Đánh giá tác động bảo vệ dữ liệu (Điều 35 GDPR)

Tài liệu này được công bố bằng nhiều ngôn ngữ. Nếu có bất kỳ khác biệt nào giữa các phiên bản ngôn ngữ, phiên bản tiếng Ba Lan có giá trị ràng buộc.

Phiên bản 1.1 · Cập nhật lần cuối: ngày 23 tháng 10 năm 2026

1. Nội dung và tính chất của trang này

Trang này là đánh giá tác động bảo vệ dữ liệu (DPIA) của formexposed theo Điều 35 GDPR. Trước tiên, trang trả lời câu hỏi sơ bộ liệu có cần DPIA hay không – riêng cho từng hoạt động xử lý, không cho toàn bộ dịch vụ. Khi câu trả lời là có, trang thực hiện đánh giá theo Điều 35(7)(a) đến (d): mô tả có hệ thống, sự cần thiết và tính tương xứng, rủi ro đối với chủ thể dữ liệu và biện pháp giải quyết. Sau đó là rủi ro còn lại, câu hỏi tham vấn trước theo Điều 36 và các quy tắc rà soát.

Điều 35 không yêu cầu công bố DPIA. Chúng tôi công bố vì hai lý do. Thứ nhất, Khách hàng dùng kiểm tra giao thư hoặc quét sau khi đăng nhập cần những thông tin thực tế chỉ chúng tôi biết cho đánh giá riêng của họ; dù sao chúng tôi cũng có nghĩa vụ cung cấp với tư cách bên xử lý dữ liệu (Điều 28(3)(f) GDPR). Thứ hai, trình thu thập dữ liệu của chúng tôi kiểm tra website có đơn vị vận hành không biết chúng tôi. Họ nên có thể đọc những rủi ro chúng tôi thấy đối với họ và những người trên trang của họ, cùng những gì chúng tôi làm để giải quyết.

Tính chất pháp lý. DPIA này là tài liệu của bên kiểm soát dữ liệu theo Điều 35 GDPR được chúng tôi tự nguyện công bố. Tài liệu không phải một phần của bất kỳ hợp đồng nào và không cấu thành bất kỳ tuyên bố, bảo đảm hoặc thỏa thuận chất lượng nào đối với Khách hàng hoặc bên thứ ba. Những dịch vụ và biện pháp bảo vệ chúng tôi có nghĩa vụ cung cấp cho Khách hàng được điều chỉnh bởi Điều khoản dịch vụ, Thỏa thuận xử lý dữ liệu và các phụ lục; về các nghĩa vụ này, các tài liệu đó được ưu tiên so với trang này. Trang mô tả tình hình tại ngày của phiên bản này. Xếp hạng và đánh giá rủi ro là quan điểm riêng của chúng tôi và không định trước bất kỳ đánh giá pháp lý nào của cơ quan giám sát hoặc tòa án; biện pháp được mô tả là “dự kiến” là ý định không có ngày cam kết. Đối với Khách hàng, trang là cơ sở cho đánh giá riêng, không phải tư vấn pháp lý.

Đây là phiên bản đầu tiên của đánh giá ngưỡng. Đánh giá xem xét theo từng hoạt động xử lý liệu có cần DPIA hay không và ghi kết quả tại phần 3.5.

Mọi thông tin thực tế tuân theo cùng nguyên tắc như các tài liệu pháp lý khác của chúng tôi: đã được đo lường, không chỉ dự định. Những gì có bằng chứng trong mã hoặc cơ sở dữ liệu được nêu tại đây cùng tham chiếu nguồn. Những gì không thể chứng minh được đánh dấu “chưa xác minh”. Những gì chỉ dự kiến được gọi là “dự kiến”. Chúng tôi nêu rõ các điểm còn mở cùng biện pháp dự kiến; DPIA chỉ liệt kê điểm mạnh không giúp những người liên quan.

Thuật ngữ: đơn vị vận hành là bất kỳ ai vận hành website được kiểm tra. Khách hàng có tài khoản tại formexposed. Khách truy cập là người sử dụng website của Khách hàng, chẳng hạn biểu mẫu liên hệ. Tham chiếu nguồn là tệp, hàm hoặc cài đặt trong mã nguồn, được đo đối với trạng thái hệ thống phát triển ngày 11 tháng 10 năm 2026.

Chúng tôi chủ ý đặt một giới hạn đối với tính công khai: điểm còn mở trong bảo mật máy chủ riêng chỉ được mô tả chung (R13). Chúng tôi nêu rủi ro và mức độ, không nêu đường dẫn tới lỗ hổng cụ thể; chúng tôi sẽ cung cấp chi tiết cho cơ quan giám sát theo yêu cầu.

2. Vai trò: ai chịu nghĩa vụ và đối với điều gì

Điều 35 đặt nghĩa vụ lên bên kiểm soát dữ liệu. formexposed là bên kiểm soát đối với một số hoạt động xử lý, là bên xử lý dữ liệu cho Khách hàng đối với những hoạt động khác, và không giữ vai trò nào trong hai vai trò đó đối với dữ liệu mà tiện ích WordPress và tiện ích TYPO3 lưu trên website Khách hàng. Câu trả lời cho gần như mọi câu hỏi trong tài liệu phụ thuộc vào vai trò đang được hỏi. Việc phân định tuân theo Chính sách quyền riêng tư và Thỏa thuận xử lý dữ liệu.

Hoạt động xử lý	Vai trò của formexposed	Ai chịu nghĩa vụ theo Điều 35
Kiểm tra website bên thứ ba không có chỉ dẫn từ đơn vị vận hành: kiểm tra miễn phí, kiểm tra website khách hàng tiềm năng cho công ty dịch vụ, nghiên cứu	Bên kiểm soát dữ liệu	formexposed
Kiểm tra tên miền trong tài khoản Khách hàng: giám sát, gửi thử chủ động, hành trình trình duyệt, tệp bị lộ, kiểm tra nhanh biểu mẫu	Bên kiểm soát dữ liệu đối với tài khoản và dữ liệu kiểm tra của Khách hàng; bên xử lý dữ liệu đối với dữ liệu cá nhân bên thứ ba hiển thị trên website đã xác minh của Khách hàng; khi tên miền chưa xác minh, là bên kiểm soát như với kiểm tra miễn phí	formexposed cho phần riêng của mình; Khách hàng đối với dữ liệu bên thứ ba trên website của họ
Quét sau khi đăng nhập bằng tài khoản thử nghiệm	Bên xử lý dữ liệu: thông tin đăng nhập và nội dung sau đăng nhập thuộc website Khách hàng	Khách hàng; formexposed hỗ trợ
Kiểm tra giao thư có bản sao kiểm soát	Bên xử lý dữ liệu	Khách hàng; formexposed hỗ trợ
Bảo vệ cộng đồng: danh sách chung các tên miền liên kết từ thư rác bị chặn	Bên kiểm soát dữ liệu: chúng tôi kết hợp báo cáo của nhiều website, lập danh sách và phân phối	formexposed
Tài khoản khách hàng, đăng nhập, nhật ký, hỗ trợ, gửi e-mail, thanh toán, hồ sơ bằng chứng	Bên kiểm soát dữ liệu	formexposed
Cổng khách hàng và báo cáo hằng tháng cho người đăng ký của công ty dịch vụ	Bên xử lý dữ liệu	Công ty dịch vụ
Dữ liệu mà các tiện ích lưu trên website Khách hàng (cách ly, lưới an toàn, yêu cầu được lưu)	Không vai trò nào: dữ liệu không bao giờ rời website	Đơn vị vận hành website

Từ đó có sự phân biệt mà chúng tôi nêu rõ vì thường bị hiểu sai theo cả hai hướng. Khi formexposed là bên kiểm soát dữ liệu, chúng tôi tự thực hiện đánh giá và chịu trách nhiệm về kết quả. Khi là bên xử lý dữ liệu, chúng tôi không thể thay Khách hàng thực hiện đánh giá của họ, quyết định giúp họ về sự cần thiết hoặc thay mặt họ tham vấn cơ quan giám sát theo Điều 36. Những gì chúng tôi có thể và phải làm là cung cấp mọi thứ họ cần: mô tả theo điểm (a), thông tin thực tế được đo lường về rủi ro theo điểm (c) và danh sách trạng thái trung thực của biện pháp theo điểm (d). Đối với kiểm tra giao thư và quét sau khi đăng nhập, trang này chính là những nội dung đó.

Khách hàng tiếp nhận nguyên trạng các phần về kiểm tra giao thư làm DPIA riêng chưa phải đã thực hiện DPIA. Bản sao kiểm soát có chính đáng cho biểu mẫu của chính họ hay không, có thể dự kiến loại dữ liệu cá nhân đặc biệt ở đó hay không và họ thông báo cho khách truy cập thế nào là những vấn đề chỉ họ có thể quyết định. Phần 11 tóm tắt những gì cần làm rõ cho mục đích đó.

3. Đánh giá ngưỡng: có cần DPIA không?

3.1 Điều 35(1) và Điều 35(3)

Điều 35(1) yêu cầu DPIA khi một loại xử lý, đặc biệt sử dụng công nghệ mới, có tính đến tính chất, phạm vi, bối cảnh và mục đích xử lý, có khả năng dẫn đến rủi ro cao đối với quyền và tự do của thể nhân. Điều 35(3) nêu ba trường hợp đặc biệt thuộc tình huống này. Không trường hợp nào trong ba trường hợp phù hợp với formexposed, và điều này cần được lập luận thay vì chỉ khẳng định:

Điểm (a) – đánh giá có hệ thống và toàn diện các khía cạnh cá nhân của thể nhân dựa trên xử lý tự động, làm cơ sở cho quyết định gây hiệu lực pháp lý hoặc ảnh hưởng đáng kể tương tự đến họ. Chúng tôi đánh giá biểu mẫu và website, không đánh giá khía cạnh cá nhân của con người. Dịch vụ không đưa ra quyết định có hiệu lực pháp lý đối với người nào. Gần nhất là bảo vệ cộng đồng: thông điệp chứa liên kết tới tên miền trong danh sách được đưa vào cách ly trên website được kết nối. Đó là hệ quả tự động đối với thông điệp, không phải đánh giá toàn diện một người; chúng tôi xem xét dưới tiêu chí “Đánh giá hoặc chấm điểm” tại phần 3.3.
Điểm (b) – xử lý quy mô lớn loại dữ liệu đặc biệt theo Điều 9 hoặc dữ liệu liên quan đến tội phạm theo Điều 10. Không được dự định và không được xây dựng. Tuy vậy, những dữ liệu này có thể đến chúng tôi qua một đường: bản sao kiểm soát thông điệp thật của khách truy cập trong kiểm tra giao thư. Điều đó tùy từng trường hợp và không phải quy mô lớn theo nghĩa của quy định này; tuy nhiên vẫn được tính đến trong đánh giá rủi ro (R1).
Điểm (c) – giám sát có hệ thống một khu vực có thể tiếp cận công khai trên quy mô lớn. Điều này có nghĩa quan sát vật lý các địa điểm, không phải truy xuất trang web công khai. Viện dẫn quy định này làm căn cứ áp dụng cho trình thu thập dữ liệu website sẽ không đúng.

Vì vậy, cách tiếp cận đúng là chính Điều 35(1), được áp dụng thông qua chín tiêu chí trong Hướng dẫn đánh giá tác động bảo vệ dữ liệu của Nhóm công tác Điều 29 (WP248 rev.01, được Ủy ban Bảo vệ Dữ liệu châu Âu tán thành), và danh sách của cơ quan giám sát Ba Lan theo Điều 35(4) (phần 3.4).

3.2 Chín tiêu chí của hướng dẫn WP248

Hướng dẫn nêu chín đặc điểm cho thấy khả năng có rủi ro cao. Theo quy tắc kinh nghiệm, hoạt động xử lý đáp ứng hai tiêu chí trong số đó trong phần lớn trường hợp sẽ cần DPIA. Bên kiểm soát dữ liệu có thể đi đến kết luận khác trong trường hợp riêng, nhưng khi đó phải nêu lý do và ghi nhận. Ngược lại, một tiêu chí đơn lẻ cũng có thể đủ. Trên trang này, chúng tôi sử dụng các nhãn ngắn sau:

C1 – Đánh giá hoặc chấm điểm, bao gồm lập hồ sơ và dự đoán, chẳng hạn về hiệu suất làm việc, tình hình kinh tế, độ tin cậy hoặc hành vi.
C2 – Ra quyết định tự động có hiệu lực pháp lý hoặc tác động đáng kể tương tự.
C3 – Giám sát có hệ thống, tức xử lý được dùng để quan sát, giám sát hoặc kiểm soát chủ thể dữ liệu, bao gồm qua mạng. Hướng dẫn nêu rõ căn cứ cho tiêu chí này là chủ thể dữ liệu thường không biết ai đang thu thập dữ liệu của mình và cho mục đích gì.
C4 – Dữ liệu nhạy cảm hoặc có tính chất cá nhân cao: các loại đặc biệt theo Điều 9 và 10, nhưng cả dữ liệu mà việc tiết lộ ảnh hưởng đáng kể đến đời sống hằng ngày, bao gồm liên lạc điện tử cần được bảo vệ tính bí mật.
C5 – Dữ liệu được xử lý trên quy mô lớn, đo bằng số chủ thể dữ liệu, khối lượng và phạm vi dữ liệu, thời gian và phạm vi địa lý.
C6 – Đối chiếu hoặc kết hợp tập dữ liệu xuất phát từ các hoạt động xử lý khác nhau hoặc các bên kiểm soát khác nhau, theo cách chủ thể dữ liệu không dự kiến.
C7 – Dữ liệu liên quan đến chủ thể dễ bị tổn thương, chẳng hạn nhân viên, trẻ em, bệnh nhân hoặc người khác trong tình trạng mất cân bằng quyền lực.
C8 – Sử dụng đổi mới hoặc áp dụng giải pháp công nghệ hay tổ chức mới; trong thực tiễn giám sát, việc sử dụng trí tuệ nhân tạo thường được coi là thuộc tiêu chí này.
C9 – Việc xử lý ngăn chủ thể dữ liệu thực hiện quyền hoặc sử dụng dịch vụ hay hợp đồng.

Chúng tôi đánh giá từng tiêu chí là “đáp ứng”, “ranh giới” hoặc “không đáp ứng” và nêu lý do từ mã. Trường hợp ranh giới không được tính là đáp ứng trong tổng số nhưng được nêu trong kết quả; khi nhiều trường hợp ranh giới cùng chỉ về một hướng, chúng tôi đưa hoạt động xử lý vào đánh giá.

3.3 Đánh giá theo từng hoạt động xử lý

P1 – Kiểm tra miễn phí không có tài khoản (kiểm tra website bất kỳ của bên thứ ba theo yêu cầu)

Bất kỳ ai cũng có thể nhập tên miền trên trang chủ. Sau đó, trình thu thập dữ liệu truy xuất tối đa tám trang công khai của website, đọc biểu mẫu, chụp ảnh màn hình và tạo báo cáo mà bất kỳ ai biết liên kết ngẫu nhiên đều có thể xem. Đơn vị vận hành website không biết điều này trừ khi nhận thấy mã nhận diện trình thu thập dữ liệu trong nhật ký.

C1 – ranh giới. Báo cáo đánh giá mức bảo vệ của biểu mẫu bằng mức độ (“Không được bảo vệ”, “Được bảo vệ một phần”, “Được bảo vệ”) và điểm số. Đối với công ty trách nhiệm hữu hạn, việc này không liên quan thể nhân. Với cá nhân kinh doanh và người làm việc tự do, tên miền có thể quy về cá nhân và khi đó mức độ nói lên phần nào sự cẩn trọng trong hoạt động nghề nghiệp của họ. Tuy nhiên, đối tượng được đánh giá là thiết lập kỹ thuật, không phải hành vi hoặc đặc điểm của một người. Chúng tôi coi đây là trường hợp ranh giới.
C2 – không đáp ứng. Không có quyết định nào đối với đơn vị vận hành. Đối với người yêu cầu kiểm tra, áp dụng giới hạn theo địa chỉ IP và phiên (cfg/check_lib.php); kiểm tra bị từ chối không có ảnh hưởng đáng kể.
C3 – không đáp ứng. Đây là một lần truy xuất theo yêu cầu, tối đa một lần cho mỗi tên miền và tuần (cfg/check_lib.php, cài đặt fc_domain_days = 7). Không quan sát con người. Tuy nhiên, hoàn cảnh mà hướng dẫn viện dẫn để giải thích C3 – chủ thể dữ liệu không biết gì về việc xử lý – có tồn tại. Điều đó được tính đến trong đánh giá rủi ro (R5).
C4 – không đáp ứng. Những gì được lưu là cấu trúc biểu mẫu và phát hiện, không phải giá trị được nhập (scanner/src/crawl.js chỉ lưu độ dài giá trị cho trường hiển thị). Trình quét chỉ đọc phần đầu trường ẩn được điền sẵn (tối đa 24 ký tự) và thuộc tính dữ liệu (tối đa 60 ký tự) trong lúc kiểm tra để phát hiện token và dấu thời gian; chúng không được lưu. Ảnh chụp màn hình có thể tình cờ hiển thị người và tên; website phòng khám hiển thị chuyên khoa trong ảnh. Đây là thông tin nghề nghiệp công khai, không phải dữ liệu sức khỏe của người cụ thể.
C5 – ranh giới. Giới hạn hằng ngày là 200 kiểm tra được chấp nhận (fc_daily_cap), tức tính toán ra tối đa khoảng 73.000 website mỗi năm. Chỉ phát sinh vài mục dữ liệu cá nhân cho mỗi website và thời gian ngắn (30 ngày). Đo trên hệ thống phát triển, tập dữ liệu có 2 kiểm tra ẩn danh. Hiện tại không đáp ứng; xét năng lực được thiết kế thì là trường hợp ranh giới.
C6 – không đáp ứng. Ngoài truy xuất trang, dịch vụ truy vấn tuổi tên miền qua dịch vụ RDAP rdap.org (chỉ truyền tên miền; chỉ lưu ngày đăng ký, có bộ nhớ đệm) và phân giải DNS. Đây là thông tin kỹ thuật về tên miền, không phải kết hợp tập dữ liệu về con người.
C7 – không đáp ứng.
C8 – đáp ứng ở mức yếu. Trình duyệt tự động kiểm tra trang, và mô hình ngôn ngữ trên máy chủ riêng của chúng tôi phân loại biểu mẫu mà các quy tắc không nhận diện được (scanner/src/classify.js). Mô hình thấy tiêu đề trang, địa chỉ, nhãn trường và tối đa 400 ký tự văn bản biểu mẫu. Mô hình không bao giờ có thể khiến biểu mẫu trở thành “có thể gửi”.
C9 – không đáp ứng.

