Ce que votre mention d'information doit indiquer sur un formulaire de contact

Tous les points ne s'appliquent pas à tous les formulaires, mais voici ceux qu'un formulaire de contact concerne habituellement :

Qui vous êtes

Votre nom ou la raison sociale de votre entreprise, vos coordonnées, et votre délégué à la protection des données si vous en avez un. Article 13, paragraphe 1, points a) et b).

Pourquoi vous les collectez, et sur quelle base

Pour répondre au message, et la base juridique correspondante. Généralement l'intérêt légitime ou des mesures précontractuelles. Article 13, paragraphe 1, point c). Si vous vous appuyez sur l'intérêt légitime, précisez-le, article 13, paragraphe 1, point d).

Qui les reçoit

Votre service de formulaires et votre fournisseur de messagerie, ainsi que toute personne à qui vous transmettez les envois, comme un CRM. Article 13, paragraphe 1, point e).

Transferts hors de l'UE

Si un destinataire se trouve hors de l'UE et de l'EEE, et la garantie utilisée. Article 13, paragraphe 1, point f).

Combien de temps vous les conservez

Une durée, ou les critères qui la déterminent. Article 13, paragraphe 2, point a).

Les droits de la personne

Accès, rectification, effacement, limitation, opposition et portabilité, droit de retirer son consentement lorsque vous vous appuyez dessus, et droit d'introduire une réclamation auprès d'une autorité de contrôle. Article 13, paragraphe 2, points b) à d).

Si la communication des données est obligatoire

Quels champs sont obligatoires et ce qui se passe s'ils sont laissés vides. Article 13, paragraphe 2, point e).

Si le formulaire alimente des décisions automatisées produisant des effets significatifs, l’article 13, paragraphe 2, point f) impose de les expliquer. Un simple formulaire de contact le fait rarement.

Cet exemple est destiné à une petite entreprise qui utilise Formward. Remplacez les parties entre crochets, les délais et l'adresse de contact par les vôtres, et supprimez tout ce qui ne correspond pas à votre activité réelle.

Formulaire de contact. Lorsque vous nous envoyez un message via le formulaire de contact de ce site, nous utilisons votre nom, votre adresse e-mail et votre message pour vous répondre. Si vous demandez un devis, nous utilisons aussi ces informations pour l'établir. Notre base juridique est notre intérêt légitime à répondre aux demandes (article 6, paragraphe 1, point f) du RGPD), et, pour les demandes de devis, des mesures précontractuelles que vous nous demandez de prendre (article 6, paragraphe 1, point b) du RGPD).

Le formulaire est exploité pour notre compte par Formward (EGF Fastighetsservice AB, Suède), qui reçoit et conserve les messages en notre nom, en qualité de sous-traitant, sur des serveurs situés en Suède. Nous recevons chaque message par e-mail, dans notre boîte mail hébergée par [votre fournisseur de messagerie, localisation]. Nous n'utilisons pas votre message à des fins de marketing.

Nous conservons les messages pendant 12 mois après notre dernière réponse, puis nous les supprimons, sauf si le message donne lieu à un contrat, auquel cas nous le conservons avec les documents contractuels. Le nom, l'e-mail et le message sont obligatoires, car nous ne pouvons pas répondre sans ces informations.

Vous pouvez nous demander une copie de votre message, nous demander de le corriger ou de le supprimer, ou vous opposer à son utilisation, en écrivant à privacy@example.com. Vous pouvez aussi introduire une réclamation auprès de votre autorité de protection des données ; en Suède, il s'agit de l'Integritetsskyddsmyndigheten (IMY).

Si vous ajoutez une case à cocher pour la newsletter, décrivez cette finalité séparément, en indiquant le consentement comme base juridique et la manière de se désabonner. Si vous activez Cloudflare Turnstile, ajoutez une phrase indiquant que Cloudflare, Inc. (États-Unis) assure la vérification anti-robot et reçoit des données techniques, comme l'adresse IP.

Le service qui reçoit votre formulaire est votre sous-traitant au sens de l'article 28, et vous devez conclure un contrat avec lui. Dans la politique de confidentialité, il figure comme destinataire. Les lignes directrices sur la transparence (WP260 rév.01) du groupe de travail « article 29 », approuvées par le CEPD, indiquent que la règle par défaut est de nommer les destinataires, et que si vous ne donnez que des catégories, celles-ci doivent être aussi précises que possible.

Tenez votre politique de confidentialité à jour par rapport à votre configuration. Si les formulaires sont transmis à un CRM par webhook, ou si votre boîte de réception des notifications est hébergée hors de l'UE, ce sont des destinataires, et éventuellement des transferts, qui doivent aussi figurer dans la politique de confidentialité. Le registre des sous-traitants ultérieurs de Formward et le DPA vous fournissent les informations à renseigner.

Un lien vers la politique de confidentialité juste à côté du bouton d'envoi répond à l'exigence « au moment de la collecte » pour la plupart des formulaires. Une seule ligne suffit, par exemple : « Nous utilisons vos coordonnées pour vous répondre. Découvrez comment nous traitons vos données. » Les lignes directrices sur la transparence recommandent cette approche par couches : les informations essentielles directement sur le formulaire, le détail complet à un clic.

Sur une page Formward hébergée, placez le même lien dans la description du formulaire, afin que les visiteurs le voient avant de l'envoyer.