Acuerdo de Tratamiento de Datos

Este documento se publica en varios idiomas. En caso de discrepancia entre las versiones lingüísticas, la versión polaca es vinculante.

Versión 2.2 · Última actualización: 29 de octubre de 2026

Acuerdo sobre el tratamiento de datos personales por cuenta de un responsable del tratamiento conforme al art. 28 del Reglamento General de Protección de Datos (RGPD)

entre el Cliente de formexposed como responsable del tratamiento (el «Cliente») y LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, NIP (número de identificación fiscal polaco) 7252266190, como encargado del tratamiento («nosotros»).

Observaciones preliminares: de qué trata este Acuerdo

formexposed verifica la protección de los formularios de contacto de sitios web contra el spam y el abuso, los monitorea e informa de los cambios. Para la mayoría de los datos que se generan durante el proceso, nosotros mismos somos responsables del tratamiento: para la cuenta de cliente, la facturación, la seguridad del Servicio, los registros y las verificaciones sin cuenta. Nuestra Política de Privacidad describe este tratamiento; este Acuerdo no se le aplica.

Sin embargo, algunas funciones incorporan al Servicio datos personales de terceros, y es el Cliente quien decide sobre esos datos: copias de consultas auténticas de visitantes de su sitio web, las direcciones de las personas que reciben sus alertas, las credenciales de una cuenta de prueba, código que nos entrega para trabajar en él. Tratamos estos datos únicamente por cuenta del Cliente. Este Acuerdo se les aplica. El anexo 1 al final de este Acuerdo establece en detalle qué funciones son.

El Acuerdo sigue el art. 28, apartado 3, del RGPD y toma como modelo, en estructura y contenido, las cláusulas contractuales tipo de la Comisión Europea entre responsables y encargados del tratamiento (Decisión de Ejecución (UE) 2021/915). No las adopta literalmente, sino que describe el Servicio real. Cuando detallamos una obligación del art. 28 del RGPD, no debe reducirse el nivel de protección del Reglamento.

§ 1 Objeto, ámbito de aplicación y roles

(1) El objeto de este Acuerdo es el tratamiento de datos personales que realizamos por cuenta del Cliente al prestar el Servicio conforme a nuestras Condiciones del Servicio. El objeto, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y las categorías de interesados se establecen para cada función en el anexo 1.

(2) Este Acuerdo no abarca el tratamiento del que nosotros mismos somos responsables, en particular la cuenta de cliente y los miembros de un espacio de trabajo, el inicio de sesión y la seguridad de la cuenta, la facturación, el soporte, los registros, las copias de seguridad de estos datos propios, la verificación gratuita sin cuenta, las verificaciones de dominios de la cuenta para los que el Cliente aún no ha proporcionado prueba de control, la verificación de clientes potenciales, el estudio, la insignia y lo que transmiten el plugin de WordPress y la extensión de TYPO3: cifras diarias, el inventario de plugins y, para un plugin de WordPress conectado, los dominios de enlaces de mensajes bloqueados para la protección colectiva (activada de forma predeterminada). Más allá de ello, por la forma en que están construidas estas extensiones, estos datos no contienen contenidos, nombres, direcciones ni direcciones IP de visitantes. En cambio, las copias de seguridad, en la medida en que contengan Datos del Cliente, y el acceso a los Datos del Cliente para la operación, la resolución de problemas y la seguridad forman parte del tratamiento por cuenta del Cliente; se les aplican el § 7, apartado 3, y el § 15, apartado 5.

(3) El Cliente es responsable del tratamiento en el sentido del art. 4, punto 7, del RGPD para los datos del anexo 1. Si el propio Cliente actúa como encargado del tratamiento para un tercero, por ejemplo, una agencia para sus clientes, nosotros somos subencargados del tratamiento para esos datos. El Cliente garantiza entonces que este Acuerdo sea compatible con las obligaciones de su propio contrato y nos transmite las instrucciones del tercero únicamente a través de él mismo.

(4) Celebración: el Acuerdo se celebra al registrarse junto con las Condiciones del Servicio, con cada Cliente, incluso si no utiliza ninguna de las funciones del anexo 1. Se celebra electrónicamente; esto satisface el art. 28, apartado 9, del RGPD. Para ello almacenamos la versión mostrada, su suma de comprobación y la hora, la dirección IP y el identificador del navegador de la aceptación.

§ 2 Definiciones

Los términos como «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento» y «violación de seguridad de los datos personales» tienen el significado del art. 4 del RGPD. Además:

Datos del Cliente son los datos personales que tratamos por cuenta del Cliente conforme al anexo 1.
Subencargado del tratamiento es otro encargado del tratamiento que contratamos y que trata Datos del Cliente al hacerlo (art. 28, apartados 2 y 4, del RGPD).
Espacio de trabajo es el área del Servicio en la que un Cliente gestiona sus dominios, configuración y miembros. Todos los Datos del Cliente se asignan a un espacio de trabajo.
Forma textual es cualquier declaración legible en un soporte duradero, en particular un correo electrónico.
Días significa días naturales. Si el final de un plazo cae en sábado, domingo o festivo en Polonia, termina el siguiente día hábil.

§ 3 Duración

(1) El Acuerdo se aplica mientras tratemos Datos del Cliente. Comienza con el registro y no termina por el mero hecho de que termine un plan de pago: después de la cancelación, la cuenta continúa como cuenta gratuita y con ella, cuando corresponda, los Datos del Cliente. Termina cuando la cuenta se ha eliminado y ya no conservamos ningún Dato del Cliente de ese Cliente, excepto en copias de seguridad hasta que venzan (§ 15).

(2) Las obligaciones que por su naturaleza continúan surtiendo efecto subsisten después de la terminación, en particular la confidencialidad, la supresión, la prueba y la responsabilidad.

(3) Se excluye la terminación ordinaria únicamente de este Acuerdo, porque sin él no podrían tratarse Datos del Cliente mientras exista la cuenta. Si el Cliente desea terminarlo, elimina su cuenta (§ 15, apartado 3). Los derechos de terminación del § 9, apartado 3, y del § 16 y los derechos de terminación conforme a las Condiciones del Servicio no se ven afectados.

§ 4 Instrucciones

(1) Tratamos los Datos del Cliente únicamente siguiendo instrucciones documentadas del Cliente, también respecto de una transferencia a un tercer país o a una organización internacional. Esto no se aplica cuando el derecho de la Unión o de un Estado miembro al que estamos sujetos nos exige realizar el tratamiento. En ese caso, informamos al Cliente de ese requisito legal antes del tratamiento, salvo que ese derecho prohíba tal información por razones importantes de interés público (art. 28, apartado 3, segunda frase, letra a), del RGPD).

(2) Las instrucciones del Cliente se documentan de forma exhaustiva en este Acuerdo, en las Condiciones del Servicio y en la configuración que el Cliente realiza en el Servicio. Ejemplos: configurar la verificación de entrega es la instrucción de aceptar y evaluar copias de los correos de formularios; crear un destino de alertas es la instrucción de enviar notificaciones allí; almacenar una cuenta de prueba es la instrucción de iniciar sesión con ella para el escaneo detrás del inicio de sesión. El Servicio está construido de modo que solo haga lo que prevé esta configuración.

