Política de privacidad

Este documento se publica en varios idiomas. En caso de discrepancia entre las versiones lingüísticas, prevalecerá la versión polaca.

Versión 2.3 · Última actualización: 29 de octubre de 2026

Esta política describe qué datos personales trata formexposed, con qué finalidad, sobre qué base jurídica, a quién se comunican y cuándo se suprimen. Solo describimos lo que el Servicio hace realmente; los plazos de conservación que indicamos son los mismos con los que trabajan nuestros procesos de supresión y, cuando todavía no existe un plazo fijo, lo indicamos. Las funciones que están desarrolladas pero no activadas se señalan como tales. Como el Servicio afecta a varios grupos de personas, cada sección empieza indicando a quién va dirigida:

• Visita formexposed.com o form.exposed: secciones 3, 4 y 5.
• Ha solicitado la comprobación de un dominio en la página de inicio: sección 6.
• Su sitio web ha sido comprobado por nuestro rastreador: sección 7; es también nuestra información con arreglo al Art. 14 RGPD.
• Tiene una cuenta o ha sido invitado a un equipo: secciones 8 a 18.
• Visita el sitio web de uno de nuestros clientes (con un distintivo, plugin o comprobación de entrega): sección 20.
• Desea ejercer un derecho o presentar una reclamación: secciones 26 a 28.

1. Responsable del tratamiento y contacto

El responsable del tratamiento de los datos personales en formexposed.com y form.exposed y en el servicio formexposed, en la medida en que no actuemos por cuenta de un cliente (sección 2), es:

LW IT Solutions Company Lukas Wójcik
Titular: Lukas Wójcik
al. Tadeusza Kościuszki 80/82, lok. 301
90-437 Łódź
Polonia
NIP (número de identificación fiscal polaco) 7252266190 · NIF-IVA PL7252266190
Correo electrónico: contact@lukaswojcik.com

También puede contactar con nosotros a través de la ventana de soporte (el signo de interrogación en la navegación) y de la página de contacto. Le rogamos que comunique las vulnerabilidades de seguridad a través de nuestra página de notificación de vulnerabilidades.

Delegado de protección de datos: No hemos designado ninguno. Somos una empresa unipersonal; nuestra actividad principal consiste en comprobar sitios web y formularios, no en la observación habitual y sistemática a gran escala de personas ni en el tratamiento de categorías especiales de datos (Art. 37(1) RGPD). Los motivos se exponen en el Registro de las actividades de tratamiento. Envíe sus preguntas sobre protección de datos a la dirección de correo electrónico indicada; llega directamente al titular.

2. De qué se trata y en qué calidad actuamos

formexposed comprueba los formularios de contacto de los sitios web: si están protegidos frente al spam y el abuso, si las solicitudes llegan, qué servicios de terceros pueden leer mientras se rellena un formulario y si algo de ello cambia. Para ello tratamos datos personales en tres calidades distintas. La distinción no es una mera formalidad: determina a quién debe dirigir una solicitud.

• Como responsable del tratamiento de los datos de los visitantes de nuestros propios sitios web, de nuestros clientes y de los miembros de sus equipos, para la facturación y el soporte, y para la comprobación de sitios web que no pertenecen a una cuenta de cliente (comprobación gratuita, estudio, comprobación de cliente potencial) o cuyo dominio el cliente aún no ha verificado. De eso trata esta política.
• Como encargado del tratamiento de datos de terceros que nuestros clientes han tratado a través del Servicio: copias de correos de formulario en la comprobación de entrega (sección 15), suscriptores de un portal de clientes (sección 14), destinatarios de alertas que no son clientes (sección 10), cuentas de prueba para la comprobación tras un inicio de sesión (sección 9) y personas que aparecen en un sitio web cuyo dominio ha verificado un cliente (sección 7). En esos casos, el responsable del tratamiento es el cliente; se aplica el Contrato de encargo del tratamiento, que todo cliente celebra al registrarse.
• En ninguna calidad respecto de lo que nuestro plugin de WordPress y nuestra extensión de TYPO3 almacenan en el sitio web de un cliente y no sale de ese sitio web (sección 13). El responsable del tratamiento es el operador de ese sitio web; nosotros no tenemos acceso a ello.

Cuando esta política habla de “cliente”, se refiere al titular de una cuenta en formexposed. Las cuentas solo están disponibles para empresas; cualquier persona puede usar la comprobación gratuita sin cuenta. El Servicio no está dirigido a niños.

3. Servidores, registros y copias de seguridad

Para todas las personas que visitan nuestros sitios web o utilizan el Servicio.

Operamos formexposed en nuestros propios servidores en Polonia: un servidor web con la base de datos y un servidor de análisis en el que se ejecutan el rastreador y un modelo de lenguaje. Ambos se encuentran en la misma red interna. No hay ningún proveedor externo de alojamiento ni de nube. Solo el titular tiene acceso a los servidores.

3.1 Registro del servidor web

Por cada solicitud, el servidor web almacena la dirección IP, la fecha y la hora, la dirección solicitada, el código de estado, la cantidad de datos transferidos, la página visitada previamente (referente) y el identificador del navegador (agente de usuario). Esto se aplica también a las solicitudes del distintivo desde las páginas de los clientes (sección 12). Los registros rotan a diario y se suprimen a los 14 días.

3.2 Registro de páginas vistas

Además, la aplicación registra cada página vista, pero no las solicitudes en segundo plano, las interfaces ni el distintivo: la dirección IP, el país derivado de ella, la dirección solicitada y el referente (en los que enmascaramos los tokens de acceso, como los de los enlaces a informes o portales, antes de almacenarlos), el identificador del navegador y la información derivada de él sobre el tipo de dispositivo, el sistema operativo y el navegador, el idioma y, si ha iniciado sesión, su número de cuenta. Determinamos el país mediante una base de datos en nuestro propio servidor; la dirección IP no sale del servidor con este fin. Si nuestro soporte accede a su cuenta (sección 8.5), estas páginas vistas no se atribuyen a su cuenta. Suprimimos las entradas a los 60 días.

3.3 Registro de errores y alerta de errores

Registramos los errores técnicos con la hora, el nivel, el origen, el mensaje, el contexto técnico y, en su caso, su número de cuenta, y los suprimimos a los 90 días. Si se produce un nuevo tipo de error, el Servicio envía al titular un correo electrónico con el texto sin procesar del mensaje (hasta 400 caracteres, sin depurar) y una breve notificación por Telegram; si los errores se acumulan, solo la notificación; además, hay un resumen diario de los tipos de error por correo electrónico. El mensaje de Telegram es una frase fija sin el contenido del error, sin dirección y sin información sobre personas. Por cada tipo de error conservamos un ejemplo del mensaje, actualmente sin un plazo de conservación fijo; estableceremos un plazo de supresión y lo indicaremos aquí. Los mensajes de error no deberían contener datos personales; no podemos descartarlo, por ejemplo si un mensaje reproduce una dirección introducida.

3.4 Copias de seguridad

Se realiza una copia de seguridad de la base de datos cada noche, una vez finalizado el proceso de supresión; por tanto, una copia de seguridad no contiene nada que ya debiera haberse suprimido conforme a estos plazos de conservación. Actualmente, las copias de seguridad se guardan en la misma ubicación que la base de datos y no están cifradas por separado; está prevista una copia cifrada en una segunda ubicación. Caducan a los 14 días. Lo que suprimimos en el sistema en producción permanece hasta entonces en las copias de seguridad. No se elimina nada de forma selectiva de una copia de seguridad; solo sirve para la restauración tras una pérdida.

Finalidad y base jurídica: funcionamiento y seguridad del Servicio, defensa frente a ataques y abusos, resolución de errores, restauración y cifras de uso. Para estas últimas solo registramos totales diarios (como los registros por día), nada sobre personas concretas; no utilizamos ningún servicio de analítica ni de seguimiento. La base jurídica es el Art. 6(1)(f) RGPD; nuestro interés legítimo es un funcionamiento seguro y estable.

4. Cookies y almacenamiento en el navegador

Para los visitantes de nuestros sitios web y los usuarios del Servicio.

Nombre	Tipo	Finalidad	Duración
bpid	cookie	Sesión: mantiene su sesión iniciada, protege los formularios frente a solicitudes falsificadas (CSRF) y cuenta los límites por sesión de la comprobación gratuita	hasta que cierre el navegador
bp_remember	cookie	solo si elige “Mantener la sesión iniciada” al iniciar sesión: mantiene su sesión iniciada	30 días
bp_theme	almacenamiento local	si ha elegido el tema claro u oscuro; para los usuarios con sesión iniciada, la elección se guarda también en la cuenta	hasta que borre los datos de su navegador

Este almacenamiento es estrictamente necesario para el funcionamiento del Servicio que usted ha solicitado expresamente; no requiere consentimiento (Art. 5(3) de la Directiva 2002/58/CE en su transposición nacional, en Alemania el § 25(2) n.º 2 de la Ley de protección de datos en telecomunicaciones y servicios digitales (TDDDG), en Polonia el Art. 399 de la Ley de comunicaciones electrónicas, Prawo komunikacji elektronicznej). La base jurídica del tratamiento asociado es el Art. 6(1)(b) RGPD si ha iniciado sesión y, en caso contrario, el Art. 6(1)(f) RGPD; nuestro interés legítimo en ese caso es proteger nuestros formularios frente a solicitudes falsificadas, aplicar los límites de la comprobación gratuita y mostrar la visualización que ha elegido.

No instalamos cookies con fines publicitarios ni de medición de audiencia. Un código de referido del programa de socios (sección 18) se transmite en la dirección hasta el registro, no en una cookie. Google reCAPTCHA puede utilizar sus propias cookies cuando se envía un formulario (sección 5).

5. Google reCAPTCHA y nuestra propia protección de formularios

Para todas las personas que envían uno de nuestros formularios.

