Persónuverndarstefna

Þetta skjal er birt á nokkrum tungumálum. Ef misræmi er milli tungumálaútgáfnanna er pólska útgáfan bindandi.

Útgáfa 2.3 · Síðast uppfært: 29. október 2026

Þessi stefna lýsir því hvaða persónuupplýsingar formexposed vinnur, í hvaða tilgangi, á hvaða lagagrundvelli, til hverra þær eru sendar og hvenær þeim er eytt. Við lýsum aðeins því sem Þjónustan gerir í raun; varðveislutímarnir sem við tilgreinum eru þeir sömu og eyðingarferlin okkar fylgja og þar sem fastur tími hefur ekki enn verið ákveðinn segjum við frá því. Virkni sem hefur verið þróuð en ekki virkjuð er auðkennd sem slík. Þar sem Þjónustan snertir nokkra hópa fólks byrjar hver kafli á því að tilgreina hverjum hann er ætlaður:

• Þú heimsækir formexposed.com eða form.exposed: kaflar 3, 4 og 5.
• Þú hefur látið athuga lén á heimasíðunni: kafli 6.
• Vefskriðillinn okkar hefur athugað vefsvæðið þitt: kafli 7 – hann er einnig upplýsingagjöf okkar samkvæmt Art. 14 GDPR.
• Þú hefur aðgang eða hefur verið boðið í teymi: kaflar 8 til 18.
• Þú heimsækir vefsvæði eins af viðskiptavinum okkar (með merki, viðbót eða afhendingarathugun): kafli 20.
• Þú vilt nýta rétt eða leggja fram kvörtun: kaflar 26 til 28.

1. Ábyrgðaraðili og samskipti

Ábyrgðaraðili vinnslu persónuupplýsinga á formexposed.com og form.exposed og í þjónustu formexposed, að því marki sem við störfum ekki fyrir hönd viðskiptavinar (kafli 2), er:

LW IT Solutions Company Lukas Wójcik
Eigandi: Lukas Wójcik
al. Tadeusza Kościuszki 80/82, lok. 301
90-437 Łódź
Poland
NIP (pólskt skattaauðkennisnúmer) 7252266190 · VSK-númer PL7252266190
Tölvupóstur: contact@lukaswojcik.com

Aðrar leiðir til að ná í okkur eru aðstoðarglugginn (spurningarmerkið í valmyndinni) og samskiptasíðan. Tilkynntu öryggisveikleika á síðu okkar fyrir tilkynningar um veikleika.

Persónuverndarfulltrúi: Við höfum ekki tilnefnt slíkan. Við erum einstaklingsfyrirtæki; meginstarfsemi okkar er að athuga vefsvæði og eyðublöð, ekki umfangsmikil vöktun einstaklinga eða vinnsla sérstakra flokka upplýsinga (Art. 37(1) GDPR). Ástæðurnar eru settar fram í Skrá yfir vinnslustarfsemi. Sendu spurningar um persónuvernd á netfangið hér að ofan; þær berast eigandanum beint.

2. Um hvað er fjallað og í hvaða hlutverki við störfum

formexposed athugar tengiliðaeyðublöð vefsvæða: hvort þau séu varin gegn ruslpósti og misnotkun, hvort fyrirspurnir berist, hvaða þjónustur þriðju aðila geti lesið með meðan eyðublað er fyllt út og hvort eitthvað af þessu breytist. Við það vinnum við persónuupplýsingar í þremur hlutverkum. Aðgreiningin er ekki formsatriði: hún ræður því til hvers þú átt að beina beiðni.

• Sem ábyrgðaraðili fyrir gögn gesta á okkar eigin vefsvæðum, viðskiptavina okkar og teymismeðlima þeirra, vegna greiðslna og aðstoðar og við athuganir á vefsvæðum sem tilheyra ekki viðskiptavinaaðgangi (ókeypis athugun, rannsókn, athugun mögulegs viðskiptavinar) eða þegar viðskiptavinurinn hefur ekki enn staðfest lénið. Um það fjallar þessi stefna.
• Sem vinnsluaðili fyrir gögn þriðju aðila sem viðskiptavinir okkar láta vinna í gegnum Þjónustuna: afrit tölvupósta úr eyðublöðum í afhendingarathuguninni (kafli 15), áskrifendur viðskiptavinagáttar (kafli 14), viðvörunarviðtakendur sem eru ekki sjálfir viðskiptavinir (kafli 10), prófunaraðgangar fyrir athugun á bak við innskráningu (kafli 9) og einstaklingar sem sjást á vefsvæði þar sem viðskiptavinur hefur staðfest lénið (kafli 7). Í þeim tilvikum er viðskiptavinurinn ábyrgðaraðili; Vinnslusamningurinn, sem hver viðskiptavinur gerir við nýskráningu, gildir.
• Ekki yfirhöfuð fyrir þau gögn sem WordPress-viðbótin okkar og TYPO3-viðbótin okkar varðveita á vefsvæði viðskiptavinar og fara ekki af því vefsvæði (kafli 13). Rekstraraðili þess vefsvæðis er ábyrgðaraðili; við höfum engan aðgang að því.

Þar sem þessi stefna nefnir „viðskiptavin“ er átt við handhafa aðgangs hjá formexposed. Aðgangar eru aðeins í boði fyrir fyrirtæki; hver sem er getur notað ókeypis athugunina án aðgangs. Þjónustan er ekki ætluð börnum.

3. Þjónar, annálar og öryggisafrit

Fyrir alla sem heimsækja vefsvæðin okkar eða nota Þjónustuna.

Við rekum formexposed á okkar eigin þjónum í Póllandi: vefþjóni með gagnagrunninum og skönnunarþjóni þar sem vefskriðillinn og tungumálalíkan keyra. Báðir eru á sama innra neti. Enginn ytri hýsingar- eða skýjaþjónustuveitandi kemur að þessu. Aðeins eigandinn hefur aðgang að þjónunum.

3.1 Annáll vefþjóns

Fyrir hverja beiðni skráir vefþjónninn IP-netfangið, dagsetningu og tíma, umbeðið veffang, stöðukóða, gagnamagn sem var flutt, fyrri heimsótta síðu (referrer) og auðkenni vafrans (user agent). Þetta á einnig við um beiðnir um merkið frá síðum viðskiptavina (kafli 12). Nýr annáll tekur við daglega og annálum er eytt eftir 14 daga.

3.2 Annáll síðuflettinga

Auk þess skráir forritið hverja síðuflettingu en ekki bakgrunnsbeiðnir, viðmót eða merkið: IP-netfang, landið sem er leitt af því, umbeðið veffang og tilvísunarsíðu (við hyljum aðgangsauðkenni í þeim, svo sem í skýrslu- eða gáttartenglum, áður en þau eru vistuð), auðkenni vafrans og upplýsingar sem eru leiddar af því um gerð tækis, stýrikerfi og vafra, tungumálið og – ef þú ert innskráð/ur – aðgangsnúmerið þitt. Við ákvarðum landið með gagnagrunni á okkar eigin þjóni; IP-netfangið fer ekki af þjóninum í þessum tilgangi. Ef aðstoðin okkar skoðar aðganginn þinn (kafli 8.5) eru þessar síðuflettingar ekki eignaðar aðganginum þínum. Við eyðum færslunum eftir 60 daga.

3.3 Villuannáll og villuviðvörun

Við skráum tæknilegar villur með tíma, alvarleikastigi, uppruna, skilaboðum, tæknilegu samhengi og, eftir atvikum, aðgangsnúmerinu þínu og eyðum þeim eftir 90 daga. Ef ný gerð villu kemur upp sendir Þjónustan eigandanum tölvupóst með hráum texta skilaboðanna (allt að 400 stafir, ekki hreinsaður) og stutta tilkynningu í gegnum Telegram; ef villur safnast upp er aðeins send tilkynningin; auk þess er daglegt yfirlit yfir villugerðir sent í tölvupósti. Telegram-skilaboðin eru föst setning án innihalds villunnar, án veffangs og án upplýsinga um einstaklinga. Fyrir hverja villugerð varðveitum við eitt dæmi um skilaboðin, enn sem komið er án fasts varðveislutíma; við munum ákveða eyðingartíma og tilgreina hann hér. Villuskilaboð eiga ekki að innihalda persónuupplýsingar; við getum ekki útilokað það, til dæmis ef skilaboð endurtaka veffang sem var slegið inn.

3.4 Öryggisafrit

Öryggisafrit er tekið af gagnagrunninum á hverri nóttu eftir að eyðingarferlinu er lokið; öryggisafrit inniheldur því ekkert sem þegar hefði átt að eyða samkvæmt þessum varðveislutímum. Öryggisafrit eru nú geymd á sama stað og gagnagrunnurinn og eru ekki dulkóðuð sérstaklega; fyrirhugað er dulkóðað afrit á öðrum stað. Þau renna út eftir 14 daga. Það sem við eyðum úr kerfinu í rekstri verður áfram í öryggisafritunum þangað til. Ekkert er fjarlægt sérstaklega úr öryggisafriti; það er aðeins ætlað til endurheimtar eftir gagnatap.

Tilgangur og lagagrundvöllur: rekstur og öryggi Þjónustunnar, varnir gegn árásum og misnotkun, bilanagreining, endurheimt og notkunartölur. Fyrir hið síðastnefnda skráum við aðeins daglegar heildartölur (svo sem nýskráningar á dag), ekkert um einstaklinga; við notum enga greiningar- eða rakningarþjónustu. Lagagrundvöllurinn er Art. 6(1)(f) GDPR; lögmætir hagsmunir okkar eru öruggur og stöðugur rekstur.

4. Vafrakökur og geymsla í vafranum

Fyrir gesti á vefsvæðum okkar og notendur Þjónustunnar.

Heiti	Tegund	Tilgangur	Gildistími
bpid	vafrakaka	Lota: heldur þér innskráðum, verndar eyðublöð gegn fölsuðum beiðnum (CSRF) og heldur utan um mörk á hverja lotu fyrir ókeypis athugunina	þar til þú lokar vafranum
bp_remember	vafrakaka	aðeins ef þú velur „Halda mér innskráðum“ við innskráningu: heldur þér innskráðum	30 dagar
bp_theme	staðbundin geymsla	hvort þú hefur valið ljóst eða dökkt útlit; fyrir innskráða notendur er valið einnig vistað í aðganginum	þar til þú eyðir vafragögnunum þínum

Þessi geymsla er algerlega nauðsynleg til að Þjónustan sem þú hefur sérstaklega óskað eftir virki; ekki þarf samþykki fyrir henni (Art. 5(3) tilskipunar 2002/58/EC eins og hún er innleidd í landsrétt, í Þýskalandi § 25(2) no. 2 í lögum um vernd gagna í fjarskiptum og stafrænni þjónustu (TDDDG), í Póllandi Art. 399 í lögum um rafræn fjarskipti, Prawo komunikacji elektronicznej). Lagagrundvöllur tengdrar vinnslu er Art. 6(1)(b) GDPR ef þú ert innskráð/ur, annars Art. 6(1)(f) GDPR; lögmætir hagsmunir okkar í því tilviki eru að verja eyðublöðin okkar gegn fölsuðum beiðnum, framfylgja mörkum ókeypis athugunarinnar og sýna það útlit sem þú hefur valið.

Við setjum ekki vafrakökur fyrir auglýsingar eða áhorfsmælingar. Tilvísunarkóði úr samstarfsaðilaáætluninni (kafli 18) er fluttur í veffanginu fram að nýskráningu en ekki í vafraköku. Google reCAPTCHA kann að nota eigin vafrakökur þegar eyðublað er sent inn (kafli 5).

5. Google reCAPTCHA og okkar eigin eyðublaðsvarnir

Fyrir alla sem senda inn eitt af eyðublöðunum okkar.

Við verndum eyðublöðin fyrir ókeypis athugunina, hausaverkfærið, útilokun léns (opt-out), innskráningu, nýskráningu, beiðni um og stillingu nýs lykilorðs og aðstoð og samskipti gegn sjálfvirkum árásum með Google reCAPTCHA v3. Þjónustuveitandinn er Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland.

