formexposed
Empezar

Contrato de encargo del tratamiento

Este documento se publica en varios idiomas. En caso de discrepancia entre las versiones lingüísticas, prevalecerá la versión polaca.

Versión 2.2 · Última actualización: 29 de octubre de 2026

Contrato de tratamiento de datos personales por cuenta de un responsable del tratamiento conforme al art. 28 del Reglamento General de Protección de Datos (RGPD)

entre el Cliente de formexposed como responsable del tratamiento (el «Cliente») y LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polonia, NIP (número de identificación fiscal polaco) 7252266190, como encargado del tratamiento («nosotros»).

Consideraciones preliminares: de qué trata este Contrato

formexposed comprueba la protección de los formularios de contacto de sitios web frente al spam y los abusos, los supervisa e informa de los cambios. Respecto de la mayoría de los datos que se generan en este proceso, somos nosotros mismos el responsable del tratamiento: para la cuenta de cliente, la facturación, la seguridad del Servicio, los registros y las comprobaciones sin cuenta. Nuestra Política de privacidad describe estos tratamientos; este Contrato no se aplica a ellos.

Algunas funciones, sin embargo, introducen en el Servicio datos personales de terceros, y es el Cliente quien decide sobre esos datos: copias de consultas reales de visitantes de su sitio web, las direcciones de las personas que reciben sus alertas, los datos de acceso de una cuenta de prueba, el código que nos entrega para trabajar con él. Tratamos estos datos únicamente por cuenta del Cliente. A ellos se aplica este Contrato. Qué funciones son en detalle se establece en el Anexo 1 al final de este Contrato.

El Contrato sigue el art. 28(3) RGPD y se inspira, en su estructura y contenido, en las cláusulas contractuales tipo de la Comisión Europea entre responsables y encargados del tratamiento (Decisión de Ejecución (UE) 2021/915). No las adopta literalmente, sino que describe el Servicio real. Cuando concretamos una obligación derivada del art. 28 RGPD, no debe rebajarse el nivel de protección del Reglamento.

§ 1 Objeto, ámbito y funciones

(1) El objeto de este Contrato es el tratamiento de datos personales por nuestra parte por cuenta del Cliente en la prestación del Servicio conforme a nuestras Condiciones del servicio. El objeto, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y las categorías de interesados se establecen para cada función en el Anexo 1.

(2) Este Contrato no abarca los tratamientos de los que somos nosotros mismos responsables, en particular la cuenta de cliente y los miembros de un espacio de trabajo, el inicio de sesión y la seguridad de la cuenta, la facturación, el soporte, los registros, las copias de seguridad de estos datos propios, la comprobación gratuita sin cuenta, las comprobaciones de dominios de la cuenta para los que el Cliente aún no ha acreditado el control, la comprobación de posibles clientes, el estudio, el distintivo y lo que transmiten el plugin de WordPress y la extensión de TYPO3: cifras diarias, el inventario de plugins y, en el caso de un plugin de WordPress conectado, los dominios de los enlaces de mensajes bloqueados para la protección colectiva (activada por defecto). Por lo demás, por la forma en que están construidas estas extensiones, estos datos no contienen contenidos, nombres, direcciones ni direcciones IP de visitantes. En cambio, las copias de seguridad, en la medida en que contengan Datos del Cliente, y el acceso a los Datos del Cliente para el funcionamiento, la resolución de incidencias y la seguridad forman parte del tratamiento por cuenta del Cliente; se les aplican el § 7(3) y el § 15(5).

(3) El Cliente es el responsable del tratamiento en el sentido del art. 4(7) RGPD respecto de los datos del Anexo 1. Si el propio Cliente actúa como encargado del tratamiento para un tercero, por ejemplo una agencia para sus clientes, somos subencargados del tratamiento respecto de esos datos. En tal caso, el Cliente garantiza que este Contrato es compatible con las obligaciones derivadas de su propio contrato y nos transmite las instrucciones del tercero únicamente a través de sí mismo.

(4) Celebración: el Contrato se celebra con el registro, junto con las Condiciones del servicio, con todo Cliente, aunque no utilice ninguna de las funciones del Anexo 1. Se celebra por vía electrónica; ello cumple el art. 28(9) RGPD. A tal efecto, almacenamos la versión mostrada, su suma de comprobación y la hora, la dirección IP y la identificación del navegador de la aceptación.

§ 2 Definiciones

Términos como «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento» y «violación de la seguridad de los datos personales» tienen el significado que les atribuye el art. 4 RGPD. Además:

  • Datos del Cliente son los datos personales que tratamos por cuenta del Cliente conforme al Anexo 1.
  • Subencargado del tratamiento es otro encargado del tratamiento al que recurrimos y que, al hacerlo, trata Datos del Cliente (art. 28(2) y (4) RGPD).
  • Espacio de trabajo es el área del Servicio en la que un Cliente gestiona sus dominios, ajustes y miembros. Todos los Datos del Cliente están asignados a un espacio de trabajo.
  • Forma de texto es toda declaración legible en un soporte duradero, en particular un correo electrónico.
  • Días son días naturales. Si el final de un plazo coincide con un sábado, domingo o día festivo en Polonia, finaliza el siguiente día hábil.

§ 3 Duración

(1) El Contrato se aplica mientras tratemos Datos del Cliente. Comienza con el registro y no finaliza por el mero hecho de que finalice un plan de pago: tras la cancelación, la cuenta continúa como cuenta gratuita y, con ella, en su caso, los Datos del Cliente. Finaliza cuando la cuenta se ha eliminado y ya no conservamos Datos del Cliente del Cliente, salvo en copias de seguridad hasta su expiración (§ 15).

(2) Las obligaciones que por su naturaleza siguen surtiendo efecto sobreviven a la extinción, en particular la confidencialidad, la supresión, la acreditación y la responsabilidad.

(3) Queda excluida la resolución ordinaria de este Contrato por sí solo, porque sin él no podrían tratarse Datos del Cliente mientras exista la cuenta. Si el Cliente desea ponerle fin, elimina su cuenta (§ 15(3)). Los derechos de resolución conforme al § 9(3) y al § 16 y los derechos de resolución conforme a las Condiciones del servicio no se ven afectados.

§ 4 Instrucciones

(1) Tratamos los Datos del Cliente únicamente siguiendo instrucciones documentadas del Cliente, inclusive con respecto a las transferencias a un tercer país o una organización internacional. Esto no se aplica cuando estemos obligados a realizar el tratamiento en virtud del Derecho de la Unión o de los Estados miembros que se nos aplique. En tal caso, informamos al Cliente de esa exigencia legal antes del tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público (art. 28(3), segunda frase, letra a), RGPD).

(2) Las instrucciones del Cliente están documentadas de forma exhaustiva en este Contrato, en las Condiciones del servicio y en los ajustes que el Cliente realiza en el Servicio. Ejemplos: configurar la comprobación de entrega es la instrucción de aceptar y evaluar copias de los correos electrónicos del formulario; crear un destino de alerta es la instrucción de enviar notificaciones a él; almacenar una cuenta de prueba es la instrucción de iniciar sesión con ella para el escaneo tras el inicio de sesión. El Servicio está construido de modo que solo hace lo que prevén estos ajustes.

