RODO a formularze internetowe

Każde przetwarzanie danych osobowych wymaga jednej z sześciu podstaw prawnych z art. 6 ust. 1 RODO. W przypadku formularza kontaktowego podstawą często nie jest zgoda: odpowiedź na pytanie zadane przez kogoś może opierać się na działaniach podjętych na jego żądanie lub na prawnie uzasadnionym interesie. Zgoda wchodzi w grę, gdy chcesz zrobić coś, o co dana osoba nie prosiła, na przykład dodać ją do newslettera. Kiedy potrzebny jest checkbox zgody i co powinien zawierać.

Art. 13 wymaga krótkiej informacji w momencie zbierania danych: kim jesteś, po co zbierasz dane, jaka jest podstawa prawna, kto je otrzymuje i jak długo je przechowujesz. Link do polityki prywatności obok przycisku wysyłania zwykle wystarcza (co powinna zawierać informacja, z przykładowym brzmieniem). Proś tylko o pola potrzebne do odpowiedzi (minimalizacja danych, art. 5 ust. 1 lit. c): pole numeru telefonu, którego nigdy nie używasz, to ryzyko, a nie wygoda.

Usługa, która odbiera wysłany przez Twój formularz POST, jest podmiotem przetwarzającym. Art. 28 wymaga zawarcia z nią umowy, czyli Umowy powierzenia przetwarzania danych, a Ty odpowiadasz za to, by wiedzieć, jakich dalszych podmiotów przetwarzających używa i gdzie się znajdują. Jeśli którykolwiek z nich przechowuje dane poza UE/EOG, zastosowanie mają także przepisy o przekazywaniu danych z rozdziału V. Korzystanie z amerykańskiego dostawcy formularzy a RODO omawia wyrok Schrems II, Data Privacy Framework oraz to, o co pytać dostawcę.

Formward przechowuje zgłoszenia w Szwecji, a jego rejestr dalszych podmiotów przetwarzających wymienia każdą stronę trzecią wraz z jej lokalizacją i celem. DPA jest opublikowana w całości i można ją zaakceptować w panelu. Po stronie przekazywania danych zobacz gdzie znajduje się każda część danych oraz wyjaśnienie wyroku Schrems II.

Zapisane zgłoszenie rzadko jest jedyną kopią. Powiadomienie e-mail trafia do skrzynki odbiorczej, webhook przekazuje dane do CRM, a synchronizacja uzupełnia arkusz kalkulacyjny. Każda z nich to kopia z własnym miejscem przechowywania i własnym okresem życia, a okres przechowywania ustawiony w formularzu ich nie obejmuje.

Jeśli adres do powiadomień to skrzynka pocztowa hostowana poza UE, wiadomość e-mail może wynieść treść zgłoszenia poza UE. Tryb powiadomień Formward wyłącznie z linkiem wysyła e-mail bez wartości pól, tematu i nazw załączników, dzięki czemu zgłoszenie czytasz w panelu hostowanym w UE. Więcej o konfiguracji powiadomień znajdziesz w od formularza do e-maila.

Zasada ograniczenia przechowywania (art. 5 ust. 1 lit. e) mówi, że dane osobowe powinny być przechowywane nie dłużej, niż wymaga tego cel. RODO nie określa za Ciebie liczby dni: wybierasz ją sam, zapisujesz i się jej trzymasz. Formward automatycznie usuwa zgłoszenia po okresie ustawionym dla każdego formularza, a w planie Free okres jest stały i wynosi 30 dni. Jak wybrać okres przechowywania.

Każda osoba, która wypełniła Twój formularz, może zażądać kopii swoich danych (art. 15) lub ich usunięcia (art. 17), a na odpowiedź zwykle masz miesiąc (art. 12 ust. 3). Najtrudniejsze jest znalezienie wszystkich zgłoszeń, w których pojawia się dana osoba. Konsola DSAR w Formward przeszukuje wszystkie formularze w Twoich przestrzeniach roboczych według adresu e-mail, eksportuje znalezione dane i usuwa je, wystawiając certyfikat. Jak obsłużyć żądanie osoby, której dotyczą dane.

Wiele organizacji prowadzi rejestr czynności przetwarzania zgodnie z art. 30. W przypadku formularza to jeden wpis: cel, pola, podstawa prawna, okres przechowywania, odbiorcy i podmioty przetwarzające. Jeśli Twój formularz wysyła dane do Formward, potrzebne informacje o podmiocie przetwarzającym znajdziesz w naszym rejestrze zgodnym z art. 30 oraz w rejestrze podprocesorów. Pole honeypot Formward _gotcha i haszowanie adresów IP z kluczem są opisane na stronie o bezpieczeństwie, jeśli musisz opisać środki techniczne.

• Adresy IP: czy są danymi osobowymi, dlaczego zwykły hash nie jest anonimowy i jak długo je przechowywać.
• Przesyłanie plików: CV, zdjęcia i dokumenty, z minimalizacją, przechowywaniem i kontrolą dostępu.
• Amerykańscy dostawcy formularzy: transfery, Schrems II, Data Privacy Framework i standardowe klauzule umowne.
• Klauzula informacyjna dla formularza kontaktowego: punkty z art. 13 i treść, którą możesz dostosować.
• Wybór usługi formularzy: siedem pytań do każdego dostawcy, zanim trafią do niego dane Twoich odwiedzających.