Polityka prywatności sklepu internetowego - co musi zawierać i jak ją aktualizować

Jak dopasować politykę prywatności sklepu do używanych narzędzi

Najwięcej rozbieżności między polityką a rzeczywistością dotyczy narzędzi marketingowych i integracji. Zespół dodaje piksel, czat albo system opinii, a nikt nie aktualizuje dokumentu. Przed edycją polityki zrób więc spis narzędzi - z panelu sklepu, Google Tag Managera, listy wtyczek i faktur za oprogramowanie. Poniżej typowe narzędzia i to, co trzeba o nich napisać:

Podstawy w tabeli to typowe przypadki, a nie gotowe rozstrzygnięcie dla każdego sklepu - ostateczną kwalifikację warto potwierdzić z prawnikiem. Ta sama lista narzędzi powinna trafić do rejestru czynności przetwarzania, a odbiorcy danych - do zestawienia umów powierzenia. Jak to połączyć, opisujemy w artykule rejestr czynności przetwarzania w sklepie - jak go prowadzić krok po kroku. Sprzedawcy działający na marketplace'ach powinni pamiętać, że dane kupujących z Allegro czy Amazona trafiają do ich systemów, więc polityka sprzedawcy powinna opisywać także ten przepływ.

Polityka prywatności a sprzedaż na marketplace

Na stronie marketplace'u obowiązuje polityka prywatności operatora platformy, ale sprzedawca, który otrzymuje dane kupującego do realizacji zamówienia, staje się ich administratorem. Obowiązek informacyjny wobec kupującego dotyczy więc także sprzedawcy. Najczęściej realizuje się go przez link do polityki prywatności w danych sprzedawcy na platformie lub w regulaminie sprzedaży, a także przez informację dołączaną do zamówienia. Sprawdź w zasadach konkretnego marketplace'u, gdzie możesz umieścić takie informacje.

Jak aktualizować politykę prywatności krok po kroku

Aktualizacja polityki prywatności to krótki proces, który da się powtarzać przy każdej zmianie w sklepie. Kluczowe jest to, by zaczynać od technicznej inwentaryzacji, a kończyć na archiwizacji poprzedniej wersji:

[#chart:wit58b]

Zmiany wymagające aktualizacji to przede wszystkim: nowe narzędzie analityczne lub reklamowe, nowy dostawca hostingu lub poczty, uruchomienie newslettera, programu lojalnościowego albo czatu, wejście na nowy marketplace, zmiana danych firmy lub formy prawnej oraz zmiana okresów przechowywania. Przy dużych zmianach, np. nowym celu przetwarzania, warto poinformować klientów mailem lub komunikatem na stronie. Jeśli nowy cel wymaga zgody, np. nowe narzędzie reklamowe, sama zmiana dokumentu nie wystarczy - trzeba też uzyskać zgodę w banerze cookies lub formularzu, zanim narzędzie zacznie działać.

[#tip] Przechowuj poprzednie wersje polityki prywatności z datami obowiązywania, np. w folderze na dysku firmowym lub jako PDF. Gdy klient zapyta, na jakich zasadach przetwarzano jego dane dwa lata temu, odpowiesz w kilka minut. Datę ostatniej aktualizacji podaj też na górze lub na dole samego dokumentu.

[#przyklad] Przykład aktualizacji: sklep dodaje na stronie czat z obsługą klienta. W polityce prywatności pojawia się nowa sekcja - jakie dane zbiera czat (treść rozmowy, imię, e-mail, adres IP), w jakim celu (odpowiedzi na pytania klientów), na jakiej podstawie, kto jest dostawcą narzędzia, czy dane trafiają poza EOG i jak długo przechowywane są rozmowy. Jeśli czat zapisuje pliki cookies niezwiązane z samą rozmową, trzeba go też dodać do banera zgody i opisu cookies. Ten sam wpis trafia do rejestru czynności przetwarzania, a umowa powierzenia z dostawcą czatu - do zestawienia umów.

Gdzie umieścić politykę prywatności w sklepie

Sama treść to połowa sukcesu - klient musi do niej trafić w momencie, w którym podaje dane. Link do polityki prywatności warto umieścić w kilku miejscach:

• w stopce każdej strony sklepu, obok regulaminu i danych kontaktowych,

• przy formularzu rejestracji konta i przy finalizacji zamówienia,

• przy formularzu zapisu do newslettera i formularzu kontaktowym,

• w banerze cookies i w ustawieniach zgód,

• w stopce maili transakcyjnych i newsletterów.

