ADO jest ten kto inicjuje proces przetwarzania.
Zatem dane zbiera firma, ale... cały łańcuszek obowiązuje umowa przetwarzania i/lub upoważnienie do przetwarzania w imieniu ADO.
Czyli, klient podpisuje z "hostingiem" którym w rzeczywistości jesteś Ty, a Ty podpisujesz dalej - z dhostingiem. Tak, by w odcinku od formularza, po skrzynkę pocztową na która trafia wszyscy którzy mają dostęp do danych byli związani powierzeniem danych.
Ps. Dobra rada, im szybciej się z tego łańcuszka wymiksujesz - tym lepiej, bo w razie wycieku danych - odpowiadasz przed urzędem i klientem...