มาตรการทางเทคนิคและองค์กร

เอกสารนี้เผยแพร่หลายภาษา หากฉบับภาษาต่าง ๆ มีความแตกต่างกัน ให้ถือฉบับภาษาโปแลนด์เป็นหลักที่มีผลผูกพัน

เวอร์ชัน 1.1 · อัปเดตล่าสุด: 22 ตุลาคม 2026

หน้านี้ระบุมาตรการตามมาตรา 32 GDPR ที่ LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland ใช้คุ้มครองบริการ formexposed โดยหน้านี้เป็นส่วนหนึ่งของข้อตกลงการประมวลผลข้อมูลในฐานะภาคผนวก 2

1. ขอบเขตและหลักการ

มาตรการเหล่านี้ใช้กับข้อมูลทั้งหมดที่บริการประมวลผล ทั้งข้อมูลที่เราประมวลผลในนามลูกค้าตามคำอธิบายในข้อตกลงการประมวลผลข้อมูล และข้อมูลที่เราเป็นผู้ควบคุมข้อมูลเอง เช่น บัญชีลูกค้าและบันทึกต่าง ๆ ไม่มีการแยกระดับการคุ้มครองระหว่างข้อมูลสองกลุ่ม สิ่งที่คุ้มครองบัญชีจะคุ้มครองข้อมูลที่เราประมวลผลในฐานะผู้ประมวลผลด้วย

โครงสร้างตามมาตรา 32(1) GDPR การใช้นามแฝงและการเข้ารหัสตามข้อ (a) ครอบคลุมในส่วน 4 การรักษาความลับ ความถูกต้องครบถ้วน ความพร้อมใช้งาน และความสามารถในการรับมือเหตุขัดข้องของระบบอย่างต่อเนื่องตามข้อ (b) อยู่ในส่วน 3, 5, 6 และ 7 ความสามารถในการกู้คืนความพร้อมใช้งานอย่างทันท่วงทีหลังเกิดเหตุตามข้อ (c) อยู่ในส่วน 7.1 และกระบวนการทดสอบ ประเมิน และตรวจประสิทธิผลเป็นประจำตามข้อ (d) อยู่ในส่วน 9 เราเลือกมาตรการโดยอาศัยความเสี่ยงที่อธิบายไว้ในการประเมินผลกระทบด้านการคุ้มครองข้อมูล โดยคำนึงถึงเทคโนโลยีปัจจุบันและค่าใช้จ่ายในการดำเนินการ

หลักการ: อ้างอิงสิ่งที่ทำจริง ไม่ใช่เพียงความตั้งใจ หน้านี้ระบุเฉพาะสิ่งที่นำมาใช้จริงแล้วในโค้ดหรือในการดำเนินงาน สิ่งที่มีแผนแต่ยังไม่ได้ดำเนินการจะระบุอย่างชัดเจนว่า “มีแผนดำเนินการ” ในส่วน 10 หากมาตรการใดไม่ได้ระบุไว้ที่นี่ ไม่ได้หมายความว่ามีมาตรการนั้นอยู่โดยปริยาย

เราจงใจไม่ระบุชื่อเครื่อง ที่อยู่ภายใน พอร์ต ชื่อผู้ใช้ และเวอร์ชันซอฟต์แวร์ ข้อมูลเหล่านี้ไม่ได้ช่วยในการประเมินมาตรการ แต่ช่วยผู้ที่ต้องการหลบเลี่ยงมาตรการ ผู้ที่จำเป็นต้องใช้ข้อมูลเหล่านี้ในการตรวจสอบตามข้อตกลงการประมวลผลข้อมูลจะได้รับระหว่างการตรวจสอบภายใต้หน้าที่รักษาความลับ เท่าที่จำเป็นต่อการตรวจสอบ

2. โครงสร้างของบริการ

บริการทำงานบนเซิร์ฟเวอร์ของผู้ให้บริการเองสองเครื่องในโปแลนด์ ซึ่งอยู่ในเครือข่ายภายในเดียวกัน:

• เว็บเซิร์ฟเวอร์พร้อมฐานข้อมูล เซิร์ฟเวอร์นี้ให้บริการแอปพลิเคชัน จัดเก็บฐานข้อมูล ส่งการแจ้งเตือน และสำรองข้อมูล โดยมีเพียงเครื่องนี้ที่ตั้งค่าให้รับคำขอจากอินเทอร์เน็ต
• เซิร์ฟเวอร์สแกน เซิร์ฟเวอร์นี้ตรวจสอบเว็บไซต์ของบุคคลที่สามและเว็บไซต์ของเราเองผ่านเบราว์เซอร์ และรันโมเดลภาษาที่จำแนกแบบฟอร์มบางรายการ สรุปผลการสแกนเป็นแผนดำเนินการตามลำดับความสำคัญสำหรับบัญชีแบบชำระเงิน และเพิ่มโค้ดใน “Fix it for me” เซิร์ฟเวอร์นี้ไม่ได้ตั้งค่าให้รับคำขอจากอินเทอร์เน็ต แต่จะดึงงานจากเว็บเซิร์ฟเวอร์ด้วยตนเองและส่งผลกลับไปที่นั่น

ไม่มีผู้ให้บริการโฮสต์ ศูนย์ข้อมูล หรือคลาวด์เข้ามาเกี่ยวข้องในการดำเนินงาน และไม่มีการส่งข้อมูลไปยังบริการ AI ภายนอก รายละเอียดว่าบุคคลที่สามรายใดได้รับข้อมูลระบุไว้ในหน้าผู้ประมวลผลข้อมูลช่วง

3. การรักษาความลับ

3.1 การควบคุมการเข้าถึงทางกายภาพ

เซิร์ฟเวอร์ตั้งอยู่ในสถานที่ของผู้ให้บริการในโปแลนด์ซึ่งไม่เปิดให้สาธารณชนเข้าถึง ตามคำระบุของผู้ดำเนินการ มีเพียงเจ้าของเท่านั้นที่เข้าถึงได้ เราจงใจไม่เปิดเผยที่อยู่ที่แน่นอนของสถานที่นั้นในหน้านี้

