Kauppasi kerää asiakastietoja joka päivä. Sähköpostiosoitteita kassalla. Puhelinnumeroita toimitusta varten. Maksutietoja. IP-osoitteita analytiikasta. Selaushistoriaa seurantapikseleistä. Jokaiseen keräämääsi tietoon liittyy laillinen velvollisuus suojata se ja kertoa asiakkaille, miten käytät sitä.
Tässä kohtaa tietosuojaseloste, evästesuostumus ja GDPR tulevat mukaan. Ne eivät ole pelkkiä muodollisuuksia. Ne ovat säännöt siitä, miten keräät, tallennat ja käytät asiakastietoja. Jos teet ne väärin, edessä ovat sakot, asiakkaiden epäluottamus ja oikeudelliset ongelmat. Jos teet ne oikein, rakennat luottamusta brändiisi.
Useimmat kauppiaat ohittavat tietosuojan, koska se tuntuu tylsältä ja monimutkaiselta. Se on monimutkaista. Tässä artikkelissa käydään kuitenkin läpi, mitä sinun oikeasti pitää tehdä.
Mikä GDPR on ja ketä se koskee
GDPR tulee sanoista General Data Protection Regulation, suomeksi yleinen tietosuoja-asetus. Se on Euroopan unionin laki, joka asettaa säännöt siitä, miten yritykset keräävät ja käyttävät henkilötietoja. Jos sinulla on yksikin asiakas EU:ssa, GDPR koskee sinua. Jos kauppasi palvelee mitä tahansa EU:ssa olevaa asiakasta, sinun on noudatettava GDPR:ää.
GDPR ei ole vapaaehtoinen. Se ei ole suositus. Euroopan komissio on sakottanut yrityksiä miljardeilla euroilla sen rikkomisesta. Eräs suuri ohjelmistoyhtiö maksoi 20 miljoonaa USD. Facebook maksoi 5 miljardia USD. Nämä ovat valtavia yrityksiä. Pieni verkkokauppa voi saada pienemmät sakot, mutta periaate on sama: GDPR-rikkomukset tulevat kalliiksi.
GDPR:n ydinperiaate on yksinkertainen: asiakkaat omistavat tietonsa. Sinä vain lainaat niitä väliaikaisesti. Sinun on pyydettävä lupa ennen keräämistä. Sinun on selitettävä, mitä teet tiedoilla. Ja sinun on poistettava ne, kun asiakas sitä pyytää.
GDPR:n keskeiset säännöt verkkokaupoille
Tarvitset luvan ennen tietojen keräämistä
Et voi vain kerätä sähköpostiosoitteita, puhelinnumeroita tai mitään henkilötietoja ilman selkeää suostumusta. Kassalla tarvitset ruudut, jotka asiakas valitsee itse, ei valmiiksi valittuja ruutuja. Jos asiakas poistaa valinnan ruudusta, jossa lukee "Hyväksyn markkinointisähköpostit", et voi liittää häntä markkinointiin. Tarvitset hänen aktiivisen, tietoisen suostumuksensa.
Tämä koskee markkinointilistoja, analytiikkaseurantaa ja mainosevästeitä. Jos käytät Google Analyticsia, sinun on kerrottava asiakkaille, että käytät sitä, ja annettava heille mahdollisuus kieltäytyä. Jos käytät Facebook Pixeliä asiakkaiden uudelleenkohdentamiseen, tarvitset suostumuksen ennen kuin pikseli aktivoituu.
Sinun on selitettävä, mitä teet tiedoilla
Tietosuojaselosteesi ei ole pelkkä lakiasiakirja. Se on viestintää asiakkaillesi. Sinun on selitettävä selkeällä kielellä (ei lakikielellä), mitä tietoja keräät, miksi keräät niitä, kuinka kauan säilytät niitä ja kuka niihin pääsee käsiksi. GDPR vaatii, että nämä tiedot ovat "helposti saatavilla" ja "selkeällä ja yksinkertaisella kielellä".
Tietosuojaseloste, joka on piilotettu viiden klikkauksen taakse tai kirjoitettu lakikielellä, ei täytä "selkeän ja yksinkertaisen" vaatimusta.
Sinun on poistettava tiedot pyydettäessä
Asiakkailla on oikeus pyytää tietojensa poistamista. Tätä kutsutaan oikeudeksi tulla unohdetuksi. Jos asiakas lähettää sinulle sähköpostia ja pyytää poistamaan tilinsä ja tietonsa, sinulla on 30 päivää aikaa toimia. Et voi veloittaa siitä. Et voi sivuuttaa pyyntöä. Sinun on poistettava tiedot ja vahvistettava, että ne on poistettu.