Við hlöðum forritabút Google aðeins þegar þú sendir inn eitt þessara eyðublaða, ekki um leið og síða er opnuð. Hann les þá upplýsingar um vafrann, tækið og notkun síðunnar og sendir þær ásamt IP-netfanginu þínu og hugsanlegum Google-vafrakökum til Google sem metur hvort manneskja sé að senda eyðublaðið. Við fáum aðeins þetta mat sem stigatölu ásamt aðgerðinni sem matið á við um. Ef stigatalan er undir mörkum okkar, á við um annað eyðublað eða Google svarar ekki innan þriggja sekúndna höfnum við innsendingunni; við varðveitum ekki stigatöluna. Þú getur reynt aftur eða skrifað okkur í tölvupósti. Google kann að miðla gögnum til Google LLC í Bandaríkjunum (kafli 22) og ákveður sjálft hversu lengi það varðveitir þau; nánar í persónuverndarstefnu Google.

Auk þess innihalda þessi eyðublöð – nema það sem stillir nýtt lykilorð – okkar eigin varnir án þriðju aðila: gildrureit sem er ósýnilegur fólki og undirritaðan tímastimpil sem auðkennir eyðublöð sem eru send of hratt.

Eyðublöðin fyrir ókeypis athugunina, nýskráningu, innskráningu og beiðni um nýtt lykilorð verndum við enn fremur með okkar eigin eyðublaðavörn formconfirmed sem kemst einnig af án þriðju aðila. Þegar síðan er opnuð sækir lítill forritabútur undirritað verkefni frá netþjóninum okkar; um leið og þú notar eyðublaðið leysir vafrinn þinn það í bakgrunni (útreikningssönnun). Niðurstaðan er send okkur með eyðublaðinu sem einnota athugunarauðkenni og við athugum það við innsendingu. Í því sambandi vinnum við IP-netfangið þitt, slóð síðunnar með eyðublaðinu, tímasetningar og upplýsingar um hvort reitur sem er ósýnilegur fólki hafi verið fylltur út. IP-netfangið vistum við í þessum tilgangi aðeins í styttri mynd (fyrir IPv4 án síðasta bætisins, fyrir IPv6 aðeins fyrstu 48 bitana) og sem tætigildi með lykli sem er skipt út daglega, til að greina tíðar beiðnir; þessu gildi er eytt eftir eina klukkustund og notaða athugunarauðkenninu eftir í mesta lagi ellefu mínútur. Eyðublaðavörnin metur ekki efni þessara eyðublaða. Hún setur engar vafrakökur, vistar ekkert í vafranum þínum og býr ekki til fingrafar af tækinu þínu. Ef gilt athugunarauðkenni vantar höfnum við innsendingunni; ef ekki náðist í þjónustu okkar vegna verkefnisins leyfum við hana.

Lagagrundvöllur: Art. 6(1)(f) GDPR; lögmætir hagsmunir okkar eru að verja þessi eyðublöð gegn misnotkun forrita, einkum gegn stórfelldum ágiskunum á lykilorð, sjálfvirkt stofnuðum aðgöngum og notkun ókeypis athugunarinnar sem verkfæris gegn vefsvæðum þriðju aðila. Þar sem forritabútur Google er aðeins hlaðinn þegar þú sendir eyðublaðið og þjónar aðeins þeirri innsendingu teljum við lestur upplýsinganna úr tækinu þínu algerlega nauðsynlegan til að veita þá þjónustu sem þú óskar sérstaklega eftir með því að senda eyðublaðið (§ 25(2) no. 2 TDDDG, Art. 399 Prawo komunikacji elektronicznej). Sama gildir um okkar eigin eyðublaðavörn: í vafranum vinnur hún aðeins það sem er nauðsynlegt til að senda eyðublaðið sem þú notar. Henni er ætlað að leysa reCAPTCHA af hólmi til frambúðar. Skilyrði: án reCAPTCHA og okkar eigin eyðublaðavarnar er ekki hægt að senda eyðublaðið; tölvupóstur er áfram tiltækur fyrir fyrirspurnir.

6. Ókeypis athuganir án aðgangs

Fyrir alla sem athuga lén á heimasíðunni eða nota hausaverkfærið.

6.1 Ókeypis athugunin

Á heimasíðunni geturðu látið athuga lén án aðgangs. Til þess vinnum við:

• lénið sem er slegið inn og niðurstöðu athugunarinnar (skýrslu; það sem vefskriðillinn safnar við það er sett fram í kafla 7);
• IP-netfangið þitt, land þess, tætigildi lotunnar þinnar (ekki lotuna sjálfa), tímann og hvort beiðnin var samþykkt, til að framfylgja mörkunum (aðeins nokkrar athuganir á dag fyrir hvert vistfang og hverja lotu; lén sem hefur þegar verið athugað síðustu daga fær sömu skýrslu í stað nýrrar athugunar) og til að greina misnotkun. Við eyðum þessum færslum eftir 7 daga;
• við grunsamlega hegðun, svo sem mörg mismunandi lén frá einu vistfangi, merkingu sem inniheldur IP-netfangið eða tætigildi lotunnar. Hún er varðveitt þar til við höfum yfirfarið málið og í 90 daga eftir það. Eigandinn fær Telegram-tilkynningu um það án lénsins og án IP-netfangsins.

Hver sá sem þú gefur slembitengil skýrslunnar getur opnað hana; leitarvélar eiga ekki að skrá hana. Við eyðum henni eftir 30 daga ásamt athugunargögnum og skjámyndum. Ókeypis skýrslan sýnir útdrátt; sömu atriði eru athuguð og í aðganginum en án prófunarinnsendinga.

6.2 Hausaverkfærið

Öryggishausaverkfærið sækir heimasíðu léns tvisvar (yfir https og yfir http) og metur svarið. Við varðveitum lénið, niðurstöðuna og einkunnina í 90 daga; sama skráning og fyrir athugunina gildir um mörkin (7 dagar). Útilokað lén (kafli 19) er ekki heldur athugað hér.

Lagagrundvöllur: Art. 6(1)(b) GDPR fyrir athugunina sem þú óskar eftir og Art. 6(1)(f) GDPR fyrir mörkin og varnir gegn misnotkun; lögmætir hagsmunir okkar eru að Þjónustan sé ekki misnotuð sem verkfæri gegn vefsvæðum annarra. Skilyrði: engin athugun án léns; án IP-netfangs getur þjónninn ekki svarað þér.

6.3 Ábendingar um skýrslu

Fyrir alla sem nota „Er eitthvað rangt í þessari skýrslu?“ fyrir neðan skýrslu, með eða án aðgangs.

Fyrir neðan hverja lokna skýrslu geturðu sagt okkur að eyðublað vanti, hafi verið rangt flokkað eða að einstök athugun hafi ranga niðurstöðu. Til þess vinnum við:

• það sem þú slærð inn: flokkinn sem þú velur, athugunina sem um ræðir ef þú vilt, veffang síðu og allt að 1.000 stafa texta;
• skýrsluna sem ábendingin vísar til (auðkenni tengilsins, athugunar og léns), tungumál síðunnar og tímann;
• auðkenni aðgangsins þíns ef þú ert innskráð/ur; við sjáum þá netfang aðgangsins við hlið ábendingarinnar;
• einstefnuprófsummu IP-netfangsins þíns (búna til með leynilykli), svo aðeins fáar tilkynningar berist frá einu vistfangi (5 á klukkustund, 20 á dag). Við varðveitum ekki IP-netfangið sjálft með ábendingunni; við hreinsum prófsummuna eftir 2 daga.

Við biðjum ekki um netfang og svörum ekki ábendingum. Ef þú óskar eftir svari skaltu skrifa til aðstoðar (kafli 17). Ekki slá inn persónuupplýsingar í textann. Við lesum ábendinguna, flokkum hana og tökum, þar sem það gagnast, athugunargögn skýrslunnar (eyðublaðsreiti, ástæður og niðurstöður, án skjámynda) sem prófunartilvik fyrir greininguna okkar; slíkt prófunartilvik lýsir athugaða vefsvæðinu, ekki þér. Ábending breytir ekki skýrslunni.

Lagagrundvöllur: Art. 6(1)(f) GDPR; lögmætir hagsmunir okkar eru að finna og laga villur í greiningunni okkar og mörkin verja gegn misnotkun. Skilyrði: ábendingar eru valfrjálsar. Varðveisla: 24 mánuðir; þegar aðganginum þínum er eytt er ábendingunum eytt tafarlaust með honum.

7. Athuganir á vefsvæðum með vefskriðlinum okkar – upplýsingar samkvæmt Art. 14 GDPR

Fyrir rekstraraðila athugaðra vefsvæða og einstaklinga sem eiga upplýsingar sem birtast á athuguðu vefsvæði. Þú lést okkur ekki sjálf/ur í té þessi gögn; þess vegna upplýsum við þig hér.

7.1 Það sem vefskriðillinn gerir

Vefskriðillinn okkar FormExposedBot sækir ekki fleiri en átta opinberar síður vefsvæðis í hverri athugun, hverja á eftir annarri, rétt eins og gestur með vafra. Að auki geta verið allt að þrjár síður sem hann hleður aftur til að smella á „Hafna“ í vafrakökuborðanum, allt að þrjár síður í símasýn, prófunarinnsendingar fyrir staðfest lén (kafli 7.3) og allt að fimm síður á bak við innskráningu (kafli 9.4). Fyrir athugunina les hann robots.txt: ef Disallow fyrir FormExposedBot eða öll forrit útilokar heimasíðuna athugar hann ekki. Hann tekur enn sem komið er ekki tillit til lokaðra undirslóða hverrar fyrir sig. Hann auðkennir sig sem FormExposedBot í vafraauðkenninu sínu. Hann skoðar eyðublöðin og varðveitir:

• vefföng og titla athugaðra síðna, uppbyggingu eyðublaðanna (reitarheiti, reitagerðir, merkingar, skyldu- og sýnileikaeigindi, engin gildi; upphaf fyrirfram útfylltra falinna reita og data-eiginda les hann aðeins meðan á athuguninni stendur og varðveitir það ekki) og þær varnarráðstafanir sem finnast;
• tæknilega eiginleika síðnanna: CAPTCHA- og ruslpóstvarnarþjónustur sem eru notaðar, innfellda forritabúta þjónustuveitenda þriðju aðila (veffang og prófsumma), vélar sem síðan hleður efni frá, heiti vafrakaka sem eru settar, öryggishausa, vísbendingar um aðgengi eyðublaða, hegðun vafrakökuborða við höfnun og hvort auglýsingapixlar eða upptökur vefheimsókna séu tengd eyðublöðum;
• skjámynd af sýnilega hluta fyrstu síðunnar og eina af hverju eyðublaði sem finnst og eftir prófunarinnsendingu einnig eina af svarsíðunni. Á þessum skjámyndum hefur ekkert verið afmáð; þær sýna það sem sést á síðunni.

Ef eyðublað inniheldur netfang viðtakanda varðveitum við aðeins lénið, aldrei netfangið. Við varðveitum ekkert annað efni síðnanna. Persónuupplýsingar geta engu að síður orðið fyrir áhrifum ef þær eru sýnilegar á síðu eða skjámynd, svo sem nafn og mynd tengiliðar við hlið eyðublaðsins. Flokkar: nöfn, hlutverk, samskiptaupplýsingar og myndir sem rekstraraðilinn hefur sjálfur birt. Við leitum ekki að sérstökum flokkum upplýsinga og greinum þær ekki.

Við flokkum eyðublöð með föstum reglum (svo sem „tengiliður“ eða „fréttabréf“). Aðeins ef reglurnar skila engri niðurstöðu kemur tungumálalíkan sem keyrir á okkar eigin skönnunarþjóni til aðstoðar; eyðublöð sem eru flokkuð þannig eru aldrei send inn og telja ekki með í stigatölu eða úrskurði. Engin gögn eru send til þriðju aðila í ferlinu og líkanið er ekki þjálfað á þeim. Nánar á Gervigreindarreglugerð ESB: Hvernig formexposed notar gervigreind.

