Privatlivspolitik

Dette dokument er offentliggjort på flere sprog. I tilfælde af uoverensstemmelser mellem sprogversionerne er den polske version bindende.

Version 2.3 · Senest opdateret: 29. oktober 2026

Denne politik beskriver, hvilke personoplysninger formexposed behandler, til hvilket formål, på hvilket retsgrundlag, til hvem de videregives, og hvornår de slettes. Vi skriver kun, hvad tjenesten faktisk gør; de opbevaringsperioder, vi angiver, er de samme, som vores sletningskørsler arbejder efter, og hvor der endnu ikke er en fast periode, siger vi det. Funktioner, der er bygget, men ikke slået til, nævnes som sådan. Da tjenesten berører flere grupper af personer, begynder hvert afsnit med at angive, hvem det er rettet mod:

• Du besøger formexposed.com eller form.exposed: afsnit 3, 4 og 5.
• Du har fået et domæne tjekket på forsiden: afsnit 6.
• Dit website er blevet tjekket af vores crawler: afsnit 7 – det er også vores oplysning i henhold til Art. 14 GDPR.
• Du har en konto eller er blevet inviteret til et team: afsnit 8 til 18.
• Du besøger en af vores kunders website (med badge, plugin eller leveringstjek): afsnit 20.
• Du vil udøve en rettighed eller indgive en klage: afsnit 26 til 28.

1. Dataansvarlig og kontakt

Dataansvarlig for behandlingen af personoplysninger på formexposed.com og form.exposed og i tjenesten formexposed er, for så vidt vi ikke handler på vegne af en kunde (afsnit 2):

LW IT Solutions Company Lukas Wójcik
Indehaver: Lukas Wójcik
al. Tadeusza Kościuszki 80/82, lok. 301
90-437 Łódź
Polen
NIP (polsk skatteidentifikationsnummer) 7252266190 · Momsnummer PL7252266190
E-mail: contact@lukaswojcik.com

Du kan også kontakte os via supportvinduet (spørgsmålstegnet i navigationen) og kontaktsiden. Indberet venligst sikkerhedssårbarheder via vores side til indberetning af sårbarheder.

Databeskyttelsesrådgiver: Vi har ikke udpeget en. Vi er en enkeltmandsvirksomhed; vores kerneaktivitet er at tjekke websites og formularer, ikke overvågning af personer i stort omfang eller behandling af særlige kategorier af personoplysninger (Art. 37(1) GDPR). Begrundelsen fremgår af fortegnelsen over behandlingsaktiviteter. Send venligst spørgsmål om databeskyttelse til e-mailadressen ovenfor; den går direkte til indehaveren.

2. Hvad det drejer sig om, og i hvilken rolle vi handler

formexposed tjekker kontaktformularer på websites: om de er beskyttet mod spam og misbrug, om henvendelser kommer frem, hvilke tredjepartstjenester kan læse med, mens en formular udfyldes, og om noget af dette ændrer sig. Herved behandler vi personoplysninger i tre roller. Sondringen er ikke en formalitet: den afgør, hvem du skal henvende dig til med en anmodning.

• Som dataansvarlig for oplysninger om besøgende på vores egne websites, om vores kunder og deres teammedlemmer, til fakturering og support samt ved tjek af websites, der ikke hører til en kundekonto (gratis tjek, undersøgelse, tjek af potentielle kunder), eller hvis domæne kunden endnu ikke har verificeret. Det er det, denne politik handler om.
• Som databehandler for tredjemands oplysninger, som vores kunder har behandlet via tjenesten: kopier af formular-e-mails i leveringstjekket (afsnit 15), abonnenter på en kundeportal (afsnit 14), modtagere af alarmer, som ikke selv er kunder (afsnit 10), testkonti til tjekket bag et login (afsnit 9) og personer, der kan ses på et website, hvis domæne en kunde har verificeret (afsnit 7). I disse tilfælde er kunden den dataansvarlige; databehandleraftalen, som alle kunder indgår ved registreringen, finder anvendelse.
• Slet ikke for det, som vores WordPress-plugin og vores TYPO3-udvidelse gemmer på en kundes website, og som ikke forlader dette website (afsnit 13). Operatøren af websitet er den dataansvarlige; vi har ingen adgang til det.

Når denne politik siger »kunde«, menes indehaveren af en konto hos formexposed. Konti er kun tilgængelige for virksomheder; alle kan bruge det gratis tjek uden konto. Tjenesten er ikke rettet mod børn.

3. Servere, logfiler og sikkerhedskopier

For alle, der besøger vores websites eller bruger tjenesten.

Vi driver formexposed på vores egne servere i Polen: en webserver med databasen og en scanningsserver, hvor crawleren og en sprogmodel kører. Begge befinder sig i det samme interne netværk. Der er ingen ekstern hosting- eller cloududbyder. Kun indehaveren har adgang til serverne.

3.1 Webserverlog

For hver forespørgsel gemmer webserveren IP-adressen, dato og klokkeslæt, den forespurgte adresse, statuskoden, den overførte datamængde, den tidligere besøgte side (referrer) og browseridentifikatoren (user agent). Det gælder også forespørgsler efter badget fra kunders sider (afsnit 12). Logfilerne roteres dagligt og slettes efter 14 dage.

3.2 Log over sidevisninger

Derudover registrerer applikationen hver sidevisning, men ikke baggrundsforespørgsler, grænseflader eller badget: IP-adresse, det land, der udledes heraf, den forespurgte adresse og referreren (heri maskerer vi adgangstokens, f.eks. til rapport- eller portallinks, før de gemmes), browseridentifikatoren og de oplysninger om enhedstype, styresystem og browser, der udledes heraf, sproget og – hvis du er logget ind – dit kontonummer. Vi bestemmer landet ved hjælp af en database på vores egen server; IP-adressen forlader ikke serveren til dette formål. Hvis vores support ser din konto (afsnit 8.5), tilknyttes disse sidevisninger ikke din konto. Vi sletter posterne efter 60 dage.

3.3 Fejllog og fejlalarm

Vi registrerer tekniske fejl med tidspunkt, niveau, kilde, meddelelse, teknisk kontekst og i givet fald dit kontonummer og sletter dem efter 90 dage. Hvis en ny type fejl opstår, sender tjenesten indehaveren en e-mail med meddelelsens rå tekst (op til 400 tegn, ikke renset) og en kort notifikation via Telegram; hvis fejlene hober sig op, kun notifikationen; derudover sendes en daglig oversigt over fejltyperne pr. e-mail. Telegram-beskeden er en fast sætning uden fejlens indhold, uden adresse og uden oplysninger om personer. For hver fejltype gemmer vi ét eksempel på meddelelsen, i øjeblikket uden en fast opbevaringsperiode; vi vil fastsætte en sletningsfrist og angive den her. Fejlmeddelelser skal ikke indeholde personoplysninger; vi kan ikke udelukke det, f.eks. hvis en meddelelse gengiver en indtastet adresse.

3.4 Sikkerhedskopier

Databasen sikkerhedskopieres hver nat, efter at sletningskørslen er afsluttet; en sikkerhedskopi indeholder derfor intet, der allerede skulle være slettet i henhold til disse opbevaringsperioder. Sikkerhedskopierne opbevares i øjeblikket samme sted som databasen og er ikke særskilt krypteret; en krypteret kopi et andet sted er planlagt. De udløber efter 14 dage. Det, vi sletter i det aktive system, forbliver i sikkerhedskopierne indtil da. Intet fjernes selektivt fra en sikkerhedskopi; den bruges kun til gendannelse efter et tab.

Formål og retsgrundlag: drift og sikkerhed af tjenesten, afværgelse af angreb og misbrug, fejlfinding, gendannelse og brugstal. For brugstallene registrerer vi kun daglige totaler (f.eks. registreringer pr. dag), intet om enkeltpersoner; vi bruger ingen analyse- eller sporingstjeneste. Retsgrundlaget er Art. 6(1)(f) GDPR; vores legitime interesse er sikker og stabil drift.

4. Cookies og lagring i browseren

For besøgende på vores websites og brugere af tjenesten.

Navn	Type	Formål	Varighed
bpid	cookie	Session: holder dig logget ind, beskytter formularer mod forfalskede forespørgsler (CSRF) og tæller grænserne pr. session for det gratis tjek	indtil du lukker browseren
bp_remember	cookie	kun hvis du vælger »Forbliv logget ind«, når du logger ind: holder dig logget ind	30 dage
bp_theme	local storage	om du har valgt det lyse eller det mørke tema; for brugere, der er logget ind, gemmes valget også på kontoen	indtil du sletter dine browserdata

Denne lagring er strengt nødvendig for, at den tjeneste, du udtrykkeligt har anmodet om, kan fungere; der kræves intet samtykke til den (Art. 5(3) i direktiv 2002/58/EF som gennemført i national ret, i Tyskland § 25(2) nr. 2 i lov om databeskyttelse inden for telekommunikation og digitale tjenester (TDDDG), i Polen Art. 399 i loven om elektronisk kommunikation, Prawo komunikacji elektronicznej). Retsgrundlaget for den tilknyttede behandling er Art. 6(1)(b) GDPR, hvis du er logget ind, ellers Art. 6(1)(f) GDPR; vores legitime interesse er i så fald at beskytte vores formularer mod forfalskede forespørgsler, håndhæve grænserne for det gratis tjek og vise den visning, du har valgt.

Vi sætter ingen cookies til reklame eller målgruppemåling. En henvisningskode fra partnerprogrammet (afsnit 18) følger med i adressen frem til registreringen, ikke i en cookie. Google reCAPTCHA kan bruge sine egne cookies, når en formular indsendes (afsnit 5).

5. Google reCAPTCHA og vores egen formularbeskyttelse

For alle, der indsender en af vores formularer.

