Политика конфиденциальности

Этот документ опубликован на нескольких языках. В случае расхождений между языковыми версиями обязательной является польская версия.

Версия 2.3 · Последнее обновление: 29 октября 2026 г.

Настоящая политика описывает, какие персональные данные обрабатывает formexposed, с какой целью, на каком правовом основании, кому они передаются и когда удаляются. Мы пишем только о том, что Сервис действительно делает; указанные сроки хранения — те же, по которым работают наши процедуры удаления, а если фиксированного срока пока нет, мы прямо об этом говорим. Функции, которые разработаны, но не включены, обозначены как таковые. Поскольку Сервис затрагивает несколько групп лиц, каждый раздел начинается с указания того, для кого он предназначен:

• Вы посещаете formexposed.com или form.exposed: разделы 3, 4 и 5.
• Вы проверили домен на главной странице: раздел 6.
• Ваш сайт был проверен нашим краулером: раздел 7 — это также наше информирование согласно ст. 14 GDPR.
• У Вас есть аккаунт или Вас пригласили в команду: разделы 8–18.
• Вы посещаете сайт одного из наших клиентов (со значком, плагином или проверкой доставки): раздел 20.
• Вы хотите воспользоваться своим правом или подать жалобу: разделы 26–28.

1. Контролёр и контактные данные

Контролёром обработки персональных данных на formexposed.com и form.exposed, а также в сервисе formexposed, поскольку мы не действуем по поручению клиента (раздел 2), является:

LW IT Solutions Company Lukas Wójcik
Владелец: Lukas Wójcik
al. Tadeusza Kościuszki 80/82, lok. 301
90-437 Łódź
Польша
NIP (польский идентификационный номер налогоплательщика) 7252266190 · Номер плательщика НДС PL7252266190
Эл. почта: contact@lukaswojcik.com

Связаться с нами можно также через окно поддержки (вопросительный знак в навигации) и страницу контактов. О уязвимостях безопасности просим сообщать через нашу страницу для сообщений об уязвимостях.

Инспектор по защите данных: Мы его не назначали. Мы — индивидуальный предприниматель; наша основная деятельность — проверка сайтов и форм, а не масштабный мониторинг физических лиц или обработка специальных категорий данных (ст. 37(1) GDPR). Обоснование изложено в Реестре операций по обработке. Вопросы о защите данных направляйте на указанный выше адрес электронной почты; он попадает непосредственно к владельцу.

2. О чём идёт речь и в какой роли мы выступаем

formexposed проверяет контактные формы сайтов: защищены ли они от спама и злоупотреблений, доходят ли заявки, какие сторонние сервисы могут «читать» данные во время заполнения формы и меняется ли что-либо из этого. При этом мы обрабатываем персональные данные в трёх ролях. Это различие не формальность: от него зависит, к кому Вам следует обращаться с запросом.

• Как контролёр — в отношении данных посетителей наших собственных сайтов, наших клиентов и членов их команд, для выставления счетов и поддержки, а также при проверке сайтов, которые не относятся к клиентскому аккаунту (бесплатная проверка, исследование, проверка для потенциального клиента) или домен которых клиент ещё не подтвердил. Именно об этом идёт речь в настоящей политике.
• Как обработчик — в отношении данных третьих лиц, которые наши клиенты обрабатывают с помощью Сервиса: копий писем из форм при проверке доставки (раздел 15), подписчиков клиентского портала (раздел 14), получателей оповещений, которые сами не являются клиентами (раздел 10), тестовых аккаунтов для проверки за формой входа (раздел 9) и лиц, которых видно на сайте, домен которого подтвердил клиент (раздел 7). В этих случаях контролёром является клиент; применяется Соглашение об обработке данных, которое каждый клиент заключает при регистрации.
• Никак — в отношении того, что наш плагин для WordPress и наше расширение для TYPO3 хранят на сайте клиента и что не покидает этот сайт (раздел 13). Контролёром является оператор этого сайта; у нас нет к нему доступа.

Слово «клиент» в настоящей политике означает владельца аккаунта в formexposed. Аккаунты доступны только для предпринимателей; бесплатной проверкой может воспользоваться любой желающий без аккаунта. Сервис не предназначен для детей.

3. Серверы, журналы и резервные копии

Для всех, кто посещает наши сайты или пользуется Сервисом.

Мы эксплуатируем formexposed на собственных серверах в Польше: веб-сервер с базой данных и сервер сканирования, на котором работают краулер и языковая модель. Оба находятся в одной внутренней сети. Внешнего хостинг- или облачного провайдера нет. Доступ к серверам есть только у владельца.

3.1 Журнал веб-сервера

При каждом запросе веб-сервер сохраняет IP-адрес, дату и время, запрошенный адрес, код состояния, объём переданных данных, ранее посещённую страницу (referrer) и идентификатор браузера (user agent). Это относится и к запросам значка со страниц клиентов (раздел 12). Журналы ротируются ежедневно и удаляются через 14 дней.

3.2 Журнал просмотров страниц

Кроме того, приложение регистрирует каждый просмотр страницы, но не фоновые запросы, интерфейсы или значок: IP-адрес, определённую по нему страну, запрошенный адрес и referrer (токены доступа в них, например в ссылках на отчёты или порталы, мы маскируем перед сохранением), идентификатор браузера и полученные из него сведения о типе устройства, операционной системе и браузере, язык и — если Вы вошли в систему — номер Вашего аккаунта. Страну мы определяем с помощью базы данных на нашем собственном сервере; IP-адрес для этого сервер не покидает. Если наша поддержка просматривает Ваш аккаунт (раздел 8.5), эти просмотры страниц не относятся к Вашему аккаунту. Записи мы удаляем через 60 дн.

3.3 Журнал ошибок и оповещение об ошибках

Мы регистрируем технические ошибки с указанием времени, уровня, источника, сообщения, технического контекста и, при наличии, номера Вашего аккаунта и удаляем их через 90 дн. Если возникает ошибка нового типа, Сервис отправляет владельцу письмо с исходным текстом сообщения (до 400 символов, без очистки) и короткое уведомление через Telegram; при накоплении ошибок — только уведомление; кроме того, ежедневно по электронной почте приходит сводка по типам ошибок. Сообщение в Telegram — это фиксированная фраза без содержания ошибки, без адреса и без сведений о физических лицах. Для каждого типа ошибки мы храним один пример сообщения, в настоящее время без фиксированного срока хранения; мы установим срок удаления и укажем его здесь. Сообщения об ошибках не должны содержать персональных данных; исключить это мы не можем, например если сообщение воспроизводит введённый адрес.

3.4 Резервные копии

Резервная копия базы данных создаётся каждую ночь после завершения процедуры удаления; поэтому резервная копия не содержит ничего, что уже должно было быть удалено в соответствии с этими сроками хранения. В настоящее время резервные копии хранятся в том же месте, что и база данных, и отдельно не шифруются; планируется зашифрованная копия во втором месте. Они удаляются через 14 дн. То, что мы удаляем в рабочей системе, до этого момента остаётся в резервных копиях. Из резервной копии ничего выборочно не удаляется; она служит только для восстановления после потери данных.

Цель и правовое основание: эксплуатация и безопасность Сервиса, защита от атак и злоупотреблений, устранение неполадок, восстановление и статистика использования. Для последней мы фиксируем только суточные итоги (например, количество регистраций в день), без сведений о физических лицах; мы не используем никаких сервисов аналитики или отслеживания. Правовое основание — ст. 6(1)(f) GDPR; наш законный интерес — безопасная и стабильная работа.

4. Файлы cookie и хранилище в браузере

Для посетителей наших сайтов и пользователей Сервиса.

Имя	Тип	Назначение	Срок
bpid	cookie	Сессия: сохраняет вход в систему, защищает формы от поддельных запросов (CSRF) и подсчитывает лимиты бесплатной проверки на сессию	до закрытия браузера
bp_remember	cookie	только если при входе Вы выбрали «Оставаться в системе»: сохраняет вход в систему	30 дней
bp_theme	локальное хранилище	выбрана ли светлая или тёмная тема; у вошедших пользователей выбор также сохраняется в аккаунте	до удаления данных браузера

Это хранилище строго необходимо для работы Сервиса, который Вы прямо запросили; согласие для него не требуется (ст. 5(3) Директивы 2002/58/EC в национальной имплементации, в Германии § 25(2) № 2 Закона о защите данных в телекоммуникациях и цифровых услугах (TDDDG), в Польше ст. 399 Закона об электронных коммуникациях, Prawo komunikacji elektronicznej). Правовое основание связанной с этим обработки — ст. 6(1)(b) GDPR, если Вы вошли в систему, в противном случае ст. 6(1)(f) GDPR; наш законный интерес в этом случае — защита наших форм от поддельных запросов, соблюдение лимитов бесплатной проверки и отображение выбранного Вами оформления.

Мы не устанавливаем файлы cookie для рекламы или измерения аудитории. Реферальный код партнёрской программы (раздел 18) передаётся в адресе до регистрации, а не в cookie. Google reCAPTCHA может использовать собственные файлы cookie при отправке формы (раздел 5).

5. Google reCAPTCHA и наша собственная защита форм

Для всех, кто отправляет одну из наших форм.

Формы бесплатной проверки, инструмента проверки заголовков, исключения домена (opt-out), входа, регистрации, запроса и установки нового пароля, а также поддержки и обратной связи мы защищаем от автоматизированных атак с помощью Google reCAPTCHA v3. Поставщик — Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland.

