Доступ, видалення та інші Ваші права

Цей документ опубліковано кількома мовами. У разі будь-яких розбіжностей між мовними версіями обов’язковою є польська версія.

Версія 1.0 · Останнє оновлення: 16 жовтня 2026 року

Ця сторінка пояснює, як Ви реалізуєте свої права за Загальним регламентом про захист даних (GDPR) щодо formexposed: які дані й про кого ми маємо, яким способом Ви отримуєте доступ, копію, виправлення чи видалення, що нам потрібно від Вас для цього та де є межі. Вона доповнює Політику конфіденційності, яка докладно визначає цілі, правові підстави й строки зберігання.

1. Хто й що може запитати в нас

formexposed перевіряє контактні форми на сайтах. Унаслідок цього ми маємо справу з дуже різними людьми: клієнтами з обліковим записом, учасниками команд, операторами перевірених сайтів, відвідувачами сайтів наших клієнтів і підписниками клієнтського порталу. Не всі залишили в нас однакові дані, а можливість пов’язати щось із Вами залежить від Вашої ролі. Для кожної групи наступні розділи описують шлях. Коли ми діємо лише від імені Клієнта, ми це зазначаємо, оскільки тоді вирішує Клієнт, а не ми. GDPR захищає фізичних осіб. Якщо оператором сайту є компанія, вона не має власних прав за GDPR; люди, чиї відомості з’являються на сайті, мають. Однак ми відповідаємо компаніям за тими самими правилами тією мірою, якою це стосується їхнього власного домену.

2. Огляд способів звернення

Ви є	Що ми можемо мати про Вас	Спосіб	Що нам потрібно від Вас
Клієнт з обліковим записом	Обліковий запис, робочі простори, домени, налаштування, журнали, згоди, звернення до підтримки	Самостійно в налаштуваннях: експорт і видалення	Вхід і Ваш пароль
Учасник команди	Ваш власний обліковий запис; Ваші записи в журналі дій робочого простору	Як для клієнтів; вихід із робочого простору	Вхід і пароль
Запрошена особа без облікового запису	Адреса електронної пошти й роль у запрошенні	Лист нам або особі, яка запросила Вас	Повідомлення із запрошеної адреси
Оператор перевіреного сайту	Звіти щодо Вашого домену, запис відмови від перевірок, дані плагіна без облікового запису	Сторінка відмови від перевірок, robots.txt, лист нам	Домен, посилання на звіт; для більшого, ніж звіт, — підтвердження Вашого контролю над доменом
Особа, яка з’являється на перевіреному сайті	Знімки екрана й адреси перевірених сторінок, на яких Ви з’являєтеся	Лист нам (розділ 5.3)	Домен і приблизний час, а за наявності — посилання на звіт
Відвідувач сайту клієнта	Майже завжди нічого, що можна пов’язати з Вами (розділ 6)	Спочатку оператор сайту	Сайт, час; для значка — Ваша IP-адреса
Підписник клієнтського порталу	Адреса електронної пошти, мова, час та IP підписки, підтвердження, відписування	Посилання відписування в кожному листі; інакше — агентство	Повідомлення з адреси підписки

Наша адреса для всього, що Ви не можете зробити самостійно: contact@lukaswojcik.com. Ви також можете реалізувати там будь-яке право, не використовуючи спочатку можливості самообслуговування; вони лише швидший шлях. Також доступні сторінка контактів і вікно підтримки (знак питання в навігації).

3. Клієнти з обліковим записом

3.1 Доступ і копія: експорт даних

У розділі Налаштування → Ваші дані → «Завантажити мої дані» Ви одразу отримуєте файл JSON із тим, що ми зберігаємо про Ваш обліковий запис. Це найшвидший шлях до копії за ст. 15(3) GDPR і переносимості даних (ст. 20). Іншу інформацію за ст. 15(1) — цілі, одержувачі, строк зберігання, джерело, Ваші права — визначено в Політиці конфіденційності; на запит ми зберемо її для Вашого випадку разом із даними, яких немає в експорті. Експорт потребує Вашого пароля й обмежений трьома завантаженнями за годину, оскільки файл містить IP-адреси й пристрої, а відкритого сеансу на чужому комп’ютері не повинно бути достатньо для його отримання.

