A webshopod minden nap gyűjt vásárlói adatokat. E-mail-címeket a fizetésnél. Telefonszámokat a szállításhoz. Fizetési adatokat. IP-címeket az analitikából. Böngészési előzményeket a követőpixelekből. Minden egyes adat, amit gyűjtesz, jogi felelősséggel jár: meg kell védened, és el kell mondanod a vásárlóknak, hogyan használod.
Itt jön képbe az adatvédelmi tájékoztató, a sütibeleegyezés és a GDPR. Ezek nem csupán jogi formaságok. Ezek azok a szabályok, amelyek meghatározzák, hogyan gyűjtheted, tárolhatod és használhatod a vásárlói információkat. Ha rosszul csinálod, bírságra, a vásárlók bizalmatlanságára és jogi problémákra számíthatsz. Ha jól csinálod, bizalmat építesz a márkád iránt.
A legtöbb webshop-tulajdonos átugorja az adatvédelmet, mert unalmasnak és bonyolultnak érzi. Bonyolult is. De ez a cikk lebontja, mit kell valójában tenned.
Mi a GDPR, és kire vonatkozik?
A GDPR az általános adatvédelmi rendelet rövidítése (angolul General Data Protection Regulation). Ez egy európai uniós jogszabály, amely szabályokat ad arra, hogyan gyűjthetnek és használhatnak a cégek személyes adatokat. Ha egyetlen vásárlód is van az EU-ban, rád is vonatkozik a GDPR. Ha a webshopod bármely uniós vásárlót kiszolgál, be kell tartanod a GDPR-t.
A GDPR nem opcionális. Nem javaslat. Az Európai Bizottság cégeket sújtott milliárdos eurós bírságokkal a megsértéséért. Egy nagy szoftvercég 20 millió USD-t fizetett. A Facebook 5 milliárd USD-t fizetett. Ezek óriási cégek. Egy kis webshop kisebb bírságot fizethet, de az elv ugyanaz: a GDPR megsértése drága.
A GDPR alapelve egyszerű: az adatok a vásárlóké. Te csak ideiglenesen kölcsönveszed őket. Gyűjtés előtt engedélyt kell kérned. El kell magyaráznod, mit csinálsz velük. És törölnöd kell őket, ha kérik.
A GDPR legfontosabb szabályai webshopoknak
A gyűjtés előtt engedély kell
Nem gyűjthetsz e-mail-címeket, telefonszámokat vagy bármilyen személyes adatot egyértelmű beleegyezés nélkül. A fizetésnél kifejezett, jelölőnégyzetes beleegyezés kell, nem előre kipipált négyzet. Ha a vásárló kiveszi a pipát a "Hozzájárulok a marketing e-mailekhez" négyzetből, nem iratkoztathatod fel marketingre. Aktív, tájékozott beleegyezésre van szükséged.
Ez érvényes a marketinglistákra, az analitikai követésre és a hirdetési sütikre. Ha Google Analyticset használsz, el kell mondanod a vásárlóknak, hogy használod, és lehetőséget kell adnod az elutasításra. Ha a Facebook Pixelt használod a vásárlók újracélzására, a pixel elsütése előtt beleegyezés kell.
El kell magyaráznod, mit csinálsz az adatokkal
Az adatvédelmi tájékoztatód nem csak jogi dokumentum. Kommunikáció a vásárlóiddal. Egyszerű nyelven (nem jogi zsargonban) el kell magyaráznod, milyen adatokat gyűjtesz, miért, mennyi ideig őrzöd, és kinek van hozzáférése. A GDPR megköveteli, hogy ez az információ "könnyen elérhető" és "világos, érthető nyelven" legyen.
Az olyan adatvédelmi tájékoztató, amelyet öt kattintás mögé rejtettek, vagy jogi zsargonban írtak, nem felel meg a "világos és érthető" követelménynek.
Kérésre törölnöd kell az adatokat
A vásárlóknak joguk van kérni, hogy töröld az adataikat. Ezt hívják "elfeledtetéshez való jognak". Ha egy vásárló e-mailben kéri a fiókja és adatai törlését, 30 napod van teljesíteni. Nem számlázhatsz érte. Nem hagyhatod figyelmen kívül a kérést. Törölnöd kell, és igazolnod, hogy megtörtént.