Vi beskytter formularerne til det gratis tjek, header-værktøjet, udelukkelse af et domæne (opt-out), login, registrering, anmodning om og indstilling af en ny adgangskode samt support og kontakt mod automatiserede angreb med Google reCAPTCHA v3. Udbyderen er Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Vi indlæser Googles script, først når du indsender en af disse formularer, ikke så snart en side åbnes. Det læser derefter oplysninger om browseren, enheden og brugen af siden og overfører dem sammen med din IP-adresse og eventuelle Google-cookies til Google, som vurderer, om det er et menneske, der indsender formularen. Vi modtager kun denne vurdering som en score sammen med den handling, den gælder for. Hvis den er under vores tærskel, hører til en anden formular, eller Google ikke svarer inden for tre sekunder, afviser vi indsendelsen; vi gemmer ikke scoren. Du kan prøve igen eller skrive til os pr. e-mail. Google kan overføre oplysninger til Google LLC i USA (afsnit 22) og bestemmer selv, hvor længe de opbevares; læs mere i Googles privatlivspolitik.

Derudover indeholder disse formularer – undtagen formularen til indstilling af en ny adgangskode – vores egen beskyttelse uden tredjeparter: et fældefelt, der er usynligt for mennesker, og et signeret tidsstempel, hvormed formularer, der indsendes for hurtigt, genkendes.

Formularerne til det gratis tjek, registrering, login og anmodning om en ny adgangskode beskytter vi desuden med vores egen formularbeskyttelse formconfirmed, som heller ikke involverer tredjeparter. Når siden åbnes, henter et lille script en signeret opgave fra vores server; så snart du bruger formularen, løser din browser den i baggrunden (et beregningsbevis). Resultatet sendes til os sammen med formularen som et kontroltoken, der kun kan bruges én gang, og vi kontrollerer det ved indsendelsen. Herved behandler vi din IP-adresse, adressen på siden med formularen, tidspunkterne og om et felt, der er usynligt for mennesker, er blevet udfyldt. IP-adressen gemmer vi til dette formål kun i forkortet form (for IPv4 uden den sidste byte, for IPv6 kun de første 48 bit) og som en hashværdi med en nøgle, der skifter dagligt, for at genkende gentagne forespørgsler; denne værdi slettes efter en time, det brugte kontroltoken efter højst elleve minutter. Formularbeskyttelsen vurderer ikke indholdet af disse formularer. Den sætter ingen cookies, gemmer intet i din browser og danner intet fingeraftryk af din enhed. Mangler et gyldigt kontroltoken, afviser vi indsendelsen; hvis vores tjeneste ikke kunne nås for opgaven, tillader vi den.

Retsgrundlag: Art. 6(1)(f) GDPR; vores legitime interesse er at beskytte disse formularer mod misbrug fra programmer, især mod massegætning af adgangskoder, automatisk oprettede konti og brug af det gratis tjek som et værktøj mod tredjeparters websites. Da Googles script først indlæses, når du indsender formularen, og kun tjener denne indsendelse, anser vi læsningen af oplysningerne fra din enhed for strengt nødvendig for at levere den tjeneste, du udtrykkeligt anmoder om ved at indsende formularen (§ 25(2) nr. 2 TDDDG, Art. 399 Prawo komunikacji elektronicznej). Det samme gælder vores egen formularbeskyttelse: I browseren behandler den kun det, der er nødvendigt for at indsende den formular, du bruger. Den skal på sigt erstatte reCAPTCHA. Krav: uden reCAPTCHA og vores egen formularbeskyttelse kan formularen ikke indsendes; e-mail er fortsat tilgængelig til henvendelser.

6. Gratis tjek uden konto

For alle, der tjekker et domæne på forsiden eller bruger header-værktøjet.

6.1 Det gratis tjek

På forsiden kan du få et domæne tjekket uden konto. Til dette behandler vi:

• det indtastede domæne og resultatet af tjekket (rapporten; hvad crawleren indsamler i den forbindelse, fremgår af afsnit 7);
• din IP-adresse, dens land, en hashværdi af din session (ikke selve sessionen), tidspunktet og om forespørgslen blev accepteret, for at håndhæve grænserne (kun få tjek pr. dag pr. adresse og session; et domæne, der allerede er blevet tjekket inden for de seneste dage, får den samme rapport i stedet for et nyt tjek) og for at opdage misbrug. Vi sletter disse poster efter 7 dage;
• ved mistænkelig adfærd, f.eks. mange forskellige domæner fra én adresse, en markering med IP-adressen eller sessionens hashværdi. Den opbevares, indtil vi har gennemgået sagen, og i 90 dage derefter. Indehaveren modtager en Telegram-notifikation om det uden domænet og uden IP-adressen.

Alle, som du giver rapportens tilfældige link, kan få adgang til den; søgemaskiner skal ikke indeksere den. Vi sletter den efter 30 dage sammen med tjekdataene og skærmbillederne. Den gratis rapport viser et uddrag; der tjekkes de samme ting som på kontoen, men uden testindsendelser.

6.2 Header-værktøjet

Værktøjet til sikkerhedsheadere henter et domænes forside to gange (via https og via http) og evaluerer svaret. Vi gemmer domænet, resultatet og karakteren i 90 dage; for grænserne gælder den samme log som for tjekket (7 dage). Et udelukket domæne (afsnit 19) tjekkes heller ikke her.

Retsgrundlag: Art. 6(1)(b) GDPR for det tjek, du anmoder om, og Art. 6(1)(f) GDPR for grænserne og forebyggelsen af misbrug; vores legitime interesse er, at tjenesten ikke misbruges som et værktøj mod andres websites. Krav: intet tjek uden et domæne; uden en IP-adresse kan serveren ikke svare dig.

6.3 Feedback på en rapport

For alle, der bruger »Er der noget galt i denne rapport?« under en rapport, med eller uden konto.

Under hver færdig rapport kan du fortælle os, at en formular mangler, er blevet klassificeret forkert, eller at et enkelt tjek har et forkert resultat. Til dette behandler vi:

• det, du indtaster: den kategori, du vælger, hvis du ønsker det, det pågældende tjek, adressen på en side og en tekst på op til 1.000 tegn;
• den rapport, feedbacken vedrører (identifikator for linket, tjekket og domænet), sidens sprog og tidspunktet;
• hvis du er logget ind, identifikatoren for din konto; vi ser så kontoens e-mailadresse ved siden af feedbacken;
• en envejskontrolsum af din IP-adresse (dannet med en hemmelig nøgle), så der kun kommer få indberetninger fra én adresse (5 pr. time, 20 pr. dag). Vi gemmer ikke selve IP-adressen sammen med feedbacken; vi fjerner kontrolsummen efter 2 dage.

Vi beder ikke om en e-mailadresse, og vi svarer ikke på feedback. Hvis du gerne vil have et svar, så skriv venligst til support (afsnit 17). Indtast venligst ikke personoplysninger i teksten. Vi læser feedbacken, klassificerer den og bruger, hvor det er nyttigt, rapportens tjekdata (formularfelter, begrundelser og fund, uden skærmbilleder) som testcase til vores genkendelse; en sådan testcase beskriver det tjekkede website, ikke dig. Feedback ændrer ikke rapporten.

Retsgrundlag: Art. 6(1)(f) GDPR; vores legitime interesse er at finde og rette fejl i vores genkendelse, og grænsen beskytter mod misbrug. Krav: feedback er frivillig. Opbevaring: 24 måneder; straks sammen med din konto.

7. Tjek af websites med vores crawler – oplysning i henhold til Art. 14 GDPR

For operatører af tjekkede websites og for personer, hvis oplysninger fremgår af et tjekket website. Du har ikke selv givet os disse oplysninger; derfor oplyser vi dig om det her.

7.1 Hvad crawleren gør

Vores crawler FormExposedBot henter højst otte offentlige sider af et website pr. tjek, den ene efter den anden, ligesom en besøgende med en browser gør. Derudover kan der være op til tre sider, som den genindlæser for at klikke på »Afvis« i cookiebanneret, op til tre sider i mobilvisning, for verificerede domæner testindsendelserne (afsnit 7.3) og op til fem sider bag et login (afsnit 9.4). Før tjekket læser den robots.txt: hvis en Disallow for FormExposedBot eller for alle programmer udelukker forsiden, tjekker den ikke. Den overholder i øjeblikket ikke blokerede understier enkeltvis. Den identificerer sig som FormExposedBot i sin browseridentifikator. Den undersøger formularerne og gemmer:

• adresserne og titlerne på de tjekkede sider, formularernes struktur (feltnavne, felttyper, etiketter, obligatoriske attributter og synlighedsattributter, ingen værdier; begyndelsen af forudfyldte skjulte felter og af data-attributter læser den kun under tjekket og gemmer dem ikke) og de fundne beskyttelsesforanstaltninger;
• sidernes tekniske kendetegn: anvendte CAPTCHA- og spambeskyttelsestjenester, indlejrede scripts fra tredjepartsudbydere (adresse og kontrolsum), de hosts, siden indlæser indhold fra, navnene på satte cookies, sikkerhedsheadere, indikationer af formularernes tilgængelighed, et cookiebanners adfærd ved afvisning og om reklamepixels eller sessionsoptagelse er knyttet til formularer;
• et skærmbillede af det synlige område af den første side og et af hver fundet formular samt efter en testindsendelse også et af svarsiden. Disse skærmbilleder er ikke sløret; de viser, hvad der kan ses på siden.

Hvis en formular indeholder en modtageradresse, gemmer vi kun dens domæne, aldrig adressen. Vi gemmer ikke andet indhold fra siderne. Personoplysninger kan alligevel være berørt, hvis de er synlige på en side eller i et skærmbillede, f.eks. navn og foto af en kontaktperson ved siden af formularen. Kategorier: navne, roller, kontaktoplysninger og billeder, som operatøren selv har offentliggjort. Vi leder ikke efter særlige kategorier af personoplysninger og analyserer dem ikke.

