Acord d'encàrrec del tractament

Aquest document es publica en diverses llengües. En cas de discrepància entre les versions lingüístiques, la versió polonesa és la vinculant.

Versió 2.2 · Última actualització: 29 d'octubre de 2026

Acord sobre el tractament de dades personals per compte d'un responsable del tractament en virtut de l'art. 28 del Reglament general de protecció de dades (RGPD)

entre el Client de formexposed com a responsable del tractament (el «Client») i LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, NIP (número d'identificació fiscal polonès) 7252266190, com a encarregat del tractament («nosaltres»).

Observacions preliminars: de què tracta aquest Acord

formexposed comprova la protecció dels formularis de contacte dels llocs web contra missatges brossa i abusos, els supervisa i informa dels canvis. Per a la major part de les dades que es generen durant aquest procés, nosaltres mateixos som el responsable del tractament: per al compte de client, la facturació, la seguretat del Servei, els registres i les comprovacions sense compte. La nostra Política de privacitat descriu aquest tractament; aquest Acord no s'hi aplica.

Tanmateix, algunes funcions fan entrar al Servei dades personals de tercers, i és el Client qui decideix sobre aquestes dades: còpies de consultes reals dels visitants del seu lloc web, les adreces de les persones que reben els seus avisos, les credencials d'inici de sessió d'un compte de prova, codi que ens facilita perquè hi treballem. Només tractem aquestes dades per compte del Client. Aquest Acord s'hi aplica. L'annex 1 al final d'aquest Acord detalla de quines funcions es tracta.

L'Acord segueix l'art. 28(3) RGPD i pren com a model, pel que fa a l'estructura i al contingut, les clàusules contractuals tipus de la Comissió Europea entre responsables i encarregats del tractament (Decisió d'execució (UE) 2021/915). No les adopta paraula per paraula, sinó que descriu el Servei real. Quan concretem una obligació de l'art. 28 RGPD, no es pot reduir el nivell de protecció del Reglament.

§ 1 Objecte, àmbit d'aplicació i rols

(1) L'objecte d'aquest Acord és el tractament de dades personals que fem per compte del Client en prestar el Servei d'acord amb les nostres Condicions del servei. L'objecte, la naturalesa i la finalitat del tractament, els tipus de dades personals i les categories de persones interessades s'exposen per a cada funció a l'annex 1.

(2) Aquest Acord no cobreix els tractaments dels quals nosaltres mateixos som el responsable del tractament, especialment el compte de client i els membres d'un espai de treball, l'inici de sessió i la seguretat del compte, la facturació, el suport, els registres, les còpies de seguretat d'aquestes dades pròpies, la comprovació gratuïta sense compte, les comprovacions de dominis del compte per als quals el Client encara no ha facilitat l'acreditació del control, la comprovació de clients potencials, l'estudi, el distintiu i el que transmeten el connector de WordPress i l'extensió de TYPO3: xifres diàries, l'inventari de connectors i, per a un connector de WordPress connectat, els dominis dels enllaços de missatges bloquejats per a la protecció col·lectiva (activada per defecte). Més enllà d'això, per la manera com estan desenvolupades aquestes extensions, aquestes dades no contenen continguts, noms, adreces ni adreces IP dels visitants. En canvi, les còpies de seguretat, en la mesura que contenen Dades del Client, i l'accés a les Dades del Client per al funcionament, la resolució de problemes i la seguretat formen part del tractament per compte del Client; s'hi apliquen el § 7(3) i el § 15(5).

(3) El Client és el responsable del tractament en el sentit de l'art. 4(7) RGPD per a les dades de l'annex 1. Si el mateix Client actua com a encarregat del tractament d'un tercer, per exemple una agència per als seus clients, nosaltres som un subencarregat del tractament d'aquestes dades. En aquest cas, el Client garanteix que aquest Acord és compatible amb les obligacions del seu propi contracte i ens transmet les instruccions del tercer únicament a través seu.

(4) Formalització: l'Acord es formalitza en registrar-se, juntament amb les Condicions del servei, amb tots els Clients, encara que no utilitzin cap de les funcions de l'annex 1. Es formalitza electrònicament; això satisfà l'art. 28(9) RGPD. Amb aquesta finalitat emmagatzemem la versió mostrada, la seva suma de verificació i el moment, l'adreça IP i l'identificador del navegador de l'acceptació.

§ 2 Definicions

Termes com ara «dades personals», «tractament», «responsable del tractament», «encarregat del tractament» i «violació de la seguretat de les dades personals» tenen el significat que estableix l'art. 4 RGPD. A més:

Dades del Client significa les dades personals que tractem per compte del Client segons l'annex 1.
Subencarregat del tractament significa un altre encarregat del tractament que contractem i que, en fer-ho, tracta Dades del Client (art. 28(2) i (4) RGPD).
Espai de treball significa l'àrea del Servei on un Client gestiona els seus dominis, la configuració i els membres. Totes les Dades del Client estan assignades a un espai de treball.
Forma textual significa qualsevol declaració llegible en un suport durador, especialment un correu electrònic.
Dies significa dies naturals. Si el final d'un termini cau en dissabte, diumenge o dia festiu a Polònia, finalitza el dia laborable següent.

§ 3 Durada

(1) L'Acord s'aplica mentre tractem Dades del Client. Comença en registrar-se i no finalitza pel simple fet que acabi un pla de pagament: després de la cancel·lació, el compte continua com a compte gratuït i, amb aquest, si escau, les Dades del Client. Finalitza quan s'ha suprimit el compte i ja no conservem Dades del Client, excepte a les còpies de seguretat fins que caduquen (§ 15).

(2) Les obligacions que per la seva naturalesa continuen tenint efectes subsisteixen després de l'extinció, especialment la confidencialitat, la supressió, la prova i la responsabilitat.

(3) S'exclou l'extinció ordinària d'aquest Acord de manera aïllada, perquè sense l'Acord no es podrien tractar Dades del Client mentre existís el compte. Si el Client vol posar-hi fi, suprimeix el seu compte (§ 15(3)). Els drets d'extinció dels § 9(3) i § 16 i els drets d'extinció de les Condicions del servei no es veuen afectats.

§ 4 Instruccions

(1) Només tractem Dades del Client seguint instruccions documentades del Client, també pel que fa a una transferència a un tercer país o a una organització internacional. Això no s'aplica quan el dret de la Unió o d'un Estat membre al qual estem subjectes ens exigeix realitzar un tractament. En aquest cas, informem el Client d'aquesta exigència legal abans del tractament, llevat que aquest dret prohibeixi informar-ne per motius importants d'interès públic (art. 28(3), segona frase, lletra (a) RGPD).

(2) Les instruccions del Client estan documentades de manera exhaustiva en aquest Acord, a les Condicions del servei i a la configuració que el Client estableix al Servei. Exemples: configurar la comprovació del lliurament és la instrucció d'acceptar i avaluar còpies dels correus electrònics dels formularis; crear una destinació d'avís és la instrucció d'enviar-hi notificacions; emmagatzemar un compte de prova és la instrucció d'iniciar-hi sessió per a l'escaneig que requereix iniciar sessió. El Servei està desenvolupat de manera que només fa el que preveu aquesta configuració.

