Adatvédelmi tájékoztató

Ez a dokumentum több nyelven jelenik meg. A nyelvi változatok közötti bármilyen eltérés esetén a lengyel változat az irányadó.

2.3-as verzió · Utolsó frissítés: 2026. október 29.

Ez a tájékoztató leírja, hogy a(z) formexposed milyen személyes adatokat kezel, milyen célból, milyen jogalapon, kinek továbbítja őket, és mikor törli azokat. Csak azt írjuk le, amit a Szolgáltatás ténylegesen tesz; az általunk megadott megőrzési idők megegyeznek azokkal, amelyek szerint törlési folyamataink futnak, és ahol még nincs rögzített időtartam, ezt jelezzük. Az elkészült, de be nem kapcsolt funkciókat ekként nevezzük meg. Mivel a Szolgáltatás több személycsoportot érint, minden szakasz elején megadjuk, kinek szól:

• Ön a formexposed.com vagy a form.exposed oldalt látogatja: 3., 4. és 5. szakasz.
• Ön a kezdőlapon ellenőriztetett egy domaint: 6. szakasz.
• Webhelyét crawlerünk ellenőrizte: 7. szakasz – ez egyben a GDPR Art. 14 szerinti tájékoztatásunk is.
• Önnek fiókja van, vagy meghívták egy csapatba: 8–18. szakasz.
• Ön egyik ügyfelünk webhelyét látogatja (jelvénnyel, bővítménnyel vagy kézbesítési ellenőrzéssel): 20. szakasz.
• Ön valamely jogát kívánja gyakorolni vagy panaszt kíván tenni: 26–28. szakasz.

1. Adatkezelő és kapcsolattartás

A személyes adatok formexposed.com és form.exposed oldalakon, valamint a(z) formexposed szolgáltatásban történő kezelésének adatkezelője – amennyiben nem ügyfél megbízásából járunk el (2. szakasz):

LW IT Solutions Company Lukas Wójcik
Tulajdonos: Lukas Wójcik
al. Tadeusza Kościuszki 80/82, lok. 301
90-437 Łódź
Lengyelország
NIP (lengyel adóazonosító szám) 7252266190 · Közösségi adószám PL7252266190
E-mail: contact@lukaswojcik.com

További elérhetőségeink a támogatási ablak (a kérdőjel a navigációban) és a kapcsolati oldal. A biztonsági réseket kérjük, sebezhetőség-bejelentő oldalunkon jelezze.

Adatvédelmi tisztviselő: Nem jelöltünk ki ilyet. Egyéni vállalkozás vagyunk; fő tevékenységünk webhelyek és űrlapok ellenőrzése, nem pedig természetes személyek nagymértékű megfigyelése vagy a személyes adatok különleges kategóriáinak kezelése (GDPR Art. 37(1)). Az indokokat az adatkezelési tevékenységek nyilvántartása tartalmazza. Adatvédelmi kérdéseit kérjük, a fenti e-mail-címre küldje; az közvetlenül a tulajdonoshoz érkezik.

2. Miről van szó, és milyen szerepben járunk el

A(z) formexposed webhelyek kapcsolatfelvételi űrlapjait ellenőrzi: védettek-e a spam és a visszaélés ellen, megérkeznek-e a megkeresések, mely harmadik féltől származó szolgáltatások olvashatnak bele az űrlap kitöltése közben, és változik-e mindez. Ennek során három szerepben kezelünk személyes adatokat. A megkülönböztetés nem formalitás: ettől függ, kihez kell kérésével fordulnia.

• Adatkezelőként saját webhelyeink látogatóinak, ügyfeleinknek és csapattagjaiknak adatai, a számlázás és a támogatás, valamint olyan webhelyek ellenőrzése tekintetében, amelyek nem tartoznak ügyfélfiókhoz (ingyenes ellenőrzés, tanulmány, érdeklődő-ellenőrzés), vagy amelyek domainjét az ügyfél még nem igazolta. Erről szól ez a tájékoztató.
• Adatfeldolgozóként azon harmadik személyek adatai tekintetében, amelyeket ügyfeleink a Szolgáltatáson keresztül kezeltek: űrlap-e-mailek másolatai a kézbesítési ellenőrzésben (15. szakasz), egy ügyfélportál feliratkozói (14. szakasz), olyan riasztási címzettek, akik maguk nem ügyfelek (10. szakasz), tesztfiókok a bejelentkezés mögötti ellenőrzéshez (9. szakasz), valamint azok a személyek, akik egy olyan webhelyen láthatók, amelynek domainjét egy ügyfél igazolta (7. szakasz). Ezekben az esetekben az ügyfél az adatkezelő; az Adatfeldolgozási szerződés alkalmazandó, amelyet minden ügyfél a regisztrációkor megköt.
• Egyáltalán nem azon adatok tekintetében, amelyeket WordPress-bővítményünk és TYPO3-bővítményünk egy ügyfél webhelyén tárol, és amelyek nem hagyják el azt a webhelyet (13. szakasz). Az adott webhely üzemeltetője az adatkezelő; nekünk nincs hozzáférésünk.

Ahol ez a tájékoztató „ügyfelet” említ, a(z) formexposed fiókjának jogosultját érti alatta. Fiókok kizárólag vállalkozások számára érhetők el; az ingyenes ellenőrzést bárki használhatja fiók nélkül. A Szolgáltatás nem gyermekeknek szól.

3. Szerverek, naplók és biztonsági mentések

Mindenkinek, aki webhelyeinket látogatja vagy a Szolgáltatást használja.

A(z) formexposed szolgáltatást saját, lengyelországi szervereinken üzemeltetjük: egy webszerveren az adatbázissal és egy vizsgálószerveren, amelyen a crawler és egy nyelvi modell fut. Mindkettő ugyanabban a belső hálózatban található. Nincs külső tárhely- vagy felhőszolgáltató. A szerverekhez csak a tulajdonos fér hozzá.

3.1 Webszerver-napló

A webszerver minden kérésnél tárolja az IP-címet, a dátumot és az időt, a lekért címet, az állapotkódot, az átvitt adatmennyiséget, az előzőleg meglátogatott oldalt (hivatkozó) és a böngészőazonosítót (user agent). Ez az ügyfelek oldalairól érkező jelvénylekérésekre is vonatkozik (12. szakasz). A naplókat naponta rotáljuk, és 14 nap után töröljük.

3.2 Oldalmegtekintési napló

Ezen felül az alkalmazás minden oldalmegtekintést rögzít, a háttérkéréseket, interfészeket és a jelvényt azonban nem: az IP-címet, az abból levezetett országot, a lekért címet és a hivatkozót (a bennük lévő hozzáférési tokeneket, például a jelentés- vagy portállinkekét, tárolás előtt maszkoljuk), a böngészőazonosítót és az abból levezetett eszköztípust, operációs rendszert és böngészőt, a nyelvet, valamint – ha be van jelentkezve – fiókja számát. Az országot saját szerverünkön lévő adatbázis segítségével határozzuk meg; az IP-cím ehhez nem hagyja el a szervert. Ha támogatásunk megtekinti az Ön fiókját (8.5. szakasz), ezeket az oldalmegtekintéseket nem rendeljük az Ön fiókjához. A bejegyzéseket 60 nap után töröljük.

3.3 Hibanapló és hibariasztás

A műszaki hibákat az időponttal, a szinttel, a forrással, az üzenettel, a műszaki környezettel és adott esetben az Ön fiókszámával rögzítjük, és 90 nap után töröljük. Ha új típusú hiba lép fel, a Szolgáltatás e-mailt küld a tulajdonosnak az üzenet nyers szövegével (legfeljebb 400 karakter, tisztítás nélkül), valamint rövid értesítést Telegramon keresztül; ha a hibák halmozódnak, csak az értesítést; ezen felül naponta e-mailben összesítés készül a hibatípusokról. A Telegram-üzenet egy rögzített mondat a hiba tartalma, cím és személyekre vonatkozó információ nélkül. Minden hibatípusból megőrzünk egy példaüzenetet, jelenleg rögzített megőrzési idő nélkül; törlési határidőt fogunk meghatározni, és itt feltüntetjük. A hibaüzenetek elvileg nem tartalmaznak személyes adatot; ezt nem zárhatjuk ki, például ha egy üzenet egy beírt címet ad vissza.

3.4 Biztonsági mentések

Az adatbázisról minden éjjel, a törlési folyamat lefutása után biztonsági mentés készül; egy mentés ezért nem tartalmaz semmit, amit e megőrzési idők szerint már törölni kellett volna. A mentéseket jelenleg az adatbázissal azonos helyen tároljuk, és nincsenek külön titkosítva; egy második helyszínen tárolt titkosított másolatot tervezünk. 14 nap után lejárnak. Amit az élő rendszerben törlünk, az addig a mentésekben marad. A mentésekből nem törlünk szelektíven; azok kizárólag adatvesztés utáni helyreállításra szolgálnak.

Cél és jogalap: a Szolgáltatás működtetése és biztonsága, a támadások és visszaélések elhárítása, hibaelhárítás, helyreállítás és használati adatok. Ez utóbbihoz csak napi összesítéseket rögzítünk (például a napi regisztrációk számát), személyekre vonatkozóan semmit; semmilyen analitikai vagy követő szolgáltatást nem használunk. A jogalap a GDPR Art. 6(1)(f); jogos érdekünk a biztonságos és stabil működés.

4. Sütik és tárolás a böngészőben

Webhelyeink látogatóinak és a Szolgáltatás felhasználóinak.

Név	Típus	Cél	Időtartam
bpid	süti	Munkamenet: bejelentkezve tartja Önt, védi az űrlapokat a hamisított kérések (CSRF) ellen, és munkamenetenként számolja az ingyenes ellenőrzés korlátait	a böngésző bezárásáig
bp_remember	süti	csak ha bejelentkezéskor a „Maradjon bejelentkezve” lehetőséget választja: bejelentkezve tartja Önt	30 nap
bp_theme	helyi tároló	a világos vagy a sötét téma kiválasztása; bejelentkezett felhasználóknál a választást a fiók is tárolja	a böngészőadatok törléséig

Ez a tárolás feltétlenül szükséges az Ön által kifejezetten kért Szolgáltatás működéséhez; ehhez nincs szükség hozzájárulásra (a 2002/58/EK irányelv Art. 5(3) a nemzeti átültetés szerint, Németországban a távközlési és digitális szolgáltatási adatvédelmi törvény (TDDDG) § 25(2) no. 2, Lengyelországban az elektronikus hírközlési törvény, a Prawo komunikacji elektronicznej Art. 399). A kapcsolódó adatkezelés jogalapja bejelentkezett állapotban a GDPR Art. 6(1)(b), egyébként a GDPR Art. 6(1)(f); jogos érdekünk ilyenkor űrlapjaink védelme a hamisított kérések ellen, az ingyenes ellenőrzés korlátainak érvényesítése és az Ön által választott megjelenítés.

Nem használunk sütiket reklámozási vagy közönségmérési célra. A partnerprogram ajánlói kódja (18. szakasz) a regisztrációig a címben utazik, nem sütiben. A Google reCAPTCHA egy űrlap elküldésekor saját sütiket használhat (5. szakasz).

5. Google reCAPTCHA és saját űrlapvédelmünk

Mindenkinek, aki elküldi valamelyik űrlapunkat.

