गोपनीयता नीति

यह दस्तावेज़ कई भाषाओं में प्रकाशित है। भाषा संस्करणों में किसी भी अंतर की स्थिति में पोलिश संस्करण बाध्यकारी है।

संस्करण 2.3 · अंतिम अपडेट: 29 अक्टूबर 2026

यह नीति बताती है कि formexposed कौन-सा व्यक्तिगत डेटा संसाधित करता है, किस उद्देश्य से, किस कानूनी आधार पर, किसे भेजता है और कब मिटाता है। हम केवल वही लिखते हैं जो सेवा वास्तव में करती है; हमारी बताई संग्रहण अवधियाँ वही हैं जिनके अनुसार डेटा मिटाने की हमारी प्रक्रियाएँ काम करती हैं, और जहाँ अभी कोई निश्चित अवधि नहीं है, हम यह भी बताते हैं। जो सुविधाएँ बन चुकी हैं लेकिन चालू नहीं हैं, उन्हें इसी रूप में बताया गया है। चूँकि सेवा लोगों के कई समूहों को प्रभावित करती है, हर अनुभाग की शुरुआत में बताया गया है कि वह किसके लिए है:

• आप formexposed.com या form.exposed पर आते हैं: अनुभाग 3, 4 और 5।
• आपने मुखपृष्ठ पर किसी डोमेन की जाँच कराई है: अनुभाग 6।
• हमारे क्रॉलर ने आपकी वेबसाइट की जाँच की है: अनुभाग 7 – यह Art. 14 GDPR के अंतर्गत हमारी सूचना भी है।
• आपका खाता है या आपको किसी टीम में आमंत्रित किया गया है: अनुभाग 8 से 18।
• आप हमारे किसी ग्राहक की वेबसाइट पर आते हैं (जिसमें बैज, प्लगइन या संदेश पहुँचने की जाँच है): अनुभाग 20।
• आप किसी अधिकार का प्रयोग करना या शिकायत करना चाहते हैं: अनुभाग 26 से 28।

1. नियंत्रक और संपर्क

formexposed.com, form.exposed और formexposed सेवा में व्यक्तिगत डेटा के प्रसंस्करण का नियंत्रक, जहाँ हम किसी ग्राहक की ओर से काम नहीं कर रहे हैं (अनुभाग 2), है:

LW IT Solutions Company Lukas Wójcik
स्वामी: Lukas Wójcik
al. Tadeusza Kościuszki 80/82, lok. 301
90-437 Łódź
पोलैंड
NIP (पोलिश कर पहचान संख्या) 7252266190 · VAT ID PL7252266190
ई-मेल: contact@lukaswojcik.com

हमसे संपर्क के अन्य तरीके सहायता विंडो (नेविगेशन में प्रश्नचिह्न) और संपर्क पेज हैं। कृपया सुरक्षा भेद्यताओं की रिपोर्ट हमारे भेद्यता रिपोर्टिंग पेज से करें।

डेटा संरक्षण अधिकारी: हमने किसी को नियुक्त नहीं किया है। हम एकल स्वामित्व व्यवसाय हैं; हमारा मुख्य कार्य वेबसाइट और फ़ॉर्म जाँचना है, व्यक्तियों की बड़े पैमाने पर निगरानी या विशेष श्रेणियों के डेटा का प्रसंस्करण करना नहीं (Art. 37(1) GDPR)। इसके कारण प्रसंस्करण गतिविधियों के अभिलेख में दिए गए हैं। कृपया डेटा संरक्षण के प्रश्न ऊपर दिए ई-मेल पते पर भेजें; वह सीधे स्वामी तक पहुँचता है।

2. यह किस बारे में है और हम किस भूमिका में काम करते हैं

formexposed वेबसाइटों के संपर्क फ़ॉर्म जाँचता है: क्या वे स्पैम और दुरुपयोग से सुरक्षित हैं, क्या पूछताछ पहुँचती है, फ़ॉर्म भरते समय कौन-सी तृतीय-पक्ष सेवाएँ साथ में पढ़ सकती हैं और क्या इनमें कुछ बदलता है। ऐसा करते समय हम तीन भूमिकाओं में व्यक्तिगत डेटा संसाधित करते हैं। यह अंतर केवल औपचारिकता नहीं है: इससे तय होता है कि अनुरोध के लिए आपको किससे संपर्क करना चाहिए।

• नियंत्रक के रूप में, अपनी वेबसाइटों के आगंतुकों, अपने ग्राहकों और उनके टीम सदस्यों के डेटा, बिलिंग और सहायता के लिए तथा ऐसी वेबसाइटों की जाँच के लिए जो किसी ग्राहक खाते की नहीं हैं (निःशुल्क जाँच, अध्ययन, संभावित ग्राहक जाँच) या जिनका डोमेन ग्राहक ने अभी सत्यापित नहीं किया है। यह नीति इसी के बारे में है।
• प्रसंस्करणकर्ता के रूप में, तृतीय पक्षों के उस डेटा के लिए जिसे हमारे ग्राहक सेवा के माध्यम से संसाधित कराते हैं: संदेश पहुँचने की जाँच में फ़ॉर्म ई-मेल की प्रतियाँ (अनुभाग 15), क्लाइंट पोर्टल के सदस्य (अनुभाग 14), स्वयं ग्राहक न होने वाले चेतावनी प्राप्तकर्ता (अनुभाग 10), लॉगिन के पीछे की जाँच के परीक्षण खाते (अनुभाग 9) और ऐसी वेबसाइट पर दिखाई देने वाले व्यक्ति जिसका डोमेन ग्राहक ने सत्यापित किया है (अनुभाग 7)। इन मामलों में ग्राहक नियंत्रक है; पंजीकरण पर हर ग्राहक द्वारा किया जाने वाला डेटा प्रसंस्करण समझौता लागू होता है।
• कोई भूमिका नहीं, उस डेटा के लिए जिसे हमारा WordPress प्लगइन और TYPO3 एक्सटेंशन ग्राहक की वेबसाइट पर रखते हैं और जो उस वेबसाइट से बाहर नहीं जाता (अनुभाग 13)। उस वेबसाइट का संचालक नियंत्रक है; हमारी उस डेटा तक पहुँच नहीं है।

इस नीति में जहाँ “ग्राहक” कहा गया है, उसका अर्थ formexposed के खाताधारक से है। खाते केवल व्यवसायों के लिए उपलब्ध हैं; बिना खाते की निःशुल्क जाँच कोई भी उपयोग कर सकता है। सेवा बच्चों के लिए नहीं है।

3. सर्वर, लॉग और बैकअप

हमारी वेबसाइटों पर आने या सेवा उपयोग करने वाले सभी लोगों के लिए।

हम पोलैंड में अपने सर्वर पर formexposed चलाते हैं: डेटाबेस वाला एक वेब सर्वर और क्रॉलर तथा भाषा मॉडल चलाने वाला एक स्कैन सर्वर। दोनों एक ही आंतरिक नेटवर्क में हैं। कोई बाहरी होस्टिंग या क्लाउड प्रदाता नहीं है। केवल स्वामी को सर्वर तक पहुँच है।

3.1 वेब सर्वर लॉग

हर अनुरोध के लिए वेब सर्वर IP पता, तारीख और समय, माँगा गया पता, स्थिति कोड, भेजे गए डेटा की मात्रा, पहले देखा गया पेज (referrer) और ब्राउज़र पहचान (user agent) रखता है। यह ग्राहक पेजों से बैज के अनुरोधों पर भी लागू है (अनुभाग 12)। लॉग रोज़ घुमाए जाते हैं और 14 दिन बाद मिटा दिए जाते हैं।

3.2 पेज व्यू लॉग

इसके अतिरिक्त ऐप्लिकेशन हर पेज व्यू दर्ज करता है, लेकिन पृष्ठभूमि अनुरोध, इंटरफ़ेस या बैज नहीं: IP पता, उससे निर्धारित देश, माँगा गया पता और referrer (रखने से पहले हम उनमें रिपोर्ट या पोर्टल लिंक जैसे पहुँच टोकन मास्क करते हैं), ब्राउज़र पहचान और उससे मिली डिवाइस प्रकार, ऑपरेटिंग सिस्टम तथा ब्राउज़र की जानकारी, भाषा और – साइन इन होने पर – आपकी खाता संख्या। हम अपने सर्वर के डेटाबेस से देश तय करते हैं; इस उद्देश्य के लिए IP पता सर्वर से बाहर नहीं जाता। यदि हमारी सहायता आपका खाता देखती है (अनुभाग 8.5), तो ये पेज व्यू आपके खाते से नहीं जोड़े जाते। हम प्रविष्टियाँ 60 दिन बाद मिटाते हैं।

3.3 त्रुटि लॉग और त्रुटि चेतावनी

हम तकनीकी त्रुटियों को समय, स्तर, स्रोत, संदेश, तकनीकी संदर्भ और जहाँ लागू हो, आपकी खाता संख्या के साथ दर्ज करते हैं तथा 90 दिन बाद मिटाते हैं। नए प्रकार की त्रुटि होने पर सेवा स्वामी को संदेश का कच्चा पाठ (अधिकतम 400 अक्षर, साफ़ किए बिना) ई-मेल से और छोटी सूचना Telegram से भेजती है; त्रुटियाँ बढ़ने पर केवल सूचना भेजती है; इसके अतिरिक्त हर दिन त्रुटि प्रकारों का अवलोकन ई-मेल से मिलता है। Telegram संदेश एक निश्चित वाक्य होता है, जिसमें त्रुटि की सामग्री, पता या व्यक्तियों के बारे में जानकारी नहीं होती। हर प्रकार की त्रुटि के संदेश का एक उदाहरण हम अभी बिना निश्चित संग्रहण अवधि के रखते हैं; हम मिटाने की अवधि तय करके यहाँ बताएँगे। त्रुटि संदेशों में व्यक्तिगत डेटा नहीं होना चाहिए; फिर भी हम इसकी संभावना नकार नहीं सकते, उदाहरण के लिए यदि संदेश में दर्ज किया गया पता दोहराया गया हो।

3.4 बैकअप

डेटा मिटाने की प्रक्रिया पूरी होने के बाद हर रात डेटाबेस का बैकअप लिया जाता है; इसलिए बैकअप में ऐसी कोई चीज़ नहीं होती जिसे इन संग्रहण अवधियों के अनुसार पहले ही मिट जाना चाहिए था। बैकअप अभी डेटाबेस वाले स्थान पर ही रखे जाते हैं और अलग से एन्क्रिप्ट नहीं हैं; दूसरे स्थान पर एन्क्रिप्टेड प्रति की योजना है। वे 14 दिन बाद समाप्त हो जाते हैं। लाइव सिस्टम से हम जो मिटाते हैं, वह तब तक बैकअप में रहता है। बैकअप से चुनिंदा सामग्री नहीं हटाई जाती; वह केवल हानि के बाद बहाली के लिए है।

उद्देश्य और कानूनी आधार: सेवा का संचालन और सुरक्षा, हमलों और दुरुपयोग से रक्षा, समस्या निवारण, बहाली और उपयोग के आँकड़े। अंतिम उद्देश्य के लिए केवल दैनिक कुल (जैसे प्रति दिन पंजीकरण) दर्ज करते हैं, व्यक्तियों के बारे में कुछ नहीं; हम किसी विश्लेषण या ट्रैकिंग सेवा का उपयोग नहीं करते। कानूनी आधार Art. 6(1)(f) GDPR है; हमारा वैध हित सुरक्षित और स्थिर संचालन है।

4. कुकी और ब्राउज़र में संग्रहण

हमारी वेबसाइटों के आगंतुकों और सेवा के उपयोगकर्ताओं के लिए।

नाम	प्रकार	उद्देश्य	अवधि
bpid	कुकी	सत्र: आपको साइन इन रखता है, फ़ॉर्म को जाली अनुरोधों (CSRF) से बचाता है और निःशुल्क जाँच की प्रति-सत्र सीमाएँ गिनता है	आपके ब्राउज़र बंद करने तक
bp_remember	कुकी	केवल साइन इन करते समय “साइन इन रहें” चुनने पर: आपको साइन इन रखता है	30 दिन
bp_theme	स्थानीय संग्रहण	आपने हल्की या गहरी थीम चुनी है; साइन इन उपयोगकर्ताओं का चयन खाते में भी रखा जाता है	आपके ब्राउज़र डेटा मिटाने तक

यह संग्रहण आपके स्पष्ट रूप से माँगी गई सेवा के काम करने के लिए अनिवार्य है; इसके लिए सहमति आवश्यक नहीं (राष्ट्रीय स्तर पर लागू Directive 2002/58/EC का Art. 5(3), जर्मनी में दूरसंचार डिजिटल सेवा डेटा संरक्षण अधिनियम (TDDDG) का § 25(2) no. 2, पोलैंड में इलेक्ट्रॉनिक संचार कानून, Prawo komunikacji elektronicznej का Art. 399)। संबंधित प्रसंस्करण का कानूनी आधार साइन इन होने पर Art. 6(1)(b) GDPR, अन्यथा Art. 6(1)(f) GDPR है; दूसरे मामले में हमारा वैध हित फ़ॉर्म को जाली अनुरोधों से बचाना, निःशुल्क जाँच की सीमाएँ लागू करना और आपकी चुनी हुई दिखावट देना है।

हम विज्ञापन या दर्शक मापन के लिए कुकी सेट नहीं करते। साझेदार कार्यक्रम का रेफ़रल कोड (अनुभाग 18) पते के साथ पंजीकरण तक जाता है, कुकी में नहीं। फ़ॉर्म सबमिट होने पर Google reCAPTCHA अपनी कुकी उपयोग कर सकता है (अनुभाग 5)।

