Co wiemy o Tobie i co z tym robimy

Trener Matura — matematyka. Polityka prywatności.

Ta strona jest napisana tak, żeby dało się ją przeczytać samemu, bez pomocy, i żeby dało się ją przeczytać z rodzicem. Nie ma tu prawniczych zdań na pół strony. Opisujemy to, co program naprawdę robi — nie to, co brzmiałoby ładnie.

0. Kto odpowiada za te dane

Administratorem danych jest Mateusz Będkowski, prowadzący działalność gospodarczą pod firmą NIE KAŻ MU LICZYĆ MATEUSZ BĘDKOWSKI, wpisaną do Centralnej Ewidencji i Informacji o Działalności Gospodarczej.

Adresu pocztowego nie ma tu celowo. Przepisy wymagają, żeby dało się administratora rozpoznać i skontaktować się z nim — do jednego służy firma z numerami NIP i REGON, do drugiego adres poczty. Adres siedziby jest adresem domowym i podajemy go tam, gdzie jest obowiązkowy: w regulaminie sprzedaży. Znajdziesz go też w publicznym wpisie CEIDG po numerze NIP.

W sprawach dotyczących danych — pytań, wglądu, poprawienia, usunięcia — pisz na [email protected].

To jest jedyny adres, pod którym odpowiadamy na sprawy dotyczące danych. Nie prosimy o dane osobowe w treści zgłoszenia: żeby zobaczyć albo usunąć swoją naukę, nie trzeba niczego dowodzić — wystarczy zalogować się i kliknąć „Pokaż moje dane" albo „Usuń konto".

1. Co dokładnie zapisujemy

Zanim się zalogujesz

Na serwerze nie zostaje o Tobie nic. Widzisz ekran logowania i tę stronę — i tyle się dzieje; nauka wymaga konta i przed zalogowaniem żadne rozwiązanie nie ma prawa powstać.

Jedna rzecz dzieje się jednak od razu i uczciwie jest o niej powiedzieć: przy pierwszym zapytaniu do serwera przeglądarka zapisuje sobie e8-gosc — losowy ciąg znaków, którym program odróżnia przeglądarki od siebie. Nie ma w nim Twojego imienia ani niczego, co wskazuje na osobę, a znika po wyczyszczeniu danych przeglądarki. Szczegóły niżej, w „Co trzymamy w Twojej przeglądarce".

Jeżeli uczyłeś się tu wcześniej bez konta, Twoje rozwiązania dalej leżą w bazie pod etykietą z tamtej przeglądarki (nie pod imieniem i nie pod niczym, co wskazuje na osobę). Napisz na adres z punktu 0, jeżeli chcesz je usunąć albo przenieść na konto.

Kiedy dostaniesz konto

Konta nie zakłada się samemu. Zakłada je osoba prowadząca zajęcia i daje Ci login — osiem znaków w rodzaju LUF4-7XF9. Przy pierwszym wejściu ustawiasz do niego hasło (co najmniej 6 znaków); od tej pory logujesz się loginem i hasłem. Nie ma adresu e-mail do podania. Aplikacja nie umie wysyłać poczty, więc nie przyjdzie żadna wiadomość i nie ma przycisku „wyślij mi link do zmiany hasła" — gdy zgubisz hasło, osoba prowadząca zajęcia je wyzeruje i przy następnym wejściu ustawisz nowe. Zapisujemy wtedy o Tobie tyle:

Twoja nauka

• Każde rozwiązane zadanie: które to było zadanie, kiedy je zacząłeś i wysłałeś, ile sekund zajęło, co wpisałeś w odpowiedzi, czy było dobrze i ile punktów.
• Zaznaczenia kroków w zadaniach otwartych („to mi wyszło", „tu się pomyliłem", „nie próbowałem").
• Stan pamięci — dla każdej umiejętności liczby opisujące, jak mocno ją pamiętasz i kiedy wypada powtórka. Z tego bierze się kolejka „Dziś".
• Prognozy wyniku — widełki punktowe liczone przez model, a jeśli wpiszesz wynik arkusza próbnego, to także on.

Po co: bez tego nie ma trenera. Kolejka powtórek, ranking tego, co warto poćwiczyć, i prognoza wyniku liczą się dokładnie z tych liczb i z niczego innego.