3.2 การควบคุมการเข้าถึง: การเข้าสู่บริการ

• รหัสผ่าน จัดเก็บเฉพาะในรูปแฮชโดยใช้วิธีมาตรฐานของ PHP (bcrypt) หากวิธีมาตรฐานเปลี่ยนไป ระบบจะคำนวณแฮชใหม่เมื่อเข้าสู่ระบบครั้งถัดไป สำหรับความพยายามเข้าสู่ระบบด้วยที่อยู่ที่ไม่รู้จัก เซิร์ฟเวอร์ยังคงคำนวณแฮช เพื่อไม่ให้ระยะเวลาตอบกลับเผยว่ามีบัญชีนั้นอยู่หรือไม่ เช่นเดียวกัน การตอบคำขอรีเซ็ตรหัสผ่านไม่เผยว่ามีบัญชีนั้นอยู่หรือไม่ ทั้งจากข้อความตอบกลับและระยะเวลาที่ใช้ โดยส่งอีเมลรีเซ็ตไปยังที่อยู่เดียวกันไม่เกินสามครั้งต่อชั่วโมง รหัสผ่านใหม่ต้องมีอย่างน้อยสิบอักขระและไม่เกิน 72 ไบต์ (UTF-8) เนื่องจาก bcrypt ไม่นำไบต์ที่เกินกว่านั้นมาคำนวณ เมื่อเปลี่ยนรหัสผ่าน ระบบจะออกจากระบบบนอุปกรณ์อื่นทั้งหมด ส่วนการรีเซ็ตรหัสผ่านผ่านลิงก์จะทำให้ทุกอุปกรณ์ออกจากระบบ และลิงก์นั้นใช้ได้เพียงครั้งเดียว
• การล็อกหลังจากพยายามเข้าสู่ระบบไม่สำเร็จ ระบบนับการเข้าสู่ระบบที่ไม่สำเร็จแยกตามที่อยู่ IP หากเกิดขึ้นมากเกินไปในช่วงเวลาสั้น ๆ (ปัจจุบันคือแปดครั้งใน 15 นาที) จะระงับการเข้าสู่ระบบจากที่อยู่นั้นชั่วคราว เมื่อเข้าสู่ระบบสำเร็จ ระบบจะรีเซ็ตตัวนับนี้ และจะลบข้อมูลความพยายามดังกล่าวหลังเจ็ดวัน นอกจากนี้ ก่อนตรวจรหัสผ่านทุกครั้ง ระบบจะนับความพยายามแยกตามบัญชี (สำหรับที่อยู่ที่ไม่รู้จัก จะนับตามที่อยู่ที่ป้อน) และตามที่อยู่ IP รวมถึงครั้งที่สำเร็จด้วย ปัจจุบันอนุญาตไม่เกินแปดครั้งต่อบัญชีจากที่อยู่ IP เดียวกัน และ 80 ครั้งต่อที่อยู่ IP ภายใน 15 นาที ส่วนขีดจำกัดต่อบัญชีเมื่อรวมทุกที่อยู่จะสูงกว่านี้มาก เพื่อป้องกันการกระจายแหล่งที่มาในการเดารหัสผ่าน ดังนั้น ความพยายามที่ไม่สำเร็จจากที่อยู่อื่นจึงไม่ทำให้เจ้าของบัญชีถูกล็อกออกจากบัญชีอีกต่อไป ตัวนับเหล่านี้มีเฉพาะคีย์ HMAC ไม่มีอีเมลหรือที่อยู่ IP ในรูปข้อความธรรมดา และหมดอายุตามกรอบเวลาที่กำหนด หากที่เก็บตัวนับใช้งานไม่ได้ ระบบจะปฏิเสธการเข้าสู่ระบบแทนที่จะปล่อยผ่าน ขีดจำกัดลักษณะเดียวกันใช้กับการยืนยันรหัสผ่านก่อนเปลี่ยนรหัสผ่านหรือที่อยู่อีเมล เปิดหรือปิดปัจจัยที่สอง โอนพื้นที่ทำงาน ส่งออกข้อมูล และลบบัญชี (ห้าครั้งต่อบัญชีใน 15 นาที) การลงทะเบียน (สิบครั้งต่อที่อยู่ IP ต่อชั่วโมง) และรหัสผ่านของพอร์ทัลลูกค้า (สิบครั้งต่อพอร์ทัลและที่อยู่ IP และ 50 ครั้งต่อพอร์ทัลใน 15 นาที)
• ปัจจัยที่สอง ทุกบัญชีสามารถเปิดใช้การเข้าสู่ระบบด้วยรหัสใช้ครั้งเดียวตาม RFC 6238 (TOTP) คีย์ลับสำหรับการนี้จัดเก็บโดยเข้ารหัสในฐานข้อมูล ส่วนคีย์เข้ารหัสไม่ได้เก็บในฐานข้อมูล ดังนั้น การได้สำเนาฐานข้อมูลเพียงอย่างเดียวจึงไม่เพียงพอ รหัสที่ยอมรับแล้วจะใช้ซ้ำไม่ได้ รหัสกู้คืนสิบรหัสจัดเก็บเฉพาะในรูปแฮช การใช้รหัสครั้งเดียวและรหัสกู้คืนจำกัดไว้ที่สิบครั้งต่อบัญชีภายใน 15 นาที รวมถึงระหว่างการตั้งค่าด้วย
• ส่วนผู้ดูแลระบบเข้าถึงได้เมื่อใช้ปัจจัยที่สองเท่านั้น ส่วนผู้ดูแลระบบของผู้ดำเนินการเปิดให้เข้าถึงได้เฉพาะบัญชีที่เปิดใช้ปัจจัยที่สอง รายการตรวจสอบการตั้งค่าจะแสดงบัญชีผู้ดูแลระบบทุกบัญชีที่ไม่มีปัจจัยที่สอง
• เซสชัน สคริปต์ไม่สามารถอ่านคุกกี้เซสชันได้ (HttpOnly) คุกกี้จะส่งผ่าน HTTPS เท่านั้น (Secure) และไม่ส่งไปกับคำขอจากเว็บไซต์บุคคลที่สามที่อาจทำให้เกิดการเปลี่ยนแปลง (SameSite=Lax) เมื่อเข้าสู่ระบบ ระบบจะสร้าง ID เซสชันใหม่ ทำให้ ID ที่มีผู้ฝังไว้ก่อนหน้าใช้ไม่ได้อีกต่อไป เซิร์ฟเวอร์ไม่ยอมรับ ID เซสชันที่ไม่ได้ออกให้เอง ผู้ใช้แต่ละบัญชีสามารถดูอุปกรณ์ที่เข้าสู่ระบบอยู่และสั่งให้อุปกรณ์แต่ละเครื่องออกจากระบบได้
• “ให้ฉันอยู่ในระบบต่อไป” เป็นตัวเลือกที่มีอายุ 30 วัน แต่ไม่ใช้กับบัญชีที่มีสิทธิ์ผู้ดูแลระบบ ซึ่งต้องเข้าสู่ระบบด้วยรหัสผ่านและปัจจัยที่สองเสมอ โทเค็นประกอบด้วยสองส่วน โดยส่วนที่ใช้ตรวจยืนยันจัดเก็บในฐานข้อมูลเฉพาะในรูปแฮช การใช้แต่ละครั้งจะแทนที่ด้วยโทเค็นใหม่ และแม้มีคำขอพร้อมกัน โทเค็นแต่ละรายการก็ใช้ได้เพียงครั้งเดียว จึงตรวจพบโทเค็นที่ถูกขโมยได้อย่างช้าที่สุดเมื่อผู้ใช้ตัวจริงเข้ามาครั้งถัดไป
• ลิงก์ในอีเมล ลิงก์ยืนยันที่อยู่และรีเซ็ตรหัสผ่านจัดเก็บในฐานข้อมูลเฉพาะในรูปแฮช ลิงก์รีเซ็ตมีอายุหนึ่งชั่วโมง ลิงก์ยืนยันการลงทะเบียนมีอายุ 72 ชั่วโมง และลิงก์ยืนยันการเปลี่ยนที่อยู่มีอายุ 24 ชั่วโมง หากเปลี่ยนที่อยู่อีเมล ลิงก์รีเซ็ตที่ยังเปิดใช้อยู่จะใช้ไม่ได้
• อินเทอร์เฟซ คีย์ API รหัสเชื่อมต่อส่วนขยาย และรหัสติดตั้งใช้งานจัดเก็บเฉพาะในรูปแฮช คีย์ API ใช้ได้จำนวนครั้งจำกัดต่อนาที ส่วนรหัสเชื่อมต่อส่วนขยายมีอายุ 15 นาทีและใช้ได้เพียงครั้งเดียว
• การป้องกันบอต บนแบบฟอร์มสาธารณะ (ลงทะเบียน เข้าสู่ระบบ รหัสผ่าน ตรวจสอบ เครื่องมือส่วนหัว ยกเว้นโดเมน การสนับสนุน และติดต่อ) ใช้ Google reCAPTCHA ซึ่งโหลดเมื่อส่งแบบฟอร์มเท่านั้น ระบบยอมรับเฉพาะคำตอบที่ถูกต้องจาก Google ซึ่งมีคะแนนเพียงพอและตรงกับ action ของแบบฟอร์มนั้นพอดี หาก Google ไม่ตอบภายในสามวินาที ระบบจะปฏิเสธการส่ง รายละเอียดอยู่ในนโยบายความเป็นส่วนตัว