7.2 Hver kemur athugun af stað

• einhver sem slær inn lén á heimasíðunni (kafli 6);
• WordPress-viðbótin okkar eða TYPO3-viðbótin okkar fyrir eigið vefsvæði, jafnvel án aðgangs (kafli 13);
• viðskiptavinur fyrir lén í aðgangi sínum (kafli 9);
• stofa fyrir vefsvæði mögulegs viðskiptavinar, án prófunarinnsendingar (kafli 14);
• við sjálf fyrir rannsókn á vörnum tengiliðaeyðublaða, en úr henni birtum við aðeins samanteknar tölur án heita vefsvæða.

7.3 Það sem vefskriðillinn gerir ekki

Hann athugar vefsvæði annarra aðeins með athugun án inngripa: hann sendir ekkert eyðublað inn, prófar ekki innskráningarupplýsingar og ræðst ekki á neitt. Hann sendir prófunarinnsendingar aðeins í tengiliðaeyðublöð léna sem viðskiptavinur hefur sannað í aðgangi sínum að hann hafi heimild til að stjórna – sem eigandi eða fyrir hönd eigandans, með DNS-færslu, meta-merki, skrá eða viðbót: greinilega merkt prófunarskilaboð án persónuupplýsinga, ekki fleiri en fimm í hverri athugun; án slíkrar sönnunar aðeins við innri athuganir á okkar eigin prófunar- og kynningarlénum. Leit að opinberlega aðgengilegum skrám, lestur útgáfa og athugun á bak við innskráningu eru sömuleiðis aðeins tiltæk fyrir staðfest lén (kafli 9).

7.4 Varðveislutími

Athuganir án aðgangs eru varðveittar í 30 daga; athuganir á vefsvæði mögulegs viðskiptavinar í 90 daga; athuganir fyrir rannsókn þar til niðurstöður hennar eru birtar; athuganir á léni í viðskiptavinaaðgangi ekki lengur en 13 mánuði – sú nýjasta er varðveitt svo lengi sem lénið er í aðganginum – og aldrei lengur en lénið er í aðganginum.

7.5 Lagagrundvöllur og uppruni

Lagagrundvöllurinn er Art. 6(1)(f) GDPR. Lögmætir hagsmunir felast í því að sýna rekstraraðilum vefsvæða og þjónustuveitendum þeirra veikleika í eyðublöðum áður en þeir eru nýttir til ruslpóstsendinga eða misnotkunar og í hagsmunum þess sem óskar eftir athugun af því að fá niðurstöðuna. Þegar um rannsókn er að ræða felast þeir einnig í því að lýsa stöðu eyðublaðsvarna. Gögnin koma úr opinberlega aðgengilegum heimildum, það er athugaða vefsvæðinu sjálfu. Viðtakendur eru sá sem hóf athugunina og hver sá sem hann gefur tengilinn á skýrsluna og, þegar um athugun á mögulegum viðskiptavini er að ræða, stofan; úr rannsókn birtum við aðeins samanteknar tölur. Ef viðskiptavinur athugar staðfest lén í aðgangi sínum störfum við fyrir hans hönd (kafli 2); svo lengi sem staðfestingu vantar erum við sjálf ábyrgðaraðili. Við birtum þessar upplýsingar hér og á FormExposedBot-síðunni í stað þess að skrifa hverjum sýnilegum einstaklingi sérstaklega; það væri ómögulegt eða óhóflegt, einkum þar sem við vitum aðeins það um þessa einstaklinga sem er á síðunni (Art. 14(5)(b) GDPR).

Andmæli og útilokun: Sem rekstraraðili vefsvæðis geturðu útilokað frekari athuganir á léninu þínu með robots.txt eða útilokunarsíðunni okkar (kafli 19). Einstaklingar sem sjást á athugaðri síðu geta andmælt vinnslunni samkvæmt kafla 27 og óskað eftir eyðingu skýrslu eða skjámyndar.

8. Viðskiptavinaaðgangurinn þinn

Fyrir viðskiptavini og teymismeðlimi sem hefur verið boðið.

8.1 Nýskráning og aðgangur

Fyrir aðgang vinnum við netfangið þitt og lykilorðið (aðeins sem tætigildi; við þekkjum ekki lykilorðið sjálft), ásamt fornafni þínu og – að því marki sem þú gefur þau upp – eftirnafni og fyrirtæki, auk tungumáls, útlits, gjaldmiðils, áskriftarleiðar, tíma nýskráningar og síðustu innskráningar og IP-netfangs síðustu innskráningar. Þú staðfestir netfangið þitt með tengli sem gildir í 72 klukkustundir; eftir 30 daga eyðum við aðgöngum sem hafa aldrei verið staðfestir. Ef þú breytir netfanginu þínu tekur það nýja aðeins gildi eftir staðfestingu með tengli sem er sendur á það.

Lagagrundvöllur: Art. 6(1)(b) GDPR (samningur); fyrir IP-netfang síðustu innskráningar Art. 6(1)(f) GDPR (vernd aðgangsins þíns, kafli 8.2). Skilyrði: netfang, fornafn og lykilorð eru nauðsynleg til að samningur verði gerður; þú gefur aðeins upp reikningsfang og VSK-auðkennisnúmer fyrir greiddar áskriftir, til Stripe (kafli 18).

8.2 Innskráning og öryggi

• innskráningartilraunir með netfangi, IP-netfangi og niðurstöðu: 7 dagar, til varnar ágiskunum á lykilorð; auk þess teljarar fyrir innskráningartilraunir á hvern aðgang (fyrir óþekkt netfang, hvert innslegið netfang), á hvert par aðgangs og IP-netfangs og á hvert IP-netfang, fyrir tilraunir til tvíþættrar auðkenningar og staðfestingar lykilorðs á hvern aðgang, fyrir tölvupósta til endurstillingar lykilorðs á hvert netfang, fyrir nýskráningar á hvert IP-netfang og fyrir tilraunir með lykilorð viðskiptavinagáttar fyrir hverja gátt og hvert IP-netfang. Við geymum þessa teljara aðeins undir dulnefndum lykli (HMAC), án netfangs eða IP-netfangs í skýrum texta, og þeir renna út með tímaglugga sínum (nú 15 mínútur, ein klukkustund fyrir endurstillingar lykilorðs og nýskráningar);
• innskráð tæki með IP-netfangi, vafra, stýrikerfi og gerð tækis, svo þú getir séð þau í stillingunum og skráð þau út: allt að 90 dagar frá síðustu notkun;
• ef tvíþætt innskráning er virk, leynigildið fyrir hana (dulkóðað) og endurheimtarkóðarnir þínir (aðeins sem tætigildi);
• tenglar til endurstillingar lykilorðs gilda í eina klukkustund;
• aðgerðaskrá yfir mikilvægar aðgerðir, svo sem „lén stofnað“, „viðvörun sett upp“ eða „stillingum breytt“, með tíma, aðganginum sem framkvæmdi aðgerðina, IP-netfangi og landi: 365 dagar.

Lagagrundvöllur: Art. 6(1)(f) GDPR; lögmætir hagsmunir okkar eru vernd aðgangsins þíns og Þjónustunnar og rekjanleiki breytinga á vinnusvæði þar sem nokkrir starfa.

8.3 Skráning á gerð samningsins

Við nýskráningu skráum við hvaða útgáfu Þjónustuskilmálanna og Vinnslusamningsins þú samþykktir og hvaða útgáfu þessarar Persónuverndarstefnu þú kynntir þér – í hverju tilviki með öllum textanum, tætigildi hans, tíma, IP-netfangi og vafraauðkenni. Þetta er til sönnunar um gerð samningsins (Art. 6(1)(b) og (f) GDPR). Við varðveitum þessa skráningu svo lengi sem aðgangurinn er til. Eftir að aðganginum hefur verið eytt eyðum við henni um leið og samþykkið er fjögurra ára gamalt, því spurningar um gerð samnings vakna gjarnan einmitt eftir að honum lýkur.

8.4 Vinnusvæði, teymi og boð

Aðgangur starfar á einu eða fleiri vinnusvæðum. Ef þú býður einhverjum sendum við viðkomandi tölvupóst með heiti vinnusvæðisins (sjálfgefið heiti fyrirtækisins þíns eða fornafn) og tengli til að samþykkja; fyrir boðið varðveitum við einnig fyrirhugað hlutverk og hver sendi boðið. Meðlimir vinnusvæðis sjá hverjir tilheyra því og í hvaða hlutverki. Ef þér hefur verið boðið fengum við netfangið þitt frá meðlimnum sem bauð þér (Art. 14(2)(f) GDPR). Við eyðum ósamþykktum boðum þegar þau renna út eftir 14 daga og samþykktum boðum 30 dögum eftir samþykki. Hægt er að úthluta ábyrgð á vöktuðu eyðublaði til einstaklings í teyminu og ákveða frest til úrbóta; til þess varðveitum við aðeins tenginguna við aðganginn og frestinn. Lagagrundvöllur: Art. 6(1)(b) GDPR gagnvart viðskiptavininum; gagnvart þeim sem er boðið Art. 6(1)(f) GDPR (viðskiptavinurinn vill vinna með viðkomandi).

8.5 Aðstoð frá þjónustuveri okkar

Til að hjálpa þér með vandamál getur aðstoðin okkar skoðað aðganginn þinn eins og þú sérð hann. Hver slíkur aðgangur er skráður í aðgerðaskrána og birtist í gagnaútflutningnum þínum. Lagagrundvöllur: Art. 6(1)(b) GDPR ef þú hefur beðið um aðstoð, annars Art. 6(1)(f) GDPR (bilanagreining).

8.6 Útflutningur og eyðing

Undir Stillingar geturðu sótt gögnin sem eru varðveitt fyrir aðganginn þinn sem JSON-skrá – án tætigilda lykilorða og leynigilda og án gagna annarra meðlima. Þessi skrá inniheldur ekki niðurstöður athugana, einstakar niðurstöður og atvik (aðeins afhendingartilraunir vegna stighækkunar viðvarana fyrir hvern viðvörunarviðtakanda); þau eru tiltæk sem skýrslur í aðganginum og sem skrá að beiðni. Þar geturðu einnig eytt aðganginum þínum sjálf/ur; ekki þarf tölvupóst. Virkri greiddri áskrift lýkur strax, að jafnaði án endurgreiðslu (undantekningar eru settar fram í Þjónustuskilmálunum); sá sem vill fyrst nýta greidda tímabilið segir áskriftinni upp á svæðinu Greiðslur þannig að uppsögn taki gildi í lok tímabilsins. Ef samningnum fyrir aðganginn þinn lýkur með öðrum hætti, til dæmis með uppsögn af okkar hálfu, geturðu flutt gögnin þín út þar til samningnum lýkur og við eyðum aðganginum í síðasta lagi 30 dögum eftir lok samningsins. Ásamt aðganginum eyðum við tafarlaust vinnusvæðunum þínum með tengdum gögnum, þar á meðal lénum, niðurstöðum athugana og skjámyndum, viðvörunum, atvikum, yfirlitum til sönnunar, vörumerkjastillingum, viðskiptavinagáttum ásamt áskrifendum, lista yfir athuganir þínar á mögulegum viðskiptavinum (skýrslur þeirra verða áfram aðgengilegar þar til 90 daga tímabil þeirra rennur út), API-lyklum, dreifingarkóðum og prófunarinnskráningum. Ef einhver annar starfar enn á einu vinnusvæðanna þinna færist það vinnusvæði til annars meðlims – stjórnendur ganga fyrir og meðal þeirra sá sem hefur verið lengst – í stað þess að vera eytt. Eftirfarandi verður áfram þar til eigin varðveislutími rennur út: aðgerðaskráin og síðuflettingaskráin með númeri fyrri aðgangsins þíns, sendir tölvupóstar (30 dagar, kafli 11), skráningin á gerð samningsins (8.3), aðstoðarbeiðnir (kafli 17), reikningsgögn svo lengi sem skattalög krefjast, þóknunargögn og innleystir virkjunarkóðar sem ekki hefur enn verið ákveðinn varðveislutími fyrir (kafli 18) og öryggisafritin (3.4).

9. Lén, athuganir og vöktun

Fyrir viðskiptavini. Að því marki sem persónuupplýsingar þriðju aðila verða fyrir áhrifum störfum við fyrir hönd viðskiptavinarins.