(3) El Cliente da instrucciones adicionales en forma textual a contact@lukaswojcik.com o mediante la ventana de soporte. El propietario y los administradores del espacio de trabajo están facultados para dar instrucciones; las instrucciones mediante la configuración del Servicio las da quien esté autorizado por su rol para realizar ese ajuste. El Cliente confirma una instrucción oral en forma textual sin dilación indebida; hasta entonces, podemos esperar para ejecutarla, salvo que la instrucción se refiera a la supresión o limitación de datos. Tratamos una instrucción que exceda el alcance de los servicios acordados como una solicitud de modificación de los servicios; podemos rechazarla o sujetarla a una remuneración que indiquemos previamente en forma textual. No rechazamos por este motivo una instrucción que se refiera a una obligación del RGPD, como una supresión.

(4) Si, a nuestro juicio, una instrucción infringe la ley, informamos al Cliente de inmediato (art. 28, apartado 3, segundo párrafo, del RGPD). Podemos suspender su ejecución hasta que el Cliente confirme o modifique la instrucción. No ejecutamos una instrucción manifiestamente ilícita. No estamos obligados a realizar una revisión jurídica exhaustiva de cada instrucción; la responsabilidad de su licitud sigue correspondiendo al Cliente.

§ 5 Limitación de la finalidad y lo que no hacemos con los Datos del Cliente

(1) Tratamos los Datos del Cliente únicamente para las finalidades del anexo 1 y solo en la medida en que lo requiera la función correspondiente.

(2) No utilizamos los Datos del Cliente para fines propios. En particular, no los analizamos con fines publicitarios, no los vendemos, no los combinamos con datos de otros clientes para formar perfiles ni los utilizamos para entrenar modelos de lenguaje. El modelo de lenguaje que ayuda en funciones individuales funciona en nuestro propio servidor; no se envía nada a un servicio externo de IA.

(3) El Cliente nos permite elaborar a partir de los Datos del Cliente cifras agregadas que ya no puedan atribuirse a ninguna persona, cliente o dominio, por ejemplo, sobre entregas, errores o resultados de verificaciones. La agregación constituye tratamiento conforme a este Acuerdo; las cifras resultantes dejan de ser datos personales y Datos del Cliente. No intentamos volver a identificar personas a partir de ellas.

§ 6 Obligaciones del Cliente

(1) El Cliente es responsable de la licitud del tratamiento que nos instruye realizar. Esto incluye contar con una base jurídica para ello e informar a los interesados conforme a los arts. 13 y 14 del RGPD.

(2) Si el Cliente utiliza la verificación de entrega, informa a los visitantes de su sitio web en su política de privacidad que se nos envía una copia del correo del formulario. El Servicio muestra un texto sugerido para ello en la página del dominio; hay otros bloques de texto disponibles en Texto de Política de Privacidad para su Sitio Web. La sugerencia no sustituye la evaluación propia del Cliente.

(3) Para el escaneo detrás del inicio de sesión, el Cliente crea una cuenta de prueba dedicada que solo tiene los derechos necesarios para leer las páginas indicadas y que no muestra datos reales de clientes, pacientes, miembros o empleados. No almacena credenciales de inicio de sesión de una persona real ni credenciales que no esté autorizado a utilizar. Las reglas de uso también se establecen en Uso Aceptable y Abuso.

(4) El Cliente no hace tratar mediante el Servicio categorías especiales de datos personales (art. 9 del RGPD) ni datos relativos a condenas penales (art. 10 del RGPD), en la medida en que pueda evitarlo. Al utilizar «Fix it for me», no pega código que contenga datos personales reales, y solo crea portales de clientes para personas que hayan solicitado el informe.

(5) Portales de clientes: para el informe mensual a suscriptores, el Cliente, habitualmente una agencia, es responsable del tratamiento. El Servicio obtiene la confirmación de cada suscriptor mediante un enlace de confirmación (doble confirmación) y ofrece la baja en cada correo electrónico. Corresponde al Cliente evaluar si el consentimiento abarca el contenido del informe.

(6) Si el Cliente detecta errores o irregularidades en el tratamiento, nos informa sin dilación indebida.

(7) Si el Cliente incorpora la insignia, esto no constituye tratamiento por su cuenta; nuestra Política de Privacidad describe el tratamiento correspondiente. El Cliente lo menciona en su política de privacidad.

§ 7 Confidencialidad

(1) Solo concedemos acceso a los Datos del Cliente a personas que los necesitan para sus tareas y que se han comprometido a la confidencialidad o están sujetas a una obligación legal de confidencialidad adecuada (art. 28, apartado 3, segunda frase, letra b), del RGPD). El compromiso continúa después de que termine su trabajo.

(2) Actualmente, el propietario opera el Servicio personalmente. Si se incorporan otras personas, quedan sujetas a confidencialidad y reciben instrucciones sobre el manejo de datos personales antes de acceder por primera vez.

(3) Solo examinamos un espacio de trabajo en la medida en que sea necesario para la operación, la resolución de problemas, el soporte o la prevención del abuso. La función de soporte «ver como cliente» está limitada a una hora, bloquea los cambios de contraseña, dirección, segundo factor, suscripción, exportación y eliminación, y se registra; el Cliente ve el acceso en su exportación de datos.

§ 8 Seguridad del tratamiento

(1) Adoptamos las medidas técnicas y organizativas del art. 32 del RGPD que garantizan un nivel de seguridad adecuado al riesgo. Se describen en la página Medidas Técnicas y Organizativas. Esa página forma parte de este Acuerdo (anexo 2) en la versión publicada allí en cada momento pertinente. El Cliente pudo consultar la descripción antes de celebrar el Acuerdo. El Cliente evalúa bajo su propia responsabilidad si las medidas ofrecen un nivel de seguridad adecuado para el tratamiento que nos encomienda (art. 28, apartado 1, del RGPD), en particular antes de activar una función del anexo 1.

(2) La página describe únicamente medidas que efectivamente se han implementado. Todo lo previsto pero aún no implementado se indica expresamente allí como «previsto» y no forma parte de las medidas a las que nos comprometemos hasta que se haya implementado.

(3) Podemos adaptar las medidas al progreso técnico y al desarrollo del Servicio mientras no disminuya el nivel global de protección. Publicamos cada cambio con un nuevo número de versión y fecha en la página y en el resumen Cambios en los Documentos Contractuales. Si un cambio elimina sin sustitución una medida descrita anteriormente o la debilita, también notificamos al Cliente en forma textual al menos 30 días antes; el Cliente puede entonces oponerse como en el caso de un nuevo subencargado del tratamiento (§ 9, apartado 3). Si una medida debe sustituirse con poca anticipación para contrarrestar una amenaza, puede hacerse sin previo aviso siempre que no disminuya por ello el nivel de protección; la notificación se realiza después sin dilación indebida.

