Indsigt, sletning og dine øvrige rettigheder

Dette dokument er offentliggjort på flere sprog. I tilfælde af uoverensstemmelser mellem sprogversionerne er den polske version bindende.

Version 1.0 · Senest opdateret: 16. oktober 2026

Denne side forklarer, hvordan du udøver dine rettigheder efter databeskyttelsesforordningen (GDPR) over for formexposed: hvem der har hvilke data hos os, ad hvilken vej du får indsigt, en kopi, berigtigelse eller sletning, hvad vi har brug for fra dig hertil, og hvor grænserne går. Den supplerer Privatlivspolitikken, som beskriver formål, retsgrundlag og opbevaringsperioder i detaljer.

1. Hvem kan kræve hvad af os

formexposed kontrollerer kontaktformularer på websteder. Derfor har vi med meget forskellige personer at gøre: kunder med en konto, teammedlemmer, operatører af kontrollerede websteder, besøgende på vores kunders websteder og abonnenter på en kundeportal. Ikke alle har efterladt de samme data hos os, og om vi kan henføre noget til dig, afhænger af din rolle. For hver gruppe beskriver de følgende afsnit vejen. Hvor vi kun handler på vegne af en Kunde, siger vi det, for så er det Kunden, der beslutter, ikke os. GDPR beskytter fysiske personer. Hvis operatøren af et websted er en virksomhed, har den ingen egne rettigheder efter GDPR; det har de personer, hvis oplysninger fremgår af webstedet. Vi besvarer alligevel henvendelser fra virksomheder efter de samme regler, for så vidt deres eget domæne er berørt.

2. Vejene i overblik

Du er	Hvad vi kan have om dig	Vej	Hvad vi har brug for fra dig
Kunde med konto	Konto, arbejdsområder, domæner, indstillinger, logge, samtykker, supportanmodninger	Selv under Indstillinger: eksport og sletning	Login og din adgangskode
Teammedlem	Din egen konto; dine poster i arbejdsområdets aktivitetslog	Som for kunder; forlad arbejdsområdet	Login og adgangskode
Inviteret person uden konto	E-mailadresse og rolle i invitationen	E-mail til os eller til den person, der inviterede dig	En besked fra den inviterede adresse
Operatør af et kontrolleret websted	Rapporter om dit domæne, opt-out-post, data fra pluginet uden konto	Opt-out-side, robots.txt, e-mail til os	Domæne, rapportlink; for mere end rapporten bevis for, at du kontrollerer domænet
Person, der optræder på et kontrolleret websted	Skærmbilleder og adresser på kontrollerede sider, hvor du optræder	E-mail til os (afsnit 5.3)	Domæne og omtrentligt tidspunkt samt rapportlinket, hvis du har det
Besøgende på en kundes websted	Næsten altid intet, der kan henføres (afsnit 6)	Først operatøren af webstedet	Websted, tidspunkt; for badget din IP-adresse
Abonnent på en kundeportal	E-mailadresse, sprog, tidspunkt og IP for tilmeldingen, bekræftelse, afmelding	Afmeldingslink i hver e-mail; ellers bureauet	En besked fra den tilmeldte adresse

Vores adresse til alt, hvad du ikke selv kan gøre: contact@lukaswojcik.com. Du kan også udøve enhver rettighed dér uden først at bruge selvbetjeningsmulighederne; de er blot den hurtigere vej. Kontaktsiden og supportvinduet (spørgsmålstegnet i navigationen) står også til rådighed.

3. Kunder med konto

3.1 Indsigt og kopi: dataeksporten

Under Indstillinger → Dine data → »Download mine data« får du straks en JSON-fil med det, vi gemmer om din konto. Det er den hurtigste vej til kopien efter Art. 15(3) GDPR og til dataportabilitet (Art. 20). De øvrige oplysninger efter Art. 15(1) – formål, modtagere, opbevaringsperiode, kilde, dine rettigheder – fremgår af Privatlivspolitikken; efter anmodning sammenstiller vi dem for dit tilfælde sammen med de data, eksporten ikke indeholder. Eksporten kræver din adgangskode og er begrænset til tre downloads pr. time, fordi filen indeholder IP-adresser og enheder, og en åben session på en andens computer ikke bør være nok til at få fat i den.

