Accès, effacement et vos autres droits

Ce document est publié en plusieurs langues. En cas de divergence entre les versions linguistiques, la version polonaise fait foi.

Version 1.0 · Dernière mise à jour : 16 octobre 2026

Cette page explique comment exercer vos droits au titre du règlement général sur la protection des données (RGPD) à l’égard de formexposed : qui a quelles données chez nous, par quelle voie vous obtenez l’accès, une copie, la rectification ou l’effacement, ce dont nous avons besoin de votre part à cet effet et où se situent les limites. Elle complète la Politique de confidentialité, qui expose en détail les finalités, les bases juridiques et les durées de conservation.

1. Qui peut nous demander quoi

formexposed vérifie les formulaires de contact de sites web. De ce fait, nous avons affaire à des personnes très différentes : des clients disposant d’un compte, des membres d’équipe, des exploitants de sites web vérifiés, des visiteurs des sites web de nos clients et des abonnés d’un portail client. Tout le monde ne nous a pas laissé les mêmes données, et la possibilité pour nous de vous attribuer quoi que ce soit dépend de votre rôle. Pour chaque groupe, les sections suivantes décrivent la démarche. Lorsque nous agissons uniquement pour le compte d’un Client, nous le précisons, car c’est alors le Client qui décide, et non nous. Le RGPD protège les personnes physiques. Si l’exploitant d’un site web est une société, celle-ci n’a pas de droits propres au titre du RGPD ; ce sont les personnes dont les informations figurent sur le site web qui en ont. Nous répondons néanmoins aux sociétés selon les mêmes règles, dans la mesure où leur propre domaine est concerné.

2. Les démarches en un coup d’œil

Vous êtes	Ce que nous pouvons avoir à votre sujet	Démarche	Ce dont nous avons besoin de votre part
Client disposant d’un compte	Compte, espaces de travail, domaines, paramètres, journaux, consentements, demandes de support	Vous-même dans les Paramètres : export et suppression	Connexion et votre mot de passe
Membre d’équipe	Votre propre compte ; vos entrées dans le journal d’activité de l’espace de travail	Comme pour les clients ; quitter l’espace de travail	Connexion et mot de passe
Personne invitée sans compte	Adresse e-mail et rôle dans l’invitation	E-mail à nous ou à la personne qui vous a invité	Un message depuis l’adresse invitée
Exploitant d’un site web vérifié	Rapports sur votre domaine, entrée d’opt-out, données du plugin sans compte	Page d’opt-out, robots.txt, e-mail à nous	Domaine, lien du rapport ; pour davantage que le rapport, la preuve que vous contrôlez le domaine
Personne apparaissant sur un site web vérifié	Captures d’écran et adresses des pages vérifiées sur lesquelles vous apparaissez	E-mail à nous (section 5.3)	Domaine et date approximative, et le lien du rapport si vous l’avez
Visiteur d’un site web client	Presque toujours rien d’attribuable (section 6)	D’abord l’exploitant du site web	Site web, heure ; pour le badge, votre adresse IP
Abonné d’un portail client	Adresse e-mail, langue, date et IP de l’abonnement, confirmation, désabonnement	Lien de désabonnement dans chaque e-mail ; sinon l’agence	Un message depuis l’adresse abonnée

Notre adresse pour tout ce que vous ne pouvez pas faire vous-même : contact@lukaswojcik.com. Vous pouvez également y exercer tout droit sans passer d’abord par les options en libre-service ; celles-ci sont simplement la voie la plus rapide. La page de contact et la fenêtre de support (point d’interrogation dans la navigation) sont également à votre disposition.

3. Clients disposant d’un compte

3.1 Accès et copie : l’export des données

Sous Paramètres → Vos données → « Télécharger mes données », vous recevez immédiatement un fichier JSON contenant ce que nous enregistrons au sujet de votre compte. C’est la voie la plus rapide pour obtenir la copie au titre de l’Art. 15(3) RGPD et exercer la portabilité des données (Art. 20). Les autres informations au titre de l’Art. 15(1) – finalités, destinataires, durée de conservation, source, vos droits – figurent dans la Politique de confidentialité ; sur demande, nous les compilons pour votre cas, avec les données que l’export ne contient pas. L’export requiert votre mot de passe et est limité à trois téléchargements par heure, car le fichier contient des adresses IP et des appareils et une session ouverte sur l’ordinateur d’autrui ne doit pas suffire pour l’obtenir.