(3) El Cliente imparte otras instrucciones en forma de texto a contact@lukaswojcik.com o a través de la ventana de soporte. Están facultados para impartir instrucciones el titular y los administradores del espacio de trabajo; las instrucciones mediante ajustes en el Servicio las imparte quien, según su función, esté autorizado a realizar el ajuste. El Cliente confirma sin dilación indebida en forma de texto una instrucción verbal; hasta entonces, podemos esperar antes de ejecutarla, salvo que la instrucción se refiera a la supresión o limitación de datos. Tratamos una instrucción que exceda del alcance de los servicios acordado como una solicitud de modificación de los servicios; podemos rechazarla o supeditarla a una remuneración que indicaremos previamente en forma de texto. No rechazamos por este motivo una instrucción relativa a una obligación derivada del RGPD, como una supresión.

(4) Si, en nuestra opinión, una instrucción infringe la ley, informamos de inmediato al Cliente (art. 28(3), párrafo segundo, RGPD). Podemos suspender su ejecución hasta que el Cliente confirme o modifique la instrucción. No ejecutamos una instrucción manifiestamente ilícita. No estamos obligados a realizar un examen jurídico exhaustivo de cada instrucción; la responsabilidad de su licitud sigue correspondiendo al Cliente.

§ 5 Limitación de la finalidad y lo que no hacemos con los Datos del Cliente

(1) Tratamos los Datos del Cliente únicamente para las finalidades del Anexo 1 y solo en la medida en que lo requiera la función correspondiente.

(2) No utilizamos los Datos del Cliente para fines propios. En particular, no los analizamos con fines publicitarios, no los vendemos, no los combinamos con datos de otros clientes para elaborar perfiles y no los utilizamos para entrenar modelos de lenguaje. El modelo de lenguaje que asiste en funciones concretas se ejecuta en nuestro propio servidor; no se envía nada a ningún servicio externo de IA.

(3) El Cliente nos permite elaborar a partir de los Datos del Cliente cifras agregadas que ya no puedan atribuirse a ninguna persona, ningún cliente ni ningún dominio, por ejemplo sobre entregas, errores o resultados de comprobaciones. La agregación es un tratamiento sujeto a este Contrato; las cifras resultantes ya no son datos personales ni Datos del Cliente. No intentamos volver a identificar a personas a partir de ellas.

§ 6 Obligaciones del Cliente

(1) El Cliente es responsable de la licitud del tratamiento que nos encarga. Ello incluye disponer de una base jurídica para él e informar a los interesados conforme a los arts. 13 y 14 RGPD.

(2) Si el Cliente utiliza la comprobación de entrega, informa a los visitantes de su sitio web en su política de privacidad de que se nos envía una copia del correo electrónico del formulario. El Servicio muestra un texto sugerido para ello en la página del dominio; hay otros bloques de texto disponibles en Texto para la política de privacidad de su sitio web. La sugerencia no sustituye la evaluación propia del Cliente.

(3) Para el escaneo tras el inicio de sesión, el Cliente crea una cuenta de prueba específica que solo tenga los derechos necesarios para leer las páginas indicadas y que no muestre datos reales de clientes, pacientes, socios o empleados. No almacena datos de acceso de una persona real ni datos de acceso que no esté autorizado a utilizar. Las normas de uso figuran también en Uso aceptable y abusos.

(4) El Cliente no hace tratar a través del Servicio categorías especiales de datos personales (art. 9 RGPD) ni datos relativos a condenas penales (art. 10 RGPD), en la medida en que pueda evitarlo. Al utilizar “Fix it for me”, no pega código que contenga datos personales reales y solo crea portales de cliente para personas que hayan solicitado el informe.

(5) Portales de cliente: para el informe mensual a los suscriptores, el responsable del tratamiento es el Cliente, normalmente una agencia. El Servicio obtiene la confirmación de cada suscriptor mediante un enlace de confirmación (doble opt-in) y ofrece la baja en cada correo electrónico. Corresponde al Cliente valorar si el consentimiento abarca el contenido del informe.

(6) Si el Cliente detecta errores o irregularidades en el tratamiento, nos informa sin dilación indebida.

(7) Si el Cliente integra el distintivo, ello no constituye un tratamiento por su cuenta; nuestra Política de privacidad describe el tratamiento correspondiente. El Cliente lo menciona en su política de privacidad.

§ 7 Confidencialidad

(1) Solo concedemos acceso a los Datos del Cliente a las personas que lo necesitan para sus tareas y que se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza estatutaria (art. 28(3), segunda frase, letra b), RGPD). El compromiso se mantiene una vez finalizada su actividad.

(2) Actualmente, el titular gestiona el Servicio personalmente. Si se incorporan otras personas, quedan obligadas a la confidencialidad e instruidas en el manejo de datos personales antes de tener acceso por primera vez.

(3) Solo accedemos a un espacio de trabajo en la medida en que sea necesario para el funcionamiento, la resolución de incidencias, el soporte o la prevención de abusos. La función de soporte «ver como cliente» está limitada a una hora, bloquea los cambios de contraseña, dirección, segundo factor, suscripción, exportación y eliminación, y queda registrada; el Cliente ve el acceso en su exportación de datos.

§ 8 Seguridad del tratamiento

(1) Aplicamos las medidas técnicas y organizativas conforme al art. 32 RGPD que garantizan un nivel de seguridad adecuado al riesgo. Se describen en la página Medidas técnicas y organizativas. Dicha página forma parte de este Contrato (Anexo 2) en la versión publicada en ella en cada momento. El Cliente pudo consultar la descripción antes de celebrar el Contrato. Si las medidas ofrecen un nivel de seguridad adecuado para el tratamiento que el Cliente nos encomienda lo valora el Cliente bajo su propia responsabilidad (art. 28(1) RGPD), en particular antes de activar una función del Anexo 1.

(2) La página solo describe medidas efectivamente aplicadas. Lo que está previsto pero aún no se ha aplicado se marca allí expresamente como «previsto» y no forma parte de las medidas a las que nos comprometemos hasta que se haya aplicado.

(3) Podemos adaptar las medidas al progreso técnico y a la evolución del Servicio siempre que el nivel general de protección no disminuya. Publicamos cada cambio con un nuevo número de versión y fecha en la página y en el resumen Modificaciones de los documentos contractuales. Si un cambio suprime sin sustitución una medida descrita anteriormente o la debilita, lo notificamos además al Cliente en forma de texto con al menos 30 días de antelación; el Cliente puede entonces oponerse como en el caso de un nuevo subencargado del tratamiento (§ 9(3)). Si una medida debe sustituirse con poca antelación para hacer frente a una amenaza, puede hacerse sin aviso previo siempre que el nivel de protección no disminuya por ello; en tal caso, la notificación se efectúa sin dilación indebida.