(3) El Client dona altres instruccions en forma textual a contact@lukaswojcik.com o mitjançant la finestra de suport. El propietari i els administradors de l'espai de treball estan facultats per donar instruccions; les instruccions mitjançant configuracions del Servei les dona qui té permís, segons el seu rol, per establir la configuració. El Client confirma les instruccions orals en forma textual sense dilació indeguda; fins aleshores, podem esperar abans d'executar-les, llevat que la instrucció es refereixi a la supressió o la limitació de dades. Tractem una instrucció que vagi més enllà de l'abast dels serveis acordat com una sol·licitud de modificar els serveis; la podem rebutjar o condicionar a una remuneració que indiquem prèviament en forma textual. No rebutgem per aquest motiu una instrucció relativa a una obligació del RGPD, com ara una supressió.

(4) Si, al nostre parer, una instrucció infringeix la llei, n'informem el Client immediatament (art. 28(3), segon paràgraf, RGPD). Podem suspendre'n l'execució fins que el Client confirmi o modifiqui la instrucció. No executem una instrucció manifestament il·lícita. No estem obligats a fer una revisió jurídica exhaustiva de cada instrucció; la responsabilitat de la seva licitud continua corresponent al Client.

§ 5 Limitació de la finalitat i què no fem amb les Dades del Client

(1) Només tractem Dades del Client per a les finalitats de l'annex 1 i únicament en la mesura que ho requereix la funció corresponent.

(2) No utilitzem les Dades del Client per a finalitats pròpies. Especialment, no les analitzem per a publicitat, no les venem, no les combinem amb dades d'altres clients per elaborar perfils i no les utilitzem per entrenar models de llenguatge. El model de llenguatge que ajuda en determinades funcions s'executa al nostre propi servidor; no s'envia res a un servei extern d'IA.

(3) El Client ens permet elaborar, a partir de les Dades del Client, xifres agregades que ja no es poden atribuir a cap persona, client ni domini, per exemple sobre lliuraments, errors o resultats de comprovacions. L'agregació és un tractament subjecte a aquest Acord; les xifres resultants ja no són dades personals ni Dades del Client. No intentem reidentificar persones a partir d'aquestes xifres.

§ 6 Obligacions del Client

(1) El Client és responsable de la licitud del tractament que ens encomana. Això inclou disposar d'una base jurídica i informar les persones interessades en virtut dels art. 13 i 14 RGPD.

(2) Si el Client utilitza la comprovació del lliurament, informa els visitants del seu lloc web, a la seva política de privacitat, que se'ns envia una còpia del correu electrònic del formulari. El Servei mostra un text suggerit amb aquesta finalitat a la pàgina del domini; hi ha altres blocs de text disponibles a Text de política de privacitat per al seu lloc web. El suggeriment no substitueix l'avaluació pròpia del Client.

(3) Per a l'escaneig que requereix iniciar sessió, el Client crea un compte de prova específic que només té els permisos necessaris per llegir les pàgines especificades i que no mostra dades reals de clients, pacients, membres ni empleats. No emmagatzema credencials d'inici de sessió d'una persona real ni credencials que no està autoritzat a utilitzar. Les regles d'ús també s'exposen a Ús acceptable i abusos.

(4) El Client no fa tractar categories especials de dades personals (art. 9 RGPD) ni dades relatives a condemnes penals (art. 10 RGPD) mitjançant el Servei, en la mesura que ho pot evitar. Quan utilitza «Fix it for me», no hi enganxa codi que contingui dades personals reals i només crea portals de clients per a persones que han sol·licitat l'informe.

(5) Portals de clients: per a l'informe mensual als subscriptors, el Client, habitualment una agència, és el responsable del tractament. El Servei obté la confirmació de cada subscriptor mitjançant un enllaç de confirmació (doble confirmació del consentiment) i ofereix donar-se'n de baixa en tots els correus electrònics. Correspon al Client avaluar si el consentiment cobreix el contingut de l'informe.

(6) Si el Client detecta errors o irregularitats en el tractament, ens n'informa sense dilació indeguda.

(7) Si el Client incrusta el distintiu, no es tracta d'un tractament per compte seu; la nostra Política de privacitat descriu el tractament corresponent. El Client ho esmenta a la seva política de privacitat.

§ 7 Confidencialitat

(1) Només concedim accés a les Dades del Client a les persones que el necessiten per a les seves tasques i que s'han compromès a respectar-ne la confidencialitat o estan subjectes a una obligació legal de confidencialitat adequada (art. 28(3), segona frase, lletra (b) RGPD). El compromís continua després que hagi finalitzat la seva feina.

(2) Actualment, el propietari fa funcionar el Servei personalment. Si s'hi incorporen altres persones, queden subjectes a una obligació de confidencialitat i reben instruccions sobre el tractament de dades personals abans de tenir-hi accés per primera vegada.

(3) Només consultem un espai de treball en la mesura que sigui necessari per al funcionament, la resolució de problemes, el suport o la prevenció d'abusos. La funció de suport «veure com a client» està limitada a una hora, bloqueja els canvis de contrasenya, adreça, segon factor, subscripció, exportació i supressió i queda registrada; el Client veu l'accés a la seva exportació de dades.

§ 8 Seguretat del tractament

(1) Adoptem les mesures tècniques i organitzatives de l'art. 32 RGPD que garanteixen un nivell de seguretat adequat al risc. Es descriuen a la pàgina Mesures tècniques i organitzatives. Aquesta pàgina forma part d'aquest Acord (annex 2) en la versió que hi estigui publicada en el moment corresponent. El Client ha pogut consultar la descripció abans de formalitzar l'Acord. El Client avalua sota la seva pròpia responsabilitat si les mesures proporcionen un nivell de seguretat adequat per al tractament que ens confia (art. 28(1) RGPD), especialment abans d'activar una funció de l'annex 1.

(2) La pàgina només descriu mesures que s'han implementat realment. Tot el que està previst però encara no s'ha implementat s'hi identifica expressament com a «previst» i no forma part de les mesures a què ens comprometem fins que s'ha implementat.

(3) Podem adaptar les mesures al progrés tècnic i al desenvolupament del Servei sempre que el nivell global de protecció no disminueixi. Publiquem tots els canvis amb un número de versió nou i una data a la pàgina i a la visió general Canvis als documents contractuals. Si un canvi elimina sense substitució una mesura descrita anteriorment o la debilita, també ho notifiquem al Client en forma textual amb un mínim de 30 dies d'antelació; en aquest cas, el Client s'hi pot oposar com en el cas d'un subencarregat nou (§ 9(3)). Si cal substituir una mesura amb poc marge de temps per contrarestar una amenaça, es pot fer sense preavís sempre que això no redueixi el nivell de protecció; la notificació es fa després sense dilació indeguda.

§ 9 Subencarregats del tractament

(1) El Client ens dona una autorització general escrita per contractar subencarregats del tractament (art. 28(2) RGPD). Els subencarregats que contractem actualment, amb el seu domicili social, la finalitat, les dades, el lloc del tractament i la base de qualsevol transferència a un tercer país, s'enumeren a la pàgina Subencarregats del tractament. Aquesta llista forma part d'aquest Acord (annex 3) en la versió que hi estigui publicada. L'autorització es considera atorgada per als subencarregats que s'hi esmenten.

