Política de Privacidad

Este documento se publica en varios idiomas. En caso de discrepancia entre las versiones lingüísticas, la versión polaca es vinculante.

Versión 2.3 · Última actualización: 29 de octubre de 2026

Esta política describe qué datos personales trata formexposed, con qué fines, sobre qué base jurídica, a quién se envían y cuándo se eliminan. Solo describimos lo que el Servicio hace realmente; los periodos de conservación que indicamos son los mismos con los que funcionan nuestros procesos de eliminación, y señalamos cuando aún no existe un plazo fijo. Las funciones que se han desarrollado pero no están activadas se identifican como tales. Como el Servicio afecta a varios grupos de personas, cada sección comienza indicando a quién se dirige:

• Si visita formexposed.com o form.exposed: secciones 3, 4 y 5.
• Si solicitó una verificación de un dominio en la página de inicio: sección 6.
• Si nuestro rastreador verificó su sitio web: sección 7, que también constituye nuestra información conforme al art. 14 del RGPD.
• Si tiene una cuenta o se le invitó a un equipo: secciones 8 a 18.
• Si visita el sitio web de uno de nuestros clientes (con insignia, plugin o verificación de entrega): sección 20.
• Si desea ejercer un derecho o presentar una reclamación: secciones 26 a 28.

1. Responsable del tratamiento y contacto

El responsable del tratamiento de datos personales en formexposed.com y form.exposed y en el servicio formexposed, en la medida en que no actuemos por cuenta de un cliente (sección 2), es:

LW IT Solutions Company Lukas Wójcik
Propietario: Lukas Wójcik
al. Tadeusza Kościuszki 80/82, lok. 301
90-437 Łódź
Poland
NIP (número de identificación fiscal polaco) 7252266190 · Número de IVA PL7252266190
Correo electrónico: contact@lukaswojcik.com

También puede comunicarse con nosotros mediante la ventana de soporte (el signo de interrogación de la navegación) y la página de contacto. Reporte las vulnerabilidades de seguridad a través de nuestra página de reporte de vulnerabilidades.

Delegado de protección de datos: No hemos designado uno. Somos una empresa unipersonal; nuestra actividad principal es verificar sitios web y formularios, no la observación a gran escala de personas ni el tratamiento de categorías especiales de datos (art. 37(1) del RGPD). Los motivos se explican en el Registro de Actividades de Tratamiento. Envíe sus preguntas sobre protección de datos al correo electrónico anterior; llegan directamente al propietario.

2. De qué se trata y en qué calidad actuamos

formexposed verifica los formularios de contacto de los sitios web: si están protegidos contra spam y abusos, si llegan las consultas, qué servicios de terceros pueden leer lo que se escribe mientras se rellena un formulario y si algo de esto cambia. Al hacerlo, tratamos datos personales en tres calidades. La distinción no es una formalidad: determina a quién debe dirigir una solicitud.

• Como responsable del tratamiento de los datos de los visitantes de nuestros propios sitios web, de nuestros clientes y de los miembros de sus equipos, de la facturación y el soporte, y de la verificación de sitios web que no pertenecen a una cuenta de cliente (verificación gratuita, estudio, verificación de clientes potenciales) o cuyo dominio el cliente aún no ha verificado. De esto trata esta política.
• Como encargado del tratamiento de los datos de terceros que nuestros clientes hacen tratar mediante el Servicio: copias de correos de formularios en la verificación de entrega (sección 15), suscriptores de un portal de clientes (sección 14), destinatarios de alertas que no son clientes (sección 10), cuentas de prueba para la verificación protegida por inicio de sesión (sección 9) y personas visibles en un sitio web cuyo dominio un cliente ha verificado (sección 7). En esos casos, el cliente es el responsable del tratamiento; se aplica el Acuerdo de Tratamiento de Datos, que cada cliente celebra al registrarse.
• En ninguna calidad respecto de lo que nuestro plugin de WordPress y nuestra extensión de TYPO3 almacenan en el sitio web de un cliente y que no sale de ese sitio web (sección 13). El operador de ese sitio web es el responsable del tratamiento; no tenemos acceso a esos datos.

Cuando esta política dice “cliente”, se refiere al titular de una cuenta de formexposed. Las cuentas están disponibles únicamente para empresas; cualquiera puede usar la verificación gratuita sin una cuenta. El Servicio no está dirigido a menores.

3. Servidores, registros y respaldos

Para quienes visiten nuestros sitios web o utilicen el Servicio.

Operamos formexposed en nuestros propios servidores en Polonia: un servidor web con la base de datos y un servidor de escaneo donde funcionan el rastreador y un modelo de lenguaje. Ambos están en la misma red interna. No hay un proveedor externo de hosting ni de nube. Solo el propietario tiene acceso a los servidores.

3.1 Registro del servidor web

Para cada solicitud, el servidor web almacena la dirección IP, la fecha y hora, la dirección solicitada, el código de estado, la cantidad de datos transferidos, la página visitada anteriormente (referrer) y el identificador del navegador (user agent). Esto también se aplica a las solicitudes de la insignia desde las páginas de los clientes (sección 12). Los registros se rotan diariamente y se eliminan después de 14 días.

3.2 Registro de visitas a páginas

Además, la aplicación registra cada visita a una página, pero no las solicitudes en segundo plano, las interfaces ni la insignia: dirección IP, país derivado de ella, dirección solicitada y referrer (antes de almacenarlos, enmascaramos los tokens de acceso que contienen, como los de enlaces de informes o portales), identificador del navegador e información derivada sobre el tipo de dispositivo, sistema operativo y navegador, idioma y, si inició sesión, número de cuenta. Determinamos el país mediante una base de datos en nuestro propio servidor; la dirección IP no sale del servidor para este fin. Si nuestro soporte consulta su cuenta (sección 8.5), estas visitas no se atribuyen a su cuenta. Eliminamos las entradas después de 60 días.

3.3 Registro de errores y alerta de errores

Registramos los errores técnicos con la hora, nivel, origen, mensaje, contexto técnico y, cuando corresponda, su número de cuenta, y los eliminamos después de 90 días. Si aparece un tipo de error nuevo, el Servicio envía al propietario un correo con el texto sin procesar del mensaje (hasta 400 caracteres, sin depurar) y una notificación breve por Telegram; si se acumulan errores, solo la notificación; además, hay un resumen diario por correo de los tipos de error. El mensaje de Telegram es una frase fija sin el contenido del error, sin dirección ni información sobre personas. Para cada tipo de error conservamos un ejemplo del mensaje, actualmente sin un periodo fijo de conservación; estableceremos un plazo de eliminación y lo indicaremos aquí. Los mensajes de error no deberían contener datos personales; no podemos descartarlo, por ejemplo si un mensaje reproduce una dirección ingresada.

3.4 Respaldos

La base de datos se respalda cada noche después de que termina el proceso de eliminación; por tanto, un respaldo no contiene nada que ya debiera haberse eliminado conforme a estos periodos de conservación. Actualmente los respaldos se guardan en la misma ubicación que la base de datos y no se cifran por separado; se planea una copia cifrada en una segunda ubicación. Expiran después de 14 días. Lo que eliminamos en el sistema en producción permanece en los respaldos hasta entonces. No se elimina nada de forma selectiva de un respaldo; solo sirve para restaurar los datos después de una pérdida.

Finalidad y base jurídica: funcionamiento y seguridad del Servicio, defensa contra ataques y abusos, resolución de problemas, restauración y cifras de uso. Para estas últimas, solo registramos totales diarios (como registros por día), nada sobre personas; no utilizamos ningún servicio de análisis ni de seguimiento. La base jurídica es el art. 6(1)(f) del RGPD; nuestro interés legítimo es un funcionamiento seguro y estable.

4. Cookies y almacenamiento en el navegador

Para los visitantes de nuestros sitios web y usuarios del Servicio.

Nombre	Tipo	Finalidad	Duración
bpid	cookie	Sesión: mantiene su sesión iniciada, protege los formularios contra solicitudes falsificadas (CSRF) y contabiliza los límites por sesión de la verificación gratuita	hasta que cierre el navegador
bp_remember	cookie	solo si elige “Mantener la sesión iniciada” al iniciar sesión: mantiene su sesión iniciada	30 días
bp_theme	almacenamiento local	si eligió el tema claro u oscuro; para los usuarios que iniciaron sesión, la elección también se guarda en la cuenta	hasta que elimine los datos de su navegador

Este almacenamiento es estrictamente necesario para que funcione el Servicio que ha solicitado expresamente; no requiere consentimiento (art. 5(3) de la Directiva 2002/58/CE, según su transposición nacional: en Alemania, § 25(2), n.º 2, de la Ley de Protección de Datos de Telecomunicaciones y Servicios Digitales (TDDDG); en Polonia, art. 399 de la Ley de Comunicaciones Electrónicas, Prawo komunikacji elektronicznej). La base jurídica del tratamiento asociado es el art. 6(1)(b) del RGPD si inició sesión y, en caso contrario, el art. 6(1)(f) del RGPD; en ese caso, nuestro interés legítimo es proteger nuestros formularios contra solicitudes falsificadas, aplicar los límites de la verificación gratuita y mostrar la apariencia que eligió.

No instalamos cookies de publicidad ni de medición de audiencia. Un código de recomendación del programa de socios (sección 18) se transmite en la dirección hasta el registro, no en una cookie. Google reCAPTCHA puede utilizar sus propias cookies al enviar un formulario (sección 5).

5. Google reCAPTCHA y nuestra propia protección de formularios

Para quienes envían uno de nuestros formularios.

Protegemos contra ataques automatizados los formularios de verificación gratuita, herramienta de encabezados, exclusión de un dominio (opt-out), inicio de sesión, registro, solicitud y establecimiento de una contraseña nueva, y soporte y contacto mediante Google reCAPTCHA v3. El proveedor es Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland.

