Политика за поверителност

Този документ е публикуван на няколко езика. В случай на несъответствие между езиковите версии меродавна е полската версия.

Версия 2.3 · Последна актуализация: 29 октомври 2026 г.

Тази политика описва кои лични данни обработва formexposed, с каква цел, на какво правно основание, на кого се предават и кога се изтриват. Пишем само това, което услугата действително прави; посочените срокове на съхранение са същите, по които работят нашите процеси по изтриване, а там, където все още няма определен срок, го казваме. Функции, които са разработени, но не са включени, са посочени като такива. Тъй като услугата засяга няколко групи лица, всеки раздел започва с указание за кого е предназначен:

• Посещавате formexposed.com или form.exposed: раздели 3, 4 и 5.
• Поискали сте проверка на домейн на началната страница: раздел 6.
• Вашият уебсайт е проверен от нашия робот: раздел 7 – той е и нашата информация съгласно чл. 14 ОРЗД.
• Имате акаунт или сте поканени в екип: раздели 8 до 18.
• Посещавате уебсайта на някой от нашите клиенти (със значка, плъгин или проверка на доставката): раздел 20.
• Искате да упражните право или да подадете жалба: раздели 26 до 28.

1. Администратор и контакт

Администратор на обработването на лични данни на formexposed.com и form.exposed и в услугата formexposed, доколкото не действаме от името на клиент (раздел 2), е:

LW IT Solutions Company Lukas Wójcik
Собственик: Lukas Wójcik
al. Tadeusza Kościuszki 80/82, lok. 301
90-437 Łódź
Полша
NIP (полски данъчен идентификационен номер) 7252266190 · ДДС номер PL7252266190
Имейл: contact@lukaswojcik.com

Други начини да се свържете с нас са прозорецът за поддръжка (въпросителният знак в навигацията) и страницата за контакт. Моля, съобщавайте за уязвимости в сигурността чрез нашата страница за докладване на уязвимости.

Длъжностно лице по защита на данните: Не сме определили такова. Ние сме едноличен търговец; основната ни дейност е проверката на уебсайтове и формуляри, а не мащабно наблюдение на физически лица или обработване на специални категории данни (чл. 37(1) ОРЗД). Причините са изложени в Регистъра на дейностите по обработване. Моля, изпращайте въпроси относно защитата на данните на посочения по-горе имейл адрес; той достига пряко до собственика.

2. За какво става дума и в каква роля действаме

formexposed проверява формулярите за контакт на уебсайтове: дали са защитени срещу спам и злоупотреби, дали запитванията пристигат, кои услуги на трети страни могат да следят, докато формулярът се попълва, и дали нещо от това се променя. При това обработваме лични данни в три роли. Разграничението не е формалност: то определя към кого да се обърнете с искане.

• Като администратор за данните на посетителите на нашите собствени уебсайтове, на нашите клиенти и членовете на техните екипи, за фактуриране и поддръжка, както и за проверката на уебсайтове, които не принадлежат към клиентски акаунт (безплатна проверка, проучване, проверка на потенциален клиент) или чийто домейн клиентът все още не е потвърдил. За това се отнася тази политика.
• Като обработващ лични данни за данни на трети лица, които нашите клиенти са обработили чрез услугата: копия на имейли от формуляри при проверката на доставката (раздел 15), абонати на клиентски портал (раздел 14), получатели на известия, които сами не са клиенти (раздел 10), тестови акаунти за проверката зад вход (раздел 9) и лица, които се виждат на уебсайт, чийто домейн клиентът е потвърдил (раздел 7). В тези случаи администратор е клиентът; прилага се Договорът за обработване на лични данни, който всеки клиент сключва при регистрация.
• Изобщо не действаме по отношение на това, което нашият плъгин за WordPress и нашето разширение за TYPO3 съхраняват на уебсайта на клиента и което не напуска този уебсайт (раздел 13). Администратор е операторът на този уебсайт; ние нямаме достъп до него.

Когато в тази политика се казва „клиент“, се има предвид титулярят на акаунт в formexposed. Акаунти се предлагат само на предприятия; безплатната проверка може да се използва от всеки без акаунт. Услугата не е насочена към деца.

3. Сървъри, дневници и резервни копия

За всички, които посещават нашите уебсайтове или използват услугата.

Експлоатираме formexposed на собствени сървъри в Полша: уеб сървър с базата данни и сървър за сканиране, на който работят роботът и езиков модел. Двата са в една и съща вътрешна мрежа. Няма външен доставчик на хостинг или облачни услуги. Достъп до сървърите има само собственикът.

3.1 Дневник на уеб сървъра

За всяка заявка уеб сървърът съхранява IP адреса, датата и часа, заявения адрес, кода на състоянието, обема на предадените данни, предходно посетената страница (referrer) и идентификатора на браузъра (user agent). Това се отнася и за заявките за значката от страниците на клиенти (раздел 12). Дневниците се ротират ежедневно и се изтриват след 14 дни.

3.2 Дневник на посещенията на страници

Освен това приложението записва всяко посещение на страница, но не и фоновите заявки, интерфейсите или значката: IP адрес, определената въз основа на него държава, заявения адрес и referrer (маскираме съдържащите се в тях токени за достъп, например на връзки към отчети или портали, преди съхраняването), идентификатора на браузъра и извлечената от него информация за вида устройство, операционната система и браузъра, езика и – ако сте влезли – номера на вашия акаунт. Определяме държавата с помощта на база данни на собствения ни сървър; за целта IP адресът не напуска сървъра. Ако нашата поддръжка преглежда вашия акаунт (раздел 8.5), тези посещения не се приписват на вашия акаунт. Изтриваме записите след 60 дни.

3.3 Дневник на грешките и сигнал за грешка

Записваме техническите грешки с часа, нивото, източника, съобщението, техническия контекст и, когато е приложимо, номера на вашия акаунт, и ги изтриваме след 90 дни. Ако възникне нов вид грешка, услугата изпраща на собственика имейл с необработения текст на съобщението (до 400 знака, без почистване) и кратко известие чрез Telegram; при натрупване на грешки – само известието; освен това има ежедневен преглед на видовете грешки по имейл. Съобщението в Telegram е фиксирано изречение без съдържанието на грешката, без адрес и без информация за лица. За всеки вид грешка пазим по един пример на съобщението, понастоящем без определен срок на съхранение; ще определим срок за изтриване и ще го посочим тук. Съобщенията за грешки не би трябвало да съдържат лични данни; не можем да го изключим, например ако съобщение възпроизвежда въведен адрес.

3.4 Резервни копия

Базата данни се архивира всяка нощ след приключване на процеса по изтриване; следователно резервното копие не съдържа нищо, което вече е трябвало да бъде изтрито съгласно тези срокове на съхранение. Понастоящем резервните копия се съхраняват на същото място като базата данни и не са допълнително криптирани; планирано е криптирано копие на второ място. Те изтичат след 14 дни. Това, което изтриваме в работната система, остава в резервните копия дотогава. От резервно копие не се премахва нищо избирателно; то служи само за възстановяване след загуба.

Цел и правно основание: експлоатация и сигурност на услугата, защита срещу атаки и злоупотреби, отстраняване на неизправности, възстановяване и статистика за използването. За последното записваме само дневни общи стойности (например регистрации на ден), нищо за отделни лица; не използваме услуги за анализ или проследяване. Правното основание е чл. 6(1)(f) ОРЗД; нашият законен интерес е сигурната и стабилна експлоатация.

4. Бисквитки и съхранение в браузъра

За посетителите на нашите уебсайтове и потребителите на услугата.

Име	Вид	Цел	Продължителност
bpid	бисквитка	Сесия: поддържа ви влезли, защитава формулярите срещу подправени заявки (CSRF) и отчита ограниченията на сесия за безплатната проверка	до затваряне на браузъра
bp_remember	бисквитка	само ако при влизане изберете „Остани влязъл“: поддържа ви влезли	30 дни
bp_theme	локално хранилище	дали сте избрали светла или тъмна тема; за влезли потребители изборът се съхранява и в акаунта	докато не изтриете данните на браузъра си

Това съхранение е строго необходимо за функционирането на услугата, която изрично сте поискали; за него не се изисква съгласие (чл. 5(3) от Директива 2002/58/ЕО, както е транспонирана в националното право, в Германия § 25(2) т. 2 от Закона за защита на данните в далекосъобщенията и цифровите услуги (TDDDG), в Полша чл. 399 от Закона за електронните съобщения, Prawo komunikacji elektronicznej). Правното основание за свързаното с него обработване е чл. 6(1)(b) ОРЗД, ако сте влезли, а в противен случай чл. 6(1)(f) ОРЗД; нашият законен интерес в този случай е защитата на формулярите ни срещу подправени заявки, спазването на ограниченията на безплатната проверка и показването на избрания от вас изглед.

Не задаваме бисквитки за реклама или измерване на аудиторията. Код за препоръка от партньорската програма (раздел 18) се предава в адреса до регистрацията, а не в бисквитка. Google reCAPTCHA може да използва собствени бисквитки при изпращане на формуляр (раздел 5).

5. Google reCAPTCHA и нашата собствена защита на формулярите

За всички, които изпращат някой от нашите формуляри.

