Varnost in zasebnost pri 94.si: Google Web Risk, GDPR in strežniki v EU
Kratka povezava skrije svoj cilj, zato mora skrajševalnik poskrbeti, da za njo ni nevarne strani, in hkrati varovati podatke ljudi, ki nanjo kliknejo. Pri 94.si vsak nov cilj preverimo z Googlovo storitvijo Web Risk, zavrnemo povezave neposredno na programe za Windows, vsak dan preverimo ugled naših domen, podatke pa hranimo v Evropski uniji in jih obdelujemo skladno z GDPR. Ta vodič pojasni, kako to deluje.
Zakaj je varnost pri skrajševalniku pomembna
Prevaranti skrajševalnike radi zlorabljajo, ker kratek naslov ne pokaže, kam vodi. Za povezavo na videz nedolžnega imena lahko skrijejo lažno prijavno stran banke ali prenos zlonamernega programa. Če skrajševalnik tega ne prepreči, trpijo tudi pošteni uporabniki: varnostni filtri v brskalnikih, e-pošti in podjetniških omrežjih lahko blokirajo celotno domeno, s tem pa tudi vse druge povezave na njej.
Zato pri 94.si varnost ni dodatek za dražje pakete. Vse spodaj opisane zaščite veljajo za vse pakete, tudi za brezplačnega, razen kjer je izrecno navedeno drugače.
1. Vsak nov cilj preverimo z Google Web Risk
Google Web Risk je Googlova poslovna storitev, ki temelji na istih sprotno posodobljenih seznamih nevarnih strani kot Google Safe Browsing, ki uporabnike brskalnika Chrome opozarja na nevarne strani. Vsak ciljni naslov preverimo za tri vrste groženj:
- zlonamerna programska oprema (malware),
- phishing in drugi socialni inženiring, na primer lažne prijavne strani,
- neželena programska oprema, ki se namesti brez jasnega soglasja.
Preverjanje poteka že med vpisom naslova v obrazec. Če je cilj na Googlovem seznamu, se takoj pokaže opozorilo in povezave ni mogoče shraniti. Enako velja, ko cilj obstoječe povezave pozneje spremenite, in za vse dodatne cilje, na primer pri usmerjanju po državi ali pri A/B testiranju.
Googlu pri tem pošljemo samo ciljni naslov. Podatkov o vas, vašem računu ali o obiskovalcih povezave ne pošiljamo.
2. Povezave neposredno na programe za Windows zavrnemo
Najpogostejša zloraba kratkih povezav je neposreden prenos datoteke, ki se ob dvokliku zažene. Zato zavrnemo cilje, ki se končajo s končnico programa, namestitvenega paketa, skripte ali slike diska, med drugim:
| Vrsta | Končnice |
|---|---|
| Programi in namestitveni paketi | .exe, .msi, .msix, .appx, .scr |
| Skripte | .bat, .cmd, .ps1, .vbs, .js, .hta |
| Slike diska | .iso, .img, .vhd, .vhdx |
Če želite deliti program, povežite na stran, na kateri je prenos ponujen. Tako obiskovalec vidi, od koga prenaša, in brskalnik lahko prenos preveri po svojih pravilih.
3. Vsak dan preverimo ugled naših domen
Kratka povezava je uporabna le, če jo ljudje lahko odprejo. Zato vsak dan preverimo, da domen 94.si ni na nobenem seznamu blokiranih strani. Poleg Google Web Risk vprašamo varnostne DNS-filtre, ki jih uporabljajo podjetja, operaterji in domača omrežja: Cloudflare, Quad9, DNS4EU, AdGuard, OpenDNS, CleanBrowsing, Control D in Mullvad. Če katerikoli filter domeno označi, nas sistem takoj opozori, da vzrok poiščemo in odpravimo.
4. Prijava brez gesla in šifriran prenos
Račun pri 94.si nima gesla, ki bi ga bilo mogoče ukrasti ali uporabiti na drugi strani. Ob vsaki prijavi vam na e-poštni naslov pošljemo enkratno povezavo ali kodo z omejeno veljavnostjo. Čas in IP-naslov prijave hranimo 90 dni, da lahko odkrijemo zlorabo računa.
Vsi prenosi podatkov, vključno s preusmeritvami prek kratkih povezav in lastnih domen, potekajo prek HTTPS s šifriranjem TLS. Dostop do produkcijskih sistemov je omejen na pooblaščene osebe in zabeležen.
5. Zasebnost po GDPR
94.si upravlja podjetje CNJ d.o.o. iz Ljubljane. Za obdelavo podatkov veljajo pravo Republike Slovenije, Splošna uredba o varstvu podatkov (GDPR) in Zakon o varstvu osebnih podatkov (ZVOP-2). Kaj to pomeni v praksi:
- Brez piškotkov ob kliku. Ob kliku na kratko povezavo ne nastavljamo piškotkov in obiskovalcev ne prepoznavamo med različnimi povezavami. Javna spletna stran 94.si piškotkov ne uporablja, aplikacija pa samo nujne piškotke za prijavo in zaščito obrazcev.
