Acceso, Supresión y sus Demás Derechos

Este documento se publica en varios idiomas. En caso de discrepancia entre las versiones lingüísticas, la versión polaca es vinculante.

Versión 1.0 · Última actualización: 16 de octubre de 2026

Esta página explica cómo ejerce sus derechos conforme al Reglamento General de Protección de Datos (RGPD) frente a formexposed: quién tiene qué datos con nosotros, por qué vía obtiene acceso, una copia, la rectificación o la supresión, qué necesitamos de usted para ello y cuáles son los límites. Complementa la Política de Privacidad, que detalla las finalidades, las bases jurídicas y los plazos de conservación.

1. Quién puede solicitarnos qué

formexposed verifica formularios de contacto en sitios web. Por ello, tratamos con personas muy distintas: clientes con una cuenta, miembros de equipos, operadores de sitios web verificados, visitantes de los sitios web de nuestros clientes y suscriptores de un portal de clientes. No todos nos han dejado los mismos datos, y la posibilidad de atribuirle algo depende de su rol. Las siguientes secciones describen la vía para cada grupo. Cuando actuamos únicamente por cuenta de un Cliente, lo indicamos, porque entonces decide el Cliente, no nosotros. El RGPD protege a las personas físicas. Si el operador de un sitio web es una empresa, esta no tiene derechos propios conforme al RGPD; sí los tienen las personas cuyos datos aparecen en el sitio web. No obstante, respondemos a las empresas conforme a las mismas reglas en lo que concierne a su propio dominio.

2. Las vías de un vistazo

Usted es	Qué podemos tener sobre usted	Vía	Qué necesitamos de usted
Cliente con una cuenta	Cuenta, espacios de trabajo, dominios, configuración, registros, consentimientos, solicitudes de soporte	Por su cuenta en Configuración: exportación y eliminación	Inicio de sesión y su contraseña
Miembro de un equipo	Su propia cuenta; sus entradas en el registro de actividad del espacio de trabajo	Igual que para los clientes; abandonar el espacio de trabajo	Inicio de sesión y contraseña
Persona invitada sin una cuenta	Dirección de correo electrónico y rol en la invitación	Correo electrónico a nosotros o a la persona que le invitó	Un mensaje desde la dirección invitada
Operador de un sitio web verificado	Informes sobre su dominio, entrada de exclusión, datos del plugin sin una cuenta	Página de exclusión, robots.txt, correo electrónico a nosotros	Dominio, enlace al informe; para obtener más que el informe, prueba de que controla el dominio
Persona que aparece en un sitio web verificado	Capturas de pantalla y direcciones de páginas verificadas en las que aparece	Correo electrónico a nosotros (sección 5.3)	Dominio y hora aproximada, y el enlace al informe si está disponible
Visitante de un sitio web de un cliente	Casi siempre nada que se le pueda atribuir (sección 6)	En primer lugar, el operador del sitio web	Sitio web, hora; para la insignia, su dirección IP
Suscriptor de un portal de clientes	Dirección de correo electrónico, idioma, hora e IP de la suscripción, confirmación, baja	Enlace para darse de baja en cada correo electrónico; en los demás casos, la agencia	Un mensaje desde la dirección suscrita

Nuestra dirección para todo lo que no pueda hacer por su cuenta: contact@lukaswojcik.com. También puede ejercer allí cualquier derecho sin utilizar primero las opciones de autoservicio; estas son simplemente la vía más rápida. También están disponibles la página de contacto y la ventana de soporte (signo de interrogación en la navegación).

3. Clientes con una cuenta

3.1 Acceso y copia: la exportación de datos

En Configuración → Sus datos → “Descargar mis datos” recibe inmediatamente un archivo JSON con lo que almacenamos sobre su cuenta. Es la vía más rápida para obtener la copia conforme al art. 15, apartado 3, del RGPD y ejercer la portabilidad de los datos (art. 20). La demás información del art. 15, apartado 1 —finalidades, destinatarios, plazo de conservación, origen y sus derechos— se encuentra en la Política de Privacidad; si lo solicita, la recopilaremos para su caso junto con los datos que la exportación no contiene. La exportación requiere su contraseña y está limitada a tres descargas por hora, porque el archivo contiene direcciones IP y dispositivos, y una sesión abierta en la computadora de otra persona no debería bastar para obtenerlo.

