Acceso, supresión y sus demás derechos

Este documento se publica en varios idiomas. En caso de discrepancia entre las versiones lingüísticas, prevalecerá la versión polaca.

Versión 1.0 · Última actualización: 16 de octubre de 2026

Esta página explica cómo ejercer frente a formexposed sus derechos conforme al Reglamento General de Protección de Datos (RGPD): quién tiene qué datos en nuestro sistema, por qué vía obtiene acceso, una copia, la rectificación o la supresión, qué necesitamos de usted para ello y dónde están los límites. Complementa la Política de privacidad, que expone en detalle los fines, las bases jurídicas y los plazos de conservación.

1. Quién puede solicitarnos qué

formexposed comprueba formularios de contacto en sitios web. Por ello tratamos con personas muy diversas: clientes con cuenta, miembros de equipos, titulares de sitios web comprobados, visitantes de los sitios web de nuestros clientes y suscriptores de un portal de clientes. No todos nos han dejado los mismos datos, y que podamos atribuirle algo depende de su función. Para cada grupo, las secciones siguientes describen la vía. Cuando actuamos únicamente por cuenta de un Cliente, lo indicamos, porque entonces decide el Cliente, no nosotros. El RGPD protege a las personas físicas. Si el titular de un sitio web es una empresa, no tiene derechos propios conforme al RGPD; sí los tienen las personas cuyos datos aparecen en el sitio web. No obstante, respondemos a las empresas conforme a las mismas reglas en lo que respecta a su propio dominio.

2. Las vías de un vistazo

Usted es	Qué podemos tener sobre usted	Vía	Qué necesitamos de usted
Cliente con cuenta	Cuenta, espacios de trabajo, dominios, configuración, registros, consentimientos, solicitudes de soporte	Usted mismo en Configuración: exportación y eliminación	Inicio de sesión y su contraseña
Miembro de un equipo	Su propia cuenta; sus entradas en el registro de actividad del espacio de trabajo	Como los clientes; abandonar el espacio de trabajo	Inicio de sesión y contraseña
Persona invitada sin cuenta	Dirección de correo electrónico y función en la invitación	Correo electrónico a nosotros o a la persona que le invitó	Un mensaje desde la dirección invitada
Titular de un sitio web comprobado	Informes sobre su dominio, entrada de opt-out, datos del plugin sin cuenta	Página de opt-out, robots.txt, correo electrónico a nosotros	Dominio, enlace al informe; para más que el informe, prueba de que controla el dominio
Persona que aparece en un sitio web comprobado	Capturas de pantalla y direcciones de las páginas comprobadas en las que aparece	Correo electrónico a nosotros (sección 5.3)	Dominio y fecha aproximada, y el enlace al informe si lo tiene
Visitante del sitio web de un cliente	Casi siempre nada atribuible (sección 6)	Primero, el titular del sitio web	Sitio web, fecha y hora; para el distintivo, su dirección IP
Suscriptor de un portal de clientes	Dirección de correo electrónico, idioma, fecha, hora e IP de la suscripción, confirmación, baja	Enlace de baja en cada correo electrónico; en otro caso, la agencia	Un mensaje desde la dirección suscrita

Nuestra dirección para todo lo que no pueda hacer usted mismo: contact@lukaswojcik.com. También puede ejercer allí cualquier derecho sin utilizar antes las opciones de autoservicio; estas son simplemente la vía más rápida. También están disponibles la página de contacto y la ventana de soporte (signo de interrogación en la navegación).

3. Clientes con cuenta

3.1 Acceso y copia: la exportación de datos

En Configuración → Sus datos → «Descargar mis datos» recibe de inmediato un archivo JSON con lo que almacenamos sobre su cuenta. Es la vía más rápida para obtener la copia del Art. 15(3) RGPD y para la portabilidad de los datos (Art. 20). La demás información del Art. 15(1) (fines, destinatarios, plazo de conservación, origen, sus derechos) figura en la Política de privacidad; previa solicitud, la recopilaremos para su caso, junto con los datos que la exportación no contiene. La exportación requiere su contraseña y está limitada a tres descargas por hora, porque el archivo contiene direcciones IP y dispositivos, y una sesión abierta en el ordenador de otra persona no debería bastar para obtenerlo.