§ 9 Subencargados del tratamiento

(1) El Cliente nos otorga una autorización general por escrito para contratar subencargados del tratamiento (art. 28, apartado 2, del RGPD). Los subencargados que contratamos actualmente, con su domicilio social, finalidad, datos, lugar de tratamiento y base de cualquier transferencia a un tercer país, se enumeran en la página Subencargados del Tratamiento. Esa lista forma parte de este Acuerdo (anexo 3) en la versión publicada allí. Se considera otorgada la autorización para los subencargados mencionados allí.

(2) Informamos al Cliente de cualquier incorporación o sustitución prevista de un subencargado al menos 30 días antes por correo electrónico a la dirección del titular de la cuenta. El aviso identifica al subencargado, su domicilio social, la función correspondiente, los datos, el lugar de tratamiento y la base de cualquier transferencia. Al mismo tiempo, el cambio anunciado se muestra en la página de subencargados y en el resumen de cambios.

(3) El Cliente puede oponerse en forma textual dentro de esos 30 días si tiene un motivo objetivo relacionado con la protección de datos; indica el motivo en la oposición. Buscamos entonces una solución junto con el Cliente, por ejemplo, continuando la función correspondiente para el Cliente sin el nuevo subencargado o desactivándola. Hasta que se encuentre una solución, no utilizamos al nuevo subencargado para los Datos del Cliente de este Cliente; si esto no es técnicamente posible, se suspende para el Cliente la función correspondiente. Si no se encuentra una solución, el Cliente puede terminar el contrato del Servicio o del servicio afectado con efectos a partir de la fecha del cambio y, si le informamos solo después de esa fecha que no es posible una solución, con efecto inmediato dentro de los 14 días siguientes a ese aviso. Por un periodo pagado por anticipado que ya no pueda utilizar como consecuencia, reembolsamos el importe proporcional. Nuestro derecho de terminación ordinaria conforme a las Condiciones del Servicio no se ve afectado.

(4) Imponemos por contrato a cada subencargado las mismas obligaciones de protección de datos que este Acuerdo nos impone a nosotros, en particular garantías suficientes para implementar medidas técnicas y organizativas adecuadas (art. 28, apartado 4, primera frase, del RGPD). Seleccionamos cuidadosamente a cada subencargado y comprobamos si existen estas garantías antes de contratarlo, de nuevo si modifica sustancialmente sus condiciones y, en los demás casos, en la revisión anual de nuestras medidas. Cuando un subencargado aporta pruebas únicamente en forma de certificado, informe de auditoría o sus condiciones publicadas, basamos nuestra comprobación en esas pruebas si son actuales y significativas. Previa solicitud, enviamos al Cliente una copia del contrato con el subencargado o de sus condiciones de protección de datos; podemos ocultar previamente secretos comerciales y otra información confidencial, como precios.

(5) Si un subencargado incumple sus obligaciones de protección de datos, seguimos respondiendo ante el Cliente por el cumplimiento de sus obligaciones como por nuestra propia conducta (art. 28, apartado 4, segunda frase, del RGPD). Nuestra selección de un subencargado no traslada ninguna responsabilidad al Cliente. Si un subencargado incumple sus obligaciones contractuales y esto afecta a los Datos del Cliente de este Cliente, informamos al Cliente sin dilación indebida. Si hemos desaparecido de hecho, dejado de existir jurídicamente o devenido insolventes sin que un sucesor jurídico asuma nuestras obligaciones, el Cliente debe poder exigir al subencargado que suprima o devuelva los Datos del Cliente; lo acordamos con cada subencargado en la medida en que lo permita (véase la cláusula 7.7, letra e), de las cláusulas contractuales tipo 2021/915).

(6) No son subencargados del tratamiento los destinatarios a los que se envían datos únicamente porque el propio Cliente los configura como destino en el Servicio: servicios de chat (como Slack, Discord, Microsoft Teams, Google Chat) y direcciones de webhooks para alertas. Configurar el destino es la instrucción de enviar la notificación allí; la relación contractual con estos proveedores y cualquier base necesaria para una transferencia a un tercer país son responsabilidad del Cliente. Nuestras propias obligaciones conforme a este Acuerdo hasta el momento de la entrega de la notificación no se ven afectadas. Telegram también es un destino elegido por el Cliente, pero funciona de manera diferente: enviamos el mensaje mediante nuestro propio bot al chat que el propio destinatario ha vinculado con el bot, y Telegram lo trata fuera del Espacio Económico Europeo. Al elegir Telegram, el Cliente nos instruye expresamente para transferir las notificaciones allí (art. 28, apartado 3, segunda frase, letra a), del RGPD); si Telegram tuviera que clasificarse como nuestro subencargado del tratamiento en este ámbito, la elección de este destino se considera al mismo tiempo una autorización específica conforme al art. 28, apartado 2, del RGPD para este fin. La base del capítulo V del RGPD sobre la que se realiza esta transferencia aún no se ha determinado definitivamente; quien desee evitar una transferencia sin una base definida elige otro destino. Tampoco son subencargados los prestadores de servicios que se limitan a transmitir datos, como nuestro proveedor de acceso a internet.

(7) Operamos por nuestra cuenta en Polonia los servidores, la base de datos y la capacidad de cómputo, también para el modelo de lenguaje. No interviene ningún proveedor de alojamiento ni de nube.

§ 10 Transferencias a terceros países

(1) Nuestros propios servidores en los que tratamos Datos del Cliente están ubicados en Polonia; cuando un subencargado trata Datos del Cliente, el anexo 3 indica la ubicación. Una transferencia a un país fuera del Espacio Económico Europeo solo tiene lugar si se cumplen las condiciones de los arts. 44 a 49 del RGPD, y únicamente por instrucciones del Cliente conforme al § 4 o a un subencargado autorizado conforme al § 9.

(2) La base para cada subencargado (una decisión de adecuación, como la del Marco de Privacidad de Datos UE-EE. UU. para destinatarios certificados, o cláusulas contractuales tipo conforme al art. 46, apartado 2, letra c), del RGPD) se indica en la lista de subencargados. Cuando la lista indica «por verificar» para un destinatario, no se le envían Datos del Cliente hasta que se haya documentado la base. Si contratamos a un subencargado fuera del Espacio Económico Europeo sin que se aplique una decisión de adecuación, acordamos con él las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 (módulo 3: encargado a encargado), evaluamos previamente si la legislación y la práctica del país de destino permiten cumplirlas, adoptamos las medidas complementarias necesarias y registramos el resultado. El Cliente recibe un resumen de esta evaluación previa solicitud.

(3) Para las transferencias a destinos elegidos por el propio Cliente (§ 9, apartado 6), el Cliente es responsable de la base.

§ 11 Asistencia con los derechos de los interesados

(1) Teniendo en cuenta la naturaleza del tratamiento, ayudamos al Cliente mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, a responder a las solicitudes de los interesados conforme al capítulo III del RGPD (art. 28, apartado 3, segunda frase, letra e), del RGPD).

(2) El Cliente puede hacer gran parte de ello por sí mismo en el Servicio: cambiar o eliminar destinos de alertas, credenciales de prueba y su propia marca; cambiar o desactivar recorridos de formularios; revocar portales de clientes (sus suscriptores permanecen almacenados hasta que se elimina el espacio de trabajo); eliminar un dominio junto con sus datos; descargar una exportación de datos. Cuando esto no basta, ayudamos previa solicitud en forma textual.

