Política de privacitat

Aquest document es publica en diverses llengües. En cas de discrepància entre les versions lingüístiques, la versió polonesa és la vinculant.

Versió 2.3 · Última actualització: 29 d'octubre de 2026

Aquesta política descriu quines dades personals tracta formexposed, amb quina finalitat, sobre quina base jurídica, a qui les envia i quan les suprimeix. Només hi descrivim el que el Servei fa realment; els terminis de conservació que indiquem són els mateixos que regeixen les nostres execucions de supressió i, quan encara no hi ha un termini fix, ho diem. Les funcions que s'han desenvolupat però que no estan activades s'identifiquen com a tals. Com que el Servei afecta diversos grups de persones, cada secció comença indicant a qui s'adreça:

• Vostè visita formexposed.com o form.exposed: seccions 3, 4 i 5.
• Ha sol·licitat la comprovació d'un domini a la pàgina d'inici: secció 6.
• El nostre rastrejador ha comprovat el seu lloc web: secció 7; aquesta secció també constitueix la informació que facilitem en virtut de l'art. 14 RGPD.
• Té un compte o ha rebut una invitació a un equip: seccions 8 a 18.
• Visita el lloc web d'un dels nostres clients (amb un distintiu, un connector o una comprovació del lliurament): secció 20.
• Vol exercir un dret o presentar una reclamació: seccions 26 a 28.

1. Responsable del tractament i contacte

El responsable del tractament de les dades personals a formexposed.com i form.exposed i al servei formexposed, en la mesura que no actuem per compte d'un client (secció 2), és:

LW IT Solutions Company Lukas Wójcik
Propietari: Lukas Wójcik
al. Tadeusza Kościuszki 80/82, lok. 301
90-437 Łódź
Poland
NIP (número d'identificació fiscal polonès) 7252266190 · Número d'IVA PL7252266190
Correu electrònic: contact@lukaswojcik.com

També pot contactar amb nosaltres mitjançant la finestra de suport (el signe d'interrogació de la navegació) i la pàgina de contacte. Comuniqui les vulnerabilitats de seguretat a través de la nostra pàgina de notificació de vulnerabilitats.

Delegat de protecció de dades: No n'hem designat cap. Som una empresa individual; la nostra activitat principal és comprovar llocs web i formularis, i no fer un seguiment a gran escala de persones ni tractar categories especials de dades (art. 37(1) RGPD). Els motius s'exposen al Registre d'activitats de tractament. Enviï les preguntes sobre protecció de dades a l'adreça de correu electrònic indicada més amunt, que arriba directament al propietari.

2. De què tracta aquesta política i en quina condició actuem

formexposed comprova els formularis de contacte dels llocs web: si estan protegits contra missatges brossa i abusos, si les consultes arriben, quins serveis de tercers poden llegir les dades mentre s'emplena un formulari i si alguna d'aquestes circumstàncies canvia. En fer-ho, tractem dades personals en tres condicions diferents. La distinció no és una formalitat: determina a qui s'hauria d'adreçar amb una sol·licitud.

• Com a responsable del tractament de les dades dels visitants dels nostres propis llocs web, dels nostres clients i dels membres dels seus equips, per a la facturació i el suport, i per comprovar llocs web que no pertanyen a un compte de client (comprovació gratuïta, estudi, comprovació de clients potencials) o el domini dels quals el client encara no ha verificat. Aquest és l'objecte d'aquesta política.
• Com a encarregat del tractament de les dades de tercers que els nostres clients fan tractar a través del Servei: còpies dels correus electrònics de formularis en la comprovació del lliurament (secció 15), subscriptors d'un portal de clients (secció 14), destinataris d'avisos que no són clients (secció 10), comptes de prova per a la comprovació que requereix iniciar sessió (secció 9) i persones que es poden veure en un lloc web el domini del qual un client ha verificat (secció 7). En aquests casos, el client és el responsable del tractament; s'hi aplica l'Acord d'encàrrec del tractament, que tots els clients formalitzen en registrar-se.
• No tractem en absolut les dades que el nostre connector de WordPress i la nostra extensió de TYPO3 emmagatzemen al lloc web d'un client i que no surten d'aquest lloc web (secció 13). L'operador d'aquest lloc web és el responsable del tractament; nosaltres no hi tenim accés.

Quan aquesta política diu «client», es refereix al titular d'un compte a formexposed. Els comptes només estan disponibles per a empreses; qualsevol persona pot utilitzar la comprovació gratuïta sense compte. El Servei no s'adreça a infants.

3. Servidors, registres i còpies de seguretat

Per a totes les persones que visiten els nostres llocs web o utilitzen el Servei.

Fem funcionar formexposed als nostres propis servidors a Polònia: un servidor web amb la base de dades i un servidor d'escaneig on s'executen el rastrejador i un model de llenguatge. Tots dos són a la mateixa xarxa interna. No hi ha cap proveïdor extern d'allotjament ni de núvol. Només el propietari té accés als servidors.

3.1 Registre del servidor web

Per a cada sol·licitud, el servidor web emmagatzema l'adreça IP, la data i l'hora, l'adreça sol·licitada, el codi d'estat, la quantitat de dades transferides, la pàgina visitada anteriorment (referrer) i l'identificador del navegador (user agent). Això també s'aplica a les sol·licituds del distintiu des de les pàgines dels clients (secció 12). Els registres es roten diàriament i se suprimeixen al cap de 14 dies.

3.2 Registre de visualitzacions de pàgina

A més, l'aplicació registra cada visualització de pàgina, però no les sol·licituds en segon pla, les interfícies ni el distintiu: l'adreça IP, el país que se'n dedueix, l'adreça sol·licitada i el referrer (abans d'emmagatzemar-los, hi emmascarem els testimonis d'accés, com ara els dels enllaços d'informes o de portals), l'identificador del navegador i la informació que se'n dedueix sobre el tipus de dispositiu, el sistema operatiu i el navegador, la llengua i, si ha iniciat sessió, el seu número de compte. Determinem el país mitjançant una base de dades al nostre propi servidor; l'adreça IP no surt del servidor amb aquesta finalitat. Si el nostre servei de suport visualitza el seu compte (secció 8.5), aquestes visualitzacions de pàgina no s'atribueixen al seu compte. Suprimim les entrades al cap de 60 dies.

3.3 Registre d'errors i alerta d'error

Registrem els errors tècnics amb l'hora, el nivell, l'origen, el missatge, el context tècnic i, si escau, el seu número de compte, i els suprimim al cap de 90 dies. Si es produeix un tipus nou d'error, el Servei envia al propietari un correu electrònic amb el text sense tractar del missatge (fins a 400 caràcters, sense sanejar) i una notificació breu per Telegram; si s'acumulen els errors, només envia la notificació. A més, s'envia per correu electrònic un resum diari dels tipus d'error. El missatge de Telegram és una frase fixa sense el contingut de l'error, sense cap adreça i sense informació sobre persones. Per a cada tipus d'error, conservem un exemple del missatge, actualment sense un termini de conservació fix; establirem un termini de supressió i l'indicarem aquí. Els missatges d'error no haurien de contenir dades personals, però no ho podem descartar, per exemple si un missatge reprodueix una adreça que s'ha introduït.

3.4 Còpies de seguretat

Es fa una còpia de seguretat de la base de dades cada nit, després que hagi finalitzat l'execució de supressió; per tant, una còpia de seguretat no conté res que ja s'hauria d'haver suprimit d'acord amb aquests terminis de conservació. Actualment, les còpies de seguretat es conserven a la mateixa ubicació que la base de dades i no es xifren per separat; està prevista una còpia xifrada en una segona ubicació. Caduquen al cap de 14 dies. El que suprimim del sistema en producció roman a les còpies de seguretat fins aleshores. No s'elimina selectivament res d'una còpia de seguretat; només serveix per restaurar les dades després d'una pèrdua.

Finalitat i base jurídica: el funcionament i la seguretat del Servei, la defensa contra atacs i abusos, la resolució d'errors, la restauració i les estadístiques d'ús. Per a aquestes últimes, només registrem totals diaris (com ara el nombre de registres per dia), sense informació sobre persones; no utilitzem cap servei d'analítica ni de seguiment. La base jurídica és l'art. 6(1)(f) RGPD; el nostre interès legítim és un funcionament segur i estable.

4. Galetes i emmagatzematge al navegador

Per als visitants dels nostres llocs web i els usuaris del Servei.

Nom	Tipus	Finalitat	Durada
bpid	galeta	Sessió: manté la sessió iniciada, protegeix els formularis contra sol·licituds falsificades (CSRF) i compta els límits per sessió de la comprovació gratuïta	fins que tanqui el navegador
bp_remember	galeta	només si tria «Mantenir la sessió iniciada» en iniciar sessió: manté la sessió iniciada	30 dies
bp_theme	emmagatzematge local	si ha triat el tema clar o el fosc; en el cas dels usuaris que han iniciat sessió, la tria també es desa al compte	fins que suprimeixi les dades del navegador

Aquest emmagatzematge és estrictament necessari per al funcionament del Servei que ha sol·licitat expressament; no requereix consentiment (art. 5(3) de la Directiva 2002/58/EC tal com s'ha transposat al dret nacional; a Alemanya, § 25(2) núm. 2 de la Llei de protecció de dades de telecomunicacions i serveis digitals (TDDDG); a Polònia, art. 399 de la Llei de comunicacions electròniques, Prawo komunikacji elektronicznej). La base jurídica del tractament associat és l'art. 6(1)(b) RGPD si ha iniciat sessió i, en cas contrari, l'art. 6(1)(f) RGPD; en aquest últim cas, el nostre interès legítim és protegir els nostres formularis contra sol·licituds falsificades, aplicar els límits de la comprovació gratuïta i mostrar l'aparença que ha triat.

No establim galetes publicitàries ni de mesurament d'audiència. Un codi de recomanació del programa de col·laboradors (secció 18) es transmet a l'adreça fins al registre, no en una galeta. Google reCAPTCHA pot utilitzar les seves pròpies galetes quan s'envia un formulari (secció 5).

5. Google reCAPTCHA i la nostra pròpia protecció dels formularis

Per a totes les persones que envien un dels nostres formularis.

Protegim contra atacs automatitzats, amb Google reCAPTCHA v3, els formularis de la comprovació gratuïta, l'eina de capçaleres, l'exclusió d'un domini (opt-out), l'inici de sessió, el registre, la sol·licitud i l'establiment d'una contrasenya nova, i el suport i el contacte. El proveïdor és Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland.

