Politika zasebnosti

Ta dokument je objavljen v več jezikih. V primeru neskladja med jezikovnimi različicami je zavezujoča poljska različica.

Različica 2.3 · Zadnja posodobitev: 29. oktober 2026

Ta politika opisuje, katere osebne podatke formexposed obdeluje, za kakšen namen, na kateri pravni podlagi, komu jih posreduje in kdaj jih izbriše. Pišemo le o tem, kar storitev dejansko počne; navedeni roki hrambe so isti, po katerih delujejo naši postopki brisanja, in kjer stalnega roka še ni, to povemo. Funkcije, ki so izdelane, a niso vklopljene, so kot take tudi označene. Ker storitev zadeva več skupin oseb, se vsak razdelek začne z navedbo, komu je namenjen:

• Obiščete formexposed.com ali form.exposed: razdelki 3, 4 in 5.
• Na domači strani ste dali preveriti domeno: razdelek 6.
• Vašo spletno stran je preveril naš pajek: razdelek 7 – to so hkrati naše informacije v skladu s členom 14 GDPR.
• Imate račun ali ste bili povabljeni v ekipo: razdelki od 8 do 18.
• Obiščete spletno stran ene od naših strank (z značko, vtičnikom ali preverjanjem dostave): razdelek 20.
• Želite uveljavljati pravico ali vložiti pritožbo: razdelki od 26 do 28.

1. Upravljavec in kontakt

Upravljavec obdelave osebnih podatkov na formexposed.com in form.exposed ter v storitvi formexposed, kolikor ne ravnamo v imenu stranke (razdelek 2), je:

LW IT Solutions Company Lukas Wójcik
Lastnik: Lukas Wójcik
al. Tadeusza Kościuszki 80/82, lok. 301
90-437 Łódź
Poljska
NIP (poljska davčna številka) 7252266190 · ID za DDV PL7252266190
E-pošta: contact@lukaswojcik.com

Dosežete nas lahko tudi prek okna za podporo (vprašaj v navigaciji) in kontaktne strani. Varnostne ranljivosti nam sporočite prek naše strani za prijavo ranljivosti.

Pooblaščena oseba za varstvo podatkov: Te nismo imenovali. Smo samostojni podjetnik; naša temeljna dejavnost je preverjanje spletnih strani in obrazcev, ne pa obsežno spremljanje posameznikov ali obdelava posebnih vrst podatkov (člen 37(1) GDPR). Razlogi so navedeni v evidenci dejavnosti obdelave. Vprašanja o varstvu podatkov pošljite na zgornji e-poštni naslov; neposredno jih prejme lastnik.

2. Za kaj gre in v kakšni vlogi ravnamo

formexposed preverja kontaktne obrazce spletnih strani: ali so zaščiteni pred neželeno pošto in zlorabo, ali povpraševanja prispejo, katere storitve tretjih oseb lahko berejo med izpolnjevanjem obrazca in ali se kaj od tega spremeni. Pri tem osebne podatke obdelujemo v treh vlogah. Razlikovanje ni formalnost: od njega je odvisno, na koga se obrnete z zahtevo.

• Kot upravljavec za podatke obiskovalcev naših lastnih spletnih strani, naših strank in članov njihovih ekip, za obračun in podporo ter za preverjanje spletnih strani, ki ne pripadajo računu stranke (brezplačno preverjanje, študija, preverjanje potencialne stranke) ali katerih domene stranka še ni potrdila. O tem govori ta politika.
• Kot obdelovalec za podatke tretjih oseb, ki so jih naše stranke obdelale prek storitve: kopije e-poštnih sporočil obrazcev pri preverjanju dostave (razdelek 15), naročniki portala za stranke (razdelek 14), prejemniki opozoril, ki sami niso stranke (razdelek 10), testni računi za preverjanje za prijavo (razdelek 9) in osebe, ki so vidne na spletni strani, katere domeno je stranka potrdila (razdelek 7). V teh primerih je upravljavec stranka; velja Pogodba o obdelavi podatkov, ki jo vsaka stranka sklene ob registraciji.
• Sploh ne za to, kar naš vtičnik za WordPress in naša razširitev za TYPO3 shranita na strankini spletni strani in kar te spletne strani ne zapusti (razdelek 13). Upravljavec je upravljavec te spletne strani; mi do tega nimamo dostopa.

Kjer ta politika govori o „stranki“, je mišljen imetnik računa pri formexposed. Računi so na voljo le podjetjem; brezplačno preverjanje lahko brez računa uporablja vsakdo. Storitev ni namenjena otrokom.

3. Strežniki, dnevniki in varnostne kopije

Za vse, ki obiščejo naše spletne strani ali uporabljajo storitev.

formexposed upravljamo na lastnih strežnikih na Poljskem: spletnem strežniku s podatkovno zbirko in strežniku za preglede, na katerem tečeta pajek in jezikovni model. Oba sta v istem notranjem omrežju. Zunanjega ponudnika gostovanja ali oblaka ni. Dostop do strežnikov ima le lastnik.

3.1 Dnevnik spletnega strežnika

Spletni strežnik za vsako zahtevo shrani naslov IP, datum in čas, zahtevani naslov, statusno kodo, količino prenesenih podatkov, predhodno obiskano stran (referrer) in identifikator brskalnika (user agent). To velja tudi za zahteve za značko s strani strank (razdelek 12). Dnevniki se menjajo dnevno in se izbrišejo po 14 dneh.

3.2 Dnevnik ogledov strani

Poleg tega aplikacija beleži vsak ogled strani, ne pa zahtev v ozadju, vmesnikov ali značke: naslov IP, iz njega izpeljano državo, zahtevani naslov in referrer (dostopne žetone v njih, na primer pri povezavah do poročil ali portalov, pred shranjevanjem zakrijemo), identifikator brskalnika in iz njega izpeljane podatke o vrsti naprave, operacijskem sistemu in brskalniku, jezik in – če ste prijavljeni – številko vašega računa. Državo določimo s podatkovno zbirko na lastnem strežniku; naslov IP za ta namen strežnika ne zapusti. Če si naša podpora ogleda vaš račun (razdelek 8.5), se ti ogledi strani ne pripišejo vašemu računu. Vnose izbrišemo po 60 dneh.

3.3 Dnevnik napak in opozorilo o napaki

Tehnične napake beležimo s časom, stopnjo, virom, sporočilom, tehničnim kontekstom in po potrebi številko vašega računa ter jih izbrišemo po 90 dneh. Če se pojavi nova vrsta napake, storitev lastniku pošlje e-poštno sporočilo z neobdelanim besedilom sporočila (do 400 znakov, neprečiščeno) in kratko obvestilo prek Telegrama; če se napake kopičijo, le obvestilo; poleg tega je na voljo dnevni pregled vrst napak po e-pošti. Sporočilo v Telegramu je fiksen stavek brez vsebine napake, brez naslova in brez podatkov o posameznikih. Za vsako vrsto napake hranimo en primer sporočila, trenutno brez določenega roka hrambe; rok za izbris bomo določili in ga navedli tukaj. Sporočila o napakah naj ne bi vsebovala osebnih podatkov; tega ne moremo izključiti, na primer če sporočilo ponovi vneseni naslov.

3.4 Varnostne kopije

Podatkovna zbirka se varnostno kopira vsako noč, ko je postopek brisanja končan; varnostna kopija zato ne vsebuje ničesar, kar bi moralo biti po teh rokih hrambe že izbrisano. Varnostne kopije so trenutno shranjene na isti lokaciji kot podatkovna zbirka in niso posebej šifrirane; načrtovana je šifrirana kopija na drugi lokaciji. Potečejo po 14 dneh. Kar izbrišemo v živem sistemu, do takrat ostane v varnostnih kopijah. Iz varnostne kopije ničesar ne odstranjujemo selektivno; služi le za obnovo po izgubi.

Namen in pravna podlaga: delovanje in varnost storitve, obramba pred napadi in zlorabo, odpravljanje napak, obnova in številke o uporabi. Za slednje beležimo le dnevne seštevke (na primer registracije na dan), nič o posameznikih; ne uporabljamo nobene storitve za analitiko ali sledenje. Pravna podlaga je člen 6(1)(f) GDPR; naš zakoniti interes je varno in stabilno delovanje.

4. Piškotki in shramba v brskalniku

Za obiskovalce naših spletnih strani in uporabnike storitve.

Ime	Vrsta	Namen	Trajanje
bpid	piškotek	Seja: ohranja vašo prijavo, ščiti obrazce pred ponarejenimi zahtevami (CSRF) in šteje omejitve na sejo za brezplačno preverjanje	do zaprtja brskalnika
bp_remember	piškotek	le če ob prijavi izberete »Ostani prijavljen«: ohranja vašo prijavo	30 dni
bp_theme	lokalna shramba	ali ste izbrali svetlo ali temno temo; pri prijavljenih uporabnikih se izbira shrani tudi v računu	dokler ne izbrišete podatkov brskalnika

Ta shramba je nujno potrebna za delovanje storitve, ki ste jo izrecno zahtevali; zanjo ni potrebna privolitev (člen 5(3) Direktive 2002/58/ES, kot je prenesen v nacionalno pravo, v Nemčiji § 25(2) št. 2 zakona o varstvu podatkov v telekomunikacijah in digitalnih storitvah (TDDDG), na Poljskem člen 399 zakona o elektronskih komunikacijah, Prawo komunikacji elektronicznej). Pravna podlaga za s tem povezano obdelavo je člen 6(1)(b) GDPR, če ste prijavljeni, sicer člen 6(1)(f) GDPR; naš zakoniti interes je v tem primeru zaščita naših obrazcev pred ponarejenimi zahtevami, uveljavljanje omejitev brezplačnega preverjanja in prikaz, ki ste ga izbrali.

Piškotkov za oglaševanje ali merjenje občinstva ne nastavljamo. Napotitvena koda iz partnerskega programa (razdelek 18) potuje v naslovu do registracije, ne v piškotku. Google reCAPTCHA lahko ob pošiljanju obrazca uporablja lastne piškotke (razdelek 5).

5. Google reCAPTCHA in naša lastna zaščita obrazcev

Za vse, ki pošljejo enega od naših obrazcev.