Filen indeholder din konto (navn, e-mailadresse, virksomhed, plan, seneste login med IP-adresse), dine arbejdsområder med rolle og – for de arbejdsområder, du ejer – domænerne med deres indstillinger, alarmmål, overvågede formularer, brand, kundeportaler inklusive abonnenter, leveringsforsøg ved eskalering og kontroller af potentielle kunder; desuden dine API-nøgler (kun præfiks og mærkat), indloggede enheder, loginforsøg, aktivitetslog, besøgte sider, supportanmodninger, de e-mails, der er sendt til dig (uden tekst, fordi de stadig kan indeholde gyldige links), og de versioner af de juridiske tekster, du har accepteret. Hvis vores support har set din konto via »Vis som kunde«, er det også med.

Hvad filen ikke indeholder: adgangskodehash, hemmeligheder til login med to faktorer, tokens og nøgler – det er sikkerhedselementer, ikke oplysninger. Data om andre medlemmer af dine arbejdsområder. Fakturaer, som findes i Stripes kundeportal under Fakturering. Og de enkelte kontrolresultater (fund, skærmbilleder, hændelser, alarmlog); dem kan du se i kontoen og i rapporterne og på Business-planen også via API'et. Hvis du ønsker dem som fil, så skriv til os; vi sammenstiller dem inden for den frist, der er angivet i afsnit 9. Mere herom på siden EU's dataforordning: skift af udbyder og dataeksport.

3.2 Berigtigelse

Fornavn, efternavn, virksomhed, sprog og e-mailadresse ændrer du selv i indstillingerne; en ny e-mailadresse gælder først, når du bekræfter den via linket i bekræftelsesmailen. Faktureringsadresse og momsnummer ændrer du i Stripes kundeportal under Fakturering. For alt andet er en besked til os nok (Art. 16 GDPR).

3.3 Sletning: domæne, arbejdsområde, konto

Du kan slette på tre niveauer. Hvert af dem træder straks i kraft i databasen og kan ikke fortrydes. Download dine data forinden.

Fjernelse af et domæne (skriveadgang i arbejdsområdet): fjerner domænet med alle kontroller inklusive formularer, fund og skærmbilleder, rapporterne (hvis links derefter ikke længere virker), job, alarmmål, leveringslog og hændelser, Telegram-forbindelser, tildelinger i leveringskontrollen, pulsmålinger, sårbarhedsmatch og bevislogge (inklusive deres offentlige bekræftelsesside) samt de overvågede formularer med deres kontroltrin, browserkontroller og målinger og de krypterede testkonti til scanningen bag login. Dagstallene fra pluginet og udvidelsen forsvinder også, så snart ingen anden konto har samme domæne.
Sletning af et arbejdsområde (kun ejeren): derudover alle domæner i det som ovenfor, brandet inklusive logo, kundeportalerne inklusive abonnenter, udrulningskoder, kontroller af potentielle kunder (deres rapporter udløber først ved udgangen af deres periode på op til 90 dage), invitationer og medlemskaber.
Sletning af kontoen (Indstillinger, med adgangskode): afslutter først et løbende abonnement hos Stripe, straks og som regel uden refusion for resten af den betalte periode (undtagelser fremgår af Servicevilkårene); den, der vil bruge resten af perioden, opsiger først i området Fakturering med virkning fra periodens udløb. Hvis afslutningen af abonnementet mislykkes, bevares kontoen, så intet abonnement fortsætter uden konto. Arbejdsområder, du ejer, overgår til et andet medlem, først til administratorer og blandt dem til den, der har været med længst; arbejdsområder uden andre medlemmer slettes med deres data. Vi fjerner også dine medlemskaber, indloggede enheder, »Forbliv logget ind«-login, dine API-nøgler inklusive tællere, åbne Telegram-koder og selve kontoposten.

