formexposed
Pradėti

Privatumo politika

Šis dokumentas skelbiamas keliomis kalbomis. Kalbinių versijų neatitikimo atveju privaloma yra lenkiška versija.

Versija 2.3 · Paskutinį kartą atnaujinta: 2026 m. spalio 29 d.

Šioje politikoje aprašoma, kokius asmens duomenis formexposed tvarko, kokiu tikslu ir teisiniu pagrindu, kam jie perduodami ir kada ištrinami. Rašome tik tai, ką Paslauga iš tikrųjų daro; mūsų nurodyti saugojimo terminai yra tie patys, pagal kuriuos vykdomas duomenų trynimas, o kai fiksuoto termino dar nėra, tai ir nurodome. Sukurtos, bet neįjungtos funkcijos taip ir įvardijamos. Kadangi Paslauga susijusi su keliomis asmenų grupėmis, kiekvieno skirsnio pradžioje nurodoma, kam jis skirtas:

  • Lankotės formexposed.com arba form.exposed: 3, 4 ir 5 skirsniai.
  • Pagrindiniame puslapyje patikrinote domeną: 6 skirsnis.
  • Jūsų svetainę patikrino mūsų tikrinimo robotas: 7 skirsnis – tai taip pat mūsų informacija pagal BDAR Art. 14.
  • Turite paskyrą arba buvote pakviesti į komandą: 8–18 skirsniai.
  • Lankotės vieno iš mūsų klientų svetainėje (su ženkleliu, įskiepiu arba pristatymo patikrinimu): 20 skirsnis.
  • Norite pasinaudoti savo teise arba pateikti skundą: 26–28 skirsniai.

1. Duomenų valdytojas ir kontaktai

Duomenų valdytojas, atsakingas už asmens duomenų tvarkymą formexposed.com ir form.exposed svetainėse bei formexposed paslaugoje, kiek neveikiame kliento vardu (2 skirsnis), yra:

LW IT Solutions Company Lukas Wójcik
Savininkas: Lukas Wójcik
al. Tadeusza Kościuszki 80/82, lok. 301
90-437 Łódź
Lenkija
NIP (Lenkijos mokesčių mokėtojo identifikacinis numeris) 7252266190 · PVM mokėtojo kodas PL7252266190
El. paštas: contact@lukaswojcik.com

Su mumis taip pat galite susisiekti per pagalbos langą (klaustukas navigacijoje) ir kontaktų puslapį. Apie saugumo spragas praneškite per mūsų pranešimo apie pažeidžiamumus puslapį.

Duomenų apsaugos pareigūnas: jo nepaskyrėme. Esame individuali įmonė; mūsų pagrindinė veikla – svetainių ir formų tikrinimas, o ne didelio masto asmenų stebėsena ar specialių kategorijų duomenų tvarkymas (BDAR Art. 37(1)). Priežastys išdėstytos Duomenų tvarkymo veiklos įrašuose. Klausimus dėl duomenų apsaugos siųskite pirmiau nurodytu el. pašto adresu; jie pasiekia tiesiogiai savininką.

2. Apie ką kalbama ir kokiu vaidmeniu veikiame

formexposed tikrina svetainių kontaktines formas: ar jos apsaugotos nuo šlamšto ir piktnaudžiavimo, ar užklausos pasiekia adresatą, kurios trečiųjų šalių paslaugos gali matyti duomenis, kol forma pildoma, ir ar kas nors iš to pasikeičia. Tai darydami asmens duomenis tvarkome trimis vaidmenimis. Šis skirtumas nėra formalumas: nuo jo priklauso, į ką turėtumėte kreiptis su prašymu.

  • Kaip duomenų valdytojas – mūsų pačių svetainių lankytojų, mūsų klientų ir jų komandų narių duomenų, sąskaitų išrašymo ir pagalbos, taip pat svetainių, kurios nepriklauso jokiai kliento paskyrai (nemokamas patikrinimas, tyrimas, potencialaus kliento patikrinimas) arba kurių domeno klientas dar nepatvirtino, tikrinimo atveju. Būtent apie tai yra ši politika.
  • Kaip duomenų tvarkytojas – trečiųjų asmenų duomenų, kuriuos mūsų klientai tvarkė per Paslaugą: formų el. laiškų kopijų pristatymo patikrinime (15 skirsnis), klientų portalo prenumeratorių (14 skirsnis), įspėjimų gavėjų, kurie patys nėra klientai (10 skirsnis), bandomųjų paskyrų patikrinimui už prisijungimo (9 skirsnis) ir asmenų, matomų svetainėje, kurios domeną klientas patvirtino (7 skirsnis). Tokiais atvejais duomenų valdytojas yra klientas; taikoma Duomenų tvarkymo sutartis, kurią kiekvienas klientas sudaro registruodamasis.
  • Visai neveikiame dėl to, ką mūsų WordPress įskiepis ir mūsų TYPO3 plėtinys saugo kliento svetainėje ir kas tos svetainės nepalieka (13 skirsnis). Duomenų valdytojas yra tos svetainės operatorius; mes prie jos prieigos neturime.

Kai šioje politikoje rašoma „klientas“, turimas omenyje formexposed paskyros turėtojas. Paskyros prieinamos tik verslo subjektams; nemokamu patikrinimu be paskyros gali naudotis bet kas. Paslauga nėra skirta vaikams.

3. Serveriai, žurnalai ir atsarginės kopijos

Visiems, kurie lankosi mūsų svetainėse arba naudojasi Paslauga.

formexposed veikia mūsų pačių serveriuose Lenkijoje: žiniatinklio serveryje su duomenų baze ir tikrinimo serveryje, kuriame veikia tikrinimo robotas ir kalbos modelis. Abu yra tame pačiame vidiniame tinkle. Jokio išorinio prieglobos ar debesijos paslaugų teikėjo nėra. Prieigą prie serverių turi tik savininkas.

3.1 Žiniatinklio serverio žurnalas

Kiekvienos užklausos atveju žiniatinklio serveris išsaugo IP adresą, datą ir laiką, užklaustą adresą, būsenos kodą, perduotų duomenų kiekį, anksčiau aplankytą puslapį (nukreipiantįjį puslapį) ir naršyklės identifikatorių (user agent). Tai taikoma ir ženklelio užklausoms iš klientų puslapių (12 skirsnis). Žurnalai kasdien keičiami ir ištrinami po 14 dienų.

3.2 Puslapių peržiūrų žurnalas

Be to, programa registruoja kiekvieną puslapio peržiūrą, bet ne fonines užklausas, sąsajas ar ženklelį: IP adresą, pagal jį nustatytą šalį, užklaustą adresą ir nukreipiantįjį puslapį (prieš išsaugodami juose užmaskuojame prieigos raktus, pvz., ataskaitų ar portalo nuorodų), naršyklės identifikatorių ir iš jo gautą informaciją apie įrenginio tipą, operacinę sistemą ir naršyklę, kalbą ir – jei esate prisijungę – Jūsų paskyros numerį. Šalį nustatome naudodami duomenų bazę savo serveryje; tam IP adresas serverio nepalieka. Jei mūsų pagalbos tarnyba peržiūri Jūsų paskyrą (8.5 skirsnis), šios puslapių peržiūros Jūsų paskyrai nepriskiriamos. Įrašus ištriname po 60 dienų.

3.3 Klaidų žurnalas ir pranešimai apie klaidas

Technines klaidas registruojame nurodydami laiką, lygį, šaltinį, pranešimą, techninį kontekstą ir, jei taikoma, Jūsų paskyros numerį, ir ištriname jas po 90 dienų. Įvykus naujo tipo klaidai, Paslauga savininkui išsiunčia el. laišką su neapdorotu pranešimo tekstu (iki 400 simbolių, neišvalytu) ir trumpą pranešimą per Telegram; jei klaidų susikaupia daug – tik pranešimą; be to, kasdien el. paštu siunčiama klaidų tipų apžvalga. Telegram pranešimas yra fiksuotas sakinys be klaidos turinio, be adreso ir be informacijos apie asmenis. Kiekvienam klaidos tipui saugome vieną pranešimo pavyzdį, šiuo metu be fiksuoto saugojimo termino; trynimo terminą nustatysime ir nurodysime čia. Klaidų pranešimuose neturėtų būti asmens duomenų; negalime to atmesti, pavyzdžiui, jei pranešime atkartojamas įvestas adresas.

3.4 Atsarginės kopijos

Duomenų bazės atsarginė kopija daroma kiekvieną naktį, pasibaigus trynimo procesui; todėl atsarginėje kopijoje nėra nieko, kas pagal šiuos saugojimo terminus jau turėjo būti ištrinta. Šiuo metu atsarginės kopijos saugomos toje pačioje vietoje kaip ir duomenų bazė ir nėra atskirai užšifruotos; planuojama užšifruota kopija antroje vietoje. Jos nustoja galioti po 14 dienų. Tai, ką ištriname veikiančioje sistemoje, iki tol lieka atsarginėse kopijose. Iš atsarginės kopijos niekas atrankiniu būdu nešalinama; ji skirta tik atkūrimui po duomenų praradimo.

Tikslas ir teisinis pagrindas: Paslaugos veikimas ir saugumas, apsauga nuo atakų ir piktnaudžiavimo, trikčių šalinimas, atkūrimas ir naudojimo statistika. Pastaruoju atveju registruojame tik dienos sumas (pvz., registracijų skaičių per dieną), nieko apie atskirus asmenis; nenaudojame jokių analitikos ar sekimo paslaugų. Teisinis pagrindas – BDAR Art. 6(1)(f); mūsų teisėtas interesas – saugus ir stabilus veikimas.

4. Slapukai ir saugykla naršyklėje

Mūsų svetainių lankytojams ir Paslaugos naudotojams.

PavadinimasTipasTikslasTrukmė
bpidslapukasSesija: išlaiko Jus prisijungusius, apsaugo formas nuo suklastotų užklausų (CSRF) ir skaičiuoja nemokamo patikrinimo limitus sesijaikol uždarysite naršyklę
bp_rememberslapukastik jei prisijungdami pasirenkate „Likti prisijungus“: išlaiko Jus prisijungusius30 dienų
bp_themevietinė saugyklaar pasirinkote šviesią, ar tamsią temą; prisijungusiems naudotojams pasirinkimas taip pat išsaugomas paskyrojekol ištrinsite naršyklės duomenis

Ši saugykla yra būtinai reikalinga, kad veiktų Jūsų aiškiai užsakyta Paslauga; sutikimo jai nereikia (Direktyvos 2002/58/EB Art. 5(3), įgyvendintas nacionalinėje teisėje, Vokietijoje – Telekomunikacijų ir skaitmeninių paslaugų duomenų apsaugos įstatymo (TDDDG) § 25(2) 2 punktas, Lenkijoje – Elektroninių ryšių įstatymo (Prawo komunikacji elektronicznej) Art. 399). Su tuo susijusio tvarkymo teisinis pagrindas yra BDAR Art. 6(1)(b), jei esate prisijungę, kitu atveju – BDAR Art. 6(1)(f); mūsų teisėtas interesas šiuo atveju – apsaugoti mūsų formas nuo suklastotų užklausų, užtikrinti nemokamo patikrinimo limitus ir rodyti Jūsų pasirinktą vaizdą.

Nenaudojame slapukų reklamai ar auditorijos matavimui. Partnerių programos rekomendacijos kodas (18 skirsnis) iki registracijos perduodamas adrese, o ne slapuke. Pateikiant formą, Google reCAPTCHA gali naudoti savo slapukus (5 skirsnis).

5. Google reCAPTCHA ir mūsų pačių formų apsauga

Visiems, kurie pateikia kurią nors iš mūsų formų.

