Integritetspolicy

Det här dokumentet publiceras på flera språk. Vid avvikelser mellan språkversionerna är den polska versionen bindande.

Version 2.3 · Senast uppdaterad: 29 oktober 2026

Denna policy beskriver vilka personuppgifter formexposed behandlar, i vilket syfte, på vilken rättslig grund, till vem de lämnas ut och när de raderas. Vi skriver bara det som tjänsten faktiskt gör; de lagringstider vi anger är desamma som våra raderingskörningar följer, och där det ännu inte finns någon fast tid säger vi det. Funktioner som har byggts men inte är aktiverade anges som sådana. Eftersom tjänsten berör flera grupper av personer inleds varje avsnitt med vem det riktar sig till:

• Du besöker formexposed.com eller form.exposed: avsnitt 3, 4 och 5.
• Du har låtit kontrollera en domän på startsidan: avsnitt 6.
• Din webbplats har kontrollerats av vår crawler: avsnitt 7 – det är också vår information enligt art. 14 GDPR.
• Du har ett konto eller har bjudits in till ett team: avsnitt 8 till 18.
• Du besöker webbplatsen hos någon av våra kunder (med märke, plugin eller leveranskontroll): avsnitt 20.
• Du vill utöva en rättighet eller lämna in ett klagomål: avsnitt 26 till 28.

1. Personuppgiftsansvarig och kontakt

Personuppgiftsansvarig för behandlingen av personuppgifter på formexposed.com och form.exposed och i tjänsten formexposed, i den mån vi inte agerar på uppdrag av en kund (avsnitt 2), är:

LW IT Solutions Company Lukas Wójcik
Ägare: Lukas Wójcik
al. Tadeusza Kościuszki 80/82, lok. 301
90-437 Łódź
Polen
NIP (polskt skatteregistreringsnummer) 7252266190 · Momsregistreringsnummer PL7252266190
E-post: contact@lukaswojcik.com

Andra sätt att nå oss är supportfönstret (frågetecknet i navigeringen) och kontaktsidan. Rapportera säkerhetssårbarheter via vår sida för rapportering av sårbarheter.

Dataskyddsombud: Vi har inte utsett något. Vi är en enskild firma; vår kärnverksamhet är att kontrollera webbplatser och formulär, inte storskalig övervakning av enskilda personer eller behandling av särskilda kategorier av personuppgifter (art. 37(1) GDPR). Skälen redovisas i registret över behandling. Skicka frågor om dataskydd till e-postadressen ovan; de når ägaren direkt.

2. Vad det handlar om och i vilken roll vi agerar

formexposed kontrollerar webbplatsers kontaktformulär: om de är skyddade mot spam och missbruk, om förfrågningar kommer fram, vilka tredjepartstjänster som kan läsa med medan ett formulär fylls i och om något av detta ändras. Därvid behandlar vi personuppgifter i tre roller. Uppdelningen är ingen formalitet: den avgör vem du ska vända dig till med en begäran.

• Som personuppgiftsansvarig för uppgifter om besökare på våra egna webbplatser, om våra kunder och deras teammedlemmar, för fakturering och support, och för kontroll av webbplatser som inte hör till ett kundkonto (gratis kontroll, studie, kontroll av potentiell kund) eller vars domän kunden ännu inte har verifierat. Det är vad denna policy handlar om.
• Som personuppgiftsbiträde för tredje parts uppgifter som våra kunder har behandlat via tjänsten: kopior av formulärmejl i leveranskontrollen (avsnitt 15), prenumeranter på en kundportal (avsnitt 14), mottagare av aviseringar som inte själva är kunder (avsnitt 10), testkonton för kontrollen bakom en inloggning (avsnitt 9) och personer som syns på en webbplats vars domän en kund har verifierat (avsnitt 7). I dessa fall är kunden personuppgiftsansvarig; personuppgiftsbiträdesavtalet, som varje kund ingår vid registreringen, gäller.
• Inte alls för det som vårt WordPress-plugin och vårt TYPO3-tillägg lagrar på en kunds webbplats och som inte lämnar den webbplatsen (avsnitt 13). Operatören av den webbplatsen är personuppgiftsansvarig; vi har ingen åtkomst till den.

När denna policy talar om ”kund” avses innehavaren av ett konto hos formexposed. Konton är endast tillgängliga för företag; vem som helst kan använda den kostnadsfria kontrollen utan konto. Tjänsten riktar sig inte till barn.

3. Servrar, loggar och säkerhetskopior

För alla som besöker våra webbplatser eller använder tjänsten.

Vi driver formexposed på våra egna servrar i Polen: en webbserver med databasen och en skanningsserver där crawlern och en språkmodell körs. Båda finns i samma interna nätverk. Det finns ingen extern värd- eller molnleverantör. Endast ägaren har åtkomst till servrarna.

3.1 Webbserverns logg

För varje förfrågan lagrar webbservern IP-adressen, datum och tid, den begärda adressen, statuskoden, mängden överförda data, den tidigare besökta sidan (referrer) och webbläsarens identifierare (user agent). Detta gäller även förfrågningar efter märket från kunders sidor (avsnitt 12). Loggarna roteras dagligen och raderas efter 14 dagar.

3.2 Logg över sidvisningar

Dessutom registrerar applikationen varje sidvisning, men inte bakgrundsförfrågningar, gränssnitt eller märket: IP-adress, det land som härleds från den, den begärda adressen och referrern (vi maskerar åtkomsttoken i dem, till exempel för rapport- eller portallänkar, innan de lagras), webbläsarens identifierare och den information som härleds från den om enhetstyp, operativsystem och webbläsare, språket och – om du är inloggad – ditt kontonummer. Vi fastställer landet med hjälp av en databas på vår egen server; IP-adressen lämnar inte servern för detta ändamål. Om vår support visar ditt konto (avsnitt 8.5) tillskrivs dessa sidvisningar inte ditt konto. Vi raderar posterna efter 60 dagar.

3.3 Fellogg och felavisering

Vi registrerar tekniska fel med tidpunkt, nivå, källa, meddelande, teknisk kontext och i förekommande fall ditt kontonummer, och raderar dem efter 90 dagar. Om en ny typ av fel uppstår skickar tjänsten ägaren ett e-postmeddelande med meddelandets råtext (upp till 400 tecken, inte rensad) och en kort avisering via Telegram; om fel hopar sig skickas endast aviseringen; dessutom finns en daglig översikt över feltyperna via e-post. Telegrammeddelandet är en fast mening utan felets innehåll, utan adress och utan uppgifter om personer. För varje feltyp sparar vi ett exempel på meddelandet, för närvarande utan fast lagringstid; vi kommer att fastställa en raderingstid och ange den här. Felmeddelanden är inte avsedda att innehålla personuppgifter; vi kan inte utesluta det, till exempel om ett meddelande återger en adress som har angetts.

3.4 Säkerhetskopior

Databasen säkerhetskopieras varje natt efter att raderingskörningen har avslutats; en säkerhetskopia innehåller därför inget som redan borde ha raderats enligt dessa lagringstider. Säkerhetskopiorna förvaras för närvarande på samma plats som databasen och är inte separat krypterade; en krypterad kopia på en andra plats är planerad. De löper ut efter 14 dagar. Det vi raderar i livesystemet finns kvar i säkerhetskopiorna fram till dess. Ingenting tas bort selektivt ur en säkerhetskopia; den används endast för återställning efter en förlust.

Syfte och rättslig grund: drift och säkerhet för tjänsten, skydd mot attacker och missbruk, felsökning, återställning och användningssiffror. För de senare registrerar vi endast dagliga totaler (till exempel registreringar per dag), inget om enskilda personer; vi använder inga analys- eller spårningstjänster. Den rättsliga grunden är art. 6(1)(f) GDPR; vårt berättigade intresse är en säker och stabil drift.

4. Kakor och lagring i webbläsaren

För besökare på våra webbplatser och användare av tjänsten.

Namn	Typ	Syfte	Varaktighet
bpid	kaka	Session: håller dig inloggad, skyddar formulär mot förfalskade förfrågningar (CSRF) och räknar begränsningarna per session för den kostnadsfria kontrollen	tills du stänger webbläsaren
bp_remember	kaka	endast om du väljer ”Förbli inloggad” vid inloggningen: håller dig inloggad	30 dagar
bp_theme	lokal lagring	om du har valt det ljusa eller det mörka temat; för inloggade användare lagras valet även i kontot	tills du raderar dina webbläsardata

Denna lagring är absolut nödvändig för att den tjänst som du uttryckligen har begärt ska fungera; inget samtycke krävs för den (art. 5(3) i direktiv 2002/58/EG i dess nationella genomförande, i Tyskland § 25(2) nr 2 i lagen om dataskydd inom telekommunikation och digitala tjänster (TDDDG), i Polen art. 399 i lagen om elektronisk kommunikation, Prawo komunikacji elektronicznej). Den rättsliga grunden för den tillhörande behandlingen är art. 6(1)(b) GDPR om du är inloggad, annars art. 6(1)(f) GDPR; vårt berättigade intresse är i så fall att skydda våra formulär mot förfalskade förfrågningar, upprätthålla begränsningarna för den kostnadsfria kontrollen och visa den visning du har valt.

Vi sätter inga kakor för reklam eller publikmätning. En hänvisningskod från partnerprogrammet (avsnitt 18) följer med i adressen fram till registreringen, inte i en kaka. Google reCAPTCHA kan använda egna kakor när ett formulär skickas (avsnitt 5).

5. Google reCAPTCHA och vårt eget formulärskydd

För alla som skickar något av våra formulär.

