Tài liệu này được công bố bằng nhiều ngôn ngữ. Nếu có bất kỳ khác biệt nào giữa các phiên bản ngôn ngữ, phiên bản tiếng Ba Lan có giá trị ràng buộc.
Phiên bản 1.2 · Cập nhật lần cuối: ngày 29 tháng 10 năm 2026
1. Cách đọc hồ sơ này
Đây là hồ sơ hoạt động xử lý theo Điều 30 GDPR cho formexposed. Hồ sơ không phải chính sách quyền riêng tư và không phải nội dung tiếp thị. Nhiệm vụ của hồ sơ là cho cơ quan giám sát, Khách hàng kiểm toán chúng tôi với tư cách bên xử lý dữ liệu hoặc người tiếp theo phải trả lời câu hỏi thấy những gì thực sự được xử lý, được giữ ở đâu, ai nhận và tồn tại bao lâu. Chúng tôi công bố vì một dịch vụ kiểm tra và giám sát biểu mẫu cũng nên tự mở mình cho việc kiểm tra.
Ba quy tắc chi phối việc biên soạn.
- Đã được đo lường, không chỉ dự định. Thông tin về trường dữ liệu, thời hạn lưu giữ, người nhận hoặc biện pháp bảo vệ chỉ xuất hiện khi được mã chương trình, lược đồ cơ sở dữ liệu hoặc phép đo chứng minh. Những gì dự kiến được gọi là “dự kiến”. Những gì mặc định tắt được gọi là “mặc định tắt”. Khi không thể chứng minh điều gì, chúng tôi nêu rõ.
- Thời hạn lưu giữ được nêu hai lần. Một lần cho từng hoạt động xử lý và một lần tại phần 6 dưới dạng bức tranh tổng thể: lần chạy hằng đêm nào xóa dữ liệu nào và không chạm tới dữ liệu nào. Hồ sơ tuyên bố thời hạn lưu giữ chỉ áp dụng cho một phần dữ liệu còn tệ hơn hồ sơ nêu rõ điểm còn mở.
- Điểm còn mở được nêu trong văn bản, không ở chú thích cuối trang. Phần 8.1 liệt kê các biện pháp chưa triển khai, phần 10 nêu các điểm còn mở cùng biện pháp dự kiến. Hồ sơ là công cụ làm việc, không phải chứng nhận.
Trường dữ liệu thay vì tên bảng. Với từng hoạt động xử lý, chúng tôi liệt kê dữ liệu được lưu bằng các trường diễn đạt dễ hiểu. Tên bảng cơ sở dữ liệu theo sau trong ngoặc để kiểm toán viên có thể tìm vị trí, chẳng hạn “lần thử đăng nhập (login_attempts)”. Danh sách trường được suy ra từ lược đồ cơ sở dữ liệu, không từ trí nhớ.
Thời hạn lưu giữ dưới dạng biến chỗ trống. Khi thời hạn lưu giữ có thể được đặt trong khu vực quản trị, thời hạn xuất hiện ở đây đúng như lần chạy hằng đêm đọc: con số Quý khách thấy đến từ cùng cài đặt chi phối việc xóa. Thời hạn lưu giữ cố định trong chương trình được nêu bằng số.
Cơ sở đo lường. Lược đồ, mã và cài đặt được đo vào ngày 11 tháng 10 năm 2026 trên hệ thống phát triển, khớp với hệ thống sản xuất về mã và lược đồ. Chúng tôi không đưa số lượng bản ghi từ hệ thống phát triển; chúng chứa dữ liệu thử nghiệm và không nói lên điều gì về vận hành thực tế.
Chủ ý không nêu. Hồ sơ này không nêu tên máy chủ, địa chỉ mạng nội bộ, cổng, tên người dùng hoặc phiên bản phần mềm của máy chủ chúng tôi. Những chi tiết đó giúp kẻ tấn công chứ không giúp chủ thể dữ liệu. Cũng vì lý do này, chúng tôi chỉ mô tả chung các điểm còn mở trong bảo mật máy chủ riêng (phần 8.1): nêu rủi ro, không nêu đường dẫn tới rủi ro. Chúng tôi cung cấp chi tiết cho cơ quan giám sát theo yêu cầu.
Tính chất pháp lý. Hồ sơ này là tài liệu chúng tôi duy trì theo Điều 30 GDPR cho cơ quan giám sát; việc công bố là tự nguyện. Hồ sơ không phải một phần của bất kỳ hợp đồng nào và không cấu thành bất kỳ tuyên bố, bảo đảm hoặc thỏa thuận chất lượng nào đối với Khách hàng hoặc bên thứ ba. Nghĩa vụ của chúng tôi với Khách hàng được điều chỉnh bởi Điều khoản dịch vụ, Thỏa thuận xử lý dữ liệu và các phụ lục; về những nghĩa vụ này, các tài liệu đó được ưu tiên so với hồ sơ. Hồ sơ mô tả tình hình tại ngày của phiên bản này. Những phân loại như “điểm còn mở” hoặc “đánh giá” phản ánh quan điểm riêng của chúng tôi và không định trước đánh giá pháp lý của cơ quan giám sát hoặc tòa án; biện pháp được mô tả là “dự kiến” là ý định không có ngày cam kết.
2. Chủ thể pháp lý và lý do hồ sơ có hai phần
| Trường | Nội dung |
|---|
| Chủ thể pháp lý | LW IT Solutions Company Lukas Wójcik, doanh nghiệp cá thể đăng ký trong sổ đăng ký kinh doanh Ba Lan (CEIDG); chủ sở hữu Lukas Wójcik |
| Địa chỉ | al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland |
| Mã số thuế | NIP 7252266190, VAT ID PL7252266190 |
| Liên hệ | contact@lukaswojcik.com; cửa sổ hỗ trợ (dấu hỏi trong thanh điều hướng); trang liên hệ |
| Dịch vụ | formexposed: kiểm tra, giám sát và bảo vệ biểu mẫu liên hệ trên website (ứng dụng tại formexposed.com, trang giới thiệu tại form.exposed) |
| Người đại diện theo Điều 27 GDPR | Không áp dụng. Chủ thể pháp lý có cơ sở tại Liên minh (Ba Lan). |
| Cán bộ bảo vệ dữ liệu | Chưa được chỉ định. Đánh giá theo Điều 37 có tại phần 9. |
| Cơ quan giám sát có thẩm quyền | Prezes Urzędu Ochrony Danych Osobowych (UODO, cơ quan bảo vệ dữ liệu Ba Lan), ul. Moniuszki 1A, 00-014 Warszawa |
| Lưu trữ | Máy chủ riêng của chúng tôi tại Ba Lan: một máy chủ web với ứng dụng và cơ sở dữ liệu, cùng một máy chủ quét có mô hình ngôn ngữ cục bộ trên cùng mạng nội bộ. Không có trung tâm dữ liệu hoặc nhà cung cấp đám mây bên thứ ba. |
formexposed có các vai trò khác nhau đối với những nhóm người khác nhau. Trộn lẫn các vai trò tạo ra hồ sơ không đúng cho nhóm nào.
- Bên kiểm soát dữ liệu (Phần B, Điều 30(1)). Chính chúng tôi là bên kiểm soát đối với dữ liệu của Khách hàng riêng và thành viên nhóm của họ (tài khoản, đăng nhập, thanh toán, hỗ trợ, nhật ký), khách truy cập website riêng của chúng tôi, các kiểm tra không có tài khoản (kiểm tra miễn phí, công cụ tiêu đề, nghiên cứu, kiểm tra website khách hàng tiềm năng) và ngăn chặn lạm dụng.
- Bên xử lý dữ liệu (Phần A, Điều 30(2)). Đối với dữ liệu cá nhân của bên thứ ba mà Khách hàng đưa vào dịch vụ hoặc phát sinh khi chúng tôi thực hiện dịch vụ cho Khách hàng, chúng tôi hành động thay mặt Khách hàng: bản sao e-mail biểu mẫu thật trong kiểm tra giao thư, người đăng ký cổng khách hàng của Khách hàng, người nhận cảnh báo của Khách hàng, những người tình cờ hiển thị trên các trang được kiểm tra của Khách hàng, thông tin đăng nhập tài khoản thử nghiệm của Khách hàng và mã biểu mẫu Khách hàng dán vào. Cơ sở là Thỏa thuận xử lý dữ liệu, được giao kết với mọi Khách hàng khi đăng ký.
- Chỉ ở phía Khách hàng. Một số chức năng của tiện ích WordPress và tiện ích TYPO3 chỉ xử lý dữ liệu trên website của Khách hàng mà dữ liệu không bao giờ đến chúng tôi (cách ly, lưới an toàn, câu đố số học, cài đặt lưu giữ, bộ đếm cục bộ, công cụ ghi). Chúng không phải việc xử lý do chúng tôi thực hiện nên không xuất hiện trong phần nào. Tuy vậy, chúng tôi mô tả ở cuối Phần A để ranh giới được thấy rõ.
Sự phân tách được xây dựng trong mã, không chỉ trong văn bản: từ e-mail biểu mẫu thật, kiểm tra giao thư chỉ ghi thời điểm, thông tin gán và kết quả xác thực vào cơ sở dữ liệu; ảnh chụp màn hình của kiểm tra trình duyệt che các trường nhập; thông tin đăng nhập tài khoản thử nghiệm được mã hóa theo cách khiến máy chủ web không còn đọc được. Chi tiết có trong các mục.
Phần 6 đến 11 áp dụng cho cả hai phần: lưu giữ, quyết định tự động, biện pháp kỹ thuật và tổ chức, cán bộ bảo vệ dữ liệu, điểm còn mở và duy trì hồ sơ này.
Phạm vi. Tài liệu này là phần hồ sơ liên quan đến dịch vụ formexposed. Việc cùng chủ thể pháp lý xử lý dữ liệu cho các dịch vụ khác được ghi trong hồ sơ riêng của các dịch vụ đó; kế toán chung và quản trị kinh doanh bên ngoài dịch vụ không thuộc phần này.
3. Phần A – Điều 30(2): xử lý thay mặt Khách hàng
A.0 Các bên tham gia
| Trường | Nội dung |
|---|
| Bên xử lý dữ liệu | LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland; contact@lukaswojcik.com |
| Bên kiểm soát dữ liệu | Khách hàng của formexposed: doanh nghiệp và công ty dịch vụ có tên miền trong tài khoản và sử dụng chức năng làm phát sinh dữ liệu bên thứ ba. Đối với công ty dịch vụ, khách hàng riêng của công ty đó còn có thể là bên kiểm soát dữ liệu; khi đó công ty dịch vụ hoạt động với tư cách bên xử lý dữ liệu đối với khách hàng đó, còn chúng tôi là bên xử lý tiếp theo. |
| Danh sách bên kiểm soát dữ liệu | Là một phần của hồ sơ này, được giữ dưới dạng điện tử (Điều 30(3) GDPR) trong hệ thống dịch vụ và không được trình bày lại trong phiên bản công khai này vì chứa dữ liệu cá nhân của Khách hàng và sẽ lỗi thời với mỗi Khách hàng mới: chủ sở hữu từng không gian làm việc cùng tên, địa chỉ e-mail và công ty từ tài khoản khách hàng (địa chỉ và mã số VAT chỉ có tại Stripe) (users, workspaces, workspace_users), cộng các tên miền của không gian làm việc (domains). Chúng tôi cung cấp bản trích xuất cho cơ quan giám sát theo yêu cầu. |
| Người đại diện và cán bộ bảo vệ dữ liệu của các bên kiểm soát | Hệ thống không có trường riêng cho việc này. Nếu Khách hàng đã chỉ định người đại diện theo Điều 27 GDPR hoặc cán bộ bảo vệ dữ liệu, Khách hàng có thể thông báo cho chúng tôi; chúng tôi giữ thông báo cùng danh sách bên kiểm soát dữ liệu. |
| Người đại diện của bên xử lý dữ liệu | Không áp dụng (có cơ sở tại Ba Lan). |
| Cán bộ bảo vệ dữ liệu | Chưa được chỉ định (phần 9). |
| Chỉ dẫn | Chỉ dẫn xuất phát từ Thỏa thuận xử lý dữ liệu và các cài đặt Khách hàng thực hiện: Khách hàng bật kiểm tra giao thư, thiết lập đích nhận cảnh báo, lưu tài khoản thử nghiệm và thiết lập cổng khách hàng. Không có hành động đó thì việc xử lý tương ứng không diễn ra. |
| Biện pháp kỹ thuật và tổ chức | Phần 8 và trang Biện pháp kỹ thuật và tổ chức áp dụng cho mọi hoạt động xử lý trong Phần A. Các biện pháp đặc biệt được nêu tại mục liên quan. |
A.1 Kiểm tra giao thư – bản sao kiểm soát e-mail biểu mẫu
| Trường | Nội dung |
|---|
| Mục đích | Kiểm tra xem e-mail từ biểu mẫu liên hệ của Khách hàng có thực sự được gửi và được xác thực như thế nào (SPF, DKIM, DMARC, sự khớp tên miền). Sau lượt gửi thử chủ động được chấp nhận, bản sao của lượt gửi đó phải đến hộp thư kiểm soát trong thời gian chờ có thể điều chỉnh (hiện là 3 giờ); nếu không, phát cảnh báo “Chưa nhận được e-mail thử nghiệm”. Tiêu đề cũng được sử dụng để suy ra tính xác thực của e-mail biểu mẫu, dịch vụ e-mail được dùng và địa chỉ gửi cho kiểm tra danh sách chặn. |
| Điều kiện tiên quyết | Gói trả phí, tên miền đã xác minh, do Khách hàng bật. Khách hàng nhập địa chỉ kiểm soát riêng có mã định danh (dạng “delivery+identifier@…”) vào mục bản sao ẩn của thông báo biểu mẫu. Nếu chưa cấu hình hộp thư kiểm soát, chức năng không khả dụng. |
| Nhóm chủ thể dữ liệu | Khách truy cập website của Khách hàng gửi biểu mẫu của Khách hàng; những người có dữ liệu được khách truy cập ghi vào thông điệp; nhân viên của Khách hàng xuất hiện với tư cách người nhận trong tiêu đề. |
| Loại dữ liệu cá nhân | Trong hộp thư kiểm soát (tại nhà cung cấp dịch vụ thư): bản sao đầy đủ của mọi e-mail biểu mẫu, bao gồm yêu cầu thật với tên, địa chỉ e-mail, số điện thoại và văn bản tự do, cho đến khi xóa. Được quá trình truy xuất đọc: tiêu đề và tối đa 8 KB đầu tiên của phần nội dung. Trong cơ sở dữ liệu: thời điểm nhận, thông tin gán cho tên miền và, khi áp dụng, cho lần chạy thử (delivery_log); kết quả xác thực mới nhất theo từng tên miền với kết quả SPF, DKIM và DMARC, sự khớp tên miền, tên miền người gửi, tên miền ký và địa chỉ máy chủ thư gửi (trường xác thực của tên miền trong domains). Nội dung, chủ đề và địa chỉ người gửi của khách truy cập không được ghi vào cơ sở dữ liệu. |
| Lưu ý về tên miền người gửi | Nếu biểu mẫu đặt địa chỉ của khách truy cập làm người gửi (cấu hình sai mà kiểm tra nhằm phát hiện), kết quả xác thực chứa tên miền của địa chỉ đó, không phải chính địa chỉ. Khi khách truy cập sử dụng tên miền cá nhân, dữ liệu này cũng có thể là dữ liệu cá nhân. Dữ liệu bị ghi đè ở lần nhận tiếp theo. |
| Nguồn | Biểu mẫu trên website của Khách hàng, qua bản sao ẩn do Khách hàng nhập. |
| Cơ sở pháp lý (do bên kiểm soát dữ liệu quyết định) | Do Khách hàng quyết định. Văn bản chúng tôi đề xuất cho chính sách quyền riêng tư của Khách hàng đặt cơ sở cho bản sao tại Điều 6(1)(f) GDPR (lợi ích chính đáng trong việc nhận yêu cầu đáng tin cậy). Khách hàng thông báo cho khách truy cập về luồng dữ liệu này; Thỏa thuận xử lý dữ liệu buộc họ thực hiện. |
| Người nhận | Nhà cung cấp dịch vụ thư vận hành hộp thư kiểm soát (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Bản sao đến thẳng đó: bản sao chỉ đến nếu bản ghi MX của tên miền chúng tôi trỏ tới hộp thư này (danh sách kiểm tra trước ra mắt kiểm tra điều này); qua chuyển tiếp thì không đến được hộp thư. Trên trang tên miền, Khách hàng chỉ thấy thời điểm, thông tin gán và kết quả xác thực. Nếu kết quả xác thực xấu đi, cảnh báo tới Khách hàng và các kênh họ đã chọn nêu tên miền người gửi nếu không thuộc website (A.3, 4.1). |
| Nước thứ ba | Phụ thuộc nhà cung cấp dịch vụ thư; xem phần 4. Hợp đồng với nhà cung cấp dự kiến và cơ sở chuyển dữ liệu chưa được ghi nhận. |
| Lưu giữ | Sau khi xử lý thành công, e-mail được đánh dấu xóa và gỡ khỏi hộp thư trong cùng lần chạy, ngay cả khi không thể gán cho tên miền nào. Truy xuất chạy cùng lần chạy kiểm tra trạng thái mỗi năm phút khi giám sát được bật trong khu vực quản trị (srv/cron_status.php, cfg/zustellung_lib.php). Nếu truy xuất hoặc xóa thất bại, e-mail còn trong hộp thư cho đến lần chạy thành công tiếp theo. Cùng quá trình truy xuất đó xóa thông tin gán trong delivery_log sau 180 ngày. Kết quả xác thực tồn tại chừng nào tên miền còn tồn tại. |
| Bằng chứng chứng minh điều gì | Chỉ việc hộp thư kiểm soát nhận được bản sao được gán cho lần chạy thử cụ thể. Không chứng minh người nhận thực tế đã nhận hay đã có mục ghi trong CRM. Không cung cấp xác nhận gốc từ HubSpot. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Đặc biệt: nội dung chỉ được đánh giá trong bộ nhớ; không lưu nội dung thư, chủ đề hoặc địa chỉ người gửi đầy đủ; xóa bất kể gán thành công hay không. |
Kiểm tra giao thư là chức năng duy nhất qua đó thông điệp thật từ khách truy cập của Khách hàng đến chúng tôi. Vì vậy, đây là xử lý thay mặt Khách hàng thay vì dịch vụ theo trách nhiệm riêng của chúng tôi, và cũng vì vậy thời gian nằm trong hộp thư là thước đo rủi ro thực tế: thông thường tính bằng phút; nếu truy xuất bị gián đoạn, cho đến khi chạy lại. Các bản sao không nên chứa loại dữ liệu cá nhân đặc biệt; về kỹ thuật chúng tôi không thể ngăn điều này vì khách truy cập tự quyết định nội dung họ viết.