Скрипт Google мы загружаем только при отправке одной из этих форм, а не сразу при открытии страницы. Затем он считывает сведения о браузере, устройстве и использовании страницы и передаёт их вместе с Вашим IP-адресом и возможными файлами cookie Google в Google, который оценивает, отправляет ли форму человек. Мы получаем только эту оценку в виде балла вместе с действием, к которому она относится. Если балл ниже нашего порога, относится к другой форме или Google не отвечает в течение трёх секунд, мы отклоняем отправку; балл мы не сохраняем. Вы можете повторить попытку или написать нам по электронной почте. Google может передавать данные Google LLC в США (раздел 22) и сам решает, как долго их хранить; подробнее — в политике конфиденциальности Google.

Кроме того, эти формы — за исключением формы установки нового пароля — содержат нашу собственную защиту без участия третьих лиц: невидимое для человека поле-ловушку и подписанную временную метку, по которой распознаются слишком быстро отправленные формы.

Формы бесплатной проверки, регистрации, входа и запроса нового пароля мы, помимо этого, защищаем нашей собственной защитой форм formconfirmed, которая также работает без участия третьих лиц. При открытии страницы небольшой скрипт получает с нашего сервера подписанную задачу; как только Вы начинаете пользоваться формой, Ваш браузер решает её в фоновом режиме (доказательство выполнения вычислительной работы). Результат поступает к нам вместе с формой в виде одноразового проверочного токена, который мы проверяем при отправке. При этом мы обрабатываем Ваш IP-адрес, адрес страницы с формой, моменты времени и сведения о том, было ли заполнено невидимое для человека поле. Для этой цели мы сохраняем IP-адрес только в сокращённом виде (для IPv4 без последнего байта, для IPv6 только первые 48 бит) и в виде хеша с ежедневно меняющимся ключом, чтобы распознавать многочисленные запросы; это значение удаляется через один час, а использованный проверочный токен — не позднее чем через одиннадцать минут. Содержимое этих форм защита форм не оценивает. Она не устанавливает файлы cookie, ничего не сохраняет в Вашем браузере и не создаёт цифровой отпечаток Вашего устройства. Если действительный проверочный токен отсутствует, мы отклоняем отправку; если наш сервис был недоступен для получения задачи, мы её допускаем.

Правовое основание: ст. 6(1)(f) GDPR; наш законный интерес — защита этих форм от злоупотреблений со стороны программ, прежде всего от массового подбора паролей, автоматически создаваемых аккаунтов и использования бесплатной проверки как инструмента против чужих сайтов. Поскольку скрипт Google загружается только при отправке формы и служит только этой отправке, мы считаем считывание сведений с Вашего устройства строго необходимым для предоставления услуги, которую Вы прямо запрашиваете, отправляя форму (§ 25(2) № 2 TDDDG, ст. 399 Prawo komunikacji elektronicznej). То же относится и к нашей собственной защите форм: в браузере она обрабатывает только то, что необходимо для отправки используемой Вами формы. Она призвана в долгосрочной перспективе заменить reCAPTCHA. Необходимость предоставления: без reCAPTCHA и нашей собственной защиты форм форму отправить невозможно; для обращений остаётся доступной электронная почта.

6. Бесплатные проверки без аккаунта

Для всех, кто проверяет домен на главной странице или пользуется инструментом проверки заголовков.

6.1 Бесплатная проверка

На главной странице можно проверить домен без аккаунта. Для этого мы обрабатываем:

• введённый домен и результат проверки (отчёт; что при этом собирает краулер, описано в разделе 7);
• Ваш IP-адрес, его страну, хеш Вашей сессии (не саму сессию), время и то, был ли запрос принят, — чтобы соблюдать лимиты (лишь несколько проверок в день на адрес и сессию; домен, который уже проверялся в последние несколько дней, получает тот же отчёт вместо новой проверки) и выявлять злоупотребления. Эти записи мы удаляем через 7 дней;
• при подозрительном поведении, например при множестве разных доменов с одного адреса, — отметку, содержащую IP-адрес или хеш сессии. Она хранится до тех пор, пока мы не рассмотрим случай, и ещё 90 дней после этого. Владелец получает об этом уведомление в Telegram без домена и без IP-адреса.

Доступ к отчёту получает любой, кому Вы передадите его случайную ссылку; поисковые системы не должны его индексировать. Мы удаляем его через 30 дн. вместе с данными проверки и снимками экрана. Бесплатный отчёт показывает выдержку; проверяется то же самое, что и в аккаунте, но без тестовых отправок.

6.2 Инструмент проверки заголовков

Инструмент проверки заголовков безопасности дважды запрашивает главную страницу домена (по https и по http) и оценивает ответ. Домен, результат и оценку мы храним 90 дней; для лимитов действует тот же журнал, что и для проверки (7 дней). Исключённый домен (раздел 19) здесь также не проверяется.

Правовое основание: ст. 6(1)(b) GDPR для запрошенной Вами проверки и ст. 6(1)(f) GDPR для лимитов и предотвращения злоупотреблений; наш законный интерес — чтобы Сервис не использовался как инструмент против чужих сайтов. Необходимость предоставления: без домена проверка невозможна; без IP-адреса сервер не может Вам ответить.

6.3 Отзыв об отчёте

Для всех, кто пользуется функцией «В этом отчёте что-то не так?» под отчётом, с аккаунтом или без него.

Под каждым готовым отчётом Вы можете сообщить нам, что форма отсутствует, была неверно классифицирована или что отдельная проверка дала неверный результат. Для этого мы обрабатываем:

• то, что Вы вводите: выбранную категорию, при желании соответствующую проверку, адрес страницы и текст длиной до 1 000 символов;
• отчёт, к которому относится отзыв (идентификатор ссылки, проверки и домена), язык страницы и время;
• если Вы вошли в систему — идентификатор Вашего аккаунта; в этом случае рядом с отзывом мы видим адрес электронной почты аккаунта;
• одностороннюю контрольную сумму Вашего IP-адреса (сформированную с секретным ключом), чтобы с одного адреса поступало лишь ограниченное число сообщений (5 в час, 20 в день). Сам IP-адрес вместе с отзывом мы не сохраняем; контрольную сумму мы удаляем через 2 дня.

Мы не запрашиваем адрес электронной почты и не отвечаем на отзывы. Если Вы хотите получить ответ, напишите, пожалуйста, в поддержку (раздел 17). Пожалуйста, не вводите в текст персональные данные. Мы читаем отзывы, классифицируем их и, где это полезно, берём данные проверки из отчёта (поля форм, причины и находки, без снимков экрана) в качестве тестового случая для нашего распознавания; такой тестовый случай описывает проверенный сайт, а не Вас. Отзыв не изменяет отчёт.

Правовое основание: ст. 6(1)(f) GDPR; наш законный интерес — находить и исправлять ошибки в нашем распознавании, а лимит защищает от злоупотреблений. Необходимость предоставления: отзыв добровольный. Хранение: 24 мес.; вместе с Вашим аккаунтом — немедленно.

7. Проверка сайтов нашим краулером — информирование согласно ст. 14 GDPR

Для операторов проверенных сайтов и лиц, сведения о которых присутствуют на проверенном сайте. Вы не предоставляли нам эти данные сами; поэтому мы информируем Вас здесь.

7.1 Что делает краулер

Наш краулер FormExposedBot за одну проверку запрашивает не более восьми публичных страниц сайта, одну за другой, так же как посетитель с браузером. Кроме того, это могут быть до трёх страниц, которые он перезагружает, чтобы нажать «Отклонить» в cookie-баннере, до трёх страниц в мобильном представлении, для подтверждённых доменов — тестовые отправки (раздел 7.3) и до пяти страниц за формой входа (раздел 9.4). Перед проверкой он читает robots.txt: если Disallow для FormExposedBot или для всех программ исключает главную страницу, он не проводит проверку. Заблокированные отдельные подпути он в настоящее время не учитывает. В идентификаторе браузера он представляется как FormExposedBot. Он исследует формы и сохраняет:

• адреса и заголовки проверенных страниц, структуру форм (имена полей, типы полей, подписи, атрибуты обязательности и видимости, без значений; начала предзаполненных скрытых полей и data-атрибутов он читает только во время проверки и не сохраняет) и найденные защитные меры;
• технические характеристики страниц: используемые CAPTCHA и сервисы защиты от спама, встроенные скрипты сторонних поставщиков (адрес и контрольная сумма), хосты, с которых страница загружает содержимое, имена установленных файлов cookie, заголовки безопасности, признаки доступности форм, поведение cookie-баннера при отказе, а также привязаны ли к формам рекламные пиксели или запись сессий;
• снимок экрана видимой области первой страницы и по одному снимку каждой найденной формы, а после тестовой отправки — также страницы ответа. Эти снимки экрана не обезличиваются; они показывают то, что видно на странице.

Если форма содержит адрес получателя, мы сохраняем только его домен, но никогда сам адрес. Никакое другое содержимое страниц мы не сохраняем. Тем не менее персональные данные могут быть затронуты, если они видны на странице или на снимке экрана, например имя и фотография контактного лица рядом с формой. Категории: имена, должности, контактные данные и изображения, которые оператор опубликовал сам. Мы не ищем специальные категории данных и не анализируем их.

Формы мы классифицируем по фиксированным правилам (например, «контакт» или «рассылка»). Только если правила не дают результата, помогает языковая модель, работающая на нашем собственном сервере сканирования; классифицированные таким образом формы никогда не отправляются и не учитываются в баллах или итоговой оценке. Данные при этом третьим лицам не передаются, и модель на них не обучается. Подробнее — в разделе Закон ЕС об ИИ: как formexposed использует ИИ.