9.1 Lén og staðfesting

Fyrir hvert lén í aðganginum þínum varðveitum við heitið, sönnun fyrir heimild þinni (DNS-færslu, meta-merki, skrá eða viðbót), niðurstöður athugana og stillingarnar þínar, svo sem tíðni, viðhaldstímabil, athugasemdir, merkingu viðskiptavinar og áætlað verðmæti fyrirspurnar. Tíðnin fer eftir áskriftarleiðinni þinni og nær allt að daglegum athugunum.

9.2 Vöktun opinberlega tiltækra upplýsinga

Á milli athugana flettum við upp opinberlega tiltækum upplýsingum um lénið þitt:

• DNS-færslum (SPF, DMARC, MX), TLS-skilríkinu og öryggishausunum;
• lokadegi skráningar lénsins í gegnum RDAP-þjónustu viðkomandi lénaskrár; aðeins lénsheitið er sent;
• tiltækileika eyðublaðssíðnanna þinna (púlsmæling eyðublaðs, á 10, 15 eða 30 mínútna fresti eftir áskriftarleið);
• opinberum stöðusíðum CAPTCHA- og tölvupóstþjónustanna sem vefsvæðið þitt notar; við sendum ekkert um þig við það;
• þekktum öryggisveikleikum í eyðublaðs-, CAPTCHA- og tölvupóstviðbótum og – vikulega fyrir staðfest lén – í vefumsjónarkerfi, viðbótum og þema, en útgáfur þeirra lesum við utan frá af heimasíðunni þinni. Samanburðurinn er gerður við opna WPVulnerability-gagnagrunninn; aðeins auðkenni viðbótar eða þema (án útgáfu) og WordPress-útgáfan eru send, ekki lénið þitt;
• daglega, hvort vistföng vefþjónsins þíns, vistfang þjónsins sem síðasti tölvupóstur úr eyðublaðinu kom frá (úr afhendingarathuguninni), lénið þitt eða sendandalén þess tölvupósts séu skráð á DNS-bannlista vegna ruslpósts (SpamCop, PSBL, Mailspike, SURBL); aðeins er flett upp lénum og IP-netföngum þjóna, engum gögnum gesta;
• ef það hefur verið sett upp, hvort Google Web Risk skrái heimasíðuna þína sem síðu með spilliforritum eða vefveiðum; aðeins veffang heimasíðunnar er sent;
• vikulega fyrir staðfest lén, hvort skrár séu opinberlega aðgengilegar sem ættu aldrei að vera opinberar (svo sem öryggisafrit af stillingum eða afrit af gagnagrunni). Við það lesum við í mesta lagi fyrstu 8 KB skrár til að þekkja hana og varðveitum aðeins slóð, gerð og alvarleika niðurstöðunnar, aldrei innihaldið.

9.3 Eyðublaðsleiðir og vafraathuganir

Fyrir vöktuð eyðublöð varðveitum við vefföng eyðublaða, veljara, smelli á undan eyðublaðinu og skref í sjálfvirkri prófun, val á athugunarvafra og ábyrgð og lokadag. Vafraathuganir fylla í mesta lagi út eyðublað fram að stiginu fyrir innsendingu; þær senda ekkert inn og koma ekki af stað pöntun eða greiðslu. Niðurstöður samanstanda af stöðu, tæknilegum villuflokkum, hreinsuðum villuskilaboðum og tímamælingum og geta innihaldið litla mynd af eyðublaðinu þar sem innsláttarreitir eru huldir. Þessi huldun er aðeins í vafraathugunum; ekkert hefur verið afmáð úr skjámyndum heildarathugunar vefskriðilsins (kafli 7.1). Mælingar úr athugunarvöfrum okkar eru ekki mælingar á gestum þínum.

Gert er ráð fyrir öðrum, óháðum prófunarhnút sem staðfestir niðurstöður en hann er ekki uppsettur eins og er. Hann myndi aðeins fá lénið, hreinsaðar stillingar og verkauðkennið, aldrei innskráningarupplýsingar, skjámyndir eða gögn gesta; við munum nefna rekstraraðila hans fyrir fram í skránni yfir Undirvinnsluaðila.

9.4 Athugun á bak við innskráningu

Í greiddum áskriftum geta eigendur og stjórnendur vinnusvæðis vistað prófunaraðgang fyrir eigið vefsvæði fyrir staðfest lén svo vefskriðillinn geti lesið eyðublöð á bak við innskráningu. Eftirfarandi gildir:

• Notandanafn og lykilorð eru dulkóðuð á vefþjóninum með lykli sem aðeins skönnunarþjónninn getur opnað; vefþjónninn, gagnagrunnurinn og öryggisafritin innihalda þau aðeins á dulkóðuðu formi. Þau eru aldrei birt, skráð í annál eða send út um viðmótið; notandaviðmótið sýnir aðeins fyrsta staf og lengd notandanafnsins. Dulkóðaða afritinu sem fylgir athugunarverki er eytt eftir keyrsluna, í síðasta lagi eftir eina klukkustund.
• Prófunaraðgangurinn er aðeins notaður í heilli athugun vefskriðilsins, ekki í vafraathugunum (9.3).
• Á bak við innskráningu les vefskriðillinn ekki fleiri en fimm tilgreindar síður. Hann sendir ekkert inn, tekur engar skjámyndir þar (þar gætu birst aðgangsgögn) og fylgir ekki tenglum til að skrá út, eyða eða hætta við.
• Ef þú eyðir innskráningunni yfirskrifum við dulkóðaða gildið og fjarlægjum það; það hverfur einnig ásamt léninu.

Notaðu aðeins prófunaraðgang sem er sérstaklega stofnaður í þessu skyni og inniheldur engin raunveruleg viðskiptavinagögn. Við vinnum það sem vefskriðillinn sér á bak við innskráningu fyrir þína hönd.

9.5 Frekari virkni

Skrá forritabúta: Ef þú virkjar hana höldum við lista yfir forritabúta á eyðublaðssíðunum þínum með veffangi og prófsummu, tilkynnum nýja eða breytta forritabúta og varðveitum, þegar forritabútur er heimilaður, hver heimilaði hann, hvenær og með hvaða rökstuðningi. Aðgengi: Út frá síðustu athugun getur Þjónustan búið til drög að upplýsingum um aðgengi fyrir eyðublöðin þín; upplýsingar um fyrirtækið sem þú slærð inn í þessu skyni verða áfram í vafranum þínum. Samanburðarviðmið: Fyrir samanburð innan atvinnugreinar metum við niðurstöður allra viðskiptavina aðeins á samanteknu formi; einstök vefsvæði birtast ekki í honum.

Lagagrundvöllur kafla 9: Art. 6(1)(b) GDPR; fyrir persónuupplýsingar þriðju aðila sem verða sýnilegar við athugun, fyrirmæli þín samkvæmt Vinnslusamningnum. Varðveislutími: Lén, staðfesting, stillingar, eyðublaðsleiðir og prófunarinnskráning eru varðveitt þar til þú eyðir þeim, léninu eða aðganginum þínum. Skrá forritabúta og breytingar hennar eru varðveittar þar til þú eyðir léninu eða aðganginum þínum (enginn sérstakur varðveislutími er fyrir þær). Niðurstöður athugana, niðurstöður vafraathugana og tímamælingar eru varðveittar í ekki meira en 13 mánuði (nýjasta athugunin er varðveitt svo lengi sem lénið er í aðganginum).

10. Tilkynningar

Fyrir viðskiptavini og viðtakendur sem þeir skrá.

Við sendum viðvaranir og skýrslur til viðtakendanna sem þú setur upp: netfanga, eigin webhook-veffanga þinna, Slack, Discord, Microsoft Teams, Google Chat eða Telegram. Spjallrásir og webhooks eru tiltæk í Pro- og Business-áskriftum. Skilaboð innihalda lénið, atvikið, stutta lýsingu og tengil inn í aðganginn þinn og, fyrir athuganaviðvaranir, skýrslutengilinn sem veitir aðgang að niðurstöðum og skjámyndum án innskráningar (Telegram fær aðeins tengilinn á lénssíðuna í aðganginum þínum sem krefst innskráningar); ekkert efni úr tölvupóstum eyðublaða. Við varðveitum:

• viðtakendurna (netfang, webhook- eða spjallveffang; fyrir webhooks leynigildi til undirritunar) þar til þú eyðir þeim eða léninu;
• sendingarannál með tíma, atviki og niðurstöðu: 90 daga;
• safnaðar tilkynningar fyrir daglegar og vikulegar skýrslur: allt að 30 daga eftir sendingu;
• atvik með tengli til staðfestingar móttöku: meðan þau eru óleyst og síðan í 180 daga eftir lausn. Sá sem staðfestir móttöku atviks er skráður með innslegnu nafni eða netfangi sínu. Atvik þar sem móttaka hefur ekki verið staðfest má færa á hærra viðbragðsstig með tilkynningu til fleiri viðtakenda; til þess varðveitum við fyrir hvern viðtakanda fjölda og tíma afhendingartilrauna (að hámarki fimm), hvort afhending tókst og hugsanlega villu, svo lengi sem atvikið er til. Atviki er aðeins lokað þegar vandamálið hefur verið leyst; staðfesting móttöku ein og sér lýkur því ekki.

Telegram: Fyrir Telegram rekum við eigin bota. Þú tengir hann með tengli með einnota kóða sem gildir í 30 mínútur; þegar þú ýtir á „Start“ í botanum sækir þjónninn okkar þessi skilaboð frá Telegram og varðveitir auðkenni spjallsins þíns (chat ID) sem viðvörunarviðtakanda. Telegram lætur einnig Telegram-nafnið þitt fylgja í ferlinu; við varðveitum það ekki. Við eyðum kóðanum sjálfum í fyrsta lagi eftir einn dag, um leið og annar kóði er búinn til. Spjallauðkennið er varðveitt þar til þú eyðir viðvöruninni eða léninu.

Spjallþjónustur vinna skilaboðin samkvæmt eigin skilmálum og samningi þínum við þær; sumar eru með aðsetur utan ESB (kafli 22). Fyrir viðtakendur sem eru ekki sjálfir viðskiptavinir störfum við fyrir þína hönd; upplýstu þá.

Lagagrundvöllur: Art. 6(1)(b) GDPR; fyrir viðtakendur sem eru ekki viðskiptavinir, fyrirmæli þín. Skilyrði: engin viðvörun án viðtakanda; athuganirnar keyra engu að síður.

11. Tölvupóstar frá okkur

Fyrir viðskiptavini og alla sem við skrifum.

Við sendum tölvupósta til að staðfesta netfangið þitt, endurstilla lykilorðið þitt, vegna boða, viðvarana og skýrslna, sem staðfestingu aðstoðarbeiðna og með tilkynningum um aðganginn þinn og greiðslur. Namecheap, Inc. (Private Email), Phoenix, Arizona, USA sér um sendingu og móttöku tölvupósta okkar. Lénið okkar og DNS-færslur þess eru í umsjón Namecheap, Inc., Phoenix, Arizona, USA; þar til pósthólfið hjá Namecheap, Inc. (Private Email), Phoenix, Arizona, USA hefur verið sett upp áframsendir Namecheap einnig almennan tölvupóst á netföng á léninu okkar. Viðmiðunarafrit afhendingarathugunarinnar fara ekki í gegnum þá þjónustu. Við varðveitum senda tölvupósta, þar á meðal viðtakanda, efni og innihald, í 30 daga svo við getum leyst afhendingarvandamál; ekki lengur, því þeir innihalda líka gilda staðfestingar- og endurstillingartengla.

Þrír tölvupóstar eru sendir án sérstakrar beiðni þinnar:

• Mánaðarleg skýrsla: í byrjun mánaðar yfirlit yfir athuganir og tilkynningar fyrir lénin þín. Þú getur afskráð þig frá henni í stillingunum.
• Áminning um uppsetningu: einn tölvupóstur á milli tveggja og fjórtán daga eftir nýskráningu ef aðgangurinn þinn er staðfestur en hefur ekki enn staðfest lén – „Bæta við vefsvæði“ eða „Staðfesta lén“, án tilboðs, verðs eða uppfærslu áskriftar. Hann er ekki sendur aftur.
• Lok prufutímabils: þremur dögum áður en prufutímabili lýkur tilkynning um hvað gerist á eftir.