Vi skyddar formulären för den kostnadsfria kontrollen, header-verktyget, undantag av en domän (opt-out), inloggning, registrering, begäran om och inställning av nytt lösenord samt support och kontakt mot automatiserade attacker med Google reCAPTCHA v3. Leverantör är Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Vi laddar Googles skript först när du skickar något av dessa formulär, inte så snart en sida öppnas. Skriptet läser då information om webbläsaren, enheten och användningen av sidan och överför den, tillsammans med din IP-adress och eventuella Google-kakor, till Google, som bedömer om det är en människa som skickar formuläret. Vi får endast denna bedömning som en poäng, tillsammans med den åtgärd den gäller. Om den ligger under vårt tröskelvärde, hör till ett annat formulär eller om Google inte svarar inom tre sekunder avvisar vi inskickningen; vi lagrar inte poängen. Du kan försöka igen eller skriva till oss via e-post. Google kan överföra uppgifter till Google LLC i USA (avsnitt 22) och bestämmer själv hur länge de sparas; mer information finns i Googles integritetspolicy.

Dessutom innehåller dessa formulär – utom det för att ställa in ett nytt lösenord – vårt eget skydd utan tredje parter: ett fällfält som är osynligt för människor och en signerad tidsstämpel med vilken formulär som skickas för snabbt känns igen.

Formulären för den kostnadsfria kontrollen, registrering, inloggning och begäran om nytt lösenord skyddar vi därutöver med vårt eget formulärskydd formconfirmed, som inte heller involverar några tredje parter. När sidan öppnas hämtar ett litet skript en signerad uppgift från vår server; så snart du använder formuläret löser din webbläsare den i bakgrunden (ett beräkningsbevis). Resultatet skickas till oss tillsammans med formuläret som en kontrolltoken som bara kan användas en gång, och vi kontrollerar den när formuläret skickas. Därvid behandlar vi din IP-adress, adressen till sidan med formuläret, tidpunkterna och om ett fält som är osynligt för människor har fyllts i. IP-adressen lagrar vi för detta ändamål endast i förkortad form (för IPv4 utan den sista byten, för IPv6 endast de första 48 bitarna) och som ett hashvärde med en nyckel som byts dagligen, för att känna igen upprepade förfrågningar; detta värde raderas efter en timme, den förbrukade kontrolltoken efter högst elva minuter. Formulärskyddet bedömer inte innehållet i dessa formulär. Det sätter inga kakor, lagrar ingenting i din webbläsare och skapar inget fingeravtryck av din enhet. Om en giltig kontrolltoken saknas avvisar vi inskickningen; om vår tjänst inte gick att nå för uppgiften tillåter vi den.

Rättslig grund: art. 6(1)(f) GDPR; vårt berättigade intresse är att skydda dessa formulär mot missbruk av program, framför allt mot massgissning av lösenord, automatiskt skapade konton och användning av den kostnadsfria kontrollen som verktyg mot andras webbplatser. Eftersom Googles skript laddas först när du skickar formuläret och endast tjänar den inskickningen anser vi att läsningen av informationen från din enhet är absolut nödvändig för att tillhandahålla den tjänst som du uttryckligen begär genom att skicka formuläret (§ 25(2) nr 2 TDDDG, art. 399 Prawo komunikacji elektronicznej). Detsamma gäller vårt eget formulärskydd: i webbläsaren behandlar det endast det som behövs för att skicka det formulär du använder. Det ska på sikt ersätta reCAPTCHA. Krav: utan reCAPTCHA och vårt eget formulärskydd kan formuläret inte skickas; e-post är fortfarande tillgänglig för förfrågningar.

6. Kostnadsfria kontroller utan konto

För alla som kontrollerar en domän på startsidan eller använder header-verktyget.

6.1 Den kostnadsfria kontrollen

På startsidan kan du låta kontrollera en domän utan konto. För detta behandlar vi:

• den angivna domänen och resultatet av kontrollen (rapport; vad crawlern samlar in i samband med detta framgår av avsnitt 7);
• din IP-adress, dess land, en hash av din session (inte själva sessionen), tidpunkten och om förfrågan godtogs, för att upprätthålla begränsningarna (endast ett fåtal kontroller per dag per adress och session; en domän som redan har kontrollerats under de senaste dagarna får samma rapport i stället för en ny kontroll) och för att upptäcka missbruk. Vi raderar dessa poster efter 7 dagar;
• vid misstänkt beteende, till exempel många olika domäner från en adress, en flagga som innehåller IP-adressen eller hashen av sessionen. Den sparas tills vi har granskat fallet och i 90 dagar därefter. Ägaren får en avisering via Telegram om detta utan domänen och utan IP-adressen.

Alla som du ger den slumpmässiga länken till kan komma åt rapporten; sökmotorer ska inte indexera den. Vi raderar den efter 30 dagar tillsammans med kontrolldata och skärmbilder. Den kostnadsfria rapporten visar ett utdrag; samma saker kontrolleras som i kontot, men utan testinskickningar.

6.2 Header-verktyget

Verktyget för säkerhetsheaders hämtar startsidan för en domän två gånger (via https och via http) och utvärderar svaret. Vi lagrar domänen, resultatet och betyget i 90 dagar; samma logg som för kontrollen gäller för begränsningarna (7 dagar). En undantagen domän (avsnitt 19) kontrolleras inte heller här.

Rättslig grund: art. 6(1)(b) GDPR för den kontroll du begär och art. 6(1)(f) GDPR för begränsningarna och förebyggandet av missbruk; vårt berättigade intresse är att tjänsten inte missbrukas som verktyg mot andras webbplatser. Krav: ingen kontroll utan domän; utan IP-adress kan servern inte svara dig.

6.3 Återkoppling på en rapport

För alla som använder ”Är något fel i den här rapporten?” under en rapport, med eller utan konto.

Under varje färdig rapport kan du meddela oss att ett formulär saknas, har klassificerats fel eller att en enskild kontroll har fel resultat. För detta behandlar vi:

• det du anger: den kategori du väljer, om du vill den berörda kontrollen, adressen till en sida och en text på upp till 1 000 tecken;
• den rapport som återkopplingen avser (länkens identifierare, kontroll och domän), sidans språk och tidpunkten;
• om du är inloggad, ditt kontos identifierare; vi ser då kontots e-postadress bredvid återkopplingen;
• en envägskontrollsumma av din IP-adress (bildad med en hemlig nyckel), så att endast ett fåtal rapporter kommer från en adress (5 per timme, 20 per dag). Vi lagrar inte själva IP-adressen med återkopplingen; vi rensar kontrollsumman efter 2 dagar.

Vi frågar inte efter någon e-postadress och vi svarar inte på återkoppling. Om du vill ha svar, skriv till supporten (avsnitt 17). Ange inga personuppgifter i texten. Vi läser återkopplingen, klassificerar den och använder, där det är till nytta, rapportens kontrolldata (formulärfält, skäl och fynd, utan skärmbilder) som testfall för vår detektering; ett sådant testfall beskriver den kontrollerade webbplatsen, inte dig. Återkoppling ändrar inte rapporten.

Rättslig grund: art. 6(1)(f) GDPR; vårt berättigade intresse är att hitta och rätta fel i vår detektering, och begränsningen skyddar mot missbruk. Krav: återkoppling är frivillig. Lagring: 24 månader; omedelbart tillsammans med ditt konto.

7. Kontroll av webbplatser med vår crawler – information enligt art. 14 GDPR

För operatörer av kontrollerade webbplatser och för personer vars uppgifter förekommer på en kontrollerad webbplats. Ni har inte själva lämnat dessa uppgifter till oss; därför informerar vi er här.

7.1 Vad crawlern gör

Vår crawler FormExposedBot hämtar högst åtta offentliga sidor på en webbplats per kontroll, en i taget, precis som en besökare med en webbläsare gör. Därtill kan det komma upp till tre sidor som den laddar om för att klicka på ”Avvisa” i kakbannern, upp till tre sidor i mobilvy, för verifierade domäner testinskickningarna (avsnitt 7.3) och upp till fem sidor bakom en inloggning (avsnitt 9.4). Före kontrollen läser den robots.txt: om en Disallow för FormExposedBot eller för alla program utesluter startsidan genomför den ingen kontroll. Den respekterar för närvarande inte blockerade undersökvägar var för sig. Den identifierar sig som FormExposedBot i sin webbläsaridentifierare. Den undersöker formulären och lagrar:

• adresserna och titlarna på de kontrollerade sidorna, formulärens struktur (fältnamn, fälttyper, etiketter, obligatoriska attribut och synlighetsattribut, inga värden; början av förifyllda dolda fält och av dataattribut läser den endast under kontrollen och lagrar dem inte) och de skyddsåtgärder som hittats;
• tekniska egenskaper hos sidorna: använda CAPTCHA- och spamskyddstjänster, inbäddade skript från tredjepartsleverantörer (adress och kontrollsumma), de värdar från vilka sidan laddar innehåll, namnen på satta kakor, säkerhetsheaders, tecken på formulärens tillgänglighet, hur en kakbanner beter sig vid avvisning och om reklampixlar eller sessionsinspelning är kopplade till formulär;
• en skärmbild av det synliga området på den första sidan och en av varje formulär som hittats, och efter en testinskickning även en av svarssidan. Dessa skärmbilder är inte maskerade; de visar det som syns på sidan.

Om ett formulär innehåller en mottagaradress lagrar vi endast dess domän, aldrig adressen. Vi lagrar inget annat innehåll från sidorna. Personuppgifter kan ändå beröras om de syns på en sida eller i en skärmbild, till exempel namn och foto på en kontaktperson bredvid formuläret. Kategorier: namn, roller, kontaktuppgifter och bilder som operatören själv har publicerat. Vi letar inte efter särskilda kategorier av personuppgifter och analyserar dem inte.