Ranking zadań

Na ekranie „Mój wynik" jest ranking liczby różnych rozwiązanych zadań. Ranking klasy widzą tylko konta tej samej klasy — pod nazwami z kartek, czyli te same osoby, które siedzą z Tobą na lekcji. Ranking wszystkich pokazuje Cię dopiero wtedy, gdy klikniesz „Dołącz", i pod nazwą, którą wtedy podasz (albo pod nazwą konta). Zgodę cofasz jednym kliknięciem w tym samym miejscu — wtedy znikasz z listy, a nazwa zostaje zapisana na wypadek powrotu. Nikt nie widzi Twoich odpowiedzi ani prognozy, tylko liczbę zadań.

Przypomnienia (powiadomienia)

Tylko jeśli sam klikniesz „Przypominaj mi" i zgodzisz się w przeglądarce. Wtedy zapisujemy adres subskrypcji, który Twoja przeglądarka dostaje od swojego dostawcy (Google, Mozilla albo Apple), dwa klucze do szyfrowania wiadomości, wybraną godzinę i datę ostatniego przypomnienia. Adres wskazuje na Twoją przeglądarkę na tym urządzeniu — nie na Ciebie z imienia. Wysyłamy jedno przypomnienie dziennie, i to tylko wtedy, gdy tego dnia jeszcze nie ćwiczyłeś. Wyłączysz to jednym przyciskiem w „Powtórkach" albo w „Prywatności"; wylogowanie i usunięcie konta kasują subskrypcję samo.

Co trzymamy w Twojej przeglądarce

Dwie pierwsze rzeczy to ciasteczka, dwie kolejne — pamięć samej przeglądarki. Wszystkie znikają, gdy wyczyścisz jej dane.

• e8_sesja — ciasteczko z losowym kluczem sesji, gdy jesteś zalogowany. Ważne 30 dni. Skrypty na stronie nie mają do niego dostępu. W naszej bazie leży tylko jego skrót, nie on sam.
• e8-zgoda — Twoja odpowiedź na pytanie o pomiar (tak albo nie). Pamiętamy ją 180 dni. Powstaje dopiero, gdy zobaczysz baner ze zgodą; jeżeli pomiar nie jest włączony, banera nie ma i tego ciasteczka też nie ma.
• e8-gosc — losowy ciąg znaków, jeden na przeglądarkę, zapisywany przy pierwszym zapytaniu do serwera, jeszcze przed zalogowaniem. Program odróżnia po nim przeglądarki, żeby dwie osoby na jednym komputerze nie dostały wspólnej historii. Zalogowanego ucznia rozpoznaje sesja, więc dla Ciebie ten znacznik przestaje mieć wtedy znaczenie — ale zapisany zostaje.
• e8-oczekujace — rozwiązania z chwil bez internetu, czekające na wysłanie. Leżą w Twojej przeglądarce i znikają, gdy dolecą na serwer.
• Pamięć podręczna aplikacji — przeglądarka odkłada sobie wygląd aplikacji i ostatnią „paczkę na dziś", czyli Twoją kolejkę zadań, żeby dało się pracować przy słabym internecie. To kopia tego, co i tak już widziałeś, i leży wyłącznie u Ciebie.

Czego nie zbieramy

Daty urodzenia, wieku, adresu, numeru telefonu, zdjęcia, listy kontaktów, położenia. Nie zbieramy też nazwiska ani imienia.

Co za to wiemy przy koncie z kartki

Konto zakładane przez nauczyciela ma klasę (np. 4C) i nazwę w rodzaju 4C-07-KJ: klasa, numer z dziennika, inicjały. To jest więcej niż nic i nie udajemy, że tak nie jest — po tych danych nauczyciel rozpoznaje, czyja jest która kartka z kodem.

Samo w sobie nie wskazuje osoby: bez listy klasy „KJ" z numerem 7 to dwie litery i cyfra. Ta lista zostaje u nauczyciela i nie jest wgrywana do aplikacji ani na serwer.

Trzymamy też skrót kodu, którym się logujesz — nie sam kod. Skrótu nie da się odwrócić, więc nikt nie odczyta z bazy Twojego kodu; służy wyłącznie do sprawdzenia, czy wpisany kod pasuje do konta.