Obrazce za brezplačno preverjanje, orodje za glave, izključitev domene (opt-out), prijavo, registracijo, zahtevo za novo geslo in njegovo nastavitev ter podporo in kontakt ščitimo pred samodejnimi napadi z Google reCAPTCHA v3. Ponudnik je Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irska.

Googlov skript naložimo šele, ko pošljete enega od teh obrazcev, ne že ob odprtju strani. Ta nato prebere podatke o brskalniku, napravi in uporabi strani ter jih skupaj z vašim naslovom IP in morebitnimi Googlovimi piškotki posreduje Googlu, ki oceni, ali obrazec pošilja človek. Prejmemo le to oceno v obliki rezultata skupaj z dejanjem, na katero se nanaša. Če je pod našim pragom, pripada drugemu obrazcu ali Google ne odgovori v treh sekundah, pošiljanje zavrnemo; rezultata ne shranimo. Lahko poskusite znova ali nam pišete po e-pošti. Google lahko podatke prenese družbi Google LLC v ZDA (razdelek 22) in sam odloča, kako dolgo jih hrani; več v Googlovi politiki zasebnosti.

Poleg tega ti obrazci – razen obrazca za nastavitev novega gesla – vsebujejo našo lastno zaščito brez tretjih oseb: past v obliki polja, ki je za ljudi nevidno, in podpisan časovni žig, po katerem prepoznamo prehitro poslane obrazce.

Obrazce za brezplačno preverjanje, registracijo, prijavo in zahtevo za novo geslo poleg tega ščitimo z našo lastno zaščito obrazcev formconfirmed, ki prav tako deluje brez tretjih oseb. Ob odprtju strani majhen skript z našega strežnika pridobi podpisano nalogo; takoj ko začnete uporabljati obrazec, jo vaš brskalnik reši v ozadju (računski dokaz). Rezultat pride do nas skupaj z obrazcem kot enkratni kontrolni žeton, ki ga preverimo ob pošiljanju. Pri tem obdelujemo vaš naslov IP, naslov strani z obrazcem, časovne podatke in podatek, ali je bilo izpolnjeno polje, ki je za ljudi nevidno. Naslov IP v ta namen shranimo le skrajšan (pri IPv4 brez zadnjega bajta, pri IPv6 le prvih 48 bitov) in kot zgoščeno vrednost (hash) s ključem, ki se vsak dan zamenja, da prepoznamo množične zahteve; ta vrednost se izbriše po eni uri, porabljeni kontrolni žeton pa najpozneje po enajstih minutah. Vsebine teh obrazcev zaščita obrazcev ne ocenjuje. Ne nastavlja piškotkov, v vašem brskalniku ničesar ne shranjuje in ne ustvarja prstnega odtisa (fingerprint) vaše naprave. Če veljavni kontrolni žeton manjka, pošiljanje zavrnemo; če naša storitev ob pridobivanju naloge ni bila dosegljiva, ga dovolimo.

Pravna podlaga: člen 6(1)(f) GDPR; naš zakoniti interes je zaščita teh obrazcev pred zlorabo s strani programov, predvsem pred množičnim ugibanjem gesel, samodejno ustvarjenimi računi in uporabo brezplačnega preverjanja kot orodja proti spletnim stranem tretjih oseb. Ker se Googlov skript naloži šele ob pošiljanju obrazca in služi le temu pošiljanju, menimo, da je branje podatkov z vaše naprave nujno potrebno za zagotovitev storitve, ki jo s pošiljanjem obrazca izrecno zahtevate (§ 25(2) št. 2 TDDDG, člen 399 Prawo komunikacji elektronicznej). Enako velja za lastno zaščito obrazcev: v brskalniku obdeluje le tisto, kar je potrebno za pošiljanje obrazca, ki ga uporabljate. Dolgoročno naj bi nadomestila reCAPTCHA. Obveznost: brez reCAPTCHA in lastne zaščite obrazcev obrazca ni mogoče poslati; za povpraševanja ostaja na voljo e-pošta.

6. Brezplačna preverjanja brez računa

Za vse, ki na domači strani preverijo domeno ali uporabijo orodje za glave.

6.1 Brezplačno preverjanje

Na domači strani lahko domeno daste preveriti brez računa. Za to obdelujemo:

• vneseno domeno in rezultat preverjanja (poročilo; kaj pri tem zbere pajek, je opisano v razdelku 7);
• vaš naslov IP, njegovo državo, zgoščeno vrednost vaše seje (ne seje same), čas in podatek, ali je bila zahteva sprejeta, da uveljavimo omejitve (le nekaj preverjanj na dan na naslov in sejo; domena, ki je bila preverjena v zadnjih nekaj dneh, namesto novega preverjanja dobi isto poročilo) in zaznamo zlorabo. Te vnose izbrišemo po 7 dneh;
• v primeru sumljivega vedenja, na primer veliko različnih domen z enega naslova, oznako z naslovom IP ali zgoščeno vrednostjo seje. Hranimo jo, dokler primera ne pregledamo, in še 90 dni zatem. Lastnik o tem prejme obvestilo prek Telegrama brez domene in brez naslova IP.

Do poročila lahko dostopa vsakdo, ki mu daste njegovo naključno povezavo; iskalniki ga naj ne bi indeksirali. Izbrišemo ga po 30 dneh skupaj s podatki preverjanja in posnetki zaslona. Brezplačno poročilo prikaže izsek; preveri se isto kot v računu, vendar brez testnih pošiljanj.

6.2 Orodje za glave

Orodje za varnostne glave dvakrat prikliče domačo stran domene (prek https in prek http) in ovrednoti odgovor. Domeno, rezultat in oceno hranimo 90 dni; za omejitve velja isti dnevnik kot pri preverjanju (7 dni). Izključena domena (razdelek 19) se tudi tukaj ne preverja.

Pravna podlaga: člen 6(1)(b) GDPR za preverjanje, ki ga zahtevate, in člen 6(1)(f) GDPR za omejitve in preprečevanje zlorab; naš zakoniti interes je, da se storitev ne zlorablja kot orodje proti spletnim stranem drugih. Obveznost: brez domene ni preverjanja; brez naslova IP vam strežnik ne more odgovoriti.

6.3 Povratne informacije o poročilu

Za vse, ki pod poročilom uporabijo »Je v tem poročilu kaj narobe?«, z računom ali brez njega.

Pod vsakim dokončanim poročilom nam lahko sporočite, da obrazec manjka, da je bil napačno razvrščen ali da ima posamezno preverjanje napačen rezultat. Za to obdelujemo:

• kar vnesete: izbrano kategorijo, po želji zadevno preverjanje, naslov strani in besedilo do 1000 znakov;
• poročilo, na katerega se povratna informacija nanaša (identifikator povezave, preverjanje in domena), jezik strani in čas;
• če ste prijavljeni, identifikator vašega računa; ob povratni informaciji takrat vidimo e-poštni naslov računa;
• enosmerno kontrolno vsoto vašega naslova IP (izračunano s tajnim ključem), da z enega naslova prispe le nekaj prijav (5 na uro, 20 na dan). Samega naslova IP s povratno informacijo ne shranimo; kontrolno vsoto počistimo po 2 dneh.

E-poštnega naslova ne zahtevamo in na povratne informacije ne odgovarjamo. Če želite odgovor, pišite podpori (razdelek 17). V besedilo prosimo ne vnašajte osebnih podatkov. Povratne informacije preberemo, jih razvrstimo in po potrebi podatke preverjanja iz poročila (polja obrazca, razloge in ugotovitve, brez posnetkov zaslona) uporabimo kot testni primer za naše zaznavanje; tak testni primer opisuje preverjeno spletno stran, ne vas. Povratna informacija poročila ne spremeni.

Pravna podlaga: člen 6(1)(f) GDPR; naš zakoniti interes je najti in odpraviti napake v našem zaznavanju, omejitev pa ščiti pred zlorabo. Obveznost: povratna informacija je prostovoljna. Hramba: 24 mesecev; z vašim računom takoj.

7. Preverjanje spletnih strani z našim pajkom – informacije v skladu s členom 14 GDPR

Za upravljavce preverjenih spletnih strani in za osebe, katerih podatki so prikazani na preverjeni spletni strani. Teh podatkov nam niste dali sami; zato vas obveščamo tukaj.

7.1 Kaj počne pajek

Naš pajek FormExposedBot pri vsakem preverjanju prikliče največ osem javnih strani spletne strani, eno za drugo, tako kot obiskovalec z brskalnikom. Poleg tega so lahko še do tri strani, ki jih ponovno naloži, da v pasici za piškotke klikne »Zavrni«, do tri strani v pogledu za telefon, pri potrjenih domenah testna pošiljanja (razdelek 7.3) in do pet strani za prijavo (razdelek 9.4). Pred preverjanjem prebere robots.txt: če Disallow za FormExposedBot ali za vse programe izključuje domačo stran, ne preverja. Posameznih blokiranih podpoti trenutno ne upošteva. V identifikatorju brskalnika se predstavi kot FormExposedBot. Preuči obrazce in shrani:

• naslove in naslovne vrstice preverjenih strani, strukturo obrazcev (imena polj, vrste polj, oznake, atribute obveznosti in vidnosti, brez vrednosti; začetke vnaprej izpolnjenih skritih polj in podatkovnih atributov prebere le med preverjanjem in jih ne shrani) ter najdene zaščitne ukrepe;
• tehnične značilnosti strani: uporabljene storitve CAPTCHA in zaščite pred neželeno pošto, vdelane skripte ponudnikov tretjih oseb (naslov in kontrolna vsota), gostitelje, s katerih stran nalaga vsebino, imena nastavljenih piškotkov, varnostne glave, znake dostopnosti obrazcev, vedenje pasice za piškotke ob zavrnitvi ter ali so na obrazce vezani oglaševalski piksli ali snemanje sej;
• posnetek zaslona vidnega dela prve strani in po enega za vsak najden obrazec, po testnem pošiljanju pa še enega za stran z odgovorom. Ti posnetki zaslona niso zakriti; prikazujejo, kar je na strani vidno.

Če obrazec vsebuje naslov prejemnika, shranimo le njegovo domeno, nikoli naslova. Druge vsebine strani ne shranjujemo. Osebni podatki so kljub temu lahko zajeti, če so vidni na strani ali posnetku zaslona, na primer ime in fotografija kontaktne osebe ob obrazcu. Vrste: imena, vloge, kontaktni podatki in slike, ki jih je upravljavec strani objavil sam. Posebnih vrst podatkov ne iščemo in jih ne analiziramo.