El archivo contiene su cuenta (nombre, dirección de correo electrónico, empresa, plan, último inicio de sesión con dirección IP), sus espacios de trabajo con su función y, para los espacios de trabajo de los que es propietario, los dominios con su configuración, destinos de alerta, formularios monitorizados, marca, portales de clientes incluidos los suscriptores, intentos de entrega de escalado y comprobaciones de clientes potenciales; además, sus claves de API (solo prefijo y etiqueta), dispositivos con sesión iniciada, intentos de inicio de sesión, registro de actividad, páginas visitadas, solicitudes de soporte, los correos electrónicos que se le han enviado (sin texto, porque aún pueden contener enlaces válidos) y las versiones de los textos legales que ha aceptado. Si nuestro soporte ha consultado su cuenta mediante «ver como el cliente», también se incluye.

Lo que el archivo no contiene: el hash de la contraseña, los secretos del inicio de sesión en dos pasos, tokens y claves: son elementos de seguridad, no información. Los datos de otros miembros de sus espacios de trabajo. Las facturas, que se encuentran en el portal de clientes de Stripe, en Facturación. Y los resultados concretos de las comprobaciones (hallazgos, capturas de pantalla, incidencias, registro de alertas); puede verlos en la cuenta y en los informes y, con el plan Business, también a través de la API. Si los desea como archivo, escríbanos; los recopilaremos en el plazo indicado en la sección 9. Más información en la página Reglamento de Datos de la UE: cambio de proveedor y exportación de datos.

3.2 Rectificación

Usted mismo modifica en la configuración su nombre, apellidos, empresa, idioma y dirección de correo electrónico; una nueva dirección de correo electrónico solo se aplica una vez que la confirme mediante el enlace del correo de confirmación. La dirección de facturación y el NIF-IVA se modifican en el portal de clientes de Stripe, en Facturación. Para todo lo demás, basta con un mensaje a nosotros (Art. 16 RGPD).

3.3 Supresión: dominio, espacio de trabajo, cuenta

Puede eliminar en tres niveles. Cada uno surte efecto de inmediato en la base de datos y no puede deshacerse. Descargue sus datos antes.

Retirar un dominio (acceso de escritura en el espacio de trabajo): elimina el dominio con todas las comprobaciones, incluidos formularios, hallazgos y capturas de pantalla, los informes (cuyos enlaces dejan de funcionar), tareas, destinos de alerta, registro de entregas e incidencias, conexiones de Telegram, asignaciones de la comprobación de entrega, mediciones del pulso, coincidencias de vulnerabilidades y registros probatorios (incluida su página pública de confirmación), así como los formularios monitorizados con sus pasos de comprobación, comprobaciones con navegador y mediciones, y las cuentas de prueba cifradas para el escaneo tras el inicio de sesión. Las cifras diarias del plugin y de la extensión también se eliminan en cuanto ninguna otra cuenta tenga el mismo dominio.
Eliminar un espacio de trabajo (solo el propietario): además, todos los dominios que contiene, como se ha indicado, la marca incluido el logotipo, los portales de clientes incluidos los suscriptores, los códigos de despliegue, las comprobaciones de clientes potenciales (sus informes solo caducan al final de su plazo de hasta 90 días), las invitaciones y las membresías.
Eliminar la cuenta (Configuración, con contraseña): en primer lugar finaliza en Stripe una suscripción en curso, de inmediato y, por regla general, sin reembolso del resto del período pagado (las excepciones figuran en las Condiciones del servicio); quien quiera aprovechar el resto de ese período debe cancelar antes en el área de Facturación con efecto al final del período. Si la finalización de la suscripción falla, la cuenta se mantiene, para que ninguna suscripción continúe sin cuenta. Los espacios de trabajo de los que es propietario pasan a otro miembro, en primer lugar a los administradores y, entre ellos, al más antiguo; los espacios de trabajo sin más miembros se eliminan con sus datos. También eliminamos sus membresías, dispositivos con sesión iniciada, el inicio de sesión «Mantener la sesión iniciada», sus claves de API incluidos los contadores, los códigos de Telegram abiertos y el propio registro de la cuenta.

