Zásady ochrany osobních údajů

Tento dokument je zveřejněn v několika jazycích. V případě rozporu mezi jazykovými verzemi je závazná polská verze.

Verze 2.3 · Poslední aktualizace: 29. října 2026

Tyto zásady popisují, které osobní údaje formexposed zpracovává, za jakým účelem, na jakém právním základě, komu jsou předávány a kdy jsou vymazány. Píšeme jen o tom, co služba skutečně dělá; uvedené doby uložení jsou tytéž, podle nichž probíhá naše mazání, a tam, kde pevná doba zatím neexistuje, to uvádíme. Funkce, které jsou vytvořeny, ale nejsou zapnuty, jako takové označujeme. Protože se služba týká několika skupin osob, každý oddíl začíná uvedením, komu je určen:

• Navštěvujete formexposed.com nebo form.exposed: oddíly 3, 4 a 5.
• Nechali jste na úvodní stránce zkontrolovat doménu: oddíl 6.
• Váš web zkontroloval náš crawler: oddíl 7 – jde zároveň o naši informaci podle čl. 14 GDPR.
• Máte účet nebo jste byli pozváni do týmu: oddíly 8 až 18.
• Navštěvujete web některého z našich zákazníků (s odznakem, pluginem nebo kontrolou doručení): oddíl 20.
• Chcete uplatnit právo nebo podat stížnost: oddíly 26 až 28.

1. Správce a kontakt

Správcem zpracování osobních údajů na formexposed.com a form.exposed a ve službě formexposed, pokud nejednáme jménem zákazníka (oddíl 2), je:

LW IT Solutions Company Lukas Wójcik
Majitel: Lukas Wójcik
al. Tadeusza Kościuszki 80/82, lok. 301
90-437 Łódź
Polsko
NIP (polské daňové identifikační číslo) 7252266190 · DIČ pro DPH PL7252266190
E-mail: contact@lukaswojcik.com

Dalšími způsoby, jak nás kontaktovat, jsou okno podpory (otazník v navigaci) a kontaktní stránka. Bezpečnostní zranitelnosti nám prosím hlaste prostřednictvím naší stránky pro hlášení zranitelností.

Pověřenec pro ochranu osobních údajů: Pověřence jsme nejmenovali. Jsme fyzická osoba podnikající; naší hlavní činností je kontrola webů a formulářů, nikoli rozsáhlé monitorování osob ani zpracování zvláštních kategorií údajů (čl. 37 odst. 1 GDPR). Důvody jsou uvedeny v záznamech o činnostech zpracování. Dotazy týkající se ochrany osobních údajů zasílejte na výše uvedenou e-mailovou adresu; dostanou se přímo k majiteli.

2. O co jde a v jaké roli jednáme

formexposed kontroluje kontaktní formuláře webů: zda jsou chráněny proti spamu a zneužití, zda poptávky docházejí, které služby třetích stran mohou číst, zatímco se formulář vyplňuje, a zda se na tom něco mění. Přitom zpracováváme osobní údaje ve třech rolích. Toto rozlišení není formalitou: určuje, na koho se máte se žádostí obrátit.

• Jako správce u údajů návštěvníků našich vlastních webů, našich zákazníků a členů jejich týmů, pro účely fakturace a podpory a při kontrole webů, které nepatří k žádnému zákaznickému účtu (kontrola zdarma, studie, kontrola potenciálního klienta), nebo jejichž doménu zákazník dosud neověřil. O tom jsou tyto zásady.
• Jako zpracovatel u údajů třetích osob, které naši zákazníci prostřednictvím služby zpracovávají: kopie e-mailů z formulářů při kontrole doručení (oddíl 15), odběratelé klientského portálu (oddíl 14), příjemci upozornění, kteří sami nejsou zákazníky (oddíl 10), testovací účty pro kontrolu za přihlášením (oddíl 9) a osoby, které jsou vidět na webu, jehož doménu zákazník ověřil (oddíl 7). V těchto případech je správcem zákazník; platí smlouva o zpracování osobních údajů, kterou každý zákazník uzavírá při registraci.
• Vůbec ne u toho, co náš plugin pro WordPress a naše rozšíření pro TYPO3 ukládají na webu zákazníka a co tento web neopouští (oddíl 13). Správcem je provozovatel tohoto webu; nemáme k tomu přístup.

Pokud tyto zásady hovoří o „zákazníkovi“, myslí se tím držitel účtu u formexposed. Účty jsou k dispozici pouze podnikatelům; kontrolu zdarma může bez účtu použít kdokoli. Služba není určena dětem.

3. Servery, protokoly a zálohy

Pro každého, kdo navštíví naše weby nebo používá službu.

formexposed provozujeme na vlastních serverech v Polsku: na webovém serveru s databází a na skenovacím serveru, na kterém běží crawler a jazykový model. Oba jsou ve stejné interní síti. Neexistuje žádný externí poskytovatel hostingu ani cloudu. Přístup k serverům má pouze majitel.

3.1 Protokol webového serveru

U každého požadavku webový server ukládá IP adresu, datum a čas, požadovanou adresu, stavový kód, objem přenesených dat, dříve navštívenou stránku (referrer) a identifikátor prohlížeče (user agent). To platí i pro požadavky na odznak ze stránek zákazníků (oddíl 12). Protokoly se denně rotují a po 14 dnech mažou.

3.2 Protokol zobrazení stránek

Aplikace navíc zaznamenává každé zobrazení stránky, nikoli však požadavky na pozadí, rozhraní ani odznak: IP adresu, z ní odvozenou zemi, požadovanou adresu a referrer (přístupové tokeny v nich, například u odkazů na reporty nebo portály, před uložením maskujeme), identifikátor prohlížeče a z něj odvozené informace o typu zařízení, operačním systému a prohlížeči, jazyk a – pokud jste přihlášeni – číslo vašeho účtu. Zemi určujeme pomocí databáze na našem vlastním serveru; IP adresa za tímto účelem server neopouští. Pokud si váš účet prohlíží naše podpora (oddíl 8.5), nejsou tato zobrazení stránek přiřazena k vašemu účtu. Záznamy mažeme po 60 dnech.

3.3 Protokol chyb a upozornění na chyby

Technické chyby zaznamenáváme s časem, úrovní, zdrojem, zprávou, technickým kontextem a případně číslem vašeho účtu a mažeme je po 90 dnech. Pokud se vyskytne nový typ chyby, služba pošle majiteli e-mail s nezpracovaným textem zprávy (až 400 znaků, neočištěný) a krátké oznámení přes Telegram; pokud se chyby hromadí, pouze oznámení; navíc existuje denní přehled typů chyb e-mailem. Zpráva na Telegramu je pevná věta bez obsahu chyby, bez adresy a bez informací o osobách. Pro každý typ chyby uchováváme jeden příklad zprávy, v současnosti bez pevné doby uložení; lhůtu pro výmaz stanovíme a uvedeme ji zde. Chybové zprávy by neměly obsahovat osobní údaje; nemůžeme to však vyloučit, například pokud zpráva reprodukuje zadanou adresu.

3.4 Zálohy

Databáze se zálohuje každou noc po dokončení mazacího běhu; záloha tedy neobsahuje nic, co již mělo být podle těchto dob uložení vymazáno. Zálohy jsou v současnosti uchovávány na stejném místě jako databáze a nejsou samostatně šifrovány; šifrovaná kopie na druhém místě je plánována. Jejich platnost vyprší po 14 dnech. Co v provozním systému vymažeme, zůstává do té doby v zálohách. Ze zálohy se nic selektivně neodstraňuje; slouží pouze k obnově po ztrátě.

Účel a právní základ: provoz a bezpečnost služby, obrana proti útokům a zneužití, odstraňování chyb, obnova a údaje o využívání. Pro ty zaznamenáváme pouze denní souhrny (například počet registrací za den), nic o jednotlivých osobách; nepoužíváme žádnou analytickou ani sledovací službu. Právním základem je čl. 6 odst. 1 písm. f) GDPR; naším oprávněným zájmem je bezpečný a stabilní provoz.

4. Cookies a úložiště v prohlížeči

Pro návštěvníky našich webů a uživatele služby.

Název	Typ	Účel	Doba trvání
bpid	cookie	Relace: udržuje vás přihlášené, chrání formuláře před podvrženými požadavky (CSRF) a počítá limity kontroly zdarma na relaci	do zavření prohlížeče
bp_remember	cookie	pouze pokud při přihlášení zvolíte „Zůstat přihlášen“: udržuje vás přihlášené	30 dní
bp_theme	local storage	zda jste zvolili světlý, nebo tmavý motiv; u přihlášených uživatelů se volba ukládá i v účtu	do vymazání dat prohlížeče

Toto ukládání je nezbytně nutné pro fungování služby, o kterou jste výslovně požádali; nevyžaduje se k němu souhlas (čl. 5 odst. 3 směrnice 2002/58/ES ve znění vnitrostátní transpozice, v Německu § 25 odst. 2 bod 2 zákona o ochraně údajů v telekomunikacích a digitálních službách (TDDDG), v Polsku čl. 399 zákona o elektronických komunikacích, Prawo komunikacji elektronicznej). Právním základem souvisejícího zpracování je čl. 6 odst. 1 písm. b) GDPR, pokud jste přihlášeni, jinak čl. 6 odst. 1 písm. f) GDPR; naším oprávněným zájmem je v takovém případě ochrana našich formulářů před podvrženými požadavky, vynucování limitů kontroly zdarma a zobrazení vámi zvoleného vzhledu.

Nenastavujeme cookies pro reklamu ani měření návštěvnosti. Doporučující kód z partnerského programu (oddíl 18) se až do registrace přenáší v adrese, nikoli v cookie. Google reCAPTCHA může při odeslání formuláře používat vlastní cookies (oddíl 5).

5. Google reCAPTCHA a naše vlastní ochrana formulářů

Pro každého, kdo odešle některý z našich formulářů.

Formuláře pro kontrolu zdarma, nástroj pro hlavičky, vyloučení domény (opt-out), přihlášení, registraci, žádost o nové heslo a jeho nastavení a pro podporu a kontakt chráníme před automatizovanými útoky pomocí Google reCAPTCHA v3. Poskytovatelem je Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irsko.