5. Google reCAPTCHA और हमारी अपनी फ़ॉर्म सुरक्षा

हमारा कोई फ़ॉर्म सबमिट करने वाले सभी लोगों के लिए।

हम निःशुल्क जाँच, हेडर टूल, डोमेन को जाँच से बाहर रखने (opt-out), साइन इन, पंजीकरण, नया पासवर्ड माँगने और सेट करने तथा सहायता और संपर्क के फ़ॉर्म को Google reCAPTCHA v3 से स्वचालित हमलों से बचाते हैं। प्रदाता Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland है।

हम Google की स्क्रिप्ट केवल इनमें से कोई फ़ॉर्म सबमिट करते समय लोड करते हैं, पेज खुलते ही नहीं। तब वह ब्राउज़र, डिवाइस और पेज उपयोग की जानकारी पढ़कर आपके IP पते और मौजूद Google कुकी के साथ Google को भेजती है, जो आकलन करता है कि फ़ॉर्म मनुष्य सबमिट कर रहा है या नहीं। हमें केवल यह आकलन स्कोर के रूप में और संबंधित क्रिया के साथ मिलता है। स्कोर हमारी सीमा से कम हो, दूसरे फ़ॉर्म का हो या Google तीन सेकंड में जवाब न दे, तो हम सबमिशन अस्वीकार करते हैं; स्कोर नहीं रखते। आप फिर कोशिश कर सकते हैं या हमें ई-मेल लिख सकते हैं। Google डेटा अमेरिका की Google LLC को भेज सकता है (अनुभाग 22) और रखने की अवधि स्वयं तय करता है; अधिक जानकारी Google की गोपनीयता नीति में है।

इसके अतिरिक्त इन फ़ॉर्म में – नया पासवर्ड सेट करने वाले फ़ॉर्म को छोड़कर – तृतीय पक्षों के बिना हमारी अपनी सुरक्षा है: मनुष्यों से अदृश्य ट्रैप फ़ील्ड और हस्ताक्षरित टाइमस्टैम्प, जिससे बहुत जल्दी सबमिट किए फ़ॉर्म पहचाने जाते हैं।

निःशुल्क जाँच, पंजीकरण, साइन इन और नया पासवर्ड माँगने के फ़ॉर्म को हम अपनी फ़ॉर्म सुरक्षा formconfirmed से भी बचाते हैं, जो इसी तरह तृतीय पक्षों के बिना काम करती है। पेज खुलने पर एक छोटी स्क्रिप्ट हमारे सर्वर से एक हस्ताक्षरित कार्य लाती है; जैसे ही आप फ़ॉर्म का उपयोग करते हैं, आपका ब्राउज़र उसे पृष्ठभूमि में हल करता है (गणना का प्रमाण)। परिणाम एक बार उपयोग योग्य जाँच टोकन के रूप में फ़ॉर्म के साथ हमें पहुँचता है, और सबमिट करते समय हम उसकी जाँच करते हैं। इस दौरान हम आपका IP पता, फ़ॉर्म वाले पेज का पता, समय और यह प्रसंस्कृत करते हैं कि मनुष्यों से अदृश्य कोई फ़ील्ड भरा गया या नहीं। इसके लिए हम IP पता केवल छोटा करके (IPv4 में अंतिम बाइट के बिना, IPv6 में केवल पहले 48 बिट) और प्रतिदिन बदलने वाली कुंजी के साथ हैश मान के रूप में रखते हैं, ताकि बार-बार आने वाले अनुरोध पहचाने जा सकें; यह मान एक घंटे बाद मिटा दिया जाता है, और उपयोग हो चुका जाँच टोकन अधिकतम ग्यारह मिनट बाद। फ़ॉर्म सुरक्षा इन फ़ॉर्म की सामग्री का आकलन नहीं करती। वह कोई कुकी सेट नहीं करती, आपके ब्राउज़र में कुछ संग्रहीत नहीं करती और आपके डिवाइस का फ़िंगरप्रिंट नहीं बनाती। मान्य जाँच टोकन न होने पर हम सबमिशन अस्वीकार करते हैं; यदि कार्य के लिए हमारी सेवा उपलब्ध नहीं थी, तो हम उसे स्वीकार करते हैं।

कानूनी आधार: Art. 6(1)(f) GDPR; हमारा वैध हित इन फ़ॉर्म को प्रोग्राम के दुरुपयोग से बचाना है, विशेषकर बड़े पैमाने पर पासवर्ड अनुमान, स्वतः बने खाते और तृतीय-पक्ष वेबसाइटों के विरुद्ध उपकरण के रूप में निःशुल्क जाँच का उपयोग। चूँकि Google की स्क्रिप्ट केवल फ़ॉर्म सबमिट करते समय लोड होती है और केवल उसी सबमिशन के लिए है, हम डिवाइस से जानकारी पढ़ना उस सेवा के लिए अनिवार्य मानते हैं जिसे आप सबमिट करके स्पष्ट रूप से माँगते हैं (§ 25(2) no. 2 TDDDG, Art. 399 Prawo komunikacji elektronicznej)। हमारी अपनी फ़ॉर्म सुरक्षा पर भी यही लागू होता है: वह ब्राउज़र में केवल वही प्रसंस्कृत करती है जो आपके द्वारा उपयोग किए जा रहे फ़ॉर्म को सबमिट करने के लिए आवश्यक है। उसका उद्देश्य लंबे समय में reCAPTCHA का स्थान लेना है। आवश्यकता: reCAPTCHA और हमारी अपनी फ़ॉर्म सुरक्षा के बिना फ़ॉर्म सबमिट नहीं हो सकता; पूछताछ के लिए ई-मेल उपलब्ध रहता है।

6. बिना खाते निःशुल्क जाँच

मुखपृष्ठ पर डोमेन जाँचने या हेडर टूल उपयोग करने वाले सभी लोगों के लिए।

6.1 निःशुल्क जाँच

मुखपृष्ठ पर आप बिना खाते किसी डोमेन की जाँच करा सकते हैं। इसके लिए हम संसाधित करते हैं:

• दर्ज डोमेन और जाँच का परिणाम (रिपोर्ट; इस दौरान क्रॉलर क्या एकत्र करता है, अनुभाग 7 में दिया है);
• आपका IP पता, उसका देश, आपके सत्र का हैश (स्वयं सत्र नहीं), समय और अनुरोध स्वीकार हुआ या नहीं, ताकि सीमाएँ लागू हों (प्रति पता और सत्र प्रतिदिन केवल कुछ जाँच; पिछले कुछ दिनों में जाँचे डोमेन को नई जाँच के बजाय वही रिपोर्ट मिलती है) और दुरुपयोग पहचाना जा सके। हम ये प्रविष्टियाँ 7 दिन बाद मिटाते हैं;
• संदिग्ध व्यवहार, जैसे एक पते से कई अलग डोमेन, पर IP पता या सत्र हैश वाला संकेतक। मामला जाँचने तक और उसके बाद 90 दिन रखा जाता है। स्वामी को इसके बारे में डोमेन और IP पते के बिना Telegram सूचना मिलती है।

जिसे आप उसका यादृच्छिक लिंक देते हैं, वह रिपोर्ट देख सकता है; खोज इंजन को इसे इंडेक्स नहीं करना चाहिए। हम इसे जाँच डेटा और स्क्रीनशॉट के साथ 30 दिन बाद मिटाते हैं। निःशुल्क रिपोर्ट एक अंश दिखाती है; खाते जैसी ही चीज़ें जाँची जाती हैं, लेकिन परीक्षण सबमिशन के बिना।

6.2 हेडर टूल

सुरक्षा हेडर टूल डोमेन का मुखपृष्ठ दो बार (https और http से) प्राप्त करके जवाब का मूल्यांकन करता है। हम डोमेन, परिणाम और ग्रेड 90 दिन रखते हैं; सीमाओं के लिए जाँच वाला ही लॉग लागू है (7 दिन)। बाहर रखा डोमेन (अनुभाग 19) यहाँ भी नहीं जाँचा जाता।

कानूनी आधार: आपकी माँगी जाँच के लिए Art. 6(1)(b) GDPR और सीमाओं तथा दुरुपयोग रोकने के लिए Art. 6(1)(f) GDPR; हमारा वैध हित है कि सेवा दूसरों की वेबसाइटों के विरुद्ध उपकरण के रूप में दुरुपयोग न हो। आवश्यकता: डोमेन के बिना जाँच नहीं; IP पते के बिना सर्वर आपको जवाब नहीं दे सकता।

6.3 रिपोर्ट पर प्रतिक्रिया

रिपोर्ट के नीचे “क्या इस रिपोर्ट में कुछ गलत है?” उपयोग करने वाले सभी लोगों के लिए, खाते के साथ या बिना।

हर पूरी रिपोर्ट के नीचे आप बता सकते हैं कि कोई फ़ॉर्म छूटा है, उसका प्रकार गलत पहचाना गया है या किसी जाँच का परिणाम गलत है। इसके लिए हम संसाधित करते हैं:

• आपकी दी जानकारी: चुनी श्रेणी और, यदि चाहें, संबंधित जाँच, किसी पेज का पता और अधिकतम 1,000 अक्षरों का पाठ;
• प्रतिक्रिया से संबंधित रिपोर्ट (लिंक, जाँच और डोमेन की पहचान), पेज की भाषा और समय;
• साइन इन होने पर आपके खाते की पहचान; तब हमें प्रतिक्रिया के साथ खाते का ई-मेल पता दिखाई देता है;
• आपके IP पते का एकतरफ़ा चेकसम (गुप्त कुंजी से बना), ताकि एक पते से केवल कुछ रिपोर्ट आएँ (प्रति घंटे 5, प्रतिदिन 20)। प्रतिक्रिया के साथ स्वयं IP पता नहीं रखते; चेकसम 2 दिन बाद साफ़ कर देते हैं।

हम ई-मेल पता नहीं माँगते और प्रतिक्रिया का जवाब नहीं देते। जवाब चाहिए तो सहायता को लिखें (अनुभाग 17)। कृपया पाठ में व्यक्तिगत डेटा न डालें। हम प्रतिक्रिया पढ़ते, वर्गीकृत करते और उपयोगी होने पर रिपोर्ट का जाँच डेटा (फ़ॉर्म फ़ील्ड, कारण और निष्कर्ष, स्क्रीनशॉट के बिना) अपनी पहचान प्रणाली के परीक्षण मामले के रूप में लेते हैं; ऐसा मामला जाँची वेबसाइट का वर्णन करता है, आपका नहीं। प्रतिक्रिया से रिपोर्ट नहीं बदलती।

कानूनी आधार: Art. 6(1)(f) GDPR; हमारा वैध हित पहचान की त्रुटियाँ ढूँढकर ठीक करना है और सीमा दुरुपयोग से रक्षा करती है। आवश्यकता: प्रतिक्रिया स्वैच्छिक है। संग्रहण: 24 महीने; आपके खाते के साथ तुरंत मिटाई जाती है।

7. हमारे क्रॉलर से वेबसाइट जाँच – Art. 14 GDPR के अंतर्गत सूचना

जाँची वेबसाइटों के संचालकों और उन व्यक्तियों के लिए जिनके विवरण जाँची वेबसाइट पर दिखते हैं। आपने यह डेटा स्वयं हमें नहीं दिया; इसलिए हम यहाँ सूचित करते हैं।

7.1 क्रॉलर क्या करता है

हमारा क्रॉलर FormExposedBot प्रति जाँच वेबसाइट के अधिकतम आठ सार्वजनिक पेज एक के बाद एक प्राप्त करता है, जैसे ब्राउज़र वाला आगंतुक। इसके अतिरिक्त कुकी बैनर में “अस्वीकार करें” क्लिक करने के लिए फिर लोड किए अधिकतम तीन पेज, फ़ोन दृश्य में तीन पेज, सत्यापित डोमेन के परीक्षण सबमिशन (अनुभाग 7.3) और लॉगिन के पीछे पाँच पेज (अनुभाग 9.4) हो सकते हैं। जाँच से पहले वह robots.txt पढ़ता है: FormExposedBot या सभी प्रोग्राम के लिए Disallow मुखपृष्ठ रोकता हो तो जाँच नहीं करता। अभी वह अवरुद्ध उपपथों को अलग-अलग नहीं मानता। ब्राउज़र पहचान में अपना नाम FormExposedBot बताता है। वह फ़ॉर्म देखता और रखता है:

• जाँचे पेजों के पते और शीर्षक, फ़ॉर्म संरचना (फ़ील्ड नाम, प्रकार, लेबल, अनिवार्यता और दृश्यता एट्रिब्यूट, कोई मान नहीं; पहले से भरे छिपे फ़ील्ड और डेटा एट्रिब्यूट की शुरुआत केवल जाँच के दौरान पढ़ता है, रखता नहीं) और मिले सुरक्षा उपाय;
• पेजों के तकनीकी गुण: उपयोग हुई CAPTCHA और स्पैम सुरक्षा सेवाएँ, तृतीय-पक्ष की एम्बेडेड स्क्रिप्ट (पता और चेकसम), पेज सामग्री देने वाले होस्ट, सेट कुकी के नाम, सुरक्षा हेडर, फ़ॉर्म सुगम्यता के संकेत, अस्वीकार करने पर कुकी बैनर का व्यवहार और फ़ॉर्म से जुड़े विज्ञापन पिक्सेल या सत्र रिकॉर्डिंग;
• पहले पेज के दिखाई देने वाले क्षेत्र का और हर मिले फ़ॉर्म का एक स्क्रीनशॉट तथा परीक्षण सबमिशन के बाद जवाब पेज का भी। इन स्क्रीनशॉट में जानकारी छिपाई नहीं जाती; वे वही दिखाते हैं जो पेज पर दिखाई देता है।