Obrazce razvrščamo po fiksnih pravilih (na primer »kontakt« ali »e-novice«). Le če pravila ne dajo rezultata, pomaga jezikovni model, ki teče na našem lastnem strežniku za preglede; tako razvrščeni obrazci se nikoli ne pošljejo in ne štejejo v oceno ali končno presojo. Pri tem se podatki ne pošiljajo tretjim osebam in model se z njimi ne uči. Več o tem v Akt EU o umetni inteligenci: kako formexposed uporablja umetno inteligenco.

7.2 Kdo sproži preverjanje

• nekdo, ki na domači strani vnese domeno (razdelek 6);
• naš vtičnik za WordPress ali naša razširitev za TYPO3 za lastno spletno stran, tudi brez računa (razdelek 13);
• stranka za domeno v svojem računu (razdelek 9);
• agencija za spletno stran potencialne stranke, brez testnega pošiljanja (razdelek 14);
• mi sami za študijo o zaščiti kontaktnih obrazcev, iz katere objavimo le zbirne številke brez imen spletnih strani.

7.3 Česa pajek ne počne

Spletne strani drugih preverja le pasivno: ne pošlje nobenega obrazca, ne preizkuša prijavnih podatkov in ničesar ne napada. Testna pošiljanja pošilja le na kontaktne obrazce domen, za katere je stranka v svojem računu dokazala, da jih sme upravljati – kot lastnik ali v imenu lastnika, prek zapisa DNS, oznake meta, datoteke ali vtičnika: jasno označena testna sporočila brez osebnih podatkov, največ pet na preverjanje; brez takega dokaza le pri internih preverjanjih naših lastnih testnih in predstavitvenih domen. Iskanje izpostavljenih datotek, branje različic in preverjanje za prijavo so prav tako na voljo le za potrjene domene (razdelek 9).

7.4 Rok hrambe

Preverjanja brez računa 30 dni; preverjanja spletne strani potencialne stranke 90 dni; preverjanja za študijo do objave njenih rezultatov; preverjanja domene v računu stranke največ 13 mesecev – najnovejše se hrani, dokler je domena v računu – in nikoli dlje, kot je domena v računu.

7.5 Pravna podlaga in vir

Pravna podlaga je člen 6(1)(f) GDPR. Zakoniti interes je v tem, da upravljavcem spletnih strani in njihovim ponudnikom storitev pokažemo slabosti v njihovih obrazcih, preden se izkoristijo za neželeno pošto ali zlorabo, v interesu osebe, ki zahteva preverjanje, za ta rezultat ter pri študiji v podaji ugotovitve o stanju zaščite obrazcev. Podatki izvirajo iz javno dostopnih virov, in sicer iz same preverjene spletne strani. Uporabniki so oseba, ki je preverjanje začela, in vsakdo, ki mu ta oseba da povezavo do poročila, pri preverjanju potencialne stranke pa agencija; iz študije objavimo le zbirne številke. Če stranka v svojem računu preveri domeno, ki jo je potrdila, ravnamo v njenem imenu (razdelek 2); dokler potrditve ni, smo upravljavec sami. Te informacije objavimo tukaj in na strani FormExposedBot, namesto da bi pisali vsaki vidni osebi posebej; to bi bilo nemogoče ali nesorazmerno, zlasti ker o teh osebah vemo le to, kar je na strani (člen 14(5)(b) GDPR).

Ugovor in izključitev: Kot upravljavec spletne strani lahko nadaljnja preverjanja svoje domene izključite prek datoteke robots.txt ali prek naše strani za izključitev (opt-out) (razdelek 19). Osebe, ki so vidne na preverjeni strani, lahko obdelavi ugovarjajo v skladu z razdelkom 27 in zahtevajo izbris poročila ali posnetka zaslona.

8. Vaš uporabniški račun

Za stranke in povabljene člane ekipe.

8.1 Registracija in račun

Za račun obdelujemo vaš e-poštni naslov in geslo (le kot zgoščeno vrednost; samega gesla ne poznamo) ter vaše ime in – če ju navedete – priimek in podjetje, poleg tega jezik, temo, valuto, paket, čas registracije in zadnje prijave ter naslov IP zadnje prijave. E-poštni naslov potrdite s povezavo, ki je veljavna 72 ur; računov, ki nikoli niso potrjeni, izbrišemo po 30 dneh. Če spremenite e-poštni naslov, novi velja šele po potrditvi s povezavo, poslano nanj.

Pravna podlaga: člen 6(1)(b) GDPR (pogodba); za naslov IP zadnje prijave člen 6(1)(f) GDPR (zaščita vašega računa, razdelek 8.2). Obveznost: e-poštni naslov, ime in geslo so potrebni za sklenitev pogodbe; naslov za račun in identifikacijsko številko za DDV posredujete le pri plačljivih paketih, in sicer Stripe (razdelek 18).

8.2 Prijava in varnost

• poskusi prijave z e-poštnim naslovom, naslovom IP in rezultatom: 7 dni, proti ugibanju gesel; poleg tega števci poskusov prijave na račun (za neznan naslov na vneseni naslov), na račun in naslov IP ter na naslov IP, za poskuse dvostopenjske prijave in potrditve gesla na račun, za e-poštna sporočila za ponastavitev gesla na e-poštni naslov, za registracije na naslov IP in za poskuse vnosa gesla portala za stranke na portal in naslov IP, ki jih shranjujemo le pod psevdonimnim ključem (HMAC), brez e-poštnega naslova ali naslova IP v čistem besedilu, in ki potečejo s svojim časovnim oknom (trenutno 15 minut, za ponastavitve gesla in registracije ena ura);
• prijavljene naprave z naslovom IP, brskalnikom, operacijskim sistemom in vrsto naprave, da jih lahko vidite v nastavitvah in odjavite: do 90 dni po zadnji uporabi;
• če je vklopljena dvostopenjska prijava, skrivnost zanjo (šifrirano) in vaše obnovitvene kode (le kot zgoščena vrednost);
• povezave za ponastavitev gesla so veljavne eno uro;
• dnevnik dejavnosti pomembnih dejanj, kot so »domena ustvarjena«, »opozorilo nastavljeno« ali »nastavitve spremenjene«, s časom, računom, ki je ukrepal, naslovom IP in državo: 365 dni.

Pravna podlaga: člen 6(1)(f) GDPR; naš zakoniti interes je zaščita vašega računa in storitve ter sledljivost sprememb v delovnem prostoru, v katerem dela več oseb.

8.3 Zapis o sklenitvi pogodbe

Ob registraciji zabeležimo, s katero različico Pogojev uporabe in Pogodbe o obdelavi podatkov ste se strinjali in s katero različico te Politike zasebnosti ste se seznanili – vsakič s celotnim besedilom, njegovo zgoščeno vrednostjo, časom, naslovom IP in identifikatorjem brskalnika. To služi kot dokaz o sklenitvi pogodbe (člen 6(1)(b) in (f) GDPR). Ta zapis hranimo, dokler račun obstaja. Po izbrisu računa ga izbrišemo, ko je soglasje staro štiri leta, saj se vprašanja o sklenitvi pogodbe pogosto pojavijo prav po prenehanju.

8.4 Delovni prostori, ekipa in povabila

Račun deluje v enem ali več delovnih prostorih. Če nekoga povabite, mu pošljemo e-poštno sporočilo z imenom delovnega prostora (privzeto ime vašega podjetja ali vaše ime) in povezavo za sprejem; za povabilo shranimo tudi predvideno vlogo in kdo je povabilo poslal. Člani delovnega prostora vidijo, kdo mu pripada in v kateri vlogi. Če ste povabljena oseba, smo vaš e-poštni naslov prejeli od člana, ki vas je povabil (člen 14(2)(f) GDPR). Nesprejeta povabila izbrišemo, ko po 14 dneh potečejo, sprejeta pa 30 dni po sprejemu. Spremljanemu obrazcu je mogoče dodeliti odgovorno osebo iz ekipe in rok za odpravo; za to shranimo le dodelitev računu in rok. Pravna podlaga: člen 6(1)(b) GDPR v razmerju do stranke; v razmerju do povabljene osebe člen 6(1)(f) GDPR (stranka želi s to osebo sodelovati).

8.5 Pomoč naše podpore

Da bi vam pomagala pri težavi, si lahko naša podpora ogleda vaš račun tako, kot ga vidite vi. Vsak tak dostop se zabeleži v dnevniku dejavnosti in se pojavi v vašem izvozu podatkov. Pravna podlaga: člen 6(1)(b) GDPR, če ste zaprosili za pomoč, sicer člen 6(1)(f) GDPR (odpravljanje napak).

8.6 Izvoz in izbris

V nastavitvah lahko podatke, shranjene za vaš račun, prenesete kot datoteko JSON – brez zgoščenih vrednosti gesel in skrivnosti ter brez podatkov drugih članov. Ta datoteka ne vsebuje rezultatov preverjanj, ugotovitev in incidentov (le poskuse dostave eskalacij na cilj opozoril); ti so na voljo kot poročila v računu in na zahtevo kot datoteka. Tam lahko svoj račun tudi sami izbrišete; e-pošta ni potrebna. Tekoča plačljiva naročnina se konča takoj, praviloma brez vračila (izjeme so navedene v Pogojih uporabe); kdor želi najprej izkoristiti plačano obdobje, najprej odpove v razdelku Obračun s koncem obdobja. Če se pogodba za vaš račun konča na drug način, na primer z našo odpovedjo, lahko svoje podatke izvozite do konca pogodbe, račun pa izbrišemo najpozneje 30 dni po koncu pogodbe. Skupaj z računom takoj izbrišemo vaše delovne prostore z nanje vezanimi podatki, vključno z domenami, rezultati preverjanj in posnetki zaslona, opozorili, incidenti, dnevniki dokazov, blagovno znamko, portali za stranke skupaj z naročniki, seznamom vaših preverjanj potencialnih strank (njihova poročila ostanejo dostopna do izteka njihovih 90 dni), ključi API, kodami za uvajanje in testnimi prijavami. Če v enem od vaših delovnih prostorov dela še kdo drug, ta delovni prostor namesto izbrisa preide na drugega člana – najprej na skrbnike, med njimi pa na najdlje včlanjenega. Do izteka lastnega roka hrambe ostanejo: dnevnik dejavnosti in dnevnik ogledov strani s številko vašega nekdanjega računa, poslana e-poštna sporočila (30 dni, razdelek 11), zapis o sklenitvi pogodbe (8.3), zahteve za podporo (razdelek 17), podatki o računih, dokler to zahteva davčna zakonodaja, podatki o provizijah in unovčene aktivacijske kode, za katere trenutno ni roka hrambe (razdelek 18), ter varnostne kopije (3.4).