Et arbejdsområde, som du overdrager til et medlem, slettes ikke. Et teams arbejde tilhører ikke den person, der oprettede arbejdsområdet. Hvis du ønsker, at domænerne i det også skal forsvinde, så slet arbejdsområdet, før du sletter din konto, eller aftal det med dit team.

Ingen egen opbevaringsperiode: Et domænes scriptoversigt (listen over observerede scripts) og loggen over deres ændringer slettes sammen med domænet, også når det forsvinder med sit arbejdsområde eller din konto. De har ingen egen opbevaringsperiode: de bevares, så længe domænet findes. Hvis du ønsker dem fjernet tidligere, sletter vi dem, når du skriver til os.

3.4 Hvad der er tilbage efter sletning, og hvorfor

Nogle ting sletter vi ikke i samme øjeblik, fordi de tjener et andet formål eller har deres egen opbevaringsperiode. De udløber med denne periode og er derefter væk. Hvis du anmoder om tidligere sletning af poster, som vi baserer på legitime interesser (frem for alt logge og supportanmodninger), vurderer vi det i det enkelte tilfælde og sletter dem, medmindre vores grunde går forud for dine (Art. 17(1)(c), Art. 21(1) GDPR):

Logge: aktivitetslog 365 dage, log over sidevisninger 60 dage, fejllog 90 dage, webserverlog 14 dage, loginforsøg 7 dage, sendte e-mails 30 dage. De tjener sikkerheden og opklaring af misbrug. Posterne i aktivitetsloggen og loggen over sidevisninger beholder dit gamle kontonummer, som efter sletningen ikke længere henviser til nogen eksisterende konto; selve sletningen logges, så den senere kan dokumenteres.
Supportanmodninger: 24 måneder, så en senere forespørgsel eller klage stadig kan besvares.
Dokumentation for kontraktindgåelsen: hvilken version af Servicevilkårene, Databehandleraftalen og Privatlivspolitikken du har accepteret og hvornår, med IP-adresse og browseridentifikation. Den bevares, fordi spørgsmålet om, hvad kontrakten byggede på, opstår netop efter ophøret (Art. 5(2), Art. 17(3)(e) GDPR), og slettes, når kontoen ikke længere findes, og samtykket er mere end fire år gammelt.
Fakturaer og betalingstransaktioner opbevares hos Stripe og er omfattet af skattemæssig opbevaringspligt (i Polen fem år fra udgangen af det år, hvor skatten forfaldt, Art. 17(3)(b) GDPR).
Sikkerhedskopier: Slettede data forbliver i databasens sikkerhedskopier, indtil de overskrives i den normale gang efter 14 dage. Vi gendanner ikke en sikkerhedskopi for at genskabe slettede data.

4. Teammedlemmer og inviterede

Som medlem af en andens arbejdsområde har du din egen konto med de samme værktøjer som i afsnit 3: eksport, berigtigelse, sletning. Din eksport indeholder dine medlemskaber, men ikke domænerne i arbejdsområder, som andre ejer – for dem er ejeren ansvarlig. Du kan til enhver tid forlade et arbejdsområde; ejeren kan fjerne dig. Hvad du har gjort i arbejdsområdet, registreres i aktivitetsloggen og udløber efter 365 dage. Hvis du har efterladt et navn eller en e-mailadresse som den, der kvitterer for en hændelse, eller som modtager af en alarm, administrerer ejeren af arbejdsområdet disse oplysninger; vi handler på ejerens vegne og videresender enhver anmodning til denne.

Hvis du er blevet inviteret uden at oprette en konto, gemmer vi din e-mailadresse og den tiltænkte rolle, indtil invitationen udløber efter 14 dage; den natlige kørsel sletter den derefter. En accepteret invitation sletter vi 30 dage efter accepten. Hvis du ønsker, at en åben invitation forsvinder straks, så skriv til os fra den inviterede adresse.

