Integrare Typeform in conformità al GDPR

Typeform (typeform.com, Typeform S.L. con legame societario con gli USA) è uno strumento popolare di moduli e sondaggi. Il modulo incorporato carica script da typeform.com e, a seconda del tipo di incorporamento, può stabilire connessioni già prima di essere compilato.

Typeform prevede diversi tipi di incorporamento: l'embed a schermo intero, il popup, il pannello slider e il contenitore inline. Tutti caricano lo script di embed di Typeform al caricamento della pagina. Il semplice link a un Typeform ospitato (typeform.com/to/...) è la variante più parsimoniosa nei dati — qui non accade nulla fino al clic, e il visitatore richiama poi il servizio da sé.

Per le risposte inserite, Typeform è responsabile del trattamento per conto. Il luogo di memorizzazione è decisivo: a seconda del piano, Typeform offre una regione dati UE in cui le risposte vengono memorizzate in Europa. Se non è attiva, i dati si trovano negli USA, e il trasferimento necessita di una base (EU-US Data Privacy Framework) e di una voce nell'informativa. Un accordo sul trattamento con Typeform è comunque obbligatorio.

I moduli che raccolgono dati personali necessitano inoltre di una propria informativa sulla privacy direttamente sul modulo o collegata: quali campi vengono trattati, per quale finalità, su quale base giuridica e per quanto tempo le risposte vengono memorizzate. Ciò vale indipendentemente dallo strumento di moduli.

È un rischio?

Un Typeform incorporato carica JavaScript al caricamento della pagina e stabilisce una connessione ai server Typeform. Finché nessuno usa il modulo, questo accesso al dispositivo non è «strettamente necessario» — è quindi soggetto a consenso ai sensi dell'art. 25, comma 1 TDDDG se il modulo è caricato globalmente. A ciò si aggiunge: i dati inseriti nel modulo vengono memorizzati presso Typeform e, senza una regione dati UE attivata, possono finire negli USA.

Cosa puoi fare

• Invece dell'incorporamento tramite script, usare un semplice link «Apri modulo» che avvia Typeform in una nuova scheda — così l'accesso avviene solo dopo un uso attivo.
• Se il modulo deve restare incorporato: caricarlo tramite JavaScript solo dopo un clic su un proprio pulsante segnaposto, oppure includerlo nel consent layer.
• Nell'area di lavoro Typeform, attivare la regione dati UE (memorizzazione dei dati in Europa) se il piano lo consente, e stipulare un accordo sul trattamento dei dati.
• Nominare Typeform nell'informativa con fornitore, finalità, dati del modulo memorizzati, luogo di memorizzazione ed eventuale trasferimento negli USA.

Domande frequenti

Un Typeform incorporato necessita di un banner di consenso?

Se lo script di embed si carica al caricamento della pagina: sì. Se il modulo si carica solo dopo un clic attivo o viene solo collegato, l'uso può basarsi sull'art. 25, comma 2 TDDDG.

Dove memorizza Typeform le risposte al modulo?

Per impostazione predefinita negli USA. A seconda del piano si può attivare una regione dati UE che mantiene le risposte in Europa. Il luogo di memorizzazione effettivo va indicato nell'informativa.

Basta un link al Typeform invece di un incorporamento?

Sì, ed è la soluzione più parsimoniosa nei dati. Un link testuale o un pulsante che apre il modulo ospitato in una nuova scheda non trasmette alcun dato a Typeform fino al clic.

Cosa deve essere indicato sul modulo stesso?

Una breve informativa sulla privacy: quali dati vengono raccolti, per quale scopo, su quale base e per quanto tempo vengono memorizzati — più un link all'informativa completa.

Come aiuta consentglass

La scansione gratuita verifica l'HTML fornito e mostra quali servizi sono integrati, se viene rilevato un banner cookie e se i link a privacy e note legali sono presenti — con inquadramento per ogni riscontro. Non sostituisce una consulenza legale.