Cargamos el script de Google solo cuando envía uno de estos formularios, no al abrir una página. Entonces lee información sobre el navegador, el dispositivo y el uso de la página y la transmite a Google junto con su dirección IP y las cookies de Google que existan; Google evalúa si quien envía el formulario es una persona. Solo recibimos esta evaluación como una puntuación junto con la acción a la que se aplica. Si está por debajo de nuestro umbral, corresponde a otro formulario o Google no responde en tres segundos, rechazamos el envío; no almacenamos la puntuación. Puede intentarlo de nuevo o escribirnos por correo electrónico. Google puede transferir datos a Google LLC en EE. UU. (sección 22) y decide por sí mismo cuánto tiempo los conserva; más información en la política de privacidad de Google.

Además, estos formularios, excepto el de establecimiento de una contraseña nueva, incluyen nuestra propia protección sin terceros: un campo trampa invisible para las personas y una marca de tiempo firmada que permite reconocer los formularios enviados demasiado rápido.

Los formularios de verificación gratuita, registro, inicio de sesión y solicitud de una contraseña nueva los protegemos además con nuestra propia protección de formularios formconfirmed, que tampoco recurre a terceros. Al abrir la página, un pequeño script obtiene de nuestro servidor una tarea firmada; en cuanto usa el formulario, su navegador la resuelve en segundo plano (una prueba de trabajo). El resultado nos llega junto con el formulario como un token de verificación de un solo uso, y lo verificamos al enviarse el formulario. Para ello tratamos su dirección IP, la dirección de la página con el formulario, los momentos correspondientes y si se llenó un campo invisible para las personas. Con este fin, almacenamos la dirección IP solo de forma abreviada (en IPv4 sin el último byte, en IPv6 solo los primeros 48 bits) y como valor hash con una clave que cambia a diario, para reconocer solicitudes acumuladas; este valor se elimina después de una hora, y el token de verificación usado, después de once minutos como máximo. La protección de formularios no evalúa el contenido de estos formularios. No coloca cookies, no almacena nada en su navegador y no genera ninguna huella digital de su dispositivo. Si falta un token de verificación válido, rechazamos el envío; si nuestro servicio no estaba disponible para la tarea, lo permitimos.

Base jurídica: art. 6(1)(f) del RGPD; nuestro interés legítimo es proteger estos formularios contra el uso indebido por programas, especialmente contra la adivinación masiva de contraseñas, las cuentas creadas automáticamente y el uso de la verificación gratuita como herramienta contra sitios web de terceros. Como el script de Google solo se carga al enviar el formulario y sirve únicamente para ese envío, consideramos que leer información de su dispositivo es estrictamente necesario para prestar el servicio que solicita expresamente al enviar el formulario (§ 25(2), n.º 2, TDDDG; art. 399 Prawo komunikacji elektronicznej). Lo mismo aplica a nuestra propia protección de formularios: en el navegador solo trata lo necesario para enviar el formulario que usted usa. Su propósito es sustituir a reCAPTCHA de forma permanente. Requisito: sin reCAPTCHA y nuestra propia protección de formularios no se puede enviar el formulario; el correo electrónico sigue disponible para consultas.

6. Verificaciones gratuitas sin una cuenta

Para quienes verifican un dominio en la página de inicio o utilizan la herramienta de encabezados.

6.1 La verificación gratuita

En la página de inicio puede solicitar la verificación de un dominio sin una cuenta. Para ello tratamos:

• el dominio ingresado y el resultado de la verificación (informe; lo que recopila el rastreador al hacerlo se explica en la sección 7);
• su dirección IP, su país, un hash de su sesión (no la sesión en sí), la hora y si se aceptó la solicitud, para aplicar los límites (solo unas pocas verificaciones al día por dirección y sesión; un dominio que ya se verificó en los últimos días recibe el mismo informe en lugar de una verificación nueva) y detectar abusos. Eliminamos estas entradas después de 7 días;
• en caso de comportamiento sospechoso, como muchos dominios diferentes desde una dirección, una marca que contiene la dirección IP o el hash de la sesión. Se conserva hasta que hayamos revisado el caso y durante 90 días más. El propietario recibe una notificación por Telegram sin el dominio ni la dirección IP.

Cualquier persona a la que proporcione su enlace aleatorio puede acceder al informe; los motores de búsqueda no deberían indexarlo. Lo eliminamos después de 30 días junto con los datos de la verificación y las capturas de pantalla. El informe gratuito muestra un extracto; se verifican los mismos aspectos que en la cuenta, pero sin envíos de prueba.

6.2 La herramienta de encabezados

La herramienta de encabezados de seguridad obtiene dos veces la página de inicio de un dominio (mediante https y http) y evalúa la respuesta. Almacenamos el dominio, el resultado y la calificación durante 90 días; para los límites se aplica el mismo registro que en la verificación (7 días). Tampoco se verifica aquí un dominio excluido (sección 19).

Base jurídica: art. 6(1)(b) del RGPD para la verificación que solicita, y art. 6(1)(f) del RGPD para los límites y la prevención de abusos; nuestro interés legítimo es que el Servicio no se utilice indebidamente como herramienta contra sitios web ajenos. Requisito: no hay verificación sin un dominio; sin una dirección IP, el servidor no puede responderle.

6.3 Comentarios sobre un informe

Para quienes utilizan “¿Hay algo incorrecto en este informe?” debajo de un informe, con o sin una cuenta.

Debajo de cada informe terminado puede avisarnos que falta un formulario, que se clasificó incorrectamente o que una verificación individual tiene un resultado incorrecto. Para ello tratamos:

• lo que ingresa: la categoría que elige y, si lo desea, la verificación afectada, la dirección de una página y un texto de hasta 1,000 caracteres;
• el informe al que se refieren los comentarios (identificador del enlace, verificación y dominio), el idioma de la página y la hora;
• si inició sesión, el identificador de su cuenta; en ese caso vemos el correo electrónico de la cuenta junto a los comentarios;
• una suma de verificación irreversible de su dirección IP (generada con una clave secreta), para que solo lleguen unos pocos reportes desde una dirección (5 por hora, 20 por día). No almacenamos la dirección IP en sí con los comentarios; borramos la suma de verificación después de 2 días.

No solicitamos un correo electrónico ni respondemos a los comentarios. Si desea una respuesta, escriba a soporte (sección 17). No ingrese datos personales en el texto. Leemos los comentarios, los clasificamos y, cuando resulta útil, tomamos los datos de la verificación del informe (campos de formularios, motivos y hallazgos, sin capturas de pantalla) como caso de prueba para nuestra detección; ese caso de prueba describe el sitio web verificado, no a usted. Los comentarios no modifican el informe.

Base jurídica: art. 6(1)(f) del RGPD; nuestro interés legítimo es encontrar y corregir errores en nuestra detección, y el límite protege contra abusos. Requisito: los comentarios son voluntarios. Conservación: 24 meses; eliminación inmediata junto con su cuenta.

7. Verificación de sitios web con nuestro rastreador: información conforme al art. 14 del RGPD

Para los operadores de sitios web verificados y las personas cuyos datos aparecen en un sitio web verificado. Usted no nos proporcionó estos datos; por eso le informamos aquí.

7.1 Qué hace el rastreador

Nuestro rastreador FormExposedBot obtiene como máximo ocho páginas públicas de un sitio web por verificación, una tras otra, igual que un visitante con un navegador. Además, puede haber hasta tres páginas que vuelve a cargar para hacer clic en “Rechazar” en el banner de cookies, hasta tres páginas en una vista de teléfono, los envíos de prueba en dominios verificados (sección 7.3) y hasta cinco páginas protegidas por inicio de sesión (sección 9.4). Antes de la verificación, lee robots.txt: si un Disallow para FormExposedBot o para todos los programas excluye la página de inicio, no verifica el sitio. Actualmente no respeta por separado las subrutas bloqueadas. Se identifica como FormExposedBot en su identificador de navegador. Examina los formularios y almacena:

• las direcciones y los títulos de las páginas verificadas, la estructura de los formularios (nombres, tipos y etiquetas de campos, atributos de obligatoriedad y visibilidad, sin valores; lee los comienzos de los campos ocultos prerrellenados y de los atributos de datos solo durante la verificación y no los almacena) y las medidas de protección encontradas;
• características técnicas de las páginas: servicios de CAPTCHA y protección contra spam utilizados, scripts integrados de proveedores externos (dirección y suma de verificación), hosts desde los que la página carga contenido, nombres de las cookies instaladas, encabezados de seguridad, indicios de accesibilidad del formulario, comportamiento de un banner de cookies ante el rechazo y si hay píxeles publicitarios o grabación de sesiones vinculados a los formularios;
• una captura de pantalla del área visible de la primera página y una de cada formulario encontrado, y después de un envío de prueba también una de la página de respuesta. En estas capturas no se oculta contenido; muestran lo que puede verse en la página.

Si un formulario contiene la dirección de un destinatario, almacenamos únicamente su dominio, nunca la dirección. No almacenamos ningún otro contenido de las páginas. No obstante, pueden verse afectados datos personales si son visibles en una página o captura de pantalla, como el nombre y la fotografía de una persona de contacto junto al formulario. Categorías: nombres, funciones, datos de contacto e imágenes que el propio operador ha publicado. No buscamos categorías especiales de datos ni las analizamos.

Clasificamos los formularios mediante reglas fijas (como “contacto” o “boletín”). Solo si las reglas no producen un resultado interviene como ayuda un modelo de lenguaje que funciona en nuestro propio servidor de escaneo; los formularios clasificados así nunca se envían y no se incluyen en la puntuación ni en el dictamen. En este proceso no se envían datos a terceros ni se utilizan para entrenar el modelo. Más información en Reglamento de IA de la UE: Cómo utiliza formexposed la IA.