Lagagrundvöllur: Art. 6(1)(b) GDPR fyrir tölvupósta sem eru hluti samningsins, þar á meðal fyrir mánaðarlegu skýrsluna og tilkynninguna um prufutímabilið; fyrir uppsetningaráminninguna Art. 6(1)(f) GDPR, því aðgangur án léns getur ekki notað Þjónustuna og margir viðskiptavinir gleyma einfaldlega að setja hana upp. Við sendum ekki auglýsingar.

12. Merki og yfirlit til sönnunar

Fyrir viðskiptavini sem nota merkið eða yfirlitið til sönnunar og fyrir gesti á vefsvæðum með merki.

Merki: Ef þú fellir merkið okkar inn á vefsvæðið þitt hleður vafri hvers gests á þeirri síðu mynd merkisins frá þjóninum okkar. Við það fáum við venjuleg tengigögn – IP-netfang, tíma, vafraauðkenni og síðuna þar sem merkið birtist – sem enda aðeins í annál vefþjónsins (14 dagar, kafli 3.1), ekki í annál síðuflettinga. Merkið setur engar vafrakökur, byrjar enga lotu og inniheldur engan forritabút. Opinbera staðfestingarsíðan sýnir lénið, stig og dagsetningu síðustu athugunar, engar einstakar niðurstöður; hver sá sem opnar hana er gestur á vefsvæðinu okkar (kaflar 3 og 4). Lagagrundvöllurinn er Art. 6(1)(f) GDPR; lögmætir hagsmunir okkar eru að afhenda merkið sem viðskiptavinurinn fellir inn. Viðskiptavinurinn nefnir þetta í eigin persónuverndarstefnu (textablokkar).

Yfirlit til sönnunar: Í greiddum áskriftum geturðu búið til yfirlit yfir athuganir fyrir hvert lén og hvern mánuð. Undir staðfestingarnúmeri þess staðfestir opinber síða lénið, tímabilið og lykiltölur, án nánari upplýsinga. Svo síðar sé hægt að ákvarða hvort yfirliti hafi verið breytt látum við tímastimpilsveitanda undirrita það. Við sendum honum aðeins tætigildi yfirlitsins sem ekki er hægt að endurheimta innihaldið úr; eins og er eru það Certum (Asseco Data Systems S.A., Póllandi) og, til vara, DigiCert, Inc. (Bandaríkjunum). Yfirlit eru varðveitt þar til þú eyðir léninu. Lagagrundvöllurinn er Art. 6(1)(b) GDPR.

13. WordPress-viðbót og TYPO3-viðbót

Fyrir viðskiptavini sem nota viðbótina og fyrir gesti á vefsvæðum þeirra.

13.1 Það sem verður áfram á vefsvæði viðskiptavinarins

WordPress-viðbótin okkar og TYPO3-viðbótin okkar keyra á þjóni viðskiptavinarins. Það sem WordPress-viðbótin varðveitir þar verður áfram á því vefsvæði; við höfum engan aðgang að því og rekstraraðili þess er ábyrgðaraðili:

• Sóttkví: innsendingar sem varnarlagið heldur eftir sem ruslpósti, þar á meðal innihald reita og svarnetfang, í allt að 14 daga svo hægt sé að afhenda skilaboð sem ranglega var haldið eftir með einum smelli;
• Öryggisnet: afrit tölvupósta úr eyðublöðum sem ekki tókst að senda (viðtakandi, efni, texti og hauslínur svo sem svarnetfang; viðhengi aðeins eftir heiti), í allt að 30 daga svo hægt sé að senda þá aftur;
• Reikniþraut: vafri gestsins leysir lítið verkefni sem vefsvæðið sjálft setur; engin vafrakaka, engin þjónusta þriðja aðila;
• Varðveislutími: að beiðni eyðir viðbótin varðveittum fyrirspurnum tiltekinna eyðublaðsviðbóta eftir 90, 180 eða 365 daga;
• Talning eyðublaða (sjálfgefið óvirk): birtingar, upphaf útfyllingar, sannprófunarvillur og innsendingartilraunir fyrir hvert eyðublað og, ef það er virkjað sérstaklega, villuflokkar eftir staðsetningu reita – án innsláttar, reitarheita, vafrakaka eða varanlegra gestaauðkenna, í ekki meira en 14 daga á vefsvæðinu. Auðkenni sem er leitt af IP-netfanginu til að takmarka beiðnir rennur út eftir eina mínútu og er ekki sent til okkar;
• Gestaaðstoð (má virkja sérstaklega): eftir sendingarvillu leiðir tilkynning aftur að eyðublaðinu sem er enn opið og tilgreinir netfang ef þess er óskað; hún les engan innslátt, vistar ekki drög og endursendir ekkert að eigin frumkvæði;
• nýjar ruslpóstreglur geta talið staðbundið í sjö daga án þess að halda neinu eftir.

WordPress-viðbótin bætir sjálf viðeigandi málsgreinum við leiðarvísi WordPress fyrir persónuverndarstefnu; frekari textar eru tiltækir á Texti í persónuverndarstefnu fyrir vefsvæðið þitt. TYPO3-viðbótin varðveitir ekkert efni eyðublaða; hún bætir meta-merki við hverja síðu til að staðfesta lénið og hún telur.

13.2 Skráning leiða

Með leiðaskráningunni skráir innskráður WordPress-stjórnandi leiðina að eyðublaði á eigin vefsvæði. Hún geymir tæknilega veljara og leiðarskref í lotugeymslu vafrans í ekki meira en 15 mínútur og flytur valdar stillingar yfir í tengda aðganginn. Hún les engan innslátt. Leiðaskráningin er aldrei hlaðin fyrir gesti.

13.3 Það sem er sent til okkar

Viðbæturnar senda okkur – eftir virkni og, að undanskilinni athugun á eigin vefsvæði án aðgangs, aðeins meðan vefsvæðið er tengt við aðgang:

• vélarheitið, opinberan lykil og leynigildi sem vefsvæðið auðkennir sig með, útgáfur viðbótar og vefumsjónarkerfis og tungumálið;
• daglegar tölur: stöðvaðar innsendingar eftir ástæðu, samþykktar innsendingar, sendir og misheppnaðir tölvupóstar með villugerð, tölur um reCAPTCHA-svör og um sjálfvirkt eyddar fyrirspurnir; ef talning er virk, daglegar tölur hennar;
• eiginleika eyðublaðsstillinga í tölum, svo sem hversu mörg eyðublöð nota netfang gestsins sem sendanda, og útgáfur tiltekinna eyðublaðs-, CAPTCHA- og tölvupóstviðbóta af föstum lista;
• uppfærslur, virkjanir og afvirkjanir viðbóta, þema og vefumsjónarkerfis með heitum og útgáfum, viðhaldsham og misheppnaða sendingu tölvupósts úr eyðublaði (aðeins villugerð);
• stillingar eyðublaðsleiðar sem er valin með leiðaskráningunni;
• fyrir samvarnir gegn ruslpósti (sjálfgefið virkar), lén tengla í stöðvuðum skilaboðum. Tilkynningar frá mörgum vefsvæðum mynda lista yfir ruslpóstlén sem allar tengdar viðbætur sækja. Við sendum ekki IP-netföng eða net sendenda í þessum tilgangi.

Viðbæturnar senda ekkert efni eyðublaða annað en þessi tenglalén, né netföng, nöfn eða IP-netföng gesta. Við eyðum daglegu tölunum og breytingatilkynningunum eftir 13 mánuði og merkjum samvarnanna gegn ruslpósti eftir 30 daga; upplýsingum frá vefsvæði sem tilheyrir engu léni í aðgangi eftir 90 daga án sambands.

Lagagrundvöllur: Art. 6(1)(b) GDPR; fyrir samvarnir gegn ruslpósti Art. 6(1)(f) GDPR (sameiginleg vörn gegn ruslpósti á mörgum vefsvæðum). Þessar upplýsingar eru aðeins persónuupplýsingar í undantekningartilvikum, til dæmis ef vélarheiti inniheldur nafn einstaklings.

14. Virkni fyrir stofur

Fyrir stofur og fyrir fólkið sem kemst í snertingu við gáttir þeirra og skýrslur.

• Viðskiptavinagátt: Stofa getur veitt viðskiptavinum sínum aðgang að gátt með niðurstöðum fyrir lén þeirra. Sá sem gerist áskrifandi að mánaðarlegu skýrslunni þar gefur upp netfangið sitt og staðfestir það með tengli (double opt-in). Við varðveitum netfangið, tungumálið, tíma og IP-netfang skráningarinnar, staðfestingartímann og síðasta mánuð sem var sendur. Við eyðum óstaðfestum áskriftum eftir 30 daga. Hægt er að afskrá sig hvenær sem er með tenglinum í hverjum tölvupósti; eftir það varðveitum við skráningu áskriftarinnar í þrjú ár til viðbótar en þó ekki lengur en þar til vinnusvæði stofunnar er eytt; ef stofan afturkallar aðeins gáttina verða áskrifendur áfram varðveittir. Gáttin og skýrslurnar birtast undir nafni stofunnar; stofan er ábyrgðaraðili og við störfum fyrir hennar hönd. Lagagrundvöllur stofunnar er samþykki áskrifandans.
• Eigið vörumerki: heiti fyrirtækis, vefsvæði, samskiptaupplýsingar, litir og lógó sem stofa vistar birtast á skýrslum hennar og í gáttinni þar til hún breytir þeim eða eyðir þeim.
• Eigið lén: Í Business-áskriftinni getur stofa sýnt gáttina og skýrslurnar á eigin undirléni. Til þess athugum við DNS-færslur þess daglega. Virknin er ekki virkjuð eins og er.
• Athugun mögulegs viðskiptavinar: Stofa getur látið athuga vefsvæði mögulegs viðskiptavinar án prófunarinnsendingar (kafli 7). Hún sendir sjálf tengilinn á stuttu niðurstöðurnar áfram; við skrifum engum. Við eyðum athuguninni eftir 90 daga. Stofan ber ein ábyrgð á því að hafa samband við mögulega viðskiptavininn.
• API-lyklar og dreifingarkóðar: Við varðveitum þá aðeins sem tætigildi með stuttu forskeyti ásamt merkingu þeirra, tíma síðustu notkunar (API-lyklar) eða fjölda innlausna (dreifingarkóðar) og fjölda kalla á mínútu (í að minnsta kosti einn dag; eytt við síðari köll).

Lagagrundvöllur: Art. 6(1)(b) GDPR gagnvart stofunni; fyrir áskrifendur og mögulega viðskiptavini, sjá hér að ofan.

15. Afhendingarathugun

Fyrir viðskiptavini sem virkja hana og fyrir gesti á vefsvæðum þeirra. Fyrir gögn gestanna erum við vinnsluaðili viðskiptavinarins.

Valfrjálsa afhendingarathugunin svarar spurningunni hvort tölvupóstur úr tengiliðaeyðublaði sé raunverulega sendur. Til þess skráir viðskiptavinurinn eitt af viðmiðunarnetföngunum okkar sem falið afrit (BCC) í póststillingum eyðublaðsins síns. Þar af leiðandi fáum við ekki aðeins okkar eigin prófunarinnsendingu heldur afrit af hverjum tölvupósti úr eyðublaðinu – þar á meðal raunverulegum fyrirspurnum gesta þess með nöfnum þeirra, netföngum og skilaboðum.

Það sem við gerum við þá og aðeins það: sjálfvirk sókn les hausana og í mesta lagi fyrstu 8 KB textans, tengir tölvupóstinn við lén með viðmiðunarnetfanginu og, eftir atvikum, við prófunarinnsendingu og athugar upprunaeiginleikana SPF, DKIM og DMARC. Eftir að vinnslu er lokið með árangri er tölvupóstinum eytt. Ef sókn eða eyðing mistekst getur tölvupóstur orðið áfram í pósthólfinu þar til næsta keyrsla tekst; pósthólfið er hýst hjá póstþjónustuveitanda okkar (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Afritin eru aðeins metin sjálfvirkt.

