Chính sách quyền riêng tư

Tài liệu này được công bố bằng nhiều ngôn ngữ. Nếu có bất kỳ khác biệt nào giữa các phiên bản ngôn ngữ, phiên bản tiếng Ba Lan có giá trị ràng buộc.

Phiên bản 2.3 · Cập nhật lần cuối: 29 tháng 10 năm 2026

Chính sách này mô tả dữ liệu cá nhân mà formexposed xử lý, mục đích, cơ sở pháp lý, bên nhận và thời điểm xóa. Chúng tôi chỉ trình bày những gì Dịch vụ thực sự thực hiện; thời hạn lưu trữ được nêu chính là thời hạn các tác vụ xóa của chúng tôi áp dụng, và khi chưa có thời hạn cố định, chúng tôi nêu rõ. Chức năng đã được xây dựng nhưng chưa bật được xác định là như vậy. Vì Dịch vụ ảnh hưởng đến nhiều nhóm người, mỗi mục bắt đầu bằng việc nêu rõ đối tượng:

Quý khách truy cập formexposed.com hoặc form.exposed: mục 3, 4 và 5.
Quý khách đã yêu cầu kiểm tra tên miền trên trang chủ: mục 6.
Website của Quý khách được trình thu thập của chúng tôi kiểm tra: mục 7 – đây cũng là thông tin chúng tôi cung cấp theo Điều 14 GDPR.
Quý khách có tài khoản hoặc được mời vào nhóm: mục 8 đến 18.
Quý khách truy cập website của một khách hàng của chúng tôi (có huy hiệu, tiện ích hoặc kiểm tra giao thư): mục 20.
Quý khách muốn thực hiện quyền hoặc khiếu nại: mục 26 đến 28.

1. Bên kiểm soát dữ liệu và liên hệ

Bên kiểm soát việc xử lý dữ liệu cá nhân trên formexposed.com và form.exposed cũng như trong dịch vụ formexposed, trong phạm vi chúng tôi không hành động thay mặt khách hàng (mục 2), là:

LW IT Solutions Company Lukas Wójcik
Chủ sở hữu: Lukas Wójcik
al. Tadeusza Kościuszki 80/82, lok. 301
90-437 Łódź
Ba Lan
NIP (mã số thuế Ba Lan) 7252266190 · Mã VAT PL7252266190
E-mail: contact@lukaswojcik.com

Các cách liên hệ khác là cửa sổ hỗ trợ (dấu hỏi trong thanh điều hướng) và trang liên hệ. Vui lòng báo lỗ hổng bảo mật qua trang báo cáo lỗ hổng.

Cán bộ bảo vệ dữ liệu: Chúng tôi chưa chỉ định người đảm nhiệm. Chúng tôi là doanh nghiệp tư nhân một chủ; hoạt động cốt lõi là kiểm tra website và biểu mẫu, không phải giám sát cá nhân trên quy mô lớn hoặc xử lý các loại dữ liệu đặc biệt (Điều 37(1) GDPR). Lý do được nêu trong Hồ sơ hoạt động xử lý. Vui lòng gửi câu hỏi về bảo vệ dữ liệu đến địa chỉ e-mail bên trên; thư đến trực tiếp chủ sở hữu.

2. Nội dung chính sách và vai trò của chúng tôi

formexposed kiểm tra biểu mẫu liên hệ của website: có được bảo vệ trước thư rác và lạm dụng không, yêu cầu có đến không, dịch vụ bên thứ ba nào có thể đọc cùng trong lúc điền biểu mẫu và những điều này có thay đổi không. Trong quá trình đó, chúng tôi xử lý dữ liệu cá nhân với ba vai trò. Sự phân biệt không chỉ là hình thức: nó quyết định Quý khách cần liên hệ ai khi gửi yêu cầu.

Là bên kiểm soát dữ liệu đối với dữ liệu khách truy cập website của chúng tôi, khách hàng và thành viên nhóm của họ, việc thanh toán và hỗ trợ, cùng việc kiểm tra website không thuộc tài khoản khách hàng (kiểm tra miễn phí, nghiên cứu, kiểm tra khách hàng tiềm năng) hoặc có tên miền khách hàng chưa xác minh. Đó là nội dung chính sách này.
Là bên xử lý dữ liệu đối với dữ liệu bên thứ ba mà khách hàng yêu cầu xử lý qua Dịch vụ: bản sao e-mail biểu mẫu trong kiểm tra giao thư (mục 15), người đăng ký cổng khách hàng (mục 14), người nhận cảnh báo không phải chính khách hàng (mục 10), tài khoản thử nghiệm để kiểm tra sau đăng nhập (mục 9) và người có thể được nhìn thấy trên website có tên miền khách hàng đã xác minh (mục 7). Trong các trường hợp này, khách hàng là bên kiểm soát dữ liệu; áp dụng Thỏa thuận xử lý dữ liệu mà mọi khách hàng giao kết khi đăng ký.
Không tham gia xử lý những gì tiện ích WordPress và tiện ích TYPO3 lưu trên website khách hàng mà không rời website đó (mục 13). Người vận hành website là bên kiểm soát dữ liệu; chúng tôi không có quyền truy cập.

Khi chính sách này dùng từ “khách hàng”, đó là chủ tài khoản tại formexposed. Tài khoản chỉ dành cho doanh nghiệp; bất kỳ ai cũng có thể kiểm tra miễn phí mà không có tài khoản. Dịch vụ không hướng đến trẻ em.

3. Máy chủ, nhật ký và bản sao lưu

Dành cho mọi người truy cập website hoặc sử dụng Dịch vụ của chúng tôi.

Chúng tôi vận hành formexposed trên máy chủ riêng tại Ba Lan: máy chủ web có cơ sở dữ liệu và máy chủ quét chạy trình thu thập cùng mô hình ngôn ngữ. Cả hai cùng mạng nội bộ. Không có nhà cung cấp lưu trữ hoặc đám mây bên ngoài. Chỉ chủ sở hữu có quyền truy cập máy chủ.

3.1 Nhật ký máy chủ web

Với mỗi yêu cầu, máy chủ web lưu địa chỉ IP, ngày giờ, địa chỉ được yêu cầu, mã trạng thái, lượng dữ liệu truyền, trang đã truy cập trước đó (referrer) và mã nhận diện trình duyệt (user agent). Điều này cũng áp dụng cho yêu cầu huy hiệu từ trang khách hàng (mục 12). Nhật ký được luân chuyển hàng ngày và xóa sau 14 ngày.

3.2 Nhật ký lượt xem trang

Ngoài ra, ứng dụng ghi mỗi lượt xem trang nhưng không ghi yêu cầu nền, giao diện lập trình hoặc huy hiệu: địa chỉ IP, quốc gia suy ra từ IP, địa chỉ được yêu cầu và referrer (chúng tôi che token truy cập trong đó, chẳng hạn token liên kết báo cáo hoặc cổng, trước khi lưu), mã nhận diện trình duyệt cùng thông tin suy ra về loại thiết bị, hệ điều hành và trình duyệt, ngôn ngữ và – nếu Quý khách đăng nhập – số tài khoản. Chúng tôi xác định quốc gia bằng cơ sở dữ liệu trên máy chủ riêng; địa chỉ IP không rời máy chủ cho mục đích này. Nếu bộ phận hỗ trợ xem tài khoản Quý khách (mục 8.5), các lượt xem đó không được quy về tài khoản Quý khách. Chúng tôi xóa bản ghi sau 60 ngày.

3.3 Nhật ký lỗi và cảnh báo lỗi

Chúng tôi ghi lỗi kỹ thuật cùng thời điểm, cấp độ, nguồn, thông báo, bối cảnh kỹ thuật và số tài khoản nếu có, rồi xóa sau 90 ngày. Khi xuất hiện loại lỗi mới, Dịch vụ gửi chủ sở hữu e-mail chứa nguyên văn thông báo (tối đa 400 ký tự, chưa làm sạch) và thông báo ngắn qua Telegram; nếu lỗi tích tụ, chỉ gửi thông báo; ngoài ra có bản tổng hợp các loại lỗi hàng ngày qua e-mail. Tin nhắn Telegram là câu cố định, không chứa nội dung lỗi, địa chỉ hoặc thông tin về cá nhân. Với mỗi loại lỗi, chúng tôi giữ một ví dụ thông báo, hiện chưa có thời hạn lưu cố định; chúng tôi sẽ đặt thời hạn xóa và nêu tại đây. Thông báo lỗi không được chứa dữ liệu cá nhân theo chủ đích; chúng tôi không thể loại trừ khả năng đó, ví dụ thông báo lặp lại địa chỉ đã nhập.

3.4 Bản sao lưu

Cơ sở dữ liệu được sao lưu mỗi đêm sau khi tác vụ xóa hoàn tất; vì vậy bản sao lưu không chứa dữ liệu đáng lẽ đã phải xóa theo các thời hạn này. Bản sao lưu hiện được giữ cùng địa điểm với cơ sở dữ liệu và không được mã hóa riêng; dự kiến có bản sao mã hóa tại địa điểm thứ hai. Bản sao hết hạn sau 14 ngày. Dữ liệu xóa trên hệ thống đang hoạt động vẫn nằm trong bản sao lưu đến lúc đó. Không xóa chọn lọc dữ liệu khỏi bản sao lưu; bản sao chỉ phục vụ khôi phục sau mất mát.

Mục đích và cơ sở pháp lý: vận hành và bảo mật Dịch vụ, chống tấn công và lạm dụng, xử lý lỗi, khôi phục và số liệu sử dụng. Với số liệu sử dụng, chúng tôi chỉ ghi tổng hàng ngày (như lượt đăng ký mỗi ngày), không ghi về cá nhân; chúng tôi không dùng dịch vụ phân tích hoặc theo dõi nào. Cơ sở pháp lý là Điều 6(1)(f) GDPR; lợi ích chính đáng là vận hành an toàn và ổn định.

4. Cookie và lưu trữ trong trình duyệt

Dành cho khách truy cập website và người sử dụng Dịch vụ của chúng tôi.

Tên	Loại	Mục đích	Thời hạn
`bpid`	cookie	Phiên: duy trì đăng nhập, bảo vệ biểu mẫu trước yêu cầu giả mạo (CSRF) và đếm hạn mức theo phiên cho kiểm tra miễn phí	đến khi đóng trình duyệt
`bp_remember`	cookie	chỉ khi Quý khách chọn “Duy trì đăng nhập” lúc đăng nhập: duy trì trạng thái đăng nhập	30 ngày
`bp_theme`	lưu trữ cục bộ	Quý khách chọn giao diện sáng hay tối; với người đã đăng nhập, lựa chọn cũng được lưu trong tài khoản	đến khi Quý khách xóa dữ liệu trình duyệt

Việc lưu trữ này là hoàn toàn cần thiết để Dịch vụ mà Quý khách yêu cầu rõ ràng hoạt động; không cần sự đồng ý cho việc đó (Điều 5(3) Chỉ thị 2002/58/EC theo việc triển khai trong luật quốc gia, tại Đức là § 25(2) số 2 Luật Bảo vệ dữ liệu trong viễn thông và dịch vụ số (TDDDG), tại Ba Lan là Điều 399 Luật Truyền thông điện tử, Prawo komunikacji elektronicznej). Cơ sở pháp lý cho việc xử lý liên quan là Điều 6(1)(b) GDPR nếu Quý khách đã đăng nhập, nếu không là Điều 6(1)(f) GDPR; trong trường hợp sau, lợi ích chính đáng của chúng tôi là bảo vệ biểu mẫu trước yêu cầu giả mạo, thực thi hạn mức kiểm tra miễn phí và hiển thị giao diện Quý khách đã chọn.

Chúng tôi không đặt cookie quảng cáo hoặc đo lường người xem. Mã giới thiệu từ chương trình đối tác (mục 18) đi theo địa chỉ đến lúc đăng ký, không nằm trong cookie. Google reCAPTCHA có thể dùng cookie riêng khi gửi biểu mẫu (mục 5).

5. Google reCAPTCHA và biện pháp bảo vệ biểu mẫu riêng

Dành cho mọi người gửi một biểu mẫu của chúng tôi.

