Доступ, удаление и другие Ваши права

Этот документ опубликован на нескольких языках. В случае расхождений между языковыми версиями обязательной является польская версия.

Версия 1.0 · Последнее обновление: 16 октября 2026 года

Эта страница объясняет, как Вы осуществляете свои права по Общему регламенту по защите данных (GDPR) в отношении formexposed: у кого какие данные находятся у нас, каким путём Вы получаете доступ, копию, исправление или удаление, что нам для этого нужно от Вас и где проходят границы. Она дополняет документ Политика конфиденциальности, подробно описывающий цели, правовые основания и сроки хранения.

1. Кто и что может запросить у нас

formexposed проверяет контактные формы сайтов. Поэтому мы имеем дело с очень разными людьми: клиентами с аккаунтом, участниками команд, операторами проверяемых сайтов, посетителями сайтов наших клиентов и подписчиками клиентского портала. Не все оставили у нас одинаковые данные, а возможность связать что-либо с Вами зависит от Вашей роли. Для каждой группы следующие разделы описывают путь. Если мы действуем только по поручению Клиента, мы это указываем, поскольку тогда решает Клиент, а не мы. GDPR защищает физических лиц. Если оператор сайта — компания, у неё нет собственных прав по GDPR; они есть у людей, чьи данные указаны на сайте. Тем не менее мы отвечаем компаниям по тем же правилам, насколько затронут их собственный домен.

2. Обзор способов обращения

Кто Вы	Что у нас может быть о Вас	Способ	Что нам нужно от Вас
Клиент с аккаунтом	Аккаунт, рабочие пространства, домены, настройки, журналы, согласия, обращения в поддержку	Самостоятельно в настройках: экспорт и удаление	Вход и Ваш пароль
Участник команды	Ваш собственный аккаунт; Ваши записи в журнале действий рабочего пространства	Как для клиентов; выход из рабочего пространства	Вход и пароль
Приглашённое лицо без аккаунта	Адрес электронной почты и роль в приглашении	Письмо нам или пригласившему Вас лицу	Сообщение с приглашённого адреса
Оператор проверяемого сайта	Отчёты по Вашему домену, запись исключения, данные плагина без аккаунта	Страница исключения, robots.txt, письмо нам	Домен, ссылка на отчёт; для большего, чем отчёт, — подтверждение контроля над доменом
Человек, присутствующий на проверяемом сайте	Снимки экрана и адреса проверяемых страниц, на которых Вы присутствуете	Письмо нам (раздел 5.3)	Домен и приблизительное время, а при наличии — ссылка на отчёт
Посетитель сайта клиента	Почти всегда ничего, что можно связать с Вами (раздел 6)	Сначала оператор сайта	Сайт, время; для значка — Ваш IP-адрес
Подписчик клиентского портала	Адрес электронной почты, язык, время и IP подписки, подтверждение, отписка	Ссылка отписки в каждом письме; иначе агентство	Сообщение с адреса, использованного для подписки

Наш адрес для всего, что Вы не можете сделать самостоятельно: contact@lukaswojcik.com. Вы также можете осуществить там любое право без предварительного использования самостоятельных возможностей; это лишь более быстрый путь. Доступны также страница контактов и окно поддержки (знак вопроса в навигации).

3. Клиенты с аккаунтом

3.1 Доступ и копия: экспорт данных

В разделе Настройки → Ваши данные → «Скачать мои данные» Вы сразу получаете JSON-файл с тем, что мы храним о Вашем аккаунте. Это самый быстрый путь к копии по ст. 15(3) GDPR и переносимости данных (ст. 20). Остальная информация по ст. 15(1) — цели, получатели, срок хранения, источник, Ваши права — изложена в Политике конфиденциальности; по запросу мы соберём её для Вашего случая вместе с данными, которых нет в экспорте. Экспорт требует Вашего пароля и ограничен тремя скачиваниями в час, поскольку файл содержит IP-адреса и устройства и открытого сеанса на чужом компьютере не должно быть достаточно для его получения.