A.2 Cổng khách hàng và báo cáo hằng tháng cho người đăng ký
| Trường | Nội dung |
|---|
| Mục đích | Công ty dịch vụ (gói Business) hiển thị cho khách hàng của mình trạng thái tên miền dưới thương hiệu riêng (cổng tại địa chỉ ngẫu nhiên, tùy chọn có mật khẩu, tùy chọn dưới tên miền phụ riêng của công ty dịch vụ). Khách hàng của họ có thể đăng ký nhận báo cáo hằng tháng qua e-mail tại đó. Báo cáo được gửi dưới tên công ty dịch vụ. |
| Nhóm chủ thể dữ liệu | Khách hàng của công ty dịch vụ và nhân viên của họ đăng ký nhận báo cáo; người mở cổng. |
| Loại dữ liệu cá nhân | Người đăng ký: địa chỉ e-mail, ngôn ngữ, mã định danh xác nhận, thời điểm đăng ký và địa chỉ IP tại thời điểm đăng ký, thời điểm xác nhận (xác nhận đăng ký hai bước), thời điểm hủy đăng ký, tháng gửi gần nhất (client_subscribers). Cổng: tên, lựa chọn tên miền, mã định danh ngẫu nhiên, mật khẩu chỉ dưới dạng giá trị băm, người tạo, thời điểm, thu hồi (client_portals). Lượt truy cập cổng xuất hiện trong nhật ký lượt xem trang (B.2). |
| Nguồn | Do chính người đăng ký nhập trong cổng. |
| Cơ sở pháp lý (do bên kiểm soát dữ liệu quyết định) | Sự đồng ý của người đăng ký, được lấy qua quy trình xác nhận đăng ký hai bước; bên kiểm soát dữ liệu là công ty dịch vụ. Chúng tôi không viết thư cho bất kỳ ai chưa tự đăng ký và xác nhận. |
| Người nhận | Công ty dịch vụ (thấy những người đăng ký của mình); nhà cung cấp dịch vụ thư (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) cho e-mail xác nhận và báo cáo. |
| Nước thứ ba | Qua nhà cung cấp dịch vụ thư; xem phần 4. |
| Lưu giữ | Lần chạy xóa hằng đêm (cfg/fristen_lib.php, phần “portal subscribers”): đăng ký không bao giờ được xác nhận bị xóa sau 30 ngày; người đã hủy đăng ký bị xóa ba năm sau khi hủy, để làm bằng chứng cho sự đồng ý trước đó. Người đã xác nhận và chưa hủy đăng ký còn được giữ chừng nào không gian làm việc của công ty dịch vụ còn tồn tại. Cổng bị thu hồi chỉ bị chặn, không bị xóa; người đăng ký không còn nhận báo cáo nhưng dữ liệu vẫn còn (phần 10). Cổng và người đăng ký bị xóa ngay cùng không gian làm việc (fe_arbeitsbereich_daten_loeschen()). Báo cáo đã gửi còn trong hộp thư đi 30 ngày (B.25). |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Đặc biệt: mật khẩu cổng chỉ dưới dạng giá trị băm, giới hạn lần đoán (mười lần cho mỗi cổng và địa chỉ IP, 50 lần mỗi cổng trong 15 phút); hủy đăng ký bằng một lần nhấp trong mỗi e-mail; cổng chỉ hiển thị trạng thái và số liệu chính, không có phát hiện riêng kèm bằng chứng. |
A.3 Người nhận cảnh báo, người xác nhận tiếp nhận và người được giao phụ trách của Khách hàng
| Trường | Nội dung |
|---|
| Mục đích | Thông báo lỗi và thay đổi tới các đích Khách hàng thiết lập cho tên miền: e-mail, webhook, Slack, Discord, Microsoft Teams, Google Chat, Telegram. Theo từng đích, gửi ngay hoặc tập hợp hằng ngày hay hằng tuần, cộng các đích chỉ dành cho cảnh báo nâng cấp. Mọi thông báo vấn đề trở thành sự cố mà người nhận có thể xác nhận tiếp nhận qua liên kết. Đối với biểu mẫu được giám sát, Khách hàng có thể chỉ định người phụ trách và ngày đến hạn. |
| Nhóm chủ thể dữ liệu | Nhân viên và nhà cung cấp dịch vụ của Khách hàng được Khách hàng nhập làm đích nhận cảnh báo hoặc nêu tên làm người phụ trách; người xác nhận tiếp nhận sự cố. Thành viên nhóm có tài khoản riêng cũng xuất hiện trong Phần B. |
| Loại dữ liệu cá nhân | Đích nhận cảnh báo: kênh, địa chỉ đích (địa chỉ e-mail, địa chỉ webhook hoặc trò chuyện, ID cuộc trò chuyện Telegram), sự kiện được chọn, chế độ chuyển giao, bí mật ký webhook, lần chuyển giao và lỗi gần nhất (alerts). Nhật ký chuyển giao: đích, sự kiện, trạng thái, lỗi, thời điểm (alert_log). Hàng đợi bản tổng hợp: các dòng thông báo và liên kết cho đến khi chuyển giao (alert_queue). Sự cố: tiêu đề, các dòng thông báo, liên kết, mã định danh xác nhận tiếp nhận, thời điểm và tên hoặc địa chỉ e-mail của người xác nhận tiếp nhận như được nhập trong biểu mẫu, nếu không có thì địa chỉ của thành viên đã đăng nhập (alert_incidents). Các lần thử chuyển giao cảnh báo nâng cấp theo từng sự cố và đích: số lần thử (tối đa năm), thời điểm lần thử gần nhất, lần tiếp theo và lần thành công, tham chiếu tới e-mail trong hộp thư đi, lỗi (bảng alert_escalation_deliveries). Phân công: tài khoản người phụ trách và ngày đến hạn (trong monitored_forms). |
| Nội dung thông báo | Tên miền, sự kiện, giải thích ngắn và liên kết tới trang tên miền. Không có nội dung thông điệp của khách truy cập. |
| Nguồn | Do Khách hàng nhập; người xác nhận tiếp nhận tự nhập tên của mình; ID cuộc trò chuyện Telegram được tạo khi người nhận nhấn “Start” trong bot (B.32). |
| Cơ sở pháp lý (do bên kiểm soát dữ liệu quyết định) | Do Khách hàng quyết định; thông thường là tổ chức hoạt động riêng của Khách hàng (Điều 6(1)(b) hoặc (f) GDPR trong quan hệ với nhân viên và nhà cung cấp dịch vụ của Khách hàng). |
| Người nhận | Đơn vị vận hành các kênh được chọn; xem 4.1. Cảnh báo e-mail qua nhà cung cấp dịch vụ thư (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). |
| Nước thứ ba | Tùy kênh được chọn; một số nhà cung cấp có cơ sở tại Hoa Kỳ, Telegram ngoài EU và không có quyết định về mức độ bảo vệ đầy đủ. Xem 4.1. |
| Lưu giữ | Nhật ký chuyển giao bị xóa sau 90 ngày (hằng đêm, fe_alert_log_aufraeumen() từ srv/cron_status.php). Thông báo tổng hợp bị xóa 30 ngày sau khi chuyển giao (cfg/kanal_lib.php, trong mỗi lần chuyển giao bản tổng hợp). Sự cố được giữ khi chưa giải quyết; sự cố đã giải quyết bị xóa 180 ngày sau khi giải quyết (cfg/vorfall_lib.php, lần chạy cảnh báo nâng cấp), cùng các lần thử chuyển giao cảnh báo nâng cấp. Đích nhận cảnh báo và phân công được giữ cho đến khi Khách hàng xóa hoặc được xóa cùng tên miền. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Đặc biệt: webhook được ký bằng bí mật riêng cho từng đích; chỉ xác nhận tiếp nhận sau khi nhấp (POST) để bản xem trước liên kết trong chương trình trò chuyện không kích hoạt hành động; cảnh báo trong khung thời gian bảo trì chỉ được ghi nhật ký, không gửi. |
A.4 Những người tình cờ hiển thị trên trang Khách hàng được kiểm tra và trong ảnh chụp màn hình
| Trường | Nội dung |
|---|
| Mục đích | Kiểm tra tên miền trong tài khoản Khách hàng (quét, giám sát, kiểm tra chủ động) đọc các trang công khai của Khách hàng và chụp ảnh màn hình biểu mẫu. Những gì chính trang hiển thị có thể liên quan đến người không có quan hệ với kiểm tra. Dữ liệu này phát sinh tình cờ; chúng không phải mục đích kiểm tra. |
| Nhóm chủ thể dữ liệu | Người có tên, ảnh hoặc thông tin liên hệ xuất hiện trên trang được kiểm tra (người liên hệ cạnh biểu mẫu, ảnh nhóm trên trang chủ, thông tin nhà cung cấp). |
| Loại dữ liệu cá nhân | Ảnh chụp màn hình: vùng hiển thị của trang chủ, ảnh cắt của mọi biểu mẫu hiển thị và ảnh trang tiếp theo sau lượt gửi thử chủ động; được lưu dưới dạng tệp ngoài thư mục web, cơ sở dữ liệu chỉ chứa tham chiếu (scan_screenshots). Cấu trúc biểu mẫu: địa chỉ trang, bộ chọn, tên trường, loại trường, nhãn trường, cờ bắt buộc và hiển thị, nhãn nút gửi (forms, trường “field map”); không có giá trị trường. Trình quét chỉ đọc phần đầu trường ẩn (tối đa 24 ký tự) và thuộc tính dữ liệu (tối đa 60 ký tự) trong lúc kiểm tra để nhận diện dấu thời gian và token; chỉ lưu kết quả. Phát hiện kèm bằng chứng (findings), bản tóm tắt kèm tiêu đề trang (scans). Đối với kiểm tra đủ điều kiện trong tài khoản trả phí, mô hình cục bộ tạo kế hoạch hành động có thứ tự ưu tiên từ các phát hiện được lựa chọn và siêu dữ liệu quét; văn bản, ngôn ngữ, trạng thái và dấu thời gian của kế hoạch được lưu trong bản tóm tắt lần quét. Nếu địa chỉ e-mail xuất hiện trong biểu mẫu với tư cách người nhận, chỉ tên miền được lưu, không bao giờ lưu địa chỉ. |
| Nguồn | Các trang công khai của tên miền Khách hàng được trình quét truy xuất. |
| Cơ sở pháp lý (do bên kiểm soát dữ liệu quyết định) | Do Khách hàng quyết định đối với nội dung website riêng của mình. Đối với chúng tôi, việc xử lý thuộc kiểm tra được giao thực hiện. |
| Người nhận | Khách hàng; với công ty dịch vụ, khách hàng của họ qua cổng hoặc báo cáo mang thương hiệu riêng; bất kỳ ai nhận liên kết báo cáo (báo cáo tại địa chỉ ngẫu nhiên, không có trong công cụ tìm kiếm). Khi loại biểu mẫu chưa rõ, mô hình ngôn ngữ cục bộ trên máy chủ riêng của chúng tôi nhận cấu trúc biểu mẫu cùng tiêu đề trang, địa chỉ trang và văn bản hiển thị của biểu mẫu (tối đa 400 ký tự) để phân loại; mô hình không nhận hình ảnh. Đối với kiểm tra trả phí đủ điều kiện, mô hình cục bộ còn nhận tên máy chủ, kết quả tổng thể và điểm số, CMS, loại biểu mẫu liên quan và địa chỉ trang, tiện ích được nhận diện nếu có và các phát hiện không đạt hoặc chưa rõ được lựa chọn để tạo kế hoạch hành động. Yêu cầu được giữ tạm thời trong hàng đợi tác vụ nội bộ và bị xóa sau khi thu nhận hoặc qua việc dọn dẹp theo lịch các mục cũ hơn một giờ. |
| Nước thứ ba | Không có. |
| Lưu giữ | Kết quả kiểm tra cho tên miền được giữ tối đa 13 tháng; lần kiểm tra hoàn tất gần nhất của mỗi tên miền được giữ lại (lần chạy xóa hằng đêm, phần “old check results”). Biểu mẫu, phát hiện, tham chiếu ảnh và tệp ảnh bị xóa cùng kết quả kiểm tra. Các dữ liệu này bị xóa ngay cùng tên miền (chuỗi xóa tại B.15; ngoại lệ tại phần 6.4). |
| Giới hạn che nội dung | Ảnh chụp màn hình của kiểm tra đầy đủ không che bất kỳ thứ gì: chúng thể hiện những gì trang hiển thị cho mọi khách truy cập. Các trường biểu mẫu trống khi được truy xuất vì trình quét không nhập gì; giá trị được điền sẵn sẽ hiển thị. Không chụp ảnh màn hình sau khi đăng nhập (A.5). Ảnh của kiểm tra trình duyệt che các trường nhập (A.6). |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Đặc biệt: ảnh chỉ có thể truy xuất qua báo cáo, và mã định danh ảnh của người khác trả về “không tìm thấy”; báo cáo có noindex; mỗi lần kiểm tra chạy trong container cách ly riêng. |
Cùng dữ liệu này phát sinh trong kiểm tra không có tài khoản (kiểm tra miễn phí, nghiên cứu, kiểm tra website khách hàng tiềm năng). Ở đó không có Khách hàng mà chúng tôi hành động thay mặt; vì vậy các trường hợp này xuất hiện trong Phần B (B.5, B.7, B.8).
A.5 Thông tin đăng nhập tài khoản thử nghiệm để quét sau khi đăng nhập
| Trường | Nội dung |
|---|
| Mục đích | Đọc biểu mẫu chỉ xuất hiện sau khi đăng nhập (khu vực khách hàng, khu vực thành viên). Trình quét đăng nhập bằng tài khoản thử nghiệm mà Khách hàng đã tạo trên website riêng và đọc những trang được chỉ định. Ngoài biểu mẫu đăng nhập, trình quét không gửi bất kỳ thứ gì, không thực hiện kiểm tra chủ động ở đó, không chụp ảnh màn hình và không truy cập địa chỉ đăng xuất, xóa hoặc hủy. Nếu biểu mẫu đăng nhập có CAPTCHA, trình quét dừng; CAPTCHA không bị vượt qua. |
| Điều kiện tiên quyết | Tên miền đã xác minh, gói trả phí, vai trò owner hoặc admin, xác nhận rõ tài khoản là tài khoản thử nghiệm. Tối đa năm trang, tất cả trên cùng tên miền. |
| Nhóm chủ thể dữ liệu | Người đứng tên tài khoản thử nghiệm (lý tưởng là không ai; Khách hàng nên sử dụng tài khoản chức năng); người có dữ liệu xuất hiện trên các trang sau đăng nhập. |
| Loại dữ liệu cá nhân | Tên người dùng và mật khẩu của tài khoản thử nghiệm, chỉ ở dạng mã hóa; gợi ý tên người dùng (ký tự đầu và độ dài); địa chỉ đăng nhập, danh sách trang, tên các trường đăng nhập, chỉ báo thành công, người tạo, các thời điểm, kết quả gần nhất dưới dạng mã ngắn (domain_logins). Đối với tác vụ đang chạy, một bản sao của bản mã (trường “login package” trong scan_jobs). Từ các trang sau đăng nhập: cấu trúc biểu mẫu như tại A.4, không có ảnh chụp màn hình và không có cookie. |
| Nguồn | Do Khách hàng nhập trong tài khoản. |
| Cơ sở pháp lý (do bên kiểm soát dữ liệu quyết định) | Do Khách hàng quyết định. Khách hàng bảo đảm mình có quyền sử dụng tài khoản thử nghiệm. |
| Người nhận | Không có. Cả Khách hàng, bộ phận hỗ trợ lẫn giao diện lập trình đều không thể đọc ra thông tin đăng nhập; giao diện chỉ hiển thị gợi ý tên người dùng. |
| Nước thứ ba | Không có. |
| Bảo vệ thông tin đăng nhập | Tên người dùng và mật khẩu được mã hóa ngay khi lưu bằng khóa công khai của máy chủ quét (X25519, HKDF-SHA256, AES-256-GCM; tên miền được ràng buộc làm dữ liệu liên kết để bản mã không thể gắn vào tên miền khác). Chỉ máy chủ quét có khóa riêng. Máy chủ web, cơ sở dữ liệu và bản sao lưu chỉ chứa bản mã; tại đó ngay cả chúng tôi cũng không thể giải mã. Máy chủ quét chỉ giải mã cho lần chạy, chỉ chuyển thông tin đăng nhập vào container kiểm tra cách ly qua đầu vào tiêu chuẩn, xóa ngay bản sao trong tác vụ và không ghi thông tin đó vào bất kỳ kết quả, nhật ký hoặc văn bản lỗi nào. Trên đường tới website của Khách hàng, chúng chỉ được bảo vệ bằng mã hóa của website đó; giới hạn của việc truyền này được nêu tại phần 10. |
| Lưu giữ | Thông tin đăng nhập được lưu cho đến khi Khách hàng xóa. Khi xóa, bản mã được ghi đè bằng dữ liệu ngẫu nhiên có cùng độ dài và hàng dữ liệu bị xóa; các tác vụ đang chờ được dọn (fe_login_loeschen()). Hàng dữ liệu bị xóa cùng tên miền qua khóa ngoại. Máy chủ quét xóa bản sao trong tác vụ sau lần chạy; mọi phần còn sót (tác vụ bị hủy, máy chủ quét ngừng hoạt động) được lần chạy kiểm tra trạng thái dọn muộn nhất sau một giờ (fe_login_aufraeumen(), phần “login_jobs”). Bản sao lưu cơ sở dữ liệu chứa bản mã cho đến khi hết hạn sau 14 ngày. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Đặc biệt: mã hóa bất đối xứng với các khóa riêng biệt; danh sách chặn đường dẫn đăng xuất và xóa; không chụp ảnh màn hình sau đăng nhập; chức năng chỉ dành cho gói trả phí và tên miền đã xác minh; mọi thay đổi trong nhật ký hoạt động (không có thông tin đăng nhập). |
Chúng tôi chủ ý không xây dựng bất kỳ cách nào để lưu thông tin đăng nhập vào máy chủ, khu vực quản trị CMS hoặc tài khoản lưu trữ của Khách hàng. Tài khoản thử nghiệm là tài khoản khách truy cập trên website của Khách hàng, không phải quyền truy cập hệ thống của Khách hàng.
A.6 Hành trình biểu mẫu được cấu hình, kiểm tra trình duyệt và điểm kiểm tra độc lập
| Trường | Nội dung |
|---|
| Mục đích | Một biểu mẫu được giám sát được chạy qua trong trình duyệt thực (Chromium, WebKit hoặc cả hai) đến ngay trước bước gửi: tải trang, thực hiện thao tác nhấp trước đó (tối đa năm lần, không bao giờ vào trường nhập hoặc nút gửi), điền các trường bằng giá trị có thể nhận ra là dữ liệu tổng hợp (chẳng hạn địa chỉ có phần đuôi dành riêng .invalid), chuyển tiếp các bước của biểu mẫu nhiều bước. Kiểm tra trình duyệt không gửi bất kỳ thứ gì; việc gửi bị chặn về kỹ thuật trong trình duyệt. Ngoài ra còn có đo thời gian và so sánh hình ảnh của biểu mẫu. |
| Nhóm chủ thể dữ liệu | Như A.4 (người hiển thị trên trang biểu mẫu); nhân viên của Khách hàng được nhập làm người phụ trách (A.3). |
| Loại dữ liệu cá nhân | Cấu hình: địa chỉ biểu mẫu, bộ chọn, địa chỉ bắt đầu, các bước nhấp, lựa chọn trình duyệt, nhãn, mức độ quan trọng, phân công, ngày đến hạn (monitored_forms). Kết quả theo từng lần chạy: trạng thái, lý do lỗi kỹ thuật, thông điệp lỗi đã được làm sạch, các phép đo mạng và thời gian, ảnh biểu mẫu dưới dạng JPEG tối đa 32 KB với các trường nhập được che (form_browser_runs). Quan sát theo từng lần kiểm tra (form_observations), chuỗi thời gian (form_performance). Tác vụ có danh sách đích (các trường “targets” và “result” trong scan_jobs). |
| Truy cập thử nghiệm | Nếu Khách hàng đã lưu tài khoản thử nghiệm (A.5), kiểm tra đầy đủ cũng sử dụng tài khoản đó cho hành trình biểu mẫu được cấu hình. Theo mã đã được đo lường, các kiểm tra trình duyệt độc lập giữa hai lần kiểm tra đầy đủ hoạt động không có tài khoản thử nghiệm. |
| Điểm kiểm tra độc lập | Dự kiến có điểm kiểm tra thứ hai ở địa điểm khác để kiểm tra đối chiếu trước khi cảnh báo. Điểm đó sẽ nhận tên miền, cấu hình đã được làm sạch và mã định danh tác vụ, không nhận nội dung khách truy cập nhập hoặc thông tin đăng nhập. Hiện tại điểm này chưa được thiết lập (mặc định tắt). Không có điểm này thì không có bằng chứng từ địa điểm thứ hai; khi đó cảnh báo dựa trên phép đo riêng của chúng tôi. |
| Nguồn | Do Khách hàng cấu hình; kết quả từ việc truy xuất trang của Khách hàng. |
| Cơ sở pháp lý (do bên kiểm soát dữ liệu quyết định) | Do Khách hàng quyết định đối với nội dung website và trách nhiệm của nhân viên của mình. |
| Người nhận | Khách hàng; khi điểm kiểm tra được thiết lập, đơn vị vận hành điểm đó (hiện tại không có ai). |
| Nước thứ ba | Không có. |
| Lưu giữ | Kết quả các lần chạy trình duyệt, tác vụ trình duyệt đã hoàn tất và chuỗi thời gian bị xóa sau 13 tháng (lần chạy xóa hằng đêm, các phần “browser_runs”, “browser_jobs”, “form_performance”). Cấu hình được giữ cho đến khi tên miền bị xóa (từng cấu hình có thể được thay đổi hoặc tắt, không thể xóa); chúng bị xóa cùng tên miền, cùng các lần chạy, quan sát và chuỗi thời gian, qua khóa ngoại. |
| Phép đo chứng minh điều gì | Thời gian và trạng thái từ trình duyệt kiểm tra của chúng tôi. Chúng không đo trải nghiệm của khách truy cập thật và không chứng minh tỷ lệ hoàn thành hoặc yêu cầu bị mất. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Đặc biệt: ngăn gửi về kỹ thuật; chỉ địa chỉ trên cùng tên miền; ảnh được che; container kiểm tra cách ly. |
A.7 “Fix it for me” – mã biểu mẫu được dán
| Trường | Nội dung |
|---|
| Mục đích | Khách hàng dán mã biểu mẫu của mình; mô hình ngôn ngữ trên phần cứng riêng của chúng tôi tích hợp mô-đun bảo vệ. Kết quả trả về là tệp đã sửa đổi, bản vá, kết quả kiểm tra cú pháp và chỉ báo lời gọi kiểm tra đã thực sự được tích hợp hay chưa. Nếu không có mã được dán, dịch vụ cung cấp mô-đun sẵn dùng với tên trường từ lần quét gần nhất. |
| Nhóm chủ thể dữ liệu | Người có dữ liệu tình cờ nằm trong mã được dán (chẳng hạn địa chỉ người nhận, tên trong chú thích, thông tin đăng nhập máy chủ thư). |
| Loại dữ liệu cá nhân | Mã được dán, tối đa 30.000 ký tự. Trong cơ sở dữ liệu chỉ có một mục trong nhật ký hoạt động (hành động “fix_ai” kèm không gian làm việc và thời điểm), được tính vào giới hạn hằng ngày hiện tại là mười lời gọi mỗi không gian làm việc. |
| Nguồn | Do Khách hàng dán vào. |
| Cơ sở pháp lý | Thực hiện hợp đồng với Khách hàng (Điều 6(1)(b) GDPR) đối với chính mã; đối với dữ liệu bên thứ ba tình cờ có trong đó, Khách hàng quyết định cơ sở. |
| Người nhận | Không có. Mô hình ngôn ngữ chạy trên máy chủ quét riêng trong mạng nội bộ; không có dịch vụ AI bên ngoài, kể cả làm phương án dự phòng. |
| Nước thứ ba | Không có. |
| Lưu giữ | Mã không được lưu. Một tệp tạm được tạo cho kiểm tra cú pháp và bị xóa ngay sau đó. Mục trong nhật ký hoạt động bị xóa sau 365 ngày. |
| Lưu ý cho Khách hàng | Mã chứa mật khẩu, khóa API hoặc dữ liệu cá nhân nên được làm sạch trước khi dán. Chúng tôi không kiểm tra nội dung. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Đặc biệt: chỉ chủ sở hữu và quản trị viên ở gói trả phí; mã được dán được chuyển tới mô hình với nhãn là dữ liệu và không bao giờ được thực thi; không tải lên máy chủ bên thứ ba. |
A.8 Thương hiệu riêng và người liên hệ của công ty dịch vụ
| Trường | Nội dung |
|---|
| Mục đích | Báo cáo, báo cáo ngắn, nhật ký bằng chứng và cổng khách hàng của công ty dịch vụ (gói Business) xuất hiện dưới thương hiệu của công ty đó, theo yêu cầu dưới tên miền phụ riêng. |
| Nhóm chủ thể dữ liệu | Người liên hệ tại công ty dịch vụ có tên hoặc thông tin liên hệ xuất hiện trong dòng thông tin liên hệ. |
| Loại dữ liệu cá nhân | Tên công ty, website, dòng thông tin liên hệ, ghi chú cho khách hàng của mình, màu nhấn, giao diện, tệp logo, công tắc tham chiếu tới formexposed, tên miền riêng cùng mã định danh xác minh và trạng thái xác minh (workspace_branding). |
| Nguồn | Do công ty dịch vụ nhập. |
| Cơ sở pháp lý | Thực hiện hợp đồng với công ty dịch vụ (Điều 6(1)(b) GDPR). Khi dòng thông tin liên hệ nêu tên nhân viên công ty dịch vụ, công ty đó quyết định cơ sở. |
| Người nhận | Bất kỳ ai được công ty dịch vụ cung cấp liên kết báo cáo, báo cáo ngắn hoặc cổng khách hàng. |
| Nước thứ ba | Không có. |
| Lưu giữ | Cho đến khi công ty dịch vụ thay đổi; thương hiệu và tệp logo bị xóa cùng không gian làm việc (fe_arbeitsbereich_daten_loeschen()). Tên miền riêng không xác minh DNS thành công trong bảy ngày bị tắt. Tên miền riêng mặc định tắt. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
A.9 Số đếm, chỉ báo trạng thái và lỗi trường từ tiện ích
| Trường | Nội dung |
|---|
| Mục đích | Mỗi ngày một lần, tiện ích WordPress và tiện ích TYPO3 báo cáo số liệu về biểu mẫu trên website được kết nối: lượt gửi bị chặn theo lý do, lượt gửi, e-mail gửi thành công và thất bại, chỉ báo trạng thái cài đặt biểu mẫu, yêu cầu được lưu theo nguồn và thời hạn lưu giữ. Tùy chọn, mặc định tắt: sự kiện biểu mẫu và nhóm lỗi trường theo vị trí trường. Các số liệu này tạo nên mục “Bảo vệ qua những con số”, báo cáo hằng tháng, cảnh báo im lặng và thông báo về cài đặt rủi ro. |
| Phân loại | Các số liệu được thiết kế để không mô tả cá nhân nào. Chúng tôi liệt kê trong Phần A vì chúng phát sinh từ các sự kiện trên website của Khách hàng do khách truy cập kích hoạt; theo quan điểm của chúng tôi, chúng nhiều nhất chỉ là dữ liệu cá nhân trong trường hợp ranh giới (website có rất ít lượt gửi vào một ngày nhất định). Bản thân việc truyền (khóa, phiên bản, máy chủ) thuộc Phần B (B.20). |
| Nhóm chủ thể dữ liệu | Khách truy cập website của Khách hàng gửi biểu mẫu. |
| Loại dữ liệu cá nhân | Số liệu hằng ngày theo máy chủ: tổng lượt bị chặn và theo từng lý do, lượt gửi, e-mail gửi thành công và thất bại, nhóm lỗi gửi e-mail (chỉ một trong bốn nhóm, không bao giờ có văn bản lỗi vì có thể chứa địa chỉ người nhận), số lượng phản hồi reCAPTCHA, yêu cầu đã xóa và được giải phóng (plugin_stats). Trạng thái: phiên bản từ danh sách cố định các tiện ích biểu mẫu, CAPTCHA và thư điện tử, chỉ báo cài đặt bằng số, thời hạn lưu giữ (plugin_health). Thông báo thay đổi: tên và phiên bản tiện ích được cập nhật (plugin_changes). Tùy chọn: bộ đếm theo biểu mẫu và ngày cùng nhóm lỗi theo vị trí trường (form_metrics). Không bao giờ có: nội dung nhập, tên trường, mật khẩu, tệp, địa chỉ e-mail, tên, địa chỉ IP hoặc mã định danh bền vững của khách truy cập. |
| Nguồn | Tiện ích trên website Khách hàng, qua giao diện lập trình sử dụng bí mật kết nối của website. |
| Cơ sở pháp lý (do bên kiểm soát dữ liệu quyết định) | Do Khách hàng quyết định; Khách hàng quyết định có kích hoạt các phép đếm tùy chọn hay không và thông báo cho khách truy cập như thế nào. |
| Người nhận | Khách hàng. Tên miền từ liên kết trong thông điệp bị chặn được đưa vào bảo vệ cộng đồng (B.21). |
| Nước thứ ba | Không có. |
| Lưu giữ | Số liệu hằng ngày, thông báo thay đổi và bộ đếm biểu mẫu bị xóa sau 13 tháng (lần chạy xóa hằng đêm, các phần “plugin_stats” và “form_metrics”). Chỉ báo trạng thái bị ghi đè với mỗi báo cáo. Mọi dữ liệu tiện ích cho một máy chủ bị xóa ngay khi không còn tên miền nào trong hệ thống tham chiếu tới máy chủ đó (ngay khi xóa tên miền cuối cùng; dữ liệu cũ được xử lý hằng đêm, phần “orphan_hosts”). |
| Số liệu chứng minh điều gì | Những gì tiện ích đã đếm. Chúng không chứng minh tỷ lệ hoàn thành hoặc yêu cầu bị mất. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Đặc biệt: chỉ tiếp nhận với cặp khóa ràng buộc của website; chỉ chấp nhận khóa đã biết và số, mọi thứ khác bị loại bỏ; những ngày ngoài khung 14 ngày bị từ chối. |
A.10 Ranh giới: những gì chỉ ở lại website của Khách hàng
Các chức năng sau của tiện ích WordPress và tiện ích TYPO3 chỉ xử lý dữ liệu trên máy chủ Khách hàng. Dữ liệu không đến chúng tôi và chúng tôi không có quyền truy cập. Chỉ đơn vị vận hành website chịu trách nhiệm; đơn vị đó quyết định việc kích hoạt, thời hạn lưu giữ và cách thông báo cho khách truy cập. Cho mục đích này, tiện ích đề xuất các đoạn văn cho chính sách quyền riêng tư của đơn vị vận hành.