Файл містить Ваш обліковий запис (ім’я, адресу електронної пошти, компанію, тариф, останній вхід з IP-адресою), Ваші робочі простори з роллю та — для просторів, якими Ви володієте, — домени з налаштуваннями, адресатів сповіщень, форми на моніторингу, бренд, клієнтські портали разом із підписниками, спроби доставки ескалацій і перевірки потенційних клієнтів; додатково Ваші ключі API (лише префікс і позначку), пристрої з активним входом, спроби входу, журнал дій, відвідані сторінки, звернення до підтримки, надіслані Вам листи (без тексту, оскільки вони ще можуть містити чинні посилання) і версії правових текстів, з якими Ви погодилися. Якщо наша підтримка переглядала Ваш обліковий запис через «Перегляд як клієнт», це також включено.

Чого файл не містить: хешу пароля, секретів двофакторного входу, токенів і ключів — це засоби безпеки, а не інформація. Даних інших учасників Ваших робочих просторів. Рахунків, які перебувають у клієнтському порталі Stripe в розділі «Оплата». А також окремих результатів перевірок (результатів виявлення, знімків екрана, інцидентів, журналу сповіщень); їх Ви бачите в обліковому записі й звітах, а на тарифі Business — також через API. Якщо Ви хочете отримати їх файлом, напишіть нам; ми зберемо їх протягом строку з розділу 9. Більше про це — на сторінці Регламент ЄС про дані: зміна постачальника та експорт даних.

3.2 Виправлення

Ім’я, прізвище, компанію, мову й адресу електронної пошти Ви змінюєте самостійно в налаштуваннях; нова адреса діє лише після підтвердження за посиланням у листі підтвердження. Платіжну адресу й номер платника ПДВ Ви змінюєте в клієнтському порталі Stripe в розділі «Оплата». Для всього іншого достатньо повідомлення нам (ст. 16 GDPR).

3.3 Видалення: домен, робочий простір, обліковий запис

Ви можете видаляти на трьох рівнях. Кожне видалення негайно набирає чинності в базі даних, і скасувати його неможливо. Заздалегідь завантажте Ваші дані.

• Видалення домену (доступ на запис у робочому просторі): видаляє домен з усіма перевірками, включно з формами, окремими результатами виявлення й знімками екрана, звіти (посилання на які тоді більше не працюють), завдання, адресатів сповіщень, журнал доставки й інциденти, з’єднання Telegram, відповідності перевірки доставки, вимірювання пульсу, виявлені вразливості й журнали доказів (включно з їхньою публічною сторінкою підтвердження), а також форми на моніторингу з кроками перевірки, браузерними перевірками й вимірюваннями та зашифровані тестові облікові записи для сканування захищеної входом частини сайту. Щоденні показники плагіна й розширення також видаляються, щойно жоден інший обліковий запис не має того самого домену.
• Видалення робочого простору (лише власник): додатково всі домени в ньому, як описано вище, бренд разом із логотипом, клієнтські портали разом із підписниками, коди розгортання, перевірки потенційних клієнтів (строк їхніх звітів спливає лише наприкінці періоду до 90 днів), запрошення й участь.
• Видалення облікового запису (Налаштування, з паролем): спочатку завершує чинну підписку в Stripe, негайно й, як правило, без повернення коштів за залишок оплаченого періоду (винятки визначено в Умовах надання послуг); той, хто хоче використати решту періоду, спочатку скасовує підписку в розділі «Оплата» із завершенням наприкінці періоду. Якщо завершення підписки не вдається, обліковий запис залишається, щоб підписка не продовжувалася без облікового запису. Робочі простори, якими Ви володієте, переходять до іншого учасника — насамперед до адміністраторів, а серед них до того, хто належить до простору найдовше; простори без інших учасників видаляються зі своїми даними. Ми також видаляємо Вашу участь, пристрої з активним входом, вхід «Залишатися в системі», Ваші ключі API разом із лічильниками, відкриті коди Telegram і сам запис облікового запису.