Be kell jelentened az adatvédelmi incidenseket
Ha a vásárlói adataid veszélybe kerülnek vagy ellopják őket, 72 órád van jelenteni az európai hatóságoknak. Az érintett vásárlókat is értesítened kell. Nem titkolhatsz el egy incidenst, és nem remélheted, hogy senki sem veszi észre. Ez a követelmény önmagában sok cégnek költségessé tette a GDPR-t, mert átláthatóságra és elszámoltathatóságra kényszerít. A fizetés biztonságának legjobb gyakorlataihoz olvasd el a cikket arról, hogyan tartsd biztonságban a webshopod fizetését.
Az adattovábbításhoz jóváhagyás kell
Ha a vásárlói adatokat az EU-n kívül tárolod, jóváhagyott továbbítási mechanizmust kell használnod. Ez akkor számít, ha a fizetési szolgáltatód az USA-ban van, vagy amerikai e-mail-szolgáltatást használsz, vagy amerikai adatközpontban készítesz mentést. Az uniós vásárlók adatait nem viheted akárhová. Jogi keretekre van szükséged.
Mi az adatvédelmi tájékoztató, és miért kell?
Az adatvédelmi tájékoztató olyan dokumentum, amely elmagyarázza, hogyan gyűjti, használja és védi a webshopod a vásárlói információkat. A GDPR megköveteli, ahogy az USA számos állami törvénye és iparági szabvány is. Nélküle jogot sértesz, a vásárlóknak pedig nincs módjuk megérteni, hogyan kezeled az adataikat.
Az adatvédelmi tájékoztatódnak ezekre ki kell terjednie:
Milyen adatokat gyűjtesz
Sorold fel az összes gyűjtött adattípust. Ide tartoznak a magától értetődő dolgok, mint az e-mail-címek és szállítási címek, de a kevésbé nyilvánvalók is, mint a weboldalszerverről származó IP-címek, az analitika sütijei, a viselkedéskövetés és a helyadatok. Légy konkrét. Ne írd csak azt, hogy "személyes információk". Írd azt, hogy "e-mail-cím, telefonszám, szállítási cím, vásárlási előzmények és böngészési viselkedés". Ha fizetési átjárón keresztül fogadsz fizetést, az adatvédelmi tájékoztatódnak el kell magyaráznia, milyen fizetési adatokat kezel a szolgáltatód. A fizetési átjárók működéséről szóló cikkből megérted, milyen adatok áramlanak át a fizetési rendszereden.
Hogyan gyűjtöd
Űrlapokon, fizetési oldalakon vagy sütiken keresztül gyűjtesz adatot? Ügyfélszolgálati beszélgetésekből vagy támogatási jegyekből? Analitikai eszközökből vagy hirdetési pixelekből? Magyarázd el a módszereket. Itt említsd meg a Google Analyticset, a Facebook Pixelt, a fizetési szolgáltatót vagy bármelyik eszközt, amellyel adatot gyűjtesz.
Miért gyűjtöd
E-mail-címeket a rendelések feldolgozásához és a szállítási értesítésekhez gyűjtesz. Telefonszámokat az ügyfélszolgálathoz. Analitikai adatot azért, hogy megértsd, hogyan használják a látogatók az oldaladat. Sütiket azért, hogy megjegyezd a vásárlókat, és ne kelljen minden alkalommal bejelentkezniük. Magyarázd el az üzleti okot minden adatgyűjtési típushoz.
Mennyi ideig őrzöd
Nem őrzöd az adatot örökké. Meg kell határoznod a megőrzési időszakokat. A vásárlási előzményeket 7 évig őrizheted adózási és jogi okokból. Az e-mail-címeket az utolsó vásárlás után 3 évig marketingcélból. A támogatási jegyeket 1 évig. Bármi is a megőrzési szabályod, írd le világosan.
