Votre site utilise des services tiers ? Soyez conforme au RGPD en quelques minutes.
Essayer FlowConsentPlan gratuit · Installation 10 min
Wufoo est un constructeur de formulaires en ligne appartenant à SurveyMonkey LLC, utilisé pour collecter demandes de contact, inscriptions, sondages et paiements via des formulaires HTML embarqués ou des URLs hébergées. Comme l'embed est chargé depuis wufoo.com et écrit des cookies tiers, et que toutes les soumissions sont stockées sur des serveurs américains, Wufoo nécessite un consentement pour la couche cookies et un paramétrage RGPD soigné pour les données du formulaire.
Wufoo est un constructeur de formulaires en ligne lancé en 2006 et racheté par SurveyMonkey en 2011 (aujourd''hui Momentive AI / SurveyMonkey LLC). Il permet à des utilisateurs non techniques de créer des formulaires web avec logique conditionnelle, téléversement de fichiers, signature électronique et champs de paiement, puis de les embarquer sur n''importe quel site via un snippet HTML, une iframe ou une URL hébergée sur wufoo.com. Le produit couvre pages de contact, inscriptions à des évènements, capture de leads, sondages clients, candidatures et formulaires de don. Toutes les soumissions sont stockées dans le tableau de bord Wufoo et peuvent être exportées en CSV/XLSX ou poussées via webhook ou Zapier vers d''autres systèmes.
Lorsque l''embed Wufoo se charge sur une page publique, le domaine wufoo.com pose en général des cookies tiers : __cfruid (répartition de charge Cloudflare), __cf_bm (gestion des bots) et un cookie de session utilisé par le runtime du formulaire. Les pages de formulaire hébergées sur wufoo.com posent aussi des cookies d''authentification pour les titulaires de compte connectés. Au, delà des cookies, Wufoo collecte chaque champ soumis (noms, emails, adresses, réponses libres, fichiers joints), l''IP au moment de la soumission, les métadonnées navigateur, la page de provenance et un horodatage. Lorsque les paiements sont activés, des métadonnées sont partagées avec le prestataire configuré (PayPal, Stripe, Authorize.Net).
Deux couches de conformité s''appliquent. Premièrement, les cookies posés par l''embed wufoo.com avant que le visiteur n''interagisse avec le formulaire relèvent de l''article 5(3) de la directive ePrivacy et nécessitent un consentement préalable, sauf à être strictement nécessaires au fonctionnement du formulaire. En pratique, le cookie de gestion des bots est qualifié de strictement nécessaire, mais pas les autres. Deuxièmement, la soumission elle, même déclenche le RGPD : SurveyMonkey LLC agit comme sous, traitant au sens de l''article 28 et l''éditeur (responsable de traitement) doit signer un DPA, documenter la base légale, ne stocker que ce qui est nécessaire et respecter les droits des personnes. Le stockage aux États, Unis ajoute une dimension de transfert (chapitre V).
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Deux schémas pratiques fonctionnent bien. Option A : conditionner l''embed Wufoo à un évènement de consentement CMP sous la catégorie Fonctionnel ou Marketing afin que ni l''iframe ni les cookies ne se chargent avant acceptation. Option B : remplacer l''embed par un placeholder click, to, load (un bouton intitulé Charger le formulaire) qui ne charge l''iframe qu''au clic ; ce geste utilisateur peut constituer un consentement préalable au sens des dernières positions CNIL et AEPD pour les cookies tiers. Joignez toujours une mention de confidentialité au formulaire avec la base légale, l''identité du responsable et du sous, traitant, la durée de conservation et un lien vers la procédure d''exercice des droits.
Wufoo ne propose pas de résidence des données en UE. Toutes les soumissions et tous les actifs d''embed sont traités par SurveyMonkey LLC aux États, Unis. SurveyMonkey est certifié au titre du Cadre de protection des données UE, États, Unis et fournit dans son DPA des Clauses Contractuelles Types (décision 2021/914) pour les clients qui préfèrent s''appuyer sur les CCT. Une analyse d''impact des transferts est recommandée : tenez compte du type de données (coordonnées classiques vs réponses sensibles), du volume et de la possibilité d''ajouter du chiffrement bout, en, bout (les fichiers téléversés peuvent être chiffrés au repos dans Wufoo).
Signez un DPA avec SurveyMonkey LLC, listez Wufoo et SurveyMonkey dans le registre des activités de traitement et ajoutez une entrée à la politique de confidentialité indiquant le responsable, le sous, traitant et la localisation des données. Conditionnez l''embed via une CMP ou un wrapper click, to, load. Paramétrez une durée de conservation raisonnable (supprimez les soumissions une fois le cas d''usage terminé). Évitez les champs sensibles dans Wufoo lorsque c''est possible. Pour les audiences européennes très exposées au RGPD, envisagez des alternatives hébergées en UE comme Tally, Typeform en résidence UE, Formspark ou des solutions open source comme Formbricks.
Les sites web utilisant Wufoo doivent obtenir le consentement des utilisateurs conformement au RGPD.