Le fichier contient votre compte (nom, adresse e-mail, entreprise, offre, dernière connexion avec adresse IP), vos espaces de travail avec votre rôle et – pour les espaces de travail dont vous êtes propriétaire – les domaines avec leurs paramètres, destinataires d’alertes, formulaires surveillés, marque, portails clients y compris les abonnés, tentatives de livraison d’escalade et vérifications de prospects ; en outre vos clés API (uniquement préfixe et libellé), appareils connectés, tentatives de connexion, journal d’activité, pages consultées, demandes de support, les e-mails qui vous ont été envoyés (sans le texte, car ils peuvent encore contenir des liens valides) et les versions des textes juridiques que vous avez acceptées. Si notre support a consulté votre compte via « voir en tant que client », cela y figure également.

Ce que le fichier ne contient pas : le hachage du mot de passe, les secrets de connexion à deux facteurs, les jetons et les clés – ce sont des éléments de sécurité, pas des informations. Les données des autres membres de vos espaces de travail. Les factures, qui se trouvent dans le portail client Stripe, sous Facturation. Et les résultats de vérification individuels (constats, captures d’écran, incidents, journal des alertes) ; vous pouvez les voir dans le compte et dans les rapports, et avec l’offre Business également via l’API. Si vous les souhaitez sous forme de fichier, écrivez-nous ; nous les compilerons dans le délai indiqué à la section 9. Pour en savoir plus, consultez la page Règlement européen sur les données : changement de fournisseur et export des données.

3.2 Rectification

Vous modifiez vous-même vos prénom, nom, entreprise, langue et adresse e-mail dans les paramètres ; une nouvelle adresse e-mail ne s’applique qu’une fois que vous l’avez confirmée via le lien figurant dans l’e-mail de confirmation. Vous modifiez votre adresse de facturation et votre numéro de TVA dans le portail client Stripe, sous Facturation. Pour tout le reste, un message à notre attention suffit (Art. 16 RGPD).

3.3 Effacement : domaine, espace de travail, compte

Vous pouvez supprimer à trois niveaux. Chacun prend effet immédiatement dans la base de données et ne peut pas être annulé. Téléchargez vos données au préalable.

Retirer un domaine (droit d’écriture dans l’espace de travail) : supprime le domaine avec toutes les vérifications, y compris les formulaires, constats et captures d’écran, les rapports (dont les liens ne fonctionnent alors plus), les tâches, les destinataires d’alertes, le journal de livraison et les incidents, les connexions Telegram, les correspondances du contrôle de livraison, les mesures du pouls, les correspondances de vulnérabilités et les journaux de preuve (y compris leur page de confirmation publique), ainsi que les formulaires surveillés avec leurs étapes de vérification, vérifications par navigateur et mesures, et les comptes de test chiffrés pour l’analyse derrière la connexion. Les chiffres quotidiens du plugin et de l’extension sont également supprimés, dès qu’aucun autre compte ne possède le même domaine.
Supprimer un espace de travail (propriétaire uniquement) : en outre, tous les domaines qu’il contient comme ci-dessus, la marque y compris le logo, les portails clients y compris les abonnés, les codes de déploiement, les vérifications de prospects (leurs rapports n’expirent qu’au terme de leur durée pouvant aller jusqu’à 90 jours), les invitations et les adhésions.
Supprimer le compte (Paramètres, avec mot de passe) : met d’abord fin à un abonnement en cours chez Stripe, immédiatement et, en règle générale, sans remboursement pour le reste de la période payée (les exceptions sont exposées dans les Conditions d’utilisation) ; si vous souhaitez profiter du reste de cette période, résiliez d’abord dans l’espace Facturation avec effet à la fin de la période. Si la fin de l’abonnement échoue, le compte est conservé, afin qu’aucun abonnement ne se poursuive sans compte. Les espaces de travail dont vous êtes propriétaire passent à un autre membre, en priorité aux administrateurs, et parmi eux au plus ancien ; les espaces de travail sans autre membre sont supprimés avec leurs données. Nous supprimons également vos adhésions, appareils connectés, la connexion « Rester connecté », vos clés API y compris les compteurs, les codes Telegram ouverts et l’enregistrement du compte lui-même.

