Politica de confidențialitate

Acest document este publicat în mai multe limbi. În cazul oricărei neconcordanțe între versiunile lingvistice, versiunea în limba polonă este cea obligatorie.

Versiunea 2.3 · Ultima actualizare: 29 octombrie 2026

Această politică descrie ce date cu caracter personal prelucrează formexposed, în ce scop, pe ce temei juridic, cui le transmite și când le șterge. Scriem doar ceea ce Serviciul face efectiv; perioadele de stocare pe care le indicăm sunt aceleași după care rulează procesele noastre de ștergere, iar acolo unde nu există încă o perioadă fixă, o spunem. Funcțiile care au fost dezvoltate, dar nu sunt activate, sunt menționate ca atare. Deoarece Serviciul privește mai multe categorii de persoane, fiecare secțiune începe prin a preciza cui se adresează:

• Vizitați formexposed.com sau form.exposed: secțiunile 3, 4 și 5.
• Ați solicitat verificarea unui domeniu pe pagina principală: secțiunea 6.
• Site-ul dumneavoastră a fost verificat de crawlerul nostru: secțiunea 7 – aceasta reprezintă și informarea noastră în temeiul art. 14 RGPD.
• Aveți un cont sau ați fost invitat(ă) într-o echipă: secțiunile 8–18.
• Vizitați site-ul unuia dintre clienții noștri (cu insignă, plugin sau verificarea livrării): secțiunea 20.
• Doriți să vă exercitați un drept sau să depuneți o plângere: secțiunile 26–28.

1. Operatorul și datele de contact

Operatorul pentru prelucrarea datelor cu caracter personal pe formexposed.com și form.exposed și în cadrul serviciului formexposed, în măsura în care nu acționăm în numele unui client (secțiunea 2), este:

LW IT Solutions Company Lukas Wójcik
Proprietar: Lukas Wójcik
al. Tadeusza Kościuszki 80/82, lok. 301
90-437 Łódź
Polonia
NIP (cod de identificare fiscală polonez) 7252266190 · Cod de TVA PL7252266190
E-mail: contact@lukaswojcik.com

Alte modalități de a ne contacta sunt fereastra de asistență (semnul întrebării din meniul de navigare) și pagina de contact. Vă rugăm să raportați vulnerabilitățile de securitate prin pagina noastră de raportare a vulnerabilităților.

Responsabilul cu protecția datelor: Nu am desemnat un astfel de responsabil. Suntem o întreprindere individuală; activitatea noastră principală constă în verificarea site-urilor și a formularelor, nu în monitorizarea pe scară largă a persoanelor sau în prelucrarea unor categorii speciale de date (art. 37 alin. (1) RGPD). Motivele sunt prezentate în Evidența activităților de prelucrare. Vă rugăm să trimiteți întrebările privind protecția datelor la adresa de e-mail de mai sus; acestea ajung direct la proprietar.

2. Despre ce este vorba și în ce calitate acționăm

formexposed verifică formularele de contact ale site-urilor: dacă sunt protejate împotriva spamului și a abuzurilor, dacă solicitările ajung la destinație, ce servicii terțe pot citi datele în timp ce un formular este completat și dacă oricare dintre acestea se modifică. În acest context, prelucrăm date cu caracter personal în trei calități. Distincția nu este o formalitate: ea stabilește cui trebuie să vă adresați cu o cerere.

• În calitate de operator pentru datele vizitatorilor propriilor noastre site-uri, ale clienților noștri și ale membrilor echipelor acestora, pentru facturare și asistență, precum și pentru verificarea site-urilor care nu aparțin unui cont de client (verificare gratuită, studiu, verificare pentru potențiali clienți) sau al căror domeniu nu a fost încă verificat de client. Despre aceasta este vorba în prezenta politică.
• În calitate de persoană împuternicită de operator pentru datele terților pe care clienții noștri le-au prelucrat prin intermediul Serviciului: copii ale e-mailurilor de formular în cadrul verificării livrării (secțiunea 15), abonații unui portal pentru clienți (secțiunea 14), destinatarii alertelor care nu sunt ei înșiși clienți (secțiunea 10), conturile de test pentru verificarea din spatele unei autentificări (secțiunea 9) și persoanele care apar pe un site al cărui domeniu a fost verificat de un client (secțiunea 7). În aceste cazuri, clientul este operatorul; se aplică Acordul de prelucrare a datelor, pe care fiecare client îl încheie la înregistrare.
• În nicio calitate pentru ceea ce pluginul nostru WordPress și extensia noastră TYPO3 stochează pe site-ul unui client și nu părăsește acel site (secțiunea 13). Operatorul site-ului respectiv este operatorul datelor; noi nu avem acces la acestea.

Acolo unde această politică vorbește despre „client”, se are în vedere titularul unui cont la formexposed. Conturile sunt disponibile numai pentru întreprinderi; oricine poate folosi verificarea gratuită fără cont. Serviciul nu se adresează copiilor.

3. Servere, jurnale și copii de siguranță

Pentru toți cei care vizitează site-urile noastre sau utilizează Serviciul.

Operăm formexposed pe propriile noastre servere din Polonia: un server web cu baza de date și un server de scanare pe care rulează crawlerul și un model lingvistic. Ambele se află în aceeași rețea internă. Nu există niciun furnizor extern de găzduire sau de cloud. Doar proprietarul are acces la servere.

3.1 Jurnalul serverului web

Pentru fiecare cerere, serverul web stochează adresa IP, data și ora, adresa solicitată, codul de stare, volumul de date transferat, pagina vizitată anterior (referrer) și identificatorul browserului (user agent). Acest lucru este valabil și pentru cererile privind insigna de pe paginile clienților (secțiunea 12). Jurnalele sunt rotite zilnic și șterse după 14 zile.

3.2 Jurnalul de afișări ale paginilor

În plus, aplicația înregistrează fiecare afișare de pagină, dar nu și cererile din fundal, interfețele sau insigna: adresa IP, țara derivată din aceasta, adresa solicitată și referrerul (în care mascăm tokenurile de acces, cum ar fi cele ale linkurilor către rapoarte sau portaluri, înainte de stocare), identificatorul browserului și informațiile derivate din acesta privind tipul de dispozitiv, sistemul de operare și browserul, limba și – dacă sunteți autentificat(ă) – numărul contului dumneavoastră. Stabilim țara cu ajutorul unei baze de date de pe propriul nostru server; în acest scop, adresa IP nu părăsește serverul. Dacă echipa noastră de asistență vă vizualizează contul (secțiunea 8.5), aceste afișări de pagini nu sunt atribuite contului dumneavoastră. Ștergem înregistrările după 60 zile.

3.3 Jurnalul de erori și alerta de eroare

Înregistrăm erorile tehnice cu momentul producerii, nivelul, sursa, mesajul, contextul tehnic și, după caz, numărul contului dumneavoastră și le ștergem după 90 zile. Dacă apare un tip nou de eroare, Serviciul trimite proprietarului un e-mail cu textul brut al mesajului (până la 400 de caractere, neprelucrat) și o scurtă notificare prin Telegram; dacă erorile se acumulează, doar notificarea; în plus, există o prezentare zilnică a tipurilor de erori prin e-mail. Mesajul Telegram este o frază fixă, fără conținutul erorii, fără adresă și fără informații despre persoane. Pentru fiecare tip de eroare păstrăm un exemplu de mesaj, în prezent fără o perioadă de stocare fixă; vom stabili un termen de ștergere și îl vom indica aici. Mesajele de eroare nu ar trebui să conțină date cu caracter personal; nu putem exclude însă acest lucru, de exemplu dacă un mesaj reproduce o adresă introdusă.

3.4 Copii de siguranță

Baza de date este salvată în fiecare noapte, după încheierea procesului de ștergere; prin urmare, o copie de siguranță nu conține nimic ce ar fi trebuit deja șters conform acestor perioade de stocare. Copiile de siguranță sunt păstrate în prezent în aceeași locație ca baza de date și nu sunt criptate separat; este planificată o copie criptată într-o a doua locație. Acestea expiră după 14 zile. Ceea ce ștergem din sistemul activ rămâne în copiile de siguranță până atunci. Nu se elimină selectiv nimic dintr-o copie de siguranță; aceasta servește exclusiv restaurării după o pierdere.

Scop și temei juridic: funcționarea și securitatea Serviciului, apărarea împotriva atacurilor și a abuzurilor, depanarea, restaurarea și cifrele de utilizare. Pentru acestea din urmă înregistrăm doar totaluri zilnice (de exemplu, înregistrări pe zi), nimic despre persoane; nu folosim niciun serviciu de analiză sau de urmărire. Temeiul juridic este art. 6 alin. (1) lit. (f) RGPD; interesul nostru legitim constă într-o funcționare sigură și stabilă.

4. Cookie-uri și stocare în browser

Pentru vizitatorii site-urilor noastre și utilizatorii Serviciului.

Nume	Tip	Scop	Durată
bpid	cookie	Sesiune: vă menține autentificat(ă), protejează formularele împotriva cererilor falsificate (CSRF) și contorizează limitele per sesiune pentru verificarea gratuită	până la închiderea browserului
bp_remember	cookie	numai dacă alegeți „Rămâneți autentificat” la autentificare: vă menține autentificat(ă)	30 de zile
bp_theme	stocare locală	dacă ați ales tema luminoasă sau cea întunecată; pentru utilizatorii autentificați, alegerea este stocată și în cont	până la ștergerea datelor din browser

Această stocare este strict necesară pentru funcționarea Serviciului pe care l-ați solicitat în mod expres; pentru aceasta nu este necesar consimțământul (art. 5 alin. (3) din Directiva 2002/58/CE, astfel cum a fost transpusă la nivel național, în Germania § 25 alin. (2) pct. 2 din Legea privind protecția datelor în telecomunicații și serviciile digitale (TDDDG), în Polonia art. 399 din Legea comunicațiilor electronice, Prawo komunikacji elektronicznej). Temeiul juridic pentru prelucrarea aferentă este art. 6 alin. (1) lit. (b) RGPD dacă sunteți autentificat(ă), în caz contrar art. 6 alin. (1) lit. (f) RGPD; interesul nostru legitim constă, în acest caz, în protejarea formularelor noastre împotriva cererilor falsificate, aplicarea limitelor verificării gratuite și afișarea modului de vizualizare ales de dumneavoastră.

Nu setăm cookie-uri pentru publicitate sau pentru măsurarea audienței. Un cod de recomandare din programul de parteneriat (secțiunea 18) este transmis în adresă până la înregistrare, nu într-un cookie. Google reCAPTCHA poate folosi propriile cookie-uri la trimiterea unui formular (secțiunea 5).