7.2 Кто инициирует проверку

• тот, кто вводит домен на главной странице (раздел 6);
• наш плагин для WordPress или наше расширение для TYPO3 — для собственного сайта, даже без аккаунта (раздел 13);
• клиент — для домена в своём аккаунте (раздел 9);
• агентство — для сайта потенциального клиента, без тестовой отправки (раздел 14);
• мы сами — для исследования защиты контактных форм, из которого мы публикуем только агрегированные данные без названий сайтов.

7.3 Чего краулер не делает

Чужие сайты он проверяет только пассивно: он не отправляет никаких форм, не пробует данные для входа и ничего не атакует. Тестовые отправки он выполняет только в контактные формы доменов, для которых клиент доказал в своём аккаунте, что вправе ими управлять — как владелец или по поручению владельца, через DNS-запись, метатег, файл или плагин: это чётко помеченные тестовые сообщения без персональных данных, не более пяти за проверку; без такого доказательства — только во внутренних проверках наших собственных тестовых и демонстрационных доменов. Поиск открытых файлов, считывание версий и проверка за формой входа также доступны только для подтверждённых доменов (раздел 9).

7.4 Срок хранения

Проверки без аккаунта — 30 дн.; проверки сайта потенциального клиента — 90 дней; проверки для исследования — до публикации его результатов; проверки домена в клиентском аккаунте — не более 13 мес. (последняя хранится, пока домен находится в аккаунте), но никогда не дольше, чем домен находится в аккаунте.

7.5 Правовое основание и источник

Правовое основание — ст. 6(1)(f) GDPR. Законный интерес состоит в том, чтобы показать операторам сайтов и их подрядчикам слабые места их форм до того, как те будут использованы для спама или злоупотреблений, в интересе лица, запросившего проверку, в её результате, а в случае исследования — в возможности сделать вывод о состоянии защиты форм. Данные получены из общедоступных источников, а именно с самого проверенного сайта. Получатели — лицо, запустившее проверку, и любой, кому это лицо передаст ссылку на отчёт, а в случае проверки для потенциального клиента — агентство; из исследования мы публикуем только агрегированные данные. Если клиент проверяет в своём аккаунте подтверждённый им домен, мы действуем по его поручению (раздел 2); пока подтверждения нет, контролёром являемся мы сами. Мы публикуем эту информацию здесь и на странице FormExposedBot, а не пишем каждому видимому лицу отдельно; это было бы невозможно или несоразмерно, тем более что об этих лицах мы знаем только то, что указано на странице (ст. 14(5)(b) GDPR).

Возражение и исключение: Как оператор сайта Вы можете исключить дальнейшие проверки своего домена через robots.txt или через нашу страницу opt-out (раздел 19). Лица, которых видно на проверенной странице, могут возразить против обработки согласно разделу 27 и потребовать удаления отчёта или снимка экрана.

8. Ваш клиентский аккаунт

Для клиентов и приглашённых членов команды.

8.1 Регистрация и аккаунт

Для аккаунта мы обрабатываем Ваш адрес электронной почты и пароль (только в виде хеша; сам пароль нам неизвестен), а также Ваше имя и — если Вы их указали — фамилию и компанию, кроме того язык, тему оформления, валюту, тариф, время регистрации и последнего входа и IP-адрес последнего входа. Вы подтверждаете адрес электронной почты по ссылке, действительной 72 часа; аккаунты, которые так и не были подтверждены, мы удаляем через 30 дней. Если Вы меняете адрес электронной почты, новый адрес начинает действовать только после подтверждения по ссылке, отправленной на него.

Правовое основание: ст. 6(1)(b) GDPR (договор); для IP-адреса последнего входа — ст. 6(1)(f) GDPR (защита Вашего аккаунта, раздел 8.2). Необходимость предоставления: адрес электронной почты, имя и пароль необходимы для заключения договора; платёжный адрес и номер плательщика НДС Вы указываете только для платных тарифов, причём в Stripe (раздел 18).

8.2 Вход и безопасность

• попытки входа с адресом электронной почты, IP-адресом и результатом: 7 дней, для защиты от подбора паролей; кроме того, счётчики попыток входа на аккаунт (для неизвестного адреса — на введённый адрес), на аккаунт и IP-адрес и на IP-адрес, попыток двухфакторной аутентификации и подтверждений пароля на аккаунт, писем для сброса пароля на адрес электронной почты, регистраций на IP-адрес и попыток ввода пароля клиентского портала на портал и IP-адрес; их мы храним только под псевдонимизированным ключом (HMAC), без адреса электронной почты или IP-адреса в открытом виде, и они истекают вместе со своим временным окном (в настоящее время 15 минут, для сброса пароля и регистраций — один час);
• устройства, с которых выполнен вход, с IP-адресом, браузером, операционной системой и типом устройства, чтобы Вы могли видеть их в настройках и завершать на них сеанс: до 90 дней после последнего использования;
• если включена двухфакторная аутентификация — её секрет (в зашифрованном виде) и Ваши коды восстановления (только в виде хеша);
• ссылки для сброса пароля действительны один час;
• журнал активности важных действий, таких как «домен создан», «оповещение настроено» или «настройки изменены», с указанием времени, действующего аккаунта, IP-адреса и страны: 365 дн.

Правовое основание: ст. 6(1)(f) GDPR; наш законный интерес — защита Вашего аккаунта и Сервиса, а также прослеживаемость изменений в рабочем пространстве, в котором работают несколько человек.

8.3 Фиксация заключения договора

При регистрации мы фиксируем, с какой версией Условий использования и Соглашения об обработке данных Вы согласились и с какой версией настоящей Политики конфиденциальности Вы ознакомились — в каждом случае с полным текстом, его хешем, временем, IP-адресом и идентификатором браузера. Это служит доказательством заключения договора (ст. 6(1)(b) и (f) GDPR). Мы храним эту запись, пока существует аккаунт. После удаления аккаунта мы удаляем её, как только согласию исполнится четыре года, поскольку вопросы о заключении договора возникают как раз после его прекращения.

8.4 Рабочие пространства, команда и приглашения

Аккаунт работает в одном или нескольких рабочих пространствах. Если Вы кого-то приглашаете, мы отправляем этому человеку письмо с названием рабочего пространства (по умолчанию названием Вашей компании или Вашим именем) и ссылкой для принятия приглашения; для приглашения мы также сохраняем предполагаемую роль и то, кто отправил приглашение. Участники рабочего пространства видят, кто в него входит и в какой роли. Если Вы приглашённое лицо, Ваш адрес электронной почты мы получили от пригласившего Вас участника (ст. 14(2)(f) GDPR). Непринятые приглашения мы удаляем по истечении их срока действия через 14 дней, принятые — через 30 дней после принятия. Отслеживаемой форме можно назначить ответственного из команды и срок исправления; для этого мы сохраняем только привязку к аккаунту и срок. Правовое основание: в отношении клиента — ст. 6(1)(b) GDPR; в отношении приглашённого лица — ст. 6(1)(f) GDPR (клиент хочет работать с этим человеком).

8.5 Помощь нашей поддержки

Чтобы помочь Вам с проблемой, наша поддержка может просматривать Ваш аккаунт так, как его видите Вы. Каждый такой доступ регистрируется в журнале активности и отображается в Вашей выгрузке данных. Правовое основание: ст. 6(1)(b) GDPR, если Вы попросили о помощи, в противном случае ст. 6(1)(f) GDPR (устранение неполадок).

8.6 Выгрузка и удаление

В разделе «Настройки» Вы можете скачать данные, хранящиеся для Вашего аккаунта, в виде файла JSON — без хешей паролей и секретов и без данных других участников. Этот файл не содержит результатов проверок, находок и инцидентов (только попытки доставки эскалаций по каждому адресату оповещений); они доступны в аккаунте в виде отчётов и по запросу в виде файла. Там же Вы можете самостоятельно удалить свой аккаунт; письмо для этого не требуется. Действующая платная подписка прекращается немедленно, как правило без возврата средств (исключения указаны в Условиях использования); кто хочет сначала использовать оплаченный период, отменяет подписку в разделе «Оплата» с окончанием периода. Если договор для Вашего аккаунта прекращается иным образом, например в результате расторжения с нашей стороны, Вы можете выгружать свои данные до окончания договора, а аккаунт мы удаляем не позднее чем через 30 дней после окончания договора. Вместе с аккаунтом мы немедленно удаляем Ваши рабочие пространства со связанными с ними данными, включая домены, результаты проверок и снимки экрана, оповещения, инциденты, журналы доказательств, брендинг, клиентские порталы вместе с подписчиками, список Ваших проверок для потенциальных клиентов (их отчёты остаются доступными до истечения их 90 дней), API-ключи, коды развёртывания и тестовые учётные данные для входа. Если в одном из Ваших рабочих пространств ещё работает кто-то другой, это рабочее пространство вместо удаления переходит к другому участнику — в первую очередь к администраторам, а среди них к тому, кто состоит в нём дольше всех. До истечения собственного срока хранения остаются: журнал активности и журнал просмотров страниц с номером Вашего бывшего аккаунта, отправленные письма (30 дн., раздел 11), запись о заключении договора (8.3), обращения в поддержку (раздел 17), данные счетов — столько, сколько требует налоговое законодательство, данные о комиссиях и использованные коды активации, для которых в настоящее время срок хранения не установлен (раздел 18), а также резервные копии (3.4).