O adresie IP uczciwie i dokładnie. Sama aplikacja nie prowadzi dziennika odwiedzin: nigdzie nie zapisuje, z jakiego adresu IP ktoś wszedł, i nie ma na to nawet miejsca w bazie. Ale aplikacja nie stoi w internecie sama — przed nią stoi serwer pośredniczący, który przyjmuje połączenia i szyfruje je. Takie serwery domyślnie zapisują adresy IP w swoim własnym dzienniku i nie jest to część tego programu, tylko ustawienie maszyny, na której program działa. Czy ten dziennik jest wyłączony, wie osoba, która aplikację uruchomiła — i to od niej, pod adresem z punktu 0, można się tego dowiedzieć. Nie piszemy tu „nie zapisujemy IP", bo byłoby to zdanie prawdziwe o programie i nieprawdziwe o całości.

Jest jedno miejsce, w którym sam program adresu używa — i skoro mówimy o tym dokładnie, to trzeba i o tym. Przy logowaniu kodem z kartki program musi umieć spowolnić kogoś, kto kody zgaduje. Liczy więc nieudane próby osobno dla każdego, kto je podejmuje, a tym „każdym" jest adres, z którego przyszło żądanie. Adres nie trafia do żadnego dziennika ani do bazy: zamieniamy go na nieodwracalny skrót, skrót leży w pamięci działającego programu, znika po godzinie od ostatniej próby i przepada w całości przy każdym ponownym uruchomieniu. Bez tego jedna osoba mogłaby zgadywać kody bez końca — a gdybyśmy liczyli wspólnie dla wszystkich, jedna osoba zablokowałaby logowanie całej szkole.

2. Komu to przekazujemy

Domyślnie: nikomu. Dane leżą w jednym pliku bazy na komputerze albo serwerze, na którym aplikacja jest uruchomiona. Nie sprzedajemy ich, nie wymieniamy się nimi i nie wysyłamy ich do żadnej innej firmy.

Są dokładnie cztery wyjątki i każdy wymaga, żeby ktoś go najpierw włączył.

Pytania do trenera

Przy zadaniu może być okno „Zapytaj trenera" — odpowiada w nim model językowy firmy Anthropic (USA). Pokazuje się tylko wtedy, gdy właściciel aplikacji włączył tę usługę na serwerze, i tylko wtedy, gdy sam coś w nim napiszesz. Wtedy do Anthropic idą: Twoje pytanie, dotychczasowa rozmowa przy tym zadaniu oraz treść tego jednego zadania z rozwiązaniem. Nie idzie tam login, imię, adres ani Twoje wyniki. Treści rozmowy nie zapisujemy u siebie — zostaje sam fakt, że tego dnia zadano pytanie (jest limit na dobę). Według warunków usługi Anthropic nie wykorzystuje danych przesłanych przez interfejs programistyczny do uczenia swoich modeli.

Przypomnienia

Jeśli włączysz przypomnienia, treść powiadomienia („dziś wracają 3 tematy") idzie do Twojej przeglądarki przez dostawcę powiadomień — Google, Mozillę albo Apple, zależnie od przeglądarki. Dostawca widzi, że coś wysłaliśmy i kiedy, ale samej treści nie: jest zaszyfrowana kluczem, który ma tylko Twoja przeglądarka. Nie idzie tam ani login, ani wyniki.

Logowanie przez Google

Dotyczy tylko Ciebie, jeśli klikniesz „Zaloguj przez Google". Wtedy Google wie, że logujesz się do tej aplikacji, a my dostajemy od Google trzy rzeczy: Twój adres e-mail, imię i stały identyfikator. Adres z Google przechodzi przez dokładnie ten sam skrót co login z formularza — w bazie i po tej drodze nie ląduje nic czytelnego. Zostaje imię i identyfikator od Google (po nim rozpoznajemy Cię przy kolejnym logowaniu). Hasła do Google nigdy nie widzimy — wpisujesz je u Google, nie u nas. Jeśli wolisz, żeby Google o tym nie wiedział, zaloguj się loginem i hasłem — Google nie dowie się wtedy niczego.

Pomiar i reklamy Google

Aplikacja potrafi korzystać z dwóch narzędzi Google: Google Analytics (liczy, ile osób i jak korzysta z aplikacji) oraz AdSense (reklamy). Żeby którekolwiek z nich się uruchomiło, muszą zajść dwie rzeczy naraz:

1. ktoś, kto prowadzi tę aplikację, świadomie je włączy w ustawieniach serwera, oraz
2. Ty klikniesz „Zgadzam się" w banerze na dole ekranu.