Només carreguem l'script de Google quan envia un d'aquests formularis, no tan bon punt s'obre una pàgina. Aleshores llegeix informació sobre el navegador, el dispositiu i l'ús de la pàgina i la transmet a Google juntament amb la seva adreça IP i les galetes de Google que hi pugui haver. Google avalua si és una persona qui envia el formulari. Nosaltres només rebem aquesta avaluació en forma de puntuació, juntament amb l'acció a la qual s'aplica. Si és inferior al nostre llindar, correspon a un altre formulari o Google no respon en un termini de tres segons, rebutgem l'enviament; no emmagatzemem la puntuació. Pot tornar-ho a provar o escriure'ns per correu electrònic. Google pot transferir dades a Google LLC als EUA (secció 22) i decideix pel seu compte quant de temps les conserva; trobarà més informació a la política de privacitat de Google.

A més, aquests formularis —excepte el d'establiment d'una contrasenya nova— contenen la nostra pròpia protecció sense tercers: un camp trampa invisible per a les persones i una marca de temps signada que permet reconèixer els formularis enviats massa ràpidament.

Els formularis de la comprovació gratuïta, el registre, l'inici de sessió i la sol·licitud d'una contrasenya nova també els protegim amb la nostra pròpia protecció de formularis formconfirmed, que tampoc no recorre a tercers. En obrir-se la pàgina, un petit script obté del nostre servidor una tasca signada; tan bon punt utilitza el formulari, el seu navegador la resol en segon pla (una prova de treball). El resultat ens arriba amb el formulari com a testimoni de verificació d'un sol ús, i el verifiquem en enviar-se el formulari. Amb aquesta finalitat tractem la seva adreça IP, l'adreça de la pàgina amb el formulari, els moments corresponents i si s'ha emplenat un camp invisible per a les persones. Per a això, només emmagatzemem l'adreça IP de forma escurçada (en IPv4 sense l'últim byte, en IPv6 només els primers 48 bits) i com a valor hash amb una clau que canvia cada dia, per reconèixer sol·licituds acumulades; aquest valor se suprimeix al cap d'una hora, i el testimoni de verificació utilitzat, al cap d'onze minuts com a màxim. La protecció de formularis no avalua el contingut d'aquests formularis. No instal·la galetes, no emmagatzema res al seu navegador i no genera cap empremta digital del seu dispositiu. Si falta un testimoni de verificació vàlid, rebutgem l'enviament; si el nostre servei no estava disponible per a la tasca, l'admetem.

Base jurídica: art. 6(1)(f) RGPD; el nostre interès legítim és protegir aquests formularis contra l'abús per part de programes, sobretot contra els intents massius d'endevinar contrasenyes, els comptes creats automàticament i l'ús de la comprovació gratuïta com a eina contra llocs web de tercers. Com que l'script de Google només es carrega quan envia el formulari i només serveix per a aquest enviament, considerem que llegir la informació del seu dispositiu és estrictament necessari per prestar el servei que sol·licita expressament en enviar el formulari (§ 25(2) núm. 2 TDDDG, art. 399 Prawo komunikacji elektronicznej). El mateix s'aplica a la nostra pròpia protecció de formularis: al navegador només tracta el que és necessari per enviar el formulari que utilitza. Està previst que substitueixi reCAPTCHA de manera permanent. Requisit: sense reCAPTCHA i la nostra pròpia protecció de formularis, el formulari no es pot enviar; el correu electrònic continua estant disponible per a consultes.

6. Comprovacions gratuïtes sense compte

Per a totes les persones que comproven un domini a la pàgina d'inici o utilitzen l'eina de capçaleres.

6.1 La comprovació gratuïta

A la pàgina d'inici pot sol·licitar la comprovació d'un domini sense tenir un compte. Per fer-ho, tractem:

• el domini introduït i el resultat de la comprovació (informe; la secció 7 exposa què recull el rastrejador durant aquesta comprovació);
• la seva adreça IP, el país que hi correspon, un hash de la seva sessió (no la sessió mateixa), el moment i si la sol·licitud s'ha acceptat, per aplicar els límits (només unes quantes comprovacions al dia per adreça i sessió; un domini que ja s'ha comprovat els darrers dies rep el mateix informe en lloc d'una comprovació nova) i per detectar abusos. Suprimim aquestes entrades al cap de 7 dies;
• en cas de comportament sospitós, com ara molts dominis diferents des d'una mateixa adreça, un indicador que conté l'adreça IP o el hash de la sessió. Es conserva fins que hàgim revisat el cas i durant 90 dies més. El propietari en rep una notificació per Telegram sense el domini ni l'adreça IP.

Qualsevol persona a qui faciliti l'enllaç aleatori de l'informe hi pot accedir; els motors de cerca no l'haurien d'indexar. El suprimim al cap de 30 dies juntament amb les dades de la comprovació i les captures de pantalla. L'informe gratuït en mostra un extracte; es comproven els mateixos aspectes que al compte, però sense enviaments de prova.

6.2 L'eina de capçaleres

L'eina de capçaleres de seguretat recupera dues vegades la pàgina d'inici d'un domini (mitjançant https i mitjançant http) i n'avalua la resposta. Emmagatzemem el domini, el resultat i la qualificació durant 90 dies; per als límits s'aplica el mateix registre que per a la comprovació (7 dies). Els dominis exclosos (secció 19) tampoc no es comproven amb aquesta eina.

Base jurídica: art. 6(1)(b) RGPD per a la comprovació que sol·licita, i art. 6(1)(f) RGPD per als límits i la prevenció d'abusos; el nostre interès legítim és evitar que s'utilitzi indegudament el Servei com a eina contra llocs web d'altres persones. Requisit: no hi ha comprovació sense domini; sense una adreça IP, el servidor no li pot respondre.

6.3 Comentaris sobre un informe

Per a totes les persones que utilitzen «Hi ha alguna cosa incorrecta en aquest informe?» a sota d'un informe, amb compte o sense.

A sota de cada informe finalitzat ens pot indicar que falta un formulari, que s'ha classificat incorrectament o que una comprovació concreta té un resultat incorrecte. Per fer-ho, tractem:

• el que vostè introdueix: la categoria que tria, si vol la comprovació afectada, l'adreça d'una pàgina i un text de fins a 1.000 caràcters;
• l'informe al qual es refereixen els comentaris (identificador de l'enllaç, comprovació i domini), la llengua de la pàgina i el moment;
• si ha iniciat sessió, l'identificador del seu compte; en aquest cas, veiem l'adreça de correu electrònic del compte al costat dels comentaris;
• una suma de verificació unidireccional de la seva adreça IP (generada amb una clau secreta), per tal que només arribin uns quants avisos des d'una mateixa adreça (5 per hora, 20 per dia). No emmagatzemem l'adreça IP mateixa amb els comentaris; eliminem la suma de verificació al cap de 2 dies.

No demanem cap adreça de correu electrònic i no responem als comentaris. Si vol rebre una resposta, escrigui al servei d'assistència (secció 17). No introdueixi dades personals al text. Llegim els comentaris, els classifiquem i, quan és útil, prenem les dades de comprovació de l'informe (camps dels formularis, motius i resultats, sense captures de pantalla) com a cas de prova per a la nostra detecció; aquest cas de prova descriu el lloc web comprovat, no pas vostè. Els comentaris no modifiquen l'informe.

Base jurídica: art. 6(1)(f) RGPD; el nostre interès legítim és trobar i corregir errors en la nostra detecció, i el límit protegeix contra abusos. Requisit: enviar comentaris és voluntari. Conservació: 24 mesos; se suprimeixen immediatament amb el seu compte.

7. Comprovació de llocs web amb el nostre rastrejador: informació en virtut de l'art. 14 RGPD

Per als operadors dels llocs web comprovats i per a les persones les dades de les quals apareixen en un lloc web comprovat. Vostès no ens han facilitat aquestes dades directament; per això els n'informem aquí.

7.1 Què fa el rastrejador

El nostre rastrejador FormExposedBot recupera com a màxim vuit pàgines públiques d'un lloc web per comprovació, una rere l'altra, igual que ho fa un visitant amb un navegador. A més, pot tornar a carregar fins a tres pàgines per fer clic a «Rebutjar» al bàner de galetes i carregar fins a tres pàgines a la vista de telèfon; en el cas dels dominis verificats, també hi pot haver els enviaments de prova (secció 7.3) i fins a cinc pàgines que requereixen iniciar sessió (secció 9.4). Abans de la comprovació, llegeix el robots.txt: si una directiva Disallow per a FormExposedBot o per a tots els programes exclou la pàgina d'inici, no fa la comprovació. Actualment no respecta de manera individual els subcamins bloquejats. S'identifica com a FormExposedBot al seu identificador de navegador. Examina els formularis i emmagatzema:

• les adreces i els títols de les pàgines comprovades, l'estructura dels formularis (noms dels camps, tipus de camps, etiquetes, atributs d'obligatorietat i visibilitat, sense valors; només llegeix el començament dels camps ocults preemplenats i dels atributs de dades durant la comprovació, i no els emmagatzema) i les mesures de protecció trobades;
• les característiques tècniques de les pàgines: els serveis de CAPTCHA i de protecció contra missatges brossa utilitzats, els scripts de proveïdors de tercers incrustats (adreça i suma de verificació), els amfitrions des dels quals la pàgina carrega contingut, els noms de les galetes establertes, les capçaleres de seguretat, els indicis sobre l'accessibilitat dels formularis, el comportament d'un bàner de galetes quan es rebutgen i si hi ha píxels publicitaris o enregistraments de sessions vinculats als formularis;
• una captura de pantalla de l'àrea visible de la primera pàgina i una de cada formulari trobat i, després d'un enviament de prova, també una de la pàgina de resposta. Aquestes captures de pantalla no estan censurades; mostren el que es pot veure a la pàgina.

Si un formulari conté una adreça de destinatari, només n'emmagatzemem el domini, mai l'adreça. No emmagatzemem cap altre contingut de les pàgines. Tot i així, es poden veure afectades dades personals si són visibles en una pàgina o en una captura de pantalla, com ara el nom i la fotografia d'una persona de contacte al costat del formulari. Categories: noms, càrrecs, dades de contacte i imatges que el mateix operador ha publicat. No busquem categories especials de dades ni les analitzem.

Classifiquem els formularis mitjançant regles fixes (com ara «contacte» o «butlletí»). Només si les regles no produeixen cap resultat ens ajuda un model de llenguatge que s'executa al nostre propi servidor d'escaneig; els formularis classificats d'aquesta manera no s'envien mai i no compten per a la puntuació ni per a la valoració. Durant aquest procés no s'envien dades a tercers i no s'utilitzen per entrenar el model. Trobarà més informació a Reglament d'intel·ligència artificial de la UE: com formexposed utilitza la IA.