Az ingyenes ellenőrzés, a fejléceszköz, egy domain kizárása (opt-out), a bejelentkezés, a regisztráció, az új jelszó igénylése és beállítása, valamint a támogatás és a kapcsolatfelvétel űrlapjait a Google reCAPTCHA v3 segítségével védjük az automatizált támadások ellen. A szolgáltató a Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Írország.

A Google szkriptjét csak akkor töltjük be, amikor Ön elküldi valamelyik ilyen űrlapot, nem már az oldal megnyitásakor. Ekkor a szkript információkat olvas ki a böngészőről, az eszközről és az oldal használatáról, és ezeket az Ön IP-címével és az esetleges Google-sütikkel együtt továbbítja a Google-nek, amely felméri, hogy ember küldi-e az űrlapot. Mi csak ezt az értékelést kapjuk meg pontszámként, azzal a művelettel együtt, amelyre vonatkozik. Ha az küszöbértékünk alatt van, másik űrlaphoz tartozik, vagy a Google három másodpercen belül nem válaszol, elutasítjuk a beküldést; a pontszámot nem tároljuk. Ön újra próbálkozhat, vagy írhat nekünk e-mailben. A Google adatokat továbbíthat a Google LLC részére az USA-ba (22. szakasz), és maga dönti el, mennyi ideig őrzi meg azokat; további információ a Google adatvédelmi irányelveiben.

Ezen felül ezek az űrlapok – az új jelszó beállítására szolgáló kivételével – harmadik felek nélküli saját védelmet is tartalmaznak: egy ember számára láthatatlan csapdamezőt és egy aláírt időbélyeget, amely alapján felismerjük a túl gyorsan elküldött űrlapokat.

Az ingyenes ellenőrzés, a regisztráció, a bejelentkezés és az új jelszó igénylésének űrlapjait ezenkívül saját űrlapvédelmünkkel, a formconfirmed szolgáltatással is védjük, amely szintén harmadik felek nélkül működik. Az oldal megnyitásakor egy kis szkript aláírt feladatot kér le a szerverünkről; amint Ön használni kezdi az űrlapot, a böngészője a háttérben megoldja azt (számítási bizonyíték). Az eredmény egyszer használható ellenőrző tokenként az űrlappal együtt jut el hozzánk, és a beküldéskor ellenőrizzük. Ennek során kezeljük az Ön IP-címét, az űrlapot tartalmazó oldal címét, az időpontokat, valamint azt, hogy kitöltöttek-e egy ember számára láthatatlan mezőt. Az IP-címet ehhez csak csonkítva (IPv4 esetén az utolsó bájt nélkül, IPv6 esetén csak az első 48 bitet) és naponta változó kulccsal képzett hash-értékként tároljuk, hogy felismerjük a halmozott kéréseket; ezt az értéket egy óra elteltével, a felhasznált ellenőrző tokent legkésőbb tizenegy perc elteltével töröljük. Az űrlapvédelem nem értékeli ezen űrlapok tartalmát. Nem helyez el sütiket, semmit nem tárol az Ön böngészőjében, és nem készít ujjlenyomatot az Ön eszközéről. Ha hiányzik az érvényes ellenőrző token, elutasítjuk a beküldést; ha szolgáltatásunk a feladat lekérésekor nem volt elérhető, engedélyezzük.

Jogalap: GDPR Art. 6(1)(f); jogos érdekünk ezen űrlapok védelme a programok általi visszaéléssel szemben, mindenekelőtt a jelszavak tömeges kitalálása, az automatikusan létrehozott fiókok és az ingyenes ellenőrzés harmadik felek webhelyei elleni eszközként való használata ellen. Mivel a Google szkriptje csak az űrlap elküldésekor töltődik be, és csak ezt a beküldést szolgálja, az információk kiolvasását az Ön eszközéről feltétlenül szükségesnek tekintjük az Ön által az űrlap elküldésével kifejezetten kért szolgáltatás nyújtásához (TDDDG § 25(2) no. 2, Prawo komunikacji elektronicznej Art. 399). Ugyanez vonatkozik saját űrlapvédelmünkre: a böngészőben csak azt kezeli, ami az Ön által használt űrlap elküldéséhez szükséges. Hosszú távon a reCAPTCHA felváltására szolgál. Feltétel: reCAPTCHA és saját űrlapvédelmünk nélkül az űrlap nem küldhető el; megkereséseihez az e-mail továbbra is rendelkezésre áll.

6. Ingyenes ellenőrzések fiók nélkül

Mindenkinek, aki a kezdőlapon ellenőriz egy domaint, vagy a fejléceszközt használja.

6.1 Az ingyenes ellenőrzés

A kezdőlapon fiók nélkül ellenőriztethet egy domaint. Ehhez a következőket kezeljük:

• a megadott domaint és az ellenőrzés eredményét (jelentés; hogy a crawler eközben mit gyűjt, azt a 7. szakasz írja le);
• az Ön IP-címét, annak országát, a munkamenete hash-értékét (nem magát a munkamenetet), az időpontot és azt, hogy a kérést elfogadtuk-e – a korlátok érvényesítése (címenként és munkamenetenként naponta csak néhány ellenőrzés; az elmúlt néhány napban már ellenőrzött domain új ellenőrzés helyett ugyanazt a jelentést kapja) és a visszaélések felismerése érdekében. Ezeket a bejegyzéseket 7 nap után töröljük;
• gyanús viselkedés, például egy címről érkező sok különböző domain esetén egy jelzést, amely az IP-címet vagy a munkamenet hash-értékét tartalmazza. Ezt az eset kivizsgálásáig, majd azt követően 90 napig őrizzük meg. A tulajdonos erről Telegram-értesítést kap a domain és az IP-cím nélkül.

A jelentéshez bárki hozzáférhet, akinek Ön megadja annak véletlenszerű linkjét; a keresőmotorok elvileg nem indexelik. A jelentést 30 nap után töröljük az ellenőrzési adatokkal és a képernyőképekkel együtt. Az ingyenes jelentés egy kivonatot mutat; ugyanazokat a dolgokat ellenőrizzük, mint a fiókban, de tesztbeküldések nélkül.

6.2 A fejléceszköz

A biztonsági fejléceszköz egy domain kezdőlapját kétszer kéri le (https-en és http-n keresztül), és kiértékeli a választ. A domaint, az eredményt és az osztályzatot 90 napig tároljuk; a korlátokra ugyanaz a napló vonatkozik, mint az ellenőrzésnél (7 nap). Egy kizárt domaint (19. szakasz) itt sem ellenőrzünk.

Jogalap: az Ön által kért ellenőrzéshez a GDPR Art. 6(1)(b), a korlátokhoz és a visszaélések megelőzéséhez a GDPR Art. 6(1)(f); jogos érdekünk, hogy a Szolgáltatással ne lehessen visszaélni mások webhelyei elleni eszközként. Feltétel: domain nélkül nincs ellenőrzés; IP-cím nélkül a szerver nem tud Önnek válaszolni.

6.3 Visszajelzés egy jelentésről

Mindenkinek, aki egy jelentés alatt – fiókkal vagy fiók nélkül – a „Valami nem stimmel ebben a jelentésben?” funkciót használja.

Minden elkészült jelentés alatt jelezheti nekünk, hogy egy űrlap hiányzik, rosszul lett besorolva, vagy hogy egy egyes ellenőrzés eredménye hibás. Ehhez a következőket kezeljük:

• amit Ön megad: a választott kategóriát, igény szerint az érintett ellenőrzést, egy oldal címét és legfeljebb 1000 karakteres szöveget;
• azt a jelentést, amelyre a visszajelzés vonatkozik (a link, az ellenőrzés és a domain azonosítója), az oldal nyelvét és az időpontot;
• ha be van jelentkezve, fiókja azonosítóját; ekkor a visszajelzés mellett látjuk a fiók e-mail-címét;
• az Ön IP-címének egyirányú ellenőrzőösszegét (titkos kulccsal képezve), hogy egy címről csak kevés bejelentés érkezzen (óránként 5, naponta 20). Magát az IP-címet nem tároljuk a visszajelzéssel; az ellenőrzőösszeget 2 nap után töröljük.

Nem kérünk e-mail-címet, és a visszajelzésekre nem válaszolunk. Ha választ szeretne, kérjük, írjon a támogatásnak (17. szakasz). Kérjük, ne adjon meg személyes adatokat a szövegben. A visszajelzéseket elolvassuk, besoroljuk, és adott esetben a jelentés ellenőrzési adatait (űrlapmezők, indokok és megállapítások, képernyőképek nélkül) tesztesetként felhasználjuk felismerési rendszerünkhöz; egy ilyen teszteset az ellenőrzött webhelyet írja le, nem Önt. A visszajelzés nem módosítja a jelentést.

Jogalap: GDPR Art. 6(1)(f); jogos érdekünk felismerési rendszerünk hibáinak megtalálása és javítása, a korlát pedig a visszaélések ellen véd. Feltétel: a visszajelzés önkéntes. Megőrzés: 24 hónap; fiókjával együtt azonnal.

7. Webhelyek ellenőrzése crawlerünkkel – tájékoztatás a GDPR Art. 14 szerint

Az ellenőrzött webhelyek üzemeltetőinek és azoknak a személyeknek, akiknek adatai egy ellenőrzött webhelyen megjelennek. Ezeket az adatokat nem Önök adták meg nekünk; ezért itt tájékoztatjuk Önöket.

7.1 Mit tesz a crawler

FormExposedBot nevű crawlerünk ellenőrzésenként legfeljebb nyolc nyilvános oldalt kér le egy webhelyről, egymás után, ugyanúgy, mint egy böngészőt használó látogató. Ehhez jöhet még legfeljebb három oldal, amelyet újratölt, hogy a sütisávban az „Elutasítás” gombra kattintson, legfeljebb három oldal mobilnézetben, igazolt domainek esetén a tesztbeküldések (7.3. szakasz) és legfeljebb öt bejelentkezés mögötti oldal (9.4. szakasz). Az ellenőrzés előtt beolvassa a robots.txt fájlt: ha egy FormExposedBotra vagy minden programra vonatkozó Disallow kizárja a kezdőlapot, nem végez ellenőrzést. A letiltott alútvonalakat jelenleg nem veszi figyelembe egyenként. Böngészőazonosítójában FormExposedBotként azonosítja magát. Megvizsgálja az űrlapokat, és tárolja:

• az ellenőrzött oldalak címét és megnevezését, az űrlapok szerkezetét (mezőnevek, mezőtípusok, feliratok, kötelező és láthatósági attribútumok, értékek nélkül; az előre kitöltött rejtett mezők és az adatattribútumok elejét csak az ellenőrzés során olvassa be, és nem tárolja) és a talált védelmi intézkedéseket;
• az oldalak műszaki jellemzőit: a használt CAPTCHA- és spamvédelmi szolgáltatásokat, harmadik féltől származó beágyazott szkripteket (cím és ellenőrzőösszeg), azokat a hosztokat, amelyekről az oldal tartalmat tölt be, a beállított sütik nevét, a biztonsági fejléceket, az űrlapok akadálymentességére utaló jeleket, a sütisáv viselkedését elutasításkor, valamint azt, hogy kapcsolódnak-e az űrlapokhoz reklámpixelek vagy munkamenet-rögzítés;
• egy képernyőképet az első oldal látható területéről és egyet-egyet minden talált űrlapról, tesztbeküldés után pedig egyet a válaszoldalról is. Ezek a képernyőképek nincsenek kitakarva; azt mutatják, ami az oldalon látható.

