Acesso, Exclusão e Seus Outros Direitos

Este documento é publicado em vários idiomas. Em caso de divergência entre as versões, a versão em polonês é vinculante.

Versão 1.0 · Última atualização: 16 de outubro de 2026

Esta página explica como você exerce seus direitos previstos no Regulamento Geral sobre a Proteção de Dados (RGPD) perante formexposed: quem tem quais dados conosco, por qual via você obtém acesso, uma cópia, retificação ou exclusão, o que precisamos de você para isso e quais são os limites. Ela complementa a Política de Privacidade, que detalha as finalidades, as bases legais e os prazos de conservação.

1. Quem pode solicitar o quê a nós

formexposed verifica formulários de contato em sites. Por isso, lidamos com pessoas muito diferentes: clientes com conta, membros da equipe, responsáveis por sites verificados, visitantes dos sites dos nossos clientes e assinantes de um portal de clientes. Nem todos deixaram os mesmos dados conosco, e a possibilidade de atribuir algo a você depende do seu papel. As seções a seguir descrevem a via para cada grupo. Quando atuamos apenas em nome de um Cliente, informamos isso, pois, nesse caso, quem decide é o Cliente, não nós. O RGPD protege pessoas físicas. Se o responsável por um site for uma empresa, ela não terá direitos próprios nos termos do RGPD; as pessoas cujos dados aparecem no site terão. Ainda assim, respondemos às empresas segundo as mesmas regras, na medida em que se trate de seu próprio domínio.

2. As vias em resumo

Você é	O que podemos ter sobre você	Via	O que precisamos de você
Cliente com conta	Conta, espaços de trabalho, domínios, configurações, logs, consentimentos, solicitações de suporte	Por conta própria em Configurações: exportação e exclusão	Login e sua senha
Membro da equipe	Sua própria conta; seus registros no log de atividades do espaço de trabalho	Como para clientes; sair do espaço de trabalho	Login e senha
Pessoa convidada sem conta	Endereço de e-mail e papel no convite	E-mail para nós ou para quem fez o convite	Uma mensagem enviada pelo endereço convidado
Responsável por um site verificado	Relatórios sobre seu domínio, registro de exclusão das verificações, dados do plugin sem conta	Página de exclusão das verificações, robots.txt, e-mail para nós	Domínio, link do relatório; para mais que o relatório, comprovação de que você controla o domínio
Pessoa que aparece em um site verificado	Capturas de tela e endereços de páginas verificadas em que você aparece	E-mail para nós (seção 5.3)	Domínio e horário aproximado, e o link do relatório, se disponível
Visitante de um site de cliente	Quase sempre nada que possa ser atribuído a você (seção 6)	Primeiro, o responsável pelo site	Site, horário; para o selo, seu endereço IP
Assinante de um portal de clientes	Endereço de e-mail, idioma, horário e IP da assinatura, confirmação, cancelamento da assinatura	Link de cancelamento em cada e-mail; caso contrário, a agência	Uma mensagem enviada pelo endereço inscrito

Nosso endereço para tudo o que você não puder fazer por conta própria: contact@lukaswojcik.com. Você também pode exercer qualquer direito por esse canal sem usar primeiro as opções de autoatendimento; elas são apenas a via mais rápida. A página de contato e a janela de suporte (ponto de interrogação na navegação) também estão disponíveis.

3. Clientes com conta

3.1 Acesso e cópia: a exportação de dados

Em Configurações → Seus dados → “Baixar meus dados”, você recebe imediatamente um arquivo JSON com o que armazenamos sobre sua conta. É a via mais rápida para a cópia nos termos do Art. 15(3) do RGPD e para a portabilidade dos dados (Art. 20). As demais informações do Art. 15(1) — finalidades, destinatários, prazo de armazenamento, origem, seus direitos — constam na Política de Privacidade; mediante solicitação, nós as compilaremos para seu caso, junto com os dados que a exportação não contém. A exportação exige sua senha e é limitada a três downloads por hora, porque o arquivo contém endereços IP e dispositivos, e uma sessão aberta no computador de outra pessoa não deve ser suficiente para obtê-lo.

O arquivo contém sua conta (nome, endereço de e-mail, empresa, plano, último login com endereço IP), seus espaços de trabalho com papel e — para os espaços de trabalho de que você é proprietário — os domínios com suas configurações, destinos de alertas, formulários monitorados, marca, portais de clientes incluindo assinantes, tentativas de entrega de escalonamento e verificações de potenciais clientes; além disso, suas chaves de API (apenas prefixo e rótulo), dispositivos conectados, tentativas de login, log de atividades, páginas visitadas, solicitações de suporte, e-mails enviados a você (sem texto, pois ainda podem conter links válidos) e as versões dos textos jurídicos com as quais você concordou. Se nosso suporte acessou sua conta por “visualizar como cliente”, isso também é incluído.