Sinun on ilmoitettava tietovuodoista
Jos asiakastietosi vaarantuvat tai varastetaan, sinulla on 72 tuntia aikaa ilmoittaa asiasta viranomaisille. Sinun on myös ilmoitettava asiasta niille asiakkaille, joita se koskee. Et voi salata vuotoa tai toivoa, ettei kukaan huomaa. Tämä vaatimus yksin on tehnyt GDPR:stä kalliin monelle yritykselle, koska se pakottaa avoimuuteen ja vastuullisuuteen. Kassan tietoturvan parhaita käytäntöjä käsitellään artikkelissa miten pidät verkkokauppasi kassan turvallisena.
Tietojen siirrot vaativat hyväksynnän
Jos tallennat asiakastietoja EU:n ulkopuolelle, sinun on käytettävä hyväksyttyjä siirtomekanismeja. Tällä on merkitystä, jos maksupalvelusi on Yhdysvalloissa, jos käytät yhdysvaltalaista sähköpostipalvelua tai jos varmuuskopioit tietoja amerikkalaiseen konesaliin. Et voi siirtää EU-asiakkaiden tietoja minne tahansa. Tarvitset käyttöön oikeudelliset puitteet.
Mikä tietosuojaseloste on ja miksi tarvitset sellaisen
Tietosuojaseloste on asiakirja, joka selittää, miten kauppasi kerää, käyttää ja suojaa asiakastietoja. Sitä vaaditaan GDPR:ssä, monissa Yhdysvaltain osavaltioiden laeissa ja alan standardeissa. Ilman sitä rikot lakia, eikä asiakkailla ole mitään keinoa ymmärtää, miten käsittelet heidän tietojaan.
Tietosuojaselosteesi on katettava seuraavat asiat:
Mitä tietoja keräät
Luettele jokainen keräämäsi tietotyyppi. Siihen kuuluvat ilmeiset asiat, kuten sähköpostiosoitteet ja toimitusosoitteet, mutta myös vähemmän ilmeiset asiat, kuten IP-osoitteet verkkopalvelimeltasi, analytiikan evästeet, käyttäytymisen seuranta ja sijaintitiedot. Ole täsmällinen. Älä kirjoita vain "henkilötiedot". Kirjoita "sähköpostiosoite, puhelinnumero, toimitusosoite, ostohistoria ja selauskäyttäytyminen". Jos otat maksuja vastaan maksuyhdyskäytävän kautta, tietosuojaselosteessa on kerrottava, mitä maksutietoja maksupalvelusi käsittelee. Katso miten maksuyhdyskäytävät toimivat, jotta ymmärrät, mitä tietoja maksujärjestelmäsi läpi kulkee.
Miten keräät ne
Keräätkö tietoja lomakkeilla, kassasivuilla vai evästeillä? Asiakaspalvelutilanteissa tai tukipyynnöissä? Analytiikkatyökaluilla tai mainospikseleillä? Kerro menetelmät. Tässä kohdassa mainitset Google Analyticsin, Facebook Pixelin, maksupalvelusi tai mitkä tahansa työkalut, joilla keräät tietoja.
Miksi keräät ne
Keräät sähköpostiosoitteita tilausten käsittelyä ja toimitustietojen lähettämistä varten. Keräät puhelinnumeroita asiakaspalvelua varten. Keräät analytiikkadataa ymmärtääksesi, miten kävijät käyttävät sivustoasi. Käytät evästeitä muistaaksesi asiakkaat, jotta heidän ei tarvitse kirjautua sisään joka kerta. Kerro liiketoiminnallinen syy jokaiselle tietojen keräystavalle.
Kuinka kauan säilytät ne
Et säilytä tietoja ikuisesti. Sinun on määriteltävä säilytysajat. Voit säilyttää ostohistoriaa 7 vuotta verotuksellisista ja laillisista syistä. Voit säilyttää sähköpostiosoitteita 3 vuotta viimeisen oston jälkeen markkinointia varten. Voit säilyttää tukipyyntöjä 1 vuoden. Mikä tahansa säilytyskäytäntösi onkin, kerro se selvästi.
