Accesso, cancellazione e altri Suoi diritti

Il presente documento è pubblicato in più lingue. In caso di discrepanze tra le versioni linguistiche, fa fede la versione polacca.

Versione 1.0 · Ultimo aggiornamento: 16 ottobre 2026

Questa pagina spiega come esercitare nei confronti di formexposed i diritti previsti dal Regolamento generale sulla protezione dei dati (GDPR): chi ha quali dati presso di noi, attraverso quale canale ottiene accesso, una copia, la rettifica o la cancellazione, che cosa ci serve da Lei a tal fine e dove sono i limiti. Integra l’Informativa sulla privacy, che illustra in dettaglio finalità, basi giuridiche e periodi di conservazione.

1. Chi può chiederci che cosa

formexposed controlla i moduli di contatto dei siti web. Di conseguenza abbiamo a che fare con persone molto diverse: clienti con un account, membri del team, gestori di siti web controllati, visitatori dei siti web dei nostri clienti e iscritti a un portale clienti. Non tutti hanno lasciato presso di noi gli stessi dati, e se possiamo attribuirLe qualcosa dipende dal Suo ruolo. Per ciascun gruppo, le sezioni seguenti descrivono il canale. Laddove agiamo solo per conto di un Cliente, lo indichiamo, perché in tal caso decide il Cliente, non noi. Il GDPR tutela le persone fisiche. Se il gestore di un sito web è una società, questa non ha diritti propri ai sensi del GDPR; li hanno le persone i cui dati compaiono sul sito web. Rispondiamo comunque alle società secondo le stesse regole, nella misura in cui riguarda il loro dominio.

2. I canali in sintesi

Lei è	Che cosa potremmo avere su di Lei	Canale	Che cosa ci serve da Lei
Cliente con un account	Account, workspace, domini, impostazioni, registri, consensi, richieste di supporto	In autonomia in Impostazioni: esportazione e cancellazione	Accesso e la Sua password
Membro del team	Il Suo account; le Sue voci nel registro delle attività del workspace	Come per i clienti; abbandonare il workspace	Accesso e password
Persona invitata senza account	Indirizzo e-mail e ruolo nell’invito	E-mail a noi o alla persona che L’ha invitata	Un messaggio dall’indirizzo invitato
Gestore di un sito web controllato	Report sul Suo dominio, voce di opt-out, dati del plugin senza account	Pagina di opt-out, robots.txt, e-mail a noi	Dominio, link al report; per ottenere più del report, la prova che controlla il dominio
Persona che compare su un sito web controllato	Screenshot e indirizzi delle pagine controllate in cui compare	E-mail a noi (sezione 5.3)	Dominio e momento approssimativo, e il link al report se disponibile
Visitatore del sito web di un cliente	Quasi sempre nulla di attribuibile (sezione 6)	Prima il gestore del sito web	Sito web, momento; per il badge, il Suo indirizzo IP
Iscritto a un portale clienti	Indirizzo e-mail, lingua, momento e IP dell’iscrizione, conferma, disiscrizione	Link di disiscrizione in ogni e-mail; altrimenti l’agenzia	Un messaggio dall’indirizzo iscritto

Il nostro indirizzo per tutto ciò che non può fare in autonomia: contact@lukaswojcik.com. Può esercitare lì qualsiasi diritto anche senza utilizzare prima le funzioni self-service; queste sono semplicemente la via più rapida. Sono disponibili anche la pagina di contatto e la finestra di supporto (punto interrogativo nella navigazione).

3. Clienti con un account

3.1 Accesso e copia: l’esportazione dei dati

In Impostazioni → I Suoi dati → “Scarica i miei dati” riceve immediatamente un file JSON con ciò che memorizziamo sul Suo account. È la via più rapida per ottenere la copia di cui all’Art. 15(3) GDPR e la portabilità dei dati (Art. 20). Le altre informazioni di cui all’Art. 15(1) – finalità, destinatari, periodo di conservazione, fonte, i Suoi diritti – sono illustrate nell’Informativa sulla privacy; su richiesta le raccogliamo per il Suo caso, insieme ai dati non contenuti nell’esportazione. L’esportazione richiede la Sua password ed è limitata a tre download all’ora, perché il file contiene indirizzi IP e dispositivi e una sessione aperta sul computer di un’altra persona non dovrebbe bastare per ottenerlo.