7.2 Qui inicia una comprovació

• una persona que introdueix un domini a la pàgina d'inici (secció 6);
• el nostre connector de WordPress o la nostra extensió de TYPO3 per al lloc web on estan instal·lats, fins i tot sense compte (secció 13);
• un client per a un domini del seu compte (secció 9);
• una agència per al lloc web d'un client potencial, sense enviament de prova (secció 14);
• nosaltres mateixos per a un estudi sobre la protecció dels formularis de contacte, del qual només publiquem xifres agregades sense els noms dels llocs web.

7.3 Què no fa el rastrejador

Només comprova passivament els llocs web d'altres persones: no envia cap formulari, no prova credencials d'inici de sessió i no ataca res. Només fa enviaments de prova als formularis de contacte de dominis respecte dels quals un client ha demostrat, al seu compte, que té dret a controlar-los, ja sigui com a propietari o per compte del propietari, mitjançant un registre DNS, una metaetiqueta, un fitxer o un connector: missatges de prova clarament identificats com a tals, sense dades personals, com a màxim cinc per comprovació; sense aquesta acreditació, només en comprovacions internes dels nostres propis dominis de prova i de demostració. La cerca de fitxers exposats, la lectura de versions i la comprovació que requereix iniciar sessió també estan disponibles únicament per a dominis verificats (secció 9).

7.4 Termini de conservació

Les comprovacions sense compte es conserven durant 30 dies; les comprovacions del lloc web d'un client potencial, durant 90 dies; les comprovacions per a un estudi, fins que se'n publiquen els resultats; les comprovacions d'un domini en un compte de client, com a màxim durant 13 mesos —l'última es conserva mentre el domini sigui al compte— i mai durant més temps del que el domini roman al compte.

7.5 Base jurídica i origen

La base jurídica és l'art. 6(1)(f) RGPD. L'interès legítim consisteix a mostrar als operadors de llocs web i als seus prestadors de serveis els punts febles dels seus formularis abans que s'utilitzin per enviar missatges brossa o cometre abusos, en l'interès de la persona que sol·licita la comprovació a obtenir aquest resultat i, en el cas de l'estudi, a donar a conèixer l'estat de la protecció dels formularis. Les dades provenen de fonts accessibles públicament, concretament del mateix lloc web comprovat. Els destinataris són la persona que ha iniciat la comprovació i qualsevol persona a qui aquesta faciliti l'enllaç de l'informe i, en el cas d'una comprovació de client potencial, l'agència; dels estudis només en publiquem xifres agregades. Si un client comprova un domini del seu compte que ha verificat, actuem per compte seu (secció 2); mentre no hi hagi verificació, nosaltres mateixos som el responsable del tractament. Publiquem aquesta informació aquí i a la pàgina de FormExposedBot en lloc d'escriure individualment a cada persona visible; això seria impossible o desproporcionat, sobretot perquè d'aquestes persones només sabem el que apareix a la pàgina (art. 14(5)(b) RGPD).

Oposició i exclusió: Com a operador d'un lloc web, pot excloure comprovacions posteriors del seu domini mitjançant el seu robots.txt o la nostra pàgina d'exclusió voluntària (secció 19). Les persones que són visibles en una pàgina comprovada es poden oposar al tractament d'acord amb la secció 27 i sol·licitar la supressió d'un informe o d'una captura de pantalla.

8. El seu compte de client

Per als clients i els membres d'equip convidats.

8.1 Registre i compte

Per a un compte, tractem la seva adreça de correu electrònic i la seva contrasenya (només en forma de hash; no coneixem la contrasenya mateixa), així com el seu nom i, en la mesura que els faciliti, els cognoms i l'empresa, a més de la llengua, el tema, la moneda, el pla, els moments del registre i de l'últim inici de sessió i l'adreça IP de l'últim inici de sessió. Confirma la seva adreça de correu electrònic mitjançant un enllaç vàlid durant 72 hores; suprimim al cap de 30 dies els comptes que no s'han confirmat mai. Si canvia la seva adreça de correu electrònic, la nova només s'aplica després de confirmar-la mitjançant un enllaç que s'hi envia.

Base jurídica: art. 6(1)(b) RGPD (contracte); per a l'adreça IP de l'últim inici de sessió, art. 6(1)(f) RGPD (protecció del seu compte, secció 8.2). Requisit: l'adreça de correu electrònic, el nom i la contrasenya són necessaris per formalitzar un contracte; només facilita l'adreça de facturació i el número d'identificació a efectes d'IVA per als plans de pagament, a Stripe (secció 18).

8.2 Inici de sessió i seguretat

• els intents d'inici de sessió amb l'adreça de correu electrònic, l'adreça IP i el resultat: 7 dies, per prevenir els intents d'endevinar contrasenyes; a més, comptadors dels intents d'inici de sessió per compte (per a una adreça desconeguda, per adreça introduïda), per compte i adreça IP i per adreça IP, dels intents de segon factor i de les confirmacions de contrasenya per compte, dels correus de restabliment de contrasenya per adreça de correu electrònic, dels registres per adreça IP i dels intents d'introduir la contrasenya d'un portal de clients per portal i adreça IP. Només emmagatzemem aquests comptadors sota una clau pseudònima (HMAC), sense l'adreça de correu electrònic ni l'adreça IP en text clar, i caduquen amb la seva finestra temporal (actualment 15 minuts, una hora per als restabliments de contrasenya i els registres);
• els dispositius amb sessió iniciada amb l'adreça IP, el navegador, el sistema operatiu i el tipus de dispositiu, perquè els pugui veure a la configuració i tancar-ne la sessió: fins a 90 dies després de l'últim ús;
• si s'activa l'inici de sessió amb doble factor, el secret corresponent (xifrat) i els seus codis de recuperació (només en forma de hash);
• els enllaços per restablir la contrasenya són vàlids durant una hora;
• un registre d'activitat de les accions importants, com ara «domini creat», «avís configurat» o «configuració modificada», amb el moment, el compte que ha realitzat l'acció, l'adreça IP i el país: 365 dies.

Base jurídica: art. 6(1)(f) RGPD; el nostre interès legítim és protegir el seu compte i el Servei i garantir la traçabilitat dels canvis en un espai de treball on col·laboren diverses persones.

8.3 Constància de la formalització del contracte

En registrar-se, deixem constància de quina versió de les Condicions del servei i de l'Acord d'encàrrec del tractament ha acceptat i de quina versió d'aquesta Política de privacitat ha pres coneixement; en cada cas, amb el text complet, el seu hash, el moment, l'adreça IP i l'identificador del navegador. Això serveix com a prova de la formalització del contracte (art. 6(1)(b) i (f) RGPD). Conservem aquesta constància mentre existeix el compte. Després de suprimir el compte, la suprimim tan aviat com han transcorregut quatre anys des de l'acceptació, perquè les qüestions sobre la formalització del contracte acostumen a sorgir precisament després que hagi finalitzat.

8.4 Espais de treball, equip i invitacions

Un compte treballa en un o més espais de treball. Si convida algú, li enviem un correu electrònic amb el nom de l'espai de treball (per defecte, el nom de la seva empresa o el seu nom) i un enllaç per acceptar la invitació; per a la invitació també emmagatzemem el rol previst i qui l'ha enviada. Els membres d'un espai de treball veuen qui en forma part i amb quin rol. Si vostè és una persona convidada, hem obtingut la seva adreça de correu electrònic del membre que l'ha convidat (art. 14(2)(f) RGPD). Suprimim les invitacions no acceptades quan caduquen al cap de 14 dies, i les acceptades, 30 dies després de l'acceptació. Es pot assignar a un formulari supervisat una persona responsable de l'equip i un termini per corregir-lo; amb aquesta finalitat només emmagatzemem l'assignació al compte i el termini. Base jurídica: art. 6(1)(b) RGPD en relació amb el client; en relació amb la persona convidada, art. 6(1)(f) RGPD (el client vol treballar amb aquesta persona).

8.5 Ajuda del nostre servei de suport

Per ajudar-lo amb un problema, el nostre servei de suport pot visualitzar el seu compte tal com vostè el veu. Cada accés d'aquest tipus es registra al registre d'activitat i apareix a la seva exportació de dades. Base jurídica: art. 6(1)(b) RGPD si ha demanat ajuda i, en cas contrari, art. 6(1)(f) RGPD (resolució de problemes).

8.6 Exportació i supressió

A Configuració pot descarregar les dades emmagatzemades del seu compte en un fitxer JSON, sense els hashes de contrasenya ni els secrets i sense les dades dels altres membres. Aquest fitxer no conté els resultats de les comprovacions, els detalls de comprovació ni les incidències (només els intents de lliurament de les escalades per destinació d'avís); estan disponibles com a informes al compte i com a fitxer a petició. Allà també pot suprimir el seu compte pel seu compte, sense necessitat d'enviar cap correu electrònic. Una subscripció de pagament en curs finalitza immediatament, per regla general sense reemborsament (les excepcions es recullen a les Condicions del servei); qui vulgui aprofitar primer el període pagat ha de cancel·lar la subscripció a l'àrea de Facturació amb efectes al final del període. Si el contracte del seu compte finalitza d'una altra manera, per exemple perquè nosaltres el resolem, pot exportar les dades fins al final del contracte, i suprimim el compte com a màxim 30 dies després del final del contracte. Juntament amb el compte, suprimim immediatament els seus espais de treball amb les dades que hi estan vinculades, inclosos els dominis, els resultats de les comprovacions i les captures de pantalla, els avisos, les incidències, els registres de proves, la configuració de marca, els portals de clients inclosos els subscriptors, la llista de les seves comprovacions de clients potencials (els informes corresponents continuen sent accessibles fins que caduquen els seus 90 dies), les claus d'API, els codis de connexió i les credencials de prova. Si algú altre encara treballa en un dels seus espais de treball, aquest espai passa a un altre membre —primer als administradors i, entre aquests, al que fa més temps que en forma part— en lloc de suprimir-se. Les dades següents es conserven fins que finalitza el seu propi termini de conservació: el registre d'activitat i el registre de visualitzacions de pàgina amb el número del seu antic compte, els correus electrònics enviats (30 dies, secció 11), la constància de la formalització del contracte (8.3), les sol·licituds de suport (secció 17), les dades de facturació durant el temps que exigeixi la normativa fiscal, les dades de comissions i els codis d'activació bescanviats, per als quals actualment no hi ha cap termini de conservació (secció 18), i les còpies de seguretat (3.4).

