Kontakt forme usklađene sa GDPR-om: praktična lista provere

Kontakt forma je obrada ličnih podataka u najčistijem obliku: neko vam poverava ime, imejl i poruku u slobodnom tekstu. GDPR se primenjuje čim posetilac iz EU klikne na pošalji. Dobra vest je da je usklađena kontakt forma uglavnom svedena na nekoliko odluka donetih jednom.

Praktične smernice programera koji ovo rade svakodnevno - ne pravni savet. Za konkretne situacije pitajte stručno lice.

1. Prikupljajte samo ono što je svrsi potrebno

Minimizacija podataka je princip koji je najlakše poštovati, a najčešće se krši. Kontakt formi su potrebni imejl i poruka. Broj telefona, veličina kompanije, padajući meni za budžet - svako dodatno polje mora imati razlog. Manje polja takođe znači bolju konverziju, pa za promenu usklađenost i konverzija vuku u istom pravcu.

2. Znajte svoj pravni osnov (verovatno to nije saglasnost)

Za kontakt formu, pravni osnov je obično legitimni interes ili radnje pre zaključenja ugovora - neko vam je pisao, a odgovoriti mu jeste cela poenta. Obično vam nije potreban čekboks za saglasnost samo da biste primili poruku i odgovorili na nju. Tamo gde vam jeste potrebna posebna saglasnost, podrazumevano neoznačena, jeste sve što ide dalje od odgovora: newsletter, marketinške poruke. Nikada to ne mešajte sa dugmetom za slanje.

3. Znajte gde se podaci fizički nalaze

Vaš obrađivač formi negde čuva unos, a gde tačno određuje veliki deo vaše papirologije. Ako obrađivač čuva podatke u SAD, prenos zahteva mehanizam iz poglavlja V - trenutno EU–US okvir za privatnost podataka (Data Privacy Framework) i/ili standardne ugovorne klauzule (SCC) - a vaša politika privatnosti to mora da opiše. To je izvodljivo, ali je to domaći zadatak koji se obnavlja svaki put kad se pravni pejzaž promeni (Safe Harbor i Privacy Shield su obe ukinute; DPF se trenutno osporava).

Strukturno jednostavnija opcija je obrađivač koji čuva unose u EU i nikada ih ne prenosi - tada nema prenosa koji treba dokumentovati. Formhook čuva unose u Nemačkoj, tačka. U oba slučaja, stavka na listi provere je ista: pronađite lokaciju čuvanja podataka u dokumentaciji svog obrađivača i uverite se da vaša politika privatnosti odgovara stvarnosti.

4. Imajte DPA sa svojim obrađivačem

Član 28: ako neka usluga obrađuje lične podatke u vaše ime, mora postojati ugovor o obradi podataka (DPA). Svaki ozbiljan bekend za forme ga nudi - evo Formhookovog. Ako vam neki provajder ne može pokazati DPA, to je samo po sebi diskvalifikujuće.

5. Odlučite o čuvanju podataka — i budite u stanju da po tome postupite

Ograničenje čuvanja znači da znate koliko dugo čuvate unose i zašto. "Dok traje odnos sa klijentom" je sasvim ispravan odgovor — ali vam je od alata potrebno dvoje: brisanje pojedinačnih unosa (zahtevi za brisanje) i izvoz svega (zahtevi za pristup/prenosivost). Proverite da oboje postoji pre nego što vam zatreba; kod Formhooka, brisanje je po unosu, a izvoz je potpuni JSON ZIP na svakom paketu.

6. Iskreno napišite pasus politike privatnosti

Pasus o formi treba da sadrži: šta se prikuplja, zašto, pravni osnov, ko to obrađuje (navedite provajdera), gde se čuva, koliko dugo se čuva i kako zatražiti brisanje. Ako podaci ostaju u EU, taj pasus ima dve rečenice. Ako prelaze Atlantik, duži je — ali kardinalni greh je politika koja ne odgovara stvarnom toku podataka.

Lista provere

• Forma prikuplja samo neophodna polja
• Nema unapred označene saglasnosti; marketinška saglasnost (ako postoji) odvojena je od slanja
• Lokacija čuvanja podataka kod obrađivača je poznata i dokumentovana
• Mehanizam prenosa je identifikovan (ili nepotreban zahvaljujući rezidenciji podataka u EU)
• DPA je uspostavljen sa obrađivačem
• Čuvanje podataka je odlučeno; moguće je i brisanje po unosu i potpuni izvoz
• Pasus politike privatnosti odgovara stvarnom toku podataka

Uradite ovo jednom po sajtu i kontakt forma prelazi iz upitnika o usklađenosti u rešen problem. Više o tome kako Formhook postupa sa podacima u FAQ-u i politici privatnosti.