Dopóki nie klikniesz, przeglądarka nie pobiera ani jednego pliku z serwerów Google i te narzędzia nie dowiadują się o Tobie niczego. Nie jest tak, że ładują się „w tle, a baner tylko informuje" — strona po prostu nie zawiera ich adresów, a serwer odmawia ich podania, dopóki nie widzi Twojej zgody.

Jeśli się zgodzisz, Google zobaczy to, co narzędzia tego rodzaju widzą zawsze: adres strony, na której jesteś, przybliżony adres IP (prosimy Google o jego skrócenie), rodzaj przeglądarki i ciasteczka, które sam sobie zapisze. Prosimy przy tym Google, żeby nie łączył tego z profilem reklamowym zalogowanego użytkownika Google i żeby reklamy nie były personalizowane.

Zdanie możesz zmienić kiedy chcesz: „Prywatność i moje dane" na dole ekranu. Gdy cofniesz zgodę, kasujemy ciasteczka, które Google zdążył zapisać, i przeładowujemy stronę bez jego skryptów.

2a. Co wiemy o Tobie POZA aplikacją

Ta strona opisywałaby nieprawdę, gdyby mówiła tylko o bazie danych. Wokół programu są ludzie i papier, i uczciwie jest o nich powiedzieć.

• Lista „kto dostał który login" — konta zakłada osoba prowadząca zajęcia, więc wie, komu wydała który login. Ta lista nie jest częścią aplikacji: leży u niej, w zeszycie, arkuszu albo w wiadomości, i to ona odpowiada za to, co się z nią stanie. Program takiej listy nie ma i nie umie jej odtworzyć — w bazie leży sam skrót loginu.
• Dostęp do serwera — kto ma komputer, na którym stoi aplikacja, ma też plik bazy, a więc może zajrzeć do rozwiązań każdego ucznia. Żaden program nie może przed tym ochronić i nie udajemy inaczej. Ekran, przez który zakłada się konta, pokazuje tylko nazwę konta, sposób logowania i daty — nie pokazuje ani jednej Twojej odpowiedzi.
• Zwykła rozmowa — jeśli napiszesz na adres z punktu 0, Twoja wiadomość leży w skrzynce tak jak każdy inny list.

Czego tu nie ma: nie sprzedajemy dostępu i nie przyjmujemy za niego pieniędzy, więc nie powstaje żaden przelew, rachunek ani dowód sprzedaży i nie ma czego przechowywać.

2b. Na jakiej podstawie to robimy

RODO wymaga podania podstawy dla każdego celu. Bez żargonu, ile się da:

Nie ma tu ani jednego celu opartego na zgodzie, bo nie ma newslettera. Nie ma też profilowania ani decyzji podejmowanych automatycznie, które wywoływałyby wobec Ciebie skutki prawne — prognoza wyniku jest podpowiedzią dla Ciebie, a nie oceną wystawianą komukolwiek.

Którędy idzie połączenie

Gdy zajęcia prowadzi się z komputera nauczyciela, aplikacja jest wystawiana na świat przez tunel Cloudflare — adres kończy się wtedy na trycloudflare.com. Twoje połączenie idzie najpierw do Cloudflare, a dopiero stamtąd do komputera w klasie.

Cloudflare widzi więc Twój adres IP i to, że łączyłeś się z tą aplikacją. Dzieje się to na jego zasadach, na które nie mamy wpływu, i my tych danych nie dostajemy. Sama aplikacja adresów IP nie zapisuje — ale zdanie „nie zbieramy IP" opisuje ją, a nie całą drogę, i wolimy powiedzieć to wprost niż zostawić w domyśle.

Poznasz to po adresie w pasku przeglądarki. Gdy aplikacja stanie kiedyś na własnym serwerze z własną domeną, tego pośrednika nie będzie.

Co widzi osoba prowadząca zajęcia

Wcześniej pisało tu, że nic nie idzie do nauczyciela i że nie ma ekranu z wynikami klasy. To była nieprawda i została poprawiona: taki ekran jest, nazywa się panelem i ma go osoba, która zakłada konta.

Widać na nim, po nazwie konta w rodzaju 4C-07-KJ:

• ile zadań oddałeś i ile było podejść,
• ile z nich było poprawnych i ile punktów zebrałeś z możliwych,
• ile z tego przypada na dzisiaj — po tym poznaje się pracę na lekcji,
• kiedy było ostatnie wejście i ostatnie podejście,
• do kiedy działa dostęp.