Ha egy űrlap címzett-címet tartalmaz, csak annak domainjét tároljuk, a címet soha. Az oldalak egyéb tartalmát nem tároljuk. Személyes adatok ennek ellenére érintettek lehetnek, ha azok egy oldalon vagy egy képernyőképen láthatók, például egy kapcsolattartó neve és fényképe az űrlap mellett. Kategóriák: nevek, szerepkörök, elérhetőségek és képek, amelyeket az üzemeltető maga tett közzé. Különleges adatkategóriákat nem keresünk és nem elemzünk.

Az űrlapokat rögzített szabályok alapján soroljuk be (például „kapcsolatfelvétel” vagy „hírlevél”). Csak ha a szabályok nem hoznak eredményt, segít egy saját vizsgálószerverünkön futó nyelvi modell; az így besorolt űrlapokat soha nem küldjük be, és nem számítanak bele a pontszámba vagy az értékelésbe. Ennek során nem továbbítunk adatokat harmadik feleknek, és a modellt nem tanítjuk velük. Bővebben: Uniós MI-rendelet: így használja a formexposed a mesterséges intelligenciát.

7.2 Ki indít ellenőrzést

• aki a kezdőlapon megad egy domaint (6. szakasz);
• WordPress-bővítményünk vagy TYPO3-bővítményünk saját webhelyére, fiók nélkül is (13. szakasz);
• egy ügyfél a fiókjában lévő domainre (9. szakasz);
• egy ügynökség egy érdeklődő webhelyére, tesztbeküldés nélkül (14. szakasz);
• mi magunk a kapcsolatfelvételi űrlapok védelméről szóló tanulmányhoz, amelyből csak összesített számokat teszünk közzé, webhelynevek nélkül.

7.3 Mit nem tesz a crawler

Mások webhelyeit csak passzívan ellenőrzi: nem küld be űrlapot, nem próbál ki bejelentkezési adatokat, és semmit nem támad. Tesztbeküldéseket csak olyan domainek kapcsolatfelvételi űrlapjaira küld, amelyek esetében egy ügyfél a fiókjában igazolta, hogy jogosult azokat ellenőrizni – tulajdonosként vagy a tulajdonos megbízásából, DNS-rekorddal, metacímkével, fájllal vagy bővítménnyel: egyértelműen jelölt, személyes adatot nem tartalmazó tesztüzeneteket, ellenőrzésenként legfeljebb ötöt; ilyen igazolás nélkül csak saját teszt- és demódomainjeink belső ellenőrzéseiben. A nyilvánosan elérhető fájlok keresése, a verziók kiolvasása és a bejelentkezés mögötti ellenőrzés szintén csak igazolt domainek esetén érhető el (9. szakasz).

7.4 Megőrzési idő

Fiók nélküli ellenőrzések: 30 nap; érdeklődők webhelyeinek ellenőrzései: 90 nap; tanulmányhoz végzett ellenőrzések: az eredmények közzétételéig; egy ügyfélfiókban lévő domain ellenőrzései: legfeljebb 13 hónap – a legutóbbit addig őrizzük meg, amíg a domain a fiókban van –, és soha nem tovább, mint ameddig a domain a fiókban van.

7.5 Jogalap és forrás

A jogalap a GDPR Art. 6(1)(f). A jogos érdek abban áll, hogy a webhely-üzemeltetőknek és szolgáltatóiknak megmutassuk űrlapjaik gyenge pontjait, mielőtt azokat spamre vagy visszaélésre használnák, az ellenőrzést kérő személy érdekében, aki erre az eredményre kíváncsi, valamint – tanulmány esetén – abban, hogy megállapításokat tegyünk az űrlapvédelem helyzetéről. Az adatok nyilvánosan hozzáférhető forrásokból, nevezetesen magáról az ellenőrzött webhelyről származnak. Címzettek az ellenőrzést indító személy és mindenki, akinek ez a személy a jelentés linkjét megadja, érdeklődő-ellenőrzés esetén pedig az ügynökség; tanulmányból csak összesített számokat teszünk közzé. Ha egy ügyfél a fiókjában olyan domaint ellenőriz, amelyet igazolt, az ő megbízásából járunk el (2. szakasz); amíg az igazolás hiányzik, mi magunk vagyunk az adatkezelő. Ezt a tájékoztatást itt és a FormExposedBot oldalon tesszük közzé, ahelyett hogy minden látható személynek egyenként írnánk; ez lehetetlen vagy aránytalan erőfeszítést igényelne, különösen mivel ezekről a személyekről csak azt tudjuk, ami az oldalon szerepel (GDPR Art. 14(5)(b)).

Tiltakozás és kizárás: Webhely-üzemeltetőként a robots.txt fájlon vagy opt-out oldalunkon keresztül kizárhatja domainje további ellenőrzését (19. szakasz). Az ellenőrzött oldalon látható személyek a 27. szakasz szerint tiltakozhatnak az adatkezelés ellen, és kérhetik egy jelentés vagy képernyőkép törlését.

8. Az Ön ügyfélfiókja

Ügyfeleknek és meghívott csapattagoknak.

8.1 Regisztráció és fiók

Egy fiókhoz kezeljük e-mail-címét és jelszavát (csak hash-értékként; magát a jelszót nem ismerjük), valamint utónevét és – amennyiben megadja – vezetéknevét és cégét, továbbá a nyelvet, a témát, a pénznemet, a csomagot, a regisztráció és az utolsó bejelentkezés időpontját, valamint az utolsó bejelentkezés IP-címét. E-mail-címét egy 72 óráig érvényes linkkel erősíti meg; a soha meg nem erősített fiókokat 30 nap után töröljük. Ha megváltoztatja e-mail-címét, az új cím csak az arra küldött linkkel történő megerősítés után lép érvénybe.

Jogalap: GDPR Art. 6(1)(b) (szerződés); az utolsó bejelentkezés IP-címére a GDPR Art. 6(1)(f) (fiókja védelme, 8.2. szakasz). Feltétel: az e-mail-cím, az utónév és a jelszó szükséges a szerződés megkötéséhez; számlázási címét és közösségi adószámát csak fizetős csomagok esetén adja meg, a Stripe részére (18. szakasz).

8.2 Bejelentkezés és biztonság

• bejelentkezési kísérletek e-mail-címmel, IP-címmel és eredménnyel: 7 nap, a jelszótalálgatás ellen; ezen felül számlálók a bejelentkezési kísérletekre fiókonként (ismeretlen cím esetén megadott címenként), fiókonként és IP-címenként, valamint IP-címenként, a kétlépcsős azonosítási kísérletekre és jelszómegerősítésekre fiókonként, a jelszó-visszaállító e-mailekre e-mail-címenként, a regisztrációkra IP-címenként és egy ügyfélportál jelszavával tett kísérletekre portálonként és IP-címenként, amelyeket csak álnevesített kulcs (HMAC) alatt tárolunk, az e-mail- vagy IP-cím nyílt szövege nélkül, és amelyek időablakukkal együtt lejárnak (jelenleg 15 perc, jelszó-visszaállításnál és regisztrációnál egy óra);
• bejelentkezett eszközök IP-címmel, böngészővel, operációs rendszerrel és eszköztípussal, hogy a beállításokban láthassa és kijelentkeztethesse őket: legfeljebb 90 nappal az utolsó használat után;
• ha a kétlépcsős bejelentkezés be van kapcsolva, az ehhez tartozó titok (titkosítva) és helyreállítási kódjai (csak hash-értékként);
• a jelszó-visszaállító linkek egy óráig érvényesek;
• a fontos műveletek – például „domain létrehozva”, „riasztás beállítva” vagy „beállítások módosítva” – tevékenységnaplója időponttal, a műveletet végző fiókkal, IP-címmel és országgal: 365 nap.

Jogalap: GDPR Art. 6(1)(f); jogos érdekünk fiókja és a Szolgáltatás védelme, valamint a módosítások nyomon követhetősége egy olyan munkaterületen, amelyen több személy dolgozik.

8.3 A szerződéskötés rögzítése

Regisztrációkor rögzítjük, hogy a Szolgáltatási feltételek és az Adatfeldolgozási szerződés melyik verzióját fogadta el, és ezen Adatvédelmi tájékoztató melyik verzióját vette tudomásul – mindegyiket a teljes szöveggel, annak hash-értékével, az időponttal, az IP-címmel és a böngészőazonosítóval. Ez a szerződéskötés bizonyítására szolgál (GDPR Art. 6(1)(b) és (f)). Ezt a rögzítést a fiók fennállásáig őrizzük meg. A fiók törlése után akkor töröljük, amikor a hozzájárulás négyéves lesz, mivel a szerződéskötéssel kapcsolatos kérdések éppen a megszűnés után szoktak felmerülni.

8.4 Munkaterületek, csapat és meghívások

Egy fiók egy vagy több munkaterületen dolgozik. Ha Ön meghív valakit, az illetőnek e-mailt küldünk a munkaterület nevével (alapértelmezés szerint az Ön cégneve vagy utóneve) és egy elfogadási linkkel; a meghíváshoz tároljuk a tervezett szerepkört és azt is, ki küldte a meghívást. A munkaterület tagjai látják, ki tartozik hozzá és milyen szerepkörben. Ha Ön meghívott személy, e-mail-címét az Önt meghívó tagtól kaptuk (GDPR Art. 14(2)(f)). A nem elfogadott meghívásokat 14 napos lejáratukkor, az elfogadottakat az elfogadás után 30 nappal töröljük. Egy felügyelt űrlaphoz a csapatból felelős személy és a javítási határidő rendelhető; ehhez csak a fiókhoz való hozzárendelést és a határidőt tároljuk. Jogalap: az ügyféllel szemben a GDPR Art. 6(1)(b); a meghívott személlyel szemben a GDPR Art. 6(1)(f) (az ügyfél együtt kíván dolgozni az illetővel).

8.5 Segítség támogatásunktól

Hogy segíthessen egy problémában, támogatásunk úgy tekintheti meg fiókját, ahogyan Ön látja. Minden ilyen hozzáférést rögzítünk a tevékenységnaplóban, és az megjelenik az Ön adatexportjában. Jogalap: GDPR Art. 6(1)(b), ha Ön segítséget kért, egyébként a GDPR Art. 6(1)(f) (hibaelhárítás).

