Tillgång, radering och dina övriga rättigheter

Det här dokumentet publiceras på flera språk. Vid avvikelser mellan språkversionerna är den polska versionen bindande.

Version 1.0 · Senast uppdaterad: 16 oktober 2026

Den här sidan förklarar hur du utövar dina rättigheter enligt dataskyddsförordningen (GDPR) gentemot formexposed: vem som har vilka uppgifter hos oss, på vilken väg du får tillgång, en kopia, rättelse eller radering, vad vi behöver från dig för detta och var gränserna går. Den kompletterar integritetspolicyn, som utförligt anger ändamål, rättsliga grunder och lagringstider.

1. Vem kan begära vad av oss

formexposed kontrollerar kontaktformulär på webbplatser. Därför har vi att göra med mycket olika personer: kunder med konto, teammedlemmar, innehavare av kontrollerade webbplatser, besökare på våra kunders webbplatser och prenumeranter på en kundportal. Alla har inte lämnat samma uppgifter hos oss, och om vi kan hänföra något till dig beror på din roll. För varje grupp beskriver följande avsnitt vägen. Där vi endast agerar för en kunds räkning säger vi det, eftersom det då är kunden som bestämmer, inte vi. GDPR skyddar fysiska personer. Om innehavaren av en webbplats är ett företag har det inga egna rättigheter enligt GDPR; det har däremot de personer vars uppgifter förekommer på webbplatsen. Vi besvarar ändå företag enligt samma regler, i den mån det gäller deras egen domän.

2. Vägarna i överblick

Du är	Vad vi kan ha om dig	Väg	Vad vi behöver från dig
Kund med konto	Konto, arbetsytor, domäner, inställningar, loggar, samtycken, supportförfrågningar	Själv under Inställningar: export och radering	Inloggning och ditt lösenord
Teammedlem	Ditt eget konto; dina poster i arbetsytans aktivitetslogg	Som för kunder; lämna arbetsytan	Inloggning och lösenord
Inbjuden person utan konto	E-postadress och roll i inbjudan	E-post till oss eller till den som bjöd in dig	Ett meddelande från den inbjudna adressen
Innehavare av en kontrollerad webbplats	Rapporter om din domän, opt-out-post, data från tillägget utan konto	Opt-out-sidan, robots.txt, e-post till oss	Domän, rapportlänk; för mer än rapporten, bevis på att du kontrollerar domänen
Person som förekommer på en kontrollerad webbplats	Skärmbilder och adresser till kontrollerade sidor där du förekommer	E-post till oss (avsnitt 5.3)	Domän och ungefärlig tidpunkt, samt rapportlänken om den finns
Besökare på en kunds webbplats	Nästan alltid inget som kan hänföras till dig (avsnitt 6)	Först webbplatsens innehavare	Webbplats, tidpunkt; för märket din IP-adress
Prenumerant på en kundportal	E-postadress, språk, tidpunkt och IP för prenumerationen, bekräftelse, avregistrering	Avregistreringslänk i varje e-postmeddelande; annars byrån	Ett meddelande från den prenumererade adressen

Vår adress för allt du inte kan göra själv: contact@lukaswojcik.com. Du kan också utöva varje rättighet där utan att först använda självbetjäningen; den är bara den snabbare vägen. Kontaktsidan och supportfönstret (frågetecknet i navigeringen) finns också.

3. Kunder med konto

3.1 Tillgång och kopia: dataexporten

Under Inställningar → Dina uppgifter → ”Ladda ner mina uppgifter” får du omedelbart en JSON-fil med det vi lagrar om ditt konto. Det är den snabbaste vägen till kopian enligt Art. 15(3) GDPR och till dataportabilitet (Art. 20). Övrig information enligt Art. 15(1) – ändamål, mottagare, lagringstid, källa, dina rättigheter – finns i integritetspolicyn; på begäran sammanställer vi den för ditt fall, tillsammans med de uppgifter som exporten inte innehåller. Exporten kräver ditt lösenord och är begränsad till tre nedladdningar per timme, eftersom filen innehåller IP-adresser och enheter och en öppen session på någon annans dator inte ska räcka för att få den.

