Přístup, výmaz a vaše další práva

Tento dokument je zveřejněn v několika jazycích. V případě rozporu mezi jazykovými verzemi je závazná polská verze.

Verze 1.0 · Poslední aktualizace: 16. října 2026

Tato stránka vysvětluje, jak vůči formexposed uplatníte svá práva podle obecného nařízení o ochraně osobních údajů (GDPR): kdo má u nás jaké údaje, jakou cestou získáte přístup, kopii, opravu nebo výmaz, co k tomu od vás potřebujeme a kde jsou meze. Doplňuje Zásady ochrany osobních údajů, které podrobně uvádějí účely, právní základy a doby uložení.

1. Kdo od nás může co požadovat

formexposed kontroluje kontaktní formuláře na webech. Proto přicházíme do styku s velmi různými lidmi: zákazníky s účtem, členy týmů, provozovateli kontrolovaných webů, návštěvníky webů našich zákazníků a odběrateli klientského portálu. Ne každý u nás zanechal stejné údaje a to, zda vám můžeme něco přiřadit, závisí na vaší roli. Pro každou skupinu popisují následující oddíly příslušnou cestu. Kde jednáme pouze jménem Zákazníka, uvádíme to, protože pak rozhoduje Zákazník, nikoli my. GDPR chrání fyzické osoby. Je-li provozovatelem webu společnost, nemá podle GDPR vlastní práva; mají je osoby, jejichž údaje se na webu objevují. Společnostem přesto odpovídáme podle stejných pravidel, pokud jde o jejich vlastní doménu.

2. Cesty v přehledu

Jste	Co o vás můžeme mít	Cesta	Co od vás potřebujeme
Zákazník s účtem	Účet, pracovní prostory, domény, nastavení, protokoly, souhlasy, požadavky na podporu	Sami v Nastavení: export a smazání	Přihlášení a vaše heslo
Člen týmu	Váš vlastní účet; vaše záznamy v protokolu činností pracovního prostoru	Jako u zákazníků; opuštění pracovního prostoru	Přihlášení a heslo
Pozvaná osoba bez účtu	E-mailová adresa a role v pozvánce	E-mail nám nebo osobě, která vás pozvala	Zpráva z pozvané adresy
Provozovatel kontrolovaného webu	Reporty o vaší doméně, záznam opt-outu, údaje z pluginu bez účtu	Stránka opt-out, robots.txt, e-mail nám	Doména, odkaz na report; pro více než report doklad, že doménu ovládáte
Osoba, která se objevuje na kontrolovaném webu	Snímky obrazovky a adresy kontrolovaných stránek, na nichž se objevujete	E-mail nám (oddíl 5.3)	Doména a přibližný čas, případně odkaz na report
Návštěvník zákaznického webu	Téměř vždy nic přiřaditelného (oddíl 6)	Nejprve provozovatel webu	Web, čas; u odznaku vaše IP adresa
Odběratel klientského portálu	E-mailová adresa, jazyk, čas a IP adresa přihlášení k odběru, potvrzení, odhlášení	Odkaz pro odhlášení v každém e-mailu; jinak agentura	Zpráva z adresy přihlášené k odběru

Naše adresa pro vše, co nemůžete udělat sami: contact@lukaswojcik.com. Tam můžete uplatnit jakékoli právo i bez předchozího využití samoobslužných možností; ty jsou jen rychlejší cestou. K dispozici je také kontaktní stránka a okno podpory (otazník v navigaci).

3. Zákazníci s účtem

3.1 Přístup a kopie: export dat

V Nastavení → Vaše údaje → „Stáhnout moje data“ okamžitě obdržíte soubor JSON s tím, co o vašem účtu uchováváme. Je to nejrychlejší cesta ke kopii podle čl. 15 odst. 3 GDPR a k přenositelnosti údajů (čl. 20). Ostatní informace podle čl. 15 odst. 1 – účely, příjemci, doba uložení, zdroj, vaše práva – jsou uvedeny v Zásadách ochrany osobních údajů; na žádost je pro váš případ sestavíme spolu s údaji, které export neobsahuje. Export vyžaduje vaše heslo a je omezen na tři stažení za hodinu, protože soubor obsahuje IP adresy a zařízení a otevřená relace na cizím počítači by k jeho získání neměla stačit.