| Chức năng | Những gì được xử lý cục bộ | Lưu giữ ở phía Khách hàng |
|---|
| Cách ly | Lượt gửi bị chặn kèm lý do, có thể được giải phóng qua e-mail tới địa chỉ website | 14 ngày |
| Lưới an toàn | Lượt gửi có e-mail biểu mẫu thất bại, để gửi lại (mặc định bật) | 30 ngày |
| Câu đố số học thay reCAPTCHA | Bài toán trong trình duyệt của khách truy cập, không có dịch vụ bên thứ ba (mặc định tắt) | – |
| Cài đặt lưu giữ | Xóa yêu cầu được lưu trong tiện ích biểu mẫu sau thời hạn do đơn vị vận hành chọn (mặc định tắt) | theo cấu hình |
| Giới hạn tốc độ | mã định danh tồn tại ngắn được suy ra từ địa chỉ IP, không truyền tới chúng tôi | ngắn hạn |
| Bộ đếm hằng ngày cục bộ | Giá trị bộ đếm trước khi truyền | tối đa 14 ngày |
| Công cụ ghi dành cho quản trị viên | bộ chọn kỹ thuật và các bước điều hướng trong bộ nhớ phiên của trình duyệt quản trị viên đã đăng nhập; nội dung nhập không được đọc. Chỉ cấu hình được chọn được truyền đi (khi đó thuộc A.6) | tối đa 15 phút |
| Trợ giúp khách truy cập | có thể kích hoạt riêng; không lưu bản nháp và không tự động gửi lại | – |
| Quan sát quy tắc thư rác mới | các lượt khớp bổ sung được đếm cục bộ, không tự động kích hoạt | bảy ngày |
A.11 Bảo vệ biểu mẫu (formconfirmed)
| Trường | Nội dung |
|---|
| Mục đích | Đánh giá lượt gửi qua biểu mẫu trên website của Khách hàng để nhận diện lượt gửi tự động: phát hành và kiểm tra bài toán (bằng chứng công việc tính toán), mã kiểm tra dùng một lần, thời gian điền, trường bẫy, yêu cầu dồn dập; theo yêu cầu của Khách hàng, đánh giá văn bản tin nhắn bằng mô hình ngôn ngữ. Chỉ dành cho Khách hàng bật bảo vệ biểu mẫu. |
| Nhóm chủ thể dữ liệu | Khách truy cập website của Khách hàng mở trang có biểu mẫu được bảo vệ hoặc gửi biểu mẫu đó. |
| Loại dữ liệu cá nhân | Địa chỉ IP (chỉ lưu ở dạng rút gọn và băm với khóa thay đổi hằng ngày), địa chỉ và tên miền của trang, các mốc thời gian và thời gian điền, trường bẫy được điền có/không, chuỗi nhận dạng trình duyệt trong nhật ký máy chủ web; chỉ khi bật kiểm tra nội dung, văn bản tin nhắn (chỉ trong bộ nhớ làm việc). |
| Nguồn | Trình duyệt của khách truy cập (bài toán, mã kiểm tra); máy chủ của Khách hàng (yêu cầu kiểm tra, văn bản nếu có). |
| Người nhận | Khách hàng (điểm số, hành động, lý do). Không có người nhận khác; không có bên xử lý phụ cho hoạt động xử lý này. |
| Nước thứ ba | Không có. |
| Lưu giữ | Mã định danh đã băm 1 giờ; mã kiểm tra đã dùng tối đa 11 phút; kết quả kiểm tra không có địa chỉ IP và không có văn bản 30 ngày; số liệu hằng ngày 400 ngày; nhật ký máy chủ web 14 ngày; văn bản không lưu. |
| Biện pháp kỹ thuật và tổ chức | Phần 8; ngoài ra rút gọn và băm với khóa hằng ngày, bài toán có chữ ký, dùng một lần, mô hình ngôn ngữ trên phần cứng riêng không ghi nhật ký văn bản. |
4. Phần A – người nhận, bên xử lý phụ và chuyển sang nước thứ ba
Bảng sau liệt kê những người nhận do chính chúng tôi thuê và có thể nhận dữ liệu từ Phần A. Danh sách có giá trị quyết định và được cập nhật liên tục là trang Bên xử lý phụ; nếu khác với bảng này, đó là một phát hiện, không phải vấn đề định dạng.
| Người nhận | Những gì được nhận | Nước thứ ba | Cơ sở | Trạng thái |
|---|
| Namecheap, Inc. (Private Email), Phoenix, Arizona, USA | Hộp thư kiểm soát của kiểm tra giao thư (A.1); gửi e-mail cảnh báo (A.3), xác nhận và báo cáo cho người đăng ký cổng (A.2) | Nơi xử lý vẫn cần xác minh; xem trang “Bên xử lý phụ” | Thỏa thuận xử lý dữ liệu; cơ sở chuyển dữ liệu vẫn cần xác minh | Còn mở. Hợp đồng liên quan, nơi xử lý thực tế và cơ sở chuyển dữ liệu chưa được ghi nhận. Hồ sơ này không xác nhận chứng nhận hoặc hợp đồng đã được giao kết. |
| Namecheap, Inc. (nhà đăng ký tên miền, DNS; chuyển tiếp e-mail cho đến khi hộp thư được thiết lập) | Cho đến khi hộp thư được thiết lập, thư thông thường gửi tới các địa chỉ thuộc tên miền của chúng tôi; không có bản sao từ kiểm tra giao thư, vốn chỉ đến khi bản ghi MX trỏ trực tiếp tới hộp thư (A.1) | Hoa Kỳ | cần xác minh: chứng nhận theo Khuôn khổ bảo vệ dữ liệu EU–Hoa Kỳ hoặc điều khoản hợp đồng tiêu chuẩn | Đang sử dụng; cơ sở còn mở. |
| Máy chủ quét riêng của chúng tôi với mô hình ngôn ngữ cục bộ | Cấu trúc biểu mẫu để phân loại và các phát hiện được lựa chọn cùng siêu dữ liệu quét để tạo kế hoạch hành động trong tài khoản trả phí (A.4), mã được dán (A.7), thông tin truy cập thử nghiệm được giải mã chỉ trong lần chạy (A.5) | – | Do chúng tôi vận hành, không phải bên thứ ba | Đang sử dụng. |
| Điểm kiểm tra độc lập tại địa điểm thứ hai | Tên miền, cấu hình đã được làm sạch, mã định danh tác vụ (A.6) | tùy địa điểm | cần xác định trước khi đưa vào vận hành | Chưa được thiết lập. |
Lưu trữ: không có bên thứ ba. Ứng dụng, cơ sở dữ liệu, ảnh chụp màn hình và bản sao lưu được giữ trên máy chủ riêng của chúng tôi tại Ba Lan. Nếu chuyển sang trung tâm dữ liệu hoặc nhà cung cấp đám mây, đoạn này phải được viết lại.
4.1 Kênh cảnh báo do Khách hàng lựa chọn
Ngoài những người nhận do chúng tôi thuê, còn có các kênh mà Khách hàng lựa chọn cho cảnh báo của mình (A.3). Máy chủ của chúng tôi kích hoạt việc truyền; Khách hàng quyết định đích và nhà cung cấp. Chọn kênh không miễn cho chúng tôi các nghĩa vụ riêng với tư cách bên xử lý dữ liệu. Vai trò, hợp đồng và các bảo đảm cần thiết đối với nước thứ ba phải được xác định cho từng nhà cung cấp; đối với dịch vụ trò chuyện, việc này chưa hoàn tất (câu hỏi còn mở cho rà soát pháp lý).
| Kênh | Những gì được gửi | Trụ sở nhà cung cấp |
|---|
| E-mail | Tên miền, sự kiện, giải thích, liên kết; tới địa chỉ được nhập | qua Namecheap, Inc. (Private Email), Phoenix, Arizona, USA |
| Webhook tới địa chỉ tự chọn | Sự kiện dưới dạng JSON (tên miền, sự kiện, các dòng, liên kết, dấu thời gian), được ký bằng bí mật của đích | do Khách hàng quyết định |
| Slack, Discord, Microsoft Teams, Google Chat | cùng thông báo đó dưới dạng tin nhắn trò chuyện tới địa chỉ webhook được nhập | chủ yếu tại Hoa Kỳ |
| Telegram | đích do Khách hàng lựa chọn; chúng tôi gửi thông điệp qua bot tới ID cuộc trò chuyện được liên kết | ngoài EU, không có quyết định về mức độ bảo vệ đầy đủ; cơ sở chuyển dữ liệu là câu hỏi còn mở cho rà soát pháp lý |
Không trường hợp nào gửi nội dung thông điệp của khách truy cập. Thông báo mang tên miền, sự kiện và liên kết.
5. Phần B – Điều 30(1): xử lý theo trách nhiệm riêng
Bên kiểm soát dữ liệu đối với mọi nội dung trong phần này: LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, contact@lukaswojcik.com. Không cần người đại diện (có cơ sở tại Liên minh). Chưa chỉ định Cán bộ bảo vệ dữ liệu (phần 9). Biện pháp kỹ thuật và tổ chức: phần 8 và trang Biện pháp kỹ thuật và tổ chức. Cách chủ thể dữ liệu thực hiện quyền được mô tả trên trang Truy cập, xóa và các quyền khác của Quý khách; chủ tài khoản có thể tự tải dữ liệu dưới dạng tệp (Cài đặt).
Khi dựa vào lợi ích chính đáng (Điều 6(1)(f) GDPR), chúng tôi nêu lợi ích và lý do biện pháp ít xâm phạm hơn không đủ. Việc cân nhắc là đánh giá của chúng tôi; đây là một phần của rà soát pháp lý.
B.1 Khách truy cập website của chúng tôi – nhật ký máy chủ web
| Trường | Nội dung |
|---|
| Mục đích | Vận hành và bảo mật website cùng ứng dụng: cung cấp nội dung, khắc phục sự cố, phát hiện tấn công và quá tải. |
| Nhóm chủ thể dữ liệu | Mọi người mở trang tại formexposed.com hoặc form.exposed, bao gồm khách truy cập trang Khách hàng có trình duyệt tải ảnh huy hiệu của chúng tôi (B.18), người nhận mở liên kết báo cáo hoặc xác nhận tiếp nhận và website có tiện ích gọi giao diện của chúng tôi. |
| Loại dữ liệu cá nhân | Địa chỉ IP đầy đủ, thời điểm, địa chỉ được yêu cầu, mã trạng thái, số byte được truyền, trang giới thiệu (referrer), mã nhận diện trình duyệt (user agent). |
| Nơi lưu | Nhật ký truy cập của proxy phía trước và máy chủ web dưới dạng tệp trên máy chủ web, không trong cơ sở dữ liệu. |
| Nguồn | Trình duyệt hoặc chương trình thực hiện yêu cầu. |
| Cơ sở pháp lý | Điều 6(1)(f) GDPR. Lợi ích: vận hành an toàn và không gián đoạn. Cân nhắc: nếu không có địa chỉ đầy đủ, không thể liên kết các yêu cầu lặp lại từ cùng người gửi và không thể đẩy lùi tấn công; địa chỉ bị rút gọn không hỗ trợ sự phân biệt này. Nhật ký không được kết hợp với dữ liệu khác và được xóa sau thời gian ngắn. |
| Người nhận | Không có. |
| Nước thứ ba | Không có. |
| Lưu giữ | 14 ngày: xoay vòng hằng ngày với 14 thế hệ, sau đó ghi đè (dịch vụ xoay vòng nhật ký hệ thống, không phải lần chạy xóa hằng đêm của ứng dụng). |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.2 Nhật ký lượt xem trang của ứng dụng
| Trường | Nội dung |
|---|
| Mục đích | Bảo mật và phát hiện lạm dụng (ai yêu cầu gì và thường xuyên đến mức nào), khả năng truy vết truy cập tài khoản, thống kê sử dụng đơn giản không có dịch vụ phân tích. |
| Nhóm chủ thể dữ liệu | Tất cả khách truy cập website và người dùng ứng dụng trong các lượt xem trang thực (không có yêu cầu nền, không có lượt gửi biểu mẫu). |
| Loại dữ liệu cá nhân | Địa chỉ IP đầy đủ, quốc gia được suy ra từ đó khi ghi (cơ sở dữ liệu địa lý cục bộ, không truy vấn bên thứ ba), ID tài khoản với người dùng đã đăng nhập, địa chỉ được yêu cầu và trang giới thiệu (token truy cập trong đó, chẳng hạn của liên kết báo cáo hoặc cổng, được che), mã nhận diện trình duyệt và loại thiết bị, hệ điều hành, trình duyệt suy ra từ đó, ngôn ngữ, thời điểm (access_logs). Trong chế độ “Xem như Khách hàng” (B.14), không đặt ID tài khoản để lượt xem trang của bộ phận hỗ trợ không xuất hiện trong nhật ký của Khách hàng. |
| Nguồn | Yêu cầu của trình duyệt. |
| Cơ sở pháp lý | Điều 6(1)(f) GDPR. Lợi ích: ngăn chặn lạm dụng và khả năng truy vết. Cân nhắc: như B.1; thời hạn lưu giữ dài hơn vì các mẫu hình lạm dụng trở nên rõ sau nhiều tuần. Việc có nên rút gọn địa chỉ IP hoặc rút ngắn thời hạn lưu giữ hay không là câu hỏi còn mở cho rà soát pháp lý. |
| Người nhận | Không có. Chủ tài khoản nhận các lượt xem trang riêng trong bản xuất dữ liệu. |
| Nước thứ ba | Không có. |
| Lưu giữ | 60 ngày (hằng đêm từ 03:00 đến 03:05, srv/cron_status.php, cài đặt “page view log”). |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Địa chỉ IP chỉ được lấy từ tiêu đề chuyển tiếp nếu yêu cầu đến từ proxy phía trước riêng của chúng tôi và khi đó chỉ lấy mục do proxy đó thêm vào; nếu không, bất kỳ ai cũng có thể tự khai nguồn gốc tùy ý. |
B.3 Cookie và lưu trữ trong trình duyệt
| Trường | Nội dung |
|---|
| Mục đích | Lưu trữ cần thiết về kỹ thuật: phiên truy cập, bảo vệ chống giả mạo yêu cầu liên trang (CSRF), đếm giới hạn cho kiểm tra không có tài khoản, đăng nhập, duy trì đăng nhập theo yêu cầu, hiển thị sáng hoặc tối. |
| Nhóm chủ thể dữ liệu | Khách truy cập và người dùng formexposed.com. |
| Loại dữ liệu cá nhân | Cookie phiên bpid (mã định danh phiên; kết thúc khi đóng trình duyệt; HttpOnly, SameSite=Lax, Secure qua HTTPS). Cookie bp_remember chỉ sau khi chọn “Duy trì đăng nhập” (bộ chọn và bộ xác minh; 30 ngày). Bộ nhớ cục bộ bp_theme (sáng, tối hoặc theo hệ thống). Trong khu vực quản trị, thêm các cài đặt hiển thị cục bộ của đơn vị vận hành. Đối với giới hạn, giá trị băm được tạo từ mã định danh phiên; bản thân mã định danh không được lưu. |
| Không được đặt | Không có cookie phân tích, quảng cáo hoặc theo dõi. Chương trình đối tác (B.33) hoạt động không dùng cookie. Ảnh huy hiệu trên trang Khách hàng không đặt cookie (B.18). reCAPTCHA có thể đặt cookie của Google khi gửi biểu mẫu được bảo vệ (B.23). |
| Cơ sở pháp lý | Truy cập thiết bị đầu cuối: hoàn toàn cần thiết cho dịch vụ người dùng yêu cầu (§ 25(2) mục 2 TDDDG, Luật Bảo vệ dữ liệu dịch vụ số viễn thông Đức; Điều 399(3) PKE, Luật Truyền thông điện tử Ba Lan (Prawo komunikacji elektronicznej)). Xử lý: Điều 6(1)(b) GDPR (tài khoản) và (f) (bảo mật, giới hạn). |
| Người nhận | Không có. |
| Nước thứ ba | Không có. |
| Lưu giữ | Phiên truy cập; 30 ngày cho token duy trì đăng nhập. Lần chạy hằng đêm xóa token duy trì đăng nhập đã hết hạn trong cơ sở dữ liệu (remember_tokens); khi đăng xuất, thay đổi mật khẩu và thu hồi thiết bị thì xóa ngay lập tức. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.4 Kiểm tra miễn phí không có tài khoản – tiếp nhận, giới hạn và giám sát lạm dụng
| Trường | Nội dung |
|---|
| Mục đích | Bất kỳ ai cũng có thể yêu cầu kiểm tra tên miền mà không có tài khoản. Để trường nhập không trở thành vũ khí chống website bên thứ ba, áp dụng các giới hạn nhiều cấp: một kiểm tra ẩn danh cho mỗi tên miền trong bảy ngày (sau đó là cùng báo cáo), giới hạn theo địa chỉ IP và phiên truy cập trong 24 giờ, giới hạn hằng ngày cho toàn hệ thống, chặn tên miền còn rất mới, danh sách chặn và từ chối tham gia, chỉ địa chỉ công khai. Mẫu hình bất thường được ghi nhận và báo cho đơn vị vận hành. Các giới hạn theo địa chỉ IP, phiên truy cập và toàn hệ thống, mỗi loại được đếm riêng, cũng áp dụng cho kiểm tra từ tiện ích không có tài khoản (tiện ích có cặp khóa ràng buộc được đếm theo website thay vì theo địa chỉ) và việc từ chối tham gia (B.30); công cụ tiêu đề miễn phí (B.9) có giới hạn riêng theo địa chỉ IP và ngày cũng như cho toàn hệ thống. |
| Nhóm chủ thể dữ liệu | Người kích hoạt kiểm tra, yêu cầu công cụ tiêu đề hoặc từ chối tham gia; máy chủ được cài tiện ích. |
| Loại dữ liệu cá nhân | Nhật ký mọi yêu cầu: nguồn (kiểm tra, tiện ích, công cụ tiêu đề, từ chối tham gia), địa chỉ IP đầy đủ, giá trị băm mã định danh phiên, máy chủ được kiểm tra, quốc gia suy ra từ địa chỉ IP, chấp nhận hoặc từ chối kèm lý do, thời điểm (check_throttle). Bất thường: loại (địa chỉ IP, phiên, quốc gia, hệ thống), khóa (đối với loại “IP” là địa chỉ IP đầy đủ), mẫu hình, mức độ nghiêm trọng, mô tả ngắn, thời điểm phát hiện và giải quyết, người giải quyết (abuse_flags). Tác vụ: máy chủ, chế độ, mức độ tin cậy và giá trị băm phiên được rút gọn làm mã định danh người yêu cầu (scan_jobs). Báo cáo: mã định danh ngẫu nhiên, máy chủ, ngôn ngữ, thời hạn hết hạn, lần xem đầu, số lượt xem (reports). Tuổi tên miền được lưu đệm từ tra cứu cơ quan đăng ký (domain_age_cache). |
| Nguồn | Nội dung người đó nhập; yêu cầu của họ; tra cứu cơ quan đăng ký (RDAP) cho tuổi tên miền. |
| Cơ sở pháp lý | Thực hiện kiểm tra được yêu cầu: Điều 6(1)(b) GDPR (sử dụng kiểm tra miễn phí theo Điều khoản dịch vụ); thay thế là (f). Giới hạn và giám sát: Điều 6(1)(f). Lợi ích: ngăn dịch vụ bị sử dụng làm công cụ chống website bên thứ ba hoặc làm công cụ phát tán thư rác hàng loạt. Cân nhắc: không liên kết với địa chỉ và phiên thì không thể thực thi giới hạn; thời hạn bảy ngày ngắn bằng giới hạn dài nhất được tính từ dữ liệu đó. |
| Người nhận | Google (reCAPTCHA khi gửi, B.23). Đối với tuổi tên miền, trình quét truy vấn dịch vụ chuyển hướng RDAP rdap.org để chuyển tiếp tới tổ chức quản lý có trách nhiệm; chỉ tên miền được truyền. Khi có bất thường, đơn vị vận hành nhận tín hiệu qua Telegram không có biến nào (không máy chủ, không địa chỉ). Báo cáo có thể được xem bởi bất kỳ ai có liên kết ngẫu nhiên của nó. |
| Nước thứ ba | Hoa Kỳ qua reCAPTCHA (B.23). |
| Lưu giữ | Nhật ký yêu cầu 7 ngày (hằng đêm, srv/cron_status.php). Bất thường đã giải quyết được giữ 90 ngày sau khi giải quyết; bất thường chưa giải quyết được giữ cho đến khi có người giải quyết (phần 10). Báo cáo ẩn danh hết hạn sau 30 ngày; khi đó lần chạy hằng đêm xóa báo cáo, tác vụ, kết quả kiểm tra, biểu mẫu, phát hiện và ảnh (fe_reports_aufraeumen()). Quản trị viên có thể giải phóng thủ công các mục cho một địa chỉ; việc đó xóa nhật ký của địa chỉ trong 24 giờ qua. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Công tắc dừng khẩn cấp mọi kiểm tra ẩn danh trong khu vực quản trị; cơ chế điều tiết tải không nhận kiểm tra miễn phí mới khi có tồn đọng. |
B.5 Kiểm tra website bên thứ ba bằng trình thu thập dữ liệu
| Trường | Nội dung |
|---|
| Mục đích | Kiểm tra bảo mật biểu mẫu liên hệ công khai: biện pháp chống thư rác và lạm dụng, đặc điểm bảo vệ dữ liệu và khả năng tiếp cận, tập lệnh bên thứ ba được nhúng, hành vi sau khi từ chối trên biểu ngữ cookie, hiển thị di động. Áp dụng cho kiểm tra không có tài khoản (B.4), tên miền trong tài khoản chưa được xác minh và làm cơ sở cho nghiên cứu (B.7) và kiểm tra website khách hàng tiềm năng (B.8). Đối với tên miền đã xác minh trong tài khoản, chúng tôi hành động thay mặt Khách hàng (A.4). |
| Hành vi trình thu thập dữ liệu | Mã nhận diện riêng kèm tham chiếu tới trang trình thu thập dữ liệu; đọc robots.txt trước khi kiểm tra và dừng nếu quy tắc disallow áp dụng cho trang chủ (tương tự nếu không thể truy cập robots.txt hoặc có lỗi máy chủ); không tuân thủ riêng các quy tắc disallow cho từng đường dẫn con. Kiểm tra nhanh biểu mẫu, truy xuất bằng chứng, công cụ tiêu đề và tìm tệp bị lộ không đọc robots.txt. Tối đa tám trang công khai mỗi lần kiểm tra, cộng tối đa ba trang với thao tác nhấp “Từ chối” trên biểu ngữ cookie, tối đa ba trang ở chế độ điện thoại, phép thử chủ động cho tên miền đã xác minh và tối đa năm trang sau đăng nhập (A.5); các trang được tải lần lượt, không song song; chỉ địa chỉ công khai, không có mạng nội bộ, chuyển hướng được kiểm tra lại; danh sách chặn và từ chối tham gia được kiểm tra trước khi tiếp nhận và lần thứ hai trong trình quét. Thụ động: nếu không có bằng chứng quyền kiểm soát, không gửi bất kỳ thứ gì cho Khách hàng (ngoại lệ: kiểm tra nội bộ các tên miền thử nghiệm và trình diễn riêng của chúng tôi, B.6). |
| Nhóm chủ thể dữ liệu | Đơn vị vận hành website được kiểm tra (khi là thể nhân, chẳng hạn cá nhân kinh doanh); người tình cờ hiển thị trên các trang được kiểm tra. |
