Integrar o Typeform em conformidade com o RGPD

O Typeform (typeform.com, Typeform S.L. com ligação de grupo aos EUA) é uma ferramenta popular de formulários e inquéritos. O formulário incorporado carrega scripts de typeform.com e, consoante o tipo de incorporação, pode estabelecer ligações mesmo antes de ser preenchido.

O Typeform tem vários tipos de incorporação: a incorporação em ecrã inteiro, o popup, o painel deslizante e o contentor inline. Todos carregam o script de incorporação do Typeform ao carregar a página. A simples ligação a um Typeform alojado (typeform.com/to/...) é a variante mais parcimoniosa em dados — aqui nada acontece até ao clique, e o visitante chama então o serviço por si próprio.

Quanto às respostas introduzidas, o Typeform é subcontratante. O local de armazenamento é decisivo: consoante o plano, o Typeform oferece uma região de dados da UE na qual as respostas são armazenadas na Europa. Se não estiver ativa, os dados encontram-se nos EUA, e a transferência precisa de uma base (EU-US Data Privacy Framework) e de uma entrada na política de privacidade. Um contrato de subcontratação com o Typeform é obrigatório em qualquer caso.

Os formulários que recolhem dados pessoais precisam adicionalmente da sua própria informação de privacidade diretamente no formulário ou ligada: que campos são tratados, para que finalidade, com que base legal e durante quanto tempo as respostas são armazenadas. Isto aplica-se independentemente da ferramenta de formulários.

Isto é um risco?

Um Typeform incorporado carrega JavaScript ao carregar a página e estabelece uma ligação aos servidores do Typeform. Enquanto ninguém usar o formulário, esse acesso ao dispositivo não é «estritamente necessário» — está, portanto, sujeito a consentimento nos termos do § 25.º, n.º 1 do TDDDG se o formulário for carregado globalmente. A isso acresce: os dados introduzidos no formulário são armazenados no Typeform e, sem uma região de dados da UE ativada, podem acabar nos EUA.

O que pode fazer

• Em vez da incorporação por script, usar uma simples ligação «Abrir formulário» que inicia o Typeform num novo separador — assim o acesso só acontece após um uso ativo.
• Se o formulário tiver de ficar incorporado: carregá-lo via JavaScript apenas após um clique num botão próprio de marcador de posição, ou incluí-lo na camada de consentimento.
• No espaço de trabalho do Typeform, ativar a região de dados da UE (armazenamento de dados na Europa) se o plano o permitir, e celebrar um contrato de subcontratação.
• Nomear o Typeform na política de privacidade com fornecedor, finalidade, dados de formulário armazenados, local de armazenamento e eventual transferência para os EUA.

Häufige Fragen

Um Typeform incorporado precisa de um banner de consentimento?

Se o script de incorporação carregar ao carregar a página: sim. Se o formulário só carregar após um clique ativo ou for apenas ligado, o uso pode basear-se no § 25.º, n.º 2 do TDDDG.

Onde armazena o Typeform as respostas do formulário?

Por predefinição nos EUA. Consoante o plano, pode ativar-se uma região de dados da UE que mantém as respostas na Europa. O local de armazenamento real deve constar da política de privacidade.

Basta uma ligação ao Typeform em vez de uma incorporação?

Sim, e é a solução mais parcimoniosa em dados. Uma ligação de texto ou botão que abre o formulário alojado num novo separador não transmite quaisquer dados ao Typeform até ao clique.

O que tem de constar do próprio formulário?

Uma breve informação de privacidade: que dados são recolhidos, para quê, com que base e durante quanto tempo são armazenados — mais uma ligação à política de privacidade completa.

Como o consentglass ajuda

A análise gratuita verifica o HTML entregue e mostra que serviços estão incorporados, se é detetado um banner de cookies e se as ligações para privacidade e informação legal estão presentes — com enquadramento para cada constatação. Não substitui aconselhamento jurídico.