Nemokamo patikrinimo, antraščių įrankio, domeno išskyrimo (opt-out), prisijungimo, registracijos, naujo slaptažodžio prašymo ir nustatymo, pagalbos ir kontaktų formas nuo automatizuotų atakų saugome naudodami Google reCAPTCHA v3. Paslaugų teikėjas – Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Airija.

Google scenarijų įkeliame tik tada, kai pateikiate kurią nors iš šių formų, o ne vos atidarius puslapį. Tada jis nuskaito informaciją apie naršyklę, įrenginį ir puslapio naudojimą ir kartu su Jūsų IP adresu bei galimais Google slapukais perduoda ją Google, kuri įvertina, ar formą pateikia žmogus. Mes gauname tik šį įvertinimą kaip balą ir veiksmą, kuriam jis taikomas. Jei balas mažesnis už mūsų ribą, priklauso kitai formai arba Google neatsako per tris sekundes, pateikimą atmetame; balo nesaugome. Galite bandyti dar kartą arba parašyti mums el. paštu. Google gali perduoti duomenis Google LLC JAV (22 skirsnis) ir pati sprendžia, kiek laiko juos saugo; daugiau informacijos – Google privatumo politikoje.

Be to, šiose formose – išskyrus naujo slaptažodžio nustatymo formą – yra mūsų pačių apsauga be trečiųjų šalių: žmonėms nematomas spąstų laukas ir pasirašyta laiko žyma, pagal kurią atpažįstamos per greitai pateiktos formos.

Nemokamo patikrinimo, registracijos, prisijungimo ir naujo slaptažodžio prašymo formas papildomai saugome savo pačių formų apsauga formconfirmed, kuri taip pat veikia be trečiųjų šalių. Atidarius puslapį, nedidelis scenarijus iš mūsų serverio gauna pasirašytą užduotį; vos pradėjus naudotis forma, Jūsų naršyklė ją fone išsprendžia (skaičiavimo įrodymas). Rezultatas kartu su forma mus pasiekia kaip vienkartinis patikros žetonas, kurį tikriname pateikimo metu. Tai darydami tvarkome Jūsų IP adresą, puslapio su forma adresą, laiko momentus ir informaciją, ar buvo užpildytas žmonėms nematomas laukas. IP adresą šiuo tikslu saugome tik sutrumpintą (IPv4 atveju be paskutinio baito, IPv6 atveju tik pirmuosius 48 bitus) ir kaip maišos reikšmę su kasdien besikeičiančiu raktu, kad atpažintume pasikartojančias užklausas; ši reikšmė ištrinama po vienos valandos, panaudotas patikros žetonas – ne vėliau kaip po vienuolikos minučių. Formų apsauga nevertina šių formų turinio. Ji nenaudoja slapukų, nieko nesaugo Jūsų naršyklėje ir nesukuria Jūsų įrenginio piršto atspaudo. Jei nėra galiojančio patikros žetono, pateikimą atmetame; jei mūsų paslauga užduočiai gauti buvo nepasiekiama, pateikimą leidžiame.

Teisinis pagrindas: BDAR Art. 6(1)(f); mūsų teisėtas interesas – apsaugoti šias formas nuo programų piktnaudžiavimo, visų pirma nuo masinio slaptažodžių spėliojimo, automatiškai kuriamų paskyrų ir nemokamo patikrinimo naudojimo kaip įrankio prieš trečiųjų šalių svetaines. Kadangi Google scenarijus įkeliamas tik pateikiant formą ir naudojamas tik tam pateikimui, informacijos nuskaitymą iš Jūsų įrenginio laikome būtinai reikalingu, kad galėtume suteikti paslaugą, kurios aiškiai prašote pateikdami formą (TDDDG § 25(2) 2 punktas, Prawo komunikacji elektronicznej Art. 399). Tas pats taikoma ir mūsų pačių formų apsaugai: naršyklėje ji tvarko tik tai, ko reikia Jūsų naudojamai formai pateikti. Ilgainiui ji turėtų pakeisti reCAPTCHA. Būtinybė: be reCAPTCHA ir mūsų pačių formų apsaugos formos pateikti neįmanoma; užklausoms lieka el. paštas.

6. Nemokami patikrinimai be paskyros

Visiems, kurie pagrindiniame puslapyje tikrina domeną arba naudojasi antraščių įrankiu.

6.1 Nemokamas patikrinimas

Pagrindiniame puslapyje domeną galite patikrinti be paskyros. Tam tvarkome:

  • įvestą domeną ir patikrinimo rezultatą (ataskaitą; ką tikrinimo robotas tuo metu surenka, aprašyta 7 skirsnyje);
  • Jūsų IP adresą, jo šalį, Jūsų sesijos maišos reikšmę (ne pačią sesiją), laiką ir tai, ar užklausa buvo priimta, kad galėtume užtikrinti limitus (tik keli patikrinimai per dieną vienam adresui ir sesijai; per pastarąsias kelias dienas jau patikrintam domenui vietoj naujo patikrinimo pateikiama ta pati ataskaita) ir aptikti piktnaudžiavimą. Šiuos įrašus ištriname po 7 dienų;
  • įtartino elgesio atveju, pavyzdžiui, kai iš vieno adreso tikrinama daug skirtingų domenų, – žymą su IP adresu arba sesijos maišos reikšme. Ji saugoma, kol peržiūrime atvejį, ir dar 90 dienų po to. Savininkas apie tai gauna Telegram pranešimą be domeno ir be IP adreso.

Ataskaitą gali pasiekti kiekvienas, kam perduodate jos atsitiktinę nuorodą; paieškos sistemos neturėtų jos indeksuoti. Ją ištriname po 30 dienų kartu su patikrinimo duomenimis ir ekrano kopijomis. Nemokamoje ataskaitoje pateikiama ištrauka; tikrinama tas pats, kas ir paskyroje, tačiau be bandomųjų pateikimų.

6.2 Antraščių įrankis

Saugumo antraščių įrankis du kartus (per https ir per http) atsisiunčia domeno pagrindinį puslapį ir įvertina atsakymą. Domeną, rezultatą ir įvertinimą saugome 90 dienų; limitams taikomas tas pats žurnalas kaip ir patikrinimui (7 dienos). Išskirtas domenas (19 skirsnis) čia taip pat netikrinamas.

Teisinis pagrindas: BDAR Art. 6(1)(b) – Jūsų užsakytam patikrinimui, ir BDAR Art. 6(1)(f) – limitams ir piktnaudžiavimo prevencijai; mūsų teisėtas interesas – kad Paslauga nebūtų netinkamai naudojama kaip įrankis prieš kitų asmenų svetaines. Būtinybė: be domeno patikrinimas neįmanomas; be IP adreso serveris negali Jums atsakyti.

6.3 Atsiliepimai apie ataskaitą

Visiems, kurie su paskyra ar be jos naudojasi po ataskaita esančia funkcija „Ar šioje ataskaitoje kažkas negerai?“.

Po kiekviena baigta ataskaita galite mums pranešti, kad trūksta formos, ji klasifikuota neteisingai arba kad atskiro patikrinimo rezultatas yra klaidingas. Tam tvarkome:

  • tai, ką įvedate: pasirinktą kategoriją, jei norite – atitinkamą patikrinimą, puslapio adresą ir iki 1 000 simbolių tekstą;
  • ataskaitą, su kuria susijęs atsiliepimas (nuorodos, patikrinimo ir domeno identifikatorių), puslapio kalbą ir laiką;
  • jei esate prisijungę, Jūsų paskyros identifikatorių; tada šalia atsiliepimo matome paskyros el. pašto adresą;
  • vienkryptę Jūsų IP adreso kontrolinę sumą (sudarytą naudojant slaptą raktą), kad iš vieno adreso būtų gaunama tik keletas pranešimų (5 per valandą, 20 per dieną). Paties IP adreso su atsiliepimu nesaugome; kontrolinę sumą išvalome po 2 dienų.

El. pašto adreso neprašome ir į atsiliepimus neatsakome. Jei norite gauti atsakymą, rašykite pagalbos tarnybai (17 skirsnis). Prašome tekste nenurodyti asmens duomenų. Atsiliepimus perskaitome, klasifikuojame ir, kai naudinga, ataskaitos patikrinimo duomenis (formų laukus, priežastis ir radinius, be ekrano kopijų) naudojame kaip bandomąjį atvejį savo aptikimo sistemai; toks bandomasis atvejis apibūdina patikrintą svetainę, o ne Jus. Atsiliepimas ataskaitos nekeičia.

Teisinis pagrindas: BDAR Art. 6(1)(f); mūsų teisėtas interesas – rasti ir ištaisyti aptikimo klaidas, o limitas apsaugo nuo piktnaudžiavimo. Būtinybė: atsiliepimas yra savanoriškas. Saugojimas: 24 mėn.; ištrinant Jūsų paskyrą – nedelsiant.

7. Svetainių tikrinimas mūsų tikrinimo robotu – informacija pagal BDAR Art. 14

Patikrintų svetainių operatoriams ir asmenims, kurių duomenys matomi patikrintoje svetainėje. Šių duomenų mums nepateikėte patys; todėl informuojame Jus čia.

7.1 Ką daro tikrinimo robotas

Mūsų tikrinimo robotas FormExposedBot per vieną patikrinimą vieną po kito atsisiunčia ne daugiau kaip aštuonis viešus svetainės puslapius – lygiai taip pat, kaip tai daro lankytojas su naršykle. Be to, gali būti iki trijų puslapių, kuriuos jis įkelia iš naujo, kad slapukų reklamjuostėje spustelėtų „Atmesti“, iki trijų puslapių telefono rodinyje, patvirtintiems domenams – bandomieji pateikimai (7.3 skirsnis) ir iki penkių puslapių už prisijungimo (9.4 skirsnis). Prieš patikrinimą jis nuskaito robots.txt: jei Disallow, skirtas FormExposedBot arba visoms programoms, išskiria pagrindinį puslapį, jis netikrina. Šiuo metu jis atskirai neatsižvelgia į užblokuotus antrinius kelius. Savo naršyklės identifikatoriuje jis prisistato kaip FormExposedBot. Jis nagrinėja formas ir išsaugo:

  • patikrintų puslapių adresus ir pavadinimus, formų struktūrą (laukų pavadinimus, laukų tipus, etiketes, privalomumo ir matomumo atributus, be reikšmių; iš anksto užpildytų paslėptų laukų ir duomenų atributų pradžias jis nuskaito tik patikrinimo metu ir jų nesaugo) ir rastas apsaugos priemones;
  • technines puslapių savybes: naudojamas CAPTCHA ir apsaugos nuo šlamšto paslaugas, įterptus trečiųjų šalių scenarijus (adresą ir kontrolinę sumą), serverius, iš kurių puslapis įkelia turinį, nustatytų slapukų pavadinimus, saugumo antraštes, formų prieinamumo požymius, slapukų reklamjuostės elgseną atmetus slapukus ir tai, ar prie formų prijungti reklamos pikseliai ar sesijų įrašymas;
  • pirmojo puslapio matomos srities ekrano kopiją ir po vieną kiekvienos rastos formos ekrano kopiją, o po bandomojo pateikimo – ir atsakymo puslapio ekrano kopiją. Šios ekrano kopijos neredaguojamos; jose matoma tai, kas matoma puslapyje.

Jei formoje yra gavėjo adresas, išsaugome tik jo domeną, niekada ne patį adresą. Jokio kito puslapių turinio nesaugome. Vis dėlto asmens duomenys gali būti paliesti, jei jie matomi puslapyje ar ekrano kopijoje, pavyzdžiui, kontaktinio asmens vardas ir nuotrauka šalia formos. Kategorijos: vardai ir pavardės, pareigos, kontaktiniai duomenys ir atvaizdai, kuriuos paskelbė pats operatorius. Specialių kategorijų duomenų neieškome ir jų neanalizuojame.

