Porabim

Preglednost obdelave podatkov

Preverite sami, katere vaše podatke Porabim.com obdrži

Moj Elektro skupaj s podatki o merilnem mestu pošlje tudi ime, davčno številko in naslov lastnika, plačnika ter naslovnika. Porabim.com teh podatkov ne potrebuje: zavrže jih takoj, ko odgovor prispe, še preden jih vidi kateri koli drug del kode. Ti podatki se ne shranijo, ne zapišejo v dnevnik in ne prikažejo.

Tri podatke merilnega mesta, transformatorsko postajo, nizkonapetostni izvod in naslov, Porabim.com prav tako zavrže. Obdrži jih samo za tiste, ki so v pripomočku Načrtovani izklopi dali soglasje, in samo za prikaz izklopov pri njih. Imena, davčne in matične številke, naslova lastnika, plačnika in naslovnika, dobavitelja in številke pogodbe ne obdrži nikoli, za nikogar.

Tukaj lahko to preverite sami. Vaš brskalnik z vašim žetonom pošlje zahtevo neposredno Moj Elektro in prikaže vsako polje odgovora, kaj Porabim.com obdrži in kaj zavrže. Strežnik Porabim.com pri tem ne sodeluje.

Preveri Za razvijalce

Kako lahko sami preverite, kam gredo podatki

Zavihek Omrežje (F12)

Odprite orodja za razvijalce (F12), izberite zavihek Omrežje (Network) in zaženite preverjanje. Po nalaganju strani lahko preverite, da zahteve odhajajo samo na api.informatika.si. Na porabim.com se podatki ne pošiljajo.

Zaklep, ki ga izvaja brskalnik

Stran ima varnostno glavo Content-Security-Policy z connect-src https://api.informatika.si. Brskalnik zato tej strani prepreči povezave prek fetch, XMLHttpRequest, WebSocket ali sendBeacon na druge izvore, vključno s porabim.com. Glavo lahko preveri vsak, zato to ni le naša obljuba, temveč nekaj, kar lahko preverite sami.

Berljiva koda

Datoteko, ki določa, kaj se obdrži, lahko vsak odpre in pregleda: porabim.com/lib/allowlist.js. To je ista datoteka, ki jo uporablja Porabim. Brskalnik jo izvede le, če se njen odtis SHA-384 ujema z odtisom, zapisanim na tej strani.

Kako deluje

1
Strežnik pošlje samo stran
Ko odprete to stran, brskalnik s strežnika Porabim.com prenese stran in datoteko allowlist.js. Datoteki sta za vse obiskovalce enaki in ne vsebujeta ničesar osebnega. Nato strežnik Porabim nima več nobene vloge.
2
Brskalnik vpraša Moj Elektro neposredno
Številko merilnega mesta in žeton vnesete spodaj. Koda strani, ki teče na vašem računalniku, pošlje zahtevo neposredno na api.informatika.si. Porabim nima dostopa do teh zahtev; Moj Elektro odgovore vrne neposredno brskalniku. Njegovi odgovori vsebujejo Access-Control-Allow-Origin: * in sprejmejo glavo X-API-TOKEN.
3
Primerjava na vašem zaslonu
Stran na podlagi odgovorov zažene allowlist.js in pri vsakem polju pokaže ✓ obdrži, ◐ obdrži samo z vašim soglasjem ali ✗ zavrže. Nato preveri, da izračuni Porabim iz obdržanih polj dajo enake rezultate kot iz celotnih odgovorov.
4
Zaprete zavihek in ni ničesar več
Nič se ne shrani – ne na strežniku ne v brskalniku. Prijava in piškotki niso potrebni. Preverjanje lahko uporabi vsak, ne glede na to, ali uporablja Porabim.

Preverjanje

Iz mojelektro.si potrebujete merilno mesto (EIMM) in API žeton (API storitve › Kreiraj žeton).

Žeton gre samo v glavo zahtev na api.informatika.si. Ne shrani se nikjer, tudi ne v brskalniku. Za preverjanje lahko ustvarite nov žeton in ga potem v Moj Elektro prekličete.

Ta stran ne ve, ali ste soglasje za Načrtovane izklope dali, ker s strežnikom Porabim ne govori. Svoje stanje in shranjene vrednosti vidite po prijavi v Nastavitve › Podatki › Soglasja.

porabim@preglednost — preverjanje

Skripta strani se ni zagnala.

Brskalnik zažene le datoteko, ki se ujema z zgoščeno vrednostjo (SRI, spodaj), ali pa je JavaScript izklopljen.

