数据保护影响评估（GDPR第35条）

本文件以多种语言发布。如各语言版本存在差异，以波兰语版本为准。

版本1.1 · 最后更新：2026年10月23日

1. 本页涉及的内容及其性质

本页是formexposed依据GDPR第35条进行的数据保护影响评估（DPIA）。它首先回答一个前置问题：是否需要进行DPIA——针对每项处理操作分别回答，而非针对整个服务。如果答案是肯定的，则依据第35条第7款(a)项至(d)项进行评估：系统性描述、必要性和相称性、对数据主体的风险以及应对这些风险的措施。随后是剩余风险、依据第36条进行事先咨询的问题以及审查规则。

第35条并不要求公开DPIA。我们公开它有两个原因。第一，使用送达检查或登录后扫描的客户在进行自身评估时需要只有我们掌握的事实；作为处理者，我们无论如何都有义务向其提供这些事实（GDPR第28条第3款(f)项）。第二，我们的爬虫会检查那些运营者并不认识我们的网站。他们应当能够了解我们认为他们以及其页面上的人面临哪些风险，以及我们为此采取了哪些措施。

法律性质。本DPIA是控制者依据GDPR第35条形成的文档，由我们自愿公开。它不构成任何合同的一部分，也不构成对客户或第三方的任何陈述、保证或质量约定。我们对客户负有哪些服务和保障义务，由服务条款、数据处理协议及其附件规定；就这些义务而言，它们优先于本页。本页描述的是截至本版本日期的状况。风险评级和评估是我们自己的观点，不预判监管机构或法院的任何法律评价；被描述为“计划中”的措施是没有承诺日期的意向。对客户而言，本页是其自行评估的基础，而非法律意见。

这是门槛评估的第一个版本。它逐项审查各处理操作是否需要进行DPIA，并在第3.5节中记录结果。

每一项事实陈述都遵循与我们其他法律文件相同的原则：以实测为准，而非以意图为准。在代码或数据库中有据可查的内容，在此连同其来源出处一并说明。无法查证的内容标注为“未核实”。仅仅是计划的内容称为“计划中”。我们公开指出未决事项，并附上计划的措施；只列出优点的DPIA对其所涉及的人毫无帮助。

术语：运营者是指运营被检查网站的人。客户是指在formexposed拥有账户的人。访客是指使用客户网站（例如其联系表单）的人。来源出处是指源代码中的文件、函数或设置，以2026年10月11日开发系统的状态为准测定。

在公开程度上，我们有意划定了一条界线：我们自身服务器安全方面的未决事项仅作概括性描述（R13）。我们指出风险及其等级，但不指明通往具体漏洞的路径；如监管机构提出要求，我们将向其提供细节。

2. 角色：谁承担义务，承担何种义务

第35条将义务赋予控制者。formexposed对某些处理操作是控制者，对另一些处理操作是其客户的处理者，而对于我们的WordPress插件和TYPO3扩展存储在客户网站上的数据，则既不是控制者也不是处理者。本文件中几乎每个问题的答案都取决于所问的是哪一种角色。角色划分遵循隐私政策和数据处理协议。

处理操作	formexposed的角色	谁承担第35条规定的义务
在没有运营者指示的情况下检查第三方网站：免费检查、面向代理机构的潜在客户检查、研究	控制者	formexposed
检查客户账户中的域名：监控、主动测试提交、浏览器操作流程、暴露的文件、表单脉搏检查	对客户的账户数据和检查数据是控制者；对客户已验证网站上可见的第三方个人数据是处理者；只要域名尚未验证，则与免费检查一样是控制者	formexposed承担其自身部分；客户承担其网站上的第三方数据部分
使用测试账户进行登录后扫描	处理者：访问凭据和登录后的内容属于客户的网站	客户；formexposed提供协助
带控制副本的送达检查	处理者	客户；formexposed提供协助
群体防护：来自被拦截垃圾信息的链接域名共享名单	控制者：我们汇总众多网站的报告，编制名单并分发	formexposed
客户账户、登录、日志、支持、电子邮件发送、付款、证明记录	控制者	formexposed
客户门户以及发给代理机构订阅者的月度报告	处理者	代理机构
插件和扩展存储在客户网站上的数据（隔离区、安全网、已存储的咨询）	两者都不是：这些数据从不离开网站	网站运营者

由此产生一个我们要明确说明的区别，因为它经常在两个方向上被误解。在formexposed是控制者的情况下，我们自行进行评估并承担其结果。在我们是处理者的情况下，我们不能代替客户进行评估，不能替其决定必要性问题，也不能代表其依据第36条咨询监管机构。我们在这种情况下能够且必须做的，是向客户提供其所需的一切：(a)项要求的描述、(c)项要求的关于风险的测定事实，以及(d)项要求的如实的措施状态清单。对于送达检查和登录后扫描，本页正是如此。

如果客户将有关送达检查的章节原封不动地当作自己的DPIA，那就等于没有进行DPIA。对于其自身的表单而言控制副本是否合理、其中是否可能出现特殊类别个人数据，以及如何告知其访客，只有客户自己才能决定。第11节汇总了为此需要澄清的事项。

3. 门槛评估：是否需要进行DPIA？

3.1 第35条第1款和第35条第3款

第35条第1款规定，如果某种处理类型，特别是使用新技术的处理，考虑到处理的性质、范围、背景和目的，很可能对自然人的权利和自由造成高风险，则须进行DPIA。第35条第3款列举了尤其属于此类情形的三种情况。这三种情况都不适用于formexposed，对此应当说明理由，而非仅仅断言：

(a)项——基于自动化处理、对与自然人相关的个人方面进行系统而广泛的评价，并据此作出对其产生法律效力或以类似方式对其产生重大影响的决策。我们评价的是表单和网站，而不是人的个人方面。本服务不对任何人作出具有法律效力的决策。最接近的是群体防护：含有指向名单中域名的链接的消息，会在已连接的网站上进入隔离区。这是针对消息的自动化后果，而非对人的广泛评价；我们在第3.3节“评价或评分”标准下对此进行讨论。
(b)项——大规模处理第9条所述特殊类别数据或第10条所述与刑事犯罪相关的数据。既非本意，也未如此构建。但此类数据仍可能通过一条途径到达我们这里：送达检查中真实访客消息的控制副本。这取决于个案，并不构成本条意义上的大规模处理；不过在风险评估中已予以考虑（R1）。
(c)项——大规模系统性监控公众可进入的区域。这指的是对场所的实体观察，而不是调取公开网页。将本条作为网站爬虫的适用依据是不正确的。

因此，正确的途径是第35条第1款本身，并通过第29条工作组《数据保护影响评估指南》（WP248 rev.01，已获欧洲数据保护委员会认可）中的九项标准以及波兰监管机构依据第35条第4款发布的清单来适用（第3.4节）。

3.2 WP248指南的九项标准

该指南列出了九项表明可能存在高风险的特征。根据经验法则，满足其中两项的处理操作在大多数情况下需要进行DPIA。控制者在个案中可以得出不同结论，但此时必须说明理由并予以记录。反之，仅满足一项标准也可能就已足够。在本页中，我们使用以下简称：

C1——评价或评分，包括用户画像和预测，例如对工作表现、经济状况、可靠性或行为的评价或预测。
C2——具有法律效力或类似重大影响的自动化决策。
C3——系统性监控，即用于观察、监控或控制数据主体的处理，包括通过网络进行的处理。指南明确以数据主体往往不知道谁在收集其数据以及出于何种目的为由来论证这一标准。
C4——敏感数据或高度个人化的数据：第9条和第10条所述的特殊类别数据，以及一旦泄露会对日常生活产生重大影响的数据，包括应保护其机密性的电子通信。
C5——大规模处理的数据，以数据主体的数量、数据的数量和范围、持续时间和地理范围来衡量。
C6——匹配或合并数据集，这些数据集来自不同的处理操作或不同的控制者，且合并方式超出数据主体的预期。
C7——涉及弱势数据主体的数据，例如雇员、儿童、患者或其他处于权力不平衡关系中的人。
C8——创新性使用或应用新的技术或组织解决方案；在监管实践中，人工智能的使用通常被视为属于这一标准。
C9——妨碍数据主体行使权利或使用服务或合同的处理。

我们将每项标准评定为“满足”、“边缘情形”或“不满足”，并根据代码说明评定理由。边缘情形在总数中不计为满足，但会在结果中列明；如果多个边缘情形指向同一方向，我们会将该处理操作纳入评估。

3.3 按处理操作进行的评估

P1——无账户的免费检查（应请求检查任意第三方网站）

任何人都可以在首页输入一个域名。随后爬虫最多调取该网站的八个公开页面，读取表单，截取屏幕截图，并生成一份报告，任何知道其随机链接的人都可以查看。网站运营者对此一无所知，除非其在日志中注意到爬虫的标识。

C1——边缘情形。报告以等级（“暴露”、“部分防护”、“已防护”）和分数评定表单的防护情况。对于有限责任公司而言，这并不涉及自然人。对于个体经营者和自由职业者，域名可以归属到个人，此时等级就反映了其在职业活动中的审慎程度。但被评价的是技术配置，而不是人的行为或特征。我们将其视为边缘情形。
C2——不满足。不会针对运营者作出任何决定。对于请求检查的人，适用按IP地址和会话设定的限制（cfg/check_lib.php）；检查被拒绝不会产生重大影响。
C3——不满足。这是应请求进行的单次调取，每个域名每周最多一次（cfg/check_lib.php，设置fc_domain_days = 7）。不观察任何人。不过，指南用以论证C3的情形——数据主体对处理一无所知——是存在的。这在风险评估中已予以考虑（R5）。
C4——不满足。存储的是表单结构和发现项，而不是输入的值（对于可见字段，scanner/src/crawl.js仅存储值的长度）。扫描器仅在检查期间读取预填隐藏字段的开头部分（最多24个字符）和data属性（最多60个字符），以识别令牌和时间戳；这些内容不会被存储。截图可能偶然显示人物和姓名；医疗诊所的网站会在图片中显示其专科。这些是公开的职业信息，而不是特定个人的健康数据。
C5——边缘情形。每日上限为200次受理的检查（fc_daily_cap），即按计算每年最多约73,000个网站。每个网站只产生少量个人数据，且持续时间较短（30天）。在开发系统上测定，数据集中有2次匿名检查。目前不满足；考虑到设计容量，属于边缘情形。
C6——不满足。除调取页面外，本服务还通过RDAP服务rdap.org查询域名的注册时长（仅传输域名；仅存储注册日期，并进行缓存），并进行DNS解析。这些是关于域名的技术细节，而不是关于人的数据集合并。
C7——不满足。
C8——满足，但程度较弱。由自动化浏览器检查页面，并由我们自有服务器上的语言模型对规则无法识别的表单进行分类（scanner/src/classify.js）。该模型看到的是页面标题、地址、字段标签以及最多400个字符的表单文本。它永远无法使某个表单变为“可提交”。
C9——不满足。