Soubor obsahuje váš účet (jméno, e-mailová adresa, společnost, tarif, poslední přihlášení s IP adresou), vaše pracovní prostory s rolí a – u pracovních prostorů, které vlastníte – domény s jejich nastavením, cíle upozornění, monitorované formuláře, značku, klientské portály včetně odběratelů, pokusy o doručení eskalace a kontroly potenciálních zákazníků; dále vaše klíče API (pouze prefix a označení), přihlášená zařízení, pokusy o přihlášení, protokol činností, navštívené stránky, požadavky na podporu, e-maily, které vám byly zaslány (bez textu, protože mohou stále obsahovat platné odkazy), a verze právních textů, s nimiž jste souhlasili. Pokud si naše podpora váš účet prohlížela prostřednictvím funkce „zobrazit jako zákazník“, je to také zahrnuto.

Co soubor neobsahuje: hash hesla, tajné klíče dvoufázového přihlášení, tokeny a klíče – jde o bezpečnostní prvky, nikoli o informace. Údaje ostatních členů vašich pracovních prostorů. Faktury, které jsou v zákaznickém portálu Stripe v části Fakturace. A jednotlivé výsledky kontrol (nálezy, snímky obrazovky, incidenty, protokol upozornění); ty vidíte v účtu a v reportech a v tarifu Business také přes API. Pokud je chcete jako soubor, napište nám; sestavíme je ve lhůtě uvedené v oddílu 9. Více na stránce Akt EU o datech: změna poskytovatele a export dat.

3.2 Oprava

Jméno, příjmení, společnost, jazyk a e-mailovou adresu si měníte sami v nastavení; nová e-mailová adresa platí, až když ji potvrdíte odkazem v potvrzovacím e-mailu. Fakturační adresu a DIČ měníte v zákaznickém portálu Stripe v části Fakturace. Pro vše ostatní stačí zpráva nám (čl. 16 GDPR).

3.3 Výmaz: doména, pracovní prostor, účet

Mazat můžete na třech úrovních. Každé smazání se v databázi projeví okamžitě a nelze je vrátit zpět. Předtím si stáhněte svá data.

Odebrání domény (oprávnění k zápisu v pracovním prostoru): odebere doménu se všemi kontrolami včetně formulářů, nálezů a snímků obrazovky, reporty (jejichž odkazy pak přestanou fungovat), úlohy, cíle upozornění, protokol doručení a incidenty, propojení s Telegramem, přiřazení kontroly doručení, měření pulsu, shody se zranitelnostmi a důkazní protokoly (včetně jejich veřejné potvrzovací stránky), jakož i monitorované formuláře s jejich kontrolními kroky, kontrolami v prohlížeči a měřeními a šifrované testovací účty pro skenování za přihlášením. Zmizí i denní údaje z pluginu a rozšíření, jakmile stejnou doménu nemá žádný jiný účet.
Smazání pracovního prostoru (pouze vlastník): navíc všechny domény v něm jako výše, značka včetně loga, klientské portály včetně odběratelů, kódy pro hromadné nasazení, kontroly potenciálních zákazníků (jejich reporty vyprší až na konci své lhůty, která činí až 90 dní), pozvánky a členství.
Smazání účtu (Nastavení, s heslem): nejprve ukončí běžící předplatné ve Stripe, okamžitě a zpravidla bez vrácení peněz za zbytek zaplaceného období (výjimky stanoví Obchodní podmínky); kdo chce zbytek tohoto období využít, nejprve v části Fakturace zruší předplatné ke konci období. Pokud se ukončení předplatného nezdaří, účet zůstane, aby žádné předplatné nepokračovalo bez účtu. Pracovní prostory, které vlastníte, přejdou na jiného člena, nejprve na administrátory a mezi nimi na toho, kdo je členem nejdéle; pracovní prostory bez dalších členů se smažou i s jejich daty. Odstraníme také vaše členství, přihlášená zařízení, přihlášení „Zůstat přihlášen“, vaše klíče API včetně počítadel, otevřené kódy Telegramu a samotný záznam účtu.