Un espacio de trabajo que usted transfiere a un miembro no se elimina. El trabajo de un equipo no pertenece a la persona que creó el espacio de trabajo. Si quiere que también desaparezcan los dominios que contiene, elimine el espacio de trabajo antes de eliminar su cuenta, o acuérdelo con su equipo.

Sin plazo de conservación propio: El inventario de scripts de un dominio (la lista de scripts observados) y el registro de sus cambios se eliminan junto con el dominio, también cuando este desaparece con su espacio de trabajo o con su cuenta. No tienen un plazo de conservación propio: se conservan mientras exista el dominio. Si desea que se eliminen antes, los eliminamos cuando nos escriba.

3.4 Qué queda tras la supresión y por qué

Algunas cosas no las eliminamos en el mismo momento, porque sirven a otra finalidad o tienen su propio plazo de conservación. Expiran con ese plazo y después desaparecen. Si solicita la supresión anticipada de entradas que basamos en intereses legítimos (sobre todo registros y solicitudes de soporte), lo examinamos en cada caso y las eliminamos salvo que nuestros motivos prevalezcan sobre los suyos (Art. 17(1)(c), Art. 21(1) RGPD):

Registros: registro de actividad 365 días, registro de accesos a páginas 60 días, registro de errores 90 días, registro del servidor web 14 días, intentos de inicio de sesión 7 días, correos electrónicos enviados 30 días. Sirven a la seguridad y a la investigación de usos indebidos. Las entradas del registro de actividad y del registro de accesos a páginas conservan su antiguo número de cuenta, que tras la eliminación ya no remite a ninguna cuenta existente; la propia eliminación se registra para poder acreditarla posteriormente.
Solicitudes de soporte: 24 meses, para poder responder todavía a una consulta o reclamación posterior.
Prueba de la celebración del contrato: qué versión de las Condiciones del servicio, del Contrato de encargo del tratamiento y de la Política de privacidad aceptó y cuándo, con dirección IP e identificación del navegador. Se mantiene, porque precisamente tras la baja se plantea la cuestión de en qué se basaba el contrato (Art. 5(2), Art. 17(3)(e) RGPD), y se elimina una vez que la cuenta ya no existe y el consentimiento tiene más de cuatro años.
Las facturas y las operaciones de pago las conserva Stripe y están sujetas a conservación fiscal (en Polonia, cinco años a contar desde el final del año en que se devengó el impuesto, Art. 17(3)(b) RGPD).
Copias de seguridad: Los datos eliminados permanecen en las copias de seguridad de la base de datos hasta que estas se sobrescriben de forma ordinaria al cabo de 14 días. No restauramos una copia de seguridad para recuperar datos eliminados.

4. Miembros de equipos e invitados

Como miembro del espacio de trabajo de otra persona, tiene su propia cuenta con las mismas herramientas que en la sección 3: exportación, rectificación, supresión. Su exportación contiene sus membresías, pero no los dominios de espacios de trabajo de otros propietarios: de ellos es responsable su propietario. Puede abandonar un espacio de trabajo en cualquier momento; el propietario puede retirarle. Lo que hizo en el espacio de trabajo queda registrado en el registro de actividad y expira al cabo de 365 días. Si dejó un nombre o una dirección de correo electrónico como persona que confirma una incidencia o como destinatario de una alerta, esos datos los gestiona el propietario del espacio de trabajo; actuamos por cuenta del propietario y le remitimos cualquier solicitud.