(2) Informem el Client de qualsevol incorporació o substitució prevista d'un subencarregat amb un mínim de 30 dies d'antelació per correu electrònic a l'adreça del titular del compte. L'avís indica el subencarregat, el seu domicili social, la funció afectada, les dades, el lloc del tractament i la base de qualsevol transferència. Al mateix temps, el canvi anunciat es mostra a la pàgina de subencarregats del tractament i a la visió general de canvis.

(3) El Client s'hi pot oposar en forma textual dins d'aquests 30 dies si té un motiu objectiu relacionat amb la protecció de dades; n'indica el motiu a l'oposició. Aleshores busquem una solució juntament amb el Client, per exemple mantenint la funció afectada per al Client sense el subencarregat nou o desactivant-la. Fins que s'hagi trobat una solució, no utilitzem el subencarregat nou per a les Dades del Client corresponents a aquest Client; si això no és tècnicament possible, se li suspèn la funció afectada. Si no es troba cap solució, el Client pot posar fi al contracte del Servei o de la prestació afectada amb efectes des de la data del canvi i, si només després d'aquesta data l'informem que no és possible cap solució, amb efectes immediats dins dels 14 dies següents a aquest avís. Per al període pagat per endavant que, com a resultat, ja no pot utilitzar, reemborsem l'import proporcional. El nostre dret a l'extinció ordinària segons les Condicions del servei no es veu afectat.

(4) Imposem contractualment a tots els subencarregats les mateixes obligacions de protecció de dades que aquest Acord ens imposa a nosaltres, especialment garanties suficients per implementar mesures tècniques i organitzatives adequades (art. 28(4), primera frase, RGPD). Seleccionem cada subencarregat amb cura i comprovem si existeixen aquestes garanties abans de contractar-lo, de nou si modifica substancialment les seves condicions i, en la resta de casos, en la revisió anual de les nostres mesures. Quan un subencarregat només aporta proves en forma de certificat, informe d'auditoria o condicions publicades, basem la comprovació en aquestes proves si són actuals i significatives. A petició, enviem al Client una còpia del contracte amb el subencarregat o de les seves condicions de protecció de dades; prèviament podem ocultar secrets empresarials i altra informació confidencial, com ara els preus.

(5) Si un subencarregat no compleix les seves obligacions de protecció de dades, continuem responent davant del Client pel compliment de les seves obligacions com per la nostra pròpia conducta (art. 28(4), segona frase, RGPD). La nostra selecció d'un subencarregat no trasllada cap responsabilitat al Client. Si un subencarregat no compleix les seves obligacions contractuals i això afecta les Dades del Client, n'informem el Client sense dilació indeguda. Si hem desaparegut de fet, hem deixat d'existir jurídicament o hem esdevingut insolvents sense que un successor legal assumeixi les nostres obligacions, el Client ha de poder exigir al subencarregat la supressió o la devolució de les Dades del Client; ho acordem amb tots els subencarregats en la mesura que ho permeten (vegi la clàusula 7.7(e) de les clàusules contractuals tipus 2021/915).

(6) No són subencarregats del tractament els destinataris als quals s'envien dades només perquè el mateix Client els configura com a destinació al Servei: serveis de xat (com ara Slack, Discord, Microsoft Teams i Google Chat) i adreces de webhook per a avisos. Configurar la destinació és la instrucció d'enviar-hi la notificació; la relació contractual amb aquests proveïdors i qualsevol base necessària per a una transferència a un tercer país són responsabilitat del Client. Les nostres pròpies obligacions segons aquest Acord fins al moment en què es lliura la notificació no es veuen afectades. Telegram també és una destinació triada pel Client, però funciona d'una altra manera: enviem el missatge a través del nostre propi bot al xat que el mateix destinatari ha vinculat al bot, i Telegram el tracta fora de l'Espai Econòmic Europeu. En triar Telegram, el Client ens dona instruccions expresses per transferir-hi les notificacions (art. 28(3), segona frase, lletra (a) RGPD); si Telegram s'hagués de qualificar com a subencarregat del tractament nostre en aquest aspecte, la tria d'aquesta destinació també es considera alhora una autorització específica segons l'art. 28(2) RGPD amb aquesta finalitat. La base del capítol V RGPD sobre la qual es fa aquesta transferència encara no s'ha resolt de manera concloent; qui vulgui evitar una transferència sense una base establerta tria una altra destinació. Tampoc no són subencarregats del tractament els prestadors de serveis que es limiten a transmetre dades, com ara el nostre proveïdor d'accés a internet.

(7) Fem funcionar nosaltres mateixos els servidors, la base de dades i la capacitat de càlcul, també per al model de llenguatge, a Polònia. No hi intervé cap proveïdor d'allotjament ni de núvol.

§ 10 Transferències a tercers països

(1) Els nostres propis servidors on tractem Dades del Client es troben a Polònia; quan un subencarregat tracta Dades del Client, l'annex 3 n'indica la ubicació. Una transferència a un país fora de l'Espai Econòmic Europeu només es fa si es compleixen les condicions dels art. 44 a 49 RGPD, i només d'acord amb les instruccions del Client en virtut del § 4 o a un subencarregat autoritzat segons el § 9.

(2) La base per a cada subencarregat (una decisió d'adequació, com ara la del Marc de Privacitat de Dades UE-EUA en el cas de destinataris certificats, o clàusules contractuals tipus segons l'art. 46(2)(c) RGPD) s'indica a la llista de subencarregats del tractament. Quan la llista indica «pendent de verificar» per a un destinatari, no se li envien Dades del Client fins que s'ha documentat la base. Si contractem un subencarregat fora de l'Espai Econòmic Europeu sense que s'apliqui una decisió d'adequació, hi acordem les clàusules contractuals tipus de la Decisió d'execució (UE) 2021/914 (mòdul 3: d'encarregat a encarregat del tractament), avaluem prèviament si el dret i la pràctica del país de destinació en permeten el compliment, adoptem les mesures complementàries necessàries i registrem el resultat. El Client rep un resum d'aquesta avaluació a petició.

(3) Per a les transferències a destinacions triades pel mateix Client (§ 9(6)), el Client és responsable de la base.

§ 11 Assistència en relació amb els drets de les persones interessades

(1) Tenint en compte la naturalesa del tractament, ajudem el Client mitjançant mesures tècniques i organitzatives adequades, en la mesura del possible, a respondre les sol·licituds de persones interessades en virtut del capítol III RGPD (art. 28(3), segona frase, lletra (e) RGPD).

(2) El Client pot fer bona part d'aquestes accions pel seu compte al Servei: modificar o suprimir destinacions d'avís, credencials de prova i la seva pròpia marca; modificar o desactivar recorreguts dels formularis; revocar portals de clients (els seus subscriptors continuen emmagatzemats fins que se suprimeix l'espai de treball); eliminar un domini juntament amb les seves dades; descarregar una exportació de dades. Quan això no és suficient, ajudem a petició en forma textual.

