Qué debe decir tu aviso de privacidad sobre un formulario de contacto

No todos los puntos se aplican a todos los formularios, pero estos son los que suele abarcar un formulario de contacto:

Quién eres

Tu nombre o el de tu empresa y tus datos de contacto, y tu delegado de protección de datos si tienes uno. Artículo 13, apartado 1, letras a) y b).

Por qué lo recoges y con qué base

Para responder al mensaje, y la base jurídica para ello. Normalmente, intereses legítimos o medidas precontractuales. Artículo 13, apartado 1, letra c). Si te basas en intereses legítimos, indica cuáles son, artículo 13, apartado 1, letra d).

Quién lo recibe

Tu servicio de formularios y tu proveedor de correo, y cualquiera a quien reenvíes los envíos, como un CRM. Artículo 13, apartado 1, letra e).

Transferencias fuera de la UE

Si algún destinatario está fuera de la UE y del EEE, y la garantía utilizada. Artículo 13, apartado 1, letra f).

Cuánto tiempo lo conservas

Un periodo, o los criterios que lo determinan. Artículo 13, apartado 2, letra a).

Los derechos de la persona

Acceso, rectificación, supresión, limitación, oposición y portabilidad, el derecho a retirar el consentimiento cuando te bases en él, y el derecho a presentar una reclamación ante una autoridad de control. Artículo 13, apartado 2, letras b) a d).

Si está obligada a facilitarlo

Qué campos son obligatorios y qué ocurre si se dejan en blanco. Artículo 13, apartado 2, letra e).

Si el formulario alimenta decisiones automatizadas con efectos significativos, el artículo 13, apartado 2, letra f) añade la obligación de explicarlas. Un formulario de contacto sencillo rara vez lo hace.

Este ejemplo es para una pequeña empresa que usa Formward. Sustituye las partes entre corchetes, los plazos y la dirección de contacto por los tuyos, y elimina todo lo que no coincida con lo que realmente haces.

Formulario de contacto. Cuando nos envías un mensaje a través del formulario de contacto de este sitio, usamos tu nombre, tu dirección de correo electrónico y tu mensaje para responderte. Si pides un presupuesto, también usamos los datos para prepararlo. Nuestra base jurídica es nuestro interés legítimo en responder a consultas (artículo 6, apartado 1, letra f) del RGPD) y, en el caso de las solicitudes de presupuesto, las medidas precontractuales que nos pides adoptar (artículo 6, apartado 1, letra b) del RGPD).

El formulario lo gestiona Formward (EGF Fastighetsservice AB, Suecia), que recibe y almacena los mensajes en nuestro nombre como encargado del tratamiento, en servidores en Suecia. Recibimos cada mensaje por correo electrónico en nuestro buzón alojado en [tu proveedor de correo, ubicación]. No usamos tu mensaje con fines de marketing.

Conservamos los mensajes durante 12 meses después de nuestra última respuesta y luego los eliminamos, salvo que el mensaje dé lugar a un contrato, en cuyo caso lo conservamos con los registros del contrato. El nombre, el correo electrónico y el mensaje son obligatorios, ya que no podemos responder sin ellos.

Puedes pedirnos una copia de tu mensaje, pedirnos que lo corrijamos o lo eliminemos, u oponerte a nuestro uso, escribiendo a privacy@example.com. También puedes presentar una reclamación ante tu autoridad de protección de datos; en Suecia, es la Integritetsskyddsmyndigheten (IMY).

Si añades una casilla para la newsletter, describe esa finalidad por separado, indicando el consentimiento como base jurídica y cómo darse de baja. Si activas Cloudflare Turnstile, añade una frase que indique que Cloudflare, Inc. (Estados Unidos) gestiona la comprobación antibots y recibe datos técnicos como la dirección IP.

El servicio que recibe tu formulario es tu encargado del tratamiento según el artículo 28, y necesitas un contrato con él. En el aviso figura como destinatario. Las directrices sobre transparencia (WP260 rev.01) del Grupo de Trabajo del artículo 29, avaladas por el CEPD, indican que, por defecto, deben nombrarse los destinatarios y que, si solo se indican categorías, estas deben ser lo más específicas posible.

Mantén el aviso actualizado con tu configuración. Si los envíos pasan a un CRM mediante un webhook, o si tu bandeja de notificaciones está alojada fuera de la UE, esos son destinatarios y, posiblemente, transferencias, y también deben constar en el aviso. El registro de subencargados y el DPA de Formward te ofrecen los datos que necesitas para completarlo.

Un enlace al aviso justo al lado del botón de envío cumple el requisito de «en el momento de la recogida» en la mayoría de formularios. Basta una línea, por ejemplo: «Usamos tus datos para responderte. Consulta cómo tratamos tus datos.» Las directrices sobre transparencia recomiendan este enfoque por capas: los datos clave en el formulario y el detalle completo a un clic de distancia.

En una página alojada en Formward, incluye el mismo enlace en la descripción del formulario para que los visitantes lo vean antes de enviarlo.