P1中间结果：一项标准以较弱程度满足（C8），两项边缘情形（C1、C5）。根据经验法则不构成义务。由于两项边缘情形指向同一方向，且数据主体对处理一无所知，我们将P1纳入评估。

P2——面向代理机构的潜在客户检查

使用Business套餐并已设置自有品牌的代理机构，可以对潜在客户的网站进行被动检查。它会收到一份以其品牌呈现的简短结论和一份详细报告，并自行转发链接（cfg/akquise_lib.php）。我们不联系任何人。

C1——边缘情形，程度强于P1。简短结论明确用作“首次洽谈的敲门砖”。对网站的评价由此成为以商业方式接触某人的基础。
C5——不满足。每个代理机构每月最多30次检查（prospect_monthly），90天后删除。
C8——满足，但程度较弱（与P1使用相同的技术）。
其他标准——不满足。结论以代理机构的品牌呈现，但不与关于运营者的其他数据相关联。

P2中间结果：根据经验法则不构成义务；出于与P1相同的理由，并且因为其目的——获取客户——本身带有风险（R6），将其纳入评估。

P3——“表单安全指数”研究

为开展研究，会对一份网站列表进行被动检查，并限流为状态进程每次运行最多五个未完成任务，该进程每五分钟运行一次（cfg/studie_lib.php）。仅公布汇总数据，且仅在有至少20个带表单的网站时才公布分组数据（study_min_segment，cfg/studie_lib.php）。原始数据在发布时删除（cfg/studie_lib.php）。

C5——边缘情形，对于大型列表则满足。代码中未限制列表的大小；按计算，限流机制每天允许一千多次检查。针对一个国家市场的研究会涵盖数千个网站，其中许多由个体经营者运营。达到这种规模时，我们认为该标准已满足。
C8——满足，但程度较弱。
C1——不满足。虽然会对单个网站进行评定，但只公布汇总数据；评定不用于对单个运营者作出陈述。
其他标准——不满足。

P3中间结果：对于按设计规模开展的研究，满足两项标准（C5、C8）。因此该研究达到门槛；formexposed作为控制者进行评估。在开发系统上测定，迄今尚未创建任何研究。

P4——检查客户账户中的域名

客户对其账户中的域名进行定期检查。一旦客户证明其有权控制该域名，还会增加主动测试提交（每次检查最多五次）、暴露文件搜索以及已配置的浏览器操作流程。

C3——不满足。检查是按计划定期进行的，但针对的是客户自己的网站，并应其请求进行，而不是为了观察人。
C4——边缘情形，不满足。暴露文件搜索最多读取/backup.sql或调试日志等路径的前8 KB，以便根据内容判断该文件是否确实暴露（cfg/dateien_lib.php）。这样的片段可能包含访客填写的表单内容。它仅在内存中检查，从不存储；存储的是路径、类型和严重程度。
C8——满足，但程度较弱。
其他标准——不满足。

新增的行动计划阶段。符合条件的付费报告可以包含根据选定检测结果和扫描元数据在本地生成的建议文本。文本与检查一同存储，并随 AI 提示显示；各项检测结果仍是判断依据。它不会自动更改网站，也不会对人作出具有法律效力或类似重大影响的决定。仅仅使用语言模型，并不能决定是否需要单独开展 DPIA。其输入、接收方、规模和剩余风险必须与基础检查一同评估，包括可能复述 URL 或备注中的个人数据，以及在可通过链接分享的报告中出现错误建议。下文第7至9节涵盖这一阶段；本事实性补充不声称已完成生产环境测量、已获得所有者批准或已形成新的剩余风险评级。

P4中间结果：根据上述事实，基础技术检查未达到门槛。新增的本地建议阶段本身并不产生单独义务，但此前的门槛结论不能替代对其实际输入数据、规模、接收方和影响的考虑。由于主动测试提交和文件检查依赖于一项从不更新的证明（R7），将其纳入评估。

P5——登录后扫描

对于已验证的域名，客户可以为其网站存储一个测试账户。扫描器使用该账户登录，并读取会员区中最多五个指定页面上的表单（cfg/login_lib.php、scanner/src/login.js）。

C4——边缘情形。访问凭据不属于指南意义上的高度个人化数据，但其被滥用会打开会员区。视网站而定，登录后可能存在机密内容，例如会员门户或患者门户中的内容。这取决于客户，而不是我们。
C8——不满足。自动登录在监控服务中很常见。
其他标准——不满足。

P5中间结果：根据经验法则不构成义务。对于会员区显示机密内容的客户，情况可能有所不同；届时由客户自行决定。由于存在安全风险（R8），将其纳入评估。

P6——带控制副本的送达检查

客户在其表单的邮件设置中将formexposed的一个控制地址设为密送。这样，每封表单电子邮件也会发送到我们的控制邮箱——既包括我们的测试消息，也包括访客发送的每一条真实消息。自动取回程序读取邮件标头和前8 KB，匹配该电子邮件，评估SPF、DKIM和DMARC，然后将其删除（cfg/zustellung_lib.php）。

C4——满足。访客在联系表单中填写的内容是发给企业的、内容任意的电子通信。在医疗诊所、律师事务所、咨询机构或学校的网站上，可以预见会出现第9条所述数据或有关儿童的数据。指南明确将机密电子通信列入这一标准。
C3——边缘情形，倾向于满足。每条消息都按计划、持续地被复制并自动评估，而发送者对此毫无察觉。其目的是检查邮件路径，而不是观察人。然而，只要客户没有告知其访客，指南用以论证该标准的情形——数据主体不知道谁收到了其数据——就完全存在。
C7——取决于客户。患者、律师事务所的委托人、求职者、家长和学生，往往对其消息的接收方处于依赖关系中。
C5——边缘情形，不满足。对单个客户而言并非大规模。在formexposed，众多客户的副本汇集在同一个邮箱中；这增加了数据泄露的严重程度，而不是每个控制者的数量。
其他标准——不满足。与域名和测试的匹配不是关于人的数据集匹配；该技术也并不新颖。

P6中间结果：C4满足，C3为边缘情形且倾向于满足，对于许多典型客户C7满足。因此，在典型情形下满足两项或更多标准。需要进行DPIA——这是作为控制者的客户的义务。第6节至第11节为其提供所需的事实。

P7——群体防护

已连接的WordPress网站每天报告一次其防护层所拦截消息中链接的域名。在七天内出现在至少三个不同网站上且命中至少五次的域名会被列入一份共享名单；该名单会回传给所有已连接的网站，这些网站随后会将含有指向该域名链接的消息放入隔离区（cfg/swarm_lib.php）。

C6——满足。来自众多相互独立的网站（即来自不同控制者）的报告被合并，并作为共享名单返回给所有网站。
C1——满足，前提是域名可以归属到自然人。该名单是将其归类为垃圾信息来源的一种分类。指南将对照共享欺诈数据库进行筛查列为该标准的示例。此类名单上的大多数域名属于企业或是一次性域名；然而，个人的域名也可能被列入其中，可能是合理的，也可能是因为被故意植入的虚假报告。
C9——边缘情形。含有名单中链接的消息不会立即到达接收者，而是停留在其隔离区中，直至接收者将其放行。消息不会丢失。
C2——不满足。隔离是针对消息的自动化后果，不具有法律效力，并由接收者以人工方式放行。
其他标准——不满足。IP网段处于关闭状态（swarm_ip_enabled = 0，cfg/swarm_lib.php）。

P7中间结果：两项标准（C6、C1）和一项边缘情形（C9）。达到门槛；formexposed作为控制者进行评估。如果开启IP网段，C1和C6将无限制地满足；开启该功能需要发布本评估的新版本（第12节）。在开发系统上测定，既无报告，也无名单条目。

P8——客户账户、登录、日志、支持、电子邮件、付款

C1和C9——不满足。免费检查中的可疑行为会导致生成一条含IP地址的记录（cfg/check_lib.php），并视情况拒绝后续检查。这是影响很小的防滥用措施，而不是对个人方面的评价。
其他标准——不满足。这些是面向企业的服务通常涉及的数据。

P8中间结果：无需进行DPIA。相关处理操作在处理活动记录中有所描述。

P9——插件数据、字段错误、录制器、徽章、客户门户、“Fix it for me”

插件和扩展传输每日数据、插件清单和错误类别，WordPress插件还会为群体防护传输链接域名（默认开启）（P7），不传输内容、地址、姓名或访客IP；录制器在管理员的浏览器中最多保存选择器15分钟。不满足任何标准。
徽章在加载时会将常规连接数据写入Web服务器日志，不使用Cookie。不满足任何标准。
客户门户代表代理机构，通过双重确认订阅处理订阅者的电子邮件地址。不满足任何标准。
“Fix it for me”让我们自有服务器上的语言模型改写粘贴的表单代码；代码不会被存储。以较弱程度满足C8，其余均不满足。

P9中间结果：无需进行DPIA。

3.4 波兰监管机构依据第35条第4款发布的清单

主管机构是个人数据保护局局长（Prezes Urzędu Ochrony Danych Osobowych，UODO）。局长在2019年6月17日的公告中公布了需要进行DPIA的处理操作类型清单（Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony，Monitor Polski 2019，第666项）。该清单将其条目对应到WP248指南的各项标准，给出了示例，并明确声明并非详尽无遗；它不取代依据第35条第1款进行的评估。

按照我们的理解，清单中的以下处理类型在实质上与formexposed的处理操作相对应：

清单所列处理类型（意译）	对应标准	formexposed的处理操作	评估
基于对不同来源数据的分析进行比较、评价或推断	C6	P7群体防护	适用
评价或评分，包括用户画像	C1	P7群体防护；P1和P2为边缘情形	适用于P7
处理特殊类别个人数据	C4	P6送达检查	视客户而定适用
创新性使用或应用技术解决方案	C8	P1至P4（用于分类的语言模型）	以较弱程度适用
大规模处理	C5	P3研究	适用于大型列表
系统性监控公众可进入的场所，包括特征识别	C3	–	不适用：指的是场所，而不是网站

这种对应关系是一种理解，而非引用；各条目的措辞应在法律审查中据此核对。它证实了第3.3节的结果，但并未改变该结果。据我们所知，UODO尚未发布依据第35条第5款的清单（即无需进行DPIA的处理操作）。

3.5 门槛评估的结果

处理操作	满足	边缘情形	结果
P1免费检查	C8（较弱）	C1、C5	非强制；已纳入
P2潜在客户检查	C8（较弱）	C1	非强制；已纳入
P3研究	C8（较弱），大型列表时C5	–	需要（formexposed的义务）
P4检查客户域名	C8（较弱）	C4（文件检查）	非强制；已纳入
P5登录后扫描	–	C4	非强制；已纳入；对客户而言视内容而定
P6送达检查	C4；视客户而定C7	C3（倾向于满足）、C5	需要（客户的义务；本页依据第28条第3款(f)项提供协助）
P7群体防护	C6、C1	C9	需要（formexposed的义务）
P8账户、日志、支持、付款	–	–	不需要
P9插件数据、徽章、门户、“Fix it for me”	C8（较弱，仅“Fix it for me”）	–	不需要