9. Domene, preverjanja in spremljanje

Za stranke. Kolikor so zadeti osebni podatki tretjih oseb, ravnamo v imenu stranke.

9.1 Domene in potrditev

Za vsako domeno v vašem računu shranimo ime, dokaz o vašem pooblastilu (zapis DNS, oznaka meta, datoteka ali vtičnik), rezultate preverjanj in vaše nastavitve, kot so pogostost, okno za vzdrževanje, opombe, oznaka stranke in ocenjena vrednost povpraševanja. Pogostost je odvisna od vašega paketa in sega do dnevnih preverjanj.

9.2 Spremljanje javno dostopnih informacij

Med preverjanji poizvedujemo po javno dostopnih informacijah o vaši domeni:

• zapisi DNS (SPF, DMARC, MX), potrdilo TLS in varnostne glave;
• datum poteka domene prek storitve RDAP pristojnega registra; posreduje se le ime domene;
• dosegljivost vaših strani z obrazci (utrip obrazca, glede na paket vsakih 10, 15 ali 30 minut);
• javne strani stanja storitev CAPTCHA in e-pošte, ki jih uporablja vaša spletna stran; pri tem o vas ne posredujemo ničesar;
• znane varnostne ranljivosti v vtičnikih za obrazce, CAPTCHA in e-pošto ter – za potrjene domene tedensko – v CMS, vtičnikih in temi, katerih različice od zunaj preberemo z vaše domače strani. Primerjava poteka z odprto podatkovno zbirko WPVulnerability; posredujeta se le identifikator vtičnika ali teme (brez različice) in različica WordPressa, ne vaša domena;
• dnevno, ali so naslovi vašega spletnega strežnika, naslov strežnika, s katerega je prišlo vaše zadnje e-poštno sporočilo obrazca (iz preverjanja dostave), ali vaša domena in domena pošiljatelja tega sporočila navedeni na črnih seznamih DNS za neželeno pošto (SpamCop, PSBL, Mailspike, SURBL); poizveduje se le po domenah in naslovih IP strežnikov, ne po podatkih obiskovalcev;
• če je nastavljeno, ali Google Web Risk vašo domačo stran navaja kot stran z zlonamerno programsko opremo ali stran za ribarjenje; posreduje se le naslov domače strani;
• za potrjene domene tedensko, ali so izpostavljene datoteke, ki nikoli ne bi smele biti javne (na primer varnostna kopija konfiguracije ali izpis podatkovne zbirke). Pri tem preberemo največ prvih 8 KB datoteke, da jo prepoznamo, in shranimo le pot, vrsto in resnost ugotovitve, nikoli vsebine.

9.3 Poti obrazcev in brskalniška preverjanja

Za spremljane obrazce shranimo naslove obrazcev, selektorje, predhodne klike in sintetične korake preverjanja, izbiro brskalnika za preverjanje ter odgovornost in rok. Brskalniška preverjanja obrazec izpolnijo največ do trenutka pred pošiljanjem; ničesar ne pošljejo in ne sprožijo nobenega naročila ali plačila. Rezultati obsegajo stanje, tehnične kategorije napak, prečiščena sporočila o napakah in časovne meritve ter lahko vključujejo majhno sliko obrazca, na kateri so vnosna polja zakrita. To zakrivanje obstaja le pri brskalniških preverjanjih; posnetki zaslona celotnega preverjanja s pajkom niso zakriti (razdelek 7.1). Meritve iz naših brskalnikov za preverjanje niso meritve vaših obiskovalcev.

Druga, neodvisna sonda, ki potrjuje rezultate, je predvidena, vendar trenutno ni nastavljena. Prejela bi le domeno, prečiščeno konfiguracijo in identifikator opravila, nikoli prijavnih podatkov, posnetkov zaslona ali podatkov obiskovalcev; njenega upravljavca bomo vnaprej navedli na seznamu Podobdelovalci.

9.4 Preverjanje za prijavo

Pri plačljivih paketih lahko lastniki in skrbniki delovnega prostora za potrjeno domeno shranijo testni račun za lastno spletno stran, da lahko pajek prebere obrazce za prijavo. Velja naslednje:

• Uporabniško ime in geslo se na spletnem strežniku šifrirata s ključem, ki ga lahko odpre le strežnik za preglede; spletni strežnik, podatkovna zbirka in varnostne kopije ju vsebujejo le v šifrirani obliki. Nikoli se ne prikažeta, zabeležita ali izpišeta prek vmesnika; uporabniški vmesnik prikaže le prvi znak in dolžino uporabniškega imena. Šifrirana kopija, priložena opravilu preverjanja, se po izvedbi počisti, najpozneje po eni uri.
• Testni račun uporablja le celotno preverjanje s pajkom, ne brskalniška preverjanja (9.3).
• Za prijavo pajek prebere največ pet določenih strani. Ničesar ne pošlje, tam ne zajema posnetkov zaslona (tam so lahko prikazani podatki računa) in ne sledi povezavam za odjavo, brisanje ali preklic.
• Če prijavo izbrišete, šifrirano vrednost prepišemo in odstranimo; izgine tudi skupaj z domeno.

Uporabljajte le testni račun, ustvarjen posebej za ta namen, ki ne vsebuje resničnih podatkov strank. Kar pajek vidi za prijavo, obdelujemo v vašem imenu.

9.5 Druge funkcije

Popis skript: Če ga vklopite, vodimo seznam skript na vaših straneh z obrazci z naslovom in kontrolno vsoto, sporočamo nove ali spremenjene ter ob odobritvi shranimo, kdo jo je odobril, kdaj in s kakšno utemeljitvijo. Dostopnost: Iz zadnjega preverjanja lahko storitev ustvari osnutek izjave o dostopnosti za vaše obrazce; podatki o podjetju, ki jih vnesete zanjo, ostanejo v vašem brskalniku. Primerjave: Za primerjavo v panogi rezultate vseh strank vrednotimo le v zbirni obliki; posamezne spletne strani se v njej ne pojavijo.

Pravna podlaga za razdelek 9: člen 6(1)(b) GDPR; za osebne podatke tretjih oseb, ki postanejo vidni med preverjanjem, vaša navodila po Pogodbi o obdelavi podatkov. Rok hrambe: domena, potrditev, nastavitve, poti obrazcev in testna prijava, dokler jih, domene ali svojega računa ne izbrišete; popis skript in njegove spremembe, dokler ne izbrišete domene ali svojega računa (zanje ni posebnega roka hrambe); rezultati preverjanj, rezultati brskalniških preverjanj in časovne meritve največ 13 mesecev (najnovejše preverjanje se hrani, dokler je domena v računu).

10. Obvestila

Za stranke in prejemnike, ki jih vnesejo.

Opozorila in poročila pošiljamo na cilje, ki jih nastavite: e-poštne naslove, lastne naslove webhookov, Slack, Discord, Microsoft Teams, Google Chat ali Telegram. Klepetalni kanali in webhooki so na voljo v paketih Pro in Business. Sporočilo vsebuje domeno, dogodek, kratek opis in povezavo v vaš račun, pri opozorilih o preverjanju povezavo do poročila, prek katere so rezultati in posnetki zaslona dostopni brez prijave (Telegram prejme le povezavo do strani domene v vašem računu, ki zahteva prijavo); nobene vsebine iz e-poštnih sporočil obrazcev. Shranimo:

• cilje (e-poštni naslov, naslov webhooka ali klepeta; pri webhookih skrivnost za podpisovanje), dokler jih ali domene ne izbrišete;
• dnevnik pošiljanja s časom, dogodkom in rezultatom: 90 dni;
• zbrana obvestila za dnevna in tedenska poročila: do 30 dni po pošiljanju;
• incidente s povezavo za potrditev: dokler niso razrešeni, nato 180 dni po razrešitvi. Kdor incident potrdi, se zabeleži z vnesenim imenom ali svojim e-poštnim naslovom. Nepotrjene incidente je mogoče eskalirati na nadaljnje cilje; za to za vsak cilj shranimo število in čase poskusov dostave (največ pet), ali je bila dostava uspešna, in morebitno napako, dokler incident obstaja. Incident se zapre šele, ko je težava odpravljena; sama potrditev ga ne konča.

Telegram: Za Telegram upravljamo lastnega bota. Povežete ga prek povezave z enkratno kodo, ki je veljavna 30 minut; ko v botu pritisnete »Start«, naš strežnik to sporočilo prevzame od Telegrama in shrani identifikator vašega klepeta (chat ID) kot cilj opozoril. Telegram pri tem posreduje tudi vaše ime v Telegramu; tega ne shranimo. Samo kodo izbrišemo najprej po enem dnevu, takoj ko je ustvarjena druga koda. Chat ID se hrani, dokler ne izbrišete opozorila ali domene.

Klepetalne storitve obdelujejo sporočila po lastnih pogojih in vaši pogodbi z njimi; nekatere imajo sedež zunaj EU (razdelek 22). Za prejemnike, ki sami niso stranke, ravnamo v vašem imenu; prosimo, obvestite jih.

Pravna podlaga: člen 6(1)(b) GDPR; za prejemnike, ki niso stranke, vaša navodila. Obveznost: brez cilja ni opozorila; preverjanja kljub temu potekajo.

11. E-poštna sporočila od nas

Za stranke in vse, ki jim pišemo.