यदि किसी फ़ॉर्म में प्राप्तकर्ता का पता है, तो हम केवल उसका डोमेन रखते हैं, पता कभी नहीं। पेजों की कोई अन्य सामग्री हम नहीं रखते। फिर भी व्यक्तिगत डेटा प्रभावित हो सकता है, यदि वह पेज या स्क्रीनशॉट में दिखता हो, जैसे फ़ॉर्म के पास संपर्क व्यक्ति का नाम और फ़ोटो। श्रेणियाँ: नाम, भूमिकाएँ, संपर्क विवरण और छवियाँ जिन्हें संचालक ने स्वयं प्रकाशित किया है। हम विशेष श्रेणियों का डेटा न ढूँढते हैं, न उसका विश्लेषण करते हैं।

हम निश्चित नियमों से फ़ॉर्म का प्रकार पहचानते हैं (जैसे “संपर्क” या “न्यूज़लेटर”)। केवल जब नियम कोई परिणाम नहीं देते, तब अपने स्कैन सर्वर पर चलने वाला भाषा मॉडल मदद करता है; इस तरह पहचाने गए फ़ॉर्म कभी सबमिट नहीं होते और स्कोर या निर्णय में नहीं गिने जाते। इस प्रक्रिया में कोई डेटा तृतीय पक्ष को नहीं भेजा जाता और मॉडल को उससे प्रशिक्षित नहीं किया जाता। अधिक जानकारी EU AI अधिनियम: formexposed AI का उपयोग कैसे करता है में है।

7.2 जाँच कौन शुरू करता है

• मुखपृष्ठ पर डोमेन दर्ज करने वाला व्यक्ति (अनुभाग 6);
• हमारा WordPress प्लगइन या TYPO3 एक्सटेंशन अपनी वेबसाइट के लिए, बिना खाते भी (अनुभाग 13);
• ग्राहक अपने खाते के किसी डोमेन के लिए (अनुभाग 9);
• एजेंसी संभावित ग्राहक की वेबसाइट के लिए, बिना परीक्षण सबमिशन (अनुभाग 14);
• हम स्वयं संपर्क फ़ॉर्म की सुरक्षा के अध्ययन के लिए, जिससे केवल संयुक्त आँकड़े प्रकाशित करते हैं, वेबसाइटों के नाम नहीं।

7.3 क्रॉलर क्या नहीं करता

वह दूसरों की वेबसाइटें केवल निष्क्रिय रूप से जाँचता है: कोई फ़ॉर्म सबमिट नहीं करता, लॉगिन विवरण नहीं आज़माता और किसी पर हमला नहीं करता। वह परीक्षण सबमिशन केवल उन डोमेन के संपर्क फ़ॉर्म पर भेजता है जिनके लिए ग्राहक ने खाते में सिद्ध किया है कि उसे उनका नियंत्रण करने का अधिकार है – स्वामी के रूप में या उसकी ओर से, DNS रिकॉर्ड, मेटा टैग, फ़ाइल या प्लगइन के माध्यम से: व्यक्तिगत डेटा रहित स्पष्ट रूप से चिह्नित परीक्षण संदेश, प्रति जाँच अधिकतम पाँच; ऐसे प्रमाण के बिना केवल अपने परीक्षण और डेमो डोमेन की आंतरिक जाँच में। सार्वजनिक रह गई फ़ाइलें ढूँढना, संस्करण पढ़ना और लॉगिन के पीछे जाँच करना भी केवल सत्यापित डोमेन के लिए उपलब्ध हैं (अनुभाग 9)।

7.4 संग्रहण अवधि

बिना खाते की जाँच 30 दिन; संभावित ग्राहक वेबसाइट की जाँच 90 दिन; अध्ययन की जाँच उसके परिणाम प्रकाशित होने तक; ग्राहक खाते के डोमेन की जाँच अधिकतम 13 महीने – नवीनतम जाँच डोमेन खाते में रहने तक रखी जाती है – और कभी भी डोमेन के खाते में रहने से अधिक समय नहीं।

7.5 कानूनी आधार और स्रोत

कानूनी आधार Art. 6(1)(f) GDPR है। वैध हित वेबसाइट संचालकों और उनके सेवा प्रदाताओं को उनके फ़ॉर्म की कमियाँ स्पैम या दुरुपयोग में इस्तेमाल होने से पहले दिखाने, जाँच माँगने वाले व्यक्ति के उस परिणाम में हित और अध्ययन के मामले में फ़ॉर्म सुरक्षा की स्थिति के बारे में जानकारी देने में है। डेटा सार्वजनिक रूप से उपलब्ध स्रोतों से, अर्थात जाँची गई वेबसाइट से आता है। प्राप्तकर्ता जाँच शुरू करने वाला व्यक्ति और वह कोई भी व्यक्ति है जिसे वह रिपोर्ट का लिंक देता है, तथा संभावित ग्राहक जाँच में एजेंसी; अध्ययन से केवल संयुक्त आँकड़े प्रकाशित करते हैं। ग्राहक अपने खाते का सत्यापित डोमेन जाँचे तो हम उसकी ओर से काम करते हैं (अनुभाग 2); सत्यापन न होने तक हम स्वयं नियंत्रक हैं। हर दिखाई देने वाले व्यक्ति को अलग लिखने के बजाय यह जानकारी यहाँ और FormExposedBot पेज पर प्रकाशित करते हैं; अलग-अलग सूचित करना असंभव या अनुपातहीन होगा, विशेषकर क्योंकि हमें इन व्यक्तियों के बारे में केवल पेज पर मौजूद जानकारी ही मालूम है (Art. 14(5)(b) GDPR)।

आपत्ति और बाहर रखना: वेबसाइट के संचालक के रूप में आप अपने robots.txt या हमारे जाँच से बाहर रखने के पेज से डोमेन की आगे की जाँच रोक सकते हैं (अनुभाग 19)। जाँचे पेज पर दिखने वाले व्यक्ति अनुभाग 27 के अंतर्गत प्रसंस्करण पर आपत्ति और रिपोर्ट या स्क्रीनशॉट मिटाने का अनुरोध कर सकते हैं।

8. आपका ग्राहक खाता

ग्राहकों और आमंत्रित टीम सदस्यों के लिए।

8.1 पंजीकरण और खाता

खाते के लिए हम आपका ई-मेल पता और पासवर्ड (केवल हैश के रूप में; स्वयं पासवर्ड हमें नहीं मालूम), पहला नाम और – यदि आप दें – उपनाम तथा कंपनी, साथ में भाषा, थीम, मुद्रा, योजना, पंजीकरण और अंतिम साइन इन का समय तथा अंतिम साइन इन का IP पता संसाधित करते हैं। आप 72 घंटे मान्य लिंक से ई-मेल की पुष्टि करते हैं; कभी पुष्टि न किए खाते हम 30 दिन बाद मिटाते हैं। ई-मेल बदलने पर नया पता उस पर भेजे लिंक से पुष्टि के बाद ही लागू होता है।

कानूनी आधार: Art. 6(1)(b) GDPR (अनुबंध); अंतिम साइन इन के IP पते के लिए Art. 6(1)(f) GDPR (खाते की सुरक्षा, अनुभाग 8.2)। आवश्यकता: अनुबंध होने के लिए ई-मेल, पहला नाम और पासवर्ड आवश्यक हैं; बिलिंग पता और VAT पहचान संख्या केवल सशुल्क योजनाओं के लिए Stripe को देते हैं (अनुभाग 18)।

8.2 साइन इन और सुरक्षा

• ई-मेल पता, IP पता और परिणाम सहित साइन इन प्रयास: पासवर्ड अनुमान रोकने के लिए 7 दिन; इसके अतिरिक्त प्रति खाते (अज्ञात पते के लिए प्रति दर्ज पते), प्रति खाता और IP तथा प्रति IP साइन इन प्रयासों की गिनती, प्रति खाते दो-कारक प्रयास और पासवर्ड पुष्टि, प्रति ई-मेल पासवर्ड रीसेट ई-मेल, प्रति IP पंजीकरण और प्रति पोर्टल तथा IP क्लाइंट पोर्टल पासवर्ड प्रयासों की गिनती। इन्हें केवल छद्मनाम कुंजी (HMAC) के अंतर्गत, स्पष्ट ई-मेल या IP पते के बिना रखते हैं, और वे अपनी समय सीमा के साथ समाप्त होते हैं (अभी 15 मिनट, पासवर्ड रीसेट और पंजीकरण के लिए एक घंटा);
• IP पता, ब्राउज़र, ऑपरेटिंग सिस्टम और डिवाइस प्रकार सहित साइन इन डिवाइस, ताकि आप सेटिंग में उन्हें देखकर साइन आउट कर सकें: अंतिम उपयोग के बाद अधिकतम 90 दिन;
• दो-कारक साइन इन चालू हो तो उसका सीक्रेट (एन्क्रिप्टेड) और आपके रिकवरी कोड (केवल हैश);
• पासवर्ड रीसेट लिंक एक घंटे तक मान्य होते हैं;
• “डोमेन बनाया”, “चेतावनी सेट की” या “सेटिंग बदली” जैसी महत्वपूर्ण कार्रवाइयों का गतिविधि लॉग, समय, कार्य करने वाले खाते, IP पते और देश सहित: 365 दिन।

कानूनी आधार: Art. 6(1)(f) GDPR; हमारा वैध हित आपके खाते और सेवा की सुरक्षा तथा ऐसे कार्यस्थान में बदलावों का पता लगा सकना है जिसमें कई लोग काम करते हैं।

8.3 अनुबंध होने का रिकॉर्ड

पंजीकरण पर हम दर्ज करते हैं कि सेवा की शर्तों और डेटा प्रसंस्करण समझौते के कौन-से संस्करण को आपने स्वीकार किया और गोपनीयता नीति के कौन-से संस्करण का संज्ञान लिया – हर मामले में पूरे पाठ, उसके हैश, समय, IP पते और ब्राउज़र पहचान सहित। यह अनुबंध होने का प्रमाण है (Art. 6(1)(b) और (f) GDPR)। हम यह रिकॉर्ड खाते के अस्तित्व तक रखते हैं। खाता मिटने के बाद सहमति चार वर्ष पुरानी होते ही मिटाते हैं, क्योंकि अनुबंध बनने के प्रश्न अक्सर ठीक समाप्ति के बाद उठते हैं।

8.4 कार्यस्थान, टीम और आमंत्रण

खाता एक या अधिक कार्यस्थानों में काम करता है। यदि आप किसी को आमंत्रित करते हैं, तो हम उस व्यक्ति को कार्यस्थान के नाम (डिफ़ॉल्ट रूप से आपकी कंपनी का नाम या पहला नाम) और स्वीकार करने के लिंक वाला ई-मेल भेजते हैं; आमंत्रण के लिए इच्छित भूमिका और भेजने वाले को भी रखते हैं। कार्यस्थान के सदस्य देखते हैं कि कौन उसमें किस भूमिका में है। यदि आप आमंत्रित व्यक्ति हैं, तो आपका ई-मेल हमें आमंत्रित करने वाले सदस्य से मिला है (Art. 14(2)(f) GDPR)। स्वीकार न किए आमंत्रण 14 दिन बाद समाप्त होने पर और स्वीकृत आमंत्रण स्वीकारने के 30 दिन बाद मिटाते हैं। निगरानी वाले फ़ॉर्म को टीम का जिम्मेदार व्यक्ति और सुधार की अंतिम तारीख दी जा सकती है; इसके लिए केवल खाते को आवंटन और अंतिम तारीख रखते हैं। कानूनी आधार: ग्राहक के संबंध में Art. 6(1)(b) GDPR; आमंत्रित व्यक्ति के संबंध में Art. 6(1)(f) GDPR (ग्राहक उस व्यक्ति के साथ काम करना चाहता है)।

8.5 हमारी सहायता से मदद

किसी समस्या में मदद के लिए हमारी सहायता आपका खाता उसी रूप में देख सकती है जैसा आपको दिखता है। ऐसी हर पहुँच गतिविधि लॉग में दर्ज होती है और आपके डेटा निर्यात में दिखाई देती है। कानूनी आधार: आपने मदद माँगी हो तो Art. 6(1)(b) GDPR, अन्यथा Art. 6(1)(f) GDPR (समस्या निवारण)।

8.6 निर्यात और मिटाना

सेटिंग में अपने खाते के संग्रहीत डेटा को JSON फ़ाइल के रूप में डाउनलोड कर सकते हैं – पासवर्ड हैश, सीक्रेट और अन्य सदस्यों के डेटा के बिना। इस फ़ाइल में जाँच परिणाम, निष्कर्ष और घटनाएँ नहीं हैं (केवल प्रति चेतावनी लक्ष्य आगे भेजने के वितरण प्रयास हैं); वे खाते में रिपोर्ट के रूप में और अनुरोध पर फ़ाइल के रूप में उपलब्ध हैं। वहीं आप स्वयं खाता मिटा सकते हैं; ई-मेल आवश्यक नहीं है। चालू सशुल्क सदस्यता तुरंत समाप्त होती है, सामान्यतः धनवापसी के बिना (अपवाद सेवा की शर्तों में दिए हैं); भुगतान की अवधि पहले उपयोग करना चाहें तो बिलिंग में अवधि के अंत से रद्द करें। खाते का अनुबंध किसी और तरह समाप्त हो, जैसे हमारे द्वारा समाप्ति, तो अनुबंध अंत तक निर्यात कर सकते हैं और हम अंत के अधिकतम 30 दिन बाद खाता मिटाते हैं। खाते के साथ आपके कार्यस्थान और उनसे जुड़े डोमेन, जाँच परिणाम तथा स्क्रीनशॉट, चेतावनियाँ, घटनाएँ, प्रमाण लॉग, ब्रांडिंग, सदस्यों सहित क्लाइंट पोर्टल, संभावित ग्राहक जाँच की सूची (उनकी रिपोर्ट 90 दिन पूरे होने तक उपलब्ध रहती हैं), API कुंजियाँ, रोलआउट कोड और परीक्षण लॉगिन तुरंत मिटाते हैं। आपके किसी कार्यस्थान में दूसरा व्यक्ति अभी काम करता हो तो मिटाने के बजाय उसे दूसरे सदस्य को सौंपते हैं – पहले प्रशासक, और उनमें सबसे लंबे समय से सदस्य को। निम्न अपनी संग्रहण अवधि तक रहते हैं: पुराने खाते की संख्या वाला गतिविधि और पेज व्यू लॉग, भेजे ई-मेल (30 दिन, अनुभाग 11), अनुबंध होने का रिकॉर्ड (8.3), सहायता अनुरोध (अनुभाग 17), कर कानून की अवधि तक चालान डेटा, कमीशन डेटा और उपयोग सक्रियण कोड जिनकी अभी अवधि तय नहीं (अनुभाग 18), और बैकअप (3.4)।

