Cómo elegir un servicio de formularios acorde al RGPD
Ningún servicio de formularios hace por sí solo que tu formulario cumpla el RGPD: sigues siendo el responsable y decides la base jurídica, el aviso de privacidad y cuánto tiempo conservas las respuestas. Lo que sí decide un servicio es adónde van los datos de tus visitantes y qué puedes demostrar al respecto. Estas siete preguntas separan a un proveedor que puedes documentar de uno en el que tienes que confiar a ciegas.
Una guía práctica, no asesoramiento jurídico. Para decidir sobre tu propio tratamiento de datos, consulta con tu delegado de protección de datos o con un abogado.
1. ¿Dónde se almacenan los envíos?
Busca la declaración del propio proveedor sobre dónde se ejecutan la base de datos y el almacenamiento de archivos, no un eslogan de marketing. «Alojamiento en la UE disponible» suele significar una opción en un plan superior mientras el valor por defecto sigue en EE. UU. Si los envíos se almacenan fuera de la UE, tienes una transferencia que documentar por cada uno de ellos.
2. ¿Hay una lista pública de subencargados?
Una lista de subencargados nombra a cada tercero que toca los datos, con su ubicación y finalidad. Sin ella no puedes saber si el correo, las comprobaciones de spam o las funciones de IA envían datos a otro lugar.
3. ¿Está publicado el DPA?
El artículo 28 del RGPD exige un contrato con cada encargado del tratamiento. Un DPA que puedes leer antes de registrarte y aceptar en el producto es más fácil de documentar que uno disponible solo bajo petición.
4. ¿Puedes fijar la conservación y qué pasa con las copias de seguridad?
Comprueba si puedes fijar un plazo de conservación por formulario, si se aplica automáticamente y cuánto tiempo permanecen los datos eliminados en las copias de seguridad. Conservarlo todo para siempre por defecto va en contra de la minimización de datos.
5. ¿Qué ocurre con las direcciones IP?
Una dirección IP es un dato personal. Un servicio que almacena IP en bruto junto con cada envío conserva más de lo necesario; uno que las convierte en hash para limitar la frecuencia conserva menos.
6. ¿Adónde van las copias?
Los correos de notificación, los webhooks y las integraciones copian los envíos allí donde estén alojados esos destinos. El almacenamiento en la UE del proveedor no alcanza a un buzón alojado en EE. UU.
7. ¿Se sostienen las afirmaciones?
Compara la página de marketing con el DPA y la política de privacidad. Si discrepan sobre la ubicación o la conservación, los documentos legales son en lo que puedes confiar.
Cómo responde Formward
- Almacenado en Suecia; correo a través del centro de datos de Mailjet en la UE; IA en Mistral AI en Francia (residencia de datos en la UE).
- Un registro de subencargados público; el único servicio opcional fuera de la UE en la ruta de los envíos es Cloudflare Turnstile, desactivado salvo que un formulario lo active.
- El DPA está publicado íntegro y se acepta en el panel.
- Los formularios Free eliminan a los 30 días; los planes de pago fijan un plazo por formulario; las copias de seguridad desaparecen en un máximo de 30 días (conservación).
- Nunca se almacenan IP en bruto, solo un hash con clave (direcciones IP).
Preguntas
- ¿Un servicio de formularios alojado en la UE hace que mi formulario cumpla el RGPD?
- No. Elimina una transferencia del tratamiento propio del proveedor, pero sigues necesitando una base jurídica, un aviso de privacidad, un plazo de conservación razonable y un DPA, y las copias que envías a otro lugar siguen sus propias reglas.
- ¿Se permite un servicio de formularios de EE. UU. con cláusulas contractuales tipo?
- Puede ser lícito, pero entonces cada envío es una transferencia que documentas y evalúas. Un servicio alojado en la UE evita ese trabajo para el tratamiento propio del proveedor.
- ¿Cuál es la carencia más común?
- El correo de notificación. Muchos equipos almacenan los envíos en la UE pero envían cada respuesta a un buzón alojado en EE. UU.
Comprueba Formward con la lista
El DPA, el registro de subencargados y las reglas de conservación son públicos.