Veelgestelde vragen over de AVG

Wat je leert

Ontdek hoe de AVG zich verhoudt tot toestemming, verzoeken van klanten over gegevens en de tools die je in Klaviyo gebruikt.

AVG staat voor de Algemene verordening gegevensbescherming, een EU-verordening die in 2016 is aangenomen en op 25 mei 2018 in werking is getreden. Het regelt de verwerking van persoonsgegevens door bedrijven die gevestigd zijn in de EU, evenals door bedrijven buiten de EU die goederen of diensten aanbieden aan mensen in de EU of hun gedrag daar monitoren. Lees onze blogserie voor meer informatie over de AVG.

Mag ik gegevens van mijn Europese klanten overbrengen naar Klaviyo?

De AVG erkent verschillende wettelijke mechanismen voor de overdracht van persoonsgegevens buiten de EU. Klaviyo is zelfgecertificeerd onder het Data Privacy Framework en gebruikt dit voor overdrachten zolang het in de relevante regio wordt erkend als een geldig overdrachtsmechanisme. Standard Contractual Clauses gelden als terugvaloptie, zoals beschreven in onze Data Processing Agreement, die is opgenomen in onze servicevoorwaarden. We adviseren je om je juridische team te raadplegen over het juiste overdrachtsmechanisme voor eventuele gegevensoverdrachten van je organisatie.

Als we geen expliciete toestemming hebben van oude profielen, is er dan een manier om via e-mail toestemming te bevestigen?

Voordat de AVG van kracht werd (25 mei 2018), adviseerden we inderdaad het verzenden van een campagne om abonnees binnen de EU opnieuw om toestemming te vragen. Nu de AVG van kracht is, adviseren we dit niet meer. Voordat je contact opneemt met bestaande klanten of abonnees van wie je geen expliciete toestemming kunt aantonen, kun je het beste eerst je juridische team om advies vragen.

Hoe tonen we toestemming aan en de dag waarop we deze hebben gekregen?

Klaviyo raadt dubbele toestemming aan voor e-mailabonnementen. Om toestemming aan te tonen, bewaar je de tekst die aan de abonnee is getoond in het formulier, de e-mail of op de webpagina waar ze toestemming hebben gegeven, samen met de datum en tijd waarop ze toestemming hebben gegeven en precies waarvoor ze toestemming hebben gegeven. Overleg met je juridische team over eventuele landspecifieke opt-in-vereisten.

Moeten we meer selectievakjes toevoegen aan de e-mailvelden op onze websites die klanten moeten aanvinken voordat hun gegevens worden ingediend?

Klaviyo verstrekt AVG-conforme formulieren met meerdere selectievakjes, die gedetailleerde toestemming mogelijk maken (bijv. afzonderlijke toestemming voor e-mailmarketing en Facebookmarketing).

Als je helemaal zelf een pop-up-, fly-out-formulier, ingesloten of aanmeldingsformulier voor een volledige pagina maakt, zet je Gegevensbeschermingsvelden inschakelen aan. Pas de taal en selectievakjes voor je marketingprogramma aan en laat je juridische team ze beoordelen voordat je het formulier publiceert. Als je persoonlijke informatie over consumenten in de EU verzamelt via andere platforms, moet je ook op die platforms wijzigingen doorvoeren.

Als je een aangepast selectievakje gebruikt om e-mailtoestemming te verzamelen, gebruik je de profieleigenschappen ervan om een segment te maken van abonnees die het hebben geselecteerd. Stuur marketing naar dat segment en voeg een overeenkomende filter toe aan je marketingflows. De opgeslagen waarde van een aangepast selectievakje bepaalt niet of het indienen van het formulier iemand aanmeldt voor e-mailmarketing.

Welke soorten persoonsgegevens verwerk je, waar worden ze gehost, met wie worden ze gedeeld en hoe lang worden ze bewaard?

Informatie over de gegevens die wij verwerken en de maatregelen die wij nemen om ze te beschermen, lees je in ons Addendum inzake gegevensverwerking (DPA). Bijlage 1 beschrijft de categorieën gegevens en de doeleinden van de verwerking. Beveiligingsmaatregelen worden uiteengezet in Bijlage 2. Je kunt ook onze volledige servicevoorwaarden lezen.

Moeten we de kleine lettertjes bijwerken wanneer we e-mails verzamelen die informatie bevatten over hoe gegevens van ontvangers in Klaviyo worden opgeslagen?

Ja, pas je kleine lettertjes voor (potentiële) EU-klanten aan zodat ze aan de volgende richtlijnen voldoen:

• Gebruik duidelijke, heldere taal die gemakkelijk te begrijpen is
• Geef aan waarom je de gegevens wilt verzamelen en wat je ermee gaat doen
• Noem je organisatie en eventuele externe verwerkers die je gaat gebruiken
• Vertel personen dat ze hun toestemming kunnen intrekken

Moet ik inschrijfmails in de lokale taal aanbieden om te voldoen aan de AVG?

Niet noodzakelijkerwijs. De specifieke vereisten kunnen van land tot land verschillen, dus we raden je aan om je juridische team te raadplegen over landspecifieke vereisten, maar Klaviyo biedt een standaardtekst voor toestemming in meerdere talen aan.

