Vanliga frågor om GDPR

Du kommer att lära dig

Lär dig hur GDPR hänger ihop med samtycke, begäranden om kunddata och verktygen du använder i Klaviyo.

GDPR står för General Data Protection Regulation, en EU-förordning som antogs 2016 och som trädde i kraft den 25 maj 2018. Den reglerar hur personuppgifter behandlas av företag som är etablerade i EU, samt företag utanför EU som erbjuder varor eller tjänster till personer i EU eller övervakar deras beteende där. Mer information om GDPR finns i vår bloggserie.

Är det lagligt för mig att överföra data från min europeiska kund till Klaviyo?

GDPR erkänner flera rättsliga mekanismer för att överföra personuppgifter ut ur EU. Klaviyo är självcertifierat enligt Data Privacy Framework och använder det för överföringar så länge det erkänns som en giltig överföringsmekanism i den relevanta regionen. Standardavtalsklausuler gäller som en reservlösning, enligt beskrivningen i vårt personuppgiftsbiträdesavtal, som ingår i våra tjänstevillkor. Vi rekommenderar att du rådgör med ditt juridiska team för att fastställa lämplig överföringsmekanism för eventuella dataöverföringar som din organisation kan komma att göra.

Om vi inte kan bevisa uttryckligt samtycke till registrering för äldre profiler, finns det då ett sätt att bekräfta samtycke via e-post?

Innan GDPR trädde i kraft (25 maj 2018) rekommenderade vi att skicka en kampanj till alla dina prenumeranter i EU. Nu när GDPR har trätt i kraft rekommenderar vi dock inte längre denna metod. Innan du kontaktar någon av dina befintliga kunder eller prenumeranter för vilka du inte kan bevisa uttryckligt samtycke, bör du rådfråga ditt juridiska team.

Hur kan vi bevisa samtycke, inklusive den dag då en prenumerant registrerade sig?

Klaviyo rekommenderar dubbel opt-in för e-postprenumerationer. För att kunna visa samtycke ska du spara den formulering som presenterades för prenumeranten i formuläret, e-postmeddelandet eller på webbsidan där de gav sitt samtycke, tillsammans med datum och tid för när de gav sitt samtycke och exakt vad de godkände. Rådgör med ditt juristteam om eventuella landspecifika krav för opt-in.

Behöver vi lägga till fler kryssrutor i e-postfälten på våra webbplatser, för kunder att kryssa i innan de skickar in sina uppgifter?

Klaviyo tillhandahåller GDPR-kompatibla formulär med flera kryssrutor, vilket möjliggör detaljerat samtycke (t.ex. separat samtycke för e-postmarknadsföring och Facebook-marknadsföring).

När du skapar ett popup-, flyout-, inbäddat eller helsides registreringsformulär från grunden ska du aktivera Aktivera data skyddsfält. Anpassa språket och kryssrutorna för ditt marknadsföringsprogram och låt ditt juridiska team granska dem innan du publicerar formuläret. Om du samlar in personuppgifter om konsumenter i EU via andra plattformar måste du också göra ändringar på dessa plattformar.

Om du använder en anpassad kryssruta för att samla in samtycke till e-post ska du använda dess profilegenskaper för att skapa ett segment av prenumeranter som valde den. Tilldela kryssrutan en egen anpassad egenskap i stället för $consent. Klaviyo lägger automatiskt till e-post i $consent när någon prenumererar, så bara det värdet visar inte ett val. Skicka marknadsföring till det segmentet och lägg till ett matchande filter i dina marknadsföringsflöden. Det sparade värdet för en anpassad kryssruta styr inte om inskickandet av formuläret gör att någon börjar prenumerera på e-postmarknadsföring.

Vilka typer av persondata behandlar du, var lagras de, vem delas de med och hur länge sparas de?

Information om data som vi behandlar och de åtgärder vi vidtar för att skydda den finns i vårt databehandlingsavtal (DPA). Bilaga 1 beskriver datakategorierna och ändamålen med behandlingen. Säkerhetsåtgärder beskrivs i bilaga 2. Du kan också läsa om våra tjänstevillkor.

Ska vi uppdatera det finstilta när vi samlar in e-post som innehåller information om hur deras data lagras i Klaviyo?

Ja, det finstilta bör uppdateras för att återspegla följande vägledning för potentiella och nuvarande EU-kunder:

• Använd ett klart och tydligt språk som är lätt att förstå
• Ange varför du vill ha data och vad du ska göra med den
• Namnge din organisation och eventuella tredjepartsbehandlare som du kommer att använda
• Informera enskilda personer om att de kan återkalla sitt samtycke

Måste jag tillhandahålla opt-in-e-post på det lokala språket för att följa GDPR?