(3) Si un interesado se comunica con nosotros con una solicitud relativa a Datos del Cliente, no la respondemos sobre el fondo nosotros mismos, sino que la remitimos al Cliente sin dilación indebida y a más tardar siete días después de su recepción, en la medida en que podamos identificar al Cliente, e informamos a la persona de que lo hemos hecho. Si no podemos identificar al Cliente, indicamos a la persona qué información necesitamos para encontrarlo.

(4) Indicamos abiertamente una limitación: no almacenamos en la base de datos copias de los correos de formularios de la verificación de entrega, y el correo se elimina del buzón después de procesarse correctamente, o con retraso en caso de un error de recuperación o eliminación. Por tanto, respecto de un visitante concreto, normalmente solo podemos decir que ya no conservamos ningún contenido.

(5) Si tenemos conocimiento de que los Datos del Cliente son inexactos o están desactualizados, informamos al Cliente sin dilación indebida. El Cliente puede entonces rectificarlos, suprimirlos o limitar su tratamiento por sí mismo en el Servicio o mediante una instrucción a nosotros.

§ 12 Asistencia con la seguridad, la evaluación de impacto y la consulta

(1) Teniendo en cuenta la naturaleza del tratamiento y la información a nuestra disposición, ayudamos al Cliente a cumplir sus obligaciones conforme a los arts. 32 a 36 del RGPD: seguridad del tratamiento, notificación y comunicación de violaciones de seguridad, evaluación de impacto relativa a la protección de datos y consulta previa a la autoridad de control (art. 28, apartado 3, segunda frase, letra f), del RGPD).

(2) Para ello proporcionamos, en particular, la descripción de las medidas, la lista de subencargados y, previa solicitud, más información sobre los flujos de datos y los plazos de conservación. Publicamos nuestra propia evaluación de los riesgos del Servicio en la Evaluación de Impacto relativa a la Protección de Datos; el Cliente puede utilizarla para su propia evaluación.

(3) Por la asistencia de los §§ 11 y 12 que el Cliente no pueda prestarse por sí mismo mediante las funciones del Servicio o los documentos publicados, que requiera más de cuatro horas de trabajo por año natural y que no se deba a un incumplimiento de este Acuerdo o del RGPD por nuestra parte, podemos cobrar una remuneración por el tiempo excedente conforme a una tarifa por hora que indiquemos previamente en forma textual. La remisión de solicitudes y la notificación de violaciones de seguridad son siempre gratuitas. No condicionamos la asistencia legalmente debida al pago ni a un acuerdo sobre la remuneración.

§ 13 Violaciones de seguridad de los datos personales

(1) Si tenemos conocimiento de una violación de seguridad de los datos personales que afecte a los Datos del Cliente de este Cliente, notificamos al Cliente sin dilación indebida, de ser posible dentro de las 48 horas, por correo electrónico a la dirección del titular de la cuenta (art. 33, apartado 2, del RGPD). Con ello se pretende no acortar el plazo de 72 horas que el Cliente debe observar frente a la autoridad de control. Tenemos conocimiento de una violación en cuanto hemos establecido con un grado razonable de certeza que un incidente de seguridad afecta a los Datos del Cliente de este Cliente; investigamos cualquier sospecha sin dilación indebida. Lo mismo se aplica a una violación en un subencargado en cuanto nos la notifica.

(2) La notificación contiene, en la medida en que se conozca, la información del art. 33, apartado 3, del RGPD: la naturaleza de la violación, incluida la hora o el periodo en que ocurrió, cuando sea posible con las categorías y el número aproximado de interesados y registros afectados, un punto de contacto para obtener más información, las consecuencias probables y las medidas adoptadas o propuestas. Lo que aún no se haya determinado en el momento de la primera notificación lo proporcionamos sin más dilación indebida.

(3) Adoptamos de inmediato las medidas necesarias para subsanar la violación y mitigar sus consecuencias, y acordamos los pasos adicionales con el Cliente. Documentamos cada violación con los hechos, sus efectos y las medidas correctivas adoptadas, y ponemos la documentación a disposición del Cliente previa solicitud.

(4) El Cliente realiza la notificación a la autoridad de control o la comunicación a los interesados. Nosotros solo lo hacemos por sus instrucciones.

(5) Recibimos notificaciones de vulnerabilidades de seguridad que terceros encuentren en el Servicio en Seguridad.

(6) Una notificación y nuestra colaboración conforme a esta sección no constituyen un reconocimiento de un incumplimiento de obligaciones ni de responsabilidad. Si una violación también afecta a datos de los que nosotros mismos somos responsables del tratamiento, cumplimos nuestras propias obligaciones de los arts. 33 y 34 del RGPD para esos datos; al hacerlo, solo revelamos los Datos del Cliente de este Cliente en la medida necesaria para ese fin.

§ 14 Pruebas y auditorías

(1) Ponemos a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 del RGPD y permitimos y contribuimos a auditorías, incluidas inspecciones, realizadas por el Cliente o un auditor designado por él (art. 28, apartado 3, segunda frase, letra h), del RGPD).

(2) Demostramos el cumplimiento principalmente mediante documentos: la descripción de las medidas, la lista de subencargados, el Registro de Actividades de Tratamiento que abarca el tratamiento por cuenta de clientes (art. 30, apartado 2, del RGPD), respuestas escritas a cuestionarios y, previa solicitud, extractos de registros o de los resultados de la prueba de restauración. Respondemos a los cuestionarios dentro de los 30 días siguientes a su recepción y, cuando existe un motivo del apartado 4, con la rapidez que ese motivo requiera. Actualmente no existen informes de auditoría externos ni certificaciones; lo indicamos para que nadie suponga que existen.

(3) Si los documentos no son suficientes, el Cliente puede solicitar una auditoría, también presencial. El Cliente anuncia una auditoría rutinaria al menos 30 días antes en forma textual, indicando su objeto, duración prevista y auditor; se realiza durante el horario laboral normal en Polonia y se programa de modo que no se interrumpa innecesariamente la operación. Las auditorías rutinarias presenciales se realizan como máximo una vez por año natural; el apartado 4 no se ve afectado.

(4) Sin plazo fijo de espera cuando existe un motivo urgente. En caso de una violación de seguridad de los datos personales, cuando existen indicios concretos de un incumplimiento de este Acuerdo o del RGPD y cuando una autoridad de control solicita una auditoría, no se aplica ni el plazo de aviso de 30 días ni el límite de una auditoría al año. La auditoría se realiza entonces tan pronto como lo requiera el motivo y sea organizativamente posible.

(5) El Cliente puede designar un auditor sujeto a confidencialidad que no ofrezca un servicio comparable a formexposed ni trabaje para un proveedor de ese tipo. Podemos exigir que los auditores no se lleven ni registren secretos de otros clientes, credenciales de inicio de sesión o detalles de seguridad. El Cliente y su auditor tratan como confidencial lo que conozcan sobre nuestra operación durante una auditoría y lo utilizan únicamente para verificar el cumplimiento de este Acuerdo y del RGPD; pueden revelarlo a la autoridad de control competente, a asesores sujetos a confidencialidad y en la medida exigida por la ley. Tales acuerdos no deben frustrar los derechos legales de auditoría.