Защитаваме формулярите за безплатната проверка, инструмента за заглавки, изключването на домейн (opt-out), влизането, регистрацията, заявяването и задаването на нова парола, както и за поддръжка и контакт срещу автоматизирани атаки с Google reCAPTCHA v3. Доставчик е Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ирландия.

Зареждаме скрипта на Google едва когато изпратите някой от тези формуляри, а не още при отваряне на страницата. След това той прочита информация за браузъра, устройството и използването на страницата и я предава заедно с вашия IP адрес и евентуални бисквитки на Google на Google, който преценява дали формулярът се изпраща от човек. Получаваме само тази оценка като резултат, заедно с действието, за което се отнася. Ако тя е под нашия праг, се отнася до друг формуляр или Google не отговори в рамките на три секунди, отказваме изпращането; не съхраняваме резултата. Можете да опитате отново или да ни пишете по имейл. Google може да предава данни на Google LLC в САЩ (раздел 22) и сам решава колко дълго да ги пази; повече в политиката за поверителност на Google.

Освен това тези формуляри – с изключение на този за задаване на нова парола – съдържат наша собствена защита без трети страни: невидимо за хората поле капан и подписан времеви печат, по който се разпознават твърде бързо изпратени формуляри.

Формулярите за безплатната проверка, регистрацията, влизането и заявяването на нова парола защитаваме освен това със собствената ни защита на формулярите formconfirmed, която също работи без трети страни. При отваряне на страницата малък скрипт извлича от нашия сървър подписана задача; щом започнете да използвате формуляра, браузърът ви я решава във фонов режим (доказателство за извършена изчислителна работа). Резултатът се изпраща до нас заедно с формуляра като еднократен проверочен токен, който проверяваме при изпращането. При това обработваме вашия IP адрес, адреса на страницата с формуляра, моментите във времето и дали е попълнено невидимо за хората поле. За тази цел съхраняваме IP адреса само в съкратен вид (при IPv4 без последния байт, при IPv6 само първите 48 бита) и като хеш стойност с ежедневно сменящ се ключ, за да разпознаваме зачестили заявки; тази стойност се изтрива след един час, а използваният проверочен токен – след най-много единадесет минути. Защитата на формулярите не оценява съдържанието на тези формуляри. Тя не поставя бисквитки, не съхранява нищо във вашия браузър и не създава цифров отпечатък на устройството ви. Ако липсва валиден проверочен токен, отказваме изпращането; ако услугата ни не е била достъпна за задачата, го допускаме.

Правно основание: чл. 6(1)(f) ОРЗД; нашият законен интерес е защитата на тези формуляри срещу злоупотреби от програми, най-вече срещу масово отгатване на пароли, автоматично създавани акаунти и използване на безплатната проверка като инструмент срещу уебсайтове на трети лица. Тъй като скриптът на Google се зарежда едва при изпращане на формуляра и служи само за това изпращане, считаме, че прочитането на информацията от вашето устройство е строго необходимо, за да предоставим услугата, която изрично поискате с изпращането на формуляра (§ 25(2) т. 2 TDDDG, чл. 399 Prawo komunikacji elektronicznej). Същото важи и за собствената ни защита на формулярите: в браузъра тя обработва само това, което е необходимо за изпращането на използвания от вас формуляр. Тя е предназначена трайно да замени reCAPTCHA. Изискване: без reCAPTCHA и собствената ни защита на формулярите формулярът не може да бъде изпратен; за запитвания остава на разположение имейлът.

6. Безплатни проверки без акаунт

За всички, които проверяват домейн на началната страница или използват инструмента за заглавки.

6.1 Безплатната проверка

На началната страница можете да поискате проверка на домейн без акаунт. За целта обработваме:

• въведения домейн и резултата от проверката (отчет; какво събира роботът при това е посочено в раздел 7);
• вашия IP адрес, неговата държава, хеш на вашата сесия (не самата сесия), часа и дали заявката е приета, за да спазваме ограниченията (само няколко проверки на ден на адрес и сесия; домейн, който вече е проверен през последните няколко дни, получава същия отчет вместо нова проверка) и да откриваме злоупотреби. Изтриваме тези записи след 7 дни;
• при подозрително поведение, например много различни домейни от един адрес, маркер, съдържащ IP адреса или хеша на сесията. Той се пази, докато не прегледаме случая, и 90 дни след това. Собственикът получава известие за това чрез Telegram без домейна и без IP адреса.

Отчетът е достъпен за всеки, на когото дадете неговата случайна връзка; търсачките не би трябвало да го индексират. Изтриваме го след 30 дни заедно с данните от проверката и екранните снимки. Безплатният отчет показва извадка; проверяват се същите неща като в акаунта, но без тестови изпращания.

6.2 Инструментът за заглавки

Инструментът за заглавки за сигурност извлича началната страница на домейн два пъти (чрез https и чрез http) и оценява отговора. Съхраняваме домейна, резултата и оценката за 90 дни; за ограниченията се прилага същият дневник като при проверката (7 дни). Изключен домейн (раздел 19) не се проверява и тук.

Правно основание: чл. 6(1)(b) ОРЗД за поисканата от вас проверка и чл. 6(1)(f) ОРЗД за ограниченията и предотвратяването на злоупотреби; нашият законен интерес е услугата да не се използва неправомерно като инструмент срещу чужди уебсайтове. Изискване: без домейн няма проверка; без IP адрес сървърът не може да ви отговори.

6.3 Обратна връзка за отчет

За всички, които използват „Нещо не е наред в този отчет?“ под отчет, със или без акаунт.

Под всеки завършен отчет можете да ни съобщите, че липсва формуляр, че формуляр е класифициран неправилно или че отделна проверка има грешен резултат. За целта обработваме:

• това, което въвеждате: избраната от вас категория, по желание съответната проверка, адреса на страница и текст до 1000 знака;
• отчета, за който се отнася обратната връзка (идентификатор на връзката, проверката и домейна), езика на страницата и часа;
• ако сте влезли, идентификатора на вашия акаунт; тогава виждаме имейл адреса на акаунта до обратната връзка;
• еднопосочна контролна сума на вашия IP адрес (образувана със секретен ключ), така че от един адрес да пристигат само няколко съобщения (5 на час, 20 на ден). Не съхраняваме самия IP адрес с обратната връзка; изчистваме контролната сума след 2 дни.

Не искаме имейл адрес и не отговаряме на обратна връзка. Ако желаете отговор, моля, пишете на поддръжката (раздел 17). Моля, не въвеждайте лични данни в текста. Четем обратната връзка, класифицираме я и, когато е полезно, използваме данните от проверката в отчета (полета на формуляри, причини и констатации, без екранни снимки) като тестов случай за нашето откриване; такъв тестов случай описва проверения уебсайт, а не вас. Обратната връзка не променя отчета.

Правно основание: чл. 6(1)(f) ОРЗД; нашият законен интерес е да откриваме и отстраняваме грешки в нашето откриване, а ограничението защитава срещу злоупотреби. Изискване: обратната връзка е доброволна. Съхранение: 24 месеца; незабавно заедно с вашия акаунт.

7. Проверка на уебсайтове с нашия робот – информация съгласно чл. 14 ОРЗД

За операторите на проверени уебсайтове и за лица, чиито данни фигурират на проверен уебсайт. Не сте ни предоставили тези данни сами; затова ви информираме тук.

7.1 Какво прави роботът

Нашият робот FormExposedBot извлича при всяка проверка не повече от осем публични страници на уебсайт, една след друга, точно както посетител с браузър. Към тях може да има до три страници, които той зарежда повторно, за да щракне „Отхвърляне“ в банера за бисквитки, до три страници в изглед за телефон, за потвърдени домейни тестовите изпращания (раздел 7.3) и до пет страници зад вход (раздел 9.4). Преди проверката той прочита robots.txt: ако Disallow за FormExposedBot или за всички програми изключва началната страница, той не проверява. Понастоящем не съблюдава поотделно блокирани подпътища. Идентифицира се като FormExposedBot в идентификатора на браузъра си. Той изследва формулярите и съхранява:

• адресите и заглавията на проверените страници, структурата на формулярите (имена на полета, типове полета, етикети, атрибути за задължителност и видимост, без стойности; началото на предварително попълнени скрити полета и на атрибути за данни той прочита само по време на проверката и не го съхранява) и откритите защитни мерки;
• технически характеристики на страниците: използвани CAPTCHA и услуги за защита от спам, вградени скриптове на трети доставчици (адрес и контролна сума), хостовете, от които страницата зарежда съдържание, имената на зададените бисквитки, заглавки за сигурност, индикации за достъпността на формулярите, поведението на банера за бисквитки при отказ и дали към формулярите са прикачени рекламни пиксели или запис на сесии;
• екранна снимка на видимата част на първата страница и по една на всеки открит формуляр, а след тестово изпращане и една на страницата с отговора. Тези екранни снимки не са заличени; те показват това, което се вижда на страницата.

Ако формуляр съдържа адрес на получател, съхраняваме само неговия домейн, никога адреса. Не съхраняваме друго съдържание на страниците. Въпреки това може да бъдат засегнати лични данни, ако те се виждат на страница или на екранна снимка, например името и снимката на лице за контакт до формуляра. Категории: имена, длъжности, данни за контакт и изображения, които операторът сам е публикувал. Не търсим специални категории данни и не ги анализираме.