3.3 การควบคุมการเข้าถึง: การดูแลเซิร์ฟเวอร์

• เซิร์ฟเวอร์ที่เข้าถึงได้จากอินเทอร์เน็ตใช้ตัวกรองแพ็กเก็ตเพื่ออนุญาตเฉพาะบริการที่เซิร์ฟเวอร์นั้นให้บริการ และบล็อกที่อยู่โดยอัตโนมัติหลังจากมีการเข้าสู่ระบบส่วนดูแลเซิร์ฟเวอร์ไม่สำเร็จซ้ำหลายครั้ง
• กระบวนการอัตโนมัติระหว่างเซิร์ฟเวอร์ใช้คีย์ของตนเองซึ่งมีสิทธิ์จำกัดอย่างแคบ คีย์ที่เว็บเซิร์ฟเวอร์ใช้ส่งสแกนเนอร์เวอร์ชันใหม่สั่งงานบนเซิร์ฟเวอร์สแกนได้เฉพาะตามรายการคำสั่งที่กำหนดตายตัว และคัดลอกข้อมูลแบบเขียนอย่างเดียวเข้าได้เฉพาะไดเรกทอรีของสแกนเนอร์ คีย์นี้ไม่สามารถใช้เข้าสู่ระบบแบบโต้ตอบ และทุกคำสั่งที่ถูกปฏิเสธจะมีการบันทึก เช่นเดียวกัน เซิร์ฟเวอร์สแกนเขียนภาพหน้าจอได้เฉพาะในไดเรกทอรีที่กำหนดบนเว็บเซิร์ฟเวอร์
• กระบวนการที่ให้บริการเว็บไซต์ไม่มีทั้งสิทธิ์เขียนลงในการติดตั้งใช้งานจริงและคีย์สำหรับเซิร์ฟเวอร์สแกน การปรับใช้ที่สั่งจากส่วนผู้ดูแลระบบเป็นเพียงการส่งงานเข้าระบบ โดยมีกระบวนการแยกต่างหากดำเนินงานนั้น
• ข้อมูลลับ เช่น ข้อมูลเข้าสู่ฐานข้อมูลและคีย์ จัดเก็บในไฟล์กำหนดค่านอกไดเรกทอรีที่ให้บริการ และไม่คัดลอกไปด้วยระหว่างการปรับใช้ การกำหนดค่าเว็บเซิร์ฟเวอร์ไม่ได้แจกจ่ายผ่านอินเทอร์เฟซเว็บ

3.4 การควบคุมสิทธิ์: สิทธิ์ภายในบริการ

• บทบาท แต่ละพื้นที่ทำงานมีบทบาทเจ้าของ ผู้ดูแลระบบ และผู้ดู การเปลี่ยนแปลง ลบ เชิญ และจัดเก็บข้อมูลเข้าสู่ระบบสงวนให้เจ้าของและผู้ดูแลระบบ มีเพียงเจ้าของที่เปลี่ยนบทบาทและนำสมาชิกออกได้ คำเชิญใช้ได้ตราบเท่าที่ผู้ส่งยังเป็นเจ้าของหรือผู้ดูแลระบบ ผู้ดูเห็นที่อยู่เว็บฮุกและช่องแชตที่ย่อให้เหลือเพียงโฮสต์ เนื่องจากที่อยู่เพียงอย่างเดียวก็ใช้โพสต์ข้อความในช่องได้ การตรวจสอบเกิดขึ้นบนเซิร์ฟเวอร์ ไม่ใช่เฉพาะในอินเทอร์เฟซ
• การผูกกับพื้นที่ทำงาน เฉพาะสมาชิกของพื้นที่ทำงานเท่านั้นที่เข้าถึงโดเมนและการตั้งค่าได้ ในการตรวจแต่ละครั้ง บริการสร้างรายงานภายใต้ลิงก์สุ่มที่ไม่สามารถเดาได้ ผลและภาพหน้าจอของการตรวจเข้าถึงผ่านลิงก์นี้ได้โดยไม่ต้องเข้าสู่ระบบ โดยภาพหน้าจอต้องใช้ร่วมกับลิงก์ของรายงานเท่านั้น ลิงก์ปรากฏในบัญชีและในการแจ้งเตือน ใครก็ตามที่ส่งต่อลิงก์ย่อมส่งต่อรายงานด้วย
• คำขอที่เปลี่ยนสถานะ ต้องมีโทเค็นความปลอดภัยแยกตามเซสชัน (การป้องกัน CSRF) ซึ่งตรวจเปรียบเทียบโดยใช้เวลาคงที่
• “ดูในฐานะลูกค้า” เพื่อให้การสนับสนุน ผู้ดำเนินการสามารถดูแอปพลิเคชันในแบบเดียวกับที่ลูกค้าเห็น มุมมองนี้สิ้นสุดหลังหนึ่งชั่วโมง ระงับการเปลี่ยนรหัสผ่าน ที่อยู่ ปัจจัยที่สอง อุปกรณ์ การสมัครใช้บริการ การส่งออกและการลบ ปิดส่วนผู้ดูแลระบบระหว่างนั้น และมีการบันทึก เมื่อสิ้นสุดมุมมองนี้ ระบบจะให้ผู้ดำเนินการออกจากระบบโดยสมบูรณ์ ผู้ดำเนินการกลับเข้าส่วนผู้ดูแลระบบได้โดยเข้าสู่ระบบใหม่ด้วยรหัสผ่านและปัจจัยที่สองเท่านั้น ลูกค้าดูข้อมูลนี้ได้ในข้อมูลที่ส่งออกของตน
• การดูแลระบบ มีเพียงบัญชีไม่กี่บัญชีที่ได้รับอนุญาตอย่างชัดแจ้งเท่านั้นที่มีสิทธิ์ดูแลระบบ ทุกครั้งที่ฝ่ายดูแลระบบรีเซ็ตปัจจัยที่สองจะมีการบันทึก