(6) Cada parte asume sus propios costos de una auditoría. Si nuestro trabajo total para las auditorías y los cuestionarios de un Cliente supera ocho horas por año natural, podemos cobrar una remuneración por el tiempo excedente conforme a una tarifa por hora que indiquemos previamente en forma textual, pero no si la auditoría revela un incumplimiento por nuestra parte o se realiza por un motivo del apartado 4 del que seamos responsables. No condicionamos la auditoría en sí al pago.

(7) Las facultades de las autoridades de control no se ven afectadas. La autoridad de control competente para nosotros es el Presidente de la Oficina de Protección de Datos Personales (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa. Ambas partes ponen a disposición de la autoridad de control competente, previa solicitud, la información de esta sección, incluidos los resultados de las auditorías.

§ 15 Supresión y devolución

(1) Durante la vigencia, se aplican los plazos de conservación del anexo 1. Se aplican mediante una ejecución nocturna que elimina conforme a la misma configuración que también aparece en los textos.

(2) Elección entre devolución y supresión. Después del final del tratamiento, el Cliente decide si devolvemos o suprimimos los Datos del Cliente (art. 28, apartado 3, segunda frase, letra g), del RGPD). La devolución se realiza mediante la exportación de datos, que el propio Cliente puede descargar en la configuración como archivo legible por máquina, o la realizamos nosotros previa solicitud en forma textual dentro de 30 días, en cuyo caso también abarca los Datos del Cliente no incluidos en la exportación, en la medida en que puedan devolverse (apartado 4). La supresión se realiza eliminando un dominio, lo que elimina sus datos, o eliminando la cuenta, lo que inicia el propio Cliente. Si el Cliente desea tanto la devolución como la supresión, primero descarga la exportación y después elimina.

(3) Si el Cliente no elige y elimina su cuenta, esto cuenta como elección de la supresión. Cuando se elimina la cuenta, los espacios de trabajo de los que el Cliente es el único propietario se eliminan de inmediato en el sistema en producción junto con todos los Datos del Cliente. Si un espacio de trabajo tiene otros miembros, pasa al miembro que lleva más tiempo perteneciendo a él, con prioridad para los administradores sobre los lectores, y no se elimina; ese miembro se convierte así en el Cliente de dicho espacio de trabajo. Quien no desee esto elimina los demás miembros o los dominios antes de la eliminación. Si el contrato de la cuenta termina de otra forma, por ejemplo, mediante nuestra terminación conforme a las Condiciones del Servicio, indicamos al Cliente la exportación junto con el aviso de terminación, y el Cliente puede descargarla hasta el final del contrato. A más tardar 30 días después del final del contrato, eliminamos la cuenta junto con los Datos del Cliente; actualmente esto se hace manualmente.

(4) Indicamos de antemano lo que no puede devolverse: las credenciales de inicio de sesión para el escaneo detrás del inicio de sesión no forman parte de la exportación porque el servidor web no puede descifrarlas (anexo 1, punto 5); las copias de la verificación de entrega dejan de existir después del procesamiento; el código de «Fix it for me» no se almacena en absoluto.

(5) Copias de seguridad. Se realiza una copia de seguridad de la base de datos cada noche. Cada copia se elimina después de 14 días. Los Datos del Cliente eliminados en el sistema en producción permanecen hasta entonces en las copias de seguridad anteriores; no se eliminan selectivamente registros individuales dentro de una copia de seguridad, porque una copia debe ser una imagen inalterada de un momento concreto. Hasta que venzan, las copias de seguridad se protegen igual que la propia base de datos y solo se utilizan para restauración y pruebas de restauración; no se realizan búsquedas ni análisis en ellas. Si debemos restaurar una copia de seguridad, volvemos a ejecutar las solicitudes de supresión realizadas después de su fecha, en la medida en que tengamos conocimiento de ellas, antes de que el Servicio vuelva a operar. Por tanto, un registro también ha desaparecido de las copias de seguridad a más tardar 14 días después de su eliminación en el sistema en producción.

(6) En el estado actual, no tenemos ninguna obligación de conservar Datos del Cliente. Si surge una obligación legal de conservación conforme al derecho de la Unión o de Polonia, restringimos los datos correspondientes en lugar de suprimirlos, los utilizamos solo para ese fin y los suprimimos cuando vence la obligación.

(7) Previa solicitud, confirmamos la supresión en forma textual dentro de 30 días, indicando lo que sigue existiendo conforme a los apartados 5 y 6 y hasta cuándo.

§ 16 Incumplimientos, suspensión y terminación

(1) Si no podemos cumplir una obligación de este Acuerdo, por cualquier motivo, informamos al Cliente sin dilación indebida.

(2) Si incumplimos este Acuerdo o el RGPD, el Cliente puede exigirnos que suspendamos el tratamiento de los Datos del Cliente afectados hasta que se haya subsanado el incumplimiento. Si el incumplimiento continúa o es grave, el Cliente puede terminar por causa justificada el contrato del Servicio, en particular si no subsanamos el incumplimiento dentro de un mes después de que se nos notifique o no cumplimos una decisión de un tribunal o una autoridad de control al respecto. Reembolsamos proporcionalmente las tarifas pagadas por anticipado para el periodo posterior al final del contrato.

(3) Si el Cliente insiste en una instrucción que consideramos ilícita conforme al § 4, apartado 4, podemos terminar el contrato del servicio afectado, siempre que hayamos notificado previamente al Cliente y este no modifique la instrucción dentro de un mes.

(4) Después de la terminación, se aplica el § 15.

§ 17 Responsabilidad

(1) Para los daños sufridos por un interesado, se aplica el art. 82 del RGPD. Esta responsabilidad no queda restringida por ninguna limitación contractual de responsabilidad, incluida la de las Condiciones del Servicio.

(2) Si una parte ha pagado una indemnización a un interesado conforme al art. 82 del RGPD, puede reclamar a la otra parte la porción correspondiente a su participación en la responsabilidad por el daño (art. 82, apartados 4 y 5, del RGPD). Esta acción de regreso tampoco queda restringida por las limitaciones de responsabilidad de las Condiciones del Servicio.

(3) Para todas las demás reclamaciones entre el Cliente y nosotros conforme a este Acuerdo, por ejemplo, por indemnización de daños propios o costos de una parte, se aplican las reglas de responsabilidad de las Condiciones del Servicio, en la medida permitida por la ley. Respondemos por los subencargados del tratamiento conforme al § 9, apartado 5, como por nuestra propia conducta. Una multa impuesta por una autoridad de control a una parte por su propia infracción la asume esa misma parte.

(4) Si un interesado o una autoridad de control presenta una reclamación contra una parte, esa parte informa a la otra sin dilación indebida y ambas colaboran para esclarecer el asunto. Ninguna parte reconoce una reclamación por la que pretenda ejercer una acción de regreso contra la otra sin el consentimiento de esta; el consentimiento no puede denegarse sin un motivo objetivo.