Skript Googlu načítáme až ve chvíli, kdy některý z těchto formulářů odešlete, nikoli hned po otevření stránky. Skript pak čte informace o prohlížeči, zařízení a používání stránky a předává je spolu s vaší IP adresou a případnými cookies Googlu společnosti Google, která posoudí, zda formulář odesílá člověk. My obdržíme pouze toto hodnocení ve formě skóre spolu s akcí, ke které se vztahuje. Pokud je pod naším prahem, patří k jinému formuláři nebo Google neodpoví do tří sekund, odeslání odmítneme; skóre neukládáme. Můžete to zkusit znovu nebo nám napsat e-mail. Google může předávat údaje společnosti Google LLC v USA (oddíl 22) a sám rozhoduje, jak dlouho je uchovává; více v zásadách ochrany soukromí společnosti Google.

Tyto formuláře – kromě formuláře pro nastavení nového hesla – navíc obsahují naši vlastní ochranu bez třetích stran: pole-past neviditelné pro lidi a podepsané časové razítko, podle něhož se rozpoznají příliš rychle odeslané formuláře.

Formuláře pro kontrolu zdarma, registraci, přihlášení a žádost o nové heslo navíc chráníme naší vlastní ochranou formulářů formconfirmed, která rovněž funguje bez třetích stran. Při otevření stránky si malý skript z našeho serveru vyžádá podepsanou úlohu; jakmile začnete formulář používat, váš prohlížeč ji na pozadí vyřeší (výpočetní důkaz). Výsledek k nám dorazí spolu s formulářem jako jednorázový kontrolní token, který při odeslání ověříme. Zpracováváme přitom vaši IP adresu, adresu stránky s formulářem, časové údaje a informaci, zda bylo vyplněno pole neviditelné pro lidi. IP adresu pro tento účel ukládáme pouze zkrácenou (u IPv4 bez posledního bajtu, u IPv6 pouze prvních 48 bitů) a jako hash s denně měněným klíčem, abychom rozpoznali opakované požadavky; tato hodnota se smaže po jedné hodině, použitý kontrolní token nejpozději po jedenácti minutách. Obsah těchto formulářů ochrana formulářů nehodnotí. Nenastavuje žádné cookies, nic neukládá ve vašem prohlížeči a nevytváří otisk (fingerprint) vašeho zařízení. Pokud chybí platný kontrolní token, odeslání odmítneme; pokud naše služba nebyla při získávání úlohy dostupná, odeslání povolíme.

Právní základ: čl. 6 odst. 1 písm. f) GDPR; naším oprávněným zájmem je ochrana těchto formulářů před zneužitím programy, především před hromadným hádáním hesel, automaticky vytvářenými účty a používáním kontroly zdarma jako nástroje proti webům třetích osob. Protože se skript Googlu načítá až při odeslání formuláře a slouží pouze tomuto odeslání, považujeme čtení informací z vašeho zařízení za nezbytně nutné k poskytnutí služby, kterou si odesláním formuláře výslovně vyžádáte (§ 25 odst. 2 bod 2 TDDDG, čl. 399 Prawo komunikacji elektronicznej). Totéž platí pro naši vlastní ochranu formulářů: v prohlížeči zpracovává pouze to, co je nezbytné k odeslání formuláře, který používáte. Dlouhodobě má reCAPTCHA nahradit. Požadavek: bez reCAPTCHA a naší vlastní ochrany formulářů nelze formulář odeslat; pro dotazy zůstává k dispozici e-mail.

6. Kontroly zdarma bez účtu

Pro každého, kdo na úvodní stránce kontroluje doménu nebo používá nástroj pro hlavičky.

6.1 Kontrola zdarma

Na úvodní stránce si můžete nechat zkontrolovat doménu bez účtu. Za tímto účelem zpracováváme:

• zadanou doménu a výsledek kontroly (report; co přitom shromažďuje crawler, je uvedeno v oddílu 7);
• vaši IP adresu, její zemi, hash vaší relace (nikoli relaci samotnou), čas a informaci, zda byl požadavek přijat, abychom mohli vynucovat limity (jen několik kontrol denně na adresu a relaci; doména, která již byla v posledních dnech zkontrolována, dostane místo nové kontroly stejný report) a odhalovat zneužití. Tyto záznamy mažeme po 7 dnech;
• v případě podezřelého chování, například mnoha různých domén z jedné adresy, příznak obsahující IP adresu nebo hash relace. Uchovává se, dokud případ neprověříme, a 90 dní poté. Majitel o tom dostane oznámení přes Telegram bez domény a bez IP adresy.

K reportu má přístup každý, komu předáte jeho náhodný odkaz; vyhledávače by jej neměly indexovat. Mažeme jej po 30 dnech spolu s daty kontroly a snímky obrazovky. Bezplatný report ukazuje výňatek; kontroluje se totéž jako v účtu, ale bez testovacích odeslání.

6.2 Nástroj pro hlavičky

Nástroj pro bezpečnostní hlavičky načte úvodní stránku domény dvakrát (přes https a přes http) a vyhodnotí odpověď. Doménu, výsledek a známku ukládáme na 90 dní; pro limity platí stejný protokol jako u kontroly (7 dní). Vyloučená doména (oddíl 19) se nekontroluje ani zde.

Právní základ: čl. 6 odst. 1 písm. b) GDPR pro kontrolu, o kterou žádáte, a čl. 6 odst. 1 písm. f) GDPR pro limity a předcházení zneužití; naším oprávněným zájmem je, aby služba nebyla zneužívána jako nástroj proti cizím webům. Požadavek: bez domény žádná kontrola; bez IP adresy vám server nemůže odpovědět.

6.3 Zpětná vazba k reportu

Pro každého, kdo pod reportem použije „Je v tomto reportu něco špatně?“, s účtem i bez něj.

Pod každým dokončeným reportem nám můžete sdělit, že formulář chybí, byl nesprávně zařazen nebo že jednotlivá kontrola má chybný výsledek. Za tímto účelem zpracováváme:

• to, co zadáte: zvolenou kategorii, případně dotčenou kontrolu, adresu stránky a text o délce až 1 000 znaků;
• report, k němuž se zpětná vazba vztahuje (identifikátor odkazu, kontroly a domény), jazyk stránky a čas;
• pokud jste přihlášeni, identifikátor vašeho účtu; vedle zpětné vazby pak vidíme e-mailovou adresu účtu;
• jednosměrný kontrolní součet vaší IP adresy (vytvořený pomocí tajného klíče), aby z jedné adresy přicházelo jen několik hlášení (5 za hodinu, 20 za den). Samotnou IP adresu se zpětnou vazbou neukládáme; kontrolní součet odstraňujeme po 2 dnech.

E-mailovou adresu nepožadujeme a na zpětnou vazbu neodpovídáme. Pokud si přejete odpověď, napište prosím podpoře (oddíl 17). Do textu prosím nezadávejte osobní údaje. Zpětnou vazbu čteme, třídíme a tam, kde je to užitečné, použijeme data kontroly z reportu (pole formuláře, důvody a zjištění, bez snímků obrazovky) jako testovací případ pro naši detekci; takový testovací případ popisuje kontrolovaný web, nikoli vás. Zpětná vazba report nemění.

Právní základ: čl. 6 odst. 1 písm. f) GDPR; naším oprávněným zájmem je nacházet a opravovat chyby v naší detekci a limit chrání před zneužitím. Požadavek: zpětná vazba je dobrovolná. Doba uložení: 24 měsíců; spolu s vaším účtem okamžitě.

7. Kontrola webů naším crawlerem – informace podle čl. 14 GDPR

Pro provozovatele kontrolovaných webů a pro osoby, jejichž údaje se na kontrolovaném webu objevují. Tyto údaje jste nám neposkytli sami; proto vás informujeme zde.

7.1 Co crawler dělá

Náš crawler FormExposedBot načte při jedné kontrole nejvýše osm veřejných stránek webu, jednu po druhé, stejně jako návštěvník s prohlížečem. Navíc může jít až o tři stránky, které znovu načte, aby v cookie liště klikl na „Odmítnout“, až o tři stránky v zobrazení pro telefon, u ověřených domén o testovací odeslání (oddíl 7.3) a až o pět stránek za přihlášením (oddíl 9.4). Před kontrolou přečte soubor robots.txt: pokud Disallow pro FormExposedBot nebo pro všechny programy vylučuje úvodní stránku, kontrolu neprovede. Jednotlivě blokované podcesty v současnosti nerespektuje. V identifikátoru prohlížeče se označuje jako FormExposedBot. Prověřuje formuláře a ukládá:

• adresy a názvy kontrolovaných stránek, strukturu formulářů (názvy polí, typy polí, popisky, atributy povinnosti a viditelnosti, žádné hodnoty; začátky předvyplněných skrytých polí a datových atributů čte pouze během kontroly a neukládá je) a nalezená ochranná opatření;
• technické charakteristiky stránek: použité služby CAPTCHA a ochrany proti spamu, vložené skripty poskytovatelů třetích stran (adresa a kontrolní součet), hostitele, ze kterých stránka načítá obsah, názvy nastavených cookies, bezpečnostní hlavičky, indicie k přístupnosti formulářů, chování cookie lišty při odmítnutí a informaci, zda jsou k formulářům připojeny reklamní pixely nebo záznam relace;
• snímek obrazovky viditelné oblasti první stránky a jeden snímek každého nalezeného formuláře, po testovacím odeslání také snímek stránky s odpovědí. Tyto snímky obrazovky nejsou anonymizovány; ukazují to, co je na stránce vidět.

Pokud formulář obsahuje adresu příjemce, ukládáme pouze její doménu, nikdy adresu samotnou. Žádný další obsah stránek neukládáme. Osobní údaje přesto mohou být dotčeny, pokud jsou viditelné na stránce nebo na snímku obrazovky, například jméno a fotografie kontaktní osoby vedle formuláře. Kategorie: jména, funkce, kontaktní údaje a obrázky, které provozovatel sám zveřejnil. Zvláštní kategorie údajů nevyhledáváme a neanalyzujeme.