9. Dominis, comprovacions i supervisió

Per als clients. En la mesura que es vegin afectades dades personals de tercers, actuem per compte del client.

9.1 Dominis i verificació

Per a cada domini del seu compte, emmagatzemem el nom, l'acreditació de la seva autorització (registre DNS, metaetiqueta, fitxer o connector), els resultats de les comprovacions i la seva configuració, com ara la freqüència, la finestra de manteniment, les notes, l'etiqueta del client i el valor estimat d'una consulta. La freqüència depèn del seu pla i arriba fins a comprovacions diàries.

9.2 Supervisió de la informació disponible públicament

Entre comprovacions, consultem informació disponible públicament sobre el seu domini:

• els registres DNS (SPF, DMARC, MX), el certificat TLS i les capçaleres de seguretat;
• la data de caducitat del domini mitjançant el servei RDAP del registre responsable; només es transmet el nom del domini;
• la disponibilitat de les pàgines dels seus formularis (comprovació periòdica del formulari, cada 10, 15 o 30 minuts segons el pla);
• les pàgines públiques d'estat dels serveis de CAPTCHA i de correu que utilitza el seu lloc web; no transmetem cap informació sobre vostè en fer-ho;
• les vulnerabilitats de seguretat conegudes dels connectors de formularis, CAPTCHA i correu i, setmanalment per als dominis verificats, del CMS, dels connectors i del tema, les versions dels quals llegim des de l'exterior a partir de la seva pàgina d'inici. La comparació es fa amb la base de dades oberta WPVulnerability; només es transmeten l'identificador d'un connector o tema (sense versió) i la versió de WordPress, no el seu domini;
• diàriament, si les adreces del seu servidor web, l'adreça del servidor del qual procedia l'últim correu del seu formulari (obtinguda de la comprovació del lliurament) o el seu domini i el domini remitent d'aquest correu figuren en llistes de bloqueig DNS per correu brossa (SpamCop, PSBL, Mailspike, SURBL); només es consulten dominis i adreces IP de servidors, sense dades de visitants;
• si està configurat, si Google Web Risk inclou la seva pàgina d'inici com a pàgina de programari maliciós o de pesca de credencials; només es transmet l'adreça de la pàgina d'inici;
• setmanalment per als dominis verificats, si hi ha fitxers exposats que mai no haurien de ser públics (com ara una còpia de seguretat de la configuració o un bolcat de la base de dades). En fer-ho, llegim com a màxim els primers 8 KB d'un fitxer per reconèixer-lo i només emmagatzemem el camí, el tipus i la gravetat del resultat, mai el contingut.

9.3 Recorreguts dels formularis i comprovacions al navegador

Per als formularis supervisats, emmagatzemem les adreces dels formularis, els selectors, els clics previs i els passos de comprovació sintètics, el navegador triat per a la comprovació, així com la persona responsable i la data límit. Les comprovacions al navegador emplenen un formulari com a màxim fins al punt anterior a l'enviament; no envien res ni inicien cap comanda ni pagament. Els resultats inclouen l'estat, les categories tècniques d'error, els missatges d'error sanejats i els temps, i poden incloure una imatge petita del formulari en què els camps d'entrada estan emmascarats. Aquest emmascarament només existeix a les comprovacions al navegador; les captures de pantalla de la comprovació completa del rastrejador no estan censurades (secció 7.1). Els mesuraments dels nostres navegadors de comprovació no són mesuraments dels seus visitants.

Està prevista una segona sonda independent que confirmi els resultats, però actualment no està configurada. Només rebria el domini, la configuració sanejada i l'identificador de la tasca, mai credencials d'inici de sessió, captures de pantalla ni dades de visitants; n'indicarem prèviament l'operador a la llista de Subencarregats del tractament.

9.4 Comprovació que requereix iniciar sessió

Als plans de pagament, els propietaris i els administradors d'un espai de treball poden emmagatzemar un compte de prova del seu propi lloc web per a un domini verificat, perquè el rastrejador pugui llegir els formularis de l'àrea que requereix iniciar sessió. S'hi aplica el següent:

• El nom d'usuari i la contrasenya es xifren al servidor web amb una clau que només el servidor d'escaneig pot obrir; el servidor web, la base de dades i les còpies de seguretat només els contenen en format xifrat. No es mostren mai, no es registren mai als registres tècnics ni es proporcionen a través de la interfície; la interfície d'usuari només mostra el primer caràcter i la longitud del nom d'usuari. La còpia xifrada adjunta a una tasca de comprovació s'elimina després de l'execució i, com a màxim, al cap d'una hora.
• El compte de prova només s'utilitza a la comprovació completa del rastrejador, no a les comprovacions al navegador (9.3).
• A l'àrea que requereix iniciar sessió, el rastrejador llegeix com a màxim cinc pàgines especificades. No hi envia res, no hi fa captures de pantalla (s'hi poden mostrar dades del compte) i no segueix enllaços per tancar la sessió, eliminar o cancel·lar.
• Si elimina les credencials d'inici de sessió, sobreescrivim el valor xifrat i l'eliminem; també desapareix juntament amb el domini.

Utilitzi únicament un compte de prova creat expressament per a aquesta finalitat i que no contingui dades reals de clients. Tractem per compte seu el que el rastrejador veu a l'àrea que requereix iniciar sessió.

9.5 Altres funcions

Inventari de scripts: Si l'activa, mantenim una llista dels scripts de les pàgines dels seus formularis amb l'adreça i la suma de verificació, informem dels scripts nous o modificats i, quan se n'autoritza un, emmagatzemem qui l'ha autoritzat, quan i amb quina justificació. Accessibilitat: A partir de l'última comprovació, el Servei pot generar un esborrany d'informació d'accessibilitat per als seus formularis; les dades de l'empresa que hi introdueixi es queden al seu navegador. Comparatives: Per fer una comparació sectorial, avaluem els resultats de tots els clients únicament de manera agregada; no hi apareixen llocs web individuals.

Base jurídica de la secció 9: art. 6(1)(b) RGPD; per a les dades personals de tercers que es fan visibles durant una comprovació, les seves instruccions en virtut de l'Acord d'encàrrec del tractament. Termini de conservació: el domini, la verificació, la configuració, els recorreguts dels formularis i les credencials de prova es conserven fins que els elimina o elimina el domini o el seu compte; l'inventari de scripts i els seus canvis, fins que elimina el domini o el seu compte (no tenen un termini de conservació separat); els resultats de les comprovacions, els resultats de les comprovacions al navegador i els temps, com a màxim durant 13 mesos (l'última comprovació es conserva mentre el domini sigui al compte).

10. Notificacions

Per als clients i els destinataris que introdueixen.

Enviem avisos i informes a les destinacions que vostè configura: adreces de correu electrònic, adreces de webhook pròpies, Slack, Discord, Microsoft Teams, Google Chat o Telegram. Els canals de xat i els webhooks estan disponibles als plans Pro i Business. Un missatge conté el domini, l'esdeveniment, una descripció breu i un enllaç al seu compte i, en el cas de els avisos de comprovació, l'enllaç de l'informe, que permet accedir als resultats i a les captures de pantalla sense iniciar sessió (Telegram només rep l'enllaç a la pàgina del domini del seu compte, que requereix iniciar sessió); no conté el contingut dels correus electrònics dels formularis. Emmagatzemem:

• les destinacions (adreça de correu electrònic, de webhook o de xat; per als webhooks, un secret de signatura) fins que les elimina o elimina el domini;
• un registre d'enviament amb el moment, l'esdeveniment i el resultat: 90 dies;
• les notificacions recopilades per als informes diaris i setmanals: fins a 30 dies després de l'enviament;
• les incidències amb un enllaç de confirmació de recepció: mentre no s'hagin resolt i, després, durant 180 dies des de la resolució. Es registra qui confirma la recepció d'una incidència amb el nom introduït o la seva adreça de correu electrònic. Les incidències de les quals no s'ha confirmat la recepció es poden escalar a altres destinacions; amb aquesta finalitat, per a cada destinació emmagatzemem el nombre i els moments dels intents de lliurament (com a màxim cinc), si el lliurament ha estat correcte i qualsevol error, mentre existeixi la incidència. Una incidència només es tanca quan el problema s'ha resolt; confirmar-ne la recepció no la finalitza per si sol.

Telegram: Per a Telegram fem funcionar el nostre propi bot. Vostè l'enllaça mitjançant un enllaç amb un codi d'un sol ús vàlid durant 30 minuts; quan prem «Start» al bot, el nostre servidor recupera aquest missatge de Telegram i emmagatzema l'identificador del seu xat (chat ID) com a destinació d'avís. Durant aquest procés, Telegram també facilita el seu nom de Telegram; no l'emmagatzemem. Suprimim el codi mateix com a mínim al cap d'un dia, tan aviat com es crea un altre codi. L'identificador del xat es conserva fins que elimina l'avís o el domini.

Els serveis de xat tracten els missatges d'acord amb les seves pròpies condicions i el contracte que vostè hi té; alguns estan establerts fora de la UE (secció 22). En el cas dels destinataris que no són clients, actuem per compte seu; informi'ls-en.

Base jurídica: art. 6(1)(b) RGPD; per als destinataris que no són clients, les seves instruccions. Requisit: no hi ha avís sense destinació; les comprovacions s'executen igualment.

11. Els nostres correus electrònics

Per als clients i totes les persones a qui escrivim.

Enviem correus electrònics per confirmar la seva adreça, per restablir la contrasenya, per a invitacions, avisos i informes, com a confirmació de recepció de sol·licituds de suport i amb avisos sobre el seu compte i la facturació. Namecheap, Inc. (Private Email), Phoenix, Arizona, USA s'encarrega de l'enviament i la recepció dels nostres correus electrònics. El nostre domini i els seus registres DNS els gestiona Namecheap, Inc., Phoenix, Arizona, USA; fins que es configuri la bústia a Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, Namecheap també reenvia els correus electrònics generals adreçats al nostre domini. Les còpies de control de la comprovació del lliurament no hi passen. Conservem els correus electrònics enviats, inclosos el destinatari, l'assumpte i el contingut, durant 30 dies per poder resoldre problemes de lliurament; no durant més temps, perquè també contenen enllaços de confirmació i de restabliment vàlids.