Робочий простір, який Ви передаєте учаснику, не видаляється. Робота команди не належить особі, яка створила простір. Якщо Ви хочете, щоб домени в ньому також зникли, видаліть робочий простір перед видаленням облікового запису або погодьте це зі своєю командою.

Немає власного строку зберігання: перелік скриптів домену (список спостережених скриптів) і журнал їхніх змін видаляються разом із доменом, зокрема коли він видаляється з робочим простором або Вашим обліковим записом. Власного строку зберігання вони не мають: зберігаються, доки існує домен. Якщо Ви хочете видалити їх раніше, ми зробимо це після Вашого звернення.

3.4 Що залишається після видалення й чому

Дещо ми не видаляємо в той самий момент, оскільки воно слугує іншій меті або має власний строк зберігання. Із завершенням цього строку воно зникає. Якщо Ви запитуєте ранішого видалення записів, що ґрунтуються на законних інтересах (насамперед журналів і звернень до підтримки), ми розглядаємо це індивідуально й видаляємо їх, якщо наші підстави не переважають Ваші (ст. 17(1)(c), ст. 21(1) GDPR):

• Журнали: журнал дій — 365 днів, журнал доступу до сторінок — 60 днів, журнал помилок — 90 днів, журнал вебсервера — 14 днів, спроби входу — 7 днів, надіслані листи — 30 днів. Вони слугують безпеці й розслідуванню неналежного використання. Записи в журналі дій і журналі доступу до сторінок зберігають Ваш старий номер облікового запису, який після видалення більше не посилається на наявний обліковий запис; саме видалення записується до журналу для подальшого підтвердження.
• Звернення до підтримки: 24 місяців, щоб можна було відповісти на пізніше запитання чи скаргу.
• Підтвердження укладення договору: яку версію Умов надання послуг, Договору про обробку даних і Політики конфіденційності Ви прийняли й коли, з IP-адресою та ідентифікацією браузера. Воно залишається, оскільки саме після припинення виникає питання, на чому ґрунтувався договір (ст. 5(2), ст. 17(3)(e) GDPR), і видаляється, коли облікового запису більше немає, а від згоди минуло понад чотири роки.
• Рахунки й платіжні операції зберігаються в Stripe і підлягають податковому зберіганню (у Польщі — п’ять років від кінця року, у якому настав строк сплати податку, ст. 17(3)(b) GDPR).
• Резервні копії: видалені дані залишаються в резервних копіях бази даних до їх звичайного перезапису через 14 днів. Ми не відновлюємо резервну копію для повернення видалених даних.

4. Учасники команд і запрошені особи

Як учасник чужого робочого простору Ви маєте власний обліковий запис із тими самими інструментами, що й у розділі 3: експорт, виправлення, видалення. Ваш експорт містить Вашу участь, але не домени просторів, що належать іншим, — за них відповідає їхній власник. Ви можете будь-коли залишити робочий простір; власник може видалити Вас. Те, що Ви зробили в просторі, записується в журналі дій і зникає через 365 днів. Якщо Ви залишили ім’я чи адресу електронної пошти як особа, що підтвердила отримання інциденту, або як одержувач сповіщення, цими відомостями керує власник робочого простору; ми діємо від його імені й пересилаємо будь-який запит йому.