Si fue invitado sin crear una cuenta, almacenamos su dirección de correo electrónico y la función prevista hasta que la invitación caduca al cabo de 14 días; el proceso nocturno la elimina entonces. Eliminamos una invitación aceptada 30 días después de su aceptación. Si desea que una invitación abierta desaparezca de inmediato, escríbanos desde la dirección invitada.

5. Titulares de sitios web comprobados sin cuenta

5.1 Qué podemos tener sobre su dominio

Informes de la comprobación gratuita: direcciones de las páginas comprobadas, la estructura de los formularios (sin valores), las medidas de protección detectadas y capturas de pantalla, que no se censuran. Se eliminan al cabo de 30 días.
Comprobaciones de su sitio web como cliente potencial por parte de una agencia: 90 días. Comprobaciones para un estudio: hasta su publicación, que solo contiene cifras agregadas sin los nombres de los sitios web.
Una entrada de opt-out, si alguien ha excluido su dominio: dominio y motivo, de forma permanente; dirección IP, país e identificación del navegador de la persona que realizó la entrada durante 12 meses.
Datos del plugin sin cuenta: Si nuestro plugin de WordPress o la extensión de TYPO3 funcionan sin conexión a una cuenta, conocemos el host y las versiones; eliminamos cada noche las cifras diarias de un host sin cuenta, y el host 90 días después del último contacto.

Estos datos pasan a ser personales sobre todo cuando en una página comprobada o en una captura de pantalla puede verse a una persona, por ejemplo el nombre de una persona de contacto junto al formulario.

5.2 Oposición: poner fin a las comprobaciones

Lo más rápido es mediante robots.txt (User-agent: FormExposedBot / Disallow: /) o la página de opt-out. Ambos surten efecto de inmediato, sin prueba, tanto para las comprobaciones anónimas como para las comprobaciones de clientes, incluso si un cliente ha verificado el dominio; la monitorización en curso finaliza con la siguiente comprobación prevista. El opt-out se aplica al dominio y a su variante www, no a otros subdominios; solo nosotros podemos levantarlo, previa solicitud y con prueba. El robots.txt surte efecto si el Disallow abarca la página de inicio. La exclusión impide comprobaciones futuras; no elimina los informes existentes, que caducan al final de su plazo de conservación. Más información sobre el rastreador en la página FormExposedBot.

5.3 Solicitar la eliminación anticipada de un informe

Envíenos el enlace al informe. Cualquiera que tenga el enlace puede leer el informe de todos modos; por ello, no exigimos ninguna otra prueba para la eliminación. Sin el enlace, indique el dominio y la fecha aproximada, y lo buscaremos.

Proceda del mismo modo si usted, como persona, aparece en una página comprobada o en una captura de pantalla, por ejemplo como persona de contacto junto a un formulario, y solicita el acceso o la supresión. Si la comprobación pertenece a un dominio para el que un cliente ha aportado la prueba de control, actuamos por cuenta de ese cliente; en ese caso, le remitimos su solicitud y se lo comunicamos.

5.4 Acceso a información sobre un dominio y prueba de control

Quien solicita todo lo que tenemos sobre un dominio recibe datos a los que el enlace al informe por sí solo no da acceso. Antes de entregarlos, le pedimos que demuestre que controla el dominio, por uno de los métodos que también exigimos a los clientes: un registro TXT en el DNS bajo _formexposed.<your-domain> o un archivo en /.well-known/formexposed-verify.txt, en ambos casos con un valor que le indicamos. Como alternativa, basta un mensaje desde una dirección del mismo dominio que figure en el aviso legal del sitio web. Sin prueba, solo confirmamos si el dominio está excluido.

Lo que no entregamos: quién inició una comprobación: su dirección IP es un dato suyo, no de usted, y se elimina al cabo de siete días, salvo que se haya anotado para la prevención de abusos debido a un número llamativamente alto de comprobaciones. Si un cliente tiene su dominio en su cuenta, le comunicamos que es así y, si lo desea, le remitimos su solicitud. Si el cliente ha aportado la prueba de control del dominio, actuamos por su cuenta, y solo él entrega sus resultados. Si no existe dicha prueba, somos nosotros mismos los responsables del tratamiento; en ese caso, le indicamos el cliente como destinatario, en la medida en que lo solicite y no prevalezcan los intereses legítimos de este (Art. 15(1)(c), (4) RGPD). Los envíos de prueba de los clientes solo llegan a dominios para los que el cliente ha aportado la prueba de control (internamente, de este modo solo comprobamos nuestros propios dominios de prueba y demostración); si cree que falta esa prueba, comuníquenoslo.