Файл содержит Ваш аккаунт (имя, адрес электронной почты, компания, тариф, последний вход с IP-адресом), Ваши рабочие пространства с ролью и — для пространств, которыми Вы владеете, — домены с настройками, получателей оповещений, отслеживаемые формы, бренд, клиентские порталы, включая подписчиков, попытки доставки эскалаций и проверки потенциальных клиентов; дополнительно Ваши API-ключи (только префикс и название), вошедшие устройства, попытки входа, журнал действий, посещённые страницы, обращения в поддержку, отправленные Вам письма (без текста, поскольку он ещё может содержать действующие ссылки) и версии правовых текстов, с которыми Вы согласились. Если наша поддержка просматривала Ваш аккаунт через «Просмотр как Клиент», это тоже включено.

Чего нет в файле: хеша пароля, секретов двухфакторного входа, токенов и ключей — это средства безопасности, а не информация. Данных других участников Ваших рабочих пространств. Счетов, находящихся в клиентском портале Stripe в разделе «Оплата». И отдельных результатов проверок (находок, снимков экрана, инцидентов, журнала оповещений); Вы видите их в аккаунте и отчётах, а на тарифе Business также через API. Если они нужны Вам файлом, напишите нам; мы соберём их в срок из раздела 9. Подробнее на странице Закон ЕС о данных: смена поставщика и экспорт данных.

3.2 Исправление

Имя, фамилию, компанию, язык и адрес электронной почты Вы меняете самостоятельно в настройках; новый адрес действует только после подтверждения по ссылке в письме. Платёжный адрес и номер НДС Вы меняете в клиентском портале Stripe в разделе «Оплата». Для всего остального достаточно сообщения нам (ст. 16 GDPR).

3.3 Удаление: домен, рабочее пространство, аккаунт

Вы можете удалить данные на трёх уровнях. Каждое удаление немедленно действует в базе данных и не может быть отменено. Предварительно скачайте свои данные.

Удаление домена (право записи в рабочем пространстве): удаляет домен со всеми проверками, включая формы, находки и снимки экрана, отчёты (их ссылки перестают работать), задания, получателей оповещений, журнал доставки и инциденты, подключения Telegram, привязки проверки доставки, измерения пульса, совпадения уязвимостей и журналы доказательств (включая их публичную страницу подтверждения), а также отслеживаемые формы с шагами проверки, браузерными проверками и измерениями и зашифрованные тестовые аккаунты сканирования после входа. Ежедневные показатели плагина и расширения тоже удаляются, как только тот же домен не остаётся у другого аккаунта.
Удаление рабочего пространства (только владелец): дополнительно все домены в нём, как описано выше, бренд с логотипом, клиентские порталы с подписчиками, коды развёртывания, проверки потенциальных клиентов (их отчёты истекают только в конце своего срока до 90 дней), приглашения и членство.
Удаление аккаунта (настройки, с паролем): сначала прекращает действующую подписку в Stripe, немедленно и, как правило, без возврата за остаток оплаченного периода (исключения изложены в документе Условия использования); желающий использовать остаток периода сначала отменяет подписку в разделе «Оплата» с действием в конце периода. Если прекращение подписки не удаётся, аккаунт остаётся, чтобы подписка не продолжалась без аккаунта. Принадлежащие Вам рабочие пространства переходят другому участнику, в первую очередь администраторам, а среди них — имеющему наибольший стаж участия; пространства без других участников удаляются вместе с данными. Мы также удаляем Ваше членство, вошедшие устройства, вход «Оставаться в системе», Ваши API-ключи со счётчиками, открытые коды Telegram и саму запись аккаунта.

Рабочее пространство, передаваемое участнику, не удаляется. Работа команды не принадлежит создателю рабочего пространства. Если Вы хотите, чтобы домены в нём тоже исчезли, удалите пространство до удаления аккаунта или согласуйте это с командой.

Без собственного срока хранения: перечень скриптов домена (список наблюдавшихся скриптов) и журнал их изменений удаляются с доменом, в том числе когда он удаляется с рабочим пространством или Вашим аккаунтом. Собственного срока хранения у них нет: они хранятся, пока существует домен. Если Вы хотите удалить их раньше, мы удалим их по Вашему письменному обращению.