5. Operatører af kontrollerede websteder uden konto

5.1 Hvad vi kan have om dit domæne

Rapporter fra den gratis kontrol: adresserne på de kontrollerede sider, formularernes struktur (uden værdier), registrerede beskyttelsesforanstaltninger og skærmbilleder, som ikke er sværtet. Slettes efter 30 dage.
Kontroller af dit websted som potentiel kunde foretaget af et bureau: 90 dage. Kontroller til en undersøgelse: indtil offentliggørelsen, som kun indeholder samlede tal uden navne på websteder.
En opt-out-post, hvis nogen har udelukket dit domæne: domæne og begrundelse permanent; IP-adresse, land og browseridentifikation for den person, der foretog posteringen, i 12 måneder.
Data fra pluginet uden konto: Hvis vores WordPress-plugin eller TYPO3-udvidelsen kører uden forbindelse til en konto, kender vi hosten og versionerne; dagstallene for en host uden konto sletter vi hver nat, og hosten 90 dage efter seneste kontakt.

Disse data bliver frem for alt personoplysninger, når en person kan ses på en kontrolleret side eller på et skærmbillede, f.eks. navnet på en kontaktperson ved siden af formularen.

5.2 Indsigelse: stop for kontrollerne

Hurtigst via robots.txt (User-agent: FormExposedBot / Disallow: /) eller opt-out-siden. Begge træder straks i kraft, uden bevis, både for anonyme kontroller og for kontroller foretaget af kunder, også hvis en kunde har verificeret domænet; igangværende overvågning ophører ved den næste kontrol, der skal foretages. Opt-out gælder for domænet og dets www-variant, ikke for andre underdomæner; kun vi kan ophæve den, efter anmodning og mod bevis. robots.txt træder i kraft, hvis Disallow omfatter forsiden. Udelukkelsen forhindrer fremtidige kontroller; den sletter ikke eksisterende rapporter, som udløber ved udgangen af deres opbevaringsperiode. Mere om crawleren på siden FormExposedBot.

5.3 Få en rapport slettet før tid

Send os linket til rapporten. Alle, der har linket, kan alligevel læse rapporten; vi kræver derfor ikke yderligere bevis for sletning. Uden linket skal du oplyse domænet og det omtrentlige tidspunkt, så søger vi.

Gør på samme måde, hvis du som person optræder på en kontrolleret side eller et skærmbillede, f.eks. som kontaktperson ved siden af en formular, og anmoder om indsigt eller sletning. Hvis kontrollen hører til et domæne, for hvilket en kunde har ført bevis for kontrol, handler vi på denne kundes vegne; i så fald videresender vi din anmodning til kunden og fortæller dig det.

5.4 Indsigt i oplysninger om et domæne og bevis for kontrol

Den, der beder om alt, hvad vi har om et domæne, modtager data, som rapportlinket alene ikke giver adgang til. Før vi udleverer dem, beder vi om bevis for, at du kontrollerer domænet – ved en af de metoder, vi også kræver af kunder: en TXT-post i DNS under _formexposed.<your-domain> eller en fil på /.well-known/formexposed-verify.txt, hver med en værdi, som vi angiver. Alternativt er en besked fra en adresse under samme domæne, som er angivet i webstedets kolofon, tilstrækkelig. Uden bevis bekræfter vi kun, om domænet er udelukket.

Hvad vi ikke udleverer: hvem der har startet en kontrol – vedkommendes IP-adresse er vedkommendes data, ikke dine, og slettes efter syv dage, medmindre den er noteret med henblik på forebyggelse af misbrug på grund af et påfaldende højt antal kontroller. Hvis en kunde har dit domæne i sin konto, fortæller vi dig, at det er tilfældet, og videresender efter ønske din anmodning. Hvis kunden har ført bevis for kontrol af domænet, handler vi på kundens vegne, og kun kunden udleverer sine resultater. Hvis der ikke foreligger et sådant bevis, er vi selv dataansvarlige; i så fald oplyser vi dig kunden som modtager, for så vidt du anmoder om det, og kundens legitime interesser ikke går forud (Art. 15(1)(c), (4) GDPR). Testindsendelser fra kunder når kun domæner, for hvilke kunden har ført bevis for kontrol (internt kontrollerer vi på denne måde kun vores egne test- og demodomæner); hvis du mener, at et sådant bevis mangler, så meld det til os.

