Встраивание Typeform в соответствии с GDPR

Typeform (typeform.com, Typeform S.L. с групповой связью с США) — популярный инструмент для форм и опросов. Встроенная форма загружает скрипты с typeform.com и в зависимости от типа встраивания может устанавливать соединения ещё до заполнения.

Typeform знает несколько типов встраивания: полноэкранный embed, всплывающее окно, слайдер-панель и inline-контейнер. Все загружают embed-скрипт Typeform при открытии страницы. Чистая ссылка на размещённый Typeform (typeform.com/to/...) — самый экономный к данным вариант: здесь до клика ничего не происходит, а посетитель затем сам вызывает сервис.

В отношении введённых ответов Typeform является обработчиком по поручению. Решающим является место хранения: Typeform в зависимости от тарифа предлагает регион данных ЕС, в котором ответы хранятся в Европе. Если он не активен, данные находятся в США, и передача требует основания (EU-US Data Privacy Framework) и записи в политике конфиденциальности. Договор об обработке по поручению с Typeform обязателен в любом случае.

Формы, которые собирают персональные данные, дополнительно нуждаются в собственной информации о защите данных прямо у формы или по ссылке: какие поля обрабатываются, с какой целью, на каком правовом основании и как долго хранятся ответы. Это действует независимо от инструмента для форм.

Это риск?

Встроенная Typeform при открытии страницы загружает JavaScript и устанавливает соединение с серверами Typeform. Пока никто не использует форму, этот доступ к конечному устройству не является «безусловно необходимым» — поэтому он требует согласия по § 25 абз. 1 TDDDG, если форма загружается глобально. К этому добавляется: введённые в форму данные хранятся у Typeform, и без активированного региона данных ЕС они могут попасть в США.

Что вы можете сделать

• Вместо встраивания скрипта использовать простую ссылку «Открыть форму», которая запускает Typeform в новой вкладке — тогда доступ происходит лишь после активного использования.
• Если форма должна оставаться встроенной: загружать её через JavaScript только после клика по собственной кнопке-заглушке или включить в consent-слой.
• В рабочем пространстве Typeform активировать регион данных ЕС (хранение данных в Европе), если тариф это позволяет, и заключить договор об обработке по поручению.
• Указать Typeform в политике конфиденциальности с поставщиком, целью, сохраняемыми данными формы, местом хранения и при необходимости передачей в США.

Частые вопросы

Нужен ли встроенной Typeform баннер согласия?

Если embed-скрипт загружается при открытии страницы: да. Если форма загружается только после активного клика или на неё лишь ведёт ссылка, использование можно основывать на § 25 абз. 2 TDDDG.

Где Typeform хранит ответы формы?

По умолчанию в США. В зависимости от тарифа можно активировать регион данных ЕС, который держит ответы в Европе. Фактическое место хранения относится к политике конфиденциальности.

Достаточно ли ссылки на Typeform вместо встраивания?

Да, и это самое экономное к данным решение. Текстовая ссылка или кнопка, которая открывает размещённую форму в новой вкладке, до клика не передаёт данные в Typeform.

Что должно быть указано у самой формы?

Краткая информация о защите данных: какие данные собираются, для чего, на каком основании и как долго хранятся — плюс ссылка на полную политику конфиденциальности.

Как помогает consentglass

Бесплатная проверка анализирует предоставленный HTML и показывает, какие сервисы встроены, обнаружен ли баннер cookie и есть ли ссылки на конфиденциальность и контактные данные — с классификацией для каждого вывода. Не заменяет юридическую консультацию.