§ 9 Subencargados del tratamiento

(1) El Cliente nos otorga una autorización general por escrito para recurrir a subencargados del tratamiento (art. 28(2) RGPD). Los subencargados a los que recurrimos actualmente, con su domicilio social, finalidad, datos, lugar de tratamiento y base de cualquier transferencia a un tercer país, figuran en la página Subencargados del tratamiento. Dicha lista forma parte de este Contrato (Anexo 3) en la versión publicada en ella. Se considera otorgada la autorización para los subencargados allí indicados.

(2) Informamos al Cliente de cualquier incorporación o sustitución prevista de un subencargado del tratamiento con al menos 30 días de antelación mediante correo electrónico a la dirección del titular de la cuenta. La notificación indica el subencargado, su domicilio social, la función afectada, los datos, el lugar de tratamiento y la base de cualquier transferencia. Al mismo tiempo, el cambio anunciado se muestra en la página de subencargados y en el resumen de modificaciones.

(3) El Cliente puede oponerse en forma de texto dentro de esos 30 días si tiene un motivo objetivo relacionado con la protección de datos; indica el motivo en la oposición. En tal caso, buscamos una solución junto con el Cliente, por ejemplo seguir prestando la función afectada al Cliente sin el nuevo subencargado o desactivarla. Hasta que se encuentre una solución, no utilizamos el nuevo subencargado para los Datos del Cliente de este Cliente; si ello no es técnicamente posible, la función afectada se suspende para el Cliente. Si no se encuentra solución, el Cliente puede resolver el contrato del Servicio o del servicio afectado con efectos a partir de la fecha del cambio y, si solo le informamos después de esa fecha de que no es posible ninguna solución, con efecto inmediato en el plazo de 14 días desde dicha notificación. Por un periodo prepagado que, como consecuencia, ya no pueda utilizar, reembolsamos el importe proporcional. Nuestro derecho a la resolución ordinaria conforme a las Condiciones del servicio no se ve afectado.

(4) Imponemos contractualmente a cada subencargado del tratamiento las mismas obligaciones de protección de datos que este Contrato nos impone, en particular garantías suficientes de aplicar medidas técnicas y organizativas apropiadas (art. 28(4), primera frase, RGPD). Seleccionamos cuidadosamente a cada subencargado y comprobamos si existen estas garantías antes de recurrir a él, de nuevo si modifica sustancialmente sus condiciones y, en los demás casos, en la revisión anual de nuestras medidas. Cuando un subencargado solo aporta pruebas en forma de certificado, informe de auditoría o sus condiciones publicadas, basamos nuestra comprobación en dichas pruebas si son actuales y significativas. Previa solicitud, enviamos al Cliente una copia del contrato con el subencargado o de sus condiciones de protección de datos; podemos eliminar previamente secretos comerciales y otra información confidencial, como los precios.

(5) Si un subencargado del tratamiento incumple sus obligaciones de protección de datos, seguimos siendo responsables ante el Cliente del cumplimiento de sus obligaciones como si se tratara de nuestra propia conducta (art. 28(4), segunda frase, RGPD). Nuestra selección de un subencargado no traslada ninguna responsabilidad al Cliente. Si un subencargado incumple sus obligaciones contractuales y ello afecta a los Datos del Cliente de este Cliente, informamos al Cliente sin dilación indebida. Si hubiéramos desaparecido de hecho, dejado de existir jurídicamente o devenido insolventes sin que un sucesor legal asuma nuestras obligaciones, el Cliente debe poder exigir al subencargado que suprima o devuelva los Datos del Cliente; lo acordamos con cada subencargado en la medida en que este lo permita (cf. cláusula 7.7, letra e), de las cláusulas contractuales tipo 2021/915).

(6) No son subencargados del tratamiento los destinatarios a los que se envían datos únicamente porque el propio Cliente los configura como destino en el Servicio: servicios de chat (como Slack, Discord, Microsoft Teams, Google Chat) y direcciones de webhook para alertas. Configurar el destino es la instrucción de enviar allí la notificación; la relación contractual con estos proveedores y cualquier base necesaria para una transferencia a un tercer país son responsabilidad del Cliente. Nuestras propias obligaciones conforme a este Contrato hasta el momento de la entrega de la notificación no se ven afectadas. Telegram es igualmente un destino elegido por el Cliente, pero funciona de otro modo: enviamos el mensaje a través de nuestro propio bot al chat que el propio destinatario ha vinculado al bot, y Telegram lo trata fuera del Espacio Económico Europeo. Al elegir Telegram, el Cliente nos da instrucciones expresas de transferir allí las notificaciones (art. 28(3), segunda frase, letra a), RGPD); si Telegram debiera calificarse a este respecto como nuestro subencargado del tratamiento, la elección de este destino se considera al mismo tiempo una autorización específica conforme al art. 28(2) RGPD a tal efecto. La base del capítulo V RGPD en la que se apoya esta transferencia aún no se ha determinado de forma definitiva; quien desee evitar una transferencia sin una base determinada elige otro destino. Del mismo modo, no son subencargados los proveedores de servicios que se limitan a transmitir datos, como nuestro proveedor de acceso a internet.

(7) Gestionamos nosotros mismos en Polonia los servidores, la base de datos y la capacidad de cálculo, también para el modelo de lenguaje. No interviene ningún proveedor de alojamiento ni de nube.

§ 10 Transferencias a terceros países

(1) Nuestros propios servidores en los que tratamos Datos del Cliente se encuentran en Polonia; cuando un subencargado del tratamiento trata Datos del Cliente, el Anexo 3 indica la ubicación. Solo se realiza una transferencia a un país fuera del Espacio Económico Europeo si se cumplen las condiciones de los arts. 44 a 49 RGPD, y únicamente siguiendo instrucciones del Cliente conforme al § 4 o a un subencargado autorizado conforme al § 9.

(2) La base para cada subencargado del tratamiento (una decisión de adecuación, como la relativa al Marco de Privacidad de Datos UE-EE. UU. en el caso de destinatarios certificados, o cláusulas tipo de protección de datos conforme al art. 46(2)(c) RGPD) se indica en la lista de subencargados. Cuando la lista indica «pendiente de verificar» para un destinatario, no se le envían Datos del Cliente hasta que la base esté documentada. Si recurrimos a un subencargado fuera del Espacio Económico Europeo sin que se aplique una decisión de adecuación, acordamos con él las cláusulas contractuales tipo conforme a la Decisión de Ejecución (UE) 2021/914 (Módulo 3: de encargado a encargado), evaluamos previamente si la legislación y las prácticas del país de destino permiten cumplirlas, adoptamos las medidas complementarias necesarias y documentamos el resultado. El Cliente recibe un resumen de esta evaluación previa solicitud.

(3) En el caso de transferencias a destinos elegidos por el propio Cliente (§ 9(6)), el Cliente es responsable de la base.

§ 11 Asistencia con los derechos de los interesados

(1) Teniendo en cuenta la naturaleza del tratamiento, asistimos al Cliente, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que pueda responder a las solicitudes de los interesados conforme al capítulo III RGPD (art. 28(3), segunda frase, letra e), RGPD).