6. Besøgende på vores kunders websteder

Operatøren af et tredjepartswebsted er ansvarlig for dine data på dette websted. Operatøren har originalen af din besked. Vi arbejder på operatørens vegne og ser som regel intet, der identificerer dig. I detaljer:

Leveringskontrol: Hvis operatøren har sat den op, når en bcc af formular-e-mailen vores kontrolpostkasse. Den læses automatisk ved næste hentning (headere og højst de første 8 KB), tildeles og slettes; hentningen kører normalt med få minutters mellemrum, og ved forstyrrelser kan en e-mail blive liggende indtil næste vellykkede kørsel. I vores database er kun tidspunktet og tildelingen til domænet tilbage samt, ved domænet, det tekniske resultat af ægthedskontrollen af den seneste e-mail (SPF, DKIM, DMARC, IP-adressen på den afsendende mailserver), som den næste e-mail overskriver – hverken indhold eller den fulde afsenderadresse. Ægthedsresultatet indeholder afsenderens e-maildomæne, f.eks. din e-mailudbyders; det nævnes kun i en alarm til operatøren, hvis det ikke tilhører webstedet. Efter behandlingen kan vi derfor ikke længere finde din besked, og der er intet, vi kunne henføre til dig og udlevere.
Badge: Hvis din browser indlæser badgebilledet, opbevares din IP-adresse sammen med tidspunkt, browseridentifikation og den henvisende side i vores webserverlog i 14 dage; badget sætter ingen cookies. Hvis du giver os din IP-adresse og det omtrentlige tidspunkt inden for disse 14 dage, kontrollerer vi, om der findes poster, og sletter dem efter anmodning. Uden en IP-adresse kan en post ikke henføres til nogen.
WordPress-plugin og TYPO3-udvidelse: karantæne, sikkerhedsnet og registreringer forbliver på operatørens websted. Det, der når os, er dagstal, plugin-oversigten og, for et forbundet WordPress-plugin, domænerne for links fra blokerede beskeder til sværmbeskyttelsen (slået til som standard), men intet andet indhold og ingen adresser, navne eller IP-adresser på besøgende. Her kan kun operatøren hjælpe.

Kontakt derfor først operatøren. Hvis du ikke kan få fat i vedkommende, så skriv til os med webstedet og tidspunktet; vi videresender anmodningen, for så vidt vi kan identificere operatøren. Vi må ikke selv træffe afgørelse om den, fordi det er operatørens ret.

7. Abonnenter på en kundeportal

Et bureau tilbyder månedsrapporten fra en kundeportal under eget navn; bureauet er dataansvarligt, og vi handler på dets vegne. Du kan til enhver tid afmelde dig via linket i hver e-mail, straks og uden login. Derefter opbevarer vi registreringen af dit abonnement (adresse, sprog, tidspunkt og IP-adresse for tilmeldingen, bekræftelse, afmelding) i yderligere tre år, så bureauet kan dokumentere, at du havde givet samtykke; hvis bureauet sletter sit arbejdsområde, også sammen med sin konto, hvis ingen andre er i det, forsvinder den tidligere. Hvis det kun tilbagekalder portalen, forbliver registreringen gemt. Et ubekræftet abonnement sletter vi efter 30 dage. Indsigt og tidligere sletning anmoder du bureauet om; hvis du skriver til os fra den tilmeldte adresse, videresender vi det til bureauet.