3.5 การควบคุมการแยกข้อมูล

• ข้อมูลลูกค้าแยกกันในเชิงตรรกะตามพื้นที่ทำงาน ทุกเส้นทางการอ่านและเขียนในส่วนที่เข้าสู่ระบบผูกกับพื้นที่ทำงานนี้ด้วย รายงานยังเข้าถึงผ่านลิงก์ของรายงานได้ (ส่วน 3.4)
• การพัฒนาและการใช้งานจริงอยู่ในการติดตั้งแยกกัน โดยมีฐานข้อมูลและผู้ใช้ฐานข้อมูลแยกกัน ผู้ใช้สำหรับการพัฒนาเข้าถึงฐานข้อมูลใช้งานจริงไม่ได้ ไม่มีการคัดลอกข้อมูลลูกค้าจริงเข้าสู่ระบบพัฒนา ซึ่งใช้ข้อมูลตัวอย่างที่สร้างขึ้นแทน
• ในแต่ละสภาพแวดล้อม สแกนเนอร์มีข้อมูลเข้าสู่ระบบของตนเองและมีสิทธิ์เฉพาะข้อมูลที่จำเป็นต่องานของตน ไม่สามารถอ่านข้อมูลบัญชี การเรียกเก็บเงิน หรือบันทึกได้
• บริการอื่นของผู้ให้บริการรายเดียวกันก็ทำงานบนเว็บเซิร์ฟเวอร์นี้ด้วย บริการเหล่านั้นมีฐานข้อมูลและผู้ใช้ฐานข้อมูลของตนเอง โดยไม่มีสิทธิ์เข้าถึงข้อมูลของบริการนี้

4. การเข้ารหัส การใช้นามแฝง และการลดข้อมูลให้น้อยที่สุด

4.1 ข้อมูลเข้าสู่ระบบสำหรับการสแกนหลังเข้าสู่ระบบ

สำหรับฟังก์ชันนี้ ลูกค้าจัดเก็บชื่อผู้ใช้และรหัสผ่านของบัญชีทดสอบ ข้อมูลเหล่านี้มีความอ่อนไหวที่สุดในบริการ จึงได้รับการปกป้องต่างจากข้อมูลอื่นทั้งหมด:

• ขณะจัดเก็บ เว็บเซิร์ฟเวอร์เข้ารหัสด้วยคีย์สาธารณะของเซิร์ฟเวอร์สแกน (ECIES: X25519 พร้อมคีย์ใช้ครั้งเดียวต่อรายการ, HKDF-SHA256, AES-256-GCM) คีย์ส่วนตัวมีอยู่เฉพาะบนเซิร์ฟเวอร์สแกน เว็บเซิร์ฟเวอร์ ฐานข้อมูล และข้อมูลสำรองมีเฉพาะข้อความที่เข้ารหัสแล้ว ซึ่งเราเองก็ไม่สามารถอ่านได้จากที่เหล่านั้น
• แต่ละรายการผูกกับโดเมนของตนด้วยวิทยาการเข้ารหัส หากย้ายไปโดเมนอื่นจะถอดรหัสไม่สำเร็จ
• ในการสแกน ระบบแนบข้อความเข้ารหัสไปกับงาน เซิร์ฟเวอร์สแกนถอดรหัสและส่งข้อมูลเข้าสู่ระบบให้คอนเทนเนอร์ตรวจสอบผ่านอินพุตมาตรฐานเท่านั้น ไม่ส่งเป็นอาร์กิวเมนต์บรรทัดคำสั่งซึ่งจะมองเห็นได้ในรายการกระบวนการ ทันทีที่เซิร์ฟเวอร์สแกนอ่านข้อมูลแล้ว ข้อความเข้ารหัสจะถูกลบออกจากงาน และมีกระบวนการล้างข้อมูลตกค้างอย่างช้าที่สุดหลังหนึ่งชั่วโมง
• ระบบจะไม่แสดงข้อมูลเข้าสู่ระบบ ไม่บันทึกข้อมูลนี้ลงล็อก ไม่ส่งข้อมูลนี้ออกผ่าน API และไม่รวมไว้ในการส่งออกข้อมูล อินเทอร์เฟซแสดงเฉพาะอักขระตัวแรกและความยาวของชื่อผู้ใช้ การนำข้อมูลออกจะเขียนทับข้อความเข้ารหัส
• หลังเข้าสู่ระบบ สแกนเนอร์อ่านอย่างเดียว ไม่มีการส่งแบบฟอร์ม ไม่มีการทดสอบเชิงรุก ไม่มีภาพหน้าจอ และไม่เปิดหน้าสำหรับออกจากระบบ ลบ หรือยกเลิก

4.2 การเข้ารหัสและแฮชเพิ่มเติม

• รหัสผ่าน รหัสกู้คืน รหัสผ่านพอร์ทัลลูกค้า คีย์ API รหัสเชื่อมต่อและรหัสติดตั้งใช้งาน โทเค็น “ให้ฉันอยู่ในระบบต่อไป” ID เซสชันในรายการอุปกรณ์ และลิงก์ยืนยันกับรีเซ็ต จัดเก็บเฉพาะในรูปแฮช
• คีย์ลับสำหรับปัจจัยที่สองจัดเก็บโดยเข้ารหัส (ส่วน 3.2)
• เราไม่ได้กล่าวอ้างว่าฐานข้อมูลทั้งชุดได้รับการเข้ารหัสขณะจัดเก็บ ค่าที่อ่อนไหวได้รับการปกป้องเป็นรายค่า ตามที่อธิบายไว้ข้างต้น

