Residenza dei dati in Europa per il form backend

Dove si trovano i tuoi dati

Ogni luogo in cui Formward conserva o invia dati, incluse le destinazioni che non si trovano nell'UE:

L'elenco aggiornato e ufficiale dei sub-responsabili è nel nostro registro dei sub-responsabili. Backup e crittografia sono descritti nella pagina sulla sicurezza, mentre i dettagli legali si trovano nell’informativa sulla privacy e nel DPA.

Il percorso di un singolo invio

Un modulo di contatto sul tuo sito, seguito dal pulsante di invio fino alla cancellazione:

1. Il browser del visitatore invia il modulo a forms.formward.eu, che gira sul nostro server in Svezia. L'indirizzo IP viene trasformato in un hash con chiave appena arriva.
2. Se hai attivato Cloudflare Turnstile per il modulo, il widget nel browser del visitatore comunica prima con Cloudflare, e il nostro server invia a Cloudflare il token (non l'indirizzo IP) per verificarlo. Senza Turnstile, Cloudflare non è coinvolto.
3. L'invio viene salvato nel database PostgreSQL in Svezia. I file caricati vengono salvati sullo stesso server.
4. Con Professional e Business, Mistral AI in Francia assegna un punteggio e riassume il testo, a meno che tu non abbia disattivato l'AI per il modulo.
5. Mailjet invia l'email di notifica dal suo data center UE all'indirizzo che hai impostato. Dove si trova quella casella di posta dipende da te.
6. Qualsiasi destinazione che hai collegato, come un webhook, Slack, Google Sheets o Baserow, riceve una copia all'indirizzo che hai configurato.
7. La conservazione elimina l'invio e i suoi file alla scadenza del periodo (fissata a 30 giorni nel piano Free). Le copie nei backup crittografati scadono man mano che i backup vengono sostituiti, entro 30 giorni.

La mappa dei flussi di dati di ogni modulo nella dashboard elenca le destinazioni esterne che quel modulo ha attivato. Webhook e caricamenti di file sono funzionalità dei piani Professional e Business; vedi piani.

Perché la residenza dei dati in Europa conta

Gli invii di moduli contengono di solito dati personali. Quando il backend del modulo è un servizio statunitense che gira su infrastrutture USA, quei dati personali sono archiviati o elaborati fuori dall'UE, e devi gestire un trasferimento UE-USA ai sensi del Capo V del GDPR e tenere conto della normativa di sorveglianza statunitense (il tema al centro della sentenza Schrems II). Tenere i dati nell'UE/SEE elimina questo problema di trasferimento per il trattamento svolto da Formward. Qualsiasi destinazione che aggiungi fuori dall'UE resta comunque da valutare da parte tua, e il resto del GDPR (base giuridica, informativa privacy, conservazione) continua ad applicarsi.

Ospitato in Europa non vuol dire di proprietà europea

In breve: un'azienda di proprietà statunitense può essere obbligata dal CLOUD Act americano a consegnare i dati che detiene, ovunque si trovino i server nel mondo. Quindi “abbiamo una regione UE” su un cloud con capogruppo statunitense restringe la questione, ma non la chiude. Il percorso degli invii di Formward passa per aziende europee oltre che per server europei: Hostup AB (Svezia) per hosting e database, Mistral AI (Francia) per l'arricchimento tramite AI, e Mailjet (Francia, parte del gruppo svedese Sinch) per l'email di notifica.

Questa è un'affermazione su quale legge raggiunge i dati, non una promessa di immunità da richieste legittime: un fornitore svedese risponde ai tribunali svedesi e dell'UE. Per questo i nostri due punti di contatto di proprietà statunitense sono documentati e non nascosti: Cloudflare Turnstile è disattivato a meno che tu non lo attivi e riceve solo dati della verifica, mentre Stripe fattura i clienti paganti tramite la sua entità irlandese ma non riceve mai il contenuto degli invii. Il quadro completo è nel registro dei sub-responsabili.

Europa contro strumenti per moduli ospitati negli USA

Domande frequenti

Dove conserva Formward i dati degli invii dei moduli?

Invii, dati dell'account, allegati e backup sono conservati in Svezia, su infrastrutture gestite da Hostup AB. L'applicazione e il database PostgreSQL girano su infrastrutture UE. Per i dati degli invii non c'è alcun cloud con sede negli USA o al di fuori dell'UE.

Qualche dato degli invii lascia l'UE/SEE?

Non nell'elaborazione di Formward: conserviamo ed elaboriamo i dati degli invii dei moduli e i dati personali di chi compila i tuoi moduli all'interno dell'UE/SEE. I dati escono dall'area solo dove li invii tu: una casella di notifica o di risposta automatica ospitata fuori dall'UE, la sincronizzazione con Google Sheets o un URL webhook che configuri. Ogni sub-responsabile che riceve il contenuto degli invii si trova nell'UE: hosting, email di notifica e, quando attivo, l'arricchimento con AI tramite Mistral AI (Francia).

Anche i backup sono conservati in Europa?

Sì. Facciamo regolarmente backup crittografati del database PostgreSQL e li conserviamo all'interno dell'UE (Svezia). I dati possono restare nei backup crittografati per un periodo limitato dopo la cancellazione, prima di essere sovrascritti nel normale ciclo di rotazione.

E i punti di contatto con gli USA di cui ho sentito parlare?

Sono due, e nessuno dei due riceve il contenuto degli invii. Cloudflare Turnstile è una verifica anti-bot opzionale, disattivata finché non la attivi per modulo; quando è attiva, Cloudflare negli USA vede i dati di verifica dal browser del visitatore. Stripe Payments Europe, Limited (Irlanda) si occupa della fatturazione dei clienti paganti e può trasferire alcuni dati di fatturazione a Stripe negli USA sulla base di SCC e del Quadro UE-USA per la protezione dei dati. Entrambi sono documentati nella nostra valutazione d'impatto sui trasferimenti, disponibile su formward.eu/compliance/transfers.

Una regione UE su AWS, Google Cloud o Azure equivale alla residenza dei dati nell'UE?

Non proprio. Questi fornitori sono controllati da società statunitensi e, in base al CLOUD Act degli USA, una società con capogruppo statunitense può essere obbligata a produrre i dati che detiene, indipendentemente da dove si trovano i server. Una regione UE restringe la questione, ma non la chiude. Il percorso degli invii di Formward si appoggia a fornitori europei: Hostup AB (Svezia) e Mistral AI (Francia) sono aziende europee, e Mailjet (Francia) appartiene al gruppo svedese Sinch. Il punto è quale legge si applica ai dati, non un'immunità dai procedimenti legittimi: un fornitore svedese risponde ai tribunali svedesi ed europei.

Posso tenere tutti i dati degli invii all'interno dell'UE?

Sì. Lascia Cloudflare Turnstile disattivato, invia le notifiche a una casella di posta ospitata nell'UE e collega solo webhook, fogli o strumenti che funzionano nell'UE. Così la conservazione, l'invio delle email e l'AI di Formward restano nell'UE. La fatturazione del tuo abbonamento passa comunque da Stripe, separatamente dai dati degli invii.

Devo configurare qualcosa per avere la residenza dei dati nell'UE?

No. La residenza dei dati nell'UE per i dati degli invii è l'impostazione predefinita su ogni modulo e in ogni piano, incluso il piano Free. Non c'è alcuna impostazione di regione da scegliere.