| Loại dữ liệu cá nhân | Như A.4: địa chỉ và tiêu đề trang, cấu trúc biểu mẫu (tên trường, loại và nhãn, không có giá trị trường), biện pháp bảo vệ, tập lệnh bên thứ ba (địa chỉ; ID tài khoản của pixel và công cụ ghi được thay thế trước khi lưu), hành vi biểu ngữ cookie, ảnh chụp màn hình (vùng hiển thị trang chủ, biểu mẫu). Nếu địa chỉ người nhận xuất hiện trong biểu mẫu, chỉ lưu tên miền (scans, forms, findings, scan_screenshots). |
| Nguồn | Các trang có thể truy cập công khai. |
| Cơ sở pháp lý | Điều 6(1)(f) GDPR. Lợi ích: thực hiện kiểm tra bảo mật được yêu cầu; cảnh báo đơn vị vận hành website về điểm yếu có thể gây hại cho khách truy cập. Cân nhắc: chỉ đọc những gì mọi khách truy cập thấy, ở phạm vi nhỏ và không gửi bất kỳ thứ gì; đơn vị vận hành có thể loại trừ vĩnh viễn tên miền bất kỳ lúc nào mà không cần bằng chứng. Thông tin theo Điều 14 GDPR được cung cấp qua trang trình thu thập dữ liệu, cơ chế từ chối tham gia và Chính sách quyền riêng tư; việc này có đủ theo Điều 14(5)(b) hay không là câu hỏi còn mở cho rà soát pháp lý. |
| Người nhận | Người kích hoạt báo cáo và bất kỳ ai được họ cung cấp liên kết ngẫu nhiên; mô hình ngôn ngữ cục bộ trên máy chủ riêng khi loại biểu mẫu chưa rõ (cấu trúc biểu mẫu, tiêu đề và địa chỉ trang, văn bản hiển thị của biểu mẫu). Cảnh báo lỗ hổng từ phiên bản tiện ích không bao giờ xuất hiện trong báo cáo ẩn danh. |
| Nước thứ ba | Không có. |
| Lưu giữ | Ẩn danh: 30 ngày (B.4). Kiểm tra website khách hàng tiềm năng: 90 ngày (B.8). Nghiên cứu: đến khi công bố (B.7). Tên miền trong tài khoản: tối đa 13 tháng, giữ lần kiểm tra gần nhất; xóa ngay cùng tên miền. Kiểm tra nội bộ do đơn vị vận hành thực hiện không có tên miền và không có báo cáo (chẳng hạn tạo từ dòng lệnh): không có thời hạn lưu giữ (phần 10). Tệp tạm trên máy chủ quét bị xóa sau mỗi lần chạy. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Đặc biệt: container kiểm tra riêng bị giảm quyền, hệ thống tệp chỉ đọc, giới hạn bộ nhớ và mạng riêng; kiểm tra đích hai lần. |
B.6 Gửi thử biểu mẫu chủ động
| Trường | Nội dung |
|---|
| Mục đích | Kiểm tra xem biểu mẫu liên hệ có chấp nhận lượt gửi không có bảo vệ hay không, CAPTCHA, bẫy (honeypot), token, xác thực địa chỉ e-mail và giới hạn tốc độ có hiệu lực phía máy chủ hay không, cũng như có thể chèn tiêu đề e-mail hay không. |
| Điều kiện tiên quyết | Đối với Khách hàng, chỉ áp dụng cho tên miền đã cung cấp bằng chứng quyền kiểm soát (bản ghi DNS, thẻ meta, tệp hoặc tiện ích được kết nối); ngoài ra, đơn vị vận hành sử dụng công cụ dòng lệnh nội bộ để tạo kiểm tra với mức “verified” cho các tên miền thử nghiệm và trình diễn riêng của chúng tôi. Chỉ khi công tắc toàn cục được bật, chỉ với biểu mẫu được phân loại đáng tin cậy là biểu mẫu liên hệ chung. Không bao giờ áp dụng cho đơn hàng, đặt dịch vụ, đăng ký, bản tin, thanh toán, tải tệp lên, trường bắt buộc có dữ liệu cá nhân thật hoặc tên miền của cơ quan công quyền, cơ sở y tế hay giáo dục. |
| Nhóm chủ thể dữ liệu | Nhân viên của Khách hàng nhận e-mail từ biểu mẫu. |
| Loại dữ liệu cá nhân | Lượt gửi thử không chứa dữ liệu cá nhân: người gửi “FormExposed Security Scanner”, địa chỉ người gửi riêng của chúng tôi hoặc địa chỉ có phần đuôi .invalid, dòng chủ đề được ghi rõ và văn bản bằng ngôn ngữ trang kèm tham chiếu tới trang trình thu thập dữ liệu, cơ chế từ chối tham gia và mã kiểm tra. Chúng tôi lưu: phản hồi của trang, phát hiện, ảnh trang tiếp theo (như A.4). |
| Phạm vi | Tối đa năm lượt gửi mỗi lần kiểm tra (cài đặt, mặc định 5); lặp lại theo tần suất kiểm tra của gói, hằng ngày ở gói cao nhất. |
| Nguồn | Chỉ dẫn của Khách hàng. |
| Cơ sở pháp lý | Thực hiện hợp đồng với Khách hàng (Điều 6(1)(b) GDPR); các lượt gửi tới biểu mẫu riêng của Khách hàng. Đối với người nhận ở phía Khách hàng: cách tổ chức của Khách hàng. |
| Người nhận | Khách hàng (e-mail biểu mẫu của họ). |
| Nước thứ ba | Không có qua chúng tôi. |
| Lưu giữ | Kết quả như A.4. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Chèn tiêu đề e-mail chỉ được phát hiện, không bao giờ được thực hiện với người nhận thật; xác thực địa chỉ e-mail chỉ sử dụng tên miền không thể tồn tại. |
B.7 Nghiên cứu “Chỉ số bảo mật biểu mẫu”
| Trường | Nội dung |
|---|
| Mục đích | Thống kê về bảo vệ biểu mẫu liên hệ trong một quốc gia hoặc ngành. Chỉ công bố số liệu tổng, không có tên website; chỉ phân đoạn từ 20 trang có biểu mẫu. |
| Nhóm chủ thể dữ liệu | Đơn vị vận hành website trong danh sách; những người tình cờ hiển thị. |
| Loại dữ liệu cá nhân | Như B.5, chỉ thụ động. Ngoài ra có danh sách: máy chủ, phân đoạn, trạng thái, tác vụ (study_domains); nghiên cứu có tiêu đề, quốc gia, số liệu kết quả tổng (studies). |
| Nguồn | Danh sách website công khai do đơn vị vận hành lập; chính các trang. |
| Cơ sở pháp lý | Điều 6(1)(f) GDPR. Lợi ích: thông tin thống kê về tình trạng bảo mật biểu mẫu. Cân nhắc: thụ động, có điều tiết (ít tác vụ mỗi lần chạy), áp dụng danh sách chặn và từ chối tham gia, chỉ công bố số liệu tổng, dữ liệu thô bị xóa. |
| Người nhận | Công chúng, chỉ số liệu tổng. |
| Nước thứ ba | Không có. |
| Lưu giữ | Dữ liệu thô (kết quả kiểm tra, biểu mẫu, phát hiện, ảnh, tác vụ) bị xóa khi công bố (fe_studie_veroeffentlichen()). Danh sách máy chủ cùng phân đoạn vẫn còn sau đó; không có thời hạn lưu giữ cho danh sách đó hoặc các nghiên cứu không bao giờ được công bố (phần 10). Đơn vị vận hành quyết định danh sách nào được kiểm tra và nghiên cứu có được công bố hay không. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.8 Kiểm tra website khách hàng tiềm năng (chế độ tìm khách hàng cho công ty dịch vụ)
| Trường | Nội dung |
|---|
| Mục đích | Công ty dịch vụ (gói Business) kiểm tra thụ động website khách hàng tiềm năng và nhận báo cáo ngắn dưới thương hiệu của mình cùng báo cáo thụ động. Chúng tôi không liên hệ bất kỳ ai; công ty dịch vụ tự chuyển liên kết. |
| Nhóm chủ thể dữ liệu | Đơn vị vận hành website được kiểm tra; những người tình cờ hiển thị; nhân viên công ty dịch vụ kích hoạt kiểm tra. |
| Loại dữ liệu cá nhân | Như B.5, chỉ thụ động. Ngoài ra: không gian làm việc, người kích hoạt kiểm tra, máy chủ, mã định danh ngẫu nhiên của báo cáo, thời điểm (prospect_checks). |
| Nguồn | Nội dung công ty dịch vụ nhập; trang công khai. |
| Cơ sở pháp lý | Điều 6(1)(f) GDPR (lợi ích của chúng tôi trong việc cung cấp dịch vụ và lợi ích của công ty dịch vụ trong việc tiếp cận có căn cứ). Vai trò của công ty dịch vụ và chúng tôi cùng nghĩa vụ của công ty dịch vụ khi chuyển báo cáo là câu hỏi còn mở cho rà soát pháp lý: nếu công ty dịch vụ gửi báo cáo qua e-mail không được yêu cầu hoặc gọi điện, đó là tiếp thị trực tiếp cần có sự đồng ý theo Điều 398 PKE và § 7(2) UWG (Luật Chống cạnh tranh không lành mạnh Đức), kể cả giữa các doanh nghiệp. Đó là trách nhiệm của công ty dịch vụ; Điều khoản dịch vụ đặt nghĩa vụ tương ứng cho họ. |
| Người nhận | Công ty dịch vụ và bất kỳ ai được công ty đó cung cấp liên kết. |
| Nước thứ ba | Không có. |
| Lưu giữ | Báo cáo và kết quả kiểm tra hết hạn sau 90 ngày rồi bị lần chạy hằng đêm xóa (fe_reports_aufraeumen()); mục kiểm tra bị xóa sau 90 ngày trong lần chạy bảo vệ cộng đồng hằng ngày từ 04:00 (srv/cron_status.php). Xóa ngay cùng không gian làm việc. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Hạn mức hằng tháng (cài đặt, mặc định 30); cùng trang trong bảy ngày trả về cùng báo cáo; áp dụng từ chối tham gia. |
B.9 Công cụ tiêu đề không có tài khoản
| Trường | Nội dung |
|---|
| Mục đích | Chấm hạng miễn phí (A+ đến F) cho tiêu đề bảo mật của trang chủ tên miền. Hai yêu cầu, không trình duyệt, không biểu mẫu, không gửi. |
| Nhóm chủ thể dữ liệu | Người sử dụng công cụ; đơn vị vận hành tên miền được kiểm tra. |
| Loại dữ liệu cá nhân | Nhật ký yêu cầu như B.4 (nguồn “headers”, địa chỉ IP, giá trị băm phiên, máy chủ). Kết quả: máy chủ, hạng, điểm, tiêu đề được đánh giá (header_checks). |
| Cơ sở pháp lý | Điều 6(1)(f) GDPR, như B.4 và B.5. |
| Người nhận | Google (reCAPTCHA, B.23). |
| Nước thứ ba | Hoa Kỳ qua reCAPTCHA. |
| Lưu giữ | Nhật ký yêu cầu 7 ngày; kết quả hiện bị xóa sau 90 ngày (lần chạy xóa hằng đêm, phần “header_checks”, cài đặt “headers_keep_days”). Đối với tên miền trong tài khoản, hạng được xác định lại hằng ngày và lưu cùng tên miền. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Giới hạn theo địa chỉ IP và ngày; áp dụng từ chối tham gia. |
B.10 Tài khoản khách hàng
| Trường | Nội dung |
|---|
| Mục đích | Vận hành tài khoản khách hàng, không gian làm việc và gói dịch vụ. |
| Nhóm chủ thể dữ liệu | Khách hàng (doanh nghiệp) và thành viên nhóm có tài khoản riêng. |
| Loại dữ liệu cá nhân | Địa chỉ e-mail và dạng chuẩn hóa, mật khẩu chỉ dưới dạng giá trị băm, tên riêng (bắt buộc), họ và công ty (nếu được cung cấp); ứng dụng không lưu địa chỉ và mã số VAT, chúng chỉ được cung cấp tại Stripe (B.26); trạng thái, ngôn ngữ, chế độ hiển thị, đồng tiền, gói và trạng thái thanh toán, ID khách hàng và đăng ký Stripe, thời điểm kết thúc kỳ thanh toán, hủy vào cuối kỳ, mã định danh xác nhận và đặt lại kèm thời hạn hết hạn, địa chỉ e-mail mới cho đến khi xác nhận, thời điểm đăng ký, lần đăng nhập gần nhất và địa chỉ IP gần nhất, thời điểm thu hồi tất cả phiên, dữ liệu hai yếu tố (B.11), bật/tắt báo cáo hằng tháng, thời điểm e-mail nhắc nhở, mở khóa qua mã, mã giới thiệu và thông tin giới thiệu (users). Không gian làm việc cùng tên, các thời điểm, trạng thái (workspaces); tư cách thành viên cùng vai trò và ngày tham gia (workspace_users). |
| Nguồn | Đăng ký và cài đặt do người đó thực hiện; trạng thái thanh toán từ Stripe. |
| Cơ sở pháp lý | Điều 6(1)(b) GDPR (hợp đồng). Địa chỉ IP gần nhất: (f) (bảo mật tài khoản). |
| Người nhận | Stripe (B.26); nhà cung cấp dịch vụ thư cho e-mail tài khoản (B.25). Thành viên cùng không gian làm việc thấy tên, địa chỉ e-mail và vai trò của thành viên khác. |
| Nước thứ ba | Qua Stripe và nhà cung cấp dịch vụ thư. |
| Lưu giữ | Cho đến khi chủ tài khoản xóa. Khi xóa, các không gian làm việc riêng của chủ tài khoản mà không ai khác sử dụng bị xóa cùng mọi tên miền và dữ liệu; không gian làm việc có thêm thành viên được chuyển cho thành viên khác, ưu tiên quản trị viên và trong số đó là người tham gia lâu nhất. Tư cách thành viên, token duy trì đăng nhập, thiết bị, khóa API, mã Telegram còn hiệu lực, phản hồi về báo cáo (B.35) và hàng tài khoản bị xóa; đăng ký trả phí đang chạy trước tiên được kết thúc ngay tại Stripe mà không hoàn tiền (www/ajax.php, fe_konto_reste_loeschen()). Ngược lại, việc hủy trong khu vực thanh toán có hiệu lực vào cuối kỳ; sau đó tài khoản tiếp tục với gói miễn phí. Những gì còn lại được nêu tại phần 6.4. Tài khoản chưa từng được xác nhận và chưa từng đăng nhập bị xóa sau 30 ngày, trừ khi có thành viên khác gắn với không gian làm việc của tài khoản (lần chạy xóa hằng đêm, phần “pending_accounts”). Không có việc xóa tài khoản không hoạt động. Nếu hợp đồng tài khoản kết thúc theo cách khác, chẳng hạn do chúng tôi chấm dứt, chúng tôi xóa tài khoản không muộn hơn 30 ngày sau khi hợp đồng kết thúc; hiện tại việc này được thực hiện thủ công (được cam kết trong Thỏa thuận xử lý dữ liệu). |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.11 Đăng nhập, thiết bị, yếu tố thứ hai và nhật ký hoạt động
| Trường | Nội dung |
|---|
| Mục đích | Bảo vệ tài khoản: giới hạn các lần thử đăng nhập và mật khẩu khác, hiển thị và thu hồi thiết bị đã đăng nhập, đăng nhập hai yếu tố, truy vết thay đổi. |
| Nhóm chủ thể dữ liệu | Chủ tài khoản và thành viên nhóm; người thử đăng nhập, đăng ký hoặc mật khẩu cổng khách hàng. |
| Loại dữ liệu cá nhân | Lần thử đăng nhập: địa chỉ IP, địa chỉ e-mail được nhập, thành công, thời điểm (login_attempts). Thiết bị: giá trị băm mã định danh phiên (không bao giờ là chính mã định danh), liên kết tới token duy trì đăng nhập, địa chỉ IP, mã nhận diện trình duyệt và trình duyệt, hệ điều hành, loại thiết bị suy ra từ đó, thời điểm đăng nhập, hoạt động gần nhất và thu hồi, và với “Xem như Khách hàng” là mã định danh người hỗ trợ (login_sessions). Token cho “Duy trì đăng nhập”: bộ chọn, bộ xác minh, thời hạn hết hạn (remember_tokens). Hai yếu tố: bí mật được mã hóa, thời điểm kích hoạt, bước thời gian được dùng gần nhất, mã khôi phục chỉ dưới dạng giá trị băm (trong users). Nhật ký hoạt động: tài khoản, không gian làm việc, hành động, đích, chi tiết, địa chỉ IP, quốc gia, thời điểm (audit_logs). Bộ đếm lần thử cho đăng nhập, yếu tố thứ hai, xác nhận mật khẩu, đặt lại mật khẩu, đăng ký và mật khẩu cổng khách hàng: khóa HMAC được suy ra từ mục đích và ID tài khoản (đối với địa chỉ không tồn tại hoặc đặt lại, là địa chỉ e-mail chuyển sang chữ thường), địa chỉ IP, tài khoản kết hợp địa chỉ IP hoặc ID cổng (cũng kết hợp địa chỉ IP), số lần thử, thời hạn hết hạn; địa chỉ e-mail và IP không được lưu dạng rõ tại đó (bảng auth_attempt_buckets). |
| Cơ sở pháp lý | Điều 6(1)(b) GDPR kết hợp Điều 32 (danh sách thiết bị, yếu tố thứ hai) và (f) (lần thử đăng nhập, nhật ký hoạt động). Lợi ích: bảo vệ tài khoản khỏi bị chiếm đoạt, ghi nhận thay đổi (Điều 5(2)). Cân nhắc: địa chỉ rút gọn không trả lời câu hỏi “đó có phải tôi không?”; nhật ký hoạt động phải tồn tại lâu hơn tranh chấp chỉ phát sinh nhiều tháng sau. |
| Người nhận | Không có. Chủ tài khoản thấy thiết bị của mình và nhận các lần thử đăng nhập, thiết bị và hoạt động trong bản xuất dữ liệu; trong phiên “Xem như Khách hàng”, cả địa chỉ IP lẫn trình duyệt của người hỗ trợ đều không xuất hiện tại đó. |
| Nước thứ ba | Không có. |
| Lưu giữ | Lần thử đăng nhập 7 ngày; sau khi đăng nhập thành công, các lần thử thất bại từ cùng địa chỉ bị xóa ngay. Bộ đếm lần thử hết hiệu lực khi khung thời gian kết thúc (hiện là 15 phút, một giờ cho đặt lại mật khẩu và đăng ký); bộ đếm hết hạn được xóa ở lần truy cập tiếp theo và bởi lần chạy hằng đêm. Thiết bị bị xóa 90 ngày sau lần sử dụng gần nhất hoặc sau khi thu hồi (lần chạy xóa hằng đêm, phần “sessions”), xóa ngay cùng tài khoản. Token duy trì đăng nhập hết hạn sau 30 ngày. Nhật ký hoạt động 365 ngày (hằng đêm); khi tài khoản bị xóa, các mục của tài khoản còn đến hết thời hạn lưu giữ (phần 6.4). |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.12 Bằng chứng giao kết hợp đồng
| Trường | Nội dung |
|---|
| Mục đích | Chứng minh phiên bản Điều khoản dịch vụ, Thỏa thuận xử lý dữ liệu và Chính sách quyền riêng tư mà Khách hàng đã chấp nhận hoặc ghi nhận khi đăng ký, và việc Khách hàng sử dụng dịch vụ cho hoạt động kinh doanh. |
| Nhóm chủ thể dữ liệu | Khách hàng. |
| Loại dữ liệu cá nhân | Theo từng tài liệu: tài khoản, tài liệu, phiên bản (giá trị băm văn bản được hiển thị), trường hợp ghi nhận, địa chỉ IP, mã nhận diện trình duyệt, thời điểm (legal_consents). Bản thân phiên bản được hiển thị cùng toàn văn, ngôn ngữ, tiêu đề và địa chỉ, một lần cho mỗi phiên bản (legal_versions; không chứa dữ liệu cá nhân). |
| Cơ sở pháp lý | Điều 6(1)(b) và (f) GDPR (bằng chứng giao kết hợp đồng, bảo vệ trước các yêu cầu). |
| Người nhận | Không có. Chủ tài khoản nhận hồ sơ của mình trong bản xuất dữ liệu. |
| Nước thứ ba | Không có. |
| Lưu giữ | Trong thời gian tài khoản tồn tại; sau khi tài khoản bị xóa, bốn năm kể từ khi đồng ý, sau đó xóa hằng đêm (srv/cron_status.php). Lý do trong mã: thời hiệu ba năm tính từ cuối năm, làm tròn lên. Việc pháp luật Ba Lan có gợi ra thời hạn khác hay không thuộc rà soát pháp lý. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Nếu thiếu bất kỳ tài liệu nào trong ba tài liệu, đăng ký bị đóng. |
B.13 Lời mời nhóm
| Trường | Nội dung |
|---|
| Mục đích | Mời thêm người vào không gian làm việc. |
| Nhóm chủ thể dữ liệu | Người được mời. |
| Loại dữ liệu cá nhân | Địa chỉ e-mail, vai trò, mã định danh lời mời, người mời, thời hạn hết hạn, thời điểm chấp nhận (workspace_invites); e-mail lời mời trong hộp thư đi (B.25). |
| Nguồn | Do thành viên gửi lời mời nhập. |
| Cơ sở pháp lý | Điều 6(1)(b) GDPR trong quan hệ với Khách hàng; đối với người được mời là (f) (lợi ích của Khách hàng trong việc đưa nhóm vào làm việc). |
| Người nhận | Nhà cung cấp dịch vụ thư (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). |
| Nước thứ ba | Qua nhà cung cấp dịch vụ thư. |
| Lưu giữ | Lời mời có hiệu lực 14 ngày và chỉ trong thời gian người mời là owner hoặc admin của không gian làm việc. Lời mời chưa được chấp nhận bị xóa sau khi hết hạn, lời mời đã chấp nhận bị xóa 30 ngày sau khi chấp nhận (hằng đêm, srv/cron_status.php và phần “invites” trong cfg/fristen_lib.php). Xóa ngay cùng không gian làm việc. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.14 Chế độ “Xem như Khách hàng” của bộ phận hỗ trợ
| Trường | Nội dung |
|---|
| Mục đích | Quản trị viên cấp cao thấy ứng dụng như Khách hàng nhìn thấy để giải quyết câu hỏi hỗ trợ (“tôi không thấy nút”). |
| Nhóm chủ thể dữ liệu | Khách hàng liên quan; quản trị viên cấp cao. |
| Loại dữ liệu cá nhân | Mọi thứ Khách hàng thấy trong ứng dụng. Được ghi nhật ký: một hàng thiết bị riêng với mã định danh quản trị viên cấp cao (login_sessions), thời điểm bắt đầu và kết thúc trong nhật ký hoạt động (audit_logs). |
| Cơ sở pháp lý | Điều 6(1)(b) GDPR (hỗ trợ là một phần của dịch vụ), thay thế là (f). |
| Giới hạn | Tối đa một giờ, sau đó đăng xuất hoàn toàn. Kết thúc chế độ xem cũng đăng xuất hoàn toàn quản trị viên cấp cao, bao gồm phiên họ xuất phát từ đó; họ chỉ trở lại khu vực quản trị bằng cách đăng nhập lại với mật khẩu và yếu tố thứ hai. Chế độ kết thúc ngay nếu quản trị viên cấp cao bị hạ quyền hoặc chặn. Mọi thao tác thay đổi tài khoản Khách hàng bị chặn: mật khẩu, địa chỉ e-mail, yếu tố thứ hai, thiết bị, đăng ký gói, xuất, xóa, chuyển giao. Khu vực quản trị đóng trong thời gian phiên. Khách hàng thấy lần truy cập trong danh sách thiết bị và bản xuất dữ liệu dưới dạng truy cập hỗ trợ. |