关于第35条第1款的结论：formexposed的部分处理操作需要进行DPIA。群体防护和按设计规模开展的研究需要进行DPIA，由formexposed作为控制者执行。送达检查在典型情形下需要进行DPIA，但这是客户的义务；formexposed提供依据材料。对于第三方网站和自有网站的其他检查，DPIA并非强制。我们仍将其纳入评估，因为它们使用相同的技术，多个边缘情形指向同一方向，并且数据主体——没有账户的运营者以及被检查页面上的人——对处理一无所知。账户、日志、支持和付款无需评估。

因此，第6节至第10节适用于P1至P7。如果某项陈述仅适用于其中一项处理操作，会予以标注。

4. 数据保护官：依据第37条的评估

未指定数据保护官。第37条第1款对控制者和处理者同样具有约束力；因此这是我们自己的问题。三种法定情形如下：

第37条第1款	条件	结果
(a)项	公共机关或公共机构	不适用；LW IT Solutions Company Lukas Wójcik是一家私营个人独资企业。
(b)项	核心活动包括需要对数据主体进行大规模定期和系统性监控的处理操作	核心活动是定期、系统地检查和监控网站和表单。但并不监控任何人：爬虫不观察行为，送达检查评估电子邮件仅为了送达和真实性。不满足。
(c)项	核心活动包括大规模处理第9条或第10条所述数据	设计上并非如此。特殊类别数据可能通过送达检查的控制副本到达我们这里；这属于偶然情况，而非核心活动。不满足。

因此，据我们评估，不存在指定数据保护官的义务。波兰法律是否依据第37条第4款在此之外要求指定，是有待法律审查的未决问题。由于未指定数据保护官，第35条第2款规定的征求意见不适用。如果法律审查认定存在指定义务，则在批准本评估之前，将征求届时指定的数据保护官的意见（第12节）。有关本评估问题的联系人是所有者，联系方式为contact@lukaswojcik.com。

5. 方法、来源及本版本的局限

本文件中的事实来自应用程序和扫描器的源代码、数据库结构，以及开发系统的行数统计和设置，测定日期为2026年10月11日。对数据库和服务器的访问均为只读。如果测定结果与某项意图相矛盾——包括与我们自己法律文件中的陈述相矛盾——我们报告测定结果。我们未采用依据第40条批准的行为准则（依据第35条第8款，遵守此类准则须予以考虑）。

测定对象是开发系统。本服务尚未上线。因此数据量很小，部分是测试产生的结果：112次检查，其中110次不属于客户域名；432张截图；2个域名，其中1个已验证；未开启送达检查；未为登录后扫描存储测试账户；没有研究；群体防护中没有报告。测定须在上线前重复进行，此后也须定期进行。
本版本未测定、须在批准前补充的内容包括：生产系统的配置，包括是否以及如何设置控制邮箱，以及是否在生产系统上设置了登录后扫描所用的密钥对；语言模型软件是否记录请求；服务器管理的状况（R13）；与电子邮件服务提供商的合同。
无法测定的是：将有多少真实访客消息经过控制副本，以及客户将来自哪些行业。这两点决定了R1和R2的严重程度，须在上线后确定。
来源出处指向开发系统源代码中的文件和函数。起决定作用的是所描述的功能，而不是其在文件中的位置。

本文件是草案。它尚未经控制者批准（第12节），并且其中两项结论——P1和P3的规模评估以及送达检查的影响程度——取决于上线后才会有的数据。

6. (a) 处理操作及目的的系统性描述

6.1 检查系统的结构

formexposed运行在我们位于波兰的自有服务器上，不使用外部托管服务商：一台运行应用程序和数据库的Web服务器，以及一台运行检查服务和本地语言模型的扫描服务器，两者位于同一内部网络中。一次检查的流程如下：

应用程序在数据库中创建一个任务——须遵守第6.3节所述的限制和屏蔽。
扫描服务器上的检查服务获取该任务，再次检查黑名单、主机名，以及（对于匿名检查）域名的注册时长，并为该任务专门启动一个隔离容器：拥有独立的网络及独立的过滤规则、无特殊权限、只读文件系统、内存和进程限制以及时间限制（scanner/src/worker.js）。
在容器内，自动化浏览器最多调取八个公开页面，首先是首页，然后优先调取联系、法律声明和支持页面。在此之前，它会读取robots.txt；如果存在针对FormExposedBot或所有爬虫且涵盖首页的排除规则，检查即告结束；robots.txt无法访问或调取时出现服务器错误时也是如此（scanner/src/net.js）。对个别子路径的禁止不单独遵循。表单脉搏检查、证明调取、安全响应头工具和暴露文件搜索不读取robots.txt。除这八个页面外，还有最多三个在Cookie横幅中点击“拒绝”后的页面、最多三个手机视图页面、针对已验证域名的主动探测，以及最多五个登录后的页面；页面依次加载，而非并行加载。浏览器发出的每一个请求——包括重定向和嵌入内容——都要经过一个过滤器，该过滤器会拒绝私有网络和其他端口。
容器将结果和截图写入一个临时目录。检查服务通过内部网络将结果和图片传给应用程序，并删除该临时目录，即使出现错误也是如此（scanner/src/worker.js）。
应用程序处理结果，对于客户域名，将其与上一次检查进行比较，并将变化报告给客户设置的目标。

6.2 爬虫存储的内容——以及不存储的内容

项目	存储的内容	不存储的内容	来源出处
页面	地址、HTTP状态、响应头、内容安全策略（Content Security Policy）、被请求的第三方主机（最多120个）	文本或HTML形式的页面内容	`scanner/src/crawl.js`
表单字段	类型、名称、标签、占位文字、必填字段、可见性、现有值的长度	字段值；对于隐藏字段，仅在检查期间读取值的前24个字符（用于识别令牌）	`scanner/src/crawl.js`
表单中的收件人地址	仅域名	地址	`scanner/src/crawl.js`
脚本	含校验值的清单；地址和开头文本，其中不含广告和分析服务的账户标识	账户标识和像素标识	`scanner/src/crawl.js`
旁听者	在Cookie横幅中点击“拒绝”之前和之后加载了哪些广告像素和录制工具，以及它们是否遮盖输入内容	在这些服务中的账户标识	`scanner/src/mitleser.js`、`scanner/src/einwilligung.js`
表单文本	如果规则无法识别表单类型，最多400个字符发送给本地语言模型	向第三方披露；存储该文本	`scanner/src/classify.js`
截图（爬虫）	第一个页面的可见区域；每个可见表单的表单元素图片	–	`scanner/src/crawl.js`
截图（主动检查）	测试提交后响应页面的图片；此外还有其状态、目标地址、标题以及其文本的前300个字符	–	`scanner/src/active.js`
截图（浏览器操作流程）	输入字段被涂黑的表单图片，经过压缩，最大32 KB	输入内容	`scanner/src/browser.js`
登录后	同上述表单字段	截图、Cookie、链接	`scanner/src/login.js`

按设计，这些项目不包含个人数据，但会偶然包含：表单旁联系人的姓名、首页上的团队照片、标签中的电话号码、个人的电子邮件域名、占位文字中的姓名。在登录后，还会涉及测试账户的信息，以及视网站而定的其他用户的信息。

6.3 谁触发检查，以及随后适用的规则

触发方	任务中的信任级别	测试提交	结果访问途径	删除
有人在首页输入域名（免费检查）	匿名	否	随机链接下的报告	30天，包括图片（`cfg/check_lib.php`）
无账户的插件或扩展	插件	否	随机链接下的报告	30天
代理机构为潜在客户发起	已注册	否	随机链接下的简短结论和报告	90天（`cfg/akquise_lib.php`）
客户，无证明的域名	已注册	否	账户；随机链接下的报告	13个月，保留最后一次检查
客户，有证明的域名	已验证	是，每次检查最多五次	账户；随机链接下的报告	13个月，保留最后一次检查（`cfg/fristen_lib.php`）
研究	内部	否	发布后仅汇总数据	发布时删除；未发布则无期限（R4）
服务提供方通过命令行进行的内部检查	内部；对于我们自己的测试和演示域名也可为“已验证”	否；“已验证”级别时为是（仅限我们自己的测试和演示域名）	仅限内部	无期限（R4）

免费检查之前设有多层防护（cfg/check_lib.php）：紧急停止；reCAPTCHA；同一域名七天内最多检查一次（之后显示已有报告）；按IP地址、按会话（以哈希值形式，绝不使用会话标识本身）以及整个服务每日的限制；来自退出（opt-out）和robots.txt的黑名单；检查域名是否指向公共地址；以及对非常新或注册时长未知的域名的屏蔽。异常情况——同一IP地址提交大量不同域名、短时间内大量请求——会连同IP地址一起记录，并触发一个不含内容的信号（cfg/check_lib.php）。

6.4 检查客户账户中的域名

客户证明其有权控制某个域名：通过DNS记录、meta标签、文件或我们的插件（cfg/verify_lib.php）。只有这样，该域名才被视为已验证。监控调度程序仅为活跃、受监控且已验证的域名安排定期检查（cfg/monitor_lib.php）。

主动测试提交受两道关卡约束：应用程序仅为客户已验证的域名设置主动模式（对于我们自己的测试和演示域名，服务提供方可以通过内部命令行工具创建“已验证”级别的检查），检查服务还会再次检查信任级别和紧急停止开关fc_active_enabled（scanner/src/worker.js）。只有符合以下条件的表单才可以被提交：被规则高度确定地识别为普通联系表单，没有要求填写真实个人数据的必填字段，且其域名看起来不属于公共机关、教育机构、医院、医疗诊所、警察或法院（scanner/src/classify.js）。语言模型无法使表单变为可提交（scanner/src/classify.js）。每次检查最多发出五次提交（fc_active_max_posts），带有清晰标记，发件人为dummy@formexposed.com，使用一个.invalid下的地址测试电子邮件验证，并附加一行无害的邮件标头以检测邮件标头注入（scanner/src/active.js）。
浏览器操作流程在浏览器中检查已配置的表单操作流程，直到提交前的最后一步。仅允许GET和HEAD请求；其他一切请求都会被中止，包含表示登出、删除、购买或付款等词语的地址也会被中止（scanner/src/browser.js）。为进行检查，必填字段会填入虚构的值，这些值从不离开浏览器。
暴露文件每周搜索一次，仅针对已验证的域名，每个路径最多调取一次，最多8 KB，内容从不存储（cfg/dateien_lib.php）。
独立的第二探针已准备就绪，默认处于关闭状态（browser_probe_enabled = 0）。如果开启，它只会收到域名、地址、选择器、步骤和浏览器选择，绝不会收到访问凭据、截图或访客数据（cfg/formular_probe_lib.php）。