7.2 Quién inicia una verificación

• alguien que ingresa un dominio en la página de inicio (sección 6);
• nuestro plugin de WordPress o nuestra extensión de TYPO3 para su propio sitio web, incluso sin una cuenta (sección 13);
• un cliente para un dominio de su cuenta (sección 9);
• una agencia para el sitio web de un cliente potencial, sin envío de prueba (sección 14);
• nosotros mismos para un estudio sobre la protección de formularios de contacto, del que solo publicamos cifras agregadas sin los nombres de los sitios web.

7.3 Qué no hace el rastreador

Solo verifica de forma pasiva los sitios web ajenos: no envía ningún formulario, no prueba credenciales de inicio de sesión ni ataca nada. Solo realiza envíos de prueba en formularios de contacto de dominios para los que un cliente ha demostrado en su cuenta que tiene derecho a controlarlos, como propietario o por cuenta del propietario, mediante un registro DNS, metaetiqueta, archivo o plugin: mensajes de prueba claramente identificados sin datos personales, no más de cinco por verificación; sin ese comprobante, solo en verificaciones internas de nuestros propios dominios de prueba y demostración. La búsqueda de archivos expuestos, la lectura de versiones y la verificación protegida por inicio de sesión también están disponibles únicamente para dominios verificados (sección 9).

7.4 Periodo de conservación

Verificaciones sin cuenta: 30 días; verificaciones del sitio web de un cliente potencial: 90 días; verificaciones para un estudio: hasta la publicación de sus resultados; verificaciones de un dominio de una cuenta de cliente: como máximo 13 meses, conservándose la más reciente mientras el dominio esté en la cuenta, y nunca durante más tiempo del que el dominio permanezca en la cuenta.

7.5 Base jurídica y origen

La base jurídica es el art. 6(1)(f) del RGPD. El interés legítimo consiste en mostrar a los operadores de sitios web y a sus proveedores de servicios las debilidades de sus formularios antes de que se utilicen para spam o abusos, en el interés de la persona que solicita una verificación en obtener ese resultado y, en el caso del estudio, en informar sobre el estado de la protección de formularios. Los datos proceden de fuentes accesibles públicamente, concretamente del propio sitio web verificado. Los destinatarios son la persona que inició la verificación y cualquiera a quien esa persona proporcione el enlace al informe, y, en el caso de una verificación de un cliente potencial, la agencia; de un estudio solo publicamos cifras agregadas. Si un cliente verifica un dominio de su cuenta cuyo control ha demostrado, actuamos por su cuenta (sección 2); mientras falte esa verificación, nosotros mismos somos responsables del tratamiento. Publicamos esta información aquí y en la página de FormExposedBot en lugar de escribir individualmente a cada persona visible; eso sería imposible o desproporcionado, especialmente porque de estas personas solo sabemos lo que aparece en la página (art. 14(5)(b) del RGPD).

Oposición y exclusión: Como operador de un sitio web, puede excluir nuevas verificaciones de su dominio mediante su archivo robots.txt o nuestra página de exclusión (sección 19). Las personas visibles en una página verificada pueden oponerse al tratamiento conforme a la sección 27 y solicitar la eliminación de un informe o captura de pantalla.

8. Su cuenta de cliente

Para clientes y miembros de equipos invitados.

8.1 Registro y cuenta

Para una cuenta tratamos su correo electrónico y su contraseña (solo como hash; no conocemos la contraseña en sí), así como su nombre y, en la medida en que los proporcione, apellidos y empresa, además de idioma, tema, moneda, plan, momentos de registro y último inicio de sesión y dirección IP del último inicio de sesión. Confirma su correo electrónico mediante un enlace válido durante 72 horas; eliminamos después de 30 días las cuentas que nunca se confirman. Si cambia su correo electrónico, el nuevo solo se aplica después de confirmarlo mediante un enlace enviado a esa dirección.

Base jurídica: art. 6(1)(b) del RGPD (contrato); para la dirección IP del último inicio de sesión, art. 6(1)(f) del RGPD (protección de su cuenta, sección 8.2). Requisito: el correo electrónico, el nombre y la contraseña son necesarios para celebrar un contrato; solo proporciona su dirección de facturación y número de identificación a efectos del IVA para los planes de pago, a Stripe (sección 18).

8.2 Inicio de sesión y seguridad

• intentos de inicio de sesión con correo electrónico, dirección IP y resultado: 7 días, para combatir la adivinación de contraseñas; además, contadores de intentos de inicio de sesión por cuenta (para una dirección desconocida, por dirección ingresada), por cuenta y dirección IP y por dirección IP, de intentos de segundo factor y confirmaciones de contraseña por cuenta, de correos de restablecimiento de contraseña por correo electrónico, de registros por dirección IP y de intentos de contraseña de un portal de clientes por portal y dirección IP, que almacenamos solo bajo una clave seudónima (HMAC), sin el correo electrónico ni la dirección IP en texto claro, y que expiran con su ventana temporal (actualmente 15 minutos, una hora para restablecimientos de contraseña y registros);
• dispositivos con sesión iniciada con dirección IP, navegador, sistema operativo y tipo de dispositivo, para que pueda verlos en Configuración y cerrar sus sesiones: hasta 90 días después del último uso;
• si está activado el inicio de sesión de dos factores, su secreto (cifrado) y sus códigos de recuperación (solo como hash);
• los enlaces para restablecer la contraseña son válidos durante una hora;
• un registro de auditoría de acciones importantes, como “dominio creado”, “alerta configurada” o “configuración modificada”, con hora, cuenta que actúa, dirección IP y país: 365 días.

Base jurídica: art. 6(1)(f) del RGPD; nuestro interés legítimo es proteger su cuenta y el Servicio y garantizar la trazabilidad de los cambios en un espacio de trabajo en el que trabajan varias personas.

8.3 Registro de la celebración del contrato

Al registrarse, dejamos constancia de qué versión de las Condiciones del Servicio y del Acuerdo de Tratamiento de Datos aceptó y qué versión de esta Política de Privacidad conoció, en cada caso con el texto completo, su hash, la hora, la dirección IP y el identificador del navegador. Esto sirve como prueba de la celebración del contrato (art. 6(1)(b) y (f) del RGPD). Conservamos este registro mientras exista la cuenta. Después de eliminar la cuenta, lo eliminamos en cuanto el consentimiento cumple cuatro años, porque las preguntas sobre la celebración del contrato suelen surgir precisamente después de su terminación.

8.4 Espacios de trabajo, equipo e invitaciones

Una cuenta trabaja en uno o varios espacios de trabajo. Si invita a alguien, enviamos a esa persona un correo con el nombre del espacio (de forma predeterminada, el nombre de su empresa o su nombre) y un enlace para aceptar; para la invitación también almacenamos el rol previsto y quién la envió. Los miembros de un espacio de trabajo ven quién pertenece a él y con qué rol. Si usted es una persona invitada, obtuvimos su correo electrónico del miembro que le invitó (art. 14(2)(f) del RGPD). Eliminamos las invitaciones no aceptadas cuando expiran después de 14 días y las aceptadas 30 días después de la aceptación. Se puede asignar un formulario monitoreado a una persona responsable del equipo y establecer un plazo para la corrección; para ello solo almacenamos la asignación a la cuenta y el plazo. Base jurídica: art. 6(1)(b) del RGPD respecto del cliente; respecto de la persona invitada, art. 6(1)(f) del RGPD (el cliente desea trabajar con esa persona).

8.5 Ayuda de nuestro soporte

Para ayudarle con un problema, nuestro soporte puede consultar su cuenta tal como usted la ve. Cada acceso de este tipo queda registrado en el registro de auditoría y aparece en su exportación de datos. Base jurídica: art. 6(1)(b) del RGPD si solicitó ayuda y, en caso contrario, art. 6(1)(f) del RGPD (resolución de problemas).

8.6 Exportación y eliminación

En Configuración puede descargar los datos almacenados para su cuenta como archivo JSON, sin hashes de contraseñas ni secretos y sin los datos de otros miembros. Este archivo no contiene resultados de verificaciones, hallazgos ni incidentes (solo los intentos de entrega de escalamiento por destinatario de alertas); están disponibles como informes en la cuenta y como archivo previa solicitud. Ahí también puede eliminar su cuenta por su cuenta; no necesita enviar un correo. Una suscripción de pago activa termina de inmediato, por lo general sin reembolso (las excepciones se indican en las Condiciones del Servicio); quien desee utilizar el periodo pagado debe primero cancelar en Facturación con efecto al final del periodo. Si el contrato de su cuenta termina de otra forma, por ejemplo mediante una terminación por nuestra parte, puede exportar sus datos hasta el final del contrato y eliminamos la cuenta como máximo 30 días después de que termine. Junto con la cuenta eliminamos de inmediato sus espacios de trabajo con los datos vinculados, incluidos dominios, resultados de verificaciones y capturas de pantalla, alertas, incidentes, registros de evidencias, configuración de marca, portales de clientes con suscriptores, la lista de sus verificaciones de clientes potenciales (sus informes siguen accesibles hasta cumplir 90 días), claves de API, códigos de conexión masiva y credenciales de prueba. Si alguien más sigue trabajando en uno de sus espacios, ese espacio pasa a otro miembro, dando prioridad a los administradores y, entre ellos, al de mayor antigüedad, en lugar de eliminarse. Lo siguiente permanece hasta que termine su propio periodo de conservación: el registro de auditoría y el de visitas a páginas con el número de su antigua cuenta, los correos enviados (30 días, sección 11), el registro de celebración del contrato (8.3), las solicitudes de soporte (sección 17), los datos de facturación durante el plazo exigido por la legislación fiscal, los datos de comisiones y códigos de activación canjeados, para los que actualmente no existe periodo de conservación (sección 18), y los respaldos (3.4).

9. Dominios, verificaciones y monitoreo

Para clientes. En la medida en que se vean afectados datos personales de terceros, actuamos por cuenta del cliente.

9.1 Dominios y verificación

Para cada dominio de su cuenta almacenamos el nombre, la prueba de su autorización (registro DNS, metaetiqueta, archivo o plugin), los resultados de las verificaciones y su configuración, como frecuencia, ventana de mantenimiento, notas, etiqueta de cliente y valor estimado de una consulta. La frecuencia depende de su plan y llega hasta verificaciones diarias.