Vi klassificerer formularer ved hjælp af faste regler (f.eks. »kontakt« eller »nyhedsbrev«). Kun hvis reglerne ikke giver et resultat, hjælper en sprogmodel, der kører på vores egen scanningsserver; formularer, der klassificeres på denne måde, indsendes aldrig og tæller ikke med i scoren eller vurderingen. Ingen oplysninger sendes til tredjeparter i den forbindelse, og modellen trænes ikke med dem. Læs mere under EU's AI-forordning: Sådan bruger formexposed AI.

7.2 Hvem der udløser et tjek

• en person, der indtaster et domæne på forsiden (afsnit 6);
• vores WordPress-plugin eller vores TYPO3-udvidelse for sit eget website, også uden konto (afsnit 13);
• en kunde for et domæne på sin konto (afsnit 9);
• et bureau for en potentiel kundes website, uden testindsendelse (afsnit 14);
• vi selv til en undersøgelse af beskyttelsen af kontaktformularer, hvorfra vi kun offentliggør samlede tal uden navne på websites.

7.3 Hvad crawleren ikke gør

Den tjekker kun andres websites passivt: den indsender ingen formularer, afprøver ingen loginoplysninger og angriber intet. Den sender kun testindsendelser til kontaktformularer på domæner, for hvilke en kunde på sin konto har bevist, at den er berettiget til at kontrollere dem – som ejer eller på ejerens vegne, via DNS-post, meta-tag, fil eller plugin: tydeligt markerede testbeskeder uden personoplysninger, højst fem pr. tjek; uden et sådant bevis kun ved interne tjek af vores egne test- og demodomæner. Søgningen efter eksponerede filer, aflæsningen af versioner og tjekket bag et login er ligeledes kun tilgængelige for verificerede domæner (afsnit 9).

7.4 Opbevaringsperiode

Tjek uden konto 30 dage; tjek af en potentiel kundes website 90 dage; tjek til en undersøgelse, indtil resultaterne offentliggøres; tjek af et domæne på en kundekonto højst 13 måneder – det seneste opbevares, så længe domænet er på kontoen – og aldrig længere, end domænet er på kontoen.

7.5 Retsgrundlag og kilde

Retsgrundlaget er Art. 6(1)(f) GDPR. Den legitime interesse består i at vise websiteoperatører og deres tjenesteudbydere svagheder i deres formularer, før de udnyttes til spam eller misbrug, i den interesse, som den, der anmoder om et tjek, har i resultatet, og, for undersøgelsens vedkommende, i at kunne udtale sig om tilstanden af formularbeskyttelse. Oplysningerne stammer fra offentligt tilgængelige kilder, nemlig selve det tjekkede website. Modtagere er den person, der startede tjekket, og alle, som denne person giver linket til rapporten, og ved tjek af potentielle kunder bureauet; fra en undersøgelse offentliggør vi kun samlede tal. Hvis en kunde på sin konto tjekker et domæne, som den har verificeret, handler vi på dens vegne (afsnit 2); så længe verificeringen mangler, er vi selv dataansvarlige. Vi offentliggør denne oplysning her og på FormExposedBot-siden i stedet for at skrive til hver synlig person enkeltvis; det ville være umuligt eller kræve en uforholdsmæssig stor indsats, især da vi kun ved det om disse personer, som står på siden (Art. 14(5)(b) GDPR).

Indsigelse og udelukkelse: Som operatør af et website kan du udelukke yderligere tjek af dit domæne via din robots.txt eller via vores opt-out-side (afsnit 19). Personer, der kan ses på en tjekket side, kan gøre indsigelse mod behandlingen i henhold til afsnit 27 og anmode om sletning af en rapport eller et skærmbillede.

8. Din kundekonto

For kunder og inviterede teammedlemmer.

8.1 Registrering og konto

Til en konto behandler vi din e-mailadresse og din adgangskode (kun som hashværdi; vi kender ikke selve adgangskoden) samt dit fornavn og – for så vidt du oplyser dem – efternavn og virksomhed, desuden sprog, tema, valuta, abonnement, tidspunkterne for registrering og seneste login og IP-adressen ved seneste login. Du bekræfter din e-mailadresse via et link, der er gyldigt i 72 timer; konti, der aldrig bekræftes, sletter vi efter 30 dage. Hvis du ændrer din e-mailadresse, gælder den nye først efter bekræftelse via et link, der sendes til den.

Retsgrundlag: Art. 6(1)(b) GDPR (kontrakt); for IP-adressen ved seneste login Art. 6(1)(f) GDPR (beskyttelse af din konto, afsnit 8.2). Krav: e-mailadresse, fornavn og adgangskode er nødvendige for at indgå en kontrakt; din faktureringsadresse og dit momsnummer oplyser du kun ved betalte abonnementer og kun til Stripe (afsnit 18).

8.2 Login og sikkerhed

• loginforsøg med e-mailadresse, IP-adresse og resultat: 7 dage, mod gætning af adgangskoder; derudover tællere for loginforsøg pr. konto (for en ukendt adresse pr. indtastet adresse), pr. konto og IP-adresse og pr. IP-adresse, for tofaktorforsøg og bekræftelser af adgangskode pr. konto, for e-mails til nulstilling af adgangskode pr. e-mailadresse, for registreringer pr. IP-adresse og for forsøg på adgangskoden til en kundeportal pr. portal og IP-adresse, som vi kun gemmer under en pseudonym nøgle (HMAC) uden e-mail- eller IP-adresse i klartekst, og som udløber med deres tidsvindue (i øjeblikket 15 minutter, én time for nulstilling af adgangskode og registreringer);
• loggede enheder med IP-adresse, browser, styresystem og enhedstype, så du kan se dem i indstillingerne og logge dem ud: op til 90 dage efter sidste brug;
• hvis tofaktorlogin er slået til, hemmeligheden hertil (krypteret) og dine gendannelseskoder (kun som hashværdi);
• links til nulstilling af adgangskoden er gyldige i én time;
• en aktivitetslog over vigtige handlinger som »domæne oprettet«, »alarm oprettet« eller »indstillinger ændret« med tidspunkt, handlende konto, IP-adresse og land: 365 dage.

Retsgrundlag: Art. 6(1)(f) GDPR; vores legitime interesse er at beskytte din konto og tjenesten samt sporbarheden af ændringer i et arbejdsområde, som flere personer arbejder i.

8.3 Registrering af kontraktindgåelsen

Ved registreringen registrerer vi, hvilken version af servicevilkårene og af databehandleraftalen du har accepteret, og hvilken version af denne privatlivspolitik du har gjort dig bekendt med – i hvert tilfælde med den fulde tekst, dens hashværdi, tidspunktet, IP-adressen og browseridentifikatoren. Det tjener som bevis for kontraktindgåelsen (Art. 6(1)(b) og (f) GDPR). Vi opbevarer denne registrering, så længe kontoen findes. Når kontoen er slettet, sletter vi den, så snart samtykket er fire år gammelt, fordi spørgsmål om kontraktindgåelsen typisk opstår netop efter opsigelse.

8.4 Arbejdsområder, team og invitationer

En konto arbejder i et eller flere arbejdsområder. Hvis du inviterer nogen, sender vi den pågældende en e-mail med navnet på arbejdsområdet (som standard dit virksomhedsnavn eller fornavn) og et link til at acceptere; til invitationen gemmer vi også den tiltænkte rolle, og hvem der har sendt invitationen. Medlemmerne af et arbejdsområde kan se, hvem der hører til det, og i hvilken rolle. Hvis du er en inviteret person, har vi fået din e-mailadresse fra det medlem, der inviterede dig (Art. 14(2)(f) GDPR). Invitationer, der ikke accepteres, sletter vi, når de udløber efter 14 dage, og accepterede invitationer 30 dage efter accepten. En overvåget formular kan tildeles en ansvarlig person fra teamet og en frist for rettelsen; til dette gemmer vi kun tildelingen til kontoen og fristen. Retsgrundlag: Art. 6(1)(b) GDPR i forhold til kunden; i forhold til den inviterede person Art. 6(1)(f) GDPR (kunden ønsker at arbejde sammen med den pågældende).

8.5 Hjælp fra vores support

For at hjælpe dig med et problem kan vores support se din konto, som du ser den. Hver sådan adgang registreres i aktivitetsloggen og fremgår af din dataeksport. Retsgrundlag: Art. 6(1)(b) GDPR, hvis du har bedt om hjælp, ellers Art. 6(1)(f) GDPR (fejlfinding).

8.6 Eksport og sletning

Under Indstillinger kan du downloade de oplysninger, der er gemt for din konto, som en JSON-fil – uden adgangskodehashværdier og hemmeligheder og uden andre medlemmers oplysninger. Denne fil indeholder ikke tjekresultater, fund og hændelser (kun eskaleringens leveringsforsøg pr. alarmdestination); de er tilgængelige som rapporter på kontoen og som fil efter anmodning. Dér kan du også selv slette din konto; der kræves ingen e-mail. Et løbende betalt abonnement ophører straks, som hovedregel uden refusion (undtagelserne fremgår af servicevilkårene); den, der først vil bruge den betalte periode, opsiger i området Fakturering med virkning fra periodens udløb. Hvis kontrakten for din konto ophører på anden måde, f.eks. ved vores opsigelse, kan du eksportere dine oplysninger indtil kontraktens ophør, og vi sletter kontoen senest 30 dage efter kontraktens ophør. Sammen med kontoen sletter vi straks dine arbejdsområder med de tilknyttede oplysninger, herunder domæner, tjekresultater og skærmbilleder, alarmer, hændelser, dokumentationslogs, branding, kundeportaler inklusive abonnenter, listen over dine tjek af potentielle kunder (deres rapporter forbliver tilgængelige, indtil deres 90 dage udløber), API-nøgler, udrulningskoder og testlogins. Hvis en anden stadig arbejder i et af dine arbejdsområder, overgår arbejdsområdet til et andet medlem – først administratorer og blandt dem den, der har været med længst – i stedet for at blive slettet. Følgende bevares, indtil deres egen opbevaringsperiode udløber: aktivitetsloggen og loggen over sidevisninger med nummeret på din tidligere konto, sendte e-mails (30 dage, afsnit 11), registreringen af kontraktindgåelsen (8.3), supporthenvendelser (afsnit 17), fakturadata, så længe skattelovgivningen kræver det, provisionsdata og indløste aktiveringskoder, for hvilke der i øjeblikket ikke er nogen opbevaringsperiode (afsnit 18), og sikkerhedskopierne (3.4).