Vi klassificerar formulär med hjälp av fasta regler (till exempel ”kontakt” eller ”nyhetsbrev”). Endast om reglerna inte ger något resultat hjälper en språkmodell som körs på vår egen skanningsserver till; formulär som klassificeras på detta sätt skickas aldrig och räknas inte in i poängen eller bedömningen. Inga uppgifter skickas till tredje parter i processen, och modellen tränas inte med dem. Mer om detta finns under EU:s AI-förordning: Så använder formexposed AI.

7.2 Vem som utlöser en kontroll

• någon som anger en domän på startsidan (avsnitt 6);
• vårt WordPress-plugin eller vårt TYPO3-tillägg för den egna webbplatsen, även utan konto (avsnitt 13);
• en kund för en domän i sitt konto (avsnitt 9);
• en byrå för en potentiell kunds webbplats, utan testinskickning (avsnitt 14);
• vi själva för en studie om skyddet av kontaktformulär, varifrån vi endast publicerar aggregerade siffror utan namn på webbplatser.

7.3 Vad crawlern inte gör

Den kontrollerar andras webbplatser endast passivt: den skickar inga formulär, provar inte inloggningsuppgifter och angriper ingenting. Den skickar testinskickningar endast till kontaktformulär på domäner för vilka en kund i sitt konto har styrkt att den har rätt att kontrollera dem – som ägare eller på ägarens uppdrag, via DNS-post, metatagg, fil eller plugin: tydligt märkta testmeddelanden utan personuppgifter, högst fem per kontroll; utan sådant bevis endast vid interna kontroller av våra egna test- och demodomäner. Sökningen efter exponerade filer, läsningen av versioner och kontrollen bakom en inloggning är likaså endast tillgängliga för verifierade domäner (avsnitt 9).

7.4 Lagringstid

Kontroller utan konto 30 dagar; kontroller av en potentiell kunds webbplats 90 dagar; kontroller för en studie tills dess resultat har publicerats; kontroller av en domän i ett kundkonto högst 13 månader – den senaste sparas så länge domänen finns i kontot – och aldrig längre än domänen finns i kontot.

7.5 Rättslig grund och källa

Den rättsliga grunden är art. 6(1)(f) GDPR. Det berättigade intresset består i att visa webbplatsoperatörer och deras tjänsteleverantörer svagheter i deras formulär innan dessa utnyttjas för spam eller missbruk, i den som begär en kontroll har intresse av resultatet och, när det gäller studien, i att kunna uttala sig om läget för formulärskyddet. Uppgifterna kommer från offentligt tillgängliga källor, nämligen den kontrollerade webbplatsen själv. Mottagare är den som startade kontrollen och alla som den personen ger länken till rapporten, och vid kontroll av potentiell kund byrån; från en studie publicerar vi endast aggregerade siffror. Om en kund kontrollerar en domän i sitt konto som den har verifierat agerar vi på dess uppdrag (avsnitt 2); så länge verifiering saknas är vi själva personuppgiftsansvariga. Vi publicerar denna information här och på sidan om FormExposedBot i stället för att skriva till varje synlig person enskilt; det vore omöjligt eller oproportionerligt, särskilt som vi bara vet det om dessa personer som står på sidan (art. 14(5)(b) GDPR).

Invändning och undantag: Som operatör av en webbplats kan du undanta din domän från ytterligare kontroller via din robots.txt eller via vår opt-out-sida (avsnitt 19). Personer som syns på en kontrollerad sida kan invända mot behandlingen enligt avsnitt 27 och begära radering av en rapport eller skärmbild.

8. Ditt kundkonto

För kunder och inbjudna teammedlemmar.

8.1 Registrering och konto

För ett konto behandlar vi din e-postadress och ditt lösenord (endast som hash; vi känner inte till själva lösenordet), samt ditt förnamn och – i den mån du anger dem – efternamn och företag, därtill språk, tema, valuta, plan, tidpunkterna för registrering och senaste inloggning samt IP-adressen vid den senaste inloggningen. Du bekräftar din e-postadress via en länk som är giltig i 72 timmar; konton som aldrig bekräftas raderar vi efter 30 dagar. Om du ändrar din e-postadress gäller den nya först efter bekräftelse via en länk som skickas till den.

Rättslig grund: art. 6(1)(b) GDPR (avtal); för IP-adressen vid den senaste inloggningen art. 6(1)(f) GDPR (skydd av ditt konto, avsnitt 8.2). Krav: e-postadress, förnamn och lösenord är nödvändiga för att ett avtal ska kunna ingås; din faktureringsadress och ditt momsregistreringsnummer anger du endast för betalda planer, till Stripe (avsnitt 18).

8.2 Inloggning och säkerhet

• inloggningsförsök med e-postadress, IP-adress och resultat: 7 dagar, mot lösenordsgissning; därtill räknare för inloggningsförsök per konto (för en okänd adress per angiven adress), per konto och IP-adress och per IP-adress, för tvåfaktorsförsök och lösenordsbekräftelser per konto, för mejl om lösenordsåterställning per e-postadress, för registreringar per IP-adress och för försök med lösenordet till en kundportal per portal och IP-adress, som vi endast lagrar under en pseudonym nyckel (HMAC), utan e-post- eller IP-adressen i klartext, och som löper ut med sitt tidsfönster (för närvarande 15 minuter, en timme för lösenordsåterställningar och registreringar);
• inloggade enheter med IP-adress, webbläsare, operativsystem och enhetstyp, så att du kan se dem i inställningarna och logga ut dem: upp till 90 dagar efter senaste användning;
• om tvåfaktorsinloggning är aktiverad, hemligheten för den (krypterad) och dina återställningskoder (endast som hash);
• länkar för att återställa lösenordet är giltiga i en timme;
• en aktivitetslogg över viktiga åtgärder, till exempel ”domän skapad”, ”avisering konfigurerad” eller ”inställningar ändrade”, med tidpunkt, agerande konto, IP-adress och land: 365 dagar.

Rättslig grund: art. 6(1)(f) GDPR; vårt berättigade intresse är att skydda ditt konto och tjänsten och att ändringar ska vara spårbara i en arbetsyta där flera personer arbetar.

8.3 Registrering av avtalets ingående

Vid registreringen registrerar vi vilken version av användarvillkoren och av personuppgiftsbiträdesavtalet du godkände och vilken version av denna integritetspolicy du tog del av – i varje fall med fullständig text, dess hash, tidpunkt, IP-adress och webbläsaridentifierare. Detta tjänar som bevis på att avtalet har ingåtts (art. 6(1)(b) och (f) GDPR). Vi sparar denna registrering så länge kontot finns. Efter att kontot har raderats raderar vi den så snart samtycket är fyra år gammalt, eftersom frågor om avtalets ingående brukar uppstå just efter uppsägning.

8.4 Arbetsytor, team och inbjudningar

Ett konto arbetar i en eller flera arbetsytor. Om du bjuder in någon skickar vi den personen ett mejl med arbetsytans namn (som standard ditt företagsnamn eller förnamn) och en länk för att acceptera; för inbjudan lagrar vi även den avsedda rollen och vem som skickade inbjudan. Medlemmarna i en arbetsyta ser vem som tillhör den och i vilken roll. Om du är en inbjuden person har vi fått din e-postadress från den medlem som bjöd in dig (art. 14(2)(f) GDPR). Inbjudningar som inte accepteras raderar vi när de löper ut efter 14 dagar, och accepterade 30 dagar efter godkännandet. Ett övervakat formulär kan tilldelas en ansvarig person från teamet och en tidsfrist för åtgärden; för detta lagrar vi endast tilldelningen till kontot och tidsfristen. Rättslig grund: art. 6(1)(b) GDPR i förhållande till kunden; i förhållande till den inbjudna personen art. 6(1)(f) GDPR (kunden vill arbeta med den personen).

8.5 Hjälp från vår support

För att hjälpa dig med ett problem kan vår support visa ditt konto så som du ser det. Varje sådan åtkomst registreras i aktivitetsloggen och visas i din dataexport. Rättslig grund: art. 6(1)(b) GDPR om du har bett om hjälp, annars art. 6(1)(f) GDPR (felsökning).

8.6 Export och radering

Under Inställningar kan du ladda ned de uppgifter som lagras för ditt konto som en JSON-fil – utan lösenordshashar och hemligheter och utan andra medlemmars uppgifter. Filen innehåller inte kontrollresultat, fynd och incidenter (endast eskaleringens leveransförsök per aviseringsmål); dessa finns tillgängliga som rapporter i kontot och som fil på begäran. Där kan du också själv radera ditt konto; inget mejl behövs. En löpande betald prenumeration upphör omedelbart, som regel utan återbetalning (undantag anges i användarvillkoren); den som först vill utnyttja den betalda perioden säger upp i området Fakturering med verkan från periodens slut. Om avtalet för ditt konto upphör på annat sätt, till exempel genom vår uppsägning, kan du exportera dina uppgifter fram till avtalets slut, och vi raderar kontot senast 30 dagar efter avtalets slut. Tillsammans med kontot raderar vi omedelbart dina arbetsytor med tillhörande uppgifter, inklusive domäner, kontrollresultat och skärmbilder, aviseringar, incidenter, bevisloggar, varumärkesprofil, kundportaler inklusive prenumeranter, listan över dina kontroller av potentiella kunder (deras rapporter förblir tillgängliga tills deras 90 dagar har löpt ut), API-nycklar, utrullningskoder och testinloggningar. Om någon annan fortfarande arbetar i någon av dina arbetsytor övergår den arbetsytan till en annan medlem – i första hand administratörer, och bland dem den som har varit med längst – i stället för att raderas. Följande finns kvar tills deras egen lagringstid löper ut: aktivitetsloggen och loggen över sidvisningar med numret på ditt tidigare konto, skickade mejl (30 dagar, avsnitt 11), registreringen av avtalets ingående (8.3), supportärenden (avsnitt 17), fakturauppgifter så länge skattelagstiftningen kräver, provisionsuppgifter och inlösta aktiveringskoder, för vilka det för närvarande inte finns någon lagringstid (avsnitt 18), och säkerhetskopiorna (3.4).

