่วนบุคคล และข้อความที่สร้างจะอยู่ภายใต้ระยะเวลาการเก็บรักษาของการสแกนและเข้าถึงได้โดยผู้ที่มีลิงก์ ข้อจำกัดเหล่านี้ช่วยลดการเปิดเผยข้อมูล แต่ไม่ได้พิสูจน์ว่าข้อเท็จจริงถูกต้อง (R10)
การส่งทดสอบเชิงรุก	ใช่ จะทราบว่าการป้องกันทำงานหรือไม่ก็ต่อเมื่อทดสอบ	ใช่ มีเพดานและระบุว่าเป็นการทดสอบ อย่างไรก็ตาม หลักฐานการควบคุมซึ่งเป็นเงื่อนไขเบื้องต้นนั้นไม่เคยได้รับการต่ออายุ (R7)
การค้นไฟล์ที่เปิดเผย	ใช่ สำหรับลูกค้าที่ข้อมูลแบบฟอร์มอาจเปิดเผยที่นั่น	ใช่ ระบบค้นหาเฉพาะโดเมนที่ยืนยันแล้ว อ่านข้อมูลสูงสุด 8 KB และไม่จัดเก็บเนื้อหา
การสแกนหลังเข้าสู่ระบบ	ใช่ สำหรับแบบฟอร์มในส่วนสมาชิกที่มิฉะนั้นไม่ถูกตรวจ	ได้สัดส่วนเป็นส่วนใหญ่ ระบบได้ออกแบบการเข้ารหัสและการลบไว้อย่างรอบคอบ แต่ขั้นตอนการเข้าสู่ระบบยอมรับการเชื่อมต่อที่ไม่เข้ารหัสและใบรับรองที่มีข้อผิดพลาด (R8)
สำเนาควบคุมข้อความจริงของผู้เยี่ยมชม	ไม่จำเป็นต่อหลักฐานการส่งถึง หลักฐานนั้นอาศัยเฉพาะสำเนาข้อความทดสอบของเรา (`cfg/zustellung_lib.php`) ข้อความจริงถูกส่งมาด้วยเพราะการส่งสำเนาลับในแบบฟอร์มไม่ได้แยกระหว่างข้อความทดสอบกับข้อความจริง ข้อความจริงเหล่านี้มีประโยชน์ต่อการตรวจสอบความแท้จริง (SPF, DKIM, DMARC) เพราะแสดงเส้นทางส่งจริง	บางส่วน ระบบไม่จัดเก็บเนื้อหาแต่จะอ่านเนื้อหานั้น และเนื้อหาจะยังคงอยู่กับผู้ให้บริการกล่องจดหมายจนกว่าจะถูกดึงข้อมูล โดยประเด็นสัญญากับผู้ให้บริการนั้นยังไม่ยุติ (R1, R2) ในทางเทคนิค สามารถออกแบบให้แทรกแซงน้อยกว่านี้ได้ กล่าวคือ หากใช้ปลั๊กอินของเรา อาจจำกัดการส่งสำเนาลับไว้เฉพาะข้อความทดสอบที่ระบุชัด (หัวข้อ 9.3)
เก็บโดเมนผู้ส่งข้อความจริง	บางส่วน แสดงว่าแบบฟอร์มส่งโดยใช้ที่อยู่ผู้เยี่ยมชมเป็นผู้ส่งหรือไม่ (สาเหตุพบบ่อยของการถูกจัดเป็นสแปม)	ได้สัดส่วนภายใต้เงื่อนไข สำหรับบุคคลที่มีโดเมนของตนเอง โดเมนนั้นเป็นข้อมูลส่วนบุคคล และจะถูกส่งไปในการแจ้งเตือนถึงลูกค้าและช่องทางของลูกค้า (R1)
รายชื่อโดเมนลิงก์ร่วม	ใช่ ลิงก์สแปมที่ปรากฏหลายเว็บไซต์พร้อมกันเป็นสัญญาณเข้มที่เว็บไซต์เดียวไม่มี	ใช่ ระบบใช้จำนวนขั้นต่ำ ข้อยกเว้น และการกักกันแทนการลบ การใช้เครือข่าย IP จะไม่ได้สัดส่วนหากไม่มีการประเมินใหม่
ข้อมูลดิบการศึกษา	ใช่ จนประเมินผล	หากไม่มีระยะเวลาสูงสุด ไม่ได้สัดส่วน (R4)
รายงานภายใต้ลิงก์สุ่ม	ใช่ การส่งต่อรายงาน เช่น ให้ผู้ให้บริการที่ดูแลเว็บไซต์ เป็นวัตถุประสงค์การตรวจสอบฟรี	ใช่ รายงานใช้ลิงก์สุ่ม 128 บิตและ `noindex` ส่วนรายงานฟรีจะแสดงเพียงบางส่วน (`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`) ระบบจะลบรายงานหลังจาก 30 วัน

ความชอบด้วยกฎหมาย สำหรับ P1 ถึง P3 และ P7 เราอ้างมาตรา 6(1)(f) ปัจจัยสนับสนุนการชั่งน้ำหนัก: ข้อมูลเป็นข้อมูลสาธารณะและถูกดึงในลักษณะเดียวกับที่ผู้เยี่ยมชมทั่วไปทำ ระบบไม่ได้ส่งข้อมูลผ่านแบบฟอร์ม ข้อมูลส่วนบุคคลเกิดขึ้นโดยบังเอิญและมีเพียงเล็กน้อย และระยะเวลาการเก็บรักษาสั้น ผู้ดำเนินการสามารถยกเว้นการตรวจสอบครั้งต่อไปโดยตัวรวบรวมข้อมูลด้วยการห้ามเข้าถึงหน้าแรกใน robots.txt และยกเว้นการตรวจสอบอื่นทั้งหมดผ่านหน้ายกเว้นโดเมนเราได้ทันทีโดยไม่ต้องมีหลักฐาน ประโยชน์จากการมีแบบฟอร์มที่ได้รับการป้องกันยังเกิดแก่ผู้ดำเนินการและผู้เยี่ยมชมด้วย ปัจจัยคัดค้าน: ผู้ดำเนินการไม่ทราบว่ามีการตรวจสอบ รายงานมีไว้สำหรับบุคคลภายนอก และในกรณีของผู้ประกอบการรายบุคคล การประเมินดังกล่าวเป็นการประเมินบุคคล เราเห็นว่าการชั่งน้ำหนักมีเหตุผลรองรับได้ตราบเท่าที่มาตรการหัวข้อ 9.1 ยังคงอยู่ การยืนยันทางกฎหมายยังรอดำเนินการ

การให้ข้อมูลแก่เจ้าของข้อมูล (มาตรา 13 และ 14) เราให้ข้อมูลแก่ผู้ดำเนินการเว็บไซต์และบุคคลที่ปรากฏบนหน้าที่ได้รับการตรวจสอบผ่านหน้าตัวรวบรวมข้อมูล ซึ่งระบุไว้ในตัวระบุที่ใช้ในการเรียกดูข้อมูลทุกครั้ง ผ่านนโยบายความเป็นส่วนตัว และผ่านหน้ายกเว้นโดเมน การแจ้งข้อมูลเป็นรายบุคคลแก่ผู้ที่บังเอิญปรากฏในภาพหน้าจอจะทำได้ก็ต่อเมื่อเราระบุตัวตนของบุคคลเหล่านั้นเสียก่อน ซึ่งจะเป็นการแทรกแซงเพิ่มเติมที่รุนแรงยิ่งกว่า ด้วยเหตุนี้ เราจึงอาศัยมาตรา 14(5)(b) สำหรับกรณีดังกล่าว ส่วนผู้เยี่ยมชมที่ข้อความของตนผ่านสำเนาควบคุมจะได้รับข้อมูลจากลูกค้า โดยข้อตกลงการประมวลผลข้อมูลกำหนดให้ลูกค้าดำเนินการเช่นนี้ และเราจัดเตรียมข้อความสำเร็จรูปไว้ให้สำหรับการแจ้งข้อมูลดังกล่าว

การลดข้อมูลให้เหลือน้อยที่สุด (มาตรา 5(1)(c)) หลักการนี้ปรากฏให้เห็นในหลายส่วนและมีการนำไปใช้ในโค้ด กล่าวคือ เราไม่เก็บค่าของฟิลด์ เก็บที่อยู่ผู้รับไว้เฉพาะส่วนที่เป็นโดเมน ซ่อนตัวระบุบัญชีในที่อยู่สคริปต์ ไม่เก็บเนื้อหาจากสำเนาควบคุมไว้ในฐานข้อมูล ไม่ถ่ายภาพหน้าจอของหน้าที่อยู่หลังการเข้าสู่ระบบ และใช้เฉพาะโดเมนในการป้องกันร่วม ยังมีอีกสองจุดที่สามารถลดข้อมูลเพิ่มเติมได้และมีแผนจะดำเนินการแล้ว (หัวข้อ 9.3) ได้แก่ ภาพหน้าจอของหน้าแรกที่ยังไม่มีการปิดทับข้อมูล และโดเมนผู้ส่งของข้อความจริง

การจำกัดการเก็บรักษา (มาตรา 5(1)(e)) ตั้งแต่วันที่ 27 กันยายน 2026 งานที่ทำงานทุกคืนได้ปฏิบัติตามระยะเวลาที่กำหนดไว้ในนโยบายความเป็นส่วนตัวสำหรับข้อมูลลูกค้า และได้ล้างข้อมูลที่เหลือจากช่วงก่อนหน้านั้นซึ่งไม่มีโดเมนที่เกี่ยวข้องออกด้วย (cfg/fristen_lib.php) อย่างไรก็ตาม ยังมีเส้นทางการเก็บข้อมูลอีกสองเส้นทางที่ไม่มีการจำกัดเวลา ได้แก่ การตรวจสอบภายในและการศึกษาที่ยังไม่ได้เผยแพร่ (R4)

ความถูกต้อง (มาตรา 5(1)(d)) ผลการตรวจสอบอาจผิดพลาดได้ เช่น แบบฟอร์มอาจดูเหมือนไม่มีการป้องกันเพราะระบบป้องกันจะโหลดหลังจากมีการโต้ตอบเท่านั้น หรือไฟร์วอลล์อาจปฏิบัติต่อตัวรวบรวมข้อมูลแตกต่างจากผู้เยี่ยมชม สำหรับผู้ดำเนินการที่เว็บไซต์ของตนถูกเผยแพร่ต่อสาธารณะพร้อมคำประเมินว่า “ไม่มีการป้องกัน” เรื่องนี้ย่อมส่งผลต่อชื่อเสียง ด้วยเหตุนี้ รายงานจึงระบุวิธีการ แสดงหลักฐาน และชี้แจงข้อจำกัดของการตรวจสอบจากภายนอก

ผลการประเมินความได้สัดส่วน: โดยสาระสำคัญ การตรวจสอบเว็บไซต์ของบุคคลภายนอกและเว็บไซต์ของตนเองในรูปแบบที่พัฒนาขึ้นมีความได้สัดส่วน มีสามจุดที่จำเป็นต้องปรับปรุง ซึ่งสามารถแก้ไขได้ด้วยวิธีการทั่วไปและมีแผนมาตรการไว้แล้ว (หัวข้อ 9.3) ได้แก่ ภาพหน้าจอของหน้าแรก การตรวจสอบภายในที่ไม่จำกัดเวลา และการเข้าสู่ระบบโดยไม่เข้ารหัสสำหรับการสแกนหลังเข้าสู่ระบบ การตรวจสอบการส่งถึงมีความได้สัดส่วนในส่วนของสำเนาทดสอบและการตรวจสอบความแท้จริง ส่วนการประมวลผลข้อความจริงของผู้เยี่ยมชมจะมีความได้สัดส่วนก็ต่อเมื่อไม่มีการเก็บเนื้อหา มีสัญญารองรับเส้นทางที่ผ่านผู้ให้บริการกล่องจดหมาย และลูกค้าแจ้งข้อมูลแก่ผู้เยี่ยมชมของตน ปัจจุบันยังขาดเงื่อนไขข้อที่สองในสามข้อนี้

8. (c) การประเมินความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล

การประเมินนี้พิจารณาความเสี่ยงที่มีต่อเจ้าของข้อมูล ไม่ใช่ความเสี่ยงที่มีต่อ formexposed โดยจัดระดับโอกาสเกิดเป็นน้อยมาก เป็นไปได้ มีแนวโน้ม หรือเกิดขึ้นแล้ว คำว่า “เกิดขึ้นแล้ว” หมายความว่าเหตุการณ์นั้นไม่ใช่เพียงการคาดการณ์ แต่เป็นสถานะที่ตรวจวัดได้ ระดับความรุนแรงแบ่งเป็นจำกัด มีนัยสำคัญ ร้ายแรง หรือร้ายแรงมาก โดยขึ้นอยู่กับสิ่งที่บุคคลอาจสูญเสีย เช่น ความลับของข้อความ การควบคุมบัญชี ชื่อเสียงทางธุรกิจ หรือความสามารถในการใช้สิทธิ ระดับความเสี่ยงได้มาจากการพิจารณาทั้งสองด้านร่วมกัน และอธิบายสถานะปัจจุบันภายใต้มาตรการตามหัวข้อ 9.1