Protegemos frente a ataques automatizados con Google reCAPTCHA v3 los formularios de la comprobación gratuita, la herramienta de cabeceras, la exclusión de un dominio (opt-out), el inicio de sesión, el registro, la solicitud y el establecimiento de una nueva contraseña, y el soporte y el contacto. El proveedor es Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda.

Cargamos el script de Google solo cuando usted envía uno de estos formularios, no en cuanto se abre una página. El script lee entonces información sobre el navegador, el dispositivo y el uso de la página y la transmite, junto con su dirección IP y las posibles cookies de Google, a Google, que evalúa si es una persona quien envía el formulario. Solo recibimos esta evaluación en forma de puntuación, junto con la acción a la que se refiere. Si está por debajo de nuestro umbral, corresponde a otro formulario o Google no responde en tres segundos, rechazamos el envío; no almacenamos la puntuación. Puede volver a intentarlo o escribirnos por correo electrónico. Google puede transferir datos a Google LLC en los EE. UU. (sección 22) y decide por sí mismo cuánto tiempo los conserva; más información en la política de privacidad de Google.

Además, estos formularios, salvo el de establecimiento de una nueva contraseña, contienen nuestra propia protección sin terceros: un campo trampa invisible para las personas y una marca de tiempo firmada que permite reconocer los formularios enviados demasiado rápido.

Los formularios de la comprobación gratuita, el registro, el inicio de sesión y la solicitud de una nueva contraseña los protegemos además con nuestra propia protección de formularios formconfirmed, que tampoco recurre a terceros. Al abrirse la página, un pequeño script obtiene de nuestro servidor una tarea firmada; en cuanto usted utiliza el formulario, su navegador la resuelve en segundo plano (una prueba de trabajo). El resultado nos llega con el formulario como token de verificación de un solo uso, y lo verificamos al enviarse el formulario. Para ello tratamos su dirección IP, la dirección de la página con el formulario, los momentos correspondientes y si se ha rellenado un campo invisible para las personas. A tal fin, almacenamos la dirección IP solo de forma abreviada (en IPv4 sin el último byte, en IPv6 solo los primeros 48 bits) y como valor hash con una clave que cambia a diario, para reconocer solicitudes acumuladas; este valor se suprime al cabo de una hora, y el token de verificación utilizado, al cabo de once minutos como máximo. La protección de formularios no evalúa el contenido de estos formularios. No instala cookies, no almacena nada en su navegador y no genera ninguna huella digital de su dispositivo. Si falta un token de verificación válido, rechazamos el envío; si nuestro servicio no estaba disponible para la tarea, lo admitimos.

Base jurídica: Art. 6(1)(f) RGPD; nuestro interés legítimo es proteger estos formularios frente al abuso por programas, sobre todo frente a la adivinación masiva de contraseñas, la creación automática de cuentas y el uso de la comprobación gratuita como herramienta contra sitios web de terceros. Como el script de Google solo se carga cuando usted envía el formulario y solo sirve para ese envío, consideramos que la lectura de la información de su dispositivo es estrictamente necesaria para prestar el servicio que usted solicita expresamente al enviar el formulario (§ 25(2) n.º 2 TDDDG, Art. 399 Prawo komunikacji elektronicznej). Lo mismo se aplica a nuestra propia protección de formularios: en el navegador solo trata lo necesario para enviar el formulario que usted utiliza. Está previsto que sustituya a reCAPTCHA de forma permanente. Requisito: sin reCAPTCHA y nuestra propia protección de formularios no se puede enviar el formulario; el correo electrónico sigue disponible para consultas.

6. Comprobaciones gratuitas sin cuenta

Para todas las personas que comprueban un dominio en la página de inicio o utilizan la herramienta de cabeceras.

6.1 La comprobación gratuita

En la página de inicio puede solicitar la comprobación de un dominio sin cuenta. Para ello tratamos:

• el dominio introducido y el resultado de la comprobación (informe; lo que el rastreador recopila para ello se expone en la sección 7);
• su dirección IP, su país, un hash de su sesión (no la sesión en sí), la hora y si la solicitud fue aceptada, para aplicar los límites (solo unas pocas comprobaciones al día por dirección y sesión; un dominio que ya se haya comprobado en los últimos días obtiene el mismo informe en lugar de una nueva comprobación) y para detectar abusos. Suprimimos estas entradas a los 7 días;
• en caso de comportamiento sospechoso, como muchos dominios distintos desde una misma dirección, una marca con la dirección IP o el hash de la sesión. Se conserva hasta que hayamos revisado el caso y durante los 90 días siguientes. El titular recibe una notificación por Telegram al respecto, sin el dominio y sin la dirección IP.

Cualquier persona a la que usted facilite su enlace aleatorio puede acceder al informe; los motores de búsqueda no deberían indexarlo. Lo suprimimos a los 30 días junto con los datos de la comprobación y las capturas de pantalla. El informe gratuito muestra un extracto; se comprueba lo mismo que en la cuenta, pero sin envíos de prueba.

6.2 La herramienta de cabeceras

La herramienta de cabeceras de seguridad consulta dos veces la página de inicio de un dominio (por https y por http) y evalúa la respuesta. Almacenamos el dominio, el resultado y la calificación durante 90 días; para los límites se aplica el mismo registro que para la comprobación (7 días). Un dominio excluido (sección 19) tampoco se comprueba aquí.

Base jurídica: Art. 6(1)(b) RGPD para la comprobación que usted solicita, y Art. 6(1)(f) RGPD para los límites y la prevención de abusos; nuestro interés legítimo es que el Servicio no se utilice indebidamente como herramienta contra sitios web ajenos. Requisito: sin dominio no hay comprobación; sin dirección IP, el servidor no puede responderle.

6.3 Comentarios sobre un informe

Para todas las personas que utilizan “¿Hay algo incorrecto en este informe?” debajo de un informe, con o sin cuenta.

Debajo de cada informe finalizado puede indicarnos que falta un formulario, que se ha clasificado incorrectamente o que una comprobación concreta tiene un resultado erróneo. Para ello tratamos:

• lo que usted introduce: la categoría que elige, si lo desea la comprobación afectada, la dirección de una página y un texto de hasta 1000 caracteres;
• el informe al que se refiere el comentario (identificador del enlace, comprobación y dominio), el idioma de la página y la hora;
• si ha iniciado sesión, el identificador de su cuenta; en ese caso vemos la dirección de correo electrónico de la cuenta junto al comentario;
• una suma de comprobación unidireccional de su dirección IP (generada con una clave secreta), para que solo lleguen unos pocos comentarios desde una misma dirección (5 por hora, 20 al día). No almacenamos la dirección IP en sí con el comentario; borramos la suma de comprobación a los 2 días.

No solicitamos ninguna dirección de correo electrónico y no respondemos a los comentarios. Si desea una respuesta, escriba al soporte (sección 17). Le rogamos que no introduzca datos personales en el texto. Leemos los comentarios, los clasificamos y, cuando resulta útil, tomamos los datos de comprobación del informe (campos de formulario, motivos y hallazgos, sin capturas de pantalla) como caso de prueba para nuestra detección; dicho caso de prueba describe el sitio web comprobado, no a usted. Los comentarios no modifican el informe.

Base jurídica: Art. 6(1)(f) RGPD; nuestro interés legítimo es encontrar y corregir errores en nuestra detección, y el límite protege frente a abusos. Requisito: los comentarios son voluntarios. Conservación: 24 meses; de inmediato junto con su cuenta.

7. Comprobación de sitios web con nuestro rastreador: información con arreglo al Art. 14 RGPD

Para los operadores de los sitios web comprobados y para las personas cuyos datos aparecen en un sitio web comprobado. Ustedes no nos han facilitado estos datos; por eso les informamos aquí.

7.1 Qué hace el rastreador

Nuestro rastreador FormExposedBot consulta como máximo ocho páginas públicas de un sitio web por comprobación, una tras otra, igual que un visitante con un navegador. A ello pueden añadirse hasta tres páginas que vuelve a cargar para hacer clic en “Rechazar” en el banner de cookies, hasta tres páginas en vista de teléfono móvil, en el caso de dominios verificados los envíos de prueba (sección 7.3) y hasta cinco páginas tras un inicio de sesión (sección 9.4). Antes de la comprobación lee el archivo robots.txt: si un Disallow para FormExposedBot o para todos los programas excluye la página de inicio, no realiza la comprobación. Actualmente no respeta individualmente las subrutas bloqueadas. Se identifica como FormExposedBot en su identificador de navegador. Examina los formularios y almacena:

• las direcciones y los títulos de las páginas comprobadas, la estructura de los formularios (nombres de campos, tipos de campos, etiquetas, atributos de obligatoriedad y visibilidad, sin valores; lee el comienzo de los campos ocultos rellenados previamente y de los atributos de datos solo durante la comprobación y no los almacena) y las medidas de protección encontradas;
• características técnicas de las páginas: servicios de CAPTCHA y de protección antispam utilizados, scripts incrustados de proveedores terceros (dirección y suma de comprobación), los hosts desde los que la página carga contenido, los nombres de las cookies instaladas, las cabeceras de seguridad, indicios sobre la accesibilidad de los formularios, el comportamiento de un banner de cookies en caso de rechazo y si hay píxeles publicitarios o grabación de sesiones vinculados a los formularios;
• una captura de pantalla del área visible de la primera página y una de cada formulario encontrado y, tras un envío de prueba, también una de la página de respuesta. Estas capturas de pantalla no se anonimizan; muestran lo que puede verse en la página.

Si un formulario contiene una dirección de destinatario, solo almacenamos su dominio, nunca la dirección. No almacenamos ningún otro contenido de las páginas. No obstante, pueden verse afectados datos personales si son visibles en una página o en una captura de pantalla, como el nombre y la foto de una persona de contacto junto al formulario. Categorías: nombres, cargos, datos de contacto e imágenes que el propio operador ha publicado. No buscamos categorías especiales de datos ni las analizamos.