Il file contiene il Suo account (nome, indirizzo e-mail, azienda, piano, ultimo accesso con indirizzo IP), i Suoi workspace con il ruolo e – per i workspace di cui è proprietario – i domini con le relative impostazioni, destinazioni degli avvisi, moduli monitorati, brand, portali clienti compresi gli iscritti, tentativi di recapito dell’escalation e controlli di potenziali clienti; inoltre le Sue chiavi API (solo prefisso ed etichetta), i dispositivi connessi, i tentativi di accesso, il registro delle attività, le pagine visitate, le richieste di supporto, le e-mail inviate a Lei (senza testo, perché potrebbero contenere ancora link validi) e le versioni dei testi legali che ha accettato. Se il nostro supporto ha visualizzato il Suo account tramite “Visualizza come Cliente”, anche questo è incluso.

Che cosa non contiene il file: hash della password, segreti dell’accesso a due fattori, token e chiavi – si tratta di caratteristiche di sicurezza, non di informazioni. I dati degli altri membri dei Suoi workspace. Le fatture, che si trovano nel portale clienti di Stripe nella sezione Fatturazione. E i singoli risultati dei controlli (riscontri, screenshot, incidenti, registro degli avvisi); può visualizzarli nell’account e nei report, e con il piano Business anche tramite l’API. Se li desidera come file, ci scriva; li raccoglieremo entro il termine indicato nella sezione 9. Maggiori informazioni nella pagina Regolamento UE sui dati (Data Act): passaggio ad altro fornitore ed esportazione dei dati.

3.2 Rettifica

Nome, cognome, azienda, lingua e indirizzo e-mail li modifica Lei stesso nelle impostazioni; un nuovo indirizzo e-mail vale solo dopo che lo ha confermato tramite il link nell’e-mail di conferma. L’indirizzo di fatturazione e la partita IVA li modifica nel portale clienti di Stripe nella sezione Fatturazione. Per tutto il resto è sufficiente un messaggio a noi (Art. 16 GDPR).

3.3 Cancellazione: dominio, workspace, account

Può effettuare cancellazioni a tre livelli. Ciascuna ha effetto immediato nel database e non può essere annullata. Scarichi prima i Suoi dati.

Rimozione di un dominio (accesso in scrittura nel workspace): rimuove il dominio con tutti i controlli, compresi moduli, riscontri e screenshot, i report (i cui link non funzionano più), job, destinazioni degli avvisi, registro dei recapiti e incidenti, collegamenti Telegram, associazioni della verifica di recapito, misurazioni del polso, corrispondenze con vulnerabilità e registri probatori (compresa la relativa pagina pubblica di conferma), nonché i moduli monitorati con i relativi passaggi di controllo, controlli tramite browser e misurazioni, e gli account di prova cifrati per la scansione dietro il login. Vengono eliminati anche i dati giornalieri del plugin e dell’estensione, non appena nessun altro account ha lo stesso dominio.
Cancellazione di un workspace (solo il proprietario): in aggiunta, tutti i domini in esso contenuti come sopra, il brand compreso il logo, i portali clienti compresi gli iscritti, i codici di rollout, i controlli di potenziali clienti (i cui report scadono solo al termine del loro periodo di massimo 90 giorni), gli inviti e le appartenenze.
Cancellazione dell’account (Impostazioni, con password): termina innanzitutto un abbonamento in corso presso Stripe, immediatamente e, di norma, senza rimborso per la parte restante del periodo pagato (le eccezioni sono indicate nelle Condizioni di servizio); chi desidera utilizzare la parte restante di tale periodo disdice prima nella sezione Fatturazione con effetto alla fine del periodo. Se la cessazione dell’abbonamento non riesce, l’account resta, affinché nessun abbonamento prosegua senza account. I workspace di cui è proprietario passano a un altro membro, in primo luogo agli amministratori, e tra questi a quello di più lunga data; i workspace senza altri membri vengono cancellati insieme ai loro dati. Rimuoviamo inoltre le Sue appartenenze, i dispositivi connessi, l’accesso “Resta connesso”, le Sue chiavi API compresi i contatori, i codici Telegram non utilizzati e il record dell’account stesso.