O que o arquivo não contém: hash da senha, segredos de autenticação de dois fatores, tokens e chaves — são recursos de segurança, não informações. Os dados de outros membros dos seus espaços de trabalho. Faturas, que estão no portal de clientes Stripe, em Cobrança. E os resultados individuais das verificações (constatações, capturas de tela, incidentes, log de alertas); você pode vê-los na conta e nos relatórios e, no plano Business, também pela API. Se os quiser como arquivo, escreva para nós; nós os compilaremos no prazo indicado na seção 9. Saiba mais na página Regulamento de Dados da UE: Mudança de Provedor e Exportação de Dados.

3.2 Retificação

Você mesmo altera seu nome, sobrenome, empresa, idioma e endereço de e-mail nas configurações; um novo endereço de e-mail só passa a valer depois que você o confirma pelo link no e-mail de confirmação. Você altera seu endereço de cobrança e número de identificação de IVA no portal de clientes Stripe, em Cobrança. Para todo o restante, basta uma mensagem para nós (Art. 16 do RGPD).

3.3 Exclusão: domínio, espaço de trabalho, conta

Você pode excluir em três níveis. Cada exclusão tem efeito imediato no banco de dados e não pode ser desfeita. Baixe seus dados antes.

Remover um domínio (acesso de escrita no espaço de trabalho): remove o domínio com todas as verificações, incluindo formulários, constatações e capturas de tela, os relatórios (cujos links deixam de funcionar), trabalhos, destinos de alertas, log de entrega e incidentes, conexões com Telegram, associações da verificação de entrega, medições de disponibilidade, correspondências de vulnerabilidades e registros de evidências (incluindo sua página pública de confirmação), além dos formulários monitorados com suas etapas de verificação, verificações de navegador e medições e das contas de teste criptografadas para a verificação atrás do login. Os números diários do plugin e da extensão também são removidos assim que nenhuma outra conta tiver o mesmo domínio.
Excluir um espaço de trabalho (somente o proprietário): além disso, todos os domínios nele, conforme acima, a marca incluindo logotipo, os portais de clientes incluindo assinantes, códigos de implantação, verificações de potenciais clientes (seus relatórios só expiram ao fim do respectivo prazo de até 90 dias), convites e vínculos de membros.
Excluir a conta (Configurações, com senha): primeiro encerra uma assinatura ativa no Stripe, imediatamente e, em regra, sem reembolso pelo restante do período pago (as exceções constam nos Termos de Serviço); quem quiser usar primeiro o restante desse período deve cancelar na área de Cobrança com efeito ao final do período. Se o encerramento da assinatura falhar, a conta permanece para que nenhuma assinatura continue sem conta. Os espaços de trabalho de que você é proprietário passam para outro membro, primeiro para administradores e, entre eles, para o mais antigo; espaços de trabalho sem outros membros são excluídos com seus dados. Também removemos seus vínculos como membro, dispositivos conectados, o login de “Manter minha sessão conectada”, suas chaves de API incluindo contadores, códigos Telegram em aberto e o próprio registro da conta.

Um espaço de trabalho que você transfere para um membro não é excluído. O trabalho de uma equipe não pertence à pessoa que criou o espaço de trabalho. Se você quiser que os domínios nele também desapareçam, exclua o espaço de trabalho antes de excluir sua conta ou resolva isso com sua equipe.

Sem prazo de conservação próprio: O inventário de scripts de um domínio (a lista de scripts observados) e o log de suas alterações são excluídos com o domínio, inclusive quando ele é removido junto com seu espaço de trabalho ou sua conta. Eles não têm prazo de conservação próprio: são mantidos enquanto o domínio existir. Se quiser removê-los antes, nós os excluiremos quando você nos escrever.