Класифицираме формулярите по фиксирани правила (например „контакт“ или „бюлетин“). Само ако правилата не дадат резултат, помага езиков модел, работещ на нашия собствен сървър за сканиране; така класифицирани формуляри никога не се изпращат и не се отчитат в оценката или в заключението. При това не се изпращат данни на трети лица и моделът не се обучава с тях. Повече за това в Акта на ЕС за ИИ: как formexposed използва ИИ.

7.2 Кой задейства проверка

• някой, който въведе домейн на началната страница (раздел 6);
• нашият плъгин за WordPress или нашето разширение за TYPO3 за собствения си уебсайт, дори без акаунт (раздел 13);
• клиент за домейн в своя акаунт (раздел 9);
• агенция за уебсайта на потенциален клиент, без тестово изпращане (раздел 14);
• самите ние за проучване на защитата на формулярите за контакт, от което публикуваме само обобщени данни без имената на уебсайтовете.

7.3 Какво не прави роботът

Той проверява чужди уебсайтове само пасивно: не изпраща формуляри, не изпробва данни за вход и не атакува нищо. Изпраща тестови изпращания само до формуляри за контакт на домейни, за които клиент е доказал в своя акаунт, че има право да ги контролира – като собственик или от името на собственика, чрез DNS запис, мета таг, файл или плъгин: ясно обозначени тестови съобщения без лични данни, не повече от пет на проверка; без такова доказателство – само при вътрешни проверки на нашите собствени тестови и демонстрационни домейни. Търсенето на открити файлове, прочитането на версии и проверката зад вход също са достъпни само за потвърдени домейни (раздел 9).

7.4 Срок на съхранение

Проверки без акаунт – 30 дни; проверки на уебсайт на потенциален клиент – 90 дни; проверки за проучване – до публикуването на резултатите му; проверки на домейн в клиентски акаунт – не повече от 13 месеца (последната се пази, докато домейнът е в акаунта) и никога по-дълго, отколкото домейнът е в акаунта.

7.5 Правно основание и източник

Правното основание е чл. 6(1)(f) ОРЗД. Законният интерес се състои в това да покажем на операторите на уебсайтове и на техните доставчици на услуги слабостите на формулярите им, преди те да бъдат използвани за спам или злоупотреби, в интереса на лицето, поискало проверка, от този резултат, а в случая на проучването – в изготвянето на заключение за състоянието на защитата на формулярите. Данните произхождат от публично достъпни източници, а именно от самия проверен уебсайт. Получатели са лицето, започнало проверката, и всеки, на когото то даде връзката към отчета, а при проверка на потенциален клиент – агенцията; от проучване публикуваме само обобщени данни. Ако клиент проверява в своя акаунт домейн, който е потвърдил, действаме от негово име (раздел 2); докато липсва потвърждение, ние сме администратор. Публикуваме тази информация тук и на страницата за FormExposedBot, вместо да пишем поотделно на всяко видимо лице; това би било невъзможно или несъразмерно, особено тъй като за тези лица знаем само това, което е на страницата (чл. 14(5)(b) ОРЗД).

Възражение и изключване: Като оператор на уебсайт можете да изключите по-нататъшни проверки на домейна си чрез robots.txt или чрез нашата страница за отказ (opt-out) (раздел 19). Лицата, които се виждат на проверена страница, могат да възразят срещу обработването съгласно раздел 27 и да поискат изтриване на отчет или екранна снимка.

8. Вашият клиентски акаунт

За клиенти и поканени членове на екипа.

8.1 Регистрация и акаунт

За акаунта обработваме вашия имейл адрес и вашата парола (само като хеш; самата парола не знаем), както и вашето собствено име и – доколкото ги посочите – фамилия и фирма, а също език, тема, валута, план, часовете на регистрация и последно влизане и IP адреса при последното влизане. Потвърждавате имейл адреса си чрез връзка, валидна 72 часа; акаунти, които никога не са потвърдени, изтриваме след 30 дни. Ако промените имейл адреса си, новият важи едва след потвърждение чрез изпратена до него връзка.

Правно основание: чл. 6(1)(b) ОРЗД (договор); за IP адреса при последното влизане – чл. 6(1)(f) ОРЗД (защита на вашия акаунт, раздел 8.2). Изискване: имейл адресът, собственото име и паролата са необходими за сключване на договор; адреса за фактуриране и идентификационния номер по ДДС предоставяте само за платени планове, на Stripe (раздел 18).

8.2 Влизане и сигурност

• опити за влизане с имейл адрес, IP адрес и резултат: 7 дни, срещу отгатване на пароли; освен това броячи на опитите за влизане на акаунт (при непознат адрес – на въведен адрес), на акаунт и IP адрес и на IP адрес, на опитите за двуфакторно влизане и потвърждения на паролата на акаунт, на имейлите за нулиране на парола на имейл адрес, на регистрациите на IP адрес и на опитите за паролата на клиентски портал на портал и IP адрес, които съхраняваме само под псевдонимизиран ключ (HMAC), без имейл или IP адрес в чист текст, и които изтичат заедно с времевия си прозорец (понастоящем 15 минути, един час за нулиране на парола и регистрации);
• устройства с влизане с IP адрес, браузър, операционна система и вид устройство, за да можете да ги виждате в настройките и да ги излизате от тях: до 90 дни след последното използване;
• ако двуфакторното влизане е включено – тайната за него (криптирана) и вашите кодове за възстановяване (само като хеш);
• връзките за нулиране на паролата са валидни един час;
• дневник на дейността за важни действия, например „домейн създаден“, „известие настроено“ или „настройки променени“, с час, действащ акаунт, IP адрес и държава: 365 дни.

Правно основание: чл. 6(1)(f) ОРЗД; нашият законен интерес е защитата на вашия акаунт и на услугата и проследимостта на промените в работно пространство, в което работят няколко души.

8.3 Запис за сключването на договора

При регистрация записваме с коя версия на Условията за ползване и на Договора за обработване на лични данни сте се съгласили и с коя версия на тази Политика за поверителност сте се запознали – във всеки случай с пълния текст, неговия хеш, часа, IP адреса и идентификатора на браузъра. Това служи като доказателство за сключването на договора (чл. 6(1)(b) и (f) ОРЗД). Пазим този запис, докато съществува акаунтът. След изтриване на акаунта го изтриваме, щом съгласието навърши четири години, тъй като въпросите относно сключването на договора възникват именно след прекратяването му.

8.4 Работни пространства, екип и покани

Акаунтът работи в едно или повече работни пространства. Ако поканите някого, изпращаме на това лице имейл с името на работното пространство (по подразбиране името на вашата фирма или собственото ви име) и връзка за приемане; за поканата съхраняваме също предвидената роля и кой е изпратил поканата. Членовете на работно пространство виждат кой принадлежи към него и в каква роля. Ако сте поканено лице, получихме имейл адреса ви от члена, който ви е поканил (чл. 14(2)(f) ОРЗД). Изтриваме неприетите покани, когато изтекат след 14 дни, а приетите – 30 дни след приемането. На наблюдаван формуляр може да бъде определено отговорно лице от екипа и срок за отстраняване; за целта съхраняваме само причисляването към акаунта и срока. Правно основание: чл. 6(1)(b) ОРЗД по отношение на клиента; по отношение на поканеното лице чл. 6(1)(f) ОРЗД (клиентът иска да работи с това лице).

8.5 Помощ от нашата поддръжка

За да ви помогне с проблем, нашата поддръжка може да види акаунта ви така, както го виждате вие. Всеки такъв достъп се записва в дневника на дейността и се появява в експорта на вашите данни. Правно основание: чл. 6(1)(b) ОРЗД, ако сте поискали помощ, в противен случай чл. 6(1)(f) ОРЗД (отстраняване на неизправности).

8.6 Експорт и изтриване

В „Настройки“ можете да изтеглите съхранените за вашия акаунт данни като JSON файл – без хешове на пароли и тайни и без данните на други членове. Този файл не съдържа резултати от проверки, констатации и инциденти (само опитите за доставка при ескалация за всяка дестинация на известия); те са достъпни като отчети в акаунта и като файл при поискване. Там можете и сами да изтриете акаунта си; не е необходим имейл. Текущ платен абонамент приключва незабавно, по правило без възстановяване на суми (изключенията са посочени в Условията за ползване); който иска първо да използва платения период, прекратява в раздел „Фактуриране“ с действие от края на периода. Ако договорът за вашия акаунт приключи по друг начин, например чрез прекратяване от наша страна, можете да експортирате данните си до края на договора, а ние изтриваме акаунта не по-късно от 30 дни след края на договора. Заедно с акаунта незабавно изтриваме вашите работни пространства с прикачените към тях данни, включително домейни, резултати от проверки и екранни снимки, известия, инциденти, дневници с доказателства, брандиране, клиентски портали заедно с абонатите, списъка с вашите проверки на потенциални клиенти (отчетите им остават достъпни до изтичането на 90-те дни), API ключове, кодове за внедряване и тестови данни за вход. Ако някой друг все още работи в едно от вашите работни пространства, то преминава към друг член – първо към администраторите, а сред тях към най-дълго участващия – вместо да бъде изтрито. До изтичането на собствения им срок на съхранение остават: дневникът на дейността и дневникът на посещенията на страници с номера на бившия ви акаунт, изпратените имейли (30 дни, раздел 11), записът за сключването на договора (8.3), заявките към поддръжката (раздел 17), данните от фактурите, докато това изисква данъчното законодателство, данните за комисионни и използваните кодове за активиране, за които понастоящем няма срок на съхранение (раздел 18), и резервните копия (3.4).