Un workspace che cede a un membro non viene cancellato. Il lavoro di un team non appartiene alla persona che ha creato il workspace. Se desidera che anche i domini in esso contenuti scompaiano, cancelli il workspace prima di cancellare il Suo account, oppure si accordi con il Suo team.

Nessun periodo di conservazione proprio: L’inventario degli script di un dominio (l’elenco degli script osservati) e il registro delle relative modifiche vengono cancellati insieme al dominio, anche quando questo viene eliminato insieme al suo workspace o al Suo account. Non hanno un proprio periodo di conservazione: vengono conservati finché esiste il dominio. Se desidera che vengano rimossi prima, li cancelliamo quando ci scrive.

3.4 Che cosa resta dopo la cancellazione, e perché

Alcune cose non le cancelliamo nello stesso momento, perché servono a un’altra finalità o hanno un proprio periodo di conservazione. Scadono con tale periodo e dopo non esistono più. Se richiede la cancellazione anticipata di voci che basiamo su legittimi interessi (soprattutto registri e richieste di supporto), esaminiamo la richiesta caso per caso e le cancelliamo, a meno che i nostri motivi non prevalgano sui Suoi (Art. 17(1)(c), Art. 21(1) GDPR):

Registri: registro delle attività 365 giorni, registro degli accessi alle pagine 60 giorni, registro degli errori 90 giorni, log del server web 14 giorni, tentativi di accesso 7 giorni, e-mail inviate 30 giorni. Servono alla sicurezza e all’accertamento di abusi. Le voci nel registro delle attività e nel registro degli accessi alle pagine conservano il Suo vecchio numero di account, che dopo la cancellazione non rimanda più ad alcun account esistente; la cancellazione stessa viene registrata affinché possa essere dimostrata in seguito.
Richieste di supporto: 24 mesi, affinché sia ancora possibile rispondere a una domanda o a un reclamo successivi.
Prova della conclusione del contratto: quale versione delle Condizioni di servizio, dell’Accordo sul trattamento dei dati e dell’Informativa sulla privacy ha accettato e quando, con indirizzo IP e identificativo del browser. Resta, perché è proprio dopo la cessazione che si pone la questione su che cosa si basava il contratto (Art. 5(2), Art. 17(3)(e) GDPR), e viene cancellata quando l’account non esiste più e il consenso risale a più di quattro anni prima.
Le fatture e le operazioni di pagamento sono conservate da Stripe e soggette a conservazione a fini fiscali (in Polonia, cinque anni dalla fine dell’anno in cui l’imposta è divenuta esigibile, Art. 17(3)(b) GDPR).
Backup: i dati cancellati restano nei backup del database finché questi non vengono sovrascritti nel normale corso dopo 14 giorni. Non ripristiniamo un backup per recuperare dati cancellati.

4. Membri del team e persone invitate

In qualità di membro del workspace di un’altra persona, ha un proprio account con gli stessi strumenti indicati nella sezione 3: esportazione, rettifica, cancellazione. La Sua esportazione contiene le Sue appartenenze, ma non i domini dei workspace di proprietà di altri – ne è responsabile il loro proprietario. Può abbandonare un workspace in qualsiasi momento; il proprietario può rimuoverLa. Ciò che ha fatto nel workspace viene registrato nel registro delle attività e scade dopo 365 giorni. Se ha lasciato un nome o un indirizzo e-mail come persona che ha preso in carico un incidente o come destinatario di un avviso, questi dati sono gestiti dal proprietario del workspace; agiamo per conto del proprietario e gli inoltriamo qualsiasi richiesta.