Í gagnagrunninum okkar varðveitum við aðeins tímann, tenginguna við lénið og, eftir atvikum, auðkenni prófunarinnsendingarinnar í 180 daga og tæknilega upprunaniðurstöðu (SPF, DKIM, DMARC) síðast móttekna tölvupóstsins þar til næsti tölvupóstur leysir hana af hólmi eða léninu er eytt. Þessi upprunaniðurstaða inniheldur IP-netfang sendiþjónsins og tölvupóstlén sendandans; þetta lén er aðeins nefnt í viðvörun til viðskiptavinarins ef það tilheyrir ekki vefsvæðinu. Ef eyðublað setur netfang gestsins sem sendanda er þetta lén póstþjónustuveitanda gestsins. Við varðveitum ekki innihald tölvupóstanna eða full netföng sendenda. Ef ekkert afrit berst innan nokkurra klukkustunda eftir prófunarinnsendingu tilkynnum við það viðskiptavininum.

Móttaka sannar aðeins að viðkomandi afrit hafi borist í viðmiðunarpósthólfið okkar – ekki móttöku hjá raunverulega viðtakandanum og ekki færslu í CRM. Ekki ætti að tengja eyðublöð sem flytja sérstaka flokka persónuupplýsinga (svo sem heilsufarsupplýsingar) við afhendingarathugunina. Viðskiptavinurinn upplýsir gesti sína um þetta gagnaflæði; texti fyrir það er tiltækur á Texti í persónuverndarstefnu fyrir vefsvæðið þitt. Án uppsetts viðmiðunarpósthólfs er athugunin ekki tiltæk.

Lagagrundvöllur: fyrir viðskiptavininn yfirleitt Art. 6(1)(f) GDPR (áreiðanleg móttaka fyrirspurna); við vinnum samkvæmt fyrirmælum hans (Art. 28 GDPR).

16. Tungumálalíkan á okkar eigin þjóni og „Fix it for me“

Fyrir viðskiptavini og notendur ókeypis athugunarinnar.

Tungumálalíkan keyrir á okkar eigin skönnunarþjóni, ekki hjá gervigreindarþjónustuveitanda. Það hjálpar að flokka eyðublöð (kafli 7), tekur niðurstöður skönnunar saman í forgangsraðaða aðgerðaáætlun fyrir greidda aðganga og setur með „Fix it for me“ varnir í eyðublaðskóða sem þú límir inn. Kóðinn sem er límdur inn er aðeins unninn fyrir þessa beiðni, er ekki varðveittur og er ekki notaður til þjálfunar; í aðgerðaskrána skráum við aðeins að virknin hafi verið notuð, með forritunarmáli, lengd kóðans og niðurstöðu (einnig vegna daglega kvótans). Ekki líma inn innskráningarupplýsingar eða persónuupplýsingar. „Fix it for me“ virkar án aðgangs að vefsvæðinu þínu; þú setur kóðann inn sjálf/ur. Nánar á Gervigreindarreglugerð ESB: Hvernig formexposed notar gervigreind. Lagagrundvöllur: Art. 6(1)(b) GDPR.

Aðgerðaáætlanir í greiddum skýrslum. Fyrir viðeigandi athuganir á lénum í greiddum aðgöngum skrifar sama staðbundna líkanið einnig stutta forgangsraðaða aðgerðaáætlun út frá vélarheitinu, heildarniðurstöðu og stigatölu, vefumsjónarkerfi, viðeigandi eyðublaðsgerð og veffangi síðu, greindri viðbót ef einhver er og völdum neikvæðum eða óljósum niðurstöðum athugana. Það fær ekki skjámyndir eða innslegin eyðublaðsgildi í þessum tilgangi. Áætlunin er merkt sem gervigreindarsamantekt; niðurstöður einstakra athugana eru áfram ráðandi. Hún breytir ekki vefsvæðinu eða niðurstöðu skönnunarinnar. Beiðnin er geymd tímabundið í innri verkbiðröðinni okkar. Eftir að niðurstaðan er sótt er færslunni í biðröðinni eytt; reglubundin hreinsun eyðir einnig færslum í biðröðinni sem eru eldri en ein klukkustund. Textinn sem er búinn til, tungumálið, staðan og tímastimpillinn eru varðveitt með skönnunarniðurstöðunni og fylgja varðveislutíma hennar, þar á meðal varðveislu síðustu loknu athugunar fyrir hvert lén og eyðingu þegar léninu er eytt.

Hlutverk við aðgerðaáætlunina. Sama aðgreining gildir og fyrir athugunina sem liggur að baki. Þegar við athugum staðfest lén Viðskiptavinar samkvæmt fyrirmælum hans er gerð aðgerðaáætlunarinnar hluti af þeirri vinnslu fyrir hans hönd; þegar stofa starfar fyrir eigin viðskiptavin gildir fyrirliggjandi keðja ábyrgðaraðila, vinnsluaðila og undirvinnsluaðila. Fyrir athuganir án inngripa á óstaðfestum lénum þar sem við erum sjálf ábyrgðaraðili gildir það hlutverk áfram. Að athugun uppfylli skilyrði fyrir greiddri skýrslu sannar ekki eitt og sér stjórn á léninu og breytir ekki persónuverndarhlutverkinu. Tilvísunin í Art. 6(1)(b) hér að ofan varðar afhendingu umbeðinnar virkni til aðgangshafans; hún er ekki almennur lagagrundvöllur fyrir persónuupplýsingar annarra sem koma fyrir tilviljun við sögu. Fyrir athuganir án inngripa þar sem við erum ábyrgðaraðili gilda lagagrundvöllur, hagsmunamat og möguleikar á andmælum sem lýst er í kafla 7, þar á meðal Art. 6(1)(f). Þegar við störfum samkvæmt fyrirmælum Viðskiptavinarins verður Viðskiptavinurinn eða annar ábyrgðaraðili að ákvarða eigin viðeigandi lagagrundvöll. Vélarheiti, vefföng síðna og athugasemdir við niðurstöður athugana geta innihaldið persónuupplýsingar fyrir tilviljun; staðbundin gerð textans gerir þær ekki nafnlausar.

17. Aðstoð, samskipti og tilkynningar um öryggisveikleika

Fyrir alla sem skrifa okkur.

Ef þú skrifar okkur í aðstoðarglugganum eða á samskiptasíðunni vinnum við netfangið þitt, skilaboðin þín, valið efni, síðuna sem þú skrifar frá, tungumálið, IP-netfangið þitt, land þess, vafraauðkennið og – ef þú ert innskráð/ur – aðgangsnúmerið þitt til að svara beiðninni þinni og koma í veg fyrir misnotkun eyðublaðsins. Þú færð staðfestingu í tölvupósti á netfangið sem þú gafst upp; ef þú ert innskráð/ur endurtekur hún upphaf skilaboðanna þinna (allt að 2.000 stafir), annars inniheldur hún ekki textann þinn. Eins og hver sendur tölvupóstur er hún varðveitt í 30 daga (kafli 11). Telegram-merki sem inniheldur ekkert efni og engar upplýsingar um þig lætur okkur vita af nýjum beiðnum. Ef þú sendir okkur tölvupóst vinnum við netfangið þitt og skilaboðin þín. Við meðhöndlum tilkynningar um öryggisveikleika á sama hátt. Við eyðum beiðnum 24 mánuðum eftir móttöku, jafnvel þótt þú eyðir aðganginum þínum fyrr; þær skjalfesta hvað var spurt og hverju var svarað.

Lagagrundvöllur: Art. 6(1)(b) GDPR ef beiðnin varðar samning við okkur, annars Art. 6(1)(f) GDPR (svörun, varnir gegn misnotkun, sönnunargögn). Skilyrði: án netfangs getum við ekki svarað.

18. Greiðslur, prufutímabil og samstarfsaðilaáætlun

Fyrir viðskiptavini með greidda áskriftarleið og fyrir samstarfsaðila.

Við innheimtum greiddar áskriftir í gegnum Stripe. Þjónustuveitandinn er Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ireland. Þú slærð greiðsluupplýsingarnar þínar beint inn hjá Stripe; við sjáum þær ekki. Stripe fær netfangið þitt og nafnið þitt og, við greiðslu, reikningsfangið þitt og eftir atvikum VSK-auðkennisnúmerið þitt og gefur út reikningana. Við höfum aðeins auðkenni viðskiptavinar og áskriftar hjá Stripe, áskriftarleiðina, stöðuna, lok greiðslutímabilsins og auðkenni og gerðir atvika sem Stripe tilkynnir okkur.

Þú getur byrjað prufutímabil án korts; án greiðslumáta endar það sjálfkrafa. Ef hýsingaraðili eða samstarfsaðili hefur gefið þér virkjunarkóða varðveitum við hvaða aðgangur innleysti hann og hvenær og þar til hvenær áskriftarleiðin gildir.

Stripe vinnur einnig gögn sem sjálfstæður ábyrgðaraðili, til dæmis til að koma í veg fyrir svik og uppfylla lagaskyldur, og kann að miðla þeim til Stripe, Inc. í Bandaríkjunum (kafli 22). Nánar um það í persónuverndarstefnu Stripe.

Samstarfsaðilaáætlun: Áætlunin hefur verið þróuð en er ekki virkjuð eins og er. Ef hún er virkjuð gildir eftirfarandi: hver aðgangur hefur tilvísunarkóða. Sá sem skráir sig með tilvísunartengli er tengdur við samstarfsaðilann í takmarkaðan fjölda mánaða; við varðveitum tenginguna og tíma hennar og, fyrir hvern greiddan reikning, nettóupphæðina og þóknunina. Samstarfsaðilinn sér aðeins tölur – hversu margir aðgangar hafa skráð sig, hversu margir greiða og heildarþóknanir sínar – engin nöfn og engin netföng. Skilmálar samstarfsaðila gilda. Við varðveitum nú gögn samstarfsaðila, tengingar og þóknanir án fasts varðveislutíma, ásamt upplýsingum um innleysta virkjunarkóða; við munum ákveða eyðingartíma og tilgreina hann hér.

Lagagrundvöllur: Art. 6(1)(b) GDPR; fyrir varðveislu reikningsgagna og, þar sem þess er krafist vegna skatta, þóknunargagna Art. 6(1)(c) GDPR; fyrir tengingu við samstarfsaðila Art. 6(1)(f) GDPR (uppgjör þóknunar). Við varðveitum reikningsgögn svo lengi sem skattalög krefjast; samkvæmt pólskum lögum (Art. 86 ásamt Art. 70 í pólsku skattalögunum, Ordynacja podatkowa), að jafnaði þar til fimm ár eru liðin frá lokum þess almanaksárs þegar skatturinn féll í gjalddaga. Skilyrði: engin greidd áskriftarleið án greiðsluupplýsinga; ókeypis áskriftarleiðin er áfram tiltæk.

19. Útilokun léns (opt-out)

Fyrir rekstraraðila vefsvæða sem vilja ekki að við athugum þau.

Á útilokunarsíðunni geturðu útilokað lén frá frekari athugunum. Útilokunin gildir um lénið og www-útgáfu þess en ekki önnur undirlén og einnig gagnvart greiðandi viðskiptavinum sem hafa staðfest lénið; reglulegri vöktun lýkur við næstu áætluðu athugun. Aðeins við getum aflétt henni, að beiðni og gegn sönnun þess að þú stjórnir léninu. Við varðveitum lénið, ástæðu sem er gefin upp af fúsum og frjálsum vilja, IP-netfangið þitt, land þess og vafraauðkennið. Við eyðum IP-netfanginu, landinu og vafraauðkenninu eftir 12 mánuði; útilokunin sjálf helst varanlega því annars yrði lénið athugað aftur. Við þurfum þessar upplýsingar til að framfylgja ósk þinni varanlega og greina hvort einhver sé að útiloka lén annarra með misnotkun. Lagagrundvöllur: Art. 6(1)(f) GDPR; lögmætir hagsmunir okkar eru að framfylgja ósk þinni varanlega og greina misnotkun eyðublaðsins. Ef þú ætlar útilokuninni að vera andmæli samkvæmt Art. 21 GDPR framkvæmum við hana með þessum hætti.