Enviem tres correus electrònics sense una sol·licitud expressa seva:

• Informe mensual: al començament del mes, un resum de les comprovacions i les notificacions dels seus dominis. Se'n pot donar de baixa a la configuració.
• Recordatori de configuració: un únic correu electrònic entre dos i catorze dies després del registre si el seu compte està confirmat però encara no té cap domini verificat: «Afegir un lloc web» o «Verificar el domini», sense cap oferta, preu ni ampliació de pla. No es torna a enviar.
• Final de la prova: tres dies abans que acabi una prova, un avís del que passa a continuació.

Base jurídica: art. 6(1)(b) RGPD per als correus electrònics que formen part del contracte, inclosos l'informe mensual i l'avís de la prova; per al recordatori de configuració, art. 6(1)(f) RGPD, perquè un compte sense domini no pot utilitzar el Servei i molts clients simplement obliden configurar-lo. No enviem publicitat.

12. Distintiu i registre de proves

Per als clients que utilitzen el distintiu o el registre de proves, i per als visitants dels llocs web amb un distintiu.

Distintiu: Si incrusta el nostre distintiu al seu lloc web, el navegador de cada visitant d'aquesta pàgina carrega la imatge del distintiu des del nostre servidor. Durant aquest procés, rebem les dades habituals de connexió —adreça IP, moment, identificador del navegador i pàgina on apareix el distintiu—, que només queden al registre del servidor web (14 dies, secció 3.1), no al registre de visualitzacions de pàgina. El distintiu no estableix galetes, no inicia cap sessió i no conté cap script. La pàgina pública de confirmació mostra el domini, el nivell i la data de l'última comprovació, sense resultats individuals; qualsevol persona que l'obre és un visitant del nostre lloc web (seccions 3 i 4). La base jurídica és l'art. 6(1)(f) RGPD; el nostre interès legítim és lliurar el distintiu que el client incrusta. El client ho esmenta a la seva pròpia política de privacitat (blocs de text).

Registre de proves: Als plans de pagament pot generar un registre de les comprovacions per a cada domini i cada mes. Mitjançant el número de verificació corresponent, una pàgina pública confirma el domini, el període i les xifres principals, sense detalls. Perquè més endavant es pugui determinar si s'ha modificat un registre, el fem signar per una autoritat de segellament de temps. Només li transmetem un hash del registre, del qual no es pot recuperar cap contingut; actualment, aquestes autoritats són Certum (Asseco Data Systems S.A., Polònia) i, com a alternativa de reserva, DigiCert, Inc. (EUA). Els registres es conserven fins que elimina el domini. La base jurídica és l'art. 6(1)(b) RGPD.

13. Connector de WordPress i extensió de TYPO3

Per als clients que utilitzen el connector o l'extensió i per als visitants dels seus llocs web.

13.1 Què es queda al lloc web del client

El nostre connector de WordPress i la nostra extensió de TYPO3 s'executen al servidor del client. El que el connector de WordPress hi emmagatzema es queda en aquest lloc web; nosaltres no hi tenim accés i el seu operador és el responsable del tractament:

• Quarantena: els enviaments que la capa de protecció reté com a missatges brossa, inclosos el contingut dels camps i l'adreça de resposta, durant un màxim de 14 dies, perquè un missatge retingut erròniament es pugui lliurar amb un sol clic;
• Xarxa de seguretat: les còpies dels correus electrònics de formularis que no s'han pogut enviar (destinatari, assumpte, text i línies de capçalera, com ara l'adreça de resposta; dels fitxers adjunts, només el nom), durant un màxim de 30 dies, perquè es puguin tornar a enviar;
• Repte de càlcul: el navegador del visitant resol una petita tasca plantejada pel mateix lloc web; sense galetes ni serveis de tercers;
• Termini de conservació: a petició, el connector suprimeix les consultes emmagatzemades de determinats connectors de formularis al cap de 90, 180 o 365 dies;
• Recomptes dels formularis (desactivats per defecte): visualitzacions, inicis, errors de validació i intents d'enviament per formulari i, si s'activen per separat, categories d'error per posició del camp, sense dades introduïdes, noms de camps, galetes ni identificadors persistents de visitants, durant un màxim de 14 dies al lloc web. Un identificador derivat de l'adreça IP per limitar les sol·licituds caduca al cap d'un minut i no se'ns envia;
• Ajuda als visitants (es pot activar per separat): després d'un error d'enviament, un avís permet tornar al formulari, que continua obert, i, si es vol, indica una adreça de correu electrònic; no llegeix les dades introduïdes, no emmagatzema esborranys i no torna a enviar res pel seu compte;
• les regles noves contra missatges brossa poden fer recomptes localment durant set dies sense retenir res.

El mateix connector de WordPress afegeix els paràgrafs adequats a la guia de política de privacitat de WordPress; trobarà altres textos a Text de política de privacitat per al seu lloc web. L'extensió de TYPO3 no emmagatzema contingut dels formularis; afegeix una metaetiqueta a cada pàgina per verificar el domini i fa recomptes.

13.2 Enregistrador

Amb l'enregistrador, un administrador de WordPress que ha iniciat sessió enregistra el recorregut fins a un formulari del seu propi lloc web. L'enregistrador conserva els selectors tècnics i els passos de navegació a l'emmagatzematge de sessió del seu navegador durant un màxim de 15 minuts i transfereix la configuració seleccionada al compte connectat. No llegeix cap dada introduïda. L'enregistrador no es carrega mai per als visitants.

13.3 Què se'ns envia

El connector i l'extensió ens transmeten, segons la funció i, excepte en el cas d'una comprovació del propi lloc web sense compte, només mentre el lloc web està connectat a un compte:

• el nom d'amfitrió, una clau pública i un secret amb què s'identifica el lloc web, les versions del connector i del CMS i la llengua;
• xifres diàries: enviaments bloquejats per motiu, enviaments acceptats, correus electrònics enviats i no enviats amb el tipus d'error, xifres sobre les respostes de reCAPTCHA i sobre les consultes suprimides automàticament; si s'activen els recomptes, les seves xifres diàries;
• característiques de la configuració dels formularis en forma de xifres, com ara quants formularis utilitzen l'adreça del visitant com a remitent, i les versions de determinats connectors de formularis, CAPTCHA i correu d'una llista fixa;
• les actualitzacions, activacions i desactivacions de connectors, temes i CMS amb els noms i les versions, el mode de manteniment i la fallada d'un correu electrònic d'un formulari (només el tipus d'error);
• la configuració d'un recorregut de formulari seleccionat per l'enregistrador;
• per a la protecció col·lectiva (activada per defecte), els dominis dels enllaços dels missatges bloquejats. Els avisos de molts llocs web generen una llista de dominis de missatges brossa que recuperen tots els connectors connectats. Amb aquesta finalitat no transmetem adreces IP ni xarxes dels remitents.

El connector i l'extensió no transmeten cap contingut dels formularis a part d'aquests dominis dels enllaços, ni adreces de correu electrònic, noms o adreces IP dels visitants. Suprimim les xifres diàries i els avisos de canvis al cap de 13 mesos, i els senyals de protecció col·lectiva al cap de 30 dies; la informació d'un lloc web que no pertany a cap domini d'un compte se suprimeix després de 90 dies sense contacte.

Base jurídica: art. 6(1)(b) RGPD; per a la protecció col·lectiva, art. 6(1)(f) RGPD (defensa conjunta contra missatges brossa en molts llocs web). Aquesta informació només constitueix dades personals en casos excepcionals, per exemple si un nom d'amfitrió conté el nom d'una persona.

14. Funcions per a agències

Per a les agències i per a les persones que entren en contacte amb els seus portals i informes.

• Portal de clients: Una agència pot donar als seus clients accés a un portal amb els resultats dels seus dominis. Qui se subscriu a l'informe mensual del portal facilita la seva adreça de correu electrònic i la confirma mitjançant un enllaç (doble confirmació del consentiment). Emmagatzemem l'adreça, la llengua, el moment i l'adreça IP de la subscripció, el moment de la confirmació i l'últim mes enviat. Suprimim les subscripcions no confirmades al cap de 30 dies. És possible donar-se'n de baixa en qualsevol moment mitjançant l'enllaç de cada correu electrònic; després, conservem la constància de la subscripció durant tres anys més, però com a màxim fins que se suprimeix l'espai de treball de l'agència; si l'agència només revoca el portal, els subscriptors continuen emmagatzemats. El portal i els informes apareixen sota el nom de l'agència; l'agència és la responsable del tractament i nosaltres actuem per compte seu. La base jurídica de l'agència és el consentiment del subscriptor.
• Marca pròpia: el nom de l'empresa, el lloc web, les dades de contacte, els colors i el logotip que una agència emmagatzema apareixen als seus informes i al portal fins que els modifica o els elimina.
• Domini propi: Al pla Business, una agència pot mostrar el portal i els informes sota el seu propi subdomini. Amb aquesta finalitat, en comprovem els registres DNS diàriament. Actualment la funció no està activada.
• Comprovació de clients potencials: Una agència pot sol·licitar la comprovació del lloc web d'un client potencial sense enviament de prova (secció 7). És la mateixa agència qui transmet l'enllaç al resum dels resultats; nosaltres no escrivim a ningú. Suprimim la comprovació al cap de 90 dies. Només l'agència és responsable de contactar amb el client potencial.
• Claus d'API i codis de connexió: Només els emmagatzemem en forma de hash amb un prefix curt, juntament amb la seva etiqueta, el moment de l'últim ús (claus d'API) o el nombre de bescanvis (codis de connexió) i el nombre de crides per minut (durant un dia com a mínim; se suprimeix en crides posteriors).

Base jurídica: art. 6(1)(b) RGPD en relació amb l'agència; per als subscriptors i els clients potencials, vegi més amunt.

15. Comprovació del lliurament

Per als clients que l'activen i per als visitants dels seus llocs web. Per a les dades dels visitants, som l'encarregat del tractament del client.

La comprovació opcional del lliurament respon a la pregunta de si el correu electrònic d'un formulari de contacte s'envia realment. Amb aquesta finalitat, el client introdueix una de les nostres adreces de control com a còpia oculta (BCC) a la configuració de correu del seu formulari. Com a resultat, no només rebem el nostre propi enviament de prova, sinó una còpia de cada correu electrònic del formulari, incloses les consultes reals dels seus visitants amb els seus noms, adreces i missatges.

El que hi fem, i només això, és el següent: una recuperació automàtica llegeix les capçaleres i com a màxim els primers 8 KB del text, assigna el correu electrònic a un domini mitjançant l'adreça de control i, si escau, a un enviament de prova, i comprova els elements d'autenticitat SPF, DKIM i DMARC. Després d'un tractament correcte, el correu electrònic se suprimeix. Si la recuperació o la supressió falla, un correu electrònic pot romandre a la bústia fins a la pròxima execució correcta; la bústia està allotjada al nostre proveïdor de serveis de correu (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Les còpies només s'avaluen automàticament.