3.4 O que permanece após a exclusão e por quê

Algumas coisas não são excluídas no mesmo momento, porque atendem a outra finalidade ou têm prazo de conservação próprio. Elas expiram com esse prazo e deixam de existir depois dele. Se você solicitar a exclusão antecipada de registros que fundamentamos em interesses legítimos (sobretudo logs e solicitações de suporte), examinaremos o caso individualmente e os excluiremos, a menos que nossos motivos prevaleçam sobre os seus (Art. 17(1)(c), Art. 21(1) do RGPD):

Logs: log de atividades 365 dias, log de acesso à página 60 dias, log de erros 90 dias, log do servidor web 14 dias, tentativas de login 7 dias, e-mails enviados 30 dias. Eles servem à segurança e à investigação de uso indevido. Os registros no log de atividades e no log de acesso à página mantêm seu número antigo de conta, que após a exclusão já não se refere a uma conta existente; a própria exclusão é registrada em log para que possa ser comprovada depois.
Solicitações de suporte: 24 meses, para que ainda seja possível responder a uma pergunta ou reclamação posterior.
Comprovação da celebração do contrato: qual versão dos Termos de Serviço, do Acordo de Tratamento de Dados e da Política de Privacidade você aceitou e quando, com endereço IP e identificação do navegador. Ela permanece porque é justamente após o encerramento que surge a questão sobre a base do contrato (Art. 5(2), Art. 17(3)(e) do RGPD), e é excluída quando a conta já não existe e o consentimento tem mais de quatro anos.
Faturas e transações de pagamento são mantidas pelo Stripe e estão sujeitas à conservação fiscal (na Polônia, cinco anos a partir do fim do ano em que o imposto se tornou devido, Art. 17(3)(b) do RGPD).
Backups: Dados excluídos permanecem nos backups do banco de dados até que estes sejam sobrescritos no curso normal após 14 dias. Não restauramos um backup para recuperar dados excluídos.

4. Membros da equipe e pessoas convidadas

Como membro do espaço de trabalho de outra pessoa, você tem sua própria conta com as mesmas ferramentas da seção 3: exportação, retificação, exclusão. Sua exportação contém seus vínculos como membro, mas não os domínios de espaços de trabalho pertencentes a outras pessoas — o proprietário é responsável por eles. Você pode sair de um espaço de trabalho a qualquer momento; o proprietário pode removê-lo. O que você fez no espaço de trabalho é registrado no log de atividades e expira após 365 dias. Se deixou um nome ou endereço de e-mail como a pessoa que reconhece um incidente ou como destinatário de um alerta, o proprietário do espaço de trabalho gerencia esses dados; atuamos em nome dele e encaminhamos a ele qualquer solicitação.

Se você foi convidado sem criar uma conta, armazenamos seu endereço de e-mail e o papel pretendido até o convite expirar após 14 dias; a rotina noturna então o exclui. Excluímos um convite aceito 30 dias após a aceitação. Se quiser que um convite em aberto desapareça imediatamente, escreva para nós pelo endereço convidado.

5. Responsáveis por sites verificados sem conta

5.1 O que podemos ter sobre seu domínio

Relatórios da verificação gratuita: endereços das páginas verificadas, estrutura dos formulários (sem valores), medidas de proteção detectadas e capturas de tela, sem ocultação de conteúdo. Excluídos após 30 dias.
Verificações do seu site como potencial cliente por uma agência: 90 dias. Verificações para um estudo: até a publicação, que contém apenas números agregados sem os nomes dos sites.
Um registro de exclusão das verificações, se alguém excluiu seu domínio: domínio e motivo permanentemente; endereço IP, país e identificação do navegador da pessoa que fez o registro por 12 meses.
Dados do plugin sem conta: Se nosso plugin WordPress ou a extensão TYPO3 funcionar sem conexão com uma conta, conheceremos o host e as versões; excluímos todas as noites os números diários de um host sem conta, e o host 90 dias após o último contato.

Esses dados se tornam pessoais sobretudo quando uma pessoa pode ser vista em uma página verificada ou em uma captura de tela, por exemplo, o nome de uma pessoa de contato ao lado do formulário.

5.2 Oposição: encerrar as verificações

A via mais rápida é por robots.txt (User-agent: FormExposedBot / Disallow: /) ou pela página de exclusão das verificações. Ambos têm efeito imediato, sem comprovação, tanto para verificações anônimas quanto para verificações de clientes, mesmo que um cliente tenha verificado o domínio; o monitoramento em andamento termina na próxima verificação devida. A exclusão se aplica ao domínio e à sua variante www, não a outros subdomínios; só nós podemos retirá-la, mediante solicitação e comprovação. robots.txt tem efeito se o Disallow abranger a página inicial. A exclusão impede verificações futuras; não exclui relatórios existentes, que expiram ao final de seu prazo de conservação. Saiba mais sobre o rastreador na página FormExposedBot.

5.3 Solicitar a exclusão antecipada de um relatório

Envie-nos o link do relatório. Qualquer pessoa com o link já pode ler o relatório; por isso, não exigimos comprovação adicional para excluí-lo. Sem o link, informe o domínio e o horário aproximado, e faremos uma busca.