6. Visitantes de los sitios web de nuestros clientes

El titular de un sitio web de terceros es responsable de sus datos en ese sitio web. El titular tiene el original de su mensaje. Trabajamos por cuenta del titular y, por regla general, no vemos nada que le identifique. En detalle:

Comprobación de entrega: Si el titular la ha configurado, una copia oculta del correo electrónico del formulario llega a nuestro buzón de control. Se lee automáticamente en la siguiente recogida (cabeceras y como máximo los primeros 8 KB), se asigna y se elimina; la recogida se ejecuta normalmente cada pocos minutos y, en caso de incidencias, un correo electrónico puede permanecer hasta el siguiente proceso correcto. En nuestra base de datos solo quedan la hora y la asignación al dominio y, junto al dominio, el resultado técnico de la comprobación de autenticidad del correo electrónico más reciente (SPF, DKIM, DMARC, dirección IP del servidor de correo emisor), que el siguiente correo electrónico sobrescribe; ni el contenido ni la dirección completa del remitente. El resultado de autenticidad contiene el dominio de correo electrónico del remitente, como el de su proveedor de correo; solo se menciona en una alerta al titular si no pertenece al sitio web. Tras el procesamiento, por tanto, ya no podemos encontrar su mensaje, y no hay nada que podamos atribuirle y entregarle.
Distintivo: Si su navegador carga la imagen del distintivo, su dirección IP, junto con la hora, la identificación del navegador y la página de referencia, se conserva en el registro de nuestro servidor web durante 14 días; el distintivo no instala cookies. Si nos facilita su dirección IP y la hora aproximada dentro de estos 14 días, comprobaremos si existen entradas y, previa solicitud, las eliminaremos. Sin dirección IP, una entrada no puede atribuirse a nadie.
Plugin de WordPress y extensión de TYPO3: la cuarentena, la red de seguridad y los registros permanecen en el sitio web del titular. A nosotros llegan cifras diarias, el inventario de plugins y, en el caso de un plugin de WordPress conectado, los dominios de los enlaces de mensajes bloqueados para la protección colectiva (activada por defecto), pero ningún otro contenido, ni direcciones, nombres o direcciones IP de visitantes. Aquí solo puede ayudarle el titular.

Por tanto, diríjase primero al titular. Si no puede contactar con él, escríbanos indicando el sitio web y la fecha; remitiremos la solicitud en la medida en que podamos identificar al titular. No podemos decidir sobre ella, porque ese es un derecho del titular.

7. Suscriptores de un portal de clientes

Una agencia ofrece el informe mensual de un portal de clientes con su propio nombre; la agencia es la responsable del tratamiento y nosotros actuamos por su cuenta. Puede darse de baja en cualquier momento mediante el enlace de cada correo electrónico, de inmediato y sin iniciar sesión. Después, conservamos el registro de su suscripción (dirección, idioma, fecha, hora y dirección IP de la suscripción, confirmación, baja) durante tres años más para que la agencia pueda demostrar que usted dio su consentimiento; si la agencia elimina su espacio de trabajo, también junto con su cuenta si no hay nadie más en él, desaparece antes. Si solo revoca el portal, el registro sigue almacenado. Eliminamos una suscripción no confirmada al cabo de 30 días. El acceso y la supresión anticipada se solicitan a la agencia; si nos escribe desde la dirección suscrita, lo remitiremos a la agencia.