Formas klasifikuojame pagal fiksuotas taisykles (pvz., „kontaktai“ arba „naujienlaiškis“). Tik jei taisyklės neduoda rezultato, padeda mūsų pačių tikrinimo serveryje veikiantis kalbos modelis; tokiu būdu klasifikuotos formos niekada nepateikiamos ir neįskaičiuojamos į balą ar verdiktą. Tuo metu jokie duomenys neperduodami trečiosioms šalims, o modelis jais nemokomas. Daugiau apie tai – puslapyje ES dirbtinio intelekto aktas: kaip formexposed naudoja DI.

7.2 Kas inicijuoja patikrinimą

  • asmuo, pagrindiniame puslapyje įvedęs domeną (6 skirsnis);
  • mūsų WordPress įskiepis arba mūsų TYPO3 plėtinys – savo svetainei, net ir be paskyros (13 skirsnis);
  • klientas – domenui savo paskyroje (9 skirsnis);
  • agentūra – potencialaus kliento svetainei, be bandomojo pateikimo (14 skirsnis);
  • mes patys – kontaktinių formų apsaugos tyrimui, iš kurio skelbiame tik apibendrintus skaičius be svetainių pavadinimų.

7.3 Ko tikrinimo robotas nedaro

Kitų asmenų svetaines jis tikrina tik pasyviai: nepateikia jokių formų, nebando prisijungimo duomenų ir nieko neatakuoja. Bandomuosius pateikimus jis siunčia tik į tų domenų kontaktines formas, dėl kurių klientas savo paskyroje įrodė turintis teisę juos kontroliuoti – kaip savininkas arba savininko vardu, DNS įrašu, meta žyma, failu ar įskiepiu: aiškiai pažymėtus bandomuosius pranešimus be asmens duomenų, ne daugiau kaip penkis per patikrinimą; be tokio įrodymo – tik vidiniuose mūsų pačių bandomųjų ir demonstracinių domenų patikrinimuose. Atvirų failų paieška, versijų nuskaitymas ir patikrinimas už prisijungimo taip pat prieinami tik patvirtintiems domenams (9 skirsnis).

7.4 Saugojimo terminas

Patikrinimai be paskyros – 30 dienų; potencialaus kliento svetainės patikrinimai – 90 dienų; tyrimo patikrinimai – kol paskelbiami jo rezultatai; domeno kliento paskyroje patikrinimai – ne ilgiau kaip 13 mėn. (naujausias saugomas tol, kol domenas yra paskyroje) ir niekada ne ilgiau, nei domenas yra paskyroje.

7.5 Teisinis pagrindas ir šaltinis

Teisinis pagrindas – BDAR Art. 6(1)(f). Teisėtas interesas – parodyti svetainių operatoriams ir jų paslaugų teikėjams jų formų trūkumus, kol jie nepanaudoti šlamštui ar piktnaudžiavimui, patikrinimo prašančio asmens interesas gauti šį rezultatą ir, tyrimo atveju, galimybė pateikti išvadą apie formų apsaugos būklę. Duomenys gaunami iš viešai prieinamų šaltinių, būtent iš pačios patikrintos svetainės. Gavėjai – patikrinimą pradėjęs asmuo ir kiekvienas, kam tas asmuo perduoda ataskaitos nuorodą, o potencialaus kliento patikrinimo atveju – agentūra; iš tyrimo skelbiame tik apibendrintus skaičius. Jei klientas savo paskyroje tikrina patvirtintą domeną, veikiame jo vardu (2 skirsnis); kol patvirtinimo nėra, duomenų valdytojas esame patys. Šią informaciją skelbiame čia ir FormExposedBot puslapyje, užuot rašę kiekvienam matomam asmeniui atskirai; tai būtų neįmanoma arba pareikalautų neproporcingų pastangų, ypač todėl, kad apie šiuos asmenis žinome tik tai, kas yra puslapyje (BDAR Art. 14(5)(b)).

Prieštaravimas ir išskyrimas: kaip svetainės operatorius galite išskirti savo domeną iš tolesnių patikrinimų per savo robots.txt arba mūsų išskyrimo (opt-out) puslapį (19 skirsnis). Patikrintame puslapyje matomi asmenys gali nesutikti su tvarkymu pagal 27 skirsnį ir prašyti ištrinti ataskaitą ar ekrano kopiją.

8. Jūsų kliento paskyra

Klientams ir pakviestiems komandos nariams.

8.1 Registracija ir paskyra

Paskyrai tvarkome Jūsų el. pašto adresą ir slaptažodį (tik kaip maišos reikšmę; paties slaptažodžio nežinome), taip pat Jūsų vardą ir – jei juos nurodote – pavardę ir įmonę, be to, kalbą, temą, valiutą, planą, registracijos ir paskutinio prisijungimo laiką bei paskutinio prisijungimo IP adresą. Savo el. pašto adresą patvirtinate nuoroda, kuri galioja 72 valandas; niekada nepatvirtintas paskyras ištriname po 30 dienų. Jei pakeičiate el. pašto adresą, naujasis pradedamas taikyti tik jį patvirtinus juo atsiųsta nuoroda.

Teisinis pagrindas: BDAR Art. 6(1)(b) (sutartis); paskutinio prisijungimo IP adresui – BDAR Art. 6(1)(f) (Jūsų paskyros apsauga, 8.2 skirsnis). Būtinybė: el. pašto adresas, vardas ir slaptažodis būtini sutarčiai sudaryti; sąskaitų adresą ir PVM mokėtojo kodą pateikiate tik mokamiems planams, Stripe (18 skirsnis).

8.2 Prisijungimas ir saugumas

  • bandymai prisijungti su el. pašto adresu, IP adresu ir rezultatu: 7 dienos, apsaugai nuo slaptažodžių spėliojimo; be to, prisijungimo bandymų skaitikliai kiekvienai paskyrai (nežinomo adreso atveju – kiekvienam įvestam adresui), kiekvienai paskyrai ir IP adresui bei kiekvienam IP adresui, dviejų veiksnių bandymų ir slaptažodžio patvirtinimų skaitikliai kiekvienai paskyrai, slaptažodžio atkūrimo el. laiškų skaitikliai kiekvienam el. pašto adresui, registracijų skaitikliai kiekvienam IP adresui ir klientų portalo slaptažodžio bandymų skaitikliai kiekvienam portalui ir IP adresui, kuriuos saugome tik su pseudoniminiu raktu (HMAC), be atviru tekstu pateikto el. pašto ar IP adreso, ir kurie nustoja galioti pasibaigus jų laiko intervalui (šiuo metu 15 minučių, slaptažodžio atkūrimui ir registracijoms – viena valanda);
  • prisijungę įrenginiai su IP adresu, naršykle, operacine sistema ir įrenginio tipu, kad galėtumėte juos matyti nustatymuose ir atjungti: iki 90 dienų po paskutinio naudojimo;
  • jei įjungtas dviejų veiksnių prisijungimas – jo slaptasis raktas (užšifruotas) ir Jūsų atkūrimo kodai (tik kaip maišos reikšmės);
  • slaptažodžio atkūrimo nuorodos galioja vieną valandą;
  • svarbių veiksmų, pvz., „domenas sukurtas“, „įspėjimas nustatytas“ ar „nustatymai pakeisti“, veiklos žurnalas su laiku, veikiančia paskyra, IP adresu ir šalimi: 365 dienų.

Teisinis pagrindas: BDAR Art. 6(1)(f); mūsų teisėtas interesas – apsaugoti Jūsų paskyrą ir Paslaugą bei užtikrinti pakeitimų atsekamumą darbo srityje, kurioje dirba keli asmenys.

8.3 Sutarties sudarymo įrašas

Registracijos metu užregistruojame, su kuria Paslaugų teikimo sąlygų ir Duomenų tvarkymo sutarties versija sutikote ir su kuria šios Privatumo politikos versija susipažinote – kiekvienu atveju su visu tekstu, jo maišos reikšme, laiku, IP adresu ir naršyklės identifikatoriumi. Tai yra sutarties sudarymo įrodymas (BDAR Art. 6(1)(b) ir (f)). Šį įrašą saugome tol, kol egzistuoja paskyra. Ištrynus paskyrą, jį ištriname, kai tik sutikimui sukanka ketveri metai, nes klausimų dėl sutarties sudarymo paprastai kyla būtent jai pasibaigus.

8.4 Darbo sritys, komanda ir kvietimai

Paskyra veikia vienoje ar keliose darbo srityse. Jei ką nors pakviečiate, tam asmeniui išsiunčiame el. laišką su darbo srities pavadinimu (pagal numatytuosius nustatymus – Jūsų įmonės pavadinimu arba vardu) ir nuoroda kvietimui priimti; kvietimui taip pat saugome numatytą vaidmenį ir tai, kas išsiuntė kvietimą. Darbo srities nariai mato, kas jai priklauso ir kokiu vaidmeniu. Jei esate pakviestas asmuo, Jūsų el. pašto adresą gavome iš Jus pakvietusio nario (BDAR Art. 14(2)(f)). Nepriimtus kvietimus ištriname jiems nustojus galioti po 14 dienų, o priimtus – praėjus 30 dienų po priėmimo. Stebimai formai galima priskirti atsakingą komandos narį ir taisymo terminą; tam saugome tik priskyrimą paskyrai ir terminą. Teisinis pagrindas: BDAR Art. 6(1)(b) kliento atžvilgiu; pakviesto asmens atžvilgiu – BDAR Art. 6(1)(f) (klientas nori dirbti su tuo asmeniu).

8.5 Mūsų pagalbos tarnybos pagalba

Kad padėtų Jums išspręsti problemą, mūsų pagalbos tarnyba gali peržiūrėti Jūsų paskyrą taip, kaip ją matote Jūs. Kiekviena tokia prieiga įrašoma į veiklos žurnalą ir rodoma Jūsų duomenų eksporte. Teisinis pagrindas: BDAR Art. 6(1)(b), jei paprašėte pagalbos, kitu atveju – BDAR Art. 6(1)(f) (trikčių šalinimas).

8.6 Eksportas ir ištrynimas

Skiltyje „Nustatymai“ galite atsisiųsti Jūsų paskyrai saugomus duomenis kaip JSON failą – be slaptažodžių maišos reikšmių ir slaptųjų raktų bei be kitų narių duomenų. Šiame faile nėra patikrinimų rezultatų, radinių ir incidentų (tik eskalavimo pristatymo bandymai pagal įspėjimų adresatą); juos galima gauti kaip ataskaitas paskyroje, o paprašius – kaip failą. Ten pat savo paskyrą galite ištrinti patys; el. laiško nereikia. Vykdoma mokama prenumerata baigiasi nedelsiant, paprastai be pinigų grąžinimo (išimtys nurodytos Paslaugų teikimo sąlygose); norintieji pirmiausia išnaudoti apmokėtą laikotarpį atšaukia prenumeratą skiltyje „Atsiskaitymai“, kad ji baigtųsi laikotarpio pabaigoje. Jei Jūsų paskyros sutartis baigiasi kitaip, pavyzdžiui, mums ją nutraukus, savo duomenis galite eksportuoti iki sutarties pabaigos, o paskyrą ištriname ne vėliau kaip per 30 dienų po sutarties pabaigos. Kartu su paskyra nedelsiant ištriname Jūsų darbo sritis su joms priskirtais duomenimis, įskaitant domenus, patikrinimų rezultatus ir ekrano kopijas, įspėjimus, incidentus, įrodymų žurnalus, prekės ženklo nustatymus, klientų portalus su prenumeratoriais, Jūsų potencialių klientų patikrinimų sąrašą (jų ataskaitos lieka prieinamos, kol baigsis jų 90 dienų), API raktus, diegimo kodus ir bandomuosius prisijungimus. Jei kurioje nors Jūsų darbo srityje dar dirba kas nors kitas, ši darbo sritis užuot buvusi ištrinta pereina kitam nariui – pirmiausia administratoriams, o iš jų – ilgiausiai esančiam nariui. Iki jų pačių saugojimo termino pabaigos lieka: veiklos žurnalas ir puslapių peržiūrų žurnalas su Jūsų buvusios paskyros numeriu, išsiųsti el. laiškai (30 dienų, 11 skirsnis), sutarties sudarymo įrašas (8.3), pagalbos užklausos (17 skirsnis), sąskaitų duomenys tiek, kiek reikalauja mokesčių teisė, komisinių duomenys ir panaudoti aktyvinimo kodai, kuriems šiuo metu saugojimo termino nėra (18 skirsnis), bei atsarginės kopijos (3.4).