Pracovní prostor, který předáte členovi, se nesmaže. Práce týmu nepatří osobě, která pracovní prostor vytvořila. Pokud chcete, aby zmizely i domény v něm, smažte pracovní prostor dříve, než smažete svůj účet, nebo se na tom dohodněte se svým týmem.

Bez vlastní doby uložení: Inventář skriptů domény (seznam zjištěných skriptů) a protokol jejich změn se mažou spolu s doménou, i když zaniká spolu se svým pracovním prostorem nebo vaším účtem. Vlastní dobu uložení nemají: uchovávají se, dokud doména existuje. Pokud je chcete odstranit dříve, smažeme je, když nám napíšete.

3.4 Co po smazání zůstává a proč

Některé věci nemažeme ve stejném okamžiku, protože slouží jinému účelu nebo mají vlastní dobu uložení. Vyprší s touto dobou a poté jsou pryč. Pokud požádáte o dřívější výmaz záznamů, které zakládáme na oprávněných zájmech (především protokoly a požadavky na podporu), posoudíme to v jednotlivém případě a smažeme je, pokud naše důvody nepřevažují nad vašimi (čl. 17 odst. 1 písm. c), čl. 21 odst. 1 GDPR):

Protokoly: protokol činností 365 dní, protokol přístupů ke stránkám 60 dní, protokol chyb 90 dní, protokol webového serveru 14 dní, pokusy o přihlášení 7 dní, odeslané e-maily 30 dní. Slouží bezpečnosti a vyšetřování zneužití. Záznamy v protokolu činností a v protokolu přístupů ke stránkám si ponechávají vaše staré číslo účtu, které po smazání již neodkazuje na žádný existující účet; samotné smazání se zaznamenává, aby je bylo možné později prokázat.
Požadavky na podporu: 24 měsíců, aby bylo možné zodpovědět i pozdější dotaz nebo reklamaci.
Doklad o uzavření smlouvy: kterou verzi Obchodních podmínek, Smlouvy o zpracování osobních údajů a Zásad ochrany osobních údajů jste přijali a kdy, s IP adresou a identifikací prohlížeče. Zůstává, protože právě po ukončení vyvstává otázka, na čem byla smlouva založena (čl. 5 odst. 2, čl. 17 odst. 3 písm. e) GDPR), a maže se, jakmile účet již neexistuje a souhlas je starší než čtyři roky.
Faktury a platební transakce uchovává Stripe a podléhají daňové archivaci (v Polsku pět let od konce roku, v němž se daň stala splatnou, čl. 17 odst. 3 písm. b) GDPR).
Zálohy: Smazané údaje zůstávají v zálohách databáze, dokud nejsou v běžném chodu po 14 dnech přepsány. Zálohu neobnovujeme proto, abychom získali zpět smazané údaje.

4. Členové týmů a pozvané osoby

Jako člen cizího pracovního prostoru máte vlastní účet se stejnými nástroji jako v oddílu 3: export, oprava, výmaz. Váš export obsahuje vaše členství, nikoli však domény pracovních prostorů, které vlastní jiní – za ty odpovídá jejich vlastník. Pracovní prostor můžete kdykoli opustit; vlastník vás může odebrat. Co jste v pracovním prostoru dělali, se zaznamenává v protokolu činností a vyprší po 365 dnech. Pokud jste zanechali jméno nebo e-mailovou adresu jako osoba potvrzující incident nebo jako příjemce upozornění, spravuje tyto údaje vlastník pracovního prostoru; jednáme jeho jménem a případnou žádost mu předáme.

Pokud jste byli pozváni, aniž byste si vytvořili účet, uchováváme vaši e-mailovou adresu a zamýšlenou roli, dokud pozvánka po 14 dnech nevyprší; noční běh ji poté smaže. Přijatou pozvánku mažeme 30 dní po přijetí. Pokud chcete, aby otevřená pozvánka zmizela okamžitě, napište nám z pozvané adresy.