8. Indsigelse, begrænsning og tilbagetrækning af samtykke

Indsigelse (Art. 21 GDPR): mod behandling, der er baseret på legitime interesser, f.eks. loggene eller kontrollen af dit websted. Vi behandler så ikke længere disse data, medmindre vi påviser vægtige legitime grunde, der går forud for dine interesser, eller har brug for dem til retskrav; vi oplyser dig om resultatet. For kontrollerne er opt-out den direkte vej (afsnit 5.2). Månedsrapporten til din konto afmelder du i indstillingerne. Påmindelsen efter registreringen kommer højst én gang og aldrig igen derefter.
Begrænsning (Art. 18): Hvis du bestrider dataenes rigtighed eller har brug for dem i en retssag, spærrer vi dem efter anmodning i stedet for at slette dem.
Tilbagetrækning af samtykke (Art. 7(3)): Hvor en behandling er baseret på dit samtykke – f.eks. månedsrapporten fra en kundeportal – har tilbagetrækningen virkning for fremtiden.

9. Frister, identitetskontrol, omkostninger

Frist: Vi svarer uden unødig forsinkelse og senest inden for en måned efter modtagelsen (Art. 12(3) GDPR). Hvis en anmodning undtagelsesvis er meget omfattende, kan fristen forlænges med to måneder; det oplyser vi dig om inden for den første måned med begrundelse. Hvis vi ikke foretager os noget, fortæller vi dig inden for en måned hvorfor, og at du kan indgive en klage til en tilsynsmyndighed (Art. 12(4)).

Identitet: Vi udleverer kun data til den person, de tilhører. I kontoen er det nok at logge ind med din adgangskode. Pr. e-mail svarer vi til den adresse, der hører til kontoen, invitationen eller abonnementet; hvis du skriver fra en anden adresse, beder vi dig bekræfte anmodningen fra den gemte adresse. For domæner gælder afsnit 5.4. Vi beder kun om yderligere oplysninger, f.eks. et identitetsdokument, hvis der er begrundet tvivl tilbage (Art. 12(6)), og så kun så meget som nødvendigt; på en kopi af et identitetsdokument må du sværte alt undtagen dit navn og foto, og vi sletter den efter kontrollen. Vi beder aldrig om din adgangskode.

Omkostninger: ingen. Kun ved åbenbart grundløse eller overdrevne anmodninger må vi opkræve et rimeligt gebyr eller afvise (Art. 12(5)); det begrunder vi så.

Modtagere: Hvis vi berigtiger, sletter eller begrænser data, som vi har videregivet til andre, underretter vi disse modtagere, medmindre det viser sig umuligt eller uforholdsmæssigt vanskeligt, og efter anmodning oplyser vi dig om, hvem modtagerne er (Art. 19 GDPR).

10. Grænserne, klart sagt

Hvor vi intet gemmer, kan vi intet udlevere. Det gælder især besøgende på vores kunders websteder. I overensstemmelse med Art. 11 GDPR indsamler vi ikke yderligere data alene for at identificere dig.
For data, der behandles på vegne af en Kunde, beslutter Kunden. Vi støtter Kunden i henhold til Databehandleraftalen og videresender anmodninger, men vi sletter intet bag om ryggen på Kunden.
Sletning er endelig. Vi gendanner ikke slettede domæner, kontroller eller konti, heller ikke fra en sikkerhedskopi (afsnit 3.4).
Det, vi er forpligtet til at opbevare, bevares, indtil forpligtelsen ophører, frem for alt fakturaer og dokumentationen for kontraktindgåelsen (afsnit 3.4).

11. Kontakt og klager

Send venligst anmodninger til contact@lukaswojcik.com, via kontaktsiden eller supportvinduet. Dataansvarlig er LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen. Vi har ikke udpeget en databeskyttelsesrådgiver.

Du kan indgive en klage til enhver databeskyttelsesmyndighed, navnlig i den medlemsstat, hvor du har dit sædvanlige opholdssted, dit arbejdssted eller stedet for den påståede overtrædelse (Art. 77 GDPR). Den myndighed, der er kompetent for os, er formanden for Kontoret for Beskyttelse af Personoplysninger (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa, Polen. Hvordan vi behandler klager, fremgår af Klager.

Hvordan kan vi hjælpe?