20. Fyrir gesti á vefsvæðum viðskiptavina okkar

Fyrir fólk sem heimsækir vefsvæði eða sendir inn eyðublað á því og rekstraraðili þess notar formexposed.

Rekstraraðili þess vefsvæðis er ábyrgðaraðili þess, ekki við. Rekstraraðilinn ákveður hvaða virkni á að nota og verður að upplýsa þig um hana í eigin persónuverndarstefnu. Eftirfarandi getur borist til okkar:

• Merki: tengigögn vafrans þíns þegar myndin er hlaðin, 14 dagar í annál vefþjónsins, án vafraköku; hér erum við ábyrgðaraðili fyrir afhendingu myndarinnar (kafli 12).
• Afhendingarathugun: afrit af tölvupóstinum þínum úr eyðublaðinu sem er metið sjálfvirkt og eytt; við erum vinnsluaðili (kafli 15).
• WordPress-viðbót og TYPO3-viðbót: daglegar tölur án tengingar við þig og, fyrir samvarnir gegn ruslpósti, lén tengla úr stöðvuðum skilaboðum; sóttkví og öryggisnet verða áfram á vefsvæðinu (kafli 13).
• Viðskiptavinagátt: netfangið þitt ef þú gerist áskrifandi að skýrslu þar; við erum vinnsluaðili stofunnar (kafli 14).
• Eyðublaðavörn (formconfirmed): ef rekstraraðilinn notar hana sækir vafrinn þinn verkefni frá netþjóninum okkar þegar síðan er opnuð og leysir það í bakgrunni; við innsendingu lætur netþjónn rekstraraðilans okkur athuga niðurstöðuna. Við vinnum IP-netfangið þitt (vistað aðeins stytt og sem tætigildi, í mesta lagi eina klukkustund; eins og við hverja beiðni 14 daga í annál vefþjónsins), slóð síðunnar, útfyllingartímann, upplýsingar um hvort ósýnilegur reitur hafi verið fylltur út og – aðeins ef rekstraraðilinn kveikir á efnisathuguninni – texta skilaboðanna þinna sem mállíkan á okkar eigin netþjóni metur í vinnsluminni og vistar ekki. Engar vafrakökur, engin vistun í vafranum, ekkert fingrafar. Við erum vinnsluaðili rekstraraðilans (vinnslusamningur, viðauki 1, liður 10).

Best er að nýta réttindi þín gagnvart rekstraraðila vefsvæðisins; rekstraraðilinn þekkir samhengið og getur gefið okkur fyrirmæli. Ef þú hefur samband við okkur áframsendum við beiðnina þína til rekstraraðilans eða afgreiðum hana sjálf að því marki sem við erum ábyrgðaraðili. Það sem við getum og getum ekki fundið við það er sett fram í Aðgangur, eyðing og önnur réttindi þín.

21. Viðtakendur

Við miðlum persónuupplýsingum aðeins þar sem þessi stefna segir til um það. Við seljum ekki, leigjum ekki og skiptum ekki á gögnum. Flokkar viðtakenda:

Viðtakandi (skráð aðsetur)	Flokkur	Í hvaða tilgangi
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	vinnsluaðili; vinnslustaður enn óstaðfestur	sending og móttaka tölvupósta okkar; viðmiðunarpósthólf afhendingarathugunarinnar
Namecheap, Inc. (Bandaríkin)	vinnsluaðili	lén, DNS; þar til pósthólfið er uppsett, áframsending almennra tölvupósta á lénið okkar (ekki viðmiðunarafrita afhendingarathugunarinnar)
Stripe Payments Europe, Ltd. (Írland), Stripe, Inc. (Bandaríkin)	að mestu sjálfstæður ábyrgðaraðili; við erum enn að kanna nákvæma skiptingu hlutverka	greiðslur og reikningar
Google Ireland Ltd., Google LLC (Bandaríkin)	sjálfstæður ábyrgðaraðili	reCAPTCHA
Telegram (utan EES)	viðtakandi valinn af viðskiptavininum; við sendum skilaboðin með botanum okkar. Fyrir okkur einnig tilkynningarrás	viðvaranir ef þú velur Telegram; rekstrarmerki án persónuupplýsinga
Slack, Discord, Microsoft (Teams), Google (Chat), þín webhooks (að hluta Bandaríkin)	viðtakendur valdir af viðskiptavininum	viðvaranir
Almenningur	–	skýrslutenglar, staðfestingarsíður, niðurstöður rannsóknar (aðeins samanteknar)
Meðlimir vinnusvæðisins þíns	notendur sama aðgangs	samvinna samkvæmt hlutverki
Yfirvöld, dómstólar, CERT Polska, ráðgjafar	sjálfstæðir ábyrgðaraðilar	aðeins þar sem lagaskylda er til staðar, til að stofna, hafa uppi eða verja réttarkröfur og við misnotkun Þjónustunnar okkar eða árásir á þriðju aðila (Art. 6(1)(c) eða (f) GDPR)

Eftirfarandi fá engar persónuupplýsingar: RDAP-þjónustur lénaskráa sem finnast í IANA-skránni og, fyrir aldur léns í ókeypis athuguninni, miðlunarþjónustan rdap.org (aðeins lénsheiti), WPVulnerability á wpvulnerability.net (aðeins auðkenni viðbótar án útgáfu, auðkenni þema eða WordPress-útgáfan), stöðusíður CAPTCHA- og tölvupóstþjónusta (ekkert annað en beiðnin sjálf), tímastimpilsveitendurnir Certum og DigiCert (aðeins tætigildi), DNS-bannlistarnir SpamCop, PSBL, Mailspike og SURBL (aðeins lén og IP-netföng þjóna), Google Web Risk ef það er uppsett (aðeins veffang heimasíðunnar) og aðrar tengdar viðbætur í samvörnum gegn ruslpósti (aðeins ruslpóstlén). Allur uppfærður listi yfir vinnsluaðila okkar með skráðu aðsetri og miðlunargrundvelli er tiltækur á Undirvinnsluaðilar; við tilkynnum viðskiptavinum breytingar með 30 daga fyrirvara.

22. Miðlun til þriðju landa

Ef viðtakandi er með aðsetur utan Evrópska efnahagssvæðisins miðlum við aðeins gögnum ef skilyrði Art. 44 og síðari greina GDPR eru uppfyllt:

• Bandaríkin: á grundvelli ákvörðunar framkvæmdastjórnar Evrópusambandsins um fullnægjandi vernd samkvæmt EU-U.S. Data Privacy Framework (framkvæmdarákvörðun (EU) 2023/1795, Art. 45 GDPR), að því marki sem viðtakandinn er vottaður samkvæmt henni. Við erum enn að sannreyna fyrir þessa útgáfu hvort Google, Stripe og Namecheap séu vottuð fyrir viðkomandi þjónustur og fullyrðum því ekki um það; þar sem engin vottun er til staðar, á grundvelli staðlaðra samningsákvæða framkvæmdastjórnar Evrópusambandsins (framkvæmdarákvörðun (EU) 2021/914, Art. 46(2)(c) GDPR).
• Póstþjónustuveitandinn okkar: við erum enn að sannreyna hvar Namecheap, Inc. (Private Email), Phoenix, Arizona, USA vinnur gögnin og á hvaða grundvelli megi miðla þeim til þriðja lands. Núverandi staða er gefin á síðunni Undirvinnsluaðilar.
• Spjallþjónustur og webhooks sem þú velur sjálf/ur: Slack, Discord, Microsoft Teams, Google Chat og webhooks fá viðvaranirnar þínar um veffang sem þú býrð til í aðganginum þínum hjá þeirri þjónustu; samningssambandið við þjónustuveitandann og grundvöllur sem kann að vera nauðsynlegur fyrir miðlun til þriðja lands eru á þína ábyrgð.
• Telegram: viðtakandi valinn af viðskiptavininum; við sendum skilaboðin með botanum okkar. Telegram er með aðsetur utan EES í landi án ákvörðunar um fullnægjandi vernd og við höfum ekki stöðluð samningsákvæði við Telegram. Við látum nú kanna á hvaða grundvelli samkvæmt Art. 44 og síðari greinum GDPR þessi miðlun byggist – Art. 49(1)(b) GDPR kemur til álita því þú velur rásina sjálf/ur. Veldu Telegram aðeins ef það nægir þér; tölvupóstur er alltaf áfram tiltækur valkostur.

Þú getur fengið afrit af verndarráðstöfunum sem við byggjum miðlun á án endurgjalds með beiðni á netfangið í kafla 1. Ákvörðunina um fullnægjandi vernd og stöðluðu samningsákvæðin er einnig að finna í Stjórnartíðindum ESB (eur-lex.europa.eu) og lista yfir fyrirtæki sem eru vottuð samkvæmt Data Privacy Framework á dataprivacyframework.gov. Okkar eigin þjónar eru í Póllandi; gögn sem enginn tilgreindra viðtakenda fær fara ekki út fyrir ESB.

23. Yfirlit yfir varðveislutíma

Varðveislutímunum er framfylgt með næturkeyrslu og fyrir annál vefþjónsins með daglegri endurnýjun hans. Þar sem stendur „með léninu“ hverfa gögnin strax þegar þú eyðir léninu eða aðganginum þínum. Þau verða síðan áfram í öryggisafritunum í allt að 14 daga (kafli 3.4).

Gögn	Eytt
Annáll vefþjóns (þar með taldar beiðnir um merkið)	eftir 14 daga
Annáll síðuflettinga	eftir 60 daga
Villuannáll	eftir 90 daga
Aðgerðaskrá	eftir 365 daga
Innskráningartilraunir; mörk ókeypis athugunarinnar og hausaverkfærisins	eftir 7 daga
Merkingar vegna grunsamlegrar hegðunar (ókeypis athugun)	90 dögum eftir að málið hefur verið leyst
Innskráð tæki	90 dögum frá síðustu notkun
„Halda mér innskráðum“; aðgangar sem aldrei eru staðfestir; samþykkt boð (ósamþykkt þegar þau renna út)	eftir 30 daga
Skýrsla án aðgangs, ásamt skjámyndum	eftir 30 daga
PDF-útgáfa skýrslu í skyndiminni	eftir 7 daga
Niðurstöður hausaverkfærisins; athugun vefsvæðis mögulegs viðskiptavinar	eftir 90 daga
Athuganir fyrir rannsókn	þegar niðurstöður hennar eru birtar
Niðurstöður athugana, vafraathuganir og tímamælingar fyrir lén í aðganginum	eftir 13 mánuði (nýjasta athugunin svo lengi sem lénið er í aðganginum)
Lén, stillingar, eyðublaðsleiðir, yfirlit til sönnunar, viðvörunarviðtakendur, upprunaniðurstaða síðasta tölvupósts úr eyðublaði	með léninu
Skrá forritabúta og breytingar hennar	með léninu (enginn sérstakur varðveislutími er til staðar)
Prófunarinnskráning fyrir athugun á bak við innskráningu	þegar þú eyðir henni, með léninu; afritið sem fylgir athugunarverkinu eftir keyrsluna, í síðasta lagi eftir eina klukkustund
Daglegar tölur og breytingatilkynningar frá viðbótunum, eyðublaðatalningar	eftir 13 mánuði
Upplýsingar frá vefsvæði með viðbótinni sem tilheyrir engum aðgangi	90 dögum eftir síðasta samband
Merki samvarna gegn ruslpósti; safnaðar tilkynningar fyrir daglegar og vikulegar skýrslur (frá sendingu)	eftir 30 daga
Talning API-kalla; einnota kóðar fyrir Telegram	í fyrsta lagi eftir einn dag, við næsta kall eða kóða af þessu tagi
Annáll viðvörunarsendinga	eftir 90 daga
Tengingar afhendingarathugunar; atvik með staðfestingu móttöku og afhendingartilraunum vegna stighækkunar viðvarana (óleyst atvik eru varðveitt)	eftir 180 daga, fyrir atvik frá lausn þeirra
Afrit tölvupósta úr eyðublöðum í viðmiðunarpósthólfinu	eftir vinnslu; ef villur verða, við næstu árangursríku keyrslu
Sendir tölvupóstar	eftir 30 daga
Aðstoðarbeiðnir	eftir 24 mánuði
Ábendingar um skýrslu	eftir 24 mánuði, tafarlaust með aðganginum; prófsumma IP-netfangsins eftir 2 daga
IP-netfang, land og vafraauðkenni vegna útilokunar	eftir 12 mánuði (lénið helst útilokað)
Óstaðfestar áskriftir að mánaðarlegri skýrslu í viðskiptavinagáttinni	eftir 30 daga
Skráning uppsagðrar áskriftar	þremur árum eftir afskráningu
Aðgangur og persónuupplýsingar	þegar þú eyðir þeim
Skráning á gerð samningsins	svo lengi sem aðgangurinn er til; eftir eyðingu hans, um leið og samþykkið er fjögurra ára gamalt
Reikningsgögn	þegar varðveislutími vegna skatta rennur út
Tengingar og þóknanir samstarfsaðilaáætlunar; innleystir virkjunarkóðar	enginn fastur tími eins og er
Dæmi um villugerð	án fasts varðveislutíma eins og er
Öryggisafrit gagnagrunns	eftir 14 daga
Eyðublaðavörn: stytt IP-netfang sem tætigildi til að greina tíðar beiðnir; notuð athugunarauðkenni; niðurstöður athugana án IP-netfangs og án texta (aðgerð, stigatala, ástæður, lén); daglegar tölur án tengsla við einstakling	eftir eina klukkustund; eftir í mesta lagi ellefu mínútur; eftir 30 daga; eftir 400 daga