| Người nhận | Không có. |
| Nước thứ ba | Không có. |
| Lưu giữ | Hàng thiết bị 90 ngày, nhật ký hoạt động 365 ngày. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.15 Tên miền, bằng chứng quyền kiểm soát và giám sát
| Trường | Nội dung |
|---|
| Mục đích | Dịch vụ cốt lõi cho Khách hàng: giữ tên miền trong tài khoản, cung cấp bằng chứng quyền kiểm soát, kiểm tra thường xuyên và phát hiện thay đổi. Bao gồm kiểm tra nhanh biểu mẫu (yêu cầu nhẹ không có trình duyệt mỗi 10 đến 30 phút tùy gói), giám sát DNS thư và chứng chỉ hằng ngày, ngày hết hạn tên miền, danh sách chặn, tệp bị lộ, phiên bản nhìn thấy từ bên ngoài, danh mục tập lệnh, thay đổi hình ảnh biểu mẫu, sự cố ngừng hoạt động của nhà cung cấp CAPTCHA và thư điện tử, cùng giám sát lỗ hổng tiện ích biểu mẫu. |
| Nhóm chủ thể dữ liệu | Khách hàng và thành viên nhóm; đơn vị vận hành tên miền khi là thể nhân. |
| Loại dữ liệu cá nhân | Tên miền cùng máy chủ, mã định danh công khai, ghi chú, nhãn khách hàng, loại và mã định danh bằng chứng, tần suất kiểm tra, bật/tắt giám sát, khung thời gian bảo trì, giá trị yêu cầu, mã định danh cho huy hiệu, kiểm tra giao thư và hook triển khai, khóa tiện ích, trạng thái và kết quả gần nhất của các chức năng giám sát (DNS, chứng chỉ, tính xác thực của e-mail biểu mẫu, danh sách chặn, tệp bị lộ, tiêu đề, phiên bản) (domains). Kiểm tra nhanh biểu mẫu theo từng trang biểu mẫu (form_pulse). Lỗ hổng từ phiên bản tiện ích (vuln_hits). Danh mục tập lệnh kèm địa chỉ, giá trị băm, kích thước, phê duyệt với người phê duyệt và lý do (script_inventory, script_changes). Các lần kiểm tra như A.4. Đối với tệp bị lộ, đường dẫn, mức nghiêm trọng và loại được lưu, không bao giờ lưu nội dung. |
| Yêu cầu tới bên thứ ba | Truy vấn DNS (SPF, DMARC, MX, bản ghi bằng chứng). Tra cứu cơ quan đăng ký qua RDAP theo danh mục IANA: chỉ tên miền. Danh sách chặn DNS (SpamCop, PSBL, Mailspike, SURBL; Spamhaus chỉ khi có lưu thông tin truy cập, hiện không có): địa chỉ IP của máy chủ web và thư cùng tên miền, không có dữ liệu khách truy cập. Google Web Risk chỉ khi được thiết lập (hiện chưa): địa chỉ trang chủ. Tổ chức cấp dấu thời gian: chỉ giá trị băm (B.19). WPVulnerability: chỉ mã định danh tiện ích hoặc giao diện, hoặc phiên bản WordPress; chúng tôi tự đối chiếu với phiên bản tiện ích được cài. Trang trạng thái của Cloudflare, hCaptcha, Google Cloud, SendGrid, Mailgun và Brevo: không truyền bất kỳ thứ gì ngoài chính yêu cầu. |
| Nguồn | Khách hàng; yêu cầu tới trang của Khách hàng; danh mục công khai. |
| Cơ sở pháp lý | Điều 6(1)(b) GDPR. |
| Người nhận | Các dịch vụ được nêu không nhận dữ liệu cá nhân của Khách hàng chúng tôi, trong phạm vi tên miền và địa chỉ máy chủ của doanh nghiệp không phải dữ liệu cá nhân; đối với cá nhân kinh doanh, tên miền có thể là dữ liệu cá nhân. Thành viên không gian làm việc thấy tên miền. |
| Nước thứ ba | Yêu cầu có thể đến dịch vụ tại nước thứ ba (chẳng hạn tra cứu cơ quan đăng ký, danh sách chặn). Chỉ những gì nêu tại hàng “Yêu cầu tới bên thứ ba” được truyền. |
| Lưu giữ | Cho đến khi tên miền bị xóa. Khi đó fe_domain_loeschen() xóa ngay kết quả kiểm tra, biểu mẫu, phát hiện, ảnh, báo cáo, tác vụ, đích và nhật ký cảnh báo, sự cố, mã Telegram, dữ liệu giao thư, kiểm tra nhanh biểu mẫu, lỗ hổng và bằng chứng; qua khóa ngoại xóa biểu mẫu được giám sát, lần chạy trình duyệt, tài khoản thử nghiệm và bộ đếm biểu mẫu; xóa dữ liệu tiện ích của máy chủ nếu không có tên miền khác tham chiếu tới máy chủ đó. Cũng xóa danh mục tập lệnh và thay đổi tập lệnh của tên miền; chúng không có thời hạn lưu giữ riêng (phần 6.4). Kết quả kiểm tra được giữ tối đa 13 tháng, kết quả gần nhất được giữ lại. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Chức năng giám sát tệp bị lộ và phiên bản chỉ dành cho tên miền đã xác minh, tối đa một yêu cầu mỗi đường dẫn, chỉ 8 KB đầu tiên; dò đường dẫn bên thứ ba khi không được yêu cầu sẽ trở thành công cụ tấn công. |
B.16 Cảnh báo, sự cố và nâng cấp cảnh báo tới chủ tài khoản
| Trường | Nội dung |
|---|
| Mục đích | Thông báo cho Khách hàng về lỗi và thay đổi, tuân thủ khung thời gian bảo trì, xác nhận tiếp nhận và nâng cấp cảnh báo sự cố. Khi đích là bên thứ ba, chúng tôi hành động thay mặt Khách hàng (A.3); khi là chính chủ tài khoản, việc đó được nêu tại đây. |
| Nhóm chủ thể dữ liệu | Chủ tài khoản và thành viên nhóm với tư cách người nhận. |
| Loại dữ liệu cá nhân | Như A.3. Thông báo xuất hiện bằng ngôn ngữ của chủ tài khoản. |
| Cơ sở pháp lý | Điều 6(1)(b) GDPR. |
| Người nhận | Nhà cung cấp dịch vụ thư; dịch vụ trò chuyện được chọn (4.1). |
| Nước thứ ba | Tùy kênh (4.1). |
| Lưu giữ | Như A.3: nhật ký chuyển giao 90 ngày, thông báo tổng hợp 30 ngày sau khi chuyển giao, sự cố đến khi giải quyết rồi thêm 180 ngày. Đích nhận cảnh báo bị xóa cùng tên miền. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.17 Báo cáo hằng tháng cho tài khoản
| Trường | Nội dung |
|---|
| Mục đích | Vào ngày 1 mỗi tháng từ 08:00 (gửi bù đến ngày 3), một e-mail cho mỗi tài khoản bao gồm tất cả tên miền: mức độ bảo vệ, điểm số và thay đổi, cảnh báo, bot bị chặn, gửi e-mail, giá trị so sánh. |
| Nhóm chủ thể dữ liệu | Chủ tài khoản đang hoạt động có bật báo cáo hằng tháng. |
| Loại dữ liệu cá nhân | Địa chỉ e-mail, ngôn ngữ, số liệu chính của tên miền. |
| Cơ sở pháp lý | Điều 6(1)(b) GDPR (một phần của dịch vụ). Có thể hủy đăng ký trong cài đặt; có thể tắt tập trung. |
| Người nhận | Nhà cung cấp dịch vụ thư (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). |
| Nước thứ ba | Qua nhà cung cấp dịch vụ thư. |
| Lưu giữ | Không lưu riêng; e-mail còn trong hộp thư đi 30 ngày (B.25). |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.18 Huy hiệu và trang xác nhận công khai
| Trường | Nội dung |
|---|
| Mục đích | Khách hàng có thể nhúng ảnh huy hiệu trên website và liên kết tới trang xác nhận công khai. Huy hiệu chỉ hiển thị “Được bảo vệ” nếu tên miền đã xác minh, giám sát đang chạy và lần kiểm tra hoàn tất gần nhất cách đây tối đa 45 ngày với kết quả “Được bảo vệ” hoặc “Được bảo vệ một phần”; nếu không, huy hiệu hiển thị trung tính “Kiểm tra biểu mẫu liên hệ”. Trang xác nhận nêu mức độ và ngày, không nêu phát hiện riêng. |
| Nhóm chủ thể dữ liệu | Khách truy cập website của Khách hàng có trình duyệt tải ảnh; khách truy cập trang xác nhận. |
| Loại dữ liệu cá nhân | Khi ảnh được tải: địa chỉ IP, thời điểm, địa chỉ được yêu cầu, trang giới thiệu và mã nhận diện trình duyệt trong nhật ký máy chủ web (B.1). Địa chỉ ảnh không bắt đầu phiên, không đặt cookie và không ghi vào nhật ký lượt xem trang. Trang xác nhận là trang thông thường (B.2, B.3). |
| Cơ sở pháp lý | Điều 6(1)(f) GDPR. Lợi ích: cung cấp ảnh và duy trì vận hành an toàn. Việc Khách hàng và chúng tôi có đồng kiểm soát việc truyền địa chỉ IP của khách truy cập theo nghĩa của án lệ về nội dung nhúng bên thứ ba hay không và có cần thỏa thuận theo Điều 26 hay không là câu hỏi còn mở cho rà soát pháp lý. Khách hàng nhận văn bản đề xuất cho chính sách quyền riêng tư. |
| Người nhận | Không có. |
| Nước thứ ba | Không có. |
| Lưu giữ | 14 ngày (nhật ký máy chủ web). Ảnh được lưu đệm một giờ. Khi huy hiệu bị tắt, mã định danh không còn hiệu lực. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.19 Nhật ký bằng chứng và dấu thời gian
| Trường | Nội dung |
|---|
| Mục đích | Một nhật ký cho mỗi tên miền và tháng (gói trả phí): những gì đã kiểm tra, kết quả ra sao, những gì đã báo cáo và những gì đã thay đổi, làm bằng chứng cho trách nhiệm giải trình, công ty bảo hiểm hoặc kiểm toán nhà cung cấp. Mỗi phiên bản nhận số kiểm tra; trang công khai xác nhận tên miền, khoảng thời gian và số liệu chính, không có chi tiết. Kể từ ngày 7 tháng 10 năm 2026, tổ chức cấp dấu thời gian theo RFC 3161 xác nhận thời điểm. |
| Nhóm chủ thể dữ liệu | Khách hàng; gián tiếp là những người có thể được nêu trong nhật ký với tư cách người phê duyệt hoặc xác nhận tiếp nhận. |
| Loại dữ liệu cá nhân | Tên miền, tháng, số kiểm tra, giá trị băm nội dung (SHA-512), bản tóm tắt và dữ liệu nhật ký, phản hồi dấu thời gian, tổ chức cấp dấu thời gian và thời điểm, các lần thử thất bại (proof_docs). |
| Cơ sở pháp lý | Điều 6(1)(b) GDPR. |
| Người nhận | Tổ chức cấp dấu thời gian (mặc định Certum, dự phòng DigiCert) nhận chỉ giá trị băm của nhật ký, không phải nội dung. Công khai: số liệu chính qua trang xác nhận. Khách hàng và bất kỳ ai được Khách hàng cung cấp nhật ký hoặc số kiểm tra. |
| Nước thứ ba | Không chuyển dữ liệu cá nhân: giá trị băm không cho phép suy ra nội dung. Tổ chức dự phòng có cơ sở tại Hoa Kỳ. |
| Lưu giữ | Cho đến khi tên miền bị xóa (fe_domain_loeschen()). Dấu thời gian không phải dấu thời gian đủ điều kiện theo eIDAS. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.20 Tiện ích: kiểm tra, kết nối và truyền dữ liệu
| Trường | Nội dung |
|---|
| Mục đích | Tiện ích WordPress và tiện ích TYPO3 có thể yêu cầu kiểm tra (kể cả không có tài khoản), kết nối với tài khoản (việc cài đặt được coi là bằng chứng quyền kiểm soát với một lần nhấp trong tài khoản), mở khóa chức năng bảo vệ, báo cáo số liệu hằng ngày (A.9), đồng thời báo lỗi e-mail và chế độ bảo trì ngay lập tức. |
| Nhóm chủ thể dữ liệu | Khách hàng; đơn vị vận hành website sử dụng tiện ích không có tài khoản. |
| Loại dữ liệu cá nhân | Theo từng máy chủ: phiên bản tiện ích và CMS, số lần kiểm tra, mã định danh báo cáo gần nhất, giá trị băm bí mật kết nối, lần liên hệ đầu và cuối (plugin_sites). Mã kết nối dùng một lần dưới dạng giá trị băm kèm thời hạn hết hạn (plugin_connect_tokens). Mã triển khai của công ty dịch vụ dưới dạng giá trị băm kèm tiền tố, nhãn, số lần sử dụng, người tạo (workspace_connect_codes). Nhật ký yêu cầu với địa chỉ IP của máy chủ gọi (B.4). Khóa tiện ích hiển thị công khai trong phần head của website; đó là giá trị băm của bí mật, và chính bí mật chỉ được lưu dưới dạng giá trị băm, không bao giờ được trả về. |
| Cơ sở pháp lý | Điều 6(1)(b) GDPR (tài khoản); không có tài khoản là (f) (kiểm tra được yêu cầu, ngăn chặn lạm dụng). |
| Người nhận | Không có. |
| Nước thứ ba | Không có. |
| Lưu giữ | Dữ liệu máy chủ bị xóa ngay khi không còn tên miền nào tham chiếu tới máy chủ đó; hàng của tiện ích không có tài khoản chỉ bị xóa sau 90 ngày không liên hệ (lần chạy xóa hằng đêm, phần “orphan_hosts”). Mã dùng một lần bị xóa một ngày sau khi hết hạn. Mã triển khai bị xóa cùng không gian làm việc. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Kể từ ngày 27 tháng 9 năm 2026, máy chủ chỉ chấp nhận cặp khóa được ràng buộc với website; các bí mật kết nối cũ không được ràng buộc đã bị xóa. |
B.21 Bảo vệ cộng đồng
| Trường | Nội dung |
|---|
| Mục đích | Phòng vệ thư rác chung: website được kết nối báo cáo tên miền của liên kết trong thông điệp mà lớp bảo vệ đã chặn. Tên miền xuất hiện trên ít nhất ba website với ít nhất năm lượt khớp trong vòng bảy ngày được đưa vào danh sách gửi lại cho mọi website được kết nối; lớp bảo vệ của các website đưa thông điệp có liên kết đó vào cách ly, không bao giờ làm mất hẳn chúng. |
| Nhóm chủ thể dữ liệu | Chủ sở hữu tên miền liên kết được báo cáo khi là thể nhân (chẳng hạn người vận hành website thư rác dưới tên riêng). Không phải người gửi và người nhận thông điệp: địa chỉ, văn bản và tên không được báo cáo. |
| Loại dữ liệu cá nhân | Tín hiệu: loại, tên miền, máy chủ báo cáo, ngày, lượt khớp (swarm_signals). Danh sách: loại, tên miền, số website và lượt khớp, các thời điểm (swarm_list). Dịch vụ lớn, tên miền của Khách hàng chúng tôi và ngoại lệ do đơn vị vận hành đặt không bao giờ được đưa vào danh sách. |
| Mạng IP | Việc chia sẻ mạng IP (/24, /48) đã được chuẩn bị. Tính năng đang tắt và tiện ích không báo cáo mạng nào; chỉ bật sau rà soát pháp lý vì địa chỉ IP là dữ liệu cá nhân. |
| Cơ sở pháp lý | Điều 6(1)(f) GDPR. Lợi ích: bảo vệ biểu mẫu của tất cả Khách hàng trước các đợt thư rác. Cân nhắc: chỉ tên miền, ngưỡng tối thiểu chống đầu độc dữ liệu, không mất thông điệp, có thể gỡ bỏ bất kỳ lúc nào. |
| Người nhận | Tất cả website được kết nối (danh sách tên miền). |
| Nước thứ ba | Tùy địa điểm website được kết nối; danh sách cũng có thể đến website ngoài EEA. Danh sách chỉ cấu thành dữ liệu cá nhân trong trường hợp ranh giới (tên miền của thể nhân). Cơ sở chuyển dữ liệu theo Chương V GDPR cho những trường hợp này vẫn cần xác định (câu hỏi còn mở cho rà soát pháp lý). |
| Lưu giữ | Tín hiệu 30 ngày (lần chạy bảo vệ cộng đồng hằng ngày từ 04:00, cfg/swarm_lib.php). Danh sách được tính lại hằng ngày; mục không còn đạt ngưỡng bị loại ra. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.22 Khóa API, giao diện lập trình và máy chủ MCP
| Trường | Nội dung |
|---|
| Mục đích | Công cụ riêng của Khách hàng (REST API, Zapier, Make, máy chủ MCP cho trợ lý AI) truy cập tên miền, các lần kiểm tra và sự cố của Khách hàng. |
| Nhóm chủ thể dữ liệu | Khách hàng tạo khóa. |
| Loại dữ liệu cá nhân | Khóa chỉ dưới dạng giá trị băm, tiền tố, nhãn, thời điểm tạo, lần dùng gần nhất và thu hồi (api_keys). Số lời gọi mỗi phút (api_usage). |
| Cơ sở pháp lý | Điều 6(1)(b) GDPR. |
| Người nhận | Công cụ được Khách hàng cấp khóa; Khách hàng quyết định công cụ đó. |
| Nước thứ ba | Tùy công cụ của Khách hàng. |
| Lưu giữ | Khóa được giữ cho đến khi thu hồi, xóa ngay cùng tài khoản; khóa không có tài khoản (dữ liệu cũ) bị xóa hằng đêm. Bộ đếm lời gọi bị xóa sau một ngày (thỉnh thoảng được dọn khi có lời gọi). |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.23 reCAPTCHA và bảo vệ biểu mẫu riêng của chúng tôi
| Trường | Nội dung |
|---|
| Mục đích | Phòng vệ trước truy cập tự động vào biểu mẫu riêng của chúng tôi: kiểm tra miễn phí, công cụ tiêu đề, từ chối tham gia, đăng nhập, đăng ký, quên và đặt lại mật khẩu, hỗ trợ và liên hệ. Ngoài ra có bảo vệ riêng không dùng bên thứ ba: bẫy (trường ẩn), kiểm tra thời gian có chữ ký và token CSRF. Từ ngày 29 tháng 10 năm 2026 có thêm bảo vệ biểu mẫu formconfirmed của chúng tôi (bằng chứng công việc tính toán và mã kiểm tra dùng một lần) cho kiểm tra miễn phí, đăng ký, đăng nhập và “quên mật khẩu”. |
| Nhóm chủ thể dữ liệu | Người gửi các biểu mẫu này. |
| Loại dữ liệu cá nhân | Tại Google: địa chỉ IP, dữ liệu trình duyệt và thiết bị, dữ liệu hành vi, cookie Google. Phía chúng tôi: đánh giá của Google (điểm và hành động) chỉ tại thời điểm kiểm tra, không lưu, kể cả khi lượt gửi bị từ chối. Với bảo vệ biểu mẫu riêng: địa chỉ IP (chỉ lưu ở dạng rút gọn và đã băm), trang, các mốc thời gian, trường bẫy được điền có/không; không có nội dung. |
| Thời điểm | Tập lệnh của Google chỉ tải khi gửi biểu mẫu được bảo vệ, không phải khi mở trang. Bảo vệ biểu mẫu riêng lấy bài toán khi mở trang và tính toán ngay khi biểu mẫu được sử dụng. Trên hệ thống phát triển, reCAPTCHA được tắt. |
| Cơ sở pháp lý | Điều 6(1)(f) GDPR. Lợi ích: chống bot, đặc biệt cho kiểm tra miễn phí, vốn có thể bị sử dụng chống website bên thứ ba nếu thiếu bảo vệ. Việc truy cập thiết bị đầu cuối có cần sự đồng ý theo § 25 TDDDG hoặc Điều 399 PKE hay không, dù tập lệnh chỉ tải khi gửi, là câu hỏi còn mở cho rà soát pháp lý. Bảo vệ biểu mẫu riêng không đặt cookie, không lưu gì trong trình duyệt và không tạo dấu vân tay; biện pháp này nhằm thay thế reCAPTCHA về lâu dài. |
| Người nhận | Google Ireland Limited; Google LLC. Với bảo vệ biểu mẫu riêng: không có. |
| Nước thứ ba | Hoa Kỳ (chỉ reCAPTCHA). Cơ sở: chứng nhận theo Khuôn khổ bảo vệ dữ liệu EU–Hoa Kỳ hoặc điều khoản hợp đồng tiêu chuẩn; cần được ghi nhận chi tiết. |
| Lưu giữ | reCAPTCHA: không lưu tại chúng tôi; tại Google theo quy định của Google. Bảo vệ biểu mẫu riêng: mã định danh đã băm 1 giờ, mã kiểm tra đã dùng tối đa 11 phút, kết quả kiểm tra không có địa chỉ IP 30 ngày. |
| Sự cố ngừng hoạt động | Nếu Google không phản hồi trong ba giây hoặc phản hồi không dùng được, lượt gửi bị từ chối; tương tự đối với token trống và phản hồi cho hành động khác hành động của biểu mẫu. Chỉ bỏ qua kiểm tra khi reCAPTCHA bị tắt. Với bảo vệ biểu mẫu riêng, lượt gửi không có mã kiểm tra hợp lệ bị từ chối; nếu dịch vụ không thể truy cập để lấy bài toán, lượt gửi được cho phép. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.24 Biểu mẫu hỗ trợ và liên hệ
| Trường | Nội dung |
|---|
| Mục đích | Tiếp nhận và trả lời yêu cầu qua cửa sổ hỗ trợ và trang liên hệ. Cả hai sử dụng cùng luồng xử lý và cùng bảng. |
| Nhóm chủ thể dữ liệu | Người gửi yêu cầu, đã đăng nhập hoặc chưa. |
| Loại dữ liệu cá nhân | Tài khoản (nếu đã đăng nhập; khi đó dùng địa chỉ của tài khoản, không phải địa chỉ được nhập), địa chỉ e-mail, lý do từ danh sách cố định, văn bản tối đa 4.000 ký tự, trạng thái, địa chỉ IP đầy đủ, quốc gia, mã nhận diện trình duyệt, trang giới thiệu (chỉ đường dẫn riêng), ngôn ngữ, thời điểm nhận và trả lời (support_requests); mục trong nhật ký hoạt động (không có văn bản); xác nhận đã nhận gửi người yêu cầu trong hộp thư đi (B.25), chỉ với người gửi đã đăng nhập mới kèm văn bản tối đa 2.000 ký tự, không kèm văn bản đối với yêu cầu không đăng nhập. |
| Cơ sở pháp lý | Điều 6(1)(b) GDPR khi yêu cầu liên quan đến hợp đồng; nếu không là (f). Địa chỉ IP đầy đủ: (f) (giới hạn ba yêu cầu mỗi giờ và địa chỉ, ngăn chặn lạm dụng). |
| Người nhận | Nhà cung cấp dịch vụ thư (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) cho xác nhận và trả lời. Telegram nhận tín hiệu cố định không có biến nào (“có yêu cầu hỗ trợ mới”), do đó không có dữ liệu cá nhân. |
| Nước thứ ba | Qua nhà cung cấp dịch vụ thư. |