9. Домейни, проверки и наблюдение

За клиенти. Доколкото са засегнати лични данни на трети лица, действаме от името на клиента.

9.1 Домейни и потвърждение

За всеки домейн във вашия акаунт съхраняваме името, доказателството за вашето право (DNS запис, мета таг, файл или плъгин), резултатите от проверките и вашите настройки, например честота, прозорец за поддръжка, бележки, етикет на клиента и прогнозната стойност на едно запитване. Честотата зависи от вашия план и достига до ежедневни проверки.

9.2 Наблюдение на публично достъпна информация

Между проверките извличаме публично достъпна информация за вашия домейн:

• DNS записи (SPF, DMARC, MX), TLS сертификата и заглавките за сигурност;
• датата на изтичане на домейна чрез услугата RDAP на компетентния регистър; предава се само името на домейна;
• достъпността на страниците с формуляри (пулс на формулярите, на всеки 10, 15 или 30 минути в зависимост от плана);
• публичните страници за състоянието на услугите за CAPTCHA и поща, които използва вашият уебсайт; при това не предаваме нищо за вас;
• известни уязвимости в сигурността на плъгини за формуляри, CAPTCHA и поща и – ежеседмично за потвърдени домейни – в CMS, плъгините и темата, чиито версии прочитаме отвън от началната ви страница. Сравнението се извършва с отворената база данни WPVulnerability; предава се само идентификаторът на плъгин или тема (без версия) и версията на WordPress, но не и вашият домейн;
• ежедневно – дали адресите на вашия уеб сървър, адресът на сървъра, от който е дошъл последният ви имейл от формуляр (от проверката на доставката), или вашият домейн и домейнът на подателя на този имейл са включени в DNS черни списъци за спам (SpamCop, PSBL, Mailspike, SURBL); запитват се само домейни и IP адреси на сървъри, без данни на посетители;
• ако е настроено – дали Google Web Risk включва началната ви страница като страница със зловреден софтуер или фишинг; предава се само адресът на началната страница;
• ежеседмично за потвърдени домейни – дали са открити файлове, които никога не би трябвало да са публични (например резервно копие на конфигурацията или дъмп на база данни). При това прочитаме най-много първите 8 KB от файла, за да го разпознаем, и съхраняваме само пътя, вида и сериозността на констатацията, никога съдържанието.

9.3 Пътища на формулярите и проверки в браузъра

За наблюдаваните формуляри съхраняваме адресите на формулярите, селектори, предходни щраквания и синтетични стъпки на проверката, избора на браузър за проверка, както и отговорността и крайния срок. Проверките в браузъра попълват формуляр най-много до момента преди изпращането; те не изпращат нищо и не задействат поръчки или плащания. Резултатите обхващат статус, технически категории грешки, почистени съобщения за грешки и времена и може да включват малко изображение на формуляра, в което полетата за въвеждане са маскирани. Това маскиране съществува само при проверките в браузъра; екранните снимки от пълната проверка с робота не са заличени (раздел 7.1). Измерванията от нашите браузъри за проверка не са измервания на вашите посетители.

Предвидена е, но понастоящем не е настроена втора, независима сонда, която потвърждава резултатите. Тя би получавала само домейна, почистената конфигурация и идентификатора на задачата, никога данни за вход, екранни снимки или данни на посетители; ще посочим нейния оператор предварително в списъка с подизпълнители.

9.4 Проверка зад вход

В платените планове собствениците и администраторите на работно пространство могат да съхранят тестов акаунт за собствения си уебсайт за потвърден домейн, така че роботът да може да прочита формулярите зад входа. Прилага се следното:

• Потребителското име и паролата се криптират на уеб сървъра с ключ, който може да отвори само сървърът за сканиране; уеб сървърът, базата данни и резервните копия ги съдържат само в криптиран вид. Те никога не се показват, не се записват в дневници и не се извеждат чрез интерфейса; потребителският интерфейс показва само първия знак и дължината на потребителското име. Криптираното копие, прикачено към задача за проверка, се изчиства след изпълнението, най-късно след един час.
• Тестовият акаунт се използва само от пълната проверка с робота, не и от проверките в браузъра (9.3).
• Зад входа роботът прочита не повече от пет посочени страници. Той не изпраща нищо, не прави екранни снимки там (там може да се показват данни на акаунта) и не следва връзки за излизане, изтриване или прекратяване.
• Ако изтриете данните за вход, презаписваме криптираната стойност и я премахваме; тя изчезва и заедно с домейна.

Използвайте само тестов акаунт, създаден специално за тази цел и несъдържащ реални данни на клиенти. Това, което роботът вижда зад входа, обработваме от ваше име.

9.5 Други функции

Опис на скриптовете: Ако го включите, водим списък на скриптовете на страниците с формуляри с адрес и контролна сума, съобщаваме за нови или променени и при одобрение на скрипт съхраняваме кой го е одобрил, кога и с каква обосновка. Достъпност: Въз основа на последната проверка услугата може да генерира проект на информация за достъпността на вашите формуляри; данните за фирмата, които въвеждате за целта, остават във вашия браузър. Сравнителни показатели: За сравнение в рамките на отрасъла оценяваме резултатите на всички клиенти само в обобщен вид; отделни уебсайтове не фигурират в него.

Правно основание за раздел 9: чл. 6(1)(b) ОРЗД; за лични данни на трети лица, които стават видими при проверка – вашите указания съгласно Договора за обработване на лични данни. Срок на съхранение: домейн, потвърждение, настройки, пътища на формулярите и тестови данни за вход – докато не изтриете тях, домейна или акаунта си; описът на скриптовете и промените в него – докато не изтриете домейна или акаунта си (за тях няма отделен срок на съхранение); резултати от проверки, резултати от проверките в браузъра и времена – не повече от 13 месеца (последната проверка се пази, докато домейнът е в акаунта).

10. Известия

За клиенти и въведените от тях получатели.

Изпращаме известия и отчети до настроените от вас дестинации: имейл адреси, ваши собствени адреси за уебкуки, Slack, Discord, Microsoft Teams, Google Chat или Telegram. Чат каналите и уебкуките са налични в плановете Pro и Business. Съобщението съдържа домейна, събитието, кратко описание и връзка към вашия акаунт, а при известия за проверки – връзката към отчета, чрез която резултатите и екранните снимки са достъпни без влизане (Telegram получава само връзката към страницата на домейна във вашия акаунт, която изисква влизане); без съдържание от имейли от формуляри. Съхраняваме:

• дестинациите (имейл адрес, адрес на уебкука или чата; за уебкуки – тайна за подписване), докато не ги изтриете или не изтриете домейна;
• дневник на изпращанията с час, събитие и резултат: 90 дни;
• събраните известия за дневни и седмични отчети: до 30 дни след изпращането;
• инциденти с връзка за потвърждение: докато не са разрешени, след това 180 дни след разрешаването. Който потвърди инцидент, се записва с въведеното име или имейл адреса си. Непотвърдените инциденти могат да бъдат ескалирани към други дестинации; за целта съхраняваме за всяка дестинация броя и часовете на опитите за доставка (най-много пет), дали доставката е успешна и евентуалната грешка, докато съществува инцидентът. Инцидентът се затваря едва когато проблемът е разрешен; самото потвърждаване не го прекратява.

Telegram: За Telegram поддържаме собствен бот. Свързвате го чрез връзка с еднократен код, валиден 30 минути; когато натиснете „Start“ в бота, нашият сървър извлича това съобщение от Telegram и съхранява идентификатора на вашия чат (chat ID) като дестинация за известия. При това Telegram предоставя и вашето име в Telegram; ние не го съхраняваме. Самия код изтриваме най-рано след един ден, щом бъде създаден друг код. Chat ID се пази, докато не изтриете известието или домейна.

Чат услугите обработват съобщенията съгласно собствените си условия и вашия договор с тях; някои са установени извън ЕС (раздел 22). За получатели, които сами не са клиенти, действаме от ваше име; моля, информирайте ги.

Правно основание: чл. 6(1)(b) ОРЗД; за получатели, които не са клиенти – вашите указания. Изискване: без дестинация няма известие; проверките въпреки това се извършват.

11. Имейли от нас

За клиенти и всички, на които пишем.

Изпращаме имейли за потвърждаване на адреса ви, за нулиране на паролата, за покани, известия и отчети, като потвърждение за получени заявки към поддръжката и с уведомления относно акаунта и фактурирането ви. Изпращането и получаването на нашите имейли се извършва от Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Нашият домейн и неговите DNS записи се управляват от Namecheap, Inc., Финикс, Аризона, САЩ; докато пощенската кутия при Namecheap, Inc. (Private Email), Phoenix, Arizona, USA не бъде настроена, Namecheap също така препраща общите имейли до адреси на нашия домейн. Контролните копия от проверката на доставката не преминават през него. Пазим изпратените имейли, включително получател, тема и съдържание, 30 дни, за да можем да решаваме проблеми с доставката; не по-дълго, тъй като те съдържат и валидни връзки за потвърждение и нулиране.