(3) Si una persona interessada contacta amb nosaltres amb una sol·licitud relativa a Dades del Client, no hi responem pel que fa al fons pel nostre compte, sinó que la transmetem al Client sense dilació indeguda i com a màxim set dies després de rebre-la, en la mesura que podem identificar el Client, i informem la persona que ho hem fet. Si no podem identificar el Client, indiquem a la persona quina informació necessitem per trobar-lo.

(4) Exposem obertament una limitació: no emmagatzemem a la base de dades còpies dels correus electrònics dels formularis de la comprovació del lliurament, i el correu electrònic se suprimeix de la bústia després d'un tractament correcte, o amb retard en cas d'error de recuperació o de supressió. Per tant, pel que fa a un visitant concret, habitualment només podem dir que ja no conservem cap contingut.

(5) Si tenim coneixement que les Dades del Client són inexactes o no estan actualitzades, n'informem el Client sense dilació indeguda. Aleshores, el Client les pot rectificar, suprimir o limitar-ne el tractament pel seu compte al Servei o mitjançant una instrucció a nosaltres.

§ 12 Assistència en matèria de seguretat, avaluació d'impacte i consulta

(1) Tenint en compte la naturalesa del tractament i la informació de què disposem, ajudem el Client a complir les seves obligacions dels art. 32 a 36 RGPD: seguretat del tractament, notificació i comunicació de violacions, avaluació d'impacte relativa a la protecció de dades i consulta prèvia a l'autoritat de control (art. 28(3), segona frase, lletra (f) RGPD).

(2) Amb aquesta finalitat facilitem especialment la descripció de les mesures, la llista de subencarregats del tractament i, a petició, altra informació sobre els fluxos de dades i els terminis de conservació. Publiquem la nostra pròpia avaluació dels riscos del Servei a l'Avaluació d'impacte relativa a la protecció de dades; el Client la pot utilitzar per a la seva pròpia avaluació.

(3) Per a l'assistència segons els §§ 11 i 12 que el Client no es pot prestar pel seu compte utilitzant les funcions del Servei o els documents publicats, que requereix més de quatre hores de dedicació per any natural i que no es deu a un incompliment d'aquest Acord o del RGPD per part nostra, podem cobrar una remuneració pel temps que excedeixi aquest límit, a una tarifa horària que indiquem prèviament en forma textual. Transmetre sol·licituds i notificar violacions sempre és gratuït. No condicionem l'assistència legalment deguda al pagament ni a un acord sobre la remuneració.

§ 13 Violacions de la seguretat de les dades personals

(1) Si tenim coneixement d'una violació de la seguretat de les dades personals que afecta les Dades del Client, ho notifiquem al Client sense dilació indeguda, si és possible dins de 48 hores, per correu electrònic a l'adreça del titular del compte (art. 33(2) RGPD). La finalitat és no escurçar el termini de 72 hores que el Client ha de respectar davant de l'autoritat de control. Tenim coneixement d'una violació tan bon punt hem establert amb un grau raonable de certesa que un incident de seguretat afecta les Dades del Client; investiguem qualsevol sospita sense dilació indeguda. El mateix s'aplica a una violació en un subencarregat tan bon punt ens la notifica.

(2) La notificació conté, en la mesura que es coneix, la informació de l'art. 33(3) RGPD: la naturalesa de la violació, inclosos el moment o el període en què s'ha produït, quan és possible amb les categories i el nombre aproximat de persones interessades i de registres afectats, un punt de contacte per obtenir més informació, les conseqüències probables i les mesures adoptades o proposades. Tot el que encara no s'hagi establert en el moment de la primera notificació ho facilitem després sense més dilació indeguda.

(3) Adoptem immediatament les mesures necessàries per posar remei a la violació i mitigar-ne les conseqüències, i acordem els passos següents amb el Client. Documentem totes les violacions amb els fets, els efectes i les mesures correctores adoptades, i posem la documentació a disposició del Client a petició.

(4) El Client fa la notificació a l'autoritat de control o la comunicació a les persones interessades. Nosaltres només ho fem d'acord amb les seves instruccions.

(5) Rebem les notificacions de vulnerabilitats de seguretat que tercers troben al Servei a Seguretat.

(6) Una notificació i la nostra col·laboració segons aquesta secció no constitueixen un reconeixement d'un incompliment de deure ni de responsabilitat. Si una violació també afecta dades de les quals nosaltres mateixos som el responsable del tractament, complim les nostres pròpies obligacions dels art. 33 i 34 RGPD per a aquestes dades; en fer-ho, només revelem les Dades del Client en la mesura necessària amb aquesta finalitat.

§ 14 Proves i auditories

(1) Posem a disposició del Client tota la informació necessària per demostrar el compliment de les obligacions de l'art. 28 RGPD i permetem i contribuïm a les auditories, incloses les inspeccions, realitzades pel Client o per un auditor que aquest designi (art. 28(3), segona frase, lletra (h) RGPD).

(2) Demostrem el compliment principalment mitjançant documents: la descripció de les mesures, la llista de subencarregats del tractament, el Registre d'activitats de tractament que cobreix el tractament per compte de clients (art. 30(2) RGPD), respostes escrites a qüestionaris i, a petició, extractes dels registres o dels resultats de la prova de restauració. Responem els qüestionaris dins dels 30 dies següents a la recepció i, quan hi ha un motiu segons l'apartat 4, amb la rapidesa que aquest motiu exigeixi. Actualment no existeixen informes d'auditoria externs ni certificacions; ho diem perquè ningú no doni per fet que n'hi ha.

(3) Si els documents no són suficients, el Client pot sol·licitar una auditoria, també presencial. El Client anuncia una auditoria ordinària amb un mínim de 30 dies d'antelació en forma textual, indicant-ne l'objecte, la durada prevista i l'auditor; es fa durant l'horari comercial habitual a Polònia i es programa de manera que no pertorbi innecessàriament el funcionament. Les auditories presencials ordinàries es fan com a màxim una vegada per any natural; l'apartat 4 no es veu afectat.

(4) Cap termini d'espera fix quan hi ha un motiu urgent. En cas de violació de la seguretat de les dades personals, d'indicis concrets d'un incompliment d'aquest Acord o del RGPD o d'una sol·licitud d'auditoria d'una autoritat de control, no s'aplica ni el termini de preavís de 30 dies ni el límit d'una auditoria per any. Aleshores, l'auditoria es fa tan aviat com el motiu ho exigeixi i sigui organitzativament possible.

(5) El Client pot designar un auditor subjecte a confidencialitat que no ofereixi un servei comparable a formexposed ni treballi per a un proveïdor d'aquest tipus. Podem exigir que els auditors no s'emportin ni registrin secrets d'altres clients, credencials d'inici de sessió ni detalls de seguretat. El Client i el seu auditor tracten confidencialment el que coneixen sobre el nostre funcionament durant una auditoria i només ho utilitzen per verificar el compliment d'aquest Acord i del RGPD; ho poden revelar a l'autoritat de control competent, a assessors subjectes a confidencialitat i en la mesura que ho exigeixi la llei. Aquests acords no han de frustrar els drets legals d'auditoria.