9. Domæner, tjek og overvågning

For kunder. For så vidt tredjemands personoplysninger er berørt, handler vi på kundens vegne.

9.1 Domæner og verificering

For hvert domæne på din konto gemmer vi navnet, beviset for din autorisation (DNS-post, meta-tag, fil eller plugin), tjekresultaterne og dine indstillinger, f.eks. hyppighed, vedligeholdelsesvindue, noter, kundebetegnelse og den anslåede værdi af en henvendelse. Hyppigheden afhænger af dit abonnement og går op til daglige tjek.

9.2 Overvågning af offentligt tilgængelige oplysninger

Mellem tjekkene forespørger vi offentligt tilgængelige oplysninger om dit domæne:

• DNS-poster (SPF, DMARC, MX), TLS-certifikatet og sikkerhedsheaderne;
• domænets udløbsdato via RDAP-tjenesten hos det ansvarlige register; kun domænenavnet overføres;
• tilgængeligheden af dine formularsider (formularpuls, hvert 10., 15. eller 30. minut afhængigt af abonnementet);
• de offentlige statussider for de CAPTCHA- og mailtjenester, dit website bruger; vi overfører intet om dig i den forbindelse;
• kendte sikkerhedssårbarheder i formular-, CAPTCHA- og mailplugins og – ugentligt for verificerede domæner – i CMS, plugins og tema, hvis versioner vi aflæser udefra på din forside. Sammenligningen foretages med den åbne WPVulnerability-database; kun identifikatoren for et plugin eller tema (uden version) og WordPress-versionen overføres, ikke dit domæne;
• dagligt, om adresserne på din webserver, adressen på den server, din seneste formular-e-mail kom fra (fra leveringstjekket), eller dit domæne og afsenderdomænet for denne e-mail er opført på DNS-blokeringslister for spam (SpamCop, PSBL, Mailspike, SURBL); der forespørges kun på domæner og IP-adresser på servere, ingen oplysninger om besøgende;
• hvis det er sat op, om Google Web Risk opfører din forside som en malware- eller phishingside; kun forsidens adresse overføres;
• ugentligt for verificerede domæner, om der er eksponeret filer, som aldrig burde være offentlige (f.eks. en sikkerhedskopi af konfigurationen eller et databasedump). Herved læser vi højst de første 8 KB af en fil for at genkende den og gemmer kun fundets sti, type og alvorlighed, aldrig indholdet.

9.3 Formularforløb og browsertjek

For overvågede formularer gemmer vi formularadresser, selektorer, forudgående klik og syntetiske tjektrin, valget af tjekbrowser samt ansvar og forfaldsdato. Browsertjek udfylder højst en formular frem til lige før indsendelsen; de indsender intet og udløser ingen ordre eller betaling. Resultaterne omfatter status, tekniske fejlkategorier, rensede fejlmeddelelser og tidsmålinger og kan indeholde et lille billede af formularen, hvor indtastningsfelterne er maskeret. Denne maskering findes kun i browsertjekkene; skærmbillederne fra crawlerens fulde tjek er ikke sløret (afsnit 7.1). Målinger fra vores tjekbrowsere er ikke målinger af dine besøgende.

En anden, uafhængig probe, der bekræfter resultater, er forberedt, men ikke sat op i øjeblikket. Den ville kun modtage domænet, den rensede konfiguration og jobidentifikatoren, aldrig loginoplysninger, skærmbilleder eller oplysninger om besøgende; vi vil på forhånd nævne dens operatør på listen over underdatabehandlere.

9.4 Tjek bag et login

I betalte abonnementer kan ejere og administratorer af et arbejdsområde gemme en testkonto til deres eget website for et verificeret domæne, så crawleren kan læse formularer bag login. Følgende gælder:

• Brugernavnet og adgangskoden krypteres på webserveren med en nøgle, som kun scanningsserveren kan åbne; webserveren, databasen og sikkerhedskopierne indeholder dem kun i krypteret form. De bliver aldrig vist, logget eller udleveret via grænsefladen; brugergrænsefladen viser kun brugernavnets første tegn og længde. Den krypterede kopi, der er knyttet til et tjekjob, fjernes efter kørslen, senest efter én time.
• Testkontoen bruges kun af crawlerens fulde tjek, ikke af browsertjekkene (9.3).
• Bag login læser crawleren højst fem angivne sider. Den indsender intet, tager ingen skærmbilleder dér (der kan blive vist kontooplysninger) og følger ikke links til at logge ud, slette eller opsige.
• Hvis du sletter login, overskriver vi den krypterede værdi og fjerner den; den forsvinder også sammen med domænet.

Brug kun en testkonto, der er oprettet specifikt til dette formål og ikke indeholder rigtige kundeoplysninger. Det, crawleren ser bag login, behandler vi på dine vegne.

9.5 Yderligere funktioner

Scriptoversigt: Hvis du slår den til, fører vi en liste over scripts på dine formularsider med adresse og kontrolsum, rapporterer nye eller ændrede scripts og gemmer, når et script godkendes, hvem der godkendte det, hvornår og med hvilken begrundelse. Tilgængelighed: Ud fra det seneste tjek kan tjenesten generere et udkast til en tilgængelighedserklæring for dine formularer; de virksomhedsoplysninger, du indtaster hertil, forbliver i din browser. Benchmarks: Til en branchesammenligning evaluerer vi alle kunders resultater kun i samlet form; enkelte websites fremgår ikke.

Retsgrundlag for afsnit 9: Art. 6(1)(b) GDPR; for tredjemands personoplysninger, der bliver synlige under et tjek, dine instrukser i henhold til databehandleraftalen. Opbevaringsperiode: domæne, verificering, indstillinger, formularforløb og testlogin, indtil du sletter dem, domænet eller din konto; scriptoversigten og dens ændringer, indtil du sletter domænet eller din konto (der er ingen særskilt opbevaringsperiode for dem); tjekresultater, resultater af browsertjekkene og tidsmålinger højst 13 måneder (det seneste tjek opbevares, så længe domænet er på kontoen).

10. Notifikationer

For kunder og de modtagere, de angiver.

Vi sender alarmer og rapporter til de destinationer, du opretter: e-mailadresser, dine egne webhook-adresser, Slack, Discord, Microsoft Teams, Google Chat eller Telegram. Chatkanaler og webhooks er tilgængelige i abonnementerne Pro og Business. En besked indeholder domænet, hændelsen, en kort beskrivelse og et link til din konto, ved tjekalarmer rapportlinket, hvorigennem resultater og skærmbilleder kan tilgås uden login (Telegram modtager kun linket til domænesiden på din konto, hvilket kræver login); intet indhold fra formular-e-mails. Vi gemmer:

• destinationerne (e-mailadresse, webhook- eller chatadresse; for webhooks en hemmelighed til signering), indtil du sletter dem eller domænet;
• en afsendelseslog med tidspunkt, hændelse og resultat: 90 dage;
• samlede notifikationer til daglige og ugentlige rapporter: op til 30 dage efter afsendelse;
• hændelser med et kvitteringslink: så længe de er uløste, derefter 180 dage efter løsningen. Den, der kvitterer for en hændelse, registreres med det indtastede navn eller sin e-mailadresse. Hændelser, der ikke er kvitteret for, kan eskaleres til yderligere destinationer; til dette gemmer vi pr. destination antallet og tidspunkterne for leveringsforsøg (højst fem), om leveringen lykkedes, og en eventuel fejl, så længe hændelsen findes. En hændelse lukkes først, når problemet er løst; en kvittering alene afslutter den ikke.

Telegram: Til Telegram driver vi vores egen bot. Du tilknytter den via et link med en engangskode, der er gyldig i 30 minutter; når du trykker på »Start« i botten, henter vores server denne besked fra Telegram og gemmer identifikatoren for din chat (chat-id) som alarmdestination. Telegram leverer i den forbindelse også dit Telegram-navn; det gemmer vi ikke. Selve koden sletter vi tidligst efter én dag, så snart en ny kode oprettes. Chat-id'et opbevares, indtil du sletter alarmen eller domænet.

Chattjenesterne behandler beskederne i henhold til deres egne vilkår og din kontrakt med dem; nogle har hjemsted uden for EU (afsnit 22). For modtagere, der ikke selv er kunder, handler vi på dine vegne; informer dem venligst.

Retsgrundlag: Art. 6(1)(b) GDPR; for modtagere, der ikke er kunder, dine instrukser. Krav: ingen alarm uden en destination; tjekkene kører alligevel.

11. E-mails fra os

For kunder og alle, vi skriver til.

Vi sender e-mails for at bekræfte din adresse, for at nulstille din adgangskode, til invitationer, alarmer og rapporter, som kvittering for supporthenvendelser og med meddelelser om din konto og din fakturering. Afsendelse og modtagelse af vores e-mails varetages af Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Vores domæne og dets DNS-poster administreres af Namecheap, Inc., Phoenix, Arizona, USA; indtil postkassen hos Namecheap, Inc. (Private Email), Phoenix, Arizona, USA er sat op, videresender Namecheap også generelle e-mails til adresser på vores domæne. Kontrolkopierne fra leveringstjekket passerer ikke derigennem. Vi opbevarer sendte e-mails, herunder modtager, emne og indhold, i 30 dage, så vi kan løse leveringsproblemer; ikke længere, fordi de også indeholder gyldige bekræftelses- og nulstillingslinks.