Kuka pääsee niihin käsiksi
Jos käytät maksupalvelua, sillä on pääsy maksutietoihin. Jos käytät toimituspalvelua, sillä on pääsy osoitteisiin ja se voi käyttää niitä toimitukseen. Jos ulkoistat asiakaspalvelun, tukitiimisi näkee asiakkaiden nimet ja sähköpostiosoitteet. Luettele kaikki kolmannet osapuolet, jotka näkevät asiakastiedot, ja selitä miksi. Lisätietoja toimitusprosesseista löydät artikkelista miten otat toimituksen käyttöön verkkokaupassasi.
Miten suojaat ne
Käytätkö SSL-varmenteita salaamaan siirrettävää dataa? Vaadiitko vahvoja salasanoja? Varmuuskopioitko tietoja säännöllisesti? Koulutatko tiimisi tietoturvaan? Kerro tietoturvatoimesi. Jos tietoturvasi on heikko, kerro siitä silti, mutta sitoudu parantamaan sitä.
Asiakkaan oikeudet
GDPR:n mukaan asiakkailla on oikeus nähdä tietonsa, korjata niitä, poistaa ne ja siirtää ne toiseen palveluun. Tietosuojaselosteesi on kerrottava, miten he voivat käyttää näitä oikeuksia. Lisää sähköpostiosoite tai yhteydenottolomake, jonka kautta asiakkaat voivat pyytää tietojensa näkemistä tai poistamista.
Evästesuostumus ja seuranta
Evästeet ovat pieniä tiedostoja, joita verkkosivustot tallentavat asiakkaan tietokoneelle muistaakseen hänet. Niillä pidetään sinut kirjautuneena, muistetaan ostoskorin tuotteet ja seurataan käyttäytymistäsi eri sivustoilla.
GDPR erottaa välttämättömät ja ei-välttämättömät evästeet. Välttämättömät evästeet (kuten ostoskorin evästeet tai istuntoevästeet) eivät vaadi suostumusta. Kaikki muu vaatii.
Välttämättömät evästeet, jotka eivät vaadi suostumusta
Ostoskorin evästeet ovat välttämättömiä, koska ilman niitä asiakkaat menettäisivät ostoskorinsa aina siirtyessään uudelle sivulle. Istuntoevästeet, jotka pitävät sinut kirjautuneena, ovat välttämättömiä. Tietoturvaevästeet, jotka estävät väärinkäytöksiä, ovat välttämättömiä. Voit käyttää näitä evästeitä kysymättä lupaa, koska ne tarvitaan kaupan toimintaan.
Ei-välttämättömät evästeet, jotka vaativat suostumuksen
Analytiikkaevästeet (Google Analytics, lämpökarttatyökalut, tuoteanalytiikka) eivät ole välttämättömiä kaupan pyörittämiseen. Ne auttavat ymmärtämään käyttäytymistä, mutta kauppa toimii hyvin ilman niitä. Kävijädatan ymmärtäminen on hyödyllistä optimoinnissa, mutta asiakkaiden pitää antaa suostumus ennen kuin heitä seurataan. Markkinointievästeet ja uudelleenkohdennuspikselit (Facebook Pixel, Google Adsin konversioseuranta) eivät ole varmasti välttämättömiä. Nämä evästeet seuraavat asiakkaita ympäri internetiä mainosten näyttämiseksi. Ne vaativat nimenomaisen suostumuksen ennen kuin ne aktivoituvat. Yleiskuvan siitä, mitä analytiikasta voi oppia, löydät artikkelista miten analytiikalla ymmärrät kävijöiden käyttäytymisen.
Miten evästesuostumus toteutetaan
Tarvitset evästesuostumusbannerin, joka näkyy, kun asiakas vierailee sivustollasi ensimmäistä kertaa. Bannerin on selitettävä, mitä evästeitä käytät ja miksi. Siinä pitäisi olla vähintään kolme vaihtoehtoa: Hyväksy kaikki, Hylkää ei-välttämättömät ja Mukauta. Hyväksy kaikki -vaihtoehdon pitäisi olla yksi painike. Hylkäämisen pitää olla yhtä helppoa (ei piilotettuna valikon taakse). Asiakkaiden pitäisi voida kieltäytyä analytiikka- ja markkinointievästeistä menettämättä mahdollisuuttaan ostaa.
Älä tee suostumuksesta sekavaa harhauttavilla ratkaisuilla, kuten isolla sinisellä "Hyväksy" ja pienellä harmaalla "Hylkää". Se rikkoo GDPR:ää. Molempien vaihtoehtojen on oltava yhtä näkyviä ja yhtä helposti klikattavia.