9. Domenai, patikrinimai ir stebėsena

Klientams. Kiek tai susiję su trečiųjų asmenų asmens duomenimis, veikiame kliento vardu.

9.1 Domenai ir patvirtinimas

Kiekvienam Jūsų paskyroje esančiam domenui saugome pavadinimą, Jūsų įgaliojimų įrodymą (DNS įrašą, meta žymą, failą arba įskiepį), patikrinimų rezultatus ir Jūsų nustatymus, pvz., dažnumą, techninės priežiūros langą, pastabas, kliento žymą ir numatomą užklausos vertę. Dažnumas priklauso nuo Jūsų plano – iki kasdienių patikrinimų.

9.2 Viešai prieinamos informacijos stebėsena

Tarp patikrinimų užklausiame viešai prieinamą informaciją apie Jūsų domeną:

  • DNS įrašus (SPF, DMARC, MX), TLS sertifikatą ir saugumo antraštes;
  • domeno galiojimo pabaigos datą per atsakingo registro RDAP paslaugą; perduodamas tik domeno vardas;
  • Jūsų formų puslapių pasiekiamumą (formų pulsas, priklausomai nuo plano kas 10, 15 arba 30 minučių);
  • viešus CAPTCHA ir pašto paslaugų, kurias naudoja Jūsų svetainė, būsenos puslapius; tai darydami nieko apie Jus neperduodame;
  • žinomas saugumo spragas formų, CAPTCHA ir pašto įskiepiuose ir – patvirtintiems domenams kas savaitę – TVS, įskiepiuose ir temoje, kurių versijas nuskaitome iš išorės Jūsų pagrindiniame puslapyje. Lyginama su atvira WPVulnerability duomenų baze; perduodamas tik įskiepio ar temos identifikatorius (be versijos) ir WordPress versija, bet ne Jūsų domenas;
  • kasdien – ar Jūsų žiniatinklio serverio adresai, serverio, iš kurio atėjo paskutinis Jūsų formos el. laiškas (iš pristatymo patikrinimo), adresas arba Jūsų domenas ir to el. laiško siuntėjo domenas yra įtraukti į DNS šlamšto blokavimo sąrašus (SpamCop, PSBL, Mailspike, SURBL); užklausiami tik serverių domenai ir IP adresai, jokie lankytojų duomenys;
  • jei nustatyta – ar Google Web Risk Jūsų pagrindinį puslapį laiko kenkėjiškų programų ar sukčiavimo (phishing) puslapiu; perduodamas tik pagrindinio puslapio adresas;
  • patvirtintiems domenams kas savaitę – ar atviri failai, kurie niekada neturėtų būti vieši (pvz., konfigūracijos atsarginė kopija ar duomenų bazės iškeltinė kopija). Tai darydami nuskaitome ne daugiau kaip pirmuosius 8 KB failo, kad jį atpažintume, ir saugome tik radinio kelią, tipą ir svarbą, niekada ne turinį.

9.3 Formų keliai ir naršyklės patikrinimai

Stebimoms formoms saugome formų adresus, selektorius, ankstesnius paspaudimus ir sintetinius patikrinimo veiksmus, patikrinimo naršyklės pasirinkimą, taip pat atsakingą asmenį ir terminą. Naršyklės patikrinimai užpildo formą ne toliau kaip iki momento prieš pateikimą; jie nieko nepateikia ir neinicijuoja jokio užsakymo ar mokėjimo. Rezultatus sudaro būsena, techninės klaidų kategorijos, išvalyti klaidų pranešimai ir laiko matavimai; juose gali būti mažas formos vaizdas, kuriame įvesties laukai užmaskuoti. Šis maskavimas taikomas tik naršyklės patikrinimuose; tikrinimo roboto atliekamo išsamaus patikrinimo ekrano kopijos neredaguojamos (7.1 skirsnis). Mūsų patikrinimo naršyklių matavimai nėra Jūsų lankytojų matavimai.

Numatytas, bet šiuo metu neįdiegtas antras, nepriklausomas zondas, patvirtinantis rezultatus. Jis gautų tik domeną, išvalytą konfigūraciją ir užduoties identifikatorių, niekada ne prisijungimo duomenis, ekrano kopijas ar lankytojų duomenis; jo operatorių iš anksto nurodysime Pagalbinių duomenų tvarkytojų sąraše.

9.4 Patikrinimas už prisijungimo

Mokamuose planuose darbo srities savininkai ir administratoriai patvirtintam domenui gali išsaugoti savo svetainės bandomąją paskyrą, kad tikrinimo robotas galėtų nuskaityti formas už prisijungimo. Taikoma:

  • Naudotojo vardas ir slaptažodis žiniatinklio serveryje užšifruojami raktu, kurį gali atverti tik tikrinimo serveris; žiniatinklio serveryje, duomenų bazėje ir atsarginėse kopijose jie yra tik užšifruoti. Jie niekada nerodomi, neregistruojami žurnaluose ir nepateikiami per sąsają; naudotojo sąsajoje rodomas tik pirmasis naudotojo vardo simbolis ir jo ilgis. Prie patikrinimo užduoties pridėta užšifruota kopija išvaloma po vykdymo, ne vėliau kaip po vienos valandos.
  • Bandomąją paskyrą naudoja tik tikrinimo roboto atliekamas išsamus patikrinimas, ne naršyklės patikrinimai (9.3).
  • Už prisijungimo tikrinimo robotas nuskaito ne daugiau kaip penkis nurodytus puslapius. Jis nieko nepateikia, ten nedaro ekrano kopijų (ten gali būti rodomi paskyros duomenys) ir neina nuorodomis, skirtomis atsijungti, ištrinti ar atšaukti.
  • Jei ištrinate prisijungimo duomenis, užšifruotą reikšmę perrašome ir pašaliname; ji taip pat išnyksta kartu su domenu.

Naudokite tik specialiai šiam tikslui sukurtą bandomąją paskyrą, kurioje nėra tikrų klientų duomenų. Tai, ką tikrinimo robotas mato už prisijungimo, tvarkome Jūsų vardu.

9.5 Kitos funkcijos

Scenarijų sąrašas: jei jį įjungiate, saugome Jūsų formų puslapiuose esančių scenarijų sąrašą su adresu ir kontroline suma, pranešame apie naujus ar pakeistus scenarijus, o kai kuris nors patvirtinamas, saugome, kas, kada ir kokiu pagrindimu jį patvirtino. Prieinamumas: pagal paskutinį patikrinimą Paslauga gali sugeneruoti Jūsų formų prieinamumo informacijos projektą; tam įvesti įmonės duomenys lieka Jūsų naršyklėje. Lyginamieji rodikliai: palyginimui su sektoriumi visų klientų rezultatus vertiname tik apibendrintai; atskiros svetainės jame nematomos.

9 skirsnio teisinis pagrindas: BDAR Art. 6(1)(b); patikrinimo metu matomiems trečiųjų asmenų asmens duomenims – Jūsų nurodymai pagal Duomenų tvarkymo sutartį. Saugojimo terminas: domenas, patvirtinimas, nustatymai, formų keliai ir bandomieji prisijungimo duomenys – kol ištrinsite juos, domeną ar savo paskyrą; scenarijų sąrašas ir jo pakeitimai – kol ištrinsite domeną ar savo paskyrą (atskiro saugojimo termino jiems nėra); patikrinimų rezultatai, naršyklės patikrinimų rezultatai ir laiko matavimai – ne ilgiau kaip 13 mėn. (naujausias patikrinimas saugomas tol, kol domenas yra paskyroje).

10. Pranešimai

Klientams ir jų nurodytiems gavėjams.

Įspėjimus ir ataskaitas siunčiame Jūsų nustatytiems adresatams: el. pašto adresais, Jūsų pačių webhook adresais, į Slack, Discord, Microsoft Teams, Google Chat arba Telegram. Pokalbių kanalai ir webhook'ai prieinami Pro ir Business planuose. Pranešime nurodomas domenas, įvykis, trumpas aprašymas ir nuoroda į Jūsų paskyrą, o patikrinimo įspėjimuose – ataskaitos nuoroda, per kurią rezultatus ir ekrano kopijas galima pasiekti neprisijungus (Telegram gauna tik nuorodą į domeno puslapį Jūsų paskyroje, kuriam reikia prisijungti); jokio formų el. laiškų turinio. Saugome:

  • adresatus (el. pašto adresą, webhook ar pokalbio adresą; webhook'ams – pasirašymo paslaptį), kol ištrinsite juos arba domeną;
  • siuntimo žurnalą su laiku, įvykiu ir rezultatu: 90 dienų;
  • dienos ir savaitės ataskaitoms surinktus pranešimus: iki 30 dienų po išsiuntimo;
  • incidentus su patvirtinimo nuoroda: kol jie neišspręsti, o vėliau – 180 dienų po išsprendimo. Incidentą patvirtinęs asmuo įrašomas nurodytu vardu arba el. pašto adresu. Nepatvirtinti incidentai gali būti eskaluojami kitiems adresatams; tam kiekvienam adresatui saugome pristatymo bandymų skaičių ir laiką (ne daugiau kaip penki), ar pristatymas pavyko, ir galimą klaidą – tol, kol egzistuoja incidentas. Incidentas uždaromas tik išsprendus problemą; vien jo patvirtinimas jo neužbaigia.

Telegram: Telegram atveju naudojame savo robotą. Jį susiejate per nuorodą su vienkartiniu kodu, galiojančiu 30 minučių; kai robote paspaudžiate „Start“, mūsų serveris šį pranešimą gauna iš Telegram ir išsaugo Jūsų pokalbio identifikatorių (chat ID) kaip įspėjimų adresatą. Telegram tuo pačiu pateikia ir Jūsų Telegram vardą; jo nesaugome. Patį kodą ištriname ne anksčiau kaip po vienos dienos, kai tik sukuriamas kitas kodas. Chat ID saugomas, kol ištrinsite įspėjimą arba domeną.

Pokalbių paslaugos pranešimus tvarko pagal savo sąlygas ir Jūsų sutartį su jomis; kai kurios jų įsikūrusios už ES ribų (22 skirsnis). Gavėjų, kurie patys nėra klientai, atžvilgiu veikiame Jūsų vardu; prašome juos informuoti.

Teisinis pagrindas: BDAR Art. 6(1)(b); gavėjams, kurie nėra klientai, – Jūsų nurodymai. Būtinybė: be adresato įspėjimo nebus; patikrinimai vis tiek vykdomi.

11. Mūsų el. laiškai

Klientams ir visiems, kuriems rašome.