5. Google reCAPTCHA și propria noastră protecție a formularelor

Pentru toți cei care trimit unul dintre formularele noastre.

Protejăm împotriva atacurilor automate cu Google reCAPTCHA v3 formularele pentru verificarea gratuită, instrumentul pentru antete, excluderea unui domeniu (opt-out), autentificare, înregistrare, solicitarea și setarea unei parole noi, precum și pentru asistență și contact. Furnizorul este Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda.

Încărcăm scriptul Google numai atunci când trimiteți unul dintre aceste formulare, nu imediat ce se deschide o pagină. Acesta citește apoi informații despre browser, dispozitiv și utilizarea paginii și le transmite, împreună cu adresa dumneavoastră IP și eventualele cookie-uri Google, către Google, care evaluează dacă formularul este trimis de un om. Noi primim doar această evaluare sub forma unui scor, împreună cu acțiunea la care se referă. Dacă scorul este sub pragul nostru, aparține altui formular sau Google nu răspunde în trei secunde, refuzăm trimiterea; nu stocăm scorul. Puteți încerca din nou sau ne puteți scrie prin e-mail. Google poate transfera date către Google LLC în SUA (secțiunea 22) și decide singur cât timp le păstrează; mai multe în politica de confidențialitate Google.

În plus, aceste formulare – cu excepția celui pentru setarea unei parole noi – conțin propria noastră protecție, fără terți: un câmp capcană invizibil pentru oameni și o marcă temporală semnată, după care sunt recunoscute formularele trimise prea repede.

Formularele pentru verificarea gratuită, înregistrare, autentificare și solicitarea unei parole noi le protejăm, de asemenea, cu propria noastră protecție a formularelor formconfirmed, care funcționează tot fără terți. La deschiderea paginii, un mic script preia de pe serverul nostru o sarcină semnată; de îndată ce utilizați formularul, browserul dumneavoastră o rezolvă în fundal (o dovadă de lucru). Rezultatul ne este transmis împreună cu formularul sub forma unui token de verificare de unică folosință, pe care îl verificăm la trimitere. În acest scop prelucrăm adresa dumneavoastră IP, adresa paginii cu formularul, momentele de timp și dacă a fost completat un câmp invizibil pentru oameni. Adresa IP o stocăm în acest scop doar trunchiată (la IPv4 fără ultimul octet, la IPv6 doar primii 48 de biți) și sub forma unei valori hash cu o cheie care se schimbă zilnic, pentru a recunoaște cererile repetate în număr mare; această valoare este ștearsă după o oră, iar tokenul de verificare utilizat după cel mult unsprezece minute. Protecția formularelor nu evaluează conținutul acestor formulare. Ea nu setează cookie-uri, nu stochează nimic în browserul dumneavoastră și nu creează o amprentă a dispozitivului dumneavoastră. Dacă lipsește un token de verificare valid, refuzăm trimiterea; dacă serviciul nostru nu a fost accesibil pentru sarcină, o acceptăm.

Temei juridic: art. 6 alin. (1) lit. (f) RGPD; interesul nostru legitim constă în protejarea acestor formulare împotriva abuzurilor prin programe, în special împotriva ghicirii în masă a parolelor, a conturilor create automat și a utilizării verificării gratuite ca instrument împotriva site-urilor terților. Deoarece scriptul Google este încărcat numai la trimiterea formularului și servește doar acelei trimiteri, considerăm că citirea informațiilor de pe dispozitivul dumneavoastră este strict necesară pentru a furniza serviciul pe care îl solicitați în mod expres prin trimiterea formularului (§ 25 alin. (2) pct. 2 TDDDG, art. 399 Prawo komunikacji elektronicznej). Același lucru este valabil pentru propria noastră protecție a formularelor: în browser, aceasta prelucrează doar ceea ce este necesar pentru trimiterea formularului pe care îl utilizați. Ea urmează să înlocuiască definitiv reCAPTCHA. Cerință: fără reCAPTCHA și fără propria noastră protecție a formularelor, formularul nu poate fi trimis; pentru solicitări rămâne disponibil e-mailul.

6. Verificări gratuite fără cont

Pentru toți cei care verifică un domeniu pe pagina principală sau folosesc instrumentul pentru antete.

6.1 Verificarea gratuită

Pe pagina principală puteți solicita verificarea unui domeniu fără cont. În acest scop prelucrăm:

• domeniul introdus și rezultatul verificării (raportul; ce colectează crawlerul în acest context este descris în secțiunea 7);
• adresa dumneavoastră IP, țara acesteia, un hash al sesiunii dumneavoastră (nu sesiunea însăși), momentul și dacă cererea a fost acceptată, pentru a aplica limitele (doar câteva verificări pe zi per adresă și sesiune; un domeniu care a fost deja verificat în ultimele zile primește același raport în loc de o verificare nouă) și pentru a detecta abuzurile. Ștergem aceste înregistrări după 7 zile;
• în cazul unui comportament suspect, de exemplu multe domenii diferite de la aceeași adresă, un marcaj care conține adresa IP sau hash-ul sesiunii. Acesta este păstrat până când analizăm cazul și încă 90 de zile după aceea. Proprietarul primește despre aceasta o notificare prin Telegram, fără domeniu și fără adresa IP.

Raportul poate fi accesat de oricine căruia îi transmiteți linkul aleatoriu al acestuia; motoarele de căutare nu ar trebui să îl indexeze. Îl ștergem după 30 zile, împreună cu datele verificării și capturile de ecran. Raportul gratuit prezintă un extras; se verifică aceleași lucruri ca în cont, dar fără trimiteri de test.

6.2 Instrumentul pentru antete

Instrumentul pentru antetele de securitate accesează de două ori pagina principală a unui domeniu (prin https și prin http) și evaluează răspunsul. Stocăm domeniul, rezultatul și nota timp de 90 de zile; pentru limite se aplică același jurnal ca la verificare (7 zile). Un domeniu exclus (secțiunea 19) nu este verificat nici aici.

Temei juridic: art. 6 alin. (1) lit. (b) RGPD pentru verificarea pe care o solicitați și art. 6 alin. (1) lit. (f) RGPD pentru limite și prevenirea abuzurilor; interesul nostru legitim constă în faptul ca Serviciul să nu fie folosit abuziv ca instrument împotriva site-urilor altor persoane. Cerință: fără domeniu nu există verificare; fără adresă IP, serverul nu vă poate răspunde.

6.3 Feedback privind un raport

Pentru toți cei care folosesc „Este ceva în neregulă în acest raport?” sub un raport, cu sau fără cont.

Sub fiecare raport finalizat ne puteți semnala că lipsește un formular, că acesta a fost clasificat incorect sau că o anumită verificare are un rezultat greșit. În acest scop prelucrăm:

• ceea ce introduceți: categoria aleasă, dacă doriți verificarea în cauză, adresa unei pagini și un text de până la 1.000 de caractere;
• raportul la care se referă feedbackul (identificatorul linkului, verificarea și domeniul), limba paginii și momentul;
• dacă sunteți autentificat(ă), identificatorul contului dumneavoastră; în acest caz vedem adresa de e-mail a contului alături de feedback;
• o sumă de control unidirecțională a adresei dumneavoastră IP (formată cu o cheie secretă), astfel încât de la o adresă să sosească doar câteva semnalări (5 pe oră, 20 pe zi). Nu stocăm adresa IP însăși împreună cu feedbackul; ștergem suma de control după 2 zile.

Nu solicităm o adresă de e-mail și nu răspundem la feedback. Dacă doriți un răspuns, vă rugăm să scrieți echipei de asistență (secțiunea 17). Vă rugăm să nu introduceți date cu caracter personal în text. Citim feedbackul, îl clasificăm și, acolo unde este util, preluăm datele verificării din raport (câmpurile formularului, motivele și constatările, fără capturi de ecran) ca exemplu de test pentru detecția noastră; un astfel de exemplu de test descrie site-ul verificat, nu pe dumneavoastră. Feedbackul nu modifică raportul.

Temei juridic: art. 6 alin. (1) lit. (f) RGPD; interesul nostru legitim constă în identificarea și corectarea erorilor din detecția noastră, iar limita protejează împotriva abuzurilor. Cerință: feedbackul este voluntar. Stocare: 24 luni; imediat odată cu contul dumneavoastră.

7. Verificarea site-urilor cu ajutorul crawlerului nostru – informare în temeiul art. 14 RGPD

Pentru operatorii site-urilor verificate și pentru persoanele ale căror date apar pe un site verificat. Nu ne-ați furnizat aceste date dumneavoastră înșivă; de aceea vă informăm aici.

7.1 Ce face crawlerul

Crawlerul nostru FormExposedBot accesează cel mult opt pagini publice ale unui site per verificare, una după alta, la fel ca un vizitator cu un browser. La acestea se pot adăuga până la trei pagini pe care le reîncarcă pentru a da clic pe „Respinge” în bannerul de cookie-uri, până la trei pagini în vizualizare de telefon, pentru domeniile verificate trimiterile de test (secțiunea 7.3) și până la cinci pagini din spatele unei autentificări (secțiunea 9.4). Înainte de verificare citește fișierul robots.txt: dacă un Disallow pentru FormExposedBot sau pentru toate programele exclude pagina principală, nu efectuează verificarea. În prezent nu respectă individual subcăile blocate. Se identifică drept FormExposedBot în identificatorul browserului. Examinează formularele și stochează:

• adresele și titlurile paginilor verificate, structura formularelor (numele câmpurilor, tipurile câmpurilor, etichetele, atributele de obligativitate și de vizibilitate, fără valori; începuturile câmpurilor ascunse precompletate și ale atributelor de date le citește doar în timpul verificării și nu le stochează) și măsurile de protecție identificate;
• caracteristicile tehnice ale paginilor: serviciile CAPTCHA și de protecție antispam utilizate, scripturile încorporate ale furnizorilor terți (adresă și sumă de control), gazdele de pe care pagina încarcă conținut, numele cookie-urilor setate, antetele de securitate, indicii privind accesibilitatea formularelor, comportamentul unui banner de cookie-uri la respingere și dacă pixeli publicitari sau înregistrarea sesiunii sunt atașați formularelor;
• o captură de ecran a zonei vizibile a primei pagini și câte una pentru fiecare formular găsit, iar după o trimitere de test și una a paginii de răspuns. Aceste capturi de ecran nu sunt anonimizate; ele arată ceea ce se vede pe pagină.