Formuláře zařazujeme podle pevných pravidel (například „kontakt“ nebo „newsletter“). Jen pokud pravidla nedají výsledek, pomůže jazykový model běžící na našem vlastním skenovacím serveru; takto zařazené formuláře se nikdy neodesílají a nezapočítávají se do skóre ani do verdiktu. Přitom se žádné údaje nepředávají třetím stranám a model se na nich netrénuje. Více na stránce Akt EU o umělé inteligenci: jak formexposed využívá AI.

7.2 Kdo kontrolu spouští

• kdokoli, kdo zadá doménu na úvodní stránce (oddíl 6);
• náš plugin pro WordPress nebo naše rozšíření pro TYPO3 pro vlastní web, i bez účtu (oddíl 13);
• zákazník pro doménu ve svém účtu (oddíl 9);
• agentura pro web potenciálního klienta, bez testovacího odeslání (oddíl 14);
• my sami pro studii o ochraně kontaktních formulářů, z níž zveřejňujeme pouze souhrnné údaje bez názvů webů.

7.3 Co crawler nedělá

Cizí weby kontroluje pouze pasivně: neodesílá žádný formulář, nezkouší přihlašovací údaje a na nic neútočí. Testovací odeslání posílá pouze do kontaktních formulářů domén, u nichž zákazník ve svém účtu prokázal, že je oprávněn je kontrolovat – jako vlastník nebo jménem vlastníka, prostřednictvím záznamu DNS, meta tagu, souboru nebo pluginu: jasně označené testovací zprávy bez osobních údajů, nejvýše pět na kontrolu; bez takového prokázání pouze při interních kontrolách našich vlastních testovacích a demo domén. Hledání odhalených souborů, zjišťování verzí a kontrola za přihlášením jsou rovněž k dispozici pouze pro ověřené domény (oddíl 9).

7.4 Doba uložení

Kontroly bez účtu 30 dní; kontroly webu potenciálního klienta 90 dní; kontroly pro studii do zveřejnění jejích výsledků; kontroly domény v zákaznickém účtu nejvýše 13 měsíců – ta nejnovější se uchovává, dokud je doména v účtu – a nikdy déle, než je doména v účtu.

7.5 Právní základ a zdroj

Právním základem je čl. 6 odst. 1 písm. f) GDPR. Oprávněný zájem spočívá v tom, že provozovatelům webů a jejich poskytovatelům služeb ukazujeme slabiny jejich formulářů dříve, než budou zneužity pro spam nebo jiné zneužití, v zájmu osoby, která o kontrolu žádá, na tomto výsledku a v případě studie v tom, abychom mohli učinit závěr o stavu ochrany formulářů. Údaje pocházejí z veřejně přístupných zdrojů, konkrétně ze samotného kontrolovaného webu. Příjemci jsou osoba, která kontrolu spustila, a kdokoli, komu tato osoba předá odkaz na report, a v případě kontroly potenciálního klienta agentura; ze studie zveřejňujeme pouze souhrnné údaje. Pokud zákazník kontroluje ve svém účtu doménu, kterou ověřil, jednáme jeho jménem (oddíl 2); dokud ověření chybí, jsme správcem sami. Tyto informace zveřejňujeme zde a na stránce FormExposedBot, místo abychom psali každé viditelné osobě jednotlivě; to by bylo nemožné nebo by to vyžadovalo nepřiměřené úsilí, zejména proto, že o těchto osobách víme jen to, co je na stránce (čl. 14 odst. 5 písm. b) GDPR).

Námitka a vyloučení: Jako provozovatel webu můžete další kontroly své domény vyloučit prostřednictvím souboru robots.txt nebo prostřednictvím naší stránky pro opt-out (oddíl 19). Osoby, které jsou vidět na kontrolované stránce, mohou proti zpracování vznést námitku podle oddílu 27 a požádat o výmaz reportu nebo snímku obrazovky.

8. Váš zákaznický účet

Pro zákazníky a pozvané členy týmu.

8.1 Registrace a účet

Pro účet zpracováváme vaši e-mailovou adresu a vaše heslo (pouze jako hash; samotné heslo neznáme), dále vaše křestní jméno a – pokud je uvedete – příjmení a společnost, k tomu jazyk, motiv, měnu, tarif, časy registrace a posledního přihlášení a IP adresu posledního přihlášení. Svou e-mailovou adresu potvrdíte odkazem, který je platný 72 hodin; účty, které nejsou nikdy potvrzeny, mažeme po 30 dnech. Pokud e-mailovou adresu změníte, nová platí až po potvrzení prostřednictvím odkazu, který na ni zašleme.

Právní základ: čl. 6 odst. 1 písm. b) GDPR (smlouva); u IP adresy posledního přihlášení čl. 6 odst. 1 písm. f) GDPR (ochrana vašeho účtu, oddíl 8.2). Požadavek: e-mailová adresa, křestní jméno a heslo jsou nezbytné pro uzavření smlouvy; fakturační adresu a DIČ pro DPH poskytujete pouze u placených tarifů, a to společnosti Stripe (oddíl 18).

8.2 Přihlášení a zabezpečení

• pokusy o přihlášení s e-mailovou adresou, IP adresou a výsledkem: 7 dní, proti hádání hesel; navíc počítadla pokusů o přihlášení na účet (u neznámé adresy na zadanou adresu), na účet a IP adresu a na IP adresu, pokusů o dvoufaktorové ověření a potvrzení hesla na účet, e-mailů pro obnovení hesla na e-mailovou adresu, registrací na IP adresu a pokusů o heslo klientského portálu na portál a IP adresu, která ukládáme pouze pod pseudonymním klíčem (HMAC), bez e-mailové nebo IP adresy v otevřeném textu, a jejichž platnost vyprší s jejich časovým oknem (v současnosti 15 minut, u obnovení hesla a registrací jedna hodina);
• přihlášená zařízení s IP adresou, prohlížečem, operačním systémem a typem zařízení, abyste je mohli vidět v nastavení a odhlásit: až 90 dní po posledním použití;
• pokud je zapnuto dvoufaktorové přihlášení, tajný klíč k němu (šifrovaný) a vaše záložní kódy (pouze jako hash);
• odkazy pro obnovení hesla jsou platné jednu hodinu;
• protokol aktivit důležitých akcí, jako jsou „doména vytvořena“, „upozornění nastaveno“ nebo „nastavení změněno“, s časem, jednajícím účtem, IP adresou a zemí: 365 dní.

Právní základ: čl. 6 odst. 1 písm. f) GDPR; naším oprávněným zájmem je ochrana vašeho účtu a služby a dohledatelnost změn v pracovním prostoru, na kterém pracuje více osob.

8.3 Záznam o uzavření smlouvy

Při registraci zaznamenáváme, se kterou verzí obchodních podmínek a smlouvy o zpracování osobních údajů jste vyjádřili souhlas a kterou verzi těchto zásad ochrany osobních údajů jste vzali na vědomí – vždy s úplným textem, jeho hashem, časem, IP adresou a identifikátorem prohlížeče. Slouží to jako doklad o uzavření smlouvy (čl. 6 odst. 1 písm. b) a f) GDPR). Tento záznam uchováváme po dobu existence účtu. Po vymazání účtu jej vymažeme, jakmile je souhlas starý čtyři roky, protože otázky týkající se uzavření smlouvy vznikají zpravidla právě po jejím ukončení.

8.4 Pracovní prostory, tým a pozvánky

Účet pracuje v jednom nebo více pracovních prostorech. Pokud někoho pozvete, pošleme mu e-mail s názvem pracovního prostoru (ve výchozím nastavení název vaší společnosti nebo vaše křestní jméno) a odkazem pro přijetí; u pozvánky ukládáme také zamýšlenou roli a to, kdo pozvánku odeslal. Členové pracovního prostoru vidí, kdo do něj patří a v jaké roli. Pokud jste pozvanou osobou, získali jsme vaši e-mailovou adresu od člena, který vás pozval (čl. 14 odst. 2 písm. f) GDPR). Nepřijaté pozvánky mažeme po uplynutí jejich platnosti po 14 dnech, přijaté 30 dní po přijetí. Sledovanému formuláři lze z týmu přiřadit odpovědnou osobu a termín opravy; za tímto účelem ukládáme pouze přiřazení k účtu a termín. Právní základ: čl. 6 odst. 1 písm. b) GDPR ve vztahu k zákazníkovi; ve vztahu k pozvané osobě čl. 6 odst. 1 písm. f) GDPR (zákazník chce s touto osobou spolupracovat).

8.5 Pomoc naší podpory

Aby vám mohla pomoci s problémem, může si naše podpora zobrazit váš účet tak, jak jej vidíte vy. Každý takový přístup se zaznamená do protokolu aktivit a objeví se ve vašem exportu dat. Právní základ: čl. 6 odst. 1 písm. b) GDPR, pokud jste o pomoc požádali, jinak čl. 6 odst. 1 písm. f) GDPR (odstraňování chyb).

8.6 Export a výmaz

V Nastavení si můžete stáhnout údaje uložené k vašemu účtu jako soubor JSON – bez hashů hesel a tajných klíčů a bez údajů ostatních členů. Tento soubor neobsahuje výsledky kontrol, zjištění a incidenty (pouze pokusy o doručení eskalací pro jednotlivé cíle upozornění); ty jsou k dispozici jako reporty v účtu a na požádání jako soubor. Tam také můžete svůj účet sami vymazat; e-mail k tomu není potřeba. Běžící placené předplatné okamžitě končí, zpravidla bez vrácení peněz (výjimky jsou uvedeny v obchodních podmínkách); kdo chce nejprve využít zaplacené období, zruší předplatné v sekci Fakturace s účinností ke konci období. Pokud smlouva k vašemu účtu skončí jiným způsobem, například výpovědí z naší strany, můžete své údaje exportovat do konce smlouvy a účet vymažeme nejpozději 30 dní po skončení smlouvy. Spolu s účtem okamžitě mažeme vaše pracovní prostory s údaji, které k nim patří, včetně domén, výsledků kontrol a snímků obrazovky, upozornění, incidentů, protokolů důkazů, vlastní značky, klientských portálů včetně odběratelů, seznamu vašich kontrol potenciálních klientů (jejich reporty zůstávají přístupné až do uplynutí jejich 90 dní), API klíčů, kódů pro hromadné nasazení a testovacích přihlášení. Pokud v některém z vašich pracovních prostorů ještě pracuje někdo jiný, přechází tento pracovní prostor na jiného člena – přednostně na administrátory a mezi nimi na toho, kdo je členem nejdéle – místo aby byl vymazán. Do uplynutí vlastní doby uložení zůstávají: protokol aktivit a protokol zobrazení stránek s číslem vašeho bývalého účtu, odeslané e-maily (30 dní, oddíl 11), záznam o uzavření smlouvy (8.3), požadavky na podporu (oddíl 17), fakturační údaje po dobu vyžadovanou daňovými předpisy, údaje o provizích a uplatněné aktivační kódy, pro které v současnosti neexistuje doba uložení (oddíl 18), a zálohy (3.4).