El. laiškus siunčiame Jūsų adresui patvirtinti, slaptažodžiui atkurti, kvietimams, įspėjimams ir ataskaitoms, kaip pagalbos užklausų gavimo patvirtinimus ir su pranešimais apie Jūsų paskyrą bei atsiskaitymus. Mūsų el. laiškų siuntimą ir gavimą vykdo Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Mūsų domeną ir jo DNS įrašus administruoja Namecheap, Inc., Phoenix, Arizona, JAV; kol nesukurta pašto dėžutė pas Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, Namecheap taip pat persiunčia bendruosius el. laiškus, siunčiamus adresais mūsų domene. Pristatymo patikrinimo kontrolinės kopijos per jį neina. Išsiųstus el. laiškus, įskaitant gavėją, temą ir turinį, saugome 30 dienų, kad galėtume išspręsti pristatymo problemas; ne ilgiau, nes juose yra ir galiojančių patvirtinimo bei atkūrimo nuorodų.

Be Jūsų aiškaus prašymo siunčiami trys el. laiškai:

  • Mėnesio ataskaita: mėnesio pradžioje – Jūsų domenų patikrinimų ir pranešimų apžvalga. Jos atsisakyti galite nustatymuose.
  • Priminimas apie sąranką: vienas el. laiškas praėjus nuo dviejų iki keturiolikos dienų po registracijos, jei Jūsų paskyra patvirtinta, bet joje dar nėra patvirtinto domeno – „Pridėti svetainę“ arba „Patvirtinti domeną“, be jokio pasiūlymo, kainos ar plano keitimo. Jis daugiau nesiunčiamas.
  • Bandomojo laikotarpio pabaiga: likus trims dienoms iki bandomojo laikotarpio pabaigos – pranešimas, kas bus toliau.

Teisinis pagrindas: BDAR Art. 6(1)(b) el. laiškams, kurie yra sutarties dalis, įskaitant mėnesio ataskaitą ir pranešimą apie bandomąjį laikotarpį; priminimui apie sąranką – BDAR Art. 6(1)(f), nes paskyra be domeno negali naudotis Paslauga, o daugelis klientų tiesiog pamiršta ją sukonfigūruoti. Reklamos nesiunčiame.

12. Ženklelis ir įrodymų žurnalas

Klientams, kurie naudoja ženklelį ar įrodymų žurnalą, ir svetainių su ženkleliu lankytojams.

Ženklelis: jei mūsų ženklelį įterpiate savo svetainėje, kiekvieno to puslapio lankytojo naršyklė ženklelio paveikslėlį įkelia iš mūsų serverio. Tuo metu gauname įprastus prisijungimo duomenis – IP adresą, laiką, naršyklės identifikatorių ir puslapį, kuriame rodomas ženklelis, – kurie patenka tik į žiniatinklio serverio žurnalą (14 dienų, 3.1 skirsnis), o ne į puslapių peržiūrų žurnalą. Ženklelis nenustato slapukų, nepradeda sesijos ir neturi scenarijaus. Viešame patvirtinimo puslapyje rodomas domenas, lygis ir paskutinio patikrinimo data, be atskirų radinių; kiekvienas jį atidaręs asmuo yra mūsų svetainės lankytojas (3 ir 4 skirsniai). Teisinis pagrindas – BDAR Art. 6(1)(f); mūsų teisėtas interesas – pateikti kliento įterptą ženklelį. Klientas tai nurodo savo privatumo politikoje (teksto fragmentai).

Įrodymų žurnalas: mokamuose planuose kiekvienam domenui ir kiekvienam mėnesiui galite sugeneruoti patikrinimų žurnalą. Pagal jo patvirtinimo numerį viešame puslapyje patvirtinamas domenas, laikotarpis ir pagrindiniai rodikliai, be detalių. Kad vėliau būtų galima nustatyti, ar žurnalas buvo pakeistas, jį pasirašo laiko žymų paslaugų teikėjas. Jam perduodame tik žurnalo maišos reikšmę, iš kurios neįmanoma atkurti jokio turinio; šiuo metu tai Certum (Asseco Data Systems S.A., Lenkija) ir, kaip atsarginis variantas, DigiCert, Inc. (JAV). Žurnalai saugomi, kol ištrinsite domeną. Teisinis pagrindas – BDAR Art. 6(1)(b).

13. WordPress įskiepis ir TYPO3 plėtinys

Klientams, kurie naudoja įskiepį ar plėtinį, ir jų svetainių lankytojams.

13.1 Kas lieka kliento svetainėje

Mūsų WordPress įskiepis ir mūsų TYPO3 plėtinys veikia kliento serveryje. Tai, ką WordPress įskiepis ten saugo, lieka toje svetainėje; mes prie to prieigos neturime, o duomenų valdytojas yra jos operatorius:

  • Karantinas: apsaugos sluoksnio kaip šlamštas sulaikyti pateikimai, įskaitant laukų turinį ir atsakymo adresą, iki 14 dienų, kad per klaidą sulaikytą pranešimą būtų galima pristatyti vienu paspaudimu;
  • Apsauginis tinklas: formų el. laiškų, kurių nepavyko išsiųsti, kopijos (gavėjas, tema, tekstas ir antraštės eilutės, pvz., atsakymo adresas; priedai – tik pavadinimu), iki 30 dienų, kad juos būtų galima išsiųsti dar kartą;
  • Skaičiavimo užduotis: lankytojo naršyklė išsprendžia nedidelę pačios svetainės pateiktą užduotį; jokio slapuko, jokios trečiosios šalies paslaugos;
  • Saugojimo terminas: paprašius įskiepis ištrina tam tikrų formų įskiepių išsaugotas užklausas po 90, 180 arba 365 dienų;
  • Formų skaičiavimai (pagal numatytuosius nustatymus išjungti): kiekvienos formos peržiūros, pildymo pradžios, patvirtinimo klaidos ir bandymai pateikti, o jei atskirai įjungta – klaidų kategorijos pagal lauko poziciją, be įvestų reikšmių, laukų pavadinimų, slapukų ar nuolatinių lankytojų identifikatorių, svetainėje ne ilgiau kaip 14 dienų. Iš IP adreso išvestas identifikatorius užklausoms riboti nustoja galioti po vienos minutės ir mums nesiunčiamas;
  • Pagalba lankytojams (įjungiama atskirai): įvykus siuntimo klaidai, pranešimas grąžina prie vis dar atidarytos formos ir, jei norima, nurodo el. pašto adresą; ji nenuskaito jokių įvestų reikšmių, nesaugo juodraščių ir pati nieko nesiunčia iš naujo;
  • naujos šlamšto taisyklės gali septynias dienas skaičiuoti vietoje nieko nesulaikydamos.

WordPress įskiepis pats prideda tinkamas pastraipas į WordPress privatumo politikos vadovą; daugiau tekstų rasite puslapyje Privatumo politikos tekstas Jūsų svetainei. TYPO3 plėtinys nesaugo jokio formų turinio; jis kiekviename puslapyje prideda meta žymą domenui patvirtinti ir skaičiuoja.

13.2 Įrašymo įrankis

Naudodamas įrašymo įrankį, prisijungęs WordPress administratorius įrašo kelią iki formos savo svetainėje. Įrankis techninius selektorius ir naršymo veiksmus ne ilgiau kaip 15 minučių laiko administratoriaus naršyklės sesijos saugykloje ir perduoda pasirinktą konfigūraciją prijungtai paskyrai. Jis nenuskaito jokių įvestų reikšmių. Lankytojams įrašymo įrankis niekada neįkeliamas.

13.3 Kas siunčiama mums

Įskiepis ir plėtinys mums perduoda – priklausomai nuo funkcijos ir, išskyrus savo svetainės patikrinimą be paskyros, tik kol svetainė prijungta prie paskyros:

  • pagrindinio kompiuterio vardą, viešąjį raktą ir paslaptį, kuriais svetainė identifikuojasi, įskiepio ir TVS versijas bei kalbą;
  • dienos rodiklius: užblokuotus pateikimus pagal priežastį, priimtus pateikimus, išsiųstus ir nepavykusius el. laiškus su klaidos tipu, reCAPTCHA atsakymų ir automatiškai ištrintų užklausų skaičius; jei įjungti skaičiavimai – jų dienos rodiklius;
  • formų nustatymų savybes kaip skaičius, pvz., kiek formų lankytojo adresą naudoja kaip siuntėją, ir tam tikrų formų, CAPTCHA ir pašto įskiepių iš fiksuoto sąrašo versijas;
  • įskiepių, temų ir TVS atnaujinimus, aktyvinimus ir deaktyvinimus su pavadinimais ir versijomis, techninės priežiūros režimą ir formos el. laiško siuntimo nesėkmę (tik klaidos tipą);
  • įrašymo įrankiu pasirinkto formos kelio konfigūraciją;
  • spiečiaus apsaugai (pagal numatytuosius nustatymus įjungta) – užblokuotuose pranešimuose esančių nuorodų domenus. Iš daugelio svetainių gautų pranešimų sudaromas šlamšto domenų sąrašas, kurį atsisiunčia visi prijungti įskiepiai. Tam neperduodame siuntėjų IP adresų ar tinklų.

Įskiepis ir plėtinys neperduoda jokio kito formų turinio, išskyrus šiuos nuorodų domenus, nei lankytojų el. pašto adresų, vardų ar IP adresų. Dienos rodiklius ir pakeitimų ataskaitas ištriname po 13 mėn., spiečiaus apsaugos signalus – po 30 dienų, o informaciją iš svetainės, nepriklausančios jokiam paskyroje esančiam domenui, – po 90 dienų be ryšio.

Teisinis pagrindas: BDAR Art. 6(1)(b); spiečiaus apsaugai – BDAR Art. 6(1)(f) (bendra apsauga nuo šlamšto daugelyje svetainių). Ši informacija asmens duomenys yra tik išimtiniais atvejais, pavyzdžiui, jei pagrindinio kompiuterio varde yra asmens vardas.

14. Funkcijos agentūroms

Agentūroms ir asmenims, kurie susiduria su jų portalais ir ataskaitomis.

  • Klientų portalas: agentūra savo klientams gali suteikti prieigą prie portalo su jų domenų rezultatais. Kiekvienas, kuris ten užsiprenumeruoja mėnesio ataskaitą, nurodo savo el. pašto adresą ir patvirtina jį per nuorodą (dvigubas patvirtinimas). Saugome adresą, kalbą, prenumeratos laiką ir IP adresą, patvirtinimo laiką ir paskutinio išsiuntimo mėnesį. Nepatvirtintas prenumeratas ištriname po 30 dienų. Atsisakyti prenumeratos galima bet kada per kiekviename el. laiške esančią nuorodą; po to prenumeratos įrašą saugome dar trejus metus, bet ne ilgiau nei iki agentūros darbo srities ištrynimo; jei agentūra tik panaikina portalą, prenumeratoriai lieka išsaugoti. Portalas ir ataskaitos rodomi agentūros vardu; duomenų valdytoja yra agentūra, o mes veikiame jos vardu. Agentūros teisinis pagrindas – prenumeratoriaus sutikimas.
  • Savas prekės ženklas: agentūros išsaugotas įmonės pavadinimas, svetainė, kontaktiniai duomenys, spalvos ir logotipas rodomi jos ataskaitose ir portale, kol ji juos pakeis ar ištrins.
  • Savas domenas: Business plane agentūra portalą ir ataskaitas gali rodyti savo subdomene. Tam kasdien tikriname jos DNS įrašus. Ši funkcija šiuo metu neįjungta.
  • Potencialaus kliento patikrinimas: agentūra gali užsakyti potencialaus kliento svetainės patikrinimą be bandomojo pateikimo (7 skirsnis). Nuorodą į trumpus radinius ji perduoda pati; mes niekam nerašome. Patikrinimą ištriname po 90 dienų. Už kreipimąsi į potencialų klientą atsakinga tik agentūra.
  • API raktai ir diegimo kodai: juos saugome tik kaip maišos reikšmę su trumpu priešdėliu kartu su jų pavadinimu, paskutinio naudojimo laiku (API raktai) arba panaudojimų skaičiumi (diegimo kodai) ir užklausų per minutę skaičiumi (ne trumpiau kaip vieną dieną; ištrinama vėlesnių užklausų metu).