9. Domäner, kontroller och övervakning

För kunder. I den mån tredje parters personuppgifter berörs agerar vi på kundens uppdrag.

9.1 Domäner och verifiering

För varje domän i ditt konto lagrar vi namnet, beviset på din behörighet (DNS-post, metatagg, fil eller plugin), kontrollresultaten och dina inställningar, till exempel frekvens, underhållsfönster, anteckningar, kundetikett och det uppskattade värdet av en förfrågan. Frekvensen beror på din plan och sträcker sig upp till dagliga kontroller.

9.2 Övervakning av offentligt tillgänglig information

Mellan kontrollerna hämtar vi offentligt tillgänglig information om din domän:

• DNS-poster (SPF, DMARC, MX), TLS-certifikatet och säkerhetsheaders;
• domänens utgångsdatum via RDAP-tjänsten hos det ansvariga registret; endast domännamnet överförs;
• tillgängligheten för dina formulärsidor (formulärpuls, var 10:e, 15:e eller 30:e minut beroende på plan);
• de offentliga statussidorna för de CAPTCHA- och e-posttjänster som din webbplats använder; vi överför därvid ingenting om dig;
• kända säkerhetssårbarheter i formulär-, CAPTCHA- och e-postplugin och – varje vecka för verifierade domäner – i CMS, plugin och tema, vars versioner vi läser utifrån från din startsida. Jämförelsen görs mot den öppna databasen WPVulnerability; endast identifieraren för ett plugin eller tema (utan version) och WordPress-versionen överförs, inte din domän;
• dagligen, om adresserna till din webbserver, adressen till den server som ditt senaste formulärmejl kom från (från leveranskontrollen) eller din domän och avsändardomänen för det mejlet finns med på DNS-spärrlistor för spam (SpamCop, PSBL, Mailspike, SURBL); endast domäner och IP-adresser till servrar efterfrågas, inga uppgifter om besökare;
• om det är konfigurerat, om Google Web Risk listar din startsida som en sida med skadlig kod eller nätfiske; endast startsidans adress överförs;
• varje vecka för verifierade domäner, om filer är exponerade som aldrig borde vara offentliga (till exempel en säkerhetskopia av konfigurationen eller en databasdump). Därvid läser vi högst de första 8 kB av en fil för att känna igen den och lagrar endast sökväg, typ och allvarlighetsgrad för fyndet, aldrig innehållet.

9.3 Formulärflöden och webbläsarkontroller

För övervakade formulär lagrar vi formuläradresser, selektorer, föregående klick och syntetiska kontrollsteg, valet av kontrollwebbläsare samt ansvar och förfallodatum. Webbläsarkontroller fyller i ett formulär högst fram till punkten före inskickningen; de skickar inte in något och utlöser ingen beställning eller betalning. Resultaten omfattar status, tekniska felkategorier, rensade felmeddelanden och tidsmätningar och kan innehålla en liten bild av formuläret där inmatningsfälten är maskerade. Denna maskering finns endast i webbläsarkontrollerna; skärmbilderna från crawlerns fullständiga kontroll är inte maskerade (avsnitt 7.1). Mätningar från våra kontrollwebbläsare är inte mätningar av dina besökare.

En andra, oberoende sond som bekräftar resultat är förberedd men inte konfigurerad för närvarande. Den skulle endast få domänen, den rensade konfigurationen och jobbets identifierare, aldrig inloggningsuppgifter, skärmbilder eller besökaruppgifter; vi kommer att ange dess operatör i förväg i listan över underbiträden.

9.4 Kontroll bakom en inloggning

I betalda planer kan ägare och administratörer av en arbetsyta lagra ett testkonto för sin egen webbplats för en verifierad domän, så att crawlern kan läsa formulär bakom inloggningen. Följande gäller:

• Användarnamnet och lösenordet krypteras på webbservern med en nyckel som endast skanningsservern kan öppna; webbservern, databasen och säkerhetskopiorna innehåller dem endast i krypterad form. De visas, loggas eller matas aldrig ut via gränssnittet; användargränssnittet visar endast det första tecknet och längden på användarnamnet. Den krypterade kopia som bifogas ett kontrolljobb rensas efter körningen, senast efter en timme.
• Testkontot används endast av crawlerns fullständiga kontroll, inte av webbläsarkontrollerna (9.3).
• Bakom inloggningen läser crawlern högst fem angivna sidor. Den skickar inte in något, tar inga skärmbilder där (kontouppgifter kan visas där) och följer inte länkar för utloggning, radering eller uppsägning.
• Om du raderar inloggningen skriver vi över det krypterade värdet och tar bort det; det försvinner även tillsammans med domänen.

Använd endast ett testkonto som skapats särskilt för detta ändamål och som inte innehåller några riktiga kunduppgifter. Det som crawlern ser bakom inloggningen behandlar vi på ditt uppdrag.

9.5 Ytterligare funktioner

Skriptinventering: Om du aktiverar den för vi en lista över skripten på dina formulärsidor med adress och kontrollsumma, rapporterar nya eller ändrade skript och lagrar, när ett skript godkänns, vem som godkände det, när och med vilken motivering. Tillgänglighet: Utifrån den senaste kontrollen kan tjänsten ta fram ett utkast till tillgänglighetsinformation för dina formulär; företagsuppgifter som du anger för detta stannar i din webbläsare. Jämförelsevärden: För en branschjämförelse utvärderar vi alla kunders resultat endast i aggregerad form; enskilda webbplatser förekommer inte i den.

Rättslig grund för avsnitt 9: art. 6(1)(b) GDPR; för tredje parters personuppgifter som blir synliga vid en kontroll, dina instruktioner enligt personuppgiftsbiträdesavtalet. Lagringstid: domän, verifiering, inställningar, formulärflöden och testinloggning tills du raderar dem, domänen eller ditt konto; skriptinventering och dess ändringar tills du raderar domänen eller ditt konto (det finns ingen separat lagringstid för dem); kontrollresultat, resultat av webbläsarkontrollerna och tidsmätningar högst 13 månader (den senaste kontrollen sparas så länge domänen finns i kontot).

10. Aviseringar

För kunder och de mottagare som de anger.

Vi skickar aviseringar och rapporter till de mål du konfigurerar: e-postadresser, dina egna webhook-adresser, Slack, Discord, Microsoft Teams, Google Chat eller Telegram. Chattkanaler och webhooks är tillgängliga i planerna Pro och Business. Ett meddelande innehåller domänen, händelsen, en kort beskrivning och en länk till ditt konto, för kontrollaviseringar rapportlänken, via vilken resultat och skärmbilder kan nås utan inloggning (Telegram får endast länken till domänsidan i ditt konto, vilket kräver inloggning); inget innehåll från formulärmejl. Vi lagrar:

• målen (e-postadress, webhook- eller chattadress; för webhooks en hemlighet för signering) tills du raderar dem eller domänen;
• en utskickslogg med tidpunkt, händelse och resultat: 90 dagar;
• insamlade aviseringar för dagliga och veckovisa rapporter: upp till 30 dagar efter utskick;
• incidenter med en kvitteringslänk: så länge de är olösta, därefter 180 dagar efter lösningen. Den som kvitterar en incident registreras med det angivna namnet eller sin e-postadress. Okvitterade incidenter kan eskaleras till ytterligare mål; för detta lagrar vi, per mål, antal och tidpunkter för leveransförsök (högst fem), om leveransen lyckades och eventuellt fel, så länge incidenten finns. En incident stängs först när problemet har lösts; enbart kvittering avslutar den inte.

Telegram: För Telegram driver vi en egen bot. Du kopplar den via en länk med en engångskod som är giltig i 30 minuter; när du trycker på ”Start” i boten hämtar vår server detta meddelande från Telegram och lagrar identifieraren för din chatt (chatt-ID) som aviseringsmål. Telegram skickar därvid även ditt Telegram-namn; det lagrar vi inte. Själva koden raderar vi tidigast efter en dag, så snart en ny kod skapas. Chatt-ID:t sparas tills du raderar aviseringen eller domänen.

Chattjänster behandlar meddelandena enligt sina egna villkor och ditt avtal med dem; vissa är etablerade utanför EU (avsnitt 22). För mottagare som inte själva är kunder agerar vi på ditt uppdrag; informera dem.

Rättslig grund: art. 6(1)(b) GDPR; för mottagare som inte är kunder, dina instruktioner. Krav: ingen avisering utan mål; kontrollerna körs ändå.

11. E-post från oss

För kunder och alla vi skriver till.