9. Domény, kontroly a monitoring

Pro zákazníky. Pokud jsou dotčeny osobní údaje třetích osob, jednáme jménem zákazníka.

9.1 Domény a ověření

U každé domény ve vašem účtu ukládáme název, doklad o vašem oprávnění (záznam DNS, meta tag, soubor nebo plugin), výsledky kontrol a vaše nastavení, jako je frekvence, okno údržby, poznámky, označení klienta a odhadovaná hodnota poptávky. Frekvence závisí na vašem tarifu a sahá až k denním kontrolám.

9.2 Monitoring veřejně dostupných informací

Mezi kontrolami zjišťujeme veřejně dostupné informace o vaší doméně:

• záznamy DNS (SPF, DMARC, MX), certifikát TLS a bezpečnostní hlavičky;
• datum vypršení domény prostřednictvím služby RDAP příslušného registru; přenáší se pouze název domény;
• dostupnost stránek s vašimi formuláři (puls formulářů, podle tarifu každých 10, 15 nebo 30 minut);
• veřejné stavové stránky služeb CAPTCHA a e-mailových služeb, které váš web používá; nepřenášíme přitom nic o vás;
• známé bezpečnostní zranitelnosti ve formulářových, CAPTCHA a e-mailových pluginech a – u ověřených domén jednou týdně – v CMS, pluginech a šabloně vzhledu, jejichž verze zjišťujeme zvenčí z vaší úvodní stránky. Porovnání probíhá s otevřenou databází WPVulnerability; přenáší se pouze identifikátor pluginu nebo šablony (bez verze) a verze WordPressu, nikoli vaše doména;
• denně, zda jsou adresy vašeho webového serveru, adresa serveru, ze kterého přišel váš poslední e-mail z formuláře (z kontroly doručení), nebo vaše doména a doména odesílatele tohoto e-mailu uvedeny na blocklistech DNS pro spam (SpamCop, PSBL, Mailspike, SURBL); dotazujeme se pouze na domény a IP adresy serverů, nikoli na údaje návštěvníků;
• je-li to nastaveno, zda Google Web Risk uvádí vaši úvodní stránku jako stránku s malwarem nebo phishingem; přenáší se pouze adresa úvodní stránky;
• u ověřených domén jednou týdně, zda jsou odhaleny soubory, které by nikdy neměly být veřejné (například záloha konfigurace nebo výpis databáze). Přitom čteme nejvýše prvních 8 KB souboru, abychom jej rozpoznali, a ukládáme pouze cestu, typ a závažnost zjištění, nikdy obsah.

9.3 Cesty k formulářům a kontroly v prohlížeči

U sledovaných formulářů ukládáme adresy formulářů, selektory, předcházející kliknutí a syntetické kroky kontroly, volbu kontrolního prohlížeče a odpovědnost a termín. Kontroly v prohlížeči vyplní formulář nejvýše po bod před odesláním; nic neodesílají a nespouštějí žádnou objednávku ani platbu. Výsledky zahrnují stav, technické kategorie chyb, očištěné chybové zprávy a časy a mohou obsahovat malý obrázek formuláře, na kterém jsou vstupní pole zamaskována. Toto maskování existuje pouze u kontrol v prohlížeči; snímky obrazovky z úplné kontroly crawlerem anonymizovány nejsou (oddíl 7.1). Měření z našich kontrolních prohlížečů nejsou měřeními vašich návštěvníků.

Druhá, nezávislá sonda, která výsledky potvrzuje, je předvídána, ale v současnosti není nastavena. Obdržela by pouze doménu, očištěnou konfiguraci a identifikátor úlohy, nikdy přihlašovací údaje, snímky obrazovky ani údaje návštěvníků; jejího provozovatele předem uvedeme v seznamu dalších zpracovatelů.

9.4 Kontrola za přihlášením

V placených tarifech mohou vlastníci a administrátoři pracovního prostoru pro ověřenou doménu uložit testovací účet pro svůj vlastní web, aby crawler mohl číst formuláře za přihlášením. Platí přitom:

• Uživatelské jméno a heslo se na webovém serveru šifrují klíčem, který dokáže otevřít pouze skenovací server; webový server, databáze a zálohy je obsahují jen v šifrované podobě. Nikdy se nezobrazují, nezaznamenávají do protokolů ani nevydávají přes rozhraní; uživatelské rozhraní ukazuje pouze první znak a délku uživatelského jména. Šifrovaná kopie připojená ke kontrolní úloze se po běhu odstraní, nejpozději po jedné hodině.
• Testovací účet používá pouze úplná kontrola crawlerem, nikoli kontroly v prohlížeči (9.3).
• Za přihlášením crawler čte nejvýše pět určených stránek. Nic neodesílá, nepořizuje tam snímky obrazovky (mohou se tam zobrazovat údaje účtu) a nesleduje odkazy pro odhlášení, smazání nebo zrušení.
• Pokud přihlášení smažete, šifrovanou hodnotu přepíšeme a odstraníme; zaniká také spolu s doménou.

Používejte pouze testovací účet vytvořený speciálně pro tento účel, který neobsahuje skutečné údaje zákazníků. To, co crawler za přihlášením vidí, zpracováváme vaším jménem.

9.5 Další funkce

Inventář skriptů: Pokud jej zapnete, vedeme seznam skriptů na stránkách s vašimi formuláři s adresou a kontrolním součtem, hlásíme nové nebo změněné a při schválení některého z nich ukládáme, kdo jej schválil, kdy a s jakým odůvodněním. Přístupnost: Z poslední kontroly může služba vytvořit návrh informací o přístupnosti vašich formulářů; údaje o společnosti, které k tomu zadáte, zůstávají ve vašem prohlížeči. Srovnání: Pro oborové srovnání vyhodnocujeme výsledky všech zákazníků pouze v souhrnné podobě; jednotlivé weby se v něm neobjevují.

Právní základ pro oddíl 9: čl. 6 odst. 1 písm. b) GDPR; u osobních údajů třetích osob, které se během kontroly stanou viditelnými, vaše pokyny podle smlouvy o zpracování osobních údajů. Doba uložení: doména, ověření, nastavení, cesty k formulářům a testovací přihlášení, dokud je nevymažete, nevymažete doménu nebo svůj účet; inventář skriptů a jeho změny, dokud nevymažete doménu nebo svůj účet (samostatná doba uložení pro ně neexistuje); výsledky kontrol, výsledky kontrol v prohlížeči a časy nejvýše 13 měsíců (nejnovější kontrola se uchovává, dokud je doména v účtu).

10. Oznámení

Pro zákazníky a příjemce, které zadají.

Upozornění a reporty zasíláme na cíle, které nastavíte: e-mailové adresy, vaše vlastní adresy webhooků, Slack, Discord, Microsoft Teams, Google Chat nebo Telegram. Chatovací kanály a webhooky jsou k dispozici v tarifech Pro a Business. Zpráva obsahuje doménu, událost, krátký popis a odkaz do vašeho účtu, u upozornění z kontrol odkaz na report, přes který jsou výsledky a snímky obrazovky přístupné bez přihlášení (Telegram dostává pouze odkaz na stránku domény ve vašem účtu, který vyžaduje přihlášení); žádný obsah z e-mailů z formulářů. Ukládáme:

• cíle (e-mailová adresa, adresa webhooku nebo chatu; u webhooků tajný klíč pro podepisování), dokud je nebo doménu nevymažete;
• protokol odeslání s časem, událostí a výsledkem: 90 dní;
• shromážděná oznámení pro denní a týdenní reporty: až 30 dní po odeslání;
• incidenty s odkazem pro potvrzení: dokud nejsou vyřešeny, poté 180 dní po vyřešení. Kdo incident potvrdí, je zaznamenán se zadaným jménem nebo svou e-mailovou adresou. Nepotvrzené incidenty lze eskalovat na další cíle; za tímto účelem ukládáme pro každý cíl počet a časy pokusů o doručení (nejvýše pět), zda bylo doručení úspěšné, a případnou chybu, a to po dobu existence incidentu. Incident se uzavře až po vyřešení problému; samotné potvrzení jej neukončuje.

Telegram: Pro Telegram provozujeme vlastního bota. Propojíte jej odkazem s jednorázovým kódem, který je platný 30 minut; když v botovi stisknete „Start“, náš server si tuto zprávu vyzvedne z Telegramu a uloží identifikátor vašeho chatu (chat ID) jako cíl upozornění. Telegram přitom předává také vaše jméno na Telegramu; to neukládáme. Samotný kód mažeme nejdříve po jednom dni, jakmile je vytvořen další kód. Chat ID se uchovává, dokud nevymažete upozornění nebo doménu.

Chatovací služby zpracovávají zprávy podle svých vlastních podmínek a vaší smlouvy s nimi; některé sídlí mimo EU (oddíl 22). U příjemců, kteří sami nejsou zákazníky, jednáme vaším jménem; informujte je prosím.

Právní základ: čl. 6 odst. 1 písm. b) GDPR; u příjemců, kteří nejsou zákazníky, vaše pokyny. Požadavek: bez cíle žádné upozornění; kontroly přesto probíhají.

11. E-maily od nás

Pro zákazníky a každého, komu píšeme.