Se è stato invitato senza creare un account, memorizziamo il Suo indirizzo e-mail e il ruolo previsto fino alla scadenza dell’invito dopo 14 giorni; il ciclo notturno lo cancella quindi. Cancelliamo un invito accettato 30 giorni dopo l’accettazione. Se desidera che un invito non ancora accettato scompaia immediatamente, ci scriva dall’indirizzo invitato.

5. Gestori di siti web controllati senza account

5.1 Che cosa potremmo avere sul Suo dominio

Report del controllo gratuito: indirizzi delle pagine controllate, struttura dei moduli (senza valori), misure di protezione rilevate e screenshot, che non vengono oscurati. Cancellati dopo 30 giorni.
Controlli del Suo sito web come potenziale cliente da parte di un’agenzia: 90 giorni. Controlli per uno studio: fino alla pubblicazione, che contiene solo dati aggregati senza i nomi dei siti web.
Una voce di opt-out, se qualcuno ha escluso il Suo dominio: dominio e motivazione in modo permanente; indirizzo IP, paese e identificativo del browser della persona che ha effettuato l’inserimento per 12 mesi.
Dati del plugin senza account: se il nostro plugin WordPress o l’estensione TYPO3 funziona senza collegamento a un account, conosciamo l’host e le versioni; cancelliamo ogni notte i dati giornalieri di un host senza account, e l’host 90 giorni dopo l’ultimo contatto.

Questi dati diventano personali soprattutto quando una persona è visibile su una pagina controllata o in uno screenshot, ad esempio il nome di una persona di contatto accanto al modulo.

5.2 Opposizione: porre fine ai controlli

Il modo più rapido è tramite robots.txt (User-agent: FormExposedBot / Disallow: /) o la pagina di opt-out. Entrambi hanno effetto immediato, senza prova, sia per i controlli anonimi sia per i controlli da parte dei clienti, anche se un cliente ha verificato il dominio; il monitoraggio in corso termina con il successivo controllo previsto. L’opt-out si applica al dominio e alla sua variante www, non ad altri sottodomini; solo noi possiamo revocarlo, su richiesta e dietro prova. Il robots.txt ha effetto se il Disallow riguarda la home page. L’esclusione impedisce i controlli futuri; non cancella i report esistenti, che scadono al termine del loro periodo di conservazione. Maggiori informazioni sul crawler nella pagina FormExposedBot.

5.3 Far cancellare anticipatamente un report

Ci invii il link al report. Chi ha il link può comunque leggere il report; per la cancellazione non chiediamo quindi ulteriori prove. Senza il link, indichi il dominio e il momento approssimativo, e cercheremo.

Proceda allo stesso modo se Lei, come persona, compare su una pagina controllata o in uno screenshot, ad esempio come persona di contatto accanto a un modulo, e richiede l’accesso o la cancellazione. Se il controllo appartiene a un dominio per il quale un cliente ha fornito la prova di controllo, agiamo per conto di tale cliente; in tal caso inoltriamo la Sua richiesta al cliente e glielo comunichiamo.

5.4 Accesso alle informazioni su un dominio e prova di controllo

Chi chiede tutto ciò che abbiamo su un dominio riceve dati a cui il solo link al report non dà accesso. Prima di consegnarli, chiediamo la prova che Lei controlla il dominio – con uno dei metodi che richiediamo anche ai clienti: un record TXT nel DNS sotto _formexposed.<your-domain> o un file in /.well-known/formexposed-verify.txt, ciascuno con un valore da noi indicato. In alternativa è sufficiente un messaggio da un indirizzo dello stesso dominio indicato nelle note legali del sito web. Senza prova confermiamo solo se il dominio è escluso.

Che cosa non consegniamo: chi ha avviato un controllo – il suo indirizzo IP è un suo dato, non Suo, e viene cancellato dopo sette giorni, a meno che non sia stato annotato ai fini della prevenzione degli abusi a causa di un numero di controlli insolitamente elevato. Se un cliente ha il Suo dominio nel proprio account, Le comunichiamo che è così e, se lo desidera, inoltriamo la Sua richiesta. Se il cliente ha fornito la prova di controllo del dominio, agiamo per suo conto, e solo lui consegna i propri risultati. Se tale prova non esiste, siamo noi stessi titolari del trattamento; in tal caso Le indichiamo il cliente come destinatario, nella misura in cui lo richiede e i suoi legittimi interessi non prevalgono (Art. 15(1)(c), (4) GDPR). Gli invii di prova dei clienti raggiungono solo domini per i quali il cliente ha fornito la prova di controllo (internamente, controlliamo in questo modo solo i nostri domini di test e demo); se ritiene che tale prova manchi, ce lo segnali.

