Aktuálně se nás stále více ptáte na GDPR a jeho vztah k online marketingu. Dle všeho, co jsme zatím dokázali posbírat, doporučujeme našim klientům pro účely online marketingu projít těchto 8 kroků. Před aplikací každého z kroků se poraďte se svým právníkem, který bude řešit případné problémy. Potřeby vaší firmy nebo charakter zpracovaných dat může vyžadovat jiné zacházení. Nejsme právníci, pouze s vámi sdílíme náš názor.
Než se do toho pustíme, chtěli bychom vymezit, že s GDPR v zásadě souhlasíme. A to navzdory tomu, že po aplikaci všech doporučení se klientské retargetingové seznamy o 80 % zmenšily. EU se snaží narovnat divočinu ve zpracování osobních údajů a chránit každého z nás. Ochrana osobních údajů by se měla stát pro každou firmu jednou z priorit, a také se možná stane i otázkou prestiže „Jsme GDPR friendly“ apod.
1. Eliminujte riziko úniku dat
Odstraňte data a seznamy, které již mít nepotřebujete. Staré účty Google Analytics, databáze klientů ze soutěží z roku 2009 atd. Nezapomeňte zabezpečit a zašifrovat svá zařízení a zařízení zaměstnanců. Více naleznete v článku Jak zabezpečit svůj notebook a mobil před nomádskou dovolenou.
2. Zdokumentujte, jaké osobní údaje s kým vyměňujete
Pro účely online marketingu bude stačit jednoduchá tabulka se sloupci:
Pozor, zpracovatelem je každý, kdo se může dostat k osobním údajům. Tedy i e-mailingový software, e-mailový poskytovatel, všechny analytické programy nebo hosting pro web.
3. Zpracovatelské smlouvy
Zpracování osobních údajů může probíhat pouze na základě smlouvy.
Zpracovatelské smlouvy je možné si vygenerovat na webu služby. Například toto jsou zpracovatelské smlouvy od:
- Hotjar
- Google Analytics – přijmout tento dodatek můžete v Google Analytics – Účet – úplně dole
- MailChimp
- Sklik – Sklik nedávno oznámil, že GDPR se retargetingu vlastně vůbec nedotkne, jelikož neshromažďují osobní údaje. Ve skupině GDPR v online marketingu bylo toto tvrzení zpochybněné, ale Seznam si za ním, zdá se, stojí.
Zpracovatelská smlouva Marketing Makers
I s námi je nutné podepsat zpracovatelskou smlouvu. Prosíme, stáhněte si, vytiskněte a podepište následující dodatek:
- Varianta 1 – pokud pro nemáme přístup k jiným osobním údajům než IP adresa a cookies – děláme pouze webovou analytiku a PPC
- Varianta 2 – pokud se dostaneme i k jiným osobním údajům – řešíme např. i e-mailing, automatizaci nebo máme přístup do CRM
Tuto smlouvu je s námi nutné podepsat i tehdy, pokud spolupráce nyní aktivně neprobíhá, ale máme přístup k vašim datům.
Návrh smlouvy jsme vám poslali e-mailem. Pokud jste ji nedostali, napište nám.
4. Nutná byrokracie na webových stránkách
Uděláme za vás:
- Přidejte na web cookie lištu, která umožňuje přijmout nebo odmítnout cookies.
- Nastavte, aby se marketingové pixely, služby retargetingu a sběr osobních dat aktivoval pouze tehdy, když uživatel poskytne souhlas – již máme vyvinutý Google Tag Manager kontejner, který dokáže vše pro vás zařídit. Aktuálně jej testujeme. Změny v GTM dokážeme pro naše klienty realizovat v rozsahu 2 – 6 hodin – v závislosti na rozsahu kontejneru a nutnosti úprav. Vše budeme realizovat v první polovině května.