Clasificamos los formularios mediante reglas fijas (como “contacto” o “boletín”). Solo si las reglas no dan resultado ayuda un modelo de lenguaje que se ejecuta en nuestro propio servidor de análisis; los formularios clasificados de este modo nunca se envían y no cuentan para la puntuación ni para el veredicto. En este proceso no se envía ningún dato a terceros y el modelo no se entrena con ellos. Más información en Reglamento de IA de la UE: cómo utiliza formexposed la IA.

7.2 Quién inicia una comprobación

• alguien que introduce un dominio en la página de inicio (sección 6);
• nuestro plugin de WordPress o nuestra extensión de TYPO3 para su propio sitio web, incluso sin cuenta (sección 13);
• un cliente para un dominio de su cuenta (sección 9);
• una agencia para el sitio web de un cliente potencial, sin envío de prueba (sección 14);
• nosotros mismos para un estudio sobre la protección de los formularios de contacto, del que solo publicamos cifras agregadas sin nombres de sitios web.

7.3 Qué no hace el rastreador

Comprueba los sitios web ajenos solo de forma pasiva: no envía ningún formulario, no prueba datos de inicio de sesión y no ataca nada. Solo realiza envíos de prueba a formularios de contacto de dominios respecto de los cuales un cliente ha acreditado en su cuenta que está autorizado a controlarlos, como propietario o por cuenta del propietario, mediante registro DNS, metaetiqueta, archivo o plugin: mensajes de prueba claramente identificados, sin datos personales, como máximo cinco por comprobación; sin dicha acreditación, solo en comprobaciones internas de nuestros propios dominios de prueba y demostración. La búsqueda de archivos expuestos, la lectura de versiones y la comprobación tras un inicio de sesión también están disponibles únicamente para dominios verificados (sección 9).

7.4 Plazo de conservación

Comprobaciones sin cuenta: 30 días; comprobaciones del sitio web de un cliente potencial: 90 días; comprobaciones para un estudio: hasta la publicación de sus resultados; comprobaciones de un dominio en una cuenta de cliente: como máximo 13 meses (la más reciente se conserva mientras el dominio esté en la cuenta) y nunca más tiempo del que el dominio permanezca en la cuenta.

7.5 Base jurídica y origen

La base jurídica es el Art. 6(1)(f) RGPD. El interés legítimo consiste en mostrar a los operadores de sitios web y a sus proveedores de servicios los puntos débiles de sus formularios antes de que se aprovechen para spam o abusos, en el interés de quien solicita una comprobación en ese resultado y, en el caso del estudio, en poder pronunciarse sobre el estado de la protección de formularios. Los datos proceden de fuentes de acceso público, concretamente del propio sitio web comprobado. Los destinatarios son la persona que inició la comprobación y cualquier persona a la que esta facilite el enlace al informe y, en el caso de una comprobación de cliente potencial, la agencia; de un estudio solo publicamos cifras agregadas. Si un cliente comprueba en su cuenta un dominio que ha verificado, actuamos por su cuenta (sección 2); mientras falte la verificación, somos nosotros mismos el responsable del tratamiento. Publicamos esta información aquí y en la página de FormExposedBot en lugar de escribir individualmente a cada persona visible; ello sería imposible o supondría un esfuerzo desproporcionado, sobre todo porque de estas personas solo sabemos lo que figura en la página (Art. 14(5)(b) RGPD).

Oposición y exclusión: Como operador de un sitio web, puede excluir nuevas comprobaciones de su dominio mediante su archivo robots.txt o mediante nuestra página de exclusión (opt-out) (sección 19). Las personas que aparecen en una página comprobada pueden oponerse al tratamiento conforme a la sección 27 y solicitar la supresión de un informe o de una captura de pantalla.

8. Su cuenta de cliente

Para clientes y miembros de equipo invitados.

8.1 Registro y cuenta

Para una cuenta tratamos su dirección de correo electrónico y su contraseña (solo como hash; no conocemos la contraseña en sí), así como su nombre y, en la medida en que los facilite, sus apellidos y su empresa, además del idioma, el tema, la moneda, el plan, las fechas del registro y del último inicio de sesión y la dirección IP del último inicio de sesión. Usted confirma su dirección de correo electrónico mediante un enlace válido durante 72 horas; suprimimos a los 30 días las cuentas que nunca se confirman. Si cambia su dirección de correo electrónico, la nueva solo se aplica tras su confirmación mediante un enlace enviado a ella.

Base jurídica: Art. 6(1)(b) RGPD (contrato); para la dirección IP del último inicio de sesión, Art. 6(1)(f) RGPD (protección de su cuenta, sección 8.2). Requisito: la dirección de correo electrónico, el nombre y la contraseña son necesarios para celebrar el contrato; su dirección de facturación y su número de identificación a efectos del IVA solo los facilita, para los planes de pago, a Stripe (sección 18).

8.2 Inicio de sesión y seguridad

• intentos de inicio de sesión con dirección de correo electrónico, dirección IP y resultado: 7 días, contra la adivinación de contraseñas; además, contadores de intentos de inicio de sesión por cuenta (en el caso de una dirección desconocida, por dirección introducida), por cuenta y dirección IP y por dirección IP, de intentos de doble factor y confirmaciones de contraseña por cuenta, de correos de restablecimiento de contraseña por dirección de correo electrónico, de registros por dirección IP y de intentos con la contraseña de un portal de clientes por portal y dirección IP, que solo almacenamos con una clave seudonimizada (HMAC), sin la dirección de correo electrónico ni la dirección IP en texto claro, y que caducan con su ventana temporal (actualmente 15 minutos; una hora para los restablecimientos de contraseña y los registros);
• dispositivos con sesión iniciada, con dirección IP, navegador, sistema operativo y tipo de dispositivo, para que pueda verlos en la configuración y cerrar su sesión: hasta 90 días después del último uso;
• si el inicio de sesión con doble factor está activado, el secreto correspondiente (cifrado) y sus códigos de recuperación (solo como hash);
• los enlaces para restablecer la contraseña son válidos durante una hora;
• un registro de actividad de las acciones importantes, como “dominio creado”, “alerta configurada” o “configuración modificada”, con la hora, la cuenta que actúa, la dirección IP y el país: 365 días.

Base jurídica: Art. 6(1)(f) RGPD; nuestro interés legítimo es proteger su cuenta y el Servicio y la trazabilidad de los cambios en un espacio de trabajo en el que trabajan varias personas.

8.3 Constancia de la celebración del contrato

Al registrarse, dejamos constancia de qué versión de las Condiciones del servicio y del Contrato de encargo del tratamiento aceptó usted y de qué versión de esta Política de privacidad tomó conocimiento, en cada caso con el texto completo, su hash, la hora, la dirección IP y el identificador del navegador. Esto sirve como prueba de la celebración del contrato (Art. 6(1)(b) y (f) RGPD). Conservamos esta constancia mientras exista la cuenta. Tras la supresión de la cuenta, la suprimimos en cuanto el consentimiento tenga cuatro años de antigüedad, porque las cuestiones sobre la celebración del contrato suelen plantearse precisamente tras la terminación.

8.4 Espacios de trabajo, equipo e invitaciones

Una cuenta trabaja en uno o varios espacios de trabajo. Si invita a alguien, enviamos a esa persona un correo electrónico con el nombre del espacio de trabajo (por defecto, el nombre de su empresa o su nombre) y un enlace para aceptar; para la invitación almacenamos también el rol previsto y quién envió la invitación. Los miembros de un espacio de trabajo ven quién pertenece a él y con qué rol. Si usted es una persona invitada, obtuvimos su dirección de correo electrónico del miembro que le invitó (Art. 14(2)(f) RGPD). Suprimimos las invitaciones no aceptadas cuando caducan a los 14 días, y las aceptadas a los 30 días de su aceptación. A un formulario supervisado se le puede asignar una persona responsable del equipo y un plazo para la corrección; para ello solo almacenamos la asignación a la cuenta y el plazo. Base jurídica: Art. 6(1)(b) RGPD respecto del cliente; respecto de la persona invitada, Art. 6(1)(f) RGPD (el cliente desea trabajar con esa persona).

8.5 Ayuda de nuestro soporte

Para ayudarle con un problema, nuestro soporte puede ver su cuenta tal como usted la ve. Cada uno de estos accesos queda registrado en el registro de actividad y aparece en su exportación de datos. Base jurídica: Art. 6(1)(b) RGPD si ha pedido ayuda y, en caso contrario, Art. 6(1)(f) RGPD (resolución de errores).

8.6 Exportación y supresión

En Configuración puede descargar los datos almacenados para su cuenta como archivo JSON, sin hashes de contraseñas ni secretos y sin los datos de otros miembros. Este archivo no contiene resultados de comprobaciones, hallazgos ni incidencias (solo los intentos de entrega de escalado por destino de alerta); están disponibles como informes en la cuenta y como archivo previa solicitud. Allí también puede suprimir usted mismo su cuenta; no es necesario ningún correo electrónico. Una suscripción de pago en curso termina de inmediato, por regla general sin reembolso (las excepciones se establecen en las Condiciones del servicio); quien desee aprovechar primero el periodo pagado debe cancelar en el área de Facturación con efecto al final del periodo. Si el contrato de su cuenta termina de otro modo, por ejemplo por resolución por nuestra parte, puede exportar sus datos hasta el final del contrato, y suprimimos la cuenta a más tardar 30 días después del final del contrato. Junto con la cuenta suprimimos de inmediato sus espacios de trabajo con los datos vinculados a ellos, incluidos dominios, resultados de comprobaciones y capturas de pantalla, alertas, incidencias, registros de pruebas, marca propia, portales de clientes incluidos sus suscriptores, la lista de sus comprobaciones de clientes potenciales (sus informes siguen siendo accesibles hasta que venzan sus 90 días), claves API, códigos de despliegue e inicios de sesión de prueba. Si otra persona sigue trabajando en uno de sus espacios de trabajo, ese espacio de trabajo pasa a otro miembro (en primer lugar a los administradores y, entre ellos, al más antiguo) en lugar de suprimirse. Permanecen hasta que venza su propio plazo de conservación: el registro de actividad y el registro de páginas vistas con el número de su antigua cuenta, los correos electrónicos enviados (30 días, sección 11), la constancia de la celebración del contrato (8.3), las solicitudes de soporte (sección 17), los datos de facturas durante el tiempo que exija la legislación tributaria, los datos de comisiones y los códigos de activación canjeados, para los que actualmente no existe plazo de conservación (sección 18), y las copias de seguridad (3.4).