Tre e-mails sendes, uden at du udtrykkeligt har bedt om dem:

• Månedlig rapport: i begyndelsen af måneden en oversigt over tjek og notifikationer for dine domæner. Du kan afmelde den i indstillingerne.
• Påmindelse om opsætning: én enkelt e-mail mellem to og fjorten dage efter registreringen, hvis din konto er bekræftet, men endnu ikke har et verificeret domæne – »Tilføj website« eller »Verificer domæne«, uden tilbud, pris eller opgradering. Den sendes ikke igen.
• Prøveperiodens udløb: tre dage før en prøveperiode udløber, en meddelelse om, hvad der sker bagefter.

Retsgrundlag: Art. 6(1)(b) GDPR for e-mails, der er en del af kontrakten, herunder den månedlige rapport og meddelelsen om prøveperioden; for påmindelsen om opsætning Art. 6(1)(f) GDPR, fordi en konto uden domæne ikke kan bruge tjenesten, og mange kunder simpelthen glemmer at sætte den op. Vi sender ikke reklame.

12. Badge og dokumentationslog

For kunder, der bruger badget eller dokumentationsloggen, og for besøgende på websites med et badge.

Badge: Hvis du indlejrer vores badge på dit website, indlæser browseren hos hver besøgende på den pågældende side badgebilledet fra vores server. Herved modtager vi de sædvanlige forbindelsesdata – IP-adresse, tidspunkt, browseridentifikator og den side, badget vises på – som kun havner i webserverloggen (14 dage, afsnit 3.1), ikke i loggen over sidevisninger. Badget sætter ingen cookies, starter ingen session og indeholder intet script. Den offentlige bekræftelsesside viser domænet, niveauet og datoen for det seneste tjek, ingen enkelte fund; den, der åbner den, er besøgende på vores website (afsnit 3 og 4). Retsgrundlaget er Art. 6(1)(f) GDPR; vores legitime interesse er at levere det badge, som kunden indlejrer. Kunden nævner dette i sin egen privatlivspolitik (tekstblokke).

Dokumentationslog: I betalte abonnementer kan du generere en log over tjekkene for hvert domæne og hver måned. Under dens verifikationsnummer bekræfter en offentlig side domæne, periode og nøgletal uden detaljer. For at det senere kan fastslås, om en log er blevet ændret, lader vi den signere af en tidsstemplingsmyndighed. Vi overfører kun en hashværdi af loggen til den, hvorfra intet indhold kan genskabes; i øjeblikket er det Certum (Asseco Data Systems S.A., Polen) og som reserve DigiCert, Inc. (USA). Logs opbevares, indtil du sletter domænet. Retsgrundlaget er Art. 6(1)(b) GDPR.

13. WordPress-plugin og TYPO3-udvidelse

For kunder, der bruger pluginnet eller udvidelsen, og for besøgende på deres websites.

13.1 Hvad der forbliver på kundens website

Vores plugin til WordPress og vores udvidelse til TYPO3 kører på kundens server. Det, WordPress-pluginnet gemmer dér, forbliver på det pågældende website; vi har ingen adgang til det, og dets operatør er den dataansvarlige:

• Karantæne: indsendelser, som beskyttelseslaget tilbageholder som spam, herunder feltindhold og svaradresse, i op til 14 dage, så en fejlagtigt tilbageholdt besked kan leveres med ét klik;
• Sikkerhedsnet: kopier af formular-e-mails, der ikke kunne sendes (modtager, emne, tekst og headerlinjer som svaradressen; vedhæftede filer kun med navn), i op til 30 dage, så de kan sendes igen;
• Beregningsopgave: den besøgendes browser løser en lille opgave, som websitet selv stiller; ingen cookie, ingen tredjepartstjeneste;
• Opbevaringsperiode: efter ønske sletter pluginnet gemte henvendelser fra visse formularplugins efter 90, 180 eller 365 dage;
• Formulartællinger (slået fra som standard): visninger, påbegyndelser, valideringsfejl og indsendelsesforsøg pr. formular og, hvis det er slået særskilt til, fejlkategorier pr. feltposition – uden indtastninger, feltnavne, cookies eller vedvarende besøgsidentifikatorer, i højst 14 dage på websitet. En identifikator, der er udledt af IP-adressen til begrænsning af forespørgsler, udløber efter ét minut og sendes ikke til os;
• Besøgshjælp (kan slås særskilt til): efter en afsendelsesfejl fører en meddelelse tilbage til formularen, som stadig er åben, og nævner om ønsket en e-mailadresse; den læser ingen indtastninger, gemmer ingen kladder og sender ikke noget igen af sig selv;
• nye spamregler kan tælle lokalt i syv dage uden at tilbageholde noget.

WordPress-pluginnet tilføjer selv passende afsnit til WordPress' vejledning om privatlivspolitik; yderligere tekster findes under Tekst til privatlivspolitikken på dit website. TYPO3-udvidelsen gemmer intet formularindhold; den tilføjer et meta-tag til hver side til verificering af domænet, og den tæller.

13.2 Optager

Med optageren registrerer en WordPress-administrator, der er logget ind, ruten til en formular på sit eget website. Den gemmer tekniske selektorer og navigationstrin i browserens session storage i højst 15 minutter og overfører den valgte konfiguration til den tilsluttede konto. Den læser ingen indtastninger. Optageren indlæses aldrig for besøgende.

13.3 Hvad der sendes til os

Pluginnet og udvidelsen overfører til os – afhængigt af funktionen og, bortset fra et tjek af eget website uden konto, kun så længe websitet er tilsluttet en konto:

• værtsnavnet, en offentlig nøgle og en hemmelighed, hvormed websitet identificerer sig, versionerne af plugin og CMS samt sproget;
• daglige tal: blokerede indsendelser pr. årsag, accepterede indsendelser, sendte og mislykkede e-mails med fejltype, tal om reCAPTCHA-svar og om automatisk slettede henvendelser; hvis tællinger er slået til, deres daglige tal;
• kendetegn ved formularindstillingerne som tal, f.eks. hvor mange formularer der bruger den besøgendes adresse som afsender, og versionerne af visse formular-, CAPTCHA- og mailplugins fra en fast liste;
• opdateringer, aktiveringer og deaktiveringer af plugins, temaer og CMS med navne og versioner, vedligeholdelsestilstand og fejl ved afsendelse af en formular-e-mail (kun fejltypen);
• konfigurationen af et formularforløb, der er valgt med optageren;
• til sværmbeskyttelse (slået til som standard) domænerne fra links i blokerede beskeder. Indberetningerne fra mange websites danner en liste over spamdomæner, som alle tilsluttede plugins henter. Vi overfører ikke afsenderes IP-adresser eller netværk til dette.

Pluginnet og udvidelsen overfører intet andet formularindhold end disse linkdomæner og heller ikke besøgendes e-mailadresser, navne eller IP-adresser. Vi sletter de daglige tal og ændringsrapporter efter 13 måneder, signalerne fra sværmbeskyttelsen efter 30 dage; oplysninger fra et website, der ikke hører til noget domæne på en konto, efter 90 dage uden kontakt.

Retsgrundlag: Art. 6(1)(b) GDPR; for sværmbeskyttelsen Art. 6(1)(f) GDPR (fælles forsvar mod spam på tværs af mange websites). Disse oplysninger er kun personoplysninger i undtagelsestilfælde, f.eks. hvis et værtsnavn indeholder en persons navn.

14. Funktioner til bureauer

For bureauer og for de personer, der kommer i kontakt med deres portaler og rapporter.

• Kundeportal: Et bureau kan give sine kunder adgang til en portal med resultaterne for deres domæner. Den, der abonnerer på den månedlige rapport dér, oplyser sin e-mailadresse og bekræfter den via et link (double opt-in). Vi gemmer adressen, sproget, tidspunktet og IP-adressen for tilmeldingen, tidspunktet for bekræftelsen og den måned, der senest blev sendt. Ubekræftede tilmeldinger sletter vi efter 30 dage. Afmelding er til enhver tid mulig via linket i hver e-mail; derefter opbevarer vi registreringen af tilmeldingen i yderligere tre år, dog ikke længere end indtil bureauets arbejdsområde slettes; hvis bureauet kun tilbagekalder portalen, forbliver abonnenterne gemt. Portalen og rapporterne vises under bureauets navn; bureauet er den dataansvarlige, og vi handler på dets vegne. Bureauets retsgrundlag er abonnentens samtykke.
• Eget branding: det virksomhedsnavn, website, kontaktoplysninger, farver og logo, som et bureau gemmer, vises på dets rapporter og i portalen, indtil det ændrer eller sletter dem.
• Eget domæne: I Business-abonnementet kan et bureau vise portalen og rapporterne under sit eget underdomæne. Til dette tjekker vi dagligt dets DNS-poster. Funktionen er ikke slået til i øjeblikket.
• Tjek af potentielle kunder: Et bureau kan få en potentiel kundes website tjekket uden testindsendelse (afsnit 7). Det videregiver selv linket til de korte fund; vi skriver ikke til nogen. Vi sletter tjekket efter 90 dage. Bureauet er alene ansvarligt for at kontakte den potentielle kunde.
• API-nøgler og udrulningskoder: Vi gemmer dem kun som hashværdi med et kort præfiks sammen med deres betegnelse, tidspunktet for seneste brug (API-nøgler) eller antallet af indløsninger (udrulningskoder) og antallet af kald pr. minut (i mindst én dag; slettes ved senere kald).

Retsgrundlag: Art. 6(1)(b) GDPR i forhold til bureauet; for abonnenter og potentielle kunder se ovenfor.

15. Leveringstjek

For kunder, der slår det til, og for besøgende på deres websites. For oplysningerne om besøgende er vi kundens databehandler.

