ShopSystem je na GDPR připraven!16.05.2018

Chcete vědět, jak jsme na GDPR připraveni? Co všechno musíte ve svém eshopu změnit? Nebojte se, s námi zvládnete svůj e-shop připravit bez výrazné námahy a vysokých investic.

Dali jsme si práci, abychom "obecný" dopad GDPR na e-shopy rozklíčovali, připravili nezbytné změny v systémech našich e-shopů a uvedli požadavky do reálné praxe.

Co si musíte v souvislosti s GDPR ve svém e-shopu ShopSystem nastavit a zrevidovat?

Souhlas se zpracováním osobních údajů.

Dle GDPR musíte sepsat, jaké údaje o zákaznících sbíráte, jak s nimi pracujete a pro co se používají. Musíte tedy sepsat text „Souhlas se zpracováním osobních údajů“. Mělo by se jednat o dokument psaný obecným jazykem, nikoliv právním, aby tomu „běžní smrtelníci“ rozuměli. Pro tyto účely jsme založili speciální obsahovou stránku „souhlas se zpracováním …“, kam si vložíte svůj text souhlasu.

E-shop se dále už sám postará o rozmístění „check boxů“ napříč celým obsahem e-shopu s odkazy na tuto stránku.

Souhlasy se automaticky objeví:

• Při dokončování objednávky (společně se souhlasem s obchodními podmínkami),
• ve formuláři registrace zákazníka,
• ve formulářích diskuze, dotaz k produktu a kontaktní formulář.

Ověření emailu, který se přihlašuje k newsletterům (tzv. double opt-in).

Od 25. 5. 2018 budete muset umět prokázat, že daný email udělil souhlas se zasíláním novinek. Pro tyto účely jsme udělali úpravy v systému, které požadují po zákazníkovi „odkliknutí“ souhlasu se zasíláním novinek v emailu, který se mu zašle když se k zasílání novinek přihlásí.

Tento email si musíte obsahově upravit aby byl „za vaší firmu“. Od nás máte před-připravený základní text se speciálním odkazem na potvrzení. Tedy stačí udělat minimum nutných úprav, pokud nechcete žádost o souhlas nějak „vyšperkovat“.

Co jsme v e-shop systému změnili?

Několik týdnů jsme připravovali v ShopSystemu řadu změn, abychom vám ulehčili splnění podmínek GDPR. Zde je výčet jednotlivých věcí, kde se změnila funkčnost tak, by bylo GDPR splněno.

Níže jsou vypsané oblasti, které jsme v ShopSystemu upravili. Uvedené změny nevyžadují žádnou vaší další aktivitu a máte je ve svých e-shopech automaticky!

Heuréka ověřeno zákazníky – aktivní nesouhlas

Velká diskuze, jestli a jak nadále oslovovat zákazníky se žádostí o hodnocení vašeho e-shopu pro službu Heureka Ověřeno zákazníky je ukončena.

Pokud používáte službu Ověřeno zákazníky (není to podmínka pro používání Heuréky jako takové), tak se automaticky ve vašem ShopSystem e-shopu v průběhu objednávky zobrazí „check box“ Nesouhlasím s předáním dat Heurece. Více informací na stránkách Heuréky >>

Jedná se o vyslovení aktivního nesouhlasu, tedy ve výchozím stavu je zákazníkovi žádost o hodnocení odeslána. Zákazník musí mít ale možnost žádost o hodnocení odmítnout a nesmí to být podmínka pro dokončení objednávky. Dle podmínek Heureky nesmí být logika obráceně, tedy že by zákazník musel dát souhlas se zasláním žádosti o hodnocení. Více informací o tomto tématu lze najít na Heurece.

Upravili jsme používání služby Ověřeno zákazníky tak, že tento aktivní nesouhlas se zákazníkům automaticky zobrazí v košíku. Pokud zákazník se zasláním hodnocení nesouhlasí, tak se technicky jeho údaje vůbec nepředají Heurece (tedy data nejsou předána třetí straně).

Přihlašování k newsletterům (double opt-in)

Každý email přihlášený od 25. 5. k novinkám budete muset umět dohledat, kdy dal zákazník k tomu souhlas. Proto jsme zavedli ověření emailu, tzv. double opt-in, kdy se zákazníkovi pošle ověřovací email pro udělení souhlasu. Úprava se týká všech formulářů, skrze které se dá přihlásit k novinkám – objednávka, registrace, sleva na 1. nákup a formulář pro zadání emailu.

Dle výkladu GDPR není požadavek na doble opt-in striktně vyžadován, ale APEK jej velice doporučuje, protože vy nesete důkazní břemeno, abyste dokázali, že daný email udělalil souhlas se zasíláním novinek. Pokud může kdokoliv vložit číkoliv email do formuláře na newsletter, tak to není důkaz dostatečný. Odkliknutí souhlasu přímo z emailu zaslaném na přihlášený email jste 100% krytí. Navíc zákazníci často za newslettery dostávají benefity, takže by nemělo docházet ke snížení počtu přihlášených.

Možnost smazat zákaznický účet

Zákazník si může sám smazat svůj účet po přihlášení do vašeho e-shopu. Jeho účet ale může smazat i váš administrátor e-shopu. Tuto funkci obsahuje automaticky každý e-shop ShopSystem.

Dohledání informací o udělených souhlasech

Pro účely dokazování musíte být schopni ÚOOÚ doložit, kdy vám zákazník dal souhlas se zpracováním jeho osobních údajů nebo souhlas se zasíláním newsletterů.

U každého zákaznického účtu, ale také emailu registrovanému k newsletterům ukládáme, kdy a z jaké IP adresy byl souhlas udělen. Tyto údaje najdete v zákaznické sekci po rozkliknutí detailu zákazníka nebo emailu přihlášenému k novinkám. Není tedy problém tyto data předložit zákazníkovi nebo úřadu.

Pokud zákazník nesouhlasí se zpracováním osobních údajů, nelze technicky vůbec odeslat objednávku, ani jiný formulář na eshopu (registrace, kontakt, dotaz na prodavače aj.). Tedy bez „zaškrtnutí“ souhlasu osobní data zákazníka vůbec nezískáte a nemusíte tak řešit, jestli jste k nim získali souhlas.

Jak ShopSystem splňuje další nařízení související s GDPR?

E-shopy ShopSystem běží na SSL zabezpečených spojeních

Jakákoliv komunikace mezi zákazníkem u monitoru a vaším e-shopem probíhá přes zašifrované spojení, URL adresa eshopu začíná vždy https://. Tímto je zaručeno, že odesílaná data po cestě nejsou pro potencionální útočníky čitelná. SSL certifikáty také již delší dobu požaduje Google. Odesílaná data jsou zašifrovaná.

Nastavení souhlasů se zpracováním osobních údajů a obchodních podmínek

Uživatele musíte při zadávání osobních údajů informovat, jak s nimi pracujete a k čemu je využíváte (viz první odstavec). Text tohoto souhlasu je jednoduše editovatelný v nastavení e-shopu, hned vedle nastavení obchodních podmínek.

Systém e-shopu už sám rozmístí souhlasy tam, kde jsou ze zákona před odesláním formuláře vyžadovány, viz odstavec výše.

Práce s emaily a newslettery:

Viditelný a jasný souhlas se zasíláním newslettterů.

Dávno před zavedením GDPR je v ShopSystemu souhlas se zasíláním novinek jako zvláštní „check box“. Zákazník musí dávat vědomě souhlas se zasíláním novinek. Tento souhlas nesmí být „nenápadně“ podstrčen někde v obchodních podmínkách, ale být samostatně.

Souhlas se zasíláním novinek nesmí být podmínkou pro dokončení objednávky. Tedy zákazník jej nesmí udělovat automaticky pouze tím, že si objednává zboží.

Požadavky na ověření emailů přihlašujících se k newsletterům.

Z pohledu GDPR musíte být schopni doložit, kdy se zákazník přihlásil k novinkám emailem. K tomuto účelu jsme zavedli tzv. double opt-in. Zákazníkovi přijde ještě potvrzovací email, kde musí ze svého emailu kliknout a tím prokazatelně udělat svůj souhlas.

Datum a IP adresa souhlasu jsou v ShopSystemu uloženy.

Možnost odhlášení se přes odkaz v e-mailingu.

Každý mailing, který odesíláte, musí obsahovat jednoduchou možnost na odhlášení, obvykle přes odkaz v patičce. Je jedno, přes který nástroj e-mailingy posíláte, ale tuto možnost musí příjemce mít.

Pokud posíláte mailingy přímo z administrace ShopSystem, stačí na konec mailingu doplnit krátký klíč, který se automaticky postará o doplnění věty a odkazu pro odhlášení na konec zprávy.

Zákazník i administrátor může smazat svůj účet pro přihlášení do e-shopu

Zákazník musí mít umožněno smazat svůj uživatelský účet přímo na vašem e-shopu. Pro tyto účely jsme do zákaznické sekce přidali možnost smazání svého účtu. Zákazník si po přihlášení může tedy sám svůj účet smazat. Účet můžete zákazníkovi smazat i vy jako správce e-shopu.

Osobní údaje v objednávkách

Rozlišuje se, jestli objednávku udělal přihlášený registrovaný zákazník nebo neregistrovaný. Pokud je objednávka učiněna zákazníkem bez registrace, tak se automaticky nikde nevytváří zákaznický účet, ale „osobní data“ jsou určená pouze pro objednávku a tedy pro doručení zboží. Objednávku může administrátor smazat.

Údaje sloužící pro účely zpracování účetnictví, tedy osobní údaje ve fakturách (jména, emaily, adresy doručení) nepodléhají nařízení na ochranu osobních údajů a zákazník nemůže požadovat jejich smazání (protože byste porušili zákon o účetnictví).

Zpracovatelská smlouva

Naše zpracovatelská smlouva ve vztahu k vašim e-shopům je součástí smluvních obchodních podmínek, které jsou veřejně dostupné na našem webu.

Tento článek popisuje konkrétní změny v souvislosti se zavedením GDPR pouze pro e-shop platformu ShopSystem. Nejedná se o obecný návod k celkové implementaci GDPR pro vaši firmu, ale řešíme pouze „viditelné“ povinnosti na webových stránkách typu e-shop. Nezmiňujeme zde vůbec další vnitropodnikové povinnosti jako zpracovatelské smlouvy, vnitřní směrnice, pověřence na ochranu osobních údajů atd. Právní správnost obsahu tohoto článku je bez záruky. Tento článek není zpracován odborným právním zástupcem a není návodem na splnění všech podmínek GDPR pro vaší společnost. Doporučujeme vám konkrétní požadavky na GDPR v souladu se svým způsobem zpracování osobních dat konzultovat přímo s odborníky na tuto problematiku.