Kết quả sơ bộ P1: một tiêu chí ở mức yếu (C8), hai trường hợp ranh giới (C1, C5). Không có nghĩa vụ theo quy tắc kinh nghiệm. Vì cả hai trường hợp ranh giới cùng chỉ về một hướng và chủ thể dữ liệu không biết về việc xử lý, chúng tôi đưa P1 vào đánh giá.

P2 – Kiểm tra website khách hàng tiềm năng cho công ty dịch vụ

Công ty dịch vụ ở gói Business đã thiết lập thương hiệu riêng có thể yêu cầu kiểm tra thụ động website khách hàng tiềm năng. Công ty nhận phát hiện ngắn dưới thương hiệu riêng và báo cáo chi tiết, đồng thời tự chuyển liên kết (cfg/akquise_lib.php). Chúng tôi không liên hệ bất kỳ ai.

C1 – ranh giới, mạnh hơn P1. Phát hiện ngắn được chủ ý dùng làm “cách mở đầu cuộc trao đổi đầu tiên”. Vì vậy, đánh giá website trở thành cơ sở tiếp cận một người cho mục đích thương mại.
C5 – không đáp ứng. Tối đa 30 kiểm tra cho mỗi công ty dịch vụ mỗi tháng (prospect_monthly), xóa sau 90 ngày.
C8 – đáp ứng ở mức yếu (cùng công nghệ với P1).
Các tiêu chí khác – không đáp ứng. Phát hiện được trình bày với thương hiệu công ty dịch vụ nhưng không được liên kết với dữ liệu khác về đơn vị vận hành.

Kết quả sơ bộ P2: không có nghĩa vụ theo quy tắc kinh nghiệm; được đưa vào vì cùng lý do như P1 và vì mục đích – thu hút khách hàng – có rủi ro riêng (R6).

P3 – Nghiên cứu “Chỉ số bảo mật biểu mẫu”

Đối với nghiên cứu, danh sách website được kiểm tra thụ động, điều tiết ở mức tối đa năm tác vụ mở mỗi lần chạy quy trình kiểm tra trạng thái, diễn ra mỗi năm phút (cfg/studie_lib.php). Chỉ công bố số liệu tổng và chỉ phân đoạn từ 20 website có biểu mẫu (study_min_segment, cfg/studie_lib.php). Dữ liệu thô bị xóa khi công bố (cfg/studie_lib.php).

C5 – ranh giới, đáp ứng với danh sách lớn. Kích thước danh sách không bị giới hạn trong mã; tính toán theo mức điều tiết cho phép hơn một nghìn kiểm tra mỗi ngày. Nghiên cứu thị trường quốc gia bao gồm hàng nghìn website, nhiều website do cá nhân kinh doanh vận hành. Từ quy mô như vậy trở lên, chúng tôi coi tiêu chí là đáp ứng.
C8 – đáp ứng ở mức yếu.
C1 – không đáp ứng. Mặc dù từng website được đánh giá, chỉ số liệu tổng được công bố; việc đánh giá không phục vụ phát biểu về đơn vị vận hành riêng lẻ.
Các tiêu chí khác – không đáp ứng.

Kết quả sơ bộ P3: đối với nghiên cứu có quy mô được thiết kế, hai tiêu chí (C5, C8). Vì vậy nghiên cứu đạt ngưỡng; formexposed thực hiện đánh giá với tư cách bên kiểm soát dữ liệu. Đo trên hệ thống phát triển, đến nay chưa tạo nghiên cứu nào.

P4 – Kiểm tra tên miền trong tài khoản Khách hàng

Khách hàng yêu cầu kiểm tra thường xuyên các tên miền trong tài khoản. Khi đã chứng minh quyền kiểm soát tên miền, lượt gửi thử chủ động (tối đa năm lượt mỗi lần kiểm tra), tìm tệp bị lộ và các hành trình trình duyệt được cấu hình được bổ sung.

C3 – không đáp ứng. Kiểm tra được lên lịch và lặp lại nhưng liên quan website riêng của Khách hàng và được thực hiện theo yêu cầu của họ, không nhằm quan sát con người.
C4 – ranh giới, không. Việc tìm tệp bị lộ đọc tối đa 8 KB đầu tiên từ đường dẫn như /backup.sql hoặc nhật ký gỡ lỗi để từ nội dung xác định tệp có thực sự bị lộ không (cfg/dateien_lib.php). Trích đoạn đó có thể chứa nội dung khách truy cập nhập vào biểu mẫu. Nội dung chỉ được kiểm tra trong bộ nhớ và không bao giờ được lưu; những gì được lưu là đường dẫn, loại và mức nghiêm trọng.
C8 – đáp ứng ở mức yếu.
Các tiêu chí khác – không đáp ứng.

Giai đoạn kế hoạch hành động được bổ sung. Báo cáo trả phí đủ điều kiện có thể chứa văn bản tư vấn được tạo cục bộ dựa trên các phát hiện được lựa chọn và siêu dữ liệu quét. Văn bản được lưu cùng lần kiểm tra và hiển thị với thông báo AI; từng phát hiện riêng vẫn có giá trị quyết định. Văn bản không tự động thay đổi website hoặc đưa ra quyết định có hiệu lực pháp lý hay tác động đáng kể tương tự đối với con người. Chỉ riêng việc sử dụng mô hình ngôn ngữ không quyết định có cần DPIA riêng hay không. Dữ liệu đầu vào, người nhận, quy mô và rủi ro còn lại phải được đánh giá cùng hoạt động kiểm tra nền tảng, bao gồm khả năng lặp lại dữ liệu cá nhân từ URL hoặc ghi chú và khuyến nghị sai trong báo cáo có thể chia sẻ qua liên kết. Phần 7 đến 9 bên dưới bao gồm giai đoạn này; phần bổ sung thông tin thực tế này không khẳng định đã hoàn tất đo lường trên hệ thống sản xuất, có phê duyệt của chủ sở hữu hoặc có xếp hạng rủi ro còn lại mới.

Kết quả sơ bộ P4: hoạt động kiểm tra kỹ thuật nền tảng không đạt ngưỡng theo các thông tin mô tả trên. Giai đoạn tư vấn cục bộ được bổ sung tự nó không xác lập nghĩa vụ riêng, nhưng kết quả ngưỡng trước đó không thay thế việc xem xét dữ liệu đầu vào thực tế, quy mô, người nhận và tác động của giai đoạn này. Được đưa vào vì lượt gửi thử chủ động và kiểm tra tệp phụ thuộc vào bằng chứng không bao giờ được gia hạn (R7).

P5 – Quét sau khi đăng nhập

Đối với tên miền đã xác minh, Khách hàng có thể lưu tài khoản thử nghiệm cho website của mình. Trình quét đăng nhập bằng tài khoản đó và đọc biểu mẫu trên tối đa năm trang được chỉ định của khu vực thành viên (cfg/login_lib.php, scanner/src/login.js).

C4 – ranh giới. Thông tin đăng nhập không phải dữ liệu có tính chất cá nhân cao theo nghĩa của hướng dẫn nhưng việc lạm dụng mở ra khu vực thành viên. Tùy website, nội dung bí mật có thể nằm sau đăng nhập, chẳng hạn cổng thành viên hoặc bệnh nhân. Điều đó phụ thuộc Khách hàng, không phải chúng tôi.
C8 – không đáp ứng. Đăng nhập tự động là phổ biến trong dịch vụ giám sát.
Các tiêu chí khác – không đáp ứng.

Kết quả sơ bộ P5: không có nghĩa vụ theo quy tắc kinh nghiệm. Với Khách hàng có khu vực thành viên hiển thị nội dung bí mật, điều này có thể thay đổi; khi đó quyết định thuộc về họ. Được đưa vào vì các rủi ro bảo mật (R8).

P6 – Kiểm tra giao thư có bản sao kiểm soát

Khách hàng nhập địa chỉ kiểm soát của formexposed vào mục bản sao ẩn trong cài đặt thư của biểu mẫu. Do đó mọi e-mail biểu mẫu cũng đến hộp thư kiểm soát của chúng tôi – cả thông điệp thử nghiệm của chúng tôi lẫn mọi thông điệp thật của khách truy cập. Quá trình truy xuất tự động đọc tiêu đề và 8 KB đầu tiên, gán e-mail, đánh giá SPF, DKIM và DMARC rồi xóa (cfg/zustellung_lib.php).

C4 – đáp ứng. Những gì khách truy cập viết vào biểu mẫu liên hệ là liên lạc điện tử tới doanh nghiệp với nội dung bất kỳ. Trên website phòng khám, công ty luật, dịch vụ tư vấn hoặc trường học, có thể dự kiến dữ liệu theo Điều 9 hoặc về trẻ em. Hướng dẫn nêu rõ liên lạc điện tử bí mật trong tiêu chí này.
C3 – ranh giới, thiên về đáp ứng. Mọi thông điệp được sao chép có kế hoạch, liên tục và được đánh giá tự động mà người gửi không nhận thấy. Mục đích là kiểm tra đường thư, không phải quan sát con người. Tuy nhiên, hoàn cảnh mà hướng dẫn dùng để giải thích tiêu chí – chủ thể dữ liệu không biết ai nhận dữ liệu của mình – hiện diện đầy đủ chừng nào Khách hàng chưa thông báo cho khách truy cập.
C7 – tùy Khách hàng. Bệnh nhân, khách hàng công ty luật, người ứng tuyển việc làm, phụ huynh và học sinh thường có quan hệ phụ thuộc với người nhận thông điệp.
C5 – ranh giới, không. Không phải quy mô lớn đối với từng Khách hàng. Tại formexposed, bản sao của nhiều Khách hàng hội tụ trong một hộp thư; điều đó tăng mức độ nghiêm trọng của vi phạm, không tăng số lượng trên mỗi bên kiểm soát dữ liệu.
Các tiêu chí khác – không đáp ứng. Gán cho tên miền và phép thử không phải đối chiếu tập dữ liệu về con người; công nghệ không mới.

Kết quả sơ bộ P6: C4 đáp ứng, C3 ranh giới và thiên về đáp ứng, C7 đáp ứng với nhiều Khách hàng điển hình. Vì vậy, trong tình huống điển hình, hai hoặc nhiều tiêu chí được đáp ứng. Cần DPIA – là nghĩa vụ của Khách hàng với tư cách bên kiểm soát dữ liệu. Phần 6 đến 11 cung cấp thông tin thực tế cho mục đích đó.

P7 – Bảo vệ cộng đồng

Các website WordPress được kết nối báo cáo mỗi ngày một lần tên miền của liên kết trong thông điệp mà lớp bảo vệ đã chặn. Tên miền xuất hiện trên ít nhất ba website khác nhau với ít nhất năm lượt khớp trong vòng bảy ngày được đưa vào danh sách chung; danh sách được gửi lại cho mọi website được kết nối, sau đó các website đưa thông điệp có liên kết tới tên miền đó vào cách ly (cfg/swarm_lib.php).

C6 – đáp ứng. Báo cáo từ nhiều website độc lập với nhau, tức từ các bên kiểm soát dữ liệu khác nhau, được kết hợp và trả lại cho tất cả dưới dạng danh sách chung.
C1 – đáp ứng trong phạm vi tên miền có thể quy về thể nhân. Danh sách là sự phân loại một nguồn thư rác. Hướng dẫn nêu kiểm tra đối chiếu cơ sở dữ liệu gian lận dùng chung làm ví dụ cho tiêu chí này. Phần lớn tên miền trên danh sách như vậy thuộc doanh nghiệp hoặc là tên miền dùng một lần; tuy nhiên tên miền cá nhân có thể lọt vào, dù đúng hay do báo cáo sai được cố ý cài vào.
C9 – ranh giới. Thông điệp có liên kết trong danh sách không đến người nhận ngay mà nằm trong khu cách ly cho đến khi họ giải phóng. Thông điệp không bị mất.
C2 – không đáp ứng. Cách ly là hệ quả tự động đối với thông điệp, không có hiệu lực pháp lý và có việc giải phóng do người nhận thực hiện.
Các tiêu chí khác – không đáp ứng. Mạng IP đang tắt (swarm_ip_enabled = 0, cfg/swarm_lib.php).

Kết quả sơ bộ P7: hai tiêu chí (C6, C1) và một trường hợp ranh giới (C9). Đạt ngưỡng; formexposed thực hiện đánh giá với tư cách bên kiểm soát dữ liệu. Nếu bật mạng IP, C1 và C6 sẽ được đáp ứng không hạn chế; bật chúng yêu cầu phiên bản đánh giá mới (phần 12). Đo trên hệ thống phát triển, không có báo cáo cũng không có mục danh sách.

P8 – Tài khoản khách hàng, đăng nhập, nhật ký, hỗ trợ, e-mail, thanh toán

C1 và C9 – không đáp ứng. Hành vi bất thường trong kiểm tra miễn phí dẫn tới ghi chú có địa chỉ IP (cfg/check_lib.php) và, khi áp dụng, từ chối kiểm tra tiếp theo. Đây là ngăn chặn lạm dụng với tác động nhỏ, không phải đánh giá khía cạnh cá nhân.
Các tiêu chí khác – không đáp ứng. Đây là dữ liệu thông thường của dịch vụ dành cho doanh nghiệp.

Kết quả sơ bộ P8: không cần DPIA. Các hoạt động xử lý được mô tả trong Hồ sơ hoạt động xử lý.

P9 – Số liệu tiện ích, lỗi trường, công cụ ghi, huy hiệu, cổng khách hàng, “Fix it for me”

Các tiện ích truyền số liệu hằng ngày, danh mục tiện ích và nhóm lỗi, còn tiện ích WordPress truyền thêm tên miền liên kết để bảo vệ cộng đồng (mặc định bật) (P7), không có nội dung, địa chỉ, tên hoặc IP khách truy cập; công cụ ghi giữ bộ chọn tối đa 15 phút trong trình duyệt quản trị viên. Không tiêu chí nào đáp ứng.
Khi tải, huy hiệu truyền dữ liệu kết nối thông thường vào nhật ký máy chủ web mà không có cookie. Không tiêu chí nào đáp ứng.
Cổng khách hàng xử lý địa chỉ e-mail của người đăng ký qua xác nhận đăng ký hai bước thay mặt công ty dịch vụ. Không tiêu chí nào đáp ứng.
“Fix it for me” yêu cầu mô hình ngôn ngữ trên máy chủ riêng viết lại mã biểu mẫu được dán; mã không được lưu. C8 ở mức yếu, không có tiêu chí nào khác.

Kết quả sơ bộ P9: không cần DPIA.

3.4 Danh sách của cơ quan giám sát Ba Lan theo Điều 35(4)

Cơ quan có thẩm quyền là Chủ tịch Văn phòng Bảo vệ Dữ liệu Cá nhân (Prezes Urzędu Ochrony Danych Osobowych, UODO). Chủ tịch đã công bố danh sách các loại hoạt động xử lý cần DPIA trong thông cáo ngày 17 tháng 6 năm 2019 (Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, Monitor Polski 2019, mục 666). Danh sách gán các mục cho tiêu chí của hướng dẫn WP248, đưa ví dụ và được nêu rõ là không đầy đủ; danh sách không thay thế đánh giá theo Điều 35(1).

Theo cách hiểu của chúng tôi, các loại xử lý sau trong danh sách tương ứng về nội dung với các hoạt động xử lý của formexposed:

Loại xử lý theo danh sách (diễn giải)	Tiêu chí được gán	Hoạt động xử lý tại formexposed	Đánh giá
So sánh, đánh giá hoặc suy luận dựa trên phân tích dữ liệu từ nhiều nguồn	C6	P7 Bảo vệ cộng đồng	áp dụng
Đánh giá hoặc chấm điểm, bao gồm lập hồ sơ	C1	P7 Bảo vệ cộng đồng; P1 và P2 là trường hợp ranh giới	áp dụng cho P7
Xử lý loại dữ liệu cá nhân đặc biệt	C4	P6 Kiểm tra giao thư	áp dụng tùy Khách hàng
Sử dụng đổi mới hoặc áp dụng giải pháp công nghệ	C8	P1 đến P4 (mô hình ngôn ngữ để phân loại)	áp dụng ở mức yếu
Xử lý quy mô lớn	C5	P3 Nghiên cứu	áp dụng cho danh sách lớn
Giám sát có hệ thống địa điểm có thể tiếp cận công khai, bao gồm nhận diện đặc điểm	C3	–	không áp dụng: đề cập địa điểm, không phải website

Việc phân định này là cách hiểu, không phải trích dẫn; cách diễn đạt của các mục cần được kiểm tra đối chiếu trong rà soát pháp lý. Việc này xác nhận nhưng không thay đổi kết quả phần 3.3. Theo hiểu biết của chúng tôi, UODO chưa công bố danh sách theo Điều 35(5) – các hoạt động xử lý không cần DPIA.