4.3 การลดข้อมูลให้น้อยที่สุดตั้งแต่การออกแบบ

• การตรวจสอบการส่งถึง: อ่านเฉพาะส่วนหัวอีเมลและข้อความไม่เกิน 8 KB แรก ฐานข้อมูลเก็บเฉพาะเวลา การจับคู่ ID ของการส่งทดสอบหากเกี่ยวข้อง และผลตรวจความถูกต้องแท้จริง (SPF, DKIM, DMARC) ไม่เก็บเนื้อหาหรือที่อยู่อีเมลผู้ส่งแบบเต็ม ผลตรวจความถูกต้องแท้จริงของอีเมลล่าสุดจัดเก็บร่วมกับโดเมนและเขียนทับเมื่อมีอีเมลฉบับถัดไป โดยมีที่อยู่ IP ของเซิร์ฟเวอร์ที่ส่งอีเมลถึงและโดเมนอีเมลของผู้ส่ง อีเมลจะถูกลบจากกล่องจดหมายหลังประมวลผลสำเร็จ หากดึงหรือลบไม่สำเร็จ จะดำเนินการนี้ในการทำงานครั้งถัดไปที่สำเร็จ
• การตรวจสอบ: จัดเก็บโครงสร้างแบบฟอร์มพร้อมชื่อช่อง ประเภท ป้ายกำกับ แอตทริบิวต์การบังคับกรอกและการมองเห็น โดยไม่เก็บค่าของช่อง สแกนเนอร์อ่านส่วนต้นของช่องซ่อนที่กรอกไว้ล่วงหน้า (ไม่เกิน 24 อักขระ) และแอตทริบิวต์ข้อมูล (ไม่เกิน 60 อักขระ) เฉพาะระหว่างการตรวจ และไม่จัดเก็บข้อมูลเหล่านี้ ภาพหน้าจอจากการตรวจแบบเต็มไม่มีการปกปิดข้อมูล มีเพียงการตรวจผ่านเบราว์เซอร์ที่ปิดบังช่องป้อนข้อมูล ที่อยู่ผู้รับของแบบฟอร์มจัดเก็บเฉพาะส่วนโดเมน การส่งทดสอบเชิงรุกมีเฉพาะข้อความทดสอบที่ระบุชัดเจนและไม่มีข้อมูลส่วนบุคคล
• ส่วนขยายสำหรับ WordPress และ TYPO3 ส่งเฉพาะตัวเลขรายวันและลักษณะต่าง ๆ เช่น รายการปลั๊กอิน สำหรับปลั๊กอิน WordPress ที่เชื่อมต่อแล้ว ยังส่งโดเมนของลิงก์จากข้อความที่ถูกบล็อกเพื่อการป้องกันร่วมด้วย (เปิดโดยค่าเริ่มต้น) ไม่มีการส่งเนื้อหาอื่น ชื่อ ที่อยู่ หรือที่อยู่ IP ของผู้เยี่ยมชม การนับแบบฟอร์มและข้อผิดพลาดของช่องซึ่งเลือกเปิดได้จะปิดโดยค่าเริ่มต้น
• “Fix it for me”: ระบบจะประมวลผลโค้ดที่วางเฉพาะระหว่างดำเนินการตามคำขอ และจะไม่จัดเก็บโค้ดนั้น
• ตราสัญลักษณ์: ภาพตราสัญลักษณ์บนเว็บไซต์ลูกค้าไม่ตั้งคุกกี้และไม่เริ่มเซสชัน
• การแจ้งเตือนการดำเนินงาน ไปยังโทรศัพท์ของผู้ดำเนินการเป็นข้อความตายตัวที่ไม่มีตัวแปร กล่าวคือ ไม่มีชื่อ ที่อยู่ หรือเนื้อหา การแจ้งข้อผิดพลาดทางอีเมลถึงผู้ดำเนินการมีข้อความดิบของข้อผิดพลาดโดยไม่ผ่านการล้างข้อมูล และตัดให้เหลือ 400 อักขระ ในบางกรณีอาจมีที่อยู่หรือลิงก์อยู่ด้วย
• การป้องกันร่วม: ระหว่างส่วนขยายของลูกค้า มีการแบ่งปันเฉพาะโดเมนจากลิงก์ในสแปมที่ถูกบล็อก การแลกเปลี่ยนเครือข่าย IP ปิดอยู่
• ตำแหน่ง: เราระบุประเทศของที่อยู่ IP จากไฟล์ฐานข้อมูลภายในเครื่อง และไม่ส่งที่อยู่ใดไปยังบริการระบุตำแหน่งทางภูมิศาสตร์

5. การป้องกันการใช้สแกนเนอร์ในทางที่ผิด

สแกนเนอร์โหลดหน้าของบุคคลที่สามด้วยเบราว์เซอร์จริง หากไม่มีการป้องกัน สแกนเนอร์จะกลายเป็นเครื่องมือให้บุคคลภายนอกเข้าถึงเครือข่ายภายในของเราหรือเป้าหมายอื่นที่ไม่เปิดสาธารณะได้ (server-side request forgery) จึงมีการป้องกันสองชั้นที่เป็นอิสระต่อกันและการแยกการทำงานทุกรอบออกจากกัน

5.1 การทำงานแบบแยก

• การตรวจแต่ละครั้งทำงานในคอนเทนเนอร์ของตนเอง ซึ่งจะลบออกภายหลัง คอนเทนเนอร์ทำงานโดยไม่มีสิทธิ์ผู้ดูแลระบบ ไม่มีความสามารถเพิ่มเติมของระบบปฏิบัติการ และไม่สามารถยกระดับสิทธิ์ได้ ระบบไฟล์เป็นแบบอ่านอย่างเดียว ยกเว้นพื้นที่ชั่วคราวขนาดเล็ก
• มีการจำกัดหน่วยความจำ จำนวนกระบวนการ และเวลาทำงาน หากทำงานเกินเวลาจะยุติการทำงานนั้น

5.2 เครือข่าย: การป้องกันสองชั้น

• ชั้นแรกในสแกนเนอร์: ก่อนสแกนและในทุกคำขอของเบราว์เซอร์ รวมถึงการเปลี่ยนเส้นทางและเนื้อหาที่ฝัง ระบบตรวจว่าชื่อนั้นแปลงเป็นที่อยู่ใด เครือข่ายส่วนตัว เครือข่ายภายใน เครือข่ายสงวน และเครือข่ายสำหรับใช้ในเอกสารตัวอย่าง (IPv4 และ IPv6) จะถูกปฏิเสธ เช่นเดียวกับพอร์ตที่ไม่ใช่พอร์ตเว็บตามปกติ เบราว์เซอร์ไม่อนุญาต service worker และจะปิดการเชื่อมต่อ WebSocket เนื่องจากทั้งสองอย่างอาจข้ามการตรวจนี้ได้
• ชั้นที่สองในเครือข่าย: คอนเทนเนอร์ทำงานในเครือข่ายของตนเอง กฎไฟร์วอลล์อนุญาตให้เชื่อมต่อจากที่นั่นสู่อินเทอร์เน็ตผ่านพอร์ตเว็บเท่านั้น และบล็อกการเชื่อมต่อเข้าเครือข่ายส่วนตัว รวมถึงเครือข่ายภายในของเราที่มีเว็บเซิร์ฟเวอร์และฐานข้อมูล ข้อยกเว้นที่จำเป็นสำหรับการตรวจเองจำกัดไว้เท่าที่จำเป็นและอธิบายในเอกสารภายในของเรา การป้องกันชั้นนี้ยังมีผลแม้ชื่อจะแปลงเป็นที่อยู่อื่นหลังผ่านการตรวจครั้งแรกแล้ว

5.3 คำขอที่เว็บเซิร์ฟเวอร์ส่ง

เมื่อเว็บเซิร์ฟเวอร์ขอข้อมูลจากที่อยู่บุคคลที่สามเอง ไม่ว่าจะเพื่อพิสูจน์การควบคุมโดเมน ใช้เครื่องมือส่วนหัว ค้นหาไฟล์ที่เปิดเผย ส่งคำขอตรวจชีพจร สอบถาม RDAP ตรวจใบรับรอง ส่งเว็บฮุกและการแจ้งเตือนทางแชต หรือใช้จุดตรวจที่สองซึ่งเลือกเปิดได้ จะใช้กฎเดียวกัน ได้แก่ ใช้เฉพาะโปรโตคอลเว็บบนพอร์ตเว็บตามปกติ (เว็บฮุกและการแจ้งเตือนทางแชตใช้เฉพาะ HTTPS บนพอร์ตมาตรฐาน) ใช้เฉพาะที่อยู่สาธารณะ เชื่อมต่อเฉพาะที่อยู่ที่ตรวจไว้ก่อนหน้าตรงตามนั้น เพื่อไม่ให้ชื่อถูกเปลี่ยนเส้นทางไปยังเป้าหมายภายในภายหลัง ไม่ติดตามการเปลี่ยนเส้นทางเลยหรือติดตามแบบควบคุมเองและตรวจใหม่ทุกครั้ง และจำกัดเวลาสั้น ๆ สำหรับการพิสูจน์การควบคุมโดเมน คำขอตรวจชีพจร และจุดตรวจที่สองในการตรวจผ่านเบราว์เซอร์ ยังมีการจำกัดขนาดคำตอบด้วย

