Een AVG-vriendelijke formulierdienst kiezen
Geen enkele formulierdienst maakt je formulier op zichzelf AVG-compliant: jij blijft de verwerkingsverantwoordelijke en beslist over de grondslag, de privacyverklaring en hoe lang je antwoorden bewaart. Wat een dienst wel bepaalt, is waar de gegevens van je bezoekers heen gaan en wat je daarover kunt aantonen. Deze zeven vragen scheiden een leverancier die je kunt documenteren van een die je op haar woord moet geloven.
Een praktische gids, geen juridisch advies. Voor een beslissing over je eigen verwerking van persoonsgegevens: overleg met je functionaris voor gegevensbescherming of een jurist.
1. Waar worden inzendingen opgeslagen?
Zoek de eigen verklaring van de leverancier over waar de database en de bestandsopslag draaien, geen marketingzin. “EU-hosting beschikbaar” betekent vaak een optie in een duurder abonnement terwijl de standaard in de VS blijft. Als inzendingen buiten de EU worden opgeslagen, heb je voor elk daarvan een doorgifte te documenteren.
2. Is er een openbare lijst van subverwerkers?
Een lijst van subverwerkers noemt elke derde partij die met de gegevens in aanraking komt, met locatie en doel. Zonder lijst kun je niet weten of e-mail, spamcontroles of AI-functies gegevens elders heen sturen.
3. Is de DPA gepubliceerd?
Artikel 28 van de AVG eist een overeenkomst met elke verwerker. Een DPA die je kunt lezen voordat je je aanmeldt, en accepteren in het product, is makkelijker te documenteren dan een die alleen op verzoek beschikbaar is.
4. Kun je de bewaartermijn instellen, en hoe zit het met back-ups?
Controleer of je per formulier een bewaartermijn kunt instellen, of die automatisch wordt toegepast en hoe lang verwijderde gegevens in back-ups blijven. Standaard alles voor altijd bewaren werkt gegevensminimalisatie tegen.
5. Wat gebeurt er met IP-adressen?
Een IP-adres is een persoonsgegeven. Een dienst die ruwe IP’s bij elke inzending opslaat, bewaart meer dan nodig; een dienst die ze hasht voor rate limiting, bewaart minder.
6. Waar gaan kopieën heen?
Notificatiemails, webhooks en integraties kopiëren inzendingen naar waar die bestemmingen gehost worden. EU-opslag bij de leverancier bereikt geen in de VS gehoste inbox.
7. Kloppen de beweringen?
Vergelijk de marketingpagina met de DPA en het privacybeleid. Als ze verschillen over locatie of bewaartermijn, zijn de juridische documenten waar je op kunt vertrouwen.
Hoe Formward antwoordt
- Opgeslagen in Zweden; e-mail via het EU-datacenter van Mailjet; AI bij Mistral AI in Frankrijk (dataopslag in de EU).
- Een openbaar register van subverwerkers; de enige optionele niet-EU-dienst in het pad van inzendingen is Cloudflare Turnstile, uit tenzij een formulier het inschakelt.
- De DPA is volledig gepubliceerd en wordt geaccepteerd in het dashboard.
- Free-formulieren verwijderen na 30 dagen; betaalde abonnementen stellen een termijn per formulier in; back-ups zijn binnen 30 dagen weg (bewaartermijn).
- Ruwe IP’s worden nooit opgeslagen, alleen een gesleutelde hash (IP-adressen).
Vragen
- Maakt een in de EU gehoste formulierdienst mijn formulier AVG-compliant?
- Nee. Het haalt een doorgifte uit de eigen verwerking van de leverancier, maar je hebt nog steeds een grondslag, een privacyverklaring, een redelijke bewaartermijn en een DPA nodig, en kopieën die je elders heen stuurt volgen hun eigen regels.
- Is een Amerikaanse formulierdienst met standaardcontractbepalingen toegestaan?
- Het kan rechtmatig zijn, maar elke inzending is dan een doorgifte die je documenteert en beoordeelt. Een in de EU gehoste dienst bespaart dat werk voor de eigen verwerking van de leverancier.
- Wat is de meest voorkomende tekortkoming?
- Notificatiemail. Veel teams slaan inzendingen in de EU op maar sturen elk antwoord naar een in de VS gehoste mailbox.
Toets Formward aan de lijst
De DPA, het register van subverwerkers en de bewaarregels zijn allemaal openbaar.