E-poštna sporočila pošiljamo za potrditev vašega naslova, za ponastavitev gesla, za povabila, opozorila in poročila, kot potrdila prejema zahtev za podporo ter z obvestili o vašem računu in obračunu. Pošiljanje in prejemanje naših e-poštnih sporočil opravlja Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Našo domeno in njene zapise DNS upravlja Namecheap, Inc., Phoenix, Arizona, ZDA; dokler poštni predal pri Namecheap, Inc. (Private Email), Phoenix, Arizona, USA ni nastavljen, Namecheap tudi posreduje splošna e-poštna sporočila na naslove v naši domeni. Kontrolne kopije preverjanja dostave ne gredo skozi to posredovanje. Poslana e-poštna sporočila, vključno s prejemnikom, zadevo in vsebino, hranimo 30 dni, da lahko razrešimo težave z dostavo; ne dlje, ker vsebujejo tudi veljavne povezave za potrditev in ponastavitev.

Brez vaše izrecne zahteve pošljemo tri e-poštna sporočila:

• Mesečno poročilo: na začetku meseca pregled preverjanj in obvestil za vaše domene. Odjavite se lahko v nastavitvah.
• Opomnik za nastavitev: eno samo e-poštno sporočilo od dveh do štirinajstih dni po registraciji, če je vaš račun potrjen, a še nima potrjene domene – »Dodaj spletno stran« ali »Potrdi domeno«, brez ponudbe, cene ali nadgradnje. Ponovno se ne pošlje.
• Konec preizkusnega obdobja: tri dni pred koncem preizkusnega obdobja obvestilo o tem, kaj sledi.

Pravna podlaga: člen 6(1)(b) GDPR za e-poštna sporočila, ki so del pogodbe, vključno z mesečnim poročilom in obvestilom o preizkusnem obdobju; za opomnik za nastavitev člen 6(1)(f) GDPR, ker račun brez domene storitve ne more uporabljati in mnoge stranke nastavitev preprosto pozabijo. Oglasov ne pošiljamo.

12. Značka in dnevnik dokazov

Za stranke, ki uporabljajo značko ali dnevnik dokazov, in za obiskovalce spletnih strani z značko.

Značka: Če našo značko vdelate na svojo spletno stran, brskalnik vsakega obiskovalca te strani naloži sliko značke z našega strežnika. Pri tem prejmemo običajne podatke o povezavi – naslov IP, čas, identifikator brskalnika in stran, na kateri je značka – ki končajo le v dnevniku spletnega strežnika (14 dni, razdelek 3.1), ne v dnevniku ogledov strani. Značka ne nastavlja piškotkov, ne začne seje in ne vsebuje skripte. Javna potrditvena stran prikazuje domeno, raven in datum zadnjega preverjanja, ne posameznih ugotovitev; kdor jo odpre, je obiskovalec naše spletne strani (razdelka 3 in 4). Pravna podlaga je člen 6(1)(f) GDPR; naš zakoniti interes je dostava značke, ki jo vdela stranka. Stranka to omeni v svoji politiki zasebnosti (besedilni gradniki).

Dnevnik dokazov: Pri plačljivih paketih lahko za vsako domeno in vsak mesec ustvarite dnevnik preverjanj. Pod njegovo številko za preverjanje javna stran potrdi domeno, obdobje in ključne številke, brez podrobnosti. Da je mogoče pozneje ugotoviti, ali je bil dnevnik spremenjen, ga damo podpisati overitelju časa. Temu posredujemo le zgoščeno vrednost dnevnika, iz katere ni mogoče obnoviti nobene vsebine; trenutno sta to Certum (Asseco Data Systems S.A., Poljska) in kot rezerva DigiCert, Inc. (ZDA). Dnevniki se hranijo, dokler ne izbrišete domene. Pravna podlaga je člen 6(1)(b) GDPR.

13. Vtičnik za WordPress in razširitev za TYPO3

Za stranke, ki uporabljajo vtičnik ali razširitev, in za obiskovalce njihovih spletnih strani.

13.1 Kaj ostane na strankini spletni strani

Naš vtičnik za WordPress in naša razširitev za TYPO3 tečeta na strankinem strežniku. Kar tam shrani vtičnik za WordPress, ostane na tej spletni strani; do tega nimamo dostopa, upravljavec pa je upravljavec te spletne strani:

• Karantena: pošiljanja, ki jih zaščitna plast zadrži kot neželeno pošto, vključno z vsebino polj in naslovom za odgovor, do 14 dni, da je mogoče napačno zadržano sporočilo dostaviti z enim klikom;
• Varnostna mreža: kopije e-poštnih sporočil obrazcev, ki jih ni bilo mogoče poslati (prejemnik, zadeva, besedilo in vrstice glave, kot je naslov za odgovor; priponke le po imenu), do 30 dni, da jih je mogoče ponovno poslati;
• Računska uganka: brskalnik obiskovalca reši majhno nalogo, ki jo zastavi spletna stran sama; brez piškotka, brez storitve tretje osebe;
• Rok hrambe: na zahtevo vtičnik po 90, 180 ali 365 dneh izbriše shranjena povpraševanja določenih vtičnikov za obrazce;
• Štetje obrazcev (privzeto izklopljeno): ogledi, začetki, napake pri preverjanju veljavnosti in poskusi pošiljanja na obrazec ter, če je ločeno vklopljeno, kategorije napak na položaj polja – brez vnosov, imen polj, piškotkov ali trajnih identifikatorjev obiskovalcev, največ 14 dni na spletni strani. Identifikator, izpeljan iz naslova IP, za omejevanje zahtev poteče po eni minuti in se nam ne pošlje;
• Pomoč obiskovalcem (mogoče ločeno vklopiti): po napaki pri pošiljanju obvestilo vodi nazaj k obrazcu, ki je še odprt, in po želji navede e-poštni naslov; ne bere nobenih vnosov, ne shranjuje osnutkov in ničesar ne pošlje ponovno samodejno;
• nova pravila proti neželeni pošti lahko sedem dni štejejo lokalno, ne da bi karkoli zadržala.

Vtičnik za WordPress sam doda ustrezne odstavke v vodnik za politiko zasebnosti WordPressa; nadaljnja besedila so na voljo na strani Besedilo politike zasebnosti za vašo spletno stran. Razširitev za TYPO3 ne shranjuje vsebine obrazcev; na vsako stran doda oznako meta za potrditev domene in šteje.

13.2 Snemalnik

S snemalnikom prijavljeni skrbnik WordPressa posname pot do obrazca na lastni spletni strani. Tehnične selektorje in korake navigacije hrani v shrambi seje svojega brskalnika največ 15 minut in izbrano konfiguracijo prenese v povezani račun. Ne bere nobenih vnosov. Za obiskovalce se snemalnik nikoli ne naloži.

13.3 Kaj se pošlje nam

Vtičnik in razširitev nam posredujeta – odvisno od funkcije in, razen pri preverjanju lastne spletne strani brez računa, le dokler je spletna stran povezana z računom:

• ime gostitelja, javni ključ in skrivnost, s katerima se spletna stran identificira, različici vtičnika in CMS ter jezik;
• dnevne številke: blokirana pošiljanja po razlogu, sprejeta pošiljanja, poslana in neuspešna e-poštna sporočila z vrsto napake, številke o odzivih reCAPTCHA in o samodejno izbrisanih povpraševanjih; če je štetje vklopljeno, njegove dnevne številke;
• značilnosti nastavitev obrazcev v obliki številk, na primer koliko obrazcev uporablja naslov obiskovalca kot pošiljatelja, ter različice določenih vtičnikov za obrazce, CAPTCHA in e-pošto s fiksnega seznama;
• posodobitve, aktivacije in deaktivacije vtičnikov, tem in CMS z imeni in različicami, način vzdrževanja in neuspeh e-poštnega sporočila obrazca (le vrsta napake);
• konfiguracijo poti obrazca, izbrano s snemalnikom;
• za zaščito roja (privzeto vklopljena) domene povezav v blokiranih sporočilih. Prijave z mnogih spletnih strani ustvarijo seznam domen neželene pošte, ki ga pridobijo vsi povezani vtičniki. Naslovov IP ali omrežij pošiljateljev za to ne posredujemo.

Vtičnik in razširitev ne posredujeta nobene vsebine obrazcev razen teh domen povezav, prav tako ne e-poštnih naslovov, imen ali naslovov IP obiskovalcev. Dnevne številke in poročila o spremembah izbrišemo po 13 mesecih, signale zaščite roja po 30 dneh; podatke s spletne strani, ki ne pripada nobeni domeni v računu, po 90 dneh brez stika.

Pravna podlaga: člen 6(1)(b) GDPR; za zaščito roja člen 6(1)(f) GDPR (skupna obramba pred neželeno pošto na mnogih spletnih straneh). Ti podatki so osebni podatki le izjemoma, na primer če ime gostitelja vsebuje ime osebe.

14. Funkcije za agencije

Za agencije in za osebe, ki pridejo v stik z njihovimi portali in poročili.

• Portal za stranke: Agencija lahko svojim strankam omogoči dostop do portala z rezultati za njihove domene. Kdor se tam naroči na mesečno poročilo, navede svoj e-poštni naslov in ga potrdi prek povezave (dvojna privolitev). Shranimo naslov, jezik, čas in naslov IP naročila, čas potrditve in zadnji poslani mesec. Nepotrjena naročila izbrišemo po 30 dneh. Odjava je mogoča kadar koli prek povezave v vsakem e-poštnem sporočilu; nato zapis o naročilu hranimo še tri leta, vendar ne dlje, kot dokler ni izbrisan delovni prostor agencije; če agencija le ukine portal, naročniki ostanejo shranjeni. Portal in poročila so prikazani pod imenom agencije; agencija je upravljavec, mi pa ravnamo v njenem imenu. Pravna podlaga agencije je privolitev naročnika.
• Lastna blagovna znamka: ime podjetja, spletna stran, kontaktni podatki, barve in logotip, ki jih agencija shrani, so prikazani na njenih poročilih in v portalu, dokler jih ne spremeni ali izbriše.
• Lastna domena: V paketu Business lahko agencija portal in poročila prikaže pod lastno poddomeno. Za to dnevno preverjamo njene zapise DNS. Funkcija trenutno ni vklopljena.
• Preverjanje potencialne stranke: Agencija lahko da preveriti spletno stran potencialne stranke brez testnega pošiljanja (razdelek 7). Povezavo do kratkih ugotovitev posreduje sama; mi ne pišemo nikomur. Preverjanje izbrišemo po 90 dneh. Za stik s potencialno stranko je odgovorna izključno agencija.
• Ključi API in kode za uvajanje: Shranimo jih le kot zgoščeno vrednost s kratko predpono, skupaj z oznako, časom zadnje uporabe (ključi API) ali številom unovčenj (kode za uvajanje) in številom klicev na minuto (najmanj en dan; izbrisano ob poznejših klicih).