หมายเลข	ความเสี่ยง	การประมวลผล	โอกาสเกิด	ความรุนแรง	ระดับ
R1	ข้อความจริงของผู้เยี่ยมชมที่อยู่ในสำเนาควบคุม ซึ่งอาจรวมถึงข้อมูลประเภทพิเศษ	P6	เกิดขึ้นแล้วเมื่อเปิดใช้งาน	ร้ายแรง	สูง
R2	เส้นทางของสำเนาควบคุมที่ผ่านผู้ให้บริการกล่องจดหมายโดยยังไม่ได้ทำสัญญา และอาจเชื่อมโยงกับประเทศที่สาม	P6	มีแนวโน้มตราบเท่าที่ยังไม่มีสัญญา	ร้ายแรง	สูง
R3	ภาพหน้าจอของเว็บไซต์บุคคลภายนอกที่ไม่มีการปิดทับข้อมูล	P1–P4	มีแนวโน้ม	จำกัด	ปานกลาง
R4	ข้อมูลการตรวจสอบและภาพหน้าจอที่ไม่มีเส้นทางสำหรับการลบ	P3 การตรวจสอบภายใน	เกิดขึ้นแล้ว	มีนัยสำคัญ	สูง
R5	การตรวจสอบและประเมินเว็บไซต์บุคคลภายนอกต่อสาธารณะโดยที่ผู้ดำเนินการไม่ทราบ รวมถึงการนำไปใช้เป็นเครื่องมือสอดแนมในทางที่ผิด	P1	เป็นไปได้	มีนัยสำคัญ	ปานกลาง
R6	การใช้การตรวจสอบสำหรับผู้สนใจใช้บริการเป็นพื้นฐานในการติดต่อโดยที่ไม่ได้รับการร้องขอ	P2	มีแนวโน้ม	จำกัด	ปานกลาง
R7	หลักฐานการควบคุมที่ไม่มีการต่ออายุเลย	P4, P5	เป็นไปได้	มีนัยสำคัญ	ปานกลาง
R8	ข้อมูลรับรองและเนื้อหาในการสแกนหลังเข้าสู่ระบบ	P5	เป็นไปได้	ร้ายแรง	ปานกลาง แต่สูงสำหรับบัญชีจริง
R9	การส่งข้อความทดสอบเชิงรุกและการตรวจสอบไฟล์บนเว็บไซต์ของลูกค้า	P4	น้อยมาก	มีนัยสำคัญ	ต่ำ
R10	การจัดประเภทโดยโมเดลภาษา	P1–P4	น้อยมาก	จำกัด	ต่ำ
R11	รายการบล็อกร่วมที่ได้จากรายงานของหลายเว็บไซต์	P7	เป็นไปได้	จำกัด	ต่ำถึงปานกลาง แต่สูงเมื่อใช้เครือข่าย IP
R12	รายงานและภาพหน้าจอที่เข้าถึงได้ผ่านลิงก์สาธารณะ	P1, P2, P4	เป็นไปได้	จำกัด	ต่ำ
R13	จุดอ่อนของโครงสร้างพื้นฐาน ได้แก่ ข้อมูลสำรอง การเข้าถึงเซิร์ฟเวอร์ และเซิร์ฟเวอร์สแกน	ทั้งหมด	เป็นไปได้	ร้ายแรง	สูง
R14	สิทธิของเจ้าของข้อมูลสำหรับบุคคลที่ไม่รู้จักเรา	P1–P6	มีแนวโน้ม	จำกัด	ต่ำ

R1 — ข้อความจริงของผู้เยี่ยมชมที่อยู่ในสำเนาควบคุม

นี่เป็นความเสี่ยงที่ร้ายแรงที่สุดของบริการ และไม่ได้เกิดจากข้อผิดพลาด แต่เกิดจากการออกแบบ สำเนาลับในแบบฟอร์มไม่ได้แยกแยะระหว่างข้อความทดสอบของเรากับข้อความของผู้เยี่ยมชม หากลูกค้าเปิดใช้งานการตรวจสอบการส่งถึง ข้อความทุกฉบับที่ส่งผ่านแบบฟอร์มนั้นจะไปถึงกล่องจดหมายควบคุมของเรา (cfg/zustellung_lib.php) กระบวนการดึงข้อมูลจะอ่านส่วนหัวและข้อความ 8 KB แรกเข้ามาในหน่วยความจำ เพื่อค้นหาตัวระบุการทดสอบของเรา (cfg/zustellung_lib.php) สำหรับแบบฟอร์มติดต่อทั่วไป ข้อมูลเหล่านี้หมายถึงชื่อ ที่อยู่อีเมล หมายเลขโทรศัพท์ และข้อความทั้งหมด

ผู้เยี่ยมชมเป็นผู้ตัดสินใจเองว่าจะเขียนอะไร และช่องกรอกข้อมูลก็เอื้อให้กรอกเนื้อหาส่วนตัว เช่น การขอนัดหมายกับคลินิกพร้อมอธิบายอาการ การเล่าข้อพิพาททางกฎหมายให้สำนักงานกฎหมาย การสมัครงาน หรือการสอบถามเรื่องเด็กกับโรงเรียน เอกสารทางกฎหมายของเราระบุว่าสำเนา “ไม่ควรมีข้อมูลส่วนบุคคลประเภทพิเศษ” ข้อความนี้เป็นคำขอที่มีต่อลูกค้า ไม่ใช่มาตรการคุ้มครอง เพราะทั้งลูกค้าและเราต่างไม่ทราบล่วงหน้าว่าผู้เยี่ยมชมจะเขียนอะไร

เรื่องนี้ยังมีเส้นทางประกอบอีกสองทาง ประการแรก การตรวจสอบความแท้จริงจะเก็บโดเมนของที่อยู่ผู้ส่งไว้โดยเชื่อมโยงกับโดเมนที่ตรวจสอบ (cfg/zustellung_lib.php) หากแบบฟอร์มใช้ที่อยู่ของผู้เยี่ยมชมเป็นที่อยู่ผู้ส่ง โดเมนที่เก็บไว้นั้นก็คือโดเมนของผู้เยี่ยมชม สำหรับผู้ให้บริการอีเมลรายใหญ่ โดเมนนี้ไม่ได้บ่งบอกตัวบุคคล แต่สำหรับบุคคลที่มีโดเมนเป็นของตนเอง โดเมนนี้เป็นข้อมูลส่วนบุคคล โดเมนดังกล่าวยังปรากฏในการแจ้งเตือนที่ส่งไปยังลูกค้าและช่องทางที่ลูกค้าเลือกด้วย (cfg/zustellung_lib.php) ประการที่สอง ระบบจะเก็บที่อยู่ของเซิร์ฟเวอร์อีเมลที่ส่งข้อความ (cfg/zustellung_lib.php) ซึ่งโดยทั่วไปคือเซิร์ฟเวอร์ของเว็บไซต์ ไม่ใช่เซิร์ฟเวอร์ของผู้เยี่ยมชม

โอกาสเกิด — เกิดขึ้นแล้วเมื่อเปิดใช้งาน คำถามไม่ได้อยู่ที่ว่าข้อความจริงจะมาถึงหรือไม่ แต่อยู่ที่ว่าจะมาถึงกี่ฉบับ จากการตรวจวัดบนระบบพัฒนา ยังไม่มีโดเมนใดเปิดใช้งานฟังก์ชันนี้ ความรุนแรง — ร้ายแรง การรักษาความลับของข้อความที่ส่งถึงธุรกิจมีความสำคัญต่อคนจำนวนมาก และสำหรับลูกค้าบางประเภทที่พบได้ทั่วไป ย่อมคาดได้ว่าจะมีข้อมูลตามมาตรา 9 ความรุนแรงลดลงเนื่องจากเนื้อหาไม่ได้ถูกเก็บในฐานข้อมูล อยู่ในกล่องจดหมายเพียงช่วงสั้น ๆ และไม่มีบุคคลใดที่ formexposed อ่านเนื้อหานั้น ระดับ — สูง

R2 — เส้นทางของสำเนาควบคุมที่ผ่านผู้ให้บริการกล่องจดหมายโดยยังไม่ได้ทำสัญญา

ก่อนที่กระบวนการดึงข้อมูลของเราจะเข้าถึงสำเนาควบคุม สำเนานั้นจะอยู่ในกล่องจดหมายที่ Namecheap, Inc. (Private Email), Phoenix, Arizona, USA โดยจะมาถึงที่นั่นได้ก็ต่อเมื่อระเบียน MX ของโดเมนของเราชี้ตรงไปยังกล่องจดหมายนี้ การส่งต่ออีเมลที่ผู้รับจดทะเบียนโดเมน Namecheap, Inc. ไม่ใช่จุดที่สำเนาควบคุมผ่าน เพราะหากใช้การส่งต่อ สำเนาจะไปไม่ถึงกล่องจดหมาย สำหรับจุดที่ยังคงใช้งานอยู่นี้ การจัดทำข้อตกลงทางสัญญายังไม่แล้วเสร็จ กล่าวคือ ยังไม่ได้ทำสัญญากับผู้ให้บริการกล่องจดหมาย ยังไม่ได้ระบุสถานที่เก็บข้อมูล ผู้ประมวลผลข้อมูลช่วง และระยะเวลาของข้อมูลสำรอง อีกทั้งยังไม่ได้ข้อยุติว่าจำเป็นต้องมีคำวินิจฉัยว่ามีระดับการคุ้มครองที่เพียงพอหรือข้อสัญญามาตรฐานสำหรับสถานที่ประมวลผลนั้นหรือไม่ และมาตรการดังกล่าวใช้บังคับหรือไม่ สำหรับอีเมลธุรกรรมของเราเอง เรื่องนี้เป็นเรื่องของการจัดทำสัญญา แต่สำหรับสำเนาควบคุม เรื่องนี้ร้ายแรงกว่า เพราะเป็นข้อมูลที่เราได้รับในฐานะผู้ประมวลผลข้อมูล และผู้ให้บริการทุกแห่งตามเส้นทางนั้นเป็นผู้ประมวลผลข้อมูลช่วงที่เราต้องรับผิดตามมาตรา 28(4)

นอกจากนี้ คำว่า “ลบหลังจากดึงข้อมูล” ใช้ได้เฉพาะกับสิ่งที่เรามองเห็นในกล่องจดหมายเท่านั้น เรายังไม่ได้ตรวจสอบว่าผู้ให้บริการเก็บอีเมลที่ลบแล้วไว้ในข้อมูลสำรองหรือถังขยะของตนหรือไม่ และเก็บไว้นานเท่าใด หากการดึงข้อมูลยุติลงก่อนเสร็จสิ้น อีเมลจะคงอยู่จนกว่าการทำงานรอบถัดไปจะสำเร็จ (cfg/zustellung_lib.php) หากกระบวนการตรวจสอบสถานะล้มเหลว อีเมลจะคงอยู่โดยไม่มีกำหนด สุดท้ายนี้ การรักษาความปลอดภัยของกระบวนการดึงข้อมูลเองก็เป็นหนึ่งในประเด็นที่ต้องตรวจสอบบนระบบใช้งานจริงก่อนเปิดให้บริการ (หัวข้อ 9.3)

โอกาสเกิด — มีแนวโน้ม ตราบเท่าที่ยังไม่มีสัญญา เนื่องจากสำเนาควบคุมทุกฉบับต้องผ่านเส้นทางนี้ ความรุนแรง — ร้ายแรง ด้วยเหตุผลเดียวกับ R1 ระดับ — สูง รายการตรวจสอบการตั้งค่าของแอปพลิเคชันแสดงคำเตือนเมื่อยังไม่มีกล่องจดหมาย แต่ไม่มีตัวล็อกที่ปิดกั้นการตรวจสอบการส่งถึงในกรณีที่ยังไม่มีสัญญาซึ่งมีหลักฐานยืนยัน

R3 — ภาพหน้าจอของเว็บไซต์บุคคลภายนอกที่ไม่มีการปิดทับข้อมูล

ตัวรวบรวมข้อมูลจะถ่ายภาพพื้นที่ที่มองเห็นของหน้าแรก และถ่ายภาพองค์ประกอบแบบฟอร์มของทุกแบบฟอร์มที่มองเห็น (scanner/src/crawl.js) โดยไม่มีการปิดทับข้อมูลใด ๆ กระบวนการนี้แตกต่างจากขั้นตอนการใช้งานผ่านเบราว์เซอร์ ซึ่งจะปิดบังช่องกรอกข้อมูลก่อนถ่ายภาพหน้าจอ (scanner/src/browser.js) ดังนั้น จึงมีเพียงภาพจากขั้นตอนการใช้งานผ่านเบราว์เซอร์เท่านั้นที่ได้รับการ “ล้างข้อมูล” ส่วนภาพจากตัวรวบรวมข้อมูลและภาพหน้าตอบกลับจากการตรวจสอบเชิงรุกไม่ได้รับการดำเนินการเช่นนั้น

เนื่องจากตัวรวบรวมข้อมูลไม่ได้พิมพ์ข้อความใดลงไป ช่องกรอกในแบบฟอร์มจึงว่างอยู่ อย่างไรก็ตาม หน้าแรกของธุรกิจขนาดเล็กมักแสดงเจ้าของกิจการ ทีมงาน คำรับรองจากลูกค้าที่มีชื่อและภาพถ่าย หรือหน้าต่างแชตที่มีภาพของพนักงาน ข้อมูลทั้งหมดนี้เป็นข้อมูลสาธารณะ แต่การถ่ายภาพหน้าจอทำให้ข้อมูลนั้นกลายเป็นสำเนาที่เราจัดเก็บไว้ แสดงในรายงาน และสามารถส่งต่อไปพร้อมกับลิงก์ได้

