Un formulario de contacto conforme al RGPD, alojado en la UE

Qué hace que este formulario cumpla el RGPD

• Alojamiento en la UE. La aplicación y la base de datos PostgreSQL se ejecutan en Suecia, sobre infraestructura operada por Hostup AB: ningún proveedor cloud estadounidense trata el contenido de los formularios.
• Solo subencargados europeos para los datos del formulario. El correo de notificación se envía a través de Mailjet (Sinch) desde un centro de datos europeo en Francia; el enriquecimiento con IA, opcional, se ejecuta en Mistral AI, también en Francia. Todo subencargado que trate el contenido del formulario está en la UE/EEE.
• Contrato de encargo conforme al artículo 28. Formward actúa como su encargado del tratamiento y usted sigue siendo el responsable. El contrato está disponible bajo petición en privacy@formward.eu.
• Direcciones IP seudonimizadas con hash con clave. La dirección IP de quien envía el formulario se protege con un hash con clave (HMAC-SHA-256 con un secreto en servidor) en el momento de la recepción. Las IP en claro no se escriben nunca en disco.
• Derechos de los interesados en autoservicio. La exportación y la supresión de los datos del formulario se realizan desde los ajustes de la cuenta, de modo que puede atender directamente las solicitudes de acceso y supresión.
• Sin transferencias internacionales que evaluar. El almacenamiento y el tratamiento en Formward se realizan exclusivamente en la UE/EEE, y por esa parte no se plantea el análisis de transferencias del Capítulo V. Los datos solo salen de la UE allá donde usted los dirige – entre otros, un buzón de notificación alojado fuera de la UE (por ejemplo Gmail), la respuesta automática que se envía a la dirección indicada por quien rellena el formulario, Google Sheets (EE. UU.) y cualquier URL de webhook. Esos destinos los elige usted como responsable, y esa transferencia queda bajo su responsabilidad.

Por qué un form backend estadounidense es un problema aquí

Muchos form backends populares son empresas estadounidenses sobre infraestructura estadounidense. Para una empresa española eso significa que los datos personales recogidos por el formulario de contacto salen de la UE, y un simple formulario se convierte en una transferencia internacional en el sentido del Capítulo V del RGPD, con la obligación de comprobar si las cláusulas contractuales tipo bastan o si hacen falta medidas adicionales tras la sentencia Schrems II. La Agencia Española de Protección de Datos (AEPD) examina cada vez con más detalle este tipo de transferencias.

Preguntas frecuentes

¿Qué hace que un formulario de contacto cumpla el RGPD?

Importan dónde está el servidor, qué subencargados intervienen y con qué base contractual. Formward aloja en Suecia, solo recurre a subencargados europeos para los datos del formulario, aplica un hash con clave a la IP de quien envía y facilita un contrato conforme al artículo 28.

¿Soy responsable o encargado del tratamiento?

Como titular del sitio y destinatario de los datos del formulario, por regla general es responsable del tratamiento. Formward actúa por cuenta suya como encargado y trata los datos siguiendo sus instrucciones, nunca para fines propios.

¿Necesito un contrato de encargo con Formward?

Sí, desde el momento en que Formward trata datos personales por cuenta suya. Se solicita en privacy@formward.eu y regula el alcance, la finalidad y las medidas de seguridad conforme al artículo 28.

¿Cómo se atienden los derechos de los interesados?

Exporta o suprime los datos del formulario usted mismo desde los ajustes de la cuenta, lo que cubre directamente las solicitudes de acceso, rectificación y supresión. Formward aporta la base técnica; la responsabilidad jurídica sigue siendo suya como responsable.

¿Tienen certificación SOC 2 o ISO 27001?

Por ahora no. No afirmamos tener certificaciones que no poseemos. Nuestras medidas técnicas y organizativas están documentadas abiertamente y una auditoría SOC 2 figura en la hoja de ruta.