# Сервіс форм і GDPR: 7 пунктів перед вибором

Як перевірити сервіс обробки форм на відповідність GDPR: DPA, зберігання в ЄС, субобробники, Telegram і AI, строк зберігання. Порівняння сервісів у ЄС.

Author: Formgong
Published: 2026-10-03
Language: uk
Canonical: https://formgong.com/uk/blog/gdpr-form-backend/

Сервіс форм сам по собі не робить вашу форму сумісною з GDPR: ви — контролер, а сервіс — ваш обробник. Обирайте той, що пропонує договір про обробку даних (DPA) за ст. 28, вказує, де зберігаються заявки, називає субобробників, дає змогу задати строк зберігання й видаляти дані та чесно пише про Telegram чи AI, які можуть виходити за межі ЄС. Потім згадайте його у своїй політиці конфіденційності.

## Хто відповідає: ви чи сервіс форм?

Контактна форма збирає персональні дані: ім’я, email, часто телефон. За GDPR саме **ви** вирішуєте, навіщо їх збирати, тож ви — контролер. Сервіс форм зберігає й пересилає дані за вашим дорученням, тож він — обробник.

GDPR діє і для українського бізнесу, якщо ви пропонуєте послуги людям у ЄС (ст. 3). Ст. 28 вимагає договору з кожним обробником, його зазвичай називають DPA. Сервіс може допомогти з відповідністю, але не зробить усе за вас. Вам і далі потрібні правова підстава, повідомлення про конфіденційність і розумний строк зберігання.

Напис «100% GDPR compliant» на сайті сервісу — це початок розмови, а не відповідь. Пункти нижче показують, що стоїть за такою обіцянкою.

## Сім пунктів для перевірки сервісу форм

- **DPA, який можна прийняти.** Шукайте договір за ст. 28: підписаний у дашборді або включений в умови. Без DPA немає законної основи для відносин з обробником.

- **Де зберігаються заявки.** Найпростіше — ЄС або ЄЕЗ. Зберігання в США теж може бути законним: Рамкова угода ЄС–США про конфіденційність даних (DPF) діє з липня 2023 року, також працюють стандартні договірні положення. Апеляція проти DPF розглядається в Суді ЄС (станом на 03.10.2026), тому зберігання в ЄС несе менше ризику.

- **Список субобробників.** Хостинг, доставка листів, капча й AI-провайдери мають бути названі, і має бути спосіб дізнатися про зміни.

- **Строк зберігання й видалення.** Ви маєте задавати, скільки зберігати заявки, видаляти окремі записи й експортувати дані на запит людини.

- **Функції, що виходять за межі ЄС.** Месенджери на кшталт Telegram чи Slack обробляють повідомлення за власними правилами, часто поза ЄЕЗ. Так само багато AI-функцій і Google reCAPTCHA. Вмикайте їх, лише якщо ваша політика конфіденційності це описує.

- **Мінімізація даних.** Чи зберігає сервіс IP-адреси у відкритому вигляді, чи ставить відвідувачам трекінгові cookie? Менше даних — менше пояснень.

- **Безпека й повідомлення про витоки.** HTTPS, контроль доступу й обіцянка без зволікань повідомити про витік — це база.

## Сервіси форм із даними в ЄС

Ці сервіси заявляють, що зберігають заявки в ЄС. Факти взято з їхніх публічних сторінок станом на 03.10.2026. Ціни змінюються, тож перевіряйте перед покупкою.

- **Formgong** (це наш сервіс). Заявки в Cloudflare D1 з юрисдикцією ЄС; листи через ZeptoMail з дата-центру в ЄС; IP-адреси у відкритому вигляді не зберігаються. Публічний [DPA](/uk/dpa/) є частиною умов. Безкоштовно: 300 заявок на місяць. Доставка в Telegram і AI-оцінка заявок — опційні, і обидві можуть обробляти дані поза ЄС.

- **Formward.** Хостинг і база даних у Швеції, AI від Mistral у Франції, IP хешуються. DPA приймається в дашборді. Безкоштовно: 100 заявок на місяць; платні тарифи від €15 на місяць.

- **FormPost.** Сервери Hetzner у Німеччині, DPA підписується в акаунті, замість reCAPTCHA — власне арифметичне питання. Безкоштовно: одна форма й десять листів-сповіщень на день; Pro коштує €17,85 на рік з ПДВ.