Filen innehåller ditt konto (namn, e-postadress, företag, plan, senaste inloggning med IP-adress), dina arbetsytor med roll och – för de arbetsytor du äger – domänerna med deras inställningar, larmmål, övervakade formulär, varumärke, kundportaler inklusive prenumeranter, leveransförsök vid eskalering och kontroller av potentiella kunder; dessutom dina API-nycklar (endast prefix och etikett), inloggade enheter, inloggningsförsök, aktivitetslogg, besökta sidor, supportförfrågningar, de e-postmeddelanden som skickats till dig (utan text, eftersom de fortfarande kan innehålla giltiga länkar) och de versioner av de juridiska texterna som du har godkänt. Om vår support har tittat på ditt konto via ”visa som kund” ingår även det.

Vad filen inte innehåller: lösenordshash, hemligheter för inloggning med två faktorer, token och nycklar – detta är säkerhetsfunktioner, inte information. Uppgifter om andra medlemmar i dina arbetsytor. Fakturor, som finns i Stripes kundportal under Fakturering. Och de enskilda kontrollresultaten (fynd, skärmbilder, incidenter, larmlogg); dessa ser du i kontot och i rapporterna, och med Business-planen även via API:t. Om du vill ha dem som fil, skriv till oss; vi sammanställer dem inom den tid som anges i avsnitt 9. Mer om detta på sidan EU:s dataförordning: byte av leverantör och dataexport.

3.2 Rättelse

Du ändrar själv förnamn, efternamn, företag, språk och e-postadress i inställningarna; en ny e-postadress gäller först när du bekräftar den via länken i bekräftelsemejlet. Faktureringsadress och momsregistreringsnummer ändrar du i Stripes kundportal under Fakturering. För allt annat räcker ett meddelande till oss (Art. 16 GDPR).

3.3 Radering: domän, arbetsyta, konto

Du kan radera på tre nivåer. Var och en får verkan omedelbart i databasen och kan inte ångras. Ladda ner dina uppgifter innan.

Ta bort en domän (skrivbehörighet i arbetsytan): tar bort domänen med alla kontroller inklusive formulär, fynd och skärmbilder, rapporterna (vars länkar då inte längre fungerar), jobb, larmmål, leveranslogg och incidenter, Telegram-kopplingar, tilldelningar i leveranskontrollen, pulsmätningar, sårbarhetsträffar och bevisloggar (inklusive deras offentliga bekräftelsesida), samt de övervakade formulären med deras kontrollsteg, webbläsarkontroller och mätningar, och de krypterade testkontona för skanningen bakom inloggningen. De dagliga siffrorna från tillägget och extensionen försvinner också, så snart inget annat konto har samma domän.
Radera en arbetsyta (endast ägaren): dessutom alla domäner i den enligt ovan, varumärket inklusive logotyp, kundportalerna inklusive prenumeranter, utrullningskoder, kontroller av potentiella kunder (deras rapporter löper ut först vid slutet av sin tid på upp till 90 dagar), inbjudningar och medlemskap.
Radera kontot (Inställningar, med lösenord): avslutar först ett löpande abonnemang hos Stripe, omedelbart och i regel utan återbetalning för resten av den betalda perioden (undantag anges i användarvillkoren); den som vill använda resten av perioden säger först upp abonnemanget i området Fakturering med verkan från periodens slut. Om avslutet av abonnemanget misslyckas finns kontot kvar, så att inget abonnemang fortsätter utan konto. Arbetsytor du äger övergår till en annan medlem, i första hand till administratörer, och bland dem till den som varit medlem längst; arbetsytor utan andra medlemmar raderas med sina data. Vi tar också bort dina medlemskap, inloggade enheter, inloggningen ”Håll mig inloggad”, dina API-nycklar inklusive räknare, öppna Telegram-koder och själva kontoposten.