Un espace de travail que vous transmettez à un membre n’est pas supprimé. Le travail d’une équipe n’appartient pas à la personne qui a créé l’espace de travail. Si vous souhaitez que les domaines qu’il contient disparaissent également, supprimez l’espace de travail avant de supprimer votre compte, ou réglez la question avec votre équipe.

Pas de durée de conservation propre : l’inventaire des scripts d’un domaine (la liste des scripts observés) et le journal de leurs modifications sont supprimés avec le domaine, y compris lorsque celui-ci disparaît avec son espace de travail ou votre compte. Ils n’ont pas de durée de conservation propre : ils sont conservés tant que le domaine existe. Si vous souhaitez qu’ils soient supprimés plus tôt, nous les supprimons sur simple message de votre part.

3.4 Ce qui subsiste après la suppression, et pourquoi

Certains éléments ne sont pas supprimés au même moment, parce qu’ils servent une autre finalité ou ont leur propre durée de conservation. Ils expirent avec cette durée et disparaissent ensuite. Si vous demandez l’effacement anticipé d’entrées que nous fondons sur des intérêts légitimes (avant tout les journaux et les demandes de support), nous examinons la demande au cas par cas et les supprimons, à moins que nos motifs ne prévalent sur les vôtres (Art. 17(1)(c), Art. 21(1) RGPD) :

Journaux : journal d’activité 365 jours, journal des pages vues 60 jours, journal des erreurs 90 jours, journal du serveur web 14 jours, tentatives de connexion 7 jours, e-mails envoyés 30 jours. Ils servent la sécurité et l’investigation des abus. Les entrées du journal d’activité et du journal des pages vues conservent votre ancien numéro de compte, qui après la suppression ne renvoie plus à aucun compte existant ; la suppression elle-même est journalisée afin de pouvoir être prouvée ultérieurement.
Demandes de support : 24 mois, afin qu’une question ou une réclamation ultérieure puisse encore recevoir une réponse.
Preuve de la conclusion du contrat : quelle version des Conditions d’utilisation, du Contrat de sous-traitance et de la Politique de confidentialité vous avez acceptée et quand, avec l’adresse IP et l’identification du navigateur. Elle est conservée, car c’est précisément après la résiliation que se pose la question de savoir sur quoi reposait le contrat (Art. 5(2), Art. 17(3)(e) RGPD), et elle est supprimée dès que le compte n’existe plus et que le consentement date de plus de quatre ans.
Les factures et opérations de paiement sont détenues par Stripe et sont soumises à la conservation fiscale (en Pologne, cinq ans à compter de la fin de l’année au cours de laquelle l’impôt est devenu exigible, Art. 17(3)(b) RGPD).
Sauvegardes : les données supprimées restent dans les sauvegardes de la base de données jusqu’à ce que celles-ci soient écrasées dans le cours normal des choses après 14 jours. Nous ne restaurons pas une sauvegarde pour récupérer des données supprimées.

4. Membres d’équipe et personnes invitées

En tant que membre de l’espace de travail d’autrui, vous disposez de votre propre compte avec les mêmes outils qu’à la section 3 : export, rectification, effacement. Votre export contient vos adhésions, mais pas les domaines des espaces de travail appartenant à d’autres – leur propriétaire en est responsable. Vous pouvez quitter un espace de travail à tout moment ; le propriétaire peut vous en retirer. Ce que vous avez fait dans l’espace de travail est consigné dans le journal d’activité et expire après 365 jours. Si vous avez laissé un nom ou une adresse e-mail en tant que personne ayant pris en compte un incident ou en tant que destinataire d’une alerte, c’est le propriétaire de l’espace de travail qui gère ces informations ; nous agissons pour son compte et lui transmettons toute demande.

Si vous avez été invité sans créer de compte, nous enregistrons votre adresse e-mail et le rôle prévu jusqu’à l’expiration de l’invitation au bout de 14 jours ; la passe nocturne la supprime ensuite. Nous supprimons une invitation acceptée 30 jours après son acceptation. Si vous souhaitez qu’une invitation ouverte disparaisse immédiatement, écrivez-nous depuis l’adresse invitée.