6.5 登录后扫描

前提条件：该功能已设置，域名已验证，客户使用付费套餐，且是工作区的所有者或管理员（cfg/login_lib.php）；客户确认该账户是权限尽可能少的测试账户（cfg/login_lib.php）。

用户名和密码在Web服务器上立即使用扫描服务器的公钥加密：每条记录使用一个一次性密钥（X25519）、密钥派生（HKDF-SHA256）、AES-256-GCM，并与域名绑定（cfg/login_lib.php）。只有扫描服务器上的检查服务持有私钥（scanner/src/geheim.js）。任何获得Web服务器、数据库或备份的人都只能得到密文。
界面仅显示用户名的第一个字符和长度（cfg/login_lib.php）。访问凭据从不显示、从不记录，也从不通过API输出。
进行检查时，应用程序将密文附加到任务中。检查服务将其解密，立即清空任务中的该字段，并仅通过标准输入将访问凭据传给容器，绝不作为命令行参数传递（scanner/src/worker.js）。中止任务中的残留由状态进程在一小时后清除（cfg/login_lib.php）。
在容器内，浏览器进行登录。如果登录页面重定向到其他主机、登录表单带有CAPTCHA（我们不绕过CAPTCHA），或者提交后密码字段仍然可见，则中止（scanner/src/login.js）。随后它会清空页面内存中的密码字段，并丢弃访问凭据（scanner/src/login.js）。
它最多读取客户指定的同一域名下的五个页面。包含表示登出、删除、移除或取消等词语的地址会被阻止（scanner/src/login.js）。登录后不提交任何内容，不截图，Cookie和链接也不会进入结果（scanner/src/login.js）。
删除是彻底的：密文会被同等长度的随机数据覆盖，记录被删除，待处理的任务被清除（cfg/login_lib.php）。删除域名时，该记录会通过外键自动消失。

6.6 送达检查

送达检查回答的问题是：来自联系表单的电子邮件是否真的能够送达，并评估其真实性特征。它是可选功能，默认关闭，并且需要设置控制邮箱（cfg/zustellung_lib.php）。

如果客户开启该功能，域名会获得一个随机标记。客户将带有该标记的控制地址作为密送填入其表单。
从此以后，每一封表单电子邮件也都会发送到控制邮箱：我们带标记的测试提交以及访客的所有真实消息。电子邮件直接发送到Namecheap, Inc. (Private Email), Phoenix, Arizona, USA的邮箱——只有当我们域名的MX记录指向该处时才会到达；通过转发（例如在域名注册商Namecheap, Inc.处设置的转发）则不会到达该邮箱——并保留在那里，直至被取回。
状态进程每五分钟取回一次邮箱（srv/cron_status.php）。对于每封电子邮件，它读取邮件标头以及最多正文的前8 KB，且不将其标记为已读（cfg/zustellung_lib.php）。
它从邮件标头中确定标记，从而确定域名，并在适用时从正文中确定我们测试的标识（cfg/zustellung_lib.php）。存储的是时间、域名以及（如适用）测试标识（cfg/zustellung_lib.php），保留180天（cfg/zustellung_lib.php）。
它根据邮件标头评估SPF、DKIM和DMARC，并将结果存储到该域名下：检查结果、发件人地址的域名、签名的域名以及发送邮件服务器的地址（cfg/zustellung_lib.php）。如果结果变差，会向客户发送一次提醒，提醒中可能提及发件人域名（cfg/zustellung_lib.php）。
随后，它将每一封已取回的电子邮件标记为删除，包括无法匹配到任何域名的邮件，并在运行结束时将其从邮箱中移除（cfg/zustellung_lib.php）。如果运行在此之前中止，电子邮件将保留至下一次成功运行。
只有相应测试本身的副本才算作送达证明（cfg/zustellung_lib.php）。如果三小时内（delivery_wait_h）未到达，服务会报告“未送达”。

真实消息的正文从不写入数据库，访客的地址也不写入。但两者都会被读取：取回程序会将每封电子邮件的前8 KB加载到内存中，以搜索测试标识。

6.7 群体防护

WordPress插件的防护层将一条消息作为垃圾信息拦截，并统计其中链接的域名。插件每天一次向我们报告这些域名及其命中次数，每天最多60个；不含地址、文本或IP地址（cfg/swarm_lib.php）。
我们每天一次据此编制名单：如果某个域名在七天内被至少三个不同网站报告且命中至少五次，则被列入名单（swarm_min_sites、swarm_window_days、cfg/swarm_lib.php）。固定例外列表中的大型服务以及我们客户的域名（均包括子域名）绝不会被列入名单（cfg/swarm_lib.php）。
名单随对每日报告的响应发送给所有已连接的网站。这些网站的防护层会将含有指向名单中域名链接的消息放入隔离区，而不是垃圾箱。
不再出现在新名单中的域名会被移除；报告在30天后删除（cfg/swarm_lib.php）。
IP网段（/24或/48）功能已准备就绪，但在法律审查完成之前处于关闭状态（cfg/swarm_lib.php）。

6.8 人工智能的使用

语言模型运行在我们自己的扫描服务器上，而不是在AI服务商处。它用于三个地方：在检查服务中，它对规则无法识别类型的表单进行分类；在此过程中，它看到的是页面标题、页面地址、提交按钮的标签、字段类型、名称、标签和占位文字，以及最多400个字符的表单文本（scanner/src/classify.js）。仅当规则返回“未知”时才会询问它；以这种方式分类的表单绝不会被提交，也不计入分数和结论。分数、结论、防滥用、群体防护和垃圾信息规则都是固定规则，而不是AI。在“Fix it for me”中，它改写粘贴的表单代码；代码不会被存储。对于付费账户中符合条件的域名检查，它还会根据主机名、总体结果和评分、CMS、相关表单类型和页面地址、识别出的插件，以及选定的未通过或不明确的检测结果，生成按优先级排列的行动计划。请求暂存于内部任务队列，取回结果后删除，或通过定时清理删除超过一小时的条目。生成的文本、语言、状态和时间戳与扫描结果一同按其保留规则存储。报告会将计划标明为 AI 摘要，并以各项检测结果为判断依据；计划不会更改网站或扫描结果。该模型不对人作出任何决策。更多信息请参见欧盟 AI 法案：formexposed 如何使用 AI页面。

6.9 法律依据

处理操作	法律依据
P1免费检查：检查所请求的域名；限制和防滥用	就请求人而言，第6条第1款(b)项；就运营者和被拍摄到的人而言，第6条第1款(f)项；防滥用，第6条第1款(f)项
P2潜在客户检查	第6条第1款(f)项（代理机构和formexposed的合法利益）
P3研究	第6条第1款(f)项
P4检查客户域名	就客户而言，第6条第1款(b)项；对于其网站上的第三方数据，依据客户按第28条作出的指示
P5登录后扫描	客户依据第28条作出的指示；客户的法律依据
P6送达检查	客户依据第28条作出的指示；客户的法律依据（在我们为客户提供的建议文本中为第6条第1款(f)项）
P7群体防护	第6条第1款(f)项（跨众多网站共同防御垃圾信息）

我们在P1至P3中的合法利益在于，在表单的薄弱环节被利用来发送垃圾信息或进行滥用之前，向运营者及其服务提供商指出这些薄弱环节，以及提供服务。数据来自公开可访问的来源。利益权衡见第7节；第6条第1款(f)项是否足以支持应请求检查第三方网站，是有待法律审查的未决问题。

6.10 接收方和向第三国的传输

接收方	内容	处理操作	状态
formexposed以外的任何人都不接收	检查结果、截图、语言模型的分类	P1–P5	检查服务和语言模型运行在我们自己的服务器上；在爬虫的检查路径中，除被检查网站本身、其嵌入内容所属的服务（与任何访客相同）以及用于查询域名注册时长的RDAP服务rdap.org（仅域名）之外，未发现对任何第三方的调用；监控所用的各项监测列于下一行
任何知道链接的人	含发现项和截图的报告	P1、P2、P4	128位随机链接（`cfg/check_lib.php`），页面带有`noindex`（`www/report.php`）
客户域名监控所查询的服务	DNS黑名单（SpamCop、PSBL、Mailspike、SURBL）：服务器的域名和IP地址，不含访客数据；Google Web Risk仅在已设置时使用：首页地址；时间戳机构Certum和DigiCert：仅证据日志的哈希值；通过IANA注册表进行的RDAP查询：仅域名；服务商的状态页面：不传输任何内容；wpvulnerability.net：插件（不含版本）或主题的标识以及WordPress版本	P4	使用中；详见处理活动记录和次级处理者页面
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	控制副本，包括真实的访客消息	P6	合同尚未签订；处理地点和传输机制仍待审查
Namecheap, Inc.（美国）	域名注册商和DNS；在邮箱设置完成之前，转发发往我们域名下地址的一般电子邮件，但不转发控制副本（控制副本只能通过直接指向邮箱的MX记录到达邮箱）	–（无控制副本）	传输机制待审查
客户选择的提醒渠道（电子邮件、Webhook、Slack、Discord、Microsoft Teams、Google Chat、Telegram）	事件、域名、链接；对于真实性检查，如发件人域名不属于该网站，则包括发件人域名	P4、P6	目标由客户选择；部分位于欧盟以外。我们通过我们的机器人发送Telegram消息；相应的传输机制是有待法律审查的未决问题
所有已连接的网站	链接域名名单	P7	通过对插件的响应
第二探针	域名、表单地址、选择器、步骤	P4	已关闭

6.11 存储期限：以测定为准，而非以意图为准

删除大多在夜间03:00由状态进程执行（srv/cron_status.php、cfg/fristen_lib.php）；群体防护报告和潜在客户记录每日04:00起删除，送达检查的匹配记录在每次取回时删除；匿名报告和潜在客户报告按其到期日删除（cfg/check_lib.php）。截图与其扫描记录一同从磁盘上删除（cfg/fristen_lib.php）。