Три имейла се изпращат без изричното ви искане:

• Месечен отчет: в началото на месеца – преглед на проверките и известията за вашите домейни. Можете да се отпишете от него в настройките.
• Напомняне за настройка: еднократен имейл между два и четиринадесет дни след регистрацията, ако акаунтът ви е потвърден, но все още няма потвърден домейн – „Добавете уебсайт“ или „Потвърдете домейна“, без оферта, цена или надграждане. Той не се изпраща повторно.
• Край на пробния период: три дни преди края на пробния период – уведомление какво следва след това.

Правно основание: чл. 6(1)(b) ОРЗД за имейлите, които са част от договора, включително месечния отчет и уведомлението за пробния период; за напомнянето за настройка чл. 6(1)(f) ОРЗД, тъй като акаунт без домейн не може да използва услугата и много клиенти просто забравят да го настроят. Не изпращаме реклама.

12. Значка и дневник с доказателства

За клиенти, които използват значката или дневника с доказателства, и за посетители на уебсайтове със значка.

Значка: Ако вградите нашата значка в уебсайта си, браузърът на всеки посетител на тази страница зарежда изображението на значката от нашия сървър. При това получаваме обичайните данни за връзката – IP адрес, час, идентификатор на браузъра и страницата, на която се показва значката – които попадат само в дневника на уеб сървъра (14 дни, раздел 3.1), не и в дневника на посещенията на страници. Значката не задава бисквитки, не стартира сесия и не съдържа скрипт. Публичната страница за потвърждение показва домейна, нивото и датата на последната проверка, без отделни констатации; всеки, който я отвори, е посетител на нашия уебсайт (раздели 3 и 4). Правното основание е чл. 6(1)(f) ОРЗД; нашият законен интерес е доставянето на значката, която клиентът вгражда. Клиентът посочва това в собствената си политика за поверителност (текстови блокове).

Дневник с доказателства: В платените планове можете да генерирате дневник на проверките за всеки домейн и всеки месец. Под неговия номер за проверка публична страница потвърждава домейна, периода и основните показатели, без подробности. За да може по-късно да се установи дали дневникът е бил променян, го подписваме от доставчик на услуги по удостоверяване на време. На него предаваме само хеш на дневника, от който не може да се възстанови съдържание; понастоящем това са Certum (Asseco Data Systems S.A., Полша) и като резервен вариант DigiCert, Inc. (САЩ). Дневниците се пазят, докато не изтриете домейна. Правното основание е чл. 6(1)(b) ОРЗД.

13. Плъгин за WordPress и разширение за TYPO3

За клиенти, които използват плъгина или разширението, и за посетителите на техните уебсайтове.

13.1 Какво остава на уебсайта на клиента

Нашият плъгин за WordPress и нашето разширение за TYPO3 работят на сървъра на клиента. Това, което плъгинът за WordPress съхранява там, остава на този уебсайт; ние нямаме достъп до него, а администратор е неговият оператор:

• Карантина: изпращания, които защитният слой задържа като спам, включително съдържанието на полетата и адреса за отговор, до 14 дни, така че погрешно задържано съобщение да може да бъде доставено с едно щракване;
• Предпазна мрежа: копия на имейли от формуляри, които не са могли да бъдат изпратени (получател, тема, текст и заглавни редове като адреса за отговор; прикачените файлове само по име), до 30 дни, така че да могат да бъдат изпратени отново;
• Изчислителна задача: браузърът на посетителя решава малка задача, поставена от самия уебсайт; без бисквитка, без услуга на трета страна;
• Срок на съхранение: при поискване плъгинът изтрива съхранените запитвания на определени плъгини за формуляри след 90, 180 или 365 дни;
• Броене във формулярите (изключено по подразбиране): прегледи, започвания, грешки при валидиране и опити за изпращане на формуляр и, ако е включено отделно, категории грешки по позиция на полето – без въведени данни, имена на полета, бисквитки или постоянни идентификатори на посетители, не повече от 14 дни на уебсайта. Извлечен от IP адреса идентификатор за ограничаване на заявките изтича след една минута и не се изпраща до нас;
• Помощ за посетители (може да се включи отделно): след грешка при изпращане уведомление води обратно към формуляра, който все още е отворен, и по желание посочва имейл адрес; тя не прочита въведени данни, не съхранява чернови и не изпраща нищо повторно самостоятелно;
• новите правила срещу спам могат да броят локално в продължение на седем дни, без да задържат нищо.

Самият плъгин за WordPress добавя подходящи параграфи в ръководството за политика за поверителност на WordPress; допълнителни текстове има в Текст за политиката за поверителност на вашия уебсайт. Разширението за TYPO3 не съхранява съдържание от формуляри; то добавя мета таг към всяка страница за потвърждаване на домейна и брои.

13.2 Рекордер

С рекордера влязъл администратор на WordPress записва пътя до формуляр на собствения си уебсайт. Той съхранява технически селектори и стъпки на навигация в сесийното хранилище на браузъра си за не повече от 15 минути и прехвърля избраната конфигурация към свързания акаунт. Той не прочита въведени данни. Рекордерът никога не се зарежда за посетители.

13.3 Какво се изпраща до нас

Плъгинът и разширението ни предават – в зависимост от функцията и, с изключение на проверката на собствения уебсайт без акаунт, само докато уебсайтът е свързан с акаунт:

• името на хоста, публичен ключ и тайна, с които уебсайтът се идентифицира, версиите на плъгина и CMS, както и езика;
• дневни данни: блокирани изпращания по причина, приети изпращания, изпратени и неуспешни имейли с вида на грешката, данни за отговорите на reCAPTCHA и за автоматично изтритите запитвания; ако броенето е включено – неговите дневни данни;
• характеристики на настройките на формулярите като числа, например колко формуляра използват адреса на посетителя като подател, и версиите на определени плъгини за формуляри, CAPTCHA и поща от фиксиран списък;
• актуализации, активирания и деактивирания на плъгини, теми и CMS с имена и версии, режим на поддръжка и неуспешно изпращане на имейл от формуляр (само вида на грешката);
• конфигурацията на път на формуляр, избрана с рекордера;
• за роевата защита (включена по подразбиране) – домейните на връзките в блокираните съобщения. Съобщенията от много уебсайтове формират списък на спам домейни, който всички свързани плъгини извличат. За целта не предаваме IP адреси или мрежи на подателите.

Плъгинът и разширението не предават друго съдържание от формуляри освен тези домейни от връзки, нито имейл адреси, имена или IP адреси на посетители. Изтриваме дневните данни и отчетите за промени след 13 месеца, сигналите на роевата защита – след 30 дни; информацията от уебсайт, който не принадлежи към домейн в акаунт – след 90 дни без контакт.

Правно основание: чл. 6(1)(b) ОРЗД; за роевата защита чл. 6(1)(f) ОРЗД (съвместна защита срещу спам в много уебсайтове). Тази информация представлява лични данни само по изключение, например ако името на хоста съдържа името на лице.

14. Функции за агенции

За агенции и за хората, които влизат в контакт с техните портали и отчети.

• Клиентски портал: Агенцията може да предостави на своите клиенти достъп до портал с резултатите за техните домейни. Който се абонира там за месечния отчет, предоставя имейл адреса си и го потвърждава чрез връзка (двойно потвърждение). Съхраняваме адреса, езика, часа и IP адреса на абонирането, часа на потвърждението и месеца на последното изпращане. Изтриваме непотвърдените абонаменти след 30 дни. Отписването е възможно по всяко време чрез връзката във всеки имейл; след това пазим записа за абонамента още три години, но не по-дълго от изтриването на работното пространство на агенцията; ако агенцията само оттегли портала, абонатите остават съхранени. Порталът и отчетите се показват под името на агенцията; администратор е агенцията, а ние действаме от нейно име. Правното основание на агенцията е съгласието на абоната.
• Собствено брандиране: името на фирмата, уебсайтът, данните за контакт, цветовете и логото, които агенцията съхранява, се показват в нейните отчети и в портала, докато тя не ги промени или изтрие.
• Собствен домейн: В плана Business агенцията може да показва портала и отчетите под собствен поддомейн. За целта проверяваме ежедневно нейните DNS записи. Понастоящем функцията не е активирана.
• Проверка на потенциален клиент: Агенцията може да поиска проверка на уебсайта на потенциален клиент без тестово изпращане (раздел 7). Тя сама предава връзката към кратките констатации; ние не пишем на никого. Изтриваме проверката след 90 дни. Единствено агенцията носи отговорност за контакта с потенциалния клиент.
• API ключове и кодове за внедряване: Съхраняваме ги само като хеш с кратък префикс, заедно с етикета им, часа на последното използване (API ключове) или броя на използванията (кодове за внедряване) и броя на извикванията в минута (за поне един ден; изтриват се при по-късни извиквания).