Teisinis pagrindas: BDAR Art. 6(1)(b) agentūros atžvilgiu; dėl prenumeratorių ir potencialių klientų – žr. pirmiau.

15. Pristatymo patikrinimas

Klientams, kurie jį įjungia, ir jų svetainių lankytojams. Lankytojų duomenų atžvilgiu esame kliento duomenų tvarkytojas.

Pasirenkamas pristatymo patikrinimas atsako į klausimą, ar kontaktinės formos el. laiškas iš tikrųjų išsiunčiamas. Tam klientas savo formos pašto nustatymuose vieną iš mūsų kontrolinių adresų nurodo kaip nematomą kopiją (BCC). Todėl gauname ne tik savo bandomąjį pateikimą, bet ir kiekvieno formos el. laiško kopiją – įskaitant tikras jo lankytojų užklausas su jų vardais, adresais ir pranešimais.

Ką su jomis darome – ir tik tai: automatinis nuskaitymas perskaito antraštes ir ne daugiau kaip pirmuosius 8 KB teksto, pagal kontrolinį adresą priskiria el. laišką domenui ir, jei taikoma, bandomajam pateikimui, ir patikrina autentiškumo požymius SPF, DKIM ir DMARC. Sėkmingai apdorojus el. laiškas ištrinamas. Jei nuskaitymas ar ištrynimas nepavyksta, el. laiškas pašto dėžutėje gali likti iki kito sėkmingo vykdymo; pašto dėžutė talpinama pas mūsų pašto paslaugų teikėją (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Kopijos vertinamos tik automatiškai.

Savo duomenų bazėje 180 dienų saugome tik laiką, priskyrimą domenui ir, jei taikoma, bandomojo pateikimo identifikatorių, o paskutinio gauto el. laiško techninį autentiškumo rezultatą (SPF, DKIM, DMARC) – kol jį pakeis kitas el. laiškas arba bus ištrintas domenas. Šiame autentiškumo rezultate yra siunčiančiojo serverio IP adresas ir siuntėjo el. pašto domenas; šis domenas įspėjime klientui nurodomas tik tada, jei jis nepriklauso svetainei. Jei forma kaip siuntėją nurodo lankytojo adresą, tai yra lankytojo el. pašto paslaugų teikėjo domenas. El. laiškų turinio ir pilnų siuntėjų adresų nesaugome. Jei per kelias valandas po bandomojo pateikimo kopija negaunama, pranešame apie tai klientui.

Gavimas įrodo tik tai, kad priskirta kopija pasiekė mūsų kontrolinę pašto dėžutę – ne tai, kad ją gavo tikrasis gavėjas, ir ne įrašą CRM sistemoje. Formų, per kurias perduodami specialių kategorijų asmens duomenys (pvz., informacija apie sveikatą), nereikėtų jungti prie pristatymo patikrinimo. Klientas apie šį duomenų srautą informuoja savo lankytojus; tam skirtą tekstą rasite puslapyje Privatumo politikos tekstas Jūsų svetainei. Be sukonfigūruotos kontrolinės pašto dėžutės patikrinimas neprieinamas.

Teisinis pagrindas: klientui paprastai BDAR Art. 6(1)(f) (patikimas užklausų gavimas); duomenis tvarkome pagal jo nurodymus (BDAR Art. 28).

16. Kalbos modelis mūsų pačių serveryje ir „Fix it for me“

Klientams ir nemokamo patikrinimo naudotojams.

Kalbos modelis veikia mūsų pačių tikrinimo serveryje, o ne pas DI paslaugų teikėją. Jis padeda klasifikuoti formas (7 skirsnis), o naudojant „Fix it for me“ – įterpia apsaugą į Jūsų įklijuotą formos kodą. Įklijuotas kodas tvarkomas tik šiai užklausai, nesaugomas ir nenaudojamas mokymui; veiklos žurnale registruojame tik tai, kad funkcija buvo panaudota, su programavimo kalba, kodo ilgiu ir rezultatu (taip pat dienos limitui). Prašome neįklijuoti prisijungimo ar asmens duomenų. „Fix it for me“ veikia be prieigos prie Jūsų svetainės; kodą įterpiate patys. Daugiau – puslapyje ES dirbtinio intelekto aktas: kaip formexposed naudoja DI. Teisinis pagrindas: BDAR Art. 6(1)(b).

17. Pagalba, kontaktai ir pranešimai apie saugumo spragas

Visiems, kurie mums rašo.

Jei mums rašote per pagalbos langą arba kontaktų puslapį, tvarkome Jūsų el. pašto adresą, Jūsų pranešimą, pasirinktą temą, puslapį, iš kurio rašote, kalbą, Jūsų IP adresą, jo šalį, naršyklės identifikatorių ir – jei esate prisijungę – Jūsų paskyros numerį, kad atsakytume į Jūsų užklausą ir užkirstume kelią piktnaudžiavimui forma. Nurodytu adresu gaunate gavimo patvirtinimą el. paštu; jei esate prisijungę, jame pakartojama Jūsų pranešimo pradžia (iki 2 000 simbolių), kitu atveju Jūsų teksto jame nėra. Kaip ir kiekvienas išsiųstas el. laiškas, jis saugomas 30 dienų (11 skirsnis). Apie naujas užklausas mus informuoja Telegram signalas, kuriame nėra jokio turinio ir jokios informacijos apie Jus. Jei mums siunčiate el. laišką, tvarkome Jūsų adresą ir pranešimą. Pranešimus apie saugumo spragas tvarkome taip pat. Užklausas ištriname praėjus 24 mėn. nuo gavimo, net jei savo paskyrą ištrinate anksčiau; jos dokumentuoja, ko buvo klausta ir kas atsakyta.

Teisinis pagrindas: BDAR Art. 6(1)(b), jei užklausa susijusi su sutartimi su mumis, kitu atveju – BDAR Art. 6(1)(f) (atsakymas, piktnaudžiavimo prevencija, įrodymai). Būtinybė: be el. pašto adreso negalime atsakyti.

18. Mokėjimai, bandomasis laikotarpis ir partnerių programa

Klientams su mokamu planu ir partneriams.

Už mokamus planus atsiskaitoma per Stripe. Paslaugų teikėjas – Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Airija. Mokėjimo duomenis įvedate tiesiogiai Stripe; mes jų nematome. Stripe gauna Jūsų el. pašto adresą ir vardą, atsiskaitymo metu – Jūsų sąskaitų adresą ir, jei taikoma, PVM mokėtojo kodą, ir išrašo sąskaitas faktūras. Mes saugome tik kliento ir prenumeratos identifikatorius Stripe sistemoje, planą, būseną, atsiskaitymo laikotarpio pabaigą bei įvykių, apie kuriuos mums praneša Stripe, identifikatorius ir tipus.

Bandomąjį laikotarpį galite pradėti be kortelės; be mokėjimo priemonės jis baigiasi automatiškai. Jei prieglobos paslaugų teikėjas ar partneris Jums suteikė aktyvinimo kodą, saugome, kuri paskyra ir kada jį panaudojo bei iki kada galioja planas.

Stripe taip pat tvarko duomenis kaip savarankiškas duomenų valdytojas, pavyzdžiui, siekdama užkirsti kelią sukčiavimui ir vykdyti teisines prievoles, ir gali juos perduoti Stripe, Inc. JAV (22 skirsnis). Daugiau apie tai – Stripe privatumo politikoje.

Partnerių programa: programa sukurta, bet šiuo metu neįjungta. Jei ji bus įjungta, taikoma: kiekviena paskyra turi rekomendacijos kodą. Kiekvienas, užsiregistravęs per rekomendacijos nuorodą, ribotą mėnesių skaičių priskiriamas partneriui; saugome priskyrimą ir jo laiką, o kiekvienai apmokėtai sąskaitai faktūrai – grynąją sumą ir komisinius. Partneris mato tik skaičius – kiek paskyrų užsiregistravo, kiek moka ir bendrą jo komisinių sumą – jokių vardų ir jokių adresų. Taikomos Partnerių sąlygos. Partnerių duomenis, priskyrimus ir komisinius, taip pat informaciją apie panaudotus aktyvinimo kodus šiuo metu saugome be fiksuoto saugojimo termino; trynimo terminą nustatysime ir nurodysime čia.

Teisinis pagrindas: BDAR Art. 6(1)(b); sąskaitų faktūrų duomenų ir, kai to reikia mokesčių tikslais, komisinių duomenų saugojimui – BDAR Art. 6(1)(c); priskyrimui partneriui – BDAR Art. 6(1)(f) (komisinių atsiskaitymas). Sąskaitų faktūrų duomenis saugome tiek, kiek reikalauja mokesčių teisė; pagal Lenkijos teisę (Lenkijos mokesčių įstatymo, Ordynacja podatkowa, Art. 86 kartu su Art. 70) paprastai tol, kol praeina penkeri metai nuo kalendorinių metų, kuriais atsirado prievolė sumokėti mokestį, pabaigos. Būtinybė: be mokėjimo duomenų mokamo plano nėra; nemokamas planas lieka prieinamas.

19. Domeno išskyrimas (opt-out)

Svetainių operatoriams, kurie nenori, kad juos tikrintume.

Per išskyrimo (opt-out) puslapį galite išskirti domeną iš tolesnių patikrinimų. Išskyrimas taikomas domenui ir jo www variantui, ne kitiems subdomenams, taip pat ir mokantiems klientams, kurie domeną patvirtino; vykdoma stebėsena baigiasi su kitu suplanuotu patikrinimu. Panaikinti jį galime tik mes – paprašius ir pateikus įrodymą, kad kontroliuojate domeną. Saugome domeną, savanoriškai nurodytą priežastį, Jūsų IP adresą, jo šalį ir naršyklės identifikatorių. IP adresą, šalį ir naršyklės identifikatorių ištriname po 12 mėn.; pats išskyrimas lieka visam laikui, nes kitaip domenas vėl būtų tikrinamas. Šios informacijos mums reikia, kad Jūsų pageidavimą įgyvendintume visam laikui ir atpažintume, ar kas nors piktnaudžiaudamas neišskiria svetimų domenų. Teisinis pagrindas: BDAR Art. 6(1)(f); mūsų teisėtas interesas – visam laikui įgyvendinti Jūsų pageidavimą ir atpažinti piktnaudžiavimą forma. Jei išskyrimą laikote prieštaravimu pagal BDAR Art. 21, mes jį įgyvendiname būtent taip.

20. Mūsų klientų svetainių lankytojams

Asmenims, kurie lankosi svetainėje arba pateikia joje formą, kai tos svetainės operatorius naudoja formexposed.