9. Домены, проверки и мониторинг

Для клиентов. Если затрагиваются персональные данные третьих лиц, мы действуем по поручению клиента.

9.1 Домены и подтверждение

Для каждого домена в Вашем аккаунте мы храним его имя, доказательство Ваших полномочий (DNS-запись, метатег, файл или плагин), результаты проверок и Ваши настройки, такие как частота, окно обслуживания, заметки, метка клиента и оценочная стоимость одной заявки. Частота зависит от Вашего тарифа и доходит до ежедневных проверок.

9.2 Мониторинг общедоступной информации

Между проверками мы запрашиваем общедоступную информацию о Вашем домене:

• DNS-записи (SPF, DMARC, MX), TLS-сертификат и заголовки безопасности;
• дату истечения срока регистрации домена через службу RDAP ответственного реестра; передаётся только имя домена;
• доступность страниц Ваших форм (пульс форм, каждые 10, 15 или 30 минут в зависимости от тарифа);
• публичные страницы состояния сервисов CAPTCHA и почтовых сервисов, которые использует Ваш сайт; при этом мы ничего о Вас не передаём;
• известные уязвимости в плагинах форм, CAPTCHA и почты, а для подтверждённых доменов еженедельно — в CMS, плагинах и теме, версии которых мы считываем извне с Вашей главной страницы. Сравнение проводится с открытой базой данных WPVulnerability; передаётся только идентификатор плагина или темы (без версии) и версия WordPress, но не Ваш домен;
• ежедневно — внесены ли адреса Вашего веб-сервера, адрес сервера, с которого пришло Ваше последнее письмо из формы (по данным проверки доставки), или Ваш домен и домен отправителя этого письма в DNS-чёрные списки спама (SpamCop, PSBL, Mailspike, SURBL); запрашиваются только домены и IP-адреса серверов, никаких данных посетителей;
• если настроено — числится ли Ваша главная страница в Google Web Risk как вредоносная или фишинговая; передаётся только адрес главной страницы;
• еженедельно для подтверждённых доменов — нет ли в открытом доступе файлов, которые никогда не должны быть публичными (например, резервной копии конфигурации или дампа базы данных). При этом мы читаем не более первых 8 КБ файла, чтобы распознать его, и сохраняем только путь, тип и степень серьёзности находки, но никогда не содержимое.

9.3 Пути к формам и браузерные проверки

Для отслеживаемых форм мы храним адреса форм, селекторы, предшествующие клики и синтетические шаги проверки, выбор проверочного браузера, а также ответственного и срок. Браузерные проверки заполняют форму максимум до момента перед отправкой; они ничего не отправляют и не инициируют никаких заказов или платежей. Результаты включают статус, технические категории ошибок, очищенные сообщения об ошибках и временные показатели и могут содержать небольшое изображение формы, на котором поля ввода замаскированы. Такое маскирование есть только в браузерных проверках; снимки экрана полной проверки краулером не обезличиваются (раздел 7.1). Измерения наших проверочных браузеров не являются измерениями Ваших посетителей.

Второй, независимый зонд, подтверждающий результаты, предусмотрен, но в настоящее время не настроен. Он получал бы только домен, очищенную конфигурацию и идентификатор задания, но никогда данные для входа, снимки экрана или данные посетителей; его оператора мы заранее укажем в списке Субобработчиков.

9.4 Проверка за формой входа

В платных тарифах владельцы и администраторы рабочего пространства могут сохранить для подтверждённого домена тестовый аккаунт своего сайта, чтобы краулер мог читать формы за формой входа. При этом действует следующее:

• Имя пользователя и пароль шифруются на веб-сервере ключом, который может открыть только сервер сканирования; веб-сервер, база данных и резервные копии содержат их только в зашифрованном виде. Они никогда не отображаются, не записываются в журналы и не выводятся через интерфейс; пользовательский интерфейс показывает только первый символ и длину имени пользователя. Зашифрованная копия, прикреплённая к заданию проверки, удаляется после выполнения, не позднее чем через один час.
• Тестовый аккаунт используется только полной проверкой краулером, но не браузерными проверками (9.3).
• За формой входа краулер читает не более пяти указанных страниц. Он ничего не отправляет, не делает там снимков экрана (там могут отображаться данные аккаунта) и не переходит по ссылкам для выхода, удаления или отмены.
• Если Вы удаляете учётные данные для входа, мы перезаписываем зашифрованное значение и удаляем его; оно также исчезает вместе с доменом.

Используйте только тестовый аккаунт, созданный специально для этой цели и не содержащий реальных данных клиентов. То, что краулер видит за формой входа, мы обрабатываем по Вашему поручению.

9.5 Другие функции

Инвентаризация скриптов: Если Вы её включите, мы ведём список скриптов на страницах Ваших форм с адресом и контрольной суммой, сообщаем о новых или изменённых и при одобрении скрипта сохраняем, кто, когда и с каким обоснованием его одобрил. Доступность: На основе последней проверки Сервис может создать проект заявления о доступности для Ваших форм; введённые для этого данные компании остаются в Вашем браузере. Бенчмарки: Для сравнения по отрасли мы оцениваем результаты всех клиентов только в агрегированном виде; отдельные сайты в нём не фигурируют.

Правовое основание для раздела 9: ст. 6(1)(b) GDPR; для персональных данных третьих лиц, которые становятся видимыми во время проверки, — Ваши указания в рамках Соглашения об обработке данных. Срок хранения: домен, подтверждение, настройки, пути к формам и тестовые учётные данные — пока Вы не удалите их, домен или свой аккаунт; инвентаризация скриптов и её изменения — пока Вы не удалите домен или свой аккаунт (отдельного срока хранения для них нет); результаты проверок, результаты браузерных проверок и временные показатели — не более 13 мес. (последняя проверка хранится, пока домен находится в аккаунте).

10. Уведомления

Для клиентов и указанных ими получателей.

Оповещения и отчёты мы отправляем на настроенные Вами адресаты: адреса электронной почты, Ваши собственные адреса вебхуков, Slack, Discord, Microsoft Teams, Google Chat или Telegram. Чат-каналы и вебхуки доступны в тарифах Pro и Business. Сообщение содержит домен, событие, краткое описание и ссылку в Ваш аккаунт, для оповещений о проверках — ссылку на отчёт, по которой результаты и снимки экрана доступны без входа в систему (Telegram получает только ссылку на страницу домена в Вашем аккаунте, для открытия которой нужен вход); никакого содержимого писем из форм. Мы храним:

• адресатов (адрес электронной почты, адрес вебхука или чата; для вебхуков — секрет для подписи), пока Вы не удалите их или домен;
• журнал отправки с указанием времени, события и результата: 90 дн.;
• собранные уведомления для ежедневных и еженедельных отчётов: до 30 дней после отправки;
• инциденты со ссылкой подтверждения: пока они не устранены, затем 180 дней после устранения. Тот, кто подтверждает инцидент, фиксируется с введённым именем или своим адресом электронной почты. Неподтверждённые инциденты могут эскалироваться дальнейшим адресатам; для этого мы храним по каждому адресату число и время попыток доставки (не более пяти), успешность доставки и возможную ошибку — до тех пор, пока существует инцидент. Инцидент закрывается только после устранения проблемы; одно лишь подтверждение его не завершает.

Telegram: Для Telegram мы используем собственного бота. Вы подключаете его по ссылке с одноразовым кодом, действительным 30 минут; когда Вы нажимаете «Start» в боте, наш сервер получает это сообщение от Telegram и сохраняет идентификатор Вашего чата (chat ID) как адресата оповещений. Telegram при этом также передаёт Ваше имя в Telegram; мы его не сохраняем. Сам код мы удаляем не ранее чем через один день, как только создаётся другой код. Chat ID хранится, пока Вы не удалите оповещение или домен.

Чат-сервисы обрабатывают сообщения в соответствии со своими условиями и Вашим договором с ними; некоторые из них находятся за пределами ЕС (раздел 22). В отношении получателей, которые сами не являются клиентами, мы действуем по Вашему поручению; пожалуйста, проинформируйте их.

Правовое основание: ст. 6(1)(b) GDPR; для получателей, не являющихся клиентами, — Ваши указания. Необходимость предоставления: без адресата нет оповещений; проверки при этом всё равно выполняются.

11. Наши письма

Для клиентов и всех, кому мы пишем.

Мы отправляем письма для подтверждения Вашего адреса, для сброса пароля, с приглашениями, оповещениями и отчётами, как подтверждения получения обращений в поддержку и с уведомлениями о Вашем аккаунте и оплате. Отправку и получение наших писем обеспечивает Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Наш домен и его DNS-записи управляются Namecheap, Inc., Phoenix, Arizona, USA; пока почтовый ящик у Namecheap, Inc. (Private Email), Phoenix, Arizona, USA не настроен, Namecheap также пересылает общие письма на адреса нашего домена. Контрольные копии проверки доставки через него не проходят. Отправленные письма, включая получателя, тему и содержание, мы храним 30 дн., чтобы иметь возможность решать проблемы с доставкой; не дольше, поскольку они также содержат действительные ссылки подтверждения и сброса.

Три письма отправляются без Вашего прямого запроса:

• Ежемесячный отчёт: в начале месяца — обзор проверок и уведомлений по Вашим доменам. От него можно отписаться в настройках.
• Напоминание о настройке: одно письмо в период от двух до четырнадцати дней после регистрации, если Ваш аккаунт подтверждён, но в нём ещё нет подтверждённого домена, — «Добавить сайт» или «Подтвердить домен», без предложений, цен или повышения тарифа. Повторно оно не отправляется.
• Окончание пробного периода: за три дня до окончания пробного периода — уведомление о том, что произойдёт дальше.