Do tego liczby zbiorcze dla całej klasy: ilu pracowało dziś, ilu nie oddało jeszcze ani jednego zadania, ile punktów zebrała klasa razem.

Czego tam NIE MA: Twoich odpowiedzi. Panel nie pokazuje, co wpisałeś w konkretnym zadaniu ani których kroków nie odhaczyłeś — pokazuje liczby. Nie ma tam też prognozy Twojego wyniku: ta jest wyłącznie dla Ciebie.

Po co to jest: żeby osoba prowadząca zajęcia wiedziała, komu pomóc i czy ktoś nie utknął. To ten sam rodzaj wiedzy, którą ma z dziennika i z lekcji — tyle że policzony zamiast zgadywany.

Jedno zastrzeżenie do tej tabeli, bo obiecaliśmy nie ściemniać: w wersji darmowej, prowadzonej w szkole, nie zawierasz z nikim umowy w potocznym sensie i formalne nazwanie tej podstawy jest sprawą, w której rozsądni ludzie mogą się różnić. Ta strona nie jest opinią prawną i tego sporu nie rozstrzyga. Rozstrzyga natomiast rzecz ważniejszą i sprawdzalną: co program zapisuje, komu to pokazuje i jak to skasować.

3. Jak długo to trzymamy

• Konto i nauka — dopóki sam nie usuniesz konta. Nie mamy żadnego „po roku kasujemy automatycznie": zapominanie liczy się z historii sprzed miesięcy i skasowanie jej popsułoby powtórki.
• Sesja logowania — 30 dni od zalogowania. Potem trzeba zalogować się jeszcze raz, a stara sesja znika z bazy przy najbliższym starcie serwera.
• Zgoda na pomiar — 180 dni, potem pytamy jeszcze raz.
• Subskrypcja przypomnień — dopóki jej nie wyłączysz, nie wylogujesz się na tym urządzeniu albo nie usuniesz konta. Adres, na który nie da się już dostarczyć powiadomienia, kasujemy sami.
• Data, do której konto działa — dopóki istnieje konto. Po jej minięciu nic nie kasujemy: konto i nauka czekają, aż ktoś termin przedłuży albo aż sam usuniesz konto.
• Nauka sprzed czasu, gdy potrzebne było konto — zostaje w bazie pod etykietą lokalną z tamtego urządzenia. Jeśli chcesz ją usunąć, napisz na adres kontaktowy [email protected] — usunięcie z ekranu dotyczy na razie kont.

Po zakończeniu zajęć konta same z siebie nie znikają. Jeżeli chcesz, żeby Twoje zniknęło, najprościej i najpewniej zrobisz to sam — „Usuń konto", punkt 4. Nie musisz nikogo o to prosić ani czekać na czyjąś decyzję.

4. Co możesz zrobić

Zobaczyć wszystko, co mamy

Na dole ekranu jest „Prywatność i moje dane", a w środku „Pokaż moje dane". Otwiera się plik z całą zawartością: konto, każde rozwiązane zadanie, stan pamięci, prognozy. Nie ma tam nic ponad to, co widzisz — bo nic ponad to nie mamy. Nie ma tam Twojego loginu i jest to w pliku napisane wprost: loginu nie przechowujemy, więc nie mamy czego pokazać. Nie ma tam też skrótu hasła, kluczy sesji ani skrótu loginu: to nie są informacje o Tobie, tylko materiał do włamania się na Twoje konto albo do sprawdzania, czyj to login, więc nie wychodzą z serwera nawet do Ciebie.

Można też wejść wprost pod adres /api/auth/moje-dane.

Usunąć konto

Tam samo, na dole tej samej strony: „Usuń konto". Trzeba potwierdzić hasłem (a przy koncie z Google — zalogować się przez Google jeszcze raz w ciągu kwadransa, bo hasła u nas wtedy nie ma). Znika wtedy:

• konto razem z imieniem i skrótem loginu,
• wszystkie sesje, czyli wylogowanie ze wszystkich urządzeń,
• wszystkie rozwiązane zadania i zaznaczenia kroków,
• stan pamięci i wszystkie prognozy.

Tego nie da się cofnąć. Nie trzymamy kopii „na wszelki wypadek" — gdybyśmy trzymali, „usuń konto" byłoby nieprawdą. Jeśli chcesz zachować swoją naukę, najpierw pobierz dane („Pokaż moje dane"), a potem usuwaj.