Inte nödvändigtvis. De specifika kraven kan variera från land till land, så vi rekommenderar att du konsulterar ditt juridiska team om landsspecifika krav, men Klaviyo tillhandahåller standardvarianter av opt-in-e-post på flera språk.

Måste jag inhämta samtycke för alla personliga data från konsumenter?

För personuppgifter som inte tillhör en särskild kategori finns det flera möjliga rättsliga grunder för behandling, bland annat samtycke. GDPR listar flera undantag från sitt generella förbud mot behandling av uppgifter i särskilda kategorier, bland annat uttryckligt samtycke. Klaviyo’s policy för godtagbar användning förbjuder dock att samla in, lagra eller behandla uppgifter i särskilda kategorier, till exempel hälsoinformation, i Klaviyo även om du har samtycke.

Andra rättsliga grunder för att behandla personuppgifter som inte tillhör en särskild kategori inkluderar:

• Behandlingen är nödvändig för att fullgöra ett avtal eller för att vidta åtgärder på begäran av den registrerade innan ett avtal ingås
• Behandlingen är nödvändig för att uppfylla en rättslig förpliktelse
• Behandlingen är nödvändig för att skydda den registrerades eller en annan persons vitala intressen
• Behandlingen är nödvändig för verksamhetens legitima intressen och dessa intressen vägs inte upp av intressena eller de grundläggande rättigheter hos den registrerade
• Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller för att fullgöra en offentlig tjänstemans skyldigheter

Vi rekommenderar att du rådgör med ditt juridiska team för att fastställa lämplig laglig grund för din organisations behandling av data.

Kan ni anonymisera min data så att jag kan se en profil men inte se den personligt identifierbara informationen?

Klaviyo erbjuder inget sätt att visa en anonymiserad version av en befintlig profil. När du tar bort en profil anonymiseras identifierande information i profilens händelsehistorik, medan händelsedata (t.ex. Placed Order -händelser) finns kvar i Kontot för att bevara noggrannheten i mättal för prestanda. Exporterade data kan anonymiseras utanför Klaviyo. Att exportera dem anonymiserar inte profilen i ditt Konto.

Profilborttagning är permanent. Du kan radera en profil och registrera begäran om dataintegritet. I raderingsdialogrutan väljer du Radera profil i enlighet med Efterlevnad med begäran om dataintegritet innan du bekräftar raderingen. Du kan också exportera alla data för en viss profil om någon av dina kontakter begär det.

Är e-post om övergiven kundvagn GDPR-kompatibel?

Svaret på denna fråga är inte helt klart, men många organisationer anser att du fortfarande kan skicka övergiven kundvagn-e-post utan uttryckligt samtycke för marknadsföringskommunikation på grundval av legitimt intresse. Du kanske kan betrakta ett e-postmeddelande om övergiven kundvagn som en kommunikation som är relevant för den uttryckliga avsikten att genomföra en transaktion med ditt företag. Andra utlösta e-postmeddelanden, såsom övergiven surfning och kundåterföring, kan å andra sidan inte vara tillåtna om inte kunden tidigare har samtyckt till att få marknadsförings-e-postmeddelanden från dig på ett GDPR-kompatibelt sätt.

Tillämpligheten av legitima intressen eller någon annan rättslig grund kommer dock att bero på de särskilda omständigheterna, inklusive, till exempel, antalet och frekvensen av e-postmeddelanden och den tid som har förflutit sedan kundvagnen övergavs. Vi rekommenderar starkt att du rådgör med ditt juridiska team om dina e-postkampanjer för att bekräfta att de är förenliga med gällande lagstiftning.

Är det GDPR-kompatibelt att använda Google Fonts?

Att använda Google Fonts kan orsaka problem med efterlevnaden av GDPR eftersom Googles server behöver mottagarens IP-adress för att leverera teckensnitt. Enligt GDPR är en IP-adress en personuppgift som kan användas för att identifiera användaren. Observera att om du inkluderar Google Fonts i ditt teckensnittsbibliotek anses du använda Google Fonts.

Som ett alternativ till Google Fonts tillhandahåller Klaviyo ett urval av teckensnitt som finns på Klaviyo för användning i registreringsformulär, samtyckessidor och e-post. Att läsa in de här typsnitten skickar inte besökarens eller mottagarens IP-adress till Google. Om du byter till typsnitt som är värdbaserade hos Klaviyo ska du även uppdatera typsnitten i ditt befintliga innehåll och ta bort Google Fonts från ditt typsnittsbibliotek.

Ytterligare resurser