Правовое основание: ст. 6(1)(b) GDPR для писем, являющихся частью договора, включая ежемесячный отчёт и уведомление о пробном периоде; для напоминания о настройке — ст. 6(1)(f) GDPR, поскольку аккаунт без домена не может пользоваться Сервисом, а многие клиенты просто забывают его настроить. Рекламу мы не рассылаем.

12. Значок и журнал доказательств

Для клиентов, которые используют значок или журнал доказательств, и для посетителей сайтов со значком.

Значок: Если Вы встраиваете наш значок на свой сайт, браузер каждого посетителя этой страницы загружает изображение значка с нашего сервера. При этом мы получаем обычные данные соединения — IP-адрес, время, идентификатор браузера и страницу, на которой отображается значок, — которые попадают только в журнал веб-сервера (14 дней, раздел 3.1), но не в журнал просмотров страниц. Значок не устанавливает файлов cookie, не открывает сессию и не содержит скриптов. Публичная страница подтверждения показывает домен, уровень и дату последней проверки, без отдельных находок; тот, кто её открывает, является посетителем нашего сайта (разделы 3 и 4). Правовое основание — ст. 6(1)(f) GDPR; наш законный интерес — доставка значка, который встраивает клиент. Клиент упоминает об этом в своей собственной политике конфиденциальности (текстовые блоки).

Журнал доказательств: В платных тарифах Вы можете создавать журнал проверок для каждого домена и каждого месяца. По его номеру верификации публичная страница подтверждает домен, период и ключевые показатели, без подробностей. Чтобы впоследствии можно было установить, не был ли журнал изменён, мы подписываем его у службы штампов времени. Мы передаём ей только хеш журнала, из которого невозможно восстановить содержимое; в настоящее время это Certum (Asseco Data Systems S.A., Польша) и в качестве резерва DigiCert, Inc. (США). Журналы хранятся, пока Вы не удалите домен. Правовое основание — ст. 6(1)(b) GDPR.

13. Плагин для WordPress и расширение для TYPO3

Для клиентов, которые используют плагин или расширение, и для посетителей их сайтов.

13.1 Что остаётся на сайте клиента

Наш плагин для WordPress и наше расширение для TYPO3 работают на сервере клиента. То, что плагин для WordPress там хранит, остаётся на этом сайте; у нас нет к этому доступа, а контролёром является оператор сайта:

• Карантин: отправки, которые защитный слой задерживает как спам, включая содержимое полей и адрес для ответа, — до 14 дней, чтобы ошибочно задержанное сообщение можно было доставить одним щелчком;
• Страховочная сеть: копии писем из форм, которые не удалось отправить (получатель, тема, текст и строки заголовков, например адрес для ответа; вложения — только по имени), — до 30 дней, чтобы их можно было отправить повторно;
• Вычислительная задача: браузер посетителя решает небольшую задачу, заданную самим сайтом; без cookie, без сторонних сервисов;
• Срок хранения: по желанию плагин удаляет сохранённые заявки определённых плагинов форм через 90, 180 или 365 дней;
• Подсчёт форм (по умолчанию выключен): просмотры, начала заполнения, ошибки валидации и попытки отправки по каждой форме, а при отдельном включении — категории ошибок по позиции поля, без введённых данных, имён полей, файлов cookie или постоянных идентификаторов посетителей, не более 14 дней на сайте. Производный от IP-адреса идентификатор для ограничения запросов истекает через одну минуту и нам не передаётся;
• Помощь посетителям (включается отдельно): после ошибки отправки подсказка ведёт обратно к форме, которая остаётся открытой, и при желании указывает адрес электронной почты; она не читает введённые данные, не сохраняет черновики и ничего не отправляет повторно самостоятельно;
• новые правила против спама могут семь дней вести локальный подсчёт, ничего не задерживая.

Плагин для WordPress сам добавляет подходящие абзацы в руководство WordPress по политике конфиденциальности; дополнительные тексты доступны на странице Текст политики конфиденциальности для Вашего сайта. Расширение для TYPO3 не хранит содержимое форм; оно добавляет на каждую страницу метатег для подтверждения домена и ведёт подсчёт.

13.2 Рекордер

С помощью рекордера вошедший в систему администратор WordPress записывает путь к форме на своём собственном сайте. Рекордер хранит технические селекторы и шаги навигации в хранилище сессии его браузера не более 15 минут и передаёт выбранную конфигурацию в подключённый аккаунт. Он не читает введённые данные. Для посетителей рекордер никогда не загружается.

13.3 Что передаётся нам

Плагин и расширение передают нам — в зависимости от функции и, за исключением проверки собственного сайта без аккаунта, только пока сайт подключён к аккаунту:

• имя хоста, открытый ключ и секрет, с помощью которых сайт себя идентифицирует, версии плагина и CMS, а также язык;
• ежедневные показатели: заблокированные отправки по причинам, принятые отправки, отправленные и неудачные письма с типом ошибки, показатели ответов reCAPTCHA и автоматически удалённых заявок; если подсчёт включён — его ежедневные показатели;
• характеристики настроек форм в виде чисел, например сколько форм используют адрес посетителя в качестве отправителя, а также версии определённых плагинов форм, CAPTCHA и почты из фиксированного списка;
• обновления, активации и деактивации плагинов, тем и CMS с названиями и версиями, режим обслуживания и сбой отправки письма из формы (только тип ошибки);
• конфигурацию пути к форме, выбранную с помощью рекордера;
• для коллективной защиты (по умолчанию включена) — домены ссылок в заблокированных сообщениях. Из сообщений многих сайтов формируется список спам-доменов, который получают все подключённые плагины. IP-адреса или сети отправителей мы для этого не передаём.

Плагин и расширение не передают никакого содержимого форм, кроме этих доменов ссылок, а также адресов электронной почты, имён или IP-адресов посетителей. Ежедневные показатели и отчёты об изменениях мы удаляем через 13 мес., сигналы коллективной защиты — через 30 дней; информацию с сайта, который не относится ни к одному домену в аккаунте, — через 90 дней без связи.

Правовое основание: ст. 6(1)(b) GDPR; для коллективной защиты — ст. 6(1)(f) GDPR (совместная защита от спама на множестве сайтов). Эта информация является персональными данными лишь в исключительных случаях, например если имя хоста содержит имя человека.

14. Функции для агентств

Для агентств и для лиц, которые соприкасаются с их порталами и отчётами.

• Клиентский портал: Агентство может предоставить своим клиентам доступ к порталу с результатами по их доменам. Тот, кто подписывается там на ежемесячный отчёт, указывает свой адрес электронной почты и подтверждает его по ссылке (double opt-in). Мы храним адрес, язык, время и IP-адрес подписки, время подтверждения и месяц последней отправки. Неподтверждённые подписки мы удаляем через 30 дней. Отписаться можно в любое время по ссылке в каждом письме; после этого мы храним запись о подписке ещё три года, но не дольше, чем до удаления рабочего пространства агентства; если агентство лишь отзывает портал, подписчики остаются сохранёнными. Портал и отчёты отображаются под именем агентства; контролёром является агентство, а мы действуем по его поручению. Правовое основание для агентства — согласие подписчика.
• Собственный брендинг: название компании, сайт, контактные данные, цвета и логотип, которые сохраняет агентство, отображаются в его отчётах и на портале, пока оно их не изменит или не удалит.
• Собственный домен: В тарифе Business агентство может показывать портал и отчёты на собственном поддомене. Для этого мы ежедневно проверяем его DNS-записи. В настоящее время функция не включена.
• Проверка для потенциального клиента: Агентство может проверить сайт потенциального клиента без тестовой отправки (раздел 7). Ссылку на краткие результаты оно передаёт само; мы никому не пишем. Проверку мы удаляем через 90 дней. За контакт с потенциальным клиентом отвечает исключительно агентство.
• API-ключи и коды развёртывания: Мы храним их только в виде хеша с коротким префиксом вместе с их обозначением, временем последнего использования (API-ключи) или числом использований (коды развёртывания) и числом вызовов в минуту (не менее одного дня; удаляется при последующих вызовах).

Правовое основание: ст. 6(1)(b) GDPR в отношении агентства; для подписчиков и потенциальных клиентов — см. выше.

15. Проверка доставки

Для клиентов, которые её включают, и для посетителей их сайтов. В отношении данных посетителей мы являемся обработчиком клиента.

Дополнительная проверка доставки отвечает на вопрос, действительно ли отправляется письмо из контактной формы. Для этого клиент указывает один из наших контрольных адресов в качестве скрытой копии (BCC) в почтовых настройках своей формы. В результате мы получаем не только нашу собственную тестовую отправку, но и копию каждого письма из формы — включая настоящие заявки его посетителей с их именами, адресами и сообщениями.

Что мы с ними делаем, и только это: автоматическое получение считывает заголовки и не более первых 8 КБ текста, сопоставляет письмо по контрольному адресу с доменом и, при наличии, с тестовой отправкой и проверяет признаки подлинности SPF, DKIM и DMARC. После успешной обработки письмо удаляется. Если получение или удаление не удаётся, письмо может оставаться в почтовом ящике до следующего успешного прогона; почтовый ящик размещён у нашего почтового провайдера (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Копии оцениваются исключительно автоматически.