8.6 Exportálás és törlés

A Beállítások menüpontban JSON-fájlként letöltheti a fiókjához tárolt adatokat – jelszó-hash-értékek és titkok, valamint más tagok adatai nélkül. Ez a fájl nem tartalmazza az ellenőrzési eredményeket, a megállapításokat és az incidenseket (csak riasztási célonként az eszkalációs kézbesítési kísérleteket); ezek jelentésként érhetők el a fiókban, kérésre pedig fájlként. Ugyanitt fiókját maga is törölheti; ehhez nincs szükség e-mailre. A futó fizetős előfizetés azonnal megszűnik, főszabály szerint visszatérítés nélkül (a kivételeket a Szolgáltatási feltételek tartalmazzák); aki előbb ki szeretné használni a kifizetett időszakot, a Számlázás területen mondja fel az időszak végére. Ha fiókja szerződése más módon szűnik meg, például általunk történő felmondással, adatait a szerződés végéig exportálhatja, és a fiókot legkésőbb a szerződés megszűnése után 30 nappal töröljük. A fiókkal együtt azonnal töröljük munkaterületeit a hozzájuk kapcsolódó adatokkal együtt, beleértve a domaineket, az ellenőrzési eredményeket és képernyőképeket, a riasztásokat, az incidenseket, a bizonyítéknaplókat, az arculati beállításokat, az ügyfélportálokat a feliratkozókkal együtt, az érdeklődő-ellenőrzései listáját (ezek jelentései 90 napjuk lejártáig elérhetők maradnak), az API-kulcsokat, a bevezetési kódokat és a tesztbejelentkezéseket. Ha valaki más még dolgozik valamelyik munkaterületén, az a munkaterület törlés helyett egy másik tagra száll át – elsősorban az adminisztrátorokra, közülük is a legrégebbi tagra. Saját megőrzési idejük lejártáig megmaradnak: a tevékenységnapló és az oldalmegtekintési napló korábbi fiókja számával, az elküldött e-mailek (30 nap, 11. szakasz), a szerződéskötés rögzítése (8.3), a támogatási kérések (17. szakasz), a számlaadatok, ameddig az adójog előírja, a jutalékadatok és a beváltott aktiválási kódok, amelyekre jelenleg nincs megőrzési idő (18. szakasz), valamint a biztonsági mentések (3.4).

9. Domainek, ellenőrzések és felügyelet

Ügyfeleknek. Amennyiben harmadik személyek személyes adatai érintettek, az ügyfél megbízásából járunk el.

9.1 Domainek és igazolás

Fiókja minden domainjéhez tároljuk a nevet, a jogosultsága igazolását (DNS-rekord, metacímke, fájl vagy bővítmény), az ellenőrzési eredményeket és beállításait, például a gyakoriságot, a karbantartási időszakot, a megjegyzéseket, az ügyfélcímkét és egy megkeresés becsült értékét. A gyakoriság csomagjától függ, és napi ellenőrzésig terjed.

9.2 Nyilvánosan elérhető információk felügyelete

Az ellenőrzések között nyilvánosan elérhető információkat kérdezünk le domainjéről:

• DNS-rekordok (SPF, DMARC, MX), a TLS-tanúsítvány és a biztonsági fejlécek;
• a domain lejárati dátuma az illetékes nyilvántartó RDAP-szolgáltatásán keresztül; csak a domainnevet továbbítjuk;
• űrlapoldalai elérhetősége (űrlappulzus, csomagtól függően 10, 15 vagy 30 percenként);
• a webhelye által használt CAPTCHA- és levelezési szolgáltatások nyilvános állapotoldalai; eközben semmit nem továbbítunk Önről;
• ismert biztonsági rések az űrlap-, CAPTCHA- és levelezési bővítményekben, valamint – igazolt domainek esetén hetente – a CMS-ben, a bővítményekben és a témában, amelyek verzióit kívülről, a kezdőlapjáról olvassuk ki. Az összevetés a nyílt WPVulnerability adatbázissal történik; csak egy bővítmény vagy téma azonosítóját (verzió nélkül) és a WordPress-verziót továbbítjuk, a domainjét nem;
• naponta, hogy webszervere címei, annak a szervernek a címe, amelyről legutóbbi űrlap-e-mailje érkezett (a kézbesítési ellenőrzésből), illetve domainje és az adott e-mail feladói domainje szerepel-e spam elleni DNS-tiltólistákon (SpamCop, PSBL, Mailspike, SURBL); csak szerverek domainjeit és IP-címeit kérdezzük le, látogatói adatokat nem;
• ha be van állítva, hogy a Google Web Risk kártevő- vagy adathalász oldalként tartja-e nyilván kezdőlapját; csak a kezdőlap címét továbbítjuk;
• igazolt domainek esetén hetente, hogy elérhetők-e olyan fájlok, amelyeknek soha nem szabadna nyilvánosnak lenniük (például a konfiguráció biztonsági mentése vagy adatbázis-kiírás). Ennek során egy fájlnak legfeljebb az első 8 KB-ját olvassuk be a felismeréshez, és csak a megállapítás útvonalát, típusát és súlyosságát tároljuk, a tartalmat soha.

9.3 Űrlapútvonalak és böngészős ellenőrzések

A felügyelt űrlapokhoz tároljuk az űrlapcímeket, a szelektorokat, a megelőző kattintásokat és a szintetikus ellenőrzési lépéseket, az ellenőrző böngésző kiválasztását, valamint a felelőst és a határidőt. A böngészős ellenőrzések egy űrlapot legfeljebb a beküldés előtti pontig töltenek ki; semmit nem küldenek be, és nem indítanak rendelést vagy fizetést. Az eredmények az állapotot, a műszaki hibakategóriákat, a megtisztított hibaüzeneteket és az időméréseket tartalmazzák, és tartalmazhatnak egy kis képet az űrlapról, amelyen a beviteli mezők maszkolva vannak. Ez a maszkolás csak a böngészős ellenőrzéseknél létezik; a crawler teljes ellenőrzésének képernyőképei nincsenek kitakarva (7.1. szakasz). Ellenőrző böngészőink mérései nem az Ön látogatóinak mérései.

Egy második, független mérőpont, amely megerősíti az eredményeket, tervezett, de jelenleg nincs beállítva. Csak a domaint, a megtisztított konfigurációt és a feladatazonosítót kapná meg, soha nem bejelentkezési adatokat, képernyőképeket vagy látogatói adatokat; üzemeltetőjét előre megnevezzük a további adatfeldolgozók listájában.

9.4 Bejelentkezés mögötti ellenőrzés

Fizetős csomagokban egy munkaterület tulajdonosai és adminisztrátorai egy igazolt domainhez tesztfiókot tárolhatnak saját webhelyükhöz, hogy a crawler beolvashassa a bejelentkezés mögötti űrlapokat. Ekkor a következők érvényesek:

• A felhasználónevet és a jelszót a webszerveren olyan kulccsal titkosítjuk, amelyet csak a vizsgálószerver tud feloldani; a webszerver, az adatbázis és a biztonsági mentések csak titkosított formában tartalmazzák őket. Soha nem jelenítjük meg, nem naplózzuk és nem adjuk ki őket az interfészen keresztül; a felhasználói felület csak a felhasználónév első karakterét és hosszát mutatja. Az ellenőrzési feladathoz csatolt titkosított másolatot a futás után, legkésőbb egy óra elteltével töröljük.
• A tesztfiókot csak a crawler teljes ellenőrzése használja, a böngészős ellenőrzések (9.3) nem.
• A bejelentkezés mögött a crawler legfeljebb öt megadott oldalt olvas be. Semmit nem küld be, ott nem készít képernyőképeket (ott fiókadatok jelenhetnek meg), és nem követi a kijelentkezésre, törlésre vagy lemondásra szolgáló linkeket.
• Ha törli a bejelentkezést, a titkosított értéket felülírjuk és eltávolítjuk; a domainnel együtt is megszűnik.

Kizárólag kifejezetten erre a célra létrehozott, valódi ügyféladatokat nem tartalmazó tesztfiókot használjon. Amit a crawler a bejelentkezés mögött lát, azt az Ön megbízásából kezeljük.

9.5 További funkciók

Szkriptleltár: Ha bekapcsolja, listát vezetünk űrlapoldalai szkriptjeiről címmel és ellenőrzőösszeggel, jelezzük az új vagy módosult szkripteket, és egy szkript jóváhagyásakor tároljuk, ki, mikor és milyen indoklással hagyta jóvá. Akadálymentesség: A legutóbbi ellenőrzés alapján a Szolgáltatás tervezetet készíthet űrlapjai akadálymentességi információiról; az ehhez megadott cégadatok az Ön böngészőjében maradnak. Összehasonlító mutatók: Az iparági összehasonlításhoz az összes ügyfél eredményeit csak összesített formában értékeljük; egyes webhelyek nem jelennek meg benne.

A 9. szakasz jogalapja: GDPR Art. 6(1)(b); az ellenőrzés során láthatóvá váló harmadik személyek személyes adataira az Ön Adatfeldolgozási szerződés szerinti utasításai. Megőrzési idő: domain, igazolás, beállítások, űrlapútvonalak és tesztbejelentkezés addig, amíg Ön törli azokat, a domaint vagy a fiókját; a szkriptleltár és változásai addig, amíg Ön törli a domaint vagy a fiókját (ezekre nincs külön megőrzési idő); ellenőrzési eredmények, a böngészős ellenőrzések eredményei és az időmérések legfeljebb 13 hónapig (a legutóbbi ellenőrzést addig őrizzük meg, amíg a domain a fiókban van).

10. Értesítések

Ügyfeleknek és az általuk megadott címzetteknek.

A riasztásokat és jelentéseket az Ön által beállított célokra küldjük: e-mail-címekre, saját webhook-címeire, Slackre, Discordra, Microsoft Teamsre, Google Chatre vagy Telegramra. Csevegőcsatornák és webhookok a Pro és a Business csomagban érhetők el. Egy üzenet tartalmazza a domaint, az eseményt, egy rövid leírást és egy linket a fiókjába, ellenőrzési riasztásoknál a jelentés linkjét, amelyen keresztül az eredmények és a képernyőképek bejelentkezés nélkül is elérhetők (a Telegram csak a fiókjában lévő domainoldal linkjét kapja meg, amelyhez bejelentkezés szükséges); űrlap-e-mailek tartalmát nem. Tároljuk:

• a célokat (e-mail-cím, webhook- vagy csevegőcím; webhookoknál egy aláíráshoz használt titkot), amíg Ön törli azokat vagy a domaint;
• egy küldési naplót időponttal, eseménnyel és eredménnyel: 90 nap;
• a napi és heti jelentésekhez gyűjtött értesítéseket: a kiküldés után legfeljebb 30 napig;
• a nyugtázási linkkel ellátott incidenseket: amíg megoldatlanok, majd a megoldás után 180 napig. Aki nyugtáz egy incidenst, azt a megadott névvel vagy e-mail-címével rögzítjük. A nem nyugtázott incidensek további célokra eszkalálhatók; ehhez célonként tároljuk a kézbesítési kísérletek számát és időpontját (legfeljebb öt), azt, hogy a kézbesítés sikerült-e, és az esetleges hibát, amíg az incidens létezik. Egy incidens csak a probléma megoldása után zárul le; a nyugtázás önmagában nem fejezi be.

Telegram: A Telegramhoz saját botot üzemeltetünk. Egy 30 percig érvényes, egyszer használható kódot tartalmazó linkkel kapcsolja össze; amikor a botban a „Start” gombot megnyomja, szerverünk lekéri ezt az üzenetet a Telegramtól, és riasztási célként tárolja csevegése azonosítóját (chat ID). A Telegram eközben az Ön Telegram-nevét is megküldi; ezt nem tároljuk. Magát a kódot legkorábban egy nap elteltével töröljük, amint új kód jön létre. A chat ID-t addig őrizzük meg, amíg Ön törli a riasztást vagy a domaint.

A csevegőszolgáltatások saját feltételeik és az Ön velük kötött szerződése szerint kezelik az üzeneteket; némelyikük az EU-n kívül található (22. szakasz). Az olyan címzettek tekintetében, akik maguk nem ügyfelek, az Ön megbízásából járunk el; kérjük, tájékoztassa őket.

Jogalap: GDPR Art. 6(1)(b); a nem ügyfél címzettek esetében az Ön utasításai. Feltétel: cél nélkül nincs riasztás; az ellenőrzések ettől függetlenül lefutnak.