Dacă un formular conține o adresă de destinatar, stocăm doar domeniul acesteia, niciodată adresa. Nu stocăm niciun alt conținut al paginilor. Datele cu caracter personal pot fi totuși afectate dacă sunt vizibile pe o pagină sau într-o captură de ecran, de exemplu numele și fotografia unei persoane de contact lângă formular. Categorii: nume, funcții, date de contact și imagini pe care operatorul le-a publicat el însuși. Nu căutăm categorii speciale de date și nu le analizăm.

Clasificăm formularele pe baza unor reguli fixe (de exemplu „contact” sau „newsletter”). Doar dacă regulile nu dau niciun rezultat ne ajută un model lingvistic care rulează pe propriul nostru server de scanare; formularele clasificate astfel nu sunt niciodată trimise și nu contează pentru scor sau pentru verdict. În acest proces nu se transmit date către terți, iar modelul nu este antrenat cu ele. Mai multe detalii la Regulamentul UE privind IA: cum folosește formexposed IA.

7.2 Cine declanșează o verificare

• cineva care introduce un domeniu pe pagina principală (secțiunea 6);
• pluginul nostru WordPress sau extensia noastră TYPO3 pentru propriul site, chiar și fără cont (secțiunea 13);
• un client pentru un domeniu din contul său (secțiunea 9);
• o agenție pentru site-ul unui potențial client, fără trimitere de test (secțiunea 14);
• noi înșine, pentru un studiu privind protecția formularelor de contact, din care publicăm doar cifre agregate, fără numele site-urilor.

7.3 Ce nu face crawlerul

Verifică site-urile altor persoane doar pasiv: nu trimite niciun formular, nu încearcă date de autentificare și nu atacă nimic. Trimite trimiteri de test doar către formularele de contact ale domeniilor pentru care un client a dovedit în contul său că are dreptul să le controleze – în calitate de proprietar sau în numele proprietarului, prin înregistrare DNS, etichetă meta, fișier sau plugin: mesaje de test marcate clar, fără date cu caracter personal, cel mult cinci per verificare; fără o astfel de dovadă, doar în cadrul verificărilor interne ale propriilor noastre domenii de test și demonstrative. Căutarea fișierelor expuse, citirea versiunilor și verificarea din spatele unei autentificări sunt disponibile, de asemenea, numai pentru domeniile verificate (secțiunea 9).

7.4 Perioada de stocare

Verificări fără cont: 30 zile; verificări ale site-ului unui potențial client: 90 de zile; verificări pentru un studiu: până la publicarea rezultatelor acestuia; verificări ale unui domeniu dintr-un cont de client: cel mult 13 luni – cea mai recentă este păstrată cât timp domeniul se află în cont – și niciodată mai mult decât perioada în care domeniul se află în cont.

7.5 Temeiul juridic și sursa

Temeiul juridic este art. 6 alin. (1) lit. (f) RGPD. Interesul legitim constă în a le arăta operatorilor de site-uri și furnizorilor lor de servicii punctele slabe ale formularelor înainte ca acestea să fie folosite pentru spam sau abuzuri, în interesul persoanei care solicită o verificare față de acest rezultat și, în cazul studiului, în formularea unei concluzii privind starea protecției formularelor. Datele provin din surse accesibile publicului, și anume din site-ul verificat însuși. Destinatari sunt persoana care a pornit verificarea și oricine căruia această persoană îi transmite linkul către raport, iar în cazul unei verificări pentru un potențial client, agenția; dintr-un studiu publicăm doar cifre agregate. Dacă un client verifică în contul său un domeniu pe care l-a verificat, acționăm în numele său (secțiunea 2); cât timp lipsește verificarea, suntem noi înșine operator. Publicăm aceste informații aici și pe pagina FormExposedBot, în loc să scriem individual fiecărei persoane vizibile; acest lucru ar fi imposibil sau ar implica un efort disproporționat, mai ales că despre aceste persoane știm doar ceea ce apare pe pagină (art. 14 alin. (5) lit. (b) RGPD).

Opoziție și excludere: În calitate de operator al unui site, puteți exclude verificările ulterioare ale domeniului dumneavoastră prin fișierul robots.txt sau prin pagina noastră de opt-out (secțiunea 19). Persoanele care apar pe o pagină verificată se pot opune prelucrării conform secțiunii 27 și pot solicita ștergerea unui raport sau a unei capturi de ecran.

8. Contul dumneavoastră de client

Pentru clienți și membrii invitați ai echipei.

8.1 Înregistrare și cont

Pentru un cont prelucrăm adresa dumneavoastră de e-mail și parola (doar sub formă de hash; nu cunoaștem parola însăși), precum și prenumele și – în măsura în care le furnizați – numele de familie și compania, plus limba, tema, moneda, abonamentul, momentele înregistrării și ale ultimei autentificări și adresa IP a ultimei autentificări. Vă confirmați adresa de e-mail printr-un link valabil 72 de ore; conturile care nu sunt confirmate niciodată sunt șterse după 30 de zile. Dacă vă modificați adresa de e-mail, cea nouă se aplică doar după confirmarea printr-un link trimis la aceasta.

Temei juridic: art. 6 alin. (1) lit. (b) RGPD (contract); pentru adresa IP a ultimei autentificări, art. 6 alin. (1) lit. (f) RGPD (protecția contului dumneavoastră, secțiunea 8.2). Cerință: adresa de e-mail, prenumele și parola sunt necesare pentru încheierea unui contract; adresa de facturare și codul de identificare în scopuri de TVA le furnizați doar pentru abonamentele plătite, către Stripe (secțiunea 18).

8.2 Autentificare și securitate

• încercările de autentificare cu adresa de e-mail, adresa IP și rezultatul: 7 zile, împotriva ghicirii parolelor; în plus, contoare pentru încercările de autentificare per cont (pentru o adresă necunoscută, per adresa introdusă), per cont și adresă IP și per adresă IP, pentru încercările de autentificare în doi pași și confirmările parolei per cont, pentru e-mailurile de resetare a parolei per adresă de e-mail, pentru înregistrările per adresă IP și pentru încercările de introducere a parolei unui portal pentru clienți per portal și adresă IP, pe care le stocăm doar sub o cheie pseudonimizată (HMAC), fără adresa de e-mail sau adresa IP în clar, și care expiră odată cu intervalul lor de timp (în prezent 15 minute, o oră pentru resetarea parolelor și înregistrări);
• dispozitivele autentificate, cu adresa IP, browserul, sistemul de operare și tipul de dispozitiv, pentru ca dumneavoastră să le puteți vedea în setări și să le deconectați: până la 90 de zile de la ultima utilizare;
• dacă autentificarea în doi pași este activată, secretul aferent (criptat) și codurile dumneavoastră de recuperare (doar sub formă de hash);
• linkurile pentru resetarea parolei sunt valabile o oră;
• un jurnal de activitate al acțiunilor importante, cum ar fi „domeniu creat”, „alertă configurată” sau „setări modificate”, cu momentul, contul care a acționat, adresa IP și țara: 365 zile.

Temei juridic: art. 6 alin. (1) lit. (f) RGPD; interesul nostru legitim constă în protejarea contului dumneavoastră și a Serviciului și în trasabilitatea modificărilor dintr-un spațiu de lucru în care lucrează mai multe persoane.

8.3 Evidența încheierii contractului

La înregistrare, înregistrăm ce versiune a Condițiilor de utilizare și a Acordului de prelucrare a datelor ați acceptat și de ce versiune a prezentei Politici de confidențialitate ați luat cunoștință – de fiecare dată cu textul integral, hash-ul acestuia, momentul, adresa IP și identificatorul browserului. Aceasta servește drept dovadă a încheierii contractului (art. 6 alin. (1) lit. (b) și (f) RGPD). Păstrăm această evidență cât timp există contul. După ștergerea contului, o ștergem de îndată ce acordul are o vechime de patru ani, deoarece întrebările privind încheierea contractului apar tocmai după reziliere.

8.4 Spații de lucru, echipă și invitații

Un cont funcționează într-unul sau mai multe spații de lucru. Dacă invitați pe cineva, îi trimitem acelei persoane un e-mail cu numele spațiului de lucru (în mod implicit, numele companiei sau prenumele dumneavoastră) și un link de acceptare; pentru invitație stocăm, de asemenea, rolul prevăzut și persoana care a trimis invitația. Membrii unui spațiu de lucru văd cine face parte din acesta și în ce rol. Dacă sunteți o persoană invitată, am obținut adresa dumneavoastră de e-mail de la membrul care v-a invitat (art. 14 alin. (2) lit. (f) RGPD). Ștergem invitațiile neacceptate la expirarea lor după 14 zile, iar pe cele acceptate la 30 de zile după acceptare. Unui formular monitorizat i se poate atribui o persoană responsabilă din echipă și un termen pentru remediere; în acest scop stocăm doar atribuirea către cont și termenul. Temei juridic: art. 6 alin. (1) lit. (b) RGPD în raport cu clientul; în raport cu persoana invitată, art. 6 alin. (1) lit. (f) RGPD (clientul dorește să lucreze cu acea persoană).

8.5 Ajutor din partea echipei noastre de asistență

Pentru a vă ajuta cu o problemă, echipa noastră de asistență vă poate vizualiza contul așa cum îl vedeți dumneavoastră. Fiecare astfel de acces este înregistrat în jurnalul de activitate și apare în exportul datelor dumneavoastră. Temei juridic: art. 6 alin. (1) lit. (b) RGPD dacă ați solicitat ajutor, în caz contrar art. 6 alin. (1) lit. (f) RGPD (depanare).

8.6 Export și ștergere

În Setări puteți descărca datele stocate pentru contul dumneavoastră sub forma unui fișier JSON – fără hash-urile parolelor și secrete și fără datele altor membri. Acest fișier nu conține rezultatele verificărilor, constatările și incidentele (ci doar încercările de livrare a escaladărilor per destinație de alertă); acestea sunt disponibile ca rapoarte în cont și, la cerere, ca fișier. Tot acolo vă puteți șterge singur(ă) contul; nu este necesar niciun e-mail. Un abonament plătit în curs se încheie imediat, de regulă fără rambursare (excepțiile sunt prevăzute în Condițiile de utilizare); cine dorește să folosească mai întâi perioada plătită anulează abonamentul în zona Facturare, cu efect de la sfârșitul perioadei. Dacă contractul pentru contul dumneavoastră încetează în alt mod, de exemplu prin rezilierea de către noi, vă puteți exporta datele până la încetarea contractului, iar noi ștergem contul cel târziu la 30 de zile după încetarea contractului. Odată cu contul, ștergem imediat spațiile dumneavoastră de lucru cu datele aferente, inclusiv domeniile, rezultatele verificărilor și capturile de ecran, alertele, incidentele, jurnalele de dovezi, elementele de branding, portalurile pentru clienți inclusiv abonații, lista verificărilor dumneavoastră pentru potențiali clienți (rapoartele acestora rămân accesibile până la expirarea celor 90 de zile), cheile API, codurile de implementare și autentificările de test. Dacă altcineva lucrează încă într-unul dintre spațiile dumneavoastră de lucru, acel spațiu de lucru trece la un alt membru – mai întâi la administratori, iar dintre aceștia la cel cu cea mai mare vechime – în loc să fie șters. Următoarele rămân până la expirarea propriei perioade de stocare: jurnalul de activitate și jurnalul de afișări ale paginilor cu numărul fostului dumneavoastră cont, e-mailurile trimise (30 zile, secțiunea 11), evidența încheierii contractului (8.3), solicitările de asistență (secțiunea 17), datele de facturare atât timp cât o impune legislația fiscală, datele privind comisioanele și codurile de activare utilizate, pentru care în prezent nu există o perioadă de stocare (secțiunea 18), precum și copiile de siguranță (3.4).