В нашей базе данных мы храним только время, привязку к домену и, при наличии, идентификатор тестовой отправки — 180 дней, а технический результат проверки подлинности (SPF, DKIM, DMARC) последнего полученного письма — пока его не заменит следующее письмо или домен не будет удалён. Этот результат включает IP-адрес отправляющего сервера и почтовый домен отправителя; этот домен указывается в оповещении клиенту только в том случае, если он не принадлежит сайту. Если форма указывает адрес посетителя в качестве отправителя, это домен почтового провайдера посетителя. Содержимое писем и полные адреса отправителей мы не храним. Если в течение нескольких часов после тестовой отправки копия не поступает, мы сообщаем об этом клиенту.

Получение доказывает лишь то, что сопоставленная копия поступила в наш контрольный почтовый ящик, — но не получение фактическим адресатом и не запись в CRM. Формы, через которые проходят специальные категории персональных данных (например, сведения о здоровье), не следует подключать к проверке доставки. Клиент информирует своих посетителей об этом потоке данных; текст для этого доступен на странице Текст политики конфиденциальности для Вашего сайта. Без настроенного контрольного почтового ящика проверка недоступна.

Правовое основание: для клиента, как правило, ст. 6(1)(f) GDPR (надёжное получение заявок); мы обрабатываем данные по его указаниям (ст. 28 GDPR).

16. Языковая модель на нашем собственном сервере и «Fix it for me»

Для клиентов и пользователей бесплатной проверки.

Языковая модель работает на нашем собственном сервере сканирования, а не у поставщика ИИ. Она помогает классифицировать формы (раздел 7), обобщает находки сканирования в виде плана действий в порядке приоритетов для учётных записей на платных тарифах и в функции «Fix it for me» встраивает защиту в вставленный Вами код формы. Вставленный код обрабатывается только для этого запроса, не сохраняется и не используется для обучения; в журнале активности мы фиксируем только сам факт использования функции с языком программирования, длиной кода и результатом (в том числе для дневной квоты). Пожалуйста, не вставляйте данные для входа или персональные данные. «Fix it for me» работает без доступа к Вашему сайту; код Вы вставляете сами. Подробнее — на странице Закон ЕС об ИИ: как formexposed использует ИИ. Правовое основание: ст. 6(1)(b) GDPR.

Планы действий в платных отчётах. Для подходящих проверок доменов в учётных записях на платных тарифах та же локальная модель также составляет краткий план действий в порядке приоритетов на основе имени хоста, общего результата и оценки, CMS, релевантного типа формы и адреса страницы, выявленного плагина, если он есть, и выбранных находок с отрицательным или неопределённым результатом. Для этой цели она не получает снимки экрана или значения, отправленные через форму. План помечается как сводка ИИ; определяющее значение имеют отдельные находки. Он не меняет сайт или результат сканирования. Запрос временно хранится в нашей внутренней очереди заданий. После получения результата запись очереди удаляется; плановая очистка также удаляет записи очереди старше одного часа. Сгенерированный текст, язык, статус и метка времени хранятся вместе с результатом сканирования, и к ним применяется его срок хранения, включая сохранение последней завершённой проверки для каждого домена и удаление при удалении домена.

Роли при составлении плана действий. Применяется то же разграничение, что и для самой проверки. Если мы проверяем подтверждённый домен Клиента по его указаниям, этап составления плана действий является частью этой обработки по его поручению; если агентство действует для своего клиента, применяется существующая цепочка контролёра, обработчика и субобработчика. Для пассивных проверок неподтверждённых доменов, в отношении которых мы сами являемся контролёром, эта роль сохраняется. Право на платный отчёт само по себе не доказывает контроль над доменом и не меняет роль в защите данных. Ссылка на ст. 6(1)(b) выше касается предоставления запрошенной функции владельцу учётной записи; она не является общим правовым основанием для случайно попавших в обработку персональных данных других людей. Для пассивных проверок, при которых мы являемся контролёром, применяются основание, оценка законных интересов и возможности возражения, описанные в разделе 7, включая ст. 6(1)(f). Если мы действуем по указаниям Клиента, Клиент или иной контролёр должен установить собственное применимое правовое основание. Имена хостов, адреса страниц и заметки к находкам могут случайно содержать персональные данные; локальная генерация не делает их анонимными.

17. Поддержка, обратная связь и сообщения об уязвимостях

Для всех, кто нам пишет.

Если Вы пишете нам через окно поддержки или страницу контактов, мы обрабатываем Ваш адрес электронной почты, Ваше сообщение, выбранную тему, страницу, с которой Вы пишете, язык, Ваш IP-адрес, его страну, идентификатор браузера и — если Вы вошли в систему — номер Вашего аккаунта, чтобы ответить на Ваш запрос и предотвратить злоупотребление формой. Вы получаете подтверждение по электронной почте на указанный адрес; если Вы вошли в систему, оно воспроизводит начало Вашего сообщения (до 2 000 символов), в противном случае не содержит Вашего текста. Как и любое отправленное письмо, оно хранится 30 дн. (раздел 11). О новых запросах нас уведомляет сигнал в Telegram, который не содержит ни содержания, ни сведений о Вас. Если Вы отправляете нам письмо, мы обрабатываем Ваш адрес и Ваше сообщение. Сообщения об уязвимостях мы обрабатываем так же. Запросы мы удаляем через 24 мес. после получения, даже если Вы удалите свой аккаунт раньше; они документируют, о чём спрашивали и что было отвечено.

Правовое основание: ст. 6(1)(b) GDPR, если запрос касается договора с нами, в противном случае ст. 6(1)(f) GDPR (ответ, предотвращение злоупотреблений, доказательства). Необходимость предоставления: без адреса электронной почты мы не можем ответить.

18. Платежи, пробный период и партнёрская программа

Для клиентов с платным тарифом и для партнёров.

Платные тарифы мы выставляем через Stripe. Поставщик — Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ireland. Платёжные данные Вы вводите непосредственно в Stripe; мы их не видим. Stripe получает Ваш адрес электронной почты и Ваше имя, при оформлении — Ваш платёжный адрес и, при наличии, Ваш номер плательщика НДС, и выставляет счета. У нас хранятся только идентификаторы клиента и подписки в Stripe, тариф, статус, окончание расчётного периода, а также идентификаторы и типы событий, о которых нам сообщает Stripe.

Пробный период можно начать без карты; без платёжного средства он заканчивается автоматически. Если хостер или партнёр выдал Вам код активации, мы храним, какой аккаунт и когда его использовал и до какого момента действует тариф.

Stripe также обрабатывает данные как самостоятельный контролёр, например для предотвращения мошенничества и соблюдения законодательных обязанностей, и может передавать их Stripe, Inc. в США (раздел 22). Подробнее — в политике конфиденциальности Stripe.

Партнёрская программа: Программа разработана, но в настоящее время не включена. Если она будет включена, действует следующее: у каждого аккаунта есть реферальный код. Тот, кто регистрируется по реферальной ссылке, закрепляется за партнёром на ограниченное число месяцев; мы храним привязку и её время, а по каждому оплаченному счёту — сумму нетто и комиссию. Партнёр видит только цифры — сколько аккаунтов зарегистрировалось, сколько из них платят и общую сумму его комиссий, — без имён и адресов. Применяются Условия партнёрской программы. Данные партнёров, привязки и комиссии, а также сведения об использованных кодах активации мы в настоящее время храним без фиксированного срока хранения; мы установим срок удаления и укажем его здесь.

Правовое основание: ст. 6(1)(b) GDPR; для хранения данных счетов и, если это требуется для налоговых целей, данных о комиссиях — ст. 6(1)(c) GDPR; для привязки к партнёру — ст. 6(1)(f) GDPR (расчёт комиссии). Данные счетов мы храним столько, сколько требует налоговое законодательство; по польскому праву (ст. 86 во взаимосвязи со ст. 70 польского Налогового кодекса, Ordynacja podatkowa) — как правило, до истечения пяти лет с конца календарного года, в котором наступил срок уплаты налога. Необходимость предоставления: без платёжных данных нет платного тарифа; бесплатный тариф остаётся доступным.

19. Исключение домена (opt-out)

Для операторов сайтов, которые не хотят, чтобы мы их проверяли.

На странице opt-out Вы можете исключить домен из дальнейших проверок. Исключение действует для домена и его варианта с www, но не для других поддоменов, и в том числе в отношении платящих клиентов, подтвердивших домен; текущий мониторинг прекращается при следующей запланированной проверке. Отменить его можем только мы — по запросу и при доказательстве того, что Вы управляете доменом. Мы храним домен, добровольно указанную причину, Ваш IP-адрес, его страну и идентификатор браузера. IP-адрес, страну и идентификатор браузера мы удаляем через 12 мес.; само исключение остаётся навсегда, поскольку иначе домен снова проверялся бы. Эти сведения нужны нам, чтобы надолго выполнить Ваше пожелание и распознать, не исключает ли кто-то чужие домены злонамеренно. Правовое основание: ст. 6(1)(f) GDPR; наш законный интерес — надолго выполнить Ваше пожелание и распознавать злоупотребления формой. Если Вы подразумеваете исключение как возражение согласно ст. 21 GDPR, мы выполняем его именно таким образом.

20. Для посетителей сайтов наших клиентов

Для лиц, которые посещают сайт или отправляют на нём форму, оператор которого использует formexposed.