Chúng tôi bảo vệ các biểu mẫu kiểm tra miễn phí, công cụ kiểm tra tiêu đề, loại trừ tên miền (opt-out), đăng nhập, đăng ký, yêu cầu và đặt mật khẩu mới, hỗ trợ và liên hệ trước tấn công tự động bằng Google reCAPTCHA v3. Nhà cung cấp là Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland.

Chúng tôi chỉ tải tập lệnh Google khi Quý khách gửi một trong các biểu mẫu này, không tải ngay khi mở trang. Khi đó tập lệnh đọc thông tin về trình duyệt, thiết bị và cách sử dụng trang, truyền cùng địa chỉ IP và cookie Google nếu có đến Google để đánh giá liệu người gửi biểu mẫu là con người hay không. Chúng tôi chỉ nhận đánh giá dưới dạng điểm số cùng thao tác tương ứng. Nếu thấp hơn ngưỡng, thuộc biểu mẫu khác hoặc Google không phản hồi trong ba giây, chúng tôi từ chối lượt gửi; không lưu điểm số. Quý khách có thể thử lại hoặc gửi e-mail cho chúng tôi. Google có thể chuyển dữ liệu đến Google LLC tại Hoa Kỳ (mục 22) và tự quyết định thời gian lưu; xem thêm chính sách quyền riêng tư của Google.

Ngoài ra, các biểu mẫu này – trừ biểu mẫu đặt mật khẩu mới – có biện pháp bảo vệ riêng không dùng bên thứ ba: trường bẫy vô hình với con người và dấu thời gian có chữ ký giúp nhận diện biểu mẫu gửi quá nhanh.

Các biểu mẫu kiểm tra miễn phí, đăng ký, đăng nhập và yêu cầu mật khẩu mới còn được bảo vệ bằng biện pháp bảo vệ biểu mẫu riêng của chúng tôi formconfirmed, cũng không dùng bên thứ ba. Khi mở trang, một tập lệnh nhỏ từ máy chủ của chúng tôi lấy về một bài toán có chữ ký; ngay khi Quý khách sử dụng biểu mẫu, trình duyệt giải bài toán đó ở chế độ nền (bằng chứng công việc tính toán). Kết quả được gửi đến chúng tôi cùng biểu mẫu dưới dạng mã kiểm tra chỉ dùng một lần, và chúng tôi kiểm tra mã này khi Quý khách gửi biểu mẫu. Trong quá trình đó, chúng tôi xử lý địa chỉ IP của Quý khách, địa chỉ của trang chứa biểu mẫu, các mốc thời gian và việc một trường vô hình với con người có được điền hay không. Cho mục đích này, chúng tôi chỉ lưu địa chỉ IP ở dạng rút gọn (với IPv4 bỏ byte cuối, với IPv6 chỉ 48 bit đầu) và dưới dạng giá trị băm với khóa thay đổi hằng ngày, nhằm nhận diện các yêu cầu dồn dập; giá trị này bị xóa sau một giờ, mã kiểm tra đã dùng bị xóa sau tối đa mười một phút. Biện pháp bảo vệ biểu mẫu không đánh giá nội dung của các biểu mẫu này. Biện pháp này không đặt cookie, không lưu gì trong trình duyệt của Quý khách và không tạo dấu vân tay thiết bị. Nếu thiếu mã kiểm tra hợp lệ, chúng tôi từ chối lượt gửi; nếu dịch vụ của chúng tôi không thể truy cập để lấy bài toán, chúng tôi cho phép lượt gửi.

Cơ sở pháp lý: Điều 6(1)(f) GDPR; lợi ích chính đáng của chúng tôi là bảo vệ các biểu mẫu trước lạm dụng bằng chương trình, đặc biệt là đoán mật khẩu hàng loạt, tự động tạo tài khoản và lợi dụng kiểm tra miễn phí làm công cụ chống website bên thứ ba. Vì tập lệnh Google chỉ tải khi Quý khách gửi biểu mẫu và chỉ phục vụ lượt gửi đó, chúng tôi coi việc đọc thông tin từ thiết bị là hoàn toàn cần thiết để cung cấp dịch vụ Quý khách yêu cầu rõ ràng bằng việc gửi biểu mẫu (§ 25(2) số 2 TDDDG, Điều 399 Prawo komunikacji elektronicznej). Điều tương tự áp dụng cho biện pháp bảo vệ biểu mẫu riêng của chúng tôi: trong trình duyệt, biện pháp này chỉ xử lý những gì cần thiết để gửi biểu mẫu Quý khách đang dùng. Biện pháp này nhằm thay thế reCAPTCHA về lâu dài. Điều kiện: không có reCAPTCHA và biện pháp bảo vệ biểu mẫu riêng thì không gửi được biểu mẫu; vẫn có thể gửi yêu cầu qua e-mail.

6. Kiểm tra miễn phí không cần tài khoản

Dành cho mọi người kiểm tra tên miền trên trang chủ hoặc dùng công cụ kiểm tra tiêu đề.

6.1 Kiểm tra miễn phí

Trên trang chủ, Quý khách có thể yêu cầu kiểm tra tên miền mà không có tài khoản. Để thực hiện, chúng tôi xử lý:

tên miền đã nhập và kết quả kiểm tra (báo cáo; dữ liệu trình thu thập lấy trong quá trình đó được nêu tại mục 7);
địa chỉ IP, quốc gia của IP, hash của phiên (không phải bản thân phiên), thời điểm và yêu cầu có được chấp nhận không, để thực thi hạn mức (chỉ một vài lượt mỗi ngày cho mỗi địa chỉ và phiên; tên miền đã được kiểm tra trong vài ngày gần đây nhận cùng báo cáo thay vì lượt kiểm tra mới) và phát hiện lạm dụng. Chúng tôi xóa các bản ghi sau 7 ngày;
khi có hành vi đáng ngờ, như nhiều tên miền khác nhau từ một địa chỉ, một cờ chứa địa chỉ IP hoặc hash phiên. Cờ được giữ đến khi chúng tôi xem xét vụ việc và 90 ngày sau đó. Chủ sở hữu nhận thông báo Telegram không kèm tên miền và địa chỉ IP.

Bất kỳ ai được Quý khách cung cấp liên kết ngẫu nhiên đều có thể truy cập báo cáo; công cụ tìm kiếm không được lập chỉ mục báo cáo theo chủ đích. Chúng tôi xóa sau 30 ngày cùng dữ liệu kiểm tra và ảnh chụp màn hình. Báo cáo miễn phí hiển thị phần trích; các nội dung được kiểm tra giống trong tài khoản nhưng không gửi thử biểu mẫu.

6.2 Công cụ kiểm tra tiêu đề

Công cụ kiểm tra tiêu đề bảo mật tải trang chủ tên miền hai lần (qua https và http) và đánh giá phản hồi. Chúng tôi lưu tên miền, kết quả và hạng trong 90 ngày; hạn mức áp dụng cùng nhật ký như lượt kiểm tra (7 ngày). Tên miền bị loại trừ (mục 19) cũng không được kiểm tra tại đây.

Cơ sở pháp lý: Điều 6(1)(b) GDPR cho lượt kiểm tra Quý khách yêu cầu và Điều 6(1)(f) GDPR cho hạn mức và ngăn lạm dụng; lợi ích chính đáng là Dịch vụ không bị dùng làm công cụ chống website người khác. Điều kiện: không kiểm tra nếu không có tên miền; không có địa chỉ IP thì máy chủ không thể phản hồi Quý khách.

6.3 Phản hồi về báo cáo

Dành cho mọi người dùng “Báo cáo có điểm nào không đúng?” bên dưới báo cáo, có hoặc không có tài khoản.

Bên dưới mọi báo cáo hoàn tất, Quý khách có thể báo thiếu biểu mẫu, phân loại sai hoặc một kiểm tra riêng có kết quả sai. Để thực hiện, chúng tôi xử lý:

thông tin Quý khách nhập: nhóm đã chọn, kiểm tra liên quan nếu muốn, địa chỉ trang và văn bản tối đa 1.000 ký tự;
báo cáo mà phản hồi đề cập (mã liên kết, lượt kiểm tra và tên miền), ngôn ngữ trang và thời điểm;
nếu Quý khách đăng nhập, mã tài khoản; khi đó chúng tôi thấy địa chỉ e-mail tài khoản cạnh phản hồi;
tổng kiểm tra một chiều của địa chỉ IP (tạo bằng khóa bí mật), để mỗi địa chỉ chỉ gửi được vài phản hồi (5 mỗi giờ, 20 mỗi ngày). Chúng tôi không lưu bản thân địa chỉ IP cùng phản hồi; tổng kiểm tra được xóa sau 2 ngày.

Chúng tôi không yêu cầu địa chỉ e-mail và không trả lời phản hồi. Nếu muốn được trả lời, vui lòng viết cho hỗ trợ (mục 17). Vui lòng không nhập dữ liệu cá nhân trong văn bản. Chúng tôi đọc, phân loại phản hồi và khi hữu ích lấy dữ liệu kiểm tra của báo cáo (trường biểu mẫu, lý do và phát hiện, không có ảnh chụp màn hình) làm ca kiểm thử cho cơ chế nhận diện; ca kiểm thử đó mô tả website đã kiểm tra, không phải Quý khách. Phản hồi không thay đổi báo cáo.

Cơ sở pháp lý: Điều 6(1)(f) GDPR; lợi ích chính đáng là tìm và sửa lỗi nhận diện, hạn mức bảo vệ trước lạm dụng. Điều kiện: phản hồi là tự nguyện. Lưu trữ: 24 tháng; xóa ngay cùng tài khoản của Quý khách.

7. Kiểm tra website bằng trình thu thập – thông tin theo Điều 14 GDPR

Dành cho người vận hành website được kiểm tra và người có thông tin trên website được kiểm tra. Quý khách không tự cung cấp dữ liệu này cho chúng tôi; vì vậy chúng tôi thông báo tại đây.

7.1 Trình thu thập thực hiện những gì

Trình thu thập FormExposedBot tải tối đa tám trang công khai của website trong mỗi lượt kiểm tra, lần lượt từng trang, như khách truy cập bằng trình duyệt. Ngoài ra có thể có tối đa ba trang tải lại để nhấp “Từ chối” trong banner cookie, tối đa ba trang ở chế độ điện thoại, lượt gửi thử cho tên miền đã xác minh (mục 7.3) và tối đa năm trang sau đăng nhập (mục 9.4). Trước khi kiểm tra, trình đọc robots.txt: nếu Disallow cho FormExposedBot hoặc mọi chương trình loại trừ trang chủ, trình không kiểm tra. Hiện trình không tuân thủ riêng từng đường dẫn con bị chặn. Trình tự nhận diện là FormExposedBot trong mã nhận diện trình duyệt. Trình kiểm tra biểu mẫu và lưu:

địa chỉ và tiêu đề các trang được kiểm tra, cấu trúc biểu mẫu (tên trường, loại trường, nhãn, thuộc tính bắt buộc và hiển thị, không có giá trị; chỉ đọc phần đầu trường ẩn điền sẵn và thuộc tính dữ liệu trong lúc kiểm tra mà không lưu) và biện pháp bảo vệ tìm thấy;
đặc điểm kỹ thuật trang: dịch vụ CAPTCHA và chống thư rác được dùng, tập lệnh nhúng của bên thứ ba (địa chỉ và tổng kiểm tra), máy chủ mà trang tải nội dung, tên cookie được đặt, tiêu đề bảo mật, chỉ dấu khả năng tiếp cận biểu mẫu, hành vi banner cookie khi từ chối và pixel quảng cáo hoặc ghi phiên có gắn với biểu mẫu không;
ảnh chụp vùng hiển thị của trang đầu và mỗi biểu mẫu tìm thấy, cùng ảnh trang phản hồi sau lượt gửi thử. Những ảnh này không được che dữ liệu; hiển thị những gì có thể nhìn thấy trên trang.

Nếu biểu mẫu chứa địa chỉ người nhận, chúng tôi chỉ lưu tên miền, không bao giờ lưu địa chỉ. Chúng tôi không lưu nội dung khác của trang. Tuy nhiên, dữ liệu cá nhân vẫn có thể bị ảnh hưởng nếu hiển thị trên trang hoặc ảnh chụp màn hình, như tên và ảnh người liên hệ cạnh biểu mẫu. Các nhóm dữ liệu: tên, vai trò, thông tin liên hệ và hình ảnh do chính người vận hành công bố. Chúng tôi không tìm kiếm và không phân tích các loại dữ liệu đặc biệt.