โอกาสเกิด — มีแนวโน้ม จากการตรวจวัด พบภาพหน้าจอ 432 ภาพในชุดข้อมูลของระบบพัฒนา ความรุนแรง — จำกัด: เนื้อหาเป็นสาธารณะอยู่แล้ว และระยะเวลาการเก็บรักษาสำหรับการตรวจสอบโดยไม่มีบัญชีก็สั้น ระดับ — ปานกลาง เนื่องจากบุคคลที่ปรากฏในภาพไม่ทราบเรื่อง และภาพของหน้าแรกไม่ได้จำเป็นต่อผลการตรวจสอบ

R4 — ข้อมูลการตรวจสอบและภาพหน้าจอที่ไม่มีเส้นทางสำหรับการลบ

งานที่ทำงานทุกคืนจะลบการตรวจสอบผ่านสองเส้นทาง ได้แก่ ผ่านวันหมดอายุของรายงาน (cfg/check_lib.php) และผ่านระยะเวลาที่กำหนดสำหรับการตรวจสอบโดเมนของลูกค้า (cfg/fristen_lib.php ซึ่งใช้เฉพาะกับการตรวจสอบที่มีโดเมน) การตรวจสอบที่ไม่มีทั้งรายงานและโดเมนจึงไม่อยู่ภายใต้กลไกทั้งสองนี้ การตรวจสอบดังกล่าวคือการตรวจสอบที่มีระดับความเชื่อถือ “internal” ได้แก่ การศึกษาและการตรวจสอบที่ผู้ให้บริการสร้างขึ้นจากบรรทัดคำสั่ง

การศึกษาจะลบข้อมูลดิบเมื่อมีการเผยแพร่ (cfg/studie_lib.php) หากการศึกษาไม่เคยได้รับการเผยแพร่ ไม่ว่าจะเป็นเพราะมีเว็บไซต์ที่มีแบบฟอร์มน้อยเกินไป ซึ่งในกรณีนั้น cfg/studie_lib.php จะปฏิเสธการเผยแพร่ หรือเพราะมีการปล่อยงานค้างไว้ การตรวจสอบ แบบฟอร์ม ผลการตรวจสอบรายข้อ และภาพหน้าจอจะยังคงอยู่โดยไม่จำกัดเวลา
การตรวจสอบภายในจากบรรทัดคำสั่งไม่มีเส้นทางสำหรับการลบเลย จากการตรวจวัดเมื่อวันที่ 11 ตุลาคม 2026 พบการตรวจสอบเว็บไซต์บุคคลภายนอกประเภทนี้ 85 ครั้ง ซึ่งมีแบบฟอร์ม 978 แบบและภาพหน้าจอ 369 ภาพ รายการที่เก่าที่สุดเป็นของวันที่ 22 กันยายน 2026 และไม่มีรายการใดมีรายงานหรือโดเมนที่เกี่ยวข้อง
หมายเหตุเกี่ยวกับพฤติกรรมที่ผิดสังเกตในการตรวจสอบฟรีมีที่อยู่ IP และจะถูกลบเมื่อผ่านไป 90 วันหลังจากแก้ไขเรื่องนั้นแล้ว (srv/cron_status.php) หมายเหตุที่ไม่เคยได้รับการแก้ไขจะยังคงอยู่ จากการตรวจวัดพบหมายเหตุสามรายการ ซึ่งได้รับการแก้ไขแล้วทั้งหมด

โอกาสเกิด — เกิดขึ้นแล้ว การตรวจสอบ 85 ครั้งนี้ไม่ใช่สถานการณ์สมมติ แต่เป็นข้อมูลที่มีอยู่จริง บนระบบพัฒนา ข้อมูลดังกล่าวมาจากการทดสอบภาคสนาม และระบบใช้งานจริงก็ใช้โค้ดเดียวกัน ความรุนแรง — มีนัยสำคัญ: ข้อมูลเหล่านี้ไม่มีระยะเวลาการเก็บรักษา เมื่อพิจารณาตามหลักการจำกัดการเก็บรักษา (มาตรา 5(1)(e)) เรื่องนี้จึงเป็นประเด็นที่ยังไม่แล้วเสร็จและมีแผนมาตรการไว้แล้ว (หัวข้อ 9.3 ลำดับความสำคัญ “ก่อนอื่น”) อีกทั้งยังส่งผลต่อบุคคลที่ไม่ทราบเลยว่ามีการตรวจสอบ การตรวจสอบภายในได้รับการอธิบายไว้ในบันทึกกิจกรรมการประมวลผลข้อมูล แต่นโยบายความเป็นส่วนตัวยังไม่ได้ระบุการตรวจสอบประเภทนี้แยกต่างหาก (หัวข้อ 9.4) ระดับ — สูง

R5 — การตรวจสอบและประเมินเว็บไซต์บุคคลภายนอกต่อสาธารณะโดยที่ผู้ดำเนินการไม่ทราบ

บุคคลใดก็ได้สามารถขอให้ตรวจสอบเว็บไซต์ใด ๆ ที่เข้าถึงได้โดยสาธารณะ โดยไม่ต้องมีบัญชีและไม่จำเป็นต้องมีความเกี่ยวข้องกับเว็บไซต์นั้น ผู้ดำเนินการเว็บไซต์จะไม่ได้รับแจ้ง ผลที่ได้คือรายงานที่ประเมินเว็บไซต์ว่า “ไม่มีการป้องกัน” “มีการป้องกันบางส่วน” หรือ “มีการป้องกัน” ซึ่งบุคคลใดก็ตามที่มีลิงก์สามารถดูได้ ผลกระทบต่อเจ้าของข้อมูลอาจเกิดขึ้นได้สองประการ ประการแรก ผู้ประกอบการรายบุคคลได้รับการประเมินต่อสาธารณะ แม้จะเป็นเพียงในกลุ่มผู้ที่ได้รับลิงก์ก็ตาม และผลการประเมินนั้นอาจผิดพลาด ประการที่สอง รายงานทำให้ผู้ส่งสแปมทราบว่าแบบฟอร์มใดสามารถกรอกได้โดยไม่มีอุปสรรค

มีชุดกลไกปิดกั้นเพื่อรับมือกับเรื่องนี้ (cfg/check_lib.php) ได้แก่ การอนุญาตให้ตรวจสอบได้สูงสุดหนึ่งครั้งต่อโดเมนภายในเจ็ดวัน โดยหลังจากนั้นจะแสดงรายงานเดิม การจำกัดตามที่อยู่ IP และเซสชัน เพดานรายวันสำหรับบริการทั้งหมด การไม่ตรวจสอบโดเมนที่เพิ่งสร้างใหม่มากซึ่งมักเกี่ยวข้องกับการใช้ในทางที่ผิด การบันทึกหมายเหตุและส่งสัญญาณเมื่อพบพฤติกรรมผิดสังเกต รวมถึงการตรวจสอบ robots.txt และการยกเว้นโดเมนสองครั้ง ทั้งใน cfg/check_lib.php และในบริการตรวจสอบ รายงานฟรีเป็นรายงานฉบับย่อ ซึ่งแสดงเฉพาะผลการตรวจสอบพื้นฐาน ไม่ได้แสดงหลักฐานจากตัวตรวจจับทั้งหมด อีกทั้งรายงานไม่ได้เปิดเผยสิ่งใดที่บอตไม่สามารถค้นพบได้เองภายในไม่กี่วินาที เพราะแบบฟอร์มที่ไม่มีการป้องกันสามารถมองเห็นได้จากภายนอก

โอกาสเกิด — เป็นไปได้ ความรุนแรง — มีนัยสำคัญ สำหรับผู้ประกอบการรายบุคคลที่แบบฟอร์มของตนตกเป็นเป้าหลังจากมีรายงาน หรือได้รับการประเมินที่ผิดพลาด ระดับ — ปานกลาง

R6 — การใช้การตรวจสอบสำหรับผู้สนใจใช้บริการเป็นพื้นฐานในการติดต่อโดยที่ไม่ได้รับการร้องขอ

ในส่วนต่อประสาน มีการอธิบายการตรวจสอบสำหรับผู้สนใจใช้บริการว่าเป็น “ตัวเปิดประตูสู่การสนทนาครั้งแรก” เอเจนซีเป็นผู้ตัดสินใจเองว่าจะใช้ผลการตรวจสอบฉบับสั้นอย่างไร และในทางเทคนิค เอเจนซีสามารถส่งผลดังกล่าวไปยังผู้ดำเนินการที่ไม่ได้ร้องขอได้ด้วย เราไม่ได้ติดต่อบุคคลใด (cfg/akquise_lib.php) และข้อกำหนดการใช้บริการกำหนดให้เอเจนซีปฏิบัติตามกฎเกี่ยวกับการโฆษณาและการชักชวน อย่างไรก็ตาม อีเมลที่ส่งผลการตรวจสอบไปโดยไม่ได้รับการร้องขอถือเป็นการตลาดทางตรง แม้จะเป็นการติดต่อระหว่างธุรกิจ ซึ่งต้องได้รับความยินยอมล่วงหน้าทั้งในโปแลนด์ ตามมาตรา 398 แห่งกฎหมายการสื่อสารอิเล็กทรอนิกส์ (Prawo komunikacji elektronicznej, PKE) และในเยอรมนี ตาม § 7(2) แห่งกฎหมายต่อต้านการแข่งขันที่ไม่เป็นธรรม (Gesetz gegen den unlauteren Wettbewerb, UWG) ส่วนต่อประสานไม่ได้ชี้แจงเรื่องนี้ และข้อความของการตรวจสอบสำหรับผู้สนใจใช้บริการกล่าวถึงเพียง “แบบรับข้อมูลอย่างเดียว” และ “รายการยกเว้นโดเมน” เท่านั้น

โอกาสเกิด — มีแนวโน้ม เนื่องจากฟังก์ชันนี้มีไว้สำหรับการหาลูกค้า และเราไม่สามารถตรวจสอบได้ว่าผู้รับให้ความยินยอมแล้วหรือไม่ ความรุนแรง — จำกัด: สำหรับผู้ดำเนินการ เรื่องนี้คือการได้รับอีเมลการตลาดที่สร้างความรำคาญและมีการประเมินเว็บไซต์ของตนอยู่ด้วย ระดับ — ปานกลาง ความเสี่ยงอยู่ที่การกระทำของเอเจนซี แต่เนื่องจากเราเป็นผู้จัดให้มีฟังก์ชันนี้ จึงมีแผนเพิ่มคำแจ้งในส่วนต่อประสาน (หัวข้อ 9.3)

R7 — หลักฐานการควบคุมที่ไม่มีการต่ออายุเลย

การส่งข้อความทดสอบเชิงรุก การค้นหาไฟล์ที่เปิดเผย และการสแกนหลังเข้าสู่ระบบกำหนดให้ลูกค้าต้องพิสูจน์ก่อนว่าตนมีสิทธิ์ควบคุมโดเมนนั้น หลักฐานนี้จะได้รับการตรวจสอบเพียงครั้งเดียว (cfg/verify_lib.php) และไม่มีการตรวจสอบอีก ในโค้ดไม่มีเส้นทางที่ทำให้โดเมนสูญเสียสถานะการมีหลักฐานดังกล่าว หากโดเมนเปลี่ยนเจ้าของ เอเจนซีสิ้นสุดการรับงาน หรือผู้ดำเนินการนำระเบียน DNS ออก การตรวจสอบจะยังคงดำเนินต่อไป โดยอาจเกิดขึ้นถี่ถึงทุกวัน พร้อมกับการส่งข้อความทดสอบได้สูงสุดห้าครั้ง และหากมีการเก็บข้อมูลเข้าสู่ระบบไว้ ก็จะใช้ข้อมูลของบัญชีทดสอบซึ่งผู้ดำเนินการรายใหม่อาจไม่ทราบว่ามีอยู่ ในทางกลับกัน ไม่สามารถโอนหลักฐานไปยังโฮสต์อื่นด้วยการเปลี่ยนชื่อได้ เพราะไม่สามารถเปลี่ยนชื่อโฮสต์ของโดเมนที่มีหลักฐานการควบคุมแล้ว

โอกาสเกิด — เป็นไปได้: การเปลี่ยนโดเมนและการเปลี่ยนแปลงงานที่รับมอบหมายเป็นเรื่องที่เกิดขึ้นเป็นประจำสำหรับเอเจนซี ความรุนแรง — มีนัยสำคัญ สำหรับผู้ดำเนินการรายใหม่และพนักงาน ซึ่งได้รับข้อความที่ระบุชัดว่าเป็นการทดสอบ และมีการค้นหาไฟล์ที่เปิดเผยบนเว็บไซต์ของตนโดยไม่ได้ให้ความยินยอม ระดับ — ปานกลาง ข้อความทดสอบอธิบายวัตถุประสงค์ของตนและอ้างอิงไปยังหน้าตัวรวบรวมข้อมูลและการยกเว้นโดเมน โดยการยกเว้นโดเมนมีผลกับการตรวจสอบที่ลูกค้าเป็นผู้ร้องขอด้วย