Pravna podlaga: člen 6(1)(b) GDPR v razmerju do agencije; za naročnike in potencialne stranke glejte zgoraj.

15. Preverjanje dostave

Za stranke, ki ga vklopijo, in za obiskovalce njihovih spletnih strani. Za podatke obiskovalcev smo strankin obdelovalec.

Izbirno preverjanje dostave odgovori na vprašanje, ali se e-poštno sporočilo iz kontaktnega obrazca res pošlje. Za to stranka v poštne nastavitve svojega obrazca vnese enega od naših kontrolnih naslovov kot skrito kopijo (BCC). Zato ne prejmemo le lastnega testnega pošiljanja, temveč kopijo vsakega e-poštnega sporočila obrazca – vključno s pravimi povpraševanji njenih obiskovalcev z njihovimi imeni, naslovi in sporočili.

Kaj z njimi naredimo, in samo to: samodejni prevzem prebere glave in največ prvih 8 KB besedila, sporočilo prek kontrolnega naslova dodeli domeni in po potrebi testnemu pošiljanju ter preveri značilnosti pristnosti SPF, DKIM in DMARC. Po uspešni obdelavi se sporočilo izbriše. Če prevzem ali izbris ne uspe, lahko sporočilo ostane v poštnem predalu do naslednje uspešne izvedbe; poštni predal gosti naš ponudnik e-poštnih storitev (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Kopije se vrednotijo le samodejno.

V naši podatkovni zbirki 180 dni shranimo le čas, dodelitev domeni in po potrebi identifikator testnega pošiljanja, tehnični rezultat pristnosti (SPF, DKIM, DMARC) zadnjega prejetega sporočila pa, dokler ga ne nadomesti naslednje sporočilo ali dokler domena ni izbrisana. Ta rezultat pristnosti vključuje naslov IP strežnika pošiljatelja in e-poštno domeno pošiljatelja; ta domena je v opozorilu stranki navedena le, če ne pripada spletni strani. Če obrazec kot pošiljatelja vnese naslov obiskovalca, je to domena obiskovalčevega ponudnika e-pošte. Vsebine sporočil ali celotnih naslovov pošiljateljev ne shranjujemo. Če v nekaj urah po testnem pošiljanju ne prispe nobena kopija, to sporočimo stranki.

Prejem dokazuje le, da je dodeljena kopija prispela v naš kontrolni poštni predal – ne prejema pri dejanskem prejemniku in ne vnosa v CRM. Obrazcev, prek katerih potekajo posebne vrste osebnih podatkov (na primer podatki o zdravju), ne bi smeli povezati s preverjanjem dostave. Stranka o tem toku podatkov obvesti svoje obiskovalce; besedilo za to je na voljo na strani Besedilo politike zasebnosti za vašo spletno stran. Brez nastavljenega kontrolnega poštnega predala preverjanje ni na voljo.

Pravna podlaga: za stranko običajno člen 6(1)(f) GDPR (zanesljiv prejem povpraševanj); obdelujemo po njenih navodilih (člen 28 GDPR).

16. Jezikovni model na našem lastnem strežniku in »Fix it for me«

Za stranke in uporabnike brezplačnega preverjanja.

Jezikovni model teče na našem lastnem strežniku za preglede, ne pri ponudniku umetne inteligence. Pomaga razvrščati obrazce (razdelek 7) in z »Fix it for me« vstavi zaščito v kodo obrazca, ki jo prilepite. Prilepljena koda se obdela le za to zahtevo, se ne shrani in se ne uporablja za učenje; v dnevnik dejavnosti zabeležimo le, da je bila funkcija uporabljena, s programskim jezikom, dolžino kode in rezultatom (tudi za dnevno kvoto). Prosimo, ne lepite prijavnih podatkov ali osebnih podatkov. »Fix it for me« deluje brez dostopa do vaše spletne strani; kodo vstavite sami. Več v Akt EU o umetni inteligenci: kako formexposed uporablja umetno inteligenco. Pravna podlaga: člen 6(1)(b) GDPR.

17. Podpora, kontakt in prijave varnostnih ranljivosti

Za vse, ki nam pišejo.

Če nam pišete prek okna za podporo ali kontaktne strani, obdelujemo vaš e-poštni naslov, vaše sporočilo, izbrano temo, stran, s katere pišete, jezik, vaš naslov IP, njegovo državo, identifikator brskalnika in – če ste prijavljeni – številko vašega računa, da odgovorimo na vašo zahtevo in preprečimo zlorabo obrazca. Potrdilo prejmete po e-pošti na navedeni naslov; če ste prijavljeni, ponovi začetek vašega sporočila (do 2000 znakov), sicer vašega besedila ne vsebuje. Kot vsako poslano e-poštno sporočilo se hrani 30 dni (razdelek 11). O novih zahtevah nas obvesti signal prek Telegrama, ki ne vsebuje vsebine in nobenih podatkov o vas. Če nam pošljete e-poštno sporočilo, obdelujemo vaš naslov in sporočilo. Prijave varnostnih ranljivosti obravnavamo enako. Zahteve izbrišemo 24 mesecev po prejemu, tudi če svoj račun izbrišete prej; dokumentirajo, kaj je bilo vprašano in kaj odgovorjeno.

Pravna podlaga: člen 6(1)(b) GDPR, če se zahteva nanaša na pogodbo z nami, sicer člen 6(1)(f) GDPR (odgovor, preprečevanje zlorab, dokazovanje). Obveznost: brez e-poštnega naslova ne moremo odgovoriti.

18. Plačila, preizkusno obdobje in partnerski program

Za stranke s plačljivim paketom in za partnerje.

Plačljive pakete obračunavamo prek Stripe. Ponudnik je Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irska. Plačilne podatke vnesete neposredno pri Stripe; mi jih ne vidimo. Stripe prejme vaš e-poštni naslov in ime, med zaključkom nakupa vaš naslov za račun in po potrebi identifikacijsko številko za DDV ter izdaja račune. Hranimo le identifikatorja stranke in naročnine pri Stripe, paket, stanje, konec obračunskega obdobja ter identifikatorje in vrste dogodkov, ki nam jih sporoči Stripe.

Preizkusno obdobje lahko začnete brez kartice; brez plačilnega sredstva se samodejno konča. Če vam je gostitelj ali partner dal aktivacijsko kodo, shranimo, kateri račun jo je unovčil in kdaj ter do kdaj velja paket.

Stripe podatke obdeluje tudi kot samostojni upravljavec, na primer za preprečevanje goljufij in izpolnjevanje zakonskih obveznosti, in jih lahko prenese družbi Stripe, Inc. v ZDA (razdelek 22). Več o tem v Stripovi politiki zasebnosti.

Partnerski program: Program je izdelan, vendar trenutno ni vklopljen. Če bo vklopljen, velja naslednje: vsak račun ima napotitveno kodo. Kdor se registrira prek napotitvene povezave, je za omejeno število mesecev dodeljen partnerju; shranimo dodelitev in njen čas ter za vsak plačan račun neto znesek in provizijo. Partner vidi le številke – koliko računov se je registriralo, koliko jih plačuje in skupni znesek njegovih provizij – brez imen in brez naslovov. Veljajo Partnerski pogoji. Podatke partnerjev, dodelitve in provizije trenutno hranimo brez določenega roka hrambe, prav tako podatke o unovčenih aktivacijskih kodah; rok za izbris bomo določili in ga navedli tukaj.

Pravna podlaga: člen 6(1)(b) GDPR; za hrambo podatkov o računih in, kjer je to potrebno za davčne namene, podatkov o provizijah člen 6(1)(c) GDPR; za dodelitev partnerju člen 6(1)(f) GDPR (obračun provizije). Podatke o računih hranimo, dokler to zahteva davčna zakonodaja; po poljskem pravu (člen 86 v povezavi s členom 70 poljskega davčnega zakonika, Ordynacja podatkowa) praviloma do izteka petih let od konca koledarskega leta, v katerem je davek zapadel v plačilo. Obveznost: brez plačilnih podatkov ni plačljivega paketa; brezplačni paket ostaja na voljo.

19. Izključitev domene (opt-out)

Za upravljavce spletnih strani, ki ne želijo, da jih preverjamo.

Prek strani za izključitev (opt-out) lahko domeno izključite iz nadaljnjih preverjanj. Izključitev velja za domeno in njeno različico www, ne za druge poddomene, in tudi nasproti plačujočim strankam, ki so domeno potrdile; tekoče spremljanje se konča z naslednjim načrtovanim preverjanjem. Odpravimo jo lahko le mi, na zahtevo in ob dokazu, da domeno upravljate vi. Shranimo domeno, prostovoljno naveden razlog, vaš naslov IP, njegovo državo in identifikator brskalnika. Naslov IP, državo in identifikator brskalnika izbrišemo po 12 mesecih; sama izključitev ostane trajno, ker bi se domena sicer znova preverjala. Te podatke potrebujemo, da vašo željo trajno uresničimo in prepoznamo, ali nekdo zlonamerno izključuje domene drugih. Pravna podlaga: člen 6(1)(f) GDPR; naš zakoniti interes je trajna uresničitev vaše želje in prepoznavanje zlorabe obrazca. Če izključitev mislite kot ugovor v skladu s členom 21 GDPR, jo uresničimo na ta način.

20. Za obiskovalce spletnih strani naših strank

Za osebe, ki obiščejo spletno stran ali na njej pošljejo obrazec, katere upravljavec uporablja formexposed.