E-maily zasíláme k potvrzení vaší adresy, k obnovení hesla, jako pozvánky, upozornění a reporty, jako potvrzení přijetí požadavků na podporu a s oznámeními týkajícími se vašeho účtu a fakturace. Odesílání a příjem našich e-mailů zajišťuje Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Naši doménu a její záznamy DNS spravuje Namecheap, Inc., Phoenix, Arizona, USA; dokud není nastavena schránka u Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, přeposílá Namecheap také obecné e-maily na adresy v naší doméně. Kontrolní kopie z kontroly doručení přes něj neprocházejí. Odeslané e-maily včetně příjemce, předmětu a obsahu uchováváme 30 dní, abychom mohli řešit problémy s doručením; ne déle, protože obsahují i platné odkazy pro potvrzení a obnovení.

Tři e-maily se odesílají bez vaší výslovné žádosti:

• Měsíční report: na začátku měsíce přehled kontrol a oznámení pro vaše domény. Jeho odběr můžete zrušit v nastavení.
• Připomínka nastavení: jediný e-mail mezi druhým a čtrnáctým dnem po registraci, pokud je váš účet potvrzen, ale ještě nemá ověřenou doménu – „Přidat web“ nebo „Ověřit doménu“, bez jakékoli nabídky, ceny nebo přechodu na vyšší tarif. Znovu se neodesílá.
• Konec zkušební verze: tři dny před koncem zkušební verze oznámení o tom, co bude následovat.

Právní základ: čl. 6 odst. 1 písm. b) GDPR u e-mailů, které jsou součástí smlouvy, včetně měsíčního reportu a oznámení o zkušební verzi; u připomínky nastavení čl. 6 odst. 1 písm. f) GDPR, protože účet bez domény nemůže službu využívat a mnoho zákazníků nastavení prostě zapomene. Reklamu nezasíláme.

12. Odznak a protokol důkazů

Pro zákazníky, kteří používají odznak nebo protokol důkazů, a pro návštěvníky webů s odznakem.

Odznak: Pokud odznak vložíte na svůj web, prohlížeč každého návštěvníka této stránky načte obrázek odznaku z našeho serveru. Přitom obdržíme obvyklé údaje o připojení – IP adresu, čas, identifikátor prohlížeče a stránku, na které se odznak zobrazuje – které končí pouze v protokolu webového serveru (14 dní, oddíl 3.1), nikoli v protokolu zobrazení stránek. Odznak nenastavuje žádné cookies, nespouští žádnou relaci a neobsahuje žádný skript. Veřejná potvrzovací stránka ukazuje doménu, úroveň a datum poslední kontroly, žádná jednotlivá zjištění; kdo ji otevře, je návštěvníkem našeho webu (oddíly 3 a 4). Právním základem je čl. 6 odst. 1 písm. f) GDPR; naším oprávněným zájmem je dodání odznaku, který zákazník vkládá. Zákazník to uvádí ve svých vlastních zásadách ochrany osobních údajů (textové bloky).

Protokol důkazů: V placených tarifech si můžete pro každou doménu a každý měsíc vygenerovat protokol kontrol. Pod jeho ověřovacím číslem veřejná stránka potvrzuje doménu, období a klíčové údaje, bez podrobností. Aby bylo možné později zjistit, zda byl protokol změněn, necháváme jej podepsat autoritou pro časová razítka. Předáváme jí pouze hash protokolu, ze kterého nelze získat žádný obsah; v současnosti jde o Certum (Asseco Data Systems S.A., Polsko) a jako záložní možnost DigiCert, Inc. (USA). Protokoly se uchovávají, dokud nevymažete doménu. Právním základem je čl. 6 odst. 1 písm. b) GDPR.

13. Plugin pro WordPress a rozšíření pro TYPO3

Pro zákazníky, kteří plugin nebo rozšíření používají, a pro návštěvníky jejich webů.

13.1 Co zůstává na webu zákazníka

Náš plugin pro WordPress a naše rozšíření pro TYPO3 běží na serveru zákazníka. Co tam plugin pro WordPress ukládá, zůstává na tomto webu; nemáme k tomu přístup a správcem je jeho provozovatel:

• Karanténa: odeslání, která ochranná vrstva zadrží jako spam, včetně obsahu polí a adresy pro odpověď, až 14 dní, aby bylo možné omylem zadrženou zprávu doručit jedním kliknutím;
• Záchranná síť: kopie e-mailů z formulářů, které nebylo možné odeslat (příjemce, předmět, text a řádky hlavičky, jako je adresa pro odpověď; přílohy pouze podle názvu), až 30 dní, aby je bylo možné odeslat znovu;
• Výpočetní hádanka: prohlížeč návštěvníka řeší malou úlohu, kterou zadává samotný web; žádná cookie, žádná služba třetí strany;
• Doba uložení: na požádání plugin maže uložené poptávky určitých formulářových pluginů po 90, 180 nebo 365 dnech;
• Počty u formulářů (ve výchozím nastavení vypnuto): zobrazení, zahájení, chyby validace a pokusy o odeslání na formulář a, pokud je to samostatně zapnuto, kategorie chyb podle pozice pole – bez zadaných údajů, názvů polí, cookies nebo trvalých identifikátorů návštěvníků, nejvýše 14 dní na webu. Identifikátor odvozený z IP adresy pro omezování požadavků vyprší po jedné minutě a není nám zasílán;
• Nápověda pro návštěvníky (lze zapnout samostatně): po chybě při odesílání vede upozornění zpět k formuláři, který je stále otevřený, a na přání uvede e-mailovou adresu; nečte žádné zadané údaje, neukládá koncepty a sama nic znovu neodesílá;
• nová antispamová pravidla mohou sedm dní lokálně počítat, aniž by cokoli zadržovala.

Plugin pro WordPress sám přidává vhodné odstavce do průvodce zásadami ochrany osobních údajů ve WordPressu; další texty jsou k dispozici na stránce Text zásad ochrany osobních údajů pro váš web. Rozšíření pro TYPO3 neukládá žádný obsah formulářů; na každou stránku přidává meta tag pro ověření domény a počítá.

13.2 Záznamník

Pomocí záznamníku přihlášený administrátor WordPressu zaznamená cestu k formuláři na svém vlastním webu. Technické selektory a navigační kroky uchovává v úložišti relace svého prohlížeče nejvýše 15 minut a vybranou konfiguraci přenese do připojeného účtu. Nečte žádné zadané údaje. Pro návštěvníky se záznamník nikdy nenačítá.

13.3 Co se nám odesílá

Plugin a rozšíření nám předávají – podle funkce a, s výjimkou kontroly vlastního webu bez účtu, pouze dokud je web připojen k účtu:

• název hostitele, veřejný klíč a tajný klíč, jimiž se web identifikuje, verze pluginu a CMS a jazyk;
• denní údaje: zablokovaná odeslání podle důvodu, přijatá odeslání, odeslané a neúspěšné e-maily s typem chyby, údaje o odpovědích reCAPTCHA a o automaticky smazaných poptávkách; pokud jsou počty zapnuty, jejich denní údaje;
• charakteristiky nastavení formulářů v podobě čísel, například kolik formulářů používá adresu návštěvníka jako odesílatele, a verze určitých formulářových, CAPTCHA a e-mailových pluginů z pevného seznamu;
• aktualizace, aktivace a deaktivace pluginů, šablon vzhledu a CMS s názvy a verzemi, režim údržby a selhání e-mailu z formuláře (pouze typ chyby);
• konfiguraci cesty k formuláři vybranou záznamníkem;
• pro rojovou ochranu (ve výchozím nastavení zapnutou) domény odkazů v zablokovaných zprávách. Z hlášení mnoha webů vzniká seznam spamových domén, který si stahují všechny připojené pluginy. IP adresy ani sítě odesílatelů k tomu nepředáváme.

Plugin a rozšíření nepředávají žádný obsah formulářů kromě těchto domén odkazů, ani e-mailové adresy, jména nebo IP adresy návštěvníků. Denní údaje a hlášení o změnách mažeme po 13 měsících, signály rojové ochrany po 30 dnech; informace z webu, který nepatří k žádné doméně v účtu, po 90 dnech bez kontaktu.

Právní základ: čl. 6 odst. 1 písm. b) GDPR; u rojové ochrany čl. 6 odst. 1 písm. f) GDPR (společná obrana proti spamu napříč mnoha weby). Tyto informace jsou osobními údaji jen ve výjimečných případech, například pokud název hostitele obsahuje jméno osoby.

14. Funkce pro agentury

Pro agentury a pro osoby, které přicházejí do styku s jejich portály a reporty.

• Klientský portál: Agentura může svým klientům poskytnout přístup k portálu s výsledky pro jejich domény. Kdo se tam přihlásí k odběru měsíčního reportu, uvede svou e-mailovou adresu a potvrdí ji odkazem (double opt-in). Ukládáme adresu, jazyk, čas a IP adresu přihlášení k odběru, čas potvrzení a měsíc posledního odeslání. Nepotvrzené odběry mažeme po 30 dnech. Odhlásit se je možné kdykoli prostřednictvím odkazu v každém e-mailu; poté záznam o odběru uchováváme další tři roky, nejdéle však do vymazání pracovního prostoru agentury; pokud agentura pouze zruší portál, odběratelé zůstávají uloženi. Portál a reporty se zobrazují pod názvem agentury; správcem je agentura a my jednáme jejím jménem. Právním základem agentury je souhlas odběratele.
• Vlastní značka: název společnosti, web, kontaktní údaje, barvy a logo, které agentura uloží, se zobrazují v jejích reportech a v portálu, dokud je nezmění nebo nevymaže.
• Vlastní doména: V tarifu Business může agentura zobrazovat portál a reporty pod vlastní subdoménou. Za tímto účelem denně kontrolujeme její záznamy DNS. Funkce v současnosti není zapnuta.
• Kontrola potenciálního klienta: Agentura si může nechat zkontrolovat web potenciálního klienta bez testovacího odeslání (oddíl 7). Odkaz na stručná zjištění předává sama; my nikomu nepíšeme. Kontrolu mažeme po 90 dnech. Za kontaktování potenciálního klienta odpovídá výhradně agentura.
• API klíče a kódy pro hromadné nasazení: Ukládáme je pouze jako hash s krátkou předponou spolu s jejich označením, časem posledního použití (API klíče) nebo počtem uplatnění (kódy pro hromadné nasazení) a počtem volání za minutu (nejméně jeden den; mažou se při pozdějších voláních).