§ 18 Punto de contacto y delegado de protección de datos

(1) El Cliente dirige las preguntas de protección de datos relativas a este Acuerdo, las instrucciones y las notificaciones a contact@lukaswojcik.com o mediante la ventana de soporte y la página de Contacto. Nuestras notificaciones conforme a este Acuerdo se envían a la dirección de correo electrónico del titular de la cuenta; el Cliente la mantiene actualizada.

(2) No hemos designado un delegado de protección de datos porque, según nuestra evaluación, no se cumplen las condiciones del art. 37, apartado 1, del RGPD. Si esto cambia, anunciaremos la designación en este Acuerdo.

§ 19 Disposiciones finales

(1) Prelación. Si una disposición de las Condiciones del Servicio o de otro acuerdo entra en conflicto con este Acuerdo, este Acuerdo prevalece en todas las cuestiones relativas al tratamiento de Datos del Cliente; no se aplican las condiciones propias del Cliente. Las modificaciones y adiciones a este Acuerdo en un caso individual requieren forma textual y deben referirse expresamente a él; pasan a formar parte de este Acuerdo y prevalecen sobre él en el alcance de sus disposiciones. Si este Acuerdo entra en conflicto con disposiciones imperativas del RGPD, prevalecen dichas disposiciones.

(2) Modificaciones. Solo modificamos este Acuerdo por alguno de los siguientes motivos objetivos: un cambio en la ley o en su interpretación por tribunales y autoridades, también mediante nuevas cláusulas contractuales tipo de la Comisión Europea; un cambio en el Servicio, sus funciones o su base técnica; un cambio de un tercero necesario para prestar el Servicio; prevenir el uso indebido o riesgos de seguridad; o corregir errores y ambigüedades. Anunciamos las modificaciones, indicando el texto modificado, el motivo y la fecha prevista, al menos 30 días antes por correo electrónico a la dirección del titular de la cuenta y en el resumen de cambios. Sin este plazo de aviso, solo modificamos lo que sea exclusivamente ventajoso para el Cliente, sea de naturaleza puramente lingüística o corrija errores manifiestos, lo que una ley, un tribunal o una autoridad exija con menor anticipación y lo que sea necesario para evitar un riesgo de seguridad inminente; también en estos casos comunicamos la modificación lo antes posible e indicamos el motivo. El silencio no constituye consentimiento. Cuando una modificación requiere el consentimiento del Cliente, lo obtenemos expresamente; sin él, la versión anterior sigue aplicándose y permanecen los derechos legales y contractuales de terminación. El Cliente puede oponerse en forma textual a una modificación anunciada hasta que surta efecto; las consecuencias se rigen por las disposiciones de las Condiciones del Servicio sobre la oposición a una modificación. Las modificaciones de los anexos 2 y 3 se rigen por el § 8, apartado 3, y el § 9, apartados 2 y 3. Todas las versiones se registran en el resumen Cambios en los Documentos Contractuales.

(3) Derecho aplicable y fuero. Se aplica el derecho determinado por las Condiciones del Servicio; las disposiciones imperativas del RGPD no se ven afectadas. El fuero se rige por las Condiciones del Servicio.

(4) Idioma. El Acuerdo está disponible en todos los idiomas oficiales de la Unión Europea. En caso de discrepancias, prevalece la versión en polaco.

(5) Si una disposición es inválida, el resto del Acuerdo sigue siendo válido. La disposición inválida se sustituye por la disposición legal que más se acerque a su finalidad; en caso de duda, por una disposición que cumpla los requisitos del art. 28, apartado 3, del RGPD.

Anexo 1 – Tratamiento por cuenta del Cliente

Para cada función, este anexo describe el objeto, la naturaleza y la finalidad del tratamiento, los tipos de datos personales, las categorías de interesados y la supresión (art. 28, apartado 3, primera frase, del RGPD). Salvo indicación en contrario, la naturaleza del tratamiento es: recopilación, almacenamiento, recuperación, cotejo, transmisión a los destinos especificados por el Cliente y supresión. El lugar de tratamiento son nuestros propios servidores en Polonia; cuando interviene un subencargado, se indica. Los plazos entre llaves son ajustes conforme a los cuales funciona efectivamente la ejecución nocturna de eliminación. La duración del tratamiento es la vigencia de este Acuerdo (§ 3); dentro de ella, se aplican los plazos de supresión indicados para cada función. El tratamiento se realiza de manera continua mientras el Cliente utiliza la función. Las categorías especiales de datos personales no son objeto del tratamiento; si aun así ingresan en el Servicio mediante correos de formularios, se aplica el § 6, apartado 4.

1. Verificación de entrega

Finalidad: comprobar si llegan los correos electrónicos del formulario del Cliente y si son auténticos (SPF, DKIM, DMARC).

Cómo funciona: la función es opcional. El Cliente incluye la dirección de un buzón de control como copia oculta (Bcc) en su formulario. Como resultado, se nos envía una copia de cada correo del formulario, no solo las copias de nuestros envíos de prueba, sino también las de las consultas auténticas de sus visitantes. Una recuperación automática lee mediante IMAP los encabezados y, como máximo, los primeros 8 KB del texto, asigna el correo al dominio y, cuando corresponde, a un envío de prueba, y comprueba las características de autenticidad. Tras el procesamiento correcto, el correo se elimina del buzón. En caso de un error de recuperación o eliminación, puede permanecer en el buzón hasta la siguiente ejecución correcta.

Datos: contenido y encabezados de los correos de formularios con todo lo que ingresan los visitantes, como nombre, dirección de correo electrónico, número de teléfono y mensaje, así como direcciones de remitente y destinatario e información técnica sobre los servidores de correo involucrados.

Interesados: visitantes del sitio web del Cliente que envían el formulario; destinatarios de los correos de formularios del lado del Cliente.

Almacenamiento y supresión: en la base de datos solo se almacenan la hora, la asignación al dominio, cuando corresponda el identificador del envío de prueba y los resultados de la verificación de autenticidad. La hora y la asignación se conservan durante 180 días; el resultado más reciente de la verificación de autenticidad se conserva con el dominio hasta que lo sustituya el siguiente correo o se elimine el dominio. El resultado de la verificación de autenticidad contiene la dirección IP del servidor de correo que realiza la entrega y el dominio de la dirección del remitente; una alerta solo menciona este dominio si no pertenece al sitio web. El contenido y las direcciones completas de los remitentes visitantes no se almacenan en la base de datos. El propio correo se elimina del buzón después de procesarse correctamente, o con retraso en caso de un error de recuperación o eliminación.

Intervinientes: el proveedor de servicios de correo (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) para el buzón; las copias le llegan directamente mediante los registros MX de nuestro dominio, no mediante reenvío; véase Subencargados del Tratamiento.

Limitación: una coincidencia solo confirma que la copia correspondiente ha llegado al buzón de control, no la recepción por el destinatario real ni una entrada en un CRM. Sin un buzón de control, la función no está disponible. Las copias no deberían contener categorías especiales de datos personales (§ 6, apartado 4).