En arbetsyta som du lämnar över till en medlem raderas inte. Ett teams arbete tillhör inte den person som skapade arbetsytan. Om du vill att domänerna i den också ska försvinna, radera arbetsytan innan du raderar ditt konto, eller kom överens om detta med ditt team.

Ingen egen lagringstid: En domäns skriptinventering (listan över observerade skript) och loggen över ändringar i dem raderas tillsammans med domänen, även när den försvinner med sin arbetsyta eller ditt konto. De har ingen egen lagringstid: de sparas så länge domänen finns. Om du vill att de tas bort tidigare raderar vi dem när du skriver till oss.

3.4 Vad som finns kvar efter radering, och varför

Vissa saker raderar vi inte i samma ögonblick, eftersom de tjänar ett annat ändamål eller har en egen lagringstid. De löper ut med den tiden och är därefter borta. Om du begär tidigare radering av poster som vi grundar på berättigade intressen (framför allt loggar och supportförfrågningar) prövar vi detta i det enskilda fallet och raderar dem om inte våra skäl väger tyngre än dina (Art. 17(1)(c), Art. 21(1) GDPR):

Loggar: aktivitetslogg 365 dagar, logg över sidvisningar 60 dagar, fellogg 90 dagar, webbserverlogg 14 dagar, inloggningsförsök 7 dagar, skickade e-postmeddelanden 30 dagar. De tjänar säkerheten och utredning av missbruk. Posterna i aktivitetsloggen och loggen över sidvisningar behåller ditt gamla kontonummer, som efter radering inte längre hänvisar till något befintligt konto; själva raderingen loggas så att den kan bevisas i efterhand.
Supportförfrågningar: 24 månader, så att en senare fråga eller ett senare klagomål fortfarande kan besvaras.
Bevis på avtalsingående: vilken version av användarvillkoren, personuppgiftsbiträdesavtalet och integritetspolicyn du godkände och när, med IP-adress och webbläsaridentifiering. Det finns kvar, eftersom det är just efter avtalets upphörande som frågan uppstår vad avtalet grundades på (Art. 5(2), Art. 17(3)(e) GDPR), och raderas när kontot inte längre finns och samtycket är mer än fyra år gammalt.
Fakturor och betalningstransaktioner förvaras hos Stripe och omfattas av skatterättslig lagringsskyldighet (i Polen fem år från utgången av det år då skatten förföll till betalning, Art. 17(3)(b) GDPR).
Säkerhetskopior: Raderade uppgifter finns kvar i databasens säkerhetskopior tills dessa skrivs över i normal ordning efter 14 dagar. Vi återställer inte en säkerhetskopia för att återskapa raderade uppgifter.

4. Teammedlemmar och inbjudna

Som medlem i någon annans arbetsyta har du ett eget konto med samma verktyg som i avsnitt 3: export, rättelse, radering. Din export innehåller dina medlemskap, men inte domänerna i arbetsytor som ägs av andra – för dem ansvarar deras ägare. Du kan lämna en arbetsyta när som helst; ägaren kan ta bort dig. Vad du gjorde i arbetsytan registreras i aktivitetsloggen och löper ut efter 365 dagar. Om du har lämnat ett namn eller en e-postadress som den som kvitterar en incident eller som mottagare av ett larm hanteras dessa uppgifter av arbetsytans ägare; vi agerar för ägarens räkning och vidarebefordrar en eventuell begäran till ägaren.

Om du blev inbjuden utan att skapa ett konto lagrar vi din e-postadress och den avsedda rollen tills inbjudan löper ut efter 14 dagar; den nattliga körningen raderar den då. En accepterad inbjudan raderar vi 30 dagar efter accepterandet. Om du vill att en öppen inbjudan ska försvinna omedelbart, skriv till oss från den inbjudna adressen.