Chúng tôi phân loại biểu mẫu bằng quy tắc cố định (như “liên hệ” hoặc “bản tin”). Chỉ khi quy tắc không cho kết quả, mô hình ngôn ngữ chạy trên máy chủ quét riêng mới hỗ trợ; không bao giờ gửi các biểu mẫu được phân loại theo cách này và không tính chúng vào điểm số hoặc đánh giá. Không gửi dữ liệu đến bên thứ ba trong quá trình đó và không dùng dữ liệu để huấn luyện mô hình. Xem thêm tại Đạo luật AI của EU: Cách formexposed sử dụng AI.

7.2 Ai khởi tạo lượt kiểm tra

người nhập tên miền trên trang chủ (mục 6);
tiện ích WordPress hoặc tiện ích TYPO3 của chúng tôi cho website được cài tiện ích đó, kể cả không có tài khoản (mục 13);
khách hàng cho tên miền trong tài khoản (mục 9);
công ty dịch vụ cho website khách hàng tiềm năng, không gửi thử biểu mẫu (mục 14);
chính chúng tôi cho nghiên cứu về bảo vệ biểu mẫu liên hệ, chỉ công bố số liệu tổng hợp không kèm tên website.

7.3 Trình thu thập không thực hiện những gì

Trình chỉ kiểm tra thụ động website người khác: không gửi bất kỳ biểu mẫu nào, không thử thông tin đăng nhập và không tấn công gì. Trình chỉ gửi thử biểu mẫu đến biểu mẫu liên hệ của tên miền mà khách hàng đã chứng minh trong tài khoản rằng họ có quyền kiểm soát – là chủ sở hữu hoặc thay mặt chủ sở hữu, qua bản ghi DNS, thẻ meta, tệp hoặc tiện ích: tin nhắn thử ghi nhãn rõ ràng, không có dữ liệu cá nhân, tối đa năm mỗi lượt kiểm tra; khi không có bằng chứng đó, chỉ gửi trong kiểm tra nội bộ các tên miền thử nghiệm và demo riêng của chúng tôi. Tìm tệp bị lộ, đọc phiên bản và kiểm tra sau đăng nhập cũng chỉ dành cho tên miền đã xác minh (mục 9).

7.4 Thời hạn lưu trữ

Kiểm tra không có tài khoản: 30 ngày; kiểm tra website khách hàng tiềm năng: 90 ngày; kiểm tra phục vụ nghiên cứu: đến khi công bố kết quả; kiểm tra tên miền trong tài khoản khách hàng: tối đa 13 tháng – giữ lượt mới nhất chừng nào tên miền còn trong tài khoản – và không bao giờ lâu hơn thời gian tên miền nằm trong tài khoản.

7.5 Cơ sở pháp lý và nguồn

Cơ sở pháp lý là Điều 6(1)(f) GDPR. Lợi ích chính đáng là chỉ cho người vận hành website và nhà cung cấp dịch vụ của họ các điểm yếu biểu mẫu trước khi bị dùng gửi thư rác hoặc lạm dụng, đáp ứng lợi ích của người yêu cầu kiểm tra đối với kết quả và, trong nghiên cứu, đưa ra nhận định về tình trạng bảo vệ biểu mẫu. Dữ liệu đến từ nguồn truy cập công khai, cụ thể là chính website được kiểm tra. Bên nhận là người bắt đầu lượt kiểm tra và bất kỳ ai được người đó cung cấp liên kết báo cáo, cùng công ty dịch vụ trong kiểm tra khách hàng tiềm năng; nghiên cứu chỉ công bố số liệu tổng hợp. Nếu khách hàng kiểm tra tên miền đã xác minh trong tài khoản, chúng tôi hành động thay mặt họ (mục 2); chừng nào chưa xác minh, chúng tôi tự là bên kiểm soát dữ liệu. Chúng tôi công bố thông tin tại đây và trên trang FormExposedBot thay vì viết riêng cho từng người nhìn thấy trên trang; việc đó không thể thực hiện hoặc không tương xứng, đặc biệt vì chúng tôi chỉ biết về họ những gì có trên trang (Điều 14(5)(b) GDPR).

Phản đối và loại trừ: Là người vận hành website, Quý khách có thể loại trừ các lượt kiểm tra tiếp theo của tên miền qua robots.txt hoặc trang yêu cầu loại trừ (mục 19). Người xuất hiện trên trang được kiểm tra có thể phản đối việc xử lý theo mục 27 và yêu cầu xóa báo cáo hoặc ảnh chụp màn hình.

8. Tài khoản khách hàng của Quý khách

Dành cho khách hàng và thành viên nhóm được mời.

8.1 Đăng ký và tài khoản

Với tài khoản, chúng tôi xử lý địa chỉ e-mail và mật khẩu (chỉ dưới dạng hash; chúng tôi không biết bản thân mật khẩu), tên và – trong phạm vi Quý khách cung cấp – họ và công ty, cùng ngôn ngữ, giao diện, tiền tệ, gói, thời điểm đăng ký và đăng nhập gần nhất, địa chỉ IP lần đăng nhập gần nhất. Quý khách xác nhận địa chỉ e-mail qua liên kết có hiệu lực 72 giờ; tài khoản chưa bao giờ được xác nhận bị xóa sau 30 ngày. Nếu đổi địa chỉ e-mail, địa chỉ mới chỉ áp dụng sau khi xác nhận qua liên kết được gửi đến đó.

Cơ sở pháp lý: Điều 6(1)(b) GDPR (hợp đồng); với IP lần đăng nhập gần nhất, Điều 6(1)(f) GDPR (bảo vệ tài khoản, mục 8.2). Điều kiện: cần địa chỉ e-mail, tên và mật khẩu để giao kết hợp đồng; Quý khách chỉ cung cấp địa chỉ thanh toán và mã VAT cho gói trả phí, cho Stripe (mục 18).

8.2 Đăng nhập và bảo mật

lần thử đăng nhập kèm địa chỉ e-mail, IP và kết quả: 7 ngày, để chống đoán mật khẩu; ngoài ra có bộ đếm thử đăng nhập theo tài khoản (với địa chỉ không xác định, theo địa chỉ đã nhập), theo tài khoản và IP, theo IP, thử xác thực hai yếu tố và xác nhận mật khẩu theo tài khoản, e-mail đặt lại mật khẩu theo địa chỉ e-mail, đăng ký theo IP và thử mật khẩu cổng khách hàng theo cổng và IP; chúng tôi chỉ lưu dưới khóa định danh giả (HMAC), không có e-mail hoặc IP dạng rõ, và bộ đếm hết hạn cùng cửa sổ thời gian (hiện 15 phút, một giờ cho đặt lại mật khẩu và đăng ký);
thiết bị đã đăng nhập kèm IP, trình duyệt, hệ điều hành và loại thiết bị để Quý khách xem trong cài đặt và đăng xuất: tối đa 90 ngày sau lần dùng cuối;
nếu bật đăng nhập hai yếu tố, bí mật tương ứng (được mã hóa) và mã khôi phục (chỉ dạng hash);
liên kết đặt lại mật khẩu có hiệu lực một giờ;
nhật ký hoạt động quan trọng, như “đã tạo tên miền”, “đã thiết lập cảnh báo” hoặc “đã thay đổi cài đặt”, kèm thời điểm, tài khoản thực hiện, IP và quốc gia: 365 ngày.

Cơ sở pháp lý: Điều 6(1)(f) GDPR; lợi ích chính đáng là bảo vệ tài khoản, Dịch vụ và khả năng truy vết thay đổi trong không gian làm việc có nhiều người tham gia.

8.3 Ghi nhận việc giao kết hợp đồng

Khi đăng ký, chúng tôi ghi phiên bản Điều khoản dịch vụ và Thỏa thuận xử lý dữ liệu mà Quý khách đồng ý, phiên bản Chính sách quyền riêng tư đã đọc – mỗi trường hợp kèm toàn văn, hash, thời điểm, IP và mã nhận diện trình duyệt. Đây là bằng chứng giao kết hợp đồng (Điều 6(1)(b) và (f) GDPR). Chúng tôi giữ hồ sơ khi tài khoản còn tồn tại. Sau khi tài khoản bị xóa, chúng tôi xóa hồ sơ ngay khi sự chấp thuận đủ bốn năm, vì câu hỏi về giao kết hợp đồng thường phát sinh chính sau khi chấm dứt.

8.4 Không gian làm việc, nhóm và lời mời

Một tài khoản hoạt động trong một hoặc nhiều không gian làm việc. Nếu Quý khách mời ai, chúng tôi gửi e-mail nêu tên không gian làm việc (mặc định là tên công ty hoặc tên của Quý khách) cùng liên kết chấp nhận; lời mời cũng lưu vai trò dự kiến và người gửi. Thành viên không gian làm việc thấy ai tham gia và giữ vai trò nào. Nếu Quý khách là người được mời, chúng tôi nhận địa chỉ e-mail từ thành viên mời Quý khách (Điều 14(2)(f) GDPR). Lời mời chưa chấp nhận bị xóa khi hết hạn sau 14 ngày, lời mời đã chấp nhận bị xóa 30 ngày sau chấp nhận. Có thể giao một người trong nhóm phụ trách biểu mẫu được giám sát và đặt hạn khắc phục; chúng tôi chỉ lưu việc gán tài khoản và thời hạn. Cơ sở pháp lý: Điều 6(1)(b) GDPR trong quan hệ với khách hàng; Điều 6(1)(f) GDPR đối với người được mời (khách hàng muốn làm việc cùng người đó).

8.5 Trợ giúp từ bộ phận hỗ trợ

Để giúp xử lý vấn đề, hỗ trợ có thể xem tài khoản giống cách Quý khách nhìn thấy. Mọi truy cập như vậy được ghi trong nhật ký hoạt động và xuất hiện trong bản xuất dữ liệu. Cơ sở pháp lý: Điều 6(1)(b) GDPR nếu Quý khách yêu cầu trợ giúp, nếu không là Điều 6(1)(f) GDPR (xử lý lỗi).

8.6 Xuất và xóa dữ liệu

Trong Cài đặt, Quý khách tải dữ liệu lưu cho tài khoản dưới dạng tệp JSON – không có hash mật khẩu, bí mật hoặc dữ liệu thành viên khác. Tệp không chứa kết quả kiểm tra, phát hiện và sự cố (chỉ có các lần thử gửi cảnh báo nâng cấp theo nơi nhận); các dữ liệu này có dưới dạng báo cáo trong tài khoản và tệp theo yêu cầu. Tại đó Quý khách cũng có thể tự xóa tài khoản, không cần e-mail. Gói trả phí đang chạy kết thúc ngay, theo nguyên tắc không hoàn tiền (ngoại lệ được nêu trong Điều khoản dịch vụ); ai muốn dùng hết thời gian đã trả phí thì trước tiên hủy trong Thanh toán với hiệu lực cuối kỳ. Nếu hợp đồng tài khoản kết thúc theo cách khác, ví dụ do chúng tôi chấm dứt, Quý khách có thể xuất dữ liệu đến khi hợp đồng kết thúc và chúng tôi xóa tài khoản chậm nhất 30 ngày sau đó. Cùng tài khoản, chúng tôi xóa ngay các không gian làm việc của Quý khách và dữ liệu gắn với chúng, gồm tên miền, kết quả kiểm tra, ảnh chụp màn hình, cảnh báo, sự cố, nhật ký bằng chứng, thương hiệu, cổng khách hàng gồm cả người đăng ký, danh sách kiểm tra khách hàng tiềm năng (báo cáo vẫn truy cập được đến khi hết 90 ngày), khóa API, mã triển khai và tài khoản đăng nhập thử nghiệm. Nếu vẫn có người khác làm việc trong một không gian của Quý khách, không gian đó được chuyển cho thành viên khác – ưu tiên quản trị viên, và trong nhóm đó người tham gia lâu nhất – thay vì bị xóa. Các dữ liệu sau được giữ đến khi hết thời hạn riêng: nhật ký hoạt động và lượt xem trang kèm số tài khoản cũ, e-mail đã gửi (30 ngày, mục 11), hồ sơ giao kết hợp đồng (8.3), yêu cầu hỗ trợ (mục 17), dữ liệu hóa đơn theo thời hạn luật thuế yêu cầu, dữ liệu hoa hồng và mã kích hoạt đã đổi hiện chưa có thời hạn lưu (mục 18), cùng bản sao lưu (3.4).