(6) Cada part assumeix els seus propis costos d'una auditoria. Si la nostra dedicació total a les auditories i els qüestionaris d'un Client supera vuit hores per any natural, podem cobrar una remuneració pel temps que excedeixi aquest límit, a una tarifa horària que indiquem prèviament en forma textual, però no si l'auditoria revela un incompliment per part nostra o es fa per un motiu de l'apartat 4 del qual som responsables. No condicionem l'auditoria mateixa al pagament.

(7) Les facultats de les autoritats de control no es veuen afectades. L'autoritat de control competent per a nosaltres és el President de l'Oficina de Protecció de Dades Personals (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa. Totes dues parts posen a disposició de l'autoritat de control competent, a petició, la informació d'aquesta secció, inclosos els resultats de les auditories.

§ 15 Supressió i devolució

(1) Durant la vigència, s'apliquen els terminis de conservació de l'annex 1. Es fan efectius mitjançant una execució nocturna que suprimeix les dades segons la mateixa configuració que també apareix als textos.

(2) Tria entre devolució i supressió. Després del final del tractament, el Client decideix si li retornem o suprimim les Dades del Client (art. 28(3), segona frase, lletra (g) RGPD). La devolució es fa mitjançant l'exportació de dades, que el mateix Client pot descarregar a la configuració com a fitxer llegible per màquina, o la fem nosaltres a petició en forma textual dins de 30 dies; en aquest cas, també cobreix les Dades del Client que no estan incloses a l'exportació, en la mesura que es poden retornar (apartat 4). La supressió es fa eliminant un domini, cosa que suprimeix les seves dades, o suprimint el compte, acció que inicia el mateix Client. Si el Client vol tant la devolució com la supressió, primer descarrega l'exportació i després suprimeix les dades.

(3) Si el Client no fa cap tria i suprimeix el seu compte, això compta com a tria de la supressió. Quan se suprimeix el compte, els espais de treball dels quals el Client és l'únic propietari se suprimeixen immediatament al sistema en producció juntament amb totes les Dades del Client. Si un espai de treball té altres membres, passa al membre que fa més temps que en forma part, primer als administradors i després als lectors, i no se suprimeix; aquest membre esdevé així el Client d'aquest espai de treball. Qui no ho vulgui elimina els altres membres o els dominis abans de la supressió. Si el contracte del compte finalitza d'una altra manera, per exemple perquè nosaltres hi posem fi d'acord amb les Condicions del servei, remetem el Client a l'exportació juntament amb la notificació d'extinció, i el Client la pot descarregar fins al final del contracte. Com a màxim 30 dies després del final del contracte, suprimim el compte juntament amb les Dades del Client; actualment es fa manualment.

(4) Indiquem per endavant el que no es pot retornar: les credencials d'inici de sessió per a l'escaneig que requereix iniciar sessió no formen part de l'exportació perquè el servidor web no les pot desxifrar (annex 1, punt 5); les còpies de la comprovació del lliurament ja no existeixen després del tractament; el codi de «Fix it for me» no s'emmagatzema en absolut.

(5) Còpies de seguretat. Es fa una còpia de seguretat de la base de dades cada nit. Cada còpia de seguretat se suprimeix al cap de 14 dies. Les Dades del Client suprimides al sistema en producció romanen a les còpies de seguretat anteriors fins aleshores; no se suprimeixen selectivament registres individuals dins d'una còpia de seguretat, perquè una còpia de seguretat ha de ser una imatge inalterada d'un moment concret. Fins que caduquen, les còpies de seguretat es protegeixen igual que la base de dades mateixa i només s'utilitzen per a la restauració i per provar-la; no s'hi fan cerques ni s'analitzen. Si hem de restaurar una còpia de seguretat, abans que el Servei torni a funcionar executem de nou les sol·licituds de supressió fetes després de la seva data, en la mesura que les coneixem. Per tant, un registre també ha desaparegut de les còpies de seguretat com a màxim 14 dies després de suprimir-lo del sistema en producció.

(6) En l'estat actual, no tenim cap obligació de conservar Dades del Client. Si sorgeix una obligació legal de conservació segons el dret de la Unió o el dret polonès, limitem el tractament de les dades afectades en lloc de suprimir-les, només les utilitzem amb aquesta finalitat i les suprimim quan finalitza l'obligació.

(7) A petició, confirmem la supressió en forma textual dins de 30 dies, indicant el que encara existeix segons els apartats 5 i 6 i fins quan.

§ 16 Incompliments, suspensió i extinció

(1) Si no podem complir una obligació d'aquest Acord, per qualsevol motiu, n'informem el Client sense dilació indeguda.

(2) Si incomplim aquest Acord o el RGPD, el Client ens pot exigir que suspenguem el tractament de les Dades del Client afectades fins que s'hagi esmenat l'incompliment. Si l'incompliment continua o és greu, el Client pot resoldre el contracte del Servei per causa justificada, especialment si no esmenem l'incompliment dins d'un mes des que se'ns notifica o no complim una decisió d'un tribunal o d'una autoritat de control que s'hi refereixi. Reemborsem proporcionalment les tarifes pagades per endavant per al període posterior al final del contracte.

(3) Si el Client insisteix en una instrucció que considerem il·lícita segons el § 4(4), podem posar fi al contracte de la prestació afectada, sempre que n'hàgim informat prèviament el Client i que no modifiqui la instrucció dins d'un mes.

(4) Després de l'extinció, s'aplica el § 15.

§ 17 Responsabilitat

(1) Per als danys patits per una persona interessada, s'aplica l'art. 82 RGPD. Aquesta responsabilitat no està restringida per cap limitació contractual de responsabilitat, inclosa la de les Condicions del servei.

(2) Si una part ha pagat una indemnització a una persona interessada en virtut de l'art. 82 RGPD, pot reclamar a l'altra part la part que correspon a la seva quota de responsabilitat pel dany (art. 82(4) i (5) RGPD). Aquesta acció de repetició tampoc no està restringida per les limitacions de responsabilitat de les Condicions del servei.

(3) Per a totes les altres reclamacions entre el Client i nosaltres en virtut d'aquest Acord, per exemple per indemnitzar els danys o els costos propis d'una part, s'apliquen les regles de responsabilitat de les Condicions del servei en la mesura que la llei ho permet. Responem pels subencarregats segons el § 9(5) com per la nostra pròpia conducta. Una multa imposada per una autoritat de control a una part per una infracció pròpia l'assumeix aquesta mateixa part.

(4) Si una persona interessada o una autoritat de control presenta una reclamació contra una part, aquesta n'informa l'altra sense dilació indeguda i totes dues col·laboren per aclarir la qüestió. Cap part no reconeix una reclamació per la qual pretengui exercir una acció de repetició contra l'altra sense el consentiment d'aquesta; el consentiment no es pot denegar sense un motiu objectiu.

§ 18 Punt de contacte i delegat de protecció de dades

(1) El Client adreça les preguntes de protecció de dades relatives a aquest Acord, les instruccions i les notificacions a contact@lukaswojcik.com o mitjançant la finestra de suport i la pàgina de Contacte. Les nostres notificacions segons aquest Acord s'envien a l'adreça de correu electrònic del titular del compte; el Client la manté actualitzada.

