Een AVG-proof contactformulier, gehost in de EU

Wat dit formulier AVG-proof maakt

• Gehost in de EU. De applicatie en PostgreSQL-database draaien in Zweden, op infrastructuur van Hostup AB – geen Amerikaanse cloud raakt de formulierinhoud.
• Alleen EU-sub-verwerkers voor formuliergegevens. Notificatiemail loopt via Mailjet (Sinch) vanuit een EU-datacenter in Frankrijk, optionele AI-verrijking via Mistral AI, eveneens in Frankrijk. Elke verwerker die formulierinhoud aanraakt zit in de EU/EER.
• Verwerkersovereenkomst conform artikel 28. Formward treedt op als uw verwerker, u blijft verwerkingsverantwoordelijke. Een verwerkersovereenkomst is beschikbaar via privacy@formward.eu.
• Gepseudonimiseerde IP-adressen. Het IP-adres van de indiener wordt bij ontvangst gehasht met een geheime serversleutel (HMAC-SHA-256). Ruwe IP-adressen worden nooit weggeschreven.
• Rechten van betrokkenen, selfservice. Export en verwijdering van formuliergegevens regelt u zelf via de accountinstellingen, zodat u inzage- en verwijderverzoeken direct kunt afhandelen.
• Geen doorgifte naar derde landen te beoordelen. Opslag en verwerking bij Formward vinden uitsluitend binnen de EU/EER plaats; in zoverre vervalt de doorgiftetoets uit hoofdstuk V AVG. De gegevens verlaten de EU alleen daar waar u ze zelf naartoe stuurt – onder meer een notificatiepostbus buiten de EU (bijvoorbeeld Gmail), de autoresponder die antwoordt op het adres dat de invuller opgaf, Google Sheets (VS) en elke webhook-URL. Die bestemmingen kiest u als verwerkingsverantwoordelijke, en voor die doorgifte bent u verantwoordelijk.

Waarom een Amerikaans formulier-backend hier een probleem wordt

Veel populaire formulier-backends zijn Amerikaanse bedrijven op Amerikaanse infrastructuur. Voor een Nederlandse organisatie betekent dat: de persoonsgegevens die via het contactformulier binnenkomen verlaten de EU, en een simpel contactformulier wordt een doorgifte naar derde landen onder hoofdstuk V AVG – inclusief de vraag of de standaardcontractbepalingen na het Schrems II-arrest aanvullende maatregelen nodig hebben. De Autoriteit Persoonsgegevens houdt dit type doorgifte bij toezicht scherp in de gaten.

Veelgestelde vragen

Wat maakt een contactformulier AVG-proof?

Waar de server staat, welke verwerkers in de keten zitten, en of er een geldige verwerkersovereenkomst is. Formward host in Zweden, gebruikt uitsluitend EU-sub-verwerkers voor formuliergegevens, hasht het IP-adres van de indiener bij ontvangst en levert een verwerkersovereenkomst conform artikel 28.

Ben ik verwerkingsverantwoordelijke of verwerker?

Als eigenaar van de website en ontvanger van de formuliergegevens bent u doorgaans verwerkingsverantwoordelijke. Formward treedt namens u op als verwerker en verwerkt de gegevens volgens uw instructies, niet voor eigen doeleinden.

Heb ik een verwerkersovereenkomst met Formward nodig?

Ja, zodra Formward persoonsgegevens namens u verwerkt. De overeenkomst is op te vragen via privacy@formward.eu en regelt omvang, doel en beveiligingsmaatregelen conform artikel 28.

Hoe worden rechten van betrokkenen afgehandeld?

U exporteert of verwijdert formuliergegevens zelf via de accountinstellingen, waarmee u inzage-, correctie- en verwijderverzoeken direct kunt beantwoorden. Formward levert de technische basis, de juridische verantwoordelijkheid blijft bij u als verwerkingsverantwoordelijke.

Hebben jullie een SOC 2- of ISO 27001-certificering?

Op dit moment niet. Wij claimen geen certificeringen die we niet hebben. Onze technische en organisatorische maatregelen zijn openlijk gedocumenteerd, en een SOC 2-traject staat op de roadmap.