9. डोमेन, जाँच और निगरानी

ग्राहकों के लिए। जहाँ तृतीय पक्षों का व्यक्तिगत डेटा प्रभावित होता है, हम ग्राहक की ओर से काम करते हैं।

9.1 डोमेन और सत्यापन

खाते के हर डोमेन के लिए नाम, आपके अधिकार का प्रमाण (DNS रिकॉर्ड, मेटा टैग, फ़ाइल या प्लगइन), जाँच परिणाम और आवृत्ति, रखरखाव अवधि, नोट, ग्राहक लेबल तथा पूछताछ के अनुमानित मूल्य जैसी सेटिंग रखते हैं। आवृत्ति आपकी योजना पर निर्भर है और दैनिक जाँच तक जाती है।

9.2 सार्वजनिक जानकारी की निगरानी

जाँचों के बीच हम आपके डोमेन की सार्वजनिक रूप से उपलब्ध जानकारी पूछते हैं:

• DNS रिकॉर्ड (SPF, DMARC, MX), TLS प्रमाणपत्र और सुरक्षा हेडर;
• संबंधित रजिस्ट्री की RDAP सेवा से डोमेन की समाप्ति तारीख; केवल डोमेन नाम भेजा जाता है;
• फ़ॉर्म पेजों की उपलब्धता (फ़ॉर्म की नियमित स्थिति जाँच, योजना अनुसार हर 10, 15 या 30 मिनट);
• आपकी वेबसाइट की CAPTCHA और मेल सेवाओं के सार्वजनिक स्थिति पेज; ऐसा करते समय आपके बारे में कुछ नहीं भेजते;
• फ़ॉर्म, CAPTCHA और मेल प्लगइन की ज्ञात भेद्यताएँ तथा – सत्यापित डोमेन के लिए साप्ताहिक – CMS, प्लगइन और थीम की, जिनके संस्करण मुखपृष्ठ से बाहर से पढ़ते हैं। तुलना खुले WPVulnerability डेटाबेस से होती है; केवल प्लगइन या थीम की पहचान (संस्करण के बिना) और WordPress संस्करण भेजते हैं, आपका डोमेन नहीं;
• रोज़ यह कि आपके वेब सर्वर के पते, अंतिम फ़ॉर्म ई-मेल भेजने वाले सर्वर का पता (संदेश पहुँचने की जाँच से), आपका डोमेन और उस ई-मेल का प्रेषक डोमेन स्पैम की DNS प्रतिबंधित सूचियों (SpamCop, PSBL, Mailspike, SURBL) में हैं या नहीं; केवल डोमेन और सर्वर IP पूछे जाते हैं, आगंतुक डेटा नहीं;
• सेट होने पर यह कि Google Web Risk आपके मुखपृष्ठ को मैलवेयर या फ़िशिंग पेज बताता है या नहीं; केवल मुखपृष्ठ का पता भेजा जाता है;
• सत्यापित डोमेन के लिए साप्ताहिक यह कि ऐसी फ़ाइलें सार्वजनिक हैं जो कभी नहीं होनी चाहिए (जैसे कॉन्फ़िगरेशन बैकअप या डेटाबेस डंप)। पहचानने के लिए फ़ाइल के अधिकतम पहले 8 KB पढ़ते हैं और केवल निष्कर्ष का पथ, प्रकार तथा गंभीरता रखते हैं, सामग्री कभी नहीं।

9.3 फ़ॉर्म प्रक्रियाएँ और ब्राउज़र जाँच

निगरानी वाले फ़ॉर्म के लिए फ़ॉर्म पते, चयनक, पहले के क्लिक और कृत्रिम जाँच चरण, चुना जाँच ब्राउज़र तथा जिम्मेदारी और अंतिम तारीख रखते हैं। ब्राउज़र जाँच अधिकतम सबमिशन से पहले तक फ़ॉर्म भरती हैं; कुछ सबमिट नहीं करतीं और ऑर्डर या भुगतान शुरू नहीं करतीं। परिणामों में स्थिति, तकनीकी त्रुटि श्रेणियाँ, साफ़ किए त्रुटि संदेश और समय होते हैं तथा फ़ील्ड मास्क वाली छोटी फ़ॉर्म छवि हो सकती है। यह मास्किंग केवल ब्राउज़र जाँच में है; क्रॉलर की पूर्ण जाँच के स्क्रीनशॉट में जानकारी छिपाई नहीं जाती (अनुभाग 7.1)। हमारे जाँच ब्राउज़र के मापन आपके आगंतुकों के मापन नहीं हैं।

परिणाम की पुष्टि करने वाला दूसरा स्वतंत्र जाँचकर्ता नियोजित है लेकिन अभी सेट नहीं है। उसे केवल डोमेन, साफ़ किया कॉन्फ़िगरेशन और जॉब पहचान मिलेगी, लॉगिन विवरण, स्क्रीनशॉट या आगंतुक डेटा कभी नहीं; संचालक का नाम पहले से उप-प्रसंस्करणकर्ताओं की सूची में देंगे।

9.4 लॉगिन के पीछे जाँच

सशुल्क योजनाओं में कार्यस्थान के स्वामी और प्रशासक सत्यापित डोमेन के लिए अपनी वेबसाइट का परीक्षण खाता रख सकते हैं, ताकि क्रॉलर लॉगिन के पीछे फ़ॉर्म पढ़ सके। निम्न लागू है:

• उपयोगकर्ता नाम और पासवर्ड वेब सर्वर पर ऐसी कुंजी से एन्क्रिप्ट होते हैं जिसे केवल स्कैन सर्वर खोल सकता है; वेब सर्वर, डेटाबेस और बैकअप में वे केवल एन्क्रिप्टेड रहते हैं। वे कभी दिखाए, लॉग या इंटरफ़ेस से आउटपुट नहीं किए जाते; इंटरफ़ेस केवल उपयोगकर्ता नाम का पहला अक्षर और लंबाई दिखाता है। जाँच जॉब से जुड़ी एन्क्रिप्टेड प्रति रन के बाद, अधिकतम एक घंटे में साफ़ होती है।
• परीक्षण खाता केवल क्रॉलर की पूर्ण जाँच उपयोग करती है, ब्राउज़र जाँच नहीं (9.3)।
• लॉगिन के पीछे क्रॉलर अधिकतम पाँच निर्दिष्ट पेज पढ़ता है। कुछ सबमिट नहीं करता, स्क्रीनशॉट नहीं लेता (वहाँ खाता डेटा दिख सकता है) और साइन आउट, मिटाने या रद्द करने के लिंक नहीं खोलता।
• लॉगिन मिटाने पर हम एन्क्रिप्टेड मान ओवरराइट करके हटाते हैं; डोमेन के साथ भी वह हटता है।

केवल इसी उद्देश्य के लिए बना और वास्तविक ग्राहक डेटा रहित परीक्षण खाता उपयोग करें। क्रॉलर लॉगिन के पीछे जो देखता है, हम आपकी ओर से संसाधित करते हैं।

9.5 अन्य सुविधाएँ

स्क्रिप्ट सूची: चालू करने पर फ़ॉर्म पेजों की स्क्रिप्ट का पता और चेकसम वाली सूची रखते हैं, नई या बदली स्क्रिप्ट रिपोर्ट करते हैं और अनुमोदन पर किसने, कब और किस कारण अनुमति दी, रखते हैं। सुगम्यता: अंतिम जाँच से सेवा फ़ॉर्म की सुगम्यता जानकारी का मसौदा बना सकती है; इसके लिए दर्ज कंपनी विवरण आपके ब्राउज़र में रहते हैं। तुलना: उद्योग तुलना में सभी ग्राहकों के परिणाम केवल संयुक्त रूप से परखते हैं; अलग वेबसाइटें नहीं दिखतीं।

अनुभाग 9 का कानूनी आधार: Art. 6(1)(b) GDPR; जाँच में दिखने वाले तृतीय-पक्ष व्यक्तिगत डेटा के लिए डेटा प्रसंस्करण समझौते के अंतर्गत आपके निर्देश। संग्रहण अवधि: डोमेन, सत्यापन, सेटिंग, फ़ॉर्म प्रक्रियाएँ और परीक्षण लॉगिन आपके द्वारा उन्हें, डोमेन या खाता मिटाने तक; स्क्रिप्ट सूची और बदलाव डोमेन या खाता मिटाने तक (उनकी अलग अवधि नहीं); जाँच परिणाम, ब्राउज़र जाँच परिणाम और समय अधिकतम 13 महीने (नवीनतम जाँच डोमेन खाते में रहने तक रखी जाती है)।

10. सूचनाएँ

ग्राहकों और उनके दर्ज प्राप्तकर्ताओं के लिए।

हम आपके सेट किए लक्ष्यों पर चेतावनियाँ और रिपोर्ट भेजते हैं: ई-मेल पते, आपके वेबहुक पते, Slack, Discord, Microsoft Teams, Google Chat या Telegram। चैट चैनल और वेबहुक Pro तथा Business योजनाओं में उपलब्ध हैं। संदेश में डोमेन, घटना, छोटा विवरण और खाते का लिंक होता है; जाँच चेतावनियों में रिपोर्ट लिंक होता है जिससे बिना साइन इन परिणाम और स्क्रीनशॉट देखे जा सकते हैं (Telegram को केवल खाते के डोमेन पेज का लिंक मिलता है, जिसे साइन इन चाहिए); फ़ॉर्म ई-मेल की सामग्री नहीं होती। हम रखते हैं:

• लक्ष्य (ई-मेल, वेबहुक या चैट पता; वेबहुक के लिए हस्ताक्षर सीक्रेट) आपके द्वारा उन्हें या डोमेन मिटाने तक;
• समय, घटना और परिणाम वाला प्रेषण लॉग: 90 दिन;
• दैनिक और साप्ताहिक रिपोर्ट की एकत्र सूचनाएँ: भेजने के बाद अधिकतम 30 दिन;
• प्राप्ति स्वीकृति लिंक वाली घटनाएँ: अनसुलझी रहने तक, फिर समाधान के बाद 180 दिन। घटना स्वीकार करने वाला दर्ज नाम या ई-मेल से रिकॉर्ड होता है। अनस्वीकृत घटनाएँ आगे लक्ष्यों पर भेजी जा सकती हैं; इसके लिए प्रति लक्ष्य वितरण प्रयासों की संख्या और समय (अधिकतम पाँच), सफलता और त्रुटि घटना रहने तक रखते हैं। घटना समस्या हल होने पर ही बंद होती है; केवल प्राप्ति स्वीकारने से समाप्त नहीं होती।

Telegram: Telegram के लिए हमारा अपना बॉट है। आप 30 मिनट मान्य एकबारगी कोड वाले लिंक से उसे जोड़ते हैं; बॉट में “Start” दबाने पर हमारा सर्वर Telegram से यह संदेश प्राप्त करके चैट पहचान (chat ID) चेतावनी लक्ष्य के रूप में रखता है। Telegram आपका नाम भी देता है; हम उसे नहीं रखते। स्वयं कोड कम से कम एक दिन बाद, नया कोड बनते ही मिटाते हैं। chat ID चेतावनी या डोमेन मिटाने तक रहती है।

चैट सेवाएँ अपनी शर्तों और आपके अनुबंध के अंतर्गत संदेश संसाधित करती हैं; कुछ EU के बाहर हैं (अनुभाग 22)। स्वयं ग्राहक न होने वाले प्राप्तकर्ताओं के लिए हम आपकी ओर से काम करते हैं; कृपया उन्हें सूचित करें।

कानूनी आधार: Art. 6(1)(b) GDPR; गैर-ग्राहक प्राप्तकर्ताओं के लिए आपके निर्देश। आवश्यकता: लक्ष्य के बिना चेतावनी नहीं; जाँच फिर भी चलती हैं।

11. हमारे ई-मेल

ग्राहकों और उन सभी के लिए जिन्हें हम लिखते हैं।

हम पता पुष्टि, पासवर्ड रीसेट, आमंत्रण, चेतावनियों और रिपोर्ट, सहायता अनुरोध की स्वीकृति तथा खाते और बिलिंग सूचनाओं के लिए ई-मेल भेजते हैं। हमारे ई-मेल भेजना और प्राप्त करना Namecheap, Inc. (Private Email), Phoenix, Arizona, USA सँभालता है। डोमेन और DNS रिकॉर्ड Namecheap, Inc., Phoenix, Arizona, USA सँभालता है; Namecheap, Inc. (Private Email), Phoenix, Arizona, USA पर मेलबॉक्स तैयार होने तक Namecheap हमारे डोमेन के पतों पर सामान्य ई-मेल भी फ़ॉरवर्ड करता है। संदेश पहुँचने की जाँच की नियंत्रण प्रतियाँ उससे नहीं जातीं। भेजे ई-मेल, प्राप्तकर्ता, विषय और सामग्री सहित, 30 दिन रखते हैं ताकि वितरण समस्याएँ दूर कर सकें; इससे अधिक नहीं, क्योंकि उनमें मान्य पुष्टि और रीसेट लिंक भी होते हैं।

