Jak wybrać usługę formularzy zgodną z RODO
Żadna usługa formularzy nie sprawia sama, że Twój formularz jest zgodny z RODO: nadal jesteś administratorem i decydujesz o podstawie prawnej, klauzuli informacyjnej i o tym, jak długo przechowujesz odpowiedzi. Usługa decyduje natomiast o tym, dokąd trafiają dane Twoich odwiedzających i co możesz na ten temat udowodnić. Te siedem pytań oddziela dostawcę, którego możesz udokumentować, od takiego, któremu musisz wierzyć na słowo.
Praktyczny przewodnik, a nie porada prawna. W sprawie decyzji dotyczącej Twojego przetwarzania danych skontaktuj się z inspektorem ochrony danych lub prawnikiem.
1. Gdzie przechowywane są zgłoszenia?
Szukaj własnego oświadczenia dostawcy, gdzie działają baza danych i magazyn plików, a nie hasła marketingowego. „Hosting w UE dostępny” często oznacza opcję w wyższym planie, podczas gdy domyślnie dane trafiają do USA. Jeśli zgłoszenia są przechowywane poza UE, dla każdego z nich masz transfer do udokumentowania.
2. Czy istnieje publiczna lista podmiotów podprzetwarzających?
Lista podmiotów podprzetwarzających wymienia każdą stronę trzecią, która ma kontakt z danymi, wraz z lokalizacją i celem. Bez niej nie wiesz, czy e-mail, kontrole spamu lub funkcje AI wysyłają dane gdzie indziej.
3. Czy DPA jest opublikowana?
Artykuł 28 RODO wymaga umowy z każdym podmiotem przetwarzającym. DPA, którą możesz przeczytać przed rejestracją i zaakceptować w produkcie, łatwiej udokumentować niż taką, która jest dostępna na życzenie.
4. Czy możesz ustawić retencję i co z kopiami zapasowymi?
Sprawdź, czy możesz ustawić okres retencji dla każdego formularza, czy stosuje się go automatycznie i jak długo usunięte dane pozostają w kopiach zapasowych. Domyślne przechowywanie wszystkiego na zawsze stoi w sprzeczności z minimalizacją danych.
5. Co dzieje się z adresami IP?
Adres IP to dane osobowe. Usługa, która przechowuje surowe adresy IP przy każdym zgłoszeniu, trzyma więcej, niż potrzebuje; ta, która haszuje je na potrzeby ograniczania liczby żądań, trzyma mniej.
6. Dokąd trafiają kopie?
E-maile z powiadomieniami, webhooki i integracje kopiują zgłoszenia tam, gdzie hostowane są te miejsca docelowe. Przechowywanie w UE u dostawcy nie obejmuje skrzynki hostowanej w USA.
7. Czy deklaracje się potwierdzają?
Porównaj stronę marketingową z DPA i polityką prywatności. Jeśli różnią się co do lokalizacji lub retencji, to na dokumentach prawnych możesz polegać.
Jak odpowiada Formward
- Przechowywane w Szwecji; e-mail przez centrum danych Mailjet w UE; AI u Mistral AI we Francji (lokalizacja danych w UE).
- Publiczny rejestr podmiotów podprzetwarzających; jedyną opcjonalną usługą spoza UE na ścieżce zgłoszeń jest Cloudflare Turnstile, wyłączony, chyba że formularz go włączy.
- DPA jest opublikowana w całości i akceptowana w panelu.
- Formularze Free usuwają dane po 30 dniach; plany płatne ustawiają okres dla każdego formularza; kopie zapasowe znikają w ciągu 30 dni (retencja).
- Surowe adresy IP nigdy nie są przechowywane, tylko skrót z kluczem (adresy IP).
Pytania
- Czy usługa formularzy hostowana w UE sprawia, że mój formularz jest zgodny z RODO?
- Nie. Usuwa transfer z własnego przetwarzania dostawcy, ale nadal potrzebujesz podstawy prawnej, klauzuli informacyjnej, rozsądnego okresu przechowywania i DPA, a kopie wysyłane gdzie indziej podlegają własnym zasadom.
- Czy amerykańska usługa formularzy ze standardowymi klauzulami umownymi jest dozwolona?
- Może być zgodna z prawem, ale wtedy każde zgłoszenie jest transferem, który dokumentujesz i oceniasz. Usługa hostowana w UE oszczędza tej pracy w odniesieniu do własnego przetwarzania dostawcy.
- Jaka jest najczęstsza luka?
- E-mail z powiadomieniami. Wiele zespołów przechowuje zgłoszenia w UE, ale każdą odpowiedź wysyła do skrzynki hostowanej w USA.
Sprawdź Formward według tej listy
DPA, rejestr podmiotów podprzetwarzających i zasady retencji są publiczne.