3.4 Что остаётся после удаления и почему

Некоторые данные мы не удаляем в тот же момент, поскольку они служат другой цели или имеют собственный срок хранения. Их действие заканчивается с этим сроком, после чего они исчезают. Если Вы запрашиваете более раннее удаление записей, основанных на законных интересах (прежде всего журналов и обращений в поддержку), мы рассматриваем конкретный случай и удаляем их, если наши основания не перевешивают Ваши (ст. 17(1)(c), ст. 21(1) GDPR):

Журналы: журнал действий 365 дней, журнал доступа к страницам 60 дней, журнал ошибок 90 дней, журнал веб-сервера 14 дней, попытки входа 7 дней, отправленные письма 30 дней. Они служат безопасности и расследованию злоупотреблений. Записи журнала действий и журнала доступа к страницам сохраняют Ваш прежний номер аккаунта, который после удаления больше не ссылается на существующий аккаунт; само удаление регистрируется, чтобы его можно было доказать позднее.
Обращения в поддержку: 24 месяцев, чтобы оставалась возможность ответить на последующий вопрос или жалобу.
Доказательство заключения договора: какую версию Условий использования, Соглашения об обработке данных и Политики конфиденциальности и когда Вы приняли, с IP-адресом и идентификатором браузера. Оно сохраняется, поскольку именно после прекращения возникает вопрос об основе договора (ст. 5(2), ст. 17(3)(e) GDPR), и удаляется, когда аккаунт уже не существует, а согласию более четырёх лет.
Счета и платёжные операции находятся у Stripe и подпадают под налоговое хранение (в Польше пять лет с конца года, в котором наступил срок уплаты налога, ст. 17(3)(b) GDPR).
Резервные копии: удалённые данные остаются в резервных копиях базы данных до их обычной перезаписи через 14 дней. Мы не восстанавливаем резервную копию ради возвращения удалённых данных.

4. Участники команд и приглашённые лица

Как участник чужого рабочего пространства Вы имеете собственный аккаунт с теми же инструментами, что в разделе 3: экспорт, исправление, удаление. Ваш экспорт содержит Ваше членство, но не домены чужих рабочих пространств — за них отвечает их владелец. Вы можете в любое время покинуть рабочее пространство; владелец может удалить Вас. Ваши действия в пространстве фиксируются в журнале действий и удаляются через 365 дней. Если Вы оставили имя или адрес электронной почты как лицо, подтверждающее принятие инцидента, или получатель оповещений, этими данными управляет владелец рабочего пространства; мы действуем по его поручению и передаём ему запросы.

Если Вас пригласили без создания аккаунта, мы храним Ваш адрес электронной почты и предполагаемую роль до истечения приглашения через 14 дней; затем ночной запуск удаляет его. Принятое приглашение мы удаляем через 30 дней после принятия. Если Вы хотите немедленно убрать открытое приглашение, напишите нам с приглашённого адреса.

5. Операторы проверяемых сайтов без аккаунта

5.1 Что у нас может быть о Вашем домене

Отчёты бесплатной проверки: адреса проверенных страниц, структура форм (без значений), обнаруженные меры защиты и снимки экрана без затемнения. Удаляются через 30 дней.
Проверки Вашего сайта агентством как потенциального клиента: 90 дней. Проверки для исследования: до публикации, содержащей только агрегированные показатели без названий сайтов.
Запись исключения, если кто-либо исключил Ваш домен: домен и причина постоянно; IP-адрес, страна и идентификатор браузера лица, создавшего запись, — 12 месяцев.
Данные плагина без аккаунта: если наш плагин WordPress или расширение TYPO3 работает без подключения к аккаунту, мы знаем хост и версии; ежедневные показатели хоста без аккаунта удаляются каждую ночь, а хост — через 90 дней после последнего контакта.

Эти данные становятся персональными прежде всего тогда, когда человека можно увидеть на проверяемой странице или снимке экрана, например имя контактного лица рядом с формой.

5.2 Возражение: прекращение проверок

Быстрее всего через robots.txt (User-agent: FormExposedBot / Disallow: /) или страницу исключения. Оба способа действуют немедленно, без подтверждения, одинаково для анонимных проверок и проверок клиентами, даже если клиент подтвердил домен; текущий мониторинг заканчивается при следующей проверке, срок которой наступил. Исключение относится к домену и варианту с www, не к другим поддоменам; снять его можем только мы по запросу и с подтверждением. robots.txt действует, если Disallow охватывает главную страницу. Исключение предотвращает будущие проверки; оно не удаляет существующие отчёты, истекающие в конце срока хранения. Подробнее о краулере на странице FormExposedBot.