数据	代码中的期限	来源出处	结论
免费检查，包括图片	30天	`cfg/check_lib.php`	有效
潜在客户检查，包括图片	90天	`cfg/akquise_lib.php`；`srv/cron_status.php`（潜在客户记录）	有效
客户域名的检查	13个月；只要域名存在，就保留最后一次检查	`cfg/fristen_lib.php`	有效
浏览器操作流程的结果，包括涂黑的图片	13个月	`cfg/fristen_lib.php`	有效
已删除域名的数据	立即删除；遗留数据在夜间删除	`cfg/fristen_lib.php`（`fe_domain_loeschen()`、`fe_fristen_lauf()`）	有效，包括脚本清单和脚本变更，它们在此之外没有单独的存储期限（见处理活动记录）
研究：原始数据，包括图片	发布时	`cfg/studie_lib.php`	未发布则无期限；即使发布后，已检查主机的列表也无期限保留
既无域名也无报告的内部检查	无	–	不删除；测定结果：自2026年9月22日以来共85次检查，369张图片（R4）
送达检查的匹配记录	180天	`cfg/zustellung_lib.php`	有效
存储在域名下的真实性检查结果	直至下一次结果或域名被删除	`cfg/zustellung_lib.php`	会被覆盖，无期限限制
邮箱中的控制副本	直至下一次成功取回（间隔五分钟）	`cfg/zustellung_lib.php`	邮箱服务商处的副本和备份未核实
登录后扫描的访问凭据	直至客户删除或域名被删除；在任务中最多保留至运行结束，残留在一小时后清除	`cfg/login_lib.php`	有效；在备份中仅以密文形式存在，最长14天
群体防护中的报告	30天	`cfg/swarm_lib.php`	有效
免费检查的限制数据（IP、国家/地区、会话哈希值）	7天	`srv/cron_status.php`	有效
含IP地址的可疑行为记录	处理后90天	`srv/cron_status.php`	未处理的记录无期限；测定结果：3条记录，均已处理
与退出（opt-out）相关的IP地址、国家/地区、浏览器	12个月；排除本身保留	`cfg/fristen_lib.php`	有效
数据库备份	14天	`cfg/backup_lib.php`	有效；备份目前与数据库存放在同一地点，且未单独加密；计划在第二个地点存放一份加密副本（R13）

7. (b) 必要性和相称性评估

衡量标准是所述目的：向运营者展示其表单是否受到防垃圾信息和防滥用保护（P1至P5），检查表单电子邮件是否送达且显得真实（P6），以及跨众多网站共同防御垃圾信息（P7）。这些目的是正当的。第35条第7款(b)项提出的问题更为具体：这项处理是否需要达到这样的深度才能实现目的，其干预与收益是否相称？

组成部分	对实现目的是否必要？	按现有构建方式是否相称？
调取少量公开页面、表单结构、检测到的防护措施	是。没有它们就无法得出结论。	是。最多八个页面（另加第6.1节所述视图），遵守robots.txt中对首页的禁止，不读取可见字段的值，收件人地址仅以域名形式存储。
每个表单的截图	是，作为报告中的证据：运营者可以看到指的是哪个表单。	基本相称。字段是空的，因为爬虫不输入任何内容。但图片会显示表单元素的周边内容，且未作任何涂黑处理（R3）。
首页截图	对于结论本身并非必需。它用于在报告中辨认被检查的网站。	仅在有限程度上相称；计划进一步最小化。首页经常显示人物：团队照片、联系人、署名的客户评价。见R3和第9.3节。
读取隐藏字段的值（前24个字符，仅在检查期间）	是：据此识别令牌和时间戳。	是。仅存储识别结果，不存储值，登录后同样如此（R8）。
测试提交后的响应页面（图片和300个字符的文本）	是，作为表单如何响应的证据。	是。该响应针对的是我们带标记、不含个人数据的测试消息。
语言模型分类	有用，但非必要：没有它，会有更多表单停留在“未知”状态。	是。本地运行，不披露，无提交权限。
根据选定检测结果和扫描元数据生成的本地行动计划	有助于确定修复优先级，并非生成各项检测结果所必需。	仅限于现有扫描元数据和最多18项不同的未通过或不明确的检测结果，提示中不含截图或已输入的字段值。计划仅提供建议，并标明由 AI 生成；各项检测结果仍是判断依据。URL 和备注仍可能包含个人数据，生成的文本遵循扫描保留规则以及凭链接访问的规则。这些限制可以减少暴露，但不能证明事实准确性（R10）。
主动测试提交	是。只有经过测试，才能看出防护是否有效。	是，设有上限并带有标记。但前提条件——控制权证明——从不更新（R7）。
暴露文件搜索	对客户而言是必要的，其表单数据可能在那里暴露。	是。仅限已验证域名，最多8 KB，内容从不存储。
登录后扫描	对于会员区中否则无法检查的表单而言是必要的。	基本相称。加密和删除构建得很周密；但登录接受未加密连接和有缺陷的证书（R8）。
真实访客消息的控制副本	对于送达证明并非必要。送达证明仅依赖于我们测试的副本（`cfg/zustellung_lib.php`）。真实消息之所以随附，是因为表单中的密送无法区分测试消息和真实消息。它们对真实性检查（SPF、DKIM、DMARC）有用，因为它们反映了实际的发送路径。	部分相称。内容不会被存储，但会被读取，并且在取回之前会保留在邮箱服务商处，而与该服务商的合同仍未签订（R1、R2）。技术上可以采用干预程度更低的设计：借助我们的插件，可以将密送限制为带标记的测试消息（第9.3节）。
存储真实消息的发件人域名	部分必要：它可以显示表单是否以访客的地址作为发件人发送（这是被归类为垃圾邮件的常见原因）。	有条件地相称。对于拥有自有域名的个人，该域名属于个人数据，并会出现在发给客户及其渠道的提醒中（R1）。
链接域名共享名单	是。同时出现在众多网站上的垃圾链接是一个强信号，而单个网站无法获得这一信号。	是，设有最低数量、例外，并以隔离代替删除。如未经新的评估，IP网段将不相称。
研究的原始数据	在评估完成之前，是。	若无最长期限，则不相称（R4）。
随机链接下的报告	是。转发报告——例如转发给负责维护网站的服务提供商——正是免费检查的目的。	是。128位随机链接，`noindex`，免费报告仅为摘要（`cfg/check_lib.php`，`FE_FREE_DETEKTOREN`），30天后删除。

合法性。对于P1至P3和P7，我们依据第6条第1款(f)项。有利于权衡的因素：数据是公开的，且以与任何访客相同的方式调取；不提交任何内容；个人数据是偶然出现的且数量很少；期限较短；运营者可以通过在robots.txt中禁止访问首页来排除爬虫的后续检查，也可以通过我们的域名排除（opt-out）页面立即且无需证明地排除任何后续检查；收益——受保护的表单——也惠及运营者及其访客。不利因素：运营者对检查一无所知，报告是为第三方准备的，而且对于个体经营者，它评价的是一个人。只要第9.1节所述措施保持有效，我们认为该权衡是站得住脚的；法律确认尚待完成。

向数据主体提供信息（第13条和第14条）。我们通过爬虫页面（每次调取的标识中都注明了该页面）、隐私政策以及域名排除（opt-out）页面告知运营者和被检查页面上的人。只有在识别出偶然出现在截图中的人之后，才可能单独告知他们——而这将构成进一步的、更严重的干预。就此而言，我们依据第14条第5款(b)项。消息经过控制副本的访客由客户告知；数据处理协议对此有所要求，我们也为此提供了文本模块。

数据最小化（第5条第1款(c)项）。这体现在许多地方，并以代码为基础：不存储字段值，收件人地址仅以域名形式存储，脚本地址中的账户标识被隐藏，控制副本的内容不进入数据库，登录后不截图，群体防护中仅使用域名。在两个地方还可以并计划进一步最小化（第9.3节）：未作涂黑处理的首页截图，以及真实消息的发件人域名。

存储限制（第5条第1款(e)项）。自2026年9月27日起，夜间任务对客户数据执行隐私政策中规定的期限，并清除此前遗留的、没有关联域名的数据（cfg/fristen_lib.php）。仍有两条无期限的途径未解决：内部检查和未发布的研究（R4）。

准确性（第5条第1款(d)项）。结论可能是错误的：某个表单看起来未受保护，是因为防护只有在交互后才加载；或者防火墙对待爬虫的方式与对待访客不同。对于网站被公开传播为“暴露”的运营者而言，这关乎声誉。因此，报告会说明方法、展示证据，并指出从外部进行检查的局限性。

关于相称性的结论：按现有构建方式，对第三方网站和自有网站的检查基本上是相称的。在三个地方存在需要改进之处，这些问题可以通过常规手段解决，并已计划相应措施（第9.3节）：首页截图、无期限的内部检查，以及登录后扫描中未加密的登录。送达检查对于测试副本和真实性检查是相称的；对于真实的访客消息，只有在其内容不被存储、经由邮箱服务商的路径有合同保障且客户告知其访客的情况下才成立。目前，这三点中的第二点尚不具备。

8. (c) 对数据主体权利和自由的风险评估

所评估的是对数据主体的风险，而不是对formexposed的风险。可能性分为极小、可能、很可能或已发生；“已发生”表示该事件不是预测，而是测定的状态。严重程度分为有限、显著、严重或非常严重，取决于当事人可能失去什么：其消息的机密性、对账户的控制、其商业声誉、行使权利的能力。等级由两者共同得出，描述的是采取第9.1节所述措施后的当前状态。

编号	风险	处理操作	可能性	严重程度	等级
R1	控制副本中的真实访客消息，可能包括特殊类别数据	P6	一旦开启即已发生	严重	高
R2	控制副本经由邮箱服务商的路径，没有已签订的合同，且可能涉及第三国	P6	在缺少合同期间很可能	严重	高
R3	第三方网站的截图未作涂黑处理	P1–P4	很可能	有限	中
R4	没有删除途径的检查数据和截图	P3、内部检查	已发生	显著	高
R5	在运营者不知情的情况下检查第三方网站并公开评级；被滥用为侦察工具	P1	可能	显著	中
R6	潜在客户检查被用作未经请求接触的依据	P2	很可能	有限	中
R7	控制权证明从不更新	P4、P5	可能	显著	中
R8	登录后扫描中的访问凭据和内容	P5	可能	严重	中；对于真实账户为高
R9	在客户网站上进行主动测试提交和文件检查	P4	极小	显著	低
R10	语言模型分类	P1–P4	极小	有限	低
R11	基于众多网站报告的共享黑名单	P7	可能	有限	低至中；使用IP网段时为高
R12	公开链接下的报告和截图	P1、P2、P4	可能	有限	低
R13	基础设施薄弱环节：备份、服务器访问、扫描服务器	全部	可能	严重	高
R14	不认识我们的人的数据主体权利	P1–P6	很可能	有限	低

R1 – 控制副本中的真实访客消息

这是服务最严重的风险，且源于设计而非错误。表单中的密送副本无法区分我们的测试消息与访客消息。客户开启送达检查后，通过该表单发送的每一条消息都会到达我们的控制邮箱（cfg/zustellung_lib.php）。获取过程将邮件标头和前 8 KB 文本读入内存，以查找我们的测试标识符（cfg/zustellung_lib.php）。对于普通联系表单，这意味着姓名、电子邮件地址、电话号码和完整消息。

访客写什么由其自行决定，而该字段会引导填写个人内容：向诊所描述症状并预约、向律师事务所陈述法律纠纷、求职申请、向学校咨询孩子相关事宜。我们的法律文件写明副本“不应包含任何特殊类别的个人数据”。这只是对客户的要求，并非保护措施：客户和我们都无法预先知道访客会写什么。