9. Tên miền, kiểm tra và giám sát

Dành cho khách hàng. Trong phạm vi liên quan đến dữ liệu cá nhân bên thứ ba, chúng tôi hành động thay mặt khách hàng.

9.1 Tên miền và xác minh

Với mỗi tên miền trong tài khoản, chúng tôi lưu tên, bằng chứng quyền cho phép (bản ghi DNS, thẻ meta, tệp hoặc tiện ích), kết quả kiểm tra và cài đặt, như tần suất, khoảng bảo trì, ghi chú, nhãn khách hàng và giá trị ước tính của một yêu cầu. Tần suất phụ thuộc gói và tối đa là kiểm tra hàng ngày.

9.2 Giám sát thông tin có sẵn công khai

Giữa các lượt kiểm tra, chúng tôi truy vấn thông tin công khai về tên miền:

bản ghi DNS (SPF, DMARC, MX), chứng chỉ TLS và tiêu đề bảo mật;
ngày hết hạn tên miền qua dịch vụ RDAP của cơ quan đăng ký phụ trách; chỉ truyền tên miền;
khả năng truy cập trang biểu mẫu (kiểm tra nhanh biểu mẫu, mỗi 10, 15 hoặc 30 phút tùy gói);
trang trạng thái công khai của dịch vụ CAPTCHA và e-mail mà website dùng; không truyền thông tin về Quý khách khi thực hiện;
lỗ hổng bảo mật đã biết trong tiện ích biểu mẫu, CAPTCHA và e-mail, cùng – hàng tuần với tên miền đã xác minh – CMS, tiện ích và giao diện mà phiên bản được đọc từ bên ngoài trên trang chủ. Đối chiếu với cơ sở dữ liệu mở WPVulnerability; chỉ truyền mã tiện ích hoặc giao diện (không có phiên bản) và phiên bản WordPress, không truyền tên miền;
hàng ngày, địa chỉ máy chủ web, địa chỉ máy chủ gửi e-mail biểu mẫu gần nhất (từ kiểm tra giao thư), tên miền và tên miền người gửi của e-mail đó có nằm trong danh sách chặn DNS chống thư rác (SpamCop, PSBL, Mailspike, SURBL) không; chỉ truy vấn tên miền và IP máy chủ, không có dữ liệu khách truy cập;
nếu được thiết lập, Google Web Risk có liệt kê trang chủ là trang phần mềm độc hại hoặc lừa đảo không; chỉ truyền địa chỉ trang chủ;
hàng tuần với tên miền đã xác minh, có tệp bị lộ không nên công khai (như bản sao lưu cấu hình hoặc bản kết xuất cơ sở dữ liệu) không. Chúng tôi chỉ đọc tối đa 8 KB đầu tệp để nhận diện và chỉ lưu đường dẫn, loại và mức độ nghiêm trọng của phát hiện, không bao giờ lưu nội dung.

9.3 Hành trình biểu mẫu và kiểm tra trình duyệt

Với biểu mẫu được giám sát, chúng tôi lưu địa chỉ, bộ chọn, lượt nhấp trước đó và bước kiểm tra tổng hợp, lựa chọn trình duyệt, người phụ trách và hạn xử lý. Kiểm tra trình duyệt chỉ điền tối đa đến bước trước khi gửi; không gửi gì và không kích hoạt đơn hàng hoặc thanh toán. Kết quả gồm trạng thái, nhóm lỗi kỹ thuật, thông báo lỗi đã làm sạch và thời gian, có thể kèm ảnh nhỏ biểu mẫu đã che trường nhập. Việc che này chỉ có trong kiểm tra trình duyệt; ảnh chụp của lượt kiểm tra đầy đủ bằng trình thu thập không được che dữ liệu (mục 7.1). Phép đo từ trình duyệt kiểm tra không phải phép đo khách truy cập của Quý khách.

Đã dự liệu đầu dò thứ hai độc lập để xác nhận kết quả nhưng hiện chưa thiết lập. Đầu dò sẽ chỉ nhận tên miền, cấu hình đã làm sạch và mã job, không bao giờ nhận thông tin đăng nhập, ảnh chụp màn hình hoặc dữ liệu khách truy cập; chúng tôi sẽ nêu trước người vận hành trong danh sách Bên xử lý phụ.

9.4 Kiểm tra sau đăng nhập

Trong gói trả phí, chủ sở hữu và quản trị viên không gian làm việc có thể lưu tài khoản thử nghiệm cho website riêng trên tên miền đã xác minh, để trình thu thập đọc biểu mẫu sau đăng nhập. Áp dụng các điều sau:

Tên người dùng và mật khẩu được mã hóa trên máy chủ web bằng khóa mà chỉ máy chủ quét có thể mở; máy chủ web, cơ sở dữ liệu và bản sao lưu chỉ chứa dạng mã hóa. Không bao giờ hiển thị, ghi nhật ký hoặc xuất qua giao diện lập trình; giao diện người dùng chỉ hiện ký tự đầu và độ dài tên người dùng. Bản mã hóa gắn với job kiểm tra được xóa sau lượt chạy, chậm nhất sau một giờ.
Tài khoản thử nghiệm chỉ được dùng cho kiểm tra đầy đủ bằng trình thu thập, không dùng cho kiểm tra trình duyệt (9.3).
Sau đăng nhập, trình thu thập đọc tối đa năm trang được chỉ định. Không gửi gì, không chụp ảnh tại đó (có thể hiển thị dữ liệu tài khoản) và không đi theo liên kết đăng xuất, xóa hoặc hủy.
Nếu Quý khách xóa thông tin đăng nhập, chúng tôi ghi đè giá trị mã hóa rồi loại bỏ; thông tin cũng bị xóa cùng tên miền.

Chỉ dùng tài khoản thử nghiệm được tạo riêng cho mục đích này, không chứa dữ liệu khách hàng thực. Chúng tôi xử lý những gì trình thu thập thấy sau đăng nhập thay mặt Quý khách.

9.5 Chức năng khác

Danh mục tập lệnh: Nếu Quý khách bật, chúng tôi giữ danh sách tập lệnh trên trang biểu mẫu kèm địa chỉ và tổng kiểm tra, báo tập lệnh mới hoặc thay đổi và, khi được duyệt, lưu ai duyệt, khi nào và với lý do gì. Khả năng tiếp cận: Từ lượt kiểm tra gần nhất, Dịch vụ có thể tạo bản nháp thông tin khả năng tiếp cận của biểu mẫu; thông tin công ty Quý khách nhập cho việc này được giữ trong trình duyệt. Đối sánh: Để so sánh trong ngành, chúng tôi chỉ đánh giá kết quả của mọi khách hàng dưới dạng tổng hợp; không có website riêng lẻ trong đó.

Cơ sở pháp lý cho mục 9: Điều 6(1)(b) GDPR; với dữ liệu cá nhân bên thứ ba hiển thị khi kiểm tra, là chỉ dẫn của Quý khách theo Thỏa thuận xử lý dữ liệu. Thời hạn lưu: tên miền, xác minh, cài đặt, hành trình biểu mẫu và đăng nhập thử nghiệm đến khi Quý khách xóa chúng, tên miền hoặc tài khoản; danh mục tập lệnh và thay đổi đến khi xóa tên miền hoặc tài khoản (không có thời hạn riêng); kết quả kiểm tra, kết quả trình duyệt và thời gian tối đa 13 tháng (giữ lượt mới nhất chừng nào tên miền còn trong tài khoản).

10. Thông báo

Dành cho khách hàng và người nhận họ nhập.

Chúng tôi gửi cảnh báo và báo cáo đến nơi Quý khách thiết lập: địa chỉ e-mail, webhook riêng, Slack, Discord, Microsoft Teams, Google Chat hoặc Telegram. Kênh chat và webhook có trong gói Pro và Business. Tin nhắn chứa tên miền, sự kiện, mô tả ngắn và liên kết vào tài khoản, với cảnh báo kiểm tra là liên kết báo cáo cho phép xem kết quả và ảnh chụp màn hình mà không đăng nhập (Telegram chỉ nhận liên kết đến trang tên miền trong tài khoản, yêu cầu đăng nhập); không chứa nội dung e-mail biểu mẫu. Chúng tôi lưu:

nơi nhận (địa chỉ e-mail, webhook hoặc chat; với webhook có bí mật dùng để ký) đến khi Quý khách xóa nơi nhận hoặc tên miền;
nhật ký gửi với thời điểm, sự kiện và kết quả: 90 ngày;
thông báo được tập hợp cho báo cáo ngày và tuần: tối đa 30 ngày sau khi gửi;
sự cố kèm liên kết xác nhận tiếp nhận: khi chưa giải quyết, sau đó 180 ngày từ khi giải quyết. Người xác nhận tiếp nhận được ghi với tên đã nhập hoặc địa chỉ e-mail. Sự cố chưa được xác nhận tiếp nhận có thể được nâng cấp cảnh báo đến nơi nhận khác; với mỗi nơi nhận, chúng tôi lưu số lần và thời điểm thử gửi (tối đa năm), kết quả thành công và lỗi nếu có, trong thời gian sự cố còn tồn tại. Sự cố chỉ đóng khi vấn đề đã giải quyết; riêng việc xác nhận tiếp nhận không kết thúc sự cố.

Telegram: Chúng tôi vận hành bot riêng cho Telegram. Quý khách kết nối qua liên kết có mã dùng một lần hiệu lực 30 phút; khi nhấn “Start” trong bot, máy chủ lấy tin nhắn từ Telegram và lưu mã cuộc chat (chat ID) làm nơi nhận cảnh báo. Telegram cũng cung cấp tên Telegram của Quý khách; chúng tôi không lưu tên đó. Bản thân mã được xóa sớm nhất sau một ngày, ngay khi có mã khác được tạo. Chat ID được giữ đến khi Quý khách xóa cảnh báo hoặc tên miền.

Dịch vụ chat xử lý tin nhắn theo điều khoản riêng và hợp đồng của Quý khách với họ; một số đặt ngoài EU (mục 22). Với người nhận không phải khách hàng, chúng tôi hành động thay mặt Quý khách; vui lòng thông báo cho họ.

Cơ sở pháp lý: Điều 6(1)(b) GDPR; với người nhận không phải khách hàng là chỉ dẫn của Quý khách. Điều kiện: không có cảnh báo nếu không có nơi nhận; các kiểm tra vẫn chạy.

11. E-mail từ chúng tôi

Dành cho khách hàng và mọi người chúng tôi gửi thư.

Chúng tôi gửi e-mail xác nhận địa chỉ, đặt lại mật khẩu, lời mời, cảnh báo và báo cáo, xác nhận tiếp nhận yêu cầu hỗ trợ và thông báo về tài khoản, thanh toán. Việc gửi và nhận e-mail của chúng tôi do Namecheap, Inc. (Private Email), Phoenix, Arizona, USA xử lý. Tên miền và bản ghi DNS được Namecheap, Inc., Phoenix, Arizona, USA quản lý; đến khi hộp thư tại Namecheap, Inc. (Private Email), Phoenix, Arizona, USA được thiết lập, Namecheap cũng chuyển tiếp e-mail thông thường gửi đến địa chỉ thuộc tên miền của chúng tôi. Bản sao kiểm soát của kiểm tra giao thư không đi qua dịch vụ đó. E-mail đã gửi, gồm người nhận, tiêu đề và nội dung, được giữ 30 ngày để xử lý vấn đề giao thư; không lâu hơn vì thư cũng chứa liên kết xác nhận và đặt lại còn hiệu lực.