Voit käyttää evästesuostumustyökalua. Nämä palvelut hoitavat bannerin, suostumusten seurannan ja asetusten päivittämisen. Ne maksavat, mutta ne säästävät sinut oikeudellisilta riskeiltä.
Tietosuoja EU:n ulkopuolisille kaupoille
GDPR on EU-laki, mutta tietosuojasääntelyä on kaikkialla. Jos kauppasi toimii Kaliforniassa, sinuun sovelletaan CCPA:ta (California Consumer Privacy Act). Jos olet Virginiassa, siellä on VDPA. Kanadassa on PIPEDA. Brasiliassa on LGPD. Australiassa on APP:t.
Nämä lait eivät ole identtisiä GDPR:n kanssa, mutta ne noudattavat samanlaisia periaatteita: asiakkaat omistavat tietonsa, sinun on pyydettävä lupa, sinun on oltava avoin ja sinun on poistettava tiedot pyydettäessä.
Jos sinulla on asiakkaita useilla alueilla, yksi tietosuojaseloste ei toimi kaikkialla. Sinun on noudatettava tiukinta sinuun sovellettavaa lakia. Useimmille kaupoille se on GDPR, koska se on tiukin. Jos noudatat GDPR:ää, noudatat todennäköisesti myös useimpia muita tietosuojalakeja.
Käyttöehdot ja tietosuojaseloste
Tietosuojaselosteesi ja käyttöehtosi ovat eri asiakirjoja, joilla on eri tarkoitus.
Tietosuojaseloste kattaa tietojen käsittelyn: mitä keräät, miksi, kuinka kauan säilytät ne ja miten asiakkaat voivat nähdä tai poistaa ne.
Käyttöehdot kattavat sen, miten asiakkaat voivat käyttää kauppaasi: maksuehdot, palautuskäytäntö, hyvityskäytäntö, vastuunrajoitukset ja se, mitä asiakkaat eivät saa tehdä. Asiakas voi olla tyytyväinen tietojenkäsittelyysi (tietosuoja), mutta olla eri mieltä palautukset kieltävästä käytännöstäsi (ehdot).
Tarvitset molemmat asiakirjat. Lisätietoja käyttöehtojen kirjoittamisesta löydät artikkelista miten kirjoitat käyttöehdot verkkokaupallesi.
Miten WEMASY auttaa tietosuojassa ja vaatimustenmukaisuudessa
WEMASY-sivustonrakentajassa on sisäänrakennettu SSL-salaus kaikelle siirrettävälle datalle. WEMASY tukee myös tietosuojaselosteen ja evästesuostumusbannerien lisäämistä suoraan sivustollesi ilman mukautettua koodia. Voit määrittää, mitkä evästeet ovat välttämättömiä ja mitkä vaativat suostumuksen, ja antaa WEMASYn hoitaa suostumusprosessin.
Tämä ei poista oikeudellista vastuutasi laatia selkeä tietosuojaseloste, mutta se tekee käyttöönotosta helpompaa. Katso, mitä WEMASY-pakettiisi kuuluu.
Tietosuojan tarkistuslista kauppaasi varten
Käy tämä lista läpi ennen avaamista:
Tietosuojaseloste
Onko sivustollasi tietosuojaseloste? Onko se julkisesti saatavilla? Selittääkö se, mitä tietoja keräät, miksi keräät niitä, kuinka kauan säilytät niitä ja kuka niihin pääsee käsiksi? Sisältääkö se yhteystiedot tietopyyntöjä varten? Älä kopioi jonkun muun tietosuojaselostetta. Yleiset selosteet eivät selitä omia käytäntöjäsi.
Evästesuostumus
Jos käytät analytiikka- tai markkinointievästeitä, onko sinulla evästesuostumusbanneri? Antaako se asiakkaille aidon mahdollisuuden kieltäytyä? Onko hylkäyspainike yhtä helppo klikata kuin hyväksymispainike? Selittääkö banneri, mitä kukin evästetyyppi tekee?
Välttämätön tietoturva
Käytätkö SSL:ää (HTTPS) koko kaupassasi? Vaadiitko vahvoja salasanoja? Onko sinulla suunnitelma siitä, mitä tehdä, jos tiedot vaarantuvat? Varmuuskopioitko asiakastiedot säännöllisesti?