3.5 Kết quả đánh giá ngưỡng

Hoạt động xử lý	Đáp ứng	Ranh giới	Kết quả
P1 Kiểm tra miễn phí	C8 (yếu)	C1, C5	không bắt buộc; được đưa vào
P2 Kiểm tra website khách hàng tiềm năng	C8 (yếu)	C1	không bắt buộc; được đưa vào
P3 Nghiên cứu	C8 (yếu), C5 với danh sách lớn	–	bắt buộc (nghĩa vụ của formexposed)
P4 Kiểm tra tên miền Khách hàng	C8 (yếu)	C4 (kiểm tra tệp)	không bắt buộc; được đưa vào
P5 Quét sau khi đăng nhập	–	C4	không bắt buộc; được đưa vào; đối với Khách hàng tùy nội dung
P6 Kiểm tra giao thư	C4; C7 tùy Khách hàng	C3 (thiên về đáp ứng), C5	bắt buộc (nghĩa vụ của Khách hàng; trang này hỗ trợ theo Điều 28(3)(f))
P7 Bảo vệ cộng đồng	C6, C1	C9	bắt buộc (nghĩa vụ của formexposed)
P8 Tài khoản, nhật ký, hỗ trợ, thanh toán	–	–	không bắt buộc
P9 Số liệu tiện ích, huy hiệu, cổng, “Fix it for me”	C8 (yếu, chỉ “Fix it for me”)	–	không bắt buộc

Kết quả về Điều 35(1): Cần DPIA cho một số hoạt động xử lý của formexposed. DPIA bắt buộc đối với bảo vệ cộng đồng và nghiên cứu ở quy mô được thiết kế, và formexposed thực hiện với tư cách bên kiểm soát dữ liệu. Đối với kiểm tra giao thư, DPIA bắt buộc trong tình huống điển hình nhưng là nghĩa vụ của Khách hàng; formexposed cung cấp cơ sở. Đối với các kiểm tra khác của website bên thứ ba và website riêng, DPIA không bắt buộc. Tuy vậy, chúng tôi đưa vào vì dùng cùng công nghệ, vì nhiều trường hợp ranh giới cùng chỉ về một hướng và vì chủ thể dữ liệu – đơn vị vận hành không có tài khoản và những người trên trang được kiểm tra – không biết gì về việc xử lý. Không cần đánh giá cho tài khoản, nhật ký, hỗ trợ và thanh toán.

Vì vậy, phần 6 đến 10 áp dụng cho P1 đến P7. Khi thông tin chỉ áp dụng cho một trong các hoạt động xử lý này, điều đó được ghi rõ.

4. Cán bộ bảo vệ dữ liệu: đánh giá theo Điều 37

Chưa chỉ định Cán bộ bảo vệ dữ liệu. Điều 37(1) ràng buộc cả bên kiểm soát lẫn bên xử lý dữ liệu; vì vậy câu hỏi là của chính chúng tôi. Ba trường hợp luật định:

Điều 37(1)	Điều kiện	Kết quả
điểm (a)	Cơ quan hoặc tổ chức công quyền	Không áp dụng; LW IT Solutions Company Lukas Wójcik là doanh nghiệp cá thể tư nhân.
điểm (b)	Hoạt động cốt lõi gồm các hoạt động xử lý yêu cầu giám sát chủ thể dữ liệu thường xuyên và có hệ thống trên quy mô lớn	Hoạt động cốt lõi là kiểm tra và giám sát website và biểu mẫu, thường xuyên và có hệ thống. Tuy nhiên, không giám sát con người: trình thu thập dữ liệu không quan sát hành vi, và kiểm tra giao thư chỉ đánh giá e-mail về giao thư và tính xác thực. Không đáp ứng.
điểm (c)	Hoạt động cốt lõi gồm xử lý quy mô lớn dữ liệu theo Điều 9 hoặc 10	Không theo thiết kế. Các loại đặc biệt có thể đến chúng tôi qua bản sao kiểm soát của kiểm tra giao thư; đó là tình cờ, không phải hoạt động cốt lõi. Không đáp ứng.

Vì vậy, theo đánh giá của chúng tôi, không có nghĩa vụ chỉ định. Việc pháp luật Ba Lan có yêu cầu chỉ định ngoài những trường hợp này theo Điều 37(4) hay không là câu hỏi còn mở cho rà soát pháp lý. Vì chưa chỉ định Cán bộ bảo vệ dữ liệu, việc tham vấn ý kiến theo Điều 35(2) không áp dụng. Nếu rà soát pháp lý xác định có nghĩa vụ chỉ định, ý kiến của Cán bộ bảo vệ dữ liệu được chỉ định sau đó sẽ được lấy trước khi phê duyệt đánh giá này (phần 12). Người liên hệ cho câu hỏi về đánh giá này là chủ sở hữu tại contact@lukaswojcik.com.

5. Phương pháp, nguồn và giới hạn của phiên bản này

Thông tin thực tế trong tài liệu đến từ mã nguồn ứng dụng và trình quét, lược đồ cơ sở dữ liệu, số lượng hàng dữ liệu và cài đặt hệ thống phát triển, được đo ngày 11 tháng 10 năm 2026. Cơ sở dữ liệu và máy chủ được truy cập chỉ đọc. Khi phép đo mâu thuẫn với ý định – bao gồm phát biểu trong tài liệu pháp lý riêng của chúng tôi – chúng tôi báo cáo phép đo. Chúng tôi không áp dụng bộ quy tắc ứng xử được phê duyệt theo Điều 40 mà việc tuân thủ sẽ phải được tính đến theo Điều 35(8).

Hệ thống phát triển đã được đo. Dịch vụ chưa ra mắt. Vì vậy, số liệu nhỏ và một phần là sản phẩm của kiểm thử: 112 kiểm tra, trong đó 110 không có tên miền Khách hàng; 432 ảnh chụp màn hình; 2 tên miền, trong đó 1 đã xác minh; không bật kiểm tra giao thư; không lưu tài khoản thử nghiệm để quét sau đăng nhập; không có nghiên cứu; không có báo cáo trong bảo vệ cộng đồng. Phải đo lại trước khi ra mắt và định kỳ sau đó.
Chưa đo trong phiên bản này và cần bổ sung trước phê duyệt gồm: cấu hình hệ thống sản xuất, bao gồm hộp thư kiểm soát có được thiết lập hay không và như thế nào, cặp khóa để quét sau khi đăng nhập có được thiết lập tại đó hay không; phần mềm mô hình ngôn ngữ có ghi nhật ký yêu cầu hay không; trạng thái quản trị máy chủ (R13); hợp đồng với nhà cung cấp dịch vụ e-mail.
Không thể đo số lượng thông điệp thật của khách truy cập sẽ đi qua bản sao kiểm soát và Khách hàng sẽ thuộc ngành nào. Cả hai quyết định mức độ nghiêm trọng của R1 và R2 và phải được xác định sau khi ra mắt.
Tham chiếu nguồn trỏ tới tệp và hàm trong mã nguồn của hệ thống phát triển. Điều quyết định là chức năng được mô tả, không phải vị trí trong tệp.

Tài liệu này là bản nháp. Tài liệu chưa được bên kiểm soát dữ liệu phê duyệt (phần 12), và hai kết luận – đánh giá quy mô cho P1 và P3 cùng mức độ nghiêm trọng của kiểm tra giao thư – phụ thuộc vào số liệu chỉ có sau khi ra mắt.

6. (a) Mô tả có hệ thống các hoạt động xử lý và mục đích

6.1 Cấu trúc hệ thống kiểm tra

formexposed chạy trên máy chủ riêng tại Ba Lan, không có nhà cung cấp dịch vụ lưu trữ bên ngoài: một máy chủ web có ứng dụng và cơ sở dữ liệu cùng một máy chủ quét có dịch vụ kiểm tra và mô hình ngôn ngữ cục bộ, cả hai trong cùng mạng nội bộ. Một lần kiểm tra diễn ra như sau:

Ứng dụng tạo tác vụ trong cơ sở dữ liệu – tuân theo các giới hạn và lệnh chặn tại phần 6.3.
Dịch vụ kiểm tra trên máy chủ quét lấy tác vụ, kiểm tra lại lần thứ hai danh sách chặn, tên máy chủ và, đối với kiểm tra ẩn danh, tuổi tên miền, rồi khởi chạy container cách ly dành riêng cho tác vụ này: mạng riêng với quy tắc lọc riêng, không có đặc quyền, hệ thống tệp chỉ đọc, giới hạn bộ nhớ và tiến trình cùng giới hạn thời gian (scanner/src/worker.js).
Trong container, trình duyệt tự động truy xuất tối đa tám trang công khai, trước tiên là trang chủ rồi ưu tiên trang liên hệ, thông tin nhà cung cấp và hỗ trợ. Trước đó, trình duyệt đọc robots.txt; loại trừ dành cho FormExposedBot hoặc mọi trình thu thập dữ liệu áp dụng cho trang chủ sẽ kết thúc kiểm tra, tương tự khi không truy cập được robots.txt hoặc có lỗi máy chủ khi truy xuất (scanner/src/net.js). Không tuân thủ riêng các lệnh cấm cho từng đường dẫn con. Kiểm tra nhanh biểu mẫu, truy xuất bằng chứng, công cụ tiêu đề và tìm tệp bị lộ không đọc robots.txt. Ngoài tám trang, có tối đa ba trang với thao tác nhấp “Từ chối” trên biểu ngữ cookie, tối đa ba trang ở chế độ điện thoại, phép thử chủ động cho tên miền đã xác minh và tối đa năm trang sau đăng nhập; các trang được tải lần lượt, không song song. Mọi yêu cầu của trình duyệt – bao gồm chuyển hướng và nội dung nhúng – đi qua bộ lọc từ chối mạng riêng và các cổng khác.
Container ghi kết quả và ảnh chụp màn hình vào thư mục tạm. Dịch vụ kiểm tra chuyển kết quả và ảnh tới ứng dụng qua mạng nội bộ rồi xóa thư mục tạm, kể cả khi có lỗi (scanner/src/worker.js).
Ứng dụng xử lý kết quả, so sánh với lần kiểm tra trước đối với tên miền Khách hàng và báo cáo thay đổi tới các đích Khách hàng đã thiết lập.

6.2 Những gì trình thu thập dữ liệu lưu – và không lưu

Mục	Những gì được lưu	Những gì không được lưu	Tham chiếu nguồn
Trang	Địa chỉ, trạng thái HTTP, tiêu đề, Chính sách bảo mật nội dung, máy chủ bên thứ ba được yêu cầu (tối đa 120)	Nội dung trang dưới dạng văn bản hoặc HTML	`scanner/src/crawl.js`
Trường biểu mẫu	Loại, tên, nhãn, văn bản gợi ý, trường bắt buộc, tính hiển thị, độ dài giá trị đang có	Giá trị trường; với trường ẩn, 24 ký tự đầu của giá trị chỉ được đọc trong lúc kiểm tra (để phát hiện token)	`scanner/src/crawl.js`
Địa chỉ người nhận trong biểu mẫu	chỉ tên miền	địa chỉ	`scanner/src/crawl.js`
Tập lệnh	Danh mục kèm giá trị tổng kiểm tra; địa chỉ và phần văn bản mở đầu không có mã định danh tài khoản của dịch vụ quảng cáo và phân tích	Mã định danh tài khoản và pixel	`scanner/src/crawl.js`
Công cụ theo dõi nội dung nhập	pixel quảng cáo và công cụ ghi nào tải trước và sau khi nhấp “Từ chối” trên biểu ngữ cookie, cùng việc chúng có che nội dung nhập hay không	Mã định danh tài khoản tại các dịch vụ này	`scanner/src/mitleser.js`, `scanner/src/einwilligung.js`
Văn bản biểu mẫu	tối đa 400 ký tự được gửi tới mô hình ngôn ngữ cục bộ nếu quy tắc không nhận diện được loại	Tiết lộ cho bên thứ ba; lưu văn bản	`scanner/src/classify.js`
Ảnh chụp màn hình (trình thu thập dữ liệu)	vùng hiển thị của trang đầu; với mỗi biểu mẫu hiển thị, ảnh của phần tử biểu mẫu	–	`scanner/src/crawl.js`
Ảnh chụp màn hình (kiểm tra chủ động)	Ảnh trang phản hồi sau lượt gửi thử; ngoài ra còn trạng thái, địa chỉ đích, tiêu đề và 300 ký tự đầu văn bản	–	`scanner/src/active.js`
Ảnh chụp màn hình (hành trình trình duyệt)	Ảnh biểu mẫu với các trường nhập được tô đen, được nén, tối đa 32 KB	Nội dung nhập	`scanner/src/browser.js`
Sau khi đăng nhập	như các trường biểu mẫu ở trên	Ảnh chụp màn hình, cookie, liên kết	`scanner/src/login.js`

Theo thiết kế, các mục này không chứa dữ liệu cá nhân, nhưng tình cờ có thể chứa: tên người liên hệ cạnh biểu mẫu, ảnh nhóm trên trang chủ, số điện thoại trong nhãn, tên miền e-mail của cá nhân, tên trong văn bản gợi ý. Sau khi đăng nhập còn có thông tin tài khoản thử nghiệm và, tùy website, thông tin người dùng khác.

6.3 Ai kích hoạt kiểm tra và những quy định áp dụng sau đó

Điều kiện kích hoạt	Mức độ tin cậy trong tác vụ	Gửi thử biểu mẫu	Truy cập kết quả qua	Xóa
Người nhập tên miền trên trang chủ (kiểm tra miễn phí)	anonymous	không	Báo cáo dưới liên kết ngẫu nhiên	30 ngày, bao gồm ảnh (`cfg/check_lib.php`)
Tiện ích không có tài khoản	plugin	không	Báo cáo dưới liên kết ngẫu nhiên	30 ngày
Công ty dịch vụ kiểm tra khách hàng tiềm năng	registered	không	Phát hiện ngắn và báo cáo dưới liên kết ngẫu nhiên	90 ngày (`cfg/akquise_lib.php`)
Khách hàng, tên miền chưa có bằng chứng	registered	không	Tài khoản; báo cáo dưới liên kết ngẫu nhiên	13 tháng, giữ lần kiểm tra gần nhất
Khách hàng, tên miền có bằng chứng	verified	có, tối đa năm lượt mỗi lần kiểm tra	Tài khoản; báo cáo dưới liên kết ngẫu nhiên	13 tháng, giữ lần kiểm tra gần nhất (`cfg/fristen_lib.php`)
Nghiên cứu	internal	không	chỉ số liệu tổng sau khi công bố	khi công bố; nếu không công bố thì không có giới hạn thời gian (R4)
Kiểm tra nội bộ từ dòng lệnh do nhà cung cấp thực hiện	internal; với tên miền thử nghiệm và trình diễn riêng còn có “verified”	không; với mức “verified” thì có (chỉ tên miền thử nghiệm và trình diễn riêng của chúng tôi)	chỉ nội bộ	không có giới hạn thời gian (R4)

Nhiều lớp đứng trước kiểm tra miễn phí (cfg/check_lib.php): công tắc dừng khẩn cấp; reCAPTCHA; cùng tên miền tối đa một lần trong bảy ngày (sau đó hiển thị báo cáo đã có); giới hạn theo địa chỉ IP, phiên (dưới dạng giá trị băm, không bao giờ chính mã định danh phiên) và toàn dịch vụ mỗi ngày; danh sách chặn từ cơ chế từ chối tham gia và robots.txt; kiểm tra tên miền trỏ tới địa chỉ công khai; và chặn tên miền rất mới hoặc chưa rõ tuổi. Bất thường – nhiều tên miền khác nhau từ một địa chỉ IP, nhiều yêu cầu trong thời gian ngắn – được ghi chú cùng địa chỉ IP và kích hoạt tín hiệu không có nội dung (cfg/check_lib.php).

6.4 Kiểm tra tên miền trong tài khoản Khách hàng

Khách hàng chứng minh quyền kiểm soát tên miền: bằng bản ghi DNS, thẻ meta, tệp hoặc tiện ích của chúng tôi (cfg/verify_lib.php). Chỉ sau đó tên miền mới được coi là đã xác minh. Bộ lập lịch giám sát chỉ lên lịch kiểm tra thường xuyên cho tên miền đang hoạt động, có giám sát và đã xác minh (cfg/monitor_lib.php).

Gửi thử chủ động được ràng buộc với hai cổng kiểm soát: ứng dụng chỉ đặt chế độ chủ động cho Khách hàng đối với tên miền đã xác minh (đối với tên miền thử nghiệm và trình diễn riêng, nhà cung cấp có thể tạo kiểm tra với mức “verified” qua công cụ dòng lệnh nội bộ), và dịch vụ kiểm tra kiểm tra lại mức độ tin cậy cùng công tắc dừng khẩn cấp fc_active_enabled (scanner/src/worker.js). Chỉ có thể gửi biểu mẫu được quy tắc nhận diện với độ chắc chắn cao là biểu mẫu liên hệ chung, không có trường bắt buộc cho dữ liệu cá nhân thật và tên miền không có dấu hiệu là cơ quan công quyền, cơ sở giáo dục, bệnh viện, phòng khám, cảnh sát hoặc tòa án (scanner/src/classify.js). Mô hình ngôn ngữ không thể làm biểu mẫu trở thành có thể gửi (scanner/src/classify.js). Tối đa năm lượt gửi được thực hiện mỗi lần kiểm tra (fc_active_max_posts), được ghi rõ, với người gửi dummy@formexposed.com, địa chỉ có phần đuôi .invalid để kiểm tra xác thực e-mail và một dòng tiêu đề bổ sung vô hại để phát hiện chèn tiêu đề e-mail (scanner/src/active.js).
Hành trình trình duyệt kiểm tra các hành trình biểu mẫu được cấu hình trong trình duyệt đến ngay trước bước gửi. Chỉ cho phép yêu cầu GET và HEAD; mọi yêu cầu khác bị hủy, cũng như địa chỉ chứa từ về đăng xuất, xóa, mua hoặc thanh toán (scanner/src/browser.js). Để kiểm tra, các trường bắt buộc được điền bằng giá trị tự tạo không bao giờ rời trình duyệt.
Tệp bị lộ được tìm hằng tuần, chỉ trên tên miền đã xác minh, với tối đa một lần truy xuất mỗi đường dẫn, tối đa 8 KB và không bao giờ lưu nội dung (cfg/dateien_lib.php).
Điểm kiểm tra thứ hai độc lập đã được chuẩn bị và mặc định tắt (browser_probe_enabled = 0). Nếu được bật, điểm đó chỉ nhận tên miền, địa chỉ, bộ chọn, các bước và lựa chọn trình duyệt, không bao giờ nhận thông tin đăng nhập, ảnh chụp màn hình hoặc dữ liệu khách truy cập (cfg/formular_probe_lib.php).