2. Portal de clientes e informe mensual a suscriptores

Finalidad: enviar un informe mensual sobre los formularios de un sitio web por cuenta del Cliente, habitualmente una agencia a sus propios clientes, y proporcionar un portal con estos informes.

Datos: dirección de correo electrónico, idioma, hora y dirección IP de la suscripción, hora de confirmación (doble confirmación) y de la baja; contenido del informe (dominio, resultados de verificaciones, cifras).

Interesados: clientes y personas de contacto del Cliente que se suscriben al informe.

Supresión: suscripciones no confirmadas después de 30 días. Después de la baja, el registro de suscripción, confirmación y baja se conserva durante tres años para que el Cliente pueda demostrar el consentimiento. Todo se elimina a más tardar junto con el espacio de trabajo; revocar solo un portal no elimina a sus suscriptores.

Intervinientes: el proveedor de servicios de correo (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) para el envío.

3. Alertas, informes e incidentes

Finalidad: entregar alertas, resúmenes e informes a los destinos que configura el Cliente y gestionar incidentes.

Datos: direcciones de correo electrónico, direcciones de webhooks y canales de chat, el ID de un chat de Telegram después de que el destinatario lo haya vinculado; contenido de las notificaciones (dominio, evento, hora, enlace al Servicio, para las alertas de verificación el enlace del informe, mediante el que puede accederse a resultados y capturas de pantalla sin iniciar sesión; Telegram recibe solo el enlace a la página del dominio en la cuenta, que requiere iniciar sesión, en lugar del enlace del informe); registro de envío; intentos de entrega de escalamientos por incidente y destino (número, horas, resultado, error); nombre o dirección de correo electrónico de la persona que confirma la recepción de un incidente y la persona responsable con fecha límite.

Interesados: empleados y prestadores de servicios del Cliente que reciben alertas o atienden incidentes.

Supresión: destinos hasta que el Cliente los elimina o elimina el dominio; registro de envío después de 90 días; notificaciones recopiladas, 30 días después del envío; incidentes mientras no estén resueltos y durante 180 días después de su resolución, junto con sus intentos de entrega de escalamientos.

Intervinientes: el proveedor de servicios de correo (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) para el correo electrónico; para servicios de chat y webhooks, los proveedores elegidos por el Cliente (§ 9, apartado 6).

4. Verificación de los sitios web del Cliente: personas visibles de forma incidental

Finalidad: verificar y monitorear los formularios y su protección en los dominios del Cliente para los que ha proporcionado prueba de control. Mientras falte la prueba para un dominio, solo lo verificamos pasivamente y nosotros mismos somos responsables del tratamiento de estas verificaciones; esto se describe en la Política de Privacidad.

Datos: un escaneo lee páginas públicas del dominio: direcciones de las páginas, estructura de los formularios (nombres de campos, tipos, etiquetas, atributos de obligatoriedad y visibilidad, sin valores; el escáner lee el inicio de los campos ocultos rellenados previamente y de los atributos de datos solo durante la verificación y no los almacena), scripts incorporados, medidas de protección. Toma capturas de pantalla del área visible de la página de inicio y de los formularios y, para los envíos de prueba activos, también de la página de respuesta; no se oculta contenido. Estas y el contenido de las páginas leído pueden contener datos personales que el propio Cliente publica, como nombres y datos de contacto de personas de contacto, fotografías o reseñas. Almacenamos las direcciones de destinatarios de formularios únicamente como dominio. Para cada verificación, el Servicio crea un informe bajo un enlace aleatorio mediante el que puede accederse a los resultados y las capturas de pantalla sin iniciar sesión hasta que se elimine la verificación; el enlace aparece en la cuenta y en las alertas (punto 3). Quien comparte el enlace comparte el informe.

Interesados: personas cuyos datos son visibles en el sitio web del Cliente.

Supresión: resultados de verificaciones, incluidas capturas de pantalla, durante no más de 13 meses; la verificación más reciente se conserva mientras el dominio esté en la cuenta. Cuando se elimina el dominio, se eliminan sus datos, incluidas verificaciones, hallazgos y capturas de pantalla.

Nota: un modelo de lenguaje en nuestro propio servidor ayuda a clasificar formularios cuya finalidad las reglas por sí solas no pueden reconocer. Los formularios clasificados de este modo nunca se envían y no cuentan para la puntuación ni el dictamen. Los envíos de prueba activos (no más de cinco por verificación) contienen únicamente textos de prueba identificados como tales, sin datos personales.

Plan de acción en informes elegibles. Para las verificaciones de dominios verificados descritas en el punto 4, nuestro modelo de lenguaje local también puede generar un breve plan de acción priorizado a partir del nombre de host, las direcciones de las páginas de formularios, los tipos de formularios, la información del CMS, el nivel de riesgo y la puntuación existentes cuando estén disponibles, cualquier plugin identificado y hallazgos seleccionados fallidos o no concluyentes. Estos campos pueden contener datos personales de forma incidental. El prompt no incluye capturas de pantalla, valores ingresados en formularios ni el código fuente completo de la página. El plan apoya la misma verificación de protección de formularios, no modifica el sitio web ni determina su puntuación o dictamen. Las solicitudes y respuestas temporales se mantienen en la cola interna de trabajos hasta su recogida o la limpieza programada de entradas con más de una hora de antigüedad; esto no constituye una garantía incondicional de eliminación durante una interrupción. El plan recogido se almacena con el escaneo bajo las mismas reglas de conservación y supresión. Sigue aplicándose la distinción de roles para las verificaciones pasivas de dominios no verificados del punto 4.

5. Credenciales de una cuenta de prueba para el escaneo detrás del inicio de sesión

Finalidad: leer formularios en hasta cinco páginas detrás de un inicio de sesión especificado por el Cliente. Solo para dominios verificados, solo por propietarios y administradores de un espacio de trabajo y solo en planes de pago. La cuenta de prueba solo se utiliza en la verificación completa, no en las verificaciones con navegador (punto 6).

Datos: dirección de inicio de sesión, nombre de usuario y contraseña de la cuenta de prueba, información sobre los campos de inicio de sesión; lo que sea visible para esta cuenta en las páginas leídas, en la medida en que se refiera a la estructura de los formularios.

Interesados: la persona a cuyo nombre esté la cuenta de prueba, si está asignada a una persona; personas cuyos datos sean visibles en la cuenta de prueba.

Protección: el nombre de usuario y la contraseña se cifran en el servidor web con la clave pública del servidor de escaneo y se vinculan al dominio. Solo el servidor de escaneo puede descifrarlos durante el escaneo; el servidor web, la base de datos y las copias de seguridad solo contienen texto cifrado. Las credenciales de inicio de sesión nunca se muestran, nunca se registran en los registros ni se proporcionan mediante la interfaz; la interfaz de usuario solo muestra el primer carácter y la longitud del nombre de usuario. Detrás del inicio de sesión no se envía nada, no se realiza ninguna prueba activa ni se toma ninguna captura de pantalla; no se visitan páginas para cerrar sesión, eliminar o cancelar.

Supresión: hasta que el Cliente elimina las credenciales de inicio de sesión o elimina el dominio; la eliminación sobrescribe el texto cifrado y borra los trabajos pendientes. La copia adjunta al trabajo de escaneo individual se borra después de la ejecución; cualquier resto, a más tardar después de una hora.