5.4 สิ่งที่สแกนเนอร์ไม่ทำบนเว็บไซต์บุคคลที่สาม

• ลูกค้าใช้การส่งทดสอบเชิงรุก (ไม่เกินห้าครั้งต่อการตรวจ) ได้เฉพาะกับโดเมนที่มีหลักฐานการควบคุมแล้ว (DNS เมตาแท็ก ไฟล์ หรือส่วนขยาย) ข้อยกเว้นเดียวคือการตรวจภายในสำหรับโดเมนทดสอบและสาธิตของเราเอง ไม่สามารถเปลี่ยนชื่อโฮสต์ของโดเมนที่พิสูจน์การควบคุมแล้วได้ เพื่อไม่ให้หลักฐานนั้นย้ายไปยังโฮสต์อื่น การทำงานอื่นทั้งหมดเป็นแบบรับข้อมูลอย่างเดียว คืออ่านหน้าเว็บเหมือนผู้เยี่ยมชม
• การตรวจผ่านเบราว์เซอร์ดำเนินไปถึงจุดก่อนส่งข้อมูล และไม่ทำให้เกิดการสั่งซื้อ ชำระเงิน หรือส่งข้อมูลใด ๆ
• โดเมนในรายการยกเว้นการตรวจจะไม่ถูกตรวจ การเฝ้าติดตามที่ดำเนินอยู่จะสิ้นสุดเมื่อถึงการตรวจตามกำหนดครั้งถัดไป

6. ความครบถ้วนสมบูรณ์: การรับส่งและการป้อนข้อมูล

6.1 การรับส่ง

• แอปพลิเคชันเข้าถึงได้จากอินเทอร์เน็ตผ่าน HTTPS เท่านั้น และสั่งให้เบราว์เซอร์ใช้เฉพาะ HTTPS เป็นเวลาหนึ่งปี (HSTS) ใบรับรองได้รับการต่ออายุโดยอัตโนมัติ
• ส่วนหัวเพิ่มเติมจำกัดการฝังแอปพลิเคชันในหน้าของบุคคลที่สาม การคาดเดาประเภทไฟล์ และการส่งแบบฟอร์มไปยังเป้าหมายของบุคคลที่สาม นโยบายความปลอดภัยของเนื้อหาอนุญาตให้เฉพาะสคริปต์ที่เซิร์ฟเวอร์อนุญาตพร้อมคำตอบนั้นทำงานในแอปพลิเคชัน เบราว์เซอร์ปัจจุบันไม่เรียกใช้สคริปต์หรือตัวจัดการเหตุการณ์ที่ถูกแทรกใน HTML
• ระบบดึงข้อมูลจากกล่องจดหมายตรวจสอบการส่งถึงผ่านการเชื่อมต่อที่เข้ารหัส พร้อมตรวจยืนยันใบรับรอง
• เว็บฮุกสามารถลงลายเซ็นด้วยคีย์ลับของลูกค้า (HMAC-SHA256 พร้อมเวลาประทับ) เพื่อให้ผู้รับตรวจสอบที่มาและความครบถ้วนสมบูรณ์ได้ คำขอไปยังจุดตรวจที่สองซึ่งเลือกเปิดได้มีการลงลายเซ็น และในการตรวจผ่านเบราว์เซอร์ คำตอบก็มีลายเซ็นด้วย
• แจ้งอย่างตรงไปตรงมา: การเชื่อมต่อภายในเครือข่ายของเราไม่ได้เข้ารหัสตลอดทุกส่วน ส่วนข้อมูลเข้าสู่ระบบสำหรับการสแกนหลังเข้าสู่ระบบยังคงเข้ารหัสตลอดเส้นทาง (ส่วน 4.1)

6.2 การควบคุมการป้อนข้อมูลและบันทึก

• การดำเนินการสำคัญในบัญชีและพื้นที่ทำงาน (เช่น การเข้าสู่ระบบ การเปลี่ยนโดเมน ปลายทางการแจ้งเตือนและสิทธิ์ การลบ และการเข้าถึงเพื่อสนับสนุน) บันทึกในบันทึกกิจกรรมพร้อมบัญชี เวลา ที่อยู่ IP และประเทศ และลบหลัง 365 วัน
• บันทึกการเข้าถึงหน้าเว็บที่เก็บเพื่อความปลอดภัยและป้องกันการใช้งานในทางที่ผิดจะลบหลัง 60 วัน บันทึกข้อผิดพลาดหลัง 90 วัน และเนื้อหาอีเมลที่ส่งหลัง 30 วัน โทเค็นเข้าถึงในที่อยู่ที่ร้องขอและที่อยู่อ้างอิง เช่น โทเค็นในลิงก์รายงานหรือพอร์ทัล จะปรากฏในบันทึกการเข้าถึงหน้าเว็บในรูปที่ปกปิดแล้วเท่านั้น
• การยอมรับเอกสารสัญญาจัดเก็บพร้อมเวอร์ชันที่แสดง ค่าตรวจสอบของเวอร์ชันนั้น เวลา ที่อยู่ IP และตัวระบุเบราว์เซอร์
• บันทึกหลักฐานสามารถประทับเวลาโดยหน่วยงานประทับเวลาภายนอกได้ โดยส่งเฉพาะค่าตรวจสอบของเนื้อหาไปให้ ไม่ส่งตัวเนื้อหา