9. Domenii, verificări și monitorizare

Pentru clienți. În măsura în care sunt afectate date cu caracter personal ale terților, acționăm în numele clientului.

9.1 Domenii și verificare

Pentru fiecare domeniu din contul dumneavoastră stocăm numele, dovada autorizării dumneavoastră (înregistrare DNS, etichetă meta, fișier sau plugin), rezultatele verificărilor și setările dumneavoastră, cum ar fi frecvența, fereastra de mentenanță, notele, eticheta clientului și valoarea estimată a unei solicitări. Frecvența depinde de abonamentul dumneavoastră și ajunge până la verificări zilnice.

9.2 Monitorizarea informațiilor disponibile public

Între verificări interogăm informații disponibile public despre domeniul dumneavoastră:

• înregistrările DNS (SPF, DMARC, MX), certificatul TLS și antetele de securitate;
• data de expirare a domeniului, prin serviciul RDAP al registrului responsabil; se transmite doar numele domeniului;
• disponibilitatea paginilor cu formulare (pulsul formularelor, la fiecare 10, 15 sau 30 de minute, în funcție de abonament);
• paginile publice de stare ale serviciilor CAPTCHA și de e-mail pe care le folosește site-ul dumneavoastră; în acest context nu transmitem nimic despre dumneavoastră;
• vulnerabilitățile de securitate cunoscute din pluginurile de formulare, CAPTCHA și e-mail și – săptămânal, pentru domeniile verificate – din CMS, pluginuri și temă, ale căror versiuni le citim din exterior de pe pagina principală. Comparația se face cu baza de date deschisă WPVulnerability; se transmit doar identificatorul unui plugin sau al unei teme (fără versiune) și versiunea WordPress, nu și domeniul dumneavoastră;
• zilnic, dacă adresele serverului dumneavoastră web, adresa serverului de pe care a venit ultimul e-mail de formular (din verificarea livrării) sau domeniul dumneavoastră și domeniul expeditorului acelui e-mail figurează pe listele negre DNS pentru spam (SpamCop, PSBL, Mailspike, SURBL); se interoghează doar domenii și adrese IP ale serverelor, nu date ale vizitatorilor;
• dacă este configurat, dacă Google Web Risk listează pagina dumneavoastră principală ca pagină de malware sau de phishing; se transmite doar adresa paginii principale;
• săptămânal, pentru domeniile verificate, dacă sunt expuse fișiere care nu ar trebui să fie niciodată publice (de exemplu, o copie de siguranță a configurației sau un dump al bazei de date). În acest scop citim cel mult primii 8 KB ai unui fișier pentru a-l recunoaște și stocăm doar calea, tipul și gravitatea constatării, niciodată conținutul.

9.3 Trasee ale formularelor și verificări în browser

Pentru formularele monitorizate stocăm adresele formularelor, selectorii, clicurile prealabile și pașii sintetici ai verificării, browserul de verificare ales, precum și responsabilul și termenul. Verificările în browser completează un formular cel mult până înainte de trimitere; nu trimit nimic și nu declanșează nicio comandă sau plată. Rezultatele cuprind starea, categoriile tehnice de erori, mesajele de eroare curățate și timpii și pot include o imagine mică a formularului în care câmpurile de introducere sunt mascate. Această mascare există doar în verificările în browser; capturile de ecran ale verificării complete efectuate de crawler nu sunt anonimizate (secțiunea 7.1). Măsurătorile din browserele noastre de verificare nu sunt măsurători ale vizitatorilor dumneavoastră.

O a doua sondă, independentă, care să confirme rezultatele este prevăzută, dar nu este configurată în prezent. Aceasta ar primi doar domeniul, configurația curățată și identificatorul sarcinii, niciodată date de autentificare, capturi de ecran sau date ale vizitatorilor; vom indica în prealabil operatorul acesteia în lista de Persoane împuternicite secundare.

9.4 Verificarea din spatele unei autentificări

În abonamentele plătite, proprietarii și administratorii unui spațiu de lucru pot stoca, pentru un domeniu verificat, un cont de test pentru propriul site, astfel încât crawlerul să poată citi formularele din spatele autentificării. Se aplică următoarele:

• Numele de utilizator și parola sunt criptate pe serverul web cu o cheie pe care o poate deschide doar serverul de scanare; serverul web, baza de date și copiile de siguranță le conțin doar în formă criptată. Acestea nu sunt niciodată afișate, înregistrate în jurnale sau furnizate prin interfață; interfața cu utilizatorul arată doar primul caracter și lungimea numelui de utilizator. Copia criptată atașată unei sarcini de verificare este ștearsă după rulare, cel târziu după o oră.
• Contul de test este folosit doar de verificarea completă efectuată de crawler, nu și de verificările în browser (9.3).
• În spatele autentificării, crawlerul citește cel mult cinci pagini specificate. Nu trimite nimic, nu face capturi de ecran acolo (pot fi afișate date ale contului) și nu urmează linkuri de deconectare, ștergere sau anulare.
• Dacă ștergeți datele de autentificare, suprascriem valoarea criptată și o eliminăm; aceasta dispare, de asemenea, odată cu domeniul.

Folosiți doar un cont de test creat special în acest scop și care nu conține date reale ale clienților. Ceea ce vede crawlerul în spatele autentificării prelucrăm în numele dumneavoastră.

9.5 Alte funcții

Inventarul scripturilor: Dacă îl activați, păstrăm o listă a scripturilor de pe paginile dumneavoastră cu formulare, cu adresă și sumă de control, semnalăm scripturile noi sau modificate și, atunci când unul este aprobat, stocăm cine l-a aprobat, când și cu ce justificare. Accesibilitate: Pe baza ultimei verificări, Serviciul poate genera o schiță de informații privind accesibilitatea formularelor dumneavoastră; datele companiei pe care le introduceți în acest scop rămân în browserul dumneavoastră. Valori de referință: Pentru o comparație la nivel de industrie, evaluăm rezultatele tuturor clienților doar în formă agregată; site-urile individuale nu apar în aceasta.

Temeiul juridic pentru secțiunea 9: art. 6 alin. (1) lit. (b) RGPD; pentru datele cu caracter personal ale terților care devin vizibile în timpul unei verificări, instrucțiunile dumneavoastră în temeiul Acordului de prelucrare a datelor. Perioada de stocare: domeniul, verificarea, setările, traseele formularelor și autentificarea de test până când le ștergeți pe acestea, domeniul sau contul dumneavoastră; inventarul scripturilor și modificările acestuia până când ștergeți domeniul sau contul (nu există o perioadă de stocare separată pentru acestea); rezultatele verificărilor, rezultatele verificărilor în browser și timpii cel mult 13 luni (cea mai recentă verificare este păstrată cât timp domeniul se află în cont).

10. Notificări

Pentru clienți și destinatarii pe care aceștia îi introduc.

Trimitem alerte și rapoarte către destinațiile pe care le configurați: adrese de e-mail, propriile adrese de webhook, Slack, Discord, Microsoft Teams, Google Chat sau Telegram. Canalele de chat și webhookurile sunt disponibile în abonamentele Pro și Business. Un mesaj conține domeniul, evenimentul, o scurtă descriere și un link către contul dumneavoastră, iar pentru alertele de verificare linkul raportului, prin care rezultatele și capturile de ecran pot fi accesate fără autentificare (Telegram primește doar linkul către pagina domeniului din contul dumneavoastră, care necesită autentificare); niciun conținut din e-mailurile de formular. Stocăm:

• destinațiile (adresă de e-mail, adresă de webhook sau de chat; pentru webhookuri, un secret pentru semnare) până când le ștergeți pe acestea sau domeniul;
• un jurnal de expediere cu momentul, evenimentul și rezultatul: 90 zile;
• notificările colectate pentru rapoartele zilnice și săptămânale: până la 30 de zile după expediere;
• incidentele cu link de confirmare: cât timp sunt nerezolvate, apoi 180 de zile după rezolvare. Cine confirmă un incident este înregistrat cu numele introdus sau cu adresa sa de e-mail. Incidentele neconfirmate pot fi escaladate către alte destinații; în acest scop stocăm, pentru fiecare destinație, numărul și momentele încercărilor de livrare (cel mult cinci), dacă livrarea a reușit și eventuala eroare, cât timp există incidentul. Un incident este închis doar după ce problema a fost rezolvată; simpla confirmare nu îl încheie.

Telegram: Pentru Telegram operăm propriul bot. Îl conectați printr-un link cu un cod unic valabil 30 de minute; când apăsați „Start” în bot, serverul nostru preia acest mesaj de la Telegram și stochează identificatorul chatului dumneavoastră (chat ID) ca destinație de alertă. Telegram furnizează în acest proces și numele dumneavoastră de pe Telegram; nu îl stocăm. Ștergem codul însuși cel mai devreme după o zi, de îndată ce este creat un alt cod. Chat ID-ul este păstrat până când ștergeți alerta sau domeniul.

Serviciile de chat prelucrează mesajele în conformitate cu propriile condiții și cu contractul dumneavoastră cu acestea; unele își au sediul în afara UE (secțiunea 22). Pentru destinatarii care nu sunt ei înșiși clienți, acționăm în numele dumneavoastră; vă rugăm să îi informați.

Temei juridic: art. 6 alin. (1) lit. (b) RGPD; pentru destinatarii care nu sunt clienți, instrucțiunile dumneavoastră. Cerință: fără destinație nu există alertă; verificările rulează totuși.

11. E-mailuri de la noi

Pentru clienți și pentru toți cei cărora le scriem.