6. Recorridos de formularios y verificaciones con navegador

Finalidad: verificaciones periódicas de si los formularios configurados funcionan en un navegador real hasta el punto anterior al envío.

Datos: direcciones de formularios, selectores, clics previos y pasos de verificación, elección de navegador, persona responsable y fecha límite; resultados con estado, categorías técnicas de errores, mensajes de error depurados, tiempos y una captura de pantalla del formulario en la que los campos de entrada están cubiertos. La referencia a una persona surge principalmente por la persona responsable y por el contenido que el propio Cliente escribe en pasos o etiquetas.

Interesados: empleados del Cliente a quienes se asignan formularios.

Supresión: configuraciones hasta que se elimina el dominio; el Cliente puede cambiarlas o desactivarlas individualmente, pero actualmente no puede eliminarlas individualmente. Resultados después de 13 meses.

Limitación: las verificaciones con navegador no envían nada. El Servicio prevé una segunda prueba independiente, pero actualmente no está configurada; sin ella no hay confirmación desde una segunda ubicación. Si se configura con un tercero, se aplica el § 9.

7. «Fix it for me»

Finalidad: insertar un componente de protección en código de formularios que pega el Cliente.

Datos: el código pegado, si contiene datos personales, por ejemplo, en comentarios, valores de ejemplo o direcciones fijas en el código.

Interesados: personas cuyos datos aparecen en el código.

Tratamiento y supresión: un modelo de lenguaje en nuestro propio servidor inserta el componente. El código se trata solo durante la solicitud y no se almacena. El Servicio funciona sin credenciales de inicio de sesión de los sistemas del Cliente y no instala nada en sus servidores.

8. Marca propia (marca blanca)

Finalidad: mostrar la marca del Cliente en los informes y en el portal de clientes.

Datos: nombre de la empresa, sitio web, datos de contacto y logotipo, cuando corresponda el nombre y los datos de contacto de una persona de contacto.

Interesados: personas de contacto del Cliente.

Supresión: hasta que el Cliente cambia o elimina los datos, a más tardar junto con el espacio de trabajo.

9. Cifras complementarias sin referencia personal

Las cifras opcionales de formularios y errores de campos de la extensión de WordPress no contienen datos ingresados, nombres de campos ni identificadores de visitantes y se conservan durante 13 meses. El grabador de recorridos de formularios conserva los pasos en el navegador del Cliente durante no más de 15 minutos; los contadores diarios locales permanecen en su sitio web durante no más de 14 días. Los enumeramos aquí para completar la descripción; por la forma en que están construidos, no son Datos del Cliente.

10. Protección de formularios (formconfirmed)

Este punto solo aplica si el Cliente activa la protección de formularios (cláusula 5.7 de las Condiciones del Servicio).

Finalidad: evaluar los envíos realizados mediante formularios de los sitios web del Cliente para reconocer los envíos automatizados.

Funcionamiento: al abrir una página con un formulario protegido, un script en el navegador del visitante obtiene de nuestro servidor una tarea firmada y la resuelve (prueba de trabajo). Al enviarse el formulario, el servidor del Cliente presenta el resultado a nuestra interfaz de verificación. Verificamos la firma, la antigüedad, el uso único y el dominio del token de verificación, así como otras señales como el tiempo de llenado, un campo trampa invisible y las solicitudes acumuladas desde la misma dirección abreviada. Si el Cliente activa la revisión del contenido, un modelo de lenguaje evalúa el texto del mensaje que el servidor del Cliente envía junto con la solicitud. Se devuelve una puntuación con una acción recomendada y los motivos; el Cliente decide qué sucede con el envío. No hay cookies, ni almacenamiento en el navegador, ni huella digital del dispositivo.

Datos: dirección IP del visitante al obtener la tarea y durante la verificación, dirección y dominio de la página, momentos y tiempo de llenado, si se llenó el campo trampa, identificador del navegador en el registro del servidor web; solo con la revisión del contenido activada, el texto del mensaje.

Interesados: visitantes de los sitios web del Cliente que abren una página con un formulario protegido o envían un formulario de este tipo.

Almacenamiento y eliminación: la dirección IP solo se almacena de forma abreviada (IPv4 sin el último byte, IPv6 los primeros 48 bits) y como valor hash con una clave que cambia a diario, durante una hora; los tokens de verificación usados, once minutos como máximo; los resultados de verificación sin dirección IP y sin texto (acción, puntuación, motivos, dominio, categoría de la revisión del contenido), 30 días; las cifras diarias sin referencia personal, 400 días; el registro del servidor web, 14 días. El texto de un mensaje solo se trata en la memoria de trabajo y no se almacena, no se registra ni se usa para entrenamiento.

Dónde: en nuestros propios servidores en Polonia, el modelo de lenguaje en hardware propio; no hay subencargados adicionales.

Anexo 2 – Medidas técnicas y organizativas

Las medidas se establecen en la página Medidas Técnicas y Organizativas. Forma parte de este Acuerdo en la versión publicada en cada momento pertinente; los cambios se rigen por el § 8, apartado 3.

Anexo 3 – Subencargados del tratamiento

Los subencargados autorizados se enumeran en la página Subencargados del Tratamiento. Forma parte de este Acuerdo en la versión publicada en cada momento pertinente; los cambios se rigen por el § 9, apartados 2 y 3.

Pendiente antes del lanzamiento: el proveedor de servicios de correo previsto es Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Aún deben documentarse el acuerdo de tratamiento de datos aplicable a este uso, los lugares efectivos de tratamiento y la base adecuada para la transferencia. Esta versión no confirma ni un acuerdo celebrado ni una certificación en el Marco de Privacidad de Datos.

Versión

Versión 2.2 del 29 de octubre de 2026, que sustituye a la versión 2.1. Cambios: nuevo punto 10 en el anexo 1 sobre la protección de formularios formconfirmed; solo aplica si el Cliente la activa. No cambia ninguna otra disposición.

Versión 2.1 del 22 de octubre de 2026, que sustituye a la versión 2.0. Cambios: en caso de discrepancias, ahora prevalece la versión en polaco en lugar de la alemana; el Acuerdo está disponible en todos los idiomas oficiales de la Unión Europea (cláusula de idioma). No cambia ninguna otra disposición.

Versión 2.0 del 11 de octubre de 2026, que sustituye a la versión del 9 de octubre de 2026. Cambios: estructura conforme al art. 28, apartado 3, del RGPD con referencia a las cláusulas contractuales tipo 2021/915; anexo 1 completo para cada función, que ahora incluye credenciales para el escaneo detrás del inicio de sesión, recorridos de formularios y las limitaciones de la verificación de entrega; las medidas técnicas y organizativas y la lista de subencargados son páginas separadas y forman parte del Acuerdo como anexos 2 y 3; elección entre devolución y supresión, copias de seguridad con vencimiento y nueva ejecución de solicitudes de supresión, sin plazo fijo de espera para auditorías urgentes, responsabilidad por subencargados como por nuestra propia conducta.

¿Cómo podemos ayudarle?