RGPD para formulários web
Um formulário de contacto parece uma coisa pequena, mas cada mensagem que chega por ele contém dados pessoais, e o RGPD pede ao responsável pelo site que tome algumas decisões sobre eles. Este guia percorre essas decisões pela ordem do ciclo de vida de uma submissão: antes de ser recolhida, para onde vai, durante quanto tempo fica e o que acontece quando a pessoa pergunta por ela.
Cada passo liga a uma página mais detalhada. Sempre que a Formward tenha uma definição para o passo, explicamos o que faz e o que não faz.
Um guia prático, não aconselhamento jurídico. Para uma decisão sobre o teu próprio tratamento de dados, fala com o teu encarregado de proteção de dados ou com um advogado.
Antes de recolher: fundamento jurídico e aviso
Todo o tratamento de dados pessoais precisa de um dos seis fundamentos jurídicos do artigo 6.º, n.º 1, do RGPD. Num formulário de contacto, o fundamento costuma não ser o consentimento: responder a alguém que te fez uma pergunta pode assentar em diligências pré-contratuais a pedido da pessoa ou em interesses legítimos. O consentimento entra quando queres fazer algo que a pessoa não pediu, como inscrevê-la numa newsletter. Quando é necessária uma caixa de consentimento e o que deve dizer.
O artigo 13.º exige um aviso curto no momento da recolha: quem és, por que razão recolhes os dados, o fundamento jurídico, quem os recebe e durante quanto tempo os conservas. Uma ligação para a tua política de privacidade junto ao botão de envio costuma bastar (o que o aviso deve dizer, com exemplos de redação). Pede apenas os campos de que precisas para responder (minimização dos dados, artigo 5.º, n.º 1, alínea c)): um campo de número de telefone que nunca usas é um risco, não uma comodidade.
Para onde vão os dados: subcontratantes e transferências
O serviço que recebe o POST do teu formulário é um subcontratante. O artigo 28.º exige um contrato com ele, um Acordo de Tratamento de Dados, e cabe-te saber quais os subcontratantes ulteriores que utiliza e onde se encontram. Se algum deles armazenar os dados fora da UE/EEE, aplicam-se também as regras de transferência do Capítulo V. Usar um fornecedor de formulários norte-americano ao abrigo do RGPD aborda o acórdão Schrems II, o Quadro de Privacidade de Dados e o que perguntar a um fornecedor.
A Formward armazena as submissões na Suécia, e o seu registo de subcontratantes indica cada terceiro com a respetiva localização e finalidade. O DPA é publicado na íntegra e pode ser aceite no painel. Quanto às transferências, consulta onde está cada parte dos dados e a explicação sobre Schrems II.
Notificações e cópias
A submissão guardada raramente é a única cópia. Um email de notificação chega a uma caixa de entrada, um webhook envia os dados para um CRM, uma sincronização preenche uma folha de cálculo. Cada uma dessas é uma cópia com localização e tempo de vida próprios, e a conservação definida no formulário não se aplica a elas.
Se o teu endereço de notificação for uma caixa de correio alojada fora da UE, o email pode levar o conteúdo da submissão para fora da UE. O modo de notificação apenas com ligação do Formward envia um email sem valores dos campos, sem assunto e sem nomes de ficheiros anexos, pelo que lês a submissão no painel alojado na UE. Mais informações sobre a configuração das notificações em do formulário para o email.
Durante quanto tempo os guardas
O princípio da limitação da conservação (artigo 5.º, n.º 1, alínea e)) diz que os dados pessoais devem ser conservados apenas durante o tempo necessário para a finalidade. O RGPD não define um número para ti: tu escolhes um, documentas-o e cumpres-o. O Formward elimina automaticamente as submissões no fim do período que definires por formulário, e o plano Free tem um período fixo de 30 dias. Como escolher um período de conservação.
Quando as pessoas perguntam pelos seus dados
Qualquer pessoa que tenha preenchido o teu formulário pode pedir uma cópia dos seus dados (artigo 15.º) ou que sejam apagados (artigo 17.º), e normalmente tens um mês para responder (artigo 12.º, n.º 3). A parte difícil é encontrar todas as submissões que mencionam a pessoa. A consola DSAR do Formward pesquisa todos os formulários dos teus espaços de trabalho pelo endereço de email, exporta o que encontrar e apaga-o com um certificado. Como tratar um pedido de titular de dados.
Pôr por escrito
Muitas organizações mantêm um registo das atividades de tratamento nos termos do artigo 30.º. Para um formulário, isto corresponde a uma entrada: finalidade, campos, fundamento jurídico, conservação, destinatários e subcontratantes. Se o teu formulário envia dados para o Formward, os dados dos subcontratantes de que precisas estão no nosso registo do artigo 30.º e no registo de subcontratantes ulteriores. O campo de honeypot _gotcha e o hashing de endereços IP com chave estão documentados na página de segurança, caso precises de descrever as medidas técnicas.
Mais temas
- Endereços IP: se são dados pessoais, porque é que um hash simples não é anónimo e durante quanto tempo os devemos conservar.
- Envio de ficheiros: currículos, fotografias e documentos, com minimização, conservação e controlo de acesso.
- Fornecedores de formulários dos EUA: transferências, Schrems II, o Data Privacy Framework e as cláusulas contratuais-tipo.
- Aviso de privacidade para um formulário de contacto: os pontos do artigo 13.º e a redação que podes adaptar.
- Escolher um serviço de formulários: sete perguntas para qualquer fornecedor antes de lá entrarem os dados dos teus visitantes.
Perguntas
- Um formulário de contacto simples está abrangido pelo RGPD?
- Normalmente, sim. Um nome e um endereço de email identificam uma pessoa, pelo que o formulário recolhe dados pessoais e tu, como responsável pelo site, és o responsável pelo tratamento. As obrigações são, contudo, proporcionais: para um formulário de contacto simples, resumem-se sobretudo a um aviso de privacidade curto, a um prazo de conservação razoável e a uma forma de encontrar e eliminar as mensagens de uma pessoa.
- A Formward é responsável pelo tratamento ou subcontratante?
- A Formward trata as submissões dos formulários em teu nome, como subcontratante ao abrigo do artigo 28.º. Tu decides por que razão o formulário existe e o que acontece aos dados, pelo que continuas a ser o responsável pelo tratamento. Os termos constam do Acordo de Tratamento de Dados publicado em formward.eu/dpa.
- Usar um backend de formulários alojado na UE torna o meu formulário conforme com o RGPD?
- Nenhuma ferramenta consegue isso por si só. Alojar na UE elimina uma questão (as transferências dos dados armazenados para fora da UE), mas o fundamento jurídico, o aviso de privacidade, o prazo de conservação e a forma como respondes aos pedidos são decisões que tomas como responsável pelo tratamento. A Formward disponibiliza definições para várias delas; as escolhas continuam a ser tuas.
Começa com as predefinições ativas
A captura de consentimento está disponível em todos os planos, incluindo o Free. A conservação, a consola de pedidos de acesso (DSAR) e o DPA estão prontos quando precisares deles.