Vi skickar mejl för att bekräfta din adress, för att återställa ditt lösenord, för inbjudningar, aviseringar och rapporter, som mottagningsbekräftelser på supportärenden och med meddelanden om ditt konto och din fakturering. Utskick och mottagning av våra mejl sköts av Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Vår domän och dess DNS-poster förvaltas av Namecheap, Inc., Phoenix, Arizona, USA; tills brevlådan hos Namecheap, Inc. (Private Email), Phoenix, Arizona, USA har konfigurerats vidarebefordrar Namecheap även allmänna mejl till adresser på vår domän. Leveranskontrollens kontrollkopior passerar inte därigenom. Vi sparar skickade mejl, inklusive mottagare, ämne och innehåll, i 30 dagar så att vi kan lösa leveransproblem; inte längre, eftersom de även innehåller giltiga bekräftelse- och återställningslänkar.

Tre mejl skickas utan att du uttryckligen har begärt dem:

• Månadsrapport: i början av månaden en översikt över kontrollerna och aviseringarna för dina domäner. Du kan avregistrera dig från den i inställningarna.
• Påminnelse om konfigurering: ett enda mejl mellan två och fjorton dagar efter registreringen om ditt konto är bekräftat men ännu inte har någon verifierad domän – ”Lägg till webbplats” eller ”Verifiera domän”, utan erbjudande, pris eller uppgradering. Det skickas inte igen.
• Provperiodens slut: tre dagar innan en provperiod upphör, ett meddelande om vad som händer därefter.

Rättslig grund: art. 6(1)(b) GDPR för mejl som ingår i avtalet, inklusive månadsrapporten och meddelandet om provperioden; för påminnelsen om konfigurering art. 6(1)(f) GDPR, eftersom ett konto utan domän inte kan använda tjänsten och många kunder helt enkelt glömmer att konfigurera den. Vi skickar ingen reklam.

12. Märke och bevislogg

För kunder som använder märket eller bevisloggen, och för besökare på webbplatser med ett märke.

Märke: Om du bäddar in vårt märke på din webbplats laddar webbläsaren hos varje besökare på den sidan märkesbilden från vår server. Därvid får vi de vanliga anslutningsuppgifterna – IP-adress, tidpunkt, webbläsaridentifierare och den sida där märket visas – som endast hamnar i webbserverns logg (14 dagar, avsnitt 3.1), inte i loggen över sidvisningar. Märket sätter inga kakor, startar ingen session och innehåller inget skript. Den offentliga bekräftelsesidan visar domänen, nivån och datumet för den senaste kontrollen, inga enskilda fynd; den som öppnar den är besökare på vår webbplats (avsnitt 3 och 4). Den rättsliga grunden är art. 6(1)(f) GDPR; vårt berättigade intresse är att leverera det märke som kunden bäddar in. Kunden nämner detta i sin egen integritetspolicy (textblock).

Bevislogg: I betalda planer kan du generera en logg över kontrollerna för varje domän och varje månad. Under dess verifieringsnummer bekräftar en offentlig sida domänen, perioden och nyckeltalen, utan detaljer. För att det senare ska gå att fastställa om en logg har ändrats låter vi en tidsstämplingsmyndighet signera den. Till den överför vi endast en hash av loggen, ur vilken inget innehåll kan återskapas; för närvarande är det Certum (Asseco Data Systems S.A., Polen) och, som reserv, DigiCert, Inc. (USA). Loggar sparas tills du raderar domänen. Den rättsliga grunden är art. 6(1)(b) GDPR.

13. WordPress-plugin och TYPO3-tillägg

För kunder som använder pluginet eller tillägget, och för besökare på deras webbplatser.

13.1 Det som stannar på kundens webbplats

Vårt plugin för WordPress och vårt tillägg för TYPO3 körs på kundens server. Det som WordPress-pluginet lagrar där stannar på den webbplatsen; vi har ingen åtkomst till det, och dess operatör är personuppgiftsansvarig:

• Karantän: inskickningar som skyddslagret håller kvar som spam, inklusive fältinnehåll och svarsadress, i upp till 14 dagar, så att ett meddelande som felaktigt hållits kvar kan levereras med ett klick;
• Skyddsnät: kopior av formulärmejl som inte kunde skickas (mottagare, ämne, text och rubrikrader som svarsadressen; bilagor endast med namn), i upp till 30 dagar, så att de kan skickas igen;
• Beräkningspussel: besökarens webbläsare löser en liten uppgift som webbplatsen själv ställer; ingen kaka, ingen tredjepartstjänst;
• Lagringstid: på begäran raderar pluginet sparade förfrågningar från vissa formulärplugin efter 90, 180 eller 365 dagar;
• Formulärräkning (avstängd som standard): visningar, påbörjanden, valideringsfel och inskickningsförsök per formulär och, om det aktiveras separat, felkategorier per fältposition – utan inmatningar, fältnamn, kakor eller beständiga besökaridentifierare, i högst 14 dagar på webbplatsen. En identifierare som härleds från IP-adressen för att begränsa förfrågningar löper ut efter en minut och skickas inte till oss;
• Besökarhjälp (kan aktiveras separat): efter ett sändningsfel leder ett meddelande tillbaka till formuläret, som fortfarande är öppet, och anger vid behov en e-postadress; den läser inga inmatningar, lagrar inga utkast och skickar inte om något på egen hand;
• nya spamregler kan räkna lokalt i sju dagar utan att hålla kvar något.

WordPress-pluginet lägger självt till lämpliga stycken i WordPress guide för integritetspolicy; ytterligare texter finns under Text till integritetspolicyn för din webbplats. TYPO3-tillägget lagrar inget formulärinnehåll; det lägger till en metatagg på varje sida för att verifiera domänen, och det räknar.

13.2 Inspelare

Med inspelaren spelar en inloggad WordPress-administratör in vägen till ett formulär på sin egen webbplats. Den sparar tekniska selektorer och navigeringssteg i webbläsarens sessionslagring i högst 15 minuter och överför den valda konfigurationen till det anslutna kontot. Den läser inga inmatningar. Inspelaren laddas aldrig för besökare.

13.3 Det som skickas till oss

Pluginet och tillägget överför till oss – beroende på funktion och, utom vid en kontroll av den egna webbplatsen utan konto, endast medan webbplatsen är ansluten till ett konto:

• värdnamnet, en offentlig nyckel och en hemlighet med vilken webbplatsen identifierar sig, versionerna av plugin och CMS samt språket;
• dagliga siffror: blockerade inskickningar per orsak, godtagna inskickningar, skickade och misslyckade mejl med feltyp, siffror om reCAPTCHA-svar och om automatiskt raderade förfrågningar; om räkning är aktiverad, dess dagliga siffror;
• egenskaper hos formulärinställningarna i form av siffror, till exempel hur många formulär som använder besökarens adress som avsändare, och versionerna av vissa formulär-, CAPTCHA- och e-postplugin från en fast lista;
• uppdateringar, aktiveringar och inaktiveringar av plugin, teman och CMS med namn och versioner, underhållsläge och fel i ett formulärmejl (endast feltypen);
• konfigurationen av ett formulärflöde som valts med inspelaren;
• för svärmskyddet (aktiverat som standard) domänerna för länkar i blockerade meddelanden. Rapporterna från många webbplatser ger en lista över spamdomäner som alla anslutna plugin hämtar. Vi överför inte avsändares IP-adresser eller nätverk för detta.

Pluginet och tillägget överför inget annat formulärinnehåll än dessa länkdomäner, och inte heller besökares e-postadresser, namn eller IP-adresser. Vi raderar de dagliga siffrorna och ändringsrapporterna efter 13 månader, signalerna från svärmskyddet efter 30 dagar; information från en webbplats som inte hör till någon domän i ett konto efter 90 dagar utan kontakt.

Rättslig grund: art. 6(1)(b) GDPR; för svärmskyddet art. 6(1)(f) GDPR (gemensamt försvar mot spam över många webbplatser). Denna information utgör personuppgifter endast i undantagsfall, till exempel om ett värdnamn innehåller en persons namn.

14. Funktioner för byråer

För byråer och för de personer som kommer i kontakt med deras portaler och rapporter.

• Kundportal: En byrå kan ge sina kunder åtkomst till en portal med resultaten för deras domäner. Den som prenumererar på månadsrapporten där anger sin e-postadress och bekräftar den via en länk (dubbel opt-in). Vi lagrar adressen, språket, tidpunkten och IP-adressen för prenumerationen, tidpunkten för bekräftelsen och den månad som senast skickades. Obekräftade prenumerationer raderar vi efter 30 dagar. Avregistrering är möjlig när som helst via länken i varje mejl; därefter sparar vi registreringen av prenumerationen i ytterligare tre år, men inte längre än tills byråns arbetsyta raderas; om byrån endast återkallar portalen förblir prenumeranterna lagrade. Portalen och rapporterna visas under byråns namn; byrån är personuppgiftsansvarig och vi agerar på dess uppdrag. Byråns rättsliga grund är prenumerantens samtycke.
• Egen varumärkesprofil: det företagsnamn, den webbplats, de kontaktuppgifter, färger och den logotyp som en byrå lagrar visas på dess rapporter och i portalen tills den ändrar eller raderar dem.
• Egen domän: I planen Business kan en byrå visa portalen och rapporterna under en egen underdomän. För detta kontrollerar vi dess DNS-poster dagligen. Funktionen är för närvarande inte aktiverad.
• Kontroll av potentiell kund: En byrå kan låta kontrollera en potentiell kunds webbplats utan testinskickning (avsnitt 7). Den vidarebefordrar själv länken till de korta fynden; vi skriver inte till någon. Vi raderar kontrollen efter 90 dagar. Byrån ansvarar ensam för att kontakta den potentiella kunden.
• API-nycklar och utrullningskoder: Vi lagrar dem endast som hash med ett kort prefix, tillsammans med deras etikett, tidpunkten för senaste användning (API-nycklar) eller antalet inlösningar (utrullningskoder) och antalet anrop per minut (i minst en dag; raderas vid senare anrop).