Контролёром в отношении этого сайта является его оператор, а не мы. Оператор решает, какие функции использовать, и обязан информировать Вас о них в своей собственной политике конфиденциальности. К нам может поступать следующее:

• Значок: данные соединения Вашего браузера при загрузке изображения, 14 дней в журнале веб-сервера, без cookie; здесь мы являемся контролёром в части доставки изображения (раздел 12).
• Проверка доставки: копия Вашего письма из формы, которая оценивается автоматически и удаляется; мы являемся обработчиком (раздел 15).
• Плагин для WordPress и расширение для TYPO3: ежедневные показатели без связи с Вами и, для коллективной защиты, домены ссылок из заблокированных сообщений; карантин и страховочная сеть остаются на сайте (раздел 13).
• Клиентский портал: Ваш адрес электронной почты, если Вы подписываетесь там на отчёт; мы являемся обработчиком агентства (раздел 14).
• Защита форм (formconfirmed): если оператор её использует, Ваш браузер при открытии страницы получает задачу с нашего сервера и решает её в фоновом режиме; при отправке сервер оператора поручает нам проверить результат. Обрабатываются Ваш IP-адрес (хранится только в сокращённом виде и в виде хеша, не более одного часа; в журнале веб-сервера, как и при любом запросе, 14 дней), адрес страницы, время заполнения, сведения о том, было ли заполнено невидимое поле, и — только если оператор включает проверку содержания — текст Вашего сообщения, который языковая модель на нашем собственном сервере оценивает в оперативной памяти и не сохраняет. Без cookie, без сохранения в браузере, без цифрового отпечатка. Мы являемся обработчиком оператора (Соглашение об обработке данных, Приложение 1, п. 10).

Свои права лучше всего осуществлять у оператора сайта; он знает контекст и может дать нам указания. Если Вы обращаетесь к нам, мы передаём Ваш запрос оператору или рассматриваем его сами, поскольку являемся контролёром. Что мы при этом можем и не можем найти, изложено на странице Доступ, удаление и другие Ваши права.

21. Получатели

Мы передаём персональные данные только там, где это указано в настоящей политике. Мы не продаём, не сдаём в аренду и не обмениваем данные. Категории получателей:

Получатель (местонахождение)	Категория	Для чего
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	обработчик; место обработки ещё подлежит проверке	отправка и получение наших писем; контрольный почтовый ящик проверки доставки
Namecheap, Inc. (США)	обработчик	домен, DNS; пока почтовый ящик не настроен — пересылка общих писем на наш домен (но не контрольных копий проверки доставки)
Stripe Payments Europe, Ltd. (Ирландия), Stripe, Inc. (США)	в основном самостоятельный контролёр; точное распределение ролей мы ещё изучаем	платежи и счета
Google Ireland Ltd., Google LLC (США)	самостоятельный контролёр	reCAPTCHA
Telegram (за пределами ЕЭЗ)	адресат, выбранный клиентом; сообщение мы отправляем через нашего бота. Для нас также канал уведомлений	оповещения, если Вы выбираете Telegram; служебные сигналы без персональных данных
Slack, Discord, Microsoft (Teams), Google (Chat), Ваши вебхуки (частично США)	адресаты, выбранные клиентом	оповещения
Общественность	–	ссылки на отчёты, страницы подтверждения, результаты исследования (только в агрегированном виде)
Участники Вашего рабочего пространства	пользователи того же аккаунта	совместная работа в соответствии с ролью
Органы власти, суды, CERT Polska, консультанты	самостоятельные контролёры	только при наличии законной обязанности, для установления, осуществления или защиты правовых требований, а также в случае злоупотребления нашим Сервисом или атак на третьих лиц (ст. 6(1)(c) или (f) GDPR)

Персональных данных не получают: службы RDAP реестров, найденные через каталог IANA, и — для определения возраста домена в бесплатной проверке — ретрансляционный сервис rdap.org (только имена доменов), WPVulnerability на wpvulnerability.net (только идентификатор плагина без версии, идентификатор темы или версия WordPress), страницы состояния сервисов CAPTCHA и почтовых сервисов (ничего, кроме самого запроса), службы штампов времени Certum и DigiCert (только хеши), DNS-чёрные списки SpamCop, PSBL, Mailspike и SURBL (только домены и IP-адреса серверов), Google Web Risk, если настроено (только адрес главной страницы), и другие подключённые плагины в рамках коллективной защиты (только спам-домены). Полный актуальный список наших обработчиков с их местонахождением и основанием передачи доступен на странице Субобработчики; об изменениях мы сообщаем клиентам за 30 дней.

22. Передача данных в третьи страны

Если получатель находится за пределами Европейской экономической зоны, мы передаём данные только при соблюдении условий ст. 44 и сл. GDPR:

• США: на основании решения Европейской комиссии о достаточности защиты в отношении EU-U.S. Data Privacy Framework (Имплементационное решение (ЕС) 2023/1795, ст. 45 GDPR), если получатель сертифицирован в его рамках. Сертифицированы ли Google, Stripe и Namecheap для соответствующих услуг, мы для этой версии ещё проверяем и поэтому этого не утверждаем; при отсутствии сертификации — на основании стандартных договорных положений Европейской комиссии (Имплементационное решение (ЕС) 2021/914, ст. 46(2)(c) GDPR).
• Наш почтовый провайдер: где Namecheap, Inc. (Private Email), Phoenix, Arizona, USA обрабатывает данные и на каком основании они могут передаваться в третью страну, мы ещё проверяем. Текущее состояние указано на странице Субобработчики.
• Выбранные Вами чат-сервисы и вебхуки: Slack, Discord, Microsoft Teams, Google Chat и вебхуки получают Ваши оповещения по адресу, который Вы создаёте в своём аккаунте у соответствующего сервиса; договорные отношения с поставщиком и любое необходимое основание для передачи в третью страну относятся к Вашей ответственности.
• Telegram: адресат, выбранный клиентом; сообщение мы отправляем через нашего бота. Telegram находится за пределами ЕЭЗ в стране, в отношении которой нет решения о достаточности защиты, и стандартных договорных положений с Telegram у нас нет. В настоящее время мы поручили проверить, на каком основании согласно ст. 44 и сл. GDPR осуществляется эта передача, — рассматривается ст. 49(1)(b) GDPR, поскольку канал Вы выбираете сами. Выбирайте Telegram, только если Вас это устраивает; электронная почта всегда остаётся доступной в качестве альтернативы.

Копию гарантий, на которых мы основываем передачу, Вы можете бесплатно получить по запросу по адресу, указанному в разделе 1. Решение о достаточности защиты и стандартные договорные положения также можно найти в Официальном журнале ЕС (eur-lex.europa.eu), а список компаний, сертифицированных в рамках Data Privacy Framework, — на dataprivacyframework.gov. Наши собственные серверы находятся в Польше; данные, которые не получает ни один из названных получателей, не покидают ЕС.

23. Сроки хранения в обзоре

Сроки хранения обеспечиваются еженощной процедурой, а для журнала веб-сервера — его ежедневной ротацией. Где указано «вместе с доменом», данные исчезают сразу, как только Вы удаляете домен или свой аккаунт. После этого они остаются в резервных копиях до 14 дн. (раздел 3.4).

Данные	Удаляются
Журнал веб-сервера (включая запросы значка)	через 14 дней
Журнал просмотров страниц	через 60 дн.
Журнал ошибок	через 90 дн.
Журнал активности	через 365 дн.
Попытки входа; лимиты бесплатной проверки и инструмента проверки заголовков	через 7 дней
Отметки о подозрительном поведении (бесплатная проверка)	через 90 дней после рассмотрения случая
Устройства, с которых выполнен вход	через 90 дней после последнего использования
«Оставаться в системе»; так и не подтверждённые аккаунты; принятые приглашения (непринятые — по истечении их срока)	через 30 дней
Отчёт без аккаунта, включая снимки экрана	через 30 дн.
PDF-версия отчёта в кеше	через 7 дней
Результаты инструмента проверки заголовков; проверка сайта потенциального клиента	через 90 дней
Проверки для исследования	при публикации его результатов
Результаты проверок, браузерные проверки и временные показатели для домена в аккаунте	через 13 мес. (последняя проверка — пока домен находится в аккаунте)
Домен, настройки, пути к формам, журналы доказательств, адресаты оповещений, результат проверки подлинности последнего письма из формы	вместе с доменом
Инвентаризация скриптов и её изменения	вместе с доменом (отдельного срока хранения нет)
Тестовые учётные данные для проверки за формой входа	при их удалении Вами, вместе с доменом; копия, прикреплённая к заданию проверки, — после выполнения, не позднее чем через один час
Ежедневные показатели и отчёты об изменениях от плагина и расширения, подсчёт форм	через 13 мес.
Информация с сайта с плагином, который не относится ни к одному аккаунту	через 90 дней после последней связи
Сигналы коллективной защиты; собранные уведомления для ежедневных и еженедельных отчётов (с момента отправки)	через 30 дней
Подсчёт вызовов API; одноразовые коды для Telegram	не ранее чем через один день, при следующем вызове или коде такого рода
Журнал отправки оповещений	через 90 дн.
Привязки проверки доставки; инциденты с подтверждением и попытками доставки эскалаций (неустранённые сохраняются)	через 180 дней, инциденты — с момента их устранения
Копии писем из форм в контрольном почтовом ящике	после обработки; при ошибках — при следующем успешном прогоне
Отправленные письма	через 30 дн.
Обращения в поддержку	через 24 мес.
Отзыв об отчёте	через 24 мес., вместе с аккаунтом — немедленно; контрольная сумма IP-адреса — через 2 дня
IP-адрес, страна и идентификатор браузера, связанные с opt-out	через 12 мес. (домен остаётся исключённым)
Неподтверждённые подписки на ежемесячный отчёт в клиентском портале	через 30 дней
Запись об отменённой подписке	через три года после отписки
Аккаунт и личные данные	при их удалении Вами
Запись о заключении договора	пока существует аккаунт; после его удаления — как только согласию исполнится четыре года
Данные счетов	по истечении налогового срока хранения
Привязки и комиссии партнёрской программы; использованные коды активации	в настоящее время фиксированного срока нет
Пример типа ошибки	в настоящее время без фиксированного срока хранения
Резервные копии базы данных	через 14 дн.
Защита форм: сокращённый хешированный IP-адрес для распознавания многочисленных запросов; использованные проверочные токены; результаты проверки без IP-адреса и без текста (действие, балл, причины, домен); ежедневные показатели без связи с конкретными лицами	через один час; не позднее чем через одиннадцать минут; через 30 дней; через 400 дней

