Сервіс форм і GDPR: 7 пунктів перед вибором

Хто відповідає: ви чи сервіс форм?

Контактна форма збирає персональні дані: ім’я, email, часто телефон. За GDPR саме ви вирішуєте, навіщо їх збирати, тож ви — контролер. Сервіс форм зберігає й пересилає дані за вашим дорученням, тож він — обробник.

GDPR діє і для українського бізнесу, якщо ви пропонуєте послуги людям у ЄС (ст. 3). Ст. 28 вимагає договору з кожним обробником, його зазвичай називають DPA. Сервіс може допомогти з відповідністю, але не зробить усе за вас. Вам і далі потрібні правова підстава, повідомлення про конфіденційність і розумний строк зберігання.

Напис «100% GDPR compliant» на сайті сервісу — це початок розмови, а не відповідь. Пункти нижче показують, що стоїть за такою обіцянкою.

Сім пунктів для перевірки сервісу форм

1. DPA, який можна прийняти. Шукайте договір за ст. 28: підписаний у дашборді або включений в умови. Без DPA немає законної основи для відносин з обробником.
2. Де зберігаються заявки. Найпростіше — ЄС або ЄЕЗ. Зберігання в США теж може бути законним: Рамкова угода ЄС–США про конфіденційність даних (DPF) діє з липня 2023 року, також працюють стандартні договірні положення. Апеляція проти DPF розглядається в Суді ЄС (станом на 03.10.2026), тому зберігання в ЄС несе менше ризику.
3. Список субобробників. Хостинг, доставка листів, капча й AI-провайдери мають бути названі, і має бути спосіб дізнатися про зміни.
4. Строк зберігання й видалення. Ви маєте задавати, скільки зберігати заявки, видаляти окремі записи й експортувати дані на запит людини.
5. Функції, що виходять за межі ЄС. Месенджери на кшталт Telegram чи Slack обробляють повідомлення за власними правилами, часто поза ЄЕЗ. Так само багато AI-функцій і Google reCAPTCHA. Вмикайте їх, лише якщо ваша політика конфіденційності це описує.
6. Мінімізація даних. Чи зберігає сервіс IP-адреси у відкритому вигляді, чи ставить відвідувачам трекінгові cookie? Менше даних — менше пояснень.
7. Безпека й повідомлення про витоки. HTTPS, контроль доступу й обіцянка без зволікань повідомити про витік — це база.

Сервіси форм із даними в ЄС

Ці сервіси заявляють, що зберігають заявки в ЄС. Факти взято з їхніх публічних сторінок станом на 03.10.2026. Ціни змінюються, тож перевіряйте перед покупкою.

• Formgong (це наш сервіс). Заявки в Cloudflare D1 з юрисдикцією ЄС; листи через ZeptoMail з дата-центру в ЄС; IP-адреси у відкритому вигляді не зберігаються. Публічний DPA є частиною умов. Безкоштовно: 300 заявок на місяць. Доставка в Telegram і AI-оцінка заявок — опційні, і обидві можуть обробляти дані поза ЄС.
• Formward. Хостинг і база даних у Швеції, AI від Mistral у Франції, IP хешуються. DPA приймається в дашборді. Безкоштовно: 100 заявок на місяць; платні тарифи від €15 на місяць.
• FormPost. Сервери Hetzner у Німеччині, DPA підписується в акаунті, замість reCAPTCHA — власне арифметичне питання. Безкоштовно: одна форма й десять листів-сповіщень на день; Pro коштує €17,85 на рік з ПДВ.
• Forminit (раніше Getform). Компанія у Великій Британії, дані форм у регіонах AWS у ЄС. DPA приймається разом з умовами.

Американські сервіси, як-от Formspree, пишуть, що дані можуть оброблятися в США та інших країнах. Із DPA й механізмом передачі це може бути законно, але паперової роботи більше. Тарифи й функції поруч — у порівнянні сервісів форм.

Що написати в політиці конфіденційності

Коли сервіс обрано, додайте про нього кілька рядків у політику конфіденційності. Назвіть сервіс форм одержувачем даних, вкажіть, де він їх зберігає, і скільки ви зберігаєте заявки. Згадайте Telegram, поштових провайдерів чи AI-оцінку, якщо ними користуєтеся.

Біля форми розмістіть коротке повідомлення з посиланням на повний текст. Щоб просто відповісти на звернення, галочка згоди не потрібна; згода потрібна для розсилок. У Formgong є посібник про форму за GDPR з готовим шаблоном повідомлення.

<form action="https://formgong.com/submit" method="POST">
  <input type="hidden" name="access_key" value="fk_your_access_key">
  <input type="hidden" name="_lang" value="uk">
  <label>Email <input type="email" name="email" required autocomplete="email"></label>
  <label>Повідомлення <textarea name="message" required></textarea></label>
  <p>Ми використовуємо ваші дані лише для відповіді. <a href="/privacy">Політика конфіденційності</a>.</p>
  <div aria-hidden="true" style="position:absolute;left:-10000px">
    <input type="text" name="botcheck" tabindex="-1" autocomplete="off">
  </div>
  <button type="submit">Надіслати</button>
</form>

Як налаштувати Formgong з урахуванням GDPR

1. Створіть форму на formgong.com. DPA діє з моменту створення акаунта; прочитайте його та сторінку де зберігаються дані.
2. Задайте строк зберігання в налаштуваннях форми. На Free заявки зберігаються 30 днів. На Pro і Business можна обрати 30, 90 чи 365 днів або зберігати до видалення.
3. Вирішіть щодо додаткових функцій. Якщо потрібна обробка лише в ЄС, використовуйте пошту, а Telegram і AI-оцінку не вмикайте. Якщо вмикаєте, додайте їх у політику конфіденційності.
4. Питайте лише потрібне. Для більшості форм достатньо імені, email і повідомлення.

Тарифи й ліміти — у розділі тарифів.