9. Dominios, comprobaciones y supervisión

Para clientes. En la medida en que se vean afectados datos personales de terceros, actuamos por cuenta del cliente.

9.1 Dominios y verificación

Para cada dominio de su cuenta almacenamos el nombre, la acreditación de su autorización (registro DNS, metaetiqueta, archivo o plugin), los resultados de las comprobaciones y su configuración, como la frecuencia, la ventana de mantenimiento, las notas, la etiqueta de cliente y el valor estimado de una solicitud. La frecuencia depende de su plan y llega hasta comprobaciones diarias.

9.2 Supervisión de información disponible públicamente

Entre comprobaciones consultamos información disponible públicamente sobre su dominio:

• los registros DNS (SPF, DMARC, MX), el certificado TLS y las cabeceras de seguridad;
• la fecha de caducidad del dominio a través del servicio RDAP del registro competente; solo se transmite el nombre de dominio;
• la disponibilidad de las páginas de sus formularios (pulso de formularios, cada 10, 15 o 30 minutos según el plan);
• las páginas de estado públicas de los servicios de CAPTCHA y de correo que utiliza su sitio web; para ello no transmitimos nada sobre usted;
• las vulnerabilidades de seguridad conocidas en plugins de formularios, de CAPTCHA y de correo y, semanalmente para los dominios verificados, en el CMS, los plugins y el tema, cuyas versiones leemos desde fuera en su página de inicio. La comparación se realiza con la base de datos abierta WPVulnerability; solo se transmiten el identificador de un plugin o tema (sin versión) y la versión de WordPress, no su dominio;
• a diario, si las direcciones de su servidor web, la dirección del servidor del que procedía su último correo de formulario (de la comprobación de entrega) o su dominio y el dominio remitente de ese correo figuran en listas negras DNS de spam (SpamCop, PSBL, Mailspike, SURBL); solo se consultan dominios y direcciones IP de servidores, ningún dato de los visitantes;
• si está configurado, si Google Web Risk incluye su página de inicio como página de malware o de phishing; solo se transmite la dirección de la página de inicio;
• semanalmente para los dominios verificados, si están expuestos archivos que nunca deberían ser públicos (como una copia de seguridad de la configuración o un volcado de la base de datos). Para ello leemos como máximo los primeros 8 KB de un archivo con el fin de reconocerlo, y solo almacenamos la ruta, el tipo y la gravedad del hallazgo, nunca el contenido.

9.3 Recorridos de formulario y comprobaciones de navegador

Para los formularios supervisados almacenamos las direcciones de los formularios, los selectores, los clics previos y los pasos de comprobación sintéticos, el navegador de comprobación elegido, así como la persona responsable y la fecha límite. Las comprobaciones de navegador rellenan un formulario como máximo hasta el punto anterior al envío; no envían nada ni desencadenan ningún pedido ni pago. Los resultados comprenden el estado, categorías técnicas de error, mensajes de error depurados y tiempos, y pueden incluir una pequeña imagen del formulario en la que los campos de entrada están enmascarados. Este enmascaramiento solo existe en las comprobaciones de navegador; las capturas de pantalla de la comprobación completa realizada por el rastreador no se anonimizan (sección 7.1). Las mediciones de nuestros navegadores de comprobación no son mediciones de sus visitantes.

Está prevista, pero actualmente no configurada, una segunda sonda independiente que confirme los resultados. Solo recibiría el dominio, la configuración depurada y el identificador de la tarea, nunca datos de inicio de sesión, capturas de pantalla ni datos de visitantes; daremos a conocer a su operador con antelación en la lista de Subencargados del tratamiento.

9.4 Comprobación tras un inicio de sesión

En los planes de pago, los propietarios y administradores de un espacio de trabajo pueden almacenar una cuenta de prueba de su propio sitio web para un dominio verificado, de modo que el rastreador pueda leer los formularios que hay tras el inicio de sesión. Se aplica lo siguiente:

• El nombre de usuario y la contraseña se cifran en el servidor web con una clave que solo puede abrir el servidor de análisis; el servidor web, la base de datos y las copias de seguridad solo los contienen cifrados. Nunca se muestran, registran ni emiten a través de la interfaz; la interfaz de usuario solo muestra el primer carácter y la longitud del nombre de usuario. La copia cifrada adjunta a una tarea de comprobación se borra tras la ejecución y, a más tardar, al cabo de una hora.
• La cuenta de prueba solo la utiliza la comprobación completa del rastreador, no las comprobaciones de navegador (9.3).
• Tras el inicio de sesión, el rastreador lee como máximo cinco páginas indicadas. No envía nada, no realiza capturas de pantalla allí (pueden mostrarse datos de la cuenta) y no sigue enlaces para cerrar sesión, suprimir o cancelar.
• Si elimina el inicio de sesión, sobrescribimos el valor cifrado y lo eliminamos; también desaparece junto con el dominio.

Utilice únicamente una cuenta de prueba creada específicamente para este fin y que no contenga datos reales de clientes. Lo que el rastreador ve tras el inicio de sesión lo tratamos por cuenta de usted.

9.5 Otras funciones

Inventario de scripts: Si lo activa, mantenemos una lista de los scripts de las páginas de sus formularios con dirección y suma de comprobación, avisamos de los nuevos o modificados y, cuando se aprueba uno, almacenamos quién lo aprobó, cuándo y con qué justificación. Accesibilidad: A partir de la última comprobación, el Servicio puede generar un borrador de información de accesibilidad para sus formularios; los datos de la empresa que introduzca para ello permanecen en su navegador. Comparativas: Para una comparación sectorial, evaluamos los resultados de todos los clientes únicamente de forma agregada; los sitios web individuales no aparecen en ella.

Base jurídica de la sección 9: Art. 6(1)(b) RGPD; para los datos personales de terceros que se hacen visibles durante una comprobación, sus instrucciones conforme al Contrato de encargo del tratamiento. Plazo de conservación: dominio, verificación, configuración, recorridos de formulario e inicio de sesión de prueba hasta que usted los suprima, suprima el dominio o su cuenta; inventario de scripts y sus cambios hasta que suprima el dominio o su cuenta (no existe un plazo de conservación propio para ellos); resultados de comprobaciones, resultados de las comprobaciones de navegador y tiempos como máximo 13 meses (la comprobación más reciente se conserva mientras el dominio esté en la cuenta).

10. Notificaciones

Para los clientes y los destinatarios que estos indiquen.

Enviamos alertas e informes a los destinos que usted configure: direcciones de correo electrónico, sus propias direcciones de webhook, Slack, Discord, Microsoft Teams, Google Chat o Telegram. Los canales de chat y los webhooks están disponibles en los planes Pro y Business. Un mensaje contiene el dominio, el evento, una breve descripción y un enlace a su cuenta y, en las alertas de comprobación, el enlace al informe, a través del cual se puede acceder a los resultados y las capturas de pantalla sin iniciar sesión (Telegram solo recibe el enlace a la página del dominio en su cuenta, que requiere iniciar sesión); ningún contenido de correos de formulario. Almacenamos:

• los destinos (dirección de correo electrónico, dirección de webhook o de chat; para los webhooks, un secreto para la firma) hasta que los suprima a ellos o el dominio;
• un registro de envíos con hora, evento y resultado: 90 días;
• las notificaciones agrupadas para los informes diarios y semanales: hasta 30 días después del envío;
• las incidencias con un enlace de confirmación: mientras no estén resueltas y, después, 180 días tras su resolución. Quien confirma una incidencia queda registrado con el nombre introducido o con su dirección de correo electrónico. Las incidencias no confirmadas pueden escalarse a otros destinos; para ello almacenamos, por destino, el número y las horas de los intentos de entrega (como máximo cinco), si la entrega tuvo éxito y el posible error, mientras exista la incidencia. Una incidencia solo se cierra cuando el problema se ha resuelto; la mera confirmación no la da por terminada.

Telegram: Para Telegram operamos nuestro propio bot. Usted lo vincula mediante un enlace con un código de un solo uso válido durante 30 minutos; cuando pulsa “Iniciar” en el bot, nuestro servidor obtiene este mensaje de Telegram y almacena el identificador de su chat (chat ID) como destino de alertas. En este proceso, Telegram también facilita su nombre de Telegram; no lo almacenamos. Suprimimos el código en sí como pronto al cabo de un día, en cuanto se genera otro código. El chat ID se conserva hasta que suprima la alerta o el dominio.

Los servicios de chat tratan los mensajes conforme a sus propias condiciones y a su contrato con ellos; algunos tienen su sede fuera de la UE (sección 22). Respecto de los destinatarios que no son clientes, actuamos por cuenta de usted; le rogamos que les informe.

Base jurídica: Art. 6(1)(b) RGPD; para los destinatarios que no son clientes, sus instrucciones. Requisito: sin destino no hay alerta; las comprobaciones se ejecutan igualmente.