5. Innehavare av kontrollerade webbplatser utan konto

5.1 Vad vi kan ha om din domän

Rapporter från den gratis kontrollen: adresser till de kontrollerade sidorna, formulärens struktur (utan värden), upptäckta skyddsåtgärder och skärmbilder, som inte svärtas. Raderas efter 30 dagar.
Kontroller av din webbplats som potentiell kund av en byrå: 90 dagar. Kontroller för en studie: fram till publiceringen, som endast innehåller sammanställda siffror utan namn på webbplatser.
En opt-out-post, om någon har undantagit din domän: domän och anledning permanent; IP-adress, land och webbläsaridentifiering för den som gjorde posten i 12 månader.
Data från tillägget utan konto: Om vårt WordPress-tillägg eller TYPO3-extensionen körs utan koppling till ett konto känner vi till värden och versionerna; de dagliga siffrorna för en värd utan konto raderar vi varje natt, och värden 90 dagar efter den senaste kontakten.

Dessa uppgifter blir personuppgifter framför allt när en person syns på en kontrollerad sida eller i en skärmbild, till exempel namnet på en kontaktperson bredvid formuläret.

5.2 Invändning: avsluta kontrollerna

Snabbast via robots.txt (User-agent: FormExposedBot / Disallow: /) eller opt-out-sidan. Båda får verkan omedelbart, utan bevis, för anonyma kontroller och för kunders kontroller lika, även om en kund har verifierat domänen; pågående övervakning upphör vid nästa kontroll som står i tur. Opt-out gäller för domänen och dess www-variant, inte för andra underdomäner; endast vi kan häva den, på begäran och mot bevis. robots.txt får verkan om Disallow omfattar startsidan. Undantaget förhindrar framtida kontroller; det raderar inte befintliga rapporter, som löper ut vid slutet av sin lagringstid. Mer om crawlern på sidan FormExposedBot.

5.3 Få en rapport raderad i förtid

Skicka oss länken till rapporten. Den som har länken kan ändå läsa rapporten; vi kräver därför inget ytterligare bevis för radering. Utan länken, ange domänen och ungefärlig tidpunkt, så söker vi.

Gör på samma sätt om du som person förekommer på en kontrollerad sida eller i en skärmbild, till exempel som kontaktperson bredvid ett formulär, och begär tillgång eller radering. Om kontrollen hör till en domän för vilken en kund har lämnat bevis på kontroll agerar vi för den kundens räkning; i så fall vidarebefordrar vi din begäran till kunden och meddelar dig det.

5.4 Tillgång till uppgifter om en domän och bevis på kontroll

Den som frågar efter allt vi har om en domän får uppgifter som rapportlänken ensam inte ger tillgång till. Innan vi lämnar ut dem ber vi om bevis på att du kontrollerar domänen – med någon av de metoder vi även kräver av kunder: en TXT-post i DNS under _formexposed.<your-domain> eller en fil på /.well-known/formexposed-verify.txt, var och en med ett värde som vi anger. Alternativt räcker ett meddelande från en adress under samma domän som anges i webbplatsens företagsinformation. Utan bevis bekräftar vi endast om domänen är undantagen.

Vad vi inte lämnar ut: vem som startade en kontroll – deras IP-adress är deras uppgift, inte din, och raderas efter sju dagar, såvida den inte har noterats för att förebygga missbruk på grund av ett iögonfallande stort antal kontroller. Om en kund har din domän i sitt konto berättar vi att så är fallet och vidarebefordrar, om du vill, din begäran. Om kunden har lämnat bevis på kontroll av domänen agerar vi för kundens räkning, och endast kunden lämnar ut sina resultat. Om det inte finns något sådant bevis är vi själva personuppgiftsansvariga; i så fall anger vi kunden för dig som mottagare, i den mån du begär det och kundens berättigade intressen inte väger tyngre (Art. 15(1)(c), (4) GDPR). Testinskickningar från kunder når endast domäner för vilka kunden har lämnat bevis på kontroll (internt kontrollerar vi på detta sätt endast våra egna test- och demodomäner); om du anser att detta saknas, rapportera det till oss.