(2) Gran parte de ello puede hacerlo el propio Cliente en el Servicio: modificar o eliminar destinos de alerta, inicios de sesión de prueba y su propia marca; modificar o desactivar recorridos de formulario; revocar portales de cliente (sus suscriptores permanecen almacenados hasta que se elimina el espacio de trabajo); eliminar un dominio junto con sus datos; descargar una exportación de datos. Cuando esto no basta, ayudamos previa solicitud en forma de texto.

(3) Si un interesado se dirige a nosotros con una solicitud relativa a Datos del Cliente, no la respondemos nosotros mismos en cuanto al fondo, sino que la remitimos al Cliente sin dilación indebida y, a más tardar, siete días después de su recepción, en la medida en que podamos identificar al Cliente, e informamos a la persona de que lo hemos hecho. Si no podemos identificar al Cliente, indicamos a la persona qué información necesitamos para encontrarlo.

(4) Señalamos abiertamente una limitación: no almacenamos en la base de datos copias de los correos electrónicos de formulario de la comprobación de entrega, y el correo se elimina del buzón tras su procesamiento correcto o, en caso de error de recuperación o eliminación, con retraso. Por tanto, respecto de un visitante concreto, normalmente solo podemos decir que ya no conservamos ningún contenido.

(5) Si tenemos conocimiento de que los Datos del Cliente son inexactos o están desactualizados, informamos al Cliente sin dilación indebida. El Cliente puede entonces rectificarlos, suprimirlos o limitarlos él mismo en el Servicio o mediante una instrucción a nosotros.

§ 12 Asistencia en materia de seguridad, evaluación de impacto y consulta

(1) Teniendo en cuenta la naturaleza del tratamiento y la información a nuestra disposición, ayudamos al Cliente a garantizar el cumplimiento de sus obligaciones establecidas en los arts. 32 a 36 RGPD: seguridad del tratamiento, notificación y comunicación de violaciones, evaluación de impacto relativa a la protección de datos y consulta previa a la autoridad de control (art. 28(3), segunda frase, letra f), RGPD).

(2) Para ello facilitamos, en particular, la descripción de las medidas, la lista de subencargados del tratamiento y, previa solicitud, más información sobre flujos de datos y plazos de conservación. Publicamos nuestra propia evaluación de los riesgos del Servicio en la Evaluación de impacto relativa a la protección de datos; el Cliente puede utilizarla para su propia evaluación.

(3) Por la asistencia conforme a los §§ 11 y 12 que el Cliente no pueda prestarse a sí mismo mediante las funciones del Servicio o los documentos publicados, que requiera más de cuatro horas de trabajo por año natural y que no se deba a un incumplimiento de este Contrato o del RGPD por nuestra parte, podemos cobrar una remuneración por el tiempo que exceda de ello según una tarifa horaria que indicaremos previamente en forma de texto. La remisión de solicitudes y la notificación de violaciones son siempre gratuitas. No supeditamos la asistencia debida por ley al pago ni a un acuerdo sobre la remuneración.

§ 13 Violaciones de la seguridad de los datos personales

(1) Si tenemos conocimiento de una violación de la seguridad de los datos personales que afecte a los Datos del Cliente de este Cliente, la notificamos al Cliente sin dilación indebida, a ser posible en un plazo de 48 horas, mediante correo electrónico a la dirección del titular de la cuenta (art. 33(2) RGPD). Con ello se pretende no acortar el plazo de 72 horas que el Cliente debe respetar frente a la autoridad de control. Tenemos conocimiento de una violación en cuanto hemos determinado con una certeza razonable que un incidente de seguridad afecta a los Datos del Cliente de este Cliente; investigamos cualquier sospecha sin dilación indebida. Lo mismo se aplica a una violación en un subencargado del tratamiento en cuanto este nos la notifique.

(2) La notificación contiene, en la medida en que se conozca, la información del art. 33(3) RGPD: la naturaleza de la violación, incluido el momento o periodo en que se produjo, cuando sea posible con las categorías y el número aproximado de interesados y de registros afectados, un punto de contacto para obtener más información, las posibles consecuencias y las medidas adoptadas o propuestas. Lo que aún no se haya determinado en el momento de la primera notificación lo facilitamos sin más dilación indebida.

(3) Adoptamos de inmediato las medidas necesarias para poner remedio a la violación y mitigar sus consecuencias, y acordamos con el Cliente los pasos siguientes. Documentamos cada violación con los hechos, sus efectos y las medidas correctivas adoptadas, y ponemos la documentación a disposición del Cliente previa solicitud.

(4) La notificación a la autoridad de control o la comunicación a los interesados la realiza el Cliente. Nosotros solo lo hacemos siguiendo sus instrucciones.

(5) Recibimos en Seguridad las notificaciones de vulnerabilidades de seguridad que terceros encuentren en el Servicio.

(6) Una notificación y nuestra cooperación conforme a esta sección no constituyen un reconocimiento de incumplimiento de obligaciones ni de responsabilidad. Si una violación afecta también a datos de los que somos nosotros mismos responsables, cumplimos nuestras propias obligaciones conforme a los arts. 33 y 34 RGPD respecto de esos datos; al hacerlo, solo revelamos los Datos del Cliente de este Cliente en la medida necesaria para ese fin.

§ 14 Acreditación y auditorías

(1) Ponemos a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el art. 28 RGPD y permitimos y contribuimos a la realización de auditorías, incluidas inspecciones, por parte del Cliente o de otro auditor autorizado por él (art. 28(3), segunda frase, letra h), RGPD).

(2) Demostramos el cumplimiento principalmente mediante documentos: la descripción de las medidas, la lista de subencargados del tratamiento, el Registro de las actividades de tratamiento que abarca el tratamiento por cuenta de clientes (art. 30(2) RGPD), respuestas escritas a cuestionarios y, previa solicitud, extractos de registros o de los resultados de la prueba de restauración. Respondemos a los cuestionarios en el plazo de 30 días desde su recepción y, si existe un motivo conforme al apartado 4, con la rapidez que dicho motivo exija. Actualmente no existen informes de auditoría externa ni certificaciones; lo indicamos para que nadie suponga lo contrario.

(3) Si los documentos no son suficientes, el Cliente puede solicitar una auditoría, incluso in situ. El Cliente anuncia una auditoría ordinaria con al menos 30 días de antelación en forma de texto, indicando su objeto, la duración prevista y el auditor; se realiza durante el horario laboral habitual en Polonia y se programa de modo que el funcionamiento no se vea perturbado innecesariamente. Las auditorías ordinarias in situ se realizan como máximo una vez por año natural; el apartado 4 no se ve afectado.

(4) Sin plazo de espera fijo cuando existe un motivo urgente. En caso de violación de la seguridad de los datos personales, cuando existan indicios concretos de un incumplimiento de este Contrato o del RGPD y cuando una autoridad de control solicite una auditoría, no se aplican ni el plazo de preaviso de 30 días ni el límite de una auditoría al año. La auditoría se realiza entonces en cuanto el motivo lo exija y sea organizativamente posible.