9.2 Monitoreo de información disponible públicamente

Entre verificaciones consultamos información disponible públicamente sobre su dominio:

• registros DNS (SPF, DMARC, MX), el certificado TLS y los encabezados de seguridad;
• la fecha de expiración del dominio mediante el servicio RDAP del registro correspondiente; solo se transmite el nombre de dominio;
• la disponibilidad de sus páginas de formularios (pulso del formulario, cada 10, 15 o 30 minutos según el plan);
• las páginas públicas de estado de los servicios de CAPTCHA y correo que utiliza su sitio web; al hacerlo no transmitimos nada sobre usted;
• vulnerabilidades de seguridad conocidas en plugins de formularios, CAPTCHA y correo y, semanalmente para dominios verificados, en el CMS, plugins y tema, cuyas versiones leemos desde el exterior en su página de inicio. La comparación se hace con la base de datos abierta WPVulnerability; solo se transmiten el identificador de un plugin o tema (sin versión) y la versión de WordPress, no su dominio;
• diariamente, si las direcciones de su servidor web, la dirección del servidor del que llegó el último correo de su formulario (a partir de la verificación de entrega), su dominio o el dominio del remitente de ese correo están en listas de bloqueo DNS para spam (SpamCop, PSBL, Mailspike, SURBL); solo se consultan dominios y direcciones IP de servidores, no datos de visitantes;
• si está configurado, si Google Web Risk identifica su página de inicio como página de malware o phishing; solo se transmite la dirección de la página de inicio;
• semanalmente para dominios verificados, si hay archivos expuestos que nunca deberían ser públicos (como una copia de respaldo de la configuración o un volcado de base de datos). Al hacerlo leemos como máximo los primeros 8 KB de un archivo para reconocerlo y solo almacenamos la ruta, el tipo y la gravedad del hallazgo, nunca el contenido.

9.3 Recorridos de formularios y verificaciones en navegador

Para los formularios monitoreados almacenamos direcciones de formularios, selectores, clics previos y pasos sintéticos de verificación, la elección del navegador de verificación, el responsable y la fecha límite. Las verificaciones en navegador rellenan un formulario como máximo hasta el punto anterior al envío; no envían nada ni activan pedidos o pagos. Los resultados incluyen estado, categorías técnicas de error, mensajes de error depurados y tiempos, y pueden incluir una imagen pequeña del formulario con los campos de entrada enmascarados. Este enmascaramiento solo existe en las verificaciones en navegador; en las capturas de la verificación completa del rastreador no se oculta contenido (sección 7.1). Las mediciones de nuestros navegadores de verificación no son mediciones de sus visitantes.

Está prevista una segunda sonda independiente que confirme los resultados, pero actualmente no está configurada. Solo recibiría el dominio, la configuración depurada y el identificador de tarea, nunca credenciales de inicio de sesión, capturas de pantalla ni datos de visitantes; identificaremos a su operador de antemano en la lista de Subencargados del Tratamiento.

9.4 Verificación protegida por inicio de sesión

En los planes de pago, los propietarios y administradores de un espacio de trabajo pueden almacenar una cuenta de prueba de su propio sitio web para un dominio verificado, a fin de que el rastreador pueda leer formularios protegidos por inicio de sesión. Se aplica lo siguiente:

• El nombre de usuario y la contraseña se cifran en el servidor web con una clave que solo el servidor de escaneo puede descifrar; el servidor web, la base de datos y los respaldos solo los contienen en forma cifrada. Nunca se muestran, registran en logs ni devuelven por la interfaz; la interfaz de usuario solo muestra el primer carácter y la longitud del nombre de usuario. La copia cifrada adjunta a una tarea de verificación se borra después de la ejecución, como máximo después de una hora.
• La cuenta de prueba solo se utiliza en la verificación completa del rastreador, no en las verificaciones en navegador (9.3).
• Después de iniciar sesión, el rastreador lee como máximo cinco páginas indicadas. No envía nada, no toma capturas ahí (podrían mostrarse datos de cuenta) y no sigue enlaces para cerrar sesión, eliminar o cancelar.
• Si elimina las credenciales, sobrescribimos el valor cifrado y lo retiramos; también desaparece junto con el dominio.

Utilice solo una cuenta de prueba creada específicamente para este fin y que no contenga datos reales de clientes. Tratamos por cuenta de usted lo que el rastreador ve después de iniciar sesión.

9.5 Otras funciones

Inventario de scripts: Si lo activa, conservamos una lista de los scripts de sus páginas de formularios con dirección y suma de verificación, informamos sobre elementos nuevos o modificados y, al aprobarse uno, almacenamos quién lo aprobó, cuándo y con qué justificación. Accesibilidad: A partir de la última verificación, el Servicio puede generar un borrador de información de accesibilidad para sus formularios; los datos de empresa que ingrese para ello permanecen en su navegador. Comparativas: Para una comparación sectorial, evaluamos los resultados de todos los clientes solo de forma agregada; no aparecen sitios web individuales.

Base jurídica de la sección 9: art. 6(1)(b) del RGPD; para los datos personales de terceros que se hagan visibles durante una verificación, sus instrucciones conforme al Acuerdo de Tratamiento de Datos. Periodo de conservación: dominio, verificación, configuración, recorridos de formularios y credenciales de prueba hasta que los elimine, elimine el dominio o su cuenta; inventario de scripts y sus cambios hasta que elimine el dominio o su cuenta (no tienen un periodo de conservación separado); resultados de verificaciones, resultados de verificaciones en navegador y tiempos, como máximo 13 meses (la verificación más reciente se conserva mientras el dominio esté en la cuenta).

10. Notificaciones

Para los clientes y los destinatarios que ingresan.

Enviamos alertas e informes a los destinos que configura: correos electrónicos, direcciones de sus propios webhooks, Slack, Discord, Microsoft Teams, Google Chat o Telegram. Los canales de chat y webhooks están disponibles en los planes Pro y Business. Un mensaje contiene el dominio, el evento, una descripción breve y un enlace a su cuenta; para las alertas de verificaciones, el enlace al informe permite acceder a resultados y capturas sin iniciar sesión (Telegram solo recibe el enlace a la página del dominio en su cuenta, que requiere iniciar sesión); no contiene contenido de correos de formularios. Almacenamos:

• los destinos (correo electrónico, dirección de webhook o chat; para webhooks, un secreto de firma) hasta que los elimine o elimine el dominio;
• un registro de envío con hora, evento y resultado: 90 días;
• notificaciones agrupadas para informes diarios y semanales: hasta 30 días después del envío;
• incidentes con un enlace para confirmar su recepción: mientras estén sin resolver y, después, 180 días tras su resolución. Quien confirma la recepción de un incidente queda registrado con el nombre ingresado o su correo electrónico. Los incidentes sin confirmación pueden escalarse a otros destinos; para ello almacenamos, por destino, el número y las horas de los intentos de entrega (máximo cinco), si la entrega fue satisfactoria y cualquier error, mientras exista el incidente. Un incidente solo se cierra cuando se resuelve el problema; confirmar su recepción no lo termina por sí solo.

Telegram: Para Telegram operamos nuestro propio bot. Lo vincula mediante un enlace con un código de un solo uso válido durante 30 minutos; cuando pulsa “Start” en el bot, nuestro servidor obtiene ese mensaje de Telegram y almacena el identificador de su chat (ID de chat) como destino de alertas. Telegram también proporciona su nombre de Telegram en el proceso; no lo almacenamos. Eliminamos el código en sí después de un día como mínimo, en cuanto se crea otro código. El ID de chat se conserva hasta que elimina la alerta o el dominio.

Los servicios de chat tratan los mensajes conforme a sus propias condiciones y al contrato que usted mantiene con ellos; algunos tienen su sede fuera de la UE (sección 22). Para los destinatarios que no son clientes, actuamos por cuenta de usted; infórmeles.

Base jurídica: art. 6(1)(b) del RGPD; para los destinatarios que no son clientes, sus instrucciones. Requisito: no hay alerta sin un destino; las verificaciones se ejecutan de todos modos.

11. Correos que enviamos

Para clientes y todas las personas a las que escribimos.

Enviamos correos para confirmar su dirección, restablecer su contraseña, enviar invitaciones, alertas e informes, acusar recibo de solicitudes de soporte y notificar asuntos de su cuenta y facturación. Namecheap, Inc. (Private Email), Phoenix, Arizona, USA gestiona el envío y la recepción de nuestros correos. Namecheap, Inc., Phoenix, Arizona, USA, administra nuestro dominio y sus registros DNS; hasta que se configure el buzón en Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, Namecheap también reenvía correos generales a direcciones de nuestro dominio. Las copias de control de la verificación de entrega no pasan por ese reenvío. Conservamos los correos enviados, incluidos destinatario, asunto y contenido, durante 30 días para resolver problemas de entrega; no durante más tiempo, porque también contienen enlaces de confirmación y restablecimiento válidos.

Se envían tres correos sin su solicitud expresa:

• Informe mensual: al comienzo del mes, un resumen de las verificaciones y notificaciones de sus dominios. Puede cancelar la suscripción en Configuración.
• Recordatorio de configuración: un único correo entre dos y catorce días después del registro si su cuenta está confirmada pero aún no tiene un dominio verificado: “Añadir sitio web” o “Verificar dominio”, sin ninguna oferta, precio ni cambio a un plan superior. No vuelve a enviarse.
• Fin de la prueba: tres días antes de terminar una prueba, un aviso de lo que sucederá después.

Base jurídica: art. 6(1)(b) del RGPD para los correos que forman parte del contrato, incluidos el informe mensual y el aviso de fin de prueba; para el recordatorio de configuración, art. 6(1)(f) del RGPD, porque una cuenta sin dominio no puede utilizar el Servicio y muchos clientes simplemente olvidan configurarlo. No enviamos publicidad.

