Come scegliere un servizio di moduli conforme al GDPR
Nessun servizio di moduli rende da solo il tuo modulo conforme al GDPR: resti il titolare e decidi la base giuridica, l’informativa sulla privacy e per quanto tempo conservi le risposte. Ciò che un servizio decide, invece, è dove vanno i dati dei tuoi visitatori e cosa puoi dimostrare a riguardo. Queste sette domande distinguono un fornitore che puoi documentare da uno di cui devi fidarti sulla parola.
Una guida pratica, non una consulenza legale. Per una decisione sui tuoi trattamenti, consulta il tuo responsabile della protezione dei dati o un avvocato.
1. Dove vengono archiviati gli invii?
Cerca la dichiarazione del fornitore stesso su dove girano il database e l’archiviazione dei file, non uno slogan di marketing. «Hosting UE disponibile» spesso indica un’opzione di un piano superiore mentre l’impostazione predefinita resta negli Stati Uniti. Se gli invii sono archiviati fuori dall’UE, hai un trasferimento da documentare per ciascuno di essi.
2. Esiste un elenco pubblico dei sub-responsabili?
Un elenco dei sub-responsabili nomina ogni terza parte che tocca i dati, con la sua sede e la finalità. Senza di esso non puoi sapere se e-mail, controlli antispam o funzioni di IA inviano dati altrove.
3. Il DPA è pubblicato?
L’articolo 28 del GDPR richiede un contratto con ogni responsabile del trattamento. Un DPA che puoi leggere prima di registrarti e accettare nel prodotto è più facile da documentare di uno disponibile solo su richiesta.
4. Puoi impostare la conservazione, e i backup?
Verifica se puoi impostare un periodo di conservazione per modulo, se si applica automaticamente e per quanto tempo i dati eliminati restano nei backup. Conservare tutto per sempre per impostazione predefinita va contro la minimizzazione dei dati.
5. Che fine fanno gli indirizzi IP?
Un indirizzo IP è un dato personale. Un servizio che archivia gli IP grezzi con ogni invio conserva più del necessario; uno che ne calcola l’hash per la limitazione della frequenza conserva meno.
6. Dove vanno le copie?
Le e-mail di notifica, i webhook e le integrazioni copiano gli invii dove sono ospitate quelle destinazioni. L’archiviazione UE presso il fornitore non raggiunge una casella ospitata negli Stati Uniti.
7. Le dichiarazioni reggono?
Confronta la pagina di marketing con il DPA e l’informativa sulla privacy. Se divergono su sede o conservazione, sono i documenti legali quelli su cui puoi fare affidamento.
Come risponde Formward
- Archiviato in Svezia; e-mail tramite il data center UE di Mailjet; IA su Mistral AI in Francia (residenza dei dati nell’UE).
- Un registro dei sub-responsabili pubblico; l’unico servizio facoltativo extra-UE nel percorso degli invii è Cloudflare Turnstile, disattivato a meno che un modulo non lo abiliti.
- Il DPA è pubblicato per intero e viene accettato nella dashboard.
- I moduli Free eliminano dopo 30 giorni; i piani a pagamento impostano un periodo per modulo; i backup scompaiono entro 30 giorni (conservazione).
- Gli IP grezzi non vengono mai archiviati, solo un hash con chiave (indirizzi IP).
Domande
- Un servizio di moduli ospitato nell’UE rende il mio modulo conforme al GDPR?
- No. Elimina un trasferimento dal trattamento proprio del fornitore, ma ti servono comunque una base giuridica, un’informativa sulla privacy, un periodo di conservazione sensato e un DPA, e le copie che invii altrove seguono regole proprie.
- È consentito un servizio di moduli statunitense con clausole contrattuali standard?
- Può essere lecito, ma allora ogni invio è un trasferimento che documenti e valuti. Un servizio ospitato nell’UE evita questo lavoro per il trattamento proprio del fornitore.
- Qual è la lacuna più comune?
- L’e-mail di notifica. Molti team archiviano gli invii nell’UE ma inviano ogni risposta a una casella ospitata negli Stati Uniti.
Verifica Formward con l’elenco
Il DPA, il registro dei sub-responsabili e le regole di conservazione sono tutti pubblici.