Trimitem e-mailuri pentru confirmarea adresei dumneavoastră, pentru resetarea parolei, pentru invitații, alerte și rapoarte, drept confirmări de primire ale solicitărilor de asistență și cu notificări privind contul și facturarea dumneavoastră. Trimiterea și primirea e-mailurilor noastre sunt gestionate de Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Domeniul nostru și înregistrările sale DNS sunt administrate de Namecheap, Inc., Phoenix, Arizona, SUA; până la configurarea căsuței poștale la Namecheap, Inc. (Private Email), Phoenix, Arizona, USA, Namecheap redirecționează, de asemenea, e-mailurile generale către adresele de la domeniul nostru. Copiile de control ale verificării livrării nu trec prin aceasta. Păstrăm e-mailurile trimise, inclusiv destinatarul, subiectul și conținutul, timp de 30 zile, pentru a putea rezolva problemele de livrare; nu mai mult, deoarece acestea conțin și linkuri valabile de confirmare și de resetare.

Trei e-mailuri sunt trimise fără solicitarea dumneavoastră expresă:

• Raportul lunar: la începutul lunii, o prezentare generală a verificărilor și notificărilor pentru domeniile dumneavoastră. Vă puteți dezabona de la acesta în setări.
• Memento de configurare: un singur e-mail, între două și paisprezece zile după înregistrare, dacă contul dumneavoastră este confirmat, dar nu are încă un domeniu verificat – „Adăugați site-ul” sau „Verificați domeniul”, fără nicio ofertă, preț sau trecere la un abonament superior. Nu este trimis din nou.
• Sfârșitul perioadei de probă: cu trei zile înainte de încheierea unei perioade de probă, o notificare despre ce se întâmplă după aceea.

Temei juridic: art. 6 alin. (1) lit. (b) RGPD pentru e-mailurile care fac parte din contract, inclusiv raportul lunar și notificarea privind perioada de probă; pentru mementoul de configurare, art. 6 alin. (1) lit. (f) RGPD, deoarece un cont fără domeniu nu poate folosi Serviciul, iar mulți clienți pur și simplu uită să îl configureze. Nu trimitem publicitate.

12. Insigna și jurnalul de dovezi

Pentru clienții care folosesc insigna sau jurnalul de dovezi și pentru vizitatorii site-urilor cu insignă.

Insigna: Dacă încorporați insigna noastră pe site-ul dumneavoastră, browserul fiecărui vizitator al paginii respective încarcă imaginea insignei de pe serverul nostru. În acest proces primim datele de conexiune obișnuite – adresa IP, momentul, identificatorul browserului și pagina pe care apare insigna –, care ajung doar în jurnalul serverului web (14 zile, secțiunea 3.1), nu și în jurnalul de afișări ale paginilor. Insigna nu setează cookie-uri, nu pornește nicio sesiune și nu conține niciun script. Pagina publică de confirmare arată domeniul, nivelul și data ultimei verificări, fără constatări individuale; oricine o deschide este un vizitator al site-ului nostru (secțiunile 3 și 4). Temeiul juridic este art. 6 alin. (1) lit. (f) RGPD; interesul nostru legitim constă în livrarea insignei pe care clientul o încorporează. Clientul menționează acest lucru în propria politică de confidențialitate (blocuri de text).

Jurnalul de dovezi: În abonamentele plătite puteți genera un jurnal al verificărilor pentru fiecare domeniu și fiecare lună. Sub numărul său de verificare, o pagină publică confirmă domeniul, perioada și cifrele-cheie, fără detalii. Pentru a se putea stabili ulterior dacă un jurnal a fost modificat, îl dăm spre semnare unei autorități de marcare temporală. Îi transmitem doar un hash al jurnalului, din care nu se poate reconstitui niciun conținut; în prezent acestea sunt Certum (Asseco Data Systems S.A., Polonia) și, ca soluție de rezervă, DigiCert, Inc. (SUA). Jurnalele sunt păstrate până când ștergeți domeniul. Temeiul juridic este art. 6 alin. (1) lit. (b) RGPD.

13. Pluginul WordPress și extensia TYPO3

Pentru clienții care folosesc pluginul sau extensia și pentru vizitatorii site-urilor lor.

13.1 Ce rămâne pe site-ul clientului

Pluginul nostru pentru WordPress și extensia noastră pentru TYPO3 rulează pe serverul clientului. Ceea ce stochează pluginul WordPress acolo rămâne pe acel site; noi nu avem acces la acestea, iar operatorul site-ului este operatorul datelor:

• Carantina: trimiterile pe care stratul de protecție le reține ca spam, inclusiv conținutul câmpurilor și adresa de răspuns, timp de până la 14 zile, astfel încât un mesaj reținut din greșeală să poată fi livrat cu un singur clic;
• Plasa de siguranță: copii ale e-mailurilor de formular care nu au putut fi trimise (destinatar, subiect, text și linii de antet, cum ar fi adresa de răspuns; atașamentele doar după nume), timp de până la 30 de zile, astfel încât să poată fi trimise din nou;
• Puzzle computațional: browserul vizitatorului rezolvă o mică sarcină stabilită de site-ul însuși; fără cookie, fără serviciu terț;
• Perioada de stocare: la cerere, pluginul șterge solicitările stocate ale anumitor pluginuri de formulare după 90, 180 sau 365 de zile;
• Contorizarea formularelor (dezactivată implicit): afișări, începeri, erori de validare și încercări de trimitere per formular și, dacă este activată separat, categorii de erori per poziție a câmpului – fără date introduse, nume de câmpuri, cookie-uri sau identificatori persistenți ai vizitatorilor, timp de cel mult 14 zile pe site. Un identificator derivat din adresa IP pentru limitarea cererilor expiră după un minut și nu ne este trimis;
• Asistența pentru vizitatori (poate fi activată separat): după o eroare de trimitere, o notificare conduce înapoi la formular, care este încă deschis, și, dacă se dorește, indică o adresă de e-mail; nu citește date introduse, nu stochează ciorne și nu retrimite nimic din proprie inițiativă;
• noile reguli antispam pot contoriza local timp de șapte zile fără a reține nimic.

Pluginul WordPress adaugă el însuși paragrafe adecvate în ghidul WordPress pentru politica de confidențialitate; alte texte sunt disponibile la Text pentru politica de confidențialitate a site-ului dumneavoastră. Extensia TYPO3 nu stochează conținut din formulare; adaugă pe fiecare pagină o etichetă meta pentru verificarea domeniului și contorizează.

13.2 Înregistratorul

Cu ajutorul înregistratorului, un administrator WordPress autentificat înregistrează traseul către un formular de pe propriul site. Acesta păstrează selectori tehnici și pași de navigare în stocarea de sesiune a browserului său timp de cel mult 15 minute și transferă configurația selectată către contul conectat. Nu citește date introduse. Înregistratorul nu este încărcat niciodată pentru vizitatori.

13.3 Ce ne este trimis

Pluginul și extensia ne transmit – în funcție de funcție și, cu excepția unei verificări a propriului site fără cont, doar cât timp site-ul este conectat la un cont:

• numele gazdei, o cheie publică și un secret cu care site-ul se identifică, versiunile pluginului și ale CMS-ului, precum și limba;
• cifre zilnice: trimiteri blocate per motiv, trimiteri acceptate, e-mailuri trimise și eșuate cu tipul erorii, cifre privind răspunsurile reCAPTCHA și privind solicitările șterse automat; dacă contorizarea este activată, cifrele sale zilnice;
• caracteristici ale setărilor formularelor sub formă de cifre, cum ar fi câte formulare folosesc adresa vizitatorului ca expeditor, și versiunile anumitor pluginuri de formulare, CAPTCHA și e-mail dintr-o listă fixă;
• actualizări, activări și dezactivări ale pluginurilor, temelor și CMS-ului, cu nume și versiuni, modul de mentenanță și eșecul unui e-mail de formular (doar tipul erorii);
• configurația unui traseu de formular selectat cu înregistratorul;
• pentru protecția colectivă (activată implicit), domeniile linkurilor din mesajele blocate. Raportările de la multe site-uri generează o listă de domenii de spam pe care o preiau toate pluginurile conectate. În acest scop nu transmitem adrese IP sau rețele ale expeditorilor.

Pluginul și extensia nu transmit niciun alt conținut din formulare în afara acestor domenii ale linkurilor și nici adrese de e-mail, nume sau adrese IP ale vizitatorilor. Ștergem cifrele zilnice și rapoartele de modificări după 13 luni, semnalele protecției colective după 30 de zile; informațiile de la un site care nu aparține niciunui domeniu dintr-un cont, după 90 de zile fără contact.

Temei juridic: art. 6 alin. (1) lit. (b) RGPD; pentru protecția colectivă, art. 6 alin. (1) lit. (f) RGPD (apărarea comună împotriva spamului pe numeroase site-uri). Aceste informații constituie date cu caracter personal doar în cazuri excepționale, de exemplu dacă un nume de gazdă conține numele unei persoane.

14. Funcții pentru agenții

Pentru agenții și pentru persoanele care intră în contact cu portalurile și rapoartele acestora.

• Portalul pentru clienți: O agenție le poate oferi clienților săi acces la un portal cu rezultatele pentru domeniile lor. Oricine se abonează acolo la raportul lunar își furnizează adresa de e-mail și o confirmă printr-un link (double opt-in). Stocăm adresa, limba, momentul și adresa IP ale abonării, momentul confirmării și ultima lună în care a fost trimis raportul. Ștergem abonările neconfirmate după 30 de zile. Dezabonarea este posibilă oricând prin linkul din fiecare e-mail; după aceea, păstrăm evidența abonării încă trei ani, dar nu mai mult decât până la ștergerea spațiului de lucru al agenției; dacă agenția doar retrage portalul, abonații rămân stocați. Portalul și rapoartele apar sub numele agenției; agenția este operatorul, iar noi acționăm în numele acesteia. Temeiul juridic al agenției este consimțământul abonatului.
• Branding propriu: numele companiei, site-ul, datele de contact, culorile și sigla pe care le stochează o agenție apar în rapoartele sale și în portal până când le modifică sau le șterge.
• Domeniu propriu: În abonamentul Business, o agenție poate afișa portalul și rapoartele sub propriul subdomeniu. În acest scop îi verificăm zilnic înregistrările DNS. Funcția nu este activată în prezent.
• Verificarea pentru potențiali clienți: O agenție poate solicita verificarea site-ului unui potențial client fără trimitere de test (secțiunea 7). Ea transmite singură linkul către constatările succinte; noi nu scriem nimănui. Ștergem verificarea după 90 de zile. Agenția este singura responsabilă pentru contactarea potențialului client.
• Chei API și coduri de implementare: Le stocăm doar sub formă de hash cu un prefix scurt, împreună cu eticheta lor, momentul ultimei utilizări (cheile API) sau numărul de utilizări (codurile de implementare) și numărul de apeluri pe minut (cel puțin o zi; șters la apelurile ulterioare).