6. Besökare på våra kunders webbplatser

Innehavaren av en tredje parts webbplats ansvarar för dina uppgifter på den webbplatsen. Innehavaren har originalet av ditt meddelande. Vi arbetar för innehavarens räkning och ser i regel ingenting som identifierar dig. I detalj:

Leveranskontroll: Om innehavaren har konfigurerat den når en dold kopia av formulärmejlet vår kontrollbrevlåda. Den läses automatiskt vid nästa hämtning (headers och högst de första 8 KB), tilldelas och raderas; hämtningen körs normalt med några minuters mellanrum, och vid störningar kan ett e-postmeddelande ligga kvar till nästa lyckade körning. I vår databas finns endast tidpunkten och tilldelningen till domänen kvar, och, för domänen, det tekniska resultatet av äkthetskontrollen för det senaste e-postmeddelandet (SPF, DKIM, DMARC, IP-adress till den sändande e-postservern), som skrivs över av nästa e-postmeddelande – varken innehåll eller den fullständiga avsändaradressen. Äkthetsresultatet innehåller avsändarens e-postdomän, till exempel din e-postleverantörs; den nämns i ett larm till innehavaren endast om den inte tillhör webbplatsen. Efter behandlingen kan vi därför inte längre hitta ditt meddelande, och det finns inget som vi skulle kunna hänföra till dig och lämna ut.
Märke: Om din webbläsare laddar märkesbilden sparas din IP-adress tillsammans med tidpunkt, webbläsaridentifiering och hänvisande sida i vår webbserverlogg i 14 dagar; märket sätter inga cookies. Om du ger oss din IP-adress och ungefärlig tidpunkt inom dessa 14 dagar kontrollerar vi om det finns poster och raderar dem på begäran. Utan IP-adress kan en post inte hänföras till någon.
WordPress-tillägget och TYPO3-extensionen: karantän, skyddsnät och poster finns kvar på innehavarens webbplats. Det som når oss är dagliga siffror, tilläggsinventeringen och, för ett anslutet WordPress-tillägg, domänerna för länkar från blockerade meddelanden för svärmskyddet (påslaget som standard), men inget annat innehåll, inga adresser, namn eller IP-adresser för besökare. Här kan endast innehavaren hjälpa.

Kontakta därför först innehavaren. Om du inte når hen, skriv till oss med webbplats och tidpunkt; vi vidarebefordrar begäran i den mån vi kan identifiera innehavaren. Vi får inte själva besluta om den, eftersom det är innehavarens rätt.

7. Prenumeranter på en kundportal

En byrå erbjuder månadsrapporten från en kundportal under eget namn; byrån är personuppgiftsansvarig, och vi agerar för dess räkning. Du kan avregistrera dig när som helst via länken i varje e-postmeddelande, omedelbart och utan inloggning. Därefter sparar vi uppgifterna om din prenumeration (adress, språk, tidpunkt och IP-adress för prenumerationen, bekräftelse, avregistrering) i ytterligare tre år så att byrån kan bevisa att du hade samtyckt; om byrån raderar sin arbetsyta, även tillsammans med sitt konto om ingen annan finns i den, försvinner de tidigare. Om den bara återkallar portalen finns uppgifterna kvar. En obekräftad prenumeration raderar vi efter 30 dagar. Tillgång och radering i förtid begär du hos byrån; om du skriver till oss från den prenumererade adressen vidarebefordrar vi det till byrån.