Upravljavec za to spletno stran je njen upravljavec, ne mi. Upravljavec odloči, katere funkcije bo uporabljal, in vas mora o njih obvestiti v svoji politiki zasebnosti. Do nas lahko pride naslednje:

• Značka: podatki o povezavi vašega brskalnika ob nalaganju slike, 14 dni v dnevniku spletnega strežnika, brez piškotka; tu smo za dostavo slike upravljavec mi (razdelek 12).
• Preverjanje dostave: kopija vašega e-poštnega sporočila obrazca, ki se samodejno ovrednoti in izbriše; smo obdelovalec (razdelek 15).
• Vtičnik za WordPress in razširitev za TYPO3: dnevne številke brez povezave z vami in za zaščito roja domene povezav iz blokiranih sporočil; karantena in varnostna mreža ostaneta na spletni strani (razdelek 13).
• Portal za stranke: vaš e-poštni naslov, če se tam naročite na poročilo; smo obdelovalec agencije (razdelek 14).
• Zaščita obrazcev (formconfirmed): če jo upravljavec uporablja, vaš brskalnik ob odprtju strani pridobi nalogo z našega strežnika in jo reši v ozadju; ob pošiljanju strežnik upravljavca rezultat da preveriti nam. Obdelujejo se vaš naslov IP (shranjen le skrajšan in kot zgoščena vrednost, največ eno uro; v dnevniku spletnega strežnika kot vsak priklic 14 dni), naslov strani, čas izpolnjevanja, podatek, ali je bilo izpolnjeno nevidno polje, in – le če upravljavec vklopi preverjanje vsebine – besedilo vašega sporočila, ki ga jezikovni model na našem lastnem strežniku oceni v delovnem pomnilniku in ga ne shrani. Brez piškotkov, brez shranjevanja v brskalniku, brez prstnega odtisa. Smo obdelovalec upravljavca (pogodba o obdelavi podatkov, Priloga 1, točka 10).

Svoje pravice najbolje uveljavljate pri upravljavcu spletne strani; ta pozna okoliščine in nam lahko da navodila. Če se obrnete na nas, vašo zahtevo posredujemo upravljavcu ali jo obravnavamo sami, kolikor smo upravljavec. Kaj pri tem lahko najdemo in česa ne, je opisano na strani Dostop, izbris in Vaše druge pravice.

21. Uporabniki

Osebne podatke posredujemo le, kjer tako navaja ta politika. Podatkov ne prodajamo, ne dajemo v najem in ne izmenjujemo. Kategorije uporabnikov:

Uporabnik (sedež)	Kategorija	Za kaj
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	obdelovalec; kraj obdelave je še treba preveriti	pošiljanje in prejemanje naših e-poštnih sporočil; kontrolni poštni predal preverjanja dostave
Namecheap, Inc. (ZDA)	obdelovalec	domena, DNS; dokler poštni predal ni nastavljen, posredovanje splošnih e-poštnih sporočil na našo domeno (ne kontrolnih kopij preverjanja dostave)
Stripe Payments Europe, Ltd. (Irska), Stripe, Inc. (ZDA)	pretežno samostojni upravljavec; natančno razdelitev vlog še preverjamo	plačila in računi
Google Ireland Ltd., Google LLC (ZDA)	samostojni upravljavec	reCAPTCHA
Telegram (zunaj EGP)	cilj, ki ga izbere stranka; sporočilo pošljemo prek našega bota. Za nas tudi kanal za obvestila	opozorila, če izberete Telegram; operativni signali brez osebnih podatkov
Slack, Discord, Microsoft (Teams), Google (Chat), vaši webhooki (deloma ZDA)	cilji, ki jih izbere stranka	opozorila
Javnost	–	povezave do poročil, potrditvene strani, rezultati študije (le zbirno)
Člani vašega delovnega prostora	uporabniki istega računa	sodelovanje, glede na vlogo
Organi, sodišča, CERT Polska, svetovalci	samostojni upravljavci	le kadar obstaja zakonska obveznost, za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov ter v primeru zlorabe naše storitve ali napadov na tretje osebe (člen 6(1)(c) ali (f) GDPR)

Osebnih podatkov ne prejmejo: storitve RDAP registrov, najdene prek imenika IANA, in za starost domene pri brezplačnem preverjanju posredniška storitev rdap.org (le imena domen), WPVulnerability na wpvulnerability.net (le identifikator vtičnika brez različice, identifikator teme ali različica WordPressa), strani stanja storitev CAPTCHA in e-pošte (nič drugega kot sama zahteva), overitelja časa Certum in DigiCert (le zgoščene vrednosti), črni seznami DNS SpamCop, PSBL, Mailspike in SURBL (le domene in naslovi IP strežnikov), Google Web Risk, če je nastavljen (le naslov domače strani), in drugi povezani vtičniki v zaščiti roja (le domene neželene pošte). Celoten, vzdrževan seznam naših obdelovalcev z njihovim sedežem in podlago za prenos je na voljo na strani Podobdelovalci; spremembe strankam napovemo 30 dni vnaprej.

22. Prenosi v tretje države

Če ima uporabnik sedež zunaj Evropskega gospodarskega prostora, podatke prenesemo le, če so izpolnjeni pogoji iz člena 44 in naslednjih GDPR:

• ZDA: na podlagi sklepa Evropske komisije o ustreznosti glede okvira EU-ZDA za zasebnost podatkov (Izvedbeni sklep (EU) 2023/1795, člen 45 GDPR), kolikor je uporabnik v skladu z njim certificiran. Ali so Google, Stripe in Namecheap certificirani za zadevne storitve, za to različico še preverjamo, zato tega ne trdimo; kjer certifikacije ni, na podlagi standardnih pogodbenih klavzul Evropske komisije (Izvedbeni sklep (EU) 2021/914, člen 46(2)(c) GDPR).
• Naš ponudnik e-poštnih storitev: kje Namecheap, Inc. (Private Email), Phoenix, Arizona, USA obdeluje podatke in na kateri podlagi se lahko prenesejo v tretjo državo, še preverjamo. Trenutno stanje je navedeno na strani Podobdelovalci.
• Klepetalne storitve in webhooki, ki jih izberete sami: Slack, Discord, Microsoft Teams, Google Chat in webhooki prejemajo vaša opozorila prek naslova, ki ga ustvarite v svojem računu pri tej storitvi; pogodbeno razmerje s ponudnikom in morebitna podlaga, potrebna za prenos v tretjo državo, sta vaša odgovornost.
• Telegram: cilj, ki ga izbere stranka; sporočilo pošljemo prek našega bota. Telegram ima sedež zunaj EGP v državi brez sklepa o ustreznosti, s Telegramom pa nimamo standardnih pogodbenih klavzul. Trenutno dajemo preveriti, na kateri podlagi iz člena 44 in naslednjih GDPR temelji ta prenos – v poštev pride člen 49(1)(b) GDPR, ker kanal izberete sami. Telegram izberite le, če vam to zadošča; e-pošta vedno ostaja na voljo kot alternativa.

Kopijo zaščitnih ukrepov, na katerih temelji prenos, lahko brezplačno dobite na zahtevo na naslovu iz razdelka 1. Sklep o ustreznosti in standardne pogodbene klavzule najdete tudi v Uradnem listu EU (eur-lex.europa.eu), seznam podjetij, certificiranih v okviru za zasebnost podatkov, pa na dataprivacyframework.gov. Naši lastni strežniki so na Poljskem; podatki, ki jih ne prejme nobeden od navedenih uporabnikov, ne zapustijo EU.

23. Roki hrambe na kratko

Roke hrambe uveljavlja nočni postopek, pri dnevniku spletnega strežnika pa njegova dnevna menjava. Kjer piše »z domeno«, podatki izginejo takoj, ko izbrišete domeno ali svoj račun. Nato ostanejo v varnostnih kopijah še do 14 dni (razdelek 3.4).

Podatki	Izbrisani
Dnevnik spletnega strežnika (vključno z zahtevami za značko)	po 14 dneh
Dnevnik ogledov strani	po 60 dneh
Dnevnik napak	po 90 dneh
Dnevnik dejavnosti	po 365 dneh
Poskusi prijave; omejitve brezplačnega preverjanja in orodja za glave	po 7 dneh
Oznake sumljivega vedenja (brezplačno preverjanje)	90 dni po razrešitvi primera
Prijavljene naprave	90 dni po zadnji uporabi
»Ostani prijavljen«; nikoli potrjeni računi; sprejeta povabila (nesprejeta ob njihovem poteku)	po 30 dneh
Poročilo brez računa, vključno s posnetki zaslona	po 30 dneh
Različica PDF poročila v predpomnilniku	po 7 dneh
Rezultati orodja za glave; preverjanje spletne strani potencialne stranke	po 90 dneh
Preverjanja za študijo	ob objavi njenih rezultatov
Rezultati preverjanj, brskalniška preverjanja in časovne meritve za domeno v računu	po 13 mesecih (najnovejše preverjanje, dokler je domena v računu)
Domena, nastavitve, poti obrazcev, dnevniki dokazov, cilji opozoril, rezultat pristnosti zadnjega e-poštnega sporočila obrazca	z domeno
Popis skript in njegove spremembe	z domeno (posebnega roka hrambe ni)
Testna prijava za preverjanje za prijavo	ko jo izbrišete, z domeno; kopija, priložena opravilu preverjanja, po izvedbi, najpozneje po eni uri
Dnevne številke in poročila o spremembah iz vtičnika in razširitve, štetje obrazcev	po 13 mesecih
Podatki s spletne strani z vtičnikom, ki ne pripada nobenemu računu	90 dni po zadnjem stiku
Signali zaščite roja; zbrana obvestila za dnevna in tedenska poročila (od pošiljanja)	po 30 dneh
Štetje klicev API; enkratne kode za Telegram	najprej po enem dnevu, ob naslednjem klicu ali kodi te vrste
Dnevnik pošiljanja opozoril	po 90 dneh
Dodelitve preverjanja dostave; incidenti s potrditvijo in poskusi dostave eskalacij (nerazrešeni se hranijo)	po 180 dneh, incidenti od razrešitve
Kopije e-poštnih sporočil obrazcev v kontrolnem poštnem predalu	po obdelavi; v primeru napak ob naslednji uspešni izvedbi
Poslana e-poštna sporočila	po 30 dneh
Zahteve za podporo	po 24 mesecih
Povratne informacije o poročilu	po 24 mesecih, z računom takoj; kontrolna vsota naslova IP po 2 dneh
Naslov IP, država in identifikator brskalnika v zvezi z izključitvijo (opt-out)	po 12 mesecih (domena ostane izključena)
Nepotrjena naročila na mesečno poročilo v portalu za stranke	po 30 dneh
Zapis o preklicanem naročilu	tri leta po odjavi
Račun in osebni podatki	ko jih izbrišete
Zapis o sklenitvi pogodbe	dokler račun obstaja; po njegovem izbrisu, ko je soglasje staro štiri leta
Podatki o računih	ob izteku davčnega roka hrambe
Dodelitve in provizije partnerskega programa; unovčene aktivacijske kode	trenutno brez določenega roka
Primer vrste napake	trenutno brez določenega roka hrambe
Varnostne kopije podatkovne zbirke	po 14 dneh
Zaščita obrazcev: skrajšan naslov IP, shranjen kot zgoščena vrednost, za prepoznavanje množičnih zahtev; porabljeni kontrolni žetoni; izidi preverjanj brez naslova IP in brez besedila (dejanje, rezultat, razlogi, domena); dnevne številke brez osebne povezave	po eni uri; najpozneje po enajstih minutah; po 30 dneh; po 400 dneh

24. Obveznost posredovanja podatkov

Nimate zakonske obveznosti, da nam posredujete podatke. Za račun potrebujemo vaš e-poštni naslov, ime in geslo; brez njih pogodbe ni mogoče skleniti. Za plačljive pakete potrebujemo podatke za obračun, za preverjanje dostave kontrolni poštni predal, za opozorila cilj. Vsi drugi podatki so prostovoljni. Podatki o povezavi v dnevnikih nastanejo tehnično pri vsaki zahtevi; brez njih strežnik ne more odgovoriti. Kaj manjka, če česa ne navedete, je opisano v razdelku o zadevni obdelavi.