Proceda da mesma forma se você, como pessoa, aparecer em uma página verificada ou em uma captura de tela, por exemplo, como pessoa de contato ao lado de um formulário, e solicitar acesso ou exclusão. Se a verificação pertencer a um domínio para o qual um cliente comprovou o controle, atuaremos em nome desse cliente; nesse caso, encaminharemos sua solicitação a ele e informaremos isso a você.

5.4 Acesso a informações sobre um domínio e comprovação de controle

Quem solicita tudo o que temos sobre um domínio recebe dados que o link do relatório, sozinho, não permite acessar. Antes de entregá-los, pedimos uma comprovação de que você controla o domínio — por um dos métodos que também exigimos dos clientes: um registro TXT no DNS em _formexposed.<your-domain> ou um arquivo em /.well-known/formexposed-verify.txt, ambos com um valor que especificamos. Como alternativa, basta uma mensagem de um endereço do mesmo domínio indicado nas Informações Legais do site. Sem comprovação, apenas confirmamos se o domínio está excluído das verificações.

O que não entregamos: quem iniciou uma verificação — o endereço IP dessa pessoa é um dado dela, não seu, e é excluído após sete dias, a menos que tenha sido registrado para prevenção de abuso devido a um número de verificações notavelmente alto. Se um cliente tiver seu domínio em sua conta, informaremos isso a você e, se desejar, encaminharemos sua solicitação. Se o cliente comprovou o controle do domínio, atuaremos em nome dele, e somente ele entregará seus resultados. Se não houver tal comprovação, nós mesmos seremos o controlador; nesse caso, identificaremos o cliente para você como destinatário, na medida em que você o solicite e os interesses legítimos dele não prevaleçam (Art. 15(1)(c), (4) do RGPD). Envios de teste por clientes chegam apenas a domínios cujo controle o cliente comprovou (internamente, verificamos dessa forma somente nossos próprios domínios de teste e demonstração); se você acreditar que essa comprovação falta, informe-nos.

6. Visitantes dos sites dos nossos clientes

O responsável por um site de terceiros é responsável pelos seus dados nesse site. Ele tem o original de sua mensagem. Trabalhamos em nome dele e, em regra, não vemos nada que identifique você. Em detalhe:

Verificação de entrega: Se o responsável pelo site a configurou, uma cópia oculta do e-mail do formulário chega à nossa caixa de correio de controle. Ela é lida automaticamente na próxima consulta (cabeçalhos e, no máximo, os primeiros 8 KB), associada e excluída; a consulta normalmente ocorre a cada poucos minutos e, em caso de falhas, um e-mail pode permanecer até a próxima execução bem-sucedida. Em nosso banco de dados, permanecem apenas o horário e a associação ao domínio e, no domínio, o resultado técnico da verificação de autenticidade do e-mail mais recente (SPF, DKIM, DMARC, endereço IP do servidor de e-mail remetente), que o e-mail seguinte sobrescreve — nem o conteúdo nem o endereço completo do remetente. O resultado de autenticidade contém o domínio de e-mail do remetente, como o de seu provedor de e-mail; ele só é indicado em um alerta ao responsável pelo site se não pertencer ao site. Portanto, após o processamento, já não podemos encontrar sua mensagem, e não há nada que possamos atribuir a você e entregar.
Selo: Se seu navegador carregar a imagem do selo, seu endereço IP, junto com horário, identificação do navegador e página de origem, será mantido no log do nosso servidor web por 14 dias; o selo não define cookies. Se você nos fornecer seu endereço IP e o horário aproximado dentro desses 14 dias, verificaremos se há registros e os excluiremos mediante solicitação. Sem um endereço IP, não é possível atribuir um registro a alguém.
Plugin WordPress e extensão TYPO3: quarentena, rede de segurança e registros permanecem no site do responsável. O que chega a nós são números diários, o inventário de plugins e, para um plugin WordPress conectado, os domínios de links de mensagens bloqueadas para a proteção coletiva (ativada por padrão), mas nenhum outro conteúdo, nenhum endereço, nome ou endereço IP de visitantes. Somente o responsável pelo site pode ajudar nesse caso.

Portanto, entre primeiro em contato com o responsável pelo site. Se não conseguir contatá-lo, escreva para nós com o site e o horário; encaminharemos a solicitação na medida em que pudermos identificá-lo. Não podemos decidir sobre ela, porque esse direito cabe ao responsável pelo site.