Kolmannen osapuolen työkalut
Luettele jokainen työkalu, joka käsittelee asiakastietoja: maksupalvelu, toimituspalvelu, sähköpostipalvelu, analytiikka-alusta, markkinointityökalu, tukiohjelmisto. Mainitseeko tietosuojaselosteesi ne kaikki? Oletko lukenut niiden tietosuojaselosteet? Noudattavatko ne GDPR:ää tai paikallisia lakejasi?
Tietojen poistoprosessi
Jos asiakas pyytää sähköpostilla tietojensa poistamista, onko sinulla prosessi sen tekemiseen? Tiedätkö, miten tiedot poistetaan kauppajärjestelmästäsi, maksupalvelustasi, sähköpostipalvelustasi ja kaikista muista työkaluista? Tarvitset dokumentoidun prosessin, et arvausta.
Oikeudellinen neuvonta
Oletko keskustellut tietosuojasta lakimiehen kanssa? Lakimiestä ei tarvita jokaiseen kysymykseen, mutta ensimmäistä kauppaa varten 1-2 tuntia oikeudellista apua on sen arvoista, jotta olet oikealla tiellä. Monet lakimiehet tarkistavat perustietosuojaselosteen hintaan EUR 200-400.
UKK
Tarvitsenko tietosuojaselosteen, jos kauppani on pieni?
Kyllä. GDPR ja muut tietosuojalait koskevat kauppaa koosta riippumatta. Jopa 10 asiakkaan kuukausikaupalla on laillinen velvollisuus suojata heidän tietonsa ja selittää, miten käytät niitä. Tietosuojaseloste on laillinen minimi.
Voinko käyttää tietosuojaselostepohjaa?
Kyllä, mutta vain lähtökohtana. Tietosuojaselosteen luontityökalut tekevät selosteen sinun käyttämiesi työkalujen ja käytäntöjesi pohjalta. Älä kopioi kilpailijan selostetta sanasta sanaan. Selosteen on vastattava todellisia tietokäytäntöjäsi. Jos selosteesi sanoo, että poistat tiedot 1 vuoden kuluttua, mutta säilytät ne todellisuudessa 7 vuotta, aiheutat oikeudellisen vastuun.
Entä jos minulla ei ole EU-asiakkaita?
Sinulla voi silti olla tietosuojavelvoitteita. Yhdysvalloissa on CCPA Kaliforniassa ja VDPA Virginiassa. Kanadassa on PIPEDA. Brasiliassa on LGPD. Useimmilla mailla on jonkinlainen tietosuojalaki. Vaikka kohdistaisit kaupan vain yhdysvaltalaisille asiakkaille, GDPR:n noudattaminen on turvallisempaa, koska se on tiukin. GDPR:n noudattaminen tarkoittaa yleensä myös heikompien lakien noudattamista.
Paljonko tietosuojaseloste oikeasti maksaa?
Perusselosteen voi luoda ilmaiseksi tietosuojaselosteen luontityökalulla. Lakimiehen kirjoittama räätälöity seloste maksaa EUR 500-2,000. Useimmat pienet kaupat aloittavat luodulla selosteella ja teettävät sen lakimiehellä tarkistettavaksi hintaan EUR 200-400, jotta se kattaa heidän oman toimintatapansa.
Mitä eroa on GDPR:llä ja CCPA:lla?
GDPR on EU-laki. CCPA on Kalifornian osavaltion laki. GDPR on tiukempi. Molemmat antavat asiakkaille oikeuden nähdä, poistaa ja korjata tietonsa. Molemmat vaativat suostumuksen markkinointiin. GDPR vaatii suostumuksen ennen useimpien tietojen keräämistä. CCPA sallii keräämisen, mutta vaatii kieltäytymismahdollisuuden. Jos noudatat GDPR:ää, noudatat todennäköisesti myös CCPA:ta.
Miten vastaan asiakkaan tietojen poistopyyntöön?
Kun asiakas pyytää tietojensa poistamista, vastaa 30 päivän kuluessa. Poista hänen tilinsä kauppajärjestelmästäsi. Poista hänet sähköpostimarkkinoinnin listalta. Poista hänet analytiikasta. Pyydä maksupalveluasi poistamaan hänen tietonsa. Vahvista kirjallisesti, että hänen tietonsa on poistettu. Säilytä poistosta dokumentaatio siltä varalta, että sinun pitää todistaa noudattaneesi vaatimuksia.