Temei juridic: art. 6 alin. (1) lit. (b) RGPD în raport cu agenția; pentru abonați și potențiali clienți, a se vedea mai sus.

15. Verificarea livrării

Pentru clienții care o activează și pentru vizitatorii site-urilor lor. Pentru datele vizitatorilor, suntem persoana împuternicită de operator a clientului.

Verificarea opțională a livrării răspunde la întrebarea dacă e-mailul generat de un formular de contact este într-adevăr trimis. În acest scop, clientul introduce una dintre adresele noastre de control drept copie ascunsă (BCC) în setările de e-mail ale formularului său. Ca urmare, primim nu doar propria trimitere de test, ci o copie a fiecărui e-mail de formular – inclusiv a solicitărilor reale ale vizitatorilor săi, cu numele, adresele și mesajele acestora.

Ce facem cu acestea, și numai atât: o preluare automată citește antetele și cel mult primii 8 KB ai textului, atribuie e-mailul, prin adresa de control, unui domeniu și, după caz, unei trimiteri de test și verifică elementele de autenticitate SPF, DKIM și DMARC. După procesarea cu succes, e-mailul este șters. Dacă preluarea sau ștergerea eșuează, un e-mail poate rămâne în căsuța poștală până la următoarea rulare reușită; căsuța poștală este găzduită de furnizorul nostru de servicii de e-mail (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Copiile sunt evaluate exclusiv automat.

În baza noastră de date stocăm doar momentul, atribuirea domeniului și, după caz, identificatorul trimiterii de test, timp de 180 de zile, precum și rezultatul tehnic de autenticitate (SPF, DKIM, DMARC) al celui mai recent e-mail primit, până când următorul e-mail îl înlocuiește sau domeniul este șters. Acest rezultat de autenticitate include adresa IP a serverului expeditor și domeniul de e-mail al expeditorului; acest domeniu este menționat într-o alertă către client doar dacă nu aparține site-ului. Dacă un formular introduce adresa vizitatorului ca expeditor, acesta este domeniul furnizorului de e-mail al vizitatorului. Nu stocăm conținutul e-mailurilor sau adresele complete ale expeditorilor. Dacă nu sosește nicio copie în câteva ore după o trimitere de test, îi semnalăm acest lucru clientului.

Primirea dovedește doar că copia atribuită a ajuns în căsuța noastră poștală de control – nu și primirea de către destinatarul efectiv și nici o înregistrare într-un CRM. Formularele prin care trec categorii speciale de date cu caracter personal (de exemplu, informații privind sănătatea) nu ar trebui conectate la verificarea livrării. Clientul își informează vizitatorii cu privire la acest flux de date; un text în acest scop este disponibil la Text pentru politica de confidențialitate a site-ului dumneavoastră. Fără o căsuță poștală de control configurată, verificarea nu este disponibilă.

Temei juridic: pentru client, de regulă art. 6 alin. (1) lit. (f) RGPD (primirea fiabilă a solicitărilor); noi prelucrăm conform instrucțiunilor sale (art. 28 RGPD).

16. Modelul lingvistic de pe propriul nostru server și „Fix it for me”

Pentru clienți și utilizatorii verificării gratuite.

Un model lingvistic rulează pe propriul nostru server de scanare, nu la un furnizor de AI. Acesta ajută la clasificarea formularelor (secțiunea 7) și, prin „Fix it for me”, inserează protecție în codul de formular pe care îl lipiți. Codul lipit este prelucrat doar pentru această cerere, nu este stocat și nu este folosit pentru antrenare; în jurnalul de activitate înregistrăm doar faptul că funcția a fost utilizată, cu limbajul de programare, lungimea codului și rezultatul (inclusiv pentru cota zilnică). Vă rugăm să nu lipiți date de autentificare sau date cu caracter personal. „Fix it for me” funcționează fără acces la site-ul dumneavoastră; inserați codul dumneavoastră înșivă. Mai multe detalii la Regulamentul UE privind IA: cum folosește formexposed IA. Temei juridic: art. 6 alin. (1) lit. (b) RGPD.

17. Asistență, contact și raportări de vulnerabilități de securitate

Pentru toți cei care ne scriu.

Dacă ne scrieți prin fereastra de asistență sau prin pagina de contact, prelucrăm adresa dumneavoastră de e-mail, mesajul, subiectul ales, pagina de pe care scrieți, limba, adresa IP, țara acesteia, identificatorul browserului și – dacă sunteți autentificat(ă) – numărul contului, pentru a răspunde solicitării dumneavoastră și pentru a preveni utilizarea abuzivă a formularului. Primiți o confirmare de primire prin e-mail la adresa furnizată; dacă sunteți autentificat(ă), aceasta reproduce începutul mesajului dumneavoastră (până la 2.000 de caractere), în caz contrar nu conține textul dumneavoastră. Ca orice e-mail trimis, este păstrată 30 zile (secțiunea 11). Un semnal Telegram, care nu conține niciun conținut și nicio informație despre dumneavoastră, ne anunță solicitările noi. Dacă ne trimiteți un e-mail, prelucrăm adresa și mesajul dumneavoastră. Tratăm în același mod raportările de vulnerabilități de securitate. Ștergem solicitările la 24 luni după primire, chiar dacă vă ștergeți contul mai devreme; acestea documentează ce s-a întrebat și ce s-a răspuns.

Temei juridic: art. 6 alin. (1) lit. (b) RGPD dacă solicitarea privește un contract cu noi, în caz contrar art. 6 alin. (1) lit. (f) RGPD (răspuns, prevenirea abuzurilor, probă). Cerință: fără adresă de e-mail nu vă putem răspunde.

18. Plăți, perioadă de probă și programul de parteneriat

Pentru clienții cu abonament plătit și pentru parteneri.

Facturăm abonamentele plătite prin Stripe. Furnizorul este Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irlanda. Introduceți datele de plată direct la Stripe; noi nu le vedem. Stripe primește adresa dumneavoastră de e-mail și numele, la finalizarea plății adresa de facturare și, după caz, codul de identificare în scopuri de TVA și emite facturile. Noi deținem doar identificatorii clientului și ai abonamentului la Stripe, abonamentul, starea, sfârșitul perioadei de facturare și identificatorii și tipurile evenimentelor pe care ni le raportează Stripe.

Puteți începe o perioadă de probă fără card; fără un mijloc de plată, aceasta se încheie automat. Dacă o gazdă sau un partener v-a oferit un cod de activare, stocăm ce cont l-a utilizat și când, precum și până când se aplică abonamentul.

Stripe prelucrează date și în calitate de operator independent, de exemplu pentru prevenirea fraudei și pentru respectarea obligațiilor legale, și le poate transfera către Stripe, Inc. în SUA (secțiunea 22). Mai multe detalii în politica de confidențialitate Stripe.

Programul de parteneriat: Programul a fost dezvoltat, dar nu este activat în prezent. Dacă va fi activat, se aplică următoarele: fiecare cont are un cod de recomandare. Oricine se înregistrează printr-un link de recomandare este atribuit partenerului pentru un număr limitat de luni; stocăm atribuirea și momentul acesteia și, pentru fiecare factură plătită, suma netă și comisionul. Partenerul vede doar cifre – câte conturi s-au înscris, câte plătesc și totalul comisioanelor sale –, fără nume și fără adrese. Se aplică Condițiile pentru parteneri. În prezent păstrăm datele partenerilor, atribuirile și comisioanele fără o perioadă de stocare fixă, la fel ca informațiile privind codurile de activare utilizate; vom stabili un termen de ștergere și îl vom indica aici.

Temei juridic: art. 6 alin. (1) lit. (b) RGPD; pentru păstrarea datelor de facturare și, acolo unde este necesar în scopuri fiscale, a datelor privind comisioanele, art. 6 alin. (1) lit. (c) RGPD; pentru atribuirea către un partener, art. 6 alin. (1) lit. (f) RGPD (decontarea comisionului). Păstrăm datele de facturare atât timp cât o impune legislația fiscală; conform dreptului polonez (art. 86 coroborat cu art. 70 din Codul de procedură fiscală polonez, Ordynacja podatkowa), de regulă până la împlinirea a cinci ani de la sfârșitul anului calendaristic în care obligația fiscală a devenit exigibilă. Cerință: fără date de plată nu există abonament plătit; abonamentul gratuit rămâne disponibil.

19. Excluderea unui domeniu (opt-out)

Pentru operatorii de site-uri care nu doresc să fie verificați de noi.

Prin pagina de opt-out puteți exclude un domeniu de la verificări ulterioare. Excluderea se aplică domeniului și variantei sale www, nu și altor subdomenii, și este opozabilă inclusiv clienților plătitori care au verificat domeniul; monitorizarea în curs se încheie la următoarea verificare programată. Doar noi o putem ridica, la cerere și pe baza dovezii că dețineți controlul asupra domeniului. Stocăm domeniul, motivul indicat în mod voluntar, adresa dumneavoastră IP, țara acesteia și identificatorul browserului. Ștergem adresa IP, țara și identificatorul browserului după 12 luni; excluderea însăși rămâne permanent, deoarece altfel domeniul ar fi verificat din nou. Avem nevoie de aceste informații pentru a vă pune în aplicare dorința în mod permanent și pentru a recunoaște dacă cineva exclude în mod abuziv domeniile altor persoane. Temei juridic: art. 6 alin. (1) lit. (f) RGPD; interesul nostru legitim constă în punerea în aplicare permanentă a dorinței dumneavoastră și în recunoașterea utilizării abuzive a formularului. Dacă intenționați ca excluderea să fie o opoziție în temeiul art. 21 RGPD, o punem în aplicare în acest mod.

20. Pentru vizitatorii site-urilor clienților noștri

Pentru persoanele care vizitează un site al cărui operator folosește formexposed sau care trimit un formular pe acesta.

