Så väljer du en GDPR-vänlig formulärtjänst
Ingen formulärtjänst gör ditt formulär GDPR-säkert på egen hand: du förblir personuppgiftsansvarig och avgör rättslig grund, integritetsmeddelande och hur länge du sparar svar. Vad en tjänst däremot avgör är vart dina besökares data tar vägen och vad du kan belägga om det. Dessa sju frågor skiljer en leverantör du kan dokumentera från en du måste lita på.
En praktisk guide, inte juridisk rådgivning. Vid beslut om din egen behandling av personuppgifter, kontakta ditt dataskyddsombud eller en jurist.
1. Var lagras inskicken?
Leta efter leverantörens egen uppgift om var databasen och fillagringen körs, inte en marknadsföringsfras. ”EU-drift tillgänglig” betyder ofta ett alternativ i en dyrare plan medan standarden förblir USA. Om inskick lagras utanför EU har du en överföring att dokumentera för varje enskilt inskick.
2. Finns det en offentlig lista över underbiträden?
En lista över underbiträden namnger varje tredje part som kommer åt datan, med plats och syfte. Utan en sådan kan du inte veta om e-post, skräppostkontroller eller AI-funktioner skickar data någon annanstans.
3. Är DPA:n publicerad?
Artikel 28 i GDPR kräver ett avtal med varje personuppgiftsbiträde. Ett DPA som du kan läsa innan du registrerar dig och godkänna i produkten är lättare att dokumentera än ett som bara lämnas ut på begäran.
4. Kan du ställa in lagringstid, och hur blir det med säkerhetskopior?
Kontrollera om du kan ställa in en lagringstid per formulär, om den tillämpas automatiskt och hur länge raderad data finns kvar i säkerhetskopior. Att som standard spara allt för alltid motverkar principen om uppgiftsminimering.
5. Vad händer med IP-adresser?
En IP-adress är en personuppgift. En tjänst som lagrar råa IP-adresser vid varje inskick sparar mer än den behöver; en som hashar dem för begränsning av antal anrop sparar mindre.
6. Vart går kopior?
Aviseringsmejl, webhooks och integrationer kopierar inskick till den plats där mottagarna är värdbaserade. Leverantörens lagring i EU når inte en inkorg som drivs i USA.
7. Håller påståendena?
Jämför marknadsföringssidan med DPA:n och integritetspolicyn. Om de säger olika om plats eller lagringstid är det de juridiska dokumenten du kan förlita dig på.
Så svarar Formward
- Lagras i Sverige; e-post via Mailjets EU-datacenter; AI hos Mistral AI i Frankrike (datalagring i EU).
- Ett offentligt register över underbiträden; den enda valfria tjänsten utanför EU i inskickens väg är Cloudflare Turnstile, som är avstängt om inte ett formulär slår på det.
- DPA:n är publicerad i sin helhet och godkänns i kontrollpanelen.
- Free-formulär raderar efter 30 dagar; betalplaner anger en tid per formulär; säkerhetskopior är borta inom 30 dagar (lagringstid).
- Råa IP-adresser lagras aldrig, bara en nyckelbaserad hash (IP-adresser).
Frågor
- Gör en EU-driven formulärtjänst mitt formulär GDPR-säkert?
- Nej. Den tar bort en överföring i leverantörens egen behandling, men du behöver fortfarande en rättslig grund, ett integritetsmeddelande, en rimlig lagringstid och ett DPA, och kopior du skickar vidare följer sina egna regler.
- Är en amerikansk formulärtjänst med standardavtalsklausuler tillåten?
- Det kan vara lagligt, men varje inskick är då en överföring som du dokumenterar och bedömer. En EU-driven tjänst slipper det arbetet för leverantörens egen behandling.
- Vad är den vanligaste bristen?
- Aviseringsmejl. Många team lagrar inskick i EU men skickar varje svar till en brevlåda som drivs i USA.