तीन ई-मेल आपके स्पष्ट अनुरोध के बिना भेजे जाते हैं:

• मासिक रिपोर्ट: महीने की शुरुआत में आपके डोमेन की जाँच और सूचनाओं का अवलोकन। सेटिंग में इसकी सदस्यता समाप्त कर सकते हैं।
• सेटअप अनुस्मारक: पंजीकरण के दो से चौदह दिन बाद एक ई-मेल, यदि खाता पुष्ट है लेकिन सत्यापित डोमेन नहीं है – “वेबसाइट जोड़ें” या “डोमेन सत्यापित करें”, बिना प्रस्ताव, मूल्य या अपग्रेड। यह दोबारा नहीं भेजा जाता।
• परीक्षण समाप्ति: परीक्षण समाप्त होने से तीन दिन पहले, उसके बाद क्या होगा इसकी सूचना।

कानूनी आधार: मासिक रिपोर्ट और परीक्षण सूचना सहित अनुबंध वाले ई-मेल के लिए Art. 6(1)(b) GDPR; सेटअप अनुस्मारक के लिए Art. 6(1)(f) GDPR, क्योंकि डोमेन रहित खाता सेवा उपयोग नहीं कर सकता और कई ग्राहक केवल सेटअप भूल जाते हैं। हम विज्ञापन नहीं भेजते।

12. बैज और प्रमाण लॉग

बैज या प्रमाण लॉग उपयोग करने वाले ग्राहकों और बैज वाली वेबसाइटों के आगंतुकों के लिए।

बैज: वेबसाइट पर हमारा बैज जोड़ने पर उस पेज के हर आगंतुक का ब्राउज़र हमारे सर्वर से बैज की छवि लोड करता है। हमें सामान्य कनेक्शन डेटा – IP पता, समय, ब्राउज़र पहचान और बैज वाला पेज – मिलता है, जो केवल वेब सर्वर लॉग (14 दिन, अनुभाग 3.1) में जाता है, पेज व्यू लॉग में नहीं। बैज कुकी सेट नहीं करता, सत्र शुरू नहीं करता और उसमें स्क्रिप्ट नहीं है। सार्वजनिक पुष्टि पेज डोमेन, स्तर और अंतिम जाँच की तारीख दिखाता है, अलग निष्कर्ष नहीं; उसे खोलने वाला हमारी वेबसाइट का आगंतुक है (अनुभाग 3 और 4)। कानूनी आधार Art. 6(1)(f) GDPR है; हमारा वैध हित ग्राहक द्वारा जोड़ा बैज पहुँचाना है। ग्राहक अपनी गोपनीयता नीति में इसका उल्लेख करता है (पाठ खंड)।

प्रमाण लॉग: सशुल्क योजनाओं में हर डोमेन और महीने का जाँच लॉग बना सकते हैं। सत्यापन संख्या पर सार्वजनिक पेज डोमेन, अवधि और मुख्य आँकड़े पुष्ट करता है, विवरण नहीं। बाद में लॉग बदला है या नहीं जानने के लिए टाइमस्टैम्प प्राधिकरण से हस्ताक्षर कराते हैं। उसे केवल लॉग का हैश भेजते हैं, जिससे सामग्री वापस नहीं निकाली जा सकती; अभी ये Certum (Asseco Data Systems S.A., पोलैंड) और विकल्प के रूप में DigiCert, Inc. (USA) हैं। लॉग डोमेन मिटाने तक रखे जाते हैं। कानूनी आधार Art. 6(1)(b) GDPR है।

13. WordPress प्लगइन और TYPO3 एक्सटेंशन

प्लगइन या एक्सटेंशन उपयोग करने वाले ग्राहकों और उनकी वेबसाइटों के आगंतुकों के लिए।

13.1 ग्राहक की वेबसाइट पर क्या रहता है

हमारा WordPress प्लगइन और TYPO3 एक्सटेंशन ग्राहक के सर्वर पर चलते हैं। WordPress प्लगइन वहाँ जो रखता है, वह उसी वेबसाइट पर रहता है; हमारी उस तक पहुँच नहीं है और उसका संचालक नियंत्रक है:

• क्वारंटीन: सुरक्षा परत द्वारा स्पैम मानकर रोके गए सबमिशन, फ़ील्ड सामग्री और जवाब पते सहित, अधिकतम 14 दिन, ताकि गलत रोका संदेश एक क्लिक से पहुँचाया जा सके;
• सुरक्षा जाल: न भेजे जा सके फ़ॉर्म ई-मेल की प्रतियाँ (प्राप्तकर्ता, विषय, पाठ और जवाब पते जैसी हेडर पंक्तियाँ; संलग्नकों के केवल नाम), अधिकतम 30 दिन, ताकि दोबारा भेजे जा सकें;
• गणनात्मक पहेली: आगंतुक का ब्राउज़र स्वयं वेबसाइट द्वारा दिया छोटा कार्य हल करता है; कोई कुकी या तृतीय-पक्ष सेवा नहीं;
• संग्रहण अवधि: अनुरोध पर प्लगइन कुछ फ़ॉर्म प्लगइन की संग्रहीत पूछताछ 90, 180 या 365 दिन बाद मिटाता है;
• फ़ॉर्म गिनती (डिफ़ॉल्ट बंद): प्रति फ़ॉर्म व्यू, शुरुआत, सत्यापन त्रुटियाँ और सबमिशन प्रयास तथा अलग से चालू होने पर प्रति फ़ील्ड स्थिति त्रुटि श्रेणियाँ – बिना प्रविष्टियों, फ़ील्ड नामों, कुकी या स्थायी आगंतुक पहचान के, वेबसाइट पर अधिकतम 14 दिन। अनुरोध सीमित करने के लिए IP से निकली पहचान एक मिनट में समाप्त होती है और हमें नहीं भेजी जाती;
• आगंतुक सहायता (अलग से चालू की जा सकती है): भेजने की त्रुटि के बाद सूचना अभी खुले फ़ॉर्म पर लौटाती है और चाहें तो ई-मेल पता बताती है; कोई प्रविष्टि नहीं पढ़ती, मसौदे नहीं रखती और स्वयं कुछ दोबारा नहीं भेजती;
• नए स्पैम नियम सात दिन तक कुछ रोके बिना स्थानीय गिनती कर सकते हैं।

WordPress प्लगइन स्वयं WordPress गोपनीयता नीति मार्गदर्शिका में उपयुक्त अनुच्छेद जोड़ता है; अन्य पाठ आपकी वेबसाइट के लिए गोपनीयता नीति का पाठ पर हैं। TYPO3 एक्सटेंशन कोई फ़ॉर्म सामग्री नहीं रखता; डोमेन सत्यापन के लिए हर पेज में मेटा टैग जोड़ता है और गिनती करता है।

13.2 रिकॉर्डर

रिकॉर्डर से साइन इन WordPress प्रशासक अपनी वेबसाइट पर फ़ॉर्म तक का रास्ता रिकॉर्ड करता है। वह तकनीकी चयनक और नेविगेशन चरण ब्राउज़र के सत्र संग्रहण में अधिकतम 15 मिनट रखता है और चुना कॉन्फ़िगरेशन जुड़े खाते को भेजता है। कोई प्रविष्टि नहीं पढ़ता। आगंतुकों के लिए रिकॉर्डर कभी लोड नहीं होता।

13.3 हमें क्या भेजा जाता है

प्लगइन और एक्सटेंशन सुविधा के अनुसार और, बिना खाते अपनी वेबसाइट जाँचने को छोड़कर, केवल वेबसाइट के खाते से जुड़े रहने पर हमें भेजते हैं:

• होस्टनेम, सार्वजनिक कुंजी और वह सीक्रेट जिससे वेबसाइट अपनी पहचान बताती है, प्लगइन तथा CMS के संस्करण और भाषा;
• दैनिक आँकड़े: कारण अनुसार रोके गए सबमिशन, स्वीकार किए सबमिशन, भेजे और विफल ई-मेल तथा त्रुटि प्रकार, reCAPTCHA जवाब और स्वतः मिटाई पूछताछ के आँकड़े; गिनती चालू हो तो उसके दैनिक आँकड़े;
• संख्याओं के रूप में फ़ॉर्म सेटिंग के गुण, जैसे कितने फ़ॉर्म प्रेषक के रूप में आगंतुक का पता लेते हैं, और निश्चित सूची के कुछ फ़ॉर्म, CAPTCHA तथा मेल प्लगइन के संस्करण;
• नाम और संस्करण सहित प्लगइन, थीम तथा CMS के अपडेट, सक्रियण और निष्क्रियण, रखरखाव मोड और फ़ॉर्म ई-मेल की विफलता (केवल त्रुटि प्रकार);
• रिकॉर्डर द्वारा चुनी फ़ॉर्म प्रक्रिया का कॉन्फ़िगरेशन;
• सामूहिक सुरक्षा के लिए (डिफ़ॉल्ट चालू), रोके संदेशों के लिंक डोमेन। कई वेबसाइटों की रिपोर्ट से स्पैम डोमेन सूची बनती है जिसे सभी जुड़े प्लगइन प्राप्त करते हैं। इसके लिए हम प्रेषकों के IP या नेटवर्क नहीं भेजते।

इन लिंक डोमेन के अलावा प्लगइन और एक्सटेंशन कोई फ़ॉर्म सामग्री, ई-मेल पते, नाम या आगंतुकों के IP नहीं भेजते। दैनिक आँकड़े और बदलाव रिपोर्ट 13 महीने बाद तथा सामूहिक सुरक्षा संकेत 30 दिन बाद मिटाते हैं; किसी खाते के डोमेन से न जुड़ी वेबसाइट की जानकारी बिना संपर्क के 90 दिन बाद मिटाते हैं।

कानूनी आधार: Art. 6(1)(b) GDPR; सामूहिक सुरक्षा के लिए Art. 6(1)(f) GDPR (कई वेबसाइटों में स्पैम के विरुद्ध संयुक्त रक्षा)। यह जानकारी केवल अपवादों में व्यक्तिगत डेटा होती है, उदाहरण के लिए जब होस्टनेम में किसी व्यक्ति का नाम हो।

14. एजेंसियों के लिए सुविधाएँ

एजेंसियों और उनके पोर्टल व रिपोर्ट के संपर्क में आने वाले लोगों के लिए।

• क्लाइंट पोर्टल: एजेंसी ग्राहकों को उनके डोमेन परिणामों वाले पोर्टल की पहुँच दे सकती है। वहाँ मासिक रिपोर्ट लेने वाला अपना ई-मेल देता है और लिंक से पुष्टि करता है (double opt-in)। हम पता, भाषा, सदस्यता का समय और IP, पुष्टि का समय तथा अंतिम बार भेजा महीना रखते हैं। अपुष्ट सदस्यताएँ 30 दिन बाद मिटाते हैं। हर ई-मेल के लिंक से कभी भी सदस्यता समाप्त की जा सकती है; उसके बाद रिकॉर्ड तीन वर्ष और रखते हैं, लेकिन एजेंसी का कार्यस्थान मिटने से अधिक नहीं; केवल पोर्टल वापस लेने पर सदस्य संग्रहीत रहते हैं। पोर्टल और रिपोर्ट एजेंसी के नाम से दिखते हैं; एजेंसी नियंत्रक है और हम उसकी ओर से काम करते हैं। एजेंसी का कानूनी आधार सदस्य की सहमति है।
• अपनी ब्रांडिंग: एजेंसी द्वारा रखा कंपनी नाम, वेबसाइट, संपर्क विवरण, रंग और लोगो बदलने या मिटाने तक उसकी रिपोर्ट और पोर्टल में दिखते हैं।
• अपना डोमेन: Business योजना में एजेंसी अपने सबडोमेन पर पोर्टल और रिपोर्ट दिखा सकती है। इसके लिए DNS रिकॉर्ड रोज़ जाँचते हैं। सुविधा अभी चालू नहीं है।
• संभावित ग्राहक जाँच: एजेंसी बिना परीक्षण सबमिशन संभावित ग्राहक की वेबसाइट जँचवा सकती है (अनुभाग 7)। संक्षिप्त निष्कर्षों का लिंक वह स्वयं भेजती है; हम किसी को नहीं लिखते। जाँच 90 दिन बाद मिटाते हैं। संभावित ग्राहक से संपर्क की जिम्मेदारी केवल एजेंसी की है।
• API कुंजियाँ और रोलआउट कोड: इन्हें छोटे प्रीफ़िक्स वाले हैश के रूप में रखते हैं, साथ में लेबल, अंतिम उपयोग का समय (API कुंजी) या उपयोग की संख्या (रोलआउट कोड) तथा प्रति मिनट कॉल की संख्या (कम से कम एक दिन; बाद की कॉल पर मिटती है)।

कानूनी आधार: एजेंसी के संबंध में Art. 6(1)(b) GDPR; सदस्यों और संभावित ग्राहकों के लिए ऊपर देखें।

15. संदेश पहुँचने की जाँच

इसे चालू करने वाले ग्राहकों और उनकी वेबसाइटों के आगंतुकों के लिए। आगंतुक डेटा के लिए हम ग्राहक के प्रसंस्करणकर्ता हैं।