Rättslig grund: art. 6(1)(b) GDPR i förhållande till byrån; för prenumeranter och potentiella kunder, se ovan.

15. Leveranskontroll

För kunder som aktiverar den, och för besökare på deras webbplatser. För besöksuppgifterna är vi kundens personuppgiftsbiträde.

Den valfria leveranskontrollen besvarar frågan om mejlet från ett kontaktformulär verkligen skickas. För detta anger kunden en av våra kontrolladresser som dold kopia (BCC) i e-postinställningarna för sitt formulär. Därigenom får vi inte bara vår egen testinskickning utan en kopia av varje formulärmejl – inklusive riktiga förfrågningar från dess besökare med deras namn, adresser och meddelanden.

Det här gör vi med dem, och bara det: en automatisk hämtning läser rubrikerna och högst de första 8 kB av texten, kopplar mejlet via kontrolladressen till en domän och i förekommande fall till en testinskickning, och kontrollerar äkthetskännetecknen SPF, DKIM och DMARC. Efter lyckad bearbetning raderas mejlet. Om hämtningen eller raderingen misslyckas kan ett mejl ligga kvar i brevlådan till nästa lyckade körning; brevlådan tillhandahålls av vår e-postleverantör (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Kopiorna utvärderas endast automatiskt.

I vår databas lagrar vi endast tidpunkten, domänkopplingen och i förekommande fall testinskickningens identifierare, i 180 dagar, samt det tekniska äkthetsresultatet (SPF, DKIM, DMARC) för det senast mottagna mejlet tills nästa mejl ersätter det eller domänen raderas. Detta äkthetsresultat omfattar IP-adressen till den sändande servern och avsändarens e-postdomän; denna domän nämns i en avisering till kunden endast om den inte hör till webbplatsen. Om ett formulär anger besökarens adress som avsändare är detta domänen för besökarens e-postleverantör. Vi lagrar inte mejlens innehåll eller fullständiga avsändaradresser. Om ingen kopia kommer fram inom några timmar efter en testinskickning meddelar vi kunden detta.

Mottagandet bevisar endast att den kopplade kopian har kommit fram till vår kontrollbrevlåda – inte att den faktiska mottagaren har fått den och inte att den har registrerats i ett CRM. Formulär genom vilka särskilda kategorier av personuppgifter passerar (till exempel hälsouppgifter) bör inte anslutas till leveranskontrollen. Kunden informerar sina besökare om detta dataflöde; en text för detta finns under Text till integritetspolicyn för din webbplats. Utan en konfigurerad kontrollbrevlåda är kontrollen inte tillgänglig.

Rättslig grund: för kunden vanligtvis art. 6(1)(f) GDPR (tillförlitligt mottagande av förfrågningar); vi behandlar enligt dess instruktioner (art. 28 GDPR).

16. Språkmodell på vår egen server och ”Fix it for me”

För kunder och användare av den kostnadsfria kontrollen.

En språkmodell körs på vår egen skanningsserver, inte hos en AI-leverantör. Den hjälper till att klassificera formulär (avsnitt 7) och lägger, med ”Fix it for me”, in skydd i formulärkod som du klistrar in. Den inklistrade koden behandlas endast för denna begäran, lagras inte och används inte för träning; i aktivitetsloggen registrerar vi endast att funktionen har använts, med programmeringsspråket, kodens längd och resultatet (även för den dagliga kvoten). Klistra inte in inloggningsuppgifter eller personuppgifter. ”Fix it for me” fungerar utan åtkomst till din webbplats; du lägger in koden själv. Mer information under EU:s AI-förordning: Så använder formexposed AI. Rättslig grund: art. 6(1)(b) GDPR.

17. Support, kontakt och rapporter om säkerhetssårbarheter

För alla som skriver till oss.

Om du skriver till oss via supportfönstret eller kontaktsidan behandlar vi din e-postadress, ditt meddelande, det valda ämnet, sidan du skriver från, språket, din IP-adress, dess land, webbläsaridentifieraren och – om du är inloggad – ditt kontonummer, för att besvara din förfrågan och förhindra missbruk av formuläret. Du får en mottagningsbekräftelse via e-post till den adress du angav; om du är inloggad återger den början av ditt meddelande (upp till 2 000 tecken), annars innehåller den inte din text. Liksom varje skickat mejl sparas den i 30 dagar (avsnitt 11). En Telegram-signal utan innehåll och utan uppgifter om dig meddelar oss om nya förfrågningar. Om du skickar ett mejl till oss behandlar vi din adress och ditt meddelande. Rapporter om säkerhetssårbarheter hanterar vi på samma sätt. Vi raderar förfrågningar 24 månader efter mottagandet, även om du raderar ditt konto tidigare; de dokumenterar vad som frågades och vad som besvarades.

Rättslig grund: art. 6(1)(b) GDPR om förfrågan gäller ett avtal med oss, annars art. 6(1)(f) GDPR (besvarande, förhindrande av missbruk, bevisning). Krav: utan e-postadress kan vi inte svara.

18. Betalningar, provperiod och partnerprogram

För kunder med en betald plan och för partner.

Vi fakturerar betalda planer via Stripe. Leverantör är Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Du anger dina betalningsuppgifter direkt hos Stripe; vi ser dem inte. Stripe får din e-postadress och ditt namn, vid betalningen din faktureringsadress och i förekommande fall ditt momsregistreringsnummer, och utfärdar fakturorna. Vi har endast kund- och prenumerationsidentifierarna hos Stripe, planen, statusen, slutet av faktureringsperioden samt identifierare och typer för de händelser som Stripe rapporterar till oss.

Du kan starta en provperiod utan kort; utan betalningsmedel upphör den automatiskt. Om en värd eller partner har gett dig en aktiveringskod lagrar vi vilket konto som löste in den och när, och till när planen gäller.

Stripe behandlar även uppgifter som självständigt personuppgiftsansvarig, till exempel för att förhindra bedrägerier och för att uppfylla rättsliga förpliktelser, och kan överföra dem till Stripe, Inc. i USA (avsnitt 22). Mer om detta i Stripes integritetspolicy.

Partnerprogram: Programmet har byggts men är för närvarande inte aktiverat. Om det aktiveras gäller följande: varje konto har en hänvisningskod. Den som registrerar sig via en hänvisningslänk kopplas till partnern under ett begränsat antal månader; vi lagrar kopplingen och dess tidpunkt och, för varje betald faktura, nettobeloppet och provisionen. Partnern ser endast siffror – hur många konton som har registrerats, hur många som betalar och summan av dess provisioner – inga namn och inga adresser. Partnervillkoren gäller. Vi sparar för närvarande partnernas uppgifter, kopplingarna och provisionerna utan fast lagringstid, liksom informationen om inlösta aktiveringskoder; vi kommer att fastställa en raderingstid och ange den här.

Rättslig grund: art. 6(1)(b) GDPR; för lagring av fakturauppgifter och, där det krävs av skatteskäl, provisionsuppgifter art. 6(1)(c) GDPR; för kopplingen till en partner art. 6(1)(f) GDPR (avräkning av provisionen). Vi sparar fakturauppgifter så länge skattelagstiftningen kräver; enligt polsk lag (art. 86 jämförd med art. 70 i Ordynacja podatkowa, den polska skattelagen) som regel tills fem år har förflutit från utgången av det kalenderår då skatten förföll till betalning. Krav: ingen betald plan utan betalningsuppgifter; gratisplanen är fortfarande tillgänglig.

19. Undanta en domän (opt-out)

För operatörer av webbplatser som inte vill kontrolleras av oss.

Via opt-out-sidan kan du undanta en domän från ytterligare kontroller. Undantaget gäller domänen och dess www-variant, inte andra underdomäner, och även gentemot betalande kunder som har verifierat domänen; pågående övervakning upphör vid nästa schemalagda kontroll. Endast vi kan häva det, på begäran och mot bevis på att du kontrollerar domänen. Vi lagrar domänen, det frivilligt angivna skälet, din IP-adress, dess land och webbläsaridentifieraren. IP-adressen, landet och webbläsaridentifieraren raderar vi efter 12 månader; själva undantaget kvarstår permanent, eftersom domänen annars skulle kontrolleras igen. Vi behöver denna information för att permanent genomföra din önskan och för att upptäcka om någon i missbrukssyfte undantar andras domäner. Rättslig grund: art. 6(1)(f) GDPR; vårt berättigade intresse är att permanent genomföra din önskan och att upptäcka missbruk av formuläret. Om du avser undantaget som en invändning enligt art. 21 GDPR genomför vi den på detta sätt.

20. För besökare på våra kunders webbplatser

För personer som besöker en webbplats, eller skickar ett formulär på den, vars operatör använder formexposed.

Det är operatören av den webbplatsen som är personuppgiftsansvarig för den, inte vi. Operatören bestämmer vilka funktioner som används och måste informera dig om dem i sin egen integritetspolicy. Följande kan nå oss:

• Märke: din webbläsares anslutningsuppgifter när bilden laddas, 14 dagar i webbserverns logg, utan kaka; här är vi personuppgiftsansvariga för leveransen av bilden (avsnitt 12).
• Leveranskontroll: en kopia av ditt formulärmejl, som utvärderas automatiskt och raderas; vi är personuppgiftsbiträde (avsnitt 15).
• WordPress-plugin och TYPO3-tillägg: dagliga siffror utan koppling till dig och, för svärmskyddet, domänerna för länkar från blockerade meddelanden; karantän och skyddsnät stannar på webbplatsen (avsnitt 13).
• Kundportal: din e-postadress om du prenumererar på en rapport där; vi är byråns personuppgiftsbiträde (avsnitt 14).
• Formulärskydd (formconfirmed): om operatören använder det hämtar din webbläsare en uppgift från vår server när sidan öppnas och löser den i bakgrunden; när formuläret skickas låter operatörens server oss kontrollera resultatet. Det som behandlas är din IP-adress (lagras endast förkortad och som hashvärde, högst en timme; som varje anrop 14 dagar i webbserverns logg), sidans adress, ifyllnadstiden, om ett osynligt fält har fyllts i och – endast om operatören aktiverar innehållskontrollen – texten i ditt meddelande, som en språkmodell på vår egen server bedömer i arbetsminnet och inte lagrar. Inga kakor, ingen lagring i webbläsaren, inget fingeravtryck. Vi är operatörens personuppgiftsbiträde (personuppgiftsbiträdesavtalet, bilaga 1 nr 10).