A la nostra base de dades només emmagatzemem el moment, l'assignació al domini i, si escau, l'identificador de l'enviament de prova durant 180 dies, i el resultat tècnic d'autenticitat (SPF, DKIM, DMARC) del correu electrònic rebut més recentment fins que el següent correu el substitueix o s'elimina el domini. Aquest resultat d'autenticitat inclou l'adreça IP del servidor remitent i el domini del correu electrònic del remitent; aquest domini només s'esmenta en un avís al client si no pertany al lloc web. Si un formulari introdueix l'adreça del visitant com a remitent, es tracta del domini del proveïdor de correu electrònic del visitant. No emmagatzemem el contingut dels correus electrònics ni les adreces completes dels remitents. Si no arriba cap còpia en unes quantes hores després d'un enviament de prova, n'informem el client.

La recepció només demostra que la còpia assignada ha arribat a la nostra bústia de control, no la recepció pel destinatari real ni la creació d'una entrada al CRM. Els formularis pels quals passen categories especials de dades personals (com ara informació de salut) no s'haurien de connectar a la comprovació del lliurament. El client informa els seus visitants d'aquest flux de dades; hi ha un text per fer-ho a Text de política de privacitat per al seu lloc web. Sense una bústia de control configurada, la comprovació no està disponible.

Base jurídica: per al client, habitualment l'art. 6(1)(f) RGPD (recepció fiable de consultes); nosaltres tractem les dades d'acord amb les seves instruccions (art. 28 RGPD).

16. Model de llenguatge al nostre propi servidor i «Fix it for me»

Per als clients i els usuaris de la comprovació gratuïta.

Un model de llenguatge s'executa al nostre propi servidor d'escaneig, no en un proveïdor d'IA. Ajuda a classificar els formularis (secció 7), resumeix els resultats dels escaneigs en forma d'un pla d'acció prioritzat per als comptes de pagament i, amb «Fix it for me», insereix protecció al codi de formulari que vostè hi enganxa. El codi enganxat només es tracta per a aquesta sol·licitud, no s'emmagatzema i no s'utilitza per a l'entrenament; al registre d'activitat només registrem que s'ha utilitzat la funció, amb el llenguatge de programació, la longitud del codi i el resultat (també per a la quota diària). No hi enganxi credencials d'inici de sessió ni dades personals. «Fix it for me» funciona sense accedir al seu lloc web; vostè mateix hi insereix el codi. Trobarà més informació a Reglament d'intel·ligència artificial de la UE: com formexposed utilitza la IA. Base jurídica: art. 6(1)(b) RGPD.

Plans d'acció als informes de pagament. Per a les comprovacions de dominis de comptes de pagament que compleixen els requisits, el mateix model local també redacta un pla d'acció breu i prioritzat a partir del nom d'amfitrió, el resultat global i la puntuació, el CMS, el tipus de formulari pertinent i l'adreça de la pàgina, els connectors identificats que hi pugui haver i determinats resultats negatius o no concloents de les comprovacions. Amb aquesta finalitat no rep captures de pantalla ni valors enviats als formularis. El pla s'identifica com a resum d'IA; els resultats individuals de les comprovacions continuen sent els que prevalen. No modifica el lloc web ni el resultat de l'escaneig. La sol·licitud s'emmagatzema temporalment a la nostra cua interna de tasques. Després de recollir el resultat, se suprimeix l'entrada de la cua; la neteja programada també suprimeix les entrades de la cua de més d'una hora d'antiguitat. El text generat, la llengua, l'estat i la marca de temps s'emmagatzemen amb el resultat de l'escaneig i segueixen el seu termini de conservació, inclosa la conservació de l'última comprovació completada de cada domini i la supressió quan s'elimina el domini.

Rols en relació amb el pla d'acció. S'aplica la mateixa distinció que per a la comprovació subjacent. Quan comprovem un domini verificat del Client d'acord amb les seves instruccions, la fase del pla d'acció forma part d'aquest tractament per compte seu; quan una agència actua per al seu propi client, s'aplica la cadena existent de responsable, encarregat i subencarregat del tractament. Per a les comprovacions passives de dominis no verificats de les quals nosaltres mateixos som el responsable del tractament, aquesta condició es continua aplicant. El fet de complir els requisits per obtenir un informe de pagament no demostra per si sol el control del domini ni modifica el rol en matèria de protecció de dades. La referència a l'art. 6(1)(b) anterior es refereix a la prestació de la funció sol·licitada al titular del compte; no és una base jurídica general per a les dades personals d'altres persones que hi puguin aparèixer incidentalment. Per a les comprovacions passives de les quals som el responsable del tractament, s'apliquen la base jurídica, l'avaluació de l'interès legítim i les opcions d'oposició descrites a la secció 7, inclòs l'art. 6(1)(f). Quan actuem d'acord amb les instruccions del Client, el Client o l'altre responsable del tractament ha d'establir la seva pròpia base jurídica aplicable. Els noms d'amfitrió, les adreces de les pàgines i les notes dels resultats de comprovació poden contenir incidentalment dades personals; la generació local no les anonimitza.

17. Suport, contacte i notificacions de vulnerabilitats de seguretat

Per a totes les persones que ens escriuen.

Si ens escriu mitjançant la finestra de suport o la pàgina de contacte, tractem la seva adreça de correu electrònic, el seu missatge, el tema triat, la pàgina des de la qual escriu, la llengua, la seva adreça IP, el país que hi correspon, l'identificador del navegador i, si ha iniciat sessió, el seu número de compte, per respondre a la seva sol·licitud i prevenir abusos del formulari. Rep una confirmació de recepció per correu electrònic a l'adreça que ha facilitat; si ha iniciat sessió, reprodueix el començament del seu missatge (fins a 2.000 caràcters); en cas contrari, no conté el seu text. Com tots els correus electrònics enviats, es conserva durant 30 dies (secció 11). Un senyal de Telegram que no conté cap contingut ni informació sobre vostè ens notifica les sol·licituds noves. Si ens envia un correu electrònic, tractem la seva adreça i el seu missatge. Gestionem les notificacions de vulnerabilitats de seguretat de la mateixa manera. Suprimim les sol·licituds al cap de 24 mesos des de la recepció, encara que suprimeixi el seu compte abans; documenten el que s'ha preguntat i el que s'ha respost.

Base jurídica: art. 6(1)(b) RGPD si la sol·licitud es refereix a un contracte amb nosaltres i, en cas contrari, art. 6(1)(f) RGPD (resposta, prevenció d'abusos, proves). Requisit: sense una adreça de correu electrònic no podem respondre.

18. Pagaments, prova i programa de col·laboradors

Per als clients amb un pla de pagament i per als col·laboradors.

Facturem els plans de pagament mitjançant Stripe. El proveïdor és Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ireland. Vostè introdueix les dades de pagament directament a Stripe; nosaltres no les veiem. Stripe rep la seva adreça de correu electrònic i el seu nom i, durant el procés de pagament, la seva adreça de facturació i, si escau, el número d'identificació a efectes d'IVA, i emet les factures. Nosaltres només conservem els identificadors del client i de la subscripció a Stripe, el pla, l'estat, el final del període de facturació i els identificadors i tipus dels esdeveniments que Stripe ens comunica.

Pot iniciar una prova sense targeta; si no hi ha cap mètode de pagament, finalitza automàticament. Si un proveïdor d'allotjament o un col·laborador li ha donat un codi d'activació, emmagatzemem quin compte l'ha bescanviat i quan, i fins quan s'aplica el pla.

Stripe també tracta dades com a responsable independent del tractament, per exemple per prevenir el frau i complir obligacions legals, i les pot transferir a Stripe, Inc. als EUA (secció 22). Trobarà més informació a la política de privacitat de Stripe.

Programa de col·laboradors: El programa s'ha desenvolupat, però actualment no està activat. Si s'activa, s'hi aplica el següent: cada compte té un codi de recomanació. Qui es registra mitjançant un enllaç de recomanació queda assignat al col·laborador durant un nombre limitat de mesos; emmagatzemem l'assignació i el moment en què s'ha fet i, per a cada factura pagada, l'import net i la comissió. El col·laborador només veu xifres —quants comptes s'han registrat, quants paguen i el total de les seves comissions—, sense noms ni adreces. S'apliquen les Condicions per als col·laboradors. Actualment conservem les dades dels col·laboradors, les assignacions i les comissions sense un termini de conservació fix, així com la informació dels codis d'activació bescanviats; establirem un termini de supressió i l'indicarem aquí.

Base jurídica: art. 6(1)(b) RGPD; per a la conservació de les dades de facturació i, quan sigui necessària a efectes fiscals, de les dades de comissions, art. 6(1)(c) RGPD; per a l'assignació a un col·laborador, art. 6(1)(f) RGPD (liquidació de la comissió). Conservem les dades de facturació durant el temps que exigeix la normativa fiscal; segons el dret polonès (art. 86 en relació amb l'art. 70 de l'Ordenança tributària polonesa, Ordynacja podatkowa), per regla general fins que hagin transcorregut cinc anys des del final de l'any natural en què l'impost va esdevenir exigible. Requisit: no hi ha pla de pagament sense dades de pagament; el pla gratuït continua estant disponible.

19. Exclusió d'un domini (opt-out)

Per als operadors de llocs web que no volen que els comprovem.

Mitjançant la pàgina d'exclusió voluntària pot excloure un domini de comprovacions posteriors. L'exclusió s'aplica al domini i a la seva variant www, no als altres subdominis, i també s'aplica davant dels clients de pagament que han verificat el domini; la supervisió en curs finalitza amb la pròxima comprovació programada. Només nosaltres podem aixecar l'exclusió, a petició i amb l'acreditació que vostè controla el domini. Emmagatzemem el domini, el motiu que es faciliti voluntàriament, la seva adreça IP, el país que hi correspon i l'identificador del navegador. Suprimim l'adreça IP, el país i l'identificador del navegador al cap de 12 mesos; l'exclusió mateixa es manté permanentment, perquè, en cas contrari, el domini es tornaria a comprovar. Necessitem aquesta informació per fer efectiva la seva voluntat de manera permanent i per reconèixer si algú exclou de manera abusiva dominis d'altres persones. Base jurídica: art. 6(1)(f) RGPD; el nostre interès legítim és fer efectiva la seva voluntat de manera permanent i reconèixer els abusos del formulari. Si la seva intenció és que l'exclusió constitueixi una oposició en virtut de l'art. 21 RGPD, la fem efectiva d'aquesta manera.