Kinek van hozzáférése
Ha fizetési szolgáltatót használsz, neki hozzáférése van a fizetési adatokhoz. Ha szállítási szolgáltatót használsz, neki hozzáférése van a címekhez, és használhatja őket a kézbesítéshez. Ha az ügyfélszolgálatot kiszervezed, a támogatási csapat látja a vásárlók nevét és e-mail-címét. Sorold fel az összes harmadik felet, aki látja a vásárlói adatokat, és magyarázd el, miért. A szállítás működésének részleteihez olvasd el a cikket arról, hogyan állítsd be a szállítást a webshopodban.
Hogyan védeled
Használsz SSL-tanúsítványt az adatok továbbítás közbeni titkosítására? Megkövetelsz erős jelszavakat? Rendszeresen mentesz adatot? Képzed a csapatodat az adatbiztonságra? Magyarázd el a biztonsági intézkedéseidet. Ha gyenge a biztonságod, akkor is mondd el, de vállald, hogy javítasz rajta.
A vásárlók jogai
A GDPR szerint a vásárlóknak joguk van hozzáférni az adataikhoz, helyesbíteni, törölni és másik szolgáltatásba átvinni őket. Az adatvédelmi tájékoztatódnak el kell mondania, hogyan gyakorolhatják ezeket a jogokat. Add meg az e-mail-címet vagy kapcsolatfelvételi űrlapot, ahol a vásárlók adathozzáférést vagy törlést kérhetnek.
Sütibeleegyezés és követés
A sütik kis fájlok, amelyeket a weboldalak a vásárló számítógépén tárolnak, hogy megjegyezzék őt. Arra használják őket, hogy bejelentkezve tartsanak, megjegyezzék a kosárban lévő tételeket, és követhessék a viselkedésedet weboldalakon át.
A GDPR különbséget tesz szükséges és nem szükséges sütik között. A szükséges sütik (például a kosársütik vagy a munkamenetsütik) nem igényelnek beleegyezést. Minden más igen.
Szükséges sütik, amelyekhez nem kell beleegyezés
A kosársütik azért szükségesek, mert nélkülük a vásárlók elveszítenék a kosarukat, valahányszor új oldalra lépnek. A bejelentkezve tartó munkamenetsütik szükségesek. A csalást megelőző biztonsági sütik szükségesek. Ezeket a sütiket engedélykérés nélkül használhatod, mert a webshop működéséhez kellenek.
Nem szükséges sütik, amelyekhez beleegyezés kell
Az analitikai sütik (Google Analytics, hőtérképes eszközök, termékanalitika) nem szükségesek a webshopod üzemeltetéséhez. Segítenek megérteni a viselkedést, de a webshop nélkülük is jól működik. A látogatói adatok megértése hasznos az optimalizáláshoz, de a vásárlóknak bele kell egyezniük, mielőtt követed őket. A marketingsütik és az újracélzó pixelek (Facebook Pixel, Google Ads konverziókövetés) egyértelműen nem szükségesek. Ezek a sütik az interneten át követik a vásárlókat, hogy hirdetéseket mutassanak nekik. Elsütésük előtt kifejezett beleegyezés kell. Ha áttekintést szeretnél arról, mit tanulhatsz az analitikából, olvasd el a cikket arról, hogyan használd az analitikát a látogatók viselkedésének megértéséhez.
Hogyan vezesd be a sütibeleegyezést
Szükséged van egy sütibeleegyezési sávra, amely akkor jelenik meg, amikor a vásárló először látogatja az oldaladat. A sávnak el kell magyaráznia, milyen sütiket használsz és miért. Legalább három lehetőséget kell adnia: Összes elfogadása, Nem szükségesek elutasítása és Testreszabás. Az Összes elfogadása legyen egyetlen gomb. Az elutasítás ugyanolyan könnyen legyen kattintható (ne legyen menü mögé rejtve). A vásárlók mondhassanak nemet az analitikai és marketingsütikre anélkül, hogy elveszítenék a vásárlás lehetőségét.