5.3 Досрочное удаление отчёта

Отправьте нам ссылку на отчёт. Любой со ссылкой и так может читать отчёт, поэтому для удаления дополнительных подтверждений мы не требуем. Без ссылки укажите домен и приблизительное время, и мы выполним поиск.

Действуйте так же, если Вы как человек присутствуете на проверенной странице или снимке экрана, например как контактное лицо рядом с формой, и запрашиваете доступ или удаление. Если проверка относится к домену, для которого клиент предоставил подтверждение контроля, мы действуем по его поручению; тогда мы передадим запрос клиенту и сообщим Вам об этом.

5.4 Доступ к информации о домене и подтверждение контроля

Запрашивающий всё, что у нас есть о домене, получает данные, которые одна ссылка отчёта не открывает. Прежде чем передать их, мы просим подтвердить контроль над доменом одним из способов, требуемых также от клиентов: TXT-запись в DNS под _formexposed.<your-domain> или файл по адресу /.well-known/formexposed-verify.txt, каждый с указанным нами значением. В качестве альтернативы достаточно сообщения с адреса на том же домене, указанного в выходных данных сайта. Без подтверждения мы сообщаем только, исключён ли домен.

Чего мы не передаём: кто запустил проверку — его IP-адрес является его данными, не Вашими, и удаляется через семь дней, если не был отмечен для предотвращения злоупотреблений из-за подозрительно большого числа проверок. Если у клиента Ваш домен находится в аккаунте, мы сообщаем Вам об этом и по Вашему желанию передаём запрос. Если клиент предоставил подтверждение контроля над доменом, мы действуем по его поручению, и только он передаёт свои результаты. Если такого подтверждения нет, контролёром являемся мы; тогда мы называем Вам клиента как получателя, если Вы это запрашиваете и его законные интересы не перевешивают (ст. 15(1)(c), (4) GDPR). Тестовые отправки клиентов поступают только на домены с предоставленным клиентом подтверждением контроля (внутренне мы проверяем таким образом только наши собственные тестовые и демонстрационные домены); если Вы считаете, что подтверждения нет, сообщите нам.

6. Посетители сайтов наших клиентов

За Ваши данные на стороннем сайте отвечает его оператор. У оператора находится оригинал Вашего сообщения. Мы работаем по его поручению и, как правило, не видим ничего, что идентифицирует Вас. Подробно:

Проверка доставки: если оператор настроил её, скрытая копия письма формы поступает в наш контрольный ящик. При следующем получении она автоматически читается (заголовки и не более первых 8 КБ), привязывается и удаляется; получение обычно запускается каждые несколько минут, а при сбоях письмо может оставаться до следующего успешного запуска. В нашей базе данных остаются только время и привязка к домену, а у домена — технический результат проверки подлинности последнего письма (SPF, DKIM, DMARC, IP-адрес отправляющего почтового сервера), который следующее письмо перезаписывает, — ни содержимого, ни полного адреса отправителя. Результат подлинности содержит почтовый домен отправителя, например Вашего почтового провайдера; он называется в оповещении оператору только если не относится к сайту. Поэтому после обработки мы больше не можем найти Ваше сообщение, и нет ничего, что мы могли бы связать с Вами и передать.
Значок: если Ваш браузер загружает изображение значка, Ваш IP-адрес вместе со временем, идентификатором браузера и ссылающейся страницей хранится в журнале нашего веб-сервера 14 дней; значок не устанавливает cookie. Если в течение этих 14 дней Вы сообщите нам свой IP-адрес и приблизительное время, мы проверим наличие записей и удалим их по запросу. Без IP-адреса запись невозможно связать с человеком.
Плагин WordPress и расширение TYPO3: карантин, страховочная сеть и записи остаются на сайте оператора. К нам поступают ежедневные показатели, перечень плагинов и, для подключённого плагина WordPress, домены ссылок из заблокированных сообщений для коллективной защиты (по умолчанию включена), но никакого другого содержимого, адресов, имён или IP-адресов посетителей. Здесь может помочь только оператор.

Поэтому сначала обратитесь к оператору. Если связаться с ним не удаётся, напишите нам, указав сайт и время; мы передадим запрос, насколько сможем установить оператора. Решать по нему мы не вправе, поскольку это право оператора.