Det är bäst att utöva dina rättigheter hos webbplatsens operatör; operatören känner till sammanhanget och kan ge oss instruktioner. Om du kontaktar oss vidarebefordrar vi din förfrågan till operatören eller hanterar den själva i den mån vi är personuppgiftsansvariga. Vad vi kan och inte kan hitta i samband med detta framgår av Tillgång, radering och dina övriga rättigheter.

21. Mottagare

Vi lämnar ut personuppgifter endast där denna policy anger det. Vi säljer, hyr ut eller byter inte uppgifter. Kategorier av mottagare:

Mottagare (säte)	Kategori	För vad
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	personuppgiftsbiträde; behandlingsplatsen återstår att verifiera	utskick och mottagning av våra mejl; leveranskontrollens kontrollbrevlåda
Namecheap, Inc. (USA)	personuppgiftsbiträde	domän, DNS; tills brevlådan har konfigurerats, vidarebefordran av allmänna mejl till vår domän (inte av leveranskontrollens kontrollkopior)
Stripe Payments Europe, Ltd. (Irland), Stripe, Inc. (USA)	i stor utsträckning självständigt personuppgiftsansvarig; vi undersöker fortfarande den exakta rollfördelningen	betalningar och fakturor
Google Ireland Ltd., Google LLC (USA)	självständigt personuppgiftsansvarig	reCAPTCHA
Telegram (utanför EES)	mål som kunden har valt; vi skickar meddelandet via vår bot. För oss även en aviseringskanal	aviseringar, om du väljer Telegram; driftsignaler utan personuppgifter
Slack, Discord, Microsoft (Teams), Google (Chat), dina webhooks (delvis USA)	mål som kunden har valt	aviseringar
Allmänheten	–	rapportlänkar, bekräftelsesidor, studiens resultat (endast aggregerade)
Medlemmar i din arbetsyta	användare av samma konto	samarbete, enligt roll
Myndigheter, domstolar, CERT Polska, rådgivare	självständigt personuppgiftsansvariga	endast när det finns en rättslig förpliktelse, för att fastställa, göra gällande eller försvara rättsliga anspråk, och vid missbruk av vår tjänst eller attacker mot tredje part (art. 6(1)(c) eller (f) GDPR)

Följande får inga personuppgifter: registrens RDAP-tjänster, som hittas via IANA-katalogen, och, för domänens ålder i den kostnadsfria kontrollen, vidarebefordringstjänsten rdap.org (endast domännamn), WPVulnerability på wpvulnerability.net (endast identifieraren för ett plugin utan version, identifieraren för ett tema eller WordPress-versionen), statussidorna för CAPTCHA- och e-posttjänster (inget annat än själva förfrågan), tidsstämplingsmyndigheterna Certum och DigiCert (endast hashar), DNS-spärrlistorna SpamCop, PSBL, Mailspike och SURBL (endast domäner och IP-adresser till servrar), Google Web Risk, om det är konfigurerat (endast startsidans adress), och de övriga anslutna pluginen i svärmskyddet (endast spamdomäner). Den fullständiga, uppdaterade listan över våra personuppgiftsbiträden med säte och överföringsgrund finns under Underbiträden; ändringar meddelar vi kunderna 30 dagar i förväg.

22. Överföringar till tredjeländer

Om en mottagare är etablerad utanför Europeiska ekonomiska samarbetsområdet överför vi uppgifter endast om villkoren i art. 44 och följande GDPR är uppfyllda:

• USA: på grundval av Europeiska kommissionens beslut om adekvat skyddsnivå avseende ramen för dataskydd mellan EU och USA (genomförandebeslut (EU) 2023/1795, art. 45 GDPR), i den mån mottagaren är certifierad enligt den. Huruvida Google, Stripe och Namecheap är certifierade för de berörda tjänsterna verifierar vi fortfarande för denna version, och vi påstår det därför inte; där certifiering saknas, på grundval av Europeiska kommissionens standardavtalsklausuler (genomförandebeslut (EU) 2021/914, art. 46(2)(c) GDPR).
• Vår e-postleverantör: var Namecheap, Inc. (Private Email), Phoenix, Arizona, USA behandlar uppgifterna och på vilken grund de får överföras till ett tredjeland verifierar vi fortfarande. Aktuell status anges på sidan Underbiträden.
• Chattjänster och webhooks som du själv väljer: Slack, Discord, Microsoft Teams, Google Chat och webhooks tar emot dina aviseringar via en adress som du genererar i ditt konto hos respektive tjänst; avtalsförhållandet med leverantören och den grund som eventuellt krävs för överföringen till ett tredjeland är ditt ansvar.
• Telegram: mål som kunden har valt; vi skickar meddelandet via vår bot. Telegram är etablerat utanför EES i ett land utan beslut om adekvat skyddsnivå, och vi har inga standardavtalsklausuler med Telegram. Vi låter för närvarande utreda på vilken grund enligt art. 44 och följande GDPR denna överföring vilar – art. 49(1)(b) GDPR kan komma i fråga, eftersom du själv väljer kanalen. Välj Telegram endast om det räcker för dig; e-post finns alltid kvar som alternativ.

Du kan på begäran kostnadsfritt få en kopia av de skyddsåtgärder som vi grundar en överföring på, via adressen i avsnitt 1. Beslutet om adekvat skyddsnivå och standardavtalsklausulerna finns även i Europeiska unionens officiella tidning (eur-lex.europa.eu), och listan över företag som är certifierade enligt ramen för dataskydd på dataprivacyframework.gov. Våra egna servrar finns i Polen; uppgifter som ingen av de angivna mottagarna får lämnar inte EU.

23. Lagringstider i överblick

Lagringstiderna upprätthålls genom en nattlig körning, och för webbserverns logg genom dess dagliga rotation. Där det står ”med domänen” försvinner uppgifterna omedelbart när du raderar domänen eller ditt konto. De finns därefter kvar i säkerhetskopiorna i upp till 14 dagar (avsnitt 3.4).

Uppgifter	Raderas
Webbserverns logg (inklusive förfrågningar efter märket)	efter 14 dagar
Logg över sidvisningar	efter 60 dagar
Fellogg	efter 90 dagar
Aktivitetslogg	efter 365 dagar
Inloggningsförsök; begränsningar för den kostnadsfria kontrollen och header-verktyget	efter 7 dagar
Flaggor för misstänkt beteende (kostnadsfri kontroll)	90 dagar efter att fallet har avslutats
Inloggade enheter	90 dagar efter senaste användning
”Förbli inloggad”; konton som aldrig bekräftats; accepterade inbjudningar (icke accepterade när de löper ut)	efter 30 dagar
Rapport utan konto, inklusive skärmbilder	efter 30 dagar
PDF-version av en rapport i cachen	efter 7 dagar
Resultat från header-verktyget; kontroll av en potentiell kunds webbplats	efter 90 dagar
Kontroller för en studie	när dess resultat publiceras
Kontrollresultat, webbläsarkontroller och tidsmätningar för en domän i kontot	efter 13 månader (den senaste kontrollen så länge domänen finns i kontot)
Domän, inställningar, formulärflöden, bevisloggar, aviseringsmål, äkthetsresultat för det senaste formulärmejlet	med domänen
Skriptinventering och dess ändringar	med domänen (det finns ingen separat lagringstid)
Testinloggning för kontrollen bakom en inloggning	när du raderar den, med domänen; den kopia som bifogats kontrolljobbet efter körningen, senast efter en timme
Dagliga siffror och ändringsrapporter från plugin och tillägg, formulärräkning	efter 13 månader
Information från en webbplats med pluginet som inte hör till något konto	90 dagar efter senaste kontakt
Signaler från svärmskyddet; insamlade aviseringar för dagliga och veckovisa rapporter (från utskick)	efter 30 dagar
Räkning av API-anrop; engångskoder för Telegram	tidigast efter en dag, vid nästa anrop eller kod av detta slag
Utskickslogg för aviseringar	efter 90 dagar
Kopplingar i leveranskontrollen; incidenter med kvittering och eskaleringens leveransförsök (olösta sparas)	efter 180 dagar, incidenter från deras lösning
Kopior av formulärmejl i kontrollbrevlådan	efter bearbetning; vid fel vid nästa lyckade körning
Skickade mejl	efter 30 dagar
Supportärenden	efter 24 månader
Återkoppling på en rapport	efter 24 månader, omedelbart med kontot; IP-adressens kontrollsumma efter 2 dagar
IP-adress, land och webbläsaridentifierare i samband med en opt-out	efter 12 månader (domänen förblir undantagen)
Obekräftade prenumerationer på månadsrapporten i kundportalen	efter 30 dagar
Registrering av en avslutad prenumeration	tre år efter avregistreringen
Konto och personuppgifter	när du raderar dem
Registrering av avtalets ingående	så länge kontot finns; efter dess radering så snart samtycket är fyra år gammalt
Fakturauppgifter	när den skatterättsliga lagringstiden har löpt ut
Kopplingar och provisioner i partnerprogrammet; inlösta aktiveringskoder	för närvarande ingen fast tid
Exempel på en feltyp	för närvarande utan fast lagringstid
Säkerhetskopior av databasen	efter 14 dagar
Formulärskydd: förkortad, hashad IP-adress för att känna igen upprepade förfrågningar; förbrukade kontrolltoken; kontrollresultat utan IP-adress och utan text (åtgärd, poäng, skäl, domän); dagliga siffror utan personanknytning	efter en timme; efter högst elva minuter; efter 30 dagar; efter 400 dagar

24. Skyldighet att lämna uppgifter

Du har ingen lagstadgad skyldighet att lämna uppgifter till oss. För ett konto behöver vi din e-postadress, ditt förnamn och ett lösenord; utan dem kan inget avtal ingås. För betalda planer behöver vi faktureringsuppgifterna, för leveranskontrollen en kontrollbrevlåda och för aviseringar ett mål. All annan information är frivillig. Anslutningsuppgifterna i loggarna uppstår tekniskt vid varje förfrågan; utan dem kan servern inte svara. Vad som saknas om du inte lämnar något anges i avsnittet om den berörda behandlingen.

