Jakie obowiązki RODO ma sklep internetowy?
Właściciel sklepu jest administratorem danych klientów, subskrybentów i osób składających reklamacje. Najczęstszy błąd nie dotyczy dokumentów, lecz zgód: zakup i newsletter to dwa różne cele i nie mogą być połączone jednym checkboxem.
Krótka odpowiedź
- Spełnij obowiązek informacyjny z art. 13 RODO w momencie zbierania danych, a nie później.
- Opublikuj politykę prywatności opisującą cele, podstawy prawne, odbiorców i okresy przechowywania.
- Prowadź rejestr czynności przetwarzania zgodnie z art. 30 RODO.
- Podpisz umowy powierzenia z hostingiem, kurierem, operatorem płatności i narzędziem mailingowym.
- Zgoda na newsletter musi być odrębna, dobrowolna i nie może warunkować zakupu.
Cele i podstawy prawne
Najczęstsze przetwarzanie w sklepie
| Cel | Podstawa | Uwaga |
|---|---|---|
| Realizacja zamówienia | Wykonanie umowy | Zgoda nie jest potrzebna |
| Wystawienie dokumentu i księgowość | Obowiązek prawny | Okres wynika z przepisów podatkowych |
| Newsletter | Zgoda | Osobny checkbox, domyślnie odznaczony |
| Statystyki i marketing w plikach cookie | Zgoda | Zapis dopiero po jej udzieleniu |
| Dochodzenie roszczeń | Prawnie uzasadniony interes | Wymaga opisania w polityce |
Minimalny zestaw wdrożeniowy
- Polityka prywatności i informacja o cookie, dostępne z każdej strony.
- Baner zgody, który nie zapisuje niczego poza plikami niezbędnymi przed kliknięciem.
- Rejestr czynności przetwarzania, aktualizowany przy każdym nowym narzędziu.
- Umowy powierzenia z każdym dostawcą, który widzi dane klientów.
- Procedura realizacji żądań: dostęp, sprostowanie, usunięcie, sprzeciw.
Częste błędy
- Jeden checkbox łączący akceptację regulaminu ze zgodą marketingową.
- Baner cookie, który zapisuje skrypty analityczne jeszcze przed zgodą.
- Brak umowy powierzenia z firmą kurierską albo z narzędziem do mailingu.
- Przechowywanie kont i zamówień bezterminowo, bez zdefiniowanego okresu retencji.
Jak pomaga 4shopy
- Zgoda marketingowa jest osobnym, domyślnie odznaczonym polem, zapisywanym z datą i treścią.
- Dane i kopie zapasowe pozostają w Unii Europejskiej, co skraca dokumentację transferów.
- Konto klienta pozwala pobrać i usunąć dane, co obsługuje typowe żądania z RODO.
- Skrypty analityczne uruchamiają się dopiero po zgodzie z banera.