Ba loại e-mail được gửi mà không có yêu cầu rõ ràng của Quý khách:

Báo cáo hàng tháng: tổng quan lượt kiểm tra và thông báo cho các tên miền vào đầu tháng. Quý khách có thể hủy đăng ký trong cài đặt.
Nhắc thiết lập: một e-mail duy nhất trong khoảng hai đến mười bốn ngày sau đăng ký nếu tài khoản đã xác nhận nhưng chưa có tên miền được xác minh – “Thêm website” hoặc “Xác minh tên miền”, không có đề nghị, giá hoặc nâng cấp. Không gửi lại.
Kết thúc dùng thử: thông báo điều xảy ra sau đó, ba ngày trước khi dùng thử kết thúc.

Cơ sở pháp lý: Điều 6(1)(b) GDPR với e-mail thuộc hợp đồng, gồm báo cáo tháng và thông báo dùng thử; Điều 6(1)(f) GDPR với nhắc thiết lập vì tài khoản không có tên miền không dùng được Dịch vụ và nhiều khách hàng chỉ đơn giản quên thiết lập. Chúng tôi không gửi quảng cáo.

12. Huy hiệu và nhật ký bằng chứng

Dành cho khách hàng dùng huy hiệu hoặc nhật ký bằng chứng và khách truy cập website có huy hiệu.

Huy hiệu: Nếu Quý khách nhúng huy hiệu trên website, trình duyệt của mọi khách truy cập trang đó tải hình huy hiệu từ máy chủ chúng tôi. Khi đó chúng tôi nhận dữ liệu kết nối thông thường – IP, thời điểm, mã nhận diện trình duyệt và trang có huy hiệu – chỉ đưa vào nhật ký máy chủ web (14 ngày, mục 3.1), không vào nhật ký lượt xem trang. Huy hiệu không đặt cookie, không bắt đầu phiên và không chứa tập lệnh. Trang xác nhận công khai hiển thị tên miền, mức và ngày kiểm tra gần nhất, không có phát hiện riêng; người mở trang là khách truy cập website của chúng tôi (mục 3 và 4). Cơ sở pháp lý là Điều 6(1)(f) GDPR; lợi ích chính đáng là cung cấp huy hiệu khách hàng nhúng. Khách hàng đề cập điều này trong chính sách quyền riêng tư của mình (các khối văn bản).

Nhật ký bằng chứng: Trong gói trả phí, Quý khách có thể tạo nhật ký kiểm tra theo từng tên miền và tháng. Dưới mã xác minh, trang công khai xác nhận tên miền, giai đoạn và số liệu chính, không có chi tiết. Để sau này xác định nhật ký có bị sửa không, chúng tôi yêu cầu cơ quan cấp dấu thời gian ký. Chúng tôi chỉ truyền hash của nhật ký, không thể khôi phục nội dung từ hash; hiện là Certum (Asseco Data Systems S.A., Poland) và dự phòng DigiCert, Inc. (USA). Nhật ký được giữ đến khi Quý khách xóa tên miền. Cơ sở pháp lý là Điều 6(1)(b) GDPR.

13. Tiện ích WordPress và tiện ích TYPO3

Dành cho khách hàng dùng tiện ích hoặc phần mở rộng và khách truy cập website của họ.

13.1 Những gì ở lại website khách hàng

Tiện ích WordPress và tiện ích TYPO3 chạy trên máy chủ khách hàng. Dữ liệu tiện ích WordPress lưu tại đó ở lại website; chúng tôi không có quyền truy cập và người vận hành là bên kiểm soát dữ liệu:

Cách ly: lượt gửi mà lớp bảo vệ giữ lại như thư rác, gồm nội dung trường và địa chỉ trả lời, tối đa 14 ngày để tin nhắn bị giữ nhầm có thể được giao bằng một lần nhấp;
Lưới an toàn: bản sao e-mail biểu mẫu không gửi được (người nhận, tiêu đề, nội dung và dòng tiêu đề như địa chỉ trả lời; tệp đính kèm chỉ có tên), tối đa 30 ngày để có thể gửi lại;
Bài toán tính toán: trình duyệt khách truy cập giải nhiệm vụ nhỏ do chính website đặt ra; không cookie, không dịch vụ bên thứ ba;
Thời hạn lưu: theo yêu cầu, tiện ích xóa yêu cầu đã lưu của một số tiện ích biểu mẫu sau 90, 180 hoặc 365 ngày;
Số liệu biểu mẫu (tắt mặc định): lượt xem, bắt đầu, lỗi xác thực và lần thử gửi theo biểu mẫu, cùng nhóm lỗi theo vị trí trường nếu được bật riêng – không có dữ liệu nhập, tên trường, cookie hoặc mã nhận diện khách truy cập bền vững, lưu tối đa 14 ngày trên website. Mã suy ra từ IP để giới hạn yêu cầu hết hạn sau một phút và không gửi đến chúng tôi;
Trợ giúp khách truy cập (có thể bật riêng): sau lỗi gửi, thông báo dẫn trở lại biểu mẫu vẫn đang mở và nếu muốn nêu địa chỉ e-mail; không đọc dữ liệu nhập, không lưu bản nháp và không tự gửi lại;
quy tắc thư rác mới có thể đếm cục bộ trong bảy ngày mà không giữ lại nội dung nào.

Tiện ích WordPress tự thêm các đoạn phù hợp vào hướng dẫn chính sách quyền riêng tư của WordPress; văn bản khác có tại Văn bản chính sách quyền riêng tư cho website. Tiện ích TYPO3 không lưu nội dung biểu mẫu; thêm thẻ meta vào mọi trang để xác minh tên miền và thực hiện đếm.

13.2 Công cụ ghi lại

Với công cụ ghi lại, quản trị viên WordPress đã đăng nhập ghi đường đi đến biểu mẫu trên website riêng. Công cụ giữ bộ chọn kỹ thuật và bước điều hướng trong bộ nhớ phiên trình duyệt tối đa 15 phút, rồi chuyển cấu hình đã chọn đến tài khoản kết nối. Không đọc dữ liệu nhập nào. Công cụ không bao giờ tải cho khách truy cập.

13.3 Những gì được gửi đến chúng tôi

Tiện ích và phần mở rộng truyền đến chúng tôi – tùy chức năng và, trừ kiểm tra website riêng không có tài khoản, chỉ trong thời gian website kết nối với tài khoản:

tên máy chủ, khóa công khai và bí mật để website nhận diện chính mình, phiên bản tiện ích và CMS cùng ngôn ngữ;
số liệu hàng ngày: lượt gửi bị chặn theo lý do, được chấp nhận, e-mail gửi thành công và thất bại kèm loại lỗi, số liệu phản hồi reCAPTCHA và yêu cầu được tự động xóa; nếu bật đếm thì có số liệu ngày tương ứng;
đặc điểm cài đặt biểu mẫu dưới dạng số liệu, như số biểu mẫu dùng địa chỉ khách truy cập làm người gửi, cùng phiên bản một số tiện ích biểu mẫu, CAPTCHA và e-mail trong danh sách cố định;
cập nhật, kích hoạt và vô hiệu hóa tiện ích, giao diện và CMS kèm tên, phiên bản, chế độ bảo trì và việc e-mail biểu mẫu gửi thất bại (chỉ loại lỗi);
cấu hình hành trình biểu mẫu được chọn bằng công cụ ghi lại;
cho bảo vệ cộng đồng (bật mặc định), tên miền liên kết trong tin nhắn bị chặn. Báo cáo từ nhiều website tạo danh sách tên miền thư rác mà mọi tiện ích đã kết nối tải về. Chúng tôi không truyền IP hoặc dải mạng của người gửi cho việc này.

Ngoài các tên miền liên kết đó, tiện ích và phần mở rộng không truyền nội dung biểu mẫu, địa chỉ e-mail, tên hoặc IP khách truy cập. Chúng tôi xóa số liệu ngày và báo cáo thay đổi sau 13 tháng, tín hiệu bảo vệ cộng đồng sau 30 ngày; thông tin từ website không thuộc tên miền nào trong tài khoản bị xóa sau 90 ngày không liên lạc.

Cơ sở pháp lý: Điều 6(1)(b) GDPR; với bảo vệ cộng đồng là Điều 6(1)(f) GDPR (cùng chống thư rác trên nhiều website). Thông tin này chỉ là dữ liệu cá nhân trong trường hợp ngoại lệ, ví dụ tên máy chủ chứa tên người.

14. Chức năng cho công ty dịch vụ

Dành cho công ty dịch vụ và những người tiếp xúc với cổng, báo cáo của họ.

Cổng khách hàng: Công ty dịch vụ có thể cho khách hàng truy cập cổng có kết quả cho tên miền của họ. Người đăng ký báo cáo tháng tại đó cung cấp địa chỉ e-mail và xác nhận qua liên kết (double opt-in). Chúng tôi lưu địa chỉ, ngôn ngữ, thời điểm và IP đăng ký, thời điểm xác nhận và tháng gửi gần nhất. Đăng ký chưa xác nhận bị xóa sau 30 ngày. Có thể hủy đăng ký bất cứ lúc nào qua liên kết trong mọi e-mail; sau đó chúng tôi giữ hồ sơ đăng ký thêm ba năm nhưng không lâu hơn thời điểm xóa không gian làm việc của công ty dịch vụ; nếu họ chỉ thu hồi cổng, người đăng ký vẫn được lưu. Cổng và báo cáo hiển thị dưới tên công ty dịch vụ; công ty là bên kiểm soát dữ liệu, chúng tôi hành động thay mặt họ. Cơ sở pháp lý của công ty là sự đồng ý của người đăng ký.
Thương hiệu riêng: tên công ty, website, thông tin liên hệ, màu và logo do công ty dịch vụ lưu xuất hiện trên báo cáo và trong cổng đến khi được thay đổi hoặc xóa.
Tên miền riêng: Trong gói Business, công ty dịch vụ có thể hiển thị cổng và báo cáo dưới tên miền phụ riêng. Chúng tôi kiểm tra bản ghi DNS hàng ngày cho việc này. Chức năng hiện chưa được bật.
Kiểm tra khách hàng tiềm năng: Công ty dịch vụ có thể yêu cầu kiểm tra website khách hàng tiềm năng mà không gửi thử biểu mẫu (mục 7). Họ tự chuyển tiếp liên kết kết quả ngắn; chúng tôi không viết cho bất kỳ ai. Chúng tôi xóa lượt kiểm tra sau 90 ngày. Chỉ công ty dịch vụ chịu trách nhiệm liên hệ khách hàng tiềm năng.
Khóa API và mã triển khai: Chúng tôi chỉ lưu dưới dạng hash kèm tiền tố ngắn, nhãn, thời điểm dùng cuối (khóa API) hoặc số lần đổi (mã triển khai), cùng số lượt gọi mỗi phút (ít nhất một ngày; xóa trong các lượt gọi sau).

Cơ sở pháp lý: Điều 6(1)(b) GDPR trong quan hệ với công ty dịch vụ; với người đăng ký và khách hàng tiềm năng, xem bên trên.

15. Kiểm tra giao thư

Dành cho khách hàng bật chức năng và khách truy cập website của họ. Với dữ liệu khách truy cập, chúng tôi là bên xử lý dữ liệu của khách hàng.

Kiểm tra giao thư tùy chọn trả lời câu hỏi e-mail từ biểu mẫu liên hệ có thực sự được gửi không. Khách hàng nhập địa chỉ kiểm soát của chúng tôi vào bản sao ẩn (BCC) trong cài đặt e-mail biểu mẫu. Vì vậy, chúng tôi không chỉ nhận lượt gửi thử riêng mà còn bản sao mọi e-mail biểu mẫu – gồm yêu cầu thực của khách truy cập kèm tên, địa chỉ và nội dung.

Chúng tôi chỉ thực hiện những việc sau: tác vụ lấy thư tự động đọc tiêu đề và tối đa 8 KB đầu nội dung, gán e-mail qua địa chỉ kiểm soát cho tên miền và lượt gửi thử nếu có, rồi kiểm tra đặc điểm xác thực SPF, DKIM và DMARC. Sau khi xử lý thành công, e-mail bị xóa. Nếu lấy hoặc xóa thất bại, e-mail có thể còn trong hộp thư đến lượt chạy thành công tiếp theo; hộp thư do nhà cung cấp e-mail của chúng tôi lưu trữ (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). Bản sao chỉ được đánh giá tự động.