7. ความพร้อมใช้งานและความทนทาน

7.1 การสำรองข้อมูล

• ระบบสำรองฐานข้อมูลทุกคืน ข้อมูลสำรองจะได้รับชื่อสุดท้ายหลังจากตรวจเนื้อหาแล้วเท่านั้น ได้แก่ โปรแกรมสำรองทำงานสำเร็จ มีอย่างน้อยหนึ่งระเบียน มีจำนวนตารางเท่ากับฐานข้อมูล และมีบรรทัดปิดท้ายของการทำงานที่เสร็จสมบูรณ์ ข้อมูลสำรองเก่าจะถูกลบหลังจากสำรองชุดใหม่สำเร็จเท่านั้น
• ข้อมูลสำรองแต่ละชุดจะลบหลัง 14 วัน ตำแหน่งจัดเก็บอยู่นอกไดเรกทอรีที่ให้บริการทั้งหมด โดยจะปฏิเสธตำแหน่งภายในโครงการ
• การทดสอบกู้คืน: สัปดาห์ละครั้ง ระบบโหลดข้อมูลสำรองล่าสุดลงในฐานข้อมูลชั่วคราว เปรียบเทียบกับฐานข้อมูลใช้งานจริงทีละตาราง แล้วลบฐานข้อมูลชั่วคราวนั้น และจัดเก็บผลการทดสอบ
• หากการสำรองหรือการทดสอบล้มเหลว จะส่งการแจ้งเตือนทางอีเมลและไปยังโทรศัพท์ของผู้ดำเนินการ
• การกู้คืนหลังเหตุการณ์: หากฐานข้อมูลใช้งานไม่ได้หรือข้อมูลเสียหาย เราจะกู้คืนข้อมูลสำรองล่าสุดที่ผ่านการทดสอบ การเปลี่ยนแปลงหลังการสำรองครั้งนั้น ซึ่งตามปกติมากที่สุดคือข้อมูลหนึ่งวัน อาจสูญหายระหว่างการกู้คืน หากมีการสำรองที่ล้มเหลว อาจสูญหายมากกว่านั้นตามช่วงเวลาที่เพิ่มขึ้น จากนั้นเราจะดำเนินการตามคำขอลบภายหลังที่ทราบอีกครั้ง (ส่วน 8) เราไม่ผูกพันว่าจะกู้คืนเสร็จภายในเวลาใดโดยเฉพาะ
• แจ้งข้อจำกัดอย่างตรงไปตรงมา: ปัจจุบันข้อมูลสำรองจัดเก็บในสถานที่เดียวกับฐานข้อมูลและไม่ได้เข้ารหัสแยกต่างหาก ข้อมูลสำรองป้องกันความผิดพลาดในการดำเนินงาน การเปลี่ยนแปลงที่ผิดพลาด และข้อมูลเสียหาย แต่ไม่ป้องกันการสูญเสียตัวเซิร์ฟเวอร์เอง มีแผนจัดทำสำเนาที่เข้ารหัสไว้ในสถานที่ที่สอง (ส่วน 10)
• ข้อมูลเข้าสู่ระบบสำหรับการสแกนหลังเข้าสู่ระบบอยู่ในข้อมูลสำรองเฉพาะในรูปข้อความเข้ารหัส ส่วนคีย์ลับของปัจจัยที่สองอยู่ในรูปเข้ารหัสเท่านั้น โดยคีย์เข้ารหัสอยู่นอกฐานข้อมูล

7.2 การเฝ้าติดตาม

• กระบวนการตรวจสถานะตรวจองค์ประกอบของบริการทุกห้านาที รวมถึงฐานข้อมูล คิว และสัญญาณการทำงานของสแกนเนอร์ ซึ่งสแกนเนอร์เขียนเป็นประจำแม้ไม่มีงาน หากองค์ประกอบใดขัดข้อง จะส่งการแจ้งเตือน หากกลับมาทำงาน จะส่งการแจ้งว่ากลับเป็นปกติ
• การเฝ้าติดตามข้ามเครื่อง: กระบวนการตรวจสถานะไม่สามารถรายงานความขัดข้องของเครื่องที่ตนทำงานอยู่ได้ ดังนั้น เซิร์ฟเวอร์สแกนจะตรวจทุกนาทีว่าแอปพลิเคชันตอบสนองหรือไม่ และหลังจากล้มเหลวหลายครั้งติดต่อกัน จะรายงานด้วยข้อความตายตัวไปยังโทรศัพท์ของผู้ดำเนินการ ในทางกลับกัน เว็บเซิร์ฟเวอร์เฝ้าติดตามสัญญาณการทำงานของสแกนเนอร์ รายการตรวจสอบการตั้งค่าแสดงว่าการเฝ้าติดตามข้ามเครื่องทำงานอยู่หรือไม่
• การแจ้งข้อผิดพลาด: ข้อผิดพลาดประเภทที่ไม่เคยเกิดขึ้นมาก่อนจะรายงานทันทีหนึ่งครั้ง ส่วนข้อผิดพลาดที่เกิดสะสมจะส่งสัญญาณไปยังโทรศัพท์ของผู้ดำเนินการเพียงครั้งเดียว และส่งภาพรวมวันละครั้ง ด้วยเหตุนี้ เราจึงไม่ต้องรอให้ลูกค้าเป็นผู้แจ้งข้อผิดพลาดก่อน
• แจ้งข้อจำกัดอย่างตรงไปตรงมา: เซิร์ฟเวอร์ทั้งสองอยู่ในสถานที่เดียวกัน หากสถานที่ทั้งหมดใช้งานไม่ได้ เช่น ไฟฟ้าหรือการเชื่อมต่ออินเทอร์เน็ตขัดข้อง ไม่มีกลไกแจ้งเตือนใดรายงานได้ แต่จะสังเกตพบโดยบุคคล

7.3 การเปลี่ยนแปลงและการปรับใช้

• เวอร์ชันใหม่สร้างและทดสอบในสภาพแวดล้อมพัฒนาที่แยกต่างหากก่อน การปรับใช้ตรวจเงื่อนไขที่จำเป็นทั้งหมดก่อนเขียนไฟล์แรก ดำเนินการเปลี่ยนโครงสร้างฐานข้อมูล และปล่อยให้การตรวจที่กำลังทำงานจบอย่างเป็นระเบียบก่อนเริ่มสแกนเนอร์ใหม่
• สำหรับเส้นทางการใช้งานของลูกค้าใหม่ มีการทดสอบเบื้องต้นผ่าน HTTP จริง ซึ่งดำเนินการหลังการเปลี่ยนระบบ เราไม่ได้กล่าวอ้างว่ามีชุดทดสอบอัตโนมัติก่อนการปรับใช้ทุกครั้ง

8. การลบและระยะเวลาการเก็บรักษา

• การลบข้อมูลทุกคืนบังคับใช้ระยะเวลาที่ระบุในนโยบายความเป็นส่วนตัวและข้อตกลงการประมวลผลข้อมูล โดยอ่านการตั้งค่าเดียวกับที่ใช้เป็นแหล่งตัวเลขในเอกสาร สำหรับระยะเวลาเหล่านี้ ข้อความและการทำงานจึงตรงกัน
• ผลการตรวจสอบรวมถึงภาพหน้าจอจะถูกลบหลังจาก 13 เดือน (เก็บผลล่าสุดต่อโดเมนไว้) ตัวเลขจากส่วนขยายหลังจาก 13 เดือน บันทึกการส่งการแจ้งเตือนหลังจาก 90 วัน และคำขอความช่วยเหลือหลังจาก 24 เดือน
• การนำโดเมนออกจะลบข้อมูลของโดเมนนั้น รวมถึงการตรวจสอบ แบบฟอร์ม ผลการตรวจสอบ ภาพหน้าจอ รายงาน งาน ปลายทางการแจ้งเตือนและบันทึก เหตุการณ์ ข้อมูลการส่งถึง ข้อมูลรับรองสำหรับการสแกนหลังเข้าสู่ระบบ และหลักฐาน
• การลบบัญชีมีผลทันที พื้นที่ทำงานที่ไม่มีสมาชิกคนอื่นจะถูกลบพร้อมข้อมูล ส่วนพื้นที่ทำงานที่มีสมาชิกคนอื่นจะโอนไปยังสมาชิกอีกคน โดยให้ผู้ดูแลระบบก่อน และในกลุ่มนั้นให้ผู้ที่เป็นสมาชิกมานานที่สุด ข้อมูลต่อไปนี้จะยังคงอยู่จนกว่าจะครบระยะเวลาของตนเอง: บันทึกที่รายการยังเก็บหมายเลขบัญชีเดิมซึ่งไม่อ้างถึงบัญชีที่มีอยู่อีกต่อไป รวมถึงรายการการลบ ตลอดจนอีเมลที่ส่งแล้ว หลักฐานการทำสัญญา คำขอความช่วยเหลือ รายงานการตรวจสอบสำหรับผู้สนใจใช้บริการ (สูงสุด 90 วัน) และข้อมูลการเรียกเก็บเงินที่ Stripe ดูรายละเอียดในนโยบายความเป็นส่วนตัว
• ข้อมูลที่ลบแล้วยังคงอยู่ในข้อมูลสำรองจนกว่าข้อมูลสำรองจะหมดอายุหลังจาก 14 วัน ไม่มีการลบเฉพาะรายการภายในข้อมูลสำรอง หากกู้คืนข้อมูลสำรอง จะดำเนินการตามคำขอลบที่ทราบว่าเกิดขึ้นภายหลังอีกครั้งด้วยตนเอง

