Dlaczego otrzymali Państwo e-mail od Vulscan

Co się stało

Vulscan regularnie przeprowadza pasywną kontrolę bezpieczeństwa stron czeskich firm, jednoosobowych działalności i stowarzyszeń — odczytuje wyłącznie to, co serwer sam udostępnia zwykłemu odwiedzającemu (HTTPS, nagłówki, publicznie dostępne pliki, rekordy DNS/e-mail). Nie próbujemy haseł, nie omijamy żadnych zabezpieczeń i w żaden sposób nie ingerujemy w witrynę. Gdy kontrola znajdzie ustawienie warte sprawdzenia, wysyłamy na opublikowany adres kontaktowy jednorazowe powiadomienie.

Ta strona jest linkowana z wiadomości, którą Państwo otrzymali — wyjaśnia, skąd znamy Państwa adres, na jakiej podstawie prawnej go przetwarzamy i jakie mają Państwo prawa.

Skąd znamy Państwa kontakt

Ten program kontaktowy działa obecnie wyłącznie dla podmiotów zarejestrowanych w Republice Czeskiej, zgodnie z prawem czeskim. Domena Państwa witryny pochodzi ze źródeł publicznych (rejestr domen, dane strefy DNS). Tożsamość operatora — nazwę, numer rejestrowy, siedzibę, formę prawną — zweryfikowaliśmy w czeskim publicznym rejestrze podmiotów gospodarczych (ARES) i kontaktujemy się wyłącznie z aktywnymi podmiotami posiadającymi własny numer rejestrowy, które prowadzą witrynę w ramach działalności gospodarczej lub statutowej: spółkami handlowymi (s.r.o., a.s., v.o.s., k.s.), spółdzielniami, zarejestrowanymi jednoosobowymi działalnościami (OSVČ) oraz stowarzyszeniami (spolky). Nie kontaktujemy się z osobami prywatnymi poza ich działalnością, z witrynami, dla których nie ustaliliśmy numeru rejestrowego, ani z instytucjami publicznymi takimi jak szkoły, urzędy i gminy.

Państwa adresu e-mail nie otrzymaliśmy od Państwa — pozyskaliśmy go automatycznie z publicznie dostępnych stron Państwa własnej domeny — zwykle ze strony kontaktowej, strony „o nas“ lub strony głównej — z linku mailto: lub z widocznego tekstu. Adresy typu gdpr@, dpo@ czy abuse@ celowo pomijamy — służą innemu celowi, nie osobie, która może naprawić ustalenie dotyczące strony. Nie korzystamy z kontaktów WHOIS.

Podstawa prawna

Ponieważ adres e-mail może być danymi osobowymi (zwłaszcza w formie imie.nazwisko@ lub gdy należy do osoby prowadzącej jednoosobową działalność), przetwarzamy go na podstawie prawnie uzasadnionego interesu zgodnie z art. 6 ust. 1 lit. f) RODO — poinformowania operatora witryny o słabości bezpieczeństwa, która jest już publicznie widoczna dla każdego, kto na nią spojrzy.

Przeprowadzony przez nas test równowagi uwzględnia trzy elementy: (1) kontaktujemy się wyłącznie z podmiotami wpisanymi do ARES pod własnym numerem rejestrowym, nigdy z osobami prywatnymi poza ich działalnością, (2) adres pochodzi z miejsca, w którym operator sam go opublikował w celu kontaktu, oraz (3) wiadomość jest jednorazowa, nie zawiera żadnej oferty, a rezygnacja jest natychmiastowa i trwała. Naszym zdaniem korzyść — ostrzeżenie o realnej słabości bezpieczeństwa, zanim znajdzie ją ktoś o gorszych zamiarach — przeważa nad minimalnym obciążeniem pojedynczej wiadomości e-mail na adres opublikowany do celów działalności gospodarczej lub statutowej. W każdej chwili mogą Państwo wnieść sprzeciw, a dalsze wiadomości natychmiast się zatrzymają.

Jakie dane przetwarzamy

Dane przechowujemy u podmiotów przetwarzających, którzy zapewniają nam infrastrukturę techniczną niezbędną do prowadzenia tej usługi — hosting baz danych, w których przechowujemy kontakty, ustalenia i listę rezygnacji, oraz dostawcę infrastruktury pocztowej wysyłającego wiadomość. Wszyscy działają jako podmioty przetwarzające zgodnie z art. 28 RODO. Nie sprzedajemy danych i nie wykorzystujemy ich do niczego poza tym powiadomieniem oraz obsługą ewentualnej odpowiedzi lub sprzeciwu.

Jak długo przechowujemy dane

Adres przechowujemy tylko tak długo, jak jest to niezbędne do celu opisanego powyżej — wysłania powiadomienia i obsługi ewentualnej odpowiedzi. Jeśli wniosą Państwo sprzeciw lub zrezygnują z subskrypcji, adres trafia na listę wykluczonych odbiorców i nigdy więcej go nie użyjemy do kontaktu — to jedyny cel, dla którego jest dalej przechowywany po rezygnacji. Obecnie nie prowadzimy automatycznego usuwania starszych rekordów po stałej liczbie dni; jeśli chcą Państwo pełnego usunięcia zamiast tylko zatrzymania dalszych wiadomości, prosimy napisać na privacy@vulscan.app — załatwimy to ręcznie.

Państwa prawa

Administratorem jest Vulscan Labs s.r.o., czeski numer rejestrowy (IČO) 29659191. Pełną informację o przetwarzaniu danych osobowych znajdą Państwo na vulscan.app/pl/privacy.

To nie jest oferta handlowa

Wiadomość nie zawiera oferty produktu ani usługi, ceny ani wezwania do zakupu — to powiadomienie o bezpieczeństwie, nie marketing. Niezależnie od tego, jak dana jurysdykcja klasyfikuje wiadomość, respektujemy opisaną wyżej natychmiastową i trwałą rezygnację. Zasady dotyczące niechcianej korespondencji handlowej różnią się w zależności od kraju, a ten program obecnie wysyła wiadomości wyłącznie w Republice Czeskiej zgodnie z prawem czeskim — ta strona nie zawiera żadnego twierdzenia prawnego dotyczącego zasad innych krajów.

Co Vulscan robi, a czego nie robi

Kontrola, na której opiera się ta wiadomość, jest w pełni pasywna: odczytuje wyłącznie publicznie dostępną treść, metadane TLS/DNS oraz nagłówki HTTP — dokładnie to, co widzi każdy odwiedzający lub wyszukiwarka. Nie próbujemy danych logowania, nie przeprowadzamy testów penetracyjnych i w żaden inny sposób nie ingerujemy w działanie Państwa witryny. Tę samą kontrolę mogą Państwo samodzielnie uruchomić w dowolnym momencie na vulscan.app.

Odnośniki