还有两条附带路径。第一，真实性检查按域名存储发件地址的域名（cfg/zustellung_lib.php）。如果表单以访客地址作为发件人，这就是访客的域名——对于大型邮件服务商没有个人意义，但对于拥有自有域名的个人则属于个人数据。该域名也会出现在发送给客户及其所选渠道的提醒中（cfg/zustellung_lib.php）。第二，还会存储发送邮件服务器的地址（cfg/zustellung_lib.php）；通常这是网站服务器，而非访客的服务器。

可能性 – 一旦开启即已发生。问题不是真实消息是否到达，而是有多少。开发系统实测显示，没有任何域名开启此功能。严重程度 – 严重。发给企业的消息的保密性对很多人都很重要，而某些典型客户的数据中预期会包含第 9 条数据。内容不进入数据库、仅短暂保留在邮箱且没有任何 formexposed 人员读取，这些因素减轻了严重程度。等级 – 高。

R2 – 控制副本经由尚未订立合同的邮箱提供商

在我们的获取过程读取控制副本之前，副本已保存在 Namecheap, Inc. (Private Email), Phoenix, Arizona, USA 的邮箱中。仅当我们域名的 MX 记录直接指向该邮箱时才会到达；域名注册商 Namecheap, Inc. 的转发并非控制副本途经的站点（通过转发，副本不会到达邮箱）。对于剩余的这个站点，合同安排仍未确定：尚未与邮箱提供商订立合同，其存储地点、次级处理者和备份期限尚未查明，且处理地点是否需要以及是否适用充分性决定或标准合同条款，仍待确定。对于我们自身的事务性邮件，这是合同设计问题。对于控制副本，问题更严重：这些是我们作为处理者接收的数据，而路径上的每个服务提供商都是我们依第 28(4) 条承担责任的次级处理者。

此外，“获取后删除”仅适用于我们所见的邮箱。提供商是否将已删除邮件保留在自己的备份或回收站中，以及保留多久，尚未核实。如果获取中止，邮件会保留至下次成功运行（cfg/zustellung_lib.php）；如果状态进程失败，则会无限期保留。最后，获取过程本身的安全性，也是上线前须在生产系统检查的事项之一（第 9.3 节）。

可能性 – 很可能，只要合同缺失，每份控制副本都会经过此路径。严重程度 – 严重，理由同 R1。等级 – 高。应用程序设置清单将邮箱缺失报告为警告；没有在缺乏已记录合同时阻止送达检查的锁定机制。

R3 – 未遮黑的第三方网站截图

爬虫会截取首个页面可见区域的图像，以及每个可见表单的表单元素图像（scanner/src/crawl.js）。过程中不遮黑任何内容。浏览器操作流程不同：截图前会遮蔽输入字段（scanner/src/browser.js）。因此，只有浏览器操作流程的图像经过“清理”，爬虫图像和主动检查响应页面的图像均未清理。

由于爬虫不输入任何内容，表单字段为空。然而，小企业主页常显示业主、团队、带姓名和照片的客户评价，或带员工照片的聊天窗口。这些内容均属公开；截图使其成为保存在我们这里的副本，显示在报告中，并可随链接转交。

可能性 – 很可能。开发系统数据集中实测有 432 张截图。严重程度 – 有限：内容本已公开，且无账户检查的期限较短。等级 – 中，因为被拍摄者不知情，且主页图像并非发现项所必需。

R4 – 没有删除途径的检查数据和截图

夜间任务通过两条途径删除检查：报告到期日期（cfg/check_lib.php），以及客户域名检查的保留期限（cfg/fristen_lib.php，仅限关联域名的检查）。既无报告也无域名的检查会漏过两道机制。这些是信任级别为“internal”的检查：研究及提供商从命令行创建的检查。

研究在发布时删除原始数据（cfg/studie_lib.php）。如果研究从未发布——因为含表单的网站太少（cfg/studie_lib.php 此时拒绝发布），或被搁置——检查、表单、发现项和截图将无限期保留。
命令行内部检查完全没有删除途径。2026 年十月 11 日实测：有 85 次此类第三方网站检查，含 978 个表单和 369 张截图，最早始于 2026 年九月 22 日，均无报告或域名。
免费检查中异常行为的备注含 IP 地址，在解决 90 天后删除（srv/cron_status.php）。从未解决的备注将持续保留。实测：三条备注，均已解决。

可能性 – 已发生。这 85 次检查不是假设情景，而是现有数据。在开发系统中，它们来自实地测试；生产系统使用相同代码。严重程度 – 显著：这些数据没有保留期限。就存储限制原则（第 5(1)(e) 条）而言，这是一个已有计划措施的待解决事项（第 9.3 节，优先级“首先”），而受影响的恰恰是对检查毫不知情的人。内部检查已在处理活动记录中描述；隐私政策尚未单独列明（第 9.4 节）。等级 – 高。

R5 – 在运营者不知情的情况下检查并公开评级第三方网站

任何人均可检查任何公开可访问的网站，无须账户，也无须与网站存在任何联系。运营者不会收到通知。结果报告将网站评为“暴露”“部分防护”或“已防护”，任何持有链接的人均可查看。数据主体可能面临两种后果。个体经营者被公开评级——即使仅对链接接收者公开——而评级可能基于错误发现。此外，报告会向垃圾信息发送者揭示哪个表单可无障碍填写。

一系列限制用于应对此问题（cfg/check_lib.php）：每个域名七天内最多一次检查，之后返回相同报告；按 IP 地址和会话限制；整个服务的每日上限；不检查通常与滥用相关的极新域名；针对异常行为记录备注并发出信号；robots.txt 和排除机制，双重检查（cfg/check_lib.php 及检查服务中）。免费报告仅为摘录：只显示基础发现，而非所有检测器的证据。而且，其内容并不超出机器人几秒钟内可自行查明的范围——无防护表单从外部即可看出。

可能性 – 可能。严重程度 – 显著，对于表单在报告后遭针对性攻击，或评级错误的个体经营者而言。等级 – 中。

R6 – 潜在客户检查成为未经请求联系的依据

界面将潜在客户检查描述为“开启首次交流的敲门砖”。代理机构如何使用简短发现由其自行决定；技术上也可发送给未曾请求的运营者。我们不联系任何人（cfg/akquise_lib.php），且服务条款要求代理机构遵守广告和招揽规则。然而，未经请求发送发现项邮件，即使在企业之间也属于直接营销，在波兰（电子通信法（Prawo komunikacji elektronicznej，PKE）第 398 条）和德国（反不正当竞争法（Gesetz gegen den unlauteren Wettbewerb，UWG）第 7(2) 条）均需事先同意。界面未提示这一点；潜在客户检查文本仅提及“被动”和“排除名单”。

可能性 – 很可能，因为该功能用于获客，而我们无法核实收件人是否同意。严重程度 – 有限：对运营者而言，这是一封令人困扰、带有其网站评级的营销邮件。等级 – 中。风险来自代理机构的行为；由于功能由我们提供，计划在界面增加提示（第 9.3 节）。

R7 – 控制权证明从不更新

主动测试提交、暴露文件搜索和登录后扫描，均要求客户已证明其有权控制域名。该证明仅检查一次（cfg/verify_lib.php），此后不再检查。代码中不存在使域名失去证明的途径。如果域名更换所有者、代理机构结束委托，或运营者移除 DNS 记录，检查仍会继续——最多每天进行，最多五次测试提交，并在已存储的情况下使用新运营者可能不知情的测试账户登录。相反，无法通过重命名将证明转移到其他主机：已具控制权证明的域名主机名不可更改。

可能性 – 可能：域名和委托关系变更是代理机构的日常情形。严重程度 – 显著，对新运营者及其员工而言，他们会收到带标记的测试消息，且其网站在未经同意的情况下被搜索暴露文件。等级 – 中。测试消息会说明自身性质，并指向爬虫页面和排除机制；排除同样对客户发起的检查有效。

R8 – 登录后扫描中的凭据和内容

凭据加密经过细致设计：Web 服务器存储后无法再读取，数据库和备份仅含密文，记录绑定域名，凭据仅通过标准输入进入容器，随后从内存清除（第 6.5 节）。仍有两个缺口；第三点仅涉及读取，不涉及存储。

允许未加密登录。地址检查允许 http 以及 https（cfg/login_lib.php、scanner/src/login.js）。如果客户输入 http 登录页面，每次检查时用户名和密码都会以明文在互联网上传输。
证书错误不会停止登录。目前客户网站证书无效时，登录不会中止（scanner/src/login.js）。因此，证书未能在凭据传往客户网站的途中提供完整保护。计划在证书错误时中止（第 9.3 节，优先级“首先”）。
读取但不存储登录后的隐藏字段值。爬虫读取隐藏字段值的前 24 个字符（scanner/src/crawl.js），同一提取函数也在登录后运行（scanner/src/login.js）。那里的隐藏字段常包含账号、用户标识符或已登录账户的电子邮件地址；但仅字段名称、类型、标签和检测结果进入字段映射和发现项。

此外还有代码无法阻止的情况：客户确认使用权限尽可能少的测试账户（cfg/login_lib.php），但也可填入真实管理员账户。扫描器随后读取哪些页面，由客户决定；包含退出登录和删除用语的地址被封禁，但网站通过简单请求触发的其他操作并未封禁。

可能性 – 可能。严重程度 – 严重，如果涉及权限广泛的账户，则包含所有用户数据的会员区会被打开。对于低权限测试账户，等级 – 中；对于真实账户，高。开发系统实测未存储测试账户。

R9 – 客户网站上的主动测试提交和文件检查

测试提交发送给读取客户表单邮件的人——客户员工或服务提供商。它不包含个人数据：发件人为 dummy@formexposed.com，文本和主题均带标记并列明检查标识符（scanner/src/active.js）。风险在于误分类：如果扫描器将申请、预订或咨询表单识别为联系表单，测试消息就会进入会产生后果的流程。应对措施包括“submittable”的严格规则（scanner/src/classify.js）、封禁公共机关、教育机构、诊所、医疗机构、警察和法院域名（scanner/src/classify.js），以及不允许语言模型参与此决定（scanner/src/classify.js）。响应中存储状态、目标地址、标题、300 个字符文本和图像；这些与我们的测试消息有关。

文件检查最多从典型路径读取 8 KB。如果那里确实暴露了数据库转储，这 8 KB 可能包含访客填写的表单条目。仅检查其特征后即丢弃（cfg/dateien_lib.php）；存储的是路径、类型和严重程度。