Якщо Вас запросили без створення облікового запису, ми зберігаємо Вашу адресу електронної пошти й передбачену роль до спливу строку запрошення через 14 днів; тоді нічний запуск видаляє його. Прийняте запрошення ми видаляємо через 30 днів після прийняття. Якщо Ви хочете негайно видалити відкрите запрошення, напишіть нам із запрошеної адреси.

5. Оператори перевірених сайтів без облікового запису

5.1 Що ми можемо мати про Ваш домен

• Звіти безкоштовної перевірки: адреси перевірених сторінок, структура форм (без значень), виявлені заходи захисту й знімки екрана, на яких дані не приховуються. Видаляються через 30 днів.
• Перевірки Вашого сайту як потенційного клієнта агентством: 90 днів. Перевірки для дослідження: до публікації, яка містить лише агреговані показники без назв сайтів.
• Запис відмови від перевірок, якщо хтось виключив Ваш домен: домен і причина — постійно; IP-адреса, країна й ідентифікація браузера особи, яка внесла запис, — 12 місяців.
• Дані плагіна без облікового запису: якщо наш плагін WordPress або розширення TYPO3 працює без з’єднання з обліковим записом, ми знаємо хост і версії; щоденні показники хоста без облікового запису видаляємо щоночі, а хост — через 90 днів після останнього контакту.

Ці дані стають персональними насамперед коли особу видно на перевіреній сторінці або знімку екрана, наприклад ім’я контактної особи біля форми.

5.2 Заперечення: припинення перевірок

Найшвидше — через robots.txt (User-agent: FormExposedBot / Disallow: /) або сторінку відмови від перевірок. Обидва способи діють негайно, без підтвердження, однаково для анонімних перевірок і перевірок клієнтів, навіть якщо клієнт підтвердив домен; поточний моніторинг завершується з наступною запланованою перевіркою. Відмова застосовується до домену та його варіанта з www, а не інших піддоменів; скасувати її можемо лише ми на запит і з підтвердженням. robots.txt діє, якщо Disallow охоплює головну сторінку. Виключення запобігає майбутнім перевіркам; воно не видаляє наявних звітів, строк яких спливає наприкінці їхнього періоду зберігання. Більше про сканер — на сторінці FormExposedBot.

5.3 Дострокове видалення звіту

Надішліть нам посилання на звіт. Кожен, хто має посилання, і так може прочитати звіт; тому для видалення ми не вимагаємо додаткового підтвердження. Без посилання зазначте домен і приблизний час, і ми пошукаємо.

Дійте так само, якщо Ви як особа з’являєтеся на перевіреній сторінці чи знімку екрана, наприклад як контактна особа біля форми, і запитуєте доступ або видалення. Якщо перевірка належить домену, щодо якого клієнт надав підтвердження контролю, ми діємо від імені цього клієнта; тоді пересилаємо Ваш запит клієнту й повідомляємо Вам про це.

5.4 Доступ до інформації про домен і підтвердження контролю

Той, хто запитує все, що ми маємо про домен, отримує дані, яких саме посилання на звіт не відкриває. Перед їх наданням ми просимо підтвердження Вашого контролю над доменом — одним із методів, яких також вимагаємо від клієнтів: запис TXT у DNS за _formexposed.<your-domain> або файл за /.well-known/formexposed-verify.txt, кожен зі значенням, яке ми вкажемо. Альтернативно достатньо повідомлення з адреси в тому самому домені, зазначеної у відомостях про постачальника сайту. Без підтвердження ми лише підтверджуємо, чи домен виключений.

