RGPD para formularios web

Todo tratamiento de datos personales necesita una de las seis bases jurídicas del artículo 6, apartado 1, del RGPD. En un formulario de contacto, la base suele no ser el consentimiento: responder a alguien que te ha hecho una pregunta puede basarse en medidas adoptadas a petición suya o en intereses legítimos. El consentimiento entra en juego cuando quieres hacer algo que la persona no ha pedido, como añadirla a un boletín. Cuándo hace falta una casilla de consentimiento y qué debe decir.

El artículo 13 exige un aviso breve en el momento de la recogida: quién eres, por qué recoges los datos, la base jurídica, quién los recibe y cuánto tiempo los conservas. Un enlace a tu política de privacidad junto al botón de envío suele bastar (qué debe decir el aviso, con texto de ejemplo). Pide solo los campos que necesitas para responder (minimización de datos, artículo 5, apartado 1, letra c): un campo de teléfono que nunca usas es un riesgo, no una comodidad.

El servicio que recibe el POST de tu formulario es un encargado del tratamiento. El artículo 28 exige un contrato con él, un Acuerdo de Tratamiento de Datos, y te corresponde saber qué subencargados utiliza y dónde están. Si alguno de ellos almacena los datos fuera de la UE/EEE, también se aplican las normas de transferencia del capítulo V. Usar un proveedor de formularios estadounidense con el RGPD cubre Schrems II, el Data Privacy Framework y qué preguntar a un proveedor.

Formward almacena los envíos en Suecia, y su registro de subencargados del tratamiento enumera cada tercero con su ubicación y finalidad. El DPA se publica íntegro y puede aceptarse desde el panel. En cuanto a las transferencias, consulta dónde se encuentra cada parte de los datos y la explicación de Schrems II.

El envío almacenado rara vez es la única copia. Un correo de notificación llega a una bandeja de entrada, un webhook envía los datos a un CRM, una sincronización rellena una hoja de cálculo. Cada una de esas es una copia con su propia ubicación y su propia vida útil, y la conservación que configures en el formulario no llega a ellas.

Si tu dirección de notificación es un buzón alojado fuera de la UE, el correo puede llevar el contenido de los envíos fuera de la UE. El modo de notificación solo con enlace de Formward envía un correo sin valores de campos, asunto ni nombres de archivos adjuntos, así que consultas el envío en el panel alojado en la UE. Más información sobre la configuración de notificaciones en de formulario a correo.

El principio de limitación del plazo de conservación (artículo 5, apartado 1, letra e) establece que los datos personales no deben conservarse más tiempo del necesario para la finalidad. El RGPD no fija un número por ti: tú eliges uno, lo documentas y lo cumples. Formward elimina los envíos automáticamente según el periodo que establezcas por formulario, y el plan Free tiene un plazo fijo de 30 días. Cómo elegir un periodo de conservación.

Cualquiera que haya rellenado tu formulario puede pedir una copia de sus datos (artículo 15) o que se supriman (artículo 17), y normalmente tienes un mes para responder (artículo 12, apartado 3). Lo más difícil es encontrar todos los envíos que mencionan a esa persona. La consola DSAR de Formward busca por dirección de correo en todos los formularios de tus espacios de trabajo, exporta lo que encuentra y lo elimina con un certificado. Cómo gestionar una solicitud de interesado.

Muchas organizaciones llevan un registro de las actividades de tratamiento según el artículo 30. Para un formulario, es una sola entrada: finalidad, campos, base jurídica, conservación, destinatarios y encargados. Si tu formulario envía datos a Formward, los datos del encargado que necesitas están en nuestro registro del artículo 30 y en el registro de subencargados. El campo honeypot de Formward _gotcha y el hash de IP con clave están documentados en la página de seguridad si necesitas describir las medidas técnicas.

• Direcciones IP: si son datos personales, por qué un hash simple no es anónimo y cuánto tiempo conservarlas.
• Subida de archivos: currículums, fotos y documentos, con minimización, conservación y control de acceso.
• Proveedores de formularios de EE. UU.: transferencias, Schrems II, el Marco de Privacidad de Datos y las cláusulas contractuales tipo.
• Aviso de privacidad para un formulario de contacto: los puntos del artículo 13 y la redacción que puedes adaptar.
• Elegir un servicio de formularios: siete preguntas para cualquier proveedor antes de que entren los datos de tus visitantes.