可能性 – 极低。严重程度 – 显著。等级 – 低。开发系统实测数据集中有一次主动检查，没有被接受的提交。

R10 – 语言模型分类

对于规则无法识别的表单，语言模型接收页面标题、地址、按钮文本、字段说明，以及最多 400 个字符的表单文本（scanner/src/classify.js）。其中可能包含姓名，例如“您的联系人：……”。模型运行在我们自己的服务器上；代码不向第三方发送任何内容。模型软件是否记录请求尚未核实。结果仅决定显示的表单类型，不能使表单获得可提交资格；分类错误导致较差的发现结果，而非操作。

可能性 – 极低。严重程度 – 有限。等级 – 低。

R10 – 新增的行动计划阶段

对于符合条件的付费报告，同一个本地模型还会根据选定检测结果和扫描元数据生成建议步骤。与分类不同，其输出是随扫描一同保留的自然语言摘要。主机名、页面地址和备注可能包含模型会复述的个人数据。错误建议可能导致读者削弱防护或进行不必要的更改；转发报告链接可能向其他接收者披露被复述的个人数据。代码不会自动执行建议，不会改变评分或结论，也不会检查文本的事实正确性。代码限制输入和输出长度，将摘要标明为 AI 生成，并说明各项检测结果是判断依据。这些是控制措施，并不能证明建议正确或报告匿名。此前针对分类的可能性和严重程度评级，本身并不等于对这一新增生成阶段的评级；必须结合基础检查的实际数据和用途评估其剩余风险。

R11 – 来自多个网站报告的共享黑名单

列入名单的域名会使所有已连接网站上包含其链接的消息进入隔离区。如果域名属于个人——工匠、摄影师、博客作者——其包含自己网站链接的消息会延迟到达收件人。此类域名可能因垃圾信息发送者滥用而上榜，也可能因有人故意向多个网站发送包含该域名且检查不通过的消息而上榜。

应对措施包括（cfg/swarm_lib.php）：七天内至少三个不同网站及五次命中；大型服务的固定例外；绝不纳入客户域名；通过服务器工具手动移除；隔离而非删除；每日重建名单，不再被报告的域名会退出。受影响者无法查看名单，除经由我们外，没有自行要求移除的途径。

可能性 – 可能。严重程度 – 有限，因为内容不会丢失，收件人可放行消息。等级 – 低至中。如果开启 IP 网段，会影响整个提供商的网络，而 IP 地址属于个人数据，严重程度将升至显著：高。

R12 – 公开链接下的报告和截图

免费检查、潜在客户检查和客户域名检查的报告，均可通过随机链接无需登录访问。链接含 128 位随机性，无法猜测（cfg/check_lib.php）。页面使用 noindex，应用程序发送仅传递来源站点的 Referrer Policy（www/.htaccess），截图仅随其所属报告提供；其他图像编号返回“未找到”（www/shot.php）。风险不在密码学，而在人：链接被转交、复制到工单、在聊天中分享。打开者仅像任何页面浏览一样记入页面访问日志（60 天），其中链接本身仅以遮蔽形式出现；没有按报告划分的读者名单。

可能性 – 可能。严重程度 – 有限，因为报告仅显示公开信息，且分别在 30 天或 90 天后到期；客户域名报告在检查存在期间仍可访问（13 个月，最后一次更长）。等级 – 低。

R13 – 基础设施薄弱环节

以下事项在我们的内部审查资料中列为待解决，此处不予掩饰。说明精度足以让客户自行评估，但不会精细到给攻击者指路；监督机关请求时，我们会提供详细资料。

数据库备份目前与数据库存储在同一地点，未单独加密；计划在第二地点保存加密副本（cfg/backup_lib.php）。在此之前，备份无法防范整个地点丢失，取得数据库的人也会取得备份。登录后扫描的凭据在备份中仅为密文。
数据库静态数据未加密。例外是单独加密的字段（测试账户凭据、双因素密钥）。
内部网络连接未全程加密。
服务器管理。服务器管理访问的安全性尚未达到我们计划用于运营的标准；服务器管理加固仍在继续。
检查环境。扫描服务器在浏览器中打开第三方网站。检查容器已隔离——独立网络、无特殊权限、只读、受限（scanner/src/worker.js）。检查环境与服务其他部分的分离正在进一步加强（第 9.3 节）。

可能性 – 可能。严重程度 – 严重，因为紧急情况下所有内容会同时受到影响。等级 – 高。各事项可通过常规手段补救（第 9.3 节）。

R14 – 不认识我们的人的数据主体权利

偶然出现在截图中，或消息经由控制副本流转的人，通常不知道我们的存在。即使知道，也没有“其本人”数据的检索键：我们不按人存储，而按域名和检查存储。只有当本人提供域名时，我们才能答复第 15 条下的访问请求；随后可查看现有检查和图像。真实访客消息无内容可披露，因为我们不存储它们——R1 中的发件域名除外。排除机制仅对域名运营者有效，不适用于图像中的人；对后者而言，仍可通过 contact@lukaswojcik.com 联系我们。

可能性 – 很可能，这是结构性情况。严重程度 – 有限，因为数据短期存在，且不按人组织。等级 – 低。

9. (d) 应对风险的措施

每项措施均标有状态，这些状态并非装饰。目前已实施 – 已核实表示：已在开发系统代码中读取，并尽可能对照数据库测量。部分实施表示：机制已存在，但尚未完全达到目的。计划中表示：由本评估提出，尚未构建；是否及何时实施，由所有者决定。仍待确定的是无法由代码替代的程序和决定。将计划措施描述为已实施的 DPIA，恰恰在真正需要它时失去价值。

9.1 目前已实施 – 已核实

措施	应对事项	源代码引用
爬虫每次检查前读取 robots.txt；覆盖主页的排除、robots.txt 无法访问或服务器错误均使检查结束（不单独遵守子路径规则；脉搏检查、证明获取、安全响应头工具和文件搜索不读取该文件）	R5、合法性	`scanner/src/net.js`
无需证明即可排除，立即对域名及其 www 变体生效，适用于匿名检查、潜在客户、研究和客户检查（持续监控在下次计划检查时结束）；双重检查（应用程序及检查服务）；仅由我们在请求者提供证明后解除	R5、R7、第 21 条	`cfg/check_lib.php`; `cfg/akquise_lib.php`; `cfg/studie_lib.php`; `scanner/src/worker.js`
免费检查：紧急停止、reCAPTCHA、每个域名每周一次检查、按 IP 地址和会话限制、每日上限、不检查新域名、仅公开地址、异常时记录备注并发送无内容信号	R5	`cfg/check_lib.php`
为实施限额，会话仅以哈希值存储，绝不存储会话标识符	最小化	`cfg/check_lib.php`
无字段值（隐藏字段和数据属性开头仅在检查期间读取，第 6.2 节）；收件人地址仅保留域名；隐藏脚本地址中的账户标识符	最小化	`scanner/src/crawl.js`
免费报告仅为摘录：只有基础发现，无所有检测器的证据	R5	`cfg/check_lib.php`, `FE_FREE_DETEKTOREN`
报告使用 128 位随机链接、`noindex`，图像仅供其所属报告访问，存储在公开 Web 目录之外；页面访问日志中的链接仅以遮蔽形式出现	R12	`cfg/check_lib.php`; `www/report.php`; `www/shot.php`
删除：匿名报告 30 天后、潜在客户检查 90 天后、客户检查 13 个月后（每个域名最后一次检查在域名存在期间保留），已删除域名的数据立即删除（例外见第 6.11 节），每种情况下图像均一并删除	存储限制	`cfg/check_lib.php`; `cfg/fristen_lib.php`
研究：仅发布总体数据，细分统计仅从至少 20 个含表单的网站起发布，发布时删除原始数据	部分应对 R4、P3	`cfg/studie_lib.php`
检查容器：独立隔离网络、无特殊权限、只读、内存和进程限制、时间限制；每个请求均过滤私有目标，阻止 Service Worker 并关闭 WebSocket 连接，以免绕过过滤器；Web 服务器仅通过 Web 端口且仅向预先核实的确切公开地址发起请求	R13	`scanner/src/worker.js`; `scanner/src/net.js`
客户主动检查仅限已验证域名（内部也可检查我们自己的测试和演示域名），且须开启紧急停止开关，进行双重检查；最多五次提交；仅限明确识别、无个人数据必填项的联系表单；不检查公共机关、教育机构、诊所、医疗机构、警察或法院的域名；语言模型无权放行；测试消息不含个人数据、带标记并引用爬虫页面和排除机制	R9	`scanner/src/worker.js`; `scanner/src/classify.js`; `scanner/src/active.js`
浏览器操作流程：仅 GET 和 HEAD，封禁危险地址，虚构值不离开浏览器，图像中的输入字段已遮黑	R3（针对此类图像）、R9	`scanner/src/browser.js`
文件检查：仅已验证域名，每条路径获取一次，最多 8 KB，绝不存储内容	R9	`cfg/dateien_lib.php`
第二探针：默认关闭；仅接收固定清单中的无害项目，并进行签名	接收方	`cfg/formular_probe_lib.php`
登录后扫描：仅已验证域名、付费套餐、所有者或管理员，并确认“测试账户”；使用扫描服务器公钥加密，绑定域名；凭据绝不显示、记入日志或通过 API 输出；仅经标准输入传递；立即清除任务中字段，一小时后清除残留；无截图、无提交、不访问退出登录或删除地址，遇 CAPTCHA 中止；最终删除时覆盖	R8	`cfg/login_lib.php`; `scanner/src/login.js`; `scanner/src/geheim.js`; `scanner/src/worker.js`
送达检查：默认关闭；获取过程仅读取邮件标头和 8 KB，不标记已读；内容和访客地址绝不进入数据库；每封获取的邮件均删除，包括无法归属的邮件；归属记录在 180 天后删除；仅以本次确切测试的副本提供证明	R1、R2	`cfg/zustellung_lib.php`
群体防护：仅域名，IP 网段关闭；最低数量要求；大型服务和客户域名的例外；隔离而非删除；每日重建名单；报告在 30 天后删除	R11	`cfg/swarm_lib.php`
语言模型运行在我们自己的服务器上，无提交权限	R10	`scanner/src/classify.js`
行动计划：根据选定检测结果在本地生成，提示中不含截图或已输入的字段值；限制检测结果数量和备注长度；经整理且长度受限的纯文本；可见的 AI 提示，各项检测结果为判断依据；不自动更改网站，也不作出评分或结论决定	部分涉及 R10；仍可能出现错误建议和偶然涉及的个人数据	`cfg/plan_lib.php`; `www/report.php`
Telegram 信号仅包含不带变量的固定句子	接收方	`cfg/check_lib.php`
每周测试备份恢复，失败时提醒	可用性	`cfg/backup_lib.php`; `srv/cron_status.php`