5. Provozovatelé kontrolovaných webů bez účtu

5.1 Co o vaší doméně můžeme mít

Reporty z bezplatné kontroly: adresy kontrolovaných stránek, struktura formulářů (bez hodnot), zjištěná ochranná opatření a snímky obrazovky, které nejsou začerněny. Smazání po 30 dnech.
Kontroly vašeho webu jako potenciálního zákazníka agenturou: 90 dní. Kontroly pro studii: do zveřejnění, které obsahuje pouze souhrnná čísla bez názvů webů.
Záznam opt-outu, pokud někdo vaši doménu vyloučil: doména a důvod trvale; IP adresa, země a identifikace prohlížeče osoby, která záznam provedla, po dobu 12 měsíců.
Údaje z pluginu bez účtu: Pokud náš plugin pro WordPress nebo rozšíření pro TYPO3 běží bez propojení s účtem, známe hostitele a verze; denní údaje hostitele bez účtu mažeme každou noc a hostitele 90 dní po posledním kontaktu.

Osobními se tyto údaje stávají především tehdy, když je na kontrolované stránce nebo na snímku obrazovky vidět osoba, například jméno kontaktní osoby vedle formuláře.

5.2 Námitka: ukončení kontrol

Nejrychleji přes robots.txt (User-agent: FormExposedBot / Disallow: /) nebo stránku opt-out. Obojí platí okamžitě, bez důkazu, pro anonymní kontroly i pro kontroly zákazníků, a to i tehdy, pokud zákazník doménu ověřil; probíhající monitorování skončí s příští splatnou kontrolou. Opt-out platí pro doménu a její variantu s www, nikoli pro jiné subdomény; zrušit jej můžeme pouze my, na žádost a po předložení důkazu. robots.txt se uplatní, pokud se Disallow vztahuje na domovskou stránku. Vyloučení brání budoucím kontrolám; nemaže existující reporty, které vyprší na konci své doby uložení. Více o crawleru na stránce FormExposedBot.

5.3 Předčasné smazání reportu

Pošlete nám odkaz na report. Kdo má odkaz, může report číst tak jako tak; pro smazání proto nevyžadujeme žádný další důkaz. Bez odkazu uveďte doménu a přibližný čas a my jej vyhledáme.

Stejně postupujte, pokud se jako osoba objevujete na kontrolované stránce nebo na snímku obrazovky, například jako kontaktní osoba vedle formuláře, a žádáte o přístup nebo výmaz. Pokud kontrola patří k doméně, u níž zákazník prokázal kontrolu, jednáme jménem tohoto zákazníka; v takovém případě vaši žádost předáme zákazníkovi a sdělíme vám to.

5.4 Přístup k informacím o doméně a prokázání kontroly

Kdo požaduje vše, co o doméně máme, obdrží údaje, které samotný odkaz na report nezpřístupní. Než je předáme, požadujeme doklad, že doménu ovládáte – některou z metod, které vyžadujeme i od zákazníků: záznam TXT v DNS pod _formexposed.<your-domain> nebo soubor na adrese /.well-known/formexposed-verify.txt, vždy s hodnotou, kterou určíme. Alternativně postačí zpráva z adresy pod stejnou doménou, která je uvedena v tiráži webu. Bez dokladu pouze potvrdíme, zda je doména vyloučena.

Co nepředáváme: kdo kontrolu spustil – jeho IP adresa je jeho údajem, nikoli vaším, a maže se po sedmi dnech, pokud nebyla kvůli nápadně vysokému počtu kontrol zaznamenána pro účely prevence zneužití. Pokud má vaši doménu ve svém účtu zákazník, sdělíme vám, že tomu tak je, a pokud si to přejete, vaši žádost mu předáme. Pokud zákazník prokázal kontrolu nad doménou, jednáme jeho jménem a své výsledky předává pouze on. Pokud takový doklad neexistuje, jsme správcem sami; v takovém případě vám zákazníka uvedeme jako příjemce, pokud o to požádáte a nepřevažují jeho oprávněné zájmy (čl. 15 odst. 1 písm. c) a odst. 4 GDPR). Testovací odeslání zákazníků se dostanou pouze na domény, u nichž zákazník prokázal kontrolu (interně takto kontrolujeme pouze naše vlastní testovací a ukázkové domény); pokud se domníváte, že tomu tak není, nahlaste nám to.