20. Per als visitants dels llocs web dels nostres clients

Per a les persones que visiten un lloc web o hi envien un formulari i l'operador del qual utilitza formexposed.

L'operador d'aquest lloc web n'és el responsable del tractament, no nosaltres. L'operador decideix quines funcions utilitza i l'ha d'informar sobre aquestes funcions a la seva pròpia política de privacitat. Ens pot arribar el següent:

• Distintiu: les dades de connexió del seu navegador en carregar la imatge, durant 14 dies al registre del servidor web, sense galeta; en aquest cas som el responsable del tractament per al lliurament de la imatge (secció 12).
• Comprovació del lliurament: una còpia del seu correu electrònic del formulari, que s'avalua automàticament i se suprimeix; som l'encarregat del tractament (secció 15).
• Connector de WordPress i extensió de TYPO3: xifres diàries sense cap referència a vostè i, per a la protecció col·lectiva, els dominis dels enllaços de missatges bloquejats; la quarantena i la xarxa de seguretat es queden al lloc web (secció 13).
• Portal de clients: la seva adreça de correu electrònic si se subscriu a un informe al portal; som l'encarregat del tractament de l'agència (secció 14).
• Protecció de formularis (formconfirmed): si l'operador la utilitza, el seu navegador obté una tasca del nostre servidor en obrir-se la pàgina i la resol en segon pla; en enviar el formulari, el servidor de l'operador ens fa verificar el resultat. Es tracten la seva adreça IP (emmagatzemada només de forma escurçada i com a valor hash, com a màxim una hora; com qualsevol sol·licitud, 14 dies al registre del servidor web), l'adreça de la pàgina, el temps d'emplenament, si s'ha emplenat un camp invisible i —només si l'operador activa la comprovació del contingut— el text del seu missatge, que un model de llenguatge avalua a la memòria de treball del nostre propi servidor i no emmagatzema. Sense galetes, sense emmagatzematge al navegador, sense empremta digital. Som l'encarregat del tractament de l'operador (Acord d'encàrrec del tractament, annex 1, punt 10).

És preferible que exerceixi els seus drets davant de l'operador del lloc web; l'operador coneix el context i ens pot donar instruccions. Si contacta amb nosaltres, transmetem la seva sol·licitud a l'operador o la gestionem nosaltres mateixos en la mesura que siguem el responsable del tractament. El que podem trobar i el que no podem trobar en fer-ho s'exposa a Accés, supressió i els seus altres drets.

21. Destinataris

Només transmetem dades personals quan aquesta política ho indica. No venem, lloguem ni intercanviem dades. Categories de destinataris:

Destinatari (domicili social)	Categoria	Finalitat
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	encarregat del tractament; lloc del tractament pendent de verificar	enviament i recepció dels nostres correus electrònics; bústia de control de la comprovació del lliurament
Namecheap, Inc. (EUA)	encarregat del tractament	domini, DNS; fins que es configura la bústia, reenviament dels correus electrònics generals adreçats al nostre domini (no de les còpies de control de la comprovació del lliurament)
Stripe Payments Europe, Ltd. (Irlanda), Stripe, Inc. (EUA)	en gran part, responsable independent del tractament; encara estem examinant la distribució exacta dels rols	pagaments i factures
Google Ireland Ltd., Google LLC (EUA)	responsable independent del tractament	reCAPTCHA
Telegram (fora de l'EEE)	destinació triada pel client; enviem el missatge a través del nostre bot. També és un canal de notificació per a nosaltres	avisos, si tria Telegram; senyals operatius sense dades personals
Slack, Discord, Microsoft (Teams), Google (Chat), els seus webhooks (en part als EUA)	destinacions triades pel client	avisos
El públic	–	enllaços d'informes, pàgines de confirmació, resultats de l'estudi (només agregats)
Membres del seu espai de treball	usuaris del mateix compte	col·laboració, segons el rol
Autoritats, tribunals, CERT Polska, assessors	responsables independents del tractament	només quan hi ha una obligació legal, per formular, exercir o defensar reclamacions i en cas d'ús indegut del nostre Servei o d'atacs contra tercers (art. 6(1)(c) o (f) RGPD)

Els destinataris següents no reben dades personals: els serveis RDAP dels registres, localitzats mitjançant el directori de la IANA, i, per a l'antiguitat del domini a la comprovació gratuïta, el servei intermediari rdap.org (només noms de domini); WPVulnerability a wpvulnerability.net (només l'identificador d'un connector sense versió, l'identificador d'un tema o la versió de WordPress); les pàgines d'estat dels serveis de CAPTCHA i de correu (res més que la sol·licitud mateixa); les autoritats de segellament de temps Certum i DigiCert (només hashes); les llistes de bloqueig DNS SpamCop, PSBL, Mailspike i SURBL (només dominis i adreces IP de servidors); Google Web Risk, si està configurat (només l'adreça de la pàgina d'inici), i els altres connectors connectats de la protecció col·lectiva (només dominis de missatges brossa). La llista completa i mantinguda dels nostres encarregats del tractament amb el seu domicili social i la base de transferència està disponible a Subencarregats del tractament; anunciem els canvis als clients amb 30 dies d'antelació.

22. Transferències a tercers països

Si un destinatari està establert fora de l'Espai Econòmic Europeu, només transferim dades si es compleixen les condicions de l'art. 44 i següents RGPD:

• EUA: sobre la base de la decisió d'adequació de la Comissió Europea relativa al Marc de Privacitat de Dades UE-EUA (Decisió d'execució (UE) 2023/1795, art. 45 RGPD), en la mesura que el destinatari hi estigui certificat. Encara estem verificant, per a aquesta versió, si Google, Stripe i Namecheap estan certificats per als serveis afectats i, per tant, no ho afirmem; quan no hi ha certificació, sobre la base de les clàusules contractuals tipus de la Comissió Europea (Decisió d'execució (UE) 2021/914, art. 46(2)(c) RGPD).
• El nostre proveïdor de serveis de correu: encara estem verificant on tracta les dades Namecheap, Inc. (Private Email), Phoenix, Arizona, USA i sobre quina base es poden transferir a un tercer país. L'estat actual s'indica a la pàgina de Subencarregats del tractament.
• Serveis de xat i webhooks que vostè mateix tria: Slack, Discord, Microsoft Teams, Google Chat i els webhooks reben els seus avisos mitjançant una adreça que vostè genera al seu compte d'aquest servei; la relació contractual amb el proveïdor i qualsevol base necessària per a la transferència a un tercer país són responsabilitat seva.
• Telegram: destinació triada pel client; enviem el missatge a través del nostre bot. Telegram està establert fora de l'EEE, en un país sense decisió d'adequació, i no tenim clàusules contractuals tipus amb Telegram. Actualment estem fent examinar sobre quina base de l'art. 44 i següents RGPD es fonamenta aquesta transferència; es considera la possibilitat d'aplicar l'art. 49(1)(b) RGPD, perquè vostè tria el canal pel seu compte. Triï Telegram només si això li resulta suficient; el correu electrònic sempre continua disponible com a alternativa.

Pot obtenir gratuïtament una còpia de les garanties en què basem una transferència sol·licitant-la a l'adreça de la secció 1. La decisió d'adequació i les clàusules contractuals tipus també es poden trobar al Diari Oficial de la UE (eur-lex.europa.eu), i la llista d'empreses certificades en el Marc de Privacitat de Dades, a dataprivacyframework.gov. Els nostres propis servidors es troben a Polònia; les dades que no rep cap dels destinataris esmentats no surten de la UE.

23. Resum dels terminis de conservació

Els terminis de conservació s'apliquen mitjançant una execució nocturna i, per al registre del servidor web, mitjançant la seva rotació diària. Quan diu «amb el domini», les dades desapareixen immediatament quan elimina el domini o el seu compte. Després romanen a les còpies de seguretat durant un màxim de 14 dies (secció 3.4).

Dades	Supressió
Registre del servidor web (incloses les sol·licituds del distintiu)	al cap de 14 dies
Registre de visualitzacions de pàgina	al cap de 60 dies
Registre d'errors	al cap de 90 dies
Registre d'activitat	al cap de 365 dies
Intents d'inici de sessió; límits de la comprovació gratuïta i de l'eina de capçaleres	al cap de 7 dies
Indicadors de comportament sospitós (comprovació gratuïta)	90 dies després de resoldre el cas
Dispositius amb sessió iniciada	90 dies després de l'últim ús
«Mantenir la sessió iniciada»; comptes mai confirmats; invitacions acceptades (les no acceptades, quan caduquen)	al cap de 30 dies
Informe sense compte, incloses les captures de pantalla	al cap de 30 dies
Versió PDF d'un informe a la memòria cau	al cap de 7 dies
Resultats de l'eina de capçaleres; comprovació del lloc web d'un client potencial	al cap de 90 dies
Comprovacions per a un estudi	quan se'n publiquen els resultats
Resultats de comprovacions, comprovacions al navegador i temps d'un domini del compte	al cap de 13 mesos (l'última comprovació, mentre el domini sigui al compte)
Domini, configuració, recorreguts dels formularis, registres de proves, destinacions d'avís i resultat d'autenticitat de l'últim correu electrònic d'un formulari	amb el domini
Inventari de scripts i els seus canvis	amb el domini (no hi ha cap termini de conservació separat)
Credencials de prova per a la comprovació que requereix iniciar sessió	quan les elimina, amb el domini; la còpia adjunta a la tasca de comprovació, després de l'execució i, com a màxim, al cap d'una hora
Xifres diàries i avisos de canvis del connector i de l'extensió, recomptes dels formularis	al cap de 13 mesos
Informació d'un lloc web amb el connector que no pertany a cap compte	90 dies després de l'últim contacte
Senyals de protecció col·lectiva; notificacions recopilades per als informes diaris i setmanals (des de l'enviament)	al cap de 30 dies
Recompte de crides a l'API; codis d'un sol ús de Telegram	com a mínim al cap d'un dia, amb la pròxima crida o el pròxim codi d'aquest tipus
Registre d'enviament d'avisos	al cap de 90 dies
Assignacions de la comprovació del lliurament; incidències amb confirmació de recepció i intents de lliurament de les escalades (les no resoltes es conserven)	al cap de 180 dies; per a les incidències, a partir de la seva resolució
Còpies dels correus electrònics de formularis a la bústia de control	després del tractament; en cas d'error, amb la pròxima execució correcta
Correus electrònics enviats	al cap de 30 dies
Sol·licituds de suport	al cap de 24 mesos
Comentaris sobre un informe	al cap de 24 mesos, immediatament amb el compte; la suma de verificació de l'adreça IP, al cap de 2 dies
Adreça IP, país i identificador del navegador relacionats amb una exclusió voluntària	al cap de 12 mesos (el domini continua exclòs)
Subscripcions no confirmades a l'informe mensual del portal de clients	al cap de 30 dies
Constància d'una subscripció cancel·lada	tres anys després de donar-se'n de baixa
Compte i dades personals	quan els suprimeix
Constància de la formalització del contracte	mentre existeix el compte; després de suprimir-lo, tan aviat com han transcorregut quatre anys des de l'acceptació
Dades de facturació	quan finalitza el termini de conservació fiscal
Assignacions i comissions del programa de col·laboradors; codis d'activació bescanviats	actualment no hi ha cap termini fix
Exemple d'un tipus d'error	actualment sense termini de conservació fix
Còpies de seguretat de la base de dades	al cap de 14 dies
Protecció de formularis: adreça IP escurçada i convertida en hash per reconèixer sol·licituds acumulades; testimonis de verificació utilitzats; resultats de la verificació sense adreça IP i sense text (acció, puntuació, motius, domini); xifres diàries sense vinculació personal	al cap d'una hora; al cap d'onze minuts com a màxim; al cap de 30 dies; al cap de 400 dies