Právní základ: čl. 6 odst. 1 písm. b) GDPR ve vztahu k agentuře; u odběratelů a potenciálních klientů viz výše.

15. Kontrola doručení

Pro zákazníky, kteří ji zapnou, a pro návštěvníky jejich webů. U údajů návštěvníků jsme zpracovatelem zákazníka.

Volitelná kontrola doručení odpovídá na otázku, zda se e-mail z kontaktního formuláře skutečně odesílá. Zákazník za tímto účelem zadá v nastavení e-mailu svého formuláře jednu z našich kontrolních adres jako skrytou kopii (BCC). Díky tomu nedostáváme pouze naše vlastní testovací odeslání, ale kopii každého e-mailu z formuláře – včetně skutečných poptávek jeho návštěvníků s jejich jmény, adresami a zprávami.

Co s nimi děláme, a pouze to: automatické vyzvednutí přečte hlavičky a nejvýše prvních 8 KB textu, přiřadí e-mail podle kontrolní adresy k doméně a případně k testovacímu odeslání a zkontroluje znaky pravosti SPF, DKIM a DMARC. Po úspěšném zpracování se e-mail smaže. Pokud vyzvednutí nebo smazání selže, může e-mail zůstat ve schránce až do dalšího úspěšného běhu; schránku hostuje náš poskytovatel e-mailových služeb (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Kopie se vyhodnocují pouze automaticky.

V naší databázi ukládáme pouze čas, přiřazení k doméně a případně identifikátor testovacího odeslání, a to 180 dní, a technický výsledek ověření pravosti (SPF, DKIM, DMARC) naposledy přijatého e-mailu, dokud jej nenahradí další e-mail nebo dokud není doména vymazána. Tento výsledek ověření pravosti zahrnuje IP adresu odesílajícího serveru a e-mailovou doménu odesílatele; tato doména se v upozornění zákazníkovi uvádí pouze tehdy, pokud nepatří k webu. Pokud formulář zadává jako odesílatele adresu návštěvníka, jde o doménu poskytovatele e-mailu návštěvníka. Obsah e-mailů ani úplné adresy odesílatelů neukládáme. Pokud do několika hodin po testovacím odeslání nedorazí žádná kopie, oznámíme to zákazníkovi.

Přijetí prokazuje pouze to, že přiřazená kopie dorazila do naší kontrolní schránky – nikoli přijetí skutečným příjemcem a nikoli záznam v CRM. Formuláře, jimiž procházejí zvláštní kategorie osobních údajů (například zdravotní informace), by neměly být ke kontrole doručení připojeny. Zákazník o tomto toku údajů informuje své návštěvníky; text k tomu je k dispozici na stránce Text zásad ochrany osobních údajů pro váš web. Bez nastavené kontrolní schránky kontrola není k dispozici.

Právní základ: u zákazníka zpravidla čl. 6 odst. 1 písm. f) GDPR (spolehlivé přijímání poptávek); zpracováváme podle jeho pokynů (čl. 28 GDPR).

16. Jazykový model na našem vlastním serveru a „Fix it for me“

Pro zákazníky a uživatele kontroly zdarma.

Na našem vlastním skenovacím serveru běží jazykový model, nikoli u poskytovatele AI. Pomáhá zařazovat formuláře (oddíl 7) a pomocí „Fix it for me“ vkládá ochranu do kódu formuláře, který vložíte. Vložený kód se zpracovává pouze pro tento požadavek, neukládá se a nepoužívá se k trénování; do protokolu aktivit zaznamenáváme pouze to, že byla funkce použita, s programovacím jazykem, délkou kódu a výsledkem (také kvůli dennímu limitu). Nevkládejte prosím přihlašovací údaje ani osobní údaje. „Fix it for me“ funguje bez přístupu k vašemu webu; kód vkládáte sami. Více na stránce Akt EU o umělé inteligenci: jak formexposed využívá AI. Právní základ: čl. 6 odst. 1 písm. b) GDPR.

17. Podpora, kontakt a hlášení bezpečnostních zranitelností

Pro každého, kdo nám píše.

Pokud nám napíšete prostřednictvím okna podpory nebo kontaktní stránky, zpracováváme vaši e-mailovou adresu, vaši zprávu, zvolené téma, stránku, ze které píšete, jazyk, vaši IP adresu, její zemi, identifikátor prohlížeče a – pokud jste přihlášeni – číslo vašeho účtu, abychom mohli odpovědět na váš požadavek a zabránit zneužití formuláře. Na uvedenou adresu obdržíte e-mailem potvrzení přijetí; pokud jste přihlášeni, reprodukuje začátek vaší zprávy (až 2 000 znaků), jinak váš text neobsahuje. Jako každý odeslaný e-mail se uchovává 30 dní (oddíl 11). O nových požadavcích nás upozorní signál přes Telegram, který neobsahuje žádný obsah ani informace o vás. Pokud nám pošlete e-mail, zpracováváme vaši adresu a vaši zprávu. Stejně nakládáme s hlášeními bezpečnostních zranitelností. Požadavky mažeme 24 měsíců po přijetí, i když svůj účet vymažete dříve; dokumentují, na co se kdo ptal a co bylo odpovězeno.

Právní základ: čl. 6 odst. 1 písm. b) GDPR, pokud se požadavek týká smlouvy s námi, jinak čl. 6 odst. 1 písm. f) GDPR (odpověď, předcházení zneužití, doklad). Požadavek: bez e-mailové adresy nemůžeme odpovědět.

18. Platby, zkušební verze a partnerský program

Pro zákazníky s placeným tarifem a pro partnery.

Placené tarify účtujeme prostřednictvím Stripe. Poskytovatelem je Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irsko. Platební údaje zadáváte přímo u Stripe; my je nevidíme. Stripe obdrží vaši e-mailovou adresu a vaše jméno, při placení vaši fakturační adresu a případně vaše DIČ pro DPH a vystavuje faktury. U Stripe vedeme pouze identifikátory zákazníka a předplatného, tarif, stav, konec zúčtovacího období a identifikátory a typy událostí, které nám Stripe hlásí.

Zkušební verzi můžete zahájit bez karty; bez platebního prostředku automaticky skončí. Pokud vám hostingová společnost nebo partner poskytl aktivační kód, ukládáme, který účet jej a kdy uplatnil a do kdy tarif platí.

Stripe zpracovává údaje také jako samostatný správce, například k předcházení podvodům a k plnění zákonných povinností, a může je předávat společnosti Stripe, Inc. v USA (oddíl 22). Více v zásadách ochrany osobních údajů společnosti Stripe.

Partnerský program: Program je vytvořen, ale v současnosti není zapnut. Pokud bude zapnut, platí následující: každý účet má doporučující kód. Kdo se zaregistruje přes doporučující odkaz, je na omezený počet měsíců přiřazen k partnerovi; ukládáme přiřazení a jeho čas a u každé zaplacené faktury čistou částku a provizi. Partner vidí pouze čísla – kolik účtů se zaregistrovalo, kolik platí a celkovou výši svých provizí – žádná jména a žádné adresy. Platí partnerské podmínky. Údaje partnerů, přiřazení a provize v současnosti uchováváme bez pevné doby uložení, stejně jako informace o uplatněných aktivačních kódech; lhůtu pro výmaz stanovíme a uvedeme ji zde.

Právní základ: čl. 6 odst. 1 písm. b) GDPR; pro uchovávání fakturačních údajů a, pokud to vyžadují daňové předpisy, údajů o provizích čl. 6 odst. 1 písm. c) GDPR; pro přiřazení k partnerovi čl. 6 odst. 1 písm. f) GDPR (vyúčtování provize). Fakturační údaje uchováváme po dobu vyžadovanou daňovými předpisy; podle polského práva (čl. 86 ve spojení s čl. 70 polského daňového řádu, Ordynacja podatkowa) zpravidla do uplynutí pěti let od konce kalendářního roku, ve kterém daň nabyla splatnosti. Požadavek: bez platebních údajů žádný placený tarif; bezplatný tarif zůstává k dispozici.

19. Vyloučení domény (opt-out)

Pro provozovatele webů, kteří nechtějí, abychom je kontrolovali.

Prostřednictvím stránky pro opt-out můžete doménu vyloučit z dalších kontrol. Vyloučení platí pro doménu a její variantu s www, nikoli pro jiné subdomény, a to i vůči platícím zákazníkům, kteří doménu ověřili; probíhající monitoring končí další plánovanou kontrolou. Zrušit je můžeme pouze my, na žádost a po prokázání, že doménu ovládáte. Ukládáme doménu, dobrovolně uvedený důvod, vaši IP adresu, její zemi a identifikátor prohlížeče. IP adresu, zemi a identifikátor prohlížeče mažeme po 12 měsících; samotné vyloučení zůstává trvale, protože jinak by byla doména znovu kontrolována. Tyto informace potřebujeme, abychom vaše přání mohli trvale respektovat a rozpoznali, zda někdo zneužívá vylučování cizích domén. Právní základ: čl. 6 odst. 1 písm. f) GDPR; naším oprávněným zájmem je trvalé respektování vašeho přání a rozpoznání zneužití formuláře. Pokud vyloučení zamýšlíte jako námitku podle čl. 21 GDPR, provedeme je tímto způsobem.

20. Pro návštěvníky webů našich zákazníků

Pro osoby, které navštíví web, nebo na něm odešlou formulář, jehož provozovatel používá formexposed.