| Lưu giữ | 24 tháng (lần chạy xóa hằng đêm, phần “support”); có thể xóa thủ công sớm hơn. Khi tài khoản bị xóa, yêu cầu còn đến hết thời hạn lưu giữ (phần 6.4). |
| Biện pháp kỹ thuật và tổ chức | Phần 8. reCAPTCHA, bảo vệ biểu mẫu riêng, giới hạn tốc độ. |
B.25 Gửi e-mail (hộp thư đi)
| Trường | Nội dung |
|---|
| Mục đích | E-mail giao dịch: xác nhận đăng ký và địa chỉ e-mail mới, đặt lại mật khẩu, lời mời, cảnh báo, báo cáo hằng tháng, xác nhận và báo cáo cổng khách hàng, xác nhận đã nhận và trả lời hỗ trợ, nhắc nhở thời gian dùng thử và thiết lập, thông báo vận hành tới đơn vị vận hành. Không quảng cáo, không e-mail tới người chưa tự đăng ký hoặc chưa được Khách hàng nhập làm người nhận. |
| Nhóm chủ thể dữ liệu | Người nhận các e-mail này. |
| Loại dữ liệu cá nhân | Địa chỉ người nhận, chủ đề, toàn bộ nội dung, địa chỉ trả lời, mục đích, phương thức gửi, trạng thái, lỗi, số lần thử, các thời điểm (mail_outbox). Nội dung có thể bao gồm liên kết xác nhận và đặt lại với mã định danh còn hiệu lực. |
| Cơ sở pháp lý | Điều 6(1)(b) GDPR; đối với thông báo vận hành là (f). |
| Người nhận | Namecheap, Inc. (Private Email), Phoenix, Arizona, USA (gửi); chủ tài khoản thấy e-mail đã gửi của mình trong bản xuất dữ liệu (không có nội dung). |
| Nước thứ ba | Tùy nơi xử lý của nhà cung cấp dịch vụ thư; hợp đồng và cơ sở chuyển dữ liệu vẫn cần được ghi nhận (phần 4). |
| Lưu giữ | 30 ngày (hằng đêm, srv/cron_status.php). Thời hạn này chủ ý ngắn nhất trong các nhật ký: nhật ký gửi dài hạn sẽ là bộ sưu tập khóa còn hiệu lực. Lần chạy kiểm tra trạng thái kiểm tra mỗi năm phút xem đã đến hạn thử lại hay chưa. |
| Trạng thái | Gửi e-mail phải được thiết lập trước khi ra mắt. Cho đến khi nhà cung cấp dịch vụ thư cùng trụ sở và cơ sở pháp lý được xác định, các văn bản pháp lý hiển thị dấu chỗ trống. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. E-mail thất bại được thử lại với khoảng thời gian tăng dần và dừng sau số lần thử tối đa. |
B.26 Thanh toán và lập hóa đơn
| Trường | Nội dung |
|---|
| Mục đích | Giao kết và quản lý đăng ký (thanh toán trước hằng tháng hoặc hằng năm), thời gian dùng thử 14 ngày không cần thẻ với nhắc nhở ba ngày trước khi kết thúc, thanh toán theo hóa đơn cho đăng ký năm (mặc định tắt), mở khóa qua mã nhà cung cấp dịch vụ lưu trữ và đối tác không cần thanh toán, lập hóa đơn, lưu giữ cho mục đích thuế. |
| Nhóm chủ thể dữ liệu | Khách hàng. |
| Loại dữ liệu cá nhân | Tại Stripe: địa chỉ e-mail, tên, địa chỉ thanh toán, mã số VAT, dữ liệu thanh toán, hóa đơn; siêu dữ liệu gồm ID tài khoản của chúng tôi và gói dịch vụ. Phía chúng tôi: ID khách hàng và đăng ký Stripe, gói, trạng thái, thời điểm kết thúc kỳ, hủy vào cuối kỳ (users); sự kiện Stripe được nhận chỉ với mã định danh, loại, trạng thái và các thời điểm, không có nội dung (stripe_events); việc sử dụng mã nhà cung cấp dịch vụ lưu trữ với tài khoản, chiến dịch và thời hạn hết hạn (bundle_redemptions). Dữ liệu thẻ không bao giờ đến chúng tôi. |
| Nguồn | Khách hàng tại trang thanh toán của Stripe; sự kiện từ Stripe. |
| Cơ sở pháp lý | Điều 6(1)(b) GDPR; lưu giữ cho mục đích thuế là (c). |
| Người nhận | Stripe Payments Europe Limited (Ireland); Stripe, Inc. (USA). Đối với một số phần xử lý thanh toán, Stripe hoạt động theo trách nhiệm riêng; việc phân định vai trò chính xác thuộc rà soát pháp lý. |
| Nước thứ ba | Hoa Kỳ qua Stripe, Inc.; cơ sở: Khuôn khổ bảo vệ dữ liệu hoặc điều khoản hợp đồng tiêu chuẩn theo điều khoản của Stripe. |
| Lưu giữ | Các trường thanh toán bị xóa cùng tài khoản; đăng ký đang chạy được kết thúc trước khi xóa tài khoản. Hóa đơn và chứng từ thanh toán được giữ theo pháp luật thuế Ba Lan trong năm năm tính từ cuối năm mà thời hạn nộp thuế kết thúc; chúng được giữ tại Stripe và có thể truy xuất trong cổng khách hàng Stripe. Sự kiện Stripe và việc sử dụng mã không có thời hạn lưu giữ (phần 6.4). |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Sự kiện Stripe chỉ được chấp nhận với chữ ký hợp lệ; mỗi sự kiện được xử lý một lần. |
B.27 Bản sao lưu
| Trường | Nội dung |
|---|
| Mục đích | Khôi phục sau lỗi: xóa nhầm, chuyển đổi dữ liệu bị hỏng. |
| Nhóm chủ thể dữ liệu | Mọi người có dữ liệu trong cơ sở dữ liệu. |
| Loại dữ liệu cá nhân | Bản kết xuất đầy đủ, được nén của cơ sở dữ liệu ứng dụng. Ảnh chụp màn hình và tệp logo được giữ ngoài cơ sở dữ liệu và không thuộc bản sao lưu này. Thông tin đăng nhập tài khoản thử nghiệm chỉ có trong đó dưới dạng bản mã (A.5). |
| Quy trình | Hằng đêm lúc 03:00, sau lần chạy xóa, để bản sao lưu không mang theo những gì thời hạn lưu giữ vừa xóa. Bản kết xuất chỉ được giữ sau khi kiểm tra nội dung (mã thoát, số bảng, dòng cuối). Vào Chủ nhật, kiểm thử khôi phục nạp bản sao lưu mới nhất vào cơ sở dữ liệu dùng một lần và đối chiếu từng bảng. Nếu có bất kỳ thất bại nào, gửi tín hiệu và e-mail tới đơn vị vận hành. |
| Cơ sở pháp lý | Điều 6(1)(f) GDPR kết hợp Điều 32(1)(c). |
| Người nhận | Không có. |
| Nước thứ ba | Không có. |
| Lưu giữ | 14 ngày; các bản kết xuất cũ chỉ được gỡ sau bản sao lưu mới thành công (cfg/backup_lib.php). Việc xóa trong thời gian này chỉ có tác động tới bản sao lưu khi bản sao hết hạn; nếu dữ liệu được khôi phục từ bản sao lưu, yêu cầu xóa được áp dụng lại sau đó. |
| Địa điểm | Hiện tại bản sao lưu được giữ cùng địa điểm với cơ sở dữ liệu và không được mã hóa riêng; bản sao mã hóa tại địa điểm thứ hai đang được dự kiến (phần 8.1 và 10). |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.28 Nhật ký lỗi và cảnh báo lỗi
| Trường | Nội dung |
|---|
| Mục đích | Tìm và sửa lỗi trước khi Khách hàng báo cáo. Loại lỗi mới và các đợt lỗi được báo cho đơn vị vận hành, cộng bản tổng quan hằng ngày từ 08:00. |
| Nhóm chủ thể dữ liệu | Người dùng có yêu cầu gây lỗi; gián tiếp là người có dữ liệu xuất hiện trong thông điệp lỗi. |
| Loại dữ liệu cá nhân | Mức độ, nguồn, thông điệp, ngữ cảnh dạng JSON, ID tài khoản của phiên, thời điểm (error_logs). Loại lỗi: dấu vân tay, mẫu hình (đã loại địa chỉ e-mail, địa chỉ, số và mã định danh), một thông điệp mẫu nguyên trạng tối đa 2.000 ký tự, lần xuất hiện đầu và cuối, số lượng (error_kinds). |
| Cơ sở pháp lý | Điều 6(1)(f) GDPR (bảo mật vận hành, Điều 32). |
| Người nhận | Đơn vị vận hành qua e-mail thông qua nhà cung cấp dịch vụ thư: đối với loại lỗi mới, nguồn và văn bản thô của thông điệp tối đa 400 ký tự (không được làm sạch), cộng e-mail tổng quan hằng ngày; đối với đợt lỗi, chỉ gửi tín hiệu Telegram. Telegram chỉ nhận câu cố định không có biến (“Đã xuất hiện loại lỗi mới”, “Nhiều lỗi trong thời gian ngắn”). |
| Nước thứ ba | Qua nhà cung cấp dịch vụ thư. |
| Lưu giữ | Nhật ký lỗi 90 ngày (hằng đêm). Loại lỗi không có thời hạn lưu giữ (phần 10). Cảnh báo lỗi bật trên hệ thống sản xuất và tắt trên hệ thống phát triển. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.29 Tín hiệu vận hành và giám sát trạng thái
| Trường | Nội dung |
|---|
| Mục đích | Nhận biết sự cố ngừng hoạt động: mỗi năm phút kiểm tra các thành phần (trang chủ, cơ sở dữ liệu, dung lượng đĩa, nhịp báo hoạt động của trình quét, tồn đọng hàng đợi), trang trạng thái, tín hiệu khi có lỗi và khi hoạt động trở lại, nhịp báo hoạt động tới dịch vụ giám sát bên ngoài để ngay cả sự cố ngừng toàn bộ cũng được nhận biết; tồn đọng trước trình quét. |
| Nhóm chủ thể dữ liệu | Thông thường không có. |
| Loại dữ liệu cá nhân | Không có. Hàng dữ liệu hằng ngày theo từng thành phần với số lần kiểm tra và lỗi gần nhất (system_status_logs), nhịp báo hoạt động của trình quét (scanner_heartbeat), số liệu chính hằng ngày không liên quan cá nhân (daily_stats). Tín hiệu tới Telegram là câu cố định không có biến; nhịp báo hoạt động là yêu cầu không có nội dung. |
| Cơ sở pháp lý | Không áp dụng vì không có dữ liệu cá nhân; để thận trọng, Điều 6(1)(f). |
| Người nhận | Telegram (câu cố định); dịch vụ giám sát bên ngoài (chỉ yêu cầu); đơn vị vận hành qua e-mail. |
| Nước thứ ba | Telegram ngoài EU; không truyền dữ liệu cá nhân. |
| Lưu giữ | Hàng trạng thái 400 ngày (hằng đêm). |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.30 Từ chối tham gia – loại trừ tên miền
| Trường | Nội dung |
|---|
| Mục đích | Bất kỳ ai cũng có thể loại trừ vĩnh viễn bất kỳ tên miền nào khỏi kiểm tra mà không cần bằng chứng; lệnh chặn có hiệu lực ngay cho mọi phương thức kiểm tra (kiểm tra miễn phí, tiện ích không có tài khoản, nghiên cứu, kiểm tra website khách hàng tiềm năng, công cụ tiêu đề), kể cả tên miền của Khách hàng trả phí có bằng chứng quyền kiểm soát; giám sát đang chạy của họ kết thúc ở lần kiểm tra theo lịch tiếp theo. Việc loại trừ áp dụng cho tên miền và biến thể www, không áp dụng cho tên miền phụ khác. Chỉ chúng tôi gỡ bỏ theo yêu cầu và có bằng chứng. Để có thể phát hiện và đảo ngược lạm dụng (chẳng hạn đối thủ cạnh tranh chặn tên miền người khác), việc chặn được ghi nhật ký. |
| Nhóm chủ thể dữ liệu | Người loại trừ tên miền. |
| Loại dữ liệu cá nhân | Tên miền, lý do tự nguyện tối đa 250 ký tự, nguồn, địa chỉ IP, quốc gia, mã nhận diện trình duyệt, thời điểm; khi gỡ bỏ có thời điểm, người gỡ chặn và lý do (blocklist). Nhật ký yêu cầu như B.4. |
| Cơ sở pháp lý | Đối với việc loại trừ, Điều 6(1)(f) GDPR. Lợi ích: thực hiện vĩnh viễn và trên mọi phương thức kiểm tra mong muốn không kiểm tra tên miền. Khi người loại trừ chính là chủ thể dữ liệu, việc loại trừ đồng thời thực hiện phản đối của họ theo Điều 21 (Điều 6(1)(c)). Đối với địa chỉ, quốc gia và mã nhận diện trình duyệt là (f) (phát hiện lạm dụng). |
| Người nhận | Google (reCAPTCHA, B.23). |
| Nước thứ ba | Hoa Kỳ qua reCAPTCHA. |
| Lưu giữ | Địa chỉ IP, quốc gia và mã nhận diện trình duyệt bị xóa sau 12 tháng (lần chạy xóa hằng đêm, phần “optout_ip”). Bản thân việc loại trừ còn vĩnh viễn để có hiệu lực. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Nhiều lệnh chặn từ cùng quốc gia trong thời gian ngắn tạo thành bất thường (B.4). |
B.31 Nhắc nhở sau đăng ký
| Trường | Nội dung |
|---|
| Mục đích | Một e-mail duy nhất từ hai đến 14 ngày sau đăng ký gửi tài khoản đã xác nhận nhưng chưa có tên miền đã xác nhận: “Thêm website” hoặc “Xác nhận tên miền”. Không chào hàng, không giá, không nâng gói; kèm ghi chú sẽ không gửi lại. Các ngày từ thứ Hai đến thứ Sáu, từ 09:00 đến 18:00, tối đa 50 e-mail mỗi lần chạy. |
| Nhóm chủ thể dữ liệu | Chủ tài khoản mới. |
| Loại dữ liệu cá nhân | Địa chỉ e-mail, ngôn ngữ, thời điểm gửi (trường “reminder sent” trong users), tên miền và trạng thái xác nhận. |
| Cơ sở pháp lý | Điều 6(1)(b) GDPR (ghi chú về thiết lập tài khoản riêng). Việc e-mail được coi là thông tin về quan hệ hợp đồng hay thông tin thương mại cần có sự đồng ý (Điều 10 UŚUDE, Luật Ba Lan về cung cấp dịch vụ bằng phương tiện điện tử (ustawa o świadczeniu usług drogą elektroniczną); Điều 398 PKE; § 7 UWG) là câu hỏi còn mở cho rà soát pháp lý; đơn vị vận hành có thể tắt tập trung. |
| Người nhận | Nhà cung cấp dịch vụ thư (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). |
| Nước thứ ba | Qua nhà cung cấp dịch vụ thư. |
| Lưu giữ | Thời điểm được giữ chừng nào tài khoản còn tồn tại; e-mail được giữ 30 ngày trong hộp thư đi. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Thời điểm được đặt trước khi gửi để việc bị hủy không kích hoạt e-mail thứ hai. |
B.32 Bot Telegram cho cảnh báo Khách hàng
| Trường | Nội dung |
|---|
| Mục đích | Liên kết cuộc trò chuyện Telegram làm đích nhận cảnh báo: Khách hàng nhận liên kết tới bot của chúng tôi kèm mã dùng một lần; khi người nhận nhấn “Start”, máy chủ của chúng tôi đọc mã từ thông điệp mới gửi tới bot và lưu ID cuộc trò chuyện. Việc này không cần điểm cuối mở ở phía chúng tôi (webhook). |
| Nhóm chủ thể dữ liệu | Khách hàng và những người có cuộc trò chuyện Telegram được liên kết. |
| Loại dữ liệu cá nhân | Mã dùng một lần, tên miền, tài khoản tạo, sự kiện, chế độ chuyển giao, ID cuộc trò chuyện, các thời điểm (telegram_links); ID cuộc trò chuyện làm đích (alerts). Telegram cung cấp thêm thông tin hồ sơ cùng thông điệp; chỉ mã và ID cuộc trò chuyện được đánh giá và lưu. |
| Cơ sở pháp lý | Điều 6(1)(b) GDPR; đối với người nhận là bên thứ ba, A.3. |
| Người nhận | Telegram. |
| Nước thứ ba | Ngoài EU, không có quyết định về mức độ bảo vệ đầy đủ; Khách hàng đưa ra lựa chọn (4.1). Cơ sở và thông báo là câu hỏi còn mở cho rà soát pháp lý. |
| Lưu giữ | Mã có hiệu lực 30 phút; hàng liên kết bị xóa sau một ngày khi tạo mã mới, mã còn hiệu lực bị xóa cùng tài khoản và tên miền. ID cuộc trò chuyện làm đích được giữ cho đến khi đích nhận cảnh báo hoặc tên miền bị xóa. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.33 Chương trình đối tác và mã mở khóa
| Trường | Nội dung |
|---|
| Mục đích | Tài khoản có thể giới thiệu Khách hàng mới qua mã giới thiệu và nhận hoa hồng từ các hóa đơn đã thanh toán của họ trong một số tháng giới hạn. Mã đi theo địa chỉ cho đến khi đăng ký; không đặt cookie. Nhà cung cấp dịch vụ lưu trữ và đối tác có thể phát hành mã mở khóa gói trong một thời gian mà không cần thanh toán; một tuần trước khi kết thúc, Khách hàng nhận nhắc nhở. |
| Trạng thái | Chương trình đối tác mặc định tắt cho đến khi có Điều khoản đối tác. |
| Nhóm chủ thể dữ liệu | Đối tác và Khách hàng được giới thiệu. |
| Loại dữ liệu cá nhân | Mã giới thiệu, đối tác giới thiệu và thời điểm giới thiệu (trong users); hoa hồng cùng đối tác, Khách hàng, ID hóa đơn Stripe, số tiền, đồng tiền, hoa hồng, trạng thái, các thời điểm (partner_commissions). Mở khóa cùng gói, thời điểm kết thúc, nguồn, nhắc nhở (trong users); chiến dịch và việc sử dụng mã (bundle_campaigns, bundle_redemptions). |
| Cơ sở pháp lý | Điều 6(1)(b) GDPR (thỏa thuận đối tác); đối với Khách hàng là (f) (thanh toán hoa hồng mà không chuyển dữ liệu Khách hàng cho đối tác ngoài số tiền hoa hồng); chứng từ thuế là (c). |
| Người nhận | Đối tác thấy hoa hồng của mình. |
| Nước thứ ba | Không có. |
| Lưu giữ | Thông tin giới thiệu và mở khóa bị xóa cùng tài khoản. Hoa hồng và việc sử dụng mã không có thời hạn lưu giữ trong mã; với tư cách chứng từ kế toán, hoa hồng chịu thời hạn lưu giữ cho mục đích thuế (phần 6.4). |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.34 Đầu mối tiếp nhận báo cáo lỗ hổng
| Trường | Nội dung |
|---|
| Mục đích | Tiếp nhận báo cáo lỗ hổng trong formexposed, theo các quy tắc trên trang Bảo mật và trong /.well-known/security.txt. |
| Nhóm chủ thể dữ liệu | Người báo cáo; người có dữ liệu trong báo cáo làm bằng chứng. |
| Loại dữ liệu cá nhân | Địa chỉ e-mail, tên, nội dung báo cáo và tệp đính kèm như người báo cáo gửi. Báo cáo đến chúng tôi qua e-mail tới địa chỉ nêu tại đó; ứng dụng không lưu báo cáo. |
| Cơ sở pháp lý | Điều 6(1)(f) GDPR (bảo mật dịch vụ, Điều 32); khi báo cáo chứa dữ liệu cá nhân bên thứ ba làm bằng chứng, cũng là (f), nhằm khắc phục lỗ hổng. |
| Người nhận | Nhà cung cấp dịch vụ thư và, cho đến khi hộp thư được thiết lập, dịch vụ chuyển tiếp tên miền tại Namecheap (phần 4). |
| Nước thứ ba | Qua nhà cung cấp dịch vụ thư và, cho đến khi chuyển đổi, qua chuyển tiếp. |
| Lưu giữ | Chưa đặt thời hạn lưu giữ và chưa thực thi bằng kỹ thuật (phần 10). Đơn vị vận hành vẫn cần đặt thời hạn; một cách tiếp cận dễ thấy là xóa bằng chứng bên thứ ba khi lỗ hổng đã được khắc phục và xử lý thư trao đổi như yêu cầu hỗ trợ. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. |
B.35 Phản hồi về báo cáo
| Trường | Nội dung |
|---|
| Mục đích | Tiếp nhận phản hồi bên dưới báo cáo (“Có điều gì sai trong báo cáo này không?”) để tìm lỗi nhận diện biểu mẫu. Quản trị viên cấp cao phân loại phản hồi (mới, đã xác nhận, đã sửa, bị từ chối) và có thể tải dữ liệu kiểm tra của báo cáo làm ca kiểm thử (biểu mẫu cùng các trường, lý do và phát hiện, không có ảnh chụp màn hình và không có văn bản đã được gửi chủ động). |
| Nhóm chủ thể dữ liệu | Người xem báo cáo, đã đăng nhập hoặc chưa. |
| Loại dữ liệu cá nhân | Nhóm và mục kiểm tra từ danh sách cố định, địa chỉ trang tối đa 500 ký tự, văn bản tối đa 1.000 ký tự, ngôn ngữ, thời điểm, mã định danh báo cáo, lần kiểm tra, máy chủ; mã định danh tài khoản nếu đăng nhập; HMAC-SHA256 của địa chỉ IP với khóa bí mật để giới hạn; trạng thái, người xử lý, thời điểm xử lý (report_feedback). Nhật ký hoạt động: thay đổi trạng thái và tải ca kiểm thử. Không có địa chỉ e-mail, không có địa chỉ IP dạng rõ. |
| Cơ sở pháp lý | Điều 6(1)(f) GDPR (tìm và sửa lỗi nhận diện; giới hạn chống lạm dụng). |
| Người nhận | Không có. |
| Nước thứ ba | Không có. |
| Lưu giữ | 24 tháng (lần chạy xóa hằng đêm, phần “report_feedback”); giá trị tổng kiểm tra của địa chỉ IP được xóa sau 2 ngày (phần “report_feedback_ip”); xóa ngay khi tài khoản bị xóa. Ca kiểm thử tải xuống không chứa dữ liệu về người báo cáo. |
| Biện pháp kỹ thuật và tổ chức | Phần 8. Bảo vệ biểu mẫu riêng (bẫy, thời gian có chữ ký, CSRF), tối đa 5 phản hồi mỗi giờ và 20 mỗi ngày theo từng giá trị tổng kiểm tra, 10 cho mỗi báo cáo; chỉ quản trị viên cấp cao có thể đọc. |
6. Lưu giữ – những gì lần chạy xóa hằng đêm bao gồm và không bao gồm
Có xóa tự động và có nơi thực hiện. Một lần chạy kiểm tra trạng thái (srv/cron_status.php) được khởi chạy mỗi năm phút qua crontab của máy chủ web, trên hệ thống sản xuất cũng như phát triển. Lần chạy kiểm tra thành phần, truy xuất thư kiểm tra giao thư, lên lịch kiểm tra và gửi cảnh báo. Mỗi ngày một lần, trong khung từ 03:00 đến 03:04, lần chạy xóa theo thời hạn lưu giữ rồi tạo bản sao lưu. Kể từ ngày 27 tháng 9 năm 2026, lần chạy còn gọi quy trình lưu giữ trong cfg/fristen_lib.php (fe_fristen_lauf()), có các phần chạy độc lập với nhau: nếu một phần thất bại, các phần khác tiếp tục và lỗi được ghi trong nhật ký lỗi.