11. Tőlünk érkező e-mailek

Ügyfeleknek és mindenkinek, akinek írunk.

E-maileket küldünk címe megerősítéséhez, jelszava visszaállításához, meghívásokhoz, riasztásokhoz és jelentésekhez, a támogatási kérések visszaigazolásaként, valamint fiókjával és számlázásával kapcsolatos értesítésekkel. E-mailjeink küldését és fogadását a(z) Namecheap, Inc. (Private Email), Phoenix, Arizona, USA végzi. Domainünket és annak DNS-rekordjait a Namecheap, Inc., Phoenix, Arizona, USA kezeli; amíg a(z) Namecheap, Inc. (Private Email), Phoenix, Arizona, USA postafiók nincs beállítva, a Namecheap továbbítja a domainünk címeire érkező általános e-maileket is. A kézbesítési ellenőrzés ellenőrző másolatai nem haladnak át rajta. Az elküldött e-maileket – címzettel, tárggyal és tartalommal – 30 napig őrizzük meg, hogy a kézbesítési problémákat megoldhassuk; tovább nem, mert érvényes megerősítő és visszaállító linkeket is tartalmaznak.

Három e-mailt küldünk az Ön kifejezett kérése nélkül:

• Havi jelentés: a hónap elején áttekintés domainjei ellenőrzéseiről és értesítéseiről. A beállításokban leiratkozhat róla.
• Beállítási emlékeztető: egyetlen e-mail a regisztráció után két és tizennégy nap között, ha fiókja meg van erősítve, de még nincs igazolt domainje – „Webhely hozzáadása” vagy „Domain igazolása”, ajánlat, ár vagy csomagváltás nélkül. Nem küldjük el újra.
• A próbaidőszak vége: három nappal a próbaidőszak vége előtt értesítés arról, mi történik azt követően.

Jogalap: a szerződés részét képező e-mailekre – beleértve a havi jelentést és a próbaidőszakról szóló értesítést – a GDPR Art. 6(1)(b); a beállítási emlékeztetőre a GDPR Art. 6(1)(f), mivel domain nélküli fiókkal a Szolgáltatás nem használható, és sok ügyfél egyszerűen elfelejti a beállítást. Reklámot nem küldünk.

12. Jelvény és bizonyítéknapló

A jelvényt vagy a bizonyítéknaplót használó ügyfeleknek, valamint a jelvényt tartalmazó webhelyek látogatóinak.

Jelvény: Ha jelvényünket beágyazza webhelyére, az adott oldal minden látogatójának böngészője szerverünkről tölti be a jelvény képét. Ennek során megkapjuk a szokásos kapcsolati adatokat – IP-cím, időpont, böngészőazonosító és az oldal, amelyen a jelvény megjelenik –, amelyek csak a webszerver-naplóba kerülnek (14 nap, 3.1. szakasz), az oldalmegtekintési naplóba nem. A jelvény nem állít be sütiket, nem indít munkamenetet, és nem tartalmaz szkriptet. A nyilvános megerősítő oldal a domaint, a szintet és a legutóbbi ellenőrzés dátumát mutatja, egyes megállapításokat nem; aki megnyitja, webhelyünk látogatója (3. és 4. szakasz). A jogalap a GDPR Art. 6(1)(f); jogos érdekünk az ügyfél által beágyazott jelvény kiszolgálása. Az ügyfél ezt saját adatvédelmi tájékoztatójában említi meg (szövegblokkok).

Bizonyítéknapló: Fizetős csomagokban domainenként és havonta naplót készíthet az ellenőrzésekről. Ellenőrzőszáma alatt egy nyilvános oldal részletek nélkül megerősíti a domaint, az időszakot és a fő számadatokat. Hogy később megállapítható legyen, módosították-e a naplót, időbélyeg-szolgáltatóval íratjuk alá. Ennek csak a napló hash-értékét továbbítjuk, amelyből tartalom nem állítható vissza; jelenleg ezek a Certum (Asseco Data Systems S.A., Lengyelország) és tartalékként a DigiCert, Inc. (USA). A naplókat addig őrizzük meg, amíg Ön törli a domaint. A jogalap a GDPR Art. 6(1)(b).

13. WordPress-bővítmény és TYPO3-bővítmény

A bővítményt használó ügyfeleknek és webhelyeik látogatóinak.

13.1 Mi marad az ügyfél webhelyén

WordPress-bővítményünk és TYPO3-bővítményünk az ügyfél szerverén fut. Amit a WordPress-bővítmény ott tárol, az azon a webhelyen marad; nekünk nincs hozzáférésünk, és az adatkezelő a webhely üzemeltetője:

• Karantén: azok a beküldések, amelyeket a védelmi réteg spamként visszatart, a mezőtartalmakkal és a válaszcímmel együtt, legfeljebb 14 napig, hogy egy tévesen visszatartott üzenet egy kattintással kézbesíthető legyen;
• Biztonsági háló: az el nem küldhető űrlap-e-mailek másolatai (címzett, tárgy, szöveg és fejlécsorok, például a válaszcím; a mellékletek csak névvel), legfeljebb 30 napig, hogy újra elküldhetők legyenek;
• Számítási feladvány: a látogató böngészője egy kis, maga a webhely által feladott feladatot old meg; nincs süti, nincs harmadik féltől származó szolgáltatás;
• Megőrzési idő: kérésre a bővítmény bizonyos űrlapbővítmények tárolt megkereséseit 90, 180 vagy 365 nap után törli;
• Űrlapszámlálás (alapértelmezés szerint kikapcsolva): megtekintések, megkezdések, érvényesítési hibák és beküldési kísérletek űrlaponként, valamint – ha külön bekapcsolják – hibakategóriák mezőpozíciónként, bevitt adatok, mezőnevek, sütik vagy tartós látogatóazonosítók nélkül, legfeljebb 14 napig a webhelyen. A kérések korlátozására szolgáló, az IP-címből levezetett azonosító egy perc után lejár, és nem kerül hozzánk;
• Látogatói segítség (külön bekapcsolható): küldési hiba után egy értesítés visszavezet a még nyitva lévő űrlaphoz, és igény szerint megnevez egy e-mail-címet; nem olvassa be a bevitt adatokat, nem tárol piszkozatokat, és önállóan semmit nem küld el újra;
• az új spamszabályok hét napig helyben számlálhatnak anélkül, hogy bármit visszatartanának.

A WordPress-bővítmény maga is hozzáad megfelelő bekezdéseket a WordPress adatvédelmi útmutatójához; további szövegek a Adatvédelmi szövegblokkok az Ön webhelyéhez oldalon érhetők el. A TYPO3-bővítmény nem tárol űrlaptartalmat; minden oldalhoz hozzáad egy metacímkét a domain igazolásához, és számlál.

13.2 Rögzítő

A rögzítővel egy bejelentkezett WordPress-adminisztrátor rögzíti a saját webhelyén egy űrlaphoz vezető útvonalat. A rögzítő a műszaki szelektorokat és navigációs lépéseket legfeljebb 15 percig a böngésző munkamenet-tárolójában tartja, és a kiválasztott konfigurációt a csatlakoztatott fiókba továbbítja. A bevitt adatokat nem olvassa be. A rögzítő látogatók számára soha nem töltődik be.

13.3 Mit küldenek nekünk

A bővítmények – a funkciótól függően, és a saját webhely fiók nélküli ellenőrzésének kivételével csak addig, amíg a webhely egy fiókhoz kapcsolódik – a következőket továbbítják nekünk:

• a hosztnevet, egy nyilvános kulcsot és egy titkot, amellyel a webhely azonosítja magát, a bővítmény és a CMS verzióját, valamint a nyelvet;
• napi számadatokat: indokonként blokkolt beküldések, elfogadott beküldések, elküldött és sikertelen e-mailek a hiba típusával, a reCAPTCHA-válaszokra és az automatikusan törölt megkeresésekre vonatkozó számok; ha a számlálás be van kapcsolva, annak napi számai;
• az űrlapbeállítások jellemzőit számokként, például hány űrlap használja feladóként a látogató címét, valamint bizonyos űrlap-, CAPTCHA- és levelezési bővítmények verzióit egy rögzített listából;
• bővítmények, témák és a CMS frissítéseit, aktiválásait és deaktiválásait névvel és verzióval, a karbantartási módot és egy űrlap-e-mail sikertelenségét (csak a hiba típusát);
• a rögzítővel kiválasztott űrlapútvonal konfigurációját;
• a rajvédelemhez (alapértelmezés szerint bekapcsolva) a blokkolt üzenetekben lévő linkek domainjeit. A sok webhelyről érkező jelentésekből spamdomainek listája áll össze, amelyet minden csatlakoztatott bővítmény lekér. Ehhez nem továbbítjuk a feladók IP-címeit vagy hálózatait.

A bővítmények e linkdomaineken kívül semmilyen űrlaptartalmat, sem a látogatók e-mail-címét, nevét vagy IP-címét nem továbbítják. A napi számadatokat és a változásjelentéseket 13 hónap után, a rajvédelmi jelzéseket 30 nap után töröljük; egy olyan webhely adatait, amely egyetlen fiók domainjéhez sem tartozik, 90 nap kapcsolat nélküli időszak után.

Jogalap: GDPR Art. 6(1)(b); a rajvédelemhez a GDPR Art. 6(1)(f) (közös védekezés a spam ellen sok webhelyen). Ezek az információk csak kivételes esetben személyes adatok, például ha egy hosztnév egy személy nevét tartalmazza.

14. Funkciók ügynökségeknek

Ügynökségeknek és azoknak, akik portáljaikkal és jelentéseikkel kapcsolatba kerülnek.

• Ügyfélportál: Egy ügynökség hozzáférést adhat ügyfeleinek egy portálhoz, amely domainjeik eredményeit mutatja. Aki ott feliratkozik a havi jelentésre, megadja e-mail-címét, és egy linkkel megerősíti azt (kettős megerősítés). Tároljuk a címet, a nyelvet, a feliratkozás időpontját és IP-címét, a megerősítés időpontját és az utolsó kiküldés hónapját. A meg nem erősített feliratkozásokat 30 nap után töröljük. A leiratkozás bármikor lehetséges minden e-mailben található linkkel; ezt követően a feliratkozás nyilvántartását további három évig őrizzük meg, de legfeljebb az ügynökség munkaterületének törléséig; ha az ügynökség csak a portált vonja vissza, a feliratkozók tárolva maradnak. A portál és a jelentések az ügynökség neve alatt jelennek meg; az ügynökség az adatkezelő, mi az ő megbízásából járunk el. Az ügynökség jogalapja a feliratkozó hozzájárulása.
• Saját arculat: az ügynökség által tárolt cégnév, webhely, elérhetőségek, színek és logó megjelennek jelentésein és a portálon, amíg meg nem változtatja vagy nem törli azokat.
• Saját domain: A Business csomagban egy ügynökség saját aldomainje alatt jelenítheti meg a portált és a jelentéseket. Ehhez naponta ellenőrizzük DNS-rekordjait. A funkció jelenleg nincs bekapcsolva.
• Érdeklődő-ellenőrzés: Egy ügynökség tesztbeküldés nélkül ellenőriztetheti egy érdeklődő webhelyét (7. szakasz). A rövid megállapítások linkjét maga adja tovább; mi senkinek nem írunk. Az ellenőrzést 90 nap után töröljük. Az érdeklődővel való kapcsolatfelvételért kizárólag az ügynökség felel.
• API-kulcsok és bevezetési kódok: Ezeket csak hash-értékként, rövid előtaggal tároljuk, megnevezésükkel, az utolsó használat időpontjával (API-kulcsok) vagy a beváltások számával (bevezetési kódok), valamint a percenkénti hívások számával (legalább egy napig; a későbbi hívásoknál törlődik).