11. Correos electrónicos que enviamos

Para los clientes y todas las personas a las que escribimos.

Enviamos correos electrónicos para confirmar su dirección, para restablecer su contraseña, para invitaciones, alertas e informes, como acuse de recibo de solicitudes de soporte y con avisos sobre su cuenta y su facturación. El envío y la recepción de nuestros correos electrónicos corren a cargo de Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Nuestro dominio y sus registros DNS los gestiona Namecheap, Inc., Phoenix, Arizona, EE. UU.; hasta que se configure el buzón en Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, Namecheap también reenvía los correos generales dirigidos a direcciones de nuestro dominio. Las copias de control de la comprobación de entrega no pasan por él. Conservamos los correos enviados, incluidos el destinatario, el asunto y el contenido, durante 30 días para poder resolver problemas de entrega; no más tiempo, porque también contienen enlaces de confirmación y de restablecimiento válidos.

Se envían tres correos electrónicos sin que usted lo solicite expresamente:

• Informe mensual: a principios de mes, un resumen de las comprobaciones y notificaciones de sus dominios. Puede darse de baja en la configuración.
• Recordatorio de configuración: un único correo entre dos y catorce días después del registro si su cuenta está confirmada pero aún no tiene ningún dominio verificado (“Añadir sitio web” o “Verificar dominio”), sin ofertas, precios ni propuestas de mejora de plan. No se vuelve a enviar.
• Fin del periodo de prueba: tres días antes de que termine un periodo de prueba, un aviso de lo que ocurrirá después.

Base jurídica: Art. 6(1)(b) RGPD para los correos que forman parte del contrato, incluidos el informe mensual y el aviso del periodo de prueba; para el recordatorio de configuración, Art. 6(1)(f) RGPD, porque una cuenta sin dominio no puede utilizar el Servicio y muchos clientes simplemente se olvidan de configurarlo. No enviamos publicidad.

12. Distintivo y registro de pruebas

Para los clientes que utilizan el distintivo o el registro de pruebas, y para los visitantes de sitios web con distintivo.

Distintivo: Si incrusta nuestro distintivo en su sitio web, el navegador de cada visitante de esa página carga la imagen del distintivo desde nuestro servidor. En ese proceso recibimos los datos de conexión habituales (dirección IP, hora, identificador del navegador y la página en la que aparece el distintivo), que solo acaban en el registro del servidor web (14 días, sección 3.1), no en el registro de páginas vistas. El distintivo no instala cookies, no inicia ninguna sesión y no contiene ningún script. La página pública de confirmación muestra el dominio, el nivel y la fecha de la última comprobación, sin hallazgos individuales; quien la abre es un visitante de nuestro sitio web (secciones 3 y 4). La base jurídica es el Art. 6(1)(f) RGPD; nuestro interés legítimo es servir el distintivo que el cliente incrusta. El cliente lo menciona en su propia política de privacidad (bloques de texto).

Registro de pruebas: En los planes de pago puede generar un registro de las comprobaciones por dominio y por mes. Con su número de verificación, una página pública confirma el dominio, el periodo y las cifras clave, sin detalles. Para poder determinar posteriormente si un registro ha sido alterado, lo hacemos firmar por una autoridad de sellado de tiempo. Solo le transmitimos un hash del registro, del que no puede recuperarse ningún contenido; actualmente son Certum (Asseco Data Systems S.A., Polonia) y, como alternativa, DigiCert, Inc. (EE. UU.). Los registros se conservan hasta que suprima el dominio. La base jurídica es el Art. 6(1)(b) RGPD.

13. Plugin de WordPress y extensión de TYPO3

Para los clientes que utilizan el plugin o la extensión, y para los visitantes de sus sitios web.

13.1 Lo que permanece en el sitio web del cliente

Nuestro plugin para WordPress y nuestra extensión para TYPO3 se ejecutan en el servidor del cliente. Lo que el plugin de WordPress almacena allí permanece en ese sitio web; no tenemos acceso a ello, y su operador es el responsable del tratamiento:

• Cuarentena: los envíos que la capa de protección retiene como spam, incluidos el contenido de los campos y la dirección de respuesta, durante un máximo de 14 días, para que un mensaje retenido por error pueda entregarse con un clic;
• Red de seguridad: copias de correos de formulario que no se pudieron enviar (destinatario, asunto, texto y líneas de cabecera como la dirección de respuesta; los adjuntos solo por su nombre), durante un máximo de 30 días, para poder enviarlos de nuevo;
• Desafío de cálculo: el navegador del visitante resuelve una pequeña tarea planteada por el propio sitio web; sin cookie y sin servicio de terceros;
• Plazo de conservación: si se solicita, el plugin suprime las solicitudes almacenadas de determinados plugins de formularios al cabo de 90, 180 o 365 días;
• Recuentos de formularios (desactivados por defecto): visualizaciones, inicios, errores de validación e intentos de envío por formulario y, si se activa por separado, categorías de error por posición de campo, sin entradas, nombres de campos, cookies ni identificadores persistentes de visitantes, durante un máximo de 14 días en el sitio web. Un identificador derivado de la dirección IP para limitar las solicitudes caduca al cabo de un minuto y no se nos envía;
• Ayuda al visitante (se puede activar por separado): tras un error de envío, un aviso remite de nuevo al formulario, que sigue abierto, y, si se desea, indica una dirección de correo electrónico; no lee ninguna entrada, no guarda borradores y no reenvía nada por sí misma;
• las nuevas reglas antispam pueden contar localmente durante siete días sin retener nada.

El propio plugin de WordPress añade párrafos adecuados a la guía de la política de privacidad de WordPress; encontrará más textos en Texto de política de privacidad para su sitio web. La extensión de TYPO3 no almacena contenido de formularios; añade a cada página una metaetiqueta para verificar el dominio, y realiza recuentos.

13.2 Grabador

Con el grabador, un administrador de WordPress con sesión iniciada graba el recorrido hasta un formulario de su propio sitio web. Conserva selectores técnicos y pasos de navegación en el almacenamiento de sesión de su navegador durante un máximo de 15 minutos y transfiere la configuración seleccionada a la cuenta conectada. No lee ninguna entrada. El grabador nunca se carga para los visitantes.

13.3 Lo que se nos envía

El plugin y la extensión nos transmiten, según la función y, salvo en la comprobación del propio sitio web sin cuenta, solo mientras el sitio web esté conectado a una cuenta:

• el nombre de host, una clave pública y un secreto con los que el sitio web se identifica, las versiones del plugin y del CMS, y el idioma;
• cifras diarias: envíos bloqueados por motivo, envíos aceptados, correos enviados y fallidos con el tipo de error, cifras sobre las respuestas de reCAPTCHA y sobre las solicitudes suprimidas automáticamente; si los recuentos están activados, sus cifras diarias;
• características de la configuración de los formularios en forma de cifras, como cuántos formularios utilizan la dirección del visitante como remitente, y las versiones de determinados plugins de formularios, de CAPTCHA y de correo de una lista fija;
• actualizaciones, activaciones y desactivaciones de plugins, temas y CMS con nombres y versiones, el modo de mantenimiento y el fallo de un correo de formulario (solo el tipo de error);
• la configuración de un recorrido de formulario seleccionado con el grabador;
• para la protección colectiva (activada por defecto), los dominios de los enlaces de los mensajes bloqueados. Los avisos de muchos sitios web generan una lista de dominios de spam que obtienen todos los plugins conectados. Para ello no transmitimos direcciones IP ni redes de los remitentes.

El plugin y la extensión no transmiten ningún contenido de formularios aparte de estos dominios de enlaces, ni direcciones de correo electrónico, nombres o direcciones IP de los visitantes. Suprimimos las cifras diarias y los avisos de cambios al cabo de 13 meses, las señales de la protección colectiva al cabo de 30 días, y la información de un sitio web que no pertenece a ningún dominio de una cuenta al cabo de 90 días sin contacto.

Base jurídica: Art. 6(1)(b) RGPD; para la protección colectiva, Art. 6(1)(f) RGPD (defensa conjunta frente al spam en muchos sitios web). Esta información solo constituye datos personales en casos excepcionales, por ejemplo si un nombre de host contiene el nombre de una persona.

14. Funciones para agencias

Para las agencias y para las personas que entran en contacto con sus portales e informes.

• Portal de clientes: Una agencia puede dar a sus clientes acceso a un portal con los resultados de sus dominios. Quien se suscribe allí al informe mensual facilita su dirección de correo electrónico y la confirma mediante un enlace (doble opt-in). Almacenamos la dirección, el idioma, la hora y la dirección IP de la suscripción, la hora de la confirmación y el último mes enviado. Suprimimos las suscripciones no confirmadas a los 30 días. Es posible darse de baja en cualquier momento mediante el enlace incluido en cada correo; después conservamos la constancia de la suscripción durante otros tres años, pero no más allá de la supresión del espacio de trabajo de la agencia; si la agencia solo revoca el portal, los suscriptores siguen almacenados. El portal y los informes aparecen con el nombre de la agencia; la agencia es la responsable del tratamiento y nosotros actuamos por su cuenta. La base jurídica de la agencia es el consentimiento del suscriptor.
• Marca propia: el nombre de la empresa, el sitio web, los datos de contacto, los colores y el logotipo que una agencia almacena aparecen en sus informes y en el portal hasta que los modifique o los suprima.
• Dominio propio: En el plan Business, una agencia puede mostrar el portal y los informes en su propio subdominio. Para ello comprobamos sus registros DNS a diario. Actualmente la función no está activada.
• Comprobación de cliente potencial: Una agencia puede solicitar la comprobación del sitio web de un cliente potencial sin envío de prueba (sección 7). Es ella misma quien facilita el enlace a los hallazgos resumidos; nosotros no escribimos a nadie. Suprimimos la comprobación a los 90 días. La agencia es la única responsable de contactar con el cliente potencial.
• Claves API y códigos de despliegue: Solo los almacenamos como hash con un prefijo corto, junto con su denominación, la hora del último uso (claves API) o el número de canjes (códigos de despliegue) y el número de llamadas por minuto (durante al menos un día; se suprime con llamadas posteriores).