Det valgfrie leveringstjek besvarer spørgsmålet, om e-mailen fra en kontaktformular faktisk bliver sendt. Til dette angiver kunden en af vores kontroladresser som skjult kopi (BCC) i mailindstillingerne for sin formular. Derved modtager vi ikke kun vores egen testindsendelse, men en kopi af hver formular-e-mail – herunder ægte henvendelser fra dens besøgende med deres navne, adresser og beskeder.

Hvad vi gør med dem, og kun det: en automatisk hentning læser headerne og højst de første 8 KB af teksten, tilknytter e-mailen via kontroladressen til et domæne og i givet fald til en testindsendelse og tjekker ægthedskendetegnene SPF, DKIM og DMARC. Efter vellykket behandling slettes e-mailen. Hvis hentningen eller sletningen mislykkes, kan en e-mail blive liggende i postkassen indtil næste vellykkede kørsel; postkassen hostes af vores mailtjenesteudbyder (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Kopierne evalueres kun automatisk.

I vores database gemmer vi kun tidspunktet, domænetilknytningen og i givet fald identifikatoren for testindsendelsen i 180 dage samt det tekniske ægthedsresultat (SPF, DKIM, DMARC) for den senest modtagne e-mail, indtil den næste e-mail erstatter det, eller domænet slettes. Dette ægthedsresultat omfatter IP-adressen på den afsendende server og afsenderens e-maildomæne; dette domæne nævnes kun i en alarm til kunden, hvis det ikke hører til websitet. Hvis en formular indsætter den besøgendes adresse som afsender, er det domænet hos den besøgendes e-mailudbyder. Vi gemmer ikke e-mailenes indhold eller fulde afsenderadresser. Hvis der ikke kommer nogen kopi inden for få timer efter en testindsendelse, meddeler vi det til kunden.

Modtagelsen beviser kun, at den tilknyttede kopi er nået frem til vores kontrolpostkasse – ikke modtagelse hos den egentlige modtager og ikke en post i et CRM-system. Formularer, som særlige kategorier af personoplysninger passerer igennem (f.eks. helbredsoplysninger), bør ikke tilsluttes leveringstjekket. Kunden informerer sine besøgende om dette dataflow; en tekst hertil findes under Tekst til privatlivspolitikken på dit website. Uden en oprettet kontrolpostkasse er tjekket ikke tilgængeligt.

Retsgrundlag: for kunden typisk Art. 6(1)(f) GDPR (pålidelig modtagelse af henvendelser); vi behandler efter dennes instrukser (Art. 28 GDPR).

16. Sprogmodel på vores egen server og »Fix it for me«

For kunder og brugere af det gratis tjek.

En sprogmodel kører på vores egen scanningsserver, ikke hos en AI-udbyder. Den hjælper med at klassificere formularer (afsnit 7) og indsætter med »Fix it for me« beskyttelse i formularkode, som du indsætter. Den indsatte kode behandles kun til denne anmodning, gemmes ikke og bruges ikke til træning; i aktivitetsloggen registrerer vi kun, at funktionen blev brugt, med programmeringssproget, kodens længde og resultatet (også til den daglige kvote). Indsæt venligst ikke loginoplysninger eller personoplysninger. »Fix it for me« fungerer uden adgang til dit website; du indsætter selv koden. Læs mere under EU's AI-forordning: Sådan bruger formexposed AI. Retsgrundlag: Art. 6(1)(b) GDPR.

17. Support, kontakt og indberetning af sikkerhedssårbarheder

For alle, der skriver til os.

Hvis du skriver til os via supportvinduet eller kontaktsiden, behandler vi din e-mailadresse, din besked, det valgte emne, den side, du skriver fra, sproget, din IP-adresse, dens land, browseridentifikatoren og – hvis du er logget ind – dit kontonummer for at besvare din henvendelse og forhindre misbrug af formularen. Du modtager en kvittering pr. e-mail på den adresse, du har angivet; hvis du er logget ind, gengiver den begyndelsen af din besked (op til 2.000 tegn), ellers indeholder den ikke din tekst. Som alle sendte e-mails opbevares den i 30 dage (afsnit 11). Et Telegram-signal uden indhold og uden oplysninger om dig gør os opmærksom på nye henvendelser. Hvis du sender os en e-mail, behandler vi din adresse og din besked. Indberetninger af sikkerhedssårbarheder behandler vi på samme måde. Vi sletter henvendelser 24 måneder efter modtagelsen, også hvis du sletter din konto tidligere; de dokumenterer, hvad der blev spurgt om, og hvad der blev svaret.

Retsgrundlag: Art. 6(1)(b) GDPR, hvis henvendelsen vedrører en kontrakt med os, ellers Art. 6(1)(f) GDPR (besvarelse, forebyggelse af misbrug, dokumentation). Krav: uden en e-mailadresse kan vi ikke svare.

18. Betalinger, prøveperiode og partnerprogram

For kunder med et betalt abonnement og for partnere.

Vi fakturerer betalte abonnementer via Stripe. Udbyderen er Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Du indtaster dine betalingsoplysninger direkte hos Stripe; vi ser dem ikke. Stripe modtager din e-mailadresse og dit navn, under betalingen din faktureringsadresse og i givet fald dit momsnummer og udsteder fakturaerne. Vi har kun kunde- og abonnementsidentifikatorerne hos Stripe, abonnementet, status, faktureringsperiodens udløb samt identifikatorerne og typerne af de hændelser, som Stripe rapporterer til os.

Du kan starte en prøveperiode uden kort; uden betalingsmiddel slutter den automatisk. Hvis en hostingudbyder eller partner har givet dig en aktiveringskode, gemmer vi, hvilken konto der har indløst den og hvornår, og indtil hvornår abonnementet gælder.

Stripe behandler også oplysninger som selvstændig dataansvarlig, f.eks. for at forhindre svindel og overholde retlige forpligtelser, og kan overføre dem til Stripe, Inc. i USA (afsnit 22). Læs mere i Stripes privatlivspolitik.

Partnerprogram: Programmet er bygget, men ikke slået til i øjeblikket. Hvis det slås til, gælder følgende: hver konto har en henvisningskode. Den, der registrerer sig via et henvisningslink, tilknyttes partneren i et begrænset antal måneder; vi gemmer tilknytningen og tidspunktet for den og for hver betalt faktura nettobeløbet og provisionen. Partneren ser kun tal – hvor mange konti der er tilmeldt, hvor mange der betaler, og summen af dennes provisioner – ingen navne og ingen adresser. Partnervilkårene gælder. Vi opbevarer i øjeblikket partneres oplysninger, tilknytningerne og provisionerne uden en fast opbevaringsperiode, ligesom oplysningerne om indløste aktiveringskoder; vi vil fastsætte en sletningsfrist og angive den her.

Retsgrundlag: Art. 6(1)(b) GDPR; for opbevaring af fakturadata og, hvor det kræves af skattemæssige grunde, provisionsdata Art. 6(1)(c) GDPR; for tilknytningen til en partner Art. 6(1)(f) GDPR (afregning af provisionen). Vi opbevarer fakturadata, så længe skattelovgivningen kræver det; efter polsk ret (Art. 86 sammenholdt med Art. 70 i den polske skattelov, Ordynacja podatkowa) som hovedregel, indtil der er gået fem år fra udgangen af det kalenderår, hvor skatten forfaldt. Krav: intet betalt abonnement uden betalingsoplysninger; det gratis abonnement forbliver tilgængeligt.

19. Udelukkelse af et domæne (opt-out)

For operatører af websites, der ikke ønsker at blive tjekket af os.

Via opt-out-siden kan du udelukke et domæne fra yderligere tjek. Udelukkelsen gælder for domænet og dets www-variant, ikke for andre underdomæner, og også over for betalende kunder, der har verificeret domænet; løbende overvågning ophører ved næste planlagte tjek. Kun vi kan ophæve den, efter anmodning og mod bevis for, at du kontrollerer domænet. Vi gemmer domænet, den frivilligt angivne begrundelse, din IP-adresse, dens land og browseridentifikatoren. IP-adresse, land og browseridentifikator sletter vi efter 12 måneder; selve udelukkelsen forbliver permanent, da domænet ellers ville blive tjekket igen. Vi har brug for disse oplysninger for at kunne gennemføre dit ønske permanent og genkende, om nogen misbruger formularen til at udelukke andres domæner. Retsgrundlag: Art. 6(1)(f) GDPR; vores legitime interesse er at gennemføre dit ønske permanent og genkende misbrug af formularen. Hvis du mener udelukkelsen som en indsigelse i henhold til Art. 21 GDPR, gennemfører vi den på denne måde.

20. For besøgende på vores kunders websites

For personer, der besøger et website eller indsender en formular på det, hvis operatør bruger formexposed.

Operatøren af dette website er den dataansvarlige for det, ikke os. Operatøren bestemmer, hvilke funktioner der bruges, og skal informere dig om dem i sin egen privatlivspolitik. Følgende kan nå frem til os:

• Badge: din browsers forbindelsesdata ved indlæsning af billedet, 14 dage i webserverloggen, uden cookie; her er vi dataansvarlige for leveringen af billedet (afsnit 12).
• Leveringstjek: en kopi af din formular-e-mail, som evalueres automatisk og slettes; vi er databehandler (afsnit 15).
• WordPress-plugin og TYPO3-udvidelse: daglige tal uden henvisning til dig og, til sværmbeskyttelse, domænerne fra links i blokerede beskeder; karantæne og sikkerhedsnet forbliver på websitet (afsnit 13).
• Kundeportal: din e-mailadresse, hvis du abonnerer på en rapport dér; vi er bureauets databehandler (afsnit 14).
• Formularbeskyttelse (formconfirmed): hvis operatøren bruger den, henter din browser en opgave fra vores server, når siden åbnes, og løser den i baggrunden; ved indsendelsen lader operatørens server os kontrollere resultatet. Der behandles din IP-adresse (gemmes kun forkortet og som hashværdi, højst en time; som enhver forespørgsel 14 dage i webserverloggen), sidens adresse, udfyldningstiden, om et usynligt felt er blevet udfyldt, og – kun hvis operatøren slår indholdskontrollen til – teksten i din besked, som en sprogmodel på vores egen server vurderer i arbejdshukommelsen og ikke gemmer. Ingen cookies, ingen lagring i browseren, intet fingeraftryk. Vi er operatørens databehandler (databehandleraftalen, bilag 1, punkt 10).

