Ett GDPR-säkert kontaktformulär, hostat i EU

Vad som gör formuläret GDPR-säkert

• Hostat i EU. Applikationen och PostgreSQL-databasen körs i Sverige på infrastruktur som drivs av Hostup AB – ingen amerikansk molntjänst hanterar formulärinnehållet.
• Enbart EU-underbiträden för formulärdata. Notismejl skickas via Mailjet (Sinch) från ett EU-datacenter i Frankrike, valfri AI-berikning körs via Mistral AI, också i Frankrike. Varje underbiträde som rör formulärinnehåll sitter inom EU/EES.
• PUB-avtal enligt artikel 28. Formward agerar personuppgiftsbiträde å era vägnar, ni förblir personuppgiftsansvariga. Ett personuppgiftsbiträdesavtal finns tillgängligt via privacy@formward.eu.
• Nyckelhashade IP-adresser. Avsändarens IP-adress skyddas med en nyckelbaserad hash (HMAC-SHA-256 med en hemlig serversalt) direkt vid mottagandet. Rå IP skrivs aldrig till disk.
• Registrerades rättigheter, självbetjänt. Export och radering av formulärdata sker från kontoinställningarna, så ni kan hantera begäranden om registerutdrag och radering utan manuell handpåläggning.
• Ingen tredjelandsöverföring att bedöma. Formwards lagring och behandling sker uteslutande inom EU/EES, och för den delen uppstår ingen bedömning enligt kapitel V. Datan lämnar EU bara dit du själv styr den – bland annat en notismottagare utanför EU (till exempel Gmail), autosvaret som går till adressen avsändaren angav, Google Sheets (USA) och varje webhook-URL. De målen väljer du som personuppgiftsansvarig, och den överföringen ansvarar du för.

Varför ett amerikanskt formulär-backend blir ett problem här

Många populära formulär-backend-tjänster är amerikanska bolag på amerikansk infrastruktur. För ett svenskt företag innebär det att personuppgifterna som samlas in via kontaktformuläret lämnar EU, och ett enkelt kontaktformulär blir en fråga om tredjelandsöverföring enligt kapitel V i dataskyddsförordningen – inklusive om standardavtalsklausuler räcker eller om kompletterande åtgärder krävs efter Schrems II-domen. Integritetsskyddsmyndigheten (IMY) har vid tillsyn upprepade gånger flaggat den typen av överföringar som ett riskområde.

Vanliga frågor

Vad krävs för att ett kontaktformulär ska vara GDPR-säkert?

Var servern står, vilka underbiträden som hanterar datan, och att det finns ett giltigt PUB-avtal. Formward hostar i Sverige, använder enbart EU-underbiträden för formulärdata, hashar avsändarens IP vid mottagandet och tillhandahåller ett PUB-avtal enligt artikel 28.

Är jag personuppgiftsansvarig eller personuppgiftsbiträde?

Som ägare av webbplatsen och mottagare av formulärdatan är ni normalt personuppgiftsansvariga. Formward agerar personuppgiftsbiträde å era vägnar och behandlar datan enligt era instruktioner, inte för egna syften.

Behöver jag ett PUB-avtal med Formward?

Ja, så snart Formward behandlar personuppgifter för er räkning. Avtalet begärs via privacy@formward.eu och reglerar omfattning, ändamål och säkerhetsåtgärder enligt artikel 28.

Hur hanteras registrerades rättigheter?

Ni exporterar eller raderar formulärdata själva via kontoinställningarna, vilket täcker begäranden om registerutdrag, rättelse och radering direkt. Formward ger den tekniska grunden, det juridiska ansvaret ligger kvar hos er som personuppgiftsansvarig.

Har ni SOC 2- eller ISO 27001-certifiering?

Inte i dagsläget. Vi påstår inga certifieringar vi inte har. Våra tekniska och organisatoriska åtgärder är öppet dokumenterade, och en SOC 2-granskning finns på färdplanen.