Trong cơ sở dữ liệu, chúng tôi chỉ lưu thời điểm, tên miền được gán và mã lượt gửi thử nếu có trong 180 ngày, cùng kết quả xác thực kỹ thuật (SPF, DKIM, DMARC) của e-mail nhận gần nhất đến khi thư tiếp theo thay thế hoặc tên miền bị xóa. Kết quả này gồm IP máy chủ gửi và tên miền e-mail người gửi; tên miền chỉ được nêu trong cảnh báo cho khách hàng nếu không thuộc website. Nếu biểu mẫu dùng địa chỉ khách truy cập làm người gửi, đây là tên miền nhà cung cấp e-mail của khách truy cập. Chúng tôi không lưu nội dung e-mail hoặc địa chỉ người gửi đầy đủ. Nếu không có bản sao đến trong vài giờ sau lượt gửi thử, chúng tôi báo cho khách hàng.

Việc nhận chỉ chứng minh bản sao được gán đã đến hộp thư kiểm soát – không chứng minh người nhận thực đã nhận hoặc có bản ghi CRM. Không nên kết nối biểu mẫu xử lý loại dữ liệu cá nhân đặc biệt (như thông tin sức khỏe) với kiểm tra giao thư. Khách hàng thông báo luồng dữ liệu này cho khách truy cập; văn bản có tại Văn bản chính sách quyền riêng tư cho website. Không có hộp thư kiểm soát đã thiết lập thì không có tính năng kiểm tra.

Cơ sở pháp lý: với khách hàng, thường là Điều 6(1)(f) GDPR (tiếp nhận yêu cầu đáng tin cậy); chúng tôi xử lý theo chỉ dẫn của họ (Điều 28 GDPR).

16. Mô hình ngôn ngữ trên máy chủ riêng và “Fix it for me”

Dành cho khách hàng và người dùng kiểm tra miễn phí.

Mô hình ngôn ngữ chạy trên máy chủ quét riêng, không chạy tại nhà cung cấp AI. Mô hình giúp phân loại biểu mẫu (mục 7), tóm tắt phát hiện quét thành kế hoạch hành động ưu tiên cho tài khoản trả phí và với “Fix it for me” chèn biện pháp bảo vệ vào mã biểu mẫu Quý khách dán. Mã được xử lý chỉ cho yêu cầu này, không lưu và không dùng huấn luyện; nhật ký hoạt động chỉ ghi chức năng đã được dùng, ngôn ngữ lập trình, độ dài mã và kết quả (cũng để áp dụng hạn mức ngày). Vui lòng không dán thông tin đăng nhập hoặc dữ liệu cá nhân. “Fix it for me” hoạt động không cần truy cập website; Quý khách tự chèn mã. Xem thêm Đạo luật AI của EU: Cách formexposed sử dụng AI. Cơ sở pháp lý: Điều 6(1)(b) GDPR.

Kế hoạch hành động trong báo cáo trả phí. Với lượt kiểm tra đủ điều kiện của tên miền trong tài khoản trả phí, cùng mô hình cục bộ cũng viết kế hoạch hành động ngắn có ưu tiên từ tên máy chủ, kết quả chung và điểm số, CMS, loại biểu mẫu liên quan và địa chỉ trang, tiện ích được nhận diện nếu có và các phát hiện lỗi hoặc chưa rõ được chọn. Mô hình không nhận ảnh chụp màn hình hoặc giá trị đã gửi trong biểu mẫu cho mục đích này. Kế hoạch được ghi nhãn là bản tóm tắt AI; các phát hiện riêng vẫn là căn cứ quyết định. Kế hoạch không thay đổi website hoặc kết quả quét. Yêu cầu được lưu tạm trong hàng đợi job nội bộ. Sau khi thu nhận kết quả, mục hàng đợi bị xóa; tác vụ dọn theo lịch cũng xóa mục hàng đợi cũ hơn một giờ. Văn bản được tạo, ngôn ngữ, trạng thái và dấu thời gian được lưu cùng kết quả quét và theo thời hạn lưu của kết quả, bao gồm giữ lượt kiểm tra hoàn tất gần nhất cho từng tên miền và xóa khi tên miền bị xóa.

Vai trò đối với kế hoạch hành động. Áp dụng cùng cách phân biệt như với lượt kiểm tra làm cơ sở. Khi chúng tôi kiểm tra tên miền đã xác minh của Khách hàng theo chỉ dẫn, giai đoạn kế hoạch hành động là một phần của việc xử lý thay mặt họ; khi công ty dịch vụ hành động cho khách hàng riêng, áp dụng chuỗi bên kiểm soát, bên xử lý và bên xử lý phụ hiện có. Với kiểm tra thụ động tên miền chưa xác minh mà chính chúng tôi là bên kiểm soát dữ liệu, vai trò đó tiếp tục áp dụng. Việc đủ điều kiện nhận báo cáo trả phí tự nó không chứng minh quyền kiểm soát tên miền hoặc thay đổi vai trò bảo vệ dữ liệu. Dẫn chiếu Điều 6(1)(b) bên trên liên quan cung cấp chức năng được yêu cầu cho chủ tài khoản; không phải cơ sở pháp lý bao trùm cho dữ liệu cá nhân của người khác xuất hiện tình cờ. Với kiểm tra thụ động mà chúng tôi là bên kiểm soát, áp dụng cơ sở, đánh giá lợi ích chính đáng và lựa chọn phản đối tại mục 7, gồm Điều 6(1)(f). Khi chúng tôi hành động theo chỉ dẫn Khách hàng, Khách hàng hoặc bên kiểm soát khác phải xác lập cơ sở pháp lý áp dụng của mình. Tên máy chủ, địa chỉ trang và ghi chú phát hiện có thể tình cờ chứa dữ liệu cá nhân; việc tạo cục bộ không làm dữ liệu trở nên ẩn danh.

17. Hỗ trợ, liên hệ và báo cáo lỗ hổng bảo mật

Dành cho mọi người viết cho chúng tôi.

Nếu Quý khách viết qua cửa sổ hỗ trợ hoặc trang liên hệ, chúng tôi xử lý địa chỉ e-mail, tin nhắn, chủ đề đã chọn, trang gửi yêu cầu, ngôn ngữ, IP, quốc gia của IP, mã nhận diện trình duyệt và – nếu đăng nhập – số tài khoản để trả lời và ngăn lạm dụng biểu mẫu. Quý khách nhận e-mail xác nhận tiếp nhận tại địa chỉ đã cung cấp; nếu đăng nhập, thư lặp lại phần đầu tin nhắn (tối đa 2.000 ký tự), nếu không thì không chứa văn bản của Quý khách. Như mọi e-mail đã gửi, thư được giữ 30 ngày (mục 11). Tín hiệu Telegram không chứa nội dung hoặc thông tin về Quý khách báo yêu cầu mới cho chúng tôi. Nếu Quý khách gửi e-mail, chúng tôi xử lý địa chỉ và tin nhắn. Báo cáo lỗ hổng bảo mật được xử lý cùng cách. Chúng tôi xóa yêu cầu 24 tháng sau tiếp nhận, kể cả Quý khách xóa tài khoản sớm hơn; yêu cầu ghi nhận điều đã hỏi và đã trả lời.

Cơ sở pháp lý: Điều 6(1)(b) GDPR nếu yêu cầu liên quan hợp đồng với chúng tôi, nếu không là Điều 6(1)(f) GDPR (trả lời, ngăn lạm dụng, bằng chứng). Điều kiện: không có địa chỉ e-mail thì chúng tôi không thể trả lời.

18. Thanh toán, dùng thử và chương trình đối tác

Dành cho khách hàng dùng gói trả phí và đối tác.

Chúng tôi thu phí gói qua Stripe. Nhà cung cấp là Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ireland. Quý khách nhập thông tin thanh toán trực tiếp với Stripe; chúng tôi không thấy. Stripe nhận địa chỉ e-mail và tên, địa chỉ thanh toán trong quá trình thanh toán, mã VAT nếu có và xuất hóa đơn. Chúng tôi chỉ giữ mã khách hàng và gói đăng ký tại Stripe, gói, trạng thái, ngày kết thúc kỳ thanh toán, mã và loại sự kiện Stripe báo cho chúng tôi.

Quý khách có thể bắt đầu dùng thử không cần thẻ; nếu không có phương thức thanh toán, dùng thử tự kết thúc. Nếu nhà cung cấp lưu trữ hoặc đối tác cấp mã kích hoạt, chúng tôi lưu tài khoản đổi mã, thời điểm và thời hạn gói áp dụng.

Stripe cũng xử lý dữ liệu với tư cách bên kiểm soát độc lập, ví dụ chống gian lận và tuân thủ nghĩa vụ pháp lý, có thể chuyển đến Stripe, Inc. tại Hoa Kỳ (mục 22). Xem thêm chính sách quyền riêng tư của Stripe.

Chương trình đối tác: Chương trình đã được xây dựng nhưng hiện chưa bật. Nếu bật, áp dụng các điều sau: mọi tài khoản có mã giới thiệu. Người đăng ký qua liên kết giới thiệu được gán cho đối tác trong số tháng giới hạn; chúng tôi lưu việc gán, thời điểm và số tiền chưa thuế, hoa hồng cho từng hóa đơn đã trả. Đối tác chỉ thấy số liệu – số tài khoản đã đăng ký, số đang trả phí và tổng hoa hồng – không có tên hoặc địa chỉ. Áp dụng Điều khoản đối tác. Hiện chúng tôi giữ dữ liệu đối tác, việc gán, hoa hồng cùng thông tin mã kích hoạt đã đổi mà chưa có thời hạn lưu cố định; chúng tôi sẽ đặt thời hạn xóa và nêu tại đây.

Cơ sở pháp lý: Điều 6(1)(b) GDPR; với lưu dữ liệu hóa đơn và dữ liệu hoa hồng khi cần cho thuế là Điều 6(1)(c) GDPR; với gán cho đối tác là Điều 6(1)(f) GDPR (quyết toán hoa hồng). Chúng tôi giữ dữ liệu hóa đơn theo thời hạn luật thuế yêu cầu; theo luật Ba Lan (Điều 86 kết hợp Điều 70 Bộ luật quản lý thuế Ba Lan, Ordynacja podatkowa), theo nguyên tắc đến khi đủ năm năm từ cuối năm dương lịch mà khoản thuế đến hạn. Điều kiện: không có gói trả phí nếu không có thông tin thanh toán; gói miễn phí vẫn có sẵn.

19. Loại trừ tên miền (opt-out)

Dành cho người vận hành website không muốn được chúng tôi kiểm tra.

Qua trang yêu cầu loại trừ, Quý khách có thể loại trừ tên miền khỏi các lượt kiểm tra tiếp theo. Việc loại trừ áp dụng cho tên miền và biến thể www, không áp dụng tên miền phụ khác, đồng thời có hiệu lực cả với khách hàng trả phí đã xác minh tên miền; giám sát đang chạy kết thúc ở lượt kiểm tra theo lịch tiếp theo. Chỉ chúng tôi có thể gỡ loại trừ, theo yêu cầu và có bằng chứng Quý khách kiểm soát tên miền. Chúng tôi lưu tên miền, lý do cung cấp tự nguyện, IP, quốc gia và mã nhận diện trình duyệt. Chúng tôi xóa IP, quốc gia và mã trình duyệt sau 12 tháng; bản thân việc loại trừ giữ vĩnh viễn vì nếu không tên miền sẽ bị kiểm tra lại. Chúng tôi cần thông tin để thực hiện mong muốn lâu dài và nhận biết việc lợi dụng để loại trừ tên miền người khác. Cơ sở pháp lý: Điều 6(1)(f) GDPR; lợi ích chính đáng là thực hiện mong muốn lâu dài và nhận diện lạm dụng biểu mẫu. Nếu Quý khách coi loại trừ là phản đối theo Điều 21 GDPR, chúng tôi thực hiện theo cách này.

20. Dành cho khách truy cập website khách hàng

Dành cho người truy cập hoặc gửi biểu mẫu trên website có người vận hành dùng formexposed.