5. Exploitants de sites web vérifiés sans compte

5.1 Ce que nous pouvons avoir au sujet de votre domaine

Rapports de la vérification gratuite : adresses des pages vérifiées, structure des formulaires (sans valeurs), mesures de protection détectées et captures d’écran, qui ne sont pas caviardées. Supprimés après 30 jours.
Vérifications de votre site web en tant que prospect par une agence : 90 jours. Vérifications pour une étude : jusqu’à la publication, qui ne contient que des chiffres agrégés sans nom de sites web.
Une entrée d’opt-out, si quelqu’un a exclu votre domaine : domaine et motif de manière permanente ; adresse IP, pays et identification du navigateur de la personne ayant effectué l’entrée pendant 12 mois.
Données du plugin sans compte : si notre plugin WordPress ou l’extension TYPO3 fonctionne sans être connecté à un compte, nous connaissons l’hôte et les versions ; nous supprimons chaque nuit les chiffres quotidiens d’un hôte sans compte, et l’hôte 90 jours après le dernier contact.

Ces données deviennent personnelles avant tout lorsqu’une personne est visible sur une page vérifiée ou sur une capture d’écran, par exemple le nom d’un interlocuteur à côté du formulaire.

5.2 Opposition : mettre fin aux vérifications

Le plus rapide est de passer par robots.txt (User-agent: FormExposedBot / Disallow: /) ou par la page d’opt-out. Les deux prennent effet immédiatement, sans preuve, aussi bien pour les vérifications anonymes que pour les vérifications de clients, même si un client a vérifié le domaine ; la surveillance en cours prend fin à la prochaine vérification prévue. L’opt-out s’applique au domaine et à sa variante www, et non aux autres sous-domaines ; seuls nous pouvons le lever, sur demande et sur preuve. robots.txt prend effet si le Disallow couvre la page d’accueil. L’exclusion empêche les vérifications futures ; elle ne supprime pas les rapports existants, qui expirent au terme de leur durée de conservation. Pour en savoir plus sur le robot d’exploration, consultez la page FormExposedBot.

5.3 Faire supprimer un rapport de manière anticipée

Envoyez-nous le lien du rapport. Quiconque dispose du lien peut de toute façon lire le rapport ; nous n’exigeons donc aucune autre preuve pour la suppression. Sans le lien, indiquez le domaine et la date approximative, et nous effectuerons une recherche.

Procédez de la même manière si vous apparaissez, en tant que personne, sur une page vérifiée ou une capture d’écran, par exemple comme interlocuteur à côté d’un formulaire, et demandez l’accès ou l’effacement. Si la vérification concerne un domaine pour lequel un client a fourni une preuve de contrôle, nous agissons pour le compte de ce client ; dans ce cas, nous lui transmettons votre demande et vous en informons.

5.4 Accès aux informations concernant un domaine et preuve de contrôle

Quiconque demande tout ce que nous avons au sujet d’un domaine reçoit des données que le lien du rapport ne permet pas à lui seul d’ouvrir. Avant de les communiquer, nous demandons la preuve que vous contrôlez le domaine – par l’une des méthodes que nous exigeons également des clients : un enregistrement TXT dans le DNS sous _formexposed.<your-domain> ou un fichier à l’emplacement /.well-known/formexposed-verify.txt, chacun avec une valeur que nous indiquons. À défaut, un message envoyé depuis une adresse relevant du même domaine et figurant dans les mentions légales du site web suffit. Sans preuve, nous confirmons uniquement si le domaine est exclu.

Ce que nous ne communiquons pas : qui a lancé une vérification – son adresse IP est sa donnée, pas la vôtre, et elle est supprimée après sept jours, sauf si elle a été notée à des fins de prévention des abus en raison d’un nombre anormalement élevé de vérifications. Si un client a votre domaine dans son compte, nous vous indiquons que c’est le cas et, si vous le souhaitez, lui transmettons votre demande. Si le client a fourni une preuve de contrôle du domaine, nous agissons pour son compte, et lui seul communique ses résultats. En l’absence d’une telle preuve, nous sommes nous-mêmes responsable du traitement ; dans ce cas, nous vous désignons le client en tant que destinataire, dans la mesure où vous le demandez et où ses intérêts légitimes ne prévalent pas (Art. 15(1)(c), (4) RGPD). Les soumissions de test des clients n’atteignent que les domaines pour lesquels le client a fourni une preuve de contrôle (en interne, nous ne vérifions de cette manière que nos propres domaines de test et de démonstration) ; si vous pensez que cette preuve fait défaut, signalez-le-nous.