Správcem pro tento web je jeho provozovatel, nikoli my. Provozovatel rozhoduje, které funkce použije, a musí vás o nich informovat ve svých vlastních zásadách ochrany osobních údajů. K nám se může dostat:

• Odznak: údaje o připojení vašeho prohlížeče při načítání obrázku, 14 dní v protokolu webového serveru, bez cookie; zde jsme správcem pro dodání obrázku (oddíl 12).
• Kontrola doručení: kopie vašeho e-mailu z formuláře, která se automaticky vyhodnotí a smaže; jsme zpracovatelem (oddíl 15).
• Plugin pro WordPress a rozšíření pro TYPO3: denní údaje bez vztahu k vám a pro rojovou ochranu domény odkazů ze zablokovaných zpráv; karanténa a záchranná síť zůstávají na webu (oddíl 13).
• Klientský portál: vaše e-mailová adresa, pokud se tam přihlásíte k odběru reportu; jsme zpracovatelem agentury (oddíl 14).
• Ochrana formulářů (formconfirmed): pokud ji provozovatel používá, váš prohlížeč si při otevření stránky vyžádá úlohu z našeho serveru a na pozadí ji vyřeší; při odeslání nechá server provozovatele výsledek ověřit u nás. Zpracovává se vaše IP adresa (ukládaná pouze zkrácená a jako hash, nejvýše jednu hodinu; v protokolu webového serveru jako každý požadavek 14 dní), adresa stránky, doba vyplňování, informace, zda bylo vyplněno neviditelné pole, a – pouze pokud provozovatel zapne kontrolu obsahu – text vaší zprávy, který jazykový model na našem vlastním serveru vyhodnotí v operační paměti a neukládá. Žádné cookies, žádné ukládání v prohlížeči, žádný otisk zařízení. Jsme zpracovatelem provozovatele (smlouva o zpracování osobních údajů, příloha 1 bod 10).

Svá práva nejlépe uplatníte u provozovatele webu; ten zná souvislosti a může nám dát pokyny. Pokud se obrátíte na nás, předáme váš požadavek provozovateli nebo jej vyřídíme sami, pokud jsme správcem. Co přitom dokážeme a nedokážeme dohledat, je uvedeno na stránce Přístup, výmaz a vaše další práva.

21. Příjemci

Osobní údaje předáváme pouze tam, kde to uvádějí tyto zásady. Údaje neprodáváme, nepronajímáme ani nevyměňujeme. Kategorie příjemců:

Příjemce (sídlo)	Kategorie	K čemu
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	zpracovatel; místo zpracování je ještě třeba ověřit	odesílání a příjem našich e-mailů; kontrolní schránka kontroly doručení
Namecheap, Inc. (USA)	zpracovatel	doména, DNS; do nastavení schránky přeposílání obecných e-mailů na naši doménu (nikoli kontrolních kopií z kontroly doručení)
Stripe Payments Europe, Ltd. (Irsko), Stripe, Inc. (USA)	převážně samostatný správce; přesné rozdělení rolí ještě prověřujeme	platby a faktury
Google Ireland Ltd., Google LLC (USA)	samostatný správce	reCAPTCHA
Telegram (mimo EHP)	cíl zvolený zákazníkem; zprávu odesíláme prostřednictvím našeho bota. Pro nás také kanál oznámení	upozornění, pokud zvolíte Telegram; provozní signály bez osobních údajů
Slack, Discord, Microsoft (Teams), Google (Chat), vaše webhooky (zčásti USA)	cíle zvolené zákazníkem	upozornění
Veřejnost	–	odkazy na reporty, potvrzovací stránky, výsledky studie (pouze souhrnné)
Členové vašeho pracovního prostoru	uživatelé téhož účtu	spolupráce, podle role
Orgány, soudy, CERT Polska, poradci	samostatní správci	pouze tam, kde existuje zákonná povinnost, pro určení, výkon nebo obhajobu právních nároků a v případě zneužití naší služby nebo útoků na třetí osoby (čl. 6 odst. 1 písm. c) nebo f) GDPR)

Žádné osobní údaje nedostávají: služby RDAP registrů, nalezené prostřednictvím adresáře IANA, a pro stáří domény v kontrole zdarma přenosová služba rdap.org (pouze názvy domén), WPVulnerability na wpvulnerability.net (pouze identifikátor pluginu bez verze, identifikátor šablony vzhledu nebo verze WordPressu), stavové stránky služeb CAPTCHA a e-mailových služeb (nic jiného než samotný požadavek), autority pro časová razítka Certum a DigiCert (pouze hashe), blocklisty DNS SpamCop, PSBL, Mailspike a SURBL (pouze domény a IP adresy serverů), Google Web Risk, je-li nastaven (pouze adresa úvodní stránky), a ostatní připojené pluginy v rámci rojové ochrany (pouze spamové domény). Úplný, průběžně aktualizovaný seznam našich zpracovatelů s jejich sídlem a základem předání je k dispozici na stránce Další zpracovatelé; změny oznamujeme zákazníkům 30 dní předem.

22. Předávání do třetích zemí

Pokud příjemce sídlí mimo Evropský hospodářský prostor, předáváme údaje pouze tehdy, jsou-li splněny podmínky čl. 44 a násl. GDPR:

• USA: na základě rozhodnutí Evropské komise o odpovídající ochraně týkajícího se rámce EU-USA pro ochranu osobních údajů (prováděcí rozhodnutí (EU) 2023/1795, čl. 45 GDPR), pokud je příjemce podle něj certifikován. Zda jsou Google, Stripe a Namecheap pro dotčené služby certifikovány, pro tuto verzi ještě ověřujeme, a proto to netvrdíme; tam, kde certifikace chybí, na základě standardních smluvních doložek Evropské komise (prováděcí rozhodnutí (EU) 2021/914, čl. 46 odst. 2 písm. c) GDPR).
• Náš poskytovatel e-mailových služeb: kde Namecheap, Inc. (Private Email), Phoenix, Arizona, USA údaje zpracovává a na jakém základě mohou být předány do třetí země, ještě ověřujeme. Aktuální stav je uveden na stránce Další zpracovatelé.
• Chatovací služby a webhooky, které si zvolíte sami: Slack, Discord, Microsoft Teams, Google Chat a webhooky dostávají vaše upozornění prostřednictvím adresy, kterou si vygenerujete ve svém účtu u dané služby; smluvní vztah s poskytovatelem a případný základ potřebný pro předání do třetí země jsou vaší odpovědností.
• Telegram: cíl zvolený zákazníkem; zprávu odesíláme prostřednictvím našeho bota. Telegram sídlí mimo EHP v zemi bez rozhodnutí o odpovídající ochraně a standardní smluvní doložky s Telegramem nemáme. V současnosti necháváme prověřit, na jakém základě podle čl. 44 a násl. GDPR toto předání spočívá – v úvahu přichází čl. 49 odst. 1 písm. b) GDPR, protože kanál si volíte sami. Telegram zvolte pouze tehdy, pokud vám to stačí; jako alternativa zůstává vždy k dispozici e-mail.

Kopii záruk, na nichž předání zakládáme, můžete na požádání bezplatně získat na adrese uvedené v oddílu 1. Rozhodnutí o odpovídající ochraně a standardní smluvní doložky najdete také v Úředním věstníku EU (eur-lex.europa.eu) a seznam společností certifikovaných podle rámce pro ochranu osobních údajů na dataprivacyframework.gov. Naše vlastní servery se nacházejí v Polsku; údaje, které nedostává žádný z uvedených příjemců, EU neopouštějí.

23. Doby uložení v přehledu

Doby uložení se vynucují nočním během, u protokolu webového serveru jeho denní rotací. Kde je uvedeno „s doménou“, údaje zanikají okamžitě, jakmile vymažete doménu nebo svůj účet. Poté zůstávají v zálohách až 14 dní (oddíl 3.4).

Údaje	Výmaz
Protokol webového serveru (včetně požadavků na odznak)	po 14 dnech
Protokol zobrazení stránek	po 60 dnech
Protokol chyb	po 90 dnech
Protokol aktivit	po 365 dnech
Pokusy o přihlášení; limity kontroly zdarma a nástroje pro hlavičky	po 7 dnech
Příznaky podezřelého chování (kontrola zdarma)	90 dní po vyřešení případu
Přihlášená zařízení	90 dní po posledním použití
„Zůstat přihlášen“; nikdy nepotvrzené účty; přijaté pozvánky (nepřijaté při vypršení platnosti)	po 30 dnech
Report bez účtu včetně snímků obrazovky	po 30 dnech
PDF verze reportu v mezipaměti	po 7 dnech
Výsledky nástroje pro hlavičky; kontrola webu potenciálního klienta	po 90 dnech
Kontroly pro studii	při zveřejnění jejích výsledků
Výsledky kontrol, kontroly v prohlížeči a časy pro doménu v účtu	po 13 měsících (nejnovější kontrola, dokud je doména v účtu)
Doména, nastavení, cesty k formulářům, protokoly důkazů, cíle upozornění, výsledek ověření pravosti posledního e-mailu z formuláře	s doménou
Inventář skriptů a jeho změny	s doménou (samostatná doba uložení neexistuje)
Testovací přihlášení pro kontrolu za přihlášením	když jej vymažete, s doménou; kopie připojená ke kontrolní úloze po běhu, nejpozději po jedné hodině
Denní údaje a hlášení o změnách z pluginu a rozšíření, počty u formulářů	po 13 měsících
Informace z webu s pluginem, který nepatří k žádnému účtu	90 dní po posledním kontaktu
Signály rojové ochrany; shromážděná oznámení pro denní a týdenní reporty (od odeslání)	po 30 dnech
Počítání volání API; jednorázové kódy pro Telegram	nejdříve po jednom dni, při dalším volání nebo kódu tohoto druhu
Protokol odeslání upozornění	po 90 dnech
Přiřazení z kontroly doručení; incidenty s potvrzením a pokusy o doručení eskalací (nevyřešené se uchovávají)	po 180 dnech, incidenty od jejich vyřešení
Kopie e-mailů z formulářů v kontrolní schránce	po zpracování; v případě chyb při dalším úspěšném běhu
Odeslané e-maily	po 30 dnech
Požadavky na podporu	po 24 měsících
Zpětná vazba k reportu	po 24 měsících, s účtem okamžitě; kontrolní součet IP adresy po 2 dnech
IP adresa, země a identifikátor prohlížeče týkající se opt-outu	po 12 měsících (doména zůstává vyloučena)
Nepotvrzené odběry měsíčního reportu v klientském portálu	po 30 dnech
Záznam o zrušeném odběru	tři roky po odhlášení
Účet a osobní údaje	když je vymažete
Záznam o uzavření smlouvy	po dobu existence účtu; po jeho vymazání, jakmile je souhlas starý čtyři roky
Fakturační údaje	po uplynutí daňové lhůty pro uchovávání
Přiřazení a provize z partnerského programu; uplatněné aktivační kódy	v současnosti bez pevné lhůty
Příklad typu chyby	v současnosti bez pevné doby uložení
Zálohy databáze	po 14 dnech
Ochrana formulářů: zkrácená IP adresa uložená jako hash k rozpoznání opakovaných požadavků; použité kontrolní tokeny; výsledky kontrol bez IP adresy a bez textu (akce, skóre, důvody, doména); denní čísla bez vztahu k osobě	po jedné hodině; nejpozději po jedenácti minutách; po 30 dnech; po 400 dnech

24. Povinnost poskytnout údaje

Nemáte žádnou zákonnou povinnost nám údaje poskytnout. Pro účet potřebujeme vaši e-mailovou adresu, vaše křestní jméno a heslo; bez nich nelze uzavřít smlouvu. Pro placené tarify potřebujeme fakturační údaje, pro kontrolu doručení kontrolní schránku, pro upozornění cíl. Všechny ostatní údaje jsou dobrovolné. Údaje o připojení v protokolech vznikají technicky při každém požadavku; bez nich vám server nemůže odpovědět. Co chybí, pokud něco neuvedete, je uvedeno v oddílu o příslušném zpracování.