Правно основание: чл. 6(1)(b) ОРЗД по отношение на агенцията; за абонатите и потенциалните клиенти вижте по-горе.

15. Проверка на доставката

За клиенти, които я включват, и за посетителите на техните уебсайтове. По отношение на данните на посетителите ние сме обработващ лични данни на клиента.

Незадължителната проверка на доставката отговаря на въпроса дали имейлът от формуляр за контакт наистина се изпраща. За целта клиентът въвежда един от нашите контролни адреси като скрито копие (BCC) в настройките за поща на своя формуляр. В резултат получаваме не само нашето собствено тестово изпращане, но и копие на всеки имейл от формуляра – включително истински запитвания от неговите посетители с техните имена, адреси и съобщения.

Какво правим с тях, и само това: автоматично извличане прочита заглавките и най-много първите 8 KB от текста, причислява имейла чрез контролния адрес към домейн и, когато е приложимо, към тестово изпращане и проверява признаците за автентичност SPF, DKIM и DMARC. След успешна обработка имейлът се изтрива. Ако извличането или изтриването не успее, имейлът може да остане в пощенската кутия до следващото успешно изпълнение; пощенската кутия се хоства от нашия доставчик на пощенски услуги (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Копията се оценяват само автоматично.

В нашата база данни съхраняваме само часа, причисляването към домейна и, когато е приложимо, идентификатора на тестовото изпращане – 180 дни, както и техническия резултат за автентичност (SPF, DKIM, DMARC) на последния получен имейл, докато следващият имейл не го замени или домейнът не бъде изтрит. Този резултат за автентичност включва IP адреса на изпращащия сървър и имейл домейна на подателя; този домейн се посочва в известие до клиента само ако не принадлежи на уебсайта. Ако формулярът въвежда адреса на посетителя като подател, това е домейнът на имейл доставчика на посетителя. Не съхраняваме съдържанието на имейлите, нито пълните адреси на подателите. Ако в рамките на няколко часа след тестово изпращане не пристигне копие, съобщаваме това на клиента.

Получаването доказва само, че причисленото копие е пристигнало в нашата контролна пощенска кутия – не и получаване от действителния получател, нито запис в CRM. Формуляри, през които преминават специални категории лични данни (например информация за здравословното състояние), не следва да се свързват с проверката на доставката. Клиентът информира своите посетители за този поток от данни; текст за целта има в Текст за политиката за поверителност на вашия уебсайт. Без настроена контролна пощенска кутия проверката не е налична.

Правно основание: за клиента обикновено чл. 6(1)(f) ОРЗД (надеждно получаване на запитвания); ние обработваме по негови указания (чл. 28 ОРЗД).

16. Езиков модел на собствения ни сървър и „Fix it for me“

За клиенти и потребители на безплатната проверка.

Езиков модел работи на нашия собствен сървър за сканиране, а не при доставчик на ИИ. Той помага за класифицирането на формуляри (раздел 7) и с „Fix it for me“ вмъква защита в кода на формуляр, който поставите. Поставеният код се обработва само за тази заявка, не се съхранява и не се използва за обучение; в дневника на дейността записваме само, че функцията е използвана, с езика за програмиране, дължината на кода и резултата (също за дневната квота). Моля, не поставяйте данни за вход или лични данни. „Fix it for me“ работи без достъп до вашия уебсайт; вие сами вмъквате кода. Повече в Акта на ЕС за ИИ: как formexposed използва ИИ. Правно основание: чл. 6(1)(b) ОРЗД.

17. Поддръжка, контакт и съобщения за уязвимости в сигурността

За всички, които ни пишат.

Ако ни пишете чрез прозореца за поддръжка или страницата за контакт, обработваме вашия имейл адрес, съобщението ви, избраната тема, страницата, от която пишете, езика, вашия IP адрес, неговата държава, идентификатора на браузъра и – ако сте влезли – номера на акаунта ви, за да отговорим на запитването ви и да предотвратим злоупотреби с формуляра. Получавате потвърждение по имейл на посочения от вас адрес; ако сте влезли, то възпроизвежда началото на съобщението ви (до 2000 знака), в противен случай не съдържа вашия текст. Както всеки изпратен имейл, то се пази 30 дни (раздел 11). Сигнал в Telegram, който не съдържа съдържание и информация за вас, ни уведомява за нови запитвания. Ако ни изпратите имейл, обработваме адреса и съобщението ви. По същия начин обработваме и съобщенията за уязвимости в сигурността. Изтриваме запитванията 24 месеца след получаването им, дори ако изтриете акаунта си по-рано; те документират какво е било попитано и какво е отговорено.

Правно основание: чл. 6(1)(b) ОРЗД, ако запитването се отнася до договор с нас, в противен случай чл. 6(1)(f) ОРЗД (отговор, предотвратяване на злоупотреби, доказателства). Изискване: без имейл адрес не можем да отговорим.

18. Плащания, пробен период и партньорска програма

За клиенти с платен план и за партньори.

Фактурираме платените планове чрез Stripe. Доставчик е Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ирландия. Въвеждате данните си за плащане директно при Stripe; ние не ги виждаме. Stripe получава вашия имейл адрес и вашето име, при плащането – адреса ви за фактуриране и, когато е приложимо, идентификационния ви номер по ДДС, и издава фактурите. Ние съхраняваме само идентификаторите на клиента и абонамента в Stripe, плана, статуса, края на периода на фактуриране и идентификаторите и видовете събития, които Stripe ни съобщава.

Можете да започнете пробен период без карта; без платежно средство той приключва автоматично. Ако хостинг доставчик или партньор ви е дал код за активиране, съхраняваме кой акаунт го е използвал и кога, както и до кога важи планът.

Stripe обработва данни и като самостоятелен администратор, например за предотвратяване на измами и за изпълнение на законови задължения, и може да ги предава на Stripe, Inc. в САЩ (раздел 22). Повече за това в политиката за поверителност на Stripe.

Партньорска програма: Програмата е разработена, но понастоящем не е активирана. Ако бъде активирана, се прилага следното: всеки акаунт има код за препоръка. Всеки, който се регистрира чрез връзка за препоръка, се причислява към партньора за ограничен брой месеци; съхраняваме причисляването и неговия час, а за всяка платена фактура – нетната сума и комисионната. Партньорът вижда само числа – колко акаунта са се регистрирали, колко плащат и общата сума на комисионните му – без имена и без адреси. Прилагат се Условията за партньори. Понастоящем пазим данните на партньорите, причисляванията и комисионните без определен срок на съхранение, както и информацията за използваните кодове за активиране; ще определим срок за изтриване и ще го посочим тук.

Правно основание: чл. 6(1)(b) ОРЗД; за съхраняването на данните от фактурите и, когато това се изисква за данъчни цели, на данните за комисионни – чл. 6(1)(c) ОРЗД; за причисляването към партньор – чл. 6(1)(f) ОРЗД (уреждане на комисионната). Пазим данните от фактурите, докато това изисква данъчното законодателство; съгласно полското право (чл. 86 във връзка с чл. 70 от полския Данъчен кодекс, Ordynacja podatkowa) по правило до изтичането на пет години от края на календарната година, в която данъкът е станал изискуем. Изискване: без данни за плащане няма платен план; безплатният план остава на разположение.

19. Изключване на домейн (opt-out)

За оператори на уебсайтове, които не искат да бъдат проверявани от нас.

Чрез страницата за отказ (opt-out) можете да изключите домейн от по-нататъшни проверки. Изключването се отнася до домейна и неговия вариант с www, не и до други поддомейни, и важи и спрямо плащащи клиенти, които са потвърдили домейна; текущото наблюдение приключва със следващата планирана проверка. Само ние можем да го отменим – при поискване и при доказателство, че контролирате домейна. Съхраняваме домейна, доброволно посочената причина, вашия IP адрес, неговата държава и идентификатора на браузъра. Изтриваме IP адреса, държавата и идентификатора на браузъра след 12 месеца; самото изключване остава завинаги, тъй като в противен случай домейнът би бил проверен отново. Тази информация ни е необходима, за да изпълним желанието ви трайно и да разпознаем дали някой изключва злонамерено чужди домейни. Правно основание: чл. 6(1)(f) ОРЗД; нашият законен интерес е трайното изпълнение на вашето желание и разпознаването на злоупотреби с формуляра. Ако желаете изключването да се счита за възражение по чл. 21 ОРЗД, го изпълняваме по този начин.

20. За посетителите на уебсайтовете на нашите клиенти

За хора, които посещават уебсайт или изпращат формуляр в него, чийто оператор използва formexposed.