- Samo združena statistika. Lastnik povezave vidi klike po dnevih, državah, napravah, operacijskih sistemih in virih, IP-naslovov posameznih obiskovalcev pa ne.
- Kratka hramba IP-naslovov. Celoten IP-naslov klika hranimo največ 30 dni, nato ga izbrišemo ali skrajšamo, da ne omogoča prepoznave.
- Pogodba o obdelavi (DPA). Kadar organizacija uporablja 94.si za svoje povezave, je za podatke o klikih upravljavec ona, mi pa obdelovalec. Na zahtevo podpišemo pogodbo o obdelavi podatkov po členu 28 GDPR.
- Vaše pravice. Povezave in QR-kode lahko kadar koli sami izbrišete. Izvoz podatkov v strojno berljivi obliki in zaprtje računa zahtevate na info@94.si; odgovorimo najpozneje v enem mesecu.
Izjema pri piškotkih so oglaševalski piksli. Če naročnik paketa Podjetja Pro na povezavi s svojo domeno vklopi piksel Meta, Google Ads ali LinkedIn, piksel lahko nastavi piškotke; o tem mora obiskovalce obvestiti naročnik.
6. Strežniki in obdelovalci v EU
Podatke obdelujemo v Evropski uniji. Za delovanje storitve uporabljamo te obdelovalce:
| Namen | Obdelovalec | Kje |
|---|---|---|
| Gostovanje in shranjevanje podatkov | Hetzner Online GmbH | podatkovni centri v EU |
| Pošiljanje prijavnih kod in obvestil | Amazon Web Services EMEA SARL (Amazon SES) | Luksemburg |
| Plačila | Stripe Payments Europe, Ltd. | Irska |
| Pisava spletne strani | Google Fonts, Google Ireland Limited | Irska |
| Preverjanje ciljnih naslovov | Google Web Risk | prejme samo ciljni naslov |
Podatkov ne prodajamo in jih ne posredujemo tretjim osebam za njihove lastne namene. Statistiko obiska naše spletne strani merimo s Plausible Analytics na lastni namestitvi, brez piškotkov in brez sledenja med spletnimi mesti. Podrobnosti, pravne podlage in roke hrambe najdete v politiki zasebnosti.
7. Dodatno v paketih za podjetja
Ekipe dobijo še nadzor nad tem, kdo kaj ureja: dostop do povezav je vezan na projekt, na voljo so uporabniške pravice, revizijska sled sprememb in na zahtevo enotna prijava (SSO). 94.si vsako noč preveri tudi, ali vsi cilji povezav še delujejo, in vas opozori, ko kateri preneha odgovarjati.
Kako prijavite zlorabo
Če opazite povezavo 94.si, ki se vam zdi zlorabljena, nam pišite na info@94.si in pripnite kratki naslov. Prijavo takoj pregledamo.
Pogosta vprašanja
Ali je 94.si skladen z GDPR?
Da. 94.si upravlja CNJ d.o.o. iz Ljubljane po pravu Republike Slovenije, GDPR in ZVOP-2. Podatke hranimo v EU, ob kliku ne nastavljamo piškotkov, lastnik povezave vidi samo združeno statistiko, organizacijam pa na zahtevo podpišemo pogodbo o obdelavi podatkov po členu 28 GDPR.
Kje so shranjeni podatki 94.si?
Na strežnikih ponudnika Hetzner Online GmbH v podatkovnih centrih v Evropski uniji. Tudi drugi obdelovalci, na primer za pošiljanje e-pošte in plačila, podatke obdelujejo v EU.
Kaj se zgodi, če Google Web Risk označi cilj kot nevaren?
Povezave s takim ciljem ni mogoče shraniti. Opozorilo se pokaže že med vpisom naslova, zato lahko cilj takoj popravite. Googlu pošljemo samo ciljni naslov, ne podatkov o vas ali o obiskovalcih.
Ali 94.si ob kliku na kratko povezavo nastavlja piškotke?
Ne. Ob kliku ne nastavljamo piškotkov in obiskovalcev ne prepoznavamo med različnimi povezavami. Izjema so povezave, na katerih naročnik paketa Podjetja Pro na svoji domeni vklopi oglaševalski piksel; o piškotkih mora obiskovalce takrat obvestiti naročnik.
Kratke povezave, ki jim lahko zaupate
Vse zaščite iz tega vodiča veljajo tudi v brezplačnem paketu. Račun ustvarite z imenom in e-poštnim naslovom, brez gesla in brez kreditne kartice.
Ustvarite brezplačen računPolitika zasebnostiViri: 94.si: politika zasebnosti, Google Cloud: Web Risk, Splošna uredba o varstvu podatkov (GDPR). In English: GDPR-compliant URL shortener hosted in the EU.