6. Návštěvníci webů našich zákazníků

Za vaše údaje na webu třetí strany odpovídá jeho provozovatel. Provozovatel má originál vaší zprávy. Pracujeme jménem provozovatele a zpravidla nevidíme nic, co by vás identifikovalo. Podrobně:

Kontrola doručení: Pokud ji provozovatel nastavil, dostane se do naší kontrolní poštovní schránky skrytá kopie e-mailu z formuláře. Při příštím vyzvednutí se automaticky přečte (hlavičky a nejvýše prvních 8 KB), přiřadí a smaže; vyzvedávání běží obvykle každých několik minut a při poruchách může e-mail zůstat až do dalšího úspěšného běhu. V naší databázi zůstává pouze čas a přiřazení k doméně a u domény technický výsledek kontroly pravosti posledního e-mailu (SPF, DKIM, DMARC, IP adresa odesílajícího poštovního serveru), který další e-mail přepíše – ani obsah, ani úplná adresa odesílatele. Výsledek kontroly pravosti obsahuje e-mailovou doménu odesílatele, například doménu vašeho poskytovatele e-mailu; v upozornění provozovateli se uvádí pouze tehdy, pokud nepatří k webu. Po zpracování proto vaši zprávu již nedokážeme najít a není nic, co bychom vám mohli přiřadit a předat.
Odznak: Pokud váš prohlížeč načte obrázek odznaku, uchovává se vaše IP adresa spolu s časem, identifikací prohlížeče a odkazující stránkou v protokolu našeho webového serveru po dobu 14 dní; odznak nenastavuje cookies. Pokud nám v těchto 14 dnech sdělíte svou IP adresu a přibližný čas, ověříme, zda existují záznamy, a na žádost je smažeme. Bez IP adresy nelze záznam nikomu přiřadit.
Plugin pro WordPress a rozšíření pro TYPO3: karanténa, záchranná síť a záznamy zůstávají na webu provozovatele. K nám se dostávají denní údaje, inventář pluginů a u propojeného pluginu pro WordPress domény odkazů ze zablokovaných zpráv pro rojovou ochranu (ve výchozím stavu zapnuto), ale žádný jiný obsah, žádné adresy, jména ani IP adresy návštěvníků. Zde může pomoci pouze provozovatel.

Obraťte se proto prosím nejprve na provozovatele. Pokud jej nemůžete zastihnout, napište nám s uvedením webu a času; žádost předáme, pokud dokážeme provozovatele určit. Rozhodovat o ní nesmíme, protože to je právo provozovatele.

7. Odběratelé klientského portálu

Agentura nabízí měsíční report klientského portálu pod svým vlastním jménem; agentura je správcem a my jednáme jejím jménem. Odběr můžete kdykoli zrušit odkazem v každém e-mailu, okamžitě a bez přihlášení. Poté uchováváme záznam o vašem odběru (adresa, jazyk, čas a IP adresa přihlášení k odběru, potvrzení, odhlášení) další tři roky, aby agentura mohla prokázat, že jste udělili souhlas; pokud agentura smaže svůj pracovní prostor, i spolu se svým účtem, není-li v něm nikdo další, zmizí záznam dříve. Pokud portál pouze zruší, záznam zůstává uložen. Nepotvrzený odběr mažeme po 30 dnech. O přístup a předčasný výmaz žádáte agenturu; pokud nám napíšete z adresy přihlášené k odběru, předáme žádost agentuře.