(2) No hem designat cap delegat de protecció de dades perquè, segons la nostra avaluació, no es compleixen les condicions de l'art. 37(1) RGPD. Si això canvia, anunciarem la designació en aquest Acord.

§ 19 Disposicions finals

(1) Prevalença. Si una disposició de les Condicions del servei o d'un altre acord contradiu aquest Acord, aquest Acord preval en totes les qüestions relatives al tractament de Dades del Client; les condicions pròpies del Client no s'apliquen. Les modificacions i addicions a aquest Acord en un cas individual requereixen forma textual i hi han de fer referència expressa; esdevenen part d'aquest Acord i hi prevalen en l'abast de les seves disposicions. Si aquest Acord contradiu disposicions imperatives del RGPD, prevalen aquestes disposicions.

(2) Modificacions. Només modifiquem aquest Acord per un dels motius objectius següents: un canvi en la llei o en la seva interpretació pels tribunals i les autoritats, també mitjançant noves clàusules contractuals tipus de la Comissió Europea; un canvi al Servei, a les seves funcions o a la seva base tècnica; un canvi d'un tercer necessari per prestar el Servei; prevenir usos indeguts o riscos de seguretat; o corregir errors i ambigüitats. Anunciem les modificacions, indicant el text modificat, el motiu i la data prevista, amb un mínim de 30 dies d'antelació per correu electrònic a l'adreça del titular del compte i a la visió general de canvis. Sense aquest termini de preavís, només modifiquem el que és exclusivament favorable al Client, té caràcter purament lingüístic o corregeix errors evidents, el que una llei, un tribunal o una autoritat exigeix amb un termini més curt i el que és necessari per evitar un risc de seguretat imminent; també en aquests casos comuniquem la modificació tan aviat com sigui possible i n'indiquem el motiu. El silenci no constitueix consentiment. Quan una modificació requereix el consentiment del Client, l'obtenim expressament; sense aquest consentiment, continua aplicant-se la versió anterior i es mantenen els drets legals i contractuals d'extinció. El Client es pot oposar en forma textual a una modificació anunciada fins que tingui efectes; les conseqüències es regeixen per les disposicions de les Condicions del servei sobre oposició a una modificació. Les modificacions dels annexos 2 i 3 es regeixen pel § 8(3) i pel § 9(2) i (3). Totes les versions es registren a la visió general Canvis als documents contractuals.

(3) Dret aplicable i fur. S'aplica el dret determinat per les Condicions del servei; les disposicions imperatives del RGPD no es veuen afectades. Les Condicions del servei regulen el fur.

(4) Llengua. L'Acord està disponible en totes les llengües oficials de la Unió Europea. En cas de discrepàncies, preval la versió polonesa.

(5) Si una disposició és nul·la, la resta de l'Acord continua sent vàlida. La disposició nul·la se substitueix per la disposició legal que més s'aproxima a la seva finalitat i, en cas de dubte, per una disposició que compleixi els requisits de l'art. 28(3) RGPD.

Annex 1 – Tractament per compte del Client

Per a cada funció, aquest annex descriu l'objecte, la naturalesa i la finalitat del tractament, els tipus de dades personals, les categories de persones interessades i la supressió (art. 28(3), primera frase, RGPD). Llevat que s'indiqui una altra cosa, la naturalesa del tractament és: recollida, emmagatzematge, recuperació, acarament, transmissió a les destinacions especificades pel Client i supressió. El lloc del tractament són els nostres propis servidors a Polònia; quan hi intervé un subencarregat, s'indica. Els terminis entre claus són configuracions segons les quals funciona realment l'execució nocturna de supressió. La durada del tractament és la vigència d'aquest Acord (§ 3); dins d'aquesta vigència, s'apliquen els terminis de supressió indicats per a cada funció. El tractament es fa de manera continuada mentre el Client utilitza la funció. Les categories especials de dades personals no són objecte del tractament; si, tot i així, entren al Servei mitjançant correus electrònics de formularis, s'aplica el § 6(4).

1. Comprovació del lliurament

Finalitat: comprovar si els correus electrònics del formulari del Client arriben i si són autèntics (SPF, DKIM, DMARC).

Funcionament: la funció és opcional. El Client introdueix l'adreça d'una bústia de control com a còpia oculta (Bcc) al seu formulari. Com a resultat, se'ns envia una còpia de cada correu electrònic del formulari, no només les còpies dels nostres enviaments de prova, sinó també les de les consultes reals dels seus visitants. Una recuperació automàtica llegeix, mitjançant IMAP, les capçaleres i com a màxim els primers 8 KB del text, assigna el correu electrònic al domini i, si escau, a un enviament de prova, i comprova els elements d'autenticitat. Després d'un tractament correcte, el correu electrònic se suprimeix de la bústia. En cas d'error de recuperació o de supressió, pot romandre a la bústia fins a la pròxima execució correcta.

Dades: contingut i capçaleres dels correus electrònics dels formularis amb tot el que hi introdueixen els visitants, com ara nom, adreça de correu electrònic, número de telèfon i missatge, així com les adreces del remitent i del destinatari i informació tècnica sobre els servidors de correu implicats.

Persones interessades: visitants del lloc web del Client que envien el formulari; destinataris dels correus electrònics dels formularis al Client.

Emmagatzematge i supressió: a la base de dades només s'emmagatzemen el moment, l'assignació al domini, si escau l'identificador de l'enviament de prova i els resultats de la comprovació d'autenticitat. El moment i l'assignació es conserven durant 180 dies; el resultat més recent de la comprovació d'autenticitat es conserva amb el domini fins que el següent correu electrònic el substitueix o s'elimina el domini. El resultat de la comprovació d'autenticitat conté l'adreça IP del servidor de correu que fa el lliurament i el domini de l'adreça del remitent; un avís només esmenta aquest domini si no pertany al lloc web. El contingut i les adreces completes dels remitents visitants no s'emmagatzemen a la base de dades. El correu electrònic mateix se suprimeix de la bústia després d'un tractament correcte, o amb retard en cas d'error de recuperació o de supressió.

Hi intervé: el proveïdor de serveis de correu (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) per a la bústia; les còpies hi arriben directament mitjançant els registres MX del nostre domini, no per reenviament; vegi Subencarregats del tractament.

Limitació: una coincidència només confirma que la còpia corresponent ha arribat a la bústia de control, no la recepció pel destinatari real ni una entrada al CRM. Sense una bústia de control, la funció no està disponible. Les còpies no haurien de contenir categories especials de dades personals (§ 6(4)).

2. Portal de clients i informe mensual als subscriptors

Finalitat: enviar un informe mensual sobre els formularis d'un lloc web per compte del Client, habitualment una agència als seus propis clients, i proporcionar un portal amb aquests informes.

Dades: adreça de correu electrònic, llengua, moment i adreça IP de la subscripció, moment de la confirmació (doble confirmació del consentiment) i de la baixa; contingut de l'informe (domini, resultats de les comprovacions, xifres).