El archivo contiene su cuenta (nombre, dirección de correo electrónico, empresa, plan, último inicio de sesión con dirección IP), sus espacios de trabajo con su rol y, para los espacios de trabajo de los que es propietario, los dominios con su configuración, destinos de alertas, formularios monitoreados, marca, portales de clientes incluidos los suscriptores, intentos de entrega de escalamiento y verificaciones de clientes potenciales; además, sus claves de API (solo prefijo y etiqueta), dispositivos con sesión iniciada, intentos de inicio de sesión, registro de actividad, páginas visitadas, solicitudes de soporte, los correos electrónicos que se le enviaron (sin texto, porque aún pueden contener enlaces válidos) y las versiones de los textos legales que ha aceptado. Si nuestro soporte ha consultado su cuenta mediante “ver como cliente”, eso también se incluye.

Lo que el archivo no contiene: hash de contraseña, secretos de inicio de sesión de dos factores, tokens y claves: son elementos de seguridad, no información. Los datos de otros miembros de sus espacios de trabajo. Las facturas, que se encuentran en el portal de clientes de Stripe, en Facturación. Y los resultados individuales de las verificaciones (hallazgos, capturas de pantalla, incidentes, registro de alertas); puede consultarlos en la cuenta y en los informes, y en el plan Business también mediante la API. Si los desea en un archivo, escríbanos; los recopilaremos dentro del plazo indicado en la sección 9. Encontrará más información en la página Reglamento de Datos de la UE: Cambio de Proveedor y Exportación de Datos.

3.2 Rectificación

Usted mismo cambia su nombre, apellidos, empresa, idioma y dirección de correo electrónico en la configuración; una nueva dirección de correo electrónico solo entra en vigor cuando la confirma mediante el enlace del correo de confirmación. Cambia su dirección de facturación y su número de IVA en el portal de clientes de Stripe, en Facturación. Para todo lo demás, basta con enviarnos un mensaje (art. 16 del RGPD).

3.3 Supresión: dominio, espacio de trabajo, cuenta

Puede eliminar en tres niveles. Cada eliminación surte efecto inmediatamente en la base de datos y no se puede deshacer. Descargue sus datos antes.

Eliminar un dominio (acceso de escritura en el espacio de trabajo): elimina el dominio con todas las verificaciones, incluidos los formularios, hallazgos y capturas de pantalla, los informes (cuyos enlaces dejan de funcionar), trabajos, destinos de alertas, registro de entregas e incidentes, conexiones de Telegram, asignaciones de verificación de entrega, mediciones de pulso, coincidencias de vulnerabilidades y registros de evidencias (incluida su página pública de confirmación), así como los formularios monitoreados con sus pasos de verificación, verificaciones de navegador y mediciones, y las cuentas de prueba cifradas para el escaneo detrás del inicio de sesión. Las cifras diarias del plugin y de la extensión también se eliminan en cuanto ninguna otra cuenta tenga el mismo dominio.
Eliminar un espacio de trabajo (solo el propietario): además, todos los dominios que contiene tal como se describe arriba, la marca incluido el logotipo, los portales de clientes incluidos los suscriptores, los códigos de conexión masiva, las verificaciones de clientes potenciales (sus informes solo vencen al terminar su plazo de hasta 90 días), las invitaciones y las membresías.
Eliminar la cuenta (Configuración, con contraseña): primero termina una suscripción activa en Stripe, inmediatamente y, por regla general, sin reembolso por el resto del periodo pagado (las excepciones se indican en las Condiciones del Servicio); quien desee utilizar primero el resto de ese periodo debe cancelar en el área de Facturación con efecto al finalizar el periodo. Si no se puede terminar la suscripción, la cuenta se conserva para que no continúe una suscripción sin una cuenta. Los espacios de trabajo de los que usted es propietario pasan a otro miembro, primero a los administradores y, entre ellos, al de mayor antigüedad; los espacios de trabajo sin más miembros se eliminan con sus datos. También eliminamos sus membresías, dispositivos con sesión iniciada, el inicio de sesión “Mantener mi sesión iniciada”, sus claves de API incluidos los contadores, los códigos de Telegram abiertos y el propio registro de la cuenta.