12. Insignia y registro de evidencias

Para los clientes que utilizan la insignia o el registro de evidencias y para los visitantes de sitios web con una insignia.

Insignia: Si integra nuestra insignia en su sitio web, el navegador de cada visitante de esa página carga la imagen de la insignia desde nuestro servidor. En el proceso recibimos los datos habituales de conexión —dirección IP, hora, identificador del navegador y página en la que aparece la insignia—, que solo se incorporan al registro del servidor web (14 días, sección 3.1), no al registro de visitas a páginas. La insignia no instala cookies, no inicia una sesión ni contiene scripts. La página pública de confirmación muestra el dominio, la clasificación y la fecha de la última verificación, sin hallazgos individuales; quien la abre es un visitante de nuestro sitio web (secciones 3 y 4). La base jurídica es el art. 6(1)(f) del RGPD; nuestro interés legítimo es servir la insignia que el cliente integra. El cliente lo menciona en su propia política de privacidad (bloques de texto).

Registro de evidencias: En los planes de pago puede generar un registro de las verificaciones para cada dominio y mes. Mediante su número de verificación, una página pública confirma el dominio, el periodo y las cifras principales, sin detalles. Para que después se pueda determinar si un registro se modificó, hacemos que lo firme una autoridad de sellado de tiempo. Solo le transmitimos un hash del registro, a partir del cual no se puede recuperar ningún contenido; actualmente se trata de Certum (Asseco Data Systems S.A., Poland) y, como alternativa en caso de falla, DigiCert, Inc. (USA). Los registros se conservan hasta que elimina el dominio. La base jurídica es el art. 6(1)(b) del RGPD.

13. Plugin de WordPress y extensión de TYPO3

Para los clientes que utilizan el plugin o la extensión y para los visitantes de sus sitios web.

13.1 Qué permanece en el sitio web del cliente

Nuestro plugin de WordPress y nuestra extensión de TYPO3 funcionan en el servidor del cliente. Lo que el plugin de WordPress almacena ahí permanece en ese sitio web; no tenemos acceso y su operador es el responsable del tratamiento:

• Cuarentena: envíos que la capa de protección retiene como spam, incluidos el contenido de los campos y la dirección de respuesta, durante un máximo de 14 días, para que un mensaje retenido por error pueda entregarse con un clic;
• Rescate de correos: copias de correos de formularios que no pudieron enviarse (destinatario, asunto, texto y líneas de encabezado como la dirección de respuesta; archivos adjuntos solo por nombre), durante un máximo de 30 días, para poder volver a enviarlos;
• Desafío computacional: el navegador del visitante resuelve una tarea pequeña propuesta por el propio sitio web; sin cookies ni servicios de terceros;
• Periodo de conservación: a petición, el plugin elimina las consultas almacenadas por determinados plugins de formularios después de 90, 180 o 365 días;
• Conteos de formularios (desactivados de forma predeterminada): visualizaciones, inicios de llenado, errores de validación e intentos de envío por formulario y, si se activa por separado, categorías de error por posición de campo, sin datos ingresados, nombres de campos, cookies ni identificadores persistentes de visitantes, durante un máximo de 14 días en el sitio web. Un identificador derivado de la dirección IP para limitar solicitudes expira después de un minuto y no se nos envía;
• Ayuda al visitante (se puede activar por separado): después de un error de envío, un aviso lleva de vuelta al formulario, que sigue abierto, y, si se desea, indica un correo electrónico; no lee datos ingresados, no almacena borradores ni vuelve a enviar nada por su cuenta;
• las reglas nuevas de spam pueden contabilizar localmente durante siete días sin retener nada.

El propio plugin de WordPress añade los párrafos adecuados a la guía de política de privacidad de WordPress; hay más textos en Texto de Política de Privacidad para su Sitio Web. La extensión de TYPO3 no almacena contenido de formularios; añade a cada página una metaetiqueta para verificar el dominio y realiza conteos.

13.2 Grabador

Con el grabador, un administrador que ha iniciado sesión en WordPress graba la ruta hacia un formulario de su propio sitio web. Conserva los selectores técnicos y pasos de navegación en el almacenamiento de sesión de su navegador durante un máximo de 15 minutos y transfiere la configuración seleccionada a la cuenta conectada. No lee datos ingresados. El grabador nunca se carga para los visitantes.

13.3 Qué se nos envía

El plugin y la extensión nos transmiten, según la función y, salvo una verificación del propio sitio web sin cuenta, solo mientras el sitio web está conectado a una cuenta:

• el nombre de host, una clave pública y un secreto con el que se identifica el sitio web, las versiones del plugin y del CMS, y el idioma;
• cifras diarias: envíos bloqueados por motivo, envíos aceptados, correos enviados y fallidos con el tipo de error, cifras de respuestas de reCAPTCHA y de consultas eliminadas automáticamente; si se activan los conteos, sus cifras diarias;
• características de la configuración de formularios como cifras, por ejemplo cuántos formularios usan la dirección del visitante como remitente, y las versiones de determinados plugins de formularios, CAPTCHA y correo de una lista fija;
• actualizaciones, activaciones y desactivaciones de plugins, temas y CMS con nombres y versiones, modo de mantenimiento y falla de un correo de formulario (solo el tipo de error);
• la configuración de un recorrido de formulario seleccionado por el grabador;
• para la protección colectiva (activada de forma predeterminada), los dominios de los enlaces de mensajes bloqueados. Los reportes de muchos sitios web generan una lista de dominios de spam que recuperan todos los plugins conectados. No transmitimos direcciones IP ni redes de remitentes para ello.

El plugin y la extensión no transmiten contenido de formularios distinto de estos dominios de enlaces, ni correos electrónicos, nombres o direcciones IP de visitantes. Eliminamos las cifras diarias y reportes de cambios después de 13 meses, las señales de protección colectiva después de 30 días y la información de un sitio web que no pertenece a ningún dominio de una cuenta después de 90 días sin contacto.

Base jurídica: art. 6(1)(b) del RGPD; para la protección colectiva, art. 6(1)(f) del RGPD (defensa conjunta contra spam en muchos sitios web). Esta información solo es un dato personal en casos excepcionales, por ejemplo si un nombre de host contiene el nombre de una persona.

14. Funciones para agencias

Para las agencias y las personas que tienen contacto con sus portales e informes.

• Portal de clientes: Una agencia puede dar a sus clientes acceso a un portal con los resultados de sus dominios. Quien se suscribe ahí al informe mensual proporciona su correo electrónico y lo confirma mediante un enlace (doble confirmación). Almacenamos la dirección, el idioma, la hora y dirección IP de la suscripción, la hora de confirmación y el último mes enviado. Eliminamos las suscripciones no confirmadas después de 30 días. Es posible cancelar la suscripción en cualquier momento mediante el enlace de cada correo; después conservamos el registro de la suscripción durante otros tres años, pero no más allá de la eliminación del espacio de trabajo de la agencia; si la agencia solo revoca el portal, los suscriptores permanecen almacenados. El portal y los informes aparecen con el nombre de la agencia; la agencia es el responsable del tratamiento y nosotros actuamos por su cuenta. La base jurídica de la agencia es el consentimiento del suscriptor.
• Marca propia: el nombre de empresa, sitio web, datos de contacto, colores y logo que almacena una agencia aparecen en sus informes y en el portal hasta que los modifica o elimina.
• Dominio propio: En el plan Business, una agencia puede mostrar el portal y los informes en su propio subdominio. Para ello verificamos diariamente sus registros DNS. La función no está habilitada actualmente.
• Verificación de clientes potenciales: Una agencia puede solicitar la verificación del sitio web de un cliente potencial sin envíos de prueba (sección 7). Comparte por sí misma el enlace a los hallazgos breves; nosotros no escribimos a nadie. Eliminamos la verificación después de 90 días. La agencia es la única responsable de contactar al cliente potencial.
• Claves de API y códigos de conexión masiva: Solo los almacenamos como hash con un prefijo corto, junto con su etiqueta, la hora del último uso (claves de API) o el número de canjes (códigos de conexión masiva) y el número de llamadas por minuto (durante al menos un día; se eliminan en llamadas posteriores).

Base jurídica: art. 6(1)(b) del RGPD respecto de la agencia; para suscriptores y clientes potenciales, consulte lo anterior.

15. Verificación de entrega

Para los clientes que la activan y los visitantes de sus sitios web. Respecto de los datos de los visitantes, somos el encargado del tratamiento del cliente.

La verificación opcional de entrega responde a la pregunta de si el correo de un formulario de contacto realmente se envía. Para ello, el cliente ingresa una de nuestras direcciones de control como copia oculta (BCC) en la configuración de correo de su formulario. Como resultado, no solo recibimos nuestro propio envío de prueba, sino una copia de cada correo del formulario, incluidas las consultas reales de sus visitantes con sus nombres, direcciones y mensajes.

Lo que hacemos con ellos, y nada más: una recuperación automática lee los encabezados y como máximo los primeros 8 KB del texto, asigna el correo mediante la dirección de control a un dominio y, cuando corresponde, a un envío de prueba, y verifica las características de autenticidad SPF, DKIM y DMARC. Después de procesarlo correctamente, se elimina el correo. Si falla la recuperación o eliminación, un correo puede permanecer en el buzón hasta la siguiente ejecución satisfactoria; el buzón está alojado en nuestro proveedor de servicios de correo (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Las copias se evalúan solo de forma automática.

En nuestra base de datos solo almacenamos la hora, la asignación al dominio y, cuando corresponde, el identificador del envío de prueba, durante 180 días, y el resultado técnico de autenticidad (SPF, DKIM, DMARC) del correo recibido más recientemente hasta que lo sustituya el siguiente correo o se elimine el dominio. Este resultado de autenticidad incluye la dirección IP del servidor de envío y el dominio de correo del remitente; este dominio solo se menciona en una alerta al cliente si no pertenece al sitio web. Si un formulario coloca la dirección del visitante como remitente, se trata del dominio del proveedor de correo del visitante. No almacenamos el contenido de los correos ni las direcciones completas de los remitentes. Si no llega una copia en unas horas después de un envío de prueba, se lo reportamos al cliente.

