Un modulo di contatto conforme al GDPR, ospitato nell’UE

Che cosa rende conforme al GDPR questo modulo

• Hosting nell’UE. L’applicazione e il database PostgreSQL girano in Svezia su infrastruttura gestita da Hostup AB: nessun cloud statunitense tratta il contenuto dei moduli.
• Solo sub-responsabili europei per i dati del modulo. Le e-mail di notifica passano da Mailjet (Sinch) da un data center europeo in Francia; l’arricchimento con IA, facoltativo, gira su Mistral AI, anch’essa in Francia. Ogni sub-responsabile che tratta il contenuto dei moduli ha sede nell’UE/SEE.
• Accordo sul trattamento ex art. 28 GDPR. Formward agisce come suo responsabile del trattamento, lei resta titolare. L’accordo è disponibile su richiesta scrivendo a privacy@formward.eu.
• Indirizzi IP pseudonimizzati con hash a chiave. L’indirizzo IP di chi invia il modulo viene protetto con un hash a chiave (HMAC-SHA-256 con un segreto lato server) al momento della ricezione. Gli IP in chiaro non vengono mai scritti su disco.
• Diritti degli interessati in autonomia. L’esportazione e la cancellazione dei dati del modulo si effettuano dalle impostazioni dell’account, così può rispondere direttamente alle richieste di accesso e cancellazione.
• Nessun trasferimento extra-UE da valutare. La conservazione e il trattamento presso Formward avvengono esclusivamente nell’UE/SEE, e sotto questo profilo non si pone la valutazione dei trasferimenti del Capo V. I dati escono dall’UE solo dove li indirizza lei – tra cui una casella di notifica ospitata fuori dall’UE (per esempio Gmail), la risposta automatica inviata all’indirizzo indicato da chi compila, Google Sheets (USA) e qualsiasi URL di webhook. Quelle destinazioni le sceglie lei come titolare, e quel trasferimento ricade sotto la sua responsabilità.

Perché un form backend statunitense qui crea problemi

Molti form backend diffusi sono società statunitensi su infrastruttura statunitense. Per un’azienda italiana questo significa che i dati personali raccolti dal modulo di contatto escono dall’UE, e un semplice modulo diventa una questione di trasferimento verso un paese terzo ai sensi del Capo V del GDPR, con l’obbligo di verificare se le clausole contrattuali tipo bastino o se servano misure supplementari dopo la sentenza Schrems II. Il Garante per la protezione dei dati personali esamina con crescente attenzione proprio questo tipo di trasferimenti.

Domande frequenti

Che cosa rende un modulo di contatto conforme al GDPR?

Contano dove si trova il server, quali sub-responsabili sono nella catena e su quale base contrattuale. Formward ospita in Svezia, impiega solo sub-responsabili europei per i dati del modulo, applica un hash a chiave all’IP di chi invia e fornisce un accordo ai sensi dell’articolo 28.

Sono titolare o responsabile del trattamento?

Come gestore del sito e destinatario dei dati del modulo, di norma è titolare del trattamento. Formward agisce per suo conto come responsabile e tratta i dati secondo le sue istruzioni, mai per finalità proprie.

Mi serve un accordo sul trattamento con Formward?

Sì, non appena Formward tratta dati personali per suo conto. L’accordo si ottiene scrivendo a privacy@formward.eu e disciplina ambito, finalità e misure di sicurezza secondo l’articolo 28.

Come si soddisfano i diritti degli interessati?

Esporta o cancella i dati del modulo direttamente dalle impostazioni dell’account, coprendo così le richieste di accesso, rettifica e cancellazione. Formward fornisce la base tecnica; la responsabilità giuridica resta sua in quanto titolare.

Avete una certificazione SOC 2 o ISO 27001?

Al momento no. Non dichiariamo certificazioni che non possediamo. Le nostre misure tecniche e organizzative sono documentate apertamente e un audit SOC 2 è nella roadmap.