वैकल्पिक संदेश पहुँचने की जाँच बताती है कि संपर्क फ़ॉर्म का ई-मेल वास्तव में भेजा जाता है या नहीं। ग्राहक हमारे नियंत्रण पते को फ़ॉर्म की मेल सेटिंग में गुप्त प्रति (BCC) बनाता है। इससे हमें केवल अपना परीक्षण सबमिशन नहीं, हर फ़ॉर्म ई-मेल की प्रति मिलती है – आगंतुकों की वास्तविक पूछताछ, उनके नाम, पते और संदेश सहित।

हम उनके साथ केवल यह करते हैं: स्वचालित प्राप्ति हेडर और पाठ के अधिकतम पहले 8 KB पढ़ती है, नियंत्रण पते से ई-मेल को डोमेन और जहाँ लागू हो परीक्षण सबमिशन से जोड़ती है तथा SPF, DKIM और DMARC प्रामाणिकता जाँचती है। सफल प्रसंस्करण के बाद ई-मेल मिटा दिया जाता है। प्राप्ति या मिटाना विफल हो तो अगले सफल रन तक ई-मेल मेलबॉक्स में रह सकता है; मेलबॉक्स हमारे मेल सेवा प्रदाता (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) पर होस्ट है। प्रतियाँ केवल स्वतः परखी जाती हैं।

डेटाबेस में केवल समय, डोमेन आवंटन और जहाँ लागू हो परीक्षण पहचान 180 दिन रखते हैं, तथा अंतिम प्राप्त ई-मेल का तकनीकी प्रामाणिकता परिणाम (SPF, DKIM, DMARC) अगला ई-मेल बदलने या डोमेन मिटने तक। परिणाम में प्रेषक सर्वर का IP और प्रेषक का ई-मेल डोमेन है; ग्राहक की चेतावनी में डोमेन तभी बताया जाता है जब वेबसाइट का न हो। यदि फ़ॉर्म प्रेषक में आगंतुक का पता रखता है, तो यह उसके ई-मेल प्रदाता का डोमेन है। हम ई-मेल सामग्री या पूरे प्रेषक पते नहीं रखते। परीक्षण सबमिशन के कुछ घंटे बाद तक प्रति न आए तो ग्राहक को बताते हैं।

प्राप्ति केवल हमारी नियंत्रण मेलबॉक्स में आवंटित प्रति आने का प्रमाण है – वास्तविक प्राप्तकर्ता तक पहुँचने या CRM प्रविष्टि का नहीं। विशेष श्रेणी के व्यक्तिगत डेटा (जैसे स्वास्थ्य जानकारी) वाले फ़ॉर्म संदेश पहुँचने की जाँच से नहीं जोड़ने चाहिए। ग्राहक आगंतुकों को इस डेटा प्रवाह की जानकारी देता है; पाठ आपकी वेबसाइट के लिए गोपनीयता नीति का पाठ पर है। नियंत्रण मेलबॉक्स सेट न हो तो जाँच उपलब्ध नहीं है।

कानूनी आधार: ग्राहक के लिए आम तौर पर Art. 6(1)(f) GDPR (पूछताछ की विश्वसनीय प्राप्ति); हम उसके निर्देशों पर संसाधित करते हैं (Art. 28 GDPR)।

16. अपने सर्वर पर भाषा मॉडल और “Fix it for me”

ग्राहकों और निःशुल्क जाँच के उपयोगकर्ताओं के लिए।

भाषा मॉडल अपने स्कैन सर्वर पर चलता है, किसी AI प्रदाता पर नहीं। वह फ़ॉर्म का प्रकार पहचानने में मदद करता है (अनुभाग 7), सशुल्क खातों के लिए स्कैन निष्कर्षों को प्राथमिकता के क्रम में व्यवस्थित कार्य योजना के रूप में संक्षेपित करता है और “Fix it for me” से आपके पेस्ट किए फ़ॉर्म कोड में सुरक्षा जोड़ता है। पेस्ट कोड केवल इसी अनुरोध के लिए संसाधित होता है, रखा नहीं जाता और प्रशिक्षण में उपयोग नहीं होता; गतिविधि लॉग में केवल सुविधा के उपयोग, प्रोग्रामिंग भाषा, कोड लंबाई और परिणाम को दर्ज करते हैं (दैनिक कोटा के लिए भी)। कृपया लॉगिन विवरण या व्यक्तिगत डेटा पेस्ट न करें। “Fix it for me” वेबसाइट की पहुँच के बिना काम करता है; आप स्वयं कोड जोड़ते हैं। अधिक जानकारी EU AI अधिनियम: formexposed AI का उपयोग कैसे करता है में है। कानूनी आधार: Art. 6(1)(b) GDPR।

सशुल्क रिपोर्टों में कार्य योजनाएँ। सशुल्क खातों के डोमेन की पात्र जाँचों के लिए यही स्थानीय मॉडल होस्ट नाम, समग्र परिणाम और स्कोर, CMS, संबंधित फ़ॉर्म के प्रकार और पृष्ठ के पते, पहचाने गए किसी प्लगइन तथा विफल या अस्पष्ट परिणाम वाले चुने गए निष्कर्षों से एक छोटी, प्राथमिकता के क्रम में व्यवस्थित कार्य योजना भी लिखता है। इस उद्देश्य के लिए उसे स्क्रीनशॉट या सबमिट किए गए फ़ॉर्म मान नहीं मिलते। योजना को AI के सारांश के रूप में चिह्नित किया जाता है; अलग-अलग निष्कर्ष निर्णायक रहते हैं। यह वेबसाइट या स्कैन परिणाम को नहीं बदलती। अनुरोध अस्थायी रूप से हमारी आंतरिक कार्य कतार में रखा जाता है। परिणाम प्राप्त कर लिए जाने के बाद कतार की प्रविष्टि मिटा दी जाती है; निर्धारित सफ़ाई प्रक्रिया भी एक घंटे से अधिक पुरानी कतार प्रविष्टियाँ मिटाती है। उत्पन्न पाठ, भाषा, स्थिति और टाइमस्टैम्प स्कैन परिणाम के साथ रखे जाते हैं और उसी की प्रतिधारण अवधि का पालन करते हैं, जिसमें हर डोमेन की अंतिम पूरी जाँच को रखना और डोमेन मिटने पर विलोपन शामिल है।

कार्य योजना के लिए भूमिकाएँ। वही भेद लागू होता है जो मूल जाँच के लिए है। जहाँ हम ग्राहक के सत्यापित डोमेन की उसके निर्देशों पर जाँच करते हैं, कार्य योजना का चरण उसकी ओर से किए जाने वाले उस प्रसंस्करण का हिस्सा है; जहाँ एजेंसी अपने ग्राहक के लिए काम करती है, वहाँ नियंत्रक, प्रसंस्करणकर्ता और उप-प्रसंस्करणकर्ता की मौजूदा शृंखला लागू होती है। असत्यापित डोमेन की उन निष्क्रिय जाँचों के लिए जिनके नियंत्रक हम स्वयं हैं, वही भूमिका लागू रहती है। सशुल्क रिपोर्ट की पात्रता अपने आप डोमेन पर नियंत्रण का प्रमाण नहीं है और डेटा संरक्षण की भूमिका नहीं बदलती। ऊपर दिया गया Art. 6(1)(b) का संदर्भ खाताधारक को उसकी माँगी गई सुविधा देने से संबंधित है; यह अन्य लोगों के संयोगवश शामिल व्यक्तिगत डेटा का सार्वभौमिक कानूनी आधार नहीं है। उन निष्क्रिय जाँचों में जहाँ हम नियंत्रक हैं, अनुभाग 7 में बताया गया आधार, वैध हित का आकलन और आपत्ति के विकल्प लागू होते हैं, जिनमें Art. 6(1)(f) भी शामिल है। जहाँ हम ग्राहक के निर्देशों पर काम करते हैं, ग्राहक या अन्य नियंत्रक को अपना लागू कानूनी आधार स्थापित करना होगा। होस्ट नाम, पृष्ठ के पते और निष्कर्षों की टिप्पणियों में संयोगवश व्यक्तिगत डेटा हो सकता है; स्थानीय रूप से उत्पन्न करने से वे अनाम नहीं हो जाते।

17. सहायता, संपर्क और सुरक्षा भेद्यता रिपोर्ट

हमें लिखने वाले सभी लोगों के लिए।

यदि आप सहायता विंडो या संपर्क पेज से लिखते हैं, तो हम आपका ई-मेल पता, संदेश, चुना विषय, जिस पेज से लिख रहे हैं, भाषा, IP पता, उसका देश, ब्राउज़र पहचान और – साइन इन होने पर – खाता संख्या संसाधित करते हैं, ताकि जवाब दें और फ़ॉर्म का दुरुपयोग रोकें। दिए पते पर ई-मेल स्वीकृति मिलती है; साइन इन होने पर संदेश की शुरुआत (अधिकतम 2,000 अक्षर) दोहराती है, अन्यथा आपका पाठ नहीं होता। हर भेजे ई-मेल की तरह इसे 30 दिन रखते हैं (अनुभाग 11)। सामग्री और आपकी जानकारी रहित Telegram संकेत हमें नए अनुरोध बताता है। ई-मेल भेजने पर हम आपका पता और संदेश संसाधित करते हैं। सुरक्षा भेद्यता रिपोर्ट भी इसी तरह सँभालते हैं। अनुरोध प्राप्ति के 24 महीने बाद मिटाते हैं, भले खाता पहले मिटा दें; वे पूछे गए प्रश्न और दिए जवाब का प्रमाण हैं।

कानूनी आधार: हमारे अनुबंध से संबंधित अनुरोध पर Art. 6(1)(b) GDPR, अन्यथा Art. 6(1)(f) GDPR (जवाब, दुरुपयोग रोकथाम, प्रमाण)। आवश्यकता: ई-मेल पते के बिना जवाब नहीं दे सकते।

18. भुगतान, परीक्षण और साझेदार कार्यक्रम

सशुल्क योजना वाले ग्राहकों और साझेदारों के लिए।

हम सशुल्क योजनाओं की बिलिंग Stripe से करते हैं। प्रदाता Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ireland है। भुगतान विवरण सीधे Stripe में देते हैं; हमें दिखाई नहीं देते। Stripe को ई-मेल और नाम, चेकआउट में बिलिंग पता तथा जहाँ लागू VAT पहचान संख्या मिलती है और वह चालान जारी करता है। हमारे पास केवल Stripe ग्राहक और सदस्यता पहचान, योजना, स्थिति, बिलिंग अवधि का अंत और Stripe द्वारा बताई घटनाओं की पहचान तथा प्रकार रहते हैं।

आप कार्ड के बिना परीक्षण शुरू कर सकते हैं; भुगतान माध्यम न हो तो स्वतः समाप्त होता है। होस्ट या साझेदार से सक्रियण कोड मिला हो तो कौन-से खाते ने कब उपयोग किया और योजना कब तक लागू है, रखते हैं।

Stripe स्वयं नियंत्रक के रूप में भी डेटा संसाधित करता है, जैसे धोखाधड़ी रोकने और कानूनी दायित्व निभाने के लिए, और अमेरिका की Stripe, Inc. को भेज सकता है (अनुभाग 22)। अधिक जानकारी Stripe की गोपनीयता नीति में है।

साझेदार कार्यक्रम: यह बन चुका है लेकिन अभी चालू नहीं है। चालू होने पर निम्न लागू होगा: हर खाते का रेफ़रल कोड है। रेफ़रल लिंक से पंजीकरण करने वाला व्यक्ति सीमित महीनों के लिए साझेदार से जुड़ता है; हम आवंटन, उसका समय और हर भुगतान किए चालान की शुद्ध राशि तथा कमीशन रखते हैं। साझेदार केवल आँकड़े देखता है – पंजीकृत खातों की संख्या, भुगतान करने वालों की संख्या और कुल कमीशन – नाम और पते नहीं। साझेदार की शर्तें लागू होती हैं। अभी हम साझेदार डेटा, आवंटन, कमीशन और उपयोग किए सक्रियण कोड की जानकारी बिना निश्चित अवधि रखते हैं; मिटाने की अवधि तय करके यहाँ बताएँगे।

कानूनी आधार: Art. 6(1)(b) GDPR; चालान और कर के लिए आवश्यक कमीशन डेटा रखने के लिए Art. 6(1)(c) GDPR; साझेदार आवंटन के लिए Art. 6(1)(f) GDPR (कमीशन निपटान)। चालान डेटा कर कानून की आवश्यक अवधि तक रखते हैं; पोलिश कानून (पोलिश कर अध्यादेश, Ordynacja podatkowa के Art. 86 के साथ Art. 70) में सामान्यतः कर देय होने वाले कैलेंडर वर्ष के अंत से पाँच वर्ष पूरे होने तक। आवश्यकता: भुगतान विवरण के बिना सशुल्क योजना नहीं; निःशुल्क योजना उपलब्ध रहती है।

19. डोमेन को जाँच से बाहर रखना (opt-out)

