Jotformin lisääminen GDPR:n mukaisesti

Jotform (jotform.com, Jotform Inc., USA) on laajalti käytetty lomakerakennussarja. Oletuksena lomakkeet ja lähetetyt tiedot käsitellään yhdysvaltalaisilla palvelimilla; EU-palvelin on valittavissa valinnaisesti.

Jotform tarjoaa kolme palvelinaluetta: US, EU ja Kanada. Valinta tehdään tilikohtaisesti ja määrää, missä lomakkeet isännöidään ja vastaukset tallennetaan. Saksan markkinoille EU-palvelin on luonteva valinta — se siirtää tallennuksen Frankfurtiin ja lieventää kolmannen maan kysymystä. Tärkeää: vaihto ei vaikuta takautuvasti; olemassa olevat lomakkeet ja tiedot on migroitava aktiivisesti.

Upotus tapahtuu Jotformissa yleensä iframen ja feeder-skriptin kautta, joka mukauttaa korkeuden. Molemmat latautuvat sivua avattaessa. Se, joka haluaa välttää tämän, linkittää isännöityyn lomakkeeseen (form.jotform.com/...) tai lataa iframen vasta käyttäjän vuorovaikutuksen jälkeen. Jotform asettaa lisäksi lomakkeen toiminnoista riippuen (esim. edistymisen tallennus) evästeitä, jotka kuuluvat evästeselosteeseen.

Usein huomiotta jäävä seikka ovat lisätoiminnot: maksuintegraatiot, reCAPTCHA roskapostia vastaan, sähköpostin automaattivastaajat ja integraatiot Google Sheetsiin tai CRM-järjestelmiin tuovat kukin mukanaan omat vastaanottajansa ja tietovirtansa. Jokainen aktiivinen integraatio kuuluu tietosuojaselosteeseen.

Onko tämä riski?

Upotettu Jotform-lomake lataa sivua avattaessa skriptejä osoitteesta jotform.com tai vastaavista CDN-verkkotunnuksista ja muodostaa yhteyden Jotformin palvelimiin. Tämä pääsy päätelaitteeseen ei ole ilman aktiivista käyttöä tarpeen ja on siten TDDDG:n 25 §:n 1 momentin mukaan suostumuksenvarainen, jos lomake on upotettu globaalisti. Ilman EU-palvelinta lomaketiedot tallennetaan Yhdysvaltoihin.

Mitä voit tehdä

• Valitse Jotform-tilin asetuksista EU-palvelin (tietojen sijainti EU:ssa) — tämän on tapahduttava ennen lomakkeiden luontia, tai olemassa olevat lomakkeet on migroitava.
• Älä upota lomaketta globaalisti skriptillä, vaan linkitä se tai lataa vasta klikkauksen jälkeen.
• Tee Jotformin kanssa henkilötietojen käsittelysopimus (saatavilla tilillä).
• Mainitse Jotform tietosuojaselosteessa palveluntarjoajan, palvelinsijainnin, tarkoituksen, lomaketietojen ja säilytysajan kanssa.

Usein kysytyt kysymykset

Voiko Jotformia EU-palvelimella käyttää GDPR:n mukaisesti?

EU-palvelin siirtää isännöinnin ja tietojen tallennuksen EU:hun ja lieventää siten kolmanteen maahan siirtoa. Suostumuskysymys globaalisti upotetulle lomakeskriptille ja käsittelysopimus jäävät tästä koskemattomiksi.

Pitääkö minun valita EU-palvelin ennen lomakkeiden luontia?

Ihannetapauksessa kyllä. Palvelinalue pätee tilikohtaisesti eikä vaikuta takautuvasti. Olemassa olevat lomakkeet ja vastaukset on vaihdon yhteydessä migroitava aktiivisesti EU-palvelimelle.

Mitä evästeitä Jotform asettaa?

Lomakkeen toiminnoista riippuen (istunnonhallinta, edistymisen tallennus, roskapostisuojaus) useita. Konkreettisesti asetetut evästeet tulisi tarkistaa Verkko-välilehdeltä ja dokumentoida evästeselosteessa.

Entä reCAPTCHA Jotform-lomakkeissa?

Jos aktivoit reCAPTCHA-roskapostisuojauksen, lomakkeessa latautuu Google reCAPTCHA — samoilla tietosuojakysymyksillä kuin missä tahansa reCAPTCHA-toteutuksessa. Vaihtoehtoina ovat Jotformin oma honeypot tai aikasuodatin.

Näin consentglass auttaa

Ilmainen skannaus tarkistaa toimitetun HTML:n ja näyttää, mitä palveluita on upotettu, tunnistetaanko evästebanneri ja ovatko linkit tietosuojaan ja vastuuvapauslausekkeeseen olemassa — taustatietojen kanssa jokaisesta havainnosta. Se ei korvaa oikeudellista neuvontaa.