Jogalap: az ügynökséggel szemben a GDPR Art. 6(1)(b); a feliratkozók és az érdeklődők tekintetében lásd fent.

15. Kézbesítési ellenőrzés

Az azt bekapcsoló ügyfeleknek és webhelyeik látogatóinak. A látogatói adatok tekintetében az ügyfél adatfeldolgozói vagyunk.

Az opcionális kézbesítési ellenőrzés arra a kérdésre ad választ, hogy egy kapcsolatfelvételi űrlap e-mailje valóban elküldésre kerül-e. Ehhez az ügyfél az űrlapja levelezési beállításaiban titkos másolatként (BCC) megadja egyik ellenőrző címünket. Ennek eredményeként nemcsak saját tesztbeküldésünket kapjuk meg, hanem minden űrlap-e-mail másolatát – beleértve látogatóinak valódi megkereséseit is, nevükkel, címükkel és üzenetükkel.

Mit teszünk velük, és csak ezt: egy automatikus lekérés beolvassa a fejléceket és a szöveg legfeljebb első 8 KB-ját, az ellenőrző cím alapján egy domainhez és adott esetben egy tesztbeküldéshez rendeli az e-mailt, és ellenőrzi az SPF, DKIM és DMARC hitelességi jellemzőket. Sikeres feldolgozás után az e-mailt töröljük. Ha a lekérés vagy a törlés sikertelen, egy e-mail a következő sikeres futásig a postafiókban maradhat; a postafiókot levelezési szolgáltatónk (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) üzemelteti. A másolatokat kizárólag automatikusan értékeljük ki.

Adatbázisunkban csak az időpontot, a domain-hozzárendelést és adott esetben a tesztbeküldés azonosítóját tároljuk 180 napig, valamint a legutóbb érkezett e-mail műszaki hitelességi eredményét (SPF, DKIM, DMARC), amíg a következő e-mail fel nem váltja, vagy a domaint nem törlik. Ez a hitelességi eredmény tartalmazza a küldő szerver IP-címét és a feladó e-mail-domainjét; ezt a domaint csak akkor nevezzük meg az ügyfélnek küldött riasztásban, ha nem a webhelyhez tartozik. Ha egy űrlap a látogató címét adja meg feladóként, ez a látogató e-mail-szolgáltatójának domainje. Az e-mailek tartalmát és a teljes feladócímeket nem tároljuk. Ha egy tesztbeküldés után néhány órán belül nem érkezik másolat, ezt jelezzük az ügyfélnek.

A beérkezés csak azt bizonyítja, hogy a hozzárendelt másolat megérkezett ellenőrző postafiókunkba – nem a tényleges címzetthez való beérkezést, és nem egy CRM-bejegyzést. Azokat az űrlapokat, amelyeken a személyes adatok különleges kategóriái haladnak át (például egészségügyi adatok), nem szabad a kézbesítési ellenőrzéshez kapcsolni. Az ügyfél tájékoztatja látogatóit erről az adatáramlásról; ehhez szöveg az Adatvédelmi szövegblokkok az Ön webhelyéhez oldalon érhető el. Beállított ellenőrző postafiók nélkül az ellenőrzés nem érhető el.

Jogalap: az ügyfél részéről jellemzően a GDPR Art. 6(1)(f) (a megkeresések megbízható beérkezése); mi az ő utasításai szerint végezzük az adatkezelést (GDPR Art. 28).

16. Nyelvi modell saját szerverünkön és a „Fix it for me”

Ügyfeleknek és az ingyenes ellenőrzés felhasználóinak.

Saját vizsgálószerverünkön fut egy nyelvi modell, nem egy MI-szolgáltatónál. Segít az űrlapok besorolásában (7. szakasz), a „Fix it for me” funkcióval pedig védelmet illeszt az Ön által bemásolt űrlapkódba. A bemásolt kódot csak ehhez a kéréshez dolgozzuk fel, nem tároljuk, és nem használjuk tanításra; a tevékenységnaplóban csak azt rögzítjük, hogy a funkciót használták, a programozási nyelvvel, a kód hosszával és az eredménnyel (a napi kerethez is). Kérjük, ne másoljon be bejelentkezési adatokat vagy személyes adatokat. A „Fix it for me” webhelyéhez való hozzáférés nélkül működik; a kódot Ön illeszti be. Bővebben: Uniós MI-rendelet: így használja a formexposed a mesterséges intelligenciát. Jogalap: GDPR Art. 6(1)(b).

17. Támogatás, kapcsolatfelvétel és biztonsági rések bejelentése

Mindenkinek, aki ír nekünk.

Ha a támogatási ablakon vagy a kapcsolati oldalon keresztül ír nekünk, kezeljük e-mail-címét, üzenetét, a választott témát, az oldalt, amelyről ír, a nyelvet, IP-címét, annak országát, a böngészőazonosítót és – ha be van jelentkezve – fiókja számát, hogy megválaszolhassuk kérését, és megakadályozzuk az űrlappal való visszaélést. Az Ön által megadott címre e-mailben visszaigazolást kap; ha be van jelentkezve, ez üzenete elejét (legfeljebb 2000 karakter) tartalmazza, egyébként az Ön szövegét nem. Mint minden elküldött e-mailt, ezt is 30 napig őrizzük meg (11. szakasz). Az új kérésekről egy Telegram-jelzés értesít minket, amely nem tartalmaz sem tartalmat, sem Önre vonatkozó információt. Ha e-mailt küld nekünk, kezeljük a címét és az üzenetét. A biztonsági rések bejelentését ugyanígy kezeljük. A kéréseket a beérkezésük után 24 hónappal töröljük, akkor is, ha Ön korábban törli fiókját; ezek dokumentálják, mit kérdeztek és mit válaszoltunk.

Jogalap: GDPR Art. 6(1)(b), ha a kérés a velünk kötött szerződést érinti, egyébként a GDPR Art. 6(1)(f) (válaszadás, visszaélések megelőzése, bizonyítás). Feltétel: e-mail-cím nélkül nem tudunk válaszolni.

18. Fizetések, próbaidőszak és partnerprogram

Fizetős csomaggal rendelkező ügyfeleknek és partnereknek.

A fizetős csomagokat a Stripe-on keresztül számlázzuk. A szolgáltató a Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Írország. Fizetési adatait közvetlenül a Stripe-nál adja meg; azokat mi nem látjuk. A Stripe megkapja e-mail-címét és nevét, a fizetés során számlázási címét és adott esetben közösségi adószámát, és kiállítja a számlákat. Mi csak a Stripe-nál használt ügyfél- és előfizetés-azonosítókat, a csomagot, az állapotot, a számlázási időszak végét, valamint a Stripe által nekünk jelentett események azonosítóit és típusait tároljuk.

Próbaidőszakot kártya nélkül is indíthat; fizetőeszköz nélkül az automatikusan véget ér. Ha egy tárhelyszolgáltató vagy partner aktiválási kódot adott Önnek, tároljuk, melyik fiók és mikor váltotta be, és meddig érvényes a csomag.

A Stripe önálló adatkezelőként is kezel adatokat, például a csalások megelőzése és a jogi kötelezettségek teljesítése érdekében, és továbbíthatja azokat a Stripe, Inc. részére az USA-ba (22. szakasz). Bővebben a Stripe adatvédelmi tájékoztatójában.

Partnerprogram: A program elkészült, de jelenleg nincs bekapcsolva. Bekapcsolása esetén a következők érvényesek: minden fióknak van egy ajánlói kódja. Aki ajánlói linken keresztül regisztrál, korlátozott számú hónapra a partnerhez rendeljük; tároljuk a hozzárendelést és annak időpontját, valamint minden kifizetett számlánál a nettó összeget és a jutalékot. A partner csak számokat lát – hány fiók regisztrált, hány fizet, és jutalékai összegét –, neveket és címeket nem. A Partnerfeltételek alkalmazandók. A partnerek adatait, a hozzárendeléseket és a jutalékokat, valamint a beváltott aktiválási kódokra vonatkozó információkat jelenleg rögzített megőrzési idő nélkül tároljuk; törlési határidőt fogunk meghatározni, és itt feltüntetjük.

Jogalap: GDPR Art. 6(1)(b); a számlaadatok és – ha adózási célból szükséges – a jutalékadatok megőrzésére a GDPR Art. 6(1)(c); a partnerhez való hozzárendelésre a GDPR Art. 6(1)(f) (a jutalék elszámolása). A számlaadatokat addig őrizzük meg, ameddig az adójog előírja; a lengyel jog szerint (a lengyel adózás rendjéről szóló törvény, Ordynacja podatkowa Art. 86, összefüggésben az Art. 70-nel) főszabály szerint annak a naptári évnek a végétől számított öt év elteltéig, amelyben az adó esedékessé vált. Feltétel: fizetési adatok nélkül nincs fizetős csomag; az ingyenes csomag továbbra is elérhető.

19. Domain kizárása (opt-out)

Azoknak a webhely-üzemeltetőknek, akik nem szeretnék, hogy ellenőrizzük őket.

Az opt-out oldalon kizárhat egy domaint a további ellenőrzésekből. A kizárás a domainre és annak www-változatára vonatkozik, más aldomainekre nem, és azokkal a fizető ügyfelekkel szemben is érvényes, akik igazolták a domaint; a folyamatban lévő felügyelet a következő ütemezett ellenőrzéssel véget ér. Feloldani csak mi tudjuk, kérésre és annak igazolása után, hogy Ön rendelkezik a domain felett. Tároljuk a domaint, az önkéntesen megadott indokot, IP-címét, annak országát és a böngészőazonosítót. Az IP-címet, az országot és a böngészőazonosítót 12 hónap után töröljük; maga a kizárás tartósan megmarad, mert különben a domaint újra ellenőriznénk. Ezekre az információkra azért van szükségünk, hogy kívánságát tartósan teljesítsük, és felismerjük, ha valaki visszaélésszerűen mások domainjeit zárja ki. Jogalap: GDPR Art. 6(1)(f); jogos érdekünk kívánsága tartós teljesítése és az űrlappal való visszaélés felismerése. Ha a kizárást a GDPR Art. 21 szerinti tiltakozásnak szánja, ekként teljesítjük.

20. Ügyfeleink webhelyeinek látogatói számára

Azoknak, akik olyan webhelyet látogatnak meg, illetve azon űrlapot küldenek el, amelynek üzemeltetője a(z) formexposed szolgáltatást használja.

