Um formulário de contacto em conformidade com o RGPD, alojado na UE

O que torna um formulário de contacto compatível com o RGPD

• Alojamento e base de dados na Suécia. A aplicação e a base de dados PostgreSQL funcionam na infraestrutura da empresa sueca Hostup AB. O conteúdo dos formulários não é armazenado numa cloud norte-americana.
• Subcontratantes europeus para os dados dos formulários. O email transacional é entregue pelo Mailjet (Sinch) a partir de um centro de dados em França e o enriquecimento opcional por IA é processado pela Mistral AI em França. Os prestadores que tratam o conteúdo das submissões estão na UE ou no EEE.
• Acordo de tratamento nos termos do artigo 28.º. O Formward atua como subcontratante e o cliente permanece responsável pelo tratamento. O acordo pode ser solicitado através de privacy@formward.eu.
• Endereços IP pseudonimizados. O endereço IP do remetente é transformado no momento da receção com HMAC-SHA-256 e uma chave secreta do servidor. O endereço IP em bruto nunca é guardado.
• Direitos dos titulares geridos no painel. É possível exportar e apagar dados de formulários nas definições da conta, facilitando a resposta atempada a pedidos de acesso ou apagamento.
• Limites de transferência claramente documentados. O armazenamento e tratamento realizados pelo Formward permanecem na UE ou no EEE. Os dados só seguem para outro território quando o cliente escolhe um destino externo, como uma caixa Gmail, o Google Sheets ou um webhook próprio. Cabe ao responsável avaliar esse destino e a respetiva base de transferência.

Porque é que um backend norte-americano aumenta as obrigações

Muitos serviços de formulários conhecidos são operados por empresas dos Estados Unidos e utilizam infraestrutura norte-americana. Para uma organização portuguesa, isso pode exigir uma avaliação da transferência internacional ao abrigo do capítulo V do RGPD, incluindo a base jurídica, eventuais medidas suplementares e o impacto das leis do país de destino após o acórdão Schrems II. Quando o backend e os subcontratantes que tratam as submissões estão na UE ou no EEE, o fluxo é mais simples de documentar no registo de atividades e na informação de privacidade apresentada aos utilizadores. A Comissão Nacional de Proteção de Dados (CNPD) é a autoridade de controlo competente para empresas privadas em Portugal.

Perguntas frequentes

O que é um formulário de contacto em conformidade com o RGPD?

É necessário considerar a finalidade, os campos recolhidos, o prazo de conservação, a segurança, a localização do tratamento, os subcontratantes e o contrato com o prestador. Uma caixa de consentimento, por si só, não resolve tudo. O Formward fornece um backend europeu, pseudonimização de IP, uma lista transparente de subcontratantes e ferramentas de exportação e apagamento.

O proprietário do site é o responsável pelo tratamento?

Normalmente, sim. O proprietário define a finalidade do formulário, escolhe os campos e decide como utilizar a submissão. O Formward trata os dados em seu nome como subcontratante e não usa o conteúdo para finalidades próprias.

Preciso de um acordo de tratamento de dados com o Formward?

Se o formulário recolhe dados pessoais e o Formward os trata por sua conta, o acordo previsto no artigo 28.º do RGPD é o documento adequado. Pode solicitá-lo através de privacy@formward.eu.

Os dados nunca saem da União Europeia?

O armazenamento e tratamento realizados pelo Formward permanecem na UE ou no EEE. Os dados poderão sair quando forem enviados para uma caixa de correio, uma folha Google ou um webhook que o cliente tenha configurado fora do EEE. O responsável escolhe essas integrações e avalia a transferência associada.

O Formward tem certificação ISO 27001 ou SOC 2?

Ainda não. Não afirmamos possuir certificações que não obtivemos. As medidas técnicas e organizativas estão documentadas publicamente e uma auditoria SOC 2 faz parte do roteiro do produto.