25. Automatiserade beslut och profilering

Vi fattar inga beslut som enbart grundas på automatiserad behandling och som har rättsliga följder för dig eller på liknande sätt i betydande grad påverkar dig (art. 22 GDPR). Vi skapar inga profiler av enskilda personer. Våra bedömningar – risknivå, header-betyg, ”skyddad” i märket – gäller webbplatser och formulär, inte människor.

Däremot körs skyddsmekanismer automatiskt som kan avvisa enskilda förfrågningar utan att en människa tittar på dem: reCAPTCHA-bedömningen och vårt eget formulärskydd (avsnitt 5), begränsningarna och flaggorna för den kostnadsfria kontrollen (avsnitt 6) och spärren efter för många inloggningsförsök (avsnitt 8.2). De förhindrar endast den enskilda inskickningen; ett avvisat försök kan upprepas senare, och e-post finns alltid tillgänglig för alla förfrågningar. Om du anser att ett avvisande är felaktigt, skriv till oss; en människa kommer att granska fallet. Vi raderar också automatiskt konton som inte har bekräftats 30 dagar efter registreringen.

26. Dina rättigheter

Enligt GDPR har du följande rättigheter. För var och en anger vi det snabbaste sättet att utöva den. Om inget annat anges räcker ett mejl till contact@lukaswojcik.com. Vi svarar utan onödigt dröjsmål och under alla omständigheter inom en månad från mottagandet; vid komplicerade eller många förfrågningar kan tiden förlängas med två månader, och i så fall informerar vi dig om detta, med skäl, inom den första månaden (art. 12(3) GDPR). Att utöva dina rättigheter är kostnadsfritt; endast för uppenbart ogrundade eller orimliga förfrågningar får vi ta ut en rimlig avgift eller vägra att tillmötesgå begäran, och vi motiverar i så fall detta (art. 12(5) GDPR). För att inte lämna ut någon annans uppgifter kan vi be dig att göra begäran från e-postadressen till ditt konto; ytterligare bevis begär vi endast om vi har rimliga skäl att betvivla din identitet, och endast i den mån det är nödvändigt (art. 12(6) GDPR).

• Tillgång (art. 15 GDPR): Med ett konto laddar du ned dataexporten under Inställningar; den innehåller konto-, arbetsyte- och domänuppgifter, dina inloggningar, aktiviteter, supportärenden, skickade mejl och samtycken. Kontrollresultat ser du som rapporter i kontot. Fullständig tillgång, även till uppgifter som exporten inte innehåller (till exempel poster i felloggen eller i webbserverns logg), tillsammans med informationen enligt art. 15(1) GDPR, får du på begäran via e-post. Utan konto – till exempel när det gäller en opt-out, ett supportärende eller en rapport – via e-post med angivande av berörd domän eller adress och ungefärlig tidpunkt.
• Rättelse (art. 16): Du kan själv ändra ditt namn, företag, språk och din e-postadress under Inställningar, och din faktureringsadress och ditt momsregistreringsnummer i Stripes kundportal under Fakturering; allt annat via e-post.
• Radering (art. 17): Du kan själv radera ditt konto, domäner, aviseringsmål och testinloggningar och själv återkalla API-nycklar (de raderas med kontot); från en kundportals månadsrapport kan du avregistrera dig via länken i varje mejl. Radering av en rapport, en skärmbild eller andra uppgifter kan du begära via e-post. Vad vi måste spara av rättsliga skäl framgår av avsnitt 8.6.
• Begränsning av behandling (art. 18): via e-post, till exempel om du bestrider att uppgifter är korrekta och vi kontrollerar dem.
• Dataportabilitet (art. 20): Dataexporten är en maskinläsbar JSON-fil som du själv kan lämna till en annan leverantör. Mer om att byta leverantör under EU:s dataförordning: byte av leverantör och dataexport.
• Invändning (art. 21): se följande avsnitt.
• Återkallande av samtycke (art. 7(3)): Vi grundar inte vår egen behandling på samtycke. Ditt samtycke till en kundportals månadsrapport kan du återkalla via länken i varje mejl; återkallandet gäller för framtiden.

För uppgifter som vi behandlar på uppdrag av en kund (avsnitt 2) är kunden din kontaktpunkt. Om du ändå skriver till oss vidarebefordrar vi din begäran till kunden och hjälper den att besvara den. En utförlig vägledning med alla vägar och begränsningar finns under Tillgång, radering och dina övriga rättigheter.

27. Rätt att invända enligt art. 21 GDPR

I den mån vi behandlar uppgifter på grundval av berättigade intressen (art. 6(1)(f) GDPR) kan du när som helst invända av skäl som hänför sig till din specifika situation. Vi behandlar då inte längre uppgifterna, om vi inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än dina intressen, rättigheter och friheter, eller om behandlingen sker för fastställande, utövande eller försvar av rättsliga anspråk.

Detta gäller särskilt kontrollen av webbplatser med vår crawler (avsnitt 7), loggarna (avsnitt 3), reCAPTCHA (avsnitt 5), begränsningarna för den kostnadsfria kontrollen (avsnitt 6), påminnelsen om konfigurering (avsnitt 11), märket (avsnitt 12) och svärmskyddet (avsnitt 13).

Invändningen är inte bunden till någon särskild form; ett mejl till contact@lukaswojcik.com räcker. Som operatör av en webbplats kan du också själv när som helst undanta din domän från ytterligare kontroller via robots.txt eller opt-out-sidan. Vi skickar ingen reklam via e-post, mot vilken en invändning utan angivande av skäl skulle vara möjlig.

28. Klagomål till en tillsynsmyndighet

Du kan lämna in ett klagomål till en tillsynsmyndighet för dataskydd om du anser att vi behandlar dina uppgifter på ett olagligt sätt (art. 77 GDPR). Den myndighet som är behörig för oss är:

Prezes Urzędu Ochrony Danych Osobowych (ordföranden för den polska dataskyddsmyndigheten, UODO)
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Polen
uodo.gov.pl

Du kan också vända dig till myndigheten i den medlemsstat där du bor eller arbetar eller där den påstådda överträdelsen ägde rum – i Tyskland till exempel dataskyddsmyndigheten i din delstat. Den myndigheten vidarebefordrar vid behov klagomålet till den behöriga myndigheten. Vi löser gärna ett ärende direkt med dig dessförinnan; detta är inget krav.

29. Säkerhet

Alla anslutningar till vår tjänst är krypterade med TLS; anslutningar inom vårt interna nätverk är inte krypterade genomgående. Lösenord, API-nycklar och återställningskoder lagrar vi endast som hashar, och hemligheter för tvåfaktorsinloggning och testinloggningar endast i krypterad form. Kundernas uppgifter är åtskilda per arbetsyta; en rolls rättigheter upprätthålls av servern, inte bara av användargränssnittet. Endast ägaren har åtkomst till servrarna; crawlern arbetar isolerat och kan inte nå adresser i det interna nätverket. Den fullständiga beskrivningen finns under Tekniska och organisatoriska åtgärder. Om vi får kännedom om en personuppgiftsincident anmäler vi den till tillsynsmyndigheten och vid behov till dig i enlighet med art. 33 och 34 GDPR; kunder för vars räkning vi agerar informerar vi utan onödigt dröjsmål, om möjligt inom 48 timmar.

30. Ytterligare dokument

Denna policy är sammanfattningen för registrerade. Detaljer finns i registret över behandling, i listan över underbiträden, i Tekniska och organisatoriska åtgärder, i personuppgiftsbiträdesavtalet, i konsekvensbedömningen avseende dataskydd och under Tillgång, radering och dina övriga rättigheter, EU:s AI-förordning: Så använder formexposed AI och Text till integritetspolicyn för din webbplats.

31. Ändringar

Vi uppdaterar denna policy när tjänsten eller rättsläget ändras, och gör det innan någon ny behandling påbörjas. Den version som publiceras här gäller; tidigare versioner och vad som har ändrats finns under Ändringar i avtalsdokumenten. Den version du såg när du registrerade dig visas i din dataexport. Om något väsentligt ändras i behandlingen av dina uppgifter som kund informerar vi dig även via e-post.

Denna policy finns tillgänglig på alla Europeiska unionens officiella språk. Vid avvikelser har den polska versionen företräde.