7. Подписчики клиентского портала

Агентство предлагает ежемесячный отчёт клиентского портала под собственным именем; агентство является контролёром, а мы действуем по его поручению. Вы можете в любое время отписаться по ссылке в каждом письме, немедленно и без входа. После этого мы сохраняем запись Вашей подписки (адрес, язык, время и IP-адрес подписки, подтверждение, отписка) ещё три года, чтобы агентство могло доказать Ваше согласие; если агентство удаляет рабочее пространство, в том числе с аккаунтом, если других участников нет, запись исчезает раньше. Если оно только отзывает доступ к порталу, запись остаётся. Неподтверждённую подписку мы удаляем через 30 дней. Доступ и досрочное удаление Вы запрашиваете у агентства; если Вы напишете нам с адреса, использованного для подписки, мы передадим обращение агентству.

8. Возражение, ограничение и отзыв согласия

Возражение (ст. 21 GDPR): против обработки на основе законных интересов, например журналов или проверки Вашего сайта. Тогда мы больше не обрабатываем эти данные, если не докажем убедительные законные основания, перевешивающие Ваши интересы, или не нуждаемся в них для правовых требований; о результате мы сообщим Вам. Для проверок прямой путь — исключение (раздел 5.2). От ежемесячного отчёта Вашего аккаунта Вы отписываетесь в настройках. Напоминание после регистрации приходит не более одного раза и больше никогда.
Ограничение (ст. 18): если Вы оспариваете точность данных или они нужны Вам для судебного разбирательства, мы по запросу блокируем их вместо удаления.
Отзыв согласия (ст. 7(3)): если обработка основана на Вашем согласии — например, ежемесячный отчёт клиентского портала, — отзыв действует на будущее.

9. Сроки, подтверждение личности, расходы

Срок: мы отвечаем без неоправданной задержки и не позднее одного месяца с получения (ст. 12(3) GDPR). Если запрос исключительно объёмен, срок может быть продлён на два месяца; мы сообщим Вам об этом в первый месяц с обоснованием. Если мы не предпринимаем действий, в течение одного месяца сообщим почему и о Вашем праве подать жалобу в надзорный орган (ст. 12(4)).

Личность: данные мы передаём только тому, кому они принадлежат. В аккаунте достаточно входа с Вашим паролем. По электронной почте мы отвечаем на адрес аккаунта, приглашения или подписки; если Вы пишете с другого адреса, мы просим подтвердить запрос с сохранённого адреса. Для доменов действует раздел 5.4. Дополнительную информацию, например удостоверение личности, мы просим только при оставшихся обоснованных сомнениях (ст. 12(6)), и только в необходимом объёме; на копии удостоверения Вы можете закрыть всё, кроме имени и фотографии, а после проверки мы удалим её. Ваш пароль мы никогда не спрашиваем.

Расходы: отсутствуют. Только при явно необоснованных или чрезмерных запросах мы можем взимать разумную плату или отказать (ст. 12(5)); тогда мы объясним причины.

Получатели: если мы исправляем, удаляем или ограничиваем данные, раскрытые другим, мы уведомляем этих получателей, если это не окажется невозможным или не потребует несоразмерных усилий, и по запросу сообщаем Вам, кто эти получатели (ст. 19 GDPR).

10. Границы, изложенные прямо

Если мы ничего не храним, передать нам нечего. Это касается главным образом посетителей сайтов наших клиентов. Согласно ст. 11 GDPR мы не собираем дополнительные данные только для Вашей идентификации.
Для данных, обрабатываемых по поручению Клиента, решает Клиент. Мы поддерживаем Клиента согласно документу Соглашение об обработке данных и передаём запросы, но ничего не удаляем за спиной Клиента.
Удаление окончательно. Мы не восстанавливаем удалённые домены, проверки или аккаунты, даже из резервной копии (раздел 3.4).
То, что мы обязаны хранить, остаётся до окончания обязанности, прежде всего счета и доказательство заключения договора (раздел 3.4).

11. Контакты и жалобы

Направляйте запросы на contact@lukaswojcik.com, через страницу контактов или окно поддержки. Контролёр — LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Польша. Ответственного за защиту данных мы не назначали.

Вы можете подать жалобу в любой надзорный орган по защите данных, в частности в государстве-члене Вашего обычного проживания, места работы или предполагаемого нарушения (ст. 77 GDPR). Компетентный для нас орган — Председатель Управления по защите персональных данных (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa, Польша. Как мы рассматриваем жалобы, изложено на странице Жалобы.

Чем мы можем помочь?