Considerations AIPD
Une AIPD est recommandée lorsque Wufoo collecte des catégories particulières de données (questionnaires de santé, sondages d'origine), des données de groupes vulnérables (enfants, patients), des données de paiement, ou de gros volumes à des fins marketing. La combinaison transfert vers les États, Unis et cookies tiers d'embed relève le profil de risque par rapport à des formulaires auto, hébergés. Documentez le DPA SurveyMonkey, la durée de conservation dans le compte Wufoo, les garanties de transfert (DPF + CCT) et le rôle de tout prestataire de paiement.
Exemple de texte de consentement
Nous utilisons Wufoo pour afficher des formulaires de contact et d'inscription sur notre site. Wufoo est exploité par SurveyMonkey LLC et stocke les soumissions sur ses serveurs aux États, Unis. L'embed Wufoo dépose des cookies tiers sur wufoo.com pour charger le formulaire et lutter contre le spam. Acceptez, vous l'utilisation de Wufoo et des cookies associés ?
Domaines tiers contactes
wufoo.com*.wufoo.comwufoo.eusurveymonkey.comCookies deposes
| Nom | Type | Duree | Finalite |
|---|---|---|---|
| __cf_bm | third-party | 30 minutes | Cloudflare bot management cookie set on the wufoo.com domain when the form embed loads. Distinguishes humans from bots to protect the form runtime against automated abuse. Considered strictly necessary. |
| __cfruid | third-party | Session | Cloudflare load, balancing cookie used to route the form request to a healthy origin. Set by wufoo.com on form load. |
| wufoo_session | third-party | Session | Session cookie used by the Wufoo form runtime to maintain state during multi, page or conditional, logic forms. Set on wufoo.com. |
| wufoo_auth | third-party | 1 month | Authentication cookie used by the Wufoo dashboard for logged, in account holders. Only set when an editor accesses wufoo.com directly, not on visitor, facing pages. |
Wufoo collecte des donnees analytiques — vous avez legalement besoin d'un bandeau de consentement. Essayez FlowConsent gratuitement.
Lorsque l'embed se charge, le domaine wufoo.com pose en général des cookies tiers : __cfruid (répartition Cloudflare), __cf_bm (gestion des bots, environ 30 minutes) et un cookie de session. Les pages de formulaire hébergées sur wufoo.com posent aussi des cookies d'authentification pour les comptes connectés. Aucun n'est écrit avant que l'iframe ne charge effectivement : bloquer l'embed avant le consentement empêche tout dépôt.
Oui pour les cookies posés par l'embed wufoo.com. Le cookie de gestion des bots peut être qualifié de strictement nécessaire, mais les cookies de session et de répartition de charge ne le sont pas et sont déposés avant que le visiteur ne décide de remplir le formulaire. Conditionnez l'embed via une CMP ou utilisez un placeholder click, to, load pour obtenir un consentement préalable avant le chargement de l'iframe.
Pour les cookies : le consentement (article 6, 1, a du RGPD). Pour les données du formulaire : l'exécution du contrat (article 6, 1, b) lorsque le formulaire fournit un service demandé par le visiteur, ou l'intérêt légitime (article 6, 1, f) pour les formulaires de contact classiques. Les opt, ins marketing dans le formulaire (newsletter, actualités) reposent sur le consentement. Documentez la base légale et la durée de conservation par formulaire.
Oui. SurveyMonkey LLC stocke toutes les soumissions Wufoo et tous les actifs d'embed sur une infrastructure américaine. SurveyMonkey est certifié au titre du Cadre de protection des données UE, États, Unis et fournit des Clauses Contractuelles Types dans son DPA. Une analyse d'impact des transferts est recommandée, notamment lorsque Wufoo collecte des réponses sensibles ou de grands volumes.
Une AIPD est recommandée lorsque Wufoo collecte des catégories particulières de données (santé, origine), des données d'enfants ou d'autres personnes vulnérables, des données de paiement, ou de gros volumes à des fins marketing. La combinaison stockage aux États, Unis et cookies tiers d'embed amène le risque résiduel dans la zone moyenne, ce qui justifie une AIPD dans de nombreux secteurs régulés.
Signez un DPA avec SurveyMonkey LLC, conditionnez l'embed via une CMP ou un wrapper click, to, load, joignez une mention de confidentialité à chaque page de formulaire, paramétrez une durée de conservation raisonnable, chiffrez les fichiers téléversés sensibles, et documentez le transfert US avec CCT et analyse d'impact. Inscrivez Wufoo et SurveyMonkey dans le registre des activités de traitement comme sous, traitants.
Parmi les alternatives hébergées en UE : Tally (Belgique), Formspark (Pays, Bas), Formbricks (open source), Paperform (résidence UE en enterprise), Typeform avec résidence UE et des solutions auto, hébergées comme les formulaires Mautic ou Drupal Webform. Pour de simples cas de contact, des formulaires HTML natifs sur backend Postgres en UE évitent toute question de transfert tiers.
Listez Wufoo comme sous, traitant avec les cookies __cf_bm (strictement nécessaire), __cfruid et le cookie de session (fonctionnels, soumis au consentement). Mentionnez SurveyMonkey LLC comme exploitant de la plateforme, les États, Unis comme localisation, les CCT et le DPF comme garanties de transfert et la durée de conservation paramétrée dans le compte. Renvoyez vers la politique de confidentialité de SurveyMonkey.