Osvežite stran. Brez skripte ta stran ne pošlje ničesar nikamor.

pripravljen │povezave: api.informatika.si │0 odgovorov │0 B CSP connect-src api.informatika.si

✓ obdrži Porabim to polje uporabi za vse · ◐ soglasje obdrži samo z vašim soglasjem (Načrtovani izklopi), brez soglasja izgine kot vse drugo · ✗ zavrže izgine v trenutku, ko odgovor prispe · OSEBNO podatek o osebi ali podjetju · •••••• vrednost skrita (Pokaži vrednosti; vidite jo samo vi)

Kaj Porabim obdrži

Seznama se prebereta neposredno iz allowlist.js (KEEP in KEEP_CONSENT), zato sta vedno enaka seznamoma, ki ju uporablja koda. Za vse: spodnja polja. Samo z vašim soglasjem (◐): transformatorska postaja, nizkonapetostni izvod in naslov merilnega mesta, samo za Načrtovane izklope. Nikoli, za nikogar: ime, davčna številka, matična številka, naslov lastnika, plačnika in naslovnika, dobavitelj, številka pogodbe in številka števca.

Odgovor	Del	Obdržana polja	Za kaj

Za razvijalce

Varnostna glava te strani

Content-Security-Policy: default-src 'none'; script-src 'self'; style-src 'self'; font-src 'self'; img-src 'self' data:; connect-src https://api.informatika.si; form-action 'none'; base-uri 'none'; frame-ancestors 'none'

Preverite: curl -sI https://porabim.com/preglednost | grep -i content-security-policy

connect-src https://api.informatika.si: fetch, XMLHttpRequest, WebSocket, EventSource in sendBeacon smejo samo na Moj Elektro.
script-src, style-src, font-src, img-src 'self': stran naloži le svoje datoteke s porabim.com (spodaj, z odtisi); nobene tuje kode, analitike ali oglasov.
form-action 'none': obrazca ni mogoče poslati nikamor; frame-ancestors 'none': strani ni mogoče vstaviti v drugo stran.

Datoteke te strani in njihovi odtisi (SHA-384)

Vsaka se naloži z atributom integrity: če bi se datoteka razlikovala od odtisa, je brskalnik ne bi uporabil.

/lib/allowlist.js	sha384-CTeMKMDgk+dYeQ17dRxh4PKOqsR8KhtVloQIUPle4x974aD8t6y2T2xo26qpTg6G
/lib/logic.js	sha384-7PSG83+GFU3ZPX9fhIFuq8VCMvprAqGbbhJ0wAncYNOdKMskZOSMTDWZh0HbfKc9
/preglednost.js	sha384-wBqyjBludVyzcSjGfnU4xiKXhDpDmYNP3AzLDHvIIgQIlblODDMjThFzaVlntQ2V
/preglednost.css	sha384-asuMKlT/oWHLsQnQWANCNUP4Tm30qxbVzl9AIRwxECOV7HXhKQ7sSbS6pPXitK88
/site.css	sha384-4RqX7BIZOomrDAImmgFsdCAYTwj1tocnaIgoQFK+UZS5JU6yACE4x/BQw+FQgzDk
/fonts/fonts.css	sha384-JsHF6psWtVJ7KiTyZXuI/xol4S1pEgPDXhnQOHsklHhKTX+nb/OLR4Jx4GMCKrOm

Preverite: curl -s https://porabim.com/lib/allowlist.js | openssl dgst -sha384 -binary | openssl base64 -A

Ista datoteka kot na strežniku

Strežnik Porabim vsak odgovor Moj Elektro prebere v eni sami vrstici: body = keepAnswer(url, await res.json(), client.consent === true); (client.consent je resničen samo za merilno mesto z veljavnim soglasjem za Načrtovane izklope). Funkcija keepAnswer je v datoteki src/allowlist.js; ob vsaki objavi jo priprava strani (scripts/build.js) bajt za bajtom prekopira v /lib/allowlist.js, ki jo uporablja ta stran. Stran in strežnik torej zaženeta isto kodo. logic.js (izračuni Porabim) se kopira na enak način.

Kaj ta stran dokazuje in česa ne more

Stran dokazuje, kaj Moj Elektro pošlje in kaj datoteka allowlist.js od tega obdrži, ter da izračuni Porabim iz obdržanih polj dajo enake rezultate. Katero kodo izvaja strežnik katere koli spletne strani, od zunaj ne more preveriti nihče, tudi pri Porabimu ne. Da strežnik uporablja isto datoteko, je zapisano v tehnični dokumentaciji Porabim in preverjeno s samodejnimi testi ob vsaki spremembi: test pade, če bi strežnik odgovor Moj Elektro prebral kjer koli drugje kot skozi keepAnswer, in test pade, če bi brez soglasja kar koli osebnega iz odgovorov prišlo v bazo ali dnevnike, ali če bi s soglasjem prišlo kar koli razen teh treh polj.

Kdaj Porabim sploh dobi te podatke

Ime, davčno številko in naslov Moj Elektro pošlje v odgovorih merilno-mesto in merilna-tocka, ki ju Porabim vpraša največ enkrat na dan na merilno mesto, za dogovorjeno moč. S soglasjem za izklope gospodinjstva vpraša merilno-mesto še takoj, ko izberete Dovolim, in, dokler teh treh podatkov nima, enkrat na dan. Odgovori z meritvami (meter-readings) osebnih podatkov nimajo. Prijava v Porabim (Google) z Moj Elektro ni povezana.