Người vận hành website là bên kiểm soát dữ liệu tại đó, không phải chúng tôi. Họ quyết định dùng chức năng nào và phải thông báo trong chính sách quyền riêng tư riêng. Các dữ liệu sau có thể đến chúng tôi:

Huy hiệu: dữ liệu kết nối trình duyệt khi tải ảnh, 14 ngày trong nhật ký máy chủ web, không cookie; tại đây chúng tôi là bên kiểm soát dữ liệu để cung cấp ảnh (mục 12).
Kiểm tra giao thư: bản sao e-mail biểu mẫu được đánh giá tự động rồi xóa; chúng tôi là bên xử lý dữ liệu (mục 15).
Tiện ích WordPress và tiện ích TYPO3: số liệu hàng ngày không quy chiếu đến Quý khách và, cho bảo vệ cộng đồng, tên miền liên kết từ tin nhắn bị chặn; cách ly và lưới an toàn ở lại website (mục 13).
Cổng khách hàng: địa chỉ e-mail nếu Quý khách đăng ký báo cáo tại đó; chúng tôi là bên xử lý dữ liệu của công ty dịch vụ (mục 14).
Bảo vệ biểu mẫu (formconfirmed): nếu người vận hành sử dụng, khi mở trang trình duyệt của Quý khách lấy một bài toán từ máy chủ của chúng tôi và giải ở chế độ nền; khi gửi, máy chủ của người vận hành nhờ chúng tôi kiểm tra kết quả. Dữ liệu được xử lý gồm địa chỉ IP của Quý khách (chỉ lưu ở dạng rút gọn và giá trị băm, tối đa một giờ; như mọi yêu cầu, 14 ngày trong nhật ký máy chủ web), địa chỉ trang, thời gian điền biểu mẫu, việc một trường vô hình có được điền hay không và – chỉ khi người vận hành bật kiểm tra nội dung – văn bản tin nhắn của Quý khách, được một mô hình ngôn ngữ trên máy chủ riêng của chúng tôi đánh giá trong bộ nhớ làm việc và không lưu lại. Không cookie, không lưu trữ trong trình duyệt, không dấu vân tay. Chúng tôi là bên xử lý dữ liệu của người vận hành (Thỏa thuận xử lý dữ liệu, Phụ lục 1 số 10).

Tốt nhất Quý khách thực hiện quyền với người vận hành website; họ biết bối cảnh và có thể chỉ dẫn chúng tôi. Nếu Quý khách liên hệ chúng tôi, chúng tôi chuyển yêu cầu đến người vận hành hoặc tự xử lý trong phạm vi là bên kiểm soát dữ liệu. Những gì chúng tôi tìm được và không tìm được được nêu trong Truy cập, xóa và các quyền khác của Quý khách.

21. Bên nhận

Chúng tôi chỉ chuyển dữ liệu cá nhân trong các trường hợp chính sách nêu. Chúng tôi không bán, cho thuê hoặc trao đổi dữ liệu. Các nhóm bên nhận:

Bên nhận (trụ sở đăng ký)	Nhóm	Mục đích
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	bên xử lý dữ liệu; nơi xử lý còn cần xác minh	gửi và nhận e-mail của chúng tôi; hộp thư kiểm soát của kiểm tra giao thư
Namecheap, Inc. (USA)	bên xử lý dữ liệu	tên miền, DNS; đến khi thiết lập hộp thư, chuyển tiếp e-mail thông thường đến tên miền của chúng tôi (không phải bản sao kiểm soát của kiểm tra giao thư)
Stripe Payments Europe, Ltd. (Ireland), Stripe, Inc. (USA)	phần lớn là bên kiểm soát độc lập; chúng tôi vẫn đang xem xét cách phân định vai trò chính xác	thanh toán và hóa đơn
Google Ireland Ltd., Google LLC (USA)	bên kiểm soát độc lập	reCAPTCHA
Telegram (ngoài EEA)	nơi nhận do khách hàng chọn; chúng tôi gửi qua bot riêng. Với chúng tôi cũng là kênh thông báo	cảnh báo nếu Quý khách chọn Telegram; tín hiệu vận hành không có dữ liệu cá nhân
Slack, Discord, Microsoft (Teams), Google (Chat), webhook của Quý khách (một phần tại USA)	nơi nhận do khách hàng chọn	cảnh báo
Công chúng	–	liên kết báo cáo, trang xác nhận, kết quả nghiên cứu (chỉ tổng hợp)
Thành viên không gian làm việc	người dùng cùng tài khoản	cộng tác theo vai trò
Cơ quan chức năng, tòa án, CERT Polska, cố vấn	bên kiểm soát độc lập	chỉ khi có nghĩa vụ pháp lý, để xác lập, thực hiện hoặc bảo vệ yêu cầu pháp lý và khi Dịch vụ bị lạm dụng hoặc có tấn công bên thứ ba (Điều 6(1)(c) hoặc (f) GDPR)

Các bên sau không nhận dữ liệu cá nhân: dịch vụ RDAP của cơ quan đăng ký, tìm qua danh bạ IANA, và dịch vụ chuyển tiếp rdap.org để xác định tuổi tên miền trong kiểm tra miễn phí (chỉ tên miền), WPVulnerability tại wpvulnerability.net (chỉ mã tiện ích không có phiên bản, mã giao diện hoặc phiên bản WordPress), trang trạng thái dịch vụ CAPTCHA và e-mail (không có gì ngoài bản thân yêu cầu), cơ quan cấp dấu thời gian Certum và DigiCert (chỉ hash), danh sách chặn DNS SpamCop, PSBL, Mailspike và SURBL (chỉ tên miền và IP máy chủ), Google Web Risk nếu được thiết lập (chỉ địa chỉ trang chủ), cùng tiện ích khác kết nối bảo vệ cộng đồng (chỉ tên miền thư rác). Danh sách đầy đủ, được duy trì của các bên xử lý dữ liệu cùng trụ sở và cơ sở chuyển dữ liệu có tại Bên xử lý phụ; chúng tôi báo trước thay đổi cho khách hàng 30 ngày.

22. Chuyển dữ liệu đến nước thứ ba

Nếu bên nhận đặt ngoài Khu vực Kinh tế châu Âu, chúng tôi chỉ chuyển khi đáp ứng điều kiện tại Điều 44 và các điều tiếp theo của GDPR:

Hoa Kỳ: dựa trên quyết định của Ủy ban châu Âu công nhận mức bảo vệ thỏa đáng theo Khung Quyền riêng tư dữ liệu EU-Hoa Kỳ (Quyết định thực thi (EU) 2023/1795, Điều 45 GDPR), trong phạm vi bên nhận được chứng nhận theo khung. Google, Stripe và Namecheap có được chứng nhận cho các dịch vụ liên quan không vẫn đang được xác minh trong phiên bản này, vì vậy chúng tôi không khẳng định; khi không có chứng nhận, dựa trên điều khoản hợp đồng tiêu chuẩn của Ủy ban châu Âu (Quyết định thực thi (EU) 2021/914, Điều 46(2)(c) GDPR).
Nhà cung cấp dịch vụ e-mail: chúng tôi vẫn đang xác minh nơi Namecheap, Inc. (Private Email), Phoenix, Arizona, USA xử lý dữ liệu và cơ sở có thể chuyển đến nước thứ ba. Tình trạng hiện tại có trên trang Bên xử lý phụ.
Dịch vụ chat và webhook Quý khách tự chọn: Slack, Discord, Microsoft Teams, Google Chat và webhook nhận cảnh báo qua địa chỉ Quý khách tạo trong tài khoản tại dịch vụ đó; quan hệ hợp đồng với nhà cung cấp và cơ sở cần thiết để chuyển đến nước thứ ba thuộc trách nhiệm Quý khách.
Telegram: nơi nhận do khách hàng chọn; chúng tôi gửi tin nhắn qua bot riêng. Telegram đặt ngoài EEA tại quốc gia không có quyết định công nhận mức bảo vệ thỏa đáng và chúng tôi không có điều khoản hợp đồng tiêu chuẩn với Telegram. Chúng tôi hiện đang nhờ xem xét cơ sở chuyển dữ liệu theo Điều 44 và các điều tiếp theo GDPR – có thể xem xét Điều 49(1)(b) GDPR vì Quý khách tự chọn kênh. Chỉ chọn Telegram nếu Quý khách thấy cơ sở đó đủ; e-mail luôn có sẵn làm phương án khác.

Quý khách có thể yêu cầu miễn phí bản sao biện pháp bảo đảm làm cơ sở chuyển dữ liệu tại địa chỉ ở mục 1. Quyết định công nhận mức bảo vệ thỏa đáng và điều khoản hợp đồng tiêu chuẩn cũng có trong Công báo EU (eur-lex.europa.eu), danh sách công ty được chứng nhận theo Khung Quyền riêng tư dữ liệu có tại dataprivacyframework.gov. Máy chủ riêng đặt tại Ba Lan; dữ liệu không được bất kỳ bên nhận đã nêu tiếp nhận không rời EU.

23. Tổng quan thời hạn lưu

Thời hạn lưu được thực thi bằng tác vụ hàng đêm, riêng nhật ký máy chủ web qua luân chuyển hàng ngày. Khi ghi “cùng tên miền”, dữ liệu biến mất ngay khi Quý khách xóa tên miền hoặc tài khoản. Sau đó dữ liệu còn trong bản sao lưu tối đa 14 ngày (mục 3.4).

Dữ liệu	Xóa
Nhật ký máy chủ web (gồm yêu cầu huy hiệu)	sau 14 ngày
Nhật ký lượt xem trang	sau 60 ngày
Nhật ký lỗi	sau 90 ngày
Nhật ký hoạt động	sau 365 ngày
Lần thử đăng nhập; hạn mức kiểm tra miễn phí và công cụ kiểm tra tiêu đề	sau 7 ngày
Cờ hành vi đáng ngờ (kiểm tra miễn phí)	90 ngày sau khi vụ việc được giải quyết
Thiết bị đã đăng nhập	90 ngày sau lần sử dụng cuối
“Duy trì đăng nhập”; tài khoản chưa bao giờ được xác nhận; lời mời đã chấp nhận (lời mời chưa chấp nhận khi hết hạn)	sau 30 ngày
Báo cáo không có tài khoản, gồm ảnh chụp màn hình	sau 30 ngày
Bản PDF báo cáo trong bộ nhớ đệm	sau 7 ngày
Kết quả công cụ kiểm tra tiêu đề; kiểm tra website khách hàng tiềm năng	sau 90 ngày
Kiểm tra phục vụ nghiên cứu	khi công bố kết quả
Kết quả kiểm tra, kiểm tra trình duyệt và thời gian cho tên miền trong tài khoản	sau 13 tháng (lượt gần nhất khi tên miền còn trong tài khoản)
Tên miền, cài đặt, hành trình biểu mẫu, nhật ký bằng chứng, nơi nhận cảnh báo, kết quả xác thực e-mail biểu mẫu cuối	cùng tên miền
Danh mục tập lệnh và thay đổi	cùng tên miền (không có thời hạn lưu riêng)
Đăng nhập thử nghiệm để kiểm tra sau đăng nhập	khi Quý khách xóa, cùng tên miền; bản sao gắn với job kiểm tra sau lượt chạy, chậm nhất sau một giờ
Số liệu ngày và báo cáo thay đổi từ tiện ích, phần mở rộng, số liệu biểu mẫu	sau 13 tháng
Thông tin từ website có tiện ích không thuộc tài khoản nào	90 ngày sau liên lạc cuối
Tín hiệu bảo vệ cộng đồng; thông báo được tập hợp cho báo cáo ngày và tuần (từ khi gửi)	sau 30 ngày
Bộ đếm lượt gọi API; mã dùng một lần cho Telegram	sớm nhất sau một ngày, ở lượt gọi hoặc mã cùng loại tiếp theo
Nhật ký gửi cảnh báo	sau 90 ngày
Việc gán kiểm tra giao thư; sự cố kèm xác nhận tiếp nhận và lần thử gửi cảnh báo nâng cấp (giữ sự cố chưa giải quyết)	sau 180 ngày, với sự cố tính từ khi giải quyết
Bản sao e-mail biểu mẫu trong hộp thư kiểm soát	sau xử lý; nếu có lỗi, ở lượt chạy thành công tiếp theo
E-mail đã gửi	sau 30 ngày
Yêu cầu hỗ trợ	sau 24 tháng
Phản hồi về báo cáo	sau 24 tháng, xóa ngay cùng tài khoản; tổng kiểm tra IP sau 2 ngày
IP, quốc gia và mã trình duyệt liên quan yêu cầu loại trừ	sau 12 tháng (tên miền vẫn bị loại trừ)
Đăng ký chưa xác nhận cho báo cáo tháng tại cổng khách hàng	sau 30 ngày
Hồ sơ đăng ký đã hủy	ba năm sau hủy đăng ký
Tài khoản và thông tin cá nhân	khi Quý khách xóa
Hồ sơ giao kết hợp đồng	khi tài khoản còn tồn tại; sau khi xóa tài khoản, ngay khi sự chấp thuận đủ bốn năm
Dữ liệu hóa đơn	khi hết thời hạn lưu theo luật thuế
Việc gán và hoa hồng chương trình đối tác; mã kích hoạt đã đổi	hiện chưa có thời hạn cố định
Ví dụ của một loại lỗi	hiện chưa có thời hạn lưu cố định
Bản sao lưu cơ sở dữ liệu	sau 14 ngày
Bảo vệ biểu mẫu: địa chỉ IP rút gọn, đã băm để nhận diện yêu cầu dồn dập; mã kiểm tra đã dùng; kết quả kiểm tra không có địa chỉ IP và không có văn bản (hành động, điểm số, lý do, tên miền); số liệu hằng ngày không liên quan đến cá nhân	sau một giờ; sau tối đa mười một phút; sau 30 ngày; sau 400 ngày