Pozostałe prawa

Masz też prawo żądać sprostowania danych, ograniczenia ich przetwarzania, przeniesienia ich do siebie w czytelnym formacie (to robi „Pokaż moje dane") oraz sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie. Wystarczy napisać na adres z punktu 0; odpowiadamy w ciągu 30 dni.

Warto wiedzieć, jak to wygląda od kuchni: dwie z tych rzeczy robi program — „Pokaż moje dane" i „Usuń konto" działają natychmiast i bez niczyjego udziału. Reszta jest pracą człowieka: nie ma przycisku „sprostuj" ani „ogranicz", jest adres e-mail i ktoś, kto to zrobi ręcznie. Piszemy to wprost, żeby nikt nie szukał na ekranie funkcji, której tam nie ma.

Jeżeli uznasz, że robimy coś źle, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl). Wolelibyśmy najpierw usłyszeć o tym od Ciebie, ale to Twoje prawo i nie musisz z nikim tego uzgadniać.

Zapytać o cokolwiek

Adres kontaktowy: [email protected].

Twoich ODPOWIEDZI nie wydajemy nikomu poza Tobą. Nie ma ekranu, na którym ktokolwiek inny oglądałby to, co wpisałeś w zadaniu, i nie zamierza go być. Osoba prowadząca zajęcia widzi w panelu liczby — ile zadań, ile punktów, kiedy ostatnio — i tyle; opisuje to sekcja „Co widzi osoba prowadząca zajęcia". Jeśli chcesz się swoim postępem podzielić, pobierasz plik sam jednym kliknięciem („Pokaż moje dane") i wysyłasz go, komu zechcesz — to jedna z rzeczy, do których ten przycisk służy.

Jeżeli nie masz jeszcze osiemnastu lat, Twój rodzic albo opiekun prawny może wykonywać te prawa za Ciebie — wtedy odpowiadamy jemu. Powiedzmy jednak wprost, jak to działa, bo brzmi to bardziej automatycznie, niż jest: program nie ma funkcji „dane dziecka dla rodzica". Przyciski „Pokaż moje dane" i „Usuń konto" działają wyłącznie z Twojego zalogowanego konta — kto ma Twój login i hasło, ten może z nich skorzystać, i nikt inny. Wniosek rodzica jest więc listem na adres z punktu 0 i pracą człowieka po drugiej stronie, a nie kliknięciem. Najprostsza droga zwykle prowadzi przez Ciebie: siadacie razem i klikacie „Pokaż moje dane".

5. Bezpieczeństwo — co robimy, a czego nie obiecujemy

• Hasła są przeliczane funkcją scrypt z solą i celowo powolnymi parametrami. W bazie nie ma haseł, tylko wyniki tego obliczenia.
• W bazie nie ma też kluczy sesji, tylko ich skróty. Wyciek bazy nie daje gotowych kluczy do kont.
• Nie ma w niej także loginów, tylko ich skróty — a te liczymy z dodatkowym sekretem, który leży poza bazą (w ustawieniach serwera). Bez tego sekretu nawet ktoś, kto ma całą bazę, nie sprawdzi, czy jest w niej konkretny login: musiałby zdobyć osobno bazę i osobno sekret.
• Ciasteczko sesji jest niedostępne dla skryptów na stronie i nie jest wysyłane przy wejściach z cudzych stron.
• Zgadywanie hasła jest spowalniane: po kilku nieudanych próbach konto każe chwilę poczekać, a przerwa rośnie z każdą kolejną. Licznik żyje w pamięci serwera i nie zapisujemy przy tym niczego o Tobie.
• Tak samo spowalniane jest zgadywanie kodu z kartki, tylko licznik idzie wtedy po adresie, z którego przychodzą próby — bo kod jest naraz loginem i hasłem, więc nie ma czego liczyć „po koncie". Adres zamieniamy na nieodwracalny skrót, trzymamy w pamięci przez godzinę i nigdzie nie zapisujemy; dokładniej opisuje to punkt 1.
• Czego nie obiecujemy: że nic się nigdy nie stanie. Żaden program nie może tego obiecać. Dlatego zbieramy tak mało, jak się da — najlepiej chronione są dane, których nie ma.

6. Zmiany

Gdy zmieni się to, co robi program, najpierw zmienia się ta strona. Polityka opisująca wczorajszy kod jest gorsza niż jej brak, bo wygląda na sprawdzoną.