6. Visiteurs des sites web de nos clients

L’exploitant d’un site web tiers est responsable de vos données sur ce site web. L’exploitant détient l’original de votre message. Nous travaillons pour le compte de l’exploitant et, en règle générale, ne voyons rien qui vous identifie. En détail :

Contrôle de livraison : si l’exploitant l’a configuré, une copie cachée de l’e-mail du formulaire parvient à notre boîte de contrôle. Elle est lue automatiquement lors de la récupération suivante (en-têtes et au maximum les 8 premiers Ko), attribuée et supprimée ; la récupération s’exécute normalement toutes les quelques minutes, et en cas de perturbation, un e-mail peut rester jusqu’à la prochaine passe réussie. Seuls l’heure et l’attribution au domaine subsistent dans notre base de données, ainsi que, au niveau du domaine, le résultat technique du contrôle d’authenticité du dernier e-mail (SPF, DKIM, DMARC, adresse IP du serveur de messagerie d’envoi), que l’e-mail suivant écrase – ni le contenu ni l’adresse complète de l’expéditeur. Le résultat d’authenticité contient le domaine de messagerie de l’expéditeur, par exemple celui de votre fournisseur de messagerie ; il n’est nommé dans une alerte à l’exploitant que s’il n’appartient pas au site web. Après traitement, nous ne pouvons donc plus retrouver votre message, et il n’existe rien que nous puissions vous attribuer et vous communiquer.
Badge : si votre navigateur charge l’image du badge, votre adresse IP, avec l’heure, l’identification du navigateur et la page de provenance, est conservée dans le journal de notre serveur web pendant 14 jours ; le badge ne dépose pas de cookies. Si vous nous communiquez votre adresse IP et l’heure approximative dans ce délai de 14 jours, nous vérifierons s’il existe des entrées et les supprimerons sur demande. Sans adresse IP, une entrée ne peut être attribuée à personne.
Plugin WordPress et extension TYPO3 : la quarantaine, le filet de sécurité et les enregistrements restent sur le site web de l’exploitant. Ce qui nous parvient, ce sont des chiffres quotidiens, l’inventaire des plugins et, pour un plugin WordPress connecté, les domaines des liens issus de messages bloqués pour la protection en essaim (activée par défaut), mais aucun autre contenu, ni adresses, ni noms, ni adresses IP de visiteurs. Seul l’exploitant peut vous aider ici.

Veuillez donc vous adresser d’abord à l’exploitant. Si vous ne parvenez pas à le joindre, écrivez-nous en indiquant le site web et l’heure ; nous transmettrons la demande dans la mesure où nous pouvons identifier l’exploitant. Il ne nous appartient pas d’en décider, car c’est le droit de l’exploitant.

7. Abonnés d’un portail client

Une agence propose le rapport mensuel d’un portail client sous son propre nom ; l’agence est le responsable du traitement, et nous agissons pour son compte. Vous pouvez vous désabonner à tout moment via le lien figurant dans chaque e-mail, immédiatement et sans vous connecter. Ensuite, nous conservons l’enregistrement de votre abonnement (adresse, langue, date et adresse IP de l’abonnement, confirmation, désabonnement) pendant trois ans supplémentaires afin que l’agence puisse prouver que vous aviez consenti ; si l’agence supprime son espace de travail, y compris avec son compte si personne d’autre n’en fait partie, il disparaît plus tôt. Si elle se contente de révoquer le portail, l’enregistrement reste conservé. Nous supprimons un abonnement non confirmé après 30 jours. Vous demandez l’accès et l’effacement anticipé à l’agence ; si vous nous écrivez depuis l’adresse abonnée, nous transmettrons la demande à l’agence.