25. Avtomatizirano sprejemanje odločitev in oblikovanje profilov

Ne sprejemamo odločitev, ki bi temeljile izključno na avtomatizirani obdelavi in bi imele za vas pravne učinke ali bi na vas podobno znatno vplivale (člen 22 GDPR). Profilov posameznikov ne oblikujemo. Naše ocene – raven tveganja, ocena glav, »zaščiteno« v znački – se nanašajo na spletne strani in obrazce, ne na ljudi.

Samodejno pa delujejo zaščitni mehanizmi, ki lahko posamezne zahteve zavrnejo, ne da bi jih pogledal človek: ocena reCAPTCHA in naša lastna zaščita obrazcev (razdelek 5), omejitve in oznake pri brezplačnem preverjanju (razdelek 6) ter blokada po preveč poskusih prijave (razdelek 8.2). Preprečijo le posamezno pošiljanje; zavrnjen poskus je mogoče pozneje ponoviti, za vsako zahtevo pa ostaja na voljo e-pošta. Če menite, da je zavrnitev napačna, nam pišite; primer bo pregledal človek. Samodejno izbrišemo tudi račune, ki niso potrjeni v 30 dneh po registraciji.

26. Vaše pravice

Po GDPR imate naslednje pravice. Za vsako navajamo najhitrejši način uveljavljanja. Če ni navedeno drugače, zadošča e-poštno sporočilo na contact@lukaswojcik.com. Odgovorimo brez nepotrebnega odlašanja, v vsakem primeru pa v enem mesecu od prejema; pri zapletenih ali številnih zahtevah se lahko rok podaljša za dva meseca, o čemer vas z navedbo razlogov obvestimo v prvem mesecu (člen 12(3) GDPR). Uveljavljanje pravic je brezplačno; le pri očitno neutemeljenih ali pretiranih zahtevah lahko zaračunamo razumno pristojbino ali zavrnemo ukrepanje na podlagi zahteve, kar utemeljimo (člen 12(5) GDPR). Da ne bi razkrili podatkov drugih, vas lahko prosimo, da zahtevo pošljete z e-poštnega naslova svojega računa; dodatna dokazila zahtevamo le, če utemeljeno dvomimo o vaši identiteti, in le v potrebnem obsegu (člen 12(6) GDPR).

• Dostop (člen 15 GDPR): Z računom prenesite izvoz podatkov v nastavitvah; vsebuje podatke o računu, delovnem prostoru in domenah, vaše prijave, dejavnosti, zahteve za podporo, poslana e-poštna sporočila in soglasja. Rezultate preverjanj vidite kot poročila v računu. Popoln dostop, tudi do podatkov, ki jih izvoz ne vsebuje (na primer vnosi v dnevniku napak ali dnevniku spletnega strežnika), skupaj z informacijami iz člena 15(1) GDPR dobite na zahtevo po e-pošti. Brez računa – na primer glede izključitve (opt-out), zahteve za podporo ali poročila – po e-pošti z navedbo zadevne domene ali naslova in približnega časa.
• Popravek (člen 16): Ime, podjetje, jezik in e-poštni naslov lahko spremenite sami v nastavitvah, naslov za račun in identifikacijsko številko za DDV pa v portalu za stranke Stripe v razdelku Obračun; vse drugo po e-pošti.
• Izbris (člen 17): Svoj račun, domene, cilje opozoril in testne prijave lahko izbrišete sami, ključe API pa sami prekličete (izbrišejo se z računom); od mesečnega poročila portala za stranke se lahko odjavite prek povezave v vsakem e-poštnem sporočilu. Izbris poročila, posnetka zaslona ali drugih podatkov lahko zahtevate po e-pošti. Kaj moramo hraniti iz pravnih razlogov, je opisano v razdelku 8.6.
• Omejitev obdelave (člen 18): po e-pošti, na primer če izpodbijate točnost podatkov in jo preverjamo.
• Prenosljivost podatkov (člen 20): Izvoz podatkov je strojno berljiva datoteka JSON, ki jo lahko sami predate drugemu ponudniku. Več o zamenjavi ponudnika na strani Akt EU o podatkih: zamenjava ponudnika in izvoz podatkov.
• Ugovor (člen 21): glejte naslednji razdelek.
• Preklic privolitve (člen 7(3)): Lastne obdelave ne opiramo na privolitev. Privolitev za mesečno poročilo portala za stranke lahko prekličete prek povezave v vsakem e-poštnem sporočilu; preklic učinkuje za naprej.

Za podatke, ki jih obdelujemo v imenu stranke (razdelek 2), je vaša kontaktna točka stranka. Če nam kljub temu pišete, vašo zahtevo posredujemo stranki in ji pomagamo pri odgovoru. Podrobna navodila z vsemi potmi in omejitvami so na voljo na strani Dostop, izbris in Vaše druge pravice.

27. Pravica do ugovora v skladu s členom 21 GDPR

Kolikor podatke obdelujemo na podlagi zakonitih interesov (člen 6(1)(f) GDPR), lahko iz razlogov, povezanih z vašim posebnim položajem, kadar koli ugovarjate. Podatkov potem ne obdelujemo več, razen če dokažemo nujne zakonite razloge za obdelavo, ki prevladajo nad vašimi interesi, pravicami in svoboščinami, ali če obdelava služi uveljavljanju, izvajanju ali obrambi pravnih zahtevkov.

To velja zlasti za preverjanje spletnih strani z našim pajkom (razdelek 7), dnevnike (razdelek 3), reCAPTCHA (razdelek 5), omejitve za brezplačno preverjanje (razdelek 6), opomnik za nastavitev (razdelek 11), značko (razdelek 12) in zaščito roja (razdelek 13).

Ugovor ni vezan na posebno obliko; zadošča e-poštno sporočilo na contact@lukaswojcik.com. Kot upravljavec spletne strani lahko nadaljnja preverjanja kadar koli izključite tudi sami prek datoteke robots.txt ali strani za izključitev (opt-out). Oglasov po e-pošti, proti katerim bi bil mogoč ugovor brez navedbe razlogov, ne pošiljamo.

28. Pritožba pri nadzornem organu

Pritožbo lahko vložite pri nadzornem organu za varstvo podatkov, če menite, da vaše podatke obdelujemo nezakonito (člen 77 GDPR). Za nas pristojni organ je:

Prezes Urzędu Ochrony Danych Osobowych (predsednik Urada za varstvo osebnih podatkov, UODO)
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Poljska
uodo.gov.pl

Obrnete se lahko tudi na organ države članice, v kateri živite ali delate ali v kateri je prišlo do domnevne kršitve – v Nemčiji na primer na organ za varstvo podatkov vaše zvezne dežele. Ta organ pritožbo po potrebi posreduje pristojnemu organu. Zadevo bomo z vami radi najprej rešili neposredno; to ni pogoj.

29. Varnost

Vse povezave z našo storitvijo so šifrirane s TLS; povezave znotraj našega notranjega omrežja niso v celoti šifrirane. Gesla, ključe API in obnovitvene kode shranjujemo le kot zgoščene vrednosti, skrivnosti za dvostopenjsko prijavo in testne prijave pa le v šifrirani obliki. Podatki strank so ločeni po delovnih prostorih; pravice vloge uveljavlja strežnik, ne le uporabniški vmesnik. Dostop do strežnikov ima le lastnik; pajek deluje izolirano in ne more dostopati do naslovov v notranjem omrežju. Celoten opis je na voljo na strani Tehnični in organizacijski ukrepi. Če izvemo za kršitev varstva osebnih podatkov, o njej v skladu s členoma 33 in 34 GDPR uradno obvestimo nadzorni organ in po potrebi vas; stranke, v imenu katerih ravnamo, obvestimo brez nepotrebnega odlašanja, po možnosti v 48 urah.

30. Drugi dokumenti

Ta politika je povzetek za posameznike, na katere se nanašajo osebni podatki. Podrobnosti so v evidenci dejavnosti obdelave, na seznamu Podobdelovalci, v dokumentu Tehnični in organizacijski ukrepi, v Pogodbi o obdelavi podatkov, v oceni učinka v zvezi z varstvom podatkov ter na straneh Dostop, izbris in Vaše druge pravice, Akt EU o umetni inteligenci: kako formexposed uporablja umetno inteligenco in Besedilo politike zasebnosti za vašo spletno stran.

31. Spremembe

To politiko posodobimo, ko se spremeni storitev ali pravni položaj, in sicer preden se začne kakršna koli nova obdelava. Velja različica, objavljena tukaj; prejšnje različice in spremembe najdete na strani Spremembe pogodbenih dokumentov. Različica, ki ste jo videli ob registraciji, je prikazana v vašem izvozu podatkov. Če se pri obdelavi vaših podatkov kot stranke spremeni kaj bistvenega, vas bomo obvestili tudi po e-pošti.

Ta politika je na voljo v vseh uradnih jezikih Evropske unije. V primeru razhajanj prevlada poljska različica.