Un formulaire de contact conforme au RGPD, hébergé dans l'UE

Ce qui rend ce formulaire conforme au RGPD

• Hébergement dans l'UE. L'application et la base de données PostgreSQL tournent en Suède, sur une infrastructure exploitée par Hostup AB – aucun cloud américain ne touche le contenu des formulaires.
• Uniquement des sous-traitants ultérieurs européens pour les données de formulaire. L'e-mail de notification transite par Mailjet (Sinch) depuis un centre de données européen en France, l'enrichissement IA optionnel s'exécute via Mistral AI, également en France. Chaque sous-traitant qui touche au contenu du formulaire est établi dans l'UE/EEE.
• Contrat de sous-traitance conforme à l'article 28. Formward agit comme votre sous-traitant, vous restez responsable de traitement. Le contrat de sous-traitance est disponible sur demande à privacy@formward.eu.
• Adresses IP hachées avec clé. L'adresse IP de l'expéditeur est protégée par un hachage à clé (HMAC-SHA-256 avec un secret côté serveur) dès la réception. Les IP brutes ne sont jamais écrites sur disque.
• Droits des personnes concernées, en libre-service. L'export et la suppression des données de formulaire se font depuis les paramètres du compte, ce qui permet de répondre directement aux demandes d'accès et d'effacement.
• Aucun transfert hors UE à évaluer. Le stockage et le traitement chez Formward ont lieu exclusivement dans l'UE/EEE, et l'analyse de transfert du chapitre V ne se pose pas à ce titre. Les données ne quittent l'UE que là où vous les dirigez vous-même – notamment une boîte de notification hébergée hors UE (Gmail, par exemple), la réponse automatique envoyée à l'adresse saisie par l'expéditeur, Google Sheets (États-Unis) et toute URL de webhook. Ces destinations, c'est vous qui les choisissez en tant que responsable de traitement, et ce transfert relève de votre responsabilité.

Pourquoi un formulaire-backend américain pose problème ici

Beaucoup de formulaires-backends populaires sont des sociétés américaines sur une infrastructure américaine. Pour une entreprise française, cela signifie que les données personnelles collectées via le formulaire de contact quittent l'UE, et qu'un simple formulaire de contact devient une question de transfert hors UE au sens du chapitre V du RGPD – avec l'obligation de vérifier si les clauses contractuelles types suffisent ou si des mesures supplémentaires s'imposent après l'arrêt Schrems II. La CNIL examine régulièrement ce type de transfert lors de ses contrôles.

Questions fréquentes

Qu'est-ce qui rend un formulaire de contact conforme au RGPD ?

L'emplacement du serveur, les sous-traitants présents dans la chaîne, et l'existence d'un contrat de sous-traitance valide. Formward héberge en Suède, ne fait appel qu'à des sous-traitants ultérieurs européens pour les données de formulaire, hache l'IP de l'expéditeur dès la réception, et fournit un contrat de sous-traitance conforme à l'article 28.

Suis-je responsable de traitement ou sous-traitant ?

En tant que propriétaire du site et destinataire des données de formulaire, vous êtes en général responsable de traitement. Formward agit en votre nom comme sous-traitant et traite les données selon vos instructions, jamais pour ses propres finalités.

Ai-je besoin d'un contrat de sous-traitance avec Formward ?

Oui, dès que Formward traite des données personnelles pour votre compte. Le contrat s'obtient via privacy@formward.eu et encadre le périmètre, la finalité et les mesures de sécurité conformément à l'article 28.

Comment sont traités les droits des personnes concernées ?

Vous exportez ou supprimez vous-même les données de formulaire depuis les paramètres du compte, ce qui couvre directement les demandes d'accès, de rectification et d'effacement. Formward fournit la base technique, la responsabilité juridique reste la vôtre en tant que responsable de traitement.

Détenez-vous une certification SOC 2 ou ISO 27001 ?

Pas actuellement. Nous ne revendiquons aucune certification que nous ne détenons pas. Nos mesures techniques et organisationnelles sont documentées ouvertement, et un audit SOC 2 figure sur la feuille de route.