R8 — ข้อมูลรับรองและเนื้อหาในการสแกนหลังเข้าสู่ระบบ

ระบบเข้ารหัสข้อมูลรับรองได้รับการออกแบบอย่างรอบคอบ กล่าวคือ เว็บเซิร์ฟเวอร์ไม่สามารถอ่านข้อมูลรับรองได้อีกหลังจากจัดเก็บแล้ว ฐานข้อมูลและข้อมูลสำรองมีเพียงข้อความเข้ารหัส รายการข้อมูลถูกผูกไว้กับโดเมนของตน และข้อมูลรับรองจะเข้าสู่คอนเทนเนอร์ผ่านอินพุตมาตรฐานเท่านั้น ก่อนที่จะถูกล้างออกจากหน่วยความจำ (หัวข้อ 6.5) อย่างไรก็ตาม ยังมีช่องว่างอีกสองจุด ส่วนประเด็นที่สามเกี่ยวข้องเฉพาะกับการอ่านข้อมูล ไม่ใช่การจัดเก็บ

ระบบอนุญาตให้เข้าสู่ระบบโดยไม่เข้ารหัส การตรวจสอบที่อยู่ยอมรับ http ควบคู่กับ https (cfg/login_lib.php, scanner/src/login.js) หากลูกค้าระบุหน้าเข้าสู่ระบบที่ใช้ http ชื่อผู้ใช้และรหัสผ่านจะถูกส่งผ่านอินเทอร์เน็ตเป็นข้อความธรรมดาทุกครั้งที่มีการตรวจสอบ
ข้อผิดพลาดของใบรับรองไม่ได้หยุดการเข้าสู่ระบบ ปัจจุบัน กระบวนการเข้าสู่ระบบไม่ได้ยุติลงเมื่อใบรับรองของเว็บไซต์ลูกค้าไม่ถูกต้อง (scanner/src/login.js) ดังนั้น ใบรับรองจึงไม่ได้คุ้มครองข้อมูลรับรองอย่างเต็มที่ระหว่างที่ส่งไปยังเว็บไซต์ของลูกค้า มีแผนให้ยุติกระบวนการเมื่อพบข้อผิดพลาดของใบรับรองแล้ว (หัวข้อ 9.3 ลำดับความสำคัญ “ก่อนอื่น”)
ค่าของฟิลด์ที่ซ่อนอยู่หลังเข้าสู่ระบบจะถูกอ่าน แต่ไม่ได้ถูกจัดเก็บ ตัวรวบรวมข้อมูลจะอ่าน 24 อักขระแรกของค่าฟิลด์ที่ซ่อนอยู่ (scanner/src/crawl.js) และฟังก์ชันดึงข้อมูลเดียวกันนี้ทำงานกับหน้าที่อยู่หลังเข้าสู่ระบบด้วย (scanner/src/login.js) ในหน้าดังกล่าว ฟิลด์ที่ซ่อนอยู่มักมีหมายเลขบัญชี ตัวระบุผู้ใช้ หรือที่อยู่อีเมลของบัญชีที่เข้าสู่ระบบ อย่างไรก็ตาม มีเพียงชื่อฟิลด์ ประเภท ป้ายชื่อ และผลการตรวจจับเท่านั้นที่ถูกนำไปใส่ในแผนผังฟิลด์และผลการตรวจสอบรายข้อ

นอกจากนี้ ยังมีสิ่งที่โค้ดไม่สามารถป้องกันได้ กล่าวคือ แม้ลูกค้าจะยืนยันว่าใช้บัญชีทดสอบที่มีสิทธิ์น้อยที่สุดเท่าที่จะเป็นไปได้ (cfg/login_lib.php) แต่ลูกค้าก็สามารถระบุบัญชีผู้ดูแลระบบที่ใช้งานจริงได้ ลูกค้าเป็นผู้กำหนดหน้าที่ตัวสแกนจะอ่าน ระบบปิดกั้นที่อยู่ที่มีคำเกี่ยวกับการออกจากระบบและการลบ แต่ไม่ได้ปิดกั้นการกระทำอื่นที่เว็บไซต์เริ่มต้นผ่านคำขอธรรมดา

โอกาสเกิด — เป็นไปได้ ความรุนแรง — ร้ายแรง หากบัญชีที่ได้รับผลกระทบมีสิทธิ์อย่างกว้างขวาง เพราะในกรณีนั้นพื้นที่สมาชิกซึ่งมีข้อมูลของผู้ใช้ทั้งหมดจะเปิดให้เข้าถึง ระดับ — ปานกลาง สำหรับบัญชีทดสอบที่มีสิทธิ์น้อย แต่เป็นระดับสูงสำหรับบัญชีที่ใช้งานจริง จากการตรวจวัดบนระบบพัฒนา ไม่มีบัญชีทดสอบใดถูกจัดเก็บไว้

R9 — การส่งข้อความทดสอบเชิงรุกและการตรวจสอบไฟล์บนเว็บไซต์ของลูกค้า

ข้อความทดสอบจะไปถึงผู้ที่อ่านอีเมลจากแบบฟอร์มของลูกค้า ซึ่งอาจเป็นพนักงานหรือผู้ให้บริการ ข้อความนั้นไม่มีข้อมูลส่วนบุคคล โดยผู้ส่งคือ dummy@formexposed.com และทั้งเนื้อหากับหัวเรื่องมีการทำเครื่องหมายว่าเป็นการทดสอบพร้อมระบุตัวระบุการตรวจสอบ (scanner/src/active.js) ความเสี่ยงอยู่ที่การจัดประเภทผิดพลาด หากตัวสแกนเข้าใจว่าแบบฟอร์มสมัคร แบบฟอร์มจอง หรือแบบฟอร์มขอคำปรึกษาเป็นแบบฟอร์มติดต่อ ข้อความทดสอบจะเข้าสู่กระบวนการที่มีผลตามมา มาตรการที่ใช้ป้องกันเรื่องนี้ ได้แก่ กฎที่เข้มงวดสำหรับการพิจารณาว่าแบบฟอร์ม “ส่งได้” (scanner/src/classify.js) การปิดกั้นโดเมนของหน่วยงานรัฐ สถานศึกษา คลินิก สถานพยาบาล ตำรวจ และศาล (scanner/src/classify.js) และการไม่นำโมเดลภาษาเข้ามามีส่วนในการตัดสินใจนี้ (scanner/src/classify.js) จากการตอบกลับ ระบบจะเก็บสถานะ ที่อยู่เป้าหมาย ชื่อหน้า ข้อความ 300 อักขระ และภาพ ซึ่งข้อมูลเหล่านี้เกี่ยวข้องกับข้อความทดสอบของเรา

การตรวจสอบไฟล์จะอ่านข้อมูลสูงสุด 8 KB จากเส้นทางที่พบได้ทั่วไป หากมีไฟล์สำเนาฐานข้อมูลเปิดเผยอยู่จริง ข้อมูล 8 KB นี้อาจมีรายการที่ผู้เยี่ยมชมกรอกผ่านแบบฟอร์ม ระบบจะตรวจสอบข้อมูลดังกล่าวเพื่อหาลักษณะบ่งชี้เท่านั้นแล้วทิ้งไป (cfg/dateien_lib.php) ส่วนข้อมูลที่จัดเก็บไว้คือเส้นทาง ประเภท และระดับความรุนแรง

โอกาสเกิด — น้อยมาก ความรุนแรง — มีนัยสำคัญ ระดับ — ต่ำ จากการตรวจวัดบนระบบพัฒนา ชุดข้อมูลมีการตรวจสอบเชิงรุกหนึ่งครั้ง โดยไม่มีการส่งข้อความใดที่ได้รับการยอมรับ

R10 — การจัดประเภทโดยโมเดลภาษา

สำหรับแบบฟอร์มที่กฎไม่สามารถรู้จำได้ โมเดลภาษาจะได้รับชื่อหน้า ที่อยู่ ข้อความบนปุ่ม คำอธิบายฟิลด์ และข้อความของแบบฟอร์มสูงสุด 400 อักขระ (scanner/src/classify.js) ข้อมูลดังกล่าวอาจมีชื่อบุคคลอยู่ด้วย เช่น “ผู้ติดต่อของคุณ: …” โมเดลทำงานบนเซิร์ฟเวอร์ของเราเอง และตามที่ปรากฏในโค้ด ไม่มีข้อมูลใดถูกส่งไปยังบุคคลภายนอก เรายังไม่ได้ตรวจสอบว่าซอฟต์แวร์โมเดลบันทึกคำขอไว้หรือไม่ ผลของโมเดลกำหนดเพียงประเภทแบบฟอร์มที่แสดง และไม่สามารถทำให้แบบฟอร์มได้รับอนุญาตให้ส่งได้ การจัดประเภทที่ผิดพลาดจึงนำไปสู่ผลการตรวจสอบที่แย่ลง ไม่ได้นำไปสู่การกระทำ

โอกาสเกิด — น้อยมาก ความรุนแรง — จำกัด ระดับ — ต่ำ

R10 — ขั้นตอนแผนดำเนินการเพิ่มเติม

สำหรับรายงานแบบชำระเงินที่เข้าเกณฑ์ โมเดลตัวเดียวกันซึ่งทำงานภายในระบบยังสร้างขั้นตอนแนะนำจากผลการตรวจสอบที่เลือกและข้อมูลเมตาของการสแกนด้วย ผลลัพธ์นี้แตกต่างจากการจัดประเภท เพราะเป็นข้อความสรุปภาษาธรรมชาติที่เก็บไว้กับการสแกน ชื่อโฮสต์ ที่อยู่หน้าเว็บ และหมายเหตุอาจมีข้อมูลส่วนบุคคล ซึ่งโมเดลอาจกล่าวซ้ำในผลลัพธ์ คำแนะนำที่ผิดพลาดอาจทำให้ผู้อ่านลดระดับการป้องกันหรือเปลี่ยนแปลงสิ่งที่ไม่จำเป็น และการส่งต่อลิงก์รายงานอาจเปิดเผยข้อมูลส่วนบุคคลที่ถูกกล่าวซ้ำแก่ผู้รับรายอื่น โค้ดไม่ได้ดำเนินการตามคำแนะนำโดยอัตโนมัติ ไม่ได้เปลี่ยนคะแนนหรือข้อสรุป และไม่ได้ตรวจสอบความถูกต้องตามข้อเท็จจริงของข้อความ ระบบจำกัดความยาวของข้อมูลนำเข้าและผลลัพธ์ ระบุว่าข้อความสรุปสร้างขึ้นโดย AI และแจ้งให้ยึดผลการตรวจสอบรายข้อเป็นหลัก สิ่งเหล่านี้เป็นกลไกควบคุม ไม่ใช่หลักฐานยืนยันว่าคำแนะนำถูกต้องหรือว่ารายงานไม่ระบุตัวตน การจัดระดับโอกาสเกิดและความรุนแรงสำหรับการจัดประเภทที่กล่าวไว้ก่อนหน้านี้ไม่ได้เป็นการประเมินขั้นตอนการสร้างข้อความที่เพิ่มเข้ามานี้ในตัวเอง ต้องประเมินความเสี่ยงคงเหลือของขั้นตอนดังกล่าวโดยพิจารณาข้อมูลจริงและการใช้งานของการตรวจสอบที่เป็นพื้นฐานร่วมด้วย

R11 — รายการบล็อกร่วมที่ได้จากรายงานของหลายเว็บไซต์

เมื่อโดเมนอยู่ในรายการ ข้อความที่มีลิงก์ไปยังโดเมนนั้นจะถูกนำไปกักกันบนเว็บไซต์ที่เชื่อมต่อทั้งหมด หากโดเมนนั้นเป็นของบุคคล เช่น ช่างฝีมือ ช่างภาพ หรือผู้เขียนบล็อก ข้อความของบุคคลนั้นที่มีลิงก์ไปยังเว็บไซต์ของตนเองจะไปถึงผู้รับล่าช้า โดเมนอาจเข้าไปอยู่ในรายการได้เพราะผู้ส่งสแปมนำไปใช้ในทางที่ผิด หรือเพราะมีผู้จงใจส่งข้อความที่ไม่ผ่านการตรวจสอบและมีโดเมนนั้นอยู่ไปยังหลายเว็บไซต์

มาตรการที่ใช้ป้องกันเรื่องนี้ (cfg/swarm_lib.php) ได้แก่ การกำหนดให้ต้องพบจากเว็บไซต์ที่แตกต่างกันอย่างน้อยสามแห่งและพบห้าครั้งภายในเจ็ดวัน การกำหนดข้อยกเว้นตายตัวสำหรับบริการรายใหญ่ การไม่เพิ่มโดเมนของลูกค้าของเราเข้าในรายการ การนำโดเมนออกด้วยตนเองผ่านเครื่องมือบนเซิร์ฟเวอร์ การกักกันแทนการลบ และการสร้างรายการขึ้นใหม่ทุกวัน โดยรายการที่ไม่มีการรายงานอีกจะถูกนำออก ผู้ที่ได้รับผลกระทบไม่สามารถดูรายการได้ และไม่มีช่องทางของตนเองในการขอให้นำโดเมนออก นอกจากติดต่อผ่านเรา