6.5 Quét sau khi đăng nhập

Điều kiện tiên quyết: chức năng đã được thiết lập, tên miền đã xác minh, Khách hàng ở gói trả phí và là chủ sở hữu hoặc quản trị viên không gian làm việc (cfg/login_lib.php); Khách hàng xác nhận tài khoản là tài khoản thử nghiệm có ít quyền nhất có thể (cfg/login_lib.php).

Tên người dùng và mật khẩu được mã hóa ngay trên máy chủ web bằng khóa công khai của máy chủ quét: khóa dùng một lần cho mỗi bản ghi (X25519), dẫn xuất khóa (HKDF-SHA256), AES-256-GCM, được ràng buộc với tên miền (cfg/login_lib.php). Chỉ dịch vụ kiểm tra trên máy chủ quét có khóa riêng (scanner/src/geheim.js). Người có máy chủ web, cơ sở dữ liệu hoặc bản sao lưu chỉ có bản mã.
Giao diện chỉ hiển thị ký tự đầu và độ dài tên người dùng (cfg/login_lib.php). Thông tin đăng nhập không bao giờ được hiển thị, ghi nhật ký hoặc xuất qua API.
Đối với kiểm tra, ứng dụng đính kèm bản mã vào tác vụ. Dịch vụ kiểm tra giải mã, xóa ngay trường trong tác vụ và chỉ chuyển thông tin đăng nhập vào container qua đầu vào tiêu chuẩn, không bao giờ dưới dạng đối số dòng lệnh (scanner/src/worker.js). Phần còn sót trong tác vụ bị hủy được quy trình kiểm tra trạng thái dọn sau một giờ (cfg/login_lib.php).
Trong container, trình duyệt đăng nhập. Trình duyệt hủy nếu trang đăng nhập chuyển hướng tới máy chủ khác, nếu biểu mẫu đăng nhập có CAPTCHA (chúng tôi không vượt qua CAPTCHA) hoặc nếu trường mật khẩu vẫn hiển thị sau khi gửi (scanner/src/login.js). Sau đó, trình duyệt xóa trường mật khẩu trong bộ nhớ trang và quên thông tin đăng nhập (scanner/src/login.js).
Trình duyệt đọc tối đa năm trang cùng tên miền do Khách hàng chỉ định. Địa chỉ chứa từ về đăng xuất, xóa, gỡ bỏ hoặc hủy bị chặn (scanner/src/login.js). Không gửi bất kỳ thứ gì sau đăng nhập, không chụp ảnh màn hình, cookie và liên kết không được đưa vào kết quả (scanner/src/login.js).
Việc xóa là cuối cùng: bản mã được ghi đè bằng dữ liệu ngẫu nhiên cùng độ dài, hàng dữ liệu bị xóa và tác vụ đang chờ được dọn (cfg/login_lib.php). Khi tên miền bị xóa, hàng dữ liệu tự biến mất qua khóa ngoại.

6.6 Kiểm tra giao thư

Kiểm tra giao thư trả lời câu hỏi e-mail từ biểu mẫu liên hệ có thực sự đến nơi hay không và đánh giá các đặc điểm xác thực. Đây là chức năng tùy chọn, mặc định tắt và cần thiết lập hộp thư kiểm soát (cfg/zustellung_lib.php).

Nếu Khách hàng bật chức năng, tên miền nhận thẻ ngẫu nhiên. Khách hàng nhập địa chỉ kiểm soát có thẻ này vào mục bản sao ẩn của biểu mẫu.
Từ đó, mọi e-mail biểu mẫu cũng đến hộp thư kiểm soát: lượt gửi thử được ghi rõ của chúng tôi và tất cả thông điệp thật của khách truy cập. E-mail đến thẳng hộp thư tại Namecheap, Inc. (Private Email), Phoenix, Arizona, USA – chúng chỉ đến nếu bản ghi MX của tên miền chúng tôi trỏ tới đó; qua chuyển tiếp, chẳng hạn tại nhà đăng ký tên miền Namecheap, Inc., chúng không đến hộp thư – và còn ở đó cho đến khi được truy xuất.
Quy trình kiểm tra trạng thái truy xuất hộp thư mỗi năm phút (srv/cron_status.php). Với từng e-mail, quy trình đọc tiêu đề và tối đa 8 KB đầu tiên của văn bản mà không đánh dấu là đã đọc (cfg/zustellung_lib.php).
Từ tiêu đề, quy trình xác định thẻ và qua đó tên miền; từ văn bản, khi áp dụng, xác định mã định danh phép thử của chúng tôi (cfg/zustellung_lib.php). Những gì được lưu là thời điểm, tên miền và mã định danh phép thử khi áp dụng (cfg/zustellung_lib.php), trong 180 ngày (cfg/zustellung_lib.php).
Từ tiêu đề, quy trình đánh giá SPF, DKIM và DMARC rồi lưu kết quả cho tên miền: kết quả kiểm tra, tên miền địa chỉ người gửi, tên miền chữ ký và địa chỉ máy chủ thư gửi (cfg/zustellung_lib.php). Nếu kết quả xấu đi, cảnh báo có thể nêu tên miền người gửi được gửi một lần tới Khách hàng (cfg/zustellung_lib.php).
Sau đó, quy trình đánh dấu mọi e-mail được truy xuất để xóa, kể cả e-mail không thể gán cho tên miền nào, và gỡ khỏi hộp thư ở cuối lần chạy (cfg/zustellung_lib.php). Nếu lần chạy bị hủy trước đó, e-mail còn đến lần chạy thành công tiếp theo.
Chỉ bản sao của đúng phép thử đang xét mới được tính là bằng chứng giao thư (cfg/zustellung_lib.php). Nếu bản sao không đến trong ba giờ (delivery_wait_h), dịch vụ báo “Chưa giao thư”.

Văn bản thông điệp thật không bao giờ được ghi vào cơ sở dữ liệu, địa chỉ khách truy cập cũng vậy. Tuy nhiên cả hai vẫn được đọc: quá trình truy xuất nạp 8 KB đầu tiên của mọi e-mail vào bộ nhớ để tìm mã định danh phép thử.

6.7 Bảo vệ cộng đồng

Lớp bảo vệ của tiện ích WordPress chặn thông điệp là thư rác và đếm tên miền của liên kết trong đó. Mỗi ngày một lần, tiện ích báo cáo các tên miền này cùng số lượt khớp cho chúng tôi, tối đa 60 mỗi ngày; không địa chỉ, không văn bản, không địa chỉ IP (cfg/swarm_lib.php).
Mỗi ngày một lần, chúng tôi lập danh sách từ dữ liệu này: tên miền được đưa vào nếu trong bảy ngày được ít nhất ba website khác nhau báo cáo với ít nhất năm lượt khớp (swarm_min_sites, swarm_window_days, cfg/swarm_lib.php). Dịch vụ lớn trong danh sách ngoại lệ cố định và tên miền của Khách hàng chúng tôi, trong mỗi trường hợp bao gồm cả tên miền phụ, không bao giờ được đưa vào danh sách (cfg/swarm_lib.php).
Danh sách đến tất cả website được kết nối cùng phản hồi cho báo cáo hằng ngày. Lớp bảo vệ của họ đưa thông điệp có liên kết tới tên miền trong danh sách vào cách ly, không vào thùng rác.
Mục không còn xuất hiện trong danh sách mới bị loại ra; báo cáo bị xóa sau 30 ngày (cfg/swarm_lib.php).
Mạng IP (/24 hoặc /48) đã được chuẩn bị nhưng tắt cho đến khi hoàn tất rà soát pháp lý (cfg/swarm_lib.php).

6.8 Sử dụng trí tuệ nhân tạo

Mô hình ngôn ngữ chạy trên máy chủ quét riêng của chúng tôi, không tại nhà cung cấp AI. Mô hình được sử dụng ở ba nơi: trong dịch vụ kiểm tra, mô hình phân loại biểu mẫu mà quy tắc không nhận diện được loại; khi đó mô hình thấy tiêu đề trang, địa chỉ trang, nhãn nút gửi, loại trường, tên, nhãn và văn bản gợi ý cùng tối đa 400 ký tự văn bản biểu mẫu (scanner/src/classify.js). Mô hình chỉ được hỏi nếu quy tắc trả về “unknown”; biểu mẫu được phân loại theo cách này không bao giờ được gửi và không được tính vào điểm số và kết luận. Điểm số, kết luận, ngăn chặn lạm dụng, bảo vệ cộng đồng và quy tắc thư rác là quy tắc cố định, không phải AI. Trong “Fix it for me”, mô hình viết lại mã biểu mẫu được dán; mã không được lưu. Đối với kiểm tra đủ điều kiện của tên miền trong tài khoản trả phí, mô hình còn tạo kế hoạch hành động có thứ tự ưu tiên từ tên máy chủ, kết quả tổng thể và điểm số, CMS, loại biểu mẫu liên quan và địa chỉ trang, tiện ích được nhận diện nếu có và các phát hiện không đạt hoặc chưa rõ được lựa chọn. Yêu cầu được lưu tạm trong hàng đợi tác vụ nội bộ và bị xóa sau khi thu nhận hoặc dọn dẹp theo lịch các mục cũ hơn một giờ. Văn bản được tạo, ngôn ngữ, trạng thái và dấu thời gian được giữ cùng kết quả quét theo các quy tắc lưu giữ của kết quả đó. Báo cáo ghi nhãn kế hoạch là bản tóm tắt AI và quy định từng phát hiện riêng có giá trị quyết định; kế hoạch không thay đổi website hoặc kết quả quét. Mô hình không đưa ra quyết định về con người. Thêm thông tin trên trang Đạo luật AI của EU: Cách formexposed sử dụng AI.

6.9 Cơ sở pháp lý

Hoạt động xử lý	Cơ sở pháp lý
P1 Kiểm tra miễn phí: kiểm tra tên miền được yêu cầu; giới hạn và ngăn chặn lạm dụng	đối với người yêu cầu, Điều 6(1)(b); đối với đơn vị vận hành và người trong ảnh, Điều 6(1)(f); ngăn chặn lạm dụng, Điều 6(1)(f)
P2 Kiểm tra website khách hàng tiềm năng	Điều 6(1)(f) (lợi ích chính đáng của công ty dịch vụ và formexposed)
P3 Nghiên cứu	Điều 6(1)(f)
P4 Kiểm tra tên miền Khách hàng	Điều 6(1)(b) trong quan hệ với Khách hàng; đối với dữ liệu bên thứ ba trên website, chỉ dẫn của Khách hàng theo Điều 28
P5 Quét sau khi đăng nhập	Chỉ dẫn của Khách hàng theo Điều 28; cơ sở pháp lý của Khách hàng
P6 Kiểm tra giao thư	Chỉ dẫn của Khách hàng theo Điều 28; cơ sở pháp lý của Khách hàng (trong văn bản chúng tôi đề xuất cho Khách hàng là Điều 6(1)(f))
P7 Bảo vệ cộng đồng	Điều 6(1)(f) (cùng phòng vệ trước thư rác trên nhiều website)

Lợi ích chính đáng của chúng tôi trong P1 đến P3 là chỉ cho đơn vị vận hành và nhà cung cấp dịch vụ của họ những điểm yếu trong biểu mẫu trước khi bị khai thác để phát tán thư rác hoặc lạm dụng, và cung cấp dịch vụ. Dữ liệu đến từ nguồn có thể truy cập công khai. Việc cân nhắc lợi ích được nêu tại phần 7; liệu Điều 6(1)(f) có làm cơ sở cho kiểm tra website bên thứ ba theo yêu cầu hay không là câu hỏi còn mở cho rà soát pháp lý.

6.10 Người nhận và chuyển sang nước thứ ba

Người nhận	Dữ liệu	Hoạt động xử lý	Trạng thái
Không ai ngoài formexposed	Kết quả kiểm tra, ảnh chụp màn hình, phân loại bằng mô hình ngôn ngữ	P1–P5	Dịch vụ kiểm tra và mô hình ngôn ngữ chạy trên máy chủ riêng; trong luồng kiểm tra của trình thu thập dữ liệu không tìm thấy lời gọi bên thứ ba nào ngoài chính website được kiểm tra, các dịch vụ có nội dung được website nhúng (như với mọi khách truy cập) và dịch vụ RDAP rdap.org để lấy tuổi tên miền (chỉ tên miền); các bộ theo dõi giám sát được liệt kê tại hàng tiếp theo
Bất kỳ ai biết liên kết	Báo cáo kèm phát hiện và ảnh chụp màn hình	P1, P2, P4	liên kết ngẫu nhiên 128 bit (`cfg/check_lib.php`), trang có `noindex` (`www/report.php`)
Dịch vụ được truy vấn khi giám sát tên miền Khách hàng	Danh sách chặn DNS (SpamCop, PSBL, Mailspike, SURBL): tên miền và địa chỉ IP máy chủ, không có dữ liệu khách truy cập; Google Web Risk chỉ khi thiết lập: địa chỉ trang chủ; tổ chức cấp dấu thời gian Certum và DigiCert: chỉ giá trị băm nhật ký bằng chứng; RDAP qua danh mục IANA: chỉ tên miền; trang trạng thái nhà cung cấp: không truyền gì; wpvulnerability.net: mã định danh tiện ích (không có phiên bản) hoặc giao diện và phiên bản WordPress	P4	đang sử dụng; chi tiết trong Hồ sơ hoạt động xử lý và trang Bên xử lý phụ
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Bản sao kiểm soát bao gồm thông điệp thật của khách truy cập	P6	Chưa giao kết hợp đồng; nơi xử lý và cơ chế chuyển dữ liệu vẫn cần xem xét
Namecheap, Inc. (USA)	Nhà đăng ký tên miền và DNS; cho đến khi hộp thư được thiết lập, chuyển tiếp e-mail thông thường tới địa chỉ thuộc tên miền chúng tôi, không chuyển bản sao kiểm soát (các bản sao này chỉ đến hộp thư qua bản ghi MX trỏ trực tiếp tới đó)	– (không có bản sao kiểm soát)	Cơ chế chuyển dữ liệu cần xem xét
Kênh cảnh báo do Khách hàng chọn (e-mail, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram)	Sự kiện, tên miền, liên kết; với kiểm tra tính xác thực, tên miền người gửi nếu không thuộc website	P4, P6	đích do Khách hàng chọn; một phần ngoài EU. Chúng tôi gửi thông điệp Telegram qua bot; cơ chế chuyển dữ liệu cho việc này là câu hỏi còn mở cho rà soát pháp lý
Tất cả website được kết nối	Danh sách tên miền liên kết	P7	qua phản hồi cho tiện ích
Điểm kiểm tra thứ hai	Tên miền, địa chỉ biểu mẫu, bộ chọn, các bước	P4	đã tắt

6.11 Lưu giữ: đã được đo lường, không chỉ dự định

Việc xóa phần lớn diễn ra hằng đêm lúc 03:00 trong quy trình kiểm tra trạng thái (srv/cron_status.php, cfg/fristen_lib.php); báo cáo bảo vệ cộng đồng và hàng dữ liệu khách hàng tiềm năng bị xóa hằng ngày từ 04:00, thông tin gán của kiểm tra giao thư bị xóa ở mỗi lần truy xuất; báo cáo ẩn danh và khách hàng tiềm năng bị xóa qua ngày hết hạn (cfg/check_lib.php). Ảnh chụp màn hình bị xóa khỏi đĩa cùng lần quét (cfg/fristen_lib.php).

Dữ liệu	Thời hạn theo mã	Tham chiếu nguồn	Phát hiện
Kiểm tra miễn phí bao gồm ảnh	30 ngày	`cfg/check_lib.php`	có hiệu lực
Kiểm tra website khách hàng tiềm năng bao gồm ảnh	90 ngày	`cfg/akquise_lib.php`; `srv/cron_status.php` (hàng dữ liệu khách hàng tiềm năng)	có hiệu lực
Kiểm tra tên miền Khách hàng	13 tháng; giữ lần gần nhất trong thời gian tên miền còn tồn tại	`cfg/fristen_lib.php`	có hiệu lực
Kết quả hành trình trình duyệt bao gồm ảnh được tô đen	13 tháng	`cfg/fristen_lib.php`	có hiệu lực
Dữ liệu tên miền đã xóa	ngay lập tức; dữ liệu mồ côi vào ban đêm	`cfg/fristen_lib.php` (`fe_domain_loeschen()`, `fe_fristen_lauf()`)	có hiệu lực, bao gồm danh mục và thay đổi tập lệnh, vốn ngoài đó không có thời hạn lưu giữ riêng (xem Hồ sơ hoạt động xử lý)
Nghiên cứu: dữ liệu thô bao gồm ảnh	khi công bố	`cfg/studie_lib.php`	không công bố thì không có giới hạn thời gian; danh sách máy chủ được kiểm tra vẫn không có giới hạn thời gian ngay cả sau khi công bố
Kiểm tra nội bộ không có tên miền và không có báo cáo	không có	–	không xóa; đo được: 85 kiểm tra với 369 ảnh từ ngày 22 tháng 9 năm 2026 (R4)
Thông tin gán của kiểm tra giao thư	180 ngày	`cfg/zustellung_lib.php`	có hiệu lực
Kết quả kiểm tra tính xác thực gắn với tên miền	đến kết quả tiếp theo hoặc khi tên miền bị xóa	`cfg/zustellung_lib.php`	được ghi đè, không giới hạn thời gian
Bản sao kiểm soát trong hộp thư	đến lần truy xuất thành công tiếp theo (chu kỳ năm phút)	`cfg/zustellung_lib.php`	bản sao và bản sao lưu tại nhà cung cấp hộp thư chưa được xác minh
Thông tin đăng nhập để quét sau khi đăng nhập	đến khi Khách hàng xóa hoặc tên miền bị xóa; trong tác vụ tối đa đến cuối lần chạy, phần còn sót sau một giờ	`cfg/login_lib.php`	có hiệu lực; trong bản sao lưu chỉ dưới dạng bản mã tối đa 14 ngày
Báo cáo trong bảo vệ cộng đồng	30 ngày	`cfg/swarm_lib.php`	có hiệu lực
Giới hạn kiểm tra miễn phí (IP, quốc gia, giá trị băm phiên)	7 ngày	`srv/cron_status.php`	có hiệu lực
Ghi chú hành vi bất thường có địa chỉ IP	90 ngày sau khi giải quyết	`srv/cron_status.php`	ghi chú chưa giải quyết không có giới hạn thời gian; đo được: 3 ghi chú, tất cả đã giải quyết
Địa chỉ IP, quốc gia, trình duyệt liên quan đến từ chối tham gia	12 tháng; việc loại trừ vẫn còn	`cfg/fristen_lib.php`	có hiệu lực
Bản sao lưu cơ sở dữ liệu	14 ngày	`cfg/backup_lib.php`	có hiệu lực; hiện bản sao lưu nằm cùng địa điểm với cơ sở dữ liệu và không được mã hóa riêng; bản sao mã hóa tại địa điểm thứ hai đang được dự kiến (R13)

7. (b) Đánh giá sự cần thiết và tính tương xứng

Thước đo là các mục đích đã nêu: cho đơn vị vận hành biết biểu mẫu có được bảo vệ khỏi thư rác và lạm dụng không (P1 đến P5), kiểm tra e-mail biểu mẫu có đến và có vẻ xác thực không (P6), cùng phòng vệ trước thư rác trên nhiều website (P7). Các mục đích này là chính đáng. Câu hỏi theo Điều 35(7)(b) hẹp hơn: việc xử lý này có cần thiết ở mức độ này cho mục đích đó không và sự can thiệp có tương xứng với lợi ích không?