24. Obligació de facilitar dades

No té cap obligació legal de facilitar-nos dades. Per a un compte, necessitem la seva adreça de correu electrònic, el seu nom i una contrasenya; sense aquestes dades, no es pot formalitzar cap contracte. Per als plans de pagament necessitem les dades de facturació; per a la comprovació del lliurament, una bústia de control; i per als avisos, una destinació. Tota la resta d'informació és voluntària. Les dades de connexió dels registres es generen tècnicament amb cada sol·licitud; sense aquestes dades, el servidor no pot respondre. La secció sobre el tractament corresponent indica què no es pot fer si no facilita alguna dada.

25. Decisions automatitzades i elaboració de perfils

No prenem decisions que produeixin efectes jurídics sobre vostè o que l'afectin significativament de manera similar basades únicament en un tractament automatitzat (art. 22 RGPD). No elaborem perfils de persones. Les nostres valoracions —nivell de risc, qualificació de capçaleres, «protegit» al distintiu— es refereixen a llocs web i formularis, no a persones.

Tanmateix, funcionen automàticament mecanismes de protecció que poden rebutjar sol·licituds individuals sense que les examini una persona: l'avaluació de reCAPTCHA i la nostra pròpia protecció dels formularis (secció 5), els límits i els indicadors de la comprovació gratuïta (secció 6) i el bloqueig després de massa intents d'inici de sessió (secció 8.2). Només impedeixen l'enviament individual; un intent rebutjat es pot repetir més endavant, i el correu electrònic continua disponible per a qualsevol sol·licitud. Si creu que un rebuig és incorrecte, escrigui'ns; una persona examinarà el cas. També suprimim automàticament els comptes que no s'han confirmat 30 dies després del registre.

26. Els seus drets

En virtut del RGPD, té els drets següents. Per a cadascun, indiquem la manera més ràpida d'exercir-lo. Llevat que s'indiqui el contrari, n'hi ha prou amb un correu electrònic a contact@lukaswojcik.com. Responem sense dilació indeguda i, en qualsevol cas, en el termini d'un mes des de la recepció; en cas de sol·licituds complexes o nombroses, el termini es pot prorrogar dos mesos, i en aquest cas l'informarem de la pròrroga i dels motius dins del primer mes (art. 12(3) RGPD). L'exercici dels seus drets és gratuït; només en cas de sol·licituds manifestament infundades o excessives podem cobrar un cànon raonable o negar-nos a actuar respecte de la sol·licitud, i n'indicarem els motius (art. 12(5) RGPD). Per no revelar dades d'altres persones, podem demanar-li que faci la sol·licitud des de l'adreça de correu electrònic del seu compte; només demanem acreditació addicional si tenim dubtes raonables sobre la seva identitat, i únicament en la mesura necessària (art. 12(6) RGPD).

• Accés (art. 15 RGPD): Si té un compte, descarregui l'exportació de dades a Configuració; conté les dades del compte, de l'espai de treball i dels dominis, els seus inicis de sessió, les activitats, les sol·licituds de suport, els correus electrònics enviats i els consentiments. Pot veure els resultats de les comprovacions com a informes al compte. Pot obtenir accés complet, inclòs a les dades que l'exportació no conté (per exemple, entrades del registre d'errors o del registre del servidor web), juntament amb la informació de l'art. 15(1) RGPD, sol·licitant-ho per correu electrònic. Si no té compte —per exemple, en relació amb una exclusió voluntària, una sol·licitud de suport o un informe—, pot fer-ho per correu electrònic indicant el domini o l'adreça afectats i el moment aproximat.
• Rectificació (art. 16): Pot modificar el seu nom, l'empresa, la llengua i l'adreça de correu electrònic a Configuració, i l'adreça de facturació i el número d'identificació a efectes d'IVA al portal de clients de Stripe, a Facturació; per a tota la resta, per correu electrònic.
• Supressió (art. 17): Pot suprimir el seu compte, els dominis, les destinacions d'avís i les credencials de prova pel seu compte, i revocar les claus d'API pel seu compte (se suprimeixen amb el compte); es pot donar de baixa de l'informe mensual d'un portal de clients mitjançant l'enllaç de cada correu electrònic. Pot sol·licitar la supressió d'un informe, d'una captura de pantalla o d'altres dades per correu electrònic. La secció 8.6 exposa el que hem de conservar per motius legals.
• Limitació del tractament (art. 18): per correu electrònic, per exemple si impugna l'exactitud de les dades i les estem comprovant.
• Portabilitat de les dades (art. 20): L'exportació de dades és un fitxer JSON llegible per màquina que vostè mateix pot facilitar a un altre proveïdor. Trobarà més informació sobre el canvi de proveïdor a Reglament de dades de la UE: canvi de proveïdor i exportació de dades.
• Oposició (art. 21): vegi la secció següent.
• Retirada del consentiment (art. 7(3)): No basem el nostre propi tractament en el consentiment. Pot retirar el seu consentiment per a l'informe mensual d'un portal de clients mitjançant l'enllaç de cada correu electrònic; la retirada té efectes per al futur.

Per a les dades que tractem per compte d'un client (secció 2), el client és el seu punt de contacte. Si tot i així ens escriu, transmetem la seva sol·licitud al client i l'ajudem a respondre-la. Trobarà orientacions detallades amb totes les vies i limitacions a Accés, supressió i els seus altres drets.

27. Dret d'oposició en virtut de l'art. 21 RGPD

En la mesura que tractem dades sobre la base d'interessos legítims (art. 6(1)(f) RGPD), es pot oposar en qualsevol moment al tractament per motius relacionats amb la seva situació particular. Aleshores deixarem de tractar les dades, llevat que puguem acreditar motius legítims imperiosos per al tractament que prevalguin sobre els seus interessos, drets i llibertats, o que el tractament serveixi per formular, exercir o defensar reclamacions.

Això s'aplica especialment a la comprovació de llocs web pel nostre rastrejador (secció 7), els registres (secció 3), reCAPTCHA (secció 5), els límits de la comprovació gratuïta (secció 6), el recordatori de configuració (secció 11), el distintiu (secció 12) i la protecció col·lectiva (secció 13).

L'oposició no està subjecta a cap forma específica; n'hi ha prou amb un correu electrònic a contact@lukaswojcik.com. Com a operador d'un lloc web, també pot excloure pel seu compte comprovacions posteriors en qualsevol moment mitjançant el robots.txt o la pàgina d'exclusió voluntària. No enviem publicitat per correu electrònic, a la qual seria possible oposar-se sense haver de donar motius.

28. Reclamació davant d'una autoritat de control

Pot presentar una reclamació davant d'una autoritat de control en matèria de protecció de dades si considera que tractem les seves dades il·lícitament (art. 77 RGPD). L'autoritat competent per a nosaltres és:

Prezes Urzędu Ochrony Danych Osobowych (President de l'Oficina de Protecció de Dades Personals, UODO)
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Poland
uodo.gov.pl

També es pot adreçar a l'autoritat de l'Estat membre on viu o treballa o on s'ha produït la presumpta infracció; a Alemanya, per exemple, a l'autoritat de protecció de dades del seu estat federat. Si cal, aquesta autoritat transmetrà la reclamació a l'autoritat competent. Estarem encantats de resoldre prèviament qualsevol preocupació directament amb vostè; això no és cap requisit.

29. Seguretat

Totes les connexions al nostre Servei estan xifrades amb TLS; les connexions dins de la nostra xarxa interna no estan xifrades en tot el seu recorregut. Només emmagatzemem les contrasenyes, les claus d'API i els codis de recuperació en forma de hash, i els secrets d'inici de sessió amb doble factor i les credencials de prova, en format xifrat. Les dades dels clients estan separades per espai de treball; els permisos d'un rol s'apliquen al servidor, no només a la interfície d'usuari. Només el propietari té accés als servidors; el rastrejador treballa de manera aïllada i no pot accedir a les adreces de la xarxa interna. La descripció completa està disponible a Mesures tècniques i organitzatives. Si tenim coneixement d'una violació de la seguretat de les dades personals, la notifiquem a l'autoritat de control i, quan calgui, a vostè d'acord amb els art. 33 i 34 RGPD; informem sense dilació indeguda els clients per compte dels quals actuem, si és possible en un termini de 48 hores.

30. Altres documents

Aquesta política és el resum per a les persones interessades. Es poden trobar detalls al Registre d'activitats de tractament, a la llista de Subencarregats del tractament, a les Mesures tècniques i organitzatives, a l'Acord d'encàrrec del tractament, a l'Avaluació d'impacte relativa a la protecció de dades i a Accés, supressió i els seus altres drets, Reglament d'intel·ligència artificial de la UE: com formexposed utilitza la IA i Text de política de privacitat per al seu lloc web.

31. Canvis

Actualitzem aquesta política quan canvia el Servei o la situació jurídica, i ho fem abans que comenci qualsevol tractament nou. S'aplica la versió publicada aquí; les versions anteriors i els canvis es poden consultar a Canvis als documents contractuals. La versió que va veure quan es va registrar apareix a la seva exportació de dades. Si es produeix algun canvi substancial en el tractament de les seves dades com a client, també l'informarem per correu electrònic.

Aquesta política està disponible en totes les llengües oficials de la Unió Europea. En cas de discrepàncies, preval la versió polonesa.