โอกาสเกิด — เป็นไปได้ ความรุนแรง — จำกัด เนื่องจากไม่มีข้อมูลสูญหายและผู้รับสามารถปล่อยข้อความออกจากการกักกันได้ ระดับ — ต่ำถึงปานกลาง หากเปิดใช้งานเครือข่าย IP เครือข่ายของผู้ให้บริการทั้งรายอาจได้รับผลกระทบ ที่อยู่ IP เป็นข้อมูลส่วนบุคคล และความรุนแรงจะเพิ่มขึ้นเป็นระดับมีนัยสำคัญ จึงได้ระดับความเสี่ยงสูง

R12 — รายงานและภาพหน้าจอที่เข้าถึงได้ผ่านลิงก์สาธารณะ

รายงานจากการตรวจสอบฟรี การตรวจสอบสำหรับผู้สนใจใช้บริการ และการตรวจสอบโดเมนของลูกค้าสามารถเข้าถึงได้ผ่านลิงก์สุ่มโดยไม่ต้องเข้าสู่ระบบ ลิงก์นี้มีความสุ่ม 128 บิตและไม่สามารถคาดเดาได้ (cfg/check_lib.php) หน้ารายงานมี noindex แอปพลิเคชันส่งนโยบาย referrer ที่ส่งต่อเฉพาะต้นทาง (www/.htaccess) และภาพหน้าจอจะถูกส่งให้เฉพาะร่วมกับรายงานที่ภาพนั้นเป็นส่วนหนึ่งเท่านั้น หากระบุหมายเลขภาพอื่น ระบบจะตอบว่า “ไม่พบ” (www/shot.php) ความเสี่ยงไม่ได้อยู่ที่การเข้ารหัส แต่อยู่ที่พฤติกรรมของบุคคล เช่น การส่งต่อลิงก์ การคัดลอกลิงก์ลงในตั๋วงาน หรือการแชร์ลิงก์ในแชต ผู้ที่เปิดลิงก์จะถูกบันทึกไว้เฉพาะในบันทึกการเข้าถึงหน้าเช่นเดียวกับการเปิดหน้าเว็บทั่วไป โดยเก็บไว้ 60 วัน และตัวลิงก์เองจะปรากฏในรูปแบบที่ปิดบังเท่านั้น ไม่มีการจัดทำรายชื่อผู้อ่านแยกตามรายงาน

โอกาสเกิด — เป็นไปได้ ความรุนแรง — จำกัด เนื่องจากรายงานแสดงเฉพาะข้อมูลสาธารณะและหมดอายุหลังจาก 30 วัน หรือ 90 วัน แล้วแต่กรณี ส่วนรายงานเกี่ยวกับโดเมนของลูกค้าจะยังเข้าถึงได้ตราบเท่าที่การตรวจสอบยังคงอยู่ ซึ่งคือ 13 เดือน และนานกว่านั้นสำหรับการตรวจสอบครั้งล่าสุด ระดับ — ต่ำ

R13 — จุดอ่อนของโครงสร้างพื้นฐาน

ประเด็นต่อไปนี้ถูกระบุว่ายังไม่แล้วเสร็จในชุดเอกสารทบทวนภายใน และไม่มีการกลบเกลื่อนในที่นี้ เราอธิบายรายละเอียดเท่าที่ลูกค้าจำเป็นต้องใช้สำหรับการประเมินของตนเอง แต่ไม่ละเอียดจนชี้ช่องทางให้ผู้โจมตี และเราจะให้รายละเอียดแก่หน่วยงานกำกับดูแลเมื่อมีการร้องขอ

ข้อมูลสำรองของฐานข้อมูลในปัจจุบันถูกเก็บไว้ในสถานที่เดียวกับฐานข้อมูลและไม่ได้เข้ารหัสแยกต่างหาก มีแผนจัดทำสำเนาที่เข้ารหัสไว้ในสถานที่ที่สอง (cfg/backup_lib.php) จนกว่าจะดำเนินการดังกล่าว ข้อมูลสำรองจะไม่สามารถป้องกันการสูญเสียสถานที่นั้นได้ และผู้ที่ได้ฐานข้อมูลไปก็จะได้ข้อมูลสำรองไปด้วย ส่วนข้อมูลรับรองสำหรับการสแกนหลังเข้าสู่ระบบมีอยู่ในข้อมูลสำรองเฉพาะในรูปแบบข้อความเข้ารหัสเท่านั้น
ไม่มีการเข้ารหัสฐานข้อมูลขณะจัดเก็บ ข้อยกเว้นคือฟิลด์ที่เข้ารหัสแยกเป็นรายฟิลด์ ได้แก่ ข้อมูลรับรองของบัญชีทดสอบและค่าลับสำหรับการยืนยันตัวตนสองปัจจัย
การเชื่อมต่อภายในเครือข่ายของเรายังไม่ได้เข้ารหัสตลอดทั้งเส้นทาง
การดูแลเซิร์ฟเวอร์ การรักษาความปลอดภัยของการเข้าถึงเพื่อดูแลเซิร์ฟเวอร์ของเรายังไม่ถึงมาตรฐานที่ตั้งใจไว้สำหรับการดำเนินงาน และการเสริมความมั่นคงปลอดภัยในการดูแลเซิร์ฟเวอร์ยังคงดำเนินต่อไป
สภาพแวดล้อมการตรวจสอบ เซิร์ฟเวอร์สแกนเปิดเว็บไซต์ของบุคคลภายนอกในเบราว์เซอร์ คอนเทนเนอร์ที่ใช้ตรวจสอบถูกแยกออกจากกัน โดยมีเครือข่ายของตนเอง ไม่มีสิทธิ์พิเศษ ใช้งานแบบอ่านอย่างเดียว และมีการจำกัดทรัพยากร (scanner/src/worker.js) เรากำลังเสริมการแยกสภาพแวดล้อมการตรวจสอบออกจากส่วนอื่นของบริการให้เข้มแข็งยิ่งขึ้น (หัวข้อ 9.3)

โอกาสเกิด — เป็นไปได้ ความรุนแรง — ร้ายแรง เนื่องจากหากเกิดเหตุฉุกเฉิน ทุกส่วนจะได้รับผลกระทบพร้อมกัน ระดับ — สูง ประเด็นแต่ละข้อสามารถแก้ไขได้ด้วยวิธีการทั่วไป (หัวข้อ 9.3)

R14 — สิทธิของเจ้าของข้อมูลสำหรับบุคคลที่ไม่รู้จักเรา

บุคคลที่บังเอิญปรากฏในภาพหน้าจอ หรือผู้ที่ข้อความของตนเคยผ่านสำเนาควบคุม มักไม่ทราบว่าเรามีอยู่ แม้จะทราบ บุคคลเหล่านั้นก็ไม่มีคีย์สำหรับเข้าถึงข้อมูล “ของตน” เพราะเราไม่ได้จัดเก็บข้อมูลแยกตามบุคคล แต่จัดเก็บตามโดเมนและการตรวจสอบ เราสามารถตอบคำขอเข้าถึงข้อมูลตามมาตรา 15 ได้ก็ต่อเมื่อบุคคลนั้นระบุโดเมน จากนั้นเราจึงสามารถตรวจดูการตรวจสอบและภาพที่มีอยู่ได้ สำหรับข้อความจริงของผู้เยี่ยมชม เราไม่มีเนื้อหาที่จะเปิดเผยเพราะไม่ได้จัดเก็บข้อความเหล่านั้นไว้ ยกเว้นโดเมนผู้ส่งตามที่กล่าวถึงใน R1 การยกเว้นโดเมนใช้ได้เฉพาะกับผู้ดำเนินการโดเมน ไม่ได้ใช้กับบุคคลที่ปรากฏในภาพ สำหรับบุคคลเหล่านั้น ช่องทางที่ยังคงใช้ได้คือการติดต่อผ่าน contact@lukaswojcik.com

โอกาสเกิด — มีแนวโน้ม เนื่องจากเป็นสถานการณ์ที่เกิดจากโครงสร้างของระบบ ความรุนแรง — จำกัด เพราะข้อมูลถูกเก็บไว้เพียงช่วงสั้น ๆ และไม่ได้จัดเรียงตามบุคคล ระดับ — ต่ำ

9. (d) มาตรการจัดการความเสี่ยง

มาตรการแต่ละข้อมีการระบุสถานะไว้ และสถานะเหล่านี้ไม่ได้มีไว้เพียงเพื่อประดับข้อความ ดำเนินการแล้วในปัจจุบัน — ยืนยันแล้ว หมายถึงได้อ่านตรวจสอบในโค้ดของระบบพัฒนาแล้ว และได้ตรวจวัดเทียบกับฐานข้อมูลในกรณีที่สามารถทำได้ บางส่วน หมายถึงมีกลไกอยู่แล้ว แต่กลไกนั้นยังไม่บรรลุวัตถุประสงค์อย่างครบถ้วน วางแผนไว้ หมายถึงเป็นข้อเสนอจากการประเมินนี้และยังไม่ได้พัฒนาขึ้น โดยเจ้าของเป็นผู้ตัดสินใจว่าจะดำเนินการหรือไม่และเมื่อใด ส่วนยังต้องกำหนด หมายถึงขั้นตอนและการตัดสินใจที่ไม่มีโค้ดใดสามารถทดแทนได้ DPIA ที่นำเสนอมาตรการซึ่งยังเป็นเพียงแผนว่าได้ดำเนินการแล้วจะสูญเสียคุณค่าในสถานการณ์ที่จำเป็นต้องใช้การประเมินนั้นพอดี