6. Visitatori dei siti web dei nostri clienti

Il gestore di un sito web di terzi è responsabile dei Suoi dati su quel sito web. Il gestore ha l’originale del Suo messaggio. Noi lavoriamo per conto del gestore e di norma non vediamo nulla che La identifichi. Nel dettaglio:

Verifica di recapito: se il gestore l’ha configurata, una copia nascosta dell’e-mail del modulo raggiunge la nostra casella di controllo. Al recupero successivo viene letta automaticamente (header e al massimo i primi 8 KB), associata e cancellata; il recupero avviene di norma ogni pochi minuti, e in caso di malfunzionamenti un’e-mail può restare fino al successivo ciclo riuscito. Nel nostro database restano solo l’ora e l’associazione al dominio e, in relazione al dominio, il risultato tecnico della verifica di autenticità dell’e-mail più recente (SPF, DKIM, DMARC, indirizzo IP del server di posta mittente), che l’e-mail successiva sovrascrive – né il contenuto né l’indirizzo completo del mittente. Il risultato di autenticità contiene il dominio e-mail del mittente, ad esempio quello del Suo fornitore di posta elettronica; viene indicato in un avviso al gestore solo se non appartiene al sito web. Dopo l’elaborazione non possiamo quindi più trovare il Suo messaggio, e non c’è nulla che potremmo attribuirLe e consegnarLe.
Badge: se il Suo browser carica l’immagine del badge, il Suo indirizzo IP, insieme a ora, identificativo del browser e pagina di provenienza, viene conservato nel log del nostro server web per 14 giorni; il badge non imposta cookie. Se entro questi 14 giorni ci comunica il Suo indirizzo IP e il momento approssimativo, verifichiamo se esistono voci e, su richiesta, le cancelliamo. Senza un indirizzo IP, una voce non può essere attribuita a nessuno.
Plugin WordPress ed estensione TYPO3: quarantena, rete di sicurezza e registrazioni restano sul sito web del gestore. A noi arrivano dati numerici giornalieri, l’inventario dei plugin e, per un plugin WordPress collegato, i domini dei link contenuti nei messaggi bloccati per la protezione collettiva (attiva per impostazione predefinita), ma nessun altro contenuto, nessun indirizzo, nome o indirizzo IP dei visitatori. Qui può aiutarLa solo il gestore.

Si rivolga quindi prima al gestore. Se non riesce a raggiungerlo, ci scriva indicando il sito web e il momento; inoltreremo la richiesta nella misura in cui possiamo identificare il gestore. Non possiamo decidere in merito, perché questo è un diritto del gestore.

7. Iscritti a un portale clienti

Un’agenzia offre il report mensile di un portale clienti a proprio nome; l’agenzia è il titolare del trattamento, e noi agiamo per suo conto. Può disiscriversi in qualsiasi momento tramite il link presente in ogni e-mail, immediatamente e senza effettuare l’accesso. Dopodiché conserviamo la registrazione della Sua iscrizione (indirizzo, lingua, momento e indirizzo IP dell’iscrizione, conferma, disiscrizione) per altri tre anni, affinché l’agenzia possa dimostrare che Lei aveva prestato il consenso; se l’agenzia cancella il proprio workspace, anche insieme al proprio account se nessun altro ne fa parte, la registrazione viene eliminata prima. Se si limita a revocare il portale, la registrazione resta memorizzata. Cancelliamo un’iscrizione non confermata dopo 30 giorni. L’accesso e la cancellazione anticipata li richiede all’agenzia; se ci scrive dall’indirizzo iscritto, inoltreremo la richiesta all’agenzia.