Det er bedst at udøve dine rettigheder over for operatøren af websitet; operatøren kender sammenhængen og kan give os instrukser. Hvis du kontakter os, videresender vi din anmodning til operatøren eller behandler den selv, for så vidt vi er dataansvarlige. Hvad vi kan og ikke kan finde i den forbindelse, fremgår af Indsigt, sletning og dine øvrige rettigheder.

21. Modtagere

Vi videregiver kun personoplysninger, hvor denne politik siger det. Vi sælger, udlejer eller udveksler ikke oplysninger. Kategorier af modtagere:

Modtager (hjemsted)	Kategori	Til hvad
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	databehandler; behandlingssted skal endnu verificeres	afsendelse og modtagelse af vores e-mails; kontrolpostkasse til leveringstjekket
Namecheap, Inc. (USA)	databehandler	domæne, DNS; indtil postkassen er sat op, videresendelse af generelle e-mails til vores domæne (ikke af kontrolkopierne fra leveringstjekket)
Stripe Payments Europe, Ltd. (Irland), Stripe, Inc. (USA)	i vid udstrækning selvstændig dataansvarlig; vi undersøger stadig den nøjagtige rollefordeling	betalinger og fakturaer
Google Ireland Ltd., Google LLC (USA)	selvstændig dataansvarlig	reCAPTCHA
Telegram (uden for EØS)	destination valgt af kunden; vi sender beskeden via vores bot. For os også en notifikationskanal	alarmer, hvis du vælger Telegram; driftssignaler uden personoplysninger
Slack, Discord, Microsoft (Teams), Google (Chat), dine webhooks (delvis USA)	destinationer valgt af kunden	alarmer
Offentligheden	–	rapportlinks, bekræftelsessider, resultater af undersøgelsen (kun samlet)
Medlemmer af dit arbejdsområde	brugere af den samme konto	samarbejde, afhængigt af rolle
Myndigheder, domstole, CERT Polska, rådgivere	selvstændige dataansvarlige	kun hvor der er en retlig forpligtelse, for at retskrav kan fastlægges, gøres gældende eller forsvares, og ved misbrug af vores tjeneste eller angreb på tredjeparter (Art. 6(1)(c) eller (f) GDPR)

Følgende modtager ingen personoplysninger: registrenes RDAP-tjenester, der findes via IANA-fortegnelsen, og, til domænets alder i det gratis tjek, videreformidlingstjenesten rdap.org (kun domænenavne), WPVulnerability på wpvulnerability.net (kun identifikatoren for et plugin uden version, identifikatoren for et tema eller WordPress-versionen), statussiderne for CAPTCHA- og mailtjenester (intet ud over selve forespørgslen), tidsstemplingsmyndighederne Certum og DigiCert (kun hashværdier), DNS-blokeringslisterne SpamCop, PSBL, Mailspike og SURBL (kun domæner og IP-adresser på servere), Google Web Risk, hvis det er sat op (kun forsidens adresse), og de øvrige tilsluttede plugins i sværmbeskyttelsen (kun spamdomæner). Den fuldstændige, ajourførte liste over vores databehandlere med hjemsted og overførselsgrundlag findes under Underdatabehandlere; ændringer meddeler vi kunderne 30 dage i forvejen.

22. Overførsler til tredjelande

Hvis en modtager har hjemsted uden for Det Europæiske Økonomiske Samarbejdsområde, overfører vi kun oplysninger, hvis betingelserne i Art. 44 ff. GDPR er opfyldt:

• USA: på grundlag af Europa-Kommissionens afgørelse om tilstrækkeligheden af beskyttelsesniveauet i henhold til EU-US Data Privacy Framework (gennemførelsesafgørelse (EU) 2023/1795, Art. 45 GDPR), for så vidt modtageren er certificeret i henhold til den. Om Google, Stripe og Namecheap er certificeret for de pågældende tjenester, verificerer vi stadig for denne version, og vi påstår det derfor ikke; hvor der ikke foreligger en certificering, på grundlag af Europa-Kommissionens standardkontraktbestemmelser (gennemførelsesafgørelse (EU) 2021/914, Art. 46(2)(c) GDPR).
• Vores mailtjenesteudbyder: hvor Namecheap, Inc. (Private Email), Phoenix, Arizona, USA behandler oplysningerne, og på hvilket grundlag de eventuelt overføres til et tredjeland, verificerer vi stadig. Den aktuelle status fremgår af siden Underdatabehandlere.
• Chattjenester og webhooks, som du selv vælger: Slack, Discord, Microsoft Teams, Google Chat og webhooks modtager dine alarmer via en adresse, som du genererer på din konto hos den pågældende tjeneste; kontraktforholdet med udbyderen og et eventuelt nødvendigt grundlag for overførslen til et tredjeland er dit ansvar.
• Telegram: destination valgt af kunden; vi sender beskeden via vores bot. Telegram har hjemsted uden for EØS i et land uden tilstrækkelighedsafgørelse, og vi har ikke indgået standardkontraktbestemmelser med Telegram. Vi får i øjeblikket undersøgt, på hvilket grundlag i henhold til Art. 44 ff. GDPR denne overførsel hviler – Art. 49(1)(b) GDPR kommer på tale, fordi du selv vælger kanalen. Vælg kun Telegram, hvis det er tilstrækkeligt for dig; e-mail er altid tilgængelig som alternativ.

Du kan efter anmodning gratis få en kopi af de garantier, som vi baserer en overførsel på, via adressen i afsnit 1. Tilstrækkelighedsafgørelsen og standardkontraktbestemmelserne findes også i Den Europæiske Unions Tidende (eur-lex.europa.eu), og listen over virksomheder, der er certificeret i henhold til Data Privacy Framework, på dataprivacyframework.gov. Vores egne servere står i Polen; oplysninger, som ingen af de nævnte modtagere modtager, forlader ikke EU.

23. Opbevaringsperioder i overblik

Opbevaringsperioderne håndhæves af en natlig kørsel og for webserverloggens vedkommende af dens daglige rotation. Hvor der står »med domænet«, forsvinder oplysningerne straks, når du sletter domænet eller din konto. De forbliver derefter i sikkerhedskopierne i op til 14 dage (afsnit 3.4).

Oplysninger	Slettes
Webserverlog (herunder forespørgsler efter badget)	efter 14 dage
Log over sidevisninger	efter 60 dage
Fejllog	efter 90 dage
Aktivitetslog	efter 365 dage
Loginforsøg; grænser for det gratis tjek og for header-værktøjet	efter 7 dage
Markeringer for mistænkelig adfærd (gratis tjek)	90 dage efter, at sagen er afsluttet
Loggede enheder	90 dage efter sidste brug
»Forbliv logget ind«; konti, der aldrig er bekræftet; accepterede invitationer (ikke-accepterede ved deres udløb)	efter 30 dage
Rapport uden konto, herunder skærmbilleder	efter 30 dage
PDF-version af en rapport i cachen	efter 7 dage
Resultater fra header-værktøjet; tjek af en potentiel kundes website	efter 90 dage
Tjek til en undersøgelse	når resultaterne offentliggøres
Tjekresultater, browsertjek og tidsmålinger for et domæne på kontoen	efter 13 måneder (det seneste tjek, så længe domænet er på kontoen)
Domæne, indstillinger, formularforløb, dokumentationslogs, alarmdestinationer, ægthedsresultat for den seneste formular-e-mail	med domænet
Scriptoversigt og dens ændringer	med domænet (der er ingen særskilt opbevaringsperiode)
Testlogin til tjekket bag et login	når du sletter det, med domænet; kopien, der er knyttet til tjekjobbet, efter kørslen, senest efter én time
Daglige tal og ændringsrapporter fra plugin og udvidelse, formulartællinger	efter 13 måneder
Oplysninger fra et website med pluginnet, der ikke hører til nogen konto	90 dage efter seneste kontakt
Signaler fra sværmbeskyttelsen; samlede notifikationer til daglige og ugentlige rapporter (fra afsendelse)	efter 30 dage
Optælling af API-kald; engangskoder til Telegram	tidligst efter én dag, ved næste kald eller næste kode af denne art
Afsendelseslog for alarmer	efter 90 dage
Tilknytninger fra leveringstjekket; hændelser med kvittering og eskaleringens leveringsforsøg (uløste opbevares)	efter 180 dage, hændelser fra deres løsning
Kopier af formular-e-mails i kontrolpostkassen	efter behandling; ved fejl ved næste vellykkede kørsel
Sendte e-mails	efter 30 dage
Supporthenvendelser	efter 24 måneder
Feedback på en rapport	efter 24 måneder, straks med kontoen; IP-adressens kontrolsum efter 2 dage
IP-adresse, land og browseridentifikator i forbindelse med en opt-out	efter 12 måneder (domænet forbliver udelukket)
Ubekræftede tilmeldinger til den månedlige rapport i kundeportalen	efter 30 dage
Registrering af en opsagt tilmelding	tre år efter afmeldingen
Konto og personlige oplysninger	når du sletter dem
Registrering af kontraktindgåelsen	så længe kontoen findes; efter dens sletning, så snart samtykket er fire år gammelt
Fakturadata	ved udløbet af den skattemæssige opbevaringsperiode
Tilknytninger og provisioner i partnerprogrammet; indløste aktiveringskoder	i øjeblikket ingen fast periode
Eksempel på en fejltype	i øjeblikket uden fast opbevaringsperiode
Sikkerhedskopier af databasen	efter 14 dage
Formularbeskyttelse: forkortet, hashet IP-adresse til genkendelse af gentagne forespørgsler; brugte kontroltokens; kontrolresultater uden IP-adresse og uden tekst (handling, score, begrundelser, domæne); daglige tal uden personhenførbarhed	efter en time; efter højst elleve minutter; efter 30 dage; efter 400 dage

24. Pligt til at give oplysninger

Du har ingen lovbestemt pligt til at give os oplysninger. Til en konto har vi brug for din e-mailadresse, dit fornavn og en adgangskode; uden dem kan der ikke indgås en kontrakt. Til betalte abonnementer har vi brug for faktureringsoplysningerne, til leveringstjekket en kontrolpostkasse, til alarmer en destination. Alle øvrige oplysninger er frivillige. Forbindelsesdataene i logfilerne opstår teknisk ved hver forespørgsel; uden dem kan serveren ikke svare. Hvad der mangler, hvis du ikke oplyser noget, fremgår af afsnittet om den pågældende behandling.