Un espacio de trabajo que transfiere a un miembro no se elimina. El trabajo de un equipo no pertenece a la persona que creó el espacio de trabajo. Si quiere que también desaparezcan los dominios que contiene, elimine el espacio de trabajo antes de eliminar su cuenta, o acuerde esto con su equipo.

Sin plazo de conservación propio: El inventario de scripts de un dominio (la lista de scripts observados) y el registro de sus cambios se eliminan con el dominio, incluso cuando este se elimina junto con su espacio de trabajo o su cuenta. No tienen un plazo de conservación propio: se mantienen mientras exista el dominio. Si quiere que se eliminen antes, los eliminaremos cuando nos escriba.

3.4 Qué se conserva después de la eliminación y por qué

Algunas cosas no las eliminamos en ese mismo momento porque cumplen otra finalidad o tienen su propio plazo de conservación. Vencen al finalizar ese plazo y después desaparecen. Si solicita la supresión anticipada de entradas que fundamentamos en intereses legítimos (sobre todo registros y solicitudes de soporte), examinamos el caso individual y las eliminamos, salvo que nuestros motivos prevalezcan sobre los suyos (art. 17, apartado 1, letra c), y art. 21, apartado 1, del RGPD):

Registros: registro de actividad 365 días, registro de acceso a páginas 60 días, registro de errores 90 días, registro del servidor web 14 días, intentos de inicio de sesión 7 días, correos electrónicos enviados 30 días. Sirven para la seguridad y la investigación de abusos. Las entradas del registro de actividad y del registro de acceso a páginas conservan su antiguo número de cuenta, que después de la eliminación ya no remite a ninguna cuenta existente; la propia eliminación queda registrada para poder demostrarla posteriormente.
Solicitudes de soporte: 24 meses, para poder responder a una consulta o reclamación posterior.
Prueba de celebración del contrato: qué versión de las Condiciones del Servicio, del Acuerdo de Tratamiento de Datos y de la Política de Privacidad aceptó y cuándo, con dirección IP e identificación del navegador. Se conserva porque precisamente después de la terminación surge la pregunta de en qué se basaba el contrato (art. 5, apartado 2, y art. 17, apartado 3, letra e), del RGPD), y se elimina cuando la cuenta ya no existe y el consentimiento tiene más de cuatro años.
Facturas y operaciones de pago están en poder de Stripe y están sujetas a la conservación fiscal (en Polonia, cinco años desde el final del año en que el impuesto se hizo exigible, art. 17, apartado 3, letra b), del RGPD).
Copias de seguridad: Los datos eliminados permanecen en las copias de seguridad de la base de datos hasta que estas se sobrescriben de forma ordinaria después de 14 días. No restauramos una copia de seguridad para recuperar datos eliminados.

4. Miembros de equipos y personas invitadas

Como miembro del espacio de trabajo de otra persona, usted tiene su propia cuenta con las mismas herramientas de la sección 3: exportación, rectificación y supresión. Su exportación contiene sus membresías, pero no los dominios de espacios de trabajo que pertenecen a otras personas: su propietario es responsable de ellos. Puede abandonar un espacio de trabajo en cualquier momento; el propietario puede eliminar su membresía. Lo que hizo en el espacio de trabajo se registra en el registro de actividad y vence después de 365 días. Si dejó un nombre o una dirección de correo electrónico como persona que confirma la recepción de un incidente o como destinatario de una alerta, el propietario del espacio de trabajo administra esos datos; nosotros actuamos por cuenta del propietario y le remitimos cualquier solicitud.

