Często zadawane pytania dotyczące RODO

Czego się dowiesz?

Dowiedz się, jak RODO wiąże się ze zgodą, żądaniami klientów dotyczącymi danych oraz narzędziami, których używasz w Klaviyo.

Ogólne rozporządzenie o ochronie danych (RODO) to unijne rozporządzenie przyjęte w 2016 r., które weszło w życie 25 maja 2018 r. Reguluje ono przetwarzanie danych osobowych przez firmy mające siedzibę w UE, a także firmy spoza UE, które oferują towary lub usługi osobom w UE lub monitorują ich zachowanie na jej terytorium. Więcej informacji na temat RODO znajdziesz na naszym blogu.

Czy przenoszenie do Klaviyo danych europejskich klientów jest zgodne z prawem?

W RODO uwzględniono kilka mechanizmów prawnych umożliwiających przekazywanie danych osobowych poza UE. Klaviyo jest samocertyfikowane w ramach Data Privacy Framework i korzysta z niego przy przekazywaniu danych, dopóki jest on uznawany za ważny mechanizm przekazywania w danym regionie. Standard klauzule umowne mają zastosowanie jako rozwiązanie awaryjne, zgodnie z opisem w naszej umowie powierzenia przetwarzania danych, która stanowi część naszych warunków świadczenia usług. Aby wybrać odpowiedni mechanizm przekazywania danych na potrzeby wszelkich operacji tego typu, które może przeprowadzać Twoja organizacja, zalecamy skonsultowanie się ze swoim zespołem prawnym.

Jeśli w przypadku starszych profili nie można udowodnić wyraźnej zgody opt-in, czy można uzyskać ją za pośrednictwem e-maila?

Zanim 25 maja 2018 r. weszło w życie RODO, sugerowaliśmy naszym użytkownikom, by wszystkim znajdującym się w UE subskrybentom wysyłać kampanię dotyczącą odnowienia zgody marketingowej. Wraz z pojawieniem się RODO przestaliśmy zalecać tę praktykę. Zanim skontaktujesz się z istniejącymi klientami lub subskrybentami, w przypadku których nie można udowodnić wyraźnej zgody opt-in, warto skonsultować się ze swoim zespołem prawnym.

Jak udowodnić zgodę marketingową łącznie z jej datą?

Klaviyo zaleca podwójną zgodę opt-in w przypadku subskrypcji e-mail. Aby wykazać zgodę, zachowaj treść, którą przedstawiono subskrybentowi w formularzu, e-mailu lub na stronie internetowej, na której wyraził zgodę, wraz z datą i godziną wyrażenia zgody oraz dokładną treścią tego, na co się zgodził. Skonsultuj się ze swoim zespołem prawnym w sprawie wszelkich wymagań dotyczących zgody opt-in specyficznych dla danego kraju.

Czy w przypadku pól na adres e-mail na naszych stronach musimy dodawać więcej pól wyboru, które klient musi zaznaczyć przed przesłaniem swoich danych?

Klaviyo udostępnia formularze zgodne z RODO z wieloma polami wyboru, co umożliwia wyrażanie szczegółowej zgody (tzn. oddzielnej zgody na marketing e-mailowy i marketing na Facebooku).

Podczas tworzenia od podstaw wyskakującego formularza rejestracyjnego, rozwijanego poziomo, osadzonego lub pełnoekranowego formularza rejestracyjnego włącz opcję Włącz pola ochrony danych. Dostosuj język i pola wyboru w swoim programie marketingowym, a przed opublikowaniem formularza poproś swój zespół prawny o ich sprawdzenie. Jeśli dane osobowe dotyczące konsumentów z UE zbierasz za pośrednictwem innych platform, zmiany będzie trzeba koniecznie wprowadzić również na nich.

Jeśli używasz niestandardowego pola wyboru do zbierania zgody na e-mail, użyj jego właściwości profilu, aby utworzyć segment subskrybentów, którzy je zaznaczyli. Przypisz polu wyboru własną niestandardową właściwość zamiast $consent. Klaviyo automatycznie dodaje wartość email do $consent, gdy ktoś subskrybuje, więc sama ta wartość nie wskazuje na wybór. Wysyłaj marketing do tego segmentu i dodaj pasujący filtr do swoich marketingowych sekwencji. Zapisana wartość niestandardowego pola wyboru nie kontroluje tego, czy wysłanie formularza subskrybuje kogoś do marketingu e-mailowego.

Jakie rodzaje danych osobowych są przetwarzane, gdzie są hostowane, komu są udostępniane i jak długo są trzymane?

Informacje o danych, które przetwarzamy, oraz o środkach, które podejmujemy, aby je chronić, znajdziesz w naszej umowie powierzenia przetwarzania danych (DPA). Załącznik 1 opisuje kategorie danych oraz cele przetwarzania. Środki bezpieczeństwa opisano w Załączniku 2. Możesz też przeczytać całą treść naszych warunków świadczenia usług.

Czy w przypadku zbierania adresów e-mail powinniśmy również aktualizować treść warunków, które zawierają wszelkie informacje o zasadach przechowywania danych klientów w Klaviyo?

Tak. Treść warunków powinna być zaktualizowana w taki sposób, aby odzwierciedlała wytyczne dla potencjalnych klientów i klientek z UE:

• Używaj przejrzystego, prostego i zrozumiałego języka.
• Określ, do czego potrzebne Ci są dane i co zamierzasz z nimi zrobić.
• Podaj nazwę swojej organizacji oraz wszelkich zewnętrznych administratorów danych, którym będziesz powierzać dane.
• Poinformuj osoby, że mogą wycofać swoją zgodę w tym względzie.