Чого ми не надаємо: хто запустив перевірку — його IP-адреса є його даними, а не Вашими, і видаляється через сім днів, якщо її не зафіксовано для запобігання зловживанням через підозріло велику кількість перевірок. Якщо клієнт має Ваш домен у своєму обліковому записі, ми повідомляємо Вам про це й за Вашим бажанням пересилаємо запит. Якщо клієнт надав підтвердження контролю над доменом, ми діємо від його імені, і лише він надає свої результати. Якщо такого підтвердження немає, ми самі є контролером; тоді називаємо Вам клієнта як одержувача тією мірою, якою Ви це запитуєте й його законні інтереси не переважають (ст. 15(1)(c), (4) GDPR). Тестові надсилання клієнтів надходять лише до доменів, щодо яких клієнт надав підтвердження контролю (внутрішньо ми перевіряємо в такий спосіб лише власні тестові й демонстраційні домени); якщо Ви вважаєте, що його немає, повідомте нам.

6. Відвідувачі сайтів наших клієнтів

За Ваші дані на сторонньому сайті відповідає його оператор. Він має оригінал Вашого повідомлення. Ми працюємо від його імені й зазвичай не бачимо нічого, що ідентифікує Вас. Докладніше:

• Перевірка доставки: якщо оператор її налаштував, прихована копія листа з форми надходить до нашої контрольної скриньки. Під час наступного отримання вона автоматично читається (заголовки й щонайбільше перші 8 KB), відноситься до домену й видаляється; отримання зазвичай виконується кожні кілька хвилин, а в разі збоїв лист може залишатися до наступного успішного запуску. У базі даних залишаються лише час і відповідність домену, а при домені — технічний результат перевірки автентичності найновішого листа (SPF, DKIM, DMARC, IP-адреса поштового сервера надсилання), який перезаписує наступний лист, — ані вміст, ані повна адреса відправника. Результат автентичності містить поштовий домен відправника, наприклад Вашого поштового постачальника; у сповіщенні оператору він називається лише якщо не належить сайту. Тому після обробки ми більше не можемо знайти Ваше повідомлення, і немає нічого, що могли б пов’язати з Вами й надати.
• Значок: якщо Ваш браузер завантажує зображення значка, Ваша IP-адреса разом із часом, ідентифікацією браузера й сторінкою переходу зберігається в нашому журналі вебсервера 14 днів; значок не встановлює cookie. Якщо Ви надасте нам Вашу IP-адресу й приблизний час протягом цих 14 днів, ми перевіримо наявність записів і видалимо їх на запит. Без IP-адреси запис неможливо пов’язати з будь-ким.
• Плагін WordPress і розширення TYPO3: карантин, резервне збереження листів і записи залишаються на сайті оператора. До нас надходять щоденні показники, перелік плагінів і для з’єднаного плагіна WordPress домени посилань із заблокованих повідомлень для колективного захисту (типово ввімкненого), але жодного іншого вмісту, адрес, імен чи IP-адрес відвідувачів. Тут допомогти може лише оператор.

Тому спочатку зверніться до оператора. Якщо Ви не можете зв’язатися з ним, напишіть нам із зазначенням сайту й часу; ми перешлемо запит тією мірою, якою можемо визначити оператора. Ми не можемо приймати рішення щодо нього, оскільки це право оператора.

7. Підписники клієнтського порталу

Агентство пропонує щомісячний звіт клієнтського порталу від свого імені; агентство є контролером, а ми діємо від його імені. Ви можете будь-коли відписатися за посиланням у кожному листі, негайно й без входу. Після цього ми ще три роки зберігаємо запис Вашої підписки (адреса, мова, час та IP-адреса підписки, підтвердження, відписування), щоб агентство могло довести Вашу згоду; якщо агентство видаляє свій робочий простір, зокрема разом з обліковим записом, якщо в ньому більше нікого немає, запис зникає раніше. Якщо воно лише відкликає портал, запис залишається збереженим. Непідтверджену підписку ми видаляємо через 30 днів. Доступ і дострокове видалення Ви запитуєте в агентства; якщо напишете нам з адреси підписки, ми перешлемо запит агентства.