Thành phần	Cần thiết cho mục đích?	Tương xứng theo cách đã xây dựng?
Truy xuất vài trang công khai, cấu trúc biểu mẫu, biện pháp bảo vệ được phát hiện	Có. Không có chúng thì không có phát hiện.	Có. Tối đa tám trang (cộng các chế độ xem tại phần 6.1), tuân thủ lệnh cấm trang chủ trong robots.txt, không có giá trị trường hiển thị, địa chỉ người nhận chỉ dưới dạng tên miền.
Ảnh chụp màn hình từng biểu mẫu	Có, làm bằng chứng trong báo cáo: đơn vị vận hành có thể thấy đang nói tới biểu mẫu nào.	Phần lớn. Các trường trống vì trình thu thập dữ liệu không nhập gì. Tuy nhiên ảnh hiển thị vùng xung quanh phần tử biểu mẫu mà không tô đen bất kỳ thứ gì (R3).
Ảnh chụp màn hình trang chủ	Không cần cho chính phát hiện. Ảnh giúp nhận diện website được kiểm tra trong báo cáo.	Chỉ ở mức hạn chế; dự kiến giảm thiểu thêm. Trang chủ thường hiển thị con người: ảnh nhóm, người liên hệ, lời chứng thực của khách hàng kèm tên. Xem R3 và phần 9.3.
Đọc giá trị trường ẩn (24 ký tự đầu, chỉ trong lúc kiểm tra)	Có: từ đó phát hiện token và dấu thời gian.	Có. Chỉ lưu kết quả phát hiện, không lưu giá trị, kể cả sau đăng nhập (R8).
Trang phản hồi lượt gửi thử (ảnh và 300 ký tự văn bản)	Có, làm bằng chứng biểu mẫu phản hồi như thế nào.	Có. Phản hồi liên quan thông điệp thử nghiệm được ghi rõ của chúng tôi, không có dữ liệu cá nhân.
Phân loại bằng mô hình ngôn ngữ	Hữu ích, không cần thiết: nếu không có, nhiều biểu mẫu hơn còn là “unknown”.	Có. Cục bộ, không tiết lộ, không có quyền gửi.
Kế hoạch hành động cục bộ từ phát hiện được lựa chọn và siêu dữ liệu quét	Hữu ích cho ưu tiên khắc phục, không cần thiết để tạo từng phát hiện riêng.	Giới hạn ở siêu dữ liệu quét hiện có và tối đa 18 phát hiện khác nhau không đạt hoặc chưa rõ, không có ảnh chụp màn hình hoặc giá trị trường được nhập trong lời nhắc. Kế hoạch mang tính tư vấn và được ghi nhãn do AI tạo; từng phát hiện riêng vẫn có giá trị quyết định. URL và ghi chú vẫn có thể chứa dữ liệu cá nhân, và văn bản được tạo tuân theo thời hạn lưu giữ lần quét cùng quyền truy cập bằng liên kết mà ai có đều có thể dùng. Những giới hạn này giảm phơi lộ nhưng không chứng minh tính chính xác thực tế (R10).
Gửi thử chủ động	Có. Biện pháp bảo vệ có hoạt động hay không chỉ rõ khi được kiểm tra.	Có, với giới hạn số lượng và ghi rõ. Tuy nhiên điều kiện tiên quyết – bằng chứng quyền kiểm soát – không bao giờ được gia hạn (R7).
Tìm tệp bị lộ	Có cho Khách hàng có thể bị lộ dữ liệu biểu mẫu tại đó.	Có. Chỉ tên miền đã xác minh, tối đa 8 KB, không bao giờ lưu nội dung.
Quét sau khi đăng nhập	Có cho biểu mẫu trong khu vực thành viên, nếu không sẽ không được kiểm tra.	Phần lớn. Mã hóa và xóa được xây dựng cẩn trọng; tuy nhiên đăng nhập chấp nhận kết nối không mã hóa và chứng chỉ lỗi (R8).
Bản sao kiểm soát thông điệp thật của khách truy cập	Không cần cho bằng chứng giao thư. Bằng chứng chỉ dựa vào bản sao phép thử của chúng tôi (`cfg/zustellung_lib.php`). Thông điệp thật đi kèm vì bản sao ẩn trong biểu mẫu không phân biệt phép thử và thông điệp thật. Chúng hữu ích cho kiểm tra tính xác thực (SPF, DKIM, DMARC) vì thể hiện đường gửi thực tế.	Một phần. Nội dung không được lưu nhưng được đọc, và còn tại nhà cung cấp hộp thư có hợp đồng vẫn chưa hoàn tất cho đến khi truy xuất (R1, R2). Thiết kế ít xâm phạm hơn là khả thi về kỹ thuật: với tiện ích của chúng tôi, bản sao ẩn có thể được giới hạn ở thông điệp thử nghiệm được ghi rõ (phần 9.3).
Lưu tên miền người gửi của thông điệp thật	Một phần: cho biết biểu mẫu có gửi bằng địa chỉ khách truy cập làm người gửi hay không (nguyên nhân thường gặp dẫn đến bị phân loại là thư rác).	Có điều kiện. Với cá nhân có tên miền riêng, tên miền là dữ liệu cá nhân và được gửi trong cảnh báo tới Khách hàng và các kênh của họ (R1).
Danh sách chung tên miền liên kết	Có. Liên kết thư rác xuất hiện đồng thời trên nhiều website là tín hiệu mạnh mà một website riêng lẻ không có.	Có, với số lượng tối thiểu, ngoại lệ và cách ly thay vì xóa. Mạng IP sẽ không tương xứng nếu chưa có đánh giá mới.
Dữ liệu thô của nghiên cứu	Có, đến khi đánh giá.	Không có thời hạn tối đa thì không (R4).
Báo cáo dưới liên kết ngẫu nhiên	Có. Chuyển báo cáo cho người khác – chẳng hạn nhà cung cấp dịch vụ chăm sóc website – là mục đích của kiểm tra miễn phí.	Có. Liên kết ngẫu nhiên 128 bit, `noindex`, báo cáo miễn phí chỉ là trích đoạn (`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`), xóa sau 30 ngày.

Tính hợp pháp. Đối với P1 đến P3 và P7, chúng tôi dựa vào Điều 6(1)(f). Những yếu tố ủng hộ khi cân nhắc: dữ liệu là công khai và được truy xuất theo cách mọi khách truy cập làm; không gửi bất kỳ thứ gì; dữ liệu cá nhân là tình cờ và ít; thời hạn ngắn; đơn vị vận hành có thể loại trừ các kiểm tra tiếp theo của trình thu thập dữ liệu bằng lệnh cấm trang chủ trong robots.txt và mọi kiểm tra tiếp theo qua trang từ chối tham gia của chúng tôi, ngay lập tức và không cần bằng chứng; lợi ích – biểu mẫu được bảo vệ – cũng đến với đơn vị vận hành và khách truy cập. Những yếu tố bất lợi: đơn vị vận hành không biết về kiểm tra, báo cáo dành cho bên thứ ba, và với cá nhân kinh doanh, báo cáo đánh giá một người. Chúng tôi coi việc cân nhắc có thể được biện minh chừng nào các biện pháp tại phần 9.1 còn có hiệu lực; đang chờ xác nhận pháp lý.

Thông tin cho chủ thể dữ liệu (Điều 13 và 14). Chúng tôi thông báo cho đơn vị vận hành và những người trên trang được kiểm tra qua trang trình thu thập dữ liệu, được nêu trong mã nhận diện của mọi lần truy xuất, qua Chính sách quyền riêng tư và trang từ chối tham gia. Chỉ có thể thông báo riêng cho người tình cờ xuất hiện trong ảnh chụp màn hình nếu chúng tôi nhận diện họ – điều đó sẽ là sự can thiệp thêm và nghiêm trọng hơn. Trong phạm vi đó, chúng tôi dựa vào Điều 14(5)(b). Khách truy cập có thông điệp đi qua bản sao kiểm soát được Khách hàng thông báo; Thỏa thuận xử lý dữ liệu yêu cầu điều này, và chúng tôi cung cấp khối văn bản cho mục đích đó.

Giảm thiểu dữ liệu (Điều 5(1)(c)). Có thể thấy ở nhiều nơi và có căn cứ trong mã: không có giá trị trường, địa chỉ người nhận chỉ dưới dạng tên miền, mã định danh tài khoản trong địa chỉ tập lệnh được ẩn, không có nội dung từ bản sao kiểm soát trong cơ sở dữ liệu, không có ảnh chụp màn hình sau đăng nhập, chỉ có tên miền trong bảo vệ cộng đồng. Ở hai nơi, có thể và dự kiến giảm thiểu thêm (phần 9.3): ảnh chụp trang chủ không tô đen và tên miền người gửi của thông điệp thật.

Giới hạn lưu trữ (Điều 5(1)(e)). Kể từ ngày 27 tháng 9 năm 2026, lần chạy hằng đêm tuân theo các thời hạn trong Chính sách quyền riêng tư cho dữ liệu Khách hàng và dọn dữ liệu còn sót không có tên miền liên quan từ thời gian trước đó (cfg/fristen_lib.php). Hai phương thức không có giới hạn thời gian vẫn còn mở: kiểm tra nội bộ và nghiên cứu chưa công bố (R4).

Tính chính xác (Điều 5(1)(d)). Phát hiện có thể sai: biểu mẫu có vẻ không được bảo vệ vì biện pháp bảo vệ chỉ tải sau tương tác hoặc trình thu thập dữ liệu được tường lửa đối xử khác khách truy cập. Với đơn vị vận hành có website bị chia sẻ công khai là “Không được bảo vệ”, đây là vấn đề danh tiếng. Vì vậy, báo cáo nêu phương pháp, đưa bằng chứng và chỉ ra giới hạn của kiểm tra từ bên ngoài.

Kết quả về tính tương xứng: Kiểm tra website bên thứ ba và website riêng về cơ bản tương xứng theo cách được xây dựng. Ba nơi cần cải thiện có thể khắc phục bằng phương tiện thông thường và đã dự kiến biện pháp (phần 9.3): ảnh chụp trang chủ, kiểm tra nội bộ không có giới hạn thời gian và đăng nhập không mã hóa khi quét sau khi đăng nhập. Kiểm tra giao thư tương xứng đối với bản sao thử nghiệm và kiểm tra tính xác thực; đối với thông điệp thật của khách truy cập, điều đó chỉ đúng chừng nào nội dung không được lưu, đường đi qua nhà cung cấp hộp thư được bảo đảm bằng hợp đồng và Khách hàng thông báo cho khách truy cập. Hiện nay, điểm thứ hai trong ba điểm đó còn thiếu.

8. (c) Đánh giá rủi ro đối với quyền và tự do của chủ thể dữ liệu

Đối tượng đánh giá là rủi ro đối với chủ thể dữ liệu, không phải formexposed. Khả năng xảy ra được xếp là khó xảy ra, có thể xảy ra, có khả năng xảy ra hoặc đã xảy ra; “đã xảy ra” có nghĩa sự kiện không phải dự báo mà là trạng thái được đo lường. Mức độ nghiêm trọng được xếp là hạn chế, đáng kể, nghiêm trọng hoặc rất nghiêm trọng, tùy những gì người đó có thể mất: tính bí mật của thông điệp, quyền kiểm soát tài khoản, danh tiếng kinh doanh, khả năng thực hiện quyền. Mức rủi ro được suy ra từ cả hai và mô tả trạng thái hiện tại với các biện pháp tại phần 9.1.

Số	Rủi ro	Hoạt động xử lý	Khả năng xảy ra	Mức độ nghiêm trọng	Mức rủi ro
R1	Thông điệp thật của khách truy cập trong bản sao kiểm soát, có thể gồm loại dữ liệu đặc biệt	P6	Đã xảy ra ngay khi bật	Nghiêm trọng	Cao
R2	Đường đi của bản sao kiểm soát qua nhà cung cấp hộp thư chưa có hợp đồng được giao kết và có khả năng liên quan nước thứ ba	P6	Có khả năng xảy ra chừng nào còn thiếu hợp đồng	Nghiêm trọng	Cao
R3	Ảnh chụp màn hình website bên thứ ba không tô đen	P1–P4	Có khả năng xảy ra	Hạn chế	Trung bình
R4	Dữ liệu kiểm tra và ảnh chụp màn hình không có phương thức xóa	P3, kiểm tra nội bộ	Đã xảy ra	Đáng kể	Cao
R5	Kiểm tra và đánh giá công khai website bên thứ ba khi đơn vị vận hành không biết; lạm dụng làm công cụ do thám	P1	Có thể xảy ra	Đáng kể	Trung bình
R6	Kiểm tra website khách hàng tiềm năng làm cơ sở cho tiếp cận không được yêu cầu	P2	Có khả năng xảy ra	Hạn chế	Trung bình
R7	Bằng chứng quyền kiểm soát không bao giờ được gia hạn	P4, P5	Có thể xảy ra	Đáng kể	Trung bình
R8	Thông tin đăng nhập và nội dung trong quét sau khi đăng nhập	P5	Có thể xảy ra	Nghiêm trọng	Trung bình; cao với tài khoản thật
R9	Gửi thử chủ động và kiểm tra tệp trên website Khách hàng	P4	Khó xảy ra	Đáng kể	Thấp
R10	Phân loại bằng mô hình ngôn ngữ	P1–P4	Khó xảy ra	Hạn chế	Thấp
R11	Danh sách chặn chung từ báo cáo của nhiều website	P7	Có thể xảy ra	Hạn chế	Thấp đến trung bình; cao khi có mạng IP
R12	Báo cáo và ảnh chụp màn hình dưới liên kết công khai	P1, P2, P4	Có thể xảy ra	Hạn chế	Thấp
R13	Điểm yếu hạ tầng: bản sao lưu, truy cập máy chủ, máy chủ quét	tất cả	Có thể xảy ra	Nghiêm trọng	Cao
R14	Quyền chủ thể dữ liệu của những người không biết chúng tôi	P1–P6	Có khả năng xảy ra	Hạn chế	Thấp

R1 – Thông điệp thật của khách truy cập trong bản sao kiểm soát

Đây là rủi ro nghiêm trọng nhất của dịch vụ, phát sinh không phải từ lỗi mà từ thiết kế. Bản sao ẩn trong biểu mẫu không phân biệt thông điệp thử nghiệm của chúng tôi và thông điệp khách truy cập. Nếu Khách hàng bật kiểm tra giao thư, mọi thông điệp gửi qua biểu mẫu đó đến hộp thư kiểm soát của chúng tôi (cfg/zustellung_lib.php). Quá trình truy xuất đọc tiêu đề và 8 KB đầu tiên của văn bản vào bộ nhớ để tìm mã định danh phép thử của chúng tôi (cfg/zustellung_lib.php). Với biểu mẫu liên hệ thông thường, điều đó có nghĩa là tên, địa chỉ e-mail, số điện thoại và toàn bộ thông điệp.

Khách truy cập tự quyết định nội dung viết, và trường nhập khuyến khích nội dung cá nhân: yêu cầu hẹn khám mô tả triệu chứng gửi phòng khám, tường thuật tranh chấp pháp lý gửi công ty luật, đơn xin việc, yêu cầu về một trẻ gửi trường học. Tài liệu pháp lý của chúng tôi nói bản sao “không nên chứa loại dữ liệu cá nhân đặc biệt”. Đó là yêu cầu đối với Khách hàng, không phải biện pháp bảo vệ: cả Khách hàng lẫn chúng tôi đều không biết trước khách truy cập sẽ viết gì.

Có hai đường phụ liên quan. Thứ nhất, kiểm tra tính xác thực lưu tên miền địa chỉ người gửi gắn với tên miền website (cfg/zustellung_lib.php). Nếu biểu mẫu gửi bằng địa chỉ khách truy cập làm người gửi, đây là tên miền của khách truy cập – không mang ý nghĩa cá nhân với nhà cung cấp thư lớn nhưng là dữ liệu cá nhân đối với cá nhân có tên miền riêng. Tên miền này cũng xuất hiện trong cảnh báo tới Khách hàng và các kênh họ chọn (cfg/zustellung_lib.php). Thứ hai, kiểm tra lưu địa chỉ máy chủ thư gửi (cfg/zustellung_lib.php); thông thường đây là máy chủ website, không phải của khách truy cập.

Khả năng xảy ra – đã xảy ra ngay khi bật. Câu hỏi không phải thông điệp thật có đến không mà là bao nhiêu. Đo trên hệ thống phát triển, chức năng chưa được bật cho tên miền nào. Mức độ nghiêm trọng – nghiêm trọng. Tính bí mật của thông điệp gửi doanh nghiệp quan trọng với nhiều người, và có thể dự kiến dữ liệu theo Điều 9 với một số Khách hàng điển hình. Mức nghiêm trọng được giảm nhờ nội dung không vào cơ sở dữ liệu, chỉ ở hộp thư trong thời gian ngắn và không có người nào tại formexposed đọc. Mức rủi ro – cao.