(5) El Cliente puede encargar la auditoría a un auditor sujeto a confidencialidad que no ofrezca un servicio comparable a formexposed ni trabaje para un proveedor de ese tipo. Podemos exigir a los auditores que no se lleven ni registren secretos de otros clientes, datos de acceso ni datos de seguridad. El Cliente y su auditor tratan como confidencial lo que conozcan sobre nuestro funcionamiento durante una auditoría y solo lo utilizan para verificar el cumplimiento de este Contrato y del RGPD; pueden revelarlo a la autoridad de control competente, a asesores sujetos a confidencialidad y en la medida en que lo exija la ley. Tales acuerdos no deben frustrar los derechos de auditoría legales.

(6) Cada parte asume sus propios costes de una auditoría. Si nuestro esfuerzo total por las auditorías y cuestionarios de un Cliente supera las ocho horas por año natural, podemos cobrar una remuneración por el tiempo que exceda de ello según una tarifa horaria que indicaremos previamente en forma de texto, pero no si la auditoría pone de manifiesto un incumplimiento por nuestra parte o se realiza por un motivo conforme al apartado 4 del que seamos responsables. No supeditamos la propia auditoría al pago.

(7) Las facultades de las autoridades de control no se ven afectadas. La autoridad de control competente para nosotros es el Presidente de la Oficina de Protección de Datos Personales (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa. Ambas partes ponen a disposición de la autoridad de control competente, previa solicitud, la información conforme a esta sección, incluidos los resultados de las auditorías.

§ 15 Supresión y devolución

(1) Durante la vigencia se aplican los plazos de conservación del Anexo 1. Se hacen cumplir mediante un proceso nocturno que suprime conforme a los mismos ajustes que figuran también en los textos.

(2) Elección entre devolución y supresión. Una vez finalizado el tratamiento, el Cliente decide si devolvemos o suprimimos los Datos del Cliente (art. 28(3), segunda frase, letra g), RGPD). La devolución se realiza mediante la exportación de datos, que el propio Cliente puede descargar en los ajustes como archivo legible por máquina, o por nosotros previa solicitud en forma de texto en un plazo de 30 días, en cuyo caso abarca también los Datos del Cliente no incluidos en la exportación, en la medida en que puedan devolverse (apartado 4). La supresión se realiza eliminando un dominio, lo que suprime sus datos, o eliminando la cuenta, lo que el propio Cliente inicia. Si el Cliente desea tanto la devolución como la supresión, primero descarga la exportación y después elimina.

(3) Si el Cliente no elige y elimina su cuenta, ello equivale a elegir la supresión. Al eliminar la cuenta, los espacios de trabajo de los que el Cliente es el único titular se eliminan de inmediato en el sistema activo junto con todos los Datos del Cliente. Si un espacio de trabajo tiene otros miembros, pasa al miembro que pertenezca a él desde hace más tiempo, los administradores antes que los lectores, y no se elimina; dicho miembro pasa a ser así el Cliente respecto de ese espacio de trabajo. Quien no lo desee elimina a los demás miembros o los dominios antes de la eliminación. Si el contrato de la cuenta finaliza de otro modo, por ejemplo por nuestra resolución conforme a las Condiciones del servicio, indicamos al Cliente la exportación junto con la notificación de la resolución, y el Cliente puede descargarla hasta el final del contrato. A más tardar 30 días después del final del contrato, eliminamos la cuenta junto con los Datos del Cliente; actualmente esto se realiza manualmente.

(4) Indicamos de antemano lo que no puede devolverse: los datos de acceso para el escaneo tras el inicio de sesión no forman parte de la exportación porque el servidor web no puede descifrarlos (Anexo 1, punto 5); las copias de la comprobación de entrega ya no existen tras su procesamiento; el código de “Fix it for me” no se almacena en absoluto.

(5) Copias de seguridad. Se realiza una copia de seguridad de la base de datos cada noche. Cada copia de seguridad se suprime al cabo de 14 días. Los Datos del Cliente suprimidos en el sistema activo permanecen hasta entonces en las copias de seguridad anteriores; no se suprimen registros concretos de forma selectiva dentro de una copia de seguridad, porque una copia de seguridad debe ser una imagen inalterada de un momento determinado. Hasta su expiración, las copias de seguridad están protegidas como la propia base de datos y solo se utilizan para la restauración y para probar la restauración; no se consultan ni se analizan. Si tenemos que restaurar una copia de seguridad, volvemos a ejecutar, antes de que el Servicio vuelva a funcionar, las solicitudes de supresión posteriores a su fecha de las que tengamos conocimiento. Por tanto, un registro desaparece también de las copias de seguridad a más tardar 14 días después de su supresión en el sistema activo.

(6) En la situación actual, no tenemos ninguna obligación de conservar Datos del Cliente. Si surge una obligación legal de conservación conforme al Derecho de la Unión o polaco, limitamos el tratamiento de los datos afectados en lugar de suprimirlos, los utilizamos únicamente para ese fin y los suprimimos cuando expire la obligación.

(7) Previa solicitud, confirmamos la supresión en forma de texto en un plazo de 30 días, indicando lo que aún existe conforme a los apartados 5 y 6 y hasta cuándo.

§ 16 Incumplimientos, suspensión y resolución

(1) Si no podemos cumplir una obligación de este Contrato, por el motivo que sea, informamos al Cliente sin dilación indebida.

(2) Si incumplimos este Contrato o el RGPD, el Cliente puede exigirnos que suspendamos el tratamiento de los Datos del Cliente afectados hasta que se haya subsanado el incumplimiento. Si el incumplimiento persiste o es grave, el Cliente puede resolver el contrato del Servicio por causa justificada, en particular si no subsanamos el incumplimiento en el plazo de un mes desde que se nos notifique o no cumplimos una resolución de un tribunal o de una autoridad de control al respecto. Reembolsamos de forma proporcional las tarifas abonadas por adelantado correspondientes al periodo posterior al final del contrato.

(3) Si el Cliente insiste en una instrucción que consideramos ilícita conforme al § 4(4), podemos resolver el contrato del servicio afectado, siempre que se lo hayamos advertido previamente al Cliente y este no modifique la instrucción en el plazo de un mes.

(4) Tras la resolución, se aplica el § 15.

§ 17 Responsabilidad

(1) Por los daños sufridos por un interesado se aplica el art. 82 RGPD. Esta responsabilidad no queda restringida por ninguna limitación contractual de responsabilidad, incluida la de las Condiciones del servicio.

(2) Si una parte ha pagado una indemnización a un interesado conforme al art. 82 RGPD, puede reclamar a la otra parte la parte correspondiente a la cuota de responsabilidad de esta en el daño (art. 82(4) y (5) RGPD). Tampoco esta acción de repetición queda restringida por las limitaciones de responsabilidad de las Condiciones del servicio.