Polityka prywatności - wzór czy własny dokument?

Wzór polityki prywatności to dobry punkt wyjścia, ale nie gotowy dokument. Generatory i wzory opisują typowy sklep, a nie Twój. Często zawierają narzędzia, których nie używasz, i pomijają te, które są w sklepie od dawna. Kopiowanie polityki z innego sklepu to jeszcze gorszy pomysł - poza ryzykiem naruszenia praw autorskich otrzymujesz dokument opisujący cudzych dostawców i cudze procesy. Najczęstsze problemy, które spotykamy przy przeglądzie polityk, i sposób ich naprawy:

[#chart:wit58c]

Sprawdzenie zgodności polityki z rzeczywistością jest prostsze, niż się wydaje. Wystarczy otworzyć sklep w trybie incognito, wejść w narzędzia deweloperskie przeglądarki i sprawdzić, do jakich zewnętrznych domen strona wysyła zapytania, zanim klikniesz cokolwiek na banerze. Każda domena powinna mieć swoje miejsce w polityce lub w opisie cookies. Jeśli wolisz zacząć od pełnej listy obowiązków, zajrzyj do poradnika RODO w sklepie internetowym - praktyczna lista obowiązków sprzedawcy.

Jak Vinson pomaga przy polityce prywatności sklepu

Vinson to agencja e-commerce z Bochni działająca od 2021 r., Google Partner, Meta Business Partner i autoryzowany partner Shoper, oceniana na 4,9/5 ze 171 opinii przez klientów z ponad 500 firm. Nie piszemy dokumentów prawnych, ale w ramach wsparcia informatycznego dla firm i sklepów przygotowujemy techniczną inwentaryzację potrzebną do polityki prywatności: listę skryptów i tagów uruchamianych w sklepie, dostawców hostingu, poczty i newslettera, integracji z marketplace'ami oraz miejsc, w których dane trafiają poza EOG. Porządkujemy też Google Tag Managera i usuwamy nieużywane narzędzia, żeby polityka mogła być krótsza i dokładniejsza.

Najczęściej zadawane pytania

Czy każdy sklep internetowy musi mieć politykę prywatności?

Tak. Każdy sklep zbiera dane osobowe klientów, więc musi spełnić obowiązek informacyjny z art. 13 RODO. Najwygodniej zrobić to w polityce prywatności dostępnej z każdej strony sklepu i podlinkowanej przy formularzach zbierających dane.

Czy można skopiować politykę prywatności z innego sklepu?

Nie warto. Cudza polityka opisuje inne narzędzia, dostawców i procesy, więc nie spełni obowiązku informacyjnego w Twoim sklepie. Dodatkowo tekst może być chroniony prawem autorskim. Wzór traktuj jako szkielet i uzupełnij go o własne dane.

Jak często aktualizować politykę prywatności sklepu?

Przy każdej zmianie narzędzi, dostawców, celów przetwarzania lub danych firmy. Dodatkowo warto robić przegląd co najmniej raz w roku, porównując politykę z listą skryptów w sklepie i rejestrem czynności przetwarzania.

Czy polityka prywatności musi być akceptowana przez klienta?

Nie. Polityka prywatności to informacja, a nie umowa, więc klient jej nie akceptuje. Musi mieć do niej łatwy dostęp, najlepiej z każdej strony sklepu i przy formularzach. Zgody, np. na newsletter, zbierasz osobno.

Czy opis cookies musi być w osobnym dokumencie?

Nie. Opis plików cookies możesz umieścić w polityce prywatności albo w osobnej polityce cookies. Ważne, by był aktualny, opisywał cele i dostawców narzędzi i był łatwo dostępny z banera zgody.

Co grozi za brak lub błędy w polityce prywatności?

Naruszenie obowiązku informacyjnego z art. 12-14 RODO podlega administracyjnej karze pieniężnej do 20 mln euro lub do 4% rocznego światowego obrotu zgodnie z art. 83 ust. 5 RODO. W praktyce częstszym skutkiem są skargi klientów i pytania od partnerów, a nieaktualna polityka utrudnia też wyjaśnienie incydentu.

Jeśli chcesz sprawdzić, które skrypty i narzędzia faktycznie działają w Twoim sklepie, zanim zaktualizujesz politykę prywatności, skontaktuj się z nami w sprawie wsparcia IT. Dane w polityce dotyczą też maili wysyłanych ze sklepu - o ich konfiguracji piszemy w poradniku maile transakcyjne w sklepie - jak wybrać serwer SMTP i go skonfigurować.