Operatorul acelui site este operatorul datelor pentru acesta, nu noi. Operatorul decide ce funcții folosește și trebuie să vă informeze despre ele în propria politică de confidențialitate. Următoarele pot ajunge la noi:

• Insigna: datele de conexiune ale browserului dumneavoastră la încărcarea imaginii, 14 zile în jurnalul serverului web, fără cookie; aici suntem operatorul pentru livrarea imaginii (secțiunea 12).
• Verificarea livrării: o copie a e-mailului dumneavoastră de formular, care este evaluată automat și ștearsă; suntem persoana împuternicită de operator (secțiunea 15).
• Pluginul WordPress și extensia TYPO3: cifre zilnice fără legătură cu dumneavoastră și, pentru protecția colectivă, domeniile linkurilor din mesajele blocate; carantina și plasa de siguranță rămân pe site (secțiunea 13).
• Portalul pentru clienți: adresa dumneavoastră de e-mail, dacă vă abonați acolo la un raport; suntem persoana împuternicită de operator a agenției (secțiunea 14).
• Protecția formularelor (formconfirmed): dacă operatorul o utilizează, browserul dumneavoastră preia de pe serverul nostru o sarcină la deschiderea paginii și o rezolvă în fundal; la trimitere, serverul operatorului ne solicită să verificăm rezultatul. Se prelucrează adresa dumneavoastră IP (stocată doar trunchiată și ca valoare hash, cel mult o oră; în jurnalul serverului web, ca orice accesare, 14 zile), adresa paginii, timpul de completare, dacă a fost completat un câmp invizibil și – doar dacă operatorul activează verificarea conținutului – textul mesajului dumneavoastră, pe care un model lingvistic îl evaluează în memoria de lucru a propriului nostru server, fără a-l stoca. Fără cookie-uri, fără stocare în browser, fără amprentă. Suntem persoana împuternicită de operator (Acordul de prelucrare a datelor, Anexa 1 pct. 10).

Cel mai bine este să vă exercitați drepturile față de operatorul site-ului; acesta cunoaște contextul și ne poate da instrucțiuni. Dacă ne contactați, transmitem solicitarea dumneavoastră operatorului sau o soluționăm noi înșine, în măsura în care suntem operator. Ce putem și ce nu putem găsi în acest context este descris în Acces, ștergere și celelalte drepturi ale dumneavoastră.

21. Destinatari

Transmitem date cu caracter personal doar acolo unde prezenta politică o prevede. Nu vindem, nu închiriem și nu schimbăm date. Categorii de destinatari:

Destinatar (sediu)	Categorie	În ce scop
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	persoană împuternicită de operator; locul prelucrării urmează să fie verificat	trimiterea și primirea e-mailurilor noastre; căsuța poștală de control a verificării livrării
Namecheap, Inc. (SUA)	persoană împuternicită de operator	domeniu, DNS; până la configurarea căsuței poștale, redirecționarea e-mailurilor generale către domeniul nostru (nu și a copiilor de control ale verificării livrării)
Stripe Payments Europe, Ltd. (Irlanda), Stripe, Inc. (SUA)	în mare parte operator independent; încă analizăm repartizarea exactă a rolurilor	plăți și facturi
Google Ireland Ltd., Google LLC (SUA)	operator independent	reCAPTCHA
Telegram (în afara SEE)	destinație aleasă de client; trimitem mesajul prin botul nostru. Pentru noi, și canal de notificare	alerte, dacă alegeți Telegram; semnale operaționale fără date cu caracter personal
Slack, Discord, Microsoft (Teams), Google (Chat), webhookurile dumneavoastră (parțial SUA)	destinații alese de client	alerte
Publicul	–	linkuri către rapoarte, pagini de confirmare, rezultatele studiului (doar agregate)
Membrii spațiului dumneavoastră de lucru	utilizatori ai aceluiași cont	colaborare, în funcție de rol
Autorități, instanțe, CERT Polska, consilieri	operatori independenți	numai în cazul unei obligații legale, pentru constatarea, exercitarea sau apărarea unor drepturi în instanță și în cazul utilizării abuzive a Serviciului nostru sau al atacurilor asupra terților (art. 6 alin. (1) lit. (c) sau (f) RGPD)

Următorii nu primesc date cu caracter personal: serviciile RDAP ale registrelor, identificate prin directorul IANA, și, pentru vechimea domeniului în verificarea gratuită, serviciul de retransmitere rdap.org (doar nume de domenii), WPVulnerability la wpvulnerability.net (doar identificatorul unui plugin fără versiune, identificatorul unei teme sau versiunea WordPress), paginile de stare ale serviciilor CAPTCHA și de e-mail (nimic altceva decât cererea însăși), autoritățile de marcare temporală Certum și DigiCert (doar hash-uri), listele negre DNS SpamCop, PSBL, Mailspike și SURBL (doar domenii și adrese IP ale serverelor), Google Web Risk, dacă este configurat (doar adresa paginii principale), și celelalte pluginuri conectate în cadrul protecției colective (doar domenii de spam). Lista completă și actualizată a persoanelor împuternicite de noi, cu sediul acestora și temeiul transferului, este disponibilă la Persoane împuternicite secundare; anunțăm clienții cu privire la modificări cu 30 de zile în avans.

22. Transferuri către țări terțe

Dacă un destinatar își are sediul în afara Spațiului Economic European, transferăm date doar dacă sunt îndeplinite condițiile prevăzute la art. 44 și urm. RGPD:

• SUA: pe baza deciziei Comisiei Europene privind caracterul adecvat al nivelului de protecție în cadrul EU-U.S. Data Privacy Framework (Decizia de punere în aplicare (UE) 2023/1795, art. 45 RGPD), în măsura în care destinatarul este certificat în cadrul acestuia. Dacă Google, Stripe și Namecheap sunt certificate pentru serviciile în cauză este un aspect pe care încă îl verificăm pentru această versiune și, prin urmare, nu o afirmăm; în lipsa certificării, pe baza clauzelor contractuale standard ale Comisiei Europene (Decizia de punere în aplicare (UE) 2021/914, art. 46 alin. (2) lit. (c) RGPD).
• Furnizorul nostru de servicii de e-mail: unde prelucrează Namecheap, Inc. (Private Email), Phoenix, Arizona, USA datele și pe ce temei pot fi acestea transferate într-o țară terță sunt aspecte pe care încă le verificăm. Situația actuală este indicată pe pagina Persoane împuternicite secundare.
• Servicii de chat și webhookuri alese de dumneavoastră: Slack, Discord, Microsoft Teams, Google Chat și webhookurile primesc alertele dumneavoastră printr-o adresă pe care o generați în contul dumneavoastră la serviciul respectiv; relația contractuală cu furnizorul și orice temei necesar pentru transferul către o țară terță țin de responsabilitatea dumneavoastră.
• Telegram: destinație aleasă de client; trimitem mesajul prin botul nostru. Telegram își are sediul în afara SEE, într-o țară fără decizie privind caracterul adecvat, iar noi nu avem încheiate clauze contractuale standard cu Telegram. În prezent solicităm o analiză privind temeiul, în sensul art. 44 și urm. RGPD, pe care se bazează acest transfer – ia în considerare art. 49 alin. (1) lit. (b) RGPD, deoarece alegeți singur(ă) canalul. Alegeți Telegram doar dacă acest lucru vă este suficient; e-mailul rămâne întotdeauna disponibil ca alternativă.

Puteți obține gratuit, la cerere, la adresa din secțiunea 1, o copie a garanțiilor pe care se întemeiază un transfer. Decizia privind caracterul adecvat și clauzele contractuale standard pot fi găsite și în Jurnalul Oficial al UE (eur-lex.europa.eu), iar lista companiilor certificate în cadrul Data Privacy Framework la dataprivacyframework.gov. Propriile noastre servere se află în Polonia; datele pe care nu le primește niciunul dintre destinatarii menționați nu părăsesc UE.

23. Perioadele de stocare pe scurt

Perioadele de stocare sunt aplicate printr-un proces nocturn, iar pentru jurnalul serverului web prin rotirea sa zilnică. Acolo unde scrie „odată cu domeniul”, datele dispar imediat când ștergeți domeniul sau contul. Ele rămân apoi în copiile de siguranță până la 14 zile (secțiunea 3.4).

Date	Ștergere
Jurnalul serverului web (inclusiv cererile privind insigna)	după 14 zile
Jurnalul de afișări ale paginilor	după 60 zile
Jurnalul de erori	după 90 zile
Jurnalul de activitate	după 365 zile
Încercări de autentificare; limitele verificării gratuite și ale instrumentului pentru antete	după 7 zile
Marcaje pentru comportament suspect (verificare gratuită)	la 90 de zile după soluționarea cazului
Dispozitive autentificate	la 90 de zile după ultima utilizare
„Rămâneți autentificat”; conturi niciodată confirmate; invitații acceptate (cele neacceptate la expirarea lor)	după 30 de zile
Raport fără cont, inclusiv capturile de ecran	după 30 zile
Versiunea PDF a unui raport din memoria cache	după 7 zile
Rezultatele instrumentului pentru antete; verificarea site-ului unui potențial client	după 90 de zile
Verificări pentru un studiu	la publicarea rezultatelor acestuia
Rezultatele verificărilor, verificările în browser și timpii pentru un domeniu din cont	după 13 luni (cea mai recentă verificare, cât timp domeniul se află în cont)
Domeniu, setări, trasee ale formularelor, jurnale de dovezi, destinații de alertă, rezultatul de autenticitate al ultimului e-mail de formular	odată cu domeniul
Inventarul scripturilor și modificările acestuia	odată cu domeniul (nu există o perioadă de stocare separată)
Autentificarea de test pentru verificarea din spatele unei autentificări	când o ștergeți, odată cu domeniul; copia atașată sarcinii de verificare după rulare, cel târziu după o oră
Cifrele zilnice și rapoartele de modificări din plugin și extensie, contorizarea formularelor	după 13 luni
Informații de la un site cu pluginul care nu aparține niciunui cont	la 90 de zile după ultimul contact
Semnalele protecției colective; notificările colectate pentru rapoartele zilnice și săptămânale (de la expediere)	după 30 de zile
Contorizarea apelurilor API; codurile unice pentru Telegram	cel mai devreme după o zi, la următorul apel sau cod de acest tip
Jurnalul de expediere a alertelor	după 90 zile
Atribuirile din verificarea livrării; incidentele cu confirmare și încercările de livrare a escaladărilor (cele nerezolvate sunt păstrate)	după 180 de zile, incidentele de la rezolvarea lor
Copiile e-mailurilor de formular din căsuța poștală de control	după procesare; în caz de erori, la următoarea rulare reușită
E-mailuri trimise	după 30 zile
Solicitări de asistență	după 24 luni
Feedback privind un raport	după 24 luni, imediat odată cu contul; suma de control a adresei IP după 2 zile
Adresa IP, țara și identificatorul browserului aferente unui opt-out	după 12 luni (domeniul rămâne exclus)
Abonări neconfirmate la raportul lunar din portalul pentru clienți	după 30 de zile
Evidența unei abonări anulate	la trei ani după dezabonare
Contul și datele personale	când le ștergeți
Evidența încheierii contractului	cât timp există contul; după ștergerea acestuia, de îndată ce acordul are o vechime de patru ani
Date de facturare	la expirarea perioadei de păstrare prevăzute de legislația fiscală
Atribuirile și comisioanele din programul de parteneriat; codurile de activare utilizate	în prezent fără o perioadă fixă
Exemplu al unui tip de eroare	în prezent fără o perioadă de stocare fixă
Copii de siguranță ale bazei de date	după 14 zile
Protecția formularelor: adresa IP trunchiată și hash-uită, pentru recunoașterea cererilor repetate în număr mare; tokenurile de verificare utilizate; rezultatele verificării fără adresă IP și fără text (acțiune, scor, motive, domeniu); cifre zilnice fără legătură cu persoane	după o oră; după cel mult unsprezece minute; după 30 de zile; după 400 de zile

24. Obligația de a furniza date

Nu aveți nicio obligație legală de a ne furniza date. Pentru un cont avem nevoie de adresa dumneavoastră de e-mail, de prenume și de o parolă; fără acestea nu se poate încheia niciun contract. Pentru abonamentele plătite avem nevoie de datele de facturare, pentru verificarea livrării de o căsuță poștală de control, pentru alerte de o destinație. Toate celelalte informații sunt voluntare. Datele de conexiune din jurnale apar din punct de vedere tehnic la fiecare cerere; fără ele, serverul nu poate răspunde. Ce lipsește dacă nu furnizați ceva este indicat în secțiunea privind prelucrarea respectivă.