8. Opposizione, limitazione e revoca del consenso

Opposizione (Art. 21 GDPR): al trattamento basato su legittimi interessi, ad esempio i registri o il controllo del Suo sito web. In tal caso non trattiamo più questi dati, a meno che non dimostriamo l’esistenza di motivi legittimi cogenti che prevalgono sui Suoi interessi, o ne abbiamo bisogno per l’esercizio di un diritto in sede giudiziaria; La informeremo dell’esito. Per i controlli, l’opt-out è la via diretta (sezione 5.2). Si disiscrive dal report mensile relativo al Suo account nelle impostazioni. Il promemoria dopo la registrazione arriva al massimo una volta e poi mai più.
Limitazione (Art. 18): se contesta l’esattezza dei dati o ne ha bisogno per un procedimento giudiziario, su richiesta li blocchiamo anziché cancellarli.
Revoca del consenso (Art. 7(3)): laddove il trattamento si basa sul Suo consenso – ad esempio il report mensile di un portale clienti – la revoca ha effetto per il futuro.

9. Termini, verifica dell’identità, costi

Termine: rispondiamo senza ingiustificato ritardo e al più tardi entro un mese dal ricevimento (Art. 12(3) GDPR). Se una richiesta è eccezionalmente complessa, il termine può essere prorogato di due mesi; La informeremo di ciò entro il primo mese, indicandone i motivi. Se non diamo seguito alla richiesta, Le comunichiamo entro un mese il perché e che può proporre reclamo a un’autorità di controllo (Art. 12(4)).

Identità: consegniamo i dati solo alla persona a cui appartengono. Nell’account è sufficiente l’accesso con la Sua password. Via e-mail rispondiamo all’indirizzo associato all’account, all’invito o all’iscrizione; se scrive da un indirizzo diverso, Le chiediamo di confermare la richiesta dall’indirizzo memorizzato. Per i domini si applica la sezione 5.4. Chiediamo ulteriori informazioni, come un documento d’identità, solo se permangono ragionevoli dubbi (Art. 12(6)), e in tal caso solo nella misura necessaria; su una copia di un documento d’identità può oscurare tutto tranne il nome e la foto, e la cancelliamo dopo la verifica. Non Le chiediamo mai la Sua password.

Costi: nessuno. Solo per richieste manifestamente infondate o eccessive possiamo addebitare un contributo spese ragionevole o rifiutare (Art. 12(5)); in tal caso ne indicheremo i motivi.

Destinatari: se rettifichiamo, cancelliamo o limitiamo dati che abbiamo comunicato ad altri, informiamo tali destinatari, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato, e su richiesta Le comunichiamo chi sono i destinatari (Art. 19 GDPR).

10. I limiti, detti chiaramente

Dove non memorizziamo nulla, non possiamo consegnare nulla. Ciò riguarda soprattutto i visitatori dei siti web dei nostri clienti. Conformemente all’Art. 11 GDPR, non raccogliamo dati aggiuntivi al solo scopo di identificarLa.
Per i dati trattati per conto di un Cliente, decide il Cliente. Supportiamo il Cliente ai sensi dell’Accordo sul trattamento dei dati e inoltriamo le richieste, ma non cancelliamo nulla alle spalle del Cliente.
La cancellazione è definitiva. Non ripristiniamo domini, controlli o account cancellati, nemmeno da un backup (sezione 3.4).
Ciò che siamo tenuti a conservare resta fino al venir meno dell’obbligo, soprattutto le fatture e la prova della conclusione del contratto (sezione 3.4).

11. Contatti e reclami

Invii le richieste a contact@lukaswojcik.com, tramite la pagina di contatto o la finestra di supporto. Il titolare del trattamento è LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polonia. Non abbiamo designato un responsabile della protezione dei dati.

Può proporre reclamo a qualsiasi autorità di controllo per la protezione dei dati, in particolare nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione (Art. 77 GDPR). L’autorità competente per noi è il Presidente dell’Ufficio per la protezione dei dati personali (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa, Polonia. Le modalità con cui gestiamo i reclami sono illustrate nella pagina Reclami.

Come possiamo aiutarLa?