8. Invändning, begränsning och återkallelse av samtycke

Invändning (Art. 21 GDPR): mot behandling som grundar sig på berättigade intressen, till exempel loggarna eller kontrollen av din webbplats. Vi behandlar då inte längre dessa uppgifter, såvida vi inte kan påvisa tvingande berättigade skäl som väger tyngre än dina intressen, eller behöver dem för rättsliga anspråk; vi informerar dig om utfallet. För kontrollerna är opt-out den direkta vägen (avsnitt 5.2). Månadsrapporten till ditt konto avbeställer du i inställningarna. Påminnelsen efter registreringen kommer högst en gång och aldrig igen därefter.
Begränsning (Art. 18): Om du bestrider att uppgifter är korrekta eller behöver dem för ett rättsligt förfarande spärrar vi dem på begäran i stället för att radera dem.
Återkallelse av samtycke (Art. 7(3)): Där behandlingen grundar sig på ditt samtycke – till exempel månadsrapporten från en kundportal – får återkallelsen verkan för framtiden.

9. Tidsfrister, identitetskontroll, kostnader

Tidsfrist: Vi svarar utan onödigt dröjsmål och senast inom en månad från mottagandet (Art. 12(3) GDPR). Om en begäran är exceptionellt omfattande kan tiden förlängas med två månader; vi informerar dig om detta inom den första månaden, med motivering. Om vi inte vidtar någon åtgärd meddelar vi dig inom en månad varför, och att du kan lämna in ett klagomål till en tillsynsmyndighet (Art. 12(4)).

Identitet: Vi lämnar endast ut uppgifter till den person de tillhör. I kontot räcker inloggning med ditt lösenord. Via e-post svarar vi till den adress som hör till kontot, inbjudan eller prenumerationen; om du skriver från en annan adress ber vi dig bekräfta begäran från den lagrade adressen. För domäner gäller avsnitt 5.4. Vi ber om ytterligare information, till exempel en id-handling, endast om rimliga tvivel kvarstår (Art. 12(6)), och då endast så mycket som behövs; på en kopia av en id-handling får du svärta allt utom ditt namn och foto, och vi raderar den efter kontrollen. Vi ber aldrig om ditt lösenord.

Kostnader: inga. Endast för uppenbart ogrundade eller orimliga begäranden får vi ta ut en rimlig avgift eller vägra (Art. 12(5)); vi motiverar det då.

Mottagare: Om vi rättar, raderar eller begränsar uppgifter som vi har lämnat ut till andra underrättar vi dessa mottagare, om inte detta visar sig vara omöjligt eller medför en oproportionerligt stor ansträngning, och på begäran berättar vi vilka mottagarna är (Art. 19 GDPR).

10. Begränsningarna, klart och tydligt

Där vi inte lagrar något kan vi inte lämna ut något. Detta gäller främst besökare på våra kunders webbplatser. I enlighet med Art. 11 GDPR samlar vi inte in ytterligare uppgifter enbart för att identifiera dig.
För uppgifter som behandlas för en kunds räkning bestämmer kunden. Vi stöder kunden enligt personuppgiftsbiträdesavtalet och vidarebefordrar begäranden, men vi raderar ingenting bakom kundens rygg.
Radering är slutgiltig. Vi återställer inte raderade domäner, kontroller eller konton, inte ens från en säkerhetskopia (avsnitt 3.4).
Det vi är skyldiga att bevara finns kvar tills skyldigheten upphör, framför allt fakturor och beviset på avtalsingående (avsnitt 3.4).

11. Kontakt och klagomål

Skicka begäranden till contact@lukaswojcik.com, via kontaktsidan eller supportfönstret. Personuppgiftsansvarig är LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen. Vi har inte utsett något dataskyddsombud.

Du kan lämna in ett klagomål till vilken dataskyddsmyndighet som helst, särskilt i den medlemsstat där du har din vanliga vistelseort, din arbetsplats eller där det påstådda intrånget har ägt rum (Art. 77 GDPR). Den myndighet som är behörig för oss är ordföranden för dataskyddsmyndigheten (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa, Polen. Hur vi hanterar klagomål beskrivs under Klagomål.

Hur kan vi hjälpa till?