Si recibió una invitación sin crear una cuenta, almacenamos su dirección de correo electrónico y el rol previsto hasta que la invitación vence después de 14 días; la ejecución nocturna la elimina entonces. Eliminamos una invitación aceptada 30 días después de su aceptación. Si desea que una invitación abierta desaparezca inmediatamente, escríbanos desde la dirección invitada.

5. Operadores de sitios web verificados sin una cuenta

5.1 Qué podemos tener sobre su dominio

Informes de la verificación gratuita: direcciones de las páginas verificadas, estructura de los formularios (sin valores), medidas de protección detectadas y capturas de pantalla, que no se censuran. Se eliminan después de 30 días.
Verificaciones de su sitio web como cliente potencial por una agencia: 90 días. Verificaciones para un estudio: hasta su publicación, que contiene únicamente cifras agregadas sin los nombres de los sitios web.
Una entrada de exclusión, si alguien ha excluido su dominio: dominio y motivo de forma permanente; dirección IP, país e identificación del navegador de la persona que realiza la entrada durante 12 meses.
Datos del plugin sin una cuenta: Si nuestro plugin de WordPress o la extensión de TYPO3 funciona sin conexión con una cuenta, conocemos el host y las versiones; eliminamos las cifras diarias de un host sin una cuenta cada noche, y el host 90 días después del último contacto.

Estos datos se convierten en datos personales sobre todo cuando se puede ver a una persona en una página verificada o en una captura de pantalla, por ejemplo el nombre de una persona de contacto junto al formulario.

5.2 Oposición: poner fin a las verificaciones

La vía más rápida es robots.txt (User-agent: FormExposedBot / Disallow: /) o la página de exclusión. Ambas surten efecto inmediatamente, sin pruebas, tanto para las verificaciones anónimas como para las de los clientes, incluso si un cliente ha verificado el dominio; el monitoreo en curso termina con la siguiente verificación programada. La exclusión se aplica al dominio y a su variante www, no a otros subdominios; solo nosotros podemos levantarla, previa solicitud y presentación de una prueba. robots.txt surte efecto si Disallow cubre la página de inicio. La exclusión impide verificaciones futuras; no elimina los informes existentes, que vencen al finalizar su plazo de conservación. Encontrará más información sobre el rastreador en la página FormExposedBot.

5.3 Solicitar la eliminación anticipada de un informe

Envíenos el enlace al informe. Cualquier persona que tenga el enlace puede leer el informe de todos modos; por ello, no exigimos ninguna prueba adicional para eliminarlo. Si no tiene el enlace, indique el dominio y la hora aproximada, y lo buscaremos.

Proceda del mismo modo si usted, como persona, aparece en una página verificada o en una captura de pantalla, por ejemplo como persona de contacto junto a un formulario, y solicita acceso o supresión. Si la verificación pertenece a un dominio sobre el que un cliente ha aportado una prueba de control, actuamos por cuenta de ese cliente; en ese caso remitimos su solicitud al cliente y se lo comunicamos.

5.4 Acceso a la información sobre un dominio y prueba de control

Quien solicita todo lo que tenemos sobre un dominio recibe datos a los que el enlace al informe por sí solo no da acceso. Antes de entregarlos, pedimos una prueba de que controla el dominio mediante uno de los métodos que también exigimos a los clientes: un registro TXT en el DNS bajo _formexposed.<your-domain> o un archivo en /.well-known/formexposed-verify.txt, en cada caso con un valor que especificamos. Como alternativa, basta con un mensaje desde una dirección del mismo dominio indicada en el aviso legal del sitio web. Sin prueba, solo confirmamos si el dominio está excluido.