25. Decizii automatizate și crearea de profiluri

Nu luăm decizii care produc efecte juridice care vă privesc sau care vă afectează în mod similar într-o măsură semnificativă bazate exclusiv pe prelucrarea automată (art. 22 RGPD). Nu creăm profiluri ale persoanelor. Evaluările noastre – nivelul de risc, nota antetelor, „protejat” în insignă – privesc site-uri și formulare, nu persoane.

Rulează însă automat mecanisme de protecție care pot respinge cereri individuale fără ca un om să le examineze: evaluarea reCAPTCHA și propria noastră protecție a formularelor (secțiunea 5), limitele și marcajele pentru verificarea gratuită (secțiunea 6) și blocarea după prea multe încercări de autentificare (secțiunea 8.2). Acestea împiedică doar trimiterea individuală; o încercare respinsă poate fi repetată ulterior, iar e-mailul rămâne disponibil pentru orice solicitare. Dacă considerați că o respingere este greșită, scrieți-ne; un om va analiza cazul. De asemenea, ștergem automat conturile care nu au fost confirmate în termen de 30 de zile de la înregistrare.

26. Drepturile dumneavoastră

În temeiul RGPD aveți următoarele drepturi. Pentru fiecare dintre ele indicăm cea mai rapidă modalitate de exercitare. Dacă nu se precizează altfel, este suficient un e-mail la contact@lukaswojcik.com. Răspundem fără întârzieri nejustificate și, în orice caz, în termen de o lună de la primire; în cazul solicitărilor complexe sau numeroase, termenul poate fi prelungit cu două luni, caz în care vă informăm despre aceasta, împreună cu motivele, în prima lună (art. 12 alin. (3) RGPD). Exercitarea drepturilor dumneavoastră este gratuită; doar în cazul unor cereri vădit nefondate sau excesive putem percepe o taxă rezonabilă sau putem refuza să dăm curs cererii, iar în acest caz vă comunicăm motivele (art. 12 alin. (5) RGPD). Pentru a nu divulga datele altcuiva, vă putem ruga să faceți cererea de la adresa de e-mail a contului dumneavoastră; solicităm alte dovezi doar dacă avem îndoieli rezonabile cu privire la identitatea dumneavoastră și doar în măsura necesară (art. 12 alin. (6) RGPD).

• Accesul (art. 15 RGPD): Dacă aveți un cont, descărcați exportul de date din Setări; acesta conține datele contului, ale spațiului de lucru și ale domeniilor, autentificările, activitățile, solicitările de asistență, e-mailurile trimise și consimțămintele dumneavoastră. Rezultatele verificărilor le puteți vedea ca rapoarte în cont. Accesul complet, inclusiv la datele pe care exportul nu le conține (de exemplu, înregistrările din jurnalul de erori sau din jurnalul serverului web), împreună cu informațiile prevăzute la art. 15 alin. (1) RGPD, îl puteți obține la cerere prin e-mail. Fără cont – de exemplu cu privire la un opt-out, o solicitare de asistență sau un raport – prin e-mail, indicând domeniul sau adresa în cauză și momentul aproximativ.
• Rectificarea (art. 16): Numele, compania, limba și adresa de e-mail le puteți modifica singur(ă) în Setări, iar adresa de facturare și codul de identificare în scopuri de TVA în portalul pentru clienți Stripe din zona Facturare; orice altceva prin e-mail.
• Ștergerea (art. 17): Vă puteți șterge singur(ă) contul, domeniile, destinațiile de alertă și autentificările de test și puteți revoca singur(ă) cheile API (acestea sunt șterse odată cu contul); vă puteți dezabona de la raportul lunar al unui portal pentru clienți prin linkul din fiecare e-mail. Ștergerea unui raport, a unei capturi de ecran sau a altor date o puteți solicita prin e-mail. Ce trebuie să păstrăm din motive legale este descris în secțiunea 8.6.
• Restricționarea prelucrării (art. 18): prin e-mail, de exemplu dacă contestați exactitatea datelor și noi le verificăm.
• Portabilitatea datelor (art. 20): Exportul de date este un fișier JSON care poate fi citit automat și pe care îl puteți transmite singur(ă) unui alt furnizor. Mai multe despre schimbarea furnizorului la Regulamentul UE privind datele: schimbarea furnizorului și exportul datelor.
• Opoziția (art. 21): a se vedea secțiunea următoare.
• Retragerea consimțământului (art. 7 alin. (3)): Nu ne întemeiem propriile prelucrări pe consimțământ. Vă puteți retrage consimțământul pentru raportul lunar al unui portal pentru clienți prin linkul din fiecare e-mail; retragerea produce efecte pentru viitor.

Pentru datele pe care le prelucrăm în numele unui client (secțiunea 2), persoana de contact este clientul. Dacă ne scrieți totuși nouă, transmitem solicitarea dumneavoastră clientului și îl sprijinim în formularea răspunsului. Un ghid detaliat, cu toate căile și limitările, este disponibil la Acces, ștergere și celelalte drepturi ale dumneavoastră.

27. Dreptul la opoziție în temeiul art. 21 RGPD

În măsura în care prelucrăm date pe baza intereselor legitime (art. 6 alin. (1) lit. (f) RGPD), vă puteți opune în orice moment, din motive legate de situația dumneavoastră particulară. În acest caz nu mai prelucrăm datele, cu excepția cazului în care putem demonstra motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților dumneavoastră sau a cazului în care prelucrarea are ca scop constatarea, exercitarea sau apărarea unui drept în instanță.

Acest lucru se aplică în special verificării site-urilor de către crawlerul nostru (secțiunea 7), jurnalelor (secțiunea 3), reCAPTCHA (secțiunea 5), limitelor pentru verificarea gratuită (secțiunea 6), mementoului de configurare (secțiunea 11), insignei (secțiunea 12) și protecției colective (secțiunea 13).

Opoziția nu este supusă niciunei forme speciale; este suficient un e-mail la contact@lukaswojcik.com. În calitate de operator al unui site, puteți exclude, de asemenea, singur(ă), în orice moment, verificările ulterioare prin fișierul robots.txt sau prin pagina de opt-out. Nu trimitem publicitate prin e-mail, împotriva căreia ar fi posibilă o opoziție fără indicarea motivelor.

28. Plângerea adresată unei autorități de supraveghere

Aveți dreptul de a depune o plângere la o autoritate de supraveghere în domeniul protecției datelor dacă considerați că vă prelucrăm datele în mod ilegal (art. 77 RGPD). Autoritatea competentă pentru noi este:

Prezes Urzędu Ochrony Danych Osobowych (Președintele Oficiului pentru Protecția Datelor cu Caracter Personal, UODO)
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Polonia
uodo.gov.pl

Vă puteți adresa și autorității din statul membru în care locuiți sau lucrați ori în care a avut loc presupusa încălcare – în Germania, de exemplu, autorității pentru protecția datelor din landul dumneavoastră. Această autoritate transmite plângerea, dacă este necesar, autorității competente. Suntem bucuroși să soluționăm mai întâi direct cu dumneavoastră o problemă; aceasta nu este însă o condiție.

29. Securitate

Toate conexiunile către Serviciul nostru sunt criptate cu TLS; conexiunile din rețeaua noastră internă nu sunt criptate în totalitate. Stocăm parolele, cheile API și codurile de recuperare doar sub formă de hash, iar secretele pentru autentificarea în doi pași și autentificările de test doar în formă criptată. Datele clienților sunt separate pe spații de lucru; drepturile unui rol sunt impuse de server, nu doar de interfața cu utilizatorul. Doar proprietarul are acces la servere; crawlerul funcționează izolat și nu poate accesa adrese din rețeaua internă. Descrierea completă este disponibilă la Măsuri tehnice și organizatorice. Dacă luăm cunoștință de o încălcare a securității datelor cu caracter personal, informăm autoritatea de supraveghere și, dacă este necesar, pe dumneavoastră, în conformitate cu art. 33 și 34 RGPD; clienții în numele cărora acționăm îi informăm fără întârzieri nejustificate, dacă este posibil în termen de 48 de ore.

30. Alte documente

Această politică este rezumatul destinat persoanelor vizate. Detalii găsiți în Evidența activităților de prelucrare, în lista de Persoane împuternicite secundare, în Măsuri tehnice și organizatorice, în Acordul de prelucrare a datelor, în Evaluarea impactului asupra protecției datelor, precum și la Acces, ștergere și celelalte drepturi ale dumneavoastră, Regulamentul UE privind IA: cum folosește formexposed IA și Text pentru politica de confidențialitate a site-ului dumneavoastră.

31. Modificări

Actualizăm această politică atunci când se modifică Serviciul sau situația juridică și facem acest lucru înainte de începerea oricărei prelucrări noi. Se aplică versiunea publicată aici; versiunile anterioare și ce s-a modificat găsiți la Modificări ale documentelor contractuale. Versiunea pe care ați văzut-o la înregistrare este indicată în exportul datelor dumneavoastră. Dacă se modifică ceva esențial în prelucrarea datelor dumneavoastră în calitate de client, vă informăm și prin e-mail.

Această politică este disponibilă în toate limbile oficiale ale Uniunii Europene. În caz de neconcordanțe, prevalează versiunea în limba polonă.