R2 – Đường đi bản sao kiểm soát qua nhà cung cấp hộp thư chưa có hợp đồng được giao kết

Trước khi quá trình truy xuất của chúng tôi thấy bản sao kiểm soát, bản sao được giữ trong hộp thư tại Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Bản sao chỉ đến đó nếu bản ghi MX của tên miền chúng tôi trỏ trực tiếp tới hộp thư; chuyển tiếp tại nhà đăng ký tên miền Namecheap, Inc. không phải trạm trung gian của bản sao kiểm soát (qua chuyển tiếp, bản sao không tới được hộp thư). Đối với trạm còn lại, các thỏa thuận hợp đồng vẫn còn mở: chưa giao kết hợp đồng với nhà cung cấp hộp thư, chưa xác định nơi lưu trữ, bên xử lý phụ và thời hạn sao lưu của nhà cung cấp; việc nơi xử lý có cần và có áp dụng quyết định về mức độ bảo vệ đầy đủ hoặc điều khoản hợp đồng tiêu chuẩn hay không còn mở. Với e-mail giao dịch riêng của chúng tôi, đây là vấn đề thiết kế hợp đồng. Với bản sao kiểm soát, vấn đề nghiêm trọng hơn: đó là dữ liệu chúng tôi nhận với tư cách bên xử lý dữ liệu, và mọi nhà cung cấp trên đường đi là bên xử lý phụ mà chúng tôi chịu trách nhiệm theo Điều 28(4).

Ngoài ra, “xóa sau truy xuất” chỉ áp dụng cho góc nhìn của chúng tôi về hộp thư. Nhà cung cấp có giữ e-mail đã xóa trong bản sao lưu riêng hoặc thùng rác hay không và trong bao lâu chưa được xác minh. Nếu truy xuất bị hủy, e-mail còn tới lần chạy thành công tiếp theo (cfg/zustellung_lib.php); nếu quy trình kiểm tra trạng thái gặp sự cố, e-mail còn vô thời hạn. Cuối cùng, bảo mật chính quá trình truy xuất là một trong các điểm phải kiểm tra trên hệ thống sản xuất trước khi ra mắt (phần 9.3).

Khả năng xảy ra – có khả năng xảy ra chừng nào còn thiếu hợp đồng: mọi bản sao kiểm soát đi theo đường này. Mức độ nghiêm trọng – nghiêm trọng, vì cùng lý do như R1. Mức rủi ro – cao. Danh sách kiểm tra thiết lập của ứng dụng báo thiếu hộp thư dưới dạng cảnh báo; không có khóa chặn kiểm tra giao thư khi chưa có hợp đồng được ghi nhận.

R3 – Ảnh chụp màn hình website bên thứ ba không tô đen

Trình thu thập dữ liệu chụp ảnh màn hình vùng hiển thị của trang đầu và ảnh phần tử biểu mẫu của mọi biểu mẫu hiển thị (scanner/src/crawl.js). Không có gì được tô đen trong quá trình đó. Với hành trình trình duyệt thì khác: tại đó các trường nhập được che trước khi chụp (scanner/src/browser.js). Vì vậy, chỉ ảnh hành trình trình duyệt được “làm sạch”, không phải ảnh trình thu thập dữ liệu và không phải ảnh trang phản hồi từ kiểm tra chủ động.

Vì trình thu thập dữ liệu không nhập gì, các trường biểu mẫu trống. Tuy nhiên, trang chủ doanh nghiệp nhỏ thường hiển thị chủ sở hữu, nhóm, lời chứng thực của khách hàng với tên và ảnh, hoặc cửa sổ trò chuyện có ảnh nhân viên. Tất cả đều công khai; ảnh chụp biến chúng thành bản sao được lưu tại chúng tôi, xuất hiện trong báo cáo và có thể được chuyển cùng liên kết.

Khả năng xảy ra – có khả năng xảy ra. Đo được 432 ảnh chụp màn hình trong tập dữ liệu hệ thống phát triển. Mức độ nghiêm trọng – hạn chế: nội dung vốn đã công khai và thời hạn của kiểm tra không có tài khoản ngắn. Mức rủi ro – trung bình, vì người trong ảnh không biết và ảnh trang chủ không cần cho phát hiện.

R4 – Dữ liệu kiểm tra và ảnh chụp màn hình không có phương thức xóa

Lần chạy hằng đêm xóa kiểm tra bằng hai phương thức: qua ngày hết hạn báo cáo (cfg/check_lib.php) và qua thời hạn cho kiểm tra tên miền Khách hàng (cfg/fristen_lib.php, chỉ với kiểm tra có tên miền). Kiểm tra không có báo cáo cũng không có tên miền lọt qua cả hai lưới. Đó là kiểm tra có mức độ tin cậy “internal”: nghiên cứu và kiểm tra mà nhà cung cấp tạo từ dòng lệnh.

Nghiên cứu xóa dữ liệu thô khi công bố (cfg/studie_lib.php). Nếu nghiên cứu không bao giờ được công bố – vì có quá ít website có biểu mẫu (khi đó cfg/studie_lib.php từ chối công bố) hoặc vì bị để đó – kiểm tra, biểu mẫu, phát hiện và ảnh chụp màn hình còn lại không có giới hạn thời gian.
Kiểm tra nội bộ từ dòng lệnh hoàn toàn không có phương thức xóa. Đo ngày 11 tháng 10 năm 2026: 85 kiểm tra như vậy đối với website bên thứ ba với 978 biểu mẫu và 369 ảnh chụp màn hình, kiểm tra cũ nhất từ ngày 22 tháng 9 năm 2026, không kiểm tra nào có báo cáo hoặc tên miền.
Ghi chú hành vi bất thường trong kiểm tra miễn phí chứa địa chỉ IP và bị xóa 90 ngày sau khi được giải quyết (srv/cron_status.php). Ghi chú không bao giờ được giải quyết vẫn còn. Đo được: ba ghi chú, tất cả đã giải quyết.

Khả năng xảy ra – đã xảy ra. 85 kiểm tra không phải kịch bản mà là dữ liệu hiện có. Trên hệ thống phát triển, đó là kiểm tra từ thử nghiệm thực địa; cùng mã áp dụng trên hệ thống sản xuất. Mức độ nghiêm trọng – đáng kể: không có thời hạn lưu giữ cho dữ liệu này. Xét nguyên tắc giới hạn lưu trữ (Điều 5(1)(e)), đây là điểm còn mở có biện pháp dự kiến (phần 9.3, ưu tiên “trước tiên”) và ảnh hưởng đúng những người không biết về kiểm tra. Kiểm tra nội bộ được mô tả trong Hồ sơ hoạt động xử lý; Chính sách quyền riêng tư chưa nêu riêng (phần 9.4). Mức rủi ro – cao.

R5 – Kiểm tra và đánh giá công khai website bên thứ ba khi đơn vị vận hành không biết

Bất kỳ ai cũng có thể yêu cầu kiểm tra bất kỳ website truy cập công khai nào mà không có tài khoản và không có liên hệ với website đó. Đơn vị vận hành không được thông báo. Kết quả là báo cáo đánh giá website là “Không được bảo vệ”, “Được bảo vệ một phần” hoặc “Được bảo vệ” mà bất kỳ ai có liên kết đều có thể xem. Có thể hình dung hai hệ quả đối với chủ thể dữ liệu. Cá nhân kinh doanh bị đánh giá công khai – dù chỉ đối với người nhận liên kết – và đánh giá có thể là phát hiện sai. Báo cáo còn chỉ cho người phát tán thư rác biểu mẫu nào có thể được điền mà không gặp trở ngại.

Một loạt lệnh chặn chống lại điều này (cfg/check_lib.php): tối đa một kiểm tra cho mỗi tên miền trong bảy ngày, sau đó là cùng báo cáo; giới hạn theo địa chỉ IP và phiên; giới hạn hằng ngày cho toàn dịch vụ; không kiểm tra tên miền rất mới, thường điển hình cho lạm dụng; ghi chú và tín hiệu cho hành vi bất thường; robots.txt và từ chối tham gia được kiểm tra hai lần (cfg/check_lib.php và trong dịch vụ kiểm tra). Báo cáo miễn phí là trích đoạn: chỉ hiển thị phát hiện cơ bản, không có bằng chứng của mọi bộ phát hiện. Báo cáo không nói điều gì mà bot không thể tự tìm trong vài giây – biểu mẫu không được bảo vệ có thể thấy từ bên ngoài.

Khả năng xảy ra – có thể xảy ra. Mức độ nghiêm trọng – đáng kể đối với cá nhân kinh doanh có biểu mẫu bị nhắm tới sau báo cáo hoặc bị đánh giá sai. Mức rủi ro – trung bình.

R6 – Kiểm tra website khách hàng tiềm năng làm cơ sở cho tiếp cận không được yêu cầu

Trong giao diện, kiểm tra website khách hàng tiềm năng được mô tả là “cách mở đầu cuộc trao đổi đầu tiên”. Công ty dịch vụ tự quyết định cách sử dụng phát hiện ngắn; về kỹ thuật, họ cũng có thể gửi tới đơn vị vận hành không yêu cầu. Chúng tôi không liên hệ bất kỳ ai (cfg/akquise_lib.php), và Điều khoản dịch vụ yêu cầu công ty dịch vụ tuân thủ quy định về quảng cáo và tiếp cận. Tuy nhiên, e-mail không được yêu cầu kèm phát hiện là tiếp thị trực tiếp kể cả giữa các doanh nghiệp, tại Ba Lan (Điều 398 của Luật Truyền thông điện tử (Prawo komunikacji elektronicznej, PKE)) và Đức (§ 7(2) của Luật Chống cạnh tranh không lành mạnh Đức (Gesetz gegen den unlauteren Wettbewerb, UWG)) đều cần sự đồng ý trước. Giao diện không chỉ ra điều này; văn bản về kiểm tra website khách hàng tiềm năng chỉ nói “thụ động” và “danh sách từ chối tham gia”.

Khả năng xảy ra – có khả năng xảy ra, vì chức năng phục vụ thu hút khách hàng và chúng tôi không thể xác minh người nhận đã đồng ý hay chưa. Mức độ nghiêm trọng – hạn chế: đối với đơn vị vận hành, đó là e-mail tiếp thị gây phiền kèm đánh giá website của mình. Mức rủi ro – trung bình. Rủi ro nằm ở hành vi công ty dịch vụ; vì chức năng đến từ chúng tôi, dự kiến có thông báo trong giao diện (phần 9.3).

R7 – Bằng chứng quyền kiểm soát không bao giờ được gia hạn

Gửi thử chủ động, tìm tệp bị lộ và quét sau khi đăng nhập yêu cầu Khách hàng đã chứng minh quyền kiểm soát tên miền. Bằng chứng được kiểm tra một lần (cfg/verify_lib.php) và không bao giờ kiểm tra lại. Không có luồng nào trong mã khiến tên miền mất bằng chứng. Nếu tên miền đổi chủ, công ty dịch vụ kết thúc hợp đồng công việc hoặc đơn vị vận hành gỡ bản ghi DNS, kiểm tra vẫn tiếp tục – tối đa hằng ngày, với tối đa năm lượt gửi thử và, khi đã lưu, bằng đăng nhập tài khoản thử nghiệm mà đơn vị vận hành mới có thể không biết. Ngược lại, không thể chuyển bằng chứng sang máy chủ khác bằng đổi tên: tên máy chủ của tên miền có bằng chứng quyền kiểm soát không thể thay đổi.

Khả năng xảy ra – có thể xảy ra: thay đổi tên miền và hợp đồng công việc là chuyện hằng ngày đối với công ty dịch vụ. Mức độ nghiêm trọng – đáng kể đối với đơn vị vận hành mới và nhân viên nhận thông điệp thử nghiệm được ghi rõ, có website bị tìm tệp bị lộ mà chưa đồng ý. Mức rủi ro – trung bình. Thông điệp thử nghiệm tự giải thích và tham chiếu tới trang trình thu thập dữ liệu và cơ chế từ chối tham gia; từ chối tham gia cũng có hiệu lực đối với kiểm tra do Khách hàng yêu cầu.

R8 – Thông tin đăng nhập và nội dung trong quét sau khi đăng nhập

Mã hóa thông tin đăng nhập được xây dựng cẩn trọng: máy chủ web không còn đọc được sau khi lưu, cơ sở dữ liệu và bản sao lưu chỉ chứa bản mã, bản ghi ràng buộc với tên miền, thông tin đăng nhập chỉ đi vào container qua đầu vào tiêu chuẩn rồi được xóa khỏi bộ nhớ (phần 6.5). Hai khoảng trống còn lại; điểm thứ ba chỉ liên quan đọc, không lưu.

Cho phép đăng nhập không mã hóa. Kiểm tra địa chỉ cho phép http cùng với https (cfg/login_lib.php, scanner/src/login.js). Nếu Khách hàng nhập trang đăng nhập bằng http, tên người dùng và mật khẩu đi qua internet dưới dạng rõ trong mọi lần kiểm tra.
Lỗi chứng chỉ không dừng đăng nhập. Hiện đăng nhập không hủy khi chứng chỉ website Khách hàng không hợp lệ (scanner/src/login.js). Vì vậy chứng chỉ không bảo vệ đầy đủ thông tin đăng nhập trên đường tới website Khách hàng. Dự kiến hủy khi có lỗi chứng chỉ (phần 9.3, ưu tiên “trước tiên”).
Giá trị trường ẩn sau đăng nhập được đọc, không lưu. Trình thu thập dữ liệu đọc 24 ký tự đầu của giá trị trường ẩn (scanner/src/crawl.js), và cùng hàm trích xuất chạy sau đăng nhập (scanner/src/login.js). Tại đó, trường ẩn thường mang số tài khoản, mã định danh người dùng hoặc địa chỉ e-mail của tài khoản đã đăng nhập; tuy nhiên chỉ tên trường, loại, nhãn và kết quả phát hiện đi vào bản đồ trường và các phát hiện.

Ngoài ra còn có điều mã không thể ngăn: Khách hàng xác nhận dùng tài khoản thử nghiệm có ít quyền nhất có thể (cfg/login_lib.php) nhưng có thể nhập tài khoản quản trị viên thật. Các trang trình quét đọc sau đó do Khách hàng quyết định; địa chỉ chứa từ về đăng xuất và xóa bị chặn, nhưng hành động khác mà website kích hoạt qua yêu cầu đơn giản thì không.

Khả năng xảy ra – có thể xảy ra. Mức độ nghiêm trọng – nghiêm trọng nếu tài khoản có quyền rộng bị ảnh hưởng; khi đó khu vực thành viên với dữ liệu của mọi người dùng được mở ra. Mức rủi ro – trung bình với tài khoản thử nghiệm ít quyền, cao với tài khoản thật. Đo trên hệ thống phát triển, không có tài khoản thử nghiệm được lưu.

R9 – Gửi thử chủ động và kiểm tra tệp trên website Khách hàng

Lượt gửi thử đến những người đọc e-mail biểu mẫu của Khách hàng – nhân viên hoặc nhà cung cấp dịch vụ của họ. Lượt gửi không chứa dữ liệu cá nhân: người gửi là dummy@formexposed.com, văn bản và chủ đề được ghi rõ và nêu mã định danh lần kiểm tra (scanner/src/active.js). Rủi ro nằm ở phân loại sai: nếu trình quét coi biểu mẫu ứng tuyển, đặt dịch vụ hoặc tư vấn là biểu mẫu liên hệ, thông điệp thử nghiệm sẽ đi vào quy trình có hệ quả. Chống lại điều đó là quy tắc chặt chẽ cho “có thể gửi” (scanner/src/classify.js), chặn tên miền của cơ quan công quyền, cơ sở giáo dục, bệnh viện, phòng khám, cảnh sát và tòa án (scanner/src/classify.js), cùng việc loại mô hình ngôn ngữ khỏi quyết định này (scanner/src/classify.js). Từ phản hồi, trạng thái, địa chỉ đích, tiêu đề, 300 ký tự văn bản và ảnh được lưu; chúng liên quan thông điệp thử nghiệm của chúng tôi.

Kiểm tra tệp đọc tối đa 8 KB từ các đường dẫn điển hình. Nếu bản kết xuất cơ sở dữ liệu thực sự bị lộ tại đó, 8 KB này có thể chứa nội dung khách truy cập nhập vào biểu mẫu. Nội dung chỉ được kiểm tra dấu hiệu nhận diện rồi loại bỏ (cfg/dateien_lib.php); những gì được lưu là đường dẫn, loại và mức nghiêm trọng.

Khả năng xảy ra – khó xảy ra. Mức độ nghiêm trọng – đáng kể. Mức rủi ro – thấp. Đo trên hệ thống phát triển, tập dữ liệu có một kiểm tra chủ động, không có lượt gửi được chấp nhận.

R10 – Phân loại bằng mô hình ngôn ngữ

Đối với biểu mẫu mà quy tắc không nhận diện, mô hình ngôn ngữ nhận tiêu đề trang, địa chỉ, văn bản nút, mô tả trường và tối đa 400 ký tự văn bản biểu mẫu (scanner/src/classify.js). Nội dung có thể chứa tên, chẳng hạn “Người liên hệ của Quý khách: …”. Mô hình chạy trên máy chủ riêng; trong mã không có gì gửi tới bên thứ ba. Phần mềm mô hình có ghi nhật ký yêu cầu hay không chưa được xác minh. Kết quả chỉ quyết định loại biểu mẫu được hiển thị và không thể làm biểu mẫu trở thành có thể gửi; phân loại sai dẫn tới phát hiện kém hơn, không dẫn tới hành động.

Khả năng xảy ra – khó xảy ra. Mức độ nghiêm trọng – hạn chế. Mức rủi ro – thấp.