Ne zavard össze a beleegyezést olyan manipulatív megoldásokkal, mint a nagy kék betűs "Elfogadom" és a pici szürke szövegű "Elutasítom". Ez sérti a GDPR-t. Mindkét lehetőségnek egyformán láthatónak és kattinthatónak kell lennie.
Használhatsz sütibeleegyezési eszközt. Ezek a szolgáltatások kezelik a sávot, a követési beleegyezést és a beállítások frissítését. Pénzbe kerülnek, de jogi kockázattól kímélnek meg.
Adatvédelem az EU-n kívüli webshopoknak
A GDPR uniós jog, de adatvédelmi szabályozás mindenhol van. Ha a webshopod Kaliforniában működik, a CCPA (California Consumer Privacy Act) vonatkozik rád. Ha Virginiában vagy, ott a VDPA. Kanadának van PIPEDA-ja. Brazíliának LGPD-je. Ausztráliának APP-i.
Ezek a törvények nem azonosak a GDPR-ral, de hasonló elveket követnek: az adatok a vásárlóké, engedélyt kell kérned, átláthatónak kell lenned, és törölnöd kell az adatot, ha kérik.
Ha több régióban vannak vásárlóid, nem lehet egyetlen adatvédelmi tájékoztatód, amely mindenhol működik. A legszigorúbb rád vonatkozó törvényt kell követned. A legtöbb webshopnál ez a GDPR, mert az a legszigorúbb. Ha megfelelsz a GDPR-nak, valószínűleg a legtöbb más adatvédelmi törvénynek is megfelelsz.
Általános szerződési feltételek és adatvédelmi tájékoztató
Az adatvédelmi tájékoztatód és az általános szerződési feltételeid különböző dokumentumok, különböző céllal.
Az adatvédelmi tájékoztató azt szabályozza, hogyan kezeled az adatot: mit gyűjtesz, miért, meddig őrzöd, és hogyan férhetnek hozzá a vásárlók, illetve hogyan törölhetik.
Az általános szerződési feltételek azt szabályozzák, hogyan használhatják a vásárlók a webshopodat: fizetési feltételek, visszaküldési szabály, visszatérítési szabály, felelősségi korlátok, és az, hogy mit nem tehetnek a vásárlók. Egy vásárló lehet, hogy rendben van az adatkezelésseddel (adatvédelem), de nem ért egyet a visszatérítést kizáró szabályoddal (feltételek).
Mindkét dokumentumra szükséged van. Az általános szerződési feltételek megírásának részleteihez olvasd el a cikket arról, hogyan írj általános szerződési feltételeket a webshopodhoz.
Így segít a WEMASY az adatvédelemben és a megfelelésben
A webshopod oldalait a WEMASY weboldalépítőben építheted fel.
Az adatvédelmi tájékoztató elkészítése és a jogi megfelelés mindig a te felelősséged.
Adatvédelmi ellenőrzőlista a webshopodhoz
Az indulás előtt menj végig ezen a listán:
Adatvédelmi tájékoztató
Van adatvédelmi tájékoztató az oldaladon? Nyilvánosan elérhető? Elmagyarázza, milyen adatokat gyűjtesz, miért, meddig őrzöd, és kinek van hozzáférése? Szerepel benne kapcsolattartási információ az adatkérésekhez? Ne másold le valaki más adatvédelmi tájékoztatóját. Az általános szövegek nem a te konkrét gyakorlatodat írják le.
Sütibeleegyezés
Ha analitikai vagy marketingsütiket használsz, van sütibeleegyezési sávod? Valódi választási lehetőséget ad a vásárlóknak a leiratkozásra? Az elutasítás gomb ugyanolyan könnyen kattintható, mint az elfogadás? A sáv elmagyarázza, mit csinál az egyes sütitípus?
Szükséges biztonság
Használsz SSL-t (HTTPS) az egész webshopodban? Megkövetelsz erős jelszavakat? Van terved arra, mit tegyél, ha az adatok veszélybe kerülnek? Rendszeresen mentesz vásárlói adatot?
