Aby upewnić się, że Twój sklep jest zgodny z RODO, polityka prywatności jest koniecznością. Ale są też inne zasady, które musisz wziąć pod uwagę. Te zasady dotyczą:
Formularzy internetowych
Szyfrowania strony internetowej
Marketingu e-mailowego
Plików cookie
Wtyczek mediów społecznościowych
Formularze internetowe
Kiedy klient chce wprowadzić swoje dane osobowe na Twojej stronie (na przykład podczas Checkout lub zapisując się do newslettera), musi wypełnić formularz internetowy. Aby formularze internetowe na Twojej stronie były zgodne z RODO, muszą spełniać dwa ważne wymagania:
Minimalizacja danych: Jako operator sklepu, możesz wymagać tylko minimalnej ilości danych niezbędnych do wypełnienia Twoich zobowiązań umownych (na przykład, aby zrealizować zamówienie). Tak więc, podczas Checkout, naprawdę potrzebujesz tylko zapytać o imię i adres klienta. Jeśli Twój klient chce tylko zapisać się na newsletter, nie możesz wymagać od niego podawania adresu pocztowego i numeru telefonu.
Poufność: Jako sprzedawca internetowy jesteś zobowiązany do zapewnienia, że wszystkie dane osobowe Twoich klientów są chronione przed nieautoryzowanym lub niezgodnym z prawem przetwarzaniem. Oznacza to, że każdy transfer danych musi być szyfrowany.
Szyfrowanie strony internetowej
Artykuł 32.1.a RODO wymaga od operatorów sklepu, aby zapewnili szyfrowanie transferu danych. Dobrym pomysłem jest użycie protokołu HTTPS do zabezpieczenia komunikacji na Twojej stronie. Możesz również użyć certyfikatu SSL, aby zapewnić, że…
… partnerzy komunikacyjni są autoryzowani poprzez asymetryczny proces szyfrowania.
… transfer danych jest zabezpieczony od końca do końca poprzez symetryczny proces szyfrowania.
… integralność przesyłanych danych nie jest zagrożona.
Aby dowiedzieć się więcej o tym, jak uzyskać certyfikat SSL oraz jakie inne środki bezpieczeństwa można podjąć, zapoznaj się z naszym artykułem o bezpieczeństwie eCommerce.
Marketing e-mailowy
Od momentu wejścia w życie RODO, sklepy internetowe są zobowiązane do stosowania procesu podwójnego odszkodowania w celu uzyskania zgody klienta na przetwarzanie jego danych (na przykład, gdy klient zapisuje się do Twojego newslettera). Oznacza to, że klient zainteresowany otrzymywaniem informacji lub reklam od Ciebie, musi wyrazić na to zgodę, podając swoje dane kontaktowe (na przykład zaznaczając pole, że chce otrzymywać od Ciebie reklamy e-mailowe). Następnie musisz wysłać im link potwierdzający poprzez e-mail, na który muszą kliknąć, aby zakończyć proces zapisu. Oznacza to, że dwukrotnie wyrażają zgodę na otrzymywanie od Ciebie przyszłych informacji/ofert. Jeśli nie uzyskasz tej podwójnej zgody, nie masz prawa wysyłać reklam ani wiadomości marketingowych na adres e-mail klienta. Jeśli klient nie kliknie linku potwierdzającego, nie masz prawa używać ani przechowywać jego adresu e-mail do celów marketingowych.
Pliki cookie
Pliki cookie to kolejny ważny temat w kontekście bezpieczeństwa danych. Wiele sklepów internetowych używa plików cookie, aby stworzyć bardziej przyjazne użytkownikowi doświadczenie. Na przykład pliki cookie mogą przechowywać informacje, dzięki czemu użytkownicy nie muszą każdorazowo wypełniać swoich danych odwiedzając stronę. Obejmują one takie informacje jak:
Ustawienia języka
Przedmioty w koszyku
Szczegóły logowania
Dyrektywa oplikach cookie UE (2009/136/EC) to kolejny akt prawny, który jest ściśle powiązany z RODO. Zgodnie z dyrektywą, właściciel sklepu może używać plików cookie bez zgody odwiedzającego tylko wtedy, gdy są one technicznie niezbędne. Ponadto, Twoja strona musi zawsze zawierać baner informujący odwiedzających, że używa plików cookie. I musisz zawsze poprosić o zgodę odwiedzającego przed użyciem plików cookie, które nie są konieczne do prawidłowego funkcjonowania Twojej strony.
Poniższa tabela przedstawia przykłady, które rodzaje plików cookie są uważane za technicznie niezbędne, a które nie:
Wtyczki mediów społecznościowych
W przeszłości wtyczki mediów społecznościowych mogły zacząć zbierać dane użytkowników w momencie, gdy odwiedzający dotarł na Twoją stronę. RODO to zmieniło. Zgodnie z nowymi zasadami, wtyczki mediów społecznościowych muszą być zawsze nieaktywne domyślnie, gdy użytkownik przychodzi na stronę. Gdy wtyczka jest prawidłowo osadzona na Twojej stronie, jest to pasywny przycisk, który staje się aktywny tylko wtedy, gdy użytkownik na niego kliknie. Klikając przycisk, użytkownik wyraża zgodę na przekazywanie swoich danych na platformę mediów społecznościowych, do której należy wtyczka. W końcu, jeśli użytkownik klika przycisk, logiczne jest przypuszczenie, że chce go użyć (na przykład, aby udostępnić zawartość ze strony przez media społecznościowe).
Wtyczki mediów społecznościowych są bardzo powszechne w e-commerce i zazwyczaj występują w formie przycisków Shariff. Dodatkowo możesz użyć zasady podwójnego kliknięcia dla przycisków mediów społecznościowych na swojej stronie (podobnie jak zasada podwójnego odszkodowania dla newsletterów). W systemie dwuklikowym użytkownik najpierw klika przycisk mediów społecznościowych, który chce użyć. Następnie Twój sklep wyraźnie pyta, czy zgadza się na przekazanie swoich danych na platformę mediów społecznościowych.
Przetwarzanie zamówień
Jako operator sklepu prawdopodobnie współpracujesz z wieloma dostawcami usług, takimi jak:
Dostawcy usług płatniczych
Dostawcy SaaS
Usługi chmurowe
Ci dostawcy usług również przetwarzają dane osobowe związane z Twoimi klientami, więc RODO wymaga od Ciebie zawierania umowy o przetwarzaniu danych (DPA) z każdym partnerem. Bez DPA nie masz podstaw prawnych do przekazywania danych klienta stronie trzeciej. Chociaż tworzenie DPA wymaga dodatkowego wysiłku, oferuje większą ochronę niż w przeszłości. Na przykład, DPA wyraźnie określa, kto jest odpowiedzialny w przypadku wycieku danych.