Base jurídica: Art. 6(1)(b) RGPD respecto de la agencia; para suscriptores y clientes potenciales, véase más arriba.

15. Comprobación de entrega

Para los clientes que la activan y para los visitantes de sus sitios web. Respecto de los datos de los visitantes, somos encargados del tratamiento del cliente.

La comprobación de entrega opcional responde a la pregunta de si el correo electrónico de un formulario de contacto se envía realmente. Para ello, el cliente introduce una de nuestras direcciones de control como copia oculta (CCO) en la configuración de correo de su formulario. En consecuencia, no solo recibimos nuestro propio envío de prueba, sino una copia de cada correo de formulario, incluidas las solicitudes reales de sus visitantes con sus nombres, direcciones y mensajes.

Lo que hacemos con ellas, y solo eso: una recuperación automática lee las cabeceras y como máximo los primeros 8 KB del texto, asigna el correo a un dominio a través de la dirección de control y, en su caso, a un envío de prueba, y comprueba las características de autenticidad SPF, DKIM y DMARC. Tras un tratamiento satisfactorio, el correo se suprime. Si la recuperación o la supresión fallan, un correo puede permanecer en el buzón hasta la siguiente ejecución satisfactoria; el buzón está alojado en nuestro proveedor de servicios de correo (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Las copias solo se evalúan de forma automática.

En nuestra base de datos solo almacenamos la hora, la asignación al dominio y, en su caso, el identificador del envío de prueba, durante 180 días, y el resultado técnico de autenticidad (SPF, DKIM, DMARC) del último correo recibido hasta que el siguiente correo lo sustituya o se suprima el dominio. Este resultado de autenticidad incluye la dirección IP del servidor remitente y el dominio de correo del remitente; este dominio solo se menciona en una alerta al cliente si no pertenece al sitio web. Si un formulario utiliza la dirección del visitante como remitente, se trata del dominio del proveedor de correo del visitante. No almacenamos el contenido de los correos ni las direcciones completas de los remitentes. Si no llega ninguna copia en las horas siguientes a un envío de prueba, se lo comunicamos al cliente.

La recepción solo demuestra que la copia asignada ha llegado a nuestro buzón de control, no la recepción por el destinatario real ni una entrada en un CRM. Los formularios a través de los cuales pasan categorías especiales de datos personales (como información sobre la salud) no deberían conectarse a la comprobación de entrega. El cliente informa a sus visitantes sobre este flujo de datos; encontrará un texto para ello en Texto de política de privacidad para su sitio web. Sin un buzón de control configurado, la comprobación no está disponible.

Base jurídica: para el cliente, normalmente el Art. 6(1)(f) RGPD (recepción fiable de las solicitudes); nosotros tratamos los datos siguiendo sus instrucciones (Art. 28 RGPD).

16. Modelo de lenguaje en nuestro propio servidor y “Fix it for me”

Para los clientes y los usuarios de la comprobación gratuita.

En nuestro propio servidor de análisis, y no en un proveedor de IA, se ejecuta un modelo de lenguaje. Ayuda a clasificar formularios (sección 7) y, con “Fix it for me”, inserta protección en el código de formulario que usted pega. El código pegado solo se trata para esta solicitud, no se almacena y no se utiliza para entrenamiento; en el registro de actividad solo dejamos constancia de que se ha utilizado la función, con el lenguaje de programación, la longitud del código y el resultado (también para la cuota diaria). Le rogamos que no pegue datos de inicio de sesión ni datos personales. “Fix it for me” funciona sin acceso a su sitio web; usted mismo inserta el código. Más información en Reglamento de IA de la UE: cómo utiliza formexposed la IA. Base jurídica: Art. 6(1)(b) RGPD.

17. Soporte, contacto y notificación de vulnerabilidades de seguridad

Para todas las personas que nos escriben.

Si nos escribe a través de la ventana de soporte o de la página de contacto, tratamos su dirección de correo electrónico, su mensaje, el tema elegido, la página desde la que escribe, el idioma, su dirección IP, su país, el identificador del navegador y, si ha iniciado sesión, su número de cuenta, para responder a su solicitud y evitar el uso abusivo del formulario. Recibirá un acuse de recibo por correo electrónico en la dirección que haya indicado; si ha iniciado sesión, este reproduce el comienzo de su mensaje (hasta 2000 caracteres); en caso contrario, no contiene su texto. Como todo correo enviado, se conserva durante 30 días (sección 11). Una señal de Telegram que no contiene ningún contenido ni información sobre usted nos avisa de las nuevas solicitudes. Si nos envía un correo electrónico, tratamos su dirección y su mensaje. Tratamos del mismo modo las notificaciones de vulnerabilidades de seguridad. Suprimimos las solicitudes 24 meses después de su recepción, aunque usted suprima su cuenta antes; documentan lo que se preguntó y lo que se respondió.

Base jurídica: Art. 6(1)(b) RGPD si la solicitud se refiere a un contrato con nosotros y, en caso contrario, Art. 6(1)(f) RGPD (respuesta, prevención de abusos, prueba). Requisito: sin dirección de correo electrónico no podemos responder.

18. Pagos, periodo de prueba y programa de socios

Para los clientes con un plan de pago y para los socios.

Facturamos los planes de pago a través de Stripe. El proveedor es Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irlanda. Usted introduce sus datos de pago directamente en Stripe; nosotros no los vemos. Stripe recibe su dirección de correo electrónico y su nombre, durante el proceso de pago su dirección de facturación y, en su caso, su número de identificación a efectos del IVA, y emite las facturas. Nosotros solo conservamos los identificadores de cliente y de suscripción en Stripe, el plan, el estado, el final del periodo de facturación y los identificadores y tipos de los eventos que Stripe nos comunica.

Puede iniciar un periodo de prueba sin tarjeta; sin medio de pago, termina automáticamente. Si un proveedor de alojamiento o un socio le ha facilitado un código de activación, almacenamos qué cuenta lo canjeó y cuándo, y hasta cuándo se aplica el plan.

Stripe también trata datos como responsable del tratamiento por derecho propio, por ejemplo para prevenir el fraude y cumplir obligaciones legales, y puede transferirlos a Stripe, Inc. en los EE. UU. (sección 22). Más información en la política de privacidad de Stripe.

Programa de socios: El programa está desarrollado, pero actualmente no está activado. Si se activa, se aplica lo siguiente: cada cuenta tiene un código de referido. Quien se registra a través de un enlace de referido queda asignado al socio durante un número limitado de meses; almacenamos la asignación y su fecha y, por cada factura pagada, el importe neto y la comisión. El socio solo ve cifras (cuántas cuentas se han registrado, cuántas pagan y el total de sus comisiones), sin nombres ni direcciones. Se aplican las Condiciones para socios. Actualmente conservamos los datos de los socios, las asignaciones y las comisiones sin un plazo de conservación fijo, al igual que la información sobre los códigos de activación canjeados; estableceremos un plazo de supresión y lo indicaremos aquí.

Base jurídica: Art. 6(1)(b) RGPD; para la conservación de los datos de facturas y, cuando sea necesario a efectos fiscales, de los datos de comisiones, Art. 6(1)(c) RGPD; para la asignación a un socio, Art. 6(1)(f) RGPD (liquidación de la comisión). Conservamos los datos de facturas durante el tiempo que exija la legislación tributaria; conforme al Derecho polaco (Art. 86 en relación con el Art. 70 de la Ley General Tributaria polaca, Ordynacja podatkowa), por regla general hasta que hayan transcurrido cinco años desde el final del año natural en que se devengó el impuesto. Requisito: sin datos de pago no hay plan de pago; el plan gratuito sigue disponible.

19. Exclusión de un dominio (opt-out)

Para los operadores de sitios web que no desean que los comprobemos.

A través de la página de exclusión (opt-out) puede excluir un dominio de futuras comprobaciones. La exclusión se aplica al dominio y a su variante con www, no a otros subdominios, y también frente a los clientes de pago que hayan verificado el dominio; la supervisión en curso termina con la siguiente comprobación programada. Solo nosotros podemos levantarla, previa solicitud y acreditación de que usted controla el dominio. Almacenamos el dominio, el motivo indicado voluntariamente, su dirección IP, su país y el identificador del navegador. Suprimimos la dirección IP, el país y el identificador del navegador al cabo de 12 meses; la exclusión en sí se mantiene de forma permanente, porque de lo contrario el dominio volvería a comprobarse. Necesitamos esta información para aplicar su deseo de forma permanente y para reconocer si alguien excluye abusivamente dominios ajenos. Base jurídica: Art. 6(1)(f) RGPD; nuestro interés legítimo es aplicar su deseo de forma permanente y reconocer el uso abusivo del formulario. Si su intención con la exclusión es oponerse conforme al Art. 21 RGPD, la aplicamos de este modo.

20. Para los visitantes de los sitios web de nuestros clientes

Para las personas que visitan un sitio web, o envían un formulario en él, cuyo operador utiliza formexposed.