9. องค์กรและการทบทวน

• บุคลากร: ปัจจุบันเจ้าของเป็นผู้ดำเนินบริการด้วยตนเอง บุคคลอื่นจะได้รับสิทธิ์เข้าถึงต่อเมื่อรับรองการรักษาความลับแล้วและเฉพาะเท่าที่จำเป็น และประมวลผลข้อมูลตามคำสั่งของเราเท่านั้น (มาตรา 29 และมาตรา 32(4) GDPR)
• ผู้ประมวลผลข้อมูลช่วง: เราว่าจ้างหลังจากตรวจสอบหลักประกันของบุคคลเหล่านั้นและภายใต้สัญญาตามมาตรา 28(4) GDPR เท่านั้น และแสดงรายชื่อในหน้าผู้ประมวลผลข้อมูลช่วง รายละเอียดอยู่ภายใต้ข้อตกลงการประมวลผลข้อมูล
• การละเมิดข้อมูลส่วนบุคคล: หากการละเมิดข้อมูลส่วนบุคคลกระทบข้อมูลที่เราประมวลผลในฐานะผู้ประมวลผลข้อมูล เราจะแจ้งลูกค้าโดยไม่ชักช้าเกินสมควร หากเป็นไปได้ภายใน 48 ชั่วโมง รายละเอียดอยู่ภายใต้ข้อตกลงการประมวลผลข้อมูล
• การรายงานช่องโหว่: เรารับรายงานผ่านหน้าความปลอดภัยและไฟล์ /.well-known/security.txt
• รายการตรวจสอบการตั้งค่าและการเปิดใช้งาน: ในส่วนการดูแลระบบ รายการตรวจสอบจะวัดสถานะการตั้งค่าที่เกี่ยวข้องกับความปลอดภัย เช่น ข้อมูลสำรอง ผู้ดูแลระบบที่ไม่มีปัจจัยยืนยันตัวตนที่สอง การตั้งค่าอีเมลและสัญญาณการทำงาน และแสดงความเบี่ยงเบน
• การทบทวนมาตรการเหล่านี้ (มาตรา 32(1)(d) GDPR): เราทบทวนมาตรการทุกครั้งที่บริการมีการเปลี่ยนแปลงที่สำคัญ หลังเหตุการณ์ด้านความปลอดภัยทุกครั้ง และในกรณีอื่นอย่างน้อยปีละครั้ง ในการทบทวน เราประเมินว่ามาตรการมีประสิทธิผลและยังเหมาะสมกับความเสี่ยงหรือไม่ แล้วบันทึกผลในหน้านี้ฉบับใหม่ หากไม่มีการเปลี่ยนแปลง เราจะบันทึกวันที่ทบทวนไว้ในหัวข้อ 11 รายการตรวจสอบการตั้งค่าและการเปิดใช้งานจะวัดสถานะของการตั้งค่าที่ครอบคลุมอย่างต่อเนื่อง
• การตรวจประเมินภายนอก: ปัจจุบันยังไม่ได้ว่าจ้างการทดสอบเจาะระบบจากภายนอกและไม่มีการรับรองด้านความปลอดภัย เราระบุไว้ที่นี่เพื่อไม่ให้มีผู้เข้าใจว่ามีสิ่งเหล่านี้

10. สิ่งที่วางแผนไว้และยังไม่ได้ดำเนินการ

รายการเหล่านี้ยังไม่ใช่มาตรการที่เราผูกพันจะให้ จนกว่าจะระบุในหน้านี้ฉบับใหม่ว่าดำเนินการแล้ว:

• ข้อมูลสำรองในสถานที่ที่สอง: เราวางแผนจัดเก็บสำเนาที่เข้ารหัสของข้อมูลสำรองรายคืนไว้นอกเซิร์ฟเวอร์ เพื่อให้แม้สูญเสียเซิร์ฟเวอร์ทั้งหมดก็ไม่ทำให้ข้อมูลสูญหาย
• จุดตรวจสอบที่สอง: บริการได้เตรียมการยืนยันการตรวจสอบผ่านเบราว์เซอร์อย่างอิสระจากสถานที่ที่สองไว้แล้ว แต่ยังไม่ได้ตั้งค่า หากไม่มีสิ่งนี้ ก็ไม่มีการยืนยันจากสถานที่ที่สอง
• การเสริมความมั่นคงของการดูแลเซิร์ฟเวอร์: ยังดำเนินการอยู่ ด้วยเหตุผลที่ระบุในหัวข้อ 1 เราไม่เผยแพร่รายละเอียด

11. สถานะและเวอร์ชัน

• เวอร์ชัน 1.1 · ปรับปรุงล่าสุด: 22 ตุลาคม 2026 · หากฉบับภาษาต่าง ๆ มีข้อความแตกต่างกัน ให้ยึดฉบับภาษาโปแลนด์แทนฉบับภาษาเยอรมัน ไม่มีการเปลี่ยนแปลงอื่น
• เวอร์ชัน 1.0 · ปรับปรุงล่าสุด: 11 ตุลาคม 2026 · ฉบับแรกที่เป็นหน้าแยก ก่อนหน้านี้เป็นภาคผนวก 2 ของข้อตกลงการประมวลผลข้อมูล สิ่งที่แก้ไขจากภาคผนวกเดิม: ทดสอบการกู้คืนทุกสัปดาห์ ข้อมูลสำรองอยู่บนเซิร์ฟเวอร์เดียวกัน ไม่ได้รันชุดทดสอบอัตโนมัติก่อนการนำขึ้นใช้งานทุกครั้ง และการเชื่อมต่อในเครือข่ายภายในไม่ได้เข้ารหัสตลอดทั้งเส้นทาง สิ่งที่อธิบายเพิ่ม: การเข้ารหัสข้อมูลรับรองสำหรับการสแกนหลังเข้าสู่ระบบ การแยกตัวสแกน การเฝ้าระวังข้ามระบบ และการแจ้งเตือนข้อผิดพลาด
• การเปลี่ยนแปลงจะเผยแพร่พร้อมหมายเลขเวอร์ชันใหม่ที่นี่และในหน้าการเปลี่ยนแปลงเอกสารสัญญา หากมาตรการอ่อนลง ให้ใช้ระยะเวลาแจ้งล่วงหน้าตามข้อตกลงการประมวลผลข้อมูล
• หากฉบับภาษาต่าง ๆ มีข้อความแตกต่างกัน ให้ยึดฉบับภาษาโปแลนด์