उन वेबसाइट संचालकों के लिए जो हमारी जाँच नहीं चाहते।

जाँच से बाहर रखने के पेज से आगे की डोमेन जाँच रोक सकते हैं। रोक डोमेन और उसके www रूप पर लागू है, अन्य सबडोमेन पर नहीं, और सत्यापित करने वाले सशुल्क ग्राहकों के विरुद्ध भी; चालू निगरानी अगली निर्धारित जाँच पर समाप्त होती है। केवल हम अनुरोध और डोमेन नियंत्रण प्रमाण पर इसे हटा सकते हैं। हम डोमेन, स्वेच्छा से दिया कारण, IP पता, देश और ब्राउज़र पहचान रखते हैं। IP, देश और ब्राउज़र पहचान 12 महीने बाद मिटाते हैं; रोक स्वयं स्थायी रहती है, अन्यथा डोमेन फिर जाँचा जाएगा। आपकी इच्छा स्थायी लागू करने और दूसरों के डोमेन अनुचित रूप से बाहर रखने को पहचानने हेतु यह जानकारी चाहिए। कानूनी आधार: Art. 6(1)(f) GDPR; हमारा वैध हित आपकी इच्छा स्थायी लागू करना और फ़ॉर्म दुरुपयोग पहचानना है। यदि रोक को Art. 21 GDPR की आपत्ति के रूप में चाहते हैं, तो इसी तरह लागू करते हैं।

20. हमारे ग्राहकों की वेबसाइटों के आगंतुकों के लिए

उस वेबसाइट पर आने या फ़ॉर्म भेजने वालों के लिए जिसका संचालक formexposed उपयोग करता है।

उस वेबसाइट का संचालक उसका नियंत्रक है, हम नहीं। संचालक तय करता है कि कौन-सी सुविधाएँ उपयोग होंगी और उसे अपनी गोपनीयता नीति में आपको बताना चाहिए। निम्न हमें मिल सकता है:

• बैज: छवि लोड करते समय ब्राउज़र का कनेक्शन डेटा, बिना कुकी वेब सर्वर लॉग में 14 दिन; छवि पहुँचाने के लिए यहाँ हम नियंत्रक हैं (अनुभाग 12)।
• संदेश पहुँचने की जाँच: फ़ॉर्म ई-मेल की प्रति, जिसका स्वतः मूल्यांकन होता है और जो मिटा दी जाती है; हम प्रसंस्करणकर्ता हैं (अनुभाग 15)।
• WordPress प्लगइन और TYPO3 एक्सटेंशन: आपसे असंबंधित दैनिक आँकड़े तथा सामूहिक सुरक्षा के लिए रोके संदेशों के लिंक डोमेन; क्वारंटीन और सुरक्षा जाल वेबसाइट पर रहते हैं (अनुभाग 13)।
• क्लाइंट पोर्टल: वहाँ रिपोर्ट लेने पर आपका ई-मेल पता; हम एजेंसी के प्रसंस्करणकर्ता हैं (अनुभाग 14)।
• फ़ॉर्म सुरक्षा (formconfirmed): यदि संचालक इसका उपयोग करता है, तो पेज खुलने पर आपका ब्राउज़र हमारे सर्वर से एक कार्य लाता है और उसे पृष्ठभूमि में हल करता है; सबमिट करने पर संचालक का सर्वर परिणाम की जाँच हमसे करवाता है। प्रसंस्कृत होते हैं: आपका IP पता (केवल छोटा करके और हैश मान के रूप में, अधिकतम एक घंटे संग्रहीत; हर अनुरोध की तरह वेब सर्वर लॉग में 14 दिन), पेज का पता, फ़ॉर्म भरने में लगा समय, कोई अदृश्य फ़ील्ड भरा गया या नहीं और – केवल यदि संचालक सामग्री जाँच चालू करता है – आपके संदेश का पाठ, जिसका आकलन हमारे अपने सर्वर पर एक भाषा मॉडल कार्य-स्मृति में करता है और जिसे संग्रहीत नहीं करता। कोई कुकी नहीं, ब्राउज़र में कोई संग्रहण नहीं, कोई फ़िंगरप्रिंट नहीं। हम संचालक के प्रसंस्करणकर्ता हैं (डेटा प्रसंस्करण समझौता, अनुलग्नक 1 क्रमांक 10)।

अपने अधिकार वेबसाइट संचालक के पास प्रयोग करना बेहतर है; वह संदर्भ जानता है और हमें निर्देश दे सकता है। हमसे संपर्क करने पर हम अनुरोध संचालक को भेजते हैं या जहाँ नियंत्रक हैं स्वयं सँभालते हैं। ऐसा करते समय हम क्या ढूँढ सकते हैं और क्या नहीं, पहुँच, मिटाना और आपके अन्य अधिकार में दिया है।

21. प्राप्तकर्ता

हम व्यक्तिगत डेटा केवल इस नीति में बताए मामलों में भेजते हैं। डेटा बेचते, किराए पर देते या अदला-बदली नहीं करते। प्राप्तकर्ताओं की श्रेणियाँ:

प्राप्तकर्ता (पंजीकृत कार्यालय)	श्रेणी	किसलिए
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	प्रसंस्करणकर्ता; प्रसंस्करण स्थान अभी सत्यापनाधीन	हमारे ई-मेल भेजना और प्राप्त करना; संदेश पहुँचने की जाँच का नियंत्रण मेलबॉक्स
Namecheap, Inc. (USA)	प्रसंस्करणकर्ता	डोमेन, DNS; मेलबॉक्स तैयार होने तक सामान्य डोमेन ई-मेल फ़ॉरवर्ड करना (संदेश पहुँचने की जाँच की नियंत्रण प्रतियाँ नहीं)
Stripe Payments Europe, Ltd. (Ireland), Stripe, Inc. (USA)	मुख्यतः स्वयं नियंत्रक; भूमिकाओं का सटीक विभाजन अभी जाँच रहे हैं	भुगतान और चालान
Google Ireland Ltd., Google LLC (USA)	स्वयं नियंत्रक	reCAPTCHA
Telegram (EEA के बाहर)	ग्राहक का चुना लक्ष्य; हम अपने बॉट से संदेश भेजते हैं। हमारे लिए भी सूचना चैनल	Telegram चुनने पर चेतावनियाँ; व्यक्तिगत डेटा रहित संचालन संकेत
Slack, Discord, Microsoft (Teams), Google (Chat), आपके वेबहुक (कुछ USA)	ग्राहक के चुने लक्ष्य	चेतावनियाँ
जनता	–	रिपोर्ट लिंक, पुष्टि पेज, अध्ययन परिणाम (केवल संयुक्त)
आपके कार्यस्थान के सदस्य	उसी खाते के उपयोगकर्ता	भूमिका के अनुसार सहयोग
प्राधिकरण, न्यायालय, CERT Polska, सलाहकार	स्वयं नियंत्रक	केवल कानूनी दायित्व होने पर, कानूनी दावे स्थापित करने, प्रयोग करने या बचाव के लिए तथा सेवा के दुरुपयोग या तृतीय पक्षों पर हमलों में (Art. 6(1)(c) या (f) GDPR)

निम्न को व्यक्तिगत डेटा नहीं मिलता: IANA निर्देशिका से मिली रजिस्ट्रियों की RDAP सेवाएँ और निःशुल्क जाँच में डोमेन आयु के लिए rdap.org रिले (केवल डोमेन नाम), wpvulnerability.net का WPVulnerability (केवल बिना संस्करण प्लगइन पहचान, थीम पहचान या WordPress संस्करण), CAPTCHA और मेल सेवाओं के स्थिति पेज (अनुरोध के सिवा कुछ नहीं), टाइमस्टैम्प प्राधिकरण Certum और DigiCert (केवल हैश), DNS प्रतिबंधित सूचियाँ SpamCop, PSBL, Mailspike और SURBL (केवल डोमेन और सर्वर IP), सेट होने पर Google Web Risk (केवल मुखपृष्ठ पता) और सामूहिक सुरक्षा के अन्य जुड़े प्लगइन (केवल स्पैम डोमेन)। हमारे प्रसंस्करणकर्ताओं की पंजीकृत कार्यालय और स्थानांतरण आधार सहित पूरी अद्यतन सूची उप-प्रसंस्करणकर्ताओं में उपलब्ध है; ग्राहकों को बदलाव 30 दिन पहले बताते हैं।

22. तीसरे देशों को स्थानांतरण

यदि प्राप्तकर्ता यूरोपीय आर्थिक क्षेत्र से बाहर है, तो केवल Art. 44 और आगे GDPR की शर्तें पूरी होने पर डेटा भेजते हैं:

• USA: EU-U.S. Data Privacy Framework पर यूरोपीय आयोग के पर्याप्तता निर्णय (Implementing Decision (EU) 2023/1795, Art. 45 GDPR) के आधार पर, जहाँ प्राप्तकर्ता इसके अंतर्गत प्रमाणित है। संबंधित सेवाओं के लिए Google, Stripe और Namecheap प्रमाणित हैं या नहीं, इस संस्करण में अभी सत्यापित कर रहे हैं, इसलिए इसका दावा नहीं करते; प्रमाणन न होने पर आयोग के मानक संविदात्मक खंडों (Implementing Decision (EU) 2021/914, Art. 46(2)(c) GDPR) के आधार पर।
• हमारा मेल सेवा प्रदाता: Namecheap, Inc. (Private Email), Phoenix, Arizona, USA डेटा कहाँ संसाधित करता है और किस आधार पर तीसरे देश भेज सकता है, अभी सत्यापित कर रहे हैं। वर्तमान स्थिति उप-प्रसंस्करणकर्ता पेज पर है।
• आपके चुने चैट सेवा और वेबहुक: Slack, Discord, Microsoft Teams, Google Chat और वेबहुक उस पते से चेतावनियाँ पाते हैं जो आप सेवा के खाते में बनाते हैं; प्रदाता से अनुबंध और तीसरे देश के स्थानांतरण का आवश्यक आधार आपकी जिम्मेदारी है।
• Telegram: ग्राहक का चुना लक्ष्य है; हम अपने बॉट से संदेश भेजते हैं। Telegram EEA के बाहर ऐसे देश में है जिसके लिए पर्याप्तता निर्णय नहीं है और हमारे Telegram से मानक संविदात्मक खंड नहीं हैं। अभी जँचवा रहे हैं कि Art. 44 और आगे GDPR के अंतर्गत स्थानांतरण किस आधार पर है – स्वयं चैनल चुनने के कारण Art. 49(1)(b) GDPR पर विचार होता है। आपके लिए यह पर्याप्त हो तभी Telegram चुनें; विकल्प के रूप में ई-मेल हमेशा उपलब्ध है।

आप अनुरोध पर अनुभाग 1 के पते से उन सुरक्षा उपायों की प्रति निःशुल्क पा सकते हैं जिनके आधार पर हम स्थानांतरण करते हैं। पर्याप्तता निर्णय और मानक संविदात्मक खंड EU के आधिकारिक जर्नल (eur-lex.europa.eu) में तथा Data Privacy Framework प्रमाणित कंपनियों की सूची dataprivacyframework.gov पर मिलती है। हमारे अपने सर्वर पोलैंड में हैं; नामित प्राप्तकर्ताओं में किसी को न मिलने वाला डेटा EU से बाहर नहीं जाता।

23. संग्रहण अवधि एक नज़र में

संग्रहण अवधियाँ हर रात की प्रक्रिया से और वेब सर्वर लॉग के लिए दैनिक घुमाने से लागू होती हैं। “डोमेन के साथ” का अर्थ है कि डोमेन या खाता मिटाते ही डेटा तुरंत हटता है। फिर वह बैकअप में अधिकतम 14 दिन रहता है (अनुभाग 3.4)।

डेटा	मिटाना
वेब सर्वर लॉग (बैज अनुरोध सहित)	14 दिन बाद
पेज व्यू लॉग	60 दिन बाद
त्रुटि लॉग	90 दिन बाद
गतिविधि लॉग	365 दिन बाद
साइन इन प्रयास; निःशुल्क जाँच और हेडर टूल की सीमाएँ	7 दिन बाद
संदिग्ध व्यवहार संकेतक (निःशुल्क जाँच)	मामला सुलझने के 90 दिन बाद
साइन इन डिवाइस	अंतिम उपयोग के 90 दिन बाद
“साइन इन रहें”; कभी पुष्टि न किए गए खाते; स्वीकार किए गए आमंत्रण (स्वीकार न किए गए आमंत्रण उनकी समाप्ति पर)	30 दिन बाद
बिना खाते रिपोर्ट, स्क्रीनशॉट सहित	30 दिन बाद
कैश में रिपोर्ट का PDF	7 दिन बाद
हेडर टूल परिणाम; संभावित ग्राहक वेबसाइट की जाँच	90 दिन बाद
अध्ययन की जाँच	परिणाम प्रकाशित होने पर
खाते के डोमेन के जाँच परिणाम, ब्राउज़र जाँच और समय	13 महीने बाद (नवीनतम जाँच डोमेन खाते में रहने तक)
डोमेन, सेटिंग, फ़ॉर्म प्रक्रियाएँ, प्रमाण लॉग, चेतावनी लक्ष्य, अंतिम फ़ॉर्म ई-मेल का प्रामाणिकता परिणाम	डोमेन के साथ
स्क्रिप्ट सूची और बदलाव	डोमेन के साथ (अलग संग्रहण अवधि नहीं)
लॉगिन के पीछे जाँच का परीक्षण लॉगिन	आपके मिटाने पर, डोमेन के साथ; जॉब की प्रति रन के बाद, अधिकतम एक घंटे में
प्लगइन और एक्सटेंशन के दैनिक आँकड़े व बदलाव रिपोर्ट, फ़ॉर्म गिनती	13 महीने बाद
किसी खाते से न जुड़ी प्लगइन वेबसाइट की जानकारी	अंतिम संपर्क के 90 दिन बाद
सामूहिक सुरक्षा संकेत; दैनिक व साप्ताहिक रिपोर्ट की एकत्र सूचनाएँ (प्रेषण से)	30 दिन बाद
API कॉल गिनती; Telegram के एकबारगी कोड	कम से कम एक दिन बाद, इस प्रकार की अगली कॉल या कोड पर
चेतावनी प्रेषण लॉग	90 दिन बाद
संदेश पहुँचने की जाँच आवंटन; प्राप्ति स्वीकृति व आगे भेजने के प्रयास सहित घटनाएँ (अनसुलझी रखी जाती हैं)	180 दिन बाद, घटनाएँ समाधान से
नियंत्रण मेलबॉक्स में फ़ॉर्म ई-मेल प्रतियाँ	प्रसंस्करण के बाद; त्रुटि पर अगले सफल रन में
भेजे ई-मेल	30 दिन बाद
सहायता अनुरोध	24 महीने बाद
रिपोर्ट की प्रतिक्रिया	24 महीने बाद, खाते के साथ तुरंत; IP चेकसम 2 दिन बाद
बाहर रखने से संबंधित IP, देश और ब्राउज़र पहचान	12 महीने बाद (डोमेन बाहर रहता है)
क्लाइंट पोर्टल में मासिक रिपोर्ट की अपुष्ट सदस्यता	30 दिन बाद
समाप्त सदस्यता का रिकॉर्ड	सदस्यता छोड़ने के तीन वर्ष बाद
खाता और व्यक्तिगत विवरण	आपके मिटाने पर
अनुबंध होने का रिकॉर्ड	खाता रहने तक; मिटने के बाद सहमति चार वर्ष पुरानी होते ही
चालान डेटा	कर संग्रहण अवधि समाप्त होने पर
साझेदार आवंटन और कमीशन; उपयोग सक्रियण कोड	अभी निश्चित अवधि नहीं
त्रुटि प्रकार का उदाहरण	अभी निश्चित संग्रहण अवधि नहीं
डेटाबेस बैकअप	14 दिन बाद
फ़ॉर्म सुरक्षा: बार-बार आने वाले अनुरोध पहचानने के लिए छोटा किया गया, हैश किया गया IP पता; उपयोग हो चुके जाँच टोकन; IP पते और पाठ के बिना जाँच परिणाम (क्रिया, स्कोर, कारण, डोमेन); व्यक्तिगत संबंध के बिना दैनिक आँकड़े	एक घंटे बाद; अधिकतम ग्यारह मिनट बाद; 30 दिन बाद; 400 दिन बाद