El responsable del tratamiento de ese sitio web es su operador, no nosotros. El operador decide qué funciones utiliza y debe informarle de ellas en su propia política de privacidad. Puede llegarnos lo siguiente:

• Distintivo: los datos de conexión de su navegador al cargar la imagen, 14 días en el registro del servidor web, sin cookie; en este caso somos responsables del tratamiento para servir la imagen (sección 12).
• Comprobación de entrega: una copia de su correo de formulario, que se evalúa automáticamente y se suprime; somos encargados del tratamiento (sección 15).
• Plugin de WordPress y extensión de TYPO3: cifras diarias sin referencia a usted y, para la protección colectiva, los dominios de los enlaces de mensajes bloqueados; la cuarentena y la red de seguridad permanecen en el sitio web (sección 13).
• Portal de clientes: su dirección de correo electrónico si se suscribe allí a un informe; somos encargados del tratamiento de la agencia (sección 14).
• Protección de formularios (formconfirmed): si el operador la utiliza, su navegador obtiene una tarea de nuestro servidor al abrirse la página y la resuelve en segundo plano; al enviar el formulario, el servidor del operador nos hace verificar el resultado. Se tratan su dirección IP (almacenada solo de forma abreviada y como valor hash, como máximo una hora; como cualquier solicitud, 14 días en el registro del servidor web), la dirección de la página, el tiempo de cumplimentación, si se ha rellenado un campo invisible y, solo si el operador activa la comprobación del contenido, el texto de su mensaje, que un modelo de lenguaje evalúa en la memoria de trabajo de nuestro propio servidor y no almacena. Sin cookies, sin almacenamiento en el navegador, sin huella digital. Somos encargados del tratamiento del operador (Contrato de encargo del tratamiento, Anexo 1, punto 10).

Lo mejor es ejercer sus derechos ante el operador del sitio web; este conoce el contexto y puede darnos instrucciones. Si se pone en contacto con nosotros, remitimos su solicitud al operador o la atendemos nosotros mismos en la medida en que seamos responsables del tratamiento. Lo que podemos encontrar y lo que no al hacerlo se expone en Acceso, supresión y sus demás derechos.

21. Destinatarios

Solo comunicamos datos personales cuando así lo indica esta política. No vendemos, alquilamos ni intercambiamos datos. Categorías de destinatarios:

Destinatario (domicilio social)	Categoría	Para qué
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	encargado del tratamiento; lugar del tratamiento pendiente de verificación	envío y recepción de nuestros correos electrónicos; buzón de control de la comprobación de entrega
Namecheap, Inc. (EE. UU.)	encargado del tratamiento	dominio, DNS; hasta que se configure el buzón, reenvío de correos generales a nuestro dominio (no de las copias de control de la comprobación de entrega)
Stripe Payments Europe, Ltd. (Irlanda), Stripe, Inc. (EE. UU.)	en gran medida responsable del tratamiento por derecho propio; todavía estamos examinando el reparto exacto de funciones	pagos y facturas
Google Ireland Ltd., Google LLC (EE. UU.)	responsable del tratamiento por derecho propio	reCAPTCHA
Telegram (fuera del EEE)	destino elegido por el cliente; enviamos el mensaje a través de nuestro bot. Para nosotros, también un canal de notificación	alertas, si elige Telegram; señales operativas sin datos personales
Slack, Discord, Microsoft (Teams), Google (Chat), sus webhooks (en parte EE. UU.)	destinos elegidos por el cliente	alertas
El público	–	enlaces a informes, páginas de confirmación, resultados del estudio (solo agregados)
Miembros de su espacio de trabajo	usuarios de la misma cuenta	colaboración, según el rol
Autoridades, tribunales, CERT Polska, asesores	responsables del tratamiento por derecho propio	solo cuando exista una obligación legal, para la formulación, el ejercicio o la defensa de reclamaciones, y en caso de uso indebido de nuestro Servicio o de ataques a terceros (Art. 6(1)(c) o (f) RGPD)

No reciben datos personales: los servicios RDAP de los registros, localizados a través del directorio de la IANA, y, para la antigüedad del dominio en la comprobación gratuita, el servicio de retransmisión rdap.org (solo nombres de dominio), WPVulnerability en wpvulnerability.net (solo el identificador de un plugin sin versión, el identificador de un tema o la versión de WordPress), las páginas de estado de los servicios de CAPTCHA y de correo (nada más que la propia solicitud), las autoridades de sellado de tiempo Certum y DigiCert (solo hashes), las listas negras DNS SpamCop, PSBL, Mailspike y SURBL (solo dominios y direcciones IP de servidores), Google Web Risk, si está configurado (solo la dirección de la página de inicio), y los demás plugins conectados en la protección colectiva (solo dominios de spam). La lista completa y actualizada de nuestros encargados del tratamiento, con su domicilio social y la base de la transferencia, está disponible en Subencargados del tratamiento; comunicamos los cambios a los clientes con 30 días de antelación.

22. Transferencias a terceros países

Si un destinatario tiene su sede fuera del Espacio Económico Europeo, solo transferimos datos si se cumplen las condiciones de los Art. 44 y ss. RGPD:

• EE. UU.: sobre la base de la decisión de adecuación de la Comisión Europea relativa al Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795, Art. 45 RGPD), en la medida en que el destinatario esté certificado conforme a él. Todavía estamos verificando para esta versión si Google, Stripe y Namecheap están certificados para los servicios de que se trata, por lo que no lo afirmamos; a falta de certificación, sobre la base de las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914, Art. 46(2)(c) RGPD).
• Nuestro proveedor de servicios de correo: todavía estamos verificando dónde trata Namecheap, Inc. (Private Email), Phoenix, Arizona, USA los datos y sobre qué base pueden transferirse a un tercer país. El estado actual figura en la página Subencargados del tratamiento.
• Servicios de chat y webhooks que usted elige: Slack, Discord, Microsoft Teams, Google Chat y los webhooks reciben sus alertas a través de una dirección que usted genera en su cuenta de ese servicio; la relación contractual con el proveedor y cualquier base necesaria para la transferencia a un tercer país son responsabilidad de usted.
• Telegram: destino elegido por el cliente; enviamos el mensaje a través de nuestro bot. Telegram tiene su sede fuera del EEE en un país sin decisión de adecuación, y no tenemos cláusulas contractuales tipo con Telegram. Actualmente estamos haciendo examinar en qué base de los Art. 44 y ss. RGPD se sustenta esta transferencia; entra en consideración el Art. 49(1)(b) RGPD, porque es usted quien elige el canal. Elija Telegram solo si eso le resulta suficiente; el correo electrónico sigue estando siempre disponible como alternativa.

Puede obtener gratuitamente, previa solicitud a la dirección indicada en la sección 1, una copia de las garantías en las que basamos una transferencia. La decisión de adecuación y las cláusulas contractuales tipo también pueden consultarse en el Diario Oficial de la UE (eur-lex.europa.eu), y la lista de empresas certificadas conforme al Marco de Privacidad de Datos, en dataprivacyframework.gov. Nuestros propios servidores se encuentran en Polonia; los datos que no recibe ninguno de los destinatarios mencionados no salen de la UE.

23. Plazos de conservación de un vistazo

Los plazos de conservación se aplican mediante un proceso nocturno y, en el caso del registro del servidor web, mediante su rotación diaria. Donde dice “con el dominio”, los datos desaparecen inmediatamente cuando usted suprime el dominio o su cuenta. Después permanecen en las copias de seguridad durante un máximo de 14 días (sección 3.4).

Datos	Se suprimen
Registro del servidor web (incluidas las solicitudes del distintivo)	a los 14 días
Registro de páginas vistas	a los 60 días
Registro de errores	a los 90 días
Registro de actividad	a los 365 días
Intentos de inicio de sesión; límites de la comprobación gratuita y de la herramienta de cabeceras	a los 7 días
Marcas por comportamiento sospechoso (comprobación gratuita)	90 días después de resolverse el caso
Dispositivos con sesión iniciada	90 días después del último uso
“Mantener la sesión iniciada”; cuentas nunca confirmadas; invitaciones aceptadas (las no aceptadas, a su caducidad)	a los 30 días
Informe sin cuenta, incluidas las capturas de pantalla	a los 30 días
Versión PDF de un informe en la caché	a los 7 días
Resultados de la herramienta de cabeceras; comprobación del sitio web de un cliente potencial	a los 90 días
Comprobaciones para un estudio	al publicarse sus resultados
Resultados de comprobaciones, comprobaciones de navegador y tiempos de un dominio de la cuenta	a los 13 meses (la comprobación más reciente, mientras el dominio esté en la cuenta)
Dominio, configuración, recorridos de formulario, registros de pruebas, destinos de alertas, resultado de autenticidad del último correo de formulario	con el dominio
Inventario de scripts y sus cambios	con el dominio (no existe un plazo de conservación propio)
Inicio de sesión de prueba para la comprobación tras un inicio de sesión	cuando usted lo suprime, con el dominio; la copia adjunta a la tarea de comprobación, tras la ejecución y, a más tardar, al cabo de una hora
Cifras diarias y avisos de cambios del plugin y de la extensión, recuentos de formularios	a los 13 meses
Información de un sitio web con el plugin que no pertenece a ninguna cuenta	90 días después del último contacto
Señales de la protección colectiva; notificaciones agrupadas para informes diarios y semanales (desde el envío)	a los 30 días
Recuento de llamadas a la API; códigos de un solo uso para Telegram	como pronto al cabo de un día, con la siguiente llamada o el siguiente código de este tipo
Registro de envío de alertas	a los 90 días
Asignaciones de la comprobación de entrega; incidencias con confirmación e intentos de entrega de escalado (las no resueltas se conservan)	a los 180 días; las incidencias, desde su resolución
Copias de correos de formulario en el buzón de control	tras su tratamiento; en caso de error, con la siguiente ejecución satisfactoria
Correos electrónicos enviados	a los 30 días
Solicitudes de soporte	a los 24 meses
Comentarios sobre un informe	a los 24 meses, de inmediato con la cuenta; la suma de comprobación de la dirección IP, a los 2 días
Dirección IP, país e identificador del navegador relativos a una exclusión (opt-out)	a los 12 meses (el dominio sigue excluido)
Suscripciones no confirmadas al informe mensual en el portal de clientes	a los 30 días
Constancia de una suscripción cancelada	tres años después de la baja
Cuenta y datos personales	cuando usted los suprime
Constancia de la celebración del contrato	mientras exista la cuenta; tras su supresión, en cuanto el consentimiento tenga cuatro años de antigüedad
Datos de facturas	al vencer el plazo de conservación tributario
Asignaciones y comisiones del programa de socios; códigos de activación canjeados	actualmente sin plazo fijo
Ejemplo de un tipo de error	actualmente sin plazo de conservación fijo
Copias de seguridad de la base de datos	a los 14 días
Protección de formularios: dirección IP abreviada y convertida en hash para reconocer solicitudes acumuladas; tokens de verificación utilizados; resultados de la verificación sin dirección IP y sin texto (acción, puntuación, motivos, dominio); cifras diarias sin referencia personal	transcurrida una hora; a los once minutos como máximo; a los 30 días; a los 400 días

24. Obligación de facilitar datos

No tiene ninguna obligación legal de facilitarnos datos. Para una cuenta necesitamos su dirección de correo electrónico, su nombre y una contraseña; sin ellos no puede celebrarse ningún contrato. Para los planes de pago necesitamos los datos de facturación; para la comprobación de entrega, un buzón de control; para las alertas, un destino. Toda la demás información es voluntaria. Los datos de conexión de los registros se generan técnicamente con cada solicitud; sin ellos, el servidor no puede responder. Lo que falta si no facilita algún dato se indica en la sección del tratamiento correspondiente.