9.1 ดำเนินการแล้วในปัจจุบัน — ยืนยันแล้ว

มาตรการ	ประเด็นที่มาตรการจัดการ	แหล่งอ้างอิง
ตัวรวบรวมข้อมูลอ่าน robots.txt ก่อนการตรวจสอบทุกครั้ง หากมีการยกเว้นที่ครอบคลุมหน้าแรก ไม่สามารถเข้าถึง robots.txt ได้ หรือเซิร์ฟเวอร์เกิดข้อผิดพลาด ระบบจะยุติการตรวจสอบ โดยไม่ได้พิจารณาเส้นทางย่อยแยกเป็นรายเส้นทาง และฟังก์ชันชีพจร การดึงหลักฐาน เครื่องมือส่วนหัว และการค้นหาไฟล์ไม่ได้อ่าน robots.txt	R5 และความชอบด้วยกฎหมาย	`scanner/src/net.js`
การยกเว้นโดเมนไม่ต้องใช้หลักฐานและมีผลทันทีสำหรับโดเมนและรูปแบบ www ของโดเมนนั้น โดยครอบคลุมการตรวจสอบแบบไม่ระบุตัวตน การตรวจสอบสำหรับผู้สนใจใช้บริการ การศึกษา และการตรวจสอบที่ลูกค้าเป็นผู้ร้องขอ การเฝ้าติดตามที่ดำเนินอยู่จะสิ้นสุดเมื่อถึงการตรวจสอบตามกำหนดครั้งถัดไป ระบบตรวจสอบการยกเว้นสองครั้ง ทั้งในแอปพลิเคชันและบริการตรวจสอบ และมีเพียงเราเท่านั้นที่ยกเลิกการยกเว้นได้เมื่อได้รับคำขอพร้อมหลักฐาน	R5, R7 และมาตรา 21	`cfg/check_lib.php`; `cfg/akquise_lib.php`; `cfg/studie_lib.php`; `scanner/src/worker.js`
การตรวจสอบฟรีมีระบบหยุดฉุกเฉินและ reCAPTCHA อนุญาตให้ตรวจสอบหนึ่งครั้งต่อโดเมนต่อสัปดาห์ มีขีดจำกัดตามที่อยู่ IP และเซสชัน รวมถึงเพดานรายวัน ไม่ตรวจสอบโดเมนใหม่ และรับเฉพาะที่อยู่สาธารณะ หากพบความผิดปกติ ระบบจะบันทึกหมายเหตุและส่งสัญญาณโดยไม่มีเนื้อหา	R5	`cfg/check_lib.php`
เพื่อใช้บังคับขีดจำกัด ระบบเก็บเซสชันไว้เฉพาะในรูปค่าแฮช โดยไม่เก็บตัวระบุเซสชันเลย	การลดข้อมูลให้เหลือน้อยที่สุด	`cfg/check_lib.php`
ระบบไม่เก็บค่าของฟิลด์ โดยส่วนต้นของค่าฟิลด์ที่ซ่อนอยู่และแอตทริบิวต์ข้อมูลจะถูกอ่านเฉพาะระหว่างการตรวจสอบตามหัวข้อ 6.2 เท่านั้น ที่อยู่ผู้รับถูกเก็บเฉพาะส่วนที่เป็นโดเมน และตัวระบุบัญชีในที่อยู่สคริปต์จะถูกซ่อน	การลดข้อมูลให้เหลือน้อยที่สุด	`scanner/src/crawl.js`
รายงานฟรีเป็นรายงานฉบับย่อ ซึ่งแสดงเฉพาะผลการตรวจสอบพื้นฐาน โดยไม่แสดงหลักฐานจากตัวตรวจจับทั้งหมด	R5	`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`
รายงานเข้าถึงได้ผ่านลิงก์สุ่ม 128 บิตและมี `noindex` ภาพถูกจัดเก็บไว้นอกไดเรกทอรีเว็บสาธารณะและส่งให้ได้เฉพาะร่วมกับรายงานที่ภาพนั้นเป็นส่วนหนึ่ง ตัวลิงก์ปรากฏในบันทึกการเข้าถึงหน้าเฉพาะในรูปแบบที่ปิดบังเท่านั้น	R12	`cfg/check_lib.php`; `www/report.php`; `www/shot.php`
ระบบลบรายงานแบบไม่ระบุตัวตนหลังจาก 30 วัน ลบการตรวจสอบสำหรับผู้สนใจใช้บริการหลังจาก 90 วัน และลบการตรวจสอบของลูกค้าหลังจาก 13 เดือน โดยเก็บการตรวจสอบครั้งล่าสุดของแต่ละโดเมนไว้ตราบเท่าที่โดเมนนั้นยังคงอยู่ ข้อมูลของโดเมนที่ถูกลบจะถูกลบทันที โดยมีข้อยกเว้นตามหัวข้อ 6.11 และในแต่ละกรณีภาพจะถูกลบไปพร้อมกับข้อมูลด้วย	การจำกัดการเก็บรักษา	`cfg/check_lib.php`; `cfg/fristen_lib.php`
การศึกษาจะเผยแพร่เฉพาะผลรวม และแสดงกลุ่มย่อยได้ก็ต่อเมื่อมีเว็บไซต์ที่มีแบบฟอร์มอย่างน้อย 20 แห่ง ข้อมูลดิบจะถูกลบเมื่อเผยแพร่	R4 บางส่วน และ P3	`cfg/studie_lib.php`
คอนเทนเนอร์ที่ใช้ตรวจสอบมีเครือข่ายแยกของตนเอง ไม่มีสิทธิ์พิเศษ ใช้งานแบบอ่านอย่างเดียว และมีขีดจำกัดหน่วยความจำ จำนวนกระบวนการ และเวลา ระบบกรองปลายทางส่วนตัวสำหรับทุกคำขอ ปิดกั้น service workers และปิดการเชื่อมต่อ WebSocket เพื่อไม่ให้มีสิ่งใดข้ามตัวกรอง คำขอจากเว็บเซิร์ฟเวอร์ใช้ได้เฉพาะพอร์ตเว็บและส่งได้เฉพาะไปยังที่อยู่สาธารณะที่ตรงกับที่อยู่ซึ่งตรวจสอบไว้ก่อนหน้าเท่านั้น	R13	`scanner/src/worker.js`; `scanner/src/net.js`
การตรวจสอบเชิงรุกสำหรับลูกค้าใช้ได้เฉพาะกับโดเมนที่ยืนยันแล้วและเมื่อเปิดสวิตช์หยุดฉุกเฉิน โดยมีการตรวจสอบสองครั้ง สำหรับการใช้งานภายใน ใช้กับโดเมนทดสอบและสาธิตของเราเองด้วย ระบบส่งข้อความได้สูงสุดห้าครั้ง และใช้เฉพาะแบบฟอร์มติดต่อที่รู้จำได้ชัดเจนซึ่งไม่บังคับให้กรอกข้อมูลส่วนบุคคล ไม่ใช้กับโดเมนของหน่วยงานรัฐ สถานศึกษา คลินิก สถานพยาบาล ตำรวจ หรือศาล โมเดลภาษาไม่มีสิทธิ์อนุญาตการส่งใด ๆ ข้อความทดสอบไม่มีข้อมูลส่วนบุคคล มีการระบุชัดว่าเป็นการทดสอบ และอ้างอิงไปยังหน้าตัวรวบรวมข้อมูลกับการยกเว้นโดเมน	R9	`scanner/src/worker.js`; `scanner/src/classify.js`; `scanner/src/active.js`
ขั้นตอนการใช้งานผ่านเบราว์เซอร์ใช้เฉพาะ GET และ HEAD ปิดกั้นที่อยู่ที่เป็นอันตราย ไม่ส่งค่าที่แต่งขึ้นออกจากเบราว์เซอร์ และปิดทับข้อมูลในช่องกรอกก่อนถ่ายภาพ	R3 สำหรับภาพเหล่านี้ และ R9	`scanner/src/browser.js`
การตรวจสอบไฟล์ใช้เฉพาะกับโดเมนที่ยืนยันแล้ว ดึงข้อมูลหนึ่งครั้งต่อเส้นทาง อ่านข้อมูลสูงสุด 8 KB และไม่จัดเก็บเนื้อหาเลย	R9	`cfg/dateien_lib.php`
จุดตรวจสอบที่สองปิดอยู่โดยค่าเริ่มต้น หากใช้งาน จุดตรวจสอบนี้จะได้รับเฉพาะรายการข้อมูลที่ไม่เป็นอันตรายซึ่งกำหนดไว้ตายตัวและมีการลงลายเซ็น	ผู้รับ	`cfg/formular_probe_lib.php`
การสแกนหลังเข้าสู่ระบบใช้ได้เฉพาะกับโดเมนที่ยืนยันแล้ว แพ็กเกจชำระเงิน และผู้ใช้ที่เป็นเจ้าของหรือผู้ดูแลระบบ โดยต้องยืนยันว่าใช้ “บัญชีทดสอบ” ระบบเข้ารหัสด้วยกุญแจสาธารณะของเซิร์ฟเวอร์สแกนและผูกข้อมูลไว้กับโดเมน ข้อมูลรับรองจะไม่ถูกแสดง บันทึกลงล็อก หรือส่งออกผ่าน API และจะถูกส่งต่อผ่านอินพุตมาตรฐานเท่านั้น ฟิลด์ในงานจะถูกล้างทันที และส่วนที่เหลือจะถูกล้างหลังจากหนึ่งชั่วโมง ระบบไม่ถ่ายภาพหน้าจอ ไม่ส่งแบบฟอร์ม ไม่เข้าที่อยู่สำหรับออกจากระบบหรือลบข้อมูล และยุติเมื่อพบ CAPTCHA การลบขั้นสุดท้ายใช้การเขียนทับข้อมูล	R8	`cfg/login_lib.php`; `scanner/src/login.js`; `scanner/src/geheim.js`; `scanner/src/worker.js`
การตรวจสอบการส่งถึงปิดอยู่โดยค่าเริ่มต้น กระบวนการดึงข้อมูลอ่านเฉพาะส่วนหัวและข้อความ 8 KB โดยไม่ทำเครื่องหมายว่าอ่านแล้ว เนื้อหาและที่อยู่ของผู้เยี่ยมชมจะไม่ถูกเก็บในฐานข้อมูล อีเมลที่ดึงมาทุกฉบับจะถูกลบ รวมถึงอีเมลที่จับคู่ไม่ได้ การจับคู่จะถูกลบหลังจาก 180 วัน และการยืนยันจะใช้เฉพาะสำเนาของการทดสอบนั้นโดยตรงเท่านั้น	R1, R2	`cfg/zustellung_lib.php`
การป้องกันร่วมใช้เฉพาะโดเมน โดยปิดการใช้เครือข่าย IP มีการกำหนดจำนวนขั้นต่ำและข้อยกเว้นสำหรับบริการรายใหญ่กับโดเมนของลูกค้า ระบบกักกันข้อความแทนการลบ สร้างรายการขึ้นใหม่ทุกวัน และลบรายงานหลังจาก 30 วัน	R11	`cfg/swarm_lib.php`
โมเดลภาษาทำงานบนเซิร์ฟเวอร์ของเราเองและไม่มีสิทธิ์ส่งแบบฟอร์ม	R10	`scanner/src/classify.js`
แผนดำเนินการสร้างขึ้นภายในระบบจากผลการตรวจสอบที่เลือก โดยคำสั่งที่ส่งให้โมเดลไม่มีภาพหน้าจอหรือค่าที่กรอกในฟิลด์ มีการจำกัดจำนวนผลการตรวจสอบและความยาวของหมายเหตุ ผลลัพธ์เป็นข้อความธรรมดาที่ผ่านการล้างและจำกัดความยาว มีคำแจ้ง AI ที่มองเห็นได้ และระบุให้ยึดผลการตรวจสอบรายข้อเป็นหลัก ระบบไม่เปลี่ยนเว็บไซต์โดยอัตโนมัติและไม่ตัดสินคะแนนหรือข้อสรุป	R10 บางส่วน โดยยังอาจมีคำแนะนำที่ผิดพลาดและข้อมูลส่วนบุคคลที่ปะปนมาโดยบังเอิญ	`cfg/plan_lib.php`; `www/report.php`
สัญญาณที่ส่งผ่าน Telegram มีเพียงประโยคที่กำหนดไว้ตายตัวโดยไม่มีตัวแปร	ผู้รับ	`cfg/check_lib.php`
มีการทดสอบกู้คืนข้อมูลสำรองทุกสัปดาห์ และแจ้งเตือนหากการทดสอบล้มเหลว	ความพร้อมใช้งาน	`cfg/backup_lib.php`; `srv/cron_status.php`

9.2 บางส่วน — มีอยู่แล้วแต่ยังไม่บรรลุวัตถุประสงค์

มาตรการ	เหตุผลที่ยังมีผลไม่เต็มที่
ภาพหน้าจอที่ “ล้างข้อมูล”	มีการปิดทับข้อมูลเฉพาะในภาพจากขั้นตอนการใช้งานผ่านเบราว์เซอร์เท่านั้น ภาพจากตัวรวบรวมข้อมูล ได้แก่ ภาพหน้าแรกและองค์ประกอบแบบฟอร์ม รวมถึงภาพหน้าตอบกลับจากการตรวจสอบเชิงรุก ยังไม่ได้รับการปิดทับข้อมูล (R3)
ระยะเวลาสำหรับข้อมูลการตรวจสอบ	ระยะเวลามีผลกับการตรวจสอบแบบไม่ระบุตัวตน การตรวจสอบสำหรับผู้สนใจใช้บริการ และการตรวจสอบของลูกค้า แต่ไม่มีผลกับการตรวจสอบภายในและการศึกษาที่ยังไม่ได้เผยแพร่ ส่วนหมายเหตุความผิดปกติที่ยังไม่ได้รับการแก้ไขยังคงไม่มีการจำกัดเวลา (R4)
การลบสำเนาควบคุม	การลบมีผลกับสิ่งที่เรามองเห็นในกล่องจดหมาย หากการทำงานยุติลงก่อนเสร็จสิ้น อีเมลจะยังคงอยู่ และเรายังไม่ได้ตรวจสอบว่าผู้ให้บริการกล่องจดหมายเก็บสิ่งใดไว้ในข้อมูลสำรองของตน (R2)
การคุ้มครองข้อมูลรับรองในการสแกนหลังเข้าสู่ระบบ	การคุ้มครองมีความเข้มแข็งขณะจัดเก็บและภายในบริการตรวจสอบ แต่ยังไม่ครอบคลุมเส้นทางไปยังเว็บไซต์ เพราะระบบยอมรับ `http` และละเว้นข้อผิดพลาดของใบรับรอง (R8)
หลักฐานการควบคุม	หลักฐานได้รับการตรวจสอบเพียงครั้งเดียวแล้วมีผลตลอดไป อย่างไรก็ตาม ไม่สามารถเปลี่ยนชื่อโฮสต์ของโดเมนที่มีหลักฐานการควบคุมแล้วได้ จึงไม่สามารถโอนหลักฐานไปยังโฮสต์อื่น (R7)
การให้ข้อมูลแก่เจ้าของข้อมูล	มีการให้ข้อมูลแก่ผู้ดำเนินการผ่านหน้าตัวรวบรวมข้อมูล ตัวระบุ นโยบายความเป็นส่วนตัว และการยกเว้นโดเมน ส่วนการให้ข้อมูลแก่ผู้เยี่ยมชมในการตรวจสอบการส่งถึงขึ้นอยู่กับว่าลูกค้านำข้อความสำเร็จรูปไปใช้หรือไม่ แอปพลิเคชันไม่ได้ตรวจสอบเรื่องนี้
คำขอให้ลูกค้าไม่นำข้อมูลประเภทพิเศษเข้าสู่สำเนาควบคุม	คำขอนี้ระบุไว้ในเอกสารทางกฎหมาย แต่ยังไม่มีมาตรการทางเทคนิครองรับ ระหว่างการตั้งค่า แอปพลิเคชันไม่ได้ถามถึงประเภทของเว็บไซต์ และไม่ได้เตือนเกี่ยวกับโดเมนที่ดูเหมือนเกี่ยวข้องกับสุขภาพ กฎหมาย หรือการศึกษา (R1)