- **Forminit** (раніше Getform). Компанія у Великій Британії, дані форм у регіонах AWS у ЄС. DPA приймається разом з умовами.

Американські сервіси, як-от Formspree, пишуть, що дані можуть оброблятися в США та інших країнах. Із DPA й механізмом передачі це може бути законно, але паперової роботи більше. Тарифи й функції поруч — у [порівнянні сервісів форм](/uk/compare/).

## Що написати в політиці конфіденційності

Коли сервіс обрано, додайте про нього кілька рядків у політику конфіденційності. Назвіть сервіс форм одержувачем даних, вкажіть, де він їх зберігає, і скільки ви зберігаєте заявки. Згадайте Telegram, поштових провайдерів чи AI-оцінку, якщо ними користуєтеся.

Біля форми розмістіть коротке повідомлення з посиланням на повний текст. Щоб просто відповісти на звернення, галочка згоди не потрібна; згода потрібна для розсилок. У Formgong є [посібник про форму за GDPR](/en/blog/contact-form-gdpr/) з готовим шаблоном повідомлення.

```html
<form action="https://formgong.com/submit" method="POST">
  <input type="hidden" name="access_key" value="fk_your_access_key">
  <input type="hidden" name="_lang" value="uk">
  <label>Email <input type="email" name="email" required autocomplete="email"></label>
  <label>Повідомлення <textarea name="message" required></textarea></label>
  <p>Ми використовуємо ваші дані лише для відповіді. <a href="/privacy">Політика конфіденційності</a>.</p>
  <div aria-hidden="true" style="position:absolute;left:-10000px">
    <input type="text" name="botcheck" tabindex="-1" autocomplete="off">
  </div>
  <button type="submit">Надіслати</button>
</form>
```

## Як налаштувати Formgong з урахуванням GDPR

- Створіть форму на [formgong.com](/uk/#top). DPA діє з моменту створення акаунта; прочитайте його та сторінку [де зберігаються дані](/uk/data/).

- Задайте строк зберігання в налаштуваннях форми. На Free заявки зберігаються 30 днів. На Pro і Business можна обрати 30, 90 чи 365 днів або зберігати до видалення.

- Вирішіть щодо додаткових функцій. Якщо потрібна обробка лише в ЄС, використовуйте пошту, а Telegram і AI-оцінку не вмикайте. Якщо вмикаєте, додайте їх у політику конфіденційності.

- Питайте лише потрібне. Для більшості форм достатньо імені, email і повідомлення.

Тарифи й ліміти — у розділі [тарифів](/uk/#pricing).

## Питання та відповіді

### Чи може сервіс форм бути сумісним із GDPR сам по собі?

Ні. Сервіс — ваш обробник. Він може надати DPA, зберігання в ЄС та інструменти видалення, але правова підстава, повідомлення про конфіденційність і строк зберігання залишаються на вас.

### Чи потрібен DPA із сервісом форм?

Так. Ст. 28 GDPR вимагає договору з кожним обробником, який працює з персональними даними за вашим дорученням. Багато сервісів включають його в умови або дають прийняти в дашборді.

### Чи можна користуватися американським сервісом форм за GDPR?

Так, якщо передачу покрито, наприклад, Рамковою угодою ЄС–США або стандартними договірними положеннями. Апеляція проти угоди розглядається в Суді ЄС, тому зберігання в ЄС несе менше ризику.

### Чи сумісне надсилання заявок у Telegram із GDPR?

Може бути, але Telegram обробляє повідомлення за власними правилами, часто поза ЄЕЗ. Згадайте це в політиці конфіденційності або використовуйте лише пошту, якщо потрібна обробка тільки в ЄС.

### Чи підписує Formgong DPA?

Formgong публікує стандартний DPA за ст. 28, який є частиною умов і приймається під час створення акаунта. Окремий підпис не потрібен.

## Джерела та документація

- [GDPR (EUR-Lex)](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [EDPB Guidelines 07/2020 on controller and processor](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en)
- [European Commission: EU–US data transfers](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en)
- [Formward](https://formward.eu/)
- [Formward DPA](https://formward.eu/dpa)
- [FormPost](https://www.formpost.eu/)
- [Forminit GDPR](https://forminit.com/gdpr/)
- [Formspree privacy policy](https://formspree.io/legal/privacy-policy/)
- [DPA Formgong](https://formgong.com/uk/dpa/)

[Отримати ключ](https://formgong.com/uk/#top)