R10 – Giai đoạn kế hoạch hành động bổ sung

Đối với báo cáo trả phí đủ điều kiện, cùng mô hình cục bộ còn tạo các bước tư vấn từ phát hiện được lựa chọn và siêu dữ liệu quét. Khác với phân loại, đầu ra là bản tóm tắt bằng ngôn ngữ tự nhiên được giữ cùng lần quét. Tên máy chủ, địa chỉ trang và ghi chú có thể chứa dữ liệu cá nhân mà mô hình có thể lặp lại. Khuyến nghị sai có thể khiến người đọc làm yếu biện pháp bảo vệ hoặc thay đổi không cần thiết; chuyển tiếp liên kết báo cáo có thể tiết lộ dữ liệu cá nhân được lặp lại cho người nhận khác. Mã không tự động thực thi khuyến nghị, thay đổi điểm số hoặc kết luận, hay kiểm tra tính chính xác thực tế của văn bản. Mã giới hạn độ dài đầu vào và đầu ra, ghi nhãn bản tóm tắt do AI tạo và nêu từng phát hiện riêng có giá trị quyết định. Đây là biện pháp kiểm soát, không phải bằng chứng khuyến nghị đúng hoặc báo cáo ẩn danh. Đánh giá khả năng xảy ra và mức độ nghiêm trọng trước đó cho phân loại tự nó không đánh giá giai đoạn tạo nội dung bổ sung này; rủi ro còn lại phải được đánh giá với dữ liệu và cách sử dụng thực tế của hoạt động kiểm tra nền tảng.

R11 – Danh sách chặn chung từ báo cáo của nhiều website

Tên miền trong danh sách khiến thông điệp có liên kết tới tên miền đó vào cách ly trên mọi website được kết nối. Nếu tên miền thuộc cá nhân – thợ thủ công, nhiếp ảnh gia, người viết blog – thông điệp chứa liên kết tới website riêng của họ đến người nhận muộn. Tên miền có thể vào danh sách vì người phát tán thư rác lạm dụng nó hoặc vì có người cố ý gửi thông điệp không vượt qua kiểm tra chứa tên miền đó tới nhiều website.

Chống lại điều đó là (cfg/swarm_lib.php): tối thiểu ba website khác nhau và năm lượt khớp trong bảy ngày; ngoại lệ cố định cho dịch vụ lớn; không bao giờ đưa tên miền Khách hàng chúng tôi vào; gỡ thủ công qua công cụ trên máy chủ; cách ly thay vì xóa; danh sách được xây dựng lại hằng ngày, mục không còn được báo cáo bị loại ra. Người bị ảnh hưởng không thể xem danh sách và không có phương thức riêng để yêu cầu gỡ ngoài thông qua chúng tôi.

Khả năng xảy ra – có thể xảy ra. Mức độ nghiêm trọng – hạn chế, vì không mất gì và người nhận có thể giải phóng thông điệp. Mức rủi ro – thấp đến trung bình. Nếu bật mạng IP, mạng của cả nhà cung cấp sẽ bị ảnh hưởng, địa chỉ IP là dữ liệu cá nhân và mức độ nghiêm trọng tăng lên mức đáng kể: cao.

R12 – Báo cáo và ảnh chụp màn hình dưới liên kết công khai

Báo cáo từ kiểm tra miễn phí, kiểm tra website khách hàng tiềm năng và kiểm tra tên miền Khách hàng có thể được truy cập không cần đăng nhập dưới liên kết ngẫu nhiên. Liên kết chứa 128 bit ngẫu nhiên và không thể đoán (cfg/check_lib.php). Trang có noindex, ứng dụng gửi chính sách referrer chỉ chuyển tiếp nguồn gốc (www/.htaccess), và ảnh chụp màn hình chỉ được cung cấp cùng báo cáo mà chúng thuộc về; số ảnh khác trả về “không tìm thấy” (www/shot.php). Rủi ro không nằm ở mật mã mà ở con người: liên kết được chuyển tiếp, sao chép vào phiếu hỗ trợ, chia sẻ trong trò chuyện. Người mở chỉ được ghi trong nhật ký truy cập trang như mọi lượt xem (60 ngày), trong đó bản thân liên kết chỉ xuất hiện dưới dạng được che; không có danh sách người đọc cho từng báo cáo.

Khả năng xảy ra – có thể xảy ra. Mức độ nghiêm trọng – hạn chế, vì báo cáo chỉ hiển thị thông tin công khai và hết hạn tương ứng sau 30 hoặc 90 ngày; báo cáo tên miền Khách hàng còn truy cập được trong thời gian lần kiểm tra tồn tại (13 tháng, lần gần nhất lâu hơn). Mức rủi ro – thấp.

R13 – Điểm yếu hạ tầng

Những điểm sau được liệt kê là còn mở trong bộ tài liệu rà soát nội bộ của chúng tôi và không bị làm nhẹ đi tại đây. Chúng tôi mô tả chính xác đến mức Khách hàng cần cho đánh giá riêng, nhưng không chính xác đến mức chỉ đường cho kẻ tấn công; chúng tôi sẽ cung cấp chi tiết cho cơ quan giám sát theo yêu cầu.

Bản sao lưu cơ sở dữ liệu hiện được lưu cùng địa điểm với cơ sở dữ liệu và không được mã hóa riêng; bản sao mã hóa tại địa điểm thứ hai đang được dự kiến (cfg/backup_lib.php). Cho đến lúc đó, chúng không bảo vệ trước việc mất địa điểm, và người lấy được cơ sở dữ liệu cũng lấy được bản sao lưu. Thông tin đăng nhập để quét sau khi đăng nhập chỉ có trong đó dưới dạng bản mã.
Không mã hóa cơ sở dữ liệu khi lưu trữ. Ngoại lệ là các trường được mã hóa riêng (thông tin đăng nhập tài khoản thử nghiệm, bí mật hai yếu tố).
Kết nối trong mạng nội bộ của chúng tôi không được mã hóa toàn bộ.
Quản trị máy chủ. Bảo mật truy cập quản trị vào máy chủ chưa đáp ứng tiêu chuẩn chúng tôi dự định cho vận hành; việc tăng cường bảo mật quản trị máy chủ đang tiếp tục.
Môi trường kiểm tra. Máy chủ quét mở website bên thứ ba trong trình duyệt. Các container kiểm tra được cách ly – mạng riêng, không có đặc quyền, chỉ đọc, có giới hạn (scanner/src/worker.js). Sự phân tách giữa môi trường kiểm tra và phần khác của dịch vụ đang được tăng cường thêm (phần 9.3).

Khả năng xảy ra – có thể xảy ra. Mức độ nghiêm trọng – nghiêm trọng, vì trong tình huống khẩn cấp mọi thứ sẽ cùng bị ảnh hưởng. Mức rủi ro – cao. Từng điểm có thể được khắc phục bằng phương tiện thông thường (phần 9.3).

R14 – Quyền chủ thể dữ liệu của những người không biết chúng tôi

Người tình cờ xuất hiện trong ảnh chụp màn hình hoặc có thông điệp đi qua bản sao kiểm soát thường không biết chúng tôi tồn tại. Ngay cả khi biết, họ cũng không có khóa tới dữ liệu “của mình”: chúng tôi không lưu theo người mà theo tên miền và lần kiểm tra. Chúng tôi chỉ có thể trả lời yêu cầu truy cập theo Điều 15 nếu người đó nêu tên miền; khi đó có thể xem lại các lần kiểm tra và ảnh hiện có. Đối với thông điệp thật của khách truy cập, không có gì để cung cấp vì chúng tôi không lưu – ngoại trừ tên miền người gửi từ R1. Cơ chế từ chối tham gia chỉ hoạt động cho đơn vị vận hành tên miền, không cho người trong ảnh; đối với họ, vẫn còn cách liên hệ qua contact@lukaswojcik.com.

Khả năng xảy ra – có khả năng xảy ra như một tình trạng có tính cấu trúc. Mức độ nghiêm trọng – hạn chế, vì dữ liệu tồn tại ngắn và không được tổ chức theo người. Mức rủi ro – thấp.

9. (d) Biện pháp giải quyết rủi ro

Mỗi biện pháp mang một trạng thái và các trạng thái không phải để trang trí. Đã triển khai hiện nay – đã xác minh có nghĩa: đã đọc trong mã của hệ thống phát triển và, khi có thể, đo đối với cơ sở dữ liệu. Một phần có nghĩa: cơ chế tồn tại nhưng chưa hoàn toàn đạt mục đích. Dự kiến có nghĩa: do đánh giá này đề xuất và chưa xây dựng; chủ sở hữu quyết định có thực hiện và khi nào. Vẫn cần xác định là những quy trình và quyết định mà không mã nào thay thế được. DPIA trình bày biện pháp dự kiến như đã triển khai sẽ mất giá trị đúng trong tình huống cần đến nó.

9.1 Đã triển khai hiện nay – đã xác minh

Biện pháp	Giải quyết	Tham chiếu nguồn
Trình thu thập dữ liệu đọc robots.txt trước mỗi lần kiểm tra; loại trừ áp dụng cho trang chủ, robots.txt không truy cập được hoặc lỗi máy chủ kết thúc kiểm tra (không tuân thủ riêng đường dẫn con; kiểm tra nhanh biểu mẫu, truy xuất bằng chứng, công cụ tiêu đề và tìm tệp không đọc tệp này)	R5, tính hợp pháp	`scanner/src/net.js`
Từ chối tham gia không cần bằng chứng, có hiệu lực ngay cho tên miền và biến thể www, cho kiểm tra ẩn danh, khách hàng tiềm năng, nghiên cứu và kiểm tra Khách hàng (giám sát đang chạy kết thúc ở lần kiểm tra theo lịch tiếp theo); được kiểm tra hai lần (ứng dụng và dịch vụ kiểm tra); chỉ chúng tôi gỡ theo yêu cầu có bằng chứng	R5, R7, Điều 21	`cfg/check_lib.php`; `cfg/akquise_lib.php`; `cfg/studie_lib.php`; `scanner/src/worker.js`
Kiểm tra miễn phí: dừng khẩn cấp, reCAPTCHA, một kiểm tra mỗi tên miền mỗi tuần, giới hạn theo địa chỉ IP và phiên, giới hạn hằng ngày, không tên miền mới, chỉ địa chỉ công khai, ghi chú và tín hiệu không có nội dung khi có bất thường	R5	`cfg/check_lib.php`
Đối với giới hạn, phiên chỉ được lưu dưới dạng giá trị băm, không bao giờ là mã định danh phiên	Giảm thiểu	`cfg/check_lib.php`
Không có giá trị trường (phần đầu trường ẩn và thuộc tính dữ liệu chỉ được đọc trong lúc kiểm tra, phần 6.2); địa chỉ người nhận chỉ dưới dạng tên miền; mã định danh tài khoản trong địa chỉ tập lệnh được ẩn	Giảm thiểu	`scanner/src/crawl.js`
Báo cáo miễn phí là trích đoạn: chỉ phát hiện cơ bản, không có bằng chứng từ mọi bộ phát hiện	R5	`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`
Báo cáo dưới liên kết ngẫu nhiên 128 bit, `noindex`, ảnh chỉ cho báo cáo của chính ảnh đó, ngoài thư mục web công khai; liên kết chỉ xuất hiện ở dạng được che trong nhật ký truy cập trang	R12	`cfg/check_lib.php`; `www/report.php`; `www/shot.php`
Xóa: báo cáo ẩn danh sau 30 ngày, khách hàng tiềm năng sau 90 ngày, kiểm tra Khách hàng sau 13 tháng (lần gần nhất mỗi tên miền được giữ trong thời gian tên miền tồn tại), dữ liệu tên miền đã xóa được xóa ngay (ngoại lệ xem phần 6.11), trong mỗi trường hợp ảnh bị xóa cùng	Giới hạn lưu trữ	`cfg/check_lib.php`; `cfg/fristen_lib.php`
Nghiên cứu: chỉ công bố số liệu tổng, phân đoạn chỉ từ 20 website có biểu mẫu, dữ liệu thô bị xóa khi công bố	R4 một phần, P3	`cfg/studie_lib.php`
Container kiểm tra: mạng cách ly riêng, không có đặc quyền, chỉ đọc, giới hạn bộ nhớ và tiến trình, giới hạn thời gian; lọc đích riêng trong mọi yêu cầu, chặn service worker và đóng kết nối WebSocket để không có gì vượt bộ lọc; yêu cầu của máy chủ web chỉ trên cổng web và chỉ tới đúng địa chỉ công khai đã được kiểm tra trước	R13	`scanner/src/worker.js`; `scanner/src/net.js`
Kiểm tra chủ động cho Khách hàng chỉ với tên miền đã xác minh (nội bộ còn cho tên miền thử nghiệm và trình diễn riêng) và khi công tắc dừng khẩn cấp được bật, kiểm tra hai lần; tối đa năm lượt gửi; chỉ biểu mẫu liên hệ được nhận diện rõ không yêu cầu dữ liệu cá nhân bắt buộc; không tên miền của cơ quan công quyền, cơ sở giáo dục, bệnh viện, phòng khám, cảnh sát hoặc tòa án; mô hình ngôn ngữ không được cho phép gửi; thông điệp thử nghiệm không dữ liệu cá nhân, được ghi rõ, có tham chiếu tới trang trình thu thập dữ liệu và từ chối tham gia	R9	`scanner/src/worker.js`; `scanner/src/classify.js`; `scanner/src/active.js`
Hành trình trình duyệt: chỉ GET và HEAD, chặn địa chỉ nguy hiểm, giá trị tự tạo không rời trình duyệt, ảnh có trường nhập được tô đen	R3 (cho các ảnh này), R9	`scanner/src/browser.js`
Kiểm tra tệp: chỉ tên miền đã xác minh, một lần truy xuất mỗi đường dẫn, tối đa 8 KB, không bao giờ lưu nội dung	R9	`cfg/dateien_lib.php`
Điểm kiểm tra thứ hai: mặc định tắt; sẽ chỉ nhận danh sách cố định các mục vô hại, có chữ ký	Người nhận	`cfg/formular_probe_lib.php`
Quét sau khi đăng nhập: chỉ tên miền đã xác minh, gói trả phí, chủ sở hữu hoặc quản trị viên, xác nhận “tài khoản thử nghiệm”; mã hóa bằng khóa công khai của máy chủ quét, ràng buộc với tên miền; thông tin đăng nhập không bao giờ được hiển thị, ghi nhật ký hoặc xuất qua API; chỉ chuyển qua đầu vào tiêu chuẩn; trường trong tác vụ được xóa ngay, phần còn sót sau một giờ; không ảnh chụp màn hình, không gửi, không địa chỉ đăng xuất hoặc xóa, hủy khi có CAPTCHA; xóa cuối cùng bằng ghi đè	R8	`cfg/login_lib.php`; `scanner/src/login.js`; `scanner/src/geheim.js`; `scanner/src/worker.js`
Kiểm tra giao thư: mặc định tắt; truy xuất chỉ đọc tiêu đề và 8 KB, không đánh dấu đã đọc; nội dung và địa chỉ khách truy cập không bao giờ vào cơ sở dữ liệu; mọi e-mail được truy xuất bị xóa, kể cả không thể gán; thông tin gán bị xóa sau 180 ngày; bằng chứng chỉ qua bản sao của đúng phép thử này	R1, R2	`cfg/zustellung_lib.php`
Bảo vệ cộng đồng: chỉ tên miền, mạng IP tắt; số lượng tối thiểu; ngoại lệ cho dịch vụ lớn và tên miền Khách hàng; cách ly thay xóa; danh sách được xây dựng lại hằng ngày; báo cáo bị xóa sau 30 ngày	R11	`cfg/swarm_lib.php`
Mô hình ngôn ngữ trên máy chủ riêng, không có quyền gửi	R10	`scanner/src/classify.js`
Kế hoạch hành động: tạo cục bộ từ phát hiện được lựa chọn, lời nhắc không có ảnh chụp màn hình hoặc giá trị trường được nhập; giới hạn số phát hiện và độ dài ghi chú; văn bản thuần được làm sạch với độ dài giới hạn; thông báo AI hiển thị rõ, từng phát hiện riêng có giá trị quyết định; không tự động thay đổi website hoặc quyết định điểm số/kết luận	R10 một phần; vẫn có thể có lời khuyên sai và dữ liệu cá nhân tình cờ	`cfg/plan_lib.php`; `www/report.php`
Tín hiệu qua Telegram chỉ chứa câu cố định không có biến	Người nhận	`cfg/check_lib.php`
Kiểm thử khôi phục bản sao lưu hằng tuần, có cảnh báo khi thất bại	Tính khả dụng	`cfg/backup_lib.php`; `srv/cron_status.php`

9.2 Một phần – đã có nhưng chưa đạt mục đích

Biện pháp	Vì sao chưa hoàn toàn hiệu quả
Ảnh chụp màn hình “đã làm sạch”	Chỉ ảnh hành trình trình duyệt được tô đen. Ảnh của trình thu thập dữ liệu – trang chủ và phần tử biểu mẫu – cùng ảnh trang phản hồi từ kiểm tra chủ động thì không (R3).
Thời hạn cho dữ liệu kiểm tra	Có hiệu lực cho kiểm tra ẩn danh, khách hàng tiềm năng và Khách hàng; không có cho kiểm tra nội bộ và nghiên cứu chưa công bố; ghi chú bất thường chưa giải quyết không có giới hạn thời gian (R4).
Xóa bản sao kiểm soát	Có hiệu lực trong góc nhìn của chúng tôi về hộp thư. Nếu lần chạy bị hủy, e-mail vẫn còn; nhà cung cấp hộp thư giữ gì trong bản sao lưu riêng chưa được xác minh (R2).
Bảo vệ thông tin đăng nhập khi quét sau khi đăng nhập	Mạnh khi lưu trữ và trong dịch vụ kiểm tra; không mạnh trên đường tới website: cho phép `http`, bỏ qua lỗi chứng chỉ (R8).
Bằng chứng quyền kiểm soát	Được kiểm tra một lần rồi có hiệu lực vĩnh viễn; tuy nhiên tên máy chủ của tên miền có bằng chứng quyền kiểm soát không thể thay đổi, để bằng chứng không chuyển sang máy chủ khác (R7).
Thông tin cho chủ thể dữ liệu	Đã có cho đơn vị vận hành qua trang trình thu thập dữ liệu, mã nhận diện, Chính sách quyền riêng tư và từ chối tham gia; với khách truy cập trong kiểm tra giao thư, phụ thuộc Khách hàng sử dụng khối văn bản; ứng dụng không kiểm tra điều đó.
Yêu cầu Khách hàng không đưa loại dữ liệu đặc biệt vào bản sao kiểm soát	Được nêu trong tài liệu pháp lý nhưng chưa được hỗ trợ bằng kỹ thuật: khi thiết lập, ứng dụng không hỏi loại website và không cảnh báo tên miền có dấu hiệu về sức khỏe, pháp luật hoặc giáo dục (R1).