Harmadik fél eszközei
Sorold fel az összes eszközt, amelyet vásárlói adatok kezelésére használsz: fizetési szolgáltató, szállítási szolgáltató, e-mail-szolgáltatás, analitikai platform, marketingeszköz, támogatási szoftver. Megemlíti mindet az adatvédelmi tájékoztatód? Elolvastad az ő adatvédelmi tájékoztatóikat? Megfelelnek a GDPR-nak vagy a helyi törvényeidnek?
Adattörlési folyamat
Ha egy vásárló e-mailben kéri az adatai törlését, van folyamatod rá? Tudod, hogyan töröld az adatot a webshoprendszeredből, a fizetési szolgáltatódtól, az e-mail-szolgáltatásodtól és minden más eszközből? Dokumentált folyamatra van szükséged, nem találgatásra.
Jogi tanács
Konzultáltál ügyvéddel az adatvédelemről? Nem kell minden kérdéshez ügyvéd, de az első webshopodnál megér 1-2 óra jogi időt, hogy biztos legyél benne, jó úton jársz. Sok ügyvéd 200-400 EUR-ért átnéz egy alap adatvédelmi tájékoztatót.
Gyakori kérdések
Kell adatvédelmi tájékoztató, ha kicsi a webshopom?
Igen. A GDPR és más adatvédelmi törvények a webshop méretétől függetlenül érvényesek. Egy havi 10 vásárlóval rendelkező webshopnak is jogi kötelezettsége védeni az adataikat, és elmagyarázni, hogyan használod őket. Az adatvédelmi tájékoztató a jogi minimum.
Használhatok sablon adatvédelmi tájékoztatót?
Igen, de csak kiindulópontként. Az adatvédelmi tájékoztató-generátorok a konkrét eszközeid és gyakorlatod alapján készítenek szöveget. Ne másold szóról szóra egy versenytárs tájékoztatóját. A szövegnek egyeznie kell a valódi adatkezelési gyakorlatoddal. Ha a tájékoztatód szerint 1 év után törlöd az adatot, de valójában 7 évig megőrzöd, jogi felelősséget teremtesz.
Mi van, ha nincsenek uniós vásárlóim?
Lehet, hogy akkor is vannak adatvédelmi kötelezettségeid. Az USA-ban van a kaliforniai CCPA és a virginiai VDPA. Kanadában a PIPEDA. Brazíliában az LGPD. A legtöbb országnak van valamilyen adatvédelmi törvénye. Még ha csak amerikai vásárlókat célzol, biztonságosabb a GDPR-t követni, mert az a legszigorúbb. A GDPR-nak való megfelelés általában a gyengébb törvényeknek való megfelelést is jelenti.
Mennyibe kerül valójában egy adatvédelmi tájékoztató?
Alap tájékoztatót ingyen is generálhatsz adatvédelmi tájékoztató-generátorral. Ügyvéd által írt, személyre szabott tájékoztatóra 500-2000 EUR-t számíthatsz. A legtöbb kis webshop generált tájékoztatóval indul, és 200-400 EUR-ért átnézeti egy ügyvéddel, hogy biztosan lefedje a konkrét felállást.
Mi a különbség a GDPR és a CCPA között?
A GDPR uniós jog. A CCPA kaliforniai állami törvény. A GDPR szigorúbb. Mindkettő jogot ad a vásárlóknak az adataik elérésére, törlésére és helyesbítésére. Mindkettő beleegyezést kér a marketinghez. A GDPR a legtöbb adat gyűjtése előtt beleegyezést követel. A CCPA engedi a gyűjtést, de leiratkozási lehetőséget kér. Ha megfelelsz a GDPR-nak, valószínűleg a CCPA-nak is megfelelsz.
Hogyan válaszoljak egy vásárlói adattörlési kérésre?
Amikor egy vásárló kéri az adatai törlését, 30 napon belül válaszolj. Töröld a fiókját a webshoprendszeredből. Töröld az e-mail-marketing listádról. Távolítsd el az analitikából. Kérd meg a fizetési szolgáltatódat, hogy törölje az adatait. Írásban igazold, hogy az adatai törölve lettek. Őrizd meg a törlés dokumentációját arra az esetre, ha igazolnod kell, hogy megfeleltél.