(3) Para todas las demás reclamaciones entre el Cliente y nosotros derivadas de este Contrato, por ejemplo la indemnización de daños o costes propios de una parte, se aplican las normas de responsabilidad de las Condiciones del servicio, en la medida en que lo permita la ley. Respondemos de los subencargados del tratamiento conforme al § 9(5) como de nuestra propia conducta. Una multa impuesta por una autoridad de control a una parte por su propia infracción la asume esa misma parte.

(4) Si un interesado o una autoridad de control presenta una reclamación contra una de las partes, esta informa a la otra sin dilación indebida, y ambas cooperan en el esclarecimiento de los hechos. Ninguna de las partes reconoce, sin el consentimiento de la otra, una reclamación por la que pretenda repetir contra ella; el consentimiento no puede denegarse sin un motivo objetivo.

§ 18 Punto de contacto y delegado de protección de datos

(1) El Cliente dirige las consultas sobre protección de datos relativas a este Contrato, las instrucciones y las notificaciones a contact@lukaswojcik.com o a través de la ventana de soporte y de la página Contacto. Nuestras notificaciones conforme a este Contrato se envían a la dirección de correo electrónico del titular de la cuenta; el Cliente la mantiene actualizada.

(2) No hemos designado un delegado de protección de datos porque, según nuestra evaluación, no se cumplen las condiciones del art. 37(1) RGPD. Si esto cambia, anunciaremos la designación en este Contrato.

§ 19 Disposiciones finales

(1) Prelación. Si una disposición de las Condiciones del servicio o de otro acuerdo es contraria a este Contrato, prevalece este Contrato en todas las cuestiones relativas al tratamiento de los Datos del Cliente; no se aplican las condiciones generales propias del Cliente. Las modificaciones y adiciones a este Contrato en un caso concreto requieren forma de texto y deben hacer referencia expresa a él; pasan a formar parte de este Contrato y prevalecen sobre él en el ámbito de sus disposiciones. Si este Contrato es contrario a disposiciones imperativas del RGPD, prevalecen dichas disposiciones.

(2) Modificaciones. Solo modificamos este Contrato por uno de los siguientes motivos objetivos: un cambio legislativo o en su interpretación por parte de tribunales y autoridades, incluso mediante nuevas cláusulas contractuales tipo de la Comisión Europea; un cambio en el Servicio, sus funciones o su base técnica; un cambio de un tercero necesario para la prestación del Servicio; para prevenir abusos o riesgos de seguridad; o para corregir errores y ambigüedades. Anunciamos las modificaciones, indicando la redacción modificada, el motivo y la fecha prevista, con al menos 30 días de antelación mediante correo electrónico a la dirección del titular de la cuenta y en el resumen de modificaciones. Sin este plazo de preaviso, solo modificamos lo que redunde exclusivamente en beneficio del Cliente, tenga carácter meramente lingüístico o corrija errores evidentes, lo que una ley, un tribunal o una autoridad exija con un plazo más breve y lo que sea necesario para evitar un riesgo de seguridad inminente; también en estos casos comunicamos la modificación lo antes posible e indicamos el motivo. El silencio no constituye consentimiento. Cuando una modificación requiera el consentimiento del Cliente, lo obtenemos expresamente; sin él, sigue aplicándose la versión anterior y se mantienen los derechos legales y contractuales de resolución. El Cliente puede oponerse a una modificación anunciada en forma de texto hasta que surta efecto; las consecuencias se rigen por las disposiciones de las Condiciones del servicio sobre la oposición a una modificación. Las modificaciones de los Anexos 2 y 3 se rigen por el § 8(3) y el § 9(2) y (3). Todas las versiones quedan recogidas en el resumen Modificaciones de los documentos contractuales.

(3) Legislación aplicable y fuero. Se aplica la legislación determinada por las Condiciones del servicio; las disposiciones imperativas del RGPD no se ven afectadas. El fuero se rige por las Condiciones del servicio.

(4) Idioma. El Contrato está disponible en todas las lenguas oficiales de la Unión Europea. En caso de discrepancias, prevalece la versión polaca.

(5) Si una disposición es nula, el resto del Contrato sigue siendo válido. La disposición nula se sustituye por la disposición legal que más se aproxime a su finalidad; en caso de duda, por una disposición que cumpla los requisitos del art. 28(3) RGPD.

Anexo 1 – Tratamiento por cuenta del Cliente

Para cada función, este Anexo describe el objeto, la naturaleza y la finalidad del tratamiento, los tipos de datos personales, las categorías de interesados y la supresión (art. 28(3), primera frase, RGPD). Salvo que se indique otra cosa, la naturaleza del tratamiento es: recogida, conservación, consulta, cotejo, transmisión a los destinos indicados por el Cliente y supresión. El lugar de tratamiento son nuestros propios servidores en Polonia; cuando interviene un subencargado del tratamiento, se indica. Los plazos entre llaves son ajustes conforme a los cuales funciona realmente el proceso nocturno de supresión. La duración del tratamiento es la vigencia de este Contrato (§ 3); dentro de esa vigencia, se aplican los plazos de supresión indicados para cada función. El tratamiento se realiza de forma continua mientras el Cliente utilice la función. Las categorías especiales de datos personales no son objeto del tratamiento; si, no obstante, entran en el Servicio a través de correos electrónicos de formulario, se aplica el § 6(4).

1. Comprobación de entrega

Finalidad: comprobar si los correos electrónicos del formulario del Cliente llegan y si son auténticos (SPF, DKIM, DMARC).

Funcionamiento: la función es opcional. El Cliente introduce en su formulario la dirección de un buzón de control como copia oculta (CCO). Como consecuencia, se nos envía una copia de cada correo electrónico del formulario, no solo las copias de nuestros envíos de prueba, sino también las de consultas reales de sus visitantes. Una recuperación automática lee, mediante IMAP, las cabeceras y como máximo los primeros 8 KB del texto, asigna el correo al dominio y, en su caso, a un envío de prueba, y comprueba las características de autenticidad. Tras su procesamiento correcto, el correo se elimina del buzón. En caso de error de recuperación o eliminación, puede permanecer en el buzón hasta la siguiente ejecución correcta.

Datos: contenido y cabeceras de los correos electrónicos del formulario con todo lo que introducen los visitantes, como nombre, dirección de correo electrónico, número de teléfono y mensaje, así como las direcciones del remitente y del destinatario e información técnica sobre los servidores de correo implicados.

Interesados: visitantes del sitio web del Cliente que envían el formulario; destinatarios de los correos electrónicos del formulario en el Cliente.

Almacenamiento y supresión: en la base de datos solo se almacenan la hora, la asignación al dominio, en su caso el identificador del envío de prueba y los resultados de la comprobación de autenticidad. La hora y la asignación se conservan durante 180 días; el resultado más reciente de la comprobación de autenticidad se conserva con el dominio hasta que el siguiente correo lo sustituya o se elimine el dominio. El resultado de la comprobación de autenticidad contiene la dirección IP del servidor de correo remitente y el dominio de la dirección del remitente; una alerta solo menciona este dominio si no pertenece al sitio web. El contenido y las direcciones completas de los remitentes visitantes no se almacenan en la base de datos. El propio correo se elimina del buzón tras su procesamiento correcto o, en caso de error de recuperación o eliminación, con retraso.