24. डेटा देने का दायित्व

हमें डेटा देने का कोई वैधानिक दायित्व नहीं है। खाते के लिए ई-मेल, पहला नाम और पासवर्ड चाहिए; उनके बिना अनुबंध नहीं हो सकता। सशुल्क योजना के लिए बिलिंग विवरण, संदेश पहुँचने की जाँच के लिए नियंत्रण मेलबॉक्स और चेतावनी के लिए लक्ष्य चाहिए। बाकी सभी जानकारी स्वैच्छिक है। हर अनुरोध के साथ तकनीकी रूप से लॉग में कनेक्शन डेटा बनता है; उसके बिना सर्वर जवाब नहीं दे सकता। कुछ न देने पर क्या उपलब्ध नहीं होगा, संबंधित प्रसंस्करण के अनुभाग में बताया गया है।

25. स्वचालित निर्णय और प्रोफ़ाइल बनाना

केवल स्वचालित प्रसंस्करण के आधार पर हम ऐसे निर्णय नहीं लेते जिनका आपके लिए कानूनी प्रभाव या इसी तरह महत्वपूर्ण प्रभाव हो (Art. 22 GDPR)। हम व्यक्तियों की प्रोफ़ाइल नहीं बनाते। हमारी रेटिंग – जोखिम स्तर, हेडर ग्रेड, बैज में “सुरक्षित” – वेबसाइट और फ़ॉर्म के बारे में हैं, लोगों के नहीं।

फिर भी ऐसे सुरक्षा तंत्र स्वतः चलते हैं जो किसी व्यक्ति की समीक्षा के बिना अलग अनुरोध अस्वीकार कर सकते हैं: reCAPTCHA आकलन और हमारी फ़ॉर्म सुरक्षा (अनुभाग 5), निःशुल्क जाँच की सीमाएँ तथा संकेतक (अनुभाग 6) और बहुत अधिक साइन इन प्रयासों के बाद रोक (अनुभाग 8.2)। वे केवल उस सबमिशन को रोकते हैं; अस्वीकार प्रयास बाद में दोहराया जा सकता है और किसी भी अनुरोध के लिए ई-मेल उपलब्ध रहता है। यदि आपको अस्वीकार गलत लगे, तो हमें लिखें; कोई व्यक्ति मामला देखेगा। पंजीकरण के 30 दिन बाद तक पुष्टि न किए खाते हम स्वतः मिटाते भी हैं।

26. आपके अधिकार

GDPR के अंतर्गत आपके निम्न अधिकार हैं। हर एक के लिए सबसे तेज़ तरीका बताते हैं। अन्यथा न कहा हो तो contact@lukaswojcik.com पर ई-मेल पर्याप्त है। हम अनावश्यक देरी के बिना और हर हाल में प्राप्ति के एक महीने में जवाब देते हैं; जटिल या अनेक अनुरोधों पर दो महीने बढ़ सकते हैं, तब पहले महीने में कारण सहित बताएँगे (Art. 12(3) GDPR)। अधिकार प्रयोग निःशुल्क है; केवल स्पष्ट निराधार या अत्यधिक अनुरोधों पर उचित शुल्क या कार्रवाई से इनकार हो सकता है और हम कारण बताएँगे (Art. 12(5) GDPR)। दूसरों का डेटा न खोलने के लिए खाते के ई-मेल से अनुरोध माँग सकते हैं; पहचान पर उचित संदेह होने पर ही अतिरिक्त प्रमाण, और केवल आवश्यक सीमा तक माँगते हैं (Art. 12(6) GDPR)।

• पहुँच (Art. 15 GDPR): खाते में सेटिंग से डेटा निर्यात लें; उसमें खाता, कार्यस्थान और डोमेन डेटा, साइन इन, गतिविधियाँ, सहायता अनुरोध, भेजे ई-मेल तथा सहमतियाँ हैं। जाँच परिणाम खाते में रिपोर्ट के रूप में दिखते हैं। निर्यात में न होने वाले डेटा (जैसे त्रुटि या वेब सर्वर लॉग) सहित पूरी पहुँच और Art. 15(1) GDPR की जानकारी ई-मेल अनुरोध पर मिलती है। बिना खाते – जैसे opt-out, सहायता अनुरोध या रिपोर्ट – संबंधित डोमेन या पता और लगभग समय बताते हुए ई-मेल करें।
• सुधार (Art. 16): सेटिंग में नाम, कंपनी, भाषा और ई-मेल स्वयं बदल सकते हैं तथा बिलिंग के Stripe पोर्टल में बिलिंग पता और VAT पहचान संख्या; बाकी के लिए ई-मेल करें।
• मिटाना (Art. 17): खाता, डोमेन, चेतावनी लक्ष्य और परीक्षण लॉगिन स्वयं मिटा सकते हैं तथा API कुंजियाँ वापस ले सकते हैं (वे खाते के साथ मिटती हैं); पोर्टल की मासिक रिपोर्ट हर ई-मेल के लिंक से बंद कर सकते हैं। रिपोर्ट, स्क्रीनशॉट या अन्य डेटा मिटाने का अनुरोध ई-मेल से करें। कानूनी कारणों से क्या रखना होता है, अनुभाग 8.6 में है।
• प्रसंस्करण सीमित करना (Art. 18): ई-मेल से, जैसे डेटा की सटीकता पर आपका विवाद हो और हम जाँच रहे हों।
• डेटा पोर्टेबिलिटी (Art. 20): निर्यात मशीन-पठनीय JSON फ़ाइल है जिसे आप स्वयं दूसरे प्रदाता को दे सकते हैं। प्रदाता बदलने की अधिक जानकारी EU डेटा अधिनियम: बदलाव और डेटा निर्यात में है।
• आपत्ति (Art. 21): अगला अनुभाग देखें।
• सहमति वापस लेना (Art. 7(3)): हम अपना प्रसंस्करण सहमति पर आधारित नहीं करते। पोर्टल की मासिक रिपोर्ट की सहमति हर ई-मेल के लिंक से वापस ले सकते हैं; इसका प्रभाव भविष्य के लिए होता है।

ग्राहक की ओर से संसाधित डेटा (अनुभाग 2) के लिए ग्राहक आपका संपर्क है। फिर भी हमें लिखें तो अनुरोध ग्राहक को भेजते और जवाब देने में मदद करते हैं। सभी तरीकों और सीमाओं की विस्तृत जानकारी पहुँच, मिटाना और आपके अन्य अधिकार में है।

27. Art. 21 GDPR में आपत्ति का अधिकार

जहाँ हम वैध हितों (Art. 6(1)(f) GDPR) पर आधारित प्रसंस्करण करते हैं, आप अपनी विशेष परिस्थिति के कारण कभी भी आपत्ति कर सकते हैं। तब हम प्रसंस्करण बंद करेंगे, जब तक आपके हितों, अधिकारों और स्वतंत्रताओं पर हावी अनिवार्य वैध कारण सिद्ध न करें या प्रसंस्करण कानूनी दावे स्थापित करने, प्रयोग करने या बचाव के लिए न हो।

यह विशेष रूप से क्रॉलर की वेबसाइट जाँच (अनुभाग 7), लॉग (अनुभाग 3), reCAPTCHA (अनुभाग 5), निःशुल्क जाँच सीमाएँ (अनुभाग 6), सेटअप अनुस्मारक (अनुभाग 11), बैज (अनुभाग 12) और सामूहिक सुरक्षा (अनुभाग 13) पर लागू है।

आपत्ति के लिए विशेष प्रारूप नहीं है; contact@lukaswojcik.com पर ई-मेल पर्याप्त है। वेबसाइट संचालक robots.txt या जाँच से बाहर रखने के पेज से स्वयं कभी भी आगे की जाँच रोक सकता है। हम विज्ञापन ई-मेल नहीं भेजते, जिस पर बिना कारण आपत्ति संभव होती।

28. पर्यवेक्षी प्राधिकरण को शिकायत

यदि आपको डेटा प्रसंस्करण गैरकानूनी लगे, तो डेटा संरक्षण पर्यवेक्षी प्राधिकरण में शिकायत कर सकते हैं (Art. 77 GDPR)। हमारे लिए संबंधित प्राधिकरण:

Prezes Urzędu Ochrony Danych Osobowych (व्यक्तिगत डेटा संरक्षण कार्यालय के अध्यक्ष, UODO)
ul. Stanisława Moniuszki 1A
00-014 Warszawa
पोलैंड
uodo.gov.pl

आप उस सदस्य राज्य के प्राधिकरण से भी संपर्क कर सकते हैं जहाँ रहते या काम करते हैं या जहाँ कथित उल्लंघन हुआ – जर्मनी में, उदाहरण के लिए, अपने संघीय राज्य के डेटा संरक्षण प्राधिकरण से। आवश्यक होने पर वह शिकायत संबंधित प्राधिकरण को भेजेगा। पहले सीधे आपके साथ समस्या हल करना हमें अच्छा लगेगा; यह अनिवार्य नहीं है।

29. सुरक्षा

सेवा के सभी कनेक्शन TLS से एन्क्रिप्टेड हैं; आंतरिक नेटवर्क के कनेक्शन पूरे मार्ग में एन्क्रिप्टेड नहीं हैं। पासवर्ड, API कुंजियाँ और रिकवरी कोड केवल हैश के रूप में तथा दो-कारक सीक्रेट और परीक्षण लॉगिन केवल एन्क्रिप्टेड रखते हैं। ग्राहक डेटा कार्यस्थान के अनुसार अलग है; भूमिका के अधिकार सर्वर लागू करता है, केवल इंटरफ़ेस नहीं। केवल स्वामी को सर्वर की पहुँच है; क्रॉलर अलग-थलग काम करता है और आंतरिक नेटवर्क पते नहीं खोल सकता। पूरा विवरण तकनीकी और संगठनात्मक उपाय में है। व्यक्तिगत डेटा उल्लंघन ज्ञात हो तो Art. 33 और 34 GDPR अनुसार पर्यवेक्षी प्राधिकरण और आवश्यक होने पर आपको बताते हैं; जिन ग्राहकों की ओर से काम करते हैं उन्हें बिना अनावश्यक देरी, संभव हो तो 48 घंटे में बताते हैं।

30. अन्य दस्तावेज़

यह नीति डेटा विषयों के लिए सारांश है। विवरण प्रसंस्करण गतिविधियों के अभिलेख, उप-प्रसंस्करणकर्ताओं की सूची, तकनीकी और संगठनात्मक उपाय, डेटा प्रसंस्करण समझौता, डेटा संरक्षण प्रभाव आकलन और पहुँच, मिटाना और आपके अन्य अधिकार, EU AI अधिनियम: formexposed AI का उपयोग कैसे करता है तथा आपकी वेबसाइट के लिए गोपनीयता नीति का पाठ में मिलते हैं।

31. बदलाव

सेवा या कानूनी स्थिति बदलने पर, नया प्रसंस्करण शुरू होने से पहले नीति अपडेट करते हैं। यहाँ प्रकाशित संस्करण लागू है; पुराने संस्करण और बदलाव अनुबंध दस्तावेज़ों में बदलाव में हैं। पंजीकरण पर आपने जो संस्करण देखा था, वह डेटा निर्यात में दिखता है। ग्राहक के रूप में आपके डेटा प्रसंस्करण में महत्वपूर्ण बदलाव हो तो ई-मेल से भी बताएँगे।

यह नीति यूरोपीय संघ की सभी आधिकारिक भाषाओं में उपलब्ध है। अंतर होने पर पोलिश संस्करण प्राथमिक है।