24. Skylda til að veita gögn

Þér er ekki skylt samkvæmt lögum að láta okkur í té gögn. Fyrir aðgang þurfum við netfangið þitt, fornafnið þitt og lykilorð; án þeirra er ekki hægt að gera samning. Fyrir greiddar áskriftir þurfum við reikningsupplýsingar, fyrir afhendingarathugunina viðmiðunarpósthólf og fyrir viðvaranir viðtakanda. Allar aðrar upplýsingar eru valfrjálsar. Tengigögnin í annálunum verða tæknilega til við hverja beiðni; án þeirra getur þjónninn ekki svarað. Hvað vantar ef þú veitir ekki eitthvað kemur fram í kaflanum um viðkomandi vinnslu.

25. Sjálfvirkar ákvarðanir og persónusnið

Við tökum ekki ákvarðanir sem hafa réttaráhrif fyrir þig eða hafa sambærileg veruleg áhrif á þig og byggjast eingöngu á sjálfvirkri vinnslu (Art. 22 GDPR). Við gerum ekki persónusnið einstaklinga. Matsniðurstöður okkar – áhættustig, einkunn hausa, „Varið“ í merkinu – varða vefsvæði og eyðublöð, ekki fólk.

Varnarkerfi keyra þó sjálfvirkt sem geta hafnað einstökum beiðnum án þess að manneskja skoði þær: reCAPTCHA-matið og okkar eigin eyðublaðsvörn (kafli 5), mörkin og merkingarnar fyrir ókeypis athugunina (kafli 6) og lokun eftir of margar innskráningartilraunir (kafli 8.2). Þau koma aðeins í veg fyrir einstöku innsendinguna; hægt er að endurtaka tilraun sem var hafnað síðar og tölvupóstur er áfram tiltækur fyrir hvaða beiðni sem er. Ef þú telur höfnun ranga skaltu skrifa okkur; manneskja mun skoða málið. Við eyðum einnig sjálfvirkt aðgöngum sem hafa ekki verið staðfestir 30 dögum eftir nýskráningu.

26. Réttindi þín

Samkvæmt GDPR hefurðu eftirfarandi réttindi. Fyrir hvert þeirra tilgreinum við fljótlegustu leiðina til að nýta það. Nema annað sé tekið fram nægir tölvupóstur á contact@lukaswojcik.com. Við svörum án ótilhlýðilegrar tafar og í öllum tilvikum innan eins mánaðar frá móttöku; við flóknar eða margar beiðnir má framlengja tímabilið um tvo mánuði og þá upplýsum við þig um það með ástæðum innan fyrsta mánaðarins (Art. 12(3) GDPR). Það er ókeypis að nýta réttindi sín; aðeins fyrir augljóslega tilefnislausar eða óhóflegar beiðnir megum við innheimta sanngjarnt gjald eða synja um aðgerðir vegna beiðninnar og við gefum ástæður fyrir því (Art. 12(5) GDPR). Til að afhenda ekki gögn annarra gætum við beðið þig um að senda beiðnina frá netfangi aðgangsins þíns; við biðjum aðeins um frekari sönnun ef við höfum rökstuddan vafa um hver þú ert og aðeins að því marki sem nauðsynlegt er (Art. 12(6) GDPR).

• Aðgangur (Art. 15 GDPR): Með aðgangi geturðu sótt gagnaútflutninginn undir Stillingar; hann inniheldur gögn aðgangsins, vinnusvæða og léna, innskráningar þínar, aðgerðir, aðstoðarbeiðnir, senda tölvupósta og samþykki. Niðurstöður athugana geturðu séð sem skýrslur í aðganginum. Þú getur fengið fullan aðgang, einnig að gögnum sem útflutningurinn inniheldur ekki (til dæmis færslum í villuannál eða annál vefþjónsins), ásamt upplýsingunum samkvæmt Art. 15(1) GDPR, með beiðni í tölvupósti. Án aðgangs – til dæmis vegna útilokunar, aðstoðarbeiðni eða skýrslu – með tölvupósti þar sem viðkomandi lén eða veffang og áætlaður tími eru tilgreind.
• Leiðrétting (Art. 16): Þú getur sjálf/ur breytt nafni, fyrirtæki, tungumáli og netfangi undir Stillingar og reikningsfangi og VSK-auðkennisnúmeri í viðskiptavinagátt Stripe undir Greiðslur; allt annað með tölvupósti.
• Eyðing (Art. 17): Þú getur sjálf/ur eytt aðganginum þínum, lénum, viðvörunarviðtakendum og prófunarinnskráningum og afturkallað API-lykla (þeim er eytt með aðganginum); þú getur afskráð þig frá mánaðarlegri skýrslu viðskiptavinagáttar með tenglinum í hverjum tölvupósti. Þú getur óskað eftir eyðingu skýrslu, skjámyndar eða annarra gagna með tölvupósti. Hvað við verðum að varðveita af lagalegum ástæðum kemur fram í kafla 8.6.
• Takmörkun vinnslu (Art. 18): með tölvupósti, til dæmis ef þú vefengir nákvæmni gagna og við erum að athuga hana.
• Réttur til að flytja eigin gögn (Art. 20): Gagnaútflutningurinn er vélrænt læsileg JSON-skrá sem þú getur sjálf/ur afhent öðrum þjónustuveitanda. Nánar um skipti á þjónustuveitanda á Gagnareglugerð ESB: Skipti og gagnaútflutningur.
• Andmæli (Art. 21): sjá næsta kafla.
• Afturköllun samþykkis (Art. 7(3)): Við byggjum ekki eigin vinnslu á samþykki. Þú getur dregið samþykki þitt fyrir mánaðarlegri skýrslu viðskiptavinagáttar til baka með tenglinum í hverjum tölvupósti; afturköllunin gildir til framtíðar.

Fyrir gögn sem við vinnum fyrir hönd viðskiptavinar (kafli 2) er viðskiptavinurinn tengiliður þinn. Ef þú skrifar okkur engu að síður áframsendum við beiðnina þína til viðskiptavinarins og aðstoðum hann við svörun. Ítarlegar leiðbeiningar með öllum leiðum og takmörkunum eru tiltækar á Aðgangur, eyðing og önnur réttindi þín.

27. Réttur til andmæla samkvæmt Art. 21 GDPR

Að því marki sem við vinnum gögn á grundvelli lögmætra hagsmuna (Art. 6(1)(f) GDPR) geturðu andmælt hvenær sem er af ástæðum sem varða sérstakar aðstæður þínar. Við vinnum þá ekki gögnin lengur nema við getum sýnt fram á brýnar lögmætar ástæður fyrir vinnslunni sem ganga framar hagsmunum þínum, réttindum og frelsi eða vinnslan þjóni því að stofna, hafa uppi eða verja réttarkröfur.

Þetta á sérstaklega við um athuganir vefskriðilsins okkar á vefsvæðum (kafli 7), annálana (kafli 3), reCAPTCHA (kafli 5), mörk ókeypis athugunarinnar (kafli 6), uppsetningaráminninguna (kafli 11), merkið (kafli 12) og samvarnir gegn ruslpósti (kafli 13).

Andmælin eru ekki bundin sérstöku formi; tölvupóstur á contact@lukaswojcik.com nægir. Sem rekstraraðili vefsvæðis geturðu einnig útilokað frekari athuganir sjálf/ur hvenær sem er með robots.txt eða útilokunarsíðunni. Við sendum ekki auglýsingar í tölvupósti sem hægt væri að andmæla án rökstuðnings.

28. Kvörtun til eftirlitsyfirvalds

Þú getur lagt fram kvörtun hjá eftirlitsyfirvaldi með persónuvernd ef þú telur okkur vinna gögnin þín með ólögmætum hætti (Art. 77 GDPR). Lögbært yfirvald gagnvart okkur er:

Prezes Urzędu Ochrony Danych Osobowych (forseti persónuverndarstofnunarinnar, UODO)
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Poland
uodo.gov.pl

Þú getur einnig haft samband við yfirvald í aðildarríkinu þar sem þú býrð eða starfar eða þar sem meint brot átti sér stað – í Þýskalandi til dæmis persónuverndaryfirvald sambandslandsins þíns. Það yfirvald áframsendir kvörtunina til lögbæra yfirvaldsins eftir þörfum. Við viljum gjarnan leysa áhyggjuefni beint með þér fyrst; það er ekki skilyrði.

29. Öryggi

Allar tengingar við Þjónustuna okkar eru dulkóðaðar með TLS; tengingar innan innra netsins okkar eru ekki alls staðar dulkóðaðar. Við varðveitum lykilorð, API-lykla og endurheimtarkóða aðeins sem tætigildi og leynigildi tvíþættrar innskráningar og prófunarinnskráningar aðeins á dulkóðuðu formi. Gögn viðskiptavina eru aðskilin eftir vinnusvæðum; réttindum hlutverks er framfylgt af þjóninum, ekki aðeins af notandaviðmótinu. Aðeins eigandinn hefur aðgang að þjónunum; vefskriðillinn vinnur í einangrun og getur ekki nálgast vistföng á innra netinu. Heildarlýsingin er tiltæk á Tæknilegar og skipulagslegar ráðstafanir. Ef okkur verður kunnugt um öryggisbrest við meðferð persónuupplýsinga tilkynnum við eftirlitsyfirvaldinu og, eftir þörfum, þér í samræmi við Art. 33 og 34 GDPR; við upplýsum viðskiptavini sem við störfum fyrir án ótilhlýðilegrar tafar, ef mögulegt er innan 48 klukkustunda.

30. Frekari skjöl

Þessi stefna er samantektin fyrir skráða einstaklinga. Nánari upplýsingar er að finna í Skrá yfir vinnslustarfsemi, í skránni yfir Undirvinnsluaðila, í Tæknilegum og skipulagslegum ráðstöfunum, í Vinnslusamningnum, í Mati á áhrifum á persónuvernd og undir Aðgangur, eyðing og önnur réttindi þín, Gervigreindarreglugerð ESB: Hvernig formexposed notar gervigreind og Texti í persónuverndarstefnu fyrir vefsvæðið þitt.

31. Breytingar

Við uppfærum þessa stefnu þegar Þjónustan eða réttarstaðan breytist og gerum það áður en ný vinnsla hefst. Útgáfan sem er birt hér gildir; fyrri útgáfur og það sem hefur breyst er að finna undir Breytingar á samningsskjölunum. Útgáfan sem þú sást þegar þú skráðir þig birtist í gagnaútflutningnum þínum. Ef eitthvað verulegt breytist í vinnslu gagna þinna sem viðskiptavinar upplýsum við þig einnig í tölvupósti.

Þessi stefna er tiltæk á öllum opinberum tungumálum Evrópusambandsins. Ef misræmi verður ræður pólska útgáfan.