24. Обязанность предоставления данных

Вы не обязаны по закону предоставлять нам данные. Для аккаунта нам нужны Ваш адрес электронной почты, Ваше имя и пароль; без них договор не может быть заключён. Для платных тарифов нам нужны платёжные данные, для проверки доставки — контрольный почтовый ящик, для оповещений — адресат. Все остальные сведения добровольны. Данные соединения в журналах возникают технически при каждом запросе; без них сервер не может ответить. Чего будет недоставать, если Вы что-либо не предоставите, указано в разделе о соответствующей обработке.

25. Автоматизированные решения и профилирование

Мы не принимаем решений, основанных исключительно на автоматизированной обработке, которые порождают в отношении Вас юридические последствия или аналогичным образом существенно на Вас влияют (ст. 22 GDPR). Мы не создаём профили физических лиц. Наши оценки — уровень риска, оценка заголовков, «защищено» на значке — касаются сайтов и форм, а не людей.

Однако автоматически работают защитные механизмы, которые могут отклонять отдельные запросы без участия человека: оценка reCAPTCHA и наша собственная защита форм (раздел 5), лимиты и отметки бесплатной проверки (раздел 6) и блокировка после слишком большого числа попыток входа (раздел 8.2). Они лишь предотвращают отдельную отправку; отклонённую попытку можно повторить позже, а для любого запроса остаётся доступной электронная почта. Если Вы считаете отклонение ошибочным, напишите нам; случай рассмотрит человек. Кроме того, мы автоматически удаляем аккаунты, не подтверждённые в течение 30 дней после регистрации.

26. Ваши права

Согласно GDPR у Вас есть следующие права. Для каждого из них мы указываем самый быстрый способ его осуществления. Если не указано иное, достаточно письма на contact@lukaswojcik.com. Мы отвечаем без неоправданной задержки и в любом случае в течение одного месяца с момента получения; для сложных или многочисленных запросов срок может быть продлён на два месяца, о чём мы сообщим Вам с указанием причин в течение первого месяца (ст. 12(3) GDPR). Осуществление Ваших прав бесплатно; только в случае явно необоснованных или чрезмерных запросов мы можем взимать разумную плату или отказать в выполнении запроса и обоснуем это (ст. 12(5) GDPR). Чтобы не раскрыть чужие данные, мы можем попросить Вас направить запрос с адреса электронной почты Вашего аккаунта; дополнительные доказательства мы запрашиваем, только если у нас есть обоснованные сомнения в Вашей личности, и лишь в необходимом объёме (ст. 12(6) GDPR).

• Доступ (ст. 15 GDPR): При наличии аккаунта скачайте выгрузку данных в разделе «Настройки»; она содержит данные аккаунта, рабочего пространства и доменов, Ваши входы в систему, действия, обращения в поддержку, отправленные письма и согласия. Результаты проверок Вы видите в аккаунте в виде отчётов. Полный доступ, в том числе к данным, которых нет в выгрузке (например, к записям в журнале ошибок или журнале веб-сервера), вместе с информацией согласно ст. 15(1) GDPR Вы можете получить по запросу по электронной почте. Без аккаунта — например, в отношении opt-out, обращения в поддержку или отчёта — по электронной почте с указанием соответствующего домена или адреса и примерного времени.
• Исправление (ст. 16): Имя, компанию, язык и адрес электронной почты Вы можете изменить самостоятельно в разделе «Настройки», а платёжный адрес и номер плательщика НДС — в клиентском портале Stripe в разделе «Оплата»; всё остальное — по электронной почте.
• Удаление (ст. 17): Аккаунт, домены, адресатов оповещений и тестовые учётные данные Вы можете удалить сами, а API-ключи — отозвать самостоятельно (они удаляются вместе с аккаунтом); от ежемесячного отчёта клиентского портала можно отписаться по ссылке в каждом письме. Удаления отчёта, снимка экрана или других данных Вы можете потребовать по электронной почте. Что мы обязаны хранить по правовым причинам, изложено в разделе 8.6.
• Ограничение обработки (ст. 18): по электронной почте, например если Вы оспариваете точность данных, а мы их проверяем.
• Переносимость данных (ст. 20): Выгрузка данных — это машиночитаемый файл JSON, который Вы можете самостоятельно передать другому поставщику. Подробнее о смене поставщика — на странице Закон ЕС о данных: смена поставщика и экспорт данных.
• Возражение (ст. 21): см. следующий раздел.
• Отзыв согласия (ст. 7(3)): Собственную обработку мы не основываем на согласии. Согласие на ежемесячный отчёт клиентского портала Вы можете отозвать по ссылке в каждом письме; отзыв действует на будущее.

В отношении данных, которые мы обрабатываем по поручению клиента (раздел 2), Вашим контактным лицом является клиент. Если Вы всё же напишете нам, мы передадим Ваш запрос клиенту и поможем ему с ответом. Подробное руководство со всеми способами и ограничениями доступно на странице Доступ, удаление и другие Ваши права.

27. Право на возражение согласно ст. 21 GDPR

Если мы обрабатываем данные на основании законных интересов (ст. 6(1)(f) GDPR), Вы можете в любое время возразить по причинам, связанным с Вашей конкретной ситуацией. В этом случае мы прекращаем обработку данных, если не сможем доказать наличие убедительных законных оснований для обработки, которые перевешивают Ваши интересы, права и свободы, или если обработка не служит установлению, осуществлению или защите правовых требований.

Это относится, в частности, к проверке сайтов нашим краулером (раздел 7), журналам (раздел 3), reCAPTCHA (раздел 5), лимитам бесплатной проверки (раздел 6), напоминанию о настройке (раздел 11), значку (раздел 12) и коллективной защите (раздел 13).

Возражение не требует особой формы; достаточно письма на contact@lukaswojcik.com. Как оператор сайта Вы также можете в любое время самостоятельно исключить дальнейшие проверки через robots.txt или страницу opt-out. Мы не рассылаем рекламу по электронной почте, против которой было бы возможно возражение без указания причин.

28. Жалоба в надзорный орган

Вы можете подать жалобу в надзорный орган по защите данных, если считаете, что мы обрабатываем Ваши данные незаконно (ст. 77 GDPR). Компетентным в отношении нас органом является:

Prezes Urzędu Ochrony Danych Osobowych (Председатель Управления по защите персональных данных, UODO)
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Польша
uodo.gov.pl

Вы также можете обратиться в орган государства — члена ЕС, в котором Вы проживаете или работаете или в котором произошло предполагаемое нарушение, — в Германии, например, в орган по защите данных Вашей федеральной земли. При необходимости этот орган перешлёт жалобу в компетентный орган. Мы будем рады заранее решить вопрос непосредственно с Вами; это не является обязательным условием.

29. Безопасность

Все соединения с нашим Сервисом зашифрованы с помощью TLS; соединения внутри нашей внутренней сети зашифрованы не везде. Пароли, API-ключи и коды восстановления мы храним только в виде хешей, а секреты двухфакторной аутентификации и тестовые учётные данные — только в зашифрованном виде. Данные клиентов разделены по рабочим пространствам; права роли обеспечиваются сервером, а не только пользовательским интерфейсом. Доступ к серверам есть только у владельца; краулер работает изолированно и не имеет доступа к адресам во внутренней сети. Полное описание доступно на странице Технические и организационные меры. Если нам станет известно о нарушении безопасности персональных данных, мы уведомляем надзорный орган и при необходимости Вас в соответствии со ст. 33 и 34 GDPR; клиентов, по поручению которых мы действуем, мы информируем без неоправданной задержки, по возможности в течение 48 часов.

30. Другие документы

Настоящая политика — это обзор для субъектов данных. Подробности см. в Реестре операций по обработке, в списке Субобработчиков, в документе Технические и организационные меры, в Соглашении об обработке данных, в Оценке воздействия на защиту данных, а также на страницах Доступ, удаление и другие Ваши права, Закон ЕС об ИИ: как formexposed использует ИИ и Текст политики конфиденциальности для Вашего сайта.

31. Изменения

Мы обновляем настоящую политику при изменении Сервиса или правовой ситуации, причём до начала любой новой обработки. Действует версия, опубликованная здесь; предыдущие версии и описание изменений можно найти на странице Изменения договорных документов. Версия, которую Вы видели при регистрации, отображается в Вашей выгрузке данных. Если в обработке Ваших данных как клиента происходят существенные изменения, мы также сообщим Вам об этом по электронной почте.

Настоящая политика доступна на всех официальных языках Европейского союза. В случае расхождений преимущественную силу имеет польская версия.