Prečo ste dostali e-mail od Vulscanu

Čo sa stalo

Vulscan pravidelne spúšťa pasívnu bezpečnostnú kontrolu webov českých firiem, živnostníkov a spolkov. Číta len to, čo server sám zverejňuje bežnému návštevníkovi (HTTPS, hlavičky, verejne dostupné súbory, DNS/e-mailové záznamy). Neskúšame heslá, neobchádzame žiadnu ochranu a do webu nijako nezasahujeme. Keď kontrola nájde nastavenie, ktoré stojí za preverenie, pošleme na zverejnenú kontaktnú adresu jednorazové upozornenie.

Túto stránku odkazuje e-mail, ktorý ste dostali — vysvetľuje, odkiaľ vašu adresu poznáme, na akom právnom základe ju spracúvame a aké máte práva.

Odkiaľ poznáme váš kontakt

Tento program oslovovania aktuálne beží výhradne pre subjekty so sídlom v Českej republike, podľa českého práva. Doména vášho webu pochádza z verejných zdrojov (register domén, DNS zóny). Identitu prevádzkovateľa, teda názov, IČO, sídlo a právnu formu, sme overili v českom verejnom registri ekonomických subjektov (ARES). Oslovujeme výhradne aktívne subjekty s vlastným IČO, ktoré web prevádzkujú v rámci svojej podnikateľskej alebo spolkovej činnosti: obchodné spoločnosti (s.r.o., a.s., v.o.s., k.s.), družstvá, podnikajúce fyzické osoby (OSVČ) a spolky. Neoslovujeme súkromné osoby mimo ich podnikania, weby, pri ktorých sme žiadne IČO nedohľadali, ani verejné inštitúcie typu škôl, úradov a obcí.

Vašu e-mailovú adresu sme nezískali od vás, ale strojovo z verejne dostupných stránok vašej vlastnej domény — zvyčajne z kontaktnej stránky, stránky „o nás“ alebo z úvodnej stránky — z odkazu mailto: alebo z viditeľného textu. Adresy typu gdpr@, dpo@ alebo abuse@ vynechávame zámerne — slúžia inému účelu, nie osobe, ktorá môže nález na webe opraviť. WHOIS kontakty nepoužívame.

Právny základ

Keďže e-mailová adresa môže byť osobným údajom (najmä v tvare meno.priezvisko@ alebo ak patrí podnikajúcej fyzickej osobe), spracúvame ju na základe oprávneného záujmu podľa čl. 6 ods. 1 písm. f) GDPR — informovať prevádzkovateľa webu o bezpečnostnom nedostatku, ktorý je verejne viditeľný komukoľvek, kto sa na web pozrie.

Balančný test, ktorý sme vykonali, zvažuje tri veci: (1) oslovujeme len subjekty s vlastným IČO zapísané v ARES, nikdy súkromné osoby mimo ich podnikania, (2) adresu sme zobrali z miesta, kde ju prevádzkovateľ sám zverejnil na účely kontaktu, a (3) správa je jednorazová, neobsahuje žiadnu ponuku a odhlásenie je okamžité a trvalé. Podľa nášho posúdenia prínos — upozornenie na skutočný bezpečnostný nedostatok skôr, než ho nájde niekto s horším úmyslom — prevažuje nad minimálnou záťažou jedného e-mailu na kontaktnú adresu zverejnenú na účely podnikania alebo spolkovej činnosti. Kedykoľvek môžete vzniesť námietku a ďalšie správy sa okamžite zastavia.

Aké údaje spracúvame

Údaje uchovávame u spracovateľov, ktorí nám poskytujú technickú infraštruktúru nevyhnutnú na prevádzku tejto služby — hosting databáz, v ktorých vedieme kontakty, nálezy a zoznam odhlásených adries, a poskytovateľa e-mailovej infraštruktúry, ktorý správu odosiela. Všetci vystupujú ako spracovatelia podľa čl. 28 GDPR. Nepredávame ich a nepoužívame na nič iné než toto upozornenie a vybavenie prípadnej odpovede alebo námietky.

Ako dlho údaje uchovávame

Adresu držíme len po dobu nevyhnutnú na účel uvedený vyššie — odoslanie upozornenia a vybavenie prípadnej odpovede. Ak vznesiete námietku alebo sa odhlásite, adresu pridáme na zoznam vylúčených príjemcov a už ju nikdy nepoužijeme na ďalšie oslovenie — to je jediný účel, na ktorý ju po odhlásení ďalej držíme. Aktuálne nemáme automatizované mazanie starších záznamov po pevne danom počte dní; ak chcete úplný výmaz namiesto len zastavenia správ, napíšte na privacy@vulscan.app a vybavíme ho ručne.

Vaše práva

Prevádzkovateľom je Vulscan Labs s.r.o., české IČO 29659191. Úplné zásady spracúvania osobných údajov nájdete na vulscan.app/sk/privacy.

Nejde o obchodnú ponuku

E-mail neobsahuje ponuku produktu ani služby, cenu ani výzvu na nákup — ide o bezpečnostné upozornenie, nie o marketing. Bez ohľadu na to, ako správu klasifikuje konkrétna jurisdikcia, rešpektujeme okamžité a trvalé odhlásenie popísané vyššie. Pravidlá pre nevyžiadanú obchodnú e-mailovú komunikáciu sa medzi krajinami líšia a tento program aktuálne rozosiela správy výhradne v Českej republike podľa českého práva — táto stránka netvrdí nič o pravidlách iných krajín.

Čo Vulscan robí a čo nie

Kontrola, z ktorej správa vychádza, je čisto pasívna: číta len verejne dostupný obsah, TLS/DNS metadáta a HTTP hlavičky — presne to, čo vidí ktorýkoľvek návštevník alebo vyhľadávač. Neskúšame prihlasovacie údaje, nevykonávame penetračné testovanie a inak nezasahujeme do prevádzky vášho webu. Rovnakú kontrolu si môžete kedykoľvek spustiť sami na vulscan.app.

Referencie