Bằng chứng quy trình đang chạy: trạng thái sao lưu của hệ thống phát triển cho thấy sao lưu thành công lúc 03:00 ngày 11 tháng 10 năm 2026; bản sao lưu được tạo trong cùng khối ngay sau việc xóa. Quy trình chỉ ghi nhật ký cho từng bảng bị xóa ra đầu ra tiêu chuẩn mà crontab loại bỏ; không có hồ sơ lâu dài về dữ liệu nào được xóa vào lúc nào (phần 10).
Thời hạn lưu giữ xuất hiện dưới dạng biến chỗ trống được đặt trong khu vực quản trị tại cài đặt lưu giữ. Quy trình đọc cùng các cài đặt đó; vì vậy văn bản luôn hiển thị thời hạn mà sau đó dữ liệu thực sự bị xóa.
6.1 Được lần chạy hằng ngày bao gồm
| Dữ liệu | Thời hạn lưu giữ và điều kiện kích hoạt | Vị trí trong mã |
|---|
Nhật ký lượt xem trang (access_logs) | 60 ngày | srv/cron_status.php |
Nhật ký hoạt động (audit_logs) | 365 ngày | srv/cron_status.php |
Nhật ký lỗi (error_logs) | 90 ngày | srv/cron_status.php |
Hộp thư đi (mail_outbox) | 30 ngày | srv/cron_status.php |
Token ghi nhớ cho “Duy trì đăng nhập” (remember_tokens) | sau khi hết hạn (30 ngày) | srv/cron_status.php |
Lời mời chưa được chấp nhận (workspace_invites) | sau khi hết hạn (14 ngày) | srv/cron_status.php |
Lần thử đăng nhập (login_attempts); bộ đếm lần thử (auth_attempt_buckets) | 7 ngày; bộ đếm khi khung thời gian hết hạn (hiện 15 phút, một giờ cho đặt lại mật khẩu và đăng ký), cũng ở lần truy cập tiếp theo | srv/cron_status.php |
Nhật ký yêu cầu kiểm tra không có tài khoản (check_throttle) | 7 ngày | srv/cron_status.php |
Mã dùng một lần để kết nối tiện ích (plugin_connect_tokens) | 1 ngày sau khi hết hạn | srv/cron_status.php |
Bất thường đã giải quyết (abuse_flags) | 90 ngày sau khi giải quyết | srv/cron_status.php |
| Báo cáo hết hạn cùng kết quả kiểm tra, biểu mẫu, phát hiện, ảnh và tác vụ (chỉ khi không có tên miền trong tài khoản) | ẩn danh 30 ngày, khách hàng tiềm năng 90 ngày | fe_reports_aufraeumen() |
Nhật ký chuyển giao cảnh báo (alert_log) | 90 ngày | fe_alert_log_aufraeumen() |
Hàng trạng thái (system_status_logs) | 400 ngày | srv/cron_status.php |
Hồ sơ đồng ý của tài khoản đã xóa (legal_consents) | khi tài khoản đã bị xóa và sự đồng ý đã có từ 4 năm trước | srv/cron_status.php |
| Dữ liệu mồ côi của tên miền đã xóa: kết quả kiểm tra, tác vụ, dữ liệu cảnh báo, sự cố, mã Telegram, dữ liệu giao thư, kiểm tra nhanh biểu mẫu, lỗ hổng, bằng chứng, danh mục và thay đổi tập lệnh | ngay ở lần chạy tiếp theo | fe_fristen_lauf(), các phần “orphan_scans”, “orphan_rows” |
| Dữ liệu tiện ích của máy chủ không có tên miền; hàng tiện ích không có tài khoản | ngay lập tức; hàng bị xóa sau 90 ngày không liên hệ | phần “orphan_hosts” |
Kết quả công cụ tiêu đề (header_checks) | hiện là 90 ngày | phần “header_checks” |
| Kết quả kiểm tra tên miền cùng biểu mẫu, phát hiện, ảnh, báo cáo, tác vụ | 13 tháng; giữ lần hoàn tất gần nhất cho mỗi tên miền | phần “old_scans” |
Lần chạy trình duyệt, tác vụ trình duyệt đã hoàn tất, chuỗi thời gian (form_browser_runs, scan_jobs, form_performance) | 13 tháng | các phần “browser_runs”, “browser_jobs”, “form_performance” |
Bộ đếm biểu mẫu (form_metrics), số liệu tiện ích hằng ngày và thông báo thay đổi (plugin_stats, plugin_changes) | 13 tháng | các phần “form_metrics”, “plugin_stats” |
Thiết bị đã đăng nhập (login_sessions) | 90 ngày sau lần dùng gần nhất hoặc thu hồi | phần “sessions” |
| Lời mời đã chấp nhận | 30 ngày sau khi chấp nhận | phần “invites” |
Yêu cầu hỗ trợ (support_requests) | 24 tháng | phần “support” |
Phản hồi về báo cáo (report_feedback) | 24 tháng; giá trị tổng kiểm tra của địa chỉ IP 2 ngày | các phần “report_feedback” và “report_feedback_ip” |
Phiên bản PDF của báo cáo trong bộ nhớ đệm (var/pdf) | 7 ngày | phần “pdf_cache” |
Địa chỉ IP, quốc gia và mã nhận diện trình duyệt trong từ chối tham gia (blocklist) | 12 tháng; việc loại trừ vẫn còn | phần “optout_ip” |
Người đăng ký cổng (client_subscribers) | chưa xác nhận 30 ngày; đã hủy đăng ký 3 năm | phần “subscribers” |
| Tài khoản chưa từng xác nhận, cùng không gian làm việc | 30 ngày không đăng nhập, trừ khi có thành viên khác gắn với không gian | phần “pending_accounts” |
| Khóa API không có tài khoản (dữ liệu cũ) | ngay lập tức | phần “api_keys” |
6.2 Ngoài khung 03:00
| Dữ liệu | Thời hạn lưu giữ và điều kiện kích hoạt | Vị trí trong mã |
|---|
| Bản sao trong hộp thư kiểm soát của kiểm tra giao thư | sau khi xử lý, mỗi năm phút | fe_zustellung_abholen() |
Thông tin gán của kiểm tra giao thư (delivery_log) | 180 ngày, trong mỗi lần truy xuất | fe_zustellung_abholen() |
Bản mã tài khoản thử nghiệm trong tác vụ (scan_jobs) | sau lần chạy, muộn nhất sau một giờ | máy chủ quét; fe_login_aufraeumen() |
Sự cố (alert_incidents) cùng các lần thử chuyển giao cảnh báo nâng cấp | khi chưa giải quyết; 180 ngày sau khi giải quyết | fe_vorfaelle_aufraeumen() trong cfg/vorfall_lib.php |
Thông báo tổng hợp đã gửi (alert_queue) | 30 ngày sau khi chuyển giao | cfg/kanal_lib.php |
Tín hiệu bảo vệ cộng đồng (swarm_signals) | 30 ngày, hằng ngày từ 04:00 | cfg/swarm_lib.php |
Kiểm tra website khách hàng tiềm năng (prospect_checks) | 90 ngày, hằng ngày từ 04:00 | srv/cron_status.php |
Mã liên kết Telegram (telegram_links) | 1 ngày, khi tạo mã mới | cfg/kanal_lib.php |
Bộ đếm lời gọi API (api_usage) | 1 ngày, thỉnh thoảng khi có lời gọi | cfg/agentur_lib.php |
Sự cố nhà cung cấp đã giải quyết (provider_incidents), bộ nhớ đệm lỗ hổng (vuln_cache) | tương ứng 90 và 30 ngày; không có dữ liệu cá nhân | cfg/anbieter_lib.php, cfg/luecken_lib.php |
| Dữ liệu thô nghiên cứu | khi công bố | fe_studie_veroeffentlichen() |
| Bản sao lưu | 14 ngày, sau bản sao lưu mới thành công | cfg/backup_lib.php |
| Nhật ký máy chủ web | 14 ngày | xoay vòng nhật ký hệ thống |
6.3 Khi Khách hàng xóa
- Xóa tên miền (
fe_domain_loeschen()): kết quả kiểm tra cùng biểu mẫu, phát hiện và tệp ảnh, báo cáo, tác vụ, đích nhận cảnh báo, nhật ký chuyển giao, hàng đợi bản tổng hợp, sự cố, mã Telegram, dữ liệu giao thư, kiểm tra nhanh biểu mẫu, lỗ hổng, nhật ký bằng chứng, tên miền trong cổng khách hàng có lựa chọn cố định; qua khóa ngoại xóa biểu mẫu được giám sát cùng lần chạy trình duyệt, quan sát và chuỗi thời gian, tài khoản thử nghiệm, bộ đếm biểu mẫu; dữ liệu tiện ích của máy chủ nếu không có tên miền khác tham chiếu tới máy chủ đó. Danh mục tập lệnh và thay đổi tập lệnh của tên miền cũng bị xóa cùng; chúng không có thời hạn lưu giữ riêng (phần 6.4 và 10). Dữ liệu còn lại không có tên miền liên quan từ thời gian trước ngày 27 tháng 9 năm 2026 được lần chạy hằng đêm dọn (các phần “orphan_scans”, “orphan_rows”).
- Xóa không gian làm việc (
fe_arbeitsbereich_daten_loeschen()): ngoài ra, thương hiệu bao gồm logo, cổng khách hàng bao gồm người đăng ký, mã triển khai, kiểm tra website khách hàng tiềm năng; cộng lời mời và tư cách thành viên.
- Xóa tài khoản: kết thúc ngay đăng ký trả phí đang chạy tại Stripe mà không hoàn tiền; chuyển giao hoặc xóa không gian làm việc riêng của chủ tài khoản; xóa tư cách thành viên, token duy trì đăng nhập, thiết bị, khóa API cùng bộ đếm, mã Telegram còn hiệu lực và hàng tài khoản.
- Xóa tài khoản thử nghiệm (
fe_login_loeschen()): ghi đè bản mã, xóa hàng dữ liệu, dọn tác vụ đang chờ.
6.4 Những gì quy trình không bao gồm
Danh sách này quan trọng hơn. Danh sách nêu dữ liệu không có thời hạn lưu giữ tự động hoặc vẫn còn sau khi xóa.
| Dữ liệu | Quy định áp dụng | Đánh giá |
|---|
Dữ liệu tài khoản bao gồm địa chỉ IP gần nhất (users) | cho đến khi chủ tài khoản xóa; không xóa tài khoản không hoạt động | dữ liệu hợp đồng; thiếu quy tắc cho tài khoản không có đăng ký gói và không hoạt động vĩnh viễn |
| Nhật ký hoạt động, lượt xem trang, nhật ký lỗi của tài khoản đã xóa | còn với ID tài khoản và địa chỉ IP đến hết thời hạn lưu giữ riêng | có chủ ý (bằng chứng hành động kể cả sau khi chấm dứt); ID không còn trỏ tới tài khoản |
| Yêu cầu hỗ trợ của tài khoản đã xóa | còn tối đa 24 tháng với ID tài khoản cũ | có chủ ý; ID không bị xóa |
| Hồ sơ đồng ý của tài khoản đã xóa | cho đến khi sự đồng ý đã có từ 4 năm trước (tính từ khi đồng ý, không từ khi xóa tài khoản) | có chủ ý (phần B.12) |
Bất thường chưa giải quyết có địa chỉ IP (abuse_flags) | cho đến khi có người giải quyết | điểm còn mở (phần 10) |
Loại lỗi có thông điệp mẫu nguyên trạng (error_kinds) | không có thời hạn lưu giữ | điểm còn mở (phần 10) |
Danh mục và thay đổi tập lệnh (script_inventory, script_changes) | không có thời hạn lưu giữ riêng; được giữ trong thời gian tên miền tồn tại và xóa cùng tên miền | điểm còn mở (phần 10) |
| Người đăng ký của cổng khách hàng đã thu hồi | cho đến khi không gian làm việc bị xóa | điểm còn mở (phần 10) |
| Khóa API và mã triển khai đã thu hồi | cho đến khi tài khoản hoặc không gian làm việc bị xóa | chỉ giá trị băm, tiền tố và nhãn; mức độ nhỏ |
Danh sách máy chủ nghiên cứu (study_domains), nghiên cứu không bao giờ được công bố | không có thời hạn lưu giữ | điểm còn mở (phần 10) |
| Kiểm tra nội bộ không có tên miền và không có báo cáo (kết quả kiểm tra, biểu mẫu, phát hiện, ảnh chụp màn hình) | không có thời hạn lưu giữ; không có phương thức xóa nào bao gồm chúng | điểm còn mở (phần 10) |
| Hoa hồng, việc sử dụng mã, sự kiện Stripe | không có thời hạn lưu giữ | liên quan kế toán; cần đặt thời hạn theo pháp luật thuế |
Tuổi tên miền được lưu đệm (domain_age_cache) | không có thời hạn lưu giữ | chỉ tên miền và ngày đăng ký |
| Kết quả xác thực e-mail biểu mẫu cùng tên miền người gửi | cùng tên miền; bị ghi đè ở mỗi lần nhận | xem A.1 |
| Loại trừ trong cơ chế từ chối tham gia | vĩnh viễn | có chủ ý; không vĩnh viễn thì không có loại trừ nào có hiệu lực |
| E-mail trong hộp thư đầu mối báo cáo và hộp thư chung | không có thời hạn lưu giữ kỹ thuật | điểm còn mở (phần 10) |
6.5 Ngoài cơ sở dữ liệu
- Ảnh chụp màn hình được giữ dưới dạng tệp ngoài thư mục web và bị xóa cùng kết quả kiểm tra (mọi phương thức xóa ở trên cũng xóa tệp).
- Tệp logo thương hiệu bị xóa khi được thay thế và cùng không gian làm việc.
- Trên máy chủ quét, mỗi tác vụ được tạo một thư mục tạm chứa kết quả và ảnh; thư mục bị xóa sau mỗi lần chạy, kể cả khi có lỗi.
- Bản sao lưu được giữ trên máy chủ web (B.27).
- Nhật ký máy chủ web chứa địa chỉ IP đầy đủ được giữ 14 ngày (B.1).
7. Quyết định tự động, lập hồ sơ và đánh giá
formexposed đánh giá website, không đánh giá con người. Theo đánh giá của chúng tôi, dịch vụ không đưa ra quyết định gây hiệu lực pháp lý đối với một người hoặc ảnh hưởng đáng kể tương tự đến họ (Điều 22(1) GDPR). Tuy nhiên, có các đánh giá tự động và chặn tự động. Chúng tôi liệt kê để có thể kiểm tra việc phân loại.
| Cơ chế | Hoạt động | Đối tượng chịu ảnh hưởng |
|---|
| Điểm số và kết luận kiểm tra | Tổng có trọng số các lớp bảo vệ còn thiếu (CAPTCHA, bẫy, token, kiểm tra thời gian, CAPTCHA không hiệu quả, cấu hình bị lộ đã biết), từ 0 đến 100; từ đó là “Không được bảo vệ”, “Được bảo vệ một phần” hoặc “Được bảo vệ”. Kết luận của website theo biểu mẫu liên hệ kém nhất được các quy tắc nhận diện là biểu mẫu liên hệ (không phải mô hình ngôn ngữ); không có biểu mẫu liên hệ thì không có kết luận. Trọng số có thể được đặt trong khu vực quản trị. | Đơn vị vận hành website; với cá nhân kinh doanh, gián tiếp là một người. Kết luận không có hệ quả pháp lý; đó là phát hiện kèm bằng chứng và hướng dẫn. |
| Phân loại biểu mẫu | Quy tắc trước, chỉ dùng mô hình ngôn ngữ cục bộ nếu quy tắc trả về “unknown”. Quyết định việc gửi thử chủ động có được phép hay không (chỉ với biểu mẫu liên hệ được quy tắc nhận diện đáng tin cậy). Biểu mẫu do mô hình ngôn ngữ phân loại không bao giờ được gửi và không được tính vào điểm số và kết luận. | Khách hàng và người nhận e-mail từ biểu mẫu của họ; tác dụng bảo vệ: khi nghi ngờ, không gửi bất kỳ thứ gì. |
| Kế hoạch hành động có thứ tự ưu tiên trong báo cáo trả phí | Mô hình ngôn ngữ cục bộ tổng hợp các phát hiện không đạt hoặc chưa rõ được lựa chọn và siêu dữ liệu quét thành các bước ngắn có đánh số. Văn bản được ghi nhãn là bản tóm tắt AI; từng phát hiện riêng vẫn có giá trị quyết định. Kế hoạch không thay đổi điểm quét, kết luận hoặc cấu hình website. | Khách hàng hoặc người đọc báo cáo được ủy quyền khác quyết định những bước sẽ thực hiện. |
| Huy hiệu | Chỉ hiển thị “Được bảo vệ” theo các điều kiện cố định (B.18), nếu không thì trung tính. | Khách hàng; không ảnh hưởng tới khách truy cập. |
| Giới hạn và chặn cho kiểm tra miễn phí, công cụ tiêu đề và từ chối tham gia | Từ chối yêu cầu nếu đạt giới hạn theo địa chỉ, phiên, tên miền hoặc hệ thống, nếu tên miền quá mới hoặc chưa biết tuổi, hoặc nếu có trong danh sách chặn. | Người yêu cầu; tác dụng: dịch vụ miễn phí bị từ chối trong nhiều giờ đến nhiều ngày. Quản trị viên có thể giải phóng địa chỉ; yêu cầu qua trang liên hệ đến được con người. |
| Bất thường | Mẫu hình (nhiều tên miền từ một địa chỉ, yêu cầu tăng đột biến, nhiều lần từ chối, nhiều lượt từ chối tham gia từ một quốc gia, đạt giới hạn hằng ngày) được ghi nhận và báo cáo. Bản thân chúng không chặn; việc chặn xuất phát từ các giới hạn. | Người yêu cầu. |
| Khóa đăng nhập | Hiện tại, sau tám lần đăng nhập thất bại từ một địa chỉ trong 15 phút, đăng nhập từ địa chỉ đó bị từ chối tạm thời. Ngoài ra, mọi lần thử đăng nhập, bao gồm thành công, được đếm theo tài khoản và địa chỉ IP (hiện tám lần), theo tài khoản trên tất cả địa chỉ (nhiều hơn đáng kể, để chống đoán phân tán) và theo địa chỉ IP (hiện 80 lần) trong 15 phút, cũng như mã yếu tố thứ hai (mười lần mỗi tài khoản trong 15 phút); vượt quá thì lần thử bị từ chối. Vì vậy, lần thử thất bại từ địa chỉ khác không còn khóa chủ sở hữu khỏi tài khoản. Xác nhận mật khẩu (năm lần mỗi tài khoản trong 15 phút), e-mail đặt lại (ba lần mỗi địa chỉ mỗi giờ, với phản hồi không thay đổi), đăng ký (mười lần mỗi địa chỉ IP mỗi giờ) và lần thử mật khẩu cổng khách hàng (mười lần cho mỗi cổng và địa chỉ IP, 50 lần mỗi cổng trong 15 phút) được giới hạn theo cùng cách. | Người đăng nhập, đăng ký hoặc mở cổng khách hàng; tác dụng giới hạn về thời gian, vẫn có thể đặt lại mật khẩu. |
| Ngưỡng reCAPTCHA | Từ chối lượt gửi dưới một mức điểm Google; ngưỡng theo từng nơi sử dụng (hiện 0.7 cho kiểm tra và từ chối tham gia). Phản hồi cho hành động khác và lượt gửi mà Google không phản hồi trong ba giây cũng bị từ chối. | Người gửi biểu mẫu của chúng tôi; tác dụng: thử lại hoặc dùng trang liên hệ. |
| Bảo vệ cộng đồng | Tự động đưa tên miền liên kết vào danh sách khi đạt ngưỡng tối thiểu; lớp bảo vệ của website được kết nối đưa thông điệp có liên kết đó vào cách ly. | Người gửi thông điệp tới trang Khách hàng. Tác dụng: thông điệp được giữ lại, không bị xóa và có thể được đơn vị vận hành website giải phóng. Quyết định về thông điệp do tiện ích của đơn vị vận hành đưa ra trên website của họ, không phải do chúng tôi. |
| Giá trị so sánh | “Được bảo vệ tốt hơn X % website đã kiểm tra”, chỉ từ số liệu tổng của ít nhất 20 máy chủ. | Đơn vị vận hành website; không có ảnh hưởng. |
Gần với Điều 22 nhất là lớp bảo vệ của tiện ích trên trang Khách hàng, tự động giữ lại lượt gửi. Đây là việc xử lý do đơn vị vận hành website thực hiện trên máy chủ của mình (A.10). Lớp bảo vệ không xóa gì mà đưa thông điệp vào cách ly, và đơn vị vận hành có thể giải phóng bất kỳ thông điệp nào. Không có lập hồ sơ khách truy cập tại đó hoặc ở phía chúng tôi; không có mã định danh khách truy cập liên kết thông điệp này với thông điệp khác.