Persones interessades: clients i persones de contacte del Client que se subscriuen a l'informe.

Supressió: les subscripcions no confirmades, al cap de 30 dies. Després de la baixa, la constància de la subscripció, la confirmació i la baixa es conserva durant tres anys perquè el Client pugui demostrar el consentiment. Tot se suprimeix com a màxim juntament amb l'espai de treball; revocar només un portal no suprimeix els seus subscriptors.

Hi intervé: el proveïdor de serveis de correu (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) per a l'enviament.

3. Avisos, informes i incidències

Finalitat: lliurar avisos, resums i informes a les destinacions que el Client configura, i gestionar incidències.

Dades: adreces de correu electrònic, adreces de webhooks i canals de xat, l'identificador d'un xat de Telegram després que el destinatari l'hagi vinculat; contingut de les notificacions (domini, esdeveniment, moment, enllaç al Servei i, per a les avisos de comprovació, l'enllaç de l'informe, que permet accedir als resultats i a les captures de pantalla sense iniciar sessió; en lloc de l'enllaç de l'informe, Telegram només rep l'enllaç a la pàgina del domini al compte, que requereix iniciar sessió); registre d'enviament; intents de lliurament de les escalades per incidència i destinació (nombre, moments, resultat, error); nom o adreça de correu electrònic de la persona que confirma la recepció d'una incidència i la persona responsable amb la data límit.

Persones interessades: empleats i prestadors de serveis del Client que reben avisos o gestionen incidències.

Supressió: les destinacions, fins que el Client les elimina o elimina el domini; el registre d'enviament, al cap de 90 dies; les notificacions recopilades, 30 dies després de l'enviament; les incidències, mentre no s'hagin resolt i durant 180 dies després de la resolució, juntament amb els seus intents de lliurament d'escalades.

Hi intervenen: el proveïdor de serveis de correu (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) per al correu electrònic; per als serveis de xat i els webhooks, els proveïdors triats pel Client (§ 9(6)).

4. Comprovació dels llocs web del Client: persones visibles incidentalment

Finalitat: comprovar i supervisar els formularis i la seva protecció als dominis del Client dels quals ha facilitat l'acreditació del control. Mentre falti l'acreditació d'un domini, només el comprovem passivament i nosaltres mateixos som el responsable del tractament d'aquestes comprovacions; això es descriu a la Política de privacitat.

Dades: un escaneig llegeix pàgines públiques del domini: adreces de les pàgines, estructura dels formularis (noms dels camps, tipus, etiquetes, atributs d'obligatorietat i visibilitat, sense valors; l'escàner només llegeix el començament dels camps ocults preemplenats i dels atributs de dades durant la comprovació i no els emmagatzema), scripts incrustats i mesures de protecció. Fa captures de pantalla de l'àrea visible de la pàgina d'inici i dels formularis i, en el cas d'enviaments de prova actius, també de la pàgina de resposta; no estan censurades. Aquestes captures i el contingut llegit de les pàgines poden contenir dades personals que el mateix Client publica, com ara noms i dades de contacte de persones de contacte, fotografies o ressenyes. Només emmagatzemem les adreces dels destinataris dels formularis en forma de domini. Per a cada comprovació, el Servei crea un informe amb un enllaç aleatori que permet accedir als resultats i a les captures de pantalla sense iniciar sessió fins que se suprimeix la comprovació; l'enllaç apareix al compte i a les avisos (punt 3). Qui transmet l'enllaç transmet l'informe.

Persones interessades: persones les dades de les quals són visibles al lloc web del Client.

Supressió: els resultats de les comprovacions, incloses les captures de pantalla, durant un màxim de 13 mesos; l'última comprovació es conserva mentre el domini sigui al compte. Quan s'elimina el domini, se suprimeixen les dades del domini, incloses les comprovacions, els detalls de comprovació i les captures de pantalla.

Nota: un model de llenguatge al nostre propi servidor ajuda a classificar els formularis la finalitat dels quals les regles per si soles no poden reconèixer. Els formularis classificats d'aquesta manera no s'envien mai i no compten per a la puntuació ni per al valoració. Els enviaments de prova actius (com a màxim cinc per comprovació) només contenen textos de prova identificats com a tals, sense dades personals.

Pla d'acció als informes que compleixen els requisits. Per a les comprovacions de dominis verificats descrites al punt 4, el nostre model de llenguatge local també pot generar un pla d'acció breu i prioritzat a partir del nom d'amfitrió, les adreces de les pàgines dels formularis, els tipus de formulari, la informació del CMS, el nivell de risc i la puntuació existents quan estan disponibles, els connectors identificats que hi pugui haver i determinats resultats negatius o no concloents de les comprovacions. Aquests camps poden contenir incidentalment dades personals. Les instruccions enviades al model no inclouen captures de pantalla, valors introduïts als formularis ni el codi font complet de la pàgina. El pla ajuda a la mateixa comprovació de protecció dels formularis, no modifica el lloc web i no determina la seva puntuació ni el seu valoració. Les sol·licituds i respostes temporals es mantenen a la cua interna de tasques fins que es recullen o fins a la neteja programada de les entrades de més d'una hora d'antiguitat; això no és una garantia incondicional de supressió durant una interrupció. El pla recollit s'emmagatzema amb l'escaneig segons les mateixes regles de conservació i supressió. La distinció de rols per a les comprovacions passives de dominis no verificats del punt 4 es continua aplicant.

5. Credencials d'inici de sessió d'un compte de prova per a l'escaneig que requereix iniciar sessió

Finalitat: llegir formularis en un màxim de cinc pàgines que requereixen iniciar sessió i que el Client especifica. Només per a dominis verificats, només per part dels propietaris i administradors d'un espai de treball i només als plans de pagament. El compte de prova només s'utilitza a la comprovació completa, no a les comprovacions al navegador (punt 6).

Dades: adreça d'inici de sessió, nom d'usuari i contrasenya del compte de prova, informació sobre els camps d'inici de sessió; tot el que és visible per a aquest compte a les pàgines llegides, en la mesura que es refereix a l'estructura dels formularis.

Persones interessades: la persona a nom de la qual consta el compte de prova, si està assignat a una persona; persones les dades de les quals són visibles al compte de prova.

Protecció: el nom d'usuari i la contrasenya es xifren al servidor web amb la clau pública del servidor d'escaneig i es vinculen al domini. Només el servidor d'escaneig els pot desxifrar durant l'escaneig; el servidor web, la base de dades i les còpies de seguretat només contenen text xifrat. Les credencials d'inici de sessió no es mostren mai, no es registren mai als registres tècnics i no es proporcionen mai a través de la interfície; la interfície d'usuari només mostra el primer caràcter i la longitud del nom d'usuari. A l'àrea que requereix iniciar sessió no s'envia res, no es fa cap prova activa ni cap captura de pantalla; no es visiten les pàgines per tancar la sessió, eliminar o cancel·lar.

Supressió: fins que el Client elimina les credencials d'inici de sessió o elimina el domini; l'eliminació sobreescriu el text xifrat i buida les tasques pendents. La còpia adjunta a la tasca d'escaneig individual s'elimina després de l'execució i qualsevol resta, com a màxim al cap d'una hora.