Intervienen: el proveedor de servicios de correo (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) para el buzón; las copias le llegan directamente a través de los registros MX de nuestro dominio, no mediante reenvío, véase Subencargados del tratamiento.

Limitación: una coincidencia solo confirma que la copia correspondiente ha llegado al buzón de control, no la recepción por el destinatario real ni una entrada en un CRM. Sin buzón de control, la función no está disponible. Las copias no deben contener categorías especiales de datos personales (§ 6(4)).

2. Portal de cliente e informe mensual a suscriptores

Finalidad: envío de un informe mensual sobre los formularios de un sitio web por cuenta del Cliente, normalmente una agencia a sus propios clientes, y puesta a disposición de un portal con estos informes.

Datos: dirección de correo electrónico, idioma, hora y dirección IP de la suscripción, hora de la confirmación (doble opt-in) y de la baja; contenido del informe (dominio, resultados de las comprobaciones, cifras).

Interesados: clientes y personas de contacto del Cliente que se suscriben al informe.

Supresión: suscripciones no confirmadas al cabo de 30 días. Tras la baja, el registro de la suscripción, la confirmación y la baja se conserva durante tres años para que el Cliente pueda demostrar el consentimiento. Todo se suprime, a más tardar, junto con el espacio de trabajo; revocar únicamente un portal no suprime sus suscriptores.

Intervienen: el proveedor de servicios de correo (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) para el envío.

3. Alertas, informes e incidencias

Finalidad: entrega de alertas, resúmenes e informes a los destinos que configura el Cliente, y gestión de incidencias.

Datos: direcciones de correo electrónico, direcciones de webhooks y canales de chat, el ID de un chat de Telegram una vez que el destinatario lo ha vinculado; contenido de las notificaciones (dominio, evento, hora, enlace al Servicio y, en las alertas de comprobación, el enlace al informe, a través del cual pueden consultarse los resultados y las capturas de pantalla sin iniciar sesión; Telegram solo recibe, en lugar del enlace al informe, el enlace a la página del dominio en la cuenta, que requiere iniciar sesión); registro de envíos; intentos de entrega de escalado por incidencia y destino (número, horas, resultado, error); nombre o dirección de correo electrónico de la persona que confirma una incidencia, y la persona responsable con fecha límite.

Interesados: empleados y proveedores de servicios del Cliente que reciben alertas o gestionan incidencias.

Supresión: destinos hasta que el Cliente los elimine o elimine el dominio; registro de envíos al cabo de 90 días; notificaciones agrupadas 30 días después del envío; incidencias mientras no estén resueltas y durante 180 días tras su resolución, junto con sus intentos de entrega de escalado.

Intervienen: el proveedor de servicios de correo (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) para el correo electrónico; para servicios de chat y webhooks, los proveedores elegidos por el Cliente (§ 9(6)).

4. Comprobación de los sitios web del Cliente: personas que resultan visibles

Finalidad: comprobar y supervisar los formularios y su protección en los dominios del Cliente para los que este ha acreditado el control. Mientras falte la acreditación para un dominio, solo lo comprobamos de forma pasiva y somos nosotros mismos el responsable del tratamiento de estas comprobaciones; esto se describe en la Política de privacidad.

Datos: un escaneo lee páginas públicas del dominio: direcciones de las páginas, estructura de los formularios (nombres de campo, tipos, etiquetas, atributos de obligatoriedad y visibilidad, sin valores; el escáner solo lee durante la comprobación, sin almacenarlos, los inicios de los campos ocultos prerrellenados y de los atributos data), scripts integrados, medidas de protección. Toma capturas de pantalla del área visible de la página de inicio y de los formularios y, en los envíos de prueba activos, también de la página de respuesta; no se anonimizan. Estas capturas y el contenido de página leído pueden contener datos personales que el propio Cliente publica, como nombres y datos de contacto de personas de contacto, fotografías o reseñas. Las direcciones de destinatario de los formularios solo las almacenamos como dominio. Para cada comprobación, el Servicio crea un informe bajo un enlace aleatorio a través del cual pueden consultarse los resultados y las capturas de pantalla sin iniciar sesión hasta que se suprima la comprobación; el enlace aparece en la cuenta y en las alertas (punto 3). Quien comparte el enlace comparte el informe.

Interesados: personas cuyos datos son visibles en el sitio web del Cliente.

Supresión: resultados de las comprobaciones, incluidas las capturas de pantalla, durante un máximo de 13 meses; la comprobación más reciente se conserva mientras el dominio esté en la cuenta. Al eliminar el dominio, se suprimen sus datos, incluidas las comprobaciones, los resultados y las capturas de pantalla.

Nota: un modelo de lenguaje en nuestro propio servidor ayuda a clasificar formularios cuya finalidad no pueden reconocer las reglas por sí solas. Los formularios clasificados de este modo nunca se envían y no cuentan para la puntuación ni para el veredicto. Los envíos de prueba activos (como máximo cinco por comprobación) solo contienen textos de prueba identificados, sin datos personales.

5. Datos de acceso de una cuenta de prueba para el escaneo tras el inicio de sesión

Finalidad: leer formularios en hasta cinco páginas tras un inicio de sesión indicado por el Cliente. Solo para dominios verificados, solo por titulares y administradores de un espacio de trabajo y solo en planes de pago. La cuenta de prueba solo se utiliza en la comprobación completa, no en las comprobaciones con navegador (punto 6).

Datos: dirección de inicio de sesión, nombre de usuario y contraseña de la cuenta de prueba, información sobre los campos de inicio de sesión; lo que sea visible para esta cuenta en las páginas leídas, en la medida en que se refiera a la estructura de los formularios.

Interesados: la persona a cuyo nombre figura la cuenta de prueba, si está asignada a una persona; personas cuyos datos son visibles en la cuenta de prueba.

Protección: el nombre de usuario y la contraseña se cifran en el servidor web con la clave pública del servidor de escaneo y quedan vinculados al dominio. Solo el servidor de escaneo puede descifrarlos, durante el escaneo; el servidor web, la base de datos y las copias de seguridad solo contienen texto cifrado. Los datos de acceso nunca se muestran, nunca se registran y nunca se emiten a través de la interfaz; la interfaz de usuario solo muestra el primer carácter y la longitud del nombre de usuario. Tras el inicio de sesión no se envía nada, no se realiza ninguna prueba activa y no se toma ninguna captura de pantalla; no se visitan las páginas de cierre de sesión, eliminación o cancelación.

Supresión: hasta que el Cliente elimine los datos de acceso o elimine el dominio; la eliminación sobrescribe el texto cifrado y borra los trabajos pendientes. La copia adjunta a cada trabajo de escaneo se borra tras la ejecución, y cualquier resto, a más tardar al cabo de una hora.