La recepción solo demuestra que la copia asignada llegó a nuestro buzón de control, no la recepción por el destinatario real ni un registro en un CRM. Los formularios por los que pasan categorías especiales de datos personales (como información de salud) no deberían conectarse a la verificación de entrega. El cliente informa a sus visitantes sobre este flujo de datos; hay un texto para ello en Texto de Política de Privacidad para su Sitio Web. Sin un buzón de control configurado, la verificación no está disponible.

Base jurídica: para el cliente, normalmente el art. 6(1)(f) del RGPD (recepción confiable de consultas); nosotros tratamos los datos siguiendo sus instrucciones (art. 28 del RGPD).

16. Modelo de lenguaje en nuestro propio servidor y “Fix it for me”

Para clientes y usuarios de la verificación gratuita.

Un modelo de lenguaje funciona en nuestro propio servidor de escaneo, no en un proveedor de IA. Ayuda a clasificar formularios (sección 7), resume los hallazgos de escaneos como un plan de acción priorizado para cuentas de pago y, con “Fix it for me”, inserta protección en el código de formulario que usted pega. El código pegado se procesa solo para esta solicitud, no se almacena ni se utiliza para entrenamiento; en el registro de auditoría solo registramos que se utilizó la función, con el lenguaje de programación, la longitud del código y el resultado (también para la cuota diaria). No pegue credenciales de inicio de sesión ni datos personales. “Fix it for me” funciona sin acceso a su sitio web; usted inserta el código. Más información en Reglamento de IA de la UE: Cómo utiliza formexposed la IA. Base jurídica: art. 6(1)(b) del RGPD.

Planes de acción en informes de pago. Para las verificaciones de dominios en cuentas de pago que cumplan los requisitos, el mismo modelo local también redacta un plan de acción breve y priorizado a partir del nombre de host, resultado general y puntuación, CMS, tipo de formulario pertinente y dirección de página, cualquier plugin identificado y hallazgos seleccionados negativos o no concluyentes. Para este fin no recibe capturas de pantalla ni valores enviados en formularios. El plan se identifica como un resumen de IA; los hallazgos individuales siguen siendo los que prevalecen. No modifica el sitio web ni el resultado del escaneo. La solicitud se almacena temporalmente en nuestra cola interna de tareas. Después de recoger el resultado, se elimina la entrada de la cola; una limpieza programada también elimina las entradas de cola de más de una hora. El texto generado, idioma, estado y marca de tiempo se almacenan con el resultado del escaneo y siguen su periodo de conservación, incluida la conservación de la última verificación completada de cada dominio y la eliminación al eliminarse el dominio.

Roles para el plan de acción. Se aplica la misma distinción que para la verificación subyacente. Cuando verificamos un dominio verificado de un Cliente siguiendo sus instrucciones, la etapa del plan de acción forma parte de ese tratamiento por su cuenta; cuando una agencia actúa para su propio cliente, se aplica la cadena existente de responsable, encargado y subencargado del tratamiento. Para las verificaciones pasivas de dominios no verificados en las que nosotros mismos somos responsables del tratamiento, ese rol sigue siendo aplicable. El hecho de cumplir los requisitos para un informe de pago no demuestra por sí mismo el control del dominio ni modifica el rol en materia de protección de datos. La referencia anterior al art. 6(1)(b) se refiere a la prestación de la función solicitada al titular de la cuenta; no es una base jurídica general para datos personales incidentales de otras personas. Para las verificaciones pasivas en las que somos responsables del tratamiento se aplican la base, la evaluación del interés legítimo y las opciones de oposición descritas en la sección 7, incluido el art. 6(1)(f). Cuando actuamos siguiendo las instrucciones del Cliente, el Cliente u otro responsable del tratamiento debe establecer su propia base jurídica aplicable. Los nombres de host, las direcciones de páginas y las notas de los hallazgos pueden contener incidentalmente datos personales; la generación local no los hace anónimos.

17. Soporte, contacto y reportes de vulnerabilidades de seguridad

Para todas las personas que nos escriben.

Si nos escribe mediante la ventana de soporte o la página de contacto, tratamos su correo electrónico, mensaje, tema elegido, página desde la que escribe, idioma, dirección IP, país de esa dirección, identificador del navegador y, si inició sesión, número de cuenta, para responder a su solicitud y evitar el uso indebido del formulario. Recibe un acuse de recibo por correo en la dirección que proporcionó; si inició sesión, reproduce el comienzo de su mensaje (hasta 2,000 caracteres); en caso contrario no contiene su texto. Como todo correo enviado, se conserva durante 30 días (sección 11). Una señal de Telegram que no contiene contenido ni información sobre usted nos avisa de solicitudes nuevas. Si nos envía un correo, tratamos su dirección y su mensaje. Gestionamos los reportes de vulnerabilidades de seguridad de la misma manera. Eliminamos las solicitudes 24 meses después de recibirlas, aunque elimine su cuenta antes; documentan qué se preguntó y qué se respondió.

Base jurídica: art. 6(1)(b) del RGPD si la solicitud se refiere a un contrato con nosotros y, en caso contrario, art. 6(1)(f) del RGPD (respuesta, prevención de abusos, prueba). Requisito: sin un correo electrónico no podemos responder.

18. Pagos, prueba y programa de socios

Para los clientes con un plan de pago y los socios.

Facturamos los planes de pago mediante Stripe. El proveedor es Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ireland. Usted ingresa sus datos de pago directamente en Stripe; nosotros no los vemos. Stripe recibe su correo electrónico y su nombre, y durante el proceso de pago su dirección de facturación y, cuando corresponde, su número de identificación a efectos del IVA, y emite las facturas. Solo conservamos los identificadores de cliente y suscripción en Stripe, el plan, estado, final del periodo de facturación e identificadores y tipos de los eventos que Stripe nos reporta.

Puede iniciar una prueba sin tarjeta; sin un medio de pago termina automáticamente. Si un proveedor de hosting o socio le dio un código de activación, almacenamos qué cuenta lo canjeó y cuándo y hasta cuándo se aplica el plan.

Stripe también trata datos como responsable del tratamiento por derecho propio, por ejemplo para prevenir el fraude y cumplir obligaciones legales, y puede transferirlos a Stripe, Inc. en EE. UU. (sección 22). Más información en la política de privacidad de Stripe.

Programa de socios: El programa se ha desarrollado pero actualmente no está habilitado. Si se habilita, se aplica lo siguiente: cada cuenta tiene un código de recomendación. Quien se registra mediante un enlace de recomendación se asigna al socio durante un número limitado de meses; almacenamos la asignación y su momento y, para cada factura pagada, el importe neto y la comisión. El socio solo ve cifras —cuántas cuentas se registraron, cuántas están pagando y el total de sus comisiones—, sin nombres ni direcciones. Se aplican las Condiciones para Socios. Actualmente conservamos los datos de los socios, las asignaciones y las comisiones sin un periodo fijo de conservación, al igual que la información sobre códigos de activación canjeados; estableceremos un plazo de eliminación y lo indicaremos aquí.

Base jurídica: art. 6, apartado 1, letra b), del RGPD; para la conservación de los datos de facturación y, cuando sea necesario por motivos fiscales, de los datos de comisiones, art. 6, apartado 1, letra c), del RGPD; para la asignación a un socio, art. 6, apartado 1, letra f), del RGPD (liquidación de la comisión). Conservamos los datos de facturación durante el tiempo que exija la legislación fiscal; conforme al derecho polaco (art. 86 en relación con el art. 70 de la Ley General Tributaria polaca, Ordynacja podatkowa), por regla general hasta que hayan transcurrido cinco años desde el final del año natural en el que venció el impuesto. Requisito: no es posible contratar un plan de pago sin datos de pago; el plan gratuito sigue disponible.

19. Exclusión de un dominio (opt-out)

Para los operadores de sitios web que no desean que los verifiquemos.

Mediante la página de exclusión puede excluir un dominio de futuras verificaciones. La exclusión se aplica al dominio y a su variante con www, no a otros subdominios, y también frente a clientes de pago que hayan verificado el dominio; el monitoreo en curso termina con la siguiente verificación programada. Solo nosotros podemos levantarla, previa solicitud y prueba de que usted controla el dominio. Almacenamos el dominio, el motivo proporcionado voluntariamente, su dirección IP, el país de esta y el identificador del navegador. Eliminamos la dirección IP, el país y el identificador del navegador después de 12 meses; la exclusión en sí permanece de forma permanente, pues de lo contrario el dominio volvería a verificarse. Necesitamos esta información para aplicar su deseo de forma permanente y detectar si alguien excluye abusivamente dominios de otras personas. Base jurídica: art. 6, apartado 1, letra f), del RGPD; nuestro interés legítimo consiste en aplicar su deseo de forma permanente y detectar el uso abusivo del formulario. Si solicita la exclusión como ejercicio del derecho de oposición conforme al art. 21 del RGPD, la aplicamos de esta manera.

20. Para los visitantes de los sitios web de nuestros clientes

Para las personas que visitan un sitio web o envían un formulario en él y cuyo operador utiliza formexposed.