8. Námitka, omezení a odvolání souhlasu

Námitka (čl. 21 GDPR): proti zpracování založenému na oprávněných zájmech, například protokolům nebo kontrole vašeho webu. Tyto údaje pak již nezpracováváme, pokud neprokážeme závažné oprávněné důvody, které převažují nad vašimi zájmy, nebo je nepotřebujeme pro právní nároky; o výsledku vás budeme informovat. U kontrol je přímou cestou opt-out (oddíl 5.2). Měsíční report pro váš účet odhlásíte v nastavení. Připomínka po registraci přijde nejvýše jednou a poté již nikdy.
Omezení (čl. 18): Pokud zpochybňujete přesnost údajů nebo je potřebujete pro soudní řízení, na žádost je namísto smazání zablokujeme.
Odvolání souhlasu (čl. 7 odst. 3): Pokud je zpracování založeno na vašem souhlasu – například měsíční report klientského portálu –, odvolání působí do budoucna.

9. Lhůty, ověření totožnosti, náklady

Lhůta: Odpovídáme bez zbytečného odkladu, nejpozději do jednoho měsíce od obdržení (čl. 12 odst. 3 GDPR). Je-li žádost výjimečně rozsáhlá, lze lhůtu prodloužit o dva měsíce; o tom vás budeme informovat během prvního měsíce s uvedením důvodů. Pokud nepřijmeme žádné opatření, sdělíme vám do jednoho měsíce proč a že můžete podat stížnost u dozorového úřadu (čl. 12 odst. 4).

Totožnost: Údaje předáváme pouze osobě, které patří. V účtu stačí přihlášení vaším heslem. E-mailem odpovídáme na adresu, která patří k účtu, pozvánce nebo odběru; pokud píšete z jiné adresy, požádáme vás o potvrzení žádosti z uložené adresy. U domén platí oddíl 5.4. O další informace, například doklad totožnosti, žádáme pouze tehdy, přetrvávají-li důvodné pochybnosti (čl. 12 odst. 6), a pak jen v nezbytném rozsahu; na kopii dokladu totožnosti můžete začernit vše kromě jména a fotografie a po ověření ji smažeme. Nikdy po vás nežádáme heslo.

Náklady: žádné. Pouze u zjevně nedůvodných nebo nepřiměřených žádostí můžeme účtovat přiměřený poplatek nebo žádosti nevyhovět (čl. 12 odst. 5); v takovém případě to zdůvodníme.

Příjemci: Pokud opravíme, vymažeme nebo omezíme údaje, které jsme zpřístupnili jiným, oznámíme to těmto příjemcům, ledaže se to ukáže jako nemožné nebo to vyžaduje nepřiměřené úsilí, a na žádost vám sdělíme, kdo jsou příjemci (čl. 19 GDPR).

10. Meze, otevřeně řečeno

Kde nic neuchováváme, nemůžeme nic předat. To se týká především návštěvníků webů našich zákazníků. V souladu s čl. 11 GDPR neshromažďujeme dodatečné údaje jen proto, abychom vás identifikovali.
O údajích zpracovávaných jménem Zákazníka rozhoduje Zákazník. Podporujeme jej podle Smlouvy o zpracování osobních údajů a předáváme mu žádosti, ale nic za jeho zády nemažeme.
Výmaz je konečný. Smazané domény, kontroly ani účty neobnovujeme, a to ani ze zálohy (oddíl 3.4).
Co jsme povinni uchovávat, zůstává až do zániku této povinnosti, především faktury a doklad o uzavření smlouvy (oddíl 3.4).

11. Kontakt a stížnosti

Žádosti prosím zasílejte na contact@lukaswojcik.com, prostřednictvím kontaktní stránky nebo okna podpory. Správcem je LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polsko. Pověřence pro ochranu osobních údajů jsme nejmenovali.

Stížnost můžete podat u kteréhokoli dozorového úřadu pro ochranu osobních údajů, zejména v členském státě svého obvyklého bydliště, místa výkonu práce nebo místa údajného porušení (čl. 77 GDPR). Úřadem příslušným pro nás je předseda Úřadu pro ochranu osobních údajů (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa, Polsko. Jak vyřizujeme stížnosti, je uvedeno v části Stížnosti.

Jak vám můžeme pomoci?