Az adott webhely tekintetében annak üzemeltetője az adatkezelő, nem mi. Az üzemeltető dönti el, mely funkciókat használja, és saját adatvédelmi tájékoztatójában kell tájékoztatnia Önt azokról. Hozzánk a következők juthatnak el:

• Jelvény: böngészője kapcsolati adatai a kép betöltésekor, 14 napig a webszerver-naplóban, süti nélkül; a kép kiszolgálása tekintetében itt mi vagyunk az adatkezelő (12. szakasz).
• Kézbesítési ellenőrzés: űrlap-e-mailje másolata, amelyet automatikusan kiértékelünk és törlünk; mi vagyunk az adatfeldolgozó (15. szakasz).
• WordPress-bővítmény és TYPO3-bővítmény: Önre nem vonatkoztatható napi számadatok, valamint a rajvédelemhez a blokkolt üzenetekben lévő linkek domainjei; a karantén és a biztonsági háló a webhelyen marad (13. szakasz).
• Ügyfélportál: e-mail-címe, ha ott feliratkozik egy jelentésre; mi az ügynökség adatfeldolgozója vagyunk (14. szakasz).
• Űrlapvédelem (formconfirmed): ha az üzemeltető használja, böngészője az oldal megnyitásakor feladatot kér le a szerverünkről, és a háttérben megoldja; beküldéskor az üzemeltető szervere velünk ellenőrizteti az eredményt. Kezeljük az Ön IP-címét (csak csonkítva és hash-értékként tárolva, legfeljebb egy óráig; mint minden lekérés esetén, 14 napig a webszerver-naplóban), az oldal címét, a kitöltési időt, azt, hogy kitöltöttek-e egy láthatatlan mezőt, valamint – csak ha az üzemeltető bekapcsolja a tartalomellenőrzést – üzenete szövegét, amelyet egy nyelvi modell saját szerverünkön a memóriában értékel, és nem tárol. Nincsenek sütik, nincs tárolás a böngészőben, nincs ujjlenyomat. Az üzemeltető adatfeldolgozója vagyunk (Adatfeldolgozási szerződés, 1. melléklet 10. pont).

Jogait legcélszerűbb a webhely üzemeltetőjénél gyakorolnia; ő ismeri az összefüggéseket, és utasíthat minket. Ha hozzánk fordul, kérését továbbítjuk az üzemeltetőnek, vagy magunk intézzük, amennyiben mi vagyunk az adatkezelő. Hogy ennek során mit tudunk megtalálni és mit nem, azt a Hozzáférés, törlés és az Ön további jogai oldal írja le.

21. Címzettek

Személyes adatokat csak akkor adunk tovább, ha ez a tájékoztató így rendelkezik. Adatokat nem adunk el, nem adunk bérbe és nem cserélünk. A címzettek kategóriái:

Címzett (székhely)	Kategória	Mire
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	adatfeldolgozó; az adatkezelés helyét még ellenőrizni kell	e-mailjeink küldése és fogadása; a kézbesítési ellenőrzés ellenőrző postafiókja
Namecheap, Inc. (USA)	adatfeldolgozó	domain, DNS; a postafiók beállításáig a domainünkre érkező általános e-mailek továbbítása (a kézbesítési ellenőrzés ellenőrző másolataié nem)
Stripe Payments Europe, Ltd. (Írország), Stripe, Inc. (USA)	nagyrészt önálló adatkezelő; a szerepek pontos megosztását még vizsgáljuk	fizetések és számlák
Google Ireland Ltd., Google LLC (USA)	önálló adatkezelő	reCAPTCHA
Telegram (az EGT-n kívül)	az ügyfél által választott cél; az üzenetet botunkon keresztül küldjük. Számunkra értesítési csatorna is	riasztások, ha a Telegramot választja; személyes adatot nem tartalmazó üzemeltetési jelzések
Slack, Discord, Microsoft (Teams), Google (Chat), az Ön webhookjai (részben USA)	az ügyfél által választott célok	riasztások
A nyilvánosság	–	jelentéslinkek, megerősítő oldalak, a tanulmány eredményei (csak összesítve)
Munkaterülete tagjai	ugyanazon fiók felhasználói	együttműködés, szerepkör szerint
Hatóságok, bíróságok, CERT Polska, tanácsadók	önálló adatkezelők	csak jogi kötelezettség esetén, jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, valamint Szolgáltatásunkkal való visszaélés vagy harmadik felek elleni támadások esetén (GDPR Art. 6(1)(c) vagy (f))

Nem kapnak személyes adatot: a nyilvántartók RDAP-szolgáltatásai, amelyeket az IANA-jegyzéken keresztül találunk meg, valamint az ingyenes ellenőrzésben a domain korához az rdap.org közvetítő szolgáltatás (csak domainnevek), a WPVulnerability a wpvulnerability.net címen (csak egy bővítmény azonosítója verzió nélkül, egy téma azonosítója vagy a WordPress-verzió), a CAPTCHA- és levelezési szolgáltatások állapotoldalai (magán a kérésen kívül semmi), a Certum és a DigiCert időbélyeg-szolgáltatók (csak hash-értékek), a SpamCop, PSBL, Mailspike és SURBL DNS-tiltólisták (csak szerverek domainjei és IP-címei), a Google Web Risk, ha be van állítva (csak a kezdőlap címe), valamint a rajvédelemben a többi csatlakoztatott bővítmény (csak spamdomainek). Adatfeldolgozóink teljes, naprakészen tartott listája székhelyükkel és a továbbítás alapjával a További adatfeldolgozók oldalon érhető el; a változásokat 30 nappal előre bejelentjük ügyfeleinknek.

22. Továbbítás harmadik országokba

Ha egy címzett az Európai Gazdasági Térségen kívül található, csak akkor továbbítunk adatokat, ha a GDPR Art. 44 és azt követő cikkeinek feltételei teljesülnek:

• USA: az Európai Bizottság EU–USA adatvédelmi keretrendszerről szóló megfelelőségi határozata alapján ((EU) 2023/1795 végrehajtási határozat, GDPR Art. 45), amennyiben a címzett e keretrendszer szerint tanúsítvánnyal rendelkezik. Azt, hogy a Google, a Stripe és a Namecheap az érintett szolgáltatások tekintetében rendelkezik-e tanúsítvánnyal, e verzióhoz még ellenőrizzük, ezért nem állítjuk; tanúsítvány hiányában az Európai Bizottság általános szerződési feltételei alapján ((EU) 2021/914 végrehajtási határozat, GDPR Art. 46(2)(c)).
• Levelezési szolgáltatónk: azt, hogy a(z) Namecheap, Inc. (Private Email), Phoenix, Arizona, USA hol kezeli az adatokat, és milyen alapon továbbíthatók azok harmadik országba, még ellenőrizzük. Az aktuális állapotot a További adatfeldolgozók oldal tartalmazza.
• Az Ön által választott csevegőszolgáltatások és webhookok: a Slack, a Discord, a Microsoft Teams, a Google Chat és a webhookok egy olyan címen keresztül kapják meg riasztásait, amelyet Ön az adott szolgáltatásnál lévő fiókjában hoz létre; a szolgáltatóval fennálló szerződéses viszony és a harmadik országba történő továbbításhoz esetleg szükséges alap az Ön felelőssége.
• Telegram: az ügyfél által választott cél; az üzenetet botunkon keresztül küldjük. A Telegram az EGT-n kívül, megfelelőségi határozattal nem rendelkező országban található, és nincsenek vele általános szerződési feltételeink. Jelenleg vizsgáltatjuk, hogy ez a továbbítás a GDPR Art. 44 és azt követő cikkei közül melyik alapon nyugszik – szóba jön a GDPR Art. 49(1)(b), mivel a csatornát Ön maga választja. Csak akkor válassza a Telegramot, ha ez Önnek elegendő; alternatívaként az e-mail mindig rendelkezésre áll.

Azoknak a garanciáknak a másolatát, amelyekre egy továbbítást alapozunk, kérésre díjmentesen megkaphatja az 1. szakaszban megadott címen. A megfelelőségi határozat és az általános szerződési feltételek az EU Hivatalos Lapjában (eur-lex.europa.eu) is megtalálhatók, az adatvédelmi keretrendszer szerint tanúsított vállalatok listája pedig a dataprivacyframework.gov oldalon. Saját szervereink Lengyelországban találhatók; azok az adatok, amelyeket a megnevezett címzettek egyike sem kap meg, nem hagyják el az EU-t.

23. Megőrzési idők áttekintése

A megőrzési időket egy éjszakai folyamat, a webszerver-napló esetében pedig annak napi rotálása érvényesíti. Ahol „a domainnel” szerepel, ott az adatok azonnal megszűnnek, amikor Ön törli a domaint vagy a fiókját. Ezt követően legfeljebb 14 napig a biztonsági mentésekben maradnak (3.4. szakasz).

Adatok	Törlés
Webszerver-napló (a jelvénylekérésekkel együtt)	14 nap után
Oldalmegtekintési napló	60 nap után
Hibanapló	90 nap után
Tevékenységnapló	365 nap után
Bejelentkezési kísérletek; az ingyenes ellenőrzés és a fejléceszköz korlátai	7 nap után
Gyanús viselkedésre vonatkozó jelzések (ingyenes ellenőrzés)	90 nappal az eset lezárása után
Bejelentkezett eszközök	90 nappal az utolsó használat után
„Maradjon bejelentkezve”; soha meg nem erősített fiókok; elfogadott meghívások (a nem elfogadottak lejáratukkor)	30 nap után
Fiók nélküli jelentés a képernyőképekkel együtt	30 nap után
Egy jelentés PDF-változata a gyorsítótárban	7 nap után
A fejléceszköz eredményei; érdeklődő webhelyének ellenőrzése	90 nap után
Tanulmányhoz végzett ellenőrzések	eredményeinek közzétételekor
A fiókban lévő domain ellenőrzési eredményei, böngészős ellenőrzései és időmérései	13 hónap után (a legutóbbi ellenőrzés addig, amíg a domain a fiókban van)
Domain, beállítások, űrlapútvonalak, bizonyítéknaplók, riasztási célok, a legutóbbi űrlap-e-mail hitelességi eredménye	a domainnel
Szkriptleltár és változásai	a domainnel (nincs külön megőrzési idő)
Tesztbejelentkezés a bejelentkezés mögötti ellenőrzéshez	amikor Ön törli, a domainnel; az ellenőrzési feladathoz csatolt másolat a futás után, legkésőbb egy óra elteltével
A bővítmények napi számadatai és változásjelentései, űrlapszámlálás	13 hónap után
Egyetlen fiókhoz sem tartozó, bővítményt használó webhely adatai	90 nappal az utolsó kapcsolat után
Rajvédelmi jelzések; a napi és heti jelentésekhez gyűjtött értesítések (a kiküldéstől)	30 nap után
API-hívások számlálása; egyszer használható Telegram-kódok	legkorábban egy nap után, a következő ilyen hívásnál vagy kódnál
Riasztásküldési napló	90 nap után
Kézbesítési ellenőrzés hozzárendelései; incidensek nyugtázással és eszkalációs kézbesítési kísérletekkel (a megoldatlanokat megőrizzük)	180 nap után, incidensek a megoldásuktól számítva
Űrlap-e-mailek másolatai az ellenőrző postafiókban	a feldolgozás után; hiba esetén a következő sikeres futással
Elküldött e-mailek	30 nap után
Támogatási kérések	24 hónap után
Visszajelzés egy jelentésről	24 hónap után, a fiókkal együtt azonnal; az IP-cím ellenőrzőösszege 2 nap után
Egy opt-outhoz kapcsolódó IP-cím, ország és böngészőazonosító	12 hónap után (a domain kizárva marad)
Az ügyfélportál havi jelentésére szóló meg nem erősített feliratkozások	30 nap után
Lemondott feliratkozás nyilvántartása	három évvel a leiratkozás után
Fiók és személyes adatok	amikor Ön törli azokat
A szerződéskötés rögzítése	a fiók fennállásáig; törlése után, amint a hozzájárulás négyéves lesz
Számlaadatok	az adójogi megőrzési idő lejártakor
Partnerprogram-hozzárendelések és jutalékok; beváltott aktiválási kódok	jelenleg nincs rögzített időtartam
Egy hibatípus példája	jelenleg rögzített megőrzési idő nélkül
Adatbázis-mentések	14 nap után
Űrlapvédelem: csonkított, hash-elt IP-cím a halmozott kérések felismeréséhez; felhasznált ellenőrző tokenek; ellenőrzési eredmények IP-cím és szöveg nélkül (művelet, pontszám, indokok, domain); személyes vonatkozás nélküli napi számadatok	egy óra után; legkésőbb tizenegy perc után; 30 nap után; 400 nap után

24. Adatszolgáltatási kötelezettség

Önt nem terheli jogszabályi kötelezettség arra, hogy adatokat adjon meg nekünk. Egy fiókhoz szükségünk van e-mail-címére, utónevére és egy jelszóra; ezek nélkül nem jöhet létre szerződés. Fizetős csomagokhoz szükségünk van a számlázási adatokra, a kézbesítési ellenőrzéshez egy ellenőrző postafiókra, a riasztásokhoz egy célra. Minden egyéb adat megadása önkéntes. A naplókban szereplő kapcsolati adatok minden kérésnél technikailag keletkeznek; ezek nélkül a szerver nem tud válaszolni. Hogy mi marad el, ha valamit nem ad meg, azt az adott adatkezelésről szóló szakasz tartalmazza.