El responsable del tratamiento en ese sitio web es su operador, no nosotros. El operador decide qué funciones utilizar y debe informarle sobre ellas en su propia política de privacidad. Podemos recibir lo siguiente:

• Insignia: los datos de conexión de su navegador al cargar la imagen, durante 14 días en el registro del servidor web, sin cookie; en este caso somos responsables del tratamiento para entregar la imagen (sección 12).
• Verificación de entrega: una copia del correo electrónico enviado mediante su formulario, que se evalúa automáticamente y se elimina; somos encargados del tratamiento (sección 15).
• Plugin de WordPress y extensión de TYPO3: cifras diarias sin referencia a usted y, para la protección colectiva, los dominios de los enlaces de mensajes bloqueados; la cuarentena y el rescate de correos permanecen en el sitio web (sección 13).
• Portal de clientes: su dirección de correo electrónico si se suscribe a un informe allí; somos encargados del tratamiento de la agencia (sección 14).
• Protección de formularios (formconfirmed): si el operador la utiliza, su navegador obtiene una tarea de nuestro servidor al abrir la página y la resuelve en segundo plano; al enviar el formulario, el servidor del operador nos solicita verificar el resultado. Se tratan su dirección IP (almacenada solo de forma abreviada y como valor hash, durante una hora como máximo; como cualquier solicitud, 14 días en el registro del servidor web), la dirección de la página, el tiempo de llenado, si se llenó un campo invisible y, solo si el operador activa la revisión del contenido, el texto de su mensaje, que un modelo de lenguaje evalúa en la memoria de trabajo de nuestro propio servidor y no almacena. Sin cookies, sin almacenamiento en el navegador, sin huella digital. Somos encargados del tratamiento del operador (Acuerdo de Tratamiento de Datos, anexo 1, punto 10).

Lo más recomendable es ejercer sus derechos ante el operador del sitio web; el operador conoce el contexto y puede darnos instrucciones. Si se comunica con nosotros, remitimos su solicitud al operador o la atendemos nosotros mismos en la medida en que seamos responsables del tratamiento. Lo que podemos y no podemos encontrar al hacerlo se explica en Acceso, Supresión y sus Demás Derechos.

21. Destinatarios

Solo transmitimos datos personales en los casos indicados en esta política. No vendemos, alquilamos ni intercambiamos datos. Categorías de destinatarios:

Destinatario (domicilio social)	Categoría	Finalidad
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	encargado del tratamiento; lugar de tratamiento aún por verificar	envío y recepción de nuestros correos electrónicos; buzón de control de la verificación de entrega
Namecheap, Inc. (USA)	encargado del tratamiento	dominio, DNS; hasta que se configure el buzón, reenvío de los correos electrónicos generales a nuestro dominio (no de las copias de control de la verificación de entrega)
Stripe Payments Europe, Ltd. (Ireland), Stripe, Inc. (USA)	en gran medida responsable del tratamiento por cuenta propia; seguimos examinando la distribución exacta de las funciones	pagos y facturas
Google Ireland Ltd., Google LLC (USA)	responsable del tratamiento por cuenta propia	reCAPTCHA
Telegram (fuera del EEE)	destino elegido por el cliente; enviamos el mensaje mediante nuestro bot. Para nosotros también es un canal de notificación	alertas, si elige Telegram; señales operativas sin datos personales
Slack, Discord, Microsoft (Teams), Google (Chat), sus webhooks (en parte en EE. UU.)	destinos elegidos por el cliente	alertas
El público	–	enlaces de informes, páginas de confirmación, resultados del estudio (solo agregados)
Miembros de su espacio de trabajo	usuarios de la misma cuenta	colaboración, según la función
Autoridades, tribunales, CERT Polska, asesores	responsables del tratamiento por cuenta propia	solo cuando exista una obligación legal, para la formulación, el ejercicio o la defensa de reclamaciones, y en caso de uso indebido de nuestro Servicio o ataques a terceros (art. 6, apartado 1, letra c) o f), del RGPD)

Los siguientes no reciben datos personales: los servicios RDAP de los registros, localizados mediante el directorio de IANA, y, para la antigüedad del dominio en la verificación gratuita, el servicio de retransmisión rdap.org (solo nombres de dominio), WPVulnerability en wpvulnerability.net (solo el identificador de un plugin sin versión, el identificador de un tema o la versión de WordPress), las páginas de estado de los servicios CAPTCHA y de correo (nada más que la propia solicitud), las autoridades de sellado de tiempo Certum y DigiCert (solo hashes), las listas de bloqueo DNS SpamCop, PSBL, Mailspike y SURBL (solo dominios y direcciones IP de servidores), Google Web Risk, si está configurado (solo la dirección de la página de inicio), y los demás plugins conectados a la protección colectiva (solo dominios de spam). La lista completa y actualizada de nuestros encargados del tratamiento, con su domicilio social y la base de transferencia, está disponible en Subencargados del Tratamiento; anunciamos los cambios a los clientes con 30 días de anticipación.

22. Transferencias a terceros países

Si un destinatario tiene su sede fuera del Espacio Económico Europeo, solo transferimos datos si se cumplen las condiciones de los arts. 44 y siguientes del RGPD:

• EE. UU.: sobre la base de la decisión de adecuación de la Comisión Europea relativa al Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795, art. 45 del RGPD), en la medida en que el destinatario esté certificado en dicho marco. Seguimos verificando para esta versión si Google, Stripe y Namecheap están certificados para los servicios correspondientes y, por tanto, no lo afirmamos; cuando no exista certificación, sobre la base de las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914, art. 46, apartado 2, letra c), del RGPD).
• Nuestro proveedor de servicios de correo: seguimos verificando dónde trata los datos Namecheap, Inc. (Private Email), Phoenix, Arizona, USA y sobre qué base pueden transferirse a un tercer país. El estado actual se indica en la página Subencargados del Tratamiento.
• Servicios de chat y webhooks que usted elige: Slack, Discord, Microsoft Teams, Google Chat y los webhooks reciben sus alertas mediante una dirección que usted genera en su cuenta de ese servicio; la relación contractual con el proveedor y cualquier base necesaria para la transferencia a un tercer país son responsabilidad de usted.
• Telegram: destino elegido por el cliente; enviamos el mensaje mediante nuestro bot. Telegram tiene su sede fuera del EEE, en un país sin decisión de adecuación, y no tenemos cláusulas contractuales tipo con Telegram. Actualmente estamos haciendo que se examine sobre qué base de los arts. 44 y siguientes del RGPD se sustenta esta transferencia: se considera el art. 49, apartado 1, letra b), del RGPD, porque usted elige el canal. Elija Telegram solo si esto es suficiente para usted; el correo electrónico siempre permanece disponible como alternativa.

Puede obtener gratuitamente, previa solicitud a la dirección indicada en la sección 1, una copia de las garantías en las que basamos una transferencia. La decisión de adecuación y las cláusulas contractuales tipo también pueden consultarse en el Diario Oficial de la UE (eur-lex.europa.eu), y la lista de empresas certificadas en el Marco de Privacidad de Datos en dataprivacyframework.gov. Nuestros propios servidores están ubicados en Polonia; los datos que no recibe ninguno de los destinatarios mencionados no salen de la UE.

23. Resumen de los plazos de conservación

Los plazos de conservación se aplican mediante una ejecución nocturna y, en el caso del registro del servidor web, mediante su rotación diaria. Cuando se indica «con el dominio», los datos desaparecen de inmediato cuando elimina el dominio o su cuenta. Después permanecen en las copias de seguridad durante un máximo de 14 días (sección 3.4).

Datos	Eliminación
Registro del servidor web (incluidas las solicitudes de la insignia)	después de 14 días
Registro de visitas a páginas	después de 60 días
Registro de errores	después de 90 días
Registro de auditoría	después de 365 días
Intentos de inicio de sesión; límites de la verificación gratuita y de la herramienta de encabezados	después de 7 días
Marcas de comportamiento sospechoso (verificación gratuita)	90 días después de que se haya resuelto el caso
Dispositivos con sesión iniciada	90 días después del último uso
«Mantener la sesión iniciada»; cuentas nunca confirmadas; invitaciones aceptadas (las no aceptadas, al vencer)	después de 30 días
Informe sin cuenta, incluidas las capturas de pantalla	después de 30 días
Versión PDF de un informe en la caché	después de 7 días
Resultados de la herramienta de encabezados; verificación del sitio web de un cliente potencial	después de 90 días
Verificaciones para un estudio	cuando se publican sus resultados
Resultados de verificaciones, verificaciones con navegador y tiempos de un dominio en la cuenta	después de 13 meses (la verificación más reciente, mientras el dominio esté en la cuenta)
Dominio, configuración, recorridos de formularios, registros de evidencias, destinos de alertas, resultado de autenticidad del último correo del formulario	con el dominio
Inventario de scripts y sus cambios	con el dominio (no existe un plazo de conservación independiente)
Credenciales de prueba para la verificación detrás de un inicio de sesión	cuando las elimina, con el dominio; la copia adjunta al trabajo de verificación, después de la ejecución y, a más tardar, después de una hora
Cifras diarias e informes de cambios del plugin y la extensión, recuentos de formularios	después de 13 meses
Información de un sitio web con el plugin que no pertenece a ninguna cuenta	90 días después del último contacto
Señales de protección colectiva; notificaciones recopiladas para los informes diarios y semanales (desde el envío)	después de 30 días
Recuento de llamadas a la API; códigos de un solo uso para Telegram	como mínimo después de un día, en la siguiente llamada o código de este tipo
Registro de envío de alertas	después de 90 días
Asignaciones de verificación de entrega; incidentes con confirmación de recepción e intentos de entrega de escalamiento (se conservan los no resueltos)	después de 180 días; en el caso de los incidentes, desde su resolución
Copias de correos de formularios en el buzón de control	después del procesamiento; en caso de errores, con la siguiente ejecución correcta
Correos electrónicos enviados	después de 30 días
Solicitudes de soporte	después de 24 meses
Comentarios sobre un informe	después de 24 meses, de inmediato con la cuenta; la suma de comprobación de la dirección IP, después de 2 días
Dirección IP, país e identificador del navegador relacionados con una exclusión	después de 12 meses (el dominio permanece excluido)
Suscripciones no confirmadas al informe mensual en el portal de clientes	después de 30 días
Registro de una suscripción cancelada	tres años después de la baja
Cuenta y datos personales	cuando los elimina
Registro de la celebración del contrato	mientras exista la cuenta; después de su eliminación, en cuanto el consentimiento cumpla cuatro años
Datos de facturación	al vencer el plazo de conservación fiscal
Asignaciones y comisiones del programa de socios; códigos de activación canjeados	actualmente sin plazo fijo
Ejemplo de un tipo de error	actualmente sin plazo de conservación fijo
Copias de seguridad de la base de datos	después de 14 días
Protección de formularios: dirección IP abreviada y convertida en hash para reconocer solicitudes acumuladas; tokens de verificación usados; resultados de verificación sin dirección IP y sin texto (acción, puntuación, motivos, dominio); cifras diarias sin referencia personal	después de una hora; después de once minutos como máximo; después de 30 días; después de 400 días

24. Obligación de proporcionar datos

No tiene ninguna obligación legal de proporcionarnos datos. Para una cuenta, necesitamos su dirección de correo electrónico, su nombre y una contraseña; sin ellos no puede celebrarse un contrato. Para los planes de pago necesitamos los datos de facturación; para la verificación de entrega, un buzón de control; para las alertas, un destino. Toda la demás información es voluntaria. Los datos de conexión de los registros se generan técnicamente con cada solicitud; sin ellos, el servidor no puede responder. La consecuencia de no proporcionar algún dato se indica en la sección relativa al tratamiento correspondiente.