Tos svetainės duomenų valdytojas yra jos operatorius, o ne mes. Operatorius sprendžia, kokias funkcijas naudoti, ir privalo Jus apie jas informuoti savo privatumo politikoje. Mus gali pasiekti:

  • Ženklelis: Jūsų naršyklės prisijungimo duomenys įkeliant paveikslėlį, 14 dienų žiniatinklio serverio žurnale, be slapuko; paveikslėlio pateikimo atžvilgiu čia esame duomenų valdytojas (12 skirsnis).
  • Pristatymo patikrinimas: Jūsų formos el. laiško kopija, kuri įvertinama automatiškai ir ištrinama; esame duomenų tvarkytojas (15 skirsnis).
  • WordPress įskiepis ir TYPO3 plėtinys: dienos rodikliai, nesusiję su Jumis, ir spiečiaus apsaugai – nuorodų iš užblokuotų pranešimų domenai; karantinas ir apsauginis tinklas lieka svetainėje (13 skirsnis).
  • Klientų portalas: Jūsų el. pašto adresas, jei ten užsiprenumeruojate ataskaitą; esame agentūros duomenų tvarkytojas (14 skirsnis).
  • Formų apsauga (formconfirmed): jei operatorius ją naudoja, Jūsų naršyklė, atidarius puslapį, gauna užduotį iš mūsų serverio ir ją fone išsprendžia; pateikiant formą operatoriaus serveris paveda mums patikrinti rezultatą. Tvarkomas Jūsų IP adresas (saugomas tik sutrumpintas ir kaip maišos reikšmė, ne ilgiau kaip vieną valandą; žiniatinklio serverio žurnale, kaip ir kiekviena užklausa, 14 dienų), puslapio adresas, pildymo laikas, informacija, ar buvo užpildytas nematomas laukas, ir – tik jei operatorius įjungia turinio patikrą – Jūsų žinutės tekstas, kurį kalbos modelis mūsų pačių serveryje įvertina operatyviojoje atmintyje ir nesaugo. Jokių slapukų, jokio saugojimo naršyklėje, jokio piršto atspaudo. Esame operatoriaus duomenų tvarkytojas (Duomenų tvarkymo sutartis, 1 priedo 10 punktas).

Savo teisėmis geriausia naudotis kreipiantis į svetainės operatorių; jis žino kontekstą ir gali mums duoti nurodymus. Jei kreipiatės į mus, Jūsų prašymą perduodame operatoriui arba nagrinėjame patys, kiek esame duomenų valdytojas. Ką tai darydami galime ir ko negalime rasti, aprašyta puslapyje Susipažinimas, ištrynimas ir kitos Jūsų teisės.

21. Gavėjai

Asmens duomenis perduodame tik tada, kai tai nurodyta šioje politikoje. Duomenų neparduodame, nenuomojame ir jais nesikeičiame. Gavėjų kategorijos:

Gavėjas (buveinė)KategorijaKam
Namecheap, Inc. (Private Email), Phoenix, Arizona, USAduomenų tvarkytojas; tvarkymo vieta dar tikslinamamūsų el. laiškų siuntimas ir gavimas; pristatymo patikrinimo kontrolinė pašto dėžutė
Namecheap, Inc. (JAV)duomenų tvarkytojasdomenas, DNS; kol nesukurta pašto dėžutė – bendrųjų el. laiškų, siunčiamų į mūsų domeną, persiuntimas (ne pristatymo patikrinimo kontrolinių kopijų)
Stripe Payments Europe, Ltd. (Airija), Stripe, Inc. (JAV)daugiausia savarankiškas duomenų valdytojas; tikslų vaidmenų pasiskirstymą dar nagrinėjamemokėjimai ir sąskaitos faktūros
Google Ireland Ltd., Google LLC (JAV)savarankiškas duomenų valdytojasreCAPTCHA
Telegram (už EEE ribų)kliento pasirinktas adresatas; pranešimą siunčiame per savo robotą. Mums taip pat pranešimų kanalasįspėjimai, jei pasirenkate Telegram; veikimo signalai be asmens duomenų
Slack, Discord, Microsoft (Teams), Google (Chat), Jūsų webhook'ai (iš dalies JAV)kliento pasirinkti adresataiįspėjimai
Visuomenė–ataskaitų nuorodos, patvirtinimo puslapiai, tyrimo rezultatai (tik apibendrinti)
Jūsų darbo srities nariaitos pačios paskyros naudotojaibendradarbiavimas pagal vaidmenį
Valdžios institucijos, teismai, CERT Polska, patarėjaisavarankiški duomenų valdytojaitik esant teisinei prievolei, siekiant pareikšti, vykdyti ar apginti teisinius reikalavimus, ir netinkamo mūsų Paslaugos naudojimo ar atakų prieš trečiąsias šalis atveju (BDAR Art. 6(1)(c) arba (f))

Jokių asmens duomenų negauna: registrų RDAP paslaugos, randamos per IANA katalogą, ir – domeno amžiui nemokamame patikrinime – rdap.org tarpininkavimo paslauga (tik domenų vardai), WPVulnerability adresu wpvulnerability.net (tik įskiepio identifikatorius be versijos, temos identifikatorius arba WordPress versija), CAPTCHA ir pašto paslaugų būsenos puslapiai (nieko, išskyrus pačią užklausą), laiko žymų paslaugų teikėjai Certum ir DigiCert (tik maišos reikšmės), DNS blokavimo sąrašai SpamCop, PSBL, Mailspike ir SURBL (tik serverių domenai ir IP adresai), Google Web Risk, jei nustatyta (tik pagrindinio puslapio adresas), ir kiti prijungti įskiepiai, dalyvaujantys spiečiaus apsaugoje (tik šlamšto domenai). Išsamų, nuolat atnaujinamą mūsų duomenų tvarkytojų sąrašą su jų buveine ir perdavimo pagrindu rasite puslapyje Pagalbiniai duomenų tvarkytojai; apie pakeitimus klientams pranešame prieš 30 dienų.

22. Perdavimas į trečiąsias valstybes

Jei gavėjas įsikūręs už Europos ekonominės erdvės ribų, duomenis perduodame tik tada, kai įvykdytos BDAR Art. 44 ir paskesnių straipsnių sąlygos:

  • JAV: remiantis Europos Komisijos sprendimu dėl tinkamumo, priimtu dėl ES ir JAV duomenų privatumo sistemos (Įgyvendinimo sprendimas (ES) 2023/1795, BDAR Art. 45), jei gavėjas pagal ją sertifikuotas. Ar Google, Stripe ir Namecheap yra sertifikuotos atitinkamoms paslaugoms, šiai versijai dar tikriname, todėl to netvirtiname; jei sertifikavimo nėra – remiantis Europos Komisijos standartinėmis sutarčių sąlygomis (Įgyvendinimo sprendimas (ES) 2021/914, BDAR Art. 46(2)(c)).
  • Mūsų pašto paslaugų teikėjas: kur Namecheap, Inc. (Private Email), Phoenix, Arizona, USA tvarko duomenis ir kokiu pagrindu jie gali būti perduoti į trečiąją valstybę, dar tikriname. Dabartinė padėtis nurodyta puslapyje Pagalbiniai duomenų tvarkytojai.
  • Jūsų pačių pasirinktos pokalbių paslaugos ir webhook'ai: Slack, Discord, Microsoft Teams, Google Chat ir webhook'ai Jūsų įspėjimus gauna adresu, kurį sugeneruojate savo paskyroje toje paslaugoje; už sutartinius santykius su paslaugų teikėju ir bet kokį perdavimui į trečiąją valstybę reikalingą pagrindą atsakote Jūs.
  • Telegram: kliento pasirinktas adresatas; pranešimą siunčiame per savo robotą. Telegram įsikūrusi už EEE ribų, valstybėje, dėl kurios nėra priimto sprendimo dėl tinkamumo, o standartinių sutarčių sąlygų su Telegram neturime. Šiuo metu pavedėme išnagrinėti, kokiu BDAR Art. 44 ir paskesnių straipsnių pagrindu grindžiamas šis perdavimas – svarstytinas BDAR Art. 49(1)(b), nes kanalą pasirenkate patys. Telegram rinkitės tik tada, jei Jums to pakanka; el. paštas visada lieka prieinamas kaip alternatyva.

Apsaugos priemonių, kuriomis grindžiame perdavimą, kopiją paprašius galite nemokamai gauti 1 skirsnyje nurodytu adresu. Sprendimą dėl tinkamumo ir standartines sutarčių sąlygas taip pat rasite Europos Sąjungos oficialiajame leidinyje (eur-lex.europa.eu), o pagal duomenų privatumo sistemą sertifikuotų įmonių sąrašą – svetainėje dataprivacyframework.gov. Mūsų pačių serveriai yra Lenkijoje; duomenys, kurių negauna nė vienas iš nurodytų gavėjų, ES nepalieka.

23. Saugojimo terminų apžvalga

Saugojimo terminai užtikrinami naktiniu procesu, o žiniatinklio serverio žurnalo atveju – jo kasdieniu keitimu. Kur parašyta „su domenu“, duomenys išnyksta nedelsiant, kai ištrinate domeną arba savo paskyrą. Tada jie dar iki 14 dienų lieka atsarginėse kopijose (3.4 skirsnis).

DuomenysIštrinami
Žiniatinklio serverio žurnalas (įskaitant ženklelio užklausas)po 14 dienų
Puslapių peržiūrų žurnalaspo 60 dienų
Klaidų žurnalaspo 90 dienų
Veiklos žurnalaspo 365 dienų
Bandymai prisijungti; nemokamo patikrinimo ir antraščių įrankio limitaipo 7 dienų
Įtartino elgesio žymos (nemokamas patikrinimas)praėjus 90 dienų po atvejo išsprendimo
Prisijungę įrenginiaipraėjus 90 dienų po paskutinio naudojimo
„Likti prisijungus“; niekada nepatvirtintos paskyros; priimti kvietimai (nepriimti – jiems nustojus galioti)po 30 dienų
Ataskaita be paskyros, įskaitant ekrano kopijaspo 30 dienų
Talpykloje esanti ataskaitos PDF versijapo 7 dienų
Antraščių įrankio rezultatai; potencialaus kliento svetainės patikrinimaspo 90 dienų
Tyrimo patikrinimaipaskelbus jo rezultatus
Paskyroje esančio domeno patikrinimų rezultatai, naršyklės patikrinimai ir laiko matavimaipo 13 mėn. (naujausias patikrinimas – kol domenas yra paskyroje)
Domenas, nustatymai, formų keliai, įrodymų žurnalai, įspėjimų adresatai, paskutinio formos el. laiško autentiškumo rezultatassu domenu
Scenarijų sąrašas ir jo pakeitimaisu domenu (atskiro saugojimo termino nėra)
Bandomieji prisijungimo duomenys patikrinimui už prisijungimokai juos ištrinate, su domenu; prie patikrinimo užduoties pridėta kopija – po vykdymo, ne vėliau kaip po vienos valandos
Įskiepio ir plėtinio dienos rodikliai ir pakeitimų ataskaitos, formų skaičiavimaipo 13 mėn.
Informacija iš svetainės su įskiepiu, nepriklausančios jokiai paskyraipraėjus 90 dienų po paskutinio ryšio
Spiečiaus apsaugos signalai; dienos ir savaitės ataskaitoms surinkti pranešimai (nuo išsiuntimo)po 30 dienų
API užklausų skaičiavimas; vienkartiniai Telegram kodaine anksčiau kaip po vienos dienos, kitos tokios užklausos ar kodo metu
Įspėjimų siuntimo žurnalaspo 90 dienų
Pristatymo patikrinimo priskyrimai; incidentai su patvirtinimu ir eskalavimo pristatymo bandymais (neišspręsti saugomi)po 180 dienų, incidentai – nuo jų išsprendimo
Formų el. laiškų kopijos kontrolinėje pašto dėžutėjeapdorojus; įvykus klaidoms – kito sėkmingo vykdymo metu
Išsiųsti el. laiškaipo 30 dienų
Pagalbos užklausospo 24 mėn.
Atsiliepimai apie ataskaitąpo 24 mėn., su paskyra – nedelsiant; IP adreso kontrolinė suma – po 2 dienų
Su išskyrimu (opt-out) susiję IP adresas, šalis ir naršyklės identifikatoriuspo 12 mėn. (domenas lieka išskirtas)
Nepatvirtintos mėnesio ataskaitos prenumeratos klientų portalepo 30 dienų
Atšauktos prenumeratos įrašaspraėjus trejiems metams po prenumeratos atsisakymo
Paskyra ir asmeniniai duomenyskai juos ištrinate
Sutarties sudarymo įrašaskol egzistuoja paskyra; ją ištrynus – kai tik sutikimui sukanka ketveri metai
Sąskaitų faktūrų duomenyspasibaigus mokesčių teisėje nustatytam saugojimo terminui
Partnerių programos priskyrimai ir komisiniai; panaudoti aktyvinimo kodaišiuo metu fiksuoto termino nėra
Klaidos tipo pavyzdysšiuo metu be fiksuoto saugojimo termino
Duomenų bazės atsarginės kopijospo 14 dienų
Formų apsauga: sutrumpintas IP adresas maišos reikšmės pavidalu pasikartojančioms užklausoms atpažinti; panaudoti patikros žetonai; patikros rezultatai be IP adreso ir be teksto (veiksmas, balas, priežastys, domenas); dienos rodikliai be sąsajos su asmenimispo vienos valandos; ne vėliau kaip po vienuolikos minučių; po 30 dienų; po 400 dienų

24. Prievolė pateikti duomenis

Jūs neturite teisinės prievolės pateikti mums duomenų. Paskyrai mums reikia Jūsų el. pašto adreso, vardo ir slaptažodžio; be jų sutarties sudaryti negalima. Mokamiems planams mums reikia atsiskaitymo duomenų, pristatymo patikrinimui – kontrolinės pašto dėžutės, įspėjimams – adresato. Visa kita informacija yra savanoriška. Prisijungimo duomenys žurnaluose techniškai atsiranda su kiekviena užklausa; be jų serveris negali atsakyti. Ko trūks, jei ko nors nepateiksite, nurodyta atitinkamo tvarkymo skirsnyje.