8. Biện pháp kỹ thuật và tổ chức (Điều 32) – mô tả chung
Phần này là mô tả chung theo Điều 30(1)(g) và (2)(d) GDPR. Bản chi tiết có trên trang Biện pháp kỹ thuật và tổ chức. Mọi biện pháp dưới đây được chứng minh trong mã hoặc cấu hình. Những biện pháp chưa triển khai nằm trong cùng phần (8.1) để mô tả được đầy đủ.
| Lĩnh vực | Biện pháp có hiệu lực |
|---|
| Mã hóa truyền dữ liệu | HTTPS cho website, ứng dụng và giao diện; HSTS; cookie phiên và token duy trì đăng nhập chỉ qua HTTPS, HttpOnly, SameSite=Lax. |
| Kiểm soát truy cập (xác thực) | Mật khẩu chỉ dưới dạng giá trị băm, mật khẩu mới ít nhất mười ký tự và tối đa 72 byte; khóa đăng nhập sau nhiều lần thử thất bại và giới hạn lần thử theo tài khoản kết hợp địa chỉ IP, theo tài khoản và theo địa chỉ IP, để lần thử thất bại từ địa chỉ khác không khóa chủ sở hữu khỏi tài khoản; giới hạn lần thử cũng áp dụng cho xác nhận mật khẩu, đặt lại mật khẩu (cùng phản hồi và thời gian phản hồi), đăng ký và mật khẩu cổng; đăng nhập hai yếu tố (TOTP) với bí mật được mã hóa, chống dùng lại mã và mã khôi phục được băm; mã định danh phiên mới ở mỗi lần đăng nhập, không chấp nhận mã định danh không do máy chủ cấp; “Duy trì đăng nhập” không dành cho quản trị viên cấp cao, mỗi token chỉ có hiệu lực một lần; thay đổi địa chỉ e-mail làm liên kết đặt lại còn hiệu lực trở nên vô hiệu; có thể thu hồi thiết bị riêng lẻ hoặc tất cả cùng lúc; danh sách thiết bị chỉ giữ giá trị băm mã định danh phiên. |
| Kiểm soát truy cập (phân quyền) | Vai trò theo không gian làm việc (owner, admin, reader); quyền được kiểm tra đối với đối tượng, không bao giờ đối với mã định danh từ biểu mẫu; tài khoản thử nghiệm, “Fix it for me” và kiểm tra chủ động chỉ dành cho chủ sở hữu và quản trị viên; “Xem như Khách hàng” có giới hạn thời gian và chặn hành động thay đổi tài khoản, kết thúc chế độ sẽ đăng xuất hoàn toàn, chỉ trở lại khu vực quản trị với mật khẩu và yếu tố thứ hai; lời mời chỉ có hiệu lực trong thời gian người mời là chủ sở hữu hoặc quản trị viên; địa chỉ webhook và kênh trò chuyện chỉ hiển thị cho người có quyền đọc ở dạng rút gọn còn tên máy chủ; tên máy chủ của tên miền đã xác minh không thể thay đổi. |
| Bảo mật ứng dụng | Token CSRF; câu lệnh cơ sở dữ liệu chuẩn bị sẵn; bảo vệ biểu mẫu riêng (bẫy, kiểm tra thời gian có chữ ký); reCAPTCHA trên biểu mẫu công khai; giới hạn tốc độ cho hỗ trợ, kiểm tra và giao diện; mỗi không gian làm việc chỉ có một lời gọi “Fix it for me” tại một thời điểm để hạn mức cũng có hiệu lực với yêu cầu đồng thời; Chính sách bảo mật nội dung với bảo vệ chống nhúng khung chỉ cho phép tập lệnh mang giá trị cho phép (nonce) của phản hồi tương ứng chạy; địa chỉ IP từ tiêu đề chuyển tiếp chỉ lấy từ proxy riêng và chỉ từ mục do proxy thêm vào; token truy cập được che trong nhật ký lượt xem trang. |
| Bí mật | Khóa API, mã triển khai, bí mật kết nối tiện ích, mã dùng một lần và mật khẩu cổng chỉ dưới dạng giá trị băm; thông tin đăng nhập tài khoản thử nghiệm được mã hóa bất đối xứng, khóa riêng chỉ trên máy chủ quét; webhook được ký; sự kiện Stripe chỉ được chấp nhận với chữ ký hợp lệ. |
| Giảm thiểu dữ liệu | Kiểm tra giao thư không lưu nội dung và địa chỉ người gửi đầy đủ; địa chỉ người nhận trong biểu mẫu chỉ dưới dạng tên miền; ID tài khoản trong địa chỉ tập lệnh được thay thế; số liệu tiện ích chỉ từ danh sách cố định; văn bản lỗi gửi e-mail chỉ dưới dạng nhóm lỗi; tín hiệu Telegram không có biến; ảnh kiểm tra trình duyệt che nội dung nhập; không chụp ảnh màn hình sau đăng nhập. |
| Cách ly trình quét | Mỗi lần kiểm tra trong container riêng: loại bỏ mọi Linux capability, không nâng quyền, hệ thống tệp chỉ đọc, giới hạn bộ nhớ và tiến trình, mạng riêng; kiểm tra đích chống mạng riêng và cục bộ trước khi tiếp nhận và trong trình quét, kể cả sau chuyển hướng; chặn service worker, đóng kết nối WebSocket. Yêu cầu do máy chủ web thực hiện (bằng chứng quyền kiểm soát, công cụ tiêu đề, tìm tệp, kiểm tra nhanh biểu mẫu, RDAP, chứng chỉ, webhook và cảnh báo trò chuyện) chỉ trên cổng web thông dụng và chỉ tới đúng địa chỉ đã được kiểm tra, webhook và cảnh báo trò chuyện chỉ qua HTTPS. |
| Lưu trữ | Ảnh chụp màn hình nằm ngoài thư mục web, chỉ truy xuất qua báo cáo; báo cáo tại địa chỉ ngẫu nhiên với noindex; thư mục sao lưu chỉ dịch vụ có thể đọc. |
| Tính khả dụng và khôi phục | Sao lưu hằng đêm có kiểm tra nội dung, kiểm thử khôi phục hằng tuần, cảnh báo khi thất bại; kiểm tra thành phần mỗi năm phút kèm tín hiệu và e-mail; nhịp báo hoạt động bên ngoài; dừng khẩn cấp kiểm tra ẩn danh; điều tiết tải khi có tồn đọng. |
| Khả năng truy vết | Nhật ký hoạt động cho đăng nhập, thay đổi, xóa, truy cập hỗ trợ và phê duyệt; nhật ký lỗi có cảnh báo. |
| Xóa | Thời hạn lưu giữ ở một nơi trong mã, từ cùng cài đặt như văn bản (phần 6); chuỗi xóa cho tên miền, không gian làm việc và tài khoản, với ngoại lệ tại phần 6.4. |
| Quyền chủ thể dữ liệu | Xuất mọi dữ liệu tài khoản thành tệp bằng một lần nhấp, dựa trên danh sách trường được phép, không có bí mật. |
| Tổ chức | Khu vực quản trị chỉ dành cho tài khoản có quyền quản trị viên cấp cao, bị chặn trong chế độ “Xem như Khách hàng”; hệ thống phát triển và sản xuất được tách biệt, hệ thống phát triển có thêm rào cản truy cập; chuyển văn bản pháp lý sau phê duyệt qua công cụ từ chối bản nháp và chỗ trống. |
8.1 Biện pháp chưa triển khai
- Không mã hóa cơ sở dữ liệu khi lưu trữ (đo lường ngày 11 tháng 10 năm 2026). Ngoại lệ là thông tin đăng nhập tài khoản thử nghiệm và bí mật hai yếu tố, được mã hóa ở cấp trường.
- Kết nối nội bộ không được mã hóa toàn bộ. Kết nối trong mạng nội bộ của chúng tôi không được mã hóa toàn bộ. Thông tin đăng nhập tài khoản thử nghiệm chỉ đi qua đó dưới dạng bản mã.
- Không sao lưu tại địa điểm thứ hai. Hiện bản sao lưu được giữ cùng địa điểm với cơ sở dữ liệu và không được mã hóa riêng; bản sao mã hóa tại địa điểm thứ hai đang được dự kiến. Cho đến lúc đó, chúng bảo vệ trước lệnh xóa sai, không bảo vệ trước việc mất địa điểm.
- Chưa hoàn tất tăng cường bảo mật quản trị máy chủ. Bảo mật truy cập quản trị vào máy chủ chúng tôi chưa đáp ứng tiêu chuẩn chúng tôi dự định cho vận hành; việc tăng cường đang tiếp tục. Chúng tôi không công bố chi tiết vì sẽ giúp kẻ tấn công; chúng tôi cung cấp cho cơ quan giám sát theo yêu cầu.
- Không có nhật ký đọc theo chức năng trong khu vực quản trị. Hành động ghi được ghi nhận trong nhật ký hoạt động; chỉ có thể xác định ai đã xem yêu cầu hỗ trợ hoặc báo cáo nào qua nhật ký lượt xem trang (60 ngày).
- Không có nhật ký xóa lâu dài. Những gì lần chạy hằng đêm đã xóa không được ghi nhận (phần 6).
- Không có điểm kiểm tra thứ hai độc lập. Điểm kiểm tra tại địa điểm thứ hai chưa được thiết lập (A.6).
9. Cán bộ bảo vệ dữ liệu – đánh giá theo Điều 37 GDPR
Kết quả: Theo đánh giá của chúng tôi, không có nghĩa vụ chỉ định. Đánh giá thuộc rà soát pháp lý và sẽ được thực hiện lại ngay khi có bất kỳ hoàn cảnh nào liệt kê bên dưới thay đổi.
Điều 37(1) yêu cầu chỉ định trong ba trường hợp.
- Điểm (a) (cơ quan hoặc tổ chức công quyền) không áp dụng.
- Điểm (b) (hoạt động cốt lõi yêu cầu giám sát chủ thể dữ liệu thường xuyên và có hệ thống trên quy mô lớn): hoạt động cốt lõi của chúng tôi là kiểm tra website và biểu mẫu thường xuyên, có hệ thống, không phải quan sát con người. Chúng tôi không tạo hồ sơ khách truy cập, không dùng theo dõi và không liên kết thông điệp này với thông điệp khác. Kiểm tra giao thư (A.1) chuyển thông điệp khách truy cập thật qua hộp thư của chúng tôi nhưng chỉ đánh giá tiêu đề và 8 KB đầu tiên để gán và không lưu nội dung; chức năng quan sát đường giao thư, không quan sát con người. Tài khoản khách hàng và nhật ký là hoạt động phụ trợ cho hoạt động kinh doanh.
- Điểm (c) (xử lý quy mô lớn loại dữ liệu đặc biệt theo Điều 9 hoặc dữ liệu liên quan đến tội phạm theo Điều 10 như hoạt động cốt lõi): không đáp ứng. Loại dữ liệu đặc biệt có thể xuất hiện tình cờ trong bản sao e-mail biểu mẫu (A.1), trên trang sau đăng nhập (A.5) hoặc trong mã được dán (A.7); việc thu nhận tình cờ không phải hoạt động cốt lõi.
Điều 37(4) cho phép pháp luật quốc gia bổ sung trường hợp khác. Chúng tôi đang nhờ luật sư xác nhận liệu pháp luật Ba Lan có yêu cầu chúng tôi chỉ định hay không.
Điều kiện kích hoạt đánh giá mới: kích hoạt bảo vệ cộng đồng với mạng IP; chức năng nhận diện khách truy cập qua nhiều thông điệp hoặc website; lưu nội dung từ kiểm tra giao thư; Khách hàng có biểu mẫu chủ yếu liên quan đến loại dữ liệu đặc biệt (sức khỏe, ứng tuyển việc làm) và bật kiểm tra giao thư trên quy mô lớn; nhân viên đầu tiên có quyền truy cập dữ liệu khách hàng. Vẫn có thể chỉ định tự nguyện; khi đó Điều 37 đến 39 được áp dụng đầy đủ.
Vấn đề riêng: việc có cần đánh giá tác động bảo vệ dữ liệu theo Điều 35 cho từng hoạt động xử lý hay không được giải đáp trên trang Đánh giá tác động bảo vệ dữ liệu. Đánh giá ngưỡng trên trang kết luận rằng cần DPIA cho bảo vệ cộng đồng (B.21) và nghiên cứu ở quy mô dự định (B.7), do chúng tôi thực hiện; đối với kiểm tra giao thư (A.1), trong tình huống điển hình cần DPIA, là nghĩa vụ của Khách hàng mà chúng tôi hỗ trợ thực hiện.
10. Điểm còn mở và biện pháp dự kiến
Những điểm sau có bằng chứng trong mã, lược đồ hoặc cấu hình, không phải giả định. Chúng mô tả tình hình tại ngày của phiên bản này; việc phân loại là của riêng chúng tôi và không định trước bất kỳ đánh giá pháp lý nào. Chúng được sắp theo mức độ quan trọng đối với chủ thể dữ liệu, không theo mức dễ khắc phục. Biện pháp dự kiến và thứ tự ưu tiên được nêu trong Đánh giá tác động bảo vệ dữ liệu.
| Điểm còn mở | Những gì có bằng chứng | Ý nghĩa |
|---|
| Nhà cung cấp dịch vụ thư chưa có hợp đồng được ghi nhận | Đối với Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, hợp đồng, nơi xử lý và cơ sở chuyển dữ liệu chưa được ghi nhận. E-mail tài khoản, cảnh báo và hộp thư kiểm soát có thông điệp thật của khách truy cập đi qua nhà cung cấp này. | Các quy định liên quan là Điều 28(2) và (4) cùng Chương V GDPR. Dự kiến giao kết và ghi nhận trước khi ra mắt. |
| Cơ sở cho dịch vụ trò chuyện và reCAPTCHA còn mở | Cảnh báo tới Telegram (không có quyết định về mức độ bảo vệ đầy đủ), Slack, Discord, Microsoft Teams và Google Chat; reCAPTCHA không có yêu cầu đồng ý. | Câu hỏi còn mở cho rà soát pháp lý; cho đến lúc đó, thông báo và cơ sở chưa phải cuối cùng. |
| Hộp thư kiểm soát có thể giữ thông điệp khi gián đoạn | Việc xóa diễn ra sau khi xử lý thành công; nếu truy xuất thất bại, bản sao còn đến lần chạy thành công tiếp theo. Không có cảnh báo khi tồn đọng tích tụ trong hộp thư trong thời gian dài. | Bản sao chứa yêu cầu thật của khách truy cập. |
| Không sao lưu tại địa điểm thứ hai, không mã hóa cơ sở dữ liệu khi lưu trữ | Phần 8.1. Bản sao mã hóa của bản sao lưu tại địa điểm thứ hai đang được dự kiến. | Một sự kiện duy nhất tại địa điểm sẽ đồng thời ảnh hưởng dữ liệu và bản sao lưu; thiết bị lưu trữ bị đánh cắp có thể đọc được. |
| Bất thường chưa giải quyết không có thời hạn lưu giữ | Bất thường dùng địa chỉ IP đầy đủ làm khóa chỉ bị xóa 90 ngày sau khi giải quyết; mục không bao giờ được giải quyết vẫn còn. | Liên quan nguyên tắc giới hạn lưu trữ (Điều 5(1)(e)); việc xóa phụ thuộc xử lý thủ công. Dự kiến có thời hạn lưu giữ cố định (các biện pháp trong Đánh giá tác động bảo vệ dữ liệu). |
| Loại lỗi có thông điệp mẫu không có thời hạn lưu giữ | Thông điệp mẫu được lưu nguyên trạng tối đa 2.000 ký tự; mẫu hình được làm sạch loại bỏ địa chỉ và số, nhưng thông điệp mẫu thì không. | Thông điệp lỗi có thể chứa địa chỉ e-mail, tên máy chủ hoặc địa chỉ IP. |
| Danh mục tập lệnh không có thời hạn lưu giữ riêng | Danh mục và thay đổi tập lệnh bị xóa cùng tên miền (FE_DOMAIN_TABELLEN), kể cả khi không gian làm việc hoặc tài khoản bị xóa và trong lần chạy hằng đêm cho dữ liệu mồ côi; chúng không có thời hạn lưu giữ riêng. Chúng chứa địa chỉ tập lệnh, địa chỉ trang và, đối với phê duyệt, người phê duyệt cùng lý do dạng văn bản tự do. | Liên quan nguyên tắc giới hạn lưu trữ (Điều 5(1)(e)); nhật ký thay đổi cùng các phê duyệt tiếp tục tăng trong thời gian tên miền còn tồn tại. |
| Người đăng ký của cổng đã thu hồi | Cổng bị thu hồi chỉ bị chặn, không bị xóa; người đăng ký còn đến khi không gian làm việc bị xóa. | Mục đích (gửi báo cáo) đã chấm dứt khi thu hồi. |
| Danh sách nghiên cứu không có thời hạn lưu giữ | Sau khi công bố, máy chủ và phân đoạn vẫn còn; nghiên cứu không bao giờ được công bố còn giữ cả dữ liệu thô. | Lời hứa “dữ liệu thô bị xóa” chỉ áp dụng cho nghiên cứu đã công bố. |
| Kiểm tra nội bộ không có phương thức xóa | Kiểm tra có mức độ tin cậy “internal”, không có tên miền và không có báo cáo (nghiên cứu và kiểm tra do đơn vị vận hành tạo từ dòng lệnh) không thuộc bất kỳ phương thức xóa nào; biểu mẫu, phát hiện và ảnh chụp màn hình của website bên thứ ba còn cùng chúng. | Liên quan nguyên tắc giới hạn lưu trữ (Điều 5(1)(e)); ảnh hưởng tới người không biết gì về việc kiểm tra. Được đánh giá là rủi ro cao trong Đánh giá tác động bảo vệ dữ liệu. |
| Bằng chứng quyền kiểm soát không được gia hạn | Bằng chứng quyền kiểm soát được kiểm tra một lần; không có luồng nào trong mã khiến tên miền mất lại bằng chứng đó. | Lượt gửi thử chủ động, tìm tệp và quét sau khi đăng nhập tiếp tục sau khi thay đổi chủ sở hữu hoặc ủy nhiệm. |
| Quét sau khi đăng nhập: truyền tới trang của Khách hàng | Địa chỉ đăng nhập cho phép http cùng với https, và lỗi chứng chỉ trên trang Khách hàng không dừng đăng nhập. | Thông tin đăng nhập tài khoản thử nghiệm có thể bị chặn thu trên đường tới trang Khách hàng. |
| Việc xóa phụ thuộc khung thời gian | Khối hằng ngày chỉ chạy nếu lần chạy kiểm tra trạng thái bắt đầu từ 03:00 đến 03:04. Nếu lần chạy duy nhất đó thất bại (không thể truy cập cơ sở dữ liệu, máy chủ khởi động lại), việc xóa và sao lưu của ngày đó không diễn ra; không có thực hiện bù. Những gì bị xóa không được ghi nhật ký lâu dài. | Thời hạn lưu giữ khi đó bị kéo dài thêm một ngày mà không có thông báo. Bỏ lỡ khung không kích hoạt cảnh báo; chỉ sao lưu thực sự chạy rồi thất bại mới được báo. Danh sách thiết lập trong khu vực quản trị hiển thị ngày sao lưu thành công gần nhất. |
| Một số việc xóa phụ thuộc giám sát | Làm trống hộp thư kiểm soát của kiểm tra giao thư, xóa sự cố, thông báo tổng hợp đã gửi, tín hiệu bảo vệ cộng đồng và kiểm tra website khách hàng tiềm năng, cùng việc dọn bản sao tài khoản thử nghiệm còn sót trong tác vụ chạy trong phần lập lịch của lần chạy kiểm tra trạng thái, chỉ hoạt động khi giám sát được bật trong khu vực quản trị; thông tin gán của kiểm tra giao thư chỉ bị xóa khi còn thiết lập hộp thư kiểm soát. | Nếu tắt giám sát tập trung hoặc gỡ hộp thư, những thời hạn lưu giữ này dừng mà không ai nhận thấy. |
| Đầu mối báo cáo và hộp thư không có thời hạn lưu giữ | Báo cáo lỗ hổng và e-mail đến khác được giữ ngoài ứng dụng; chưa đặt thời hạn lưu giữ. | Báo cáo có thể chứa bằng chứng của bên thứ ba. |
| Giá trị trường ẩn được đọc trong lúc kiểm tra | Trình quét đọc giá trị trường biểu mẫu ẩn tối đa 24 ký tự và thuộc tính dữ liệu tối đa 60 ký tự để nhận diện dấu thời gian và token. Chỉ tên trường, loại, nhãn và kết quả nhận diện đi vào bản đồ trường và các phát hiện, không có giá trị. | Không có khoảng trống về lưu trữ; giá trị chỉ được giữ trong bộ nhớ làm việc của container quét trong lúc kiểm tra. Giá trị được điền sẵn (chẳng hạn số khách hàng) được đọc trong quá trình này nhưng không được lưu. |
| Tên miền người gửi được suy ra trong kết quả xác thực | A.1. | Đối với tên miền cá nhân của khách truy cập, đây là dữ liệu cá nhân xuất phát từ thông điệp thật. |
| Chưa hoàn tất tăng cường bảo mật quản trị máy chủ; kết nối nội bộ không được mã hóa toàn bộ | Phần 8.1. Việc tăng cường đang tiếp tục; chúng tôi không nêu chi tiết công khai. | Sự cố bảo mật ở cấp máy chủ sẽ đồng thời ảnh hưởng ứng dụng, cơ sở dữ liệu và bản sao lưu. |
| Đo lường trên hệ thống phát triển | Lược đồ, mã và cài đặt được đo trên hệ thống phát triển. | Mã và lược đồ khớp với hệ thống sản xuất; cài đặt có thể khác và phải được kiểm tra lại tại đó trước khi ra mắt. |
11. Duy trì hồ sơ này
Điều 30 yêu cầu hồ sơ được duy trì bằng văn bản và cung cấp cho cơ quan giám sát theo yêu cầu. Việc đó cần người chịu trách nhiệm và chu kỳ kiểm tra đối chiếu với hệ thống thay vì đối chiếu với phiên bản trước.
- Trách nhiệm: Lukas Wójcik, chủ sở hữu. Hồ sơ được rà soát hằng năm và bất cứ khi nào hoạt động xử lý thay đổi.
- Sự kiện yêu cầu cập nhật: bên xử lý phụ mới hoặc thay đổi, đặc biệt việc lựa chọn nhà cung cấp dịch vụ thư; bảng mới hoặc trường mới có dữ liệu cá nhân; thay đổi thời hạn lưu giữ hoặc chuỗi xóa trong
cfg/fristen_lib.php hoặc srv/cron_status.php; kênh cảnh báo mới hoặc yêu cầu mới tới bên thứ ba; bật chức năng mặc định tắt (bảo vệ cộng đồng với mạng IP, điểm kiểm tra độc lập, tên miền riêng, chương trình đối tác, thanh toán theo hóa đơn, Spamhaus hoặc Google Web Risk); chuyển sang máy chủ khác.
- Quy trình: mọi thông tin ở đây đến từ mã, lược đồ hoặc phép đo. Rà soát chỉ đọc văn bản là chưa rà soát gì: lược đồ và chuỗi xóa được đo lại, chỗ trống vẫn là chỗ trống, điểm còn mở được giải quyết hoặc chuyển tiếp kèm lý do.
- Quan hệ với tài liệu khác: hồ sơ này không thay thế Chính sách quyền riêng tư, Thỏa thuận xử lý dữ liệu, Biện pháp kỹ thuật và tổ chức hoặc danh sách Bên xử lý phụ. Khi các tài liệu đó khác hồ sơ này, sự khác biệt là một phát hiện.
- Thay đổi tài liệu này được liệt kê trên trang Thay đổi tài liệu hợp đồng.
English 
Deutsch 
Polski 
Български 
Čeština 
Dansk 
Ελληνικά 
Español 
Eesti 
Suomi 
Français 
Gaeilge 
Hrvatski 
Magyar 
Italiano 
Lietuvių 
Latviešu 
Malti 
Nederlands 
Português 
Română 
Slovenčina 
Slovenščina 
Svenska 
العربية 
हिन्दी 
Bahasa Indonesia 
日本語 
한국어 
Русский 
简体中文 
Norsk (bokmål) 
Português (Brasil) 
Türkçe 
Українська 
Español (México) 
Tiếng Việt 
ไทย 
Íslenska 
עברית 
Bahasa Melayu 
Srpski (latinica)