Администратор за този уебсайт е неговият оператор, а не ние. Операторът решава кои функции да използва и трябва да ви информира за тях в собствената си политика за поверителност. До нас може да достигне следното:

• Значка: данните за връзката на вашия браузър при зареждане на изображението, 14 дни в дневника на уеб сървъра, без бисквитка; тук ние сме администратор за доставянето на изображението (раздел 12).
• Проверка на доставката: копие на вашия имейл от формуляра, което се оценява автоматично и се изтрива; ние сме обработващ лични данни (раздел 15).
• Плъгин за WordPress и разширение за TYPO3: дневни данни без връзка с вас и, за роевата защита, домейните на връзки от блокирани съобщения; карантината и предпазната мрежа остават на уебсайта (раздел 13).
• Клиентски портал: вашият имейл адрес, ако се абонирате там за отчет; ние сме обработващ лични данни на агенцията (раздел 14).
• Защита на формулярите (formconfirmed): ако операторът я използва, при отваряне на страницата браузърът ви извлича задача от нашия сървър и я решава във фонов режим; при изпращането сървърът на оператора ни възлага да проверим резултата. Обработват се вашият IP адрес (съхраняван само съкратен и като хеш стойност, най-много един час; в дневника на уеб сървъра, както при всяка заявка, 14 дни), адресът на страницата, времето за попълване, дали е попълнено невидимо поле и – само ако операторът включи проверката на съдържанието – текстът на вашето съобщение, който езиков модел на нашия собствен сървър оценява в оперативната памет и не съхранява. Без бисквитки, без съхранение в браузъра, без цифров отпечатък. Ние сме обработващ лични данни на оператора (Споразумение за обработване на данни, Приложение 1, т. 10).

Най-добре е да упражните правата си пред оператора на уебсайта; той познава контекста и може да ни даде указания. Ако се обърнете към нас, препращаме искането ви на оператора или го разглеждаме сами, доколкото сме администратор. Какво можем и какво не можем да открием при това, е посочено в Достъп, изтриване и другите Ви права.

21. Получатели

Предаваме лични данни само когато това е посочено в тази политика. Не продаваме, не отдаваме под наем и не разменяме данни. Категории получатели:

Получател (седалище)	Категория	За какво
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	обработващ лични данни; мястото на обработване предстои да бъде проверено	изпращане и получаване на нашите имейли; контролна пощенска кутия на проверката на доставката
Namecheap, Inc. (САЩ)	обработващ лични данни	домейн, DNS; докато пощенската кутия не бъде настроена – препращане на общи имейли до нашия домейн (не и на контролните копия от проверката на доставката)
Stripe Payments Europe, Ltd. (Ирландия), Stripe, Inc. (САЩ)	в голяма степен самостоятелен администратор; все още проучваме точното разпределение на ролите	плащания и фактури
Google Ireland Ltd., Google LLC (САЩ)	самостоятелен администратор	reCAPTCHA
Telegram (извън ЕИП)	дестинация, избрана от клиента; изпращаме съобщението чрез нашия бот. За нас също канал за уведомления	известия, ако изберете Telegram; оперативни сигнали без лични данни
Slack, Discord, Microsoft (Teams), Google (Chat), вашите уебкуки (отчасти САЩ)	дестинации, избрани от клиента	известия
Обществеността	–	връзки към отчети, страници за потвърждение, резултати от проучването (само обобщени)
Членовете на вашето работно пространство	потребители на същия акаунт	сътрудничество, според ролята
Органи, съдилища, CERT Polska, консултанти	самостоятелни администратори	само при законово задължение, за установяване, упражняване или защита на правни претенции и при злоупотреба с нашата услуга или атаки срещу трети лица (чл. 6(1)(c) или (f) ОРЗД)

Следните не получават лични данни: услугите RDAP на регистрите, открити чрез директорията на IANA, и за възрастта на домейна при безплатната проверка – препращащата услуга rdap.org (само имена на домейни), WPVulnerability на wpvulnerability.net (само идентификаторът на плъгин без версия, идентификаторът на тема или версията на WordPress), страниците за състоянието на услугите за CAPTCHA и поща (нищо освен самата заявка), доставчиците на услуги по удостоверяване на време Certum и DigiCert (само хешове), DNS черните списъци SpamCop, PSBL, Mailspike и SURBL (само домейни и IP адреси на сървъри), Google Web Risk, ако е настроен (само адресът на началната страница), и другите свързани плъгини в роевата защита (само спам домейни). Пълният, поддържан списък на нашите обработващи лични данни с тяхното седалище и основание за предаване е достъпен в Подизпълнители; обявяваме промените на клиентите 30 дни предварително.

22. Предаване на трети държави

Ако получател е установен извън Европейското икономическо пространство, предаваме данни само ако са изпълнени условията на чл. 44 и сл. ОРЗД:

• САЩ: въз основа на решението на Европейската комисия относно адекватното ниво на защита в рамките на Рамката за защита на личните данни между ЕС и САЩ (Решение за изпълнение (ЕС) 2023/1795, чл. 45 ОРЗД), доколкото получателят е сертифициран по нея. Дали Google, Stripe и Namecheap са сертифицирани за съответните услуги, все още проверяваме за тази версия и затова не го твърдим; при липса на сертифициране – въз основа на стандартните договорни клаузи на Европейската комисия (Решение за изпълнение (ЕС) 2021/914, чл. 46(2)(c) ОРЗД).
• Нашият доставчик на пощенски услуги: къде Namecheap, Inc. (Private Email), Phoenix, Arizona, USA обработва данните и на какво основание те могат да бъдат предавани на трета държава, все още проверяваме. Актуалното състояние е посочено на страницата Подизпълнители.
• Чат услуги и уебкуки, които избирате сами: Slack, Discord, Microsoft Teams, Google Chat и уебкуките получават вашите известия чрез адрес, който генерирате в акаунта си при съответната услуга; договорното отношение с доставчика и евентуално необходимото основание за предаването на трета държава са ваша отговорност.
• Telegram: дестинация, избрана от клиента; изпращаме съобщението чрез нашия бот. Telegram е установен извън ЕИП в държава без решение относно адекватното ниво на защита и нямаме стандартни договорни клаузи с Telegram. Понастоящем възложихме проверка на това на какво основание по чл. 44 и сл. ОРЗД се основава това предаване – предвид идва чл. 49(1)(b) ОРЗД, тъй като сами избирате канала. Изберете Telegram само ако това е достатъчно за вас; имейлът винаги остава на разположение като алтернатива.

Можете безплатно да получите копие от гаранциите, на които основаваме предаването, при поискване на адреса в раздел 1. Решението относно адекватното ниво на защита и стандартните договорни клаузи можете да намерите и в Официален вестник на ЕС (eur-lex.europa.eu), а списъка на дружествата, сертифицирани по Рамката за защита на личните данни – на dataprivacyframework.gov. Нашите собствени сървъри се намират в Полша; данни, които не получава никой от посочените получатели, не напускат ЕС.

23. Срокове на съхранение накратко

Сроковете на съхранение се прилагат чрез нощен процес, а за дневника на уеб сървъра – чрез ежедневната му ротация. Където е посочено „с домейна“, данните изчезват незабавно, когато изтриете домейна или акаунта си. След това те остават в резервните копия до 14 дни (раздел 3.4).

Данни	Изтриване
Дневник на уеб сървъра (включително заявките за значката)	след 14 дни
Дневник на посещенията на страници	след 60 дни
Дневник на грешките	след 90 дни
Дневник на дейността	след 365 дни
Опити за влизане; ограничения на безплатната проверка и на инструмента за заглавки	след 7 дни
Маркери за подозрително поведение (безплатна проверка)	90 дни след разрешаването на случая
Устройства с влизане	90 дни след последното използване
„Остани влязъл“; никога непотвърдени акаунти; приети покани (неприетите – при изтичането им)	след 30 дни
Отчет без акаунт, включително екранни снимки	след 30 дни
PDF версия на отчет в кеша	след 7 дни
Резултати от инструмента за заглавки; проверка на уебсайт на потенциален клиент	след 90 дни
Проверки за проучване	при публикуване на резултатите му
Резултати от проверки, проверки в браузъра и времена за домейн в акаунта	след 13 месеца (последната проверка – докато домейнът е в акаунта)
Домейн, настройки, пътища на формулярите, дневници с доказателства, дестинации за известия, резултат за автентичност на последния имейл от формуляр	с домейна
Опис на скриптовете и промените в него	с домейна (няма отделен срок на съхранение)
Тестови данни за вход за проверката зад вход	когато ги изтриете, с домейна; копието, прикачено към задачата за проверка – след изпълнението, най-късно след един час
Дневни данни и отчети за промени от плъгина и разширението, броене във формулярите	след 13 месеца
Информация от уебсайт с плъгина, който не принадлежи към акаунт	90 дни след последния контакт
Сигнали на роевата защита; събрани известия за дневни и седмични отчети (от изпращането)	след 30 дни
Броене на API извикванията; еднократни кодове за Telegram	най-рано след един ден, при следващото извикване или код от този вид
Дневник на изпращането на известия	след 90 дни
Причислявания от проверката на доставката; инциденти с потвърждение и опити за доставка при ескалация (неразрешените се пазят)	след 180 дни, инцидентите – от разрешаването им
Копия на имейли от формуляри в контролната пощенска кутия	след обработката; при грешки – със следващото успешно изпълнение
Изпратени имейли	след 30 дни
Заявки към поддръжката	след 24 месеца
Обратна връзка за отчет	след 24 месеца, незабавно с акаунта; контролната сума на IP адреса – след 2 дни
IP адрес, държава и идентификатор на браузъра, свързани с отказ (opt-out)	след 12 месеца (домейнът остава изключен)
Непотвърдени абонаменти за месечния отчет в клиентския портал	след 30 дни
Запис за прекратен абонамент	три години след отписването
Акаунт и лични данни	когато ги изтриете
Запис за сключването на договора	докато съществува акаунтът; след изтриването му – щом съгласието навърши четири години
Данни от фактури	при изтичане на данъчния срок за съхранение
Причислявания и комисионни по партньорската програма; използвани кодове за активиране	понастоящем без определен срок
Пример за вид грешка	понастоящем без определен срок на съхранение
Резервни копия на базата данни	след 14 дни
Защита на формулярите: съкратен, хеширан IP адрес за разпознаване на зачестили заявки; използвани проверочни токени; резултати от проверката без IP адрес и без текст (действие, точкова оценка, причини, домейн); дневни бройки без връзка с лице	след един час; след най-много единадесет минути; след 30 дни; след 400 дни

24. Задължение за предоставяне на данни

Нямате законово задължение да ни предоставяте данни. За акаунт се нуждаем от вашия имейл адрес, собственото ви име и парола; без тях не може да бъде сключен договор. За платените планове се нуждаем от данните за фактуриране, за проверката на доставката – от контролна пощенска кутия, за известията – от дестинация. Цялата останала информация е доброволна. Данните за връзката в дневниците възникват технически при всяка заявка; без тях сървърът не може да отговори. Какво липсва, ако не предоставите нещо, е посочено в раздела за съответното обработване.