9.3 วางแผนไว้ — ยังไม่ดำเนินการ

มาตรการ	ประเด็นที่มาตรการจัดการ	ลำดับความสำคัญ
จัดให้มีเส้นทางสำหรับลบการตรวจสอบภายใน โดยลบการตรวจสอบที่ไม่มีทั้งโดเมนและรายงานหลังจากระยะเวลาที่กำหนดไว้ตายตัว ซึ่งเสนอให้เป็น 30 วัน ลบข้อมูลดิบของการศึกษาอย่างช้าที่สุดเมื่อครบระยะเวลาที่กำหนดหลังจากการศึกษาเสร็จสิ้น แม้จะไม่มีการเผยแพร่ ซึ่งเสนอให้เป็น 90 วัน และลบการตรวจสอบที่มีอยู่เดิม 85 ครั้งพร้อมภาพ 369 ภาพเป็นการดำเนินการครั้งเดียว	R4	ก่อนอื่น
เปิดใช้งานการตรวจสอบการส่งถึงได้ก็ต่อเมื่อทำสัญญากับผู้ให้บริการกล่องจดหมายแล้ว มีเอกสารระบุสถานที่เก็บข้อมูล ผู้ประมวลผลข้อมูลช่วง และระยะเวลาของข้อมูลสำรอง ชี้แจงกลไกการโอนข้อมูลสำหรับผู้ให้บริการกล่องจดหมายแล้ว และระเบียน MX ของโดเมนของเราชี้ตรงไปยังกล่องจดหมาย จนกว่าจะครบเงื่อนไขเหล่านี้ ให้ปิดกั้นฟังก์ชันไว้ในระบบใช้งานจริง	R2	ก่อนอื่น
ตรวจสอบความปลอดภัยของการดึงข้อมูลจากกล่องจดหมายบนระบบใช้งานจริง และจัดทำเอกสารไว้ก่อนเปิดใช้งานการตรวจสอบการส่งถึง	R2	ก่อนอื่น
อนุญาตให้สแกนหลังเข้าสู่ระบบได้เฉพาะผ่าน `https` และเมื่อมีใบรับรองที่ถูกต้อง ปฏิเสธที่อยู่ `http` และกำหนดให้ข้อผิดพลาดของใบรับรองระหว่างเข้าสู่ระบบเป็นเหตุให้ยุติกระบวนการ	R8	ก่อนอื่น
ไม่เก็บค่าของฟิลด์ที่ซ่อนอยู่หลังเข้าสู่ระบบ โดยเก็บเฉพาะชื่อ ประเภท และความยาว ซึ่งได้ดำเนินการในลักษณะนี้แล้วและไม่ต้องมีขั้นตอนเพิ่มเติม	R8	เสร็จแล้ว
จำกัดสำเนาควบคุมให้มีเฉพาะข้อความทดสอบเมื่อมีการใช้ปลั๊กอินหรือส่วนขยาย โดยส่งสำเนาลับเฉพาะสำหรับการส่งที่มีตัวระบุการทดสอบของเรา	R1	สูง
ไม่เก็บโดเมนผู้ส่งของข้อความจริงและไม่เขียนโดเมนนั้นในการแจ้งเตือน หากไม่ใช่ทั้งโดเมนของเว็บไซต์และโดเมนของบริการส่งที่รู้จัก ให้ใช้ข้อความ “โดเมนผู้ส่งภายนอก” ในการแจ้งเตือนแทน	R1	สูง
แสดงคำเตือนเมื่อตั้งค่าการตรวจสอบการส่งถึงสำหรับโดเมนที่ดูเหมือนเกี่ยวข้องกับสุขภาพ กฎหมาย บริการสังคม หรือการศึกษา พร้อมอ้างอิงถึง DPIA ของลูกค้าเอง	R1	สูง
ต่ออายุหลักฐานการควบคุมเป็นประจำ โดยเสนอให้ตรวจสอบก่อนการตรวจสอบเชิงรุกทุกครั้งว่าระเบียน DNS เมตาแท็ก ไฟล์ หรือการเชื่อมต่อปลั๊กอินยังคงอยู่หรือไม่ หากไม่อยู่ ให้ดำเนินการต่อในรูปแบบรับข้อมูลอย่างเดียวและแจ้งลูกค้า	R7	สูง
หยุดถ่ายภาพหน้าแรก หรือถ่ายเฉพาะเมื่อมีการปิดทับภาพและใบหน้า จำกัดภาพของแบบฟอร์มให้ครอบคลุมเฉพาะองค์ประกอบแบบฟอร์มเช่นที่ทำอยู่ในปัจจุบัน และปิดบังช่องกรอกข้อมูลเช่นเดียวกับขั้นตอนการใช้งานผ่านเบราว์เซอร์	R3	สูง
เพิ่มคำแจ้งในส่วนต่อประสานของการตรวจสอบสำหรับผู้สนใจใช้บริการว่า การส่งผลการตรวจสอบฉบับสั้นทางอีเมลหรือโทรศัพท์โดยไม่ได้รับการร้องขอเป็นการตลาดทางตรง แม้จะเป็นการติดต่อระหว่างธุรกิจ และต้องได้รับความยินยอมล่วงหน้า ตามมาตรา 398 แห่งกฎหมายการสื่อสารอิเล็กทรอนิกส์ของโปแลนด์ และในเยอรมนีตาม § 7(2) UWG ทั้งนี้ สำหรับการโทรหาธุรกิจในเยอรมนี ความยินยอมที่สันนิษฐานได้ก็เพียงพอ	R6	สูง
สำหรับโครงสร้างพื้นฐาน ให้เสริมความมั่นคงปลอดภัยในการดูแลเซิร์ฟเวอร์ให้เสร็จ จัดทำสำเนาข้อมูลสำรองที่เข้ารหัสไว้ในสถานที่ที่สอง เข้ารหัสการเชื่อมต่อในเครือข่ายภายในตลอดทั้งเส้นทาง และเสริมการแยกเซิร์ฟเวอร์สแกนออกจากแอปพลิเคชันให้เข้มแข็งยิ่งขึ้น	R13	สูง
กำหนดระยะเวลาสำหรับหมายเหตุความผิดปกติที่ยังไม่ได้รับการแก้ไข โดยเสนอให้แก้ไขภายใน 30 วัน มิฉะนั้นให้ลบที่อยู่ IP	R4	ปานกลาง
จัดให้มีหน้าหรือแบบฟอร์มที่บุคคลสามารถใช้ขอให้นำโดเมนออกจากการป้องกันร่วมได้	R11, R14	ปานกลาง
จัดทำการประเมินนี้ฉบับใหม่ก่อนเปิดใช้งานเครือข่าย IP ในการป้องกันร่วม	R11	เงื่อนไข
บันทึกว่าซอฟต์แวร์โมเดลภาษาเก็บคำขอไว้หรือไม่ และหากเก็บ ให้ปิดการบันทึกดังกล่าว	R10	ต่ำ

9.4 ขั้นตอนและการตัดสินใจที่ยังต้องกำหนด

นอกจากมาตรการคุ้มครองทางเทคนิคแล้ว มาตรา 35(7)(d) ยังกำหนดให้มีขั้นตอนดำเนินงานด้วย โดยยังมีเรื่องต่อไปนี้ที่ยังไม่แล้วเสร็จ:

การละเมิดข้อมูลส่วนบุคคล ผู้ตรวจพบอาจเป็นเจ้าของ หรืออาจตรวจพบผ่านการแจ้งเตือนข้อผิดพลาดของแอปพลิเคชัน รายงานผ่านจุดรับรายงานช่องโหว่ หรือ contact@lukaswojcik.com เจ้าของเป็นผู้ตัดสินใจเกี่ยวกับการแจ้ง UODO ภายใน 72 ชั่วโมงตามมาตรา 33(1) ส่วนการแจ้งลูกค้าที่ได้รับผลกระทบในฐานะผู้ควบคุมข้อมูลต้องทำโดยไม่ชักช้าเกินสมควร และหากเป็นไปได้ ให้ทำภายใน 48 ชั่วโมงตามที่รับรองไว้ในข้อตกลงการประมวลผลข้อมูล ยังต้องกำหนด: คำอธิบายขั้นตอนเป็นลายลักษณ์อักษรและการฝึกซ้อมครั้งแรก สำหรับการตรวจสอบการส่งถึง ต้องกำหนดเพิ่มเติมด้วยว่าจะระบุได้อย่างไรว่าลูกค้ารายใดได้รับผลกระทบจากการละเมิดที่เกิดขึ้นกับผู้ให้บริการกล่องจดหมาย
ภาคส่วน ยังต้องกำหนด: จะเสนอการตรวจสอบการส่งถึงตามปกติ เสนอพร้อมคำเตือน หรือไม่เสนอให้แก่เว็บไซต์ในภาคสุขภาพ กฎหมาย บริการสังคม และการศึกษา
การตรวจสอบภายใน ยังต้องกำหนด: ผู้ให้บริการใช้การตรวจสอบภายในจากบรรทัดคำสั่งเพื่อวัตถุประสงค์ใด ใครมีสิทธิ์สร้างการตรวจสอบเหล่านี้ และผลการตรวจสอบจะคงอยู่นานเท่าใด รวมทั้งจำเป็นต้องระบุการตรวจสอบดังกล่าวในนโยบายความเป็นส่วนตัวเพิ่มเติมจากบันทึกกิจกรรมการประมวลผลข้อมูลหรือไม่
การศึกษา ยังต้องกำหนด: ใครเป็นผู้รวบรวมรายชื่อ ใช้แหล่งข้อมูลใด กำหนดขนาดสูงสุดเท่าใด และจะตรวจสอบก่อนเริ่มการศึกษาแต่ละครั้งอย่างไรว่าการศึกษานั้นสอดคล้องกับสมมติฐานของการประเมินนี้
ความคิดเห็นของเจ้าของข้อมูล (มาตรา 35(9)) เรายังไม่ได้ขอความคิดเห็นสำหรับฉบับนี้ มาตรา 35(9) กำหนดให้ขอความคิดเห็นเฉพาะ “เมื่อเหมาะสม” ซึ่งตามการประเมินของเรา ขณะนี้ยังไม่เหมาะสมในกรณีนี้ ผู้ดำเนินการเว็บไซต์ที่ได้รับการตรวจสอบและผู้เยี่ยมชมเว็บไซต์ของลูกค้าไม่มีช่องทางของตนเองในการติดต่อเรา การติดต่อบุคคลเหล่านี้เป็นการเฉพาะจะเป็นการประมวลผลข้อมูลของบุคคลเหล่านั้นขึ้นใหม่ และบริการยังไม่ได้เปิดให้ใช้งาน จึงยังไม่มีกลุ่มเจ้าของข้อมูลที่ได้รับผลกระทบจริง เราคำนึงถึงผลประโยชน์ของบุคคลเหล่านี้โดยอ้อมผ่าน robots.txt และการยกเว้นโดเมน ผ่านระยะเวลาการเก็บรักษาที่สั้น และผ่านการไม่จัดเก็บเนื้อหาของสำเนาควบคุม ทุกครั้งที่มีการทบทวนตามหัวข้อ 12 เราจะพิจารณาใหม่ว่าการขอความคิดเห็นเหมาะสมหรือไม่ เช่น ผ่านความคิดเห็นบนหน้าตัวรวบรวมข้อมูล หรือผ่านลูกค้าที่ใช้การตรวจสอบการส่งถึง

10. ความเสี่ยงคงเหลือและการปรึกษาล่วงหน้าตามมาตรา 36

มาตรา 36(1) กำหนดให้ปรึกษาหน่วยงานกำกับดูแลล่วงหน้าเมื่อ DPIA บ่งชี้ว่าการประมวลผลจะก่อให้เกิดความเสี่ยงสูงหากไม่มีมาตรการที่ผู้ควบคุมข้อมูลใช้ลดความเสี่ยง ดังนั้น คำถามจึงไม่ใช่ว่ามีการระบุความเสี่ยงสูงหรือไม่ ซึ่งได้ระบุไว้สี่ข้อ แต่เป็นว่ายังคงมีความเสี่ยงสูงอยู่หรือไม่หลังจากนำมาตรการมาใช้แล้ว

สำหรับการประมวลผลที่ formexposed เป็นผู้ควบคุมข้อมูล ได้แก่ P1 ถึง P4 และ P7 ความเสี่ยงสูง R4 และ R13 สามารถแก้ไขได้ด้วยวิธีการทั่วไป ได้แก่ การจัดให้มีเส้นทางสำหรับลบข้อมูลและล้างข้อมูลที่มีอยู่เดิม การจัดทำข้อมูลสำรองที่เข้ารหัสไว้นอกสถานที่ และการเสริมความมั่นคงปลอดภัยของเซิร์ฟเวอร์สองเครื่อง เมื่อใช้มาตรการตามหัวข้อ 9.3 ความเสี่ยงเหล่านี้จะลดลงเป็นต่ำถึงปานกลาง ส่วน R3, R5, R6 และ R7 อยู่ในระดับปานกลางและจะลดลงเป็นต่ำเมื่อใช้มาตรการที่เสนอ การป้องกันร่วมที่ไม่ใช้เครือข่าย IP ยังคงอยู่ในระดับต่ำถึงปานกลาง สำหรับส่วนนี้ไม่บ่งชี้ว่าจำเป็นต้องปรึกษาล่วงหน้า หากดำเนินมาตรการที่ระบุลำดับความสำคัญว่า “ก่อนอื่น” และ “สูง” ก่อนเปิดให้บริการ หากยังไม่ได้ดำเนินมาตรการข้อใดก่อนเปิดให้บริการ การประมวลผลที่เกี่ยวข้องจะยังคงมีความเสี่ยงสูง การประมวลผลนั้นจะเริ่มได้ก็ต่อเมื่อดำเนินมาตรการแล้ว หรือมีการปรึกษา UODO ล่วงหน้าตามมาตรา 36(1)