25. Automatizált döntéshozatal és profilalkotás

Nem hozunk kizárólag automatizált adatkezelésen alapuló olyan döntéseket, amelyek Önre nézve joghatással járnának, vagy Önt hasonlóképpen jelentős mértékben érintenék (GDPR Art. 22). Természetes személyekről nem készítünk profilt. Értékeléseink – kockázati szint, fejléc-osztályzat, „védett” a jelvényben – webhelyekre és űrlapokra vonatkoznak, nem emberekre.

Automatikusan működnek azonban olyan védelmi mechanizmusok, amelyek emberi felülvizsgálat nélkül elutasíthatnak egyes kéréseket: a reCAPTCHA értékelése és saját űrlapvédelmünk (5. szakasz), az ingyenes ellenőrzés korlátai és jelölései (6. szakasz), valamint a túl sok bejelentkezési kísérlet utáni tiltás (8.2. szakasz). Ezek csak az adott beküldést akadályozzák meg; az elutasított kísérlet később megismételhető, és bármilyen kérés esetén továbbra is rendelkezésre áll az e-mail. Ha Ön tévesnek tart egy elutasítást, írjon nekünk; az ügyet egy ember vizsgálja meg. A regisztráció után 30 nappal automatikusan töröljük azokat a fiókokat is, amelyeket nem erősítettek meg.

26. Az Ön jogai

A GDPR alapján Önt az alábbi jogok illetik meg. Mindegyiknél megadjuk a gyakorlás leggyorsabb módját. Eltérő rendelkezés hiányában elegendő egy e-mail a contact@lukaswojcik.com címre. Indokolatlan késedelem nélkül, de legkésőbb a kézhezvételtől számított egy hónapon belül válaszolunk; összetett vagy nagyszámú kérelem esetén ez a határidő két hónappal meghosszabbítható, amiről az első hónapon belül, az indokok megjelölésével tájékoztatjuk Önt (GDPR 12(3). cikk). Jogainak gyakorlása díjmentes; csak nyilvánvalóan megalapozatlan vagy túlzó kérelmek esetén számíthatunk fel észszerű díjat, vagy tagadhatjuk meg a kérelem alapján történő intézkedést, és ennek okát megadjuk (GDPR 12(5). cikk). Annak érdekében, hogy más személy adatait ne adjuk ki, kérhetjük, hogy kérelmét a fiókjához tartozó e-mail-címről küldje el; további igazolást csak akkor kérünk, ha megalapozott kétségeink vannak az Ön személyazonosságával kapcsolatban, és csak a szükséges mértékben (GDPR 12(6). cikk).

• Hozzáférés (GDPR 15. cikk): Ha rendelkezik fiókkal, töltse le az adatexportot a Beállítások alatt; ez tartalmazza a fiók, a munkaterület és a domainek adatait, az Ön bejelentkezéseit, tevékenységeit, támogatási kérelmeit, az elküldött e-maileket és a hozzájárulásait. Az ellenőrzési eredményeket jelentésként tekintheti meg a fiókban. Teljes körű hozzáférést, beleértve az exportban nem szereplő adatokat (például a hibanapló vagy a webszerver naplójának bejegyzéseit), a GDPR 15(1). cikke szerinti tájékoztatással együtt e-mailben kérhet. Fiók nélkül – például egy kizárással, támogatási kérelemmel vagy jelentéssel kapcsolatban – e-mailben, az érintett domain vagy cím és a hozzávetőleges időpont megadásával kérhető hozzáférés.
• Helyesbítés (16. cikk): Nevét, cégét, nyelvét és e-mail-címét Ön módosíthatja a Beállítások alatt, számlázási címét és közösségi adószámát pedig a Számlázás alatti Stripe ügyfélportálon; minden egyéb módosítást e-mailben kérhet.
• Törlés (17. cikk): Ön törölheti fiókját, domainjeit, riasztási címzettjeit és tesztbejelentkezéseit, valamint visszavonhatja API-kulcsait (ezek a fiókkal együtt törlődnek); az ügyfélportál havi jelentéséről az egyes e-mailekben található hivatkozással iratkozhat le. Jelentés, képernyőkép vagy más adatok törlését e-mailben kérheti. A jogi okokból megőrzendő adatokat a 8.6. szakasz ismerteti.
• Az adatkezelés korlátozása (18. cikk): e-mailben, például ha Ön vitatja az adatok pontosságát, és mi azt ellenőrizzük.
• Adathordozhatóság (20. cikk): Az adatexport géppel olvasható JSON-fájl, amelyet Ön maga adhat át másik szolgáltatónak. A szolgáltatóváltásról bővebben: EU-adatrendelet: szolgáltatóváltás és adatexport.
• Tiltakozás (21. cikk): lásd a következő szakaszt.
• A hozzájárulás visszavonása (7(3). cikk): Saját adatkezelésünket nem hozzájárulásra alapozzuk. Az ügyfélportál havi jelentéséhez adott hozzájárulását az egyes e-mailekben található hivatkozással vonhatja vissza; a visszavonás a jövőre nézve hatályos.

Az ügyfél megbízásából kezelt adatok (2. szakasz) tekintetében az ügyfélhez fordulhat. Ha mégis nekünk ír, továbbítjuk kérelmét az ügyfélnek, és segítjük őt a válaszadásban. Az összes lehetőséget és korlátot ismertető részletes útmutató itt található: Hozzáférés, törlés és az Ön további jogai.

27. A GDPR 21. cikke szerinti tiltakozási jog

Amennyiben az adatokat jogos érdek alapján kezeljük (GDPR 6(1)(f). cikk), Ön a saját helyzetével kapcsolatos okokból bármikor tiltakozhat. Ekkor az adatokat nem kezeljük tovább, kivéve, ha bizonyítjuk, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az Ön érdekeivel, jogaival és szabadságaival szemben, vagy az adatkezelés jogi igények előterjesztését, érvényesítését vagy védelmét szolgálja.

Ez különösen a webhelyek feltérképező robotunk általi ellenőrzésére (7. szakasz), a naplókra (3. szakasz), a reCAPTCHA-ra (5. szakasz), az ingyenes ellenőrzés korlátaira (6. szakasz), a beállítási emlékeztetőre (11. szakasz), a jelvényre (12. szakasz) és a rajvédelemre (13. szakasz) vonatkozik.

A tiltakozás nincs meghatározott alaki követelményhez kötve; elegendő egy e-mail a contact@lukaswojcik.com címre. Webhely üzemeltetőjeként Ön bármikor saját maga is kizárhatja a további ellenőrzéseket a robots.txt fájlon vagy a kizárási oldalon keresztül. Nem küldünk e-mailes reklámot, amely ellen indokolás nélkül lehetne tiltakozni.

28. Panasz a felügyeleti hatóságnál

Ön panaszt nyújthat be egy adatvédelmi felügyeleti hatósághoz, ha úgy véli, hogy adatait jogellenesen kezeljük (GDPR 77. cikk). A tekintetünkben illetékes hatóság:

Prezes Urzędu Ochrony Danych Osobowych (a Személyes Adatok Védelméért Felelős Hivatal elnöke, UODO)
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Lengyelország
uodo.gov.pl

Ön annak a tagállamnak a hatóságához is fordulhat, ahol él vagy dolgozik, vagy ahol a feltételezett jogsértés történt – Németországban például a tartománya adatvédelmi hatóságához. Ez a hatóság szükség esetén továbbítja a panaszt az illetékes hatóságnak. Szívesen tisztázzuk aggályait előzetesen közvetlenül Önnel; ez azonban nem előfeltétel.

29. Biztonság

A Szolgáltatásunkhoz létesített valamennyi kapcsolat TLS-titkosítással védett; a belső hálózatunkon belüli kapcsolatok nem mindenütt titkosítottak. A jelszavakat, az API-kulcsokat és a helyreállítási kódokat kizárólag hashként, a kétfaktoros bejelentkezés titkait és a tesztbejelentkezéseket pedig kizárólag titkosított formában tároljuk. Az ügyfelek adatai munkaterületenként elkülönülnek; a szerepkörök jogosultságait a szerver érvényesíti, nem csupán a felhasználói felület. A szerverekhez csak a tulajdonos fér hozzá; a feltérképező robot elkülönítve működik, és nem érhet el belső hálózati címeket. A teljes leírás itt érhető el: Technikai és szervezési intézkedések. Ha adatvédelmi incidensről szerzünk tudomást, a GDPR 33. és 34. cikke szerint értesítjük a felügyeleti hatóságot és szükség esetén Önt; azokat az ügyfeleket, akiknek a megbízásából eljárunk, indokolatlan késedelem nélkül, lehetőség szerint 48 órán belül tájékoztatjuk.

30. További dokumentumok

Ez a tájékoztató az érintetteknek szóló összefoglaló. Részletek az Adatkezelési tevékenységek nyilvántartásában, a További adatfeldolgozók jegyzékében, a Technikai és szervezési intézkedésekben, az Adatfeldolgozási szerződésben, az Adatvédelmi hatásvizsgálatban, valamint a Hozzáférés, törlés és az Ön további jogai, az Az EU MI-rendelete: hogyan használja a formexposed a mesterséges intelligenciát és az Adatvédelmi tájékoztató szövege az Ön webhelyéhez című oldalakon találhatók.

31. Módosítások

Ezt a tájékoztatót a Szolgáltatás vagy a jogi helyzet változásakor frissítjük, még az új adatkezelés megkezdése előtt. Az itt közzétett változat az irányadó; a korábbi változatok és a módosítások az A szerződéses dokumentumok módosításai oldalon találhatók. A regisztrációkor Önnek megjelenített változat az adatexportjában szerepel. Ha az Ön ügyfélként kezelt adatainak kezelésében lényeges változás történik, e-mailben is tájékoztatjuk.

Ez a tájékoztató az Európai Unió valamennyi hivatalos nyelvén elérhető. Eltérés esetén a lengyel változat az irányadó.