8. Заперечення, обмеження й відкликання згоди

• Заперечення (ст. 21 GDPR): проти обробки на підставі законних інтересів, наприклад журналів або перевірки Вашого сайту. Тоді ми більше не обробляємо ці дані, якщо не доведемо переконливих законних підстав, що переважають Ваші інтереси, або не потребуємо їх для правових вимог; про результат ми повідомимо Вам. Для перевірок відмова від перевірок є прямим шляхом (розділ 5.2). Від щомісячного звіту для Вашого облікового запису Ви відписуєтеся в налаштуваннях. Нагадування після реєстрації надходить щонайбільше один раз і більше ніколи.
• Обмеження (ст. 18): якщо Ви оспорюєте точність даних або потребуєте їх для судового провадження, на запит ми заблокуємо їх замість видалення.
• Відкликання згоди (ст. 7(3)): якщо обробка ґрунтується на Вашій згоді, наприклад щомісячний звіт клієнтського порталу, відкликання діє на майбутнє.

9. Строки, перевірка особи, витрати

Строк: ми відповідаємо без невиправданої затримки й щонайпізніше протягом одного місяця після отримання (ст. 12(3) GDPR). Якщо запит винятково об’ємний, строк можна продовжити на два місяці; ми повідомимо Вам про це в межах першого місяця з причинами. Якщо ми не вживаємо заходів, протягом одного місяця повідомимо, чому, а також що Ви можете подати скаргу до наглядового органу (ст. 12(4)).

Особа: ми надаємо дані лише особі, якій вони належать. В обліковому записі достатньо входу з Вашим паролем. Електронною поштою відповідаємо на адресу, що належить обліковому запису, запрошенню чи підписці; якщо Ви пишете з іншої адреси, просимо підтвердити запит зі збереженої адреси. Для доменів застосовується розділ 5.4. Додаткову інформацію, як-от документ, що посвідчує особу, запитуємо лише якщо залишаються обґрунтовані сумніви (ст. 12(6)), і тоді лише в необхідному обсязі; на копії документа Ви можете зафарбувати все, крім імені й фотографії, і ми видалимо її після перевірки. Ми ніколи не просимо Вашого пароля.

Витрати: відсутні. Лише за явно необґрунтовані чи надмірні запити ми можемо стягнути розумну плату або відмовити (ст. 12(5)); тоді пояснимо причини.

Одержувачі: якщо ми виправляємо, видаляємо чи обмежуємо дані, які розкрили іншим, то повідомляємо цих одержувачів, якщо це не виявиться неможливим або не потребуватиме непропорційних зусиль, а на запит повідомимо Вам, хто одержувачі (ст. 19 GDPR).

10. Межі, зазначені прямо

• Де ми нічого не зберігаємо, там нам нічого передавати. Це переважно стосується відвідувачів сайтів наших клієнтів. Відповідно до ст. 11 GDPR ми не збираємо додаткові дані лише для того, щоб ідентифікувати Вас.
• Щодо даних, які обробляються від імені Клієнта, рішення ухвалює Клієнт. Ми надаємо Клієнту підтримку відповідно до Договору про обробку даних і передаємо запити, але нічого не видаляємо за спиною Клієнта.
• Видалення є остаточним. Ми не відновлюємо видалені домени, перевірки чи облікові записи, зокрема й із резервної копії (розділ 3.4).
• Те, що ми зобов’язані зберігати, залишається до припинення цього обов’язку, насамперед рахунки та докази укладення договору (розділ 3.4).

11. Контакти та скарги

Надсилайте запити на contact@lukaswojcik.com, через сторінку контактів або вікно підтримки. Контролером є LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland. Ми не призначали фахівця із захисту даних.

Ви можете подати скаргу до будь-якого наглядового органу із захисту даних, зокрема в державі-члені Вашого звичайного проживання, місця роботи чи місця ймовірного порушення (ст. 77 GDPR). Компетентним щодо нас органом є Голова Управління захисту персональних даних (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa, Poland. Порядок розгляду скарг наведено на сторінці Скарги.