Czy aby zapewnić zgodność z RODO, muszę wysyłać e-mail ze zgodą opt-in w lokalnym języku użytkownika?

Niekoniecznie. Poszczególne wymagania w tym względzie mogą się różnić w zależności od kraju, dlatego w sprawie wymagań obowiązującym w Twoim kraju najlepiej skonsultować się ze swoim zespołem prawnym. Klaviyo zapewnia domyślną treść zgody opt-in w kilku językach.

Czy muszę uzyskać od konsumentów zgodę dotyczącą wszystkich danych osobowych?

W przypadku danych osobowych, które nie należą do szczególnej kategorii, istnieje kilka możliwych podstaw prawnych przetwarzania, w tym zgoda. RODO wymienia kilka wyjątków od ogólnego zakazu przetwarzania danych szczególnych kategorii, w tym wyraźną zgodę. Jednak Polityka dopuszczalnego użytkowania Klaviyo zabrania zbierania, przechowywania lub przetwarzania danych szczególnych kategorii, takich jak informacje o stanie zdrowia, w Klaviyo — nawet jeśli masz zgodę.

Inne podstawy prawne przetwarzania danych osobowych, które nie należą do szczególnej kategorii, obejmują:

• Przetwarzanie danych jest niezbędne do realizacji umowy lub do by przed zawarciem umowy podjąć działania na wniosek osoby, której dane dotyczą.
• Przetwarzanie danych jest niezbędne do wywiązania się z obowiązku prawnego.
• Przetwarzanie danych jest niezbędne do ochrony istotnych interesów osoby, której dane dotyczą, lub kogoś innego.
• Przetwarzanie danych jest niezbędne na potrzeby uzasadnionych interesów firmy, które nie mają przewagi nad interesami lub podstawowymi prawami osoby, której dane dotyczą.
• Przetwarzanie danych jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub do wypełnienia obowiązków urzędnika państwowego.

Aby ustalić odpowiednią podstawę prawną do przetwarzania danych przez Twoją organizację, najlepiej skonsultować się ze swoim zespołem prawnym.

Czy mogę zanonimizować dane po to, aby wyświetlić profil bez ujawniania informacji umożliwiających identyfikację tej osoby?

Klaviyo nie umożliwia wyświetlenia zanonimizowanej wersji istniejącego profilu. Gdy usuniesz profil, informacje identyfikujące w jego historii zdarzeń zostaną zredagowane, a dane zdarzeń (np. zdarzenia Placed Order) pozostaną na koncie, aby zachować dokładność metryk wydajności. Wyeksportowane dane można zanonimizować poza Klaviyo; samo ich eksportowanie nie anonimizuje profilu na Twoim koncie.

Usunięcie profilu jest nieodwracalne. Możesz usunąć profil i zarejestrować wniosek o ochronę prywatności danych. W oknie dialogowym usuwania wybierz Usuń profil zgodnie z zgodnością z przepisami dotyczącą żądania poufności danych przed potwierdzeniem usunięcia. Możesz też wyeksportować wszystkie dane dotyczące danego profilu, jeśli poprosi o to którykolwiek z twoich kontaktów.

Czy e-mail w sprawie porzuconego koszyka zakupowego jest zgodny z RODO?

Trudno jednoznacznie odpowiedzieć na to pytanie. Wiele organizacji uważa jednak, że e-maile w sprawie porzuconego koszyka zakupowego można wysyłać bez wyraźnej zgody na komunikację marketingową. W takim podejściu zakłada się, że podstawą tej komunikacji jest uzasadniony interes odbiorcy. E-mail w sprawie porzuconego koszyka zakupowego można uznać za komunikację związaną z wyraźnym zamiarem sfinalizowania transakcji z Twoją firmą. Inne automatycznie uruchamiane wiadomości takie jak e-maile z sekwencji porzuconego przeglądania czy odzyskiwania klientów, mogą być niedozwolone, chyba że klient wcześniej w sposób zgodny z RODO wyraził zgodę na otrzymywanie od Ciebie e-maili marketingowych.

Możliwość zastosowania reguły uzasadnionego interesu lub innej podstawy prawnej zawsze zależeć będzie od konkretnych okoliczności, w tym na przykład od liczby i częstotliwości e-maili oraz czasu, jaki upłynął od porzucenia koszyka. Zdecydowanie zalecamy, by w sprawie kampanii e-mailowych skonsultować się ze swoim zespołem prawnym, aby potwierdzić, że są one zgodne z obowiązującym prawem.

Czy korzystanie z usługi Google Fonts jest zgodne z RODO?

Ponieważ do dostarczania czcionek serwer Google wymaga adresu IP odbiorcy, korzystanie z usługi Google Fonts może powodować problemy ze zgodnością z RODO. Według rozporządzenia adres IP kwalifikuje się jako dane osobowe, które można wykorzystać do identyfikacji użytkownika. Pamiętaj, że jeśli do biblioteki czcionek dodasz usługę Google Fonts, będzie to oznaczać, że korzystasz z tej usługi.

Jako rozwiązanie alternatywne dla Google Fonts Klaviyo zapewnia wybór czcionek hostowanych w Klaviyo, które można wykorzystać w formularzach rejestracyjnych, na stronach do pozyskiwania zgody marketingowe i w e-mailach. Wczytywanie tych czcionek nie przesyła adresu IP odwiedzającego ani odbiorcy do Google. Jeśli przełączysz się na czcionki hostowane przez Klaviyo, zaktualizuj czcionki w swoich istniejących treściach i usuń Google Fonts ze swojej biblioteki czcionek.

Dodatkowe źródła