9.3 Dự kiến – chưa triển khai

Biện pháp	Giải quyết	Ưu tiên
Phương thức xóa kiểm tra nội bộ: xóa kiểm tra không có tên miền và không có báo cáo sau thời hạn cố định (đề xuất: 30 ngày); xóa dữ liệu thô nghiên cứu muộn nhất sau thời hạn cố định kể từ khi hoàn tất, kể cả không công bố (đề xuất: 90 ngày); xóa một lần 85 kiểm tra hiện có với 369 ảnh	R4	Trước tiên
Chỉ bật kiểm tra giao thư sau khi giao kết hợp đồng với nhà cung cấp hộp thư, ghi nhận nơi lưu trữ, bên xử lý phụ và thời hạn sao lưu, làm rõ cơ chế chuyển dữ liệu cho nhà cung cấp hộp thư và bản ghi MX của tên miền chúng tôi trỏ trực tiếp tới hộp thư; cho đến lúc đó, giữ chức năng bị chặn trên hệ thống sản xuất	R2	Trước tiên
Kiểm tra và ghi nhận bảo mật truy xuất hộp thư trên hệ thống sản xuất trước khi bật kiểm tra giao thư	R2	Trước tiên
Chỉ quét sau khi đăng nhập qua `https` và với chứng chỉ hợp lệ; từ chối địa chỉ `http`; coi lỗi chứng chỉ lúc đăng nhập là lý do hủy	R8	Trước tiên
Không lưu giá trị trường ẩn sau đăng nhập (chỉ tên, loại và độ dài) – đã được triển khai như vậy, không cần bước tiếp theo	R8	Đã xong
Giới hạn bản sao kiểm soát ở thông điệp thử nghiệm tại nơi sử dụng tiện ích: chỉ gửi bản sao ẩn cho lượt gửi có mã định danh phép thử của chúng tôi	R1	Cao
Không lưu tên miền người gửi của thông điệp thật hoặc ghi vào cảnh báo nếu đó không phải tên miền website hay dịch vụ gửi đã biết; thay vào đó ghi “tên miền người gửi bên ngoài” trong cảnh báo	R1	Cao
Cảnh báo khi thiết lập kiểm tra giao thư cho tên miền có dấu hiệu về sức khỏe, pháp luật, dịch vụ xã hội hoặc giáo dục, kèm tham chiếu tới DPIA riêng của Khách hàng	R1	Cao
Gia hạn bằng chứng quyền kiểm soát thường xuyên (đề xuất: trước mỗi kiểm tra chủ động, xác minh bản ghi DNS, thẻ meta, tệp hoặc kết nối tiện ích còn tồn tại; nếu không, tiếp tục thụ động và thông báo Khách hàng)	R7	Cao
Ngừng chụp trang chủ hoặc chỉ chụp với ảnh và khuôn mặt được tô đen; giới hạn ảnh biểu mẫu ở phần tử biểu mẫu (như hiện tại) và che trường nhập như hành trình trình duyệt	R3	Cao
Thông báo trong giao diện kiểm tra website khách hàng tiềm năng: gửi phát hiện ngắn qua e-mail hoặc điện thoại khi không được yêu cầu là tiếp thị trực tiếp kể cả giữa doanh nghiệp và cần sự đồng ý trước (Điều 398 của Luật Truyền thông điện tử Ba Lan; tại Đức § 7(2) UWG, dù sự đồng ý được suy đoán là đủ cho cuộc gọi tới doanh nghiệp)	R6	Cao
Hạ tầng: hoàn tất tăng cường bảo mật quản trị máy chủ; bản sao mã hóa của bản sao lưu tại địa điểm thứ hai; mã hóa toàn bộ kết nối mạng nội bộ; tăng cường thêm sự phân tách giữa máy chủ quét và ứng dụng	R13	Cao
Thời hạn cho ghi chú bất thường chưa giải quyết (đề xuất: giải quyết trong 30 ngày, nếu không xóa địa chỉ IP)	R4	Trung bình
Trang hoặc biểu mẫu để người dùng yêu cầu gỡ tên miền khỏi bảo vệ cộng đồng	R11, R14	Trung bình
Trước khi bật mạng IP trong bảo vệ cộng đồng: phiên bản mới của đánh giá này	R11	Điều kiện
Ghi nhận phần mềm mô hình ngôn ngữ có lưu yêu cầu không và, nếu có, tắt các nhật ký này	R10	Thấp

9.4 Quy trình và quyết định vẫn cần xác định

Ngoài biện pháp bảo vệ kỹ thuật, Điều 35(7)(d) còn yêu cầu quy trình. Những quy trình này vẫn chưa hoàn tất:

Vi phạm dữ liệu cá nhân. Phát hiện: chủ sở hữu, cảnh báo lỗi của ứng dụng, báo cáo qua đầu mối tiếp nhận báo cáo lỗ hổng hoặc contact@lukaswojcik.com. Quyết định thông báo cho UODO trong 72 giờ (Điều 33(1)): chủ sở hữu. Thông báo cho Khách hàng bị ảnh hưởng với tư cách bên kiểm soát dữ liệu: không chậm trễ không chính đáng, nếu có thể trong 48 giờ, như đã hứa trong Thỏa thuận xử lý dữ liệu. Cần xác định: mô tả quy trình bằng văn bản và diễn tập đầu tiên; với kiểm tra giao thư còn cần cách xác định Khách hàng nào bị ảnh hưởng bởi vi phạm tại nhà cung cấp hộp thư.
Ngành. Cần xác định: kiểm tra giao thư có được cung cấp, cung cấp kèm cảnh báo hoặc loại trừ đối với website thuộc sức khỏe, pháp luật, dịch vụ xã hội và giáo dục hay không.
Kiểm tra nội bộ. Cần xác định: nhà cung cấp sử dụng kiểm tra nội bộ từ dòng lệnh để làm gì, ai được tạo và kết quả tồn tại bao lâu; ngoài Hồ sơ hoạt động xử lý, có cần nêu trong Chính sách quyền riêng tư hay không.
Nghiên cứu. Cần xác định: ai lập danh sách, từ nguồn nào, quy mô tối đa bao nhiêu và kiểm tra trước mỗi nghiên cứu xem có tuân thủ giả định của đánh giá này không.
Ý kiến chủ thể dữ liệu (Điều 35(9)). Chưa lấy ý kiến cho phiên bản này. Điều 35(9) chỉ yêu cầu lấy ý kiến “khi phù hợp”; theo đánh giá của chúng tôi, hiện tại điều đó chưa phù hợp ở đây. Đơn vị vận hành website được kiểm tra và khách truy cập website Khách hàng không có kênh riêng tới chúng tôi; tiếp cận họ cụ thể tự nó sẽ là việc xử lý dữ liệu mới, và dịch vụ chưa ra mắt nên chưa có nhóm chủ thể dữ liệu thực tế. Lợi ích của họ được tính đến gián tiếp: qua robots.txt và từ chối tham gia, qua thời hạn ngắn và qua việc không lưu nội dung bản sao kiểm soát. Tại mỗi lần rà soát theo phần 12, chúng tôi xem xét lại việc lấy ý kiến có phù hợp không, chẳng hạn qua phản hồi trên trang trình thu thập dữ liệu hoặc từ Khách hàng dùng kiểm tra giao thư.

10. Rủi ro còn lại và tham vấn trước theo Điều 36

Điều 36(1) yêu cầu tham vấn trước cơ quan giám sát khi DPIA cho thấy việc xử lý sẽ dẫn đến rủi ro cao nếu không có biện pháp do bên kiểm soát dữ liệu thực hiện để giảm thiểu rủi ro. Vì vậy câu hỏi không phải đã nhận diện rủi ro cao chưa – đã có bốn rủi ro – mà là liệu rủi ro cao có còn sau khi triển khai biện pháp hay không.

Đối với các hoạt động xử lý mà formexposed là bên kiểm soát dữ liệu (P1 đến P4, P7), rủi ro cao R4 và R13 có thể được khắc phục bằng phương tiện thông thường: phương thức xóa và dọn dữ liệu hiện có, bản sao lưu mã hóa ngoài địa điểm và tăng cường bảo mật hai máy chủ. Với các biện pháp tại 9.3, chúng giảm xuống thấp đến trung bình. R3, R5, R6 và R7 ở mức trung bình và giảm xuống thấp với biện pháp đề xuất. Bảo vệ cộng đồng không có mạng IP vẫn ở mức thấp đến trung bình. Tham vấn trước không được chỉ ra là cần thiết cho phần này nếu các biện pháp đánh dấu “trước tiên” và “cao” được triển khai trước khi ra mắt. Nếu bất kỳ biện pháp nào chưa được triển khai trước khi ra mắt, rủi ro cao còn đối với hoạt động xử lý liên quan. Khi đó hoạt động đó chỉ bắt đầu sau khi biện pháp được triển khai, hoặc UODO được tham vấn trước theo Điều 36(1).

Đối với kiểm tra giao thư (P6), tình hình khác vì lý do không biện pháp nào loại bỏ hoàn toàn: khách truy cập tự quyết định nội dung viết. Với hợp đồng được giao kết, truy xuất được bảo mật, giới hạn ở thông điệp thử nghiệm khi có thể và bỏ tên miền người gửi, R2 giảm xuống thấp và R1 xuống trung bình. Tuy nhiên, với Khách hàng có khách truy cập thường cung cấp dữ liệu theo Điều 9, R1 vẫn có thể cao. Nghĩa vụ tham vấn khi đó thuộc Khách hàng với tư cách bên kiểm soát dữ liệu, không thuộc formexposed. Khuyến nghị của chúng tôi cho những Khách hàng đó là không thiết lập bản sao kiểm soát cho biểu mẫu liên hệ chung mà chỉ cho biểu mẫu không có nội dung nhạy cảm, hoặc không sử dụng kiểm tra giao thư.

Nêu trung thực rủi ro còn lại. Hiện nay, với các biện pháp tại 9.1, bốn rủi ro ở mức cao: R1 và R2 (kiểm tra giao thư), R4 (dữ liệu kiểm tra không có phương thức xóa) và R13 (hạ tầng). Với biện pháp tại 9.3, R2, R4 và R13 giảm xuống thấp đến trung bình. R1 còn ở mức trung bình và phụ thuộc lâu dài vào quyết định của Khách hàng. Không rủi ro nào khác vượt trung bình sau các biện pháp.

Điều 36 không phải hình phạt, và tham vấn không phải sự thừa nhận. Đây là phương thức Quy định đưa ra cho tình huống một quy trình hữu ích mang rủi ro mà bên kiểm soát dữ liệu không hoàn toàn kiểm soát. Khách hàng muốn sử dụng kiểm tra giao thư cho thông điệp có dữ liệu sức khỏe sẽ tìm thấy thông tin thực tế cho quyết định tại đây.

11. Những gì Khách hàng cần cho DPIA riêng (Điều 28(3)(f))

Đối với kiểm tra giao thư và quét sau khi đăng nhập, Khách hàng là bên kiểm soát dữ liệu. Trang này cung cấp mô tả (phần 6.5 và 6.6), rủi ro từ góc nhìn của chúng tôi (R1, R2, R8) và trạng thái biện pháp (phần 9). Chỉ Khách hàng có thể trả lời các câu hỏi sau:

Khách truy cập của tôi viết gì? Có thể dự kiến dữ liệu về sức khỏe, tôn giáo, nguồn gốc, tư cách công đoàn, xu hướng tính dục, tội phạm hoặc trẻ em đi vào qua biểu mẫu không? Khi đó, thông thường cần DPIA cho bản sao kiểm soát và nên xem xét lại bản sao kiểm soát cho biểu mẫu này.
Tôi có cần bản sao kiểm soát cho mọi thông điệp không? Để chứng minh thông điệp thử nghiệm của chúng tôi đến nơi, chỉ cần bản sao của thông điệp đó. Khi biểu mẫu cho phép, chỉ đặt bản sao ẩn cho thông điệp thử nghiệm.
Tôi thông báo cho khách truy cập như thế nào? Thỏa thuận xử lý dữ liệu yêu cầu điều đó; Văn bản chính sách quyền riêng tư cho website mô tả đường đi của bản sao và vai trò của chúng tôi.
Tôi có cơ sở pháp lý nào? Văn bản chúng tôi đề xuất nêu Điều 6(1)(f) (nhận yêu cầu đáng tin cậy). Đối với dữ liệu theo Điều 9, chỉ riêng cơ sở này không đủ.
Tôi chọn kênh cảnh báo nào? Cảnh báo từ kiểm tra tính xác thực có thể nêu tên miền người gửi. Người gửi cảnh báo tới dịch vụ trò chuyện ngoài EU chuyển tên miền đó tới đó.
Đối với quét sau khi đăng nhập: Tài khoản thử nghiệm có thực sự là tài khoản thử nghiệm với quyền tối thiểu cần thiết không? Trang đăng nhập chỉ có thể truy cập qua https không? Tài khoản thử nghiệm có thấy dữ liệu người dùng khác không? Nếu có: trên trang nào trong những trang được chỉ định?
Khi nào tôi xóa? Kiểm tra giao thư và tài khoản thử nghiệm có thể được tắt và xóa bất kỳ lúc nào; khi đó tài khoản thử nghiệm được ghi đè vĩnh viễn.

Tài liệu khác cho đánh giá của Khách hàng: Thỏa thuận xử lý dữ liệu, biện pháp kỹ thuật và tổ chức, danh sách bên xử lý phụ và Hồ sơ hoạt động xử lý. Chúng tôi trả lời câu hỏi về từng thông tin thực tế tại contact@lukaswojcik.com.

12. Rà soát, phiên bản và phê duyệt

Điều 35(11) yêu cầu rà soát để đánh giá việc xử lý có được thực hiện phù hợp với DPIA hay không, ít nhất khi rủi ro thay đổi. Chúng tôi rà soát đánh giá này ít nhất hằng năm và trước mỗi sự kiện sau; mỗi sự kiện kích hoạt đo lường mới, không chỉ đọc:

ra mắt vận hành sản xuất, với số liệu từ hệ thống sản xuất thay hệ thống phát triển;
lần đầu kích hoạt kiểm tra giao thư trên hệ thống sản xuất và giao kết hợp đồng với nhà cung cấp hộp thư;
bật mạng IP trong bảo vệ cộng đồng;
nghiên cứu đầu tiên và mọi nghiên cứu có danh sách lớn hơn lần trước;
bật điểm kiểm tra thứ hai hoặc người nhận mới trong luồng kiểm tra;
mọi cách sử dụng mô hình ngôn ngữ mới vượt các cách sử dụng được đánh giá này bao gồm; kế hoạch hành động có thứ tự ưu tiên trong báo cáo trả phí là cách sử dụng được bổ sung và yêu cầu rà soát đánh giá;
mọi thay đổi đối với ảnh chụp màn hình, thời hạn hoặc điều kiện tiên quyết cho kiểm tra chủ động.

Mục	Nội dung
Bên kiểm soát dữ liệu	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland · NIP 7252266190 · contact@lukaswojcik.com
Cơ quan giám sát có thẩm quyền	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Poland
Cán bộ bảo vệ dữ liệu	Chưa được chỉ định; đánh giá theo Điều 37 tại phần 4
Cơ sở thông tin thực tế	Mã nguồn ứng dụng và dịch vụ kiểm tra, lược đồ cơ sở dữ liệu, số lượng hàng dữ liệu và cài đặt hệ thống phát triển, đo ngày 11 tháng 10 năm 2026, chỉ đọc
Tài liệu liên quan	Chính sách quyền riêng tư, Thỏa thuận xử lý dữ liệu, Biện pháp kỹ thuật và tổ chức, Bên xử lý phụ, Hồ sơ hoạt động xử lý, Đạo luật AI của EU, Sử dụng được chấp nhận và lạm dụng, FormExposedBot, Từ chối tham gia
Phiên bản	1.1 ngày 23 tháng 10 năm 2026; bổ sung thông tin thực tế về giai đoạn kế hoạch hành động cục bộ vào phiên bản đầu ngày 11 tháng 10 năm 2026
Rà soát theo Điều 35(11)	Ngày 23 tháng 10 năm 2026: rà soát mã nguồn giai đoạn kế hoạch hành động cục bộ được bổ sung. Dữ liệu đầu vào, lưu trữ, vai trò, đầu ra tư vấn và biện pháp bảo vệ đã triển khai được bổ sung vào các phần tương ứng; không khẳng định đã hoàn tất đo trên hệ thống sản xuất hoặc có xếp hạng rủi ro còn lại mới. Những phép đo trước đó vào ngày 11 tháng 10 năm 2026 và trạng thái phê duyệt bên dưới không thay đổi. Các lần rà soát tiếp theo được ghi tại đây với ngày, lý do và kết quả.
Phê duyệt	Chưa được phê duyệt. Chủ sở hữu phê duyệt sau rà soát pháp lý và sau quyết định về biện pháp tại phần 9.3 cùng câu hỏi tại phần 9.4. Đến nay chưa lấy tư vấn bảo vệ dữ liệu bên ngoài.

Một nhận xét cuối cần nằm trong tài liệu chứ không trong thư gửi kèm. Những phần của formexposed vươn xa nhất vào tên miền của người khác – gửi thử và đăng nhập bằng thông tin đăng nhập của người khác – được xây dựng cẩn trọng nhất: hai cổng kiểm soát, giới hạn cứng, mã hóa khiến ngay cả chúng tôi cũng không truy cập được. Rủi ro trong đánh giá này phần lớn nằm ở nơi khác: những gì đi kèm tình cờ – thông điệp thật trong bản sao ẩn, người trong ảnh chụp màn hình, kiểm tra không còn ai xóa. Đây là điểm xuất phát thuận lợi vì có thể ngăn phần tình cờ mà không thay đổi dịch vụ.

Chúng tôi có thể giúp gì?