สำหรับการตรวจสอบการส่งถึง หรือ P6 สถานการณ์แตกต่างออกไปด้วยเหตุผลที่ไม่มีมาตรการใดขจัดได้ทั้งหมด นั่นคือผู้เยี่ยมชมเป็นผู้ตัดสินใจเองว่าจะเขียนอะไร เมื่อมีสัญญาที่จัดทำเสร็จแล้ว มีการดึงข้อมูลอย่างปลอดภัย จำกัดให้มีเฉพาะข้อความทดสอบในกรณีที่ทำได้ และงดใช้โดเมนผู้ส่ง R2 จะลดลงเป็นต่ำ และ R1 จะลดลงเป็นปานกลาง อย่างไรก็ตาม สำหรับลูกค้าที่ผู้เยี่ยมชมมักให้ข้อมูลตามมาตรา 9 ความเสี่ยง R1 อาจยังคงสูงอยู่ หน้าที่ในการปรึกษาจึงตกอยู่กับลูกค้าในฐานะผู้ควบคุมข้อมูล ไม่ใช่ formexposed เราแนะนำให้ลูกค้าประเภทนี้ไม่ตั้งค่าสำเนาควบคุมสำหรับแบบฟอร์มติดต่อทั่วไป แต่ใช้เฉพาะกับแบบฟอร์มที่ไม่มีเนื้อหาอ่อนไหว หรือไม่ใช้การตรวจสอบการส่งถึง

ความเสี่ยงคงเหลือที่ระบุตามจริง ปัจจุบัน เมื่อใช้มาตรการตามหัวข้อ 9.1 ยังมีความเสี่ยงสูงสี่ข้อ ได้แก่ R1 และ R2 ซึ่งเกี่ยวกับการตรวจสอบการส่งถึง R4 ซึ่งเกี่ยวกับข้อมูลการตรวจสอบที่ไม่มีเส้นทางสำหรับการลบ และ R13 ซึ่งเกี่ยวกับโครงสร้างพื้นฐาน เมื่อใช้มาตรการตามหัวข้อ 9.3 ความเสี่ยง R2, R4 และ R13 จะลดลงเป็นต่ำถึงปานกลาง ส่วน R1 จะยังคงอยู่ในระดับปานกลางและขึ้นอยู่กับการตัดสินใจของลูกค้าอย่างต่อเนื่อง หลังจากใช้มาตรการแล้ว ไม่มีความเสี่ยงข้ออื่นใดสูงกว่าระดับปานกลาง

มาตรา 36 ไม่ใช่บทลงโทษ และการปรึกษาไม่ใช่การยอมรับผิด แต่เป็นช่องทางที่กฎระเบียบกำหนดไว้สำหรับสถานการณ์ที่กระบวนการซึ่งมีประโยชน์ก่อให้เกิดความเสี่ยงที่ผู้ควบคุมข้อมูลไม่สามารถควบคุมได้ทั้งหมด ลูกค้าที่ต้องการใช้การตรวจสอบการส่งถึงกับข้อความที่มีข้อมูลสุขภาพจะพบข้อเท็จจริงสำหรับประกอบการตัดสินใจนั้นในหน้านี้

11. สิ่งที่ลูกค้าต้องใช้สำหรับ DPIA ของตนเอง (มาตรา 28(3)(f))

สำหรับการตรวจสอบการส่งถึงและการสแกนหลังเข้าสู่ระบบ ลูกค้าเป็นผู้ควบคุมข้อมูล หน้านี้ให้คำอธิบายการประมวลผลแก่ลูกค้าในหัวข้อ 6.5 และ 6.6 ระบุความเสี่ยงจากมุมมองของเราใน R1, R2 และ R8 และแสดงสถานะของมาตรการในหัวข้อ 9 มีเพียงลูกค้าเท่านั้นที่สามารถตอบคำถามต่อไปนี้ได้:

ผู้เยี่ยมชมของฉันเขียนอะไร? คาดได้หรือไม่ว่าจะมีข้อมูลเกี่ยวกับสุขภาพ ศาสนา ชาติกำเนิด การเป็นสมาชิกสหภาพแรงงาน รสนิยมทางเพศ ความผิดอาญา หรือเด็กส่งเข้ามาผ่านแบบฟอร์ม หากเป็นเช่นนั้น โดยทั่วไปจำเป็นต้องจัดทำ DPIA สำหรับสำเนาควบคุม และควรพิจารณาใหม่ว่าจะใช้สำเนาควบคุมกับแบบฟอร์มนี้หรือไม่
ฉันจำเป็นต้องมีสำเนาควบคุมสำหรับทุกข้อความหรือไม่? หากต้องการพิสูจน์ว่าข้อความทดสอบของเรามาถึง การมีสำเนาเฉพาะข้อความนั้นก็เพียงพอแล้ว ในกรณีที่แบบฟอร์มรองรับ ให้ตั้งค่าสำเนาลับเฉพาะสำหรับข้อความทดสอบ
ฉันจะแจ้งข้อมูลแก่ผู้เยี่ยมชมอย่างไร? ข้อตกลงการประมวลผลข้อมูลกำหนดให้ต้องแจ้ง โดยข้อความนโยบายความเป็นส่วนตัวสำหรับเว็บไซต์อธิบายเส้นทางของสำเนาและบทบาทของเรา
ฉันมีฐานทางกฎหมายใด? ข้อความที่เราแนะนำระบุมาตรา 6(1)(f) โดยมีวัตถุประสงค์เพื่อรับข้อความสอบถามได้อย่างเชื่อถือได้ แต่สำหรับข้อมูลตามมาตรา 9 ฐานนี้เพียงอย่างเดียวไม่เพียงพอ
ฉันจะเลือกช่องทางการแจ้งเตือนใด? การแจ้งเตือนจากการตรวจสอบความแท้จริงอาจระบุโดเมนผู้ส่ง ผู้ที่ส่งการแจ้งเตือนไปยังบริการแชตนอก EU ย่อมโอนข้อมูลนั้นไปยังสถานที่ดังกล่าวด้วย
สำหรับการสแกนหลังเข้าสู่ระบบ: บัญชีทดสอบเป็นบัญชีทดสอบที่มีสิทธิ์น้อยที่สุดเท่าที่จำเป็นจริงหรือไม่? หน้าเข้าสู่ระบบเข้าถึงได้ผ่าน https เท่านั้นหรือไม่? บัญชีทดสอบมองเห็นข้อมูลของผู้ใช้รายอื่นหรือไม่? หากมองเห็น ข้อมูลนั้นอยู่บนหน้าใดในบรรดาหน้าที่ระบุไว้?
ฉันจะลบเมื่อใด? สามารถปิดใช้งานและลบการตรวจสอบการส่งถึงและบัญชีทดสอบได้ทุกเมื่อ โดยบัญชีทดสอบจะถูกเขียนทับอย่างถาวรเมื่อมีการลบ

เอกสารเพิ่มเติมสำหรับการประเมินของลูกค้า ได้แก่ ข้อตกลงการประมวลผลข้อมูล มาตรการทางเทคนิคและองค์กร รายชื่อผู้ประมวลผลข้อมูลช่วง และบันทึกกิจกรรมการประมวลผลข้อมูล เราตอบคำถามเกี่ยวกับข้อเท็จจริงแต่ละเรื่องได้ที่ contact@lukaswojcik.com

12. การทบทวน เวอร์ชัน และการอนุมัติ

มาตรา 35(11) กำหนดให้มีการทบทวนเพื่อประเมินว่าการประมวลผลดำเนินไปตาม DPIA หรือไม่ อย่างน้อยเมื่อมีการเปลี่ยนแปลงของความเสี่ยง เราทบทวนการประเมินนี้อย่างน้อยปีละครั้ง และก่อนเกิดเหตุการณ์แต่ละข้อต่อไปนี้ด้วย โดยแต่ละเหตุการณ์จะทำให้มีการตรวจวัดใหม่ ไม่ใช่เพียงอ่านทบทวน:

การเริ่มดำเนินงานจริง โดยใช้ตัวเลขจากระบบใช้งานจริงแทนตัวเลขจากระบบพัฒนา
การเปิดใช้งานการตรวจสอบการส่งถึงเป็นครั้งแรกบนระบบใช้งานจริง และการทำสัญญากับผู้ให้บริการกล่องจดหมาย
การเปิดใช้งานเครือข่าย IP ในการป้องกันร่วม
การศึกษาครั้งแรก และการศึกษาทุกครั้งที่ใช้รายชื่อขนาดใหญ่กว่าครั้งก่อน
การเปิดใช้งานจุดตรวจสอบที่สอง หรือการเพิ่มผู้รับรายใหม่ในเส้นทางการตรวจสอบ
การใช้โมเดลภาษาในรูปแบบใหม่ใด ๆ ที่เกินกว่าการใช้งานซึ่งการประเมินนี้ครอบคลุม โดยแผนดำเนินการที่จัดลำดับความสำคัญในรายงานแบบชำระเงินเป็นการใช้งานที่เพิ่มเข้ามาและจำเป็นต้องทบทวนการประเมิน
การเปลี่ยนแปลงใด ๆ เกี่ยวกับภาพหน้าจอ ระยะเวลาการเก็บรักษา หรือเงื่อนไขสำหรับการตรวจสอบเชิงรุก

รายการ	รายละเอียด
ผู้ควบคุมข้อมูล	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland · NIP 7252266190 · contact@lukaswojcik.com
หน่วยงานกำกับดูแลที่มีอำนาจ	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Poland
เจ้าหน้าที่คุ้มครองข้อมูล	ยังไม่ได้แต่งตั้ง โดยมีการประเมินตามมาตรา 37 อยู่ในหัวข้อ 4
ข้อเท็จจริงที่ใช้เป็นพื้นฐาน	ซอร์สโค้ดของแอปพลิเคชันและบริการตรวจสอบ โครงสร้างฐานข้อมูล จำนวนแถว และการตั้งค่าของระบบพัฒนา ซึ่งตรวจวัดแบบอ่านอย่างเดียวเมื่อวันที่ 11 ตุลาคม 2026
เอกสารที่เกี่ยวข้อง	นโยบายความเป็นส่วนตัว, ข้อตกลงการประมวลผลข้อมูล, มาตรการทางเทคนิคและองค์กร, ผู้ประมวลผลข้อมูลช่วง, บันทึกกิจกรรมการประมวลผลข้อมูล, กฎหมายสหภาพยุโรปว่าด้วย AI, การใช้งานที่ยอมรับได้และการใช้งานในทางที่ผิด, FormExposedBot, ยกเว้นโดเมน
เวอร์ชัน	1.1 วันที่ 23 ตุลาคม 2026 โดยเป็นภาคผนวกข้อเท็จจริงเกี่ยวกับขั้นตอนแผนดำเนินการภายในระบบที่เพิ่มเติมจากฉบับแรกวันที่ 11 ตุลาคม 2026
การทบทวนตามมาตรา 35(11)	23 ตุลาคม 2026: มีการทบทวนซอร์สโค้ดของขั้นตอนแผนดำเนินการภายในระบบที่เพิ่มเข้ามา โดยเพิ่มข้อมูลนำเข้า การจัดเก็บ บทบาท ผลลัพธ์ในลักษณะคำแนะนำ และมาตรการคุ้มครองที่ดำเนินการแล้วไว้ในหัวข้อที่เกี่ยวข้อง ไม่มีการกล่าวอ้างว่าได้ตรวจวัดระบบใช้งานจริงเสร็จแล้วหรือได้จัดระดับความเสี่ยงคงเหลือใหม่ การตรวจวัดเดิมเมื่อวันที่ 11 ตุลาคม 2026 และสถานะการอนุมัติด้านล่างยังคงไม่เปลี่ยนแปลง การทบทวนครั้งต่อไปจะถูกบันทึกไว้ที่นี่พร้อมวันที่ เหตุผล และผลการทบทวน
การอนุมัติ	ยังไม่ได้รับอนุมัติ เจ้าของจะอนุมัติหลังจากการตรวจสอบทางกฎหมาย และหลังจากตัดสินใจเกี่ยวกับมาตรการตามหัวข้อ 9.3 และคำถามตามหัวข้อ 9.4 แล้ว จนถึงขณะนี้ยังไม่ได้ขอคำปรึกษาด้านการคุ้มครองข้อมูลจากภายนอก

ข้อสังเกตปิดท้ายประการหนึ่งควรอยู่ในเอกสารนี้ ไม่ใช่ในจดหมายนำ ส่วนของ formexposed ที่เข้าถึงโดเมนของผู้อื่นลึกที่สุด ได้แก่ การส่งข้อความทดสอบและการเข้าสู่ระบบด้วยข้อมูลรับรองของผู้อื่น ได้รับการพัฒนาด้วยความระมัดระวังมากที่สุด ทั้งด่านตรวจสองชั้น เพดานที่เข้มงวด และการเข้ารหัสที่แม้แต่เราเองก็ไม่สามารถเข้าถึงได้ ความเสี่ยงในการประเมินนี้ส่วนใหญ่อยู่ในส่วนอื่น คือสิ่งที่ติดมาด้วยโดยบังเอิญ เช่น ข้อความจริงในสำเนาลับ บุคคลในภาพหน้าจอ และการตรวจสอบที่ไม่มีใครลบอีกต่อไป นี่เป็นจุดเริ่มต้นที่เอื้ออำนวย เพราะสามารถหยุดสิ่งที่ติดมานั้นได้โดยไม่ต้องเปลี่ยนบริการ

มีอะไรให้ช่วย?