6. Recorridos de formulario y comprobaciones con navegador

Finalidad: comprobaciones periódicas de si los formularios configurados funcionan en un navegador real hasta el momento previo al envío.

Datos: direcciones de los formularios, selectores, clics previos y pasos de comprobación, elección de navegador, persona responsable y fecha límite; resultados con estado, categorías técnicas de error, mensajes de error depurados, tiempos y una captura de pantalla del formulario en la que los campos de entrada están ocultos. La referencia personal surge principalmente a través de la persona responsable y de los contenidos que el propio Cliente escribe en los pasos o etiquetas.

Interesados: empleados del Cliente a los que se asignan formularios.

Supresión: configuraciones hasta que se elimine el dominio; el Cliente puede modificarlas o desactivarlas individualmente, pero actualmente no puede eliminarlas individualmente. Resultados al cabo de 13 meses.

Limitación: las comprobaciones con navegador no envían nada. En el Servicio está prevista una segunda sonda independiente, pero actualmente no está configurada; sin ella no hay confirmación desde una segunda ubicación. Si se configura con un tercero, se aplica el § 9.

7. “Fix it for me”

Finalidad: insertar un componente de protección en el código de formulario que pega el Cliente.

Datos: el código pegado, si contiene datos personales, por ejemplo en comentarios, valores de ejemplo o direcciones escritas en el código.

Interesados: personas cuyos datos aparecen en el código.

Tratamiento y supresión: un modelo de lenguaje en nuestro propio servidor inserta el componente. El código solo se trata durante la solicitud y no se almacena. El Servicio funciona sin datos de acceso a los sistemas del Cliente y no instala nada en sus servidores.

8. Marca propia (marca blanca)

Finalidad: mostrar la marca del Cliente en los informes y en el portal de cliente.

Datos: nombre de la empresa, sitio web, datos de contacto y logotipo y, en su caso, el nombre y los datos de contacto de una persona de contacto.

Interesados: personas de contacto del Cliente.

Supresión: hasta que el Cliente modifique o elimine los datos, a más tardar junto con el espacio de trabajo.

9. Cifras complementarias sin referencia personal

Las cifras opcionales de errores de formulario y de campo de la extensión de WordPress no contienen entradas, nombres de campo ni identificadores de visitantes y se conservan durante 13 meses. El grabador de recorridos de formulario conserva los pasos en el navegador del Cliente durante un máximo de 15 minutos; los contadores diarios locales permanecen en su sitio web durante un máximo de 14 días. Los mencionamos aquí para que el panorama sea completo; por su forma de construcción, no son Datos del Cliente.

10. Protección de formularios (formconfirmed)

Este punto solo se aplica si el Cliente activa la protección de formularios (cláusula 5.7 de las Condiciones del servicio).

Finalidad: evaluar los envíos realizados a través de formularios de los sitios web del Cliente para reconocer los envíos automatizados.

Funcionamiento: al abrirse una página con un formulario protegido, un script en el navegador del visitante obtiene de nuestro servidor una tarea firmada y la resuelve (prueba de trabajo). Al enviarse el formulario, el servidor del Cliente presenta el resultado a nuestra interfaz de verificación. Comprobamos la firma, la antigüedad, el uso único y el dominio del token de verificación, así como otras señales como el tiempo de cumplimentación, un campo trampa invisible y las solicitudes acumuladas desde la misma dirección abreviada. Si el Cliente activa la comprobación del contenido, un modelo de lenguaje evalúa el texto del mensaje que el servidor del Cliente remite junto con la solicitud. Se devuelve una puntuación con una acción recomendada y los motivos; el Cliente decide qué ocurre con el envío. No hay cookies, ni almacenamiento en el navegador, ni huella digital del dispositivo.

Datos: dirección IP del visitante al obtener la tarea y durante la verificación, dirección y dominio de la página, momentos y tiempo de cumplimentación, si se ha rellenado el campo trampa, identificador del navegador en el registro del servidor web; solo con la comprobación del contenido activada, el texto del mensaje.

Interesados: visitantes de los sitios web del Cliente que abren una página con un formulario protegido o envían un formulario de este tipo.

Almacenamiento y supresión: la dirección IP solo se almacena de forma abreviada (IPv4 sin el último byte, IPv6 los primeros 48 bits) y como valor hash con una clave que cambia a diario, durante una hora; los tokens de verificación utilizados, como máximo once minutos; los resultados de la verificación sin dirección IP y sin texto (acción, puntuación, motivos, dominio, categoría de la comprobación del contenido), 30 días; las cifras diarias sin referencia personal, 400 días; el registro del servidor web, 14 días. El texto de un mensaje solo se trata en la memoria de trabajo y no se almacena, no se registra ni se utiliza para el entrenamiento.

Dónde: en nuestros propios servidores en Polonia, el modelo de lenguaje en hardware propio; no existen subencargados del tratamiento adicionales.

Anexo 2 – Medidas técnicas y organizativas

Las medidas se exponen en la página Medidas técnicas y organizativas. Forma parte de este Contrato en la versión publicada en cada momento; los cambios se rigen por el § 8(3).

Anexo 3 – Subencargados del tratamiento

Los subencargados del tratamiento autorizados figuran en la página Subencargados del tratamiento. Forma parte de este Contrato en la versión publicada en cada momento; los cambios se rigen por el § 9(2) y (3).

Pendiente antes del lanzamiento: el proveedor de servicios de correo previsto es Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Aún deben documentarse el contrato de encargo del tratamiento aplicable a este uso, los lugares reales de tratamiento y la base adecuada para la transferencia. Esta versión no confirma ni un contrato celebrado ni una certificación conforme al Marco de Privacidad de Datos.

Versión

Versión 2.2 de 29 de octubre de 2026, que sustituye a la versión 2.1. Modificado: nuevo punto 10 en el Anexo 1 sobre la protección de formularios formconfirmed; solo se aplica si el Cliente la activa. No se modifica ninguna otra disposición.

Versión 2.1 de 22 de octubre de 2026, que sustituye a la versión 2.0. Modificado: en caso de discrepancias, prevalece ahora la versión polaca en lugar de la alemana; el Contrato está disponible en todas las lenguas oficiales de la Unión Europea (cláusula de idioma). No se modifica ninguna otra disposición.

Versión 2.0 de 11 de octubre de 2026, que sustituye a la versión de 9 de octubre de 2026. Modificado: estructura conforme al art. 28(3) RGPD con referencia a las cláusulas contractuales tipo 2021/915; Anexo 1 completo para cada función, que ahora incluye los datos de acceso para el escaneo tras el inicio de sesión, los recorridos de formulario y las limitaciones de la comprobación de entrega; las medidas técnicas y organizativas y la lista de subencargados del tratamiento son páginas independientes y forman parte del Contrato como Anexos 2 y 3; elección entre devolución y supresión, copias de seguridad con expiración y nueva ejecución de las solicitudes de supresión, sin plazo de espera fijo para auditorías urgentes, responsabilidad por los subencargados como por nuestra propia conducta.