8. Oposición, limitación y retirada del consentimiento

Oposición (Art. 21 RGPD): al tratamiento basado en intereses legítimos, por ejemplo los registros o la comprobación de su sitio web. En ese caso dejamos de tratar estos datos, salvo que acreditemos motivos legítimos imperiosos que prevalezcan sobre sus intereses o los necesitemos para reclamaciones; le informaremos del resultado. Para las comprobaciones, el opt-out es la vía directa (sección 5.2). El informe mensual de su cuenta se da de baja en la configuración. El recordatorio tras el registro llega como máximo una vez y nunca más.
Limitación (Art. 18): Si impugna la exactitud de los datos o los necesita para un procedimiento judicial, previa solicitud los bloquearemos en lugar de eliminarlos.
Retirada del consentimiento (Art. 7(3)): Cuando el tratamiento se basa en su consentimiento (por ejemplo, el informe mensual de un portal de clientes), la retirada surte efecto para el futuro.

9. Plazos, verificación de identidad, costes

Plazo: Respondemos sin dilación indebida y, a más tardar, en el plazo de un mes a partir de la recepción (Art. 12(3) RGPD). Si una solicitud es excepcionalmente amplia, el plazo puede prorrogarse dos meses; se lo comunicaremos dentro del primer mes, indicando los motivos. Si no damos curso a la solicitud, le indicaremos en el plazo de un mes el motivo y la posibilidad de presentar una reclamación ante una autoridad de control (Art. 12(4)).

Identidad: Solo entregamos los datos a la persona a la que pertenecen. En la cuenta, basta con iniciar sesión con su contraseña. Por correo electrónico, respondemos a la dirección que corresponde a la cuenta, a la invitación o a la suscripción; si escribe desde otra dirección, le pedimos que confirme la solicitud desde la dirección registrada. Para los dominios se aplica la sección 5.4. Solo pedimos información adicional, como un documento de identidad, si persisten dudas razonables (Art. 12(6)), y entonces solo la estrictamente necesaria; en una copia de un documento de identidad puede tapar todo salvo su nombre y su foto, y la eliminamos tras la verificación. Nunca le pediremos su contraseña.

Costes: ninguno. Solo en el caso de solicitudes manifiestamente infundadas o excesivas podemos cobrar un canon razonable o negarnos a actuar (Art. 12(5)); en ese caso, lo motivaremos.

Destinatarios: Si rectificamos, suprimimos o limitamos datos que hemos comunicado a otros, lo notificamos a dichos destinatarios, salvo que sea imposible o exija un esfuerzo desproporcionado, y previa solicitud le informamos de quiénes son los destinatarios (Art. 19 RGPD).

10. Los límites, con claridad

Donde no almacenamos nada, no podemos entregar nada. Esto afecta sobre todo a los visitantes de los sitios web de nuestros clientes. De conformidad con el Art. 11 RGPD, no recogemos datos adicionales con el único fin de identificarle.
Respecto de los datos tratados por cuenta de un Cliente, decide el Cliente. Prestamos apoyo al Cliente conforme al Contrato de encargo del tratamiento y le remitimos las solicitudes, pero no eliminamos nada a sus espaldas.
La supresión es definitiva. No restauramos dominios, comprobaciones ni cuentas eliminados, ni siquiera a partir de una copia de seguridad (sección 3.4).
Lo que estamos obligados a conservar se mantiene hasta que finaliza la obligación, sobre todo las facturas y la prueba de la celebración del contrato (sección 3.4).

11. Contacto y reclamaciones

Envíe sus solicitudes a contact@lukaswojcik.com, a través de la página de contacto o de la ventana de soporte. El responsable del tratamiento es LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polonia. No hemos designado un delegado de protección de datos.

Puede presentar una reclamación ante cualquier autoridad de control de protección de datos, en particular en el Estado miembro en el que tenga su residencia habitual, su lugar de trabajo o el lugar de la supuesta infracción (Art. 77 RGPD). La autoridad competente para nosotros es el Presidente de la Oficina de Protección de Datos Personales (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa, Polonia. Cómo tramitamos las reclamaciones se explica en Reclamaciones.

¿En qué podemos ayudarle?