Moet ik toestemming vragen voor alle persoonsgegevens van consumenten?

Voor persoonsgegevens die niet onder een bijzondere categorie vallen, zijn er verschillende mogelijke rechtsgronden voor verwerking, waaronder toestemming. De AVG noemt verschillende uitzonderingen op het algemene verbod op het verwerken van gegevens uit bijzondere categorieën, waaronder uitdrukkelijke toestemming. Klaviyo’s Acceptable Use Policy verbiedt echter het verzamelen, opslaan of verwerken van gegevens uit bijzondere categorieën, zoals gezondheidsinformatie, in Klaviyo, zelfs als je toestemming hebt.

Andere rechtsgronden voor het verwerken van persoonsgegevens die niet in een bijzondere categorie vallen, zijn:

• De verwerking is noodzakelijk voor de uitvoering van een overeenkomst of om op verzoek van de betrokkene stappen te ondernemen voorafgaand aan het sluiten van een overeenkomst
• De verwerking is noodzakelijk voor naleving van een wettelijke verplichting
• De verwerking is noodzakelijk om de cruciale belangen van de betrokkene of van een andere persoon te beschermen
• De verwerking is noodzakelijk voor de legitieme belangen van het bedrijf en deze belangen zijn groter dan de belangen of fundamentele rechten van de betrokkene
• De verwerking is noodzakelijk voor een taak die in het algemeen belang wordt uitgevoerd of waarmee aan de verantwoordelijkheden van een openbare functionaris wordt voldaan

We adviseren je om je juridische team te raadplegen om de juiste wettelijke basis te bepalen voor de verwerking van gegevens door je organisatie.

Kunnen jullie mijn gegevens anonimiseren, zodat ik een profiel kan bekijken, maar niet de persoonlijk identificeerbare informatie zie?

Klaviyo biedt geen manier om een geanonimiseerde versie van een bestaand profiel te bekijken. Wanneer je een profiel verwijdert, wordt identificerende informatie in de gebeurtenisgeschiedenis geredigeerd, terwijl gebeurtenisgegevens (bijv. Placed Order -gebeurtenissen) in de account blijven om de nauwkeurigheid van prestatie-meetwaarden te behouden. Geëxporteerde gegevens kunnen buiten Klaviyo worden geanonimiseerd; het exporteren ervan anonimiseert het profiel in je account niet.

Het verwijderen van een profiel is permanent. Je kunt een profiel verwijderen en het verzoek om gegevensbescherming vastleggen. Selecteer in het verwijderingsvenster Profiel verwijderen in compliance met een verzoek om gegevensbescherming voordat je de verwijdering bevestigt. Je kunt ook alle gegevens van een bepaald profiel exporteren als een van je contactpersonen daarom vraagt.

Voldoet een e-mail over een verlaten winkelwagen aan de AVG?

Het antwoord hierop is niet helemaal duidelijk. Veel organisaties zijn echter van mening dat je zonder uitdrukkelijke toestemming voor marketingcommunicatie, nog steeds e-mails over verlaten winkelwagens kunt verzenden op basis van een legitiem belang. Je kunt een e-mail over een verlaten winkelwagen misschien beschouwen als communicatie die relevant is voor de uitdrukkelijke bedoeling om een transactie met je bedrijf tot stand te brengen. Andere getriggerde e-mails, zoals voor websiteverlaters en terugwinacties, zijn daarentegen mogelijk niet toegestaan, tenzij klanten vooraf, op een wijze die in overeenstemming is met de AVG, toestemming hebben gegeven om marketingmails van jou te ontvangen.

Dat gezegd hebbende, is de toepasbaarheid van legitieme belangen of enige andere wettelijke basis afhankelijk van de specifieke omstandigheden, waaronder bijvoorbeeld het aantal en de frequentie van de e-mails en de tijd die is verstreken sinds de winkelwagen werd verlaten. We raden je sterk aan om je juridische team te raadplegen over je e-mailcampagnes om te bevestigen dat ze voldoen aan de toepasselijke wetgeving.

Is het gebruik van Google-lettertypen in overeenstemming met de AVG?

Het gebruik van Google-lettertypen kan nalevingsproblemen met de AVG veroorzaken, omdat de server van Google het IP-adres van de ontvanger nodig heeft om lettertypen weer te geven. Volgens de AVG wordt een IP-adres beschouwd als persoonlijke informatie, die kan worden gebruikt om de gebruiker te identificeren. Let op: als je Google-lettertypen in je lettertypebibliotheek opneemt, wordt aangenomen dat je Google-lettertypen gebruikt.

Als alternatief voor Google-lettertypen biedt Klaviyo een selectie aan lettertypen die worden gehost in Klaviyo voor gebruik in je aanmeldingsformulieren, op je toestemmingspagina's en in e-mails. Het laden van deze lettertypen stuurt het IP-adres van de bezoeker of ontvanger niet naar Google. Als je overstapt op door Klaviyo gehoste lettertypen, werk dan ook de lettertypen in je bestaande content bij en verwijder Google Fonts uit je lettertypebibliotheek.

Aanvullende bronnen