7. Assinantes de um portal de clientes

Uma agência oferece o relatório mensal de um portal de clientes em seu próprio nome; a agência é o controlador, e atuamos em nome dela. Você pode cancelar a assinatura a qualquer momento pelo link em cada e-mail, imediatamente e sem login. Depois disso, mantemos o registro de sua assinatura (endereço, idioma, horário e endereço IP da assinatura, confirmação, cancelamento) por mais três anos para que a agência possa comprovar que você havia consentido; se a agência excluir seu espaço de trabalho, inclusive junto com sua conta caso não haja mais ninguém nele, o registro será removido antes. Se ela apenas revogar o portal, o registro permanecerá armazenado. Excluímos uma assinatura não confirmada após 30 dias. Você solicita acesso e exclusão antecipada à agência; se nos escrever pelo endereço inscrito, encaminharemos a solicitação à agência.

8. Oposição, limitação e retirada do consentimento

Oposição (Art. 21 do RGPD): ao tratamento baseado em interesses legítimos, por exemplo, os logs ou a verificação do seu site. Nesse caso, deixaremos de tratar esses dados, a menos que demonstremos motivos legítimos imperiosos que prevaleçam sobre seus interesses ou que precisemos deles para pretensões jurídicas; informaremos o resultado a você. Para as verificações, a exclusão é a via direta (seção 5.2). Você cancela o relatório mensal da sua conta nas configurações. O lembrete após o cadastro é enviado no máximo uma vez e nunca mais depois disso.
Limitação (Art. 18): Se você contestar a exatidão de dados ou precisar deles para um processo judicial, nós os bloquearemos mediante solicitação em vez de excluí-los.
Retirada do consentimento (Art. 7(3)): Quando o tratamento se baseia em seu consentimento — por exemplo, o relatório mensal de um portal de clientes —, a retirada tem efeito para o futuro.

9. Prazos, verificação de identidade, custos

Prazo: Respondemos sem demora injustificada e, no máximo, em um mês a partir do recebimento (Art. 12(3) do RGPD). Se uma solicitação for excepcionalmente extensa, o prazo poderá ser prorrogado por dois meses; informaremos isso a você dentro do primeiro mês, com os motivos. Se não tomarmos providências, informaremos em um mês o motivo e que você pode apresentar uma reclamação a uma autoridade de controle (Art. 12(4)).

Identidade: Só entregamos dados à pessoa a quem pertencem. Na conta, basta entrar com sua senha. Por e-mail, respondemos ao endereço vinculado à conta, ao convite ou à assinatura; se você escrever de outro endereço, pediremos que confirme a solicitação pelo endereço armazenado. Para domínios, aplica-se a seção 5.4. Só pedimos informações adicionais, como um documento de identidade, se persistirem dúvidas razoáveis (Art. 12(6)), e apenas o necessário; em uma cópia de documento de identidade, você pode ocultar tudo, exceto seu nome e foto, e nós a excluiremos após a verificação. Nunca pedimos sua senha.

Custos: nenhum. Somente para solicitações manifestamente infundadas ou excessivas podemos cobrar uma taxa razoável ou recusá-las (Art. 12(5)); nesse caso, apresentaremos os motivos.

Destinatários: Se retificarmos, excluirmos ou limitarmos dados que divulgamos a outros, notificaremos esses destinatários, a menos que isso seja impossível ou exija esforço desproporcional, e, mediante solicitação, informaremos a você quem são os destinatários (Art. 19 do RGPD).

10. Os limites, expostos com clareza

Quando não armazenamos nada, não podemos entregar nada. Isso diz respeito principalmente aos visitantes dos sites dos nossos clientes. De acordo com o Art. 11 do RGPD, não coletamos dados adicionais apenas para identificar você.
Para dados tratados em nome de um Cliente, o Cliente decide. Apoiamos o Cliente nos termos do Acordo de Tratamento de Dados e encaminhamos solicitações, mas não excluímos nada sem o conhecimento do Cliente.
A exclusão é definitiva. Não restauramos domínios, verificações ou contas excluídos, nem mesmo a partir de um backup (seção 3.4).
O que somos obrigados a conservar permanece até o fim da obrigação, sobretudo faturas e a comprovação da celebração do contrato (seção 3.4).

11. Contato e reclamações

Envie solicitações para contact@lukaswojcik.com, pela página de contato ou pela janela de suporte. O controlador é LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polônia. Não designamos um encarregado da proteção de dados.

Você pode apresentar uma reclamação a qualquer autoridade de controle de proteção de dados, em particular no Estado-Membro de sua residência habitual, local de trabalho ou local da suposta infração (Art. 77 do RGPD). A autoridade competente para nós é o Presidente da Autoridade de Proteção de Dados Pessoais (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa, Polônia. A forma como tratamos reclamações está descrita em Reclamações.

Como podemos ajudar?