GDPR per i moduli web

Ogni trattamento di dati personali richiede una delle sei basi giuridiche previste dall'articolo 6(1) del GDPR. Per un modulo di contatto la base giuridica spesso non è il consenso: rispondere a chi ti ha fatto una domanda può fondarsi su misure precontrattuali adottate su sua richiesta oppure sul legittimo interesse. Il consenso entra in gioco quando vuoi fare qualcosa che la persona non ha chiesto, come iscriverla a una newsletter. Quando serve una casella di consenso e che cosa dovrebbe dire.

L'articolo 13 richiede un'informativa breve nel momento della raccolta: chi sei, perché raccogli i dati, la base giuridica, chi li riceve e per quanto tempo li conservi. Di solito basta un link alla tua privacy policy accanto al pulsante di invio (che cosa dovrebbe dire l'informativa, con esempi di formulazione). Chiedi solo i campi necessari per rispondere (minimizzazione dei dati, articolo 5(1)(c)): un campo per il numero di telefono che non usi mai è un rischio, non una comodità.

Il servizio che riceve la POST del tuo modulo è un responsabile del trattamento. L'articolo 28 richiede un contratto con esso, un Data Processing Agreement, e sei tu a dover sapere quali sub-responsabili utilizza e dove si trovano. Se uno di loro conserva i dati al di fuori dell'UE/SEE, si applicano anche le regole sui trasferimenti del Capo V. Usare un fornitore di moduli statunitense ai sensi del GDPR tratta la sentenza Schrems II, il Data Privacy Framework e che cosa chiedere a un fornitore.

Formward conserva gli invii in Svezia, e il suo registro dei sub-responsabili elenca ogni terza parte con la sua sede e la sua finalità. Il DPA è pubblicato per intero e può essere accettato dalla dashboard. Per il lato dei trasferimenti, vedi dove si trova ciascuna parte dei dati e la spiegazione della sentenza Schrems II.

L'invio salvato è raramente l'unica copia. Un'email di notifica arriva in una casella di posta, un webhook trasferisce i dati in un CRM, una sincronizzazione compila un foglio di calcolo. Ciascuna di queste è una copia con una propria posizione e una propria durata, e la conservazione che imposti sul modulo non le raggiunge.

Se l'indirizzo per le notifiche è una casella di posta ospitata al di fuori dell'UE, l'email può portare i contenuti dell'invio al di fuori dell'UE. La modalità di notifica solo con link di Formward invia un'email senza valori dei campi, oggetto o nomi degli allegati, così leggi l'invio nella dashboard ospitata nell'UE. Maggiori informazioni sulla configurazione delle notifiche in da modulo a email.

Il principio di limitazione della conservazione (articolo 5, paragrafo 1, lettera e) prevede che i dati personali non siano conservati più a lungo di quanto necessario per la finalità. Il GDPR non fissa un periodo per te: lo scegli tu, lo documenti e lo rispetti. Formward elimina automaticamente gli invii alla scadenza del periodo che imposti per ogni modulo, e il piano Free prevede un periodo fisso di 30 giorni. Come scegliere un periodo di conservazione.

Chiunque abbia compilato il tuo modulo può chiedere una copia dei propri dati (articolo 15) oppure la loro cancellazione (articolo 17), e di solito hai un mese per rispondere (articolo 12, paragrafo 3). La parte difficile è trovare tutti gli invii che menzionano la persona. La console DSAR di Formward cerca in tutti i moduli dei tuoi workspace tramite indirizzo email, esporta ciò che trova e lo cancella rilasciando un certificato. Come gestire una richiesta dell'interessato.

Molte organizzazioni tengono un registro delle attività di trattamento ai sensi dell'articolo 30. Per un modulo, questo corrisponde a una voce: finalità, campi, base giuridica, conservazione, destinatari e responsabili del trattamento. Se il tuo modulo invia i dati a Formward, i dettagli sul responsabile di cui hai bisogno si trovano nel nostro registro dell'articolo 30 e nel registro dei sub-responsabili. Il campo honeypot _gotcha di Formward e l'hashing degli IP con chiave sono documentati nella pagina sulla sicurezza, se ti serve descrivere le misure tecniche.

• Indirizzi IP: se sono dati personali, perché un semplice hash non è anonimo e per quanto tempo conservarli.
• Caricamento di file: CV, foto e documenti, con minimizzazione, conservazione e controllo degli accessi.
• Fornitori di moduli statunitensi: trasferimenti, Schrems II, il Data Privacy Framework e le clausole contrattuali standard.
• Informativa sulla privacy per un modulo di contatto: i punti dell'articolo 13 e la formulazione che puoi adattare.
• Scegliere un servizio di moduli: sette domande da fare a qualsiasi fornitore prima che vi entrino i dati dei tuoi visitatori.