25. Decisiones automatizadas y elaboración de perfiles

No tomamos decisiones que produzcan efectos jurídicos sobre usted o le afecten significativamente de modo similar basándonos únicamente en el tratamiento automatizado (art. 22 del RGPD). No elaboramos perfiles de personas. Nuestras valoraciones —nivel de riesgo, calificación de encabezados, «protegido» en la insignia— se refieren a sitios web y formularios, no a personas.

Sin embargo, funcionan automáticamente mecanismos de protección que pueden rechazar solicitudes individuales sin que una persona las revise: la evaluación de reCAPTCHA y nuestra propia protección de formularios (sección 5), los límites y las marcas de la verificación gratuita (sección 6) y el bloqueo después de demasiados intentos de inicio de sesión (sección 8.2). Solo impiden el envío individual; un intento rechazado puede repetirse más adelante y el correo electrónico permanece disponible para cualquier solicitud. Si considera que un rechazo es incorrecto, escríbanos; una persona revisará el caso. También eliminamos automáticamente las cuentas que no se han confirmado 30 días después del registro.

26. Sus derechos

Conforme al RGPD, tiene los siguientes derechos. Para cada uno indicamos la forma más rápida de ejercerlo. Salvo indicación en contrario, basta con enviar un correo electrónico a contact@lukaswojcik.com. Respondemos sin dilación indebida y, en cualquier caso, en el plazo de un mes desde la recepción; en caso de solicitudes complejas o numerosas, el plazo puede ampliarse dos meses, en cuyo caso le informaremos de ello, con los motivos, dentro del primer mes (art. 12, apartado 3, del RGPD). El ejercicio de sus derechos es gratuito; solo en caso de solicitudes manifiestamente infundadas o excesivas podemos cobrar una tarifa razonable o negarnos a actuar respecto de la solicitud, y explicaremos los motivos (art. 12, apartado 5, del RGPD). Para no revelar datos de otras personas, podemos pedirle que presente la solicitud desde la dirección de correo electrónico de su cuenta; solo solicitamos pruebas adicionales si tenemos dudas razonables sobre su identidad, y únicamente en la medida necesaria (art. 12, apartado 6, del RGPD).

• Acceso (art. 15 del RGPD): Si tiene una cuenta, descargue la exportación de datos en Configuración; contiene los datos de la cuenta, del espacio de trabajo y de los dominios, sus inicios de sesión, actividades, solicitudes de soporte, correos electrónicos enviados y consentimientos. Puede ver los resultados de las verificaciones como informes en la cuenta. Puede obtener acceso completo, incluidos los datos que no contiene la exportación (por ejemplo, entradas del registro de errores o del registro del servidor web), junto con la información del art. 15, apartado 1, del RGPD, solicitándolo por correo electrónico. Si no tiene una cuenta —por ejemplo, para una exclusión, una solicitud de soporte o un informe—, envíe un correo electrónico indicando el dominio o la dirección correspondiente y la hora aproximada.
• Rectificación (art. 16): Puede modificar usted mismo su nombre, empresa, idioma y dirección de correo electrónico en Configuración, así como su dirección de facturación y número de identificación a efectos del IVA en el portal de clientes de Stripe, en Facturación; para todo lo demás, por correo electrónico.
• Supresión (art. 17): Puede eliminar usted mismo su cuenta, dominios, destinos de alertas y credenciales de prueba, así como revocar las claves de API (se eliminan con la cuenta); puede darse de baja del informe mensual de un portal de clientes mediante el enlace de cada correo electrónico. Puede solicitar por correo electrónico la eliminación de un informe, una captura de pantalla u otros datos. Lo que debemos conservar por motivos legales se indica en la sección 8.6.
• Limitación del tratamiento (art. 18): por correo electrónico, por ejemplo, si impugna la exactitud de los datos y la estamos verificando.
• Portabilidad de los datos (art. 20): La exportación de datos es un archivo JSON legible por máquina que usted mismo puede entregar a otro proveedor. Más información sobre el cambio de proveedor en Reglamento de Datos de la UE: Cambio de Proveedor y Exportación de Datos.
• Oposición (art. 21): consulte la siguiente sección.
• Retirada del consentimiento (art. 7, apartado 3): No basamos nuestro propio tratamiento en el consentimiento. Puede retirar su consentimiento al informe mensual de un portal de clientes mediante el enlace de cada correo electrónico; la retirada surte efecto para el futuro.

Para los datos que tratamos por cuenta de un cliente (sección 2), su punto de contacto es el cliente. Si aun así nos escribe, remitimos su solicitud al cliente y le ayudamos a responder. Encontrará instrucciones detalladas con todas las vías y limitaciones en Acceso, Supresión y sus Demás Derechos.

27. Derecho de oposición conforme al art. 21 del RGPD

En la medida en que tratemos datos sobre la base de intereses legítimos (art. 6, apartado 1, letra f), del RGPD), puede oponerse en cualquier momento por motivos relacionados con su situación particular. Dejaremos entonces de tratar los datos, salvo que podamos acreditar motivos legítimos imperiosos para el tratamiento que prevalezcan sobre sus intereses, derechos y libertades, o que el tratamiento sirva para la formulación, el ejercicio o la defensa de reclamaciones.

Esto se aplica en particular a la verificación de sitios web mediante nuestro rastreador (sección 7), los registros (sección 3), reCAPTCHA (sección 5), los límites de la verificación gratuita (sección 6), el recordatorio de configuración (sección 11), la insignia (sección 12) y la protección colectiva (sección 13).

La oposición no está sujeta a ninguna forma específica; basta con enviar un correo electrónico a contact@lukaswojcik.com. Como operador de un sitio web, también puede excluir por su cuenta futuras verificaciones en cualquier momento mediante robots.txt o la página de exclusión. No enviamos publicidad por correo electrónico, frente a la cual sería posible oponerse sin indicar motivos.

28. Reclamación ante una autoridad de control

Puede presentar una reclamación ante una autoridad de control de protección de datos si considera que tratamos sus datos de manera ilícita (art. 77 del RGPD). La autoridad competente para nosotros es:

Prezes Urzędu Ochrony Danych Osobowych (Presidente de la Oficina de Protección de Datos Personales, UODO)
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Poland
uodo.gov.pl

También puede dirigirse a la autoridad del Estado miembro en el que vive o trabaja o en el que se produjo la supuesta infracción; por ejemplo, en Alemania, a la autoridad de protección de datos de su estado federado. Esa autoridad remitirá la reclamación a la autoridad competente cuando sea necesario. Con gusto resolveremos antes su inquietud directamente con usted; esto no es un requisito.

29. Seguridad

Todas las conexiones con nuestro Servicio están cifradas con TLS; las conexiones dentro de nuestra red interna no están cifradas en su totalidad. Almacenamos las contraseñas, las claves de API y los códigos de recuperación solo como hashes, y los secretos del inicio de sesión de dos factores y las credenciales de prueba solo de forma cifrada. Los datos de los clientes se separan por espacio de trabajo; el servidor aplica los derechos de cada función, no solo la interfaz de usuario. Solo el propietario tiene acceso a los servidores; el rastreador funciona de forma aislada y no puede acceder a direcciones de la red interna. La descripción completa está disponible en Medidas Técnicas y Organizativas. Si tenemos conocimiento de una violación de seguridad de los datos personales, notificamos a la autoridad de control y, cuando sea necesario, a usted, de conformidad con los arts. 33 y 34 del RGPD; informamos sin dilación indebida a los clientes por cuya cuenta actuamos, de ser posible dentro de las 48 horas.

30. Otros documentos

Esta política es el resumen para los interesados. Encontrará los detalles en el Registro de Actividades de Tratamiento, en la lista de Subencargados del Tratamiento, en las Medidas Técnicas y Organizativas, en el Acuerdo de Tratamiento de Datos, en la Evaluación de Impacto relativa a la Protección de Datos y en Acceso, Supresión y sus Demás Derechos, Reglamento de IA de la UE: Cómo utiliza formexposed la IA y Texto de Política de Privacidad para su Sitio Web.

31. Cambios

Actualizamos esta política cuando cambian el Servicio o la situación jurídica, y lo hacemos antes de que comience cualquier nuevo tratamiento. Se aplica la versión publicada aquí; las versiones anteriores y los cambios realizados pueden consultarse en Cambios en los Documentos Contractuales. La versión que vio al registrarse se muestra en su exportación de datos. Si se produce algún cambio sustancial en el tratamiento de sus datos como cliente, también le informaremos por correo electrónico.

Esta política está disponible en todos los idiomas oficiales de la Unión Europea. En caso de discrepancias, prevalece la versión en polaco.