Lo que no entregamos: quién inició una verificación: su dirección IP es un dato de esa persona, no de usted, y se elimina después de siete días, salvo que se haya registrado para prevenir abusos debido a un número de verificaciones inusualmente elevado. Si un cliente tiene su dominio en su cuenta, le comunicamos que así es y, si lo desea, remitimos su solicitud. Si el cliente ha aportado una prueba de control del dominio, actuamos por su cuenta, y solo él entrega sus resultados. Si no existe tal prueba, nosotros mismos somos responsables del tratamiento; en ese caso le indicamos el nombre del cliente como destinatario, en la medida en que usted lo solicite y no prevalezcan los intereses legítimos del cliente (art. 15, apartado 1, letra c), y apartado 4, del RGPD). Los envíos de prueba de los clientes solo llegan a dominios sobre los que el cliente ha aportado una prueba de control (internamente, de este modo solo verificamos nuestros propios dominios de prueba y demostración); si considera que falta esa prueba, comuníquenoslo.

6. Visitantes de los sitios web de nuestros clientes

El operador de un sitio web de terceros es responsable de sus datos en ese sitio web. El operador tiene el original de su mensaje. Nosotros trabajamos por cuenta del operador y, por regla general, no vemos nada que le identifique. En detalle:

Verificación de entrega: Si el operador la ha configurado, una copia oculta del correo del formulario llega a nuestro buzón de control. Se lee automáticamente en la siguiente recuperación (encabezados y, como máximo, los primeros 8 KB), se asigna y se elimina; la recuperación normalmente se ejecuta cada pocos minutos y, en caso de fallas, un correo puede permanecer hasta la siguiente ejecución correcta. En nuestra base de datos solo quedan la hora y la asignación al dominio y, en el dominio, el resultado técnico de la verificación de autenticidad del correo más reciente (SPF, DKIM, DMARC, dirección IP del servidor de correo remitente), que el siguiente correo sobrescribe: ni el contenido ni la dirección completa del remitente. El resultado de autenticidad contiene el dominio de correo del remitente, como el de su proveedor de correo electrónico; solo se menciona en una alerta al operador si no pertenece al sitio web. Por ello, después del procesamiento ya no podemos encontrar su mensaje y no hay nada que podamos atribuirle y entregarle.
Insignia: Si su navegador carga la imagen de la insignia, su dirección IP junto con la hora, la identificación del navegador y la página de referencia se conserva en el registro de nuestro servidor web durante 14 días; la insignia no instala cookies. Si nos proporciona su dirección IP y la hora aproximada dentro de estos 14 días, comprobaremos si hay entradas y las eliminaremos si lo solicita. Sin una dirección IP no se puede atribuir una entrada a nadie.
Plugin de WordPress y extensión de TYPO3: la cuarentena, el rescate de correos y los registros permanecen en el sitio web del operador. Lo que nos llega son las cifras diarias, el inventario de plugins y, en el caso de un plugin de WordPress conectado, los dominios de los enlaces de mensajes bloqueados para la protección colectiva (activada de forma predeterminada), pero ningún otro contenido, ni direcciones, nombres o direcciones IP de los visitantes. Aquí solo puede ayudarle el operador.

Por tanto, comuníquese primero con el operador. Si no puede localizarlo, escríbanos con el sitio web y la hora; remitiremos la solicitud en la medida en que podamos identificar al operador. No podemos decidir sobre ella, porque ese derecho corresponde al operador.

7. Suscriptores de un portal de clientes

Una agencia ofrece el informe mensual de un portal de clientes bajo su propio nombre; la agencia es la responsable del tratamiento y nosotros actuamos por su cuenta. Puede darse de baja en cualquier momento mediante el enlace de cada correo electrónico, de inmediato y sin iniciar sesión. Después conservamos el registro de su suscripción (dirección, idioma, hora y dirección IP de la suscripción, confirmación, baja) durante otros tres años para que la agencia pueda demostrar que usted había dado su consentimiento; si la agencia elimina su espacio de trabajo, incluso junto con su cuenta si no hay nadie más en él, desaparece antes. Si solo revoca el portal, el registro permanece almacenado. Eliminamos una suscripción no confirmada después de 30 días. Debe solicitar el acceso y la supresión anticipada a la agencia; si nos escribe desde la dirección suscrita, se lo remitiremos a la agencia.

