Como escolher um serviço de formulários conforme ao RGPD
Nenhum serviço de formulários torna o teu formulário conforme com o RGPD por si só: continuas a ser o responsável pelo tratamento e decides o fundamento jurídico, o aviso de privacidade e durante quanto tempo conservas as respostas. O que um serviço decide é para onde vão os dados dos teus visitantes e o que podes provar a esse respeito. Estas sete perguntas separam um fornecedor que podes documentar de um em que tens de confiar na palavra.
Um guia prático, não aconselhamento jurídico. Para uma decisão sobre o teu próprio tratamento de dados, fala com o teu encarregado de proteção de dados ou com um advogado.
1. Onde são armazenadas as submissões?
Procura a declaração do próprio fornecedor sobre onde correm a base de dados e o armazenamento de ficheiros, não um slogan de marketing. «Alojamento na UE disponível» significa muitas vezes uma opção num plano superior enquanto a predefinição fica nos EUA. Se as submissões forem armazenadas fora da UE, tens uma transferência para documentar por cada uma delas.
2. Existe uma lista pública de subcontratantes ulteriores?
Uma lista de subcontratantes ulteriores nomeia cada terceiro que toca nos dados, com a sua localização e finalidade. Sem ela, não consegues saber se o e-mail, as verificações de spam ou as funcionalidades de IA enviam dados para outro lado.
3. O DPA está publicado?
O artigo 28.º do RGPD exige um contrato com cada subcontratante. Um DPA que podes ler antes de te registares e aceitar no produto é mais fácil de documentar do que um disponível apenas a pedido.
4. Podes definir a conservação e como ficam as cópias de segurança?
Verifica se podes definir um prazo de conservação por formulário, se é aplicado automaticamente e durante quanto tempo os dados eliminados permanecem nas cópias de segurança. Guardar tudo para sempre por predefinição vai contra a minimização de dados.
5. O que acontece aos endereços IP?
Um endereço IP é um dado pessoal. Um serviço que armazena IP em bruto com cada submissão guarda mais do que precisa; um que os converte em hash para limitar pedidos guarda menos.
6. Para onde vão as cópias?
Os e-mails de notificação, os webhooks e as integrações copiam as submissões para onde esses destinos estiverem alojados. O armazenamento na UE do fornecedor não chega a uma caixa de correio alojada nos EUA.
7. As afirmações aguentam-se?
Compara a página de marketing com o DPA e a política de privacidade. Se divergirem quanto à localização ou à conservação, são os documentos jurídicos que podes tomar como fiáveis.
Como o Formward responde
- Armazenado na Suécia; e-mail através do centro de dados da UE da Mailjet; IA na Mistral AI, em França (residência dos dados na UE).
- Um registo de subcontratantes ulteriores público; o único serviço opcional fora da UE no caminho das submissões é o Cloudflare Turnstile, desligado a menos que um formulário o ative.
- O DPA está publicado na íntegra e é aceite no painel.
- Os formulários Free eliminam após 30 dias; os planos pagos definem um prazo por formulário; as cópias de segurança desaparecem em 30 dias (conservação).
- Os IP em bruto nunca são armazenados, apenas um hash com chave (endereços IP).
Perguntas
- Um serviço de formulários alojado na UE torna o meu formulário conforme com o RGPD?
- Não. Elimina uma transferência do tratamento próprio do fornecedor, mas continuas a precisar de um fundamento jurídico, de um aviso de privacidade, de um prazo de conservação razoável e de um DPA, e as cópias que envias para outro lado seguem as suas próprias regras.
- É permitido um serviço de formulários dos EUA com cláusulas contratuais-tipo?
- Pode ser lícito, mas cada submissão passa a ser uma transferência que documentas e avalias. Um serviço alojado na UE evita esse trabalho quanto ao tratamento próprio do fornecedor.
- Qual é a lacuna mais comum?
- O e-mail de notificação. Muitas equipas armazenam as submissões na UE mas enviam cada resposta para uma caixa de correio alojada nos EUA.