25. Automatiske afgørelser og profilering

Vi træffer ikke afgørelser, der udelukkende er baseret på automatisk behandling, og som har retsvirkning for dig eller på tilsvarende vis betydeligt påvirker dig (Art. 22 GDPR). Vi opretter ikke profiler af enkeltpersoner. Vores vurderinger – risikoniveau, headerkarakter, »beskyttet« i badget – vedrører websites og formularer, ikke personer.

Der kører dog automatisk beskyttelsesmekanismer, som kan afvise enkelte forespørgsler, uden at et menneske ser på dem: reCAPTCHA-vurderingen og vores egen formularbeskyttelse (afsnit 5), grænserne og markeringerne for det gratis tjek (afsnit 6) og spærringen efter for mange loginforsøg (afsnit 8.2). De forhindrer kun den enkelte indsendelse; et afvist forsøg kan gentages senere, og e-mail er fortsat tilgængelig til enhver henvendelse. Hvis du mener, at en afvisning er forkert, så skriv til os; et menneske vil se på sagen. Vi sletter også automatisk konti, der ikke er bekræftet 30 dage efter registreringen.

26. Dine rettigheder

I henhold til GDPR har du følgende rettigheder. For hver af dem angiver vi den hurtigste måde at udøve den på. Medmindre andet er angivet, er en e-mail til contact@lukaswojcik.com tilstrækkelig. Vi svarer uden unødig forsinkelse og under alle omstændigheder senest en måned efter modtagelsen; ved komplekse eller talrige anmodninger kan fristen forlænges med to måneder, og i så fald underretter vi dig om det med begrundelse inden for den første måned (Art. 12(3) GDPR). Det er gratis at udøve dine rettigheder; kun ved åbenbart grundløse eller overdrevne anmodninger kan vi opkræve et rimeligt gebyr eller afvise at efterkomme anmodningen, og vi begrunder det (Art. 12(5) GDPR). For ikke at videregive andres oplysninger kan vi bede dig om at sende anmodningen fra din kontos e-mailadresse; vi beder kun om yderligere dokumentation, hvis vi har rimelig tvivl om din identitet, og kun i det omfang, det er nødvendigt (Art. 12(6) GDPR).

• Indsigt (Art. 15 GDPR): Med en konto downloader du dataeksporten under Indstillinger; den indeholder konto-, arbejdsområde- og domæneoplysninger, dine logins, aktiviteter, supporthenvendelser, sendte e-mails og samtykker. Tjekresultater kan du se som rapporter på kontoen. Fuld indsigt, også i oplysninger, som eksporten ikke indeholder (f.eks. poster i fejlloggen eller i webserverloggen), sammen med oplysningerne i henhold til Art. 15(1) GDPR får du efter anmodning pr. e-mail. Uden konto – f.eks. vedrørende en opt-out, en supporthenvendelse eller en rapport – pr. e-mail med angivelse af det pågældende domæne eller den pågældende adresse og det omtrentlige tidspunkt.
• Berigtigelse (Art. 16): Dit navn, din virksomhed, dit sprog og din e-mailadresse kan du selv ændre under Indstillinger, og din faktureringsadresse og dit momsnummer i Stripes kundeportal under Fakturering; alt andet pr. e-mail.
• Sletning (Art. 17): Din konto, domæner, alarmdestinationer og testlogins kan du selv slette, og API-nøgler kan du selv tilbagekalde (de slettes sammen med kontoen); fra en kundeportals månedlige rapport kan du afmelde dig via linket i hver e-mail. Sletning af en rapport, et skærmbillede eller andre oplysninger kan du anmode om pr. e-mail. Hvad vi af retlige grunde skal opbevare, fremgår af afsnit 8.6.
• Begrænsning af behandling (Art. 18): pr. e-mail, f.eks. hvis du bestrider oplysningernes rigtighed, og vi undersøger det.
• Dataportabilitet (Art. 20): Dataeksporten er en maskinlæsbar JSON-fil, som du selv kan give til en anden udbyder. Læs mere om skift af udbyder under EU's dataforordning: skift af udbyder og dataeksport.
• Indsigelse (Art. 21): se det følgende afsnit.
• Tilbagetrækning af samtykke (Art. 7(3)): Vi baserer ikke vores egen behandling på samtykke. Dit samtykke til en kundeportals månedlige rapport kan du trække tilbage via linket i hver e-mail; tilbagetrækningen har virkning for fremtiden.

For oplysninger, som vi behandler på vegne af en kunde (afsnit 2), er kunden din kontaktperson. Hvis du alligevel skriver til os, videresender vi din anmodning til kunden og hjælper denne med at besvare den. En detaljeret vejledning med alle veje og begrænsninger findes under Indsigt, sletning og dine øvrige rettigheder.

27. Ret til indsigelse i henhold til Art. 21 GDPR

For så vidt vi behandler oplysninger på grundlag af legitime interesser (Art. 6(1)(f) GDPR), kan du til enhver tid af grunde, der vedrører din særlige situation, gøre indsigelse. Vi behandler derefter ikke længere oplysningerne, medmindre vi kan påvise vægtige legitime grunde til behandlingen, der går forud for dine interesser, rettigheder og frihedsrettigheder, eller behandlingen sker med henblik på, at retskrav kan fastlægges, gøres gældende eller forsvares.

Det gælder især vores crawlers tjek af websites (afsnit 7), logfilerne (afsnit 3), reCAPTCHA (afsnit 5), grænserne for det gratis tjek (afsnit 6), påmindelsen om opsætning (afsnit 11), badget (afsnit 12) og sværmbeskyttelsen (afsnit 13).

Indsigelsen er ikke underlagt særlige formkrav; en e-mail til contact@lukaswojcik.com er tilstrækkelig. Som operatør af et website kan du også til enhver tid selv udelukke yderligere tjek via robots.txt eller opt-out-siden. Vi sender ikke reklame pr. e-mail, som der ville kunne gøres indsigelse mod uden begrundelse.

28. Klage til en tilsynsmyndighed

Du kan indgive en klage til en tilsynsmyndighed for databeskyttelse, hvis du mener, at vi behandler dine oplysninger ulovligt (Art. 77 GDPR). Den myndighed, der er kompetent for os, er:

Prezes Urzędu Ochrony Danych Osobowych (formanden for det polske kontor for beskyttelse af personoplysninger, UODO)
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Polen
uodo.gov.pl

Du kan også henvende dig til myndigheden i den medlemsstat, hvor du bor eller arbejder, eller hvor den påståede overtrædelse fandt sted – i Tyskland f.eks. databeskyttelsesmyndigheden i din delstat. Denne myndighed videresender om nødvendigt klagen til den kompetente myndighed. Vi løser gerne et problem direkte med dig forinden; det er ikke en forudsætning.

29. Sikkerhed

Alle forbindelser til vores tjeneste er krypteret med TLS; forbindelser inden for vores interne netværk er ikke gennemgående krypteret. Vi gemmer adgangskoder, API-nøgler og gendannelseskoder kun som hashværdier og hemmeligheder til tofaktorlogin samt testlogins kun i krypteret form. Kundernes oplysninger er adskilt efter arbejdsområde; en rolles rettigheder håndhæves af serveren, ikke kun af brugergrænsefladen. Kun indehaveren har adgang til serverne; crawleren arbejder isoleret og kan ikke tilgå adresser i det interne netværk. Den fulde beskrivelse findes under Tekniske og organisatoriske foranstaltninger. Hvis vi bliver opmærksomme på et brud på persondatasikkerheden, anmelder vi det til tilsynsmyndigheden og om nødvendigt underretter vi dig i overensstemmelse med Art. 33 og 34 GDPR; kunder, på hvis vegne vi handler, informerer vi uden unødig forsinkelse, om muligt inden for 48 timer.

30. Yderligere dokumenter

Denne politik er sammenfatningen for de registrerede. Detaljer findes i fortegnelsen over behandlingsaktiviteter, i listen over underdatabehandlere, i de tekniske og organisatoriske foranstaltninger, i databehandleraftalen, i konsekvensanalysen vedrørende databeskyttelse og under Indsigt, sletning og dine øvrige rettigheder, EU's AI-forordning: Sådan bruger formexposed AI og Tekst til privatlivspolitikken på dit website.

31. Ændringer

Vi opdaterer denne politik, når tjenesten eller retstilstanden ændrer sig, og gør det, før en ny behandling begynder. Den version, der er offentliggjort her, gælder; tidligere versioner og hvad der er ændret, findes under Ændringer i kontraktdokumenterne. Den version, du så ved registreringen, fremgår af din dataeksport. Hvis noget væsentligt ændrer sig i behandlingen af dine oplysninger som kunde, informerer vi dig også pr. e-mail.

Denne politik findes på alle Den Europæiske Unions officielle sprog. I tilfælde af uoverensstemmelser har den polske version forrang.