8. Opposition, limitation et retrait du consentement

Opposition (Art. 21 RGPD) : au traitement fondé sur des intérêts légitimes, par exemple les journaux ou la vérification de votre site web. Nous ne traitons alors plus ces données, à moins de démontrer des motifs légitimes et impérieux qui prévalent sur vos intérêts, ou d’en avoir besoin pour la constatation, l’exercice ou la défense de droits en justice ; nous vous informons de l’issue. Pour les vérifications, l’opt-out est la voie directe (section 5.2). Vous vous désabonnez du rapport mensuel de votre compte dans les paramètres. Le rappel après l’inscription n’est envoyé qu’une fois au maximum et plus jamais ensuite.
Limitation (Art. 18) : si vous contestez l’exactitude de données ou en avez besoin pour une procédure judiciaire, nous les bloquons sur demande au lieu de les supprimer.
Retrait du consentement (Art. 7(3)) : lorsqu’un traitement repose sur votre consentement – par exemple le rapport mensuel d’un portail client – le retrait prend effet pour l’avenir.

9. Délais, vérification de l’identité, coûts

Délai : nous répondons dans les meilleurs délais et au plus tard dans un délai d’un mois à compter de la réception (Art. 12(3) RGPD). Si une demande est exceptionnellement volumineuse, ce délai peut être prolongé de deux mois ; nous vous en informons dans le premier mois, avec les motifs. Si nous ne donnons pas suite, nous vous indiquons dans un délai d’un mois pourquoi, ainsi que la possibilité d’introduire une réclamation auprès d’une autorité de contrôle (Art. 12(4)).

Identité : nous ne communiquons des données qu’à la personne à laquelle elles appartiennent. Dans le compte, la connexion avec votre mot de passe suffit. Par e-mail, nous répondons à l’adresse associée au compte, à l’invitation ou à l’abonnement ; si vous écrivez depuis une autre adresse, nous vous demandons de confirmer la demande depuis l’adresse enregistrée. Pour les domaines, la section 5.4 s’applique. Nous ne demandons des informations supplémentaires, comme une pièce d’identité, que si des doutes raisonnables subsistent (Art. 12(6)), et alors uniquement dans la mesure nécessaire ; sur une copie de pièce d’identité, vous pouvez masquer tout sauf votre nom et votre photo, et nous la supprimons après vérification. Nous ne vous demandons jamais votre mot de passe.

Coûts : aucun. Ce n’est qu’en cas de demandes manifestement infondées ou excessives que nous pouvons exiger des frais raisonnables ou refuser (Art. 12(5)) ; nous en donnons alors les motifs.

Destinataires : si nous rectifions, effaçons ou limitons des données que nous avons communiquées à d’autres, nous en informons ces destinataires, à moins qu’une telle communication se révèle impossible ou exige des efforts disproportionnés, et, sur demande, nous vous indiquons qui sont ces destinataires (Art. 19 RGPD).

10. Les limites, clairement énoncées

Là où nous n’enregistrons rien, nous ne pouvons rien communiquer. Cela concerne principalement les visiteurs des sites web de nos clients. Conformément à l’Art. 11 RGPD, nous ne collectons pas de données supplémentaires dans le seul but de vous identifier.
Pour les données traitées pour le compte d’un Client, c’est le Client qui décide. Nous assistons le Client au titre du Contrat de sous-traitance et transmettons les demandes, mais nous ne supprimons rien à son insu.
L’effacement est définitif. Nous ne restaurons pas les domaines, vérifications ou comptes supprimés, pas même à partir d’une sauvegarde (section 3.4).
Ce que nous sommes tenus de conserver le reste jusqu’à l’extinction de l’obligation, avant tout les factures et la preuve de la conclusion du contrat (section 3.4).

11. Contact et réclamations

Veuillez adresser vos demandes à contact@lukaswojcik.com, via la page de contact ou la fenêtre de support. Le responsable du traitement est LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Pologne. Nous n’avons pas désigné de délégué à la protection des données.

Vous pouvez introduire une réclamation auprès de toute autorité de contrôle de la protection des données, en particulier dans l’État membre de votre résidence habituelle, de votre lieu de travail ou du lieu où la violation aurait été commise (Art. 77 RGPD). L’autorité compétente à notre égard est le Président de l’Office de protection des données personnelles (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa, Pologne. La manière dont nous traitons les réclamations est exposée sous Réclamations.

Comment pouvons-nous vous aider ?