Připravte pro nás s vaším právníkem:
- Vytvořte politiku pro využívání cookies – zde si můžete stáhnout šablonu v několika jazycích přímo z ec.europa.com
- Vytvořte souhlas se zpracováním osobních údajů při přihlášení k newsletteru nebo při odeslání poptávky. S vývojářem zařiďte, že tento souhlas bude uživatele vždy potvrzovat. Doporučujeme zvlášť vytvořit souhlas pro poptávky a souhlas pro newsletter, jelikož rozsah údajů se liší. Stáhněte si vzor od společnosti eLegal.
- Pouze pro jistotu, ujistěte se, že všechna zpracování osobních údajů jste nahlásili přes tento formulář Úřadu pro ochranu osobních údajů.
5. Newsletter a registrace
- Pro přihlášení k newsletteru a registraci doporučujeme využívat double-opt-in. Uživatel musí vždy ještě potvrdit svůj zájem o registraci nebo newsletter přímo v e-mailu. Tato metoda je jediná nezpochybnitelná – není možné přihlášení podvrhnout.
- Zároveň je nutné evidovat čas potvrzení.
- Pokud na webu vyměňujete ebook za e-mail přestaňte toto využívat. Souhlas se zpracováním osobních údajů by neměl být za cokoliv vyměňován. Umožněte uživateli stáhnout ebook a navíc mu dejte možnost získávat novinky.
6. E-mailová databáze
- Ujistěte se, že jste schopní identifikovat, kdy vám poskytly souhlas kontakty ve vaší e-mailové databázi. Pokud nejste schopní určit, musíte je požádat o znovu poskytnutí souhlasu.
- Vymazat byste měli kontakty, kde byl souhlas součástí soutěží nebo byl skrytý někde hluboko v obchodních podmínkách nebo jinde, kde by jej uživatel neočekával.
- Také je nutné počítat s tím, že neexistuje nic jako neomezený souhlas. Souhlas pro marketingové účely by neměl dle doporučení na konferenci GDPR pro eshopy přesáhnout 3 roky. Starší kontakty v databázi rovněž doporučujeme požádat o znovu potvrzení souhlasu nebo odstranit.
7. Další služby a skripty třetích stran
Pokud používáte jakékoliv řešení od třetí strany pro cokoliv, co je na webu, ověřte si, jaká data sbírají a jaká cookie ukládají.
- Like a sdílecí buttony (nebo AddThis)- zde si můžete přečíst více o aféře, kde německý soud rozhodl v neprospěch Facebook Like buttonu, který sbíral data návštěvníků – doporučujeme používat metodu sdílení s sharer.php, která nezavádí žádná cookie.
- Komentářové moduly (Facebook komentáře, Disqus)
- Pop-upy, lišty (Icegram)
- Landing pages
- Kontaktní formuláře (Google Forms, Sumo)
- Mapy (Google Maps)
- Videa (YouTube, Vimeo)
- Prezentace (Slideshare)
- Cokoliv na bázi iframe (často počasí, kurzy měn)
- Push notifikace (Onesignal)
Jakýkoliv skript nebo iframe má možnost sledovat uživatele vašich stránek. A záleží pouze na této společnosti, zda a jak tuto možnost využívá. I když ji nevyužívá, měli byste vědět, že má tu možnost.
Pozor na i na pluginy redakčních systémů – instalujte pouze ověřené a aktualizované pluginy od známých vývojářů.
8. Úprava košíku u eshopu
Pokud jste e-shop, doporučujeme, zrevidujte své obchodní podmínky s právníkem. Inspirovat se můžete vzorem na APEK.CZ.
Aktualizujte proces v košíku – uživatel musí souhlasit s obchodními podmínkami a musí být poučen o zpracování osobních údajů pro účely objednávky (zde stačí poučení, jelikož bez osobních údajů nemůže být dokončena objednávka). Pokud uživatel navíc vyjádří souhlas dostávat newsletter, musí souhlasit ještě se zpracováním pro tento účel. Pokud po uživateli žádáte údaje, které jsou nad rámec nezbytných údajů pro zpracování objednávky, doporučujeