Domande frequenti sul GDPR

Cosa imparerai

Scopri in che modo il GDPR si applica al consenso, alle richieste dei clienti sui dati e agli strumenti che usi in Klaviyo.

GDPR è l'acronimo di General Data Protection Regulation (Regolamento generale sulla protezione dei dati), un regolamento dell'UE adottato nel 2016 ed entrato in vigore il 25 maggio 2018. Regola il trattamento dei dati personali da parte delle aziende stabilite nell'UE, così come delle aziende al di fuori dell'UE che offrono beni o servizi a persone nell'UE o ne monitorano il comportamento. Per maggiori informazioni sul GDPR, consulta il nostro blog.

A livello legale, mi è permesso trasferire i dati dei miei clienti europei a Klaviyo?

Il GDPR riconosce diversi meccanismi legali per trasferire i dati personali al di fuori dell’UE. Klaviyo è autocertificato ai sensi del Data Privacy Framework e lo utilizza per i trasferimenti finché è riconosciuto come un meccanismo di trasferimento valido nella regione pertinente. Le clausole contrattuali standard si applicano come soluzione di riserva, come descritto nel nostro Data Processing Agreement, che è incorporato nei nostri termini di servizio. Ti consigliamo di consultare i tuoi legali per individuare il meccanismo di trasferimento appropriato per qualsiasi trasferimento di dati che la tua organizzazione potrebbe effettuare.

Qualora non si possa dimostrare l'opt-in esplicito per i profili legacy, esiste un modo per confermare il consenso via e-mail?

Prima dell'entrata in vigore del GDPR (25 maggio 2018), consigliavamo di inviare una campagna per la conferma dell'autorizzazione a tutte le persone iscritte nell'UE. Tuttavia, ora che il GDPR è in vigore, non suggeriamo più questa prassi. Prima di contattare i clienti o gli iscritti esistenti per cui non puoi dimostrare l'opt-in esplicito, consulta i tuoi legali.

Come possiamo dimostrare il consenso, compreso il giorno in cui una persona iscritta ha effettuato l'opt-in?

Klaviyo consiglia il doppio opt-in per le iscrizioni e-mail. Per dimostrare il consenso, conserva il testo presentato all'iscritto nel modulo, nell'e-mail o nella pagina web in cui ha fornito il consenso, insieme alla data e all'ora in cui ha dato il consenso e a ciò a cui ha acconsentito esattamente. Consulta il tuo team legale per eventuali requisiti di opt-in specifici per paese.

Per i campi e-mail sui nostri siti web, dobbiamo aggiungere altre caselle di controllo che la clientela deve spuntare prima di inviare i propri dati?

Klaviyo offre moduli conformi al GDPR con più caselle di controllo, ideali per ottenere un consenso granulare (ad es. il consenso separato per il marketing via e-mail e per il marketing su Facebook).

Quando crei da zero un modulo d'iscrizione popup, flyout, incorporato o a pagina intera, attiva Abilita campi per la protezione dei dati. Personalizza la lingua e le caselle di controllo per il tuo programma di marketing e fai revisionare il tutto dal tuo team legale prima di pubblicare il modulo. Se raccogli informazioni personali sui consumatori UE attraverso altre piattaforme, dovrai apportare le dovute modifiche anche su tali piattaforme.

Se usi una casella di controllo personalizzata per raccogliere il consenso per le e-mail, usa la sua Proprietà del profilo per creare un segmento di iscritti che l’hanno selezionata. Assegna alla casella di spunta una proprietà personalizzata dedicata invece di $consent. Klaviyo aggiunge automaticamente e-mail a $consent quando qualcuno si iscrive, quindi quel valore da solo non mostra una scelta. Invia i contenuti di marketing a quel segmento e aggiungi un filtro corrispondente ai tuoi flussi di marketing. Il valore salvato di una casella di controllo personalizzata non determina se l’invio del modulo iscrive qualcuno al marketing via e-mail.

Quali tipi di dati personali trattate, dove sono ospitati, con chi li condividete e per quanto tempo li conservate?

Le informazioni sui dati che trattiamo e sulle misure che adottiamo per proteggerli sono riportate nel nostro Accordo sul trattamento dei dati (DPA). L'Allegato 1 descrive le categorie di dati e le finalità del trattamento. Le misure di sicurezza sono descritte nell’Allegato 2. Puoi anche leggere i nostri Termini di servizio per intero.

Dobbiamo aggiornare le clausole in piccolo quando acquisiamo e-mail che includono informazioni sul modo in cui i dati vengono archiviati in Klaviyo?

Sì, le clausole in piccolo devono essere aggiornate per riflettere le seguenti indicazioni per la clientela UE esistente e potenziale:

• Usa un linguaggio chiaro e facile da capire.
• Specifica perché vuoi i dati e cosa intendi farne.
• Cita la tua organizzazione ed eventuali elaboratori terzi a cui ti affiderai.
• Fai sapere alle persone che possono revocare il consenso.

Per rispettare il GDPR devo inviare le e-mail di opt-in nella lingua locale?

Non necessariamente. I requisiti specifici possono variare da Paese a Paese, quindi ti consigliamo di consultare i tuoi legali in merito ai requisiti specifici di ciascun Paese. Comunque, Klaviyo fornisce una lingua di opt-in predefinita in diverse lingue.

Devo ottenere il consenso per tutti i dati personali dei consumatori?

Per i dati personali che non rientrano in una categoria speciale, esistono diverse possibili basi giuridiche per il trattamento, incluso il consenso. Il GDPR elenca diverse eccezioni al suo divieto generale di trattare dati appartenenti a categorie speciali, incluso il consenso esplicito. Tuttavia, l’ Informativa sull’uso accettabile di Klaviyo vieta di raccogliere, archiviare o trattare in Klaviyo dati appartenenti a categorie speciali, come le informazioni sulla salute, anche se hai il consenso.

Altre basi giuridiche per il trattamento dei dati personali che non rientrano in una categoria speciale includono:

• Il trattamento è necessario per l'esecuzione di un contratto o per prendere provvedimenti su richiesta della persona interessata prima di stipulare un contratto.
• Il trattamento è necessario per l'adempimento di un obbligo legale.
• Il trattamento è necessario per preservare gli interessi vitali della persona interessata o di un'altra persona.
• Il trattamento è necessario per i legittimi interessi dell'azienda e tali interessi non sono superati dagli interessi o dai diritti fondamentali della persona interessata.
• Il trattamento è necessario per un compito svolto nell'interesse pubblico o per l'adempimento delle responsabilità di un pubblico ufficiale.

Ti consigliamo di consultare i tuoi legali per stabilire la base legale appropriata per il trattamento dei dati da parte della tua organizzazione.

Potete anonimizzare i miei dati in modo che io possa visualizzare un profilo ma non vedere le informazioni di identificazione personale?

Klaviyo non offre un modo per visualizzare una versione anonimizzata di un profilo esistente. Quando elimini un profilo, le informazioni identificative nella relativa cronologia degli eventi vengono oscurate, mentre i dati evento (ad es. eventi Placed Order) rimangono nell’account per preservare l’accuratezza delle metriche di performance. I dati esportati possono essere resi anonimi al di fuori di Klaviyo; esportarli non rende anonimo il profilo nel tuo account.

L’eliminazione del profilo è permanente. Puoi eliminare un profilo e registrare la richiesta sulla privacy dei dati. Nella finestra di dialogo di eliminazione, seleziona Elimina profilo in conformità con la richiesta sulla privacy dei dati prima di confermare l’eliminazione. Puoi anche esportare tutti i dati di un determinato profilo se richiesto da uno dei tuoi contatti.

Un'e-mail per carrello abbandonato è conforme al GDPR?

La risposta a questa domanda non è del tutto chiara. Tuttavia, molte organizzazioni ritengono che sia ancora possibile inviare e-mail per carrello abbandonato senza consenso esplicito per le comunicazioni di marketing, sulla base del legittimo interesse. Potresti considerare un'e-mail di carrello abbandonato come una comunicazione pertinente all'intento esplicito di completare una transazione con la tua azienda. Altre e-mail attivate, come l'abbandono della navigazione e i winback, invece, potrebbero non essere consentite a meno che in precedenza la clientela non abbia acconsentito a ricevere e-mail di marketing da te secondo modalità conformi al GDPR.

Detto questo, l'applicabilità degli interessi legittimi o di qualsiasi altra base giuridica dipenderà dalle circostanze particolari, tra cui, ad esempio, il numero e la frequenza delle e-mail e il tempo trascorso dall'abbandono del carrello. Ti consigliamo vivamente di consultare i tuoi legali in merito alle tue campagne e-mail per verificare che siano conformi alle leggi vigenti.

L'utilizzo di Google Fonts è conforme al GDPR?

L'utilizzo di Google Fonts può causare problemi di conformità al GDPR, in quanto il server di Google necessita dell'indirizzo IP del destinatario per consegnare i caratteri. Secondo il GDPR, un indirizzo IP si qualifica come informazione personale, che può essere utilizzata per identificare l'utente. Tieni presente che inserendo Google Fonts nella tua libreria di caratteri, si ritiene che tu stia utilizzando Google Fonts.

In alternativa a Google Fonts, Klaviyo fornisce una selezione di caratteri ospitati in Klaviyo da utilizzare nei moduli d'iscrizione, nelle pagine di consenso e nelle e-mail. Il caricamento di questi font non invia l’indirizzo IP della persona che visita il sito o del destinatario a Google. Se passi ai font ospitati da Klaviyo, aggiorna i font nei contenuti esistenti e rimuovi anche Google Fonts dalla libreria di font.

Risorse aggiuntive