25. Automatizuoti sprendimai ir profiliavimas

Nepriimame sprendimų, kurie remiasi vien automatizuotu tvarkymu ir kurie Jums sukelia teisinių pasekmių arba panašiai reikšmingai Jus paveikia (BDAR Art. 22). Nekuriame asmenų profilių. Mūsų įvertinimai – rizikos lygis, antraščių įvertinimas, „apsaugota“ ženklelyje – susiję su svetainėmis ir formomis, o ne su žmonėmis.

Vis dėlto automatiškai veikia apsaugos mechanizmai, kurie gali atmesti atskiras užklausas, į jas nepažiūrėjus žmogui: reCAPTCHA vertinimas ir mūsų pačių formų apsauga (5 skirsnis), nemokamo patikrinimo limitai ir žymos (6 skirsnis) bei blokavimas po per daug bandymų prisijungti (8.2 skirsnis). Jie užkerta kelią tik atskiram pateikimui; atmestą bandymą galima pakartoti vėliau, o bet kokiai užklausai lieka el. paštas. Jei manote, kad atmetimas klaidingas, parašykite mums; atvejį peržiūrės žmogus. Be to, automatiškai ištriname paskyras, kurios nepatvirtintos per 30 dienų po registracijos.

26. Jūsų teisės

Pagal BDAR turite toliau nurodytas teises. Prie kiekvienos nurodome greičiausią būdą ja pasinaudoti. Jei nenurodyta kitaip, pakanka el. laiško adresu contact@lukaswojcik.com. Atsakome nepagrįstai nedelsdami ir bet kuriuo atveju per vieną mėnesį nuo gavimo; sudėtingų ar gausių prašymų atveju šis terminas gali būti pratęstas dar dviem mėnesiais – tokiu atveju apie tai, nurodydami priežastis, pranešime per pirmąjį mėnesį (BDAR Art. 12(3)). Naudojimasis teisėmis yra nemokamas; tik akivaizdžiai nepagrįstų ar neproporcingų prašymų atveju galime imti pagrįstą mokestį arba atsisakyti imtis veiksmų pagal prašymą ir nurodysime to priežastis (BDAR Art. 12(5)). Kad neatskleistume kitų asmenų duomenų, galime paprašyti pateikti prašymą iš Jūsų paskyros el. pašto adreso; papildomų įrodymų prašome tik tada, kai turime pagrįstų abejonių dėl Jūsų tapatybės, ir tik tiek, kiek būtina (BDAR Art. 12(6)).

  • Teisė susipažinti (BDAR Art. 15): turėdami paskyrą, atsisiųskite duomenų eksportą skiltyje „Nustatymai“; jame yra paskyros, darbo srities ir domenų duomenys, Jūsų prisijungimai, veiksmai, pagalbos užklausos, išsiųsti el. laiškai ir sutikimai. Patikrinimų rezultatus galite matyti kaip ataskaitas paskyroje. Visišką prieigą, įskaitant duomenis, kurių eksporte nėra (pavyzdžiui, įrašus klaidų žurnale ar žiniatinklio serverio žurnale), kartu su BDAR Art. 15(1) nurodyta informacija galite gauti paprašę el. paštu. Neturėdami paskyros – pavyzdžiui, dėl išskyrimo (opt-out), pagalbos užklausos ar ataskaitos – el. paštu, nurodydami susijusį domeną ar adresą ir apytikslį laiką.
  • Ištaisymas (Art. 16): savo vardą, įmonę, kalbą ir el. pašto adresą galite patys pakeisti skiltyje „Nustatymai“, o sąskaitų adresą ir PVM mokėtojo kodą – Stripe klientų portale skiltyje „Atsiskaitymai“; visa kita – el. paštu.
  • Ištrynimas (Art. 17): savo paskyrą, domenus, įspėjimų adresatus ir bandomuosius prisijungimo duomenis galite ištrinti patys, o API raktus – patys atšaukti (jie ištrinami kartu su paskyra); klientų portalo mėnesio ataskaitos atsisakyti galite per kiekviename el. laiške esančią nuorodą. Ataskaitos, ekrano kopijos ar kitų duomenų ištrynimo galite paprašyti el. paštu. Ką privalome saugoti dėl teisinių priežasčių, nurodyta 8.6 skirsnyje.
  • Tvarkymo apribojimas (Art. 18): el. paštu, pavyzdžiui, jei ginčijate duomenų tikslumą, o mes jį tikriname.
  • Teisė į duomenų perkeliamumą (Art. 20): duomenų eksportas yra kompiuterio skaitomas JSON failas, kurį galite patys perduoti kitam paslaugų teikėjui. Daugiau apie paslaugų teikėjo keitimą – puslapyje ES duomenų aktas: paslaugos keitimas ir duomenų eksportas.
  • Prieštaravimas (Art. 21): žr. kitą skirsnį.
  • Sutikimo atšaukimas (Art. 7(3)): savo pačių tvarkymo negrindžiame sutikimu. Sutikimą gauti klientų portalo mėnesio ataskaitą galite atšaukti per kiekviename el. laiške esančią nuorodą; atšaukimas galioja ateičiai.

Dėl duomenų, kuriuos tvarkome kliento vardu (2 skirsnis), Jūsų kontaktinis asmuo yra klientas. Jei vis tiek parašote mums, Jūsų prašymą perduodame klientui ir padedame jam atsakyti. Išsamias gaires su visais būdais ir apribojimais rasite puslapyje Susipažinimas, ištrynimas ir kitos Jūsų teisės.

27. Teisė nesutikti pagal BDAR Art. 21

Kiek duomenis tvarkome remdamiesi teisėtais interesais (BDAR Art. 6(1)(f)), dėl su Jūsų konkrečia situacija susijusių priežasčių bet kuriuo metu galite pareikšti prieštaravimą. Tada duomenų nebetvarkysime, nebent galėtume įrodyti, kad tvarkymo priežastys yra įtikinamos ir teisėtos ir yra viršesnės už Jūsų interesus, teises ir laisves, arba tvarkymas atliekamas siekiant pareikšti, vykdyti ar apginti teisinius reikalavimus.

Tai visų pirma taikoma svetainių tikrinimui mūsų tikrinimo robotu (7 skirsnis), žurnalams (3 skirsnis), reCAPTCHA (5 skirsnis), nemokamo patikrinimo limitams (6 skirsnis), priminimui apie sąranką (11 skirsnis), ženkleliui (12 skirsnis) ir spiečiaus apsaugai (13 skirsnis).

Prieštaravimui netaikoma jokia konkreti forma; pakanka el. laiško adresu contact@lukaswojcik.com. Kaip svetainės operatorius tolesnius patikrinimus taip pat galite bet kada patys išskirti per robots.txt arba išskyrimo (opt-out) puslapį. Reklamos el. paštu, dėl kurios būtų galima pareikšti prieštaravimą nenurodant priežasčių, nesiunčiame.

28. Skundas priežiūros institucijai

Jei manote, kad Jūsų duomenis tvarkome neteisėtai, turite teisę pateikti skundą duomenų apsaugos priežiūros institucijai (BDAR Art. 77). Mums kompetentinga institucija yra:

Prezes Urzędu Ochrony Danych Osobowych (Asmens duomenų apsaugos tarnybos pirmininkas, UODO)
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Lenkija
uodo.gov.pl

Taip pat galite kreiptis į valstybės narės, kurioje gyvenate ar dirbate arba kurioje įvyko tariamas pažeidimas, instituciją – Vokietijoje, pavyzdžiui, į Jūsų federalinės žemės duomenų apsaugos instituciją. Prireikus ta institucija perduos skundą kompetentingai institucijai. Mielai iš anksto išspręsime klausimą tiesiogiai su Jumis; tai nėra privaloma.

29. Saugumas

Visi ryšiai su mūsų Paslauga šifruojami TLS; ryšiai mūsų vidiniame tinkle šifruojami ne visur. Slaptažodžius, API raktus ir atkūrimo kodus saugome tik kaip maišos reikšmes, o dviejų veiksnių prisijungimo slaptuosius raktus ir bandomuosius prisijungimo duomenis – tik užšifruotus. Klientų duomenys atskirti pagal darbo sritis; vaidmens teises užtikrina serveris, ne tik naudotojo sąsaja. Prieigą prie serverių turi tik savininkas; tikrinimo robotas veikia izoliuotai ir negali pasiekti adresų vidiniame tinkle. Išsamų aprašymą rasite puslapyje Techninės ir organizacinės priemonės. Sužinoję apie asmens duomenų saugumo pažeidimą, pagal BDAR Art. 33 ir 34 pranešame priežiūros institucijai ir, kai būtina, Jums; klientus, kurių vardu veikiame, informuojame nepagrįstai nedelsdami, jei įmanoma – per 48 valandas.

30. Kiti dokumentai

Ši politika yra santrauka duomenų subjektams. Išsamesnės informacijos rasite Duomenų tvarkymo veiklos įrašuose, Pagalbinių duomenų tvarkytojų sąraše, Techninėse ir organizacinėse priemonėse, Duomenų tvarkymo sutartyje, Poveikio duomenų apsaugai vertinime, taip pat puslapiuose Susipažinimas, ištrynimas ir kitos Jūsų teisės, ES dirbtinio intelekto aktas: kaip formexposed naudoja DI ir Privatumo politikos tekstas Jūsų svetainei.

31. Pakeitimai

Šią politiką atnaujiname, kai keičiasi Paslauga ar teisinė padėtis, ir tai darome prieš pradedant bet kokį naują tvarkymą. Taikoma čia paskelbta versija; ankstesnes versijas ir tai, kas pasikeitė, rasite puslapyje Sutarties dokumentų pakeitimai. Versija, kurią matėte registruodamiesi, nurodyta Jūsų duomenų eksporte. Jei iš esmės pasikeis Jūsų, kaip kliento, duomenų tvarkymas, apie tai Jus informuosime ir el. paštu.

Ši politika prieinama visomis oficialiosiomis Europos Sąjungos kalbomis. Esant neatitikimų, viršenybę turi versija lenkų kalba.