25. Decisiones automatizadas y elaboración de perfiles

No tomamos decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos en usted o le afecten significativamente de modo similar (Art. 22 RGPD). No elaboramos perfiles de personas. Nuestras valoraciones (nivel de riesgo, calificación de cabeceras, “protegido” en el distintivo) se refieren a sitios web y formularios, no a personas.

No obstante, funcionan de forma automática mecanismos de protección que pueden rechazar solicitudes individuales sin que una persona las revise: la evaluación de reCAPTCHA y nuestra propia protección de formularios (sección 5), los límites y marcas de la comprobación gratuita (sección 6) y el bloqueo tras demasiados intentos de inicio de sesión (sección 8.2). Solo impiden el envío concreto; un intento rechazado puede repetirse más tarde, y el correo electrónico sigue disponible para cualquier solicitud. Si considera que un rechazo es erróneo, escríbanos; una persona revisará el caso. También suprimimos automáticamente las cuentas que no se han confirmado 30 días después del registro.

26. Sus derechos

En virtud del RGPD tiene los siguientes derechos. Para cada uno indicamos la forma más rápida de ejercerlo. Salvo que se indique otra cosa, basta con un correo electrónico a contact@lukaswojcik.com. Respondemos sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción; en el caso de solicitudes complejas o numerosas, el plazo puede prorrogarse otros dos meses, en cuyo caso se lo comunicaremos, indicando los motivos, dentro del primer mes (Art. 12(3) RGPD). El ejercicio de sus derechos es gratuito; solo en caso de solicitudes manifiestamente infundadas o excesivas podemos cobrar un canon razonable o negarnos a actuar respecto de la solicitud, y lo motivaremos (Art. 12(5) RGPD). Para no revelar datos de otras personas, podemos pedirle que realice la solicitud desde la dirección de correo electrónico de su cuenta; solo pedimos pruebas adicionales si tenemos dudas razonables sobre su identidad, y únicamente en la medida necesaria (Art. 12(6) RGPD).

• Acceso (Art. 15 RGPD): Con una cuenta, descargue la exportación de datos en Configuración; contiene los datos de la cuenta, del espacio de trabajo y de los dominios, sus inicios de sesión, actividades, solicitudes de soporte, correos enviados y consentimientos. Puede ver los resultados de las comprobaciones como informes en la cuenta. Puede obtener el acceso completo, incluso a datos que la exportación no contiene (por ejemplo, entradas del registro de errores o del registro del servidor web), junto con la información prevista en el Art. 15(1) RGPD, previa solicitud por correo electrónico. Sin cuenta (por ejemplo, en relación con una exclusión, una solicitud de soporte o un informe), por correo electrónico indicando el dominio o la dirección de que se trate y la hora aproximada.
• Rectificación (Art. 16): Puede modificar usted mismo su nombre, empresa, idioma y dirección de correo electrónico en Configuración, y su dirección de facturación y número de identificación a efectos del IVA en el portal de clientes de Stripe, en Facturación; todo lo demás, por correo electrónico.
• Supresión (Art. 17): Puede suprimir usted mismo su cuenta, dominios, destinos de alertas e inicios de sesión de prueba, y revocar usted mismo las claves API (se suprimen con la cuenta); puede darse de baja del informe mensual de un portal de clientes mediante el enlace incluido en cada correo. Puede solicitar por correo electrónico la supresión de un informe, una captura de pantalla u otros datos. Lo que debemos conservar por motivos legales se expone en la sección 8.6.
• Limitación del tratamiento (Art. 18): por correo electrónico, por ejemplo si impugna la exactitud de los datos y la estamos verificando.
• Portabilidad de los datos (Art. 20): La exportación de datos es un archivo JSON de lectura mecánica que usted mismo puede entregar a otro proveedor. Más información sobre el cambio de proveedor en Reglamento de Datos de la UE: cambio de proveedor y exportación de datos.
• Oposición (Art. 21): véase la sección siguiente.
• Retirada del consentimiento (Art. 7(3)): No basamos nuestro propio tratamiento en el consentimiento. Puede retirar su consentimiento al informe mensual de un portal de clientes mediante el enlace incluido en cada correo; la retirada surte efecto para el futuro.

Para los datos que tratamos por cuenta de un cliente (sección 2), su interlocutor es el cliente. Si, aun así, nos escribe, remitimos su solicitud al cliente y le ayudamos a responderla. Encontrará orientación detallada con todas las vías y limitaciones en Acceso, supresión y sus demás derechos.

27. Derecho de oposición conforme al Art. 21 RGPD

En la medida en que tratemos datos sobre la base de intereses legítimos (Art. 6(1)(f) RGPD), usted puede oponerse en cualquier momento por motivos relacionados con su situación particular. En ese caso dejaremos de tratar los datos, salvo que acreditemos motivos legítimos imperiosos para el tratamiento que prevalezcan sobre sus intereses, derechos y libertades, o que el tratamiento sirva para la formulación, el ejercicio o la defensa de reclamaciones.

Esto se aplica en particular a la comprobación de sitios web por nuestro rastreador (sección 7), a los registros (sección 3), a reCAPTCHA (sección 5), a los límites de la comprobación gratuita (sección 6), al recordatorio de configuración (sección 11), al distintivo (sección 12) y a la protección colectiva (sección 13).

La oposición no está sujeta a ninguna forma especial; basta con un correo electrónico a contact@lukaswojcik.com. Como operador de un sitio web, también puede excluir usted mismo en cualquier momento nuevas comprobaciones mediante el archivo robots.txt o la página de exclusión (opt-out). No enviamos publicidad por correo electrónico, frente a la cual sería posible una oposición sin necesidad de motivarla.

28. Reclamación ante una autoridad de control

Puede presentar una reclamación ante una autoridad de control de protección de datos si considera que tratamos sus datos de forma ilícita (Art. 77 RGPD). La autoridad competente para nosotros es:

Prezes Urzędu Ochrony Danych Osobowych (Presidente de la Oficina de Protección de Datos Personales, UODO)
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Polonia
uodo.gov.pl

También puede dirigirse a la autoridad del Estado miembro en el que tenga su residencia habitual o su lugar de trabajo o en el que se haya producido la supuesta infracción; en Alemania, por ejemplo, la autoridad de protección de datos de su estado federado. Dicha autoridad remitirá la reclamación a la autoridad competente cuando sea necesario. Con gusto resolveremos antes cualquier inquietud directamente con usted; no es un requisito.

29. Seguridad

Todas las conexiones con nuestro Servicio están cifradas con TLS; las conexiones dentro de nuestra red interna no están cifradas en su totalidad. Almacenamos las contraseñas, las claves API y los códigos de recuperación solo como hashes, y los secretos del inicio de sesión con doble factor y los inicios de sesión de prueba solo cifrados. Los datos de los clientes están separados por espacio de trabajo; los derechos de un rol los aplica el servidor, no solo la interfaz de usuario. Solo el titular tiene acceso a los servidores; el rastreador funciona de forma aislada y no puede acceder a direcciones de la red interna. La descripción completa está disponible en Medidas técnicas y organizativas. Si tenemos conocimiento de una violación de la seguridad de los datos personales, la notificamos a la autoridad de control y, cuando sea necesario, se la comunicamos a usted de conformidad con los Art. 33 y 34 RGPD; informamos sin dilación indebida, a ser posible en un plazo de 48 horas, a los clientes por cuya cuenta actuamos.

30. Otros documentos

Esta política es el resumen para los interesados. Encontrará más detalles en el Registro de las actividades de tratamiento, en la lista de Subencargados del tratamiento, en las Medidas técnicas y organizativas, en el Contrato de encargo del tratamiento, en la Evaluación de impacto relativa a la protección de datos y en Acceso, supresión y sus demás derechos, Reglamento de IA de la UE: cómo utiliza formexposed la IA y Texto de política de privacidad para su sitio web.

31. Modificaciones

Actualizamos esta política cuando cambian el Servicio o la situación jurídica, y lo hacemos antes de que comience cualquier nuevo tratamiento. Se aplica la versión publicada aquí; las versiones anteriores y lo que ha cambiado pueden consultarse en Modificaciones de los documentos contractuales. La versión que vio al registrarse figura en su exportación de datos. Si cambia algo sustancial en el tratamiento de sus datos como cliente, también le informaremos por correo electrónico.

Esta política está disponible en todas las lenguas oficiales de la Unión Europea. En caso de discrepancia, prevalece la versión polaca.