6. Recorreguts dels formularis i comprovacions al navegador

Finalitat: comprovacions recurrents de si els formularis configurats funcionen en un navegador real fins al punt anterior a l'enviament.

Dades: adreces dels formularis, selectors, clics previs i passos de comprovació, navegador triat, persona responsable i data límit; resultats amb estat, categories tècniques d'error, missatges d'error sanejats, temps i una captura de pantalla del formulari on els camps d'entrada estan tapats. La vinculació amb una persona es produeix principalment a través de la persona responsable i del contingut que el mateix Client escriu als passos o a les etiquetes.

Persones interessades: empleats del Client als quals s'assignen formularis.

Supressió: les configuracions, fins que s'elimina el domini; el Client les pot modificar o desactivar individualment, però actualment no les pot eliminar individualment. Els resultats, al cap de 13 mesos.

Limitació: les comprovacions al navegador no envien res. El Servei preveu una segona sonda independent, però actualment no està configurada; sense aquesta sonda no hi ha confirmació des d'una segona ubicació. Si es configura amb un tercer, s'aplica el § 9.

7. «Fix it for me»

Finalitat: inserir un component de protecció al codi de formulari que el Client hi enganxa.

Dades: el codi enganxat, si conté dades personals, per exemple en comentaris, valors d'exemple o adreces escrites directament al codi.

Persones interessades: persones les dades de les quals apareixen al codi.

Tractament i supressió: un model de llenguatge al nostre propi servidor insereix el component. El codi només es tracta durant la sol·licitud i no s'emmagatzema. El Servei funciona sense credencials d'inici de sessió dels sistemes del Client i no instal·la res als seus servidors.

8. Marca pròpia (white-label)

Finalitat: mostrar la marca del Client als informes i al portal de clients.

Dades: nom de l'empresa, lloc web, dades de contacte i logotip i, si escau, nom i dades de contacte d'una persona de contacte.

Persones interessades: persones de contacte del Client.

Supressió: fins que el Client modifica o suprimeix les dades, com a màxim juntament amb l'espai de treball.

9. Xifres complementàries sense vinculació personal

Les xifres opcionals dels formularis i dels errors dels camps de l'extensió de WordPress no contenen dades introduïdes, noms de camps ni identificadors de visitants i es conserven durant 13 mesos. L'enregistrador de recorreguts dels formularis conserva els passos al navegador del Client durant un màxim de 15 minuts; els comptadors diaris locals es queden al seu lloc web durant un màxim de 14 dies. Els enumerem aquí perquè la visió sigui completa; per la manera com estan desenvolupats, no són Dades del Client.

10. Protecció de formularis (formconfirmed)

Aquest punt només s'aplica si el Client activa la protecció de formularis (clàusula 5.7 de les Condicions del servei).

Finalitat: avaluar els enviaments fets mitjançant formularis dels llocs web del Client per reconèixer els enviaments automatitzats.

Funcionament: en obrir-se una pàgina amb un formulari protegit, un script al navegador del visitant obté del nostre servidor una tasca signada i la resol (prova de treball). En enviar-se el formulari, el servidor del Client presenta el resultat a la nostra interfície de verificació. Comprovem la signatura, l'antiguitat, l'ús únic i el domini del testimoni de verificació, així com altres senyals, com ara el temps d'emplenament, un camp trampa invisible i les sol·licituds acumulades des de la mateixa adreça escurçada. Si el Client activa la comprovació del contingut, un model de llenguatge avalua el text del missatge que el servidor del Client tramet amb la sol·licitud. Es retorna una puntuació amb una acció recomanada i els motius; el Client decideix què passa amb l'enviament. No hi ha galetes, ni emmagatzematge al navegador, ni empremta digital del dispositiu.

Dades: adreça IP del visitant en obtenir la tasca i durant la verificació, adreça i domini de la pàgina, moments i temps d'emplenament, si s'ha emplenat el camp trampa, identificador del navegador al registre del servidor web; només amb la comprovació del contingut activada, el text del missatge.

Persones interessades: visitants dels llocs web del Client que obren una pàgina amb un formulari protegit o envien un formulari d'aquest tipus.

Emmagatzematge i supressió: l'adreça IP només s'emmagatzema de forma escurçada (IPv4 sense l'últim byte, IPv6 els primers 48 bits) i com a valor hash amb una clau que canvia cada dia, durant una hora; els testimonis de verificació utilitzats, com a màxim onze minuts; els resultats de la verificació sense adreça IP i sense text (acció, puntuació, motius, domini, categoria de la comprovació del contingut), 30 dies; les xifres diàries sense vinculació personal, 400 dies; el registre del servidor web, 14 dies. El text d'un missatge només es tracta a la memòria de treball i no s'emmagatzema, no es registra ni s'utilitza per a l'entrenament.

On: als nostres propis servidors a Polònia, el model de llenguatge en maquinari propi; no hi ha subencarregats del tractament addicionals.

Annex 2 – Mesures tècniques i organitzatives

Les mesures s'exposen a la pàgina Mesures tècniques i organitzatives. Forma part d'aquest Acord en la versió publicada en el moment corresponent; els canvis es regeixen pel § 8(3).

Annex 3 – Subencarregats del tractament

Els subencarregats autoritzats s'enumeren a la pàgina Subencarregats del tractament. Forma part d'aquest Acord en la versió publicada en el moment corresponent; els canvis es regeixen pel § 9(2) i (3).

Pendent abans del llançament: el proveïdor de serveis de correu previst és Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Encara s'han de documentar l'acord d'encàrrec del tractament aplicable a aquest ús, els llocs reals de tractament i la base adequada per a la transferència. Aquesta versió no confirma ni un acord formalitzat ni la certificació segons el Marc de Privacitat de Dades.

Versió

Versió 2.2 de 29 d'octubre de 2026, que substitueix la versió 2.1. Canvis: nou punt 10 a l'annex 1 sobre la protecció de formularis formconfirmed; només s'aplica si el Client l'activa. No canvia cap altra disposició.

Versió 2.1 de 22 d'octubre de 2026, que substitueix la versió 2.0. Canvis: en cas de discrepàncies, ara preval la versió polonesa en lloc de l'alemanya; l'Acord està disponible en totes les llengües oficials de la Unió Europea (clàusula de llengua). No canvia cap altra disposició.

Versió 2.0 d'11 d'octubre de 2026, que substitueix la versió de 9 d'octubre de 2026. Canvis: estructura segons l'art. 28(3) RGPD amb referència a les clàusules contractuals tipus 2021/915; annex 1 complet per a cada funció, que ara inclou les credencials d'inici de sessió per a l'escaneig que requereix iniciar sessió, els recorreguts dels formularis i les limitacions de la comprovació del lliurament; les mesures tècniques i organitzatives i la llista de subencarregats del tractament són pàgines separades i formen part de l'Acord com a annexos 2 i 3; tria entre devolució i supressió, còpies de seguretat amb caducitat i nova execució de les sol·licituds de supressió, cap termini d'espera fix per a auditories urgents, responsabilitat pels subencarregats com per la nostra pròpia conducta.

Com el podem ajudar?