25. Автоматизирани решения и профилиране

Не вземаме решения, основани единствено на автоматизирано обработване, които пораждат правни последици за вас или по подобен начин ви засягат в значителна степен (чл. 22 ОРЗД). Не създаваме профили на физически лица. Нашите оценки – ниво на риска, оценка на заглавките, „защитен“ в значката – се отнасят до уебсайтове и формуляри, не до хора.

Въпреки това автоматично работят защитни механизми, които могат да отхвърлят отделни заявки, без човек да ги преглежда: оценката на reCAPTCHA и нашата собствена защита на формулярите (раздел 5), ограниченията и маркерите за безплатната проверка (раздел 6) и блокирането след твърде много опити за влизане (раздел 8.2). Те само предотвратяват отделното изпращане; отхвърленият опит може да бъде повторен по-късно, а за всяко запитване остава на разположение имейлът. Ако смятате, че отхвърлянето е погрешно, пишете ни; човек ще разгледа случая. Освен това автоматично изтриваме акаунти, които не са потвърдени в рамките на 30 дни след регистрацията.

26. Вашите права

Съгласно ОРЗД имате следните права. За всяко от тях посочваме най-бързия начин да го упражните. Ако не е посочено друго, достатъчен е имейл до contact@lukaswojcik.com. Отговаряме без ненужно забавяне и във всеки случай в срок от един месец от получаването; при сложни или многобройни искания срокът може да бъде удължен с два месеца, като в такъв случай ще ви уведомим за това, заедно с причините, в рамките на първия месец (чл. 12(3) ОРЗД). Упражняването на правата ви е безплатно; само при явно неоснователни или прекомерни искания можем да наложим разумна такса или да откажем да предприемем действия по искането, като ще изложим причините за това (чл. 12(5) ОРЗД). За да не разкрием чужди данни, можем да ви помолим да отправите искането от имейл адреса на вашия акаунт; изискваме допълнително доказателство само ако имаме основателни съмнения относно самоличността ви, и само доколкото е необходимо (чл. 12(6) ОРЗД).

• Достъп (чл. 15 ОРЗД): С акаунт изтеглете експорта на данните в „Настройки“; той съдържа данните за акаунта, работното пространство и домейните, вашите влизания, дейности, заявки към поддръжката, изпратени имейли и съгласия. Резултатите от проверките можете да видите като отчети в акаунта. Пълен достъп, включително до данни, които експортът не съдържа (например записи в дневника на грешките или в дневника на уеб сървъра), заедно с информацията по чл. 15(1) ОРЗД можете да получите при поискване по имейл. Без акаунт – например относно отказ (opt-out), заявка към поддръжката или отчет – по имейл, като посочите съответния домейн или адрес и приблизителния час.
• Коригиране (чл. 16): Можете сами да промените името, фирмата, езика и имейл адреса си в „Настройки“, а адреса за фактуриране и идентификационния номер по ДДС – в клиентския портал на Stripe в „Фактуриране“; всичко останало – по имейл.
• Изтриване (чл. 17): Можете сами да изтриете акаунта, домейните, дестинациите за известия и тестовите данни за вход, както и сами да оттеглите API ключове (те се изтриват заедно с акаунта); можете да се отпишете от месечния отчет на клиентски портал чрез връзката във всеки имейл. Изтриване на отчет, екранна снимка или други данни можете да поискате по имейл. Какво трябва да запазим по законови причини, е посочено в раздел 8.6.
• Ограничаване на обработването (чл. 18): по имейл, например ако оспорвате точността на данните и ние ги проверяваме.
• Преносимост на данните (чл. 20): Експортът на данните е машинночетим JSON файл, който можете сами да предоставите на друг доставчик. Повече за смяната на доставчик в Акт за данните на ЕС: смяна на доставчика и експорт на данни.
• Възражение (чл. 21): вижте следващия раздел.
• Оттегляне на съгласие (чл. 7(3)): Не основаваме собственото си обработване на съгласие. Можете да оттеглите съгласието си за месечния отчет на клиентски портал чрез връзката във всеки имейл; оттеглянето има действие занапред.

За данни, които обработваме от името на клиент (раздел 2), ваше лице за контакт е клиентът. Ако все пак ни пишете, препращаме искането ви на клиента и му съдействаме при отговора. Подробни указания с всички начини и ограничения има в Достъп, изтриване и другите Ви права.

27. Право на възражение съгласно чл. 21 ОРЗД

Доколкото обработваме данни въз основа на законни интереси (чл. 6(1)(f) ОРЗД), можете по всяко време да възразите на основания, свързани с вашата конкретна ситуация. Тогава повече няма да обработваме данните, освен ако не докажем убедителни законови основания за обработването, които имат предимство пред вашите интереси, права и свободи, или обработването е за установяването, упражняването или защитата на правни претенции.

Това се отнася по-специално до проверката на уебсайтове от нашия робот (раздел 7), дневниците (раздел 3), reCAPTCHA (раздел 5), ограниченията за безплатната проверка (раздел 6), напомнянето за настройка (раздел 11), значката (раздел 12) и роевата защита (раздел 13).

Възражението не е обвързано с определена форма; достатъчен е имейл до contact@lukaswojcik.com. Като оператор на уебсайт можете също по всяко време сами да изключите по-нататъшни проверки чрез robots.txt или страницата за отказ (opt-out). Не изпращаме реклама по имейл, срещу която би било възможно възражение без посочване на причини.

28. Жалба до надзорен орган

Можете да подадете жалба до надзорен орган по защита на данните, ако смятате, че обработваме данните ви незаконосъобразно (чл. 77 ОРЗД). Компетентният за нас орган е:

Prezes Urzędu Ochrony Danych Osobowych (Председател на Службата за защита на личните данни, UODO)
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Полша
uodo.gov.pl

Можете също да се обърнете към органа на държавата членка, в която живеете или работите или в която е извършено предполагаемото нарушение – в Германия например към органа по защита на данните на вашата федерална провинция. Този орган ще препрати жалбата към компетентния орган, ако е необходимо. С удоволствие ще разрешим даден проблем директно с вас предварително; това не е задължително условие.

29. Сигурност

Всички връзки с нашата услуга са криптирани с TLS; връзките в нашата вътрешна мрежа не са криптирани навсякъде. Съхраняваме пароли, API ключове и кодове за възстановяване само като хешове, а тайните за двуфакторно влизане и тестовите данни за вход – само в криптиран вид. Данните на клиентите са разделени по работни пространства; правата на дадена роля се налагат от сървъра, а не само от потребителския интерфейс. Достъп до сървърите има само собственикът; роботът работи изолирано и няма достъп до адреси във вътрешната мрежа. Пълното описание е достъпно в Технически и организационни мерки. Ако узнаем за нарушение на сигурността на личните данни, уведомяваме надзорния орган и, когато е необходимо, вас в съответствие с чл. 33 и 34 ОРЗД; клиентите, от чието име действаме, информираме без ненужно забавяне, по възможност в рамките на 48 часа.

30. Други документи

Тази политика е обобщението за субектите на данни. Подробности ще намерите в Регистъра на дейностите по обработване, в списъка с подизпълнители, в Техническите и организационните мерки, в Договора за обработване на лични данни, в Оценката на въздействието върху защитата на данните, както и в Достъп, изтриване и другите Ви права, Акта на ЕС за ИИ: как formexposed използва ИИ и Текст за политиката за поверителност на вашия уебсайт.

31. Промени

Актуализираме тази политика, когато услугата или правната уредба се променят, и правим това преди започването на ново обработване. Прилага се публикуваната тук версия; предишните версии и промените са достъпни в Промени в договорните документи. Версията, която сте видели при регистрацията си, е посочена в експорта на вашите данни. Ако настъпи съществена промяна в обработването на вашите данни като клиент, ще ви информираме и по имейл.

Тази политика е достъпна на всички официални езици на Европейския съюз. При несъответствия предимство има полската версия.