24. Nghĩa vụ cung cấp dữ liệu

Quý khách không có nghĩa vụ luật định phải cung cấp dữ liệu cho chúng tôi. Với tài khoản, chúng tôi cần địa chỉ e-mail, tên và mật khẩu; không có thì không thể giao kết hợp đồng. Gói trả phí cần thông tin thanh toán, kiểm tra giao thư cần hộp thư kiểm soát, cảnh báo cần nơi nhận. Mọi thông tin khác là tự nguyện. Dữ liệu kết nối trong nhật ký phát sinh về mặt kỹ thuật ở mọi yêu cầu; không có thì máy chủ không thể phản hồi. Phần xử lý tương ứng nêu những gì không có nếu Quý khách không cung cấp một thông tin.

25. Quyết định tự động và lập hồ sơ

Chúng tôi không đưa ra quyết định gây tác động pháp lý hoặc ảnh hưởng đáng kể tương tự đối với Quý khách chỉ dựa trên xử lý tự động (Điều 22 GDPR). Chúng tôi không lập hồ sơ cá nhân. Đánh giá của chúng tôi – mức rủi ro, hạng tiêu đề, “được bảo vệ” trong huy hiệu – liên quan website và biểu mẫu, không phải con người.

Tuy nhiên, có cơ chế bảo vệ tự động có thể từ chối yêu cầu riêng mà không có người xem xét: đánh giá reCAPTCHA và bảo vệ biểu mẫu riêng (mục 5), hạn mức và cờ cho kiểm tra miễn phí (mục 6), chặn sau quá nhiều lần thử đăng nhập (mục 8.2). Chúng chỉ ngăn lượt gửi riêng; có thể thử lại lượt bị từ chối sau đó và luôn có thể gửi yêu cầu qua e-mail. Nếu cho rằng bị từ chối sai, hãy viết cho chúng tôi; một người sẽ xem xét. Chúng tôi cũng tự động xóa tài khoản chưa được xác nhận 30 ngày sau đăng ký.

26. Quyền của Quý khách

Theo GDPR, Quý khách có các quyền sau. Với mỗi quyền, chúng tôi nêu cách thực hiện nhanh nhất. Trừ khi có quy định khác, chỉ cần e-mail đến contact@lukaswojcik.com. Chúng tôi phản hồi không chậm trễ vô lý và trong mọi trường hợp trong một tháng từ khi nhận; với yêu cầu phức tạp hoặc số lượng lớn, có thể kéo dài thêm hai tháng và sẽ thông báo cùng lý do trong tháng đầu (Điều 12(3) GDPR). Thực hiện quyền là miễn phí; chỉ với yêu cầu rõ ràng vô căn cứ hoặc quá mức, chúng tôi mới có thể thu phí hợp lý hoặc từ chối xử lý và sẽ nêu lý do (Điều 12(5) GDPR). Để không tiết lộ dữ liệu người khác, chúng tôi có thể yêu cầu gửi từ địa chỉ e-mail tài khoản; chỉ yêu cầu bằng chứng thêm khi có nghi ngờ hợp lý về danh tính và chỉ ở mức cần thiết (Điều 12(6) GDPR).

Truy cập (Điều 15 GDPR): Nếu có tài khoản, tải bản xuất dữ liệu trong Cài đặt; chứa dữ liệu tài khoản, không gian làm việc, tên miền, đăng nhập, hoạt động, yêu cầu hỗ trợ, e-mail đã gửi và chấp thuận. Kết quả kiểm tra có dưới dạng báo cáo trong tài khoản. Quý khách có thể yêu cầu qua e-mail quyền truy cập đầy đủ, gồm dữ liệu không có trong bản xuất (ví dụ bản ghi nhật ký lỗi hoặc máy chủ web), cùng thông tin theo Điều 15(1) GDPR. Nếu không có tài khoản – ví dụ liên quan yêu cầu loại trừ, hỗ trợ hoặc báo cáo – gửi e-mail nêu tên miền hoặc địa chỉ liên quan và thời điểm gần đúng.
Chỉnh sửa (Điều 16): Quý khách tự đổi tên, công ty, ngôn ngữ và địa chỉ e-mail trong Cài đặt, đổi địa chỉ thanh toán và mã VAT tại cổng khách hàng Stripe trong Thanh toán; nội dung khác qua e-mail.
Xóa (Điều 17): Quý khách tự xóa tài khoản, tên miền, nơi nhận cảnh báo, đăng nhập thử nghiệm và thu hồi khóa API (khóa bị xóa cùng tài khoản); hủy đăng ký báo cáo tháng của cổng qua liên kết trong mọi e-mail. Có thể yêu cầu xóa báo cáo, ảnh chụp màn hình hoặc dữ liệu khác qua e-mail. Dữ liệu chúng tôi phải giữ vì lý do pháp lý được nêu ở mục 8.6.
Hạn chế xử lý (Điều 18): qua e-mail, ví dụ nếu Quý khách phản bác độ chính xác dữ liệu và chúng tôi đang kiểm tra.
Chuyển dữ liệu (Điều 20): Bản xuất là tệp JSON đọc được bằng máy mà Quý khách có thể tự chuyển cho nhà cung cấp khác. Xem thêm về đổi nhà cung cấp tại Đạo luật Dữ liệu của EU: Chuyển đổi và xuất dữ liệu.
Phản đối (Điều 21): xem mục tiếp theo.
Rút lại sự đồng ý (Điều 7(3)): Việc xử lý riêng của chúng tôi không dựa trên sự đồng ý. Quý khách rút sự đồng ý nhận báo cáo tháng tại cổng qua liên kết trong mọi e-mail; việc rút có hiệu lực cho tương lai.

Với dữ liệu chúng tôi xử lý thay mặt khách hàng (mục 2), khách hàng là đầu mối liên hệ. Nếu Quý khách vẫn viết cho chúng tôi, chúng tôi chuyển yêu cầu đến khách hàng và hỗ trợ trả lời. Hướng dẫn chi tiết với mọi cách thực hiện và giới hạn có tại Truy cập, xóa và các quyền khác của Quý khách.

27. Quyền phản đối theo Điều 21 GDPR

Trong phạm vi chúng tôi xử lý dựa trên lợi ích chính đáng (Điều 6(1)(f) GDPR), Quý khách có thể phản đối bất cứ lúc nào vì lý do liên quan hoàn cảnh riêng. Khi đó chúng tôi không tiếp tục xử lý trừ khi chứng minh được căn cứ hợp pháp thuyết phục vượt trên lợi ích, quyền và tự do của Quý khách hoặc việc xử lý phục vụ xác lập, thực hiện hoặc bảo vệ yêu cầu pháp lý.

Điều này đặc biệt áp dụng cho kiểm tra website bằng trình thu thập (mục 7), nhật ký (mục 3), reCAPTCHA (mục 5), hạn mức kiểm tra miễn phí (mục 6), nhắc thiết lập (mục 11), huy hiệu (mục 12) và bảo vệ cộng đồng (mục 13).

Phản đối không cần hình thức cụ thể; chỉ cần e-mail đến contact@lukaswojcik.com. Là người vận hành website, Quý khách cũng có thể tự loại trừ kiểm tra tiếp theo bất cứ lúc nào qua robots.txt hoặc trang yêu cầu loại trừ. Chúng tôi không gửi quảng cáo qua e-mail, là loại có thể phản đối mà không cần nêu lý do.

28. Khiếu nại đến cơ quan giám sát

Quý khách có thể khiếu nại đến cơ quan giám sát bảo vệ dữ liệu nếu cho rằng chúng tôi xử lý trái luật (Điều 77 GDPR). Cơ quan có thẩm quyền với chúng tôi là:

Prezes Urzędu Ochrony Danych Osobowych (Chủ tịch Văn phòng Bảo vệ dữ liệu cá nhân, UODO)
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Ba Lan
uodo.gov.pl

Quý khách cũng có thể liên hệ cơ quan của quốc gia thành viên nơi sinh sống, làm việc hoặc nơi xảy ra vi phạm bị cáo buộc – tại Đức, ví dụ cơ quan bảo vệ dữ liệu của bang liên bang nơi Quý khách ở. Cơ quan đó chuyển khiếu nại đến bên có thẩm quyền khi cần. Chúng tôi sẵn lòng giải quyết trực tiếp quan ngại với Quý khách trước; đây không phải điều kiện bắt buộc.

29. Bảo mật

Mọi kết nối đến Dịch vụ được mã hóa TLS; kết nối trong mạng nội bộ không được mã hóa toàn bộ. Chúng tôi chỉ lưu mật khẩu, khóa API và mã khôi phục dạng hash, bí mật đăng nhập hai yếu tố và đăng nhập thử nghiệm ở dạng mã hóa. Dữ liệu khách hàng tách theo không gian làm việc; quyền của vai trò được thực thi trên máy chủ, không chỉ giao diện người dùng. Chỉ chủ sở hữu truy cập máy chủ; trình thu thập hoạt động cô lập và không truy cập được địa chỉ mạng nội bộ. Mô tả đầy đủ có tại Biện pháp kỹ thuật và tổ chức. Nếu biết có vi phạm dữ liệu cá nhân, chúng tôi thông báo cơ quan giám sát và Quý khách khi cần theo Điều 33 và 34 GDPR; với khách hàng mà chúng tôi xử lý thay mặt, chúng tôi thông báo không chậm trễ vô lý, nếu có thể trong 48 giờ.

30. Tài liệu khác

Chính sách này là bản tổng quan cho chủ thể dữ liệu. Chi tiết có trong Hồ sơ hoạt động xử lý, danh sách Bên xử lý phụ, Biện pháp kỹ thuật và tổ chức, Thỏa thuận xử lý dữ liệu, Đánh giá tác động bảo vệ dữ liệu và tại Truy cập, xóa và các quyền khác của Quý khách, Đạo luật AI của EU: Cách formexposed sử dụng AI, Văn bản chính sách quyền riêng tư cho website.

31. Thay đổi

Chúng tôi cập nhật chính sách khi Dịch vụ hoặc tình hình pháp luật thay đổi và thực hiện trước khi bắt đầu việc xử lý mới. Áp dụng phiên bản công bố tại đây; các phiên bản trước và nội dung thay đổi có tại Thay đổi tài liệu hợp đồng. Phiên bản Quý khách thấy khi đăng ký hiển thị trong bản xuất dữ liệu. Nếu có thay đổi quan trọng trong xử lý dữ liệu của Quý khách với tư cách khách hàng, chúng tôi cũng thông báo qua e-mail.

Chính sách này có bằng mọi ngôn ngữ chính thức của Liên minh châu Âu. Nếu có khác biệt, phiên bản tiếng Ba Lan được ưu tiên áp dụng.

Chúng tôi có thể giúp gì?