25. Automatizované rozhodování a profilování

Nečiníme rozhodnutí založená výhradně na automatizovaném zpracování, která by pro vás měla právní účinky nebo se vás obdobným způsobem významně dotýkala (čl. 22 GDPR). Nevytváříme profily jednotlivých osob. Naše hodnocení – úroveň rizika, známka za hlavičky, „chráněno“ v odznaku – se týkají webů a formulářů, nikoli lidí.

Automaticky však běží ochranné mechanismy, které mohou jednotlivé požadavky odmítnout, aniž by se na ně podíval člověk: hodnocení reCAPTCHA a naše vlastní ochrana formulářů (oddíl 5), limity a příznaky u kontroly zdarma (oddíl 6) a zablokování po příliš mnoha pokusech o přihlášení (oddíl 8.2). Zabraňují pouze jednotlivému odeslání; odmítnutý pokus lze později zopakovat a pro jakýkoli požadavek zůstává k dispozici e-mail. Pokud se domníváte, že odmítnutí je chybné, napište nám; případ posoudí člověk. Automaticky také mažeme účty, které nebyly potvrzeny do 30 dnů od registrace.

26. Vaše práva

Podle GDPR máte následující práva. U každého uvádíme nejrychlejší způsob, jak je uplatnit. Není-li uvedeno jinak, postačí e-mail na contact@lukaswojcik.com. Odpovídáme bez zbytečného odkladu a v každém případě do jednoho měsíce od obdržení; u složitých nebo početných žádostí lze tuto lhůtu prodloužit o dva měsíce, o čemž vás spolu s důvody informujeme v průběhu prvního měsíce (čl. 12 odst. 3 GDPR). Uplatnění vašich práv je bezplatné; pouze u zjevně nedůvodných nebo nepřiměřených žádostí můžeme požadovat přiměřený poplatek nebo odmítnout žádosti vyhovět, a to s odůvodněním (čl. 12 odst. 5 GDPR). Abychom nezpřístupnili údaje někoho jiného, můžeme vás požádat, abyste žádost podali z e-mailové adresy svého účtu; další doklady požadujeme pouze tehdy, máme-li důvodné pochybnosti o vaší totožnosti, a jen v nezbytném rozsahu (čl. 12 odst. 6 GDPR).

• Přístup (čl. 15 GDPR): S účtem si stáhněte export dat v Nastavení; obsahuje údaje o účtu, pracovním prostoru a doménách, vaše přihlášení, aktivity, požadavky na podporu, odeslané e-maily a souhlasy. Výsledky kontrol vidíte jako reporty v účtu. Úplný přístup, včetně údajů, které export neobsahuje (například záznamy v protokolu chyb nebo v protokolu webového serveru), spolu s informacemi podle čl. 15 odst. 1 GDPR získáte na žádost e-mailem. Bez účtu – například v souvislosti s opt-outem, požadavkem na podporu nebo reportem – e-mailem s uvedením dotčené domény nebo adresy a přibližného času.
• Oprava (čl. 16): Své jméno, společnost, jazyk a e-mailovou adresu můžete sami změnit v Nastavení, fakturační adresu a DIČ pro DPH v zákaznickém portálu Stripe v sekci Fakturace; vše ostatní e-mailem.
• Výmaz (čl. 17): Svůj účet, domény, cíle upozornění a testovací přihlášení můžete vymazat sami a API klíče sami zrušit (mažou se s účtem); z odběru měsíčního reportu klientského portálu se můžete odhlásit prostřednictvím odkazu v každém e-mailu. O výmaz reportu, snímku obrazovky nebo jiných údajů můžete požádat e-mailem. Co musíme z právních důvodů uchovávat, je uvedeno v oddílu 8.6.
• Omezení zpracování (čl. 18): e-mailem, například pokud popíráte přesnost údajů a my ji ověřujeme.
• Přenositelnost údajů (čl. 20): Export dat je strojově čitelný soubor JSON, který můžete sami předat jinému poskytovateli. Více o změně poskytovatele na stránce Akt EU o datech: změna poskytovatele a export dat.
• Námitka (čl. 21): viz následující oddíl.
• Odvolání souhlasu (čl. 7 odst. 3): Naše vlastní zpracování nezakládáme na souhlasu. Souhlas s odběrem měsíčního reportu klientského portálu můžete odvolat prostřednictvím odkazu v každém e-mailu; odvolání má účinky do budoucna.

U údajů, které zpracováváme jménem zákazníka (oddíl 2), je vaším kontaktním místem zákazník. Pokud přesto napíšete nám, předáme vaši žádost zákazníkovi a pomůžeme mu s odpovědí. Podrobný návod se všemi cestami a omezeními je k dispozici na stránce Přístup, výmaz a vaše další práva.

27. Právo vznést námitku podle čl. 21 GDPR

Pokud zpracováváme údaje na základě oprávněných zájmů (čl. 6 odst. 1 písm. f) GDPR), můžete z důvodů týkajících se vaší konkrétní situace kdykoli vznést námitku. Údaje pak již nebudeme zpracovávat, pokud neprokážeme závažné oprávněné důvody pro zpracování, které převažují nad vašimi zájmy, právy a svobodami, nebo pokud zpracování neslouží k určení, výkonu nebo obhajobě právních nároků.

To platí zejména pro kontrolu webů naším crawlerem (oddíl 7), protokoly (oddíl 3), reCAPTCHA (oddíl 5), limity kontroly zdarma (oddíl 6), připomínku nastavení (oddíl 11), odznak (oddíl 12) a rojovou ochranu (oddíl 13).

Námitka nevyžaduje žádnou zvláštní formu; postačí e-mail na contact@lukaswojcik.com. Jako provozovatel webu můžete další kontroly kdykoli sami vyloučit také prostřednictvím souboru robots.txt nebo stránky pro opt-out. Nezasíláme reklamu e-mailem, proti níž by byla možná námitka bez uvedení důvodů.

28. Stížnost u dozorového úřadu

Pokud se domníváte, že vaše údaje zpracováváme protiprávně, můžete podat stížnost u dozorového úřadu pro ochranu osobních údajů (čl. 77 GDPR). Úřadem příslušným pro nás je:

Prezes Urzędu Ochrony Danych Osobowych (předseda Úřadu pro ochranu osobních údajů, UODO)
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Polsko
uodo.gov.pl

Můžete se obrátit také na úřad členského státu, v němž máte bydliště nebo místo výkonu práce nebo v němž došlo k údajnému porušení – v Německu například na úřad pro ochranu osobních údajů vaší spolkové země. Tento úřad v případě potřeby postoupí stížnost příslušnému úřadu. Rádi předem vyřešíme vaši připomínku přímo s vámi; není to však podmínkou.

29. Zabezpečení

Všechna připojení k naší službě jsou šifrována pomocí TLS; připojení v rámci naší interní sítě nejsou šifrována všude. Hesla, API klíče a záložní kódy ukládáme pouze jako hashe, tajné klíče dvoufaktorového přihlášení a testovací přihlášení pouze v šifrované podobě. Údaje zákazníků jsou odděleny podle pracovních prostorů; oprávnění role vynucuje server, nikoli jen uživatelské rozhraní. Přístup k serverům má pouze majitel; crawler pracuje izolovaně a nemá přístup k adresám v interní síti. Úplný popis je k dispozici na stránce Technická a organizační opatření. Pokud se dozvíme o porušení zabezpečení osobních údajů, ohlásíme je dozorovému úřadu a v případě potřeby vám v souladu s čl. 33 a 34 GDPR; zákazníky, jejichž jménem jednáme, informujeme bez zbytečného odkladu, pokud možno do 48 hodin.

30. Další dokumenty

Tyto zásady jsou shrnutím pro subjekty údajů. Podrobnosti najdete v záznamech o činnostech zpracování, v seznamu dalších zpracovatelů, v technických a organizačních opatřeních, ve smlouvě o zpracování osobních údajů, v posouzení vlivu na ochranu osobních údajů a na stránkách Přístup, výmaz a vaše další práva, Akt EU o umělé inteligenci: jak formexposed využívá AI a Text zásad ochrany osobních údajů pro váš web.

31. Změny

Tyto zásady aktualizujeme, když se změní služba nebo právní situace, a to dříve, než začne jakékoli nové zpracování. Platí verze zde zveřejněná; dřívější verze a přehled změn najdete na stránce Změny smluvních dokumentů. Verze, kterou jste viděli při registraci, je uvedena ve vašem exportu dat. Pokud se ve zpracování vašich údajů jako zákazníka změní něco podstatného, budeme vás informovat také e-mailem.

Tyto zásady jsou k dispozici ve všech úředních jazycích Evropské unie. V případě rozporů má přednost polská verze.