8. Oposición, limitación y retirada del consentimiento

Oposición (art. 21 del RGPD): al tratamiento basado en intereses legítimos, por ejemplo los registros o la verificación de su sitio web. Entonces dejamos de tratar esos datos, salvo que demostremos motivos legítimos imperiosos que prevalezcan sobre sus intereses o los necesitemos para reclamaciones legales; le informaremos del resultado. Para las verificaciones, la exclusión es la vía directa (sección 5.2). Puede darse de baja del informe mensual de su cuenta en la configuración. El recordatorio después del registro se envía como máximo una vez y nunca más después de eso.
Limitación (art. 18): Si impugna la exactitud de los datos o los necesita para un procedimiento judicial, los bloquearemos a petición suya en lugar de eliminarlos.
Retirada del consentimiento (art. 7, apartado 3): Cuando el tratamiento se basa en su consentimiento —por ejemplo, el informe mensual de un portal de clientes—, la retirada surte efecto hacia el futuro.

9. Plazos, verificación de identidad, costos

Plazo: Respondemos sin dilación indebida y, a más tardar, en el plazo de un mes desde la recepción (art. 12, apartado 3, del RGPD). Si una solicitud es excepcionalmente extensa, el plazo puede ampliarse dos meses; se lo comunicaremos dentro del primer mes, con los motivos. Si no actuamos, le comunicaremos en el plazo de un mes por qué y que puede presentar una reclamación ante una autoridad de control (art. 12, apartado 4).

Identidad: Solo entregamos los datos a la persona a la que pertenecen. En la cuenta, basta con iniciar sesión con su contraseña. Por correo electrónico, respondemos a la dirección que pertenece a la cuenta, la invitación o la suscripción; si escribe desde otra dirección, le pedimos que confirme la solicitud desde la dirección almacenada. Para los dominios se aplica la sección 5.4. Solo pedimos información adicional, como un documento de identidad, si persisten dudas razonables (art. 12, apartado 6), y entonces únicamente la necesaria; en una copia de un documento de identidad puede tachar todo excepto su nombre y fotografía, y la eliminamos después de la verificación. Nunca le pedimos su contraseña.

Costos: ninguno. Solo en el caso de solicitudes manifiestamente infundadas o excesivas podemos cobrar una tarifa razonable o negarnos (art. 12, apartado 5); en ese caso daremos los motivos.

Destinatarios: Si rectificamos, suprimimos o limitamos datos que hemos comunicado a otros, notificamos a esos destinatarios, salvo que resulte imposible o suponga un esfuerzo desproporcionado, y a petición suya le indicamos quiénes son los destinatarios (art. 19 del RGPD).

10. Los límites, expresados claramente

Cuando no almacenamos nada, no podemos entregar nada. Esto afecta principalmente a los visitantes de los sitios web de nuestros clientes. Conforme al art. 11 del RGPD, no recopilamos datos adicionales únicamente para identificarle.
Para los datos tratados por cuenta de un Cliente, decide el Cliente. Apoyamos al Cliente conforme al Acuerdo de Tratamiento de Datos y remitimos las solicitudes, pero no eliminamos nada a espaldas del Cliente.
La supresión es definitiva. No restauramos dominios, verificaciones ni cuentas eliminados, ni siquiera desde una copia de seguridad (sección 3.4).
Lo que estamos obligados a conservar permanece hasta que termina la obligación, sobre todo las facturas y la prueba de celebración del contrato (sección 3.4).

11. Contacto y reclamaciones

Envíe sus solicitudes a contact@lukaswojcik.com, mediante la página de contacto o la ventana de soporte. El responsable del tratamiento es LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland. No hemos designado un delegado de protección de datos.

Puede presentar una reclamación ante cualquier autoridad de control de protección de datos, en particular en el Estado miembro de su residencia habitual, lugar de trabajo o lugar de la supuesta infracción (art. 77 del RGPD). La autoridad competente para nosotros es el Presidente de la Oficina de Protección de Datos Personales (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa, Poland. La forma en que gestionamos las reclamaciones se describe en Reclamaciones.

¿Cómo podemos ayudarle?