9.2 部分实施 – 已存在，但尚未达到目的

措施	尚未完全有效的原因
“清理后”的截图	仅浏览器操作流程的图像被遮黑。爬虫图像——主页和表单元素——以及主动检查响应页面的图像均未遮黑（R3）。
检查数据期限	对匿名、潜在客户和客户检查有效；对内部检查和未发布研究无效；未解决的异常备注无时间限制（R4）。
控制副本删除	对我们所见的邮箱有效。如果运行中止，邮件仍保留；邮箱提供商在自身备份中保留哪些内容，尚未核实（R2）。
登录后扫描的凭据保护	在静态存储和检查服务中保护有力；传往网站途中则否：允许 `http`，忽略证书错误（R8）。
控制权证明	检查一次后永久有效；但已具控制权证明的域名主机名不可更改，因此证明不会转移到其他主机（R7）。
向数据主体提供信息	对运营者而言，已有爬虫页面、标识、隐私政策和排除机制；对送达检查中的访客而言，取决于客户是否采用文本块；应用程序不检查。
要求客户不在控制副本中包含特殊类别数据	法律文件已有说明，但无技术支持：设置时应用程序不询问网站类型，也不对看似涉及医疗、法律或教育的域名发出警告（R1）。

9.3 计划中 – 未实施

措施	应对事项	优先级
内部检查的删除途径：在固定期限后删除无域名、无报告的检查（建议：30 天）；研究完成后最迟在固定期限内删除原始数据，即使未发布（建议：90 天）；一次性删除现有 85 次检查及 369 张图像	R4	首先
仅在与邮箱提供商订立合同、记录存储地点、次级处理者和备份期限、明确邮箱提供商的传输机制，且我们域名 MX 记录直接指向邮箱之后，才启用送达检查；此前在生产系统中保持封锁此功能	R2	首先
启用送达检查前，检查并记录生产系统上邮箱获取过程的安全性	R2	首先
登录后扫描仅通过 `https` 且证书有效时进行；拒绝 `http` 地址；登录时证书错误作为中止原因	R8	首先
不存储登录后隐藏字段的值（仅名称、类型和长度）– 已按此方式实施，无需进一步操作	R8	已完成
在使用插件或扩展程序的情况下，将控制副本限于测试消息：仅对带有我们测试标识符的提交发送密送副本	R1	高
如果真实消息的发件域名既非网站域名，也非已知发送服务域名，则不存储该域名，也不写入提醒；提醒改为显示“外部发件域名”	R1	高
为看似涉及医疗、法律、社会服务或教育的域名设置送达检查时发出警告，并提示客户自身的 DPIA	R1	高
定期更新控制权证明（建议：每次主动检查前验证 DNS 记录、meta 标签、文件或插件连接是否仍存在；否则改为被动检查并通知客户）	R7	高
不再拍摄主页，或仅在图像和人脸遮黑后拍摄；表单图像限于表单元素（如目前），并像浏览器操作流程一样遮蔽输入字段	R3	高
潜在客户检查界面提示：未经请求通过电子邮件或电话发送简短发现，即使在企业之间也属于直接营销，需事先同意（波兰电子通信法第 398 条；德国 UWG 第 7(2) 条，但向企业拨打电话时推定同意即可）	R6	高
基础设施：完成服务器管理加固；第二地点的加密备份副本；内部网络连接全程加密；进一步加强扫描服务器与应用程序的分离	R13	高
未解决异常备注的期限（建议：30 天内解决，否则删除 IP 地址）	R4	中
提供可请求从群体防护中移除域名的页面或表单	R11、R14	中
在群体防护中开启 IP 网段前：更新本评估版本	R11	条件
记录语言模型软件是否存储请求，如存储则关闭这些日志	R10	低

9.4 仍待确定的程序与决定

除技术保障外，第 35(7)(d) 条也要求程序。以下仍未完成：

个人数据泄露。发现途径：所有者、应用程序错误提醒、通过漏洞报告渠道或 contact@lukaswojcik.com 提交的报告。决定是否在 72 小时内通知 UODO（第 33(1) 条）：所有者。按数据处理协议承诺，及时通知作为控制者的受影响客户，如可能则在 48 小时内。待确定：书面程序说明及首次演练；对于送达检查，另需确定如何查明哪些客户受到邮箱提供商数据泄露的影响。
行业。待确定：对于医疗、法律、社会服务和教育网站，是提供送达检查、附警告提供，还是排除。
内部检查。待确定：提供商将命令行内部检查用于何种目的、谁可创建、结果保留多久；以及除处理活动记录外，是否还须在隐私政策中列明。
研究。待确定：谁编制清单、从哪些来源、最大规模，以及每次研究前检查是否符合本评估的假设。
数据主体意见（第 35(9) 条）。本版本未征求。第 35(9) 条仅要求“适当时”征求；据我们的评估，目前这里不属此情况。被检查网站的运营者及客户网站访客没有直接面向我们的独立渠道；专门联系他们本身会构成新的数据处理，且服务尚未上线，因此尚无实际数据主体群体。我们间接考虑其利益：通过 robots.txt 和排除机制、较短期限，以及不存储控制副本内容。每次依第 12 节审查时，我们会重新评估是否适宜征求意见，例如通过爬虫页面反馈或送达检查客户的反馈。

10. 剩余风险与第 36 条下的事先咨询

第 36(1) 条要求，在 DPIA 表明若控制者不采取减轻风险的措施，处理将导致高风险时，须事先咨询监督机关。因此，问题不是是否识别出高风险——已识别四项——而是措施落实后是否仍存在高风险。

对于 formexposed 作为控制者的处理活动（P1 至 P4、P7），高风险 R4 和 R13 可通过常规手段补救：建立删除途径并清理现有数据、加密的异地备份，以及两台服务器加固。采取 9.3 中措施后，风险降至低至中。R3、R5、R6 和 R7 为中等，采取建议措施后降至低。不开启 IP 网段的群体防护保持低至中。如果上线前实施标为“首先”和“高”的措施，本部分无须事先咨询。如果上线前有任何此类措施尚未实施，相关处理活动仍存在高风险。此时，该处理活动仅在措施实施后启动，或先依第 36(1) 条咨询 UODO。

对于送达检查（P6），情况不同，原因是任何措施均无法完全消除这一点：访客写什么由其自行决定。订立合同、保障获取安全、尽可能限于测试消息，并不保留发件域名后，R2 降至低，R1 降至中。然而，对于访客通常提供第 9 条数据的客户，R1 仍可能为高。此时，咨询义务由作为控制者的客户承担，而非 formexposed。我们建议此类客户不要为一般联系表单设置控制副本，而仅用于无敏感内容的表单，或不使用送达检查。

坦诚说明剩余风险。目前，采取 9.1 中措施后，四项风险仍为高：R1 和 R2（送达检查）、R4（无删除途径的检查数据）及 R13（基础设施）。采取 9.3 中措施后，R2、R4 和 R13 降至低至中。R1 保持为中，并永久依赖客户所作决定。措施实施后，其他风险均不超过中等。

第 36 条不是惩罚，咨询也不是承认过错。它是条例为有用的处理程序仍带有控制者无法完全掌控风险的情形提供的途径。希望将送达检查用于含健康数据消息的客户，可在这里找到作出决定所需的事实。

11. 客户自身 DPIA 所需内容（第 28(3)(f) 条）

对于送达检查和登录后扫描，客户是控制者。本页面提供说明（第 6.5 和 6.6 节）、从我们视角识别的风险（R1、R2、R8）及措施状态（第 9 节）。以下问题仅客户能够回答：

我的访客写什么？是否可预期表单会收到有关健康、宗教、出身、工会成员资格、性取向、刑事犯罪或儿童的数据？如果是，控制副本通常需要 DPIA，且应重新考虑是否为该表单设置控制副本。
我是否需要所有消息的控制副本？证明我们的测试消息到达，只需该消息的副本。表单允许时，仅为测试消息设置密送副本。
我如何告知访客？数据处理协议对此有要求；适用于您网站的隐私政策文本说明副本路径和我们的角色。
我有什么法律依据？我们的建议文本列明第 6(1)(f) 条（可靠接收咨询）。对于第 9 条数据，仅此依据不足。
我选择哪些提醒渠道？真实性检查的提醒可能列出发件域名。将提醒发送至欧盟外聊天服务的人，会将该数据传输至那里。
对于登录后扫描：测试账户是否确实是仅有最低必要权限的测试账户？登录页面是否仅能通过 https 访问？测试账户能否看到其他用户数据？如果能：在哪些指定页面上？
我何时删除？送达检查和测试账户可随时关闭和删除；测试账户届时会被永久覆盖。

供客户评估的其他文件：数据处理协议、技术和组织措施、次级处理者名单及处理活动记录。有关个别事实的问题，我们通过 contact@lukaswojcik.com 答复。

12. 审查、版本与批准

第 35(11) 条要求审查，以评估处理是否按照 DPIA 进行，至少在风险发生变化时审查。我们至少每年审查本评估，并在以下每个事件前审查；每个事件均触发新的测量，而非仅重新阅读：

生产运行上线，以生产系统数据替代开发系统数据；
首次在生产系统启用送达检查，以及与邮箱提供商订立合同；
在群体防护中开启 IP 网段；
首次研究，以及清单规模超过上次的每项研究；
开启第二探针，或检查路径中新增接收方；
任何超出本评估已涵盖用途的语言模型新用途；付费报告中按优先级排列的行动计划是一项新增用途，需要审查本评估；
对截图、期限或主动检查前提的任何变更。

项目	内容
控制者	LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland · NIP 7252266190 · contact@lukaswojcik.com
主管监督机关	Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa, Poland
数据保护官	未指定；第 4 节包含第 37 条下的评估
事实依据	应用程序和检查服务源代码、数据库结构、开发系统数据行数和设置，于 2026 年十月 11 日以只读方式测量
相关文件	隐私政策、数据处理协议、技术和组织措施、次级处理者、处理活动记录、欧盟 AI 法案、可接受使用与滥用、FormExposedBot、排除域名
版本	1.1，2026年10月23日；在2026年10月11日首版基础上，就本地行动计划阶段作出的事实性补充
第 35(11) 条下的审查	2026年10月23日：对新增的本地行动计划阶段进行源代码审查。在相应章节中补充了输入、存储、角色、建议性输出和已实施的保障措施；不声称已完成生产环境测量，也不声称已形成新的剩余风险评级。2026年10月11日的既有测量和下述批准状态保持不变。后续审查将在此记录日期、原因和结果。
批准	尚未批准。由所有者在法律审查完成，并就第 9.3 节措施和第 9.4 节问题作出决定后批准。截至目前尚未寻求外部数据保护咨询。

最后一项观察应写在文件中，而非附函里。formexposed 最深入他人领域的部分——测试提交和使用他人凭据登录——恰恰以最谨慎的方式构建：两道关卡、硬性上限、连我们自己也无法解密的加密。本评估的风险大多在别处：附带出现的内容——密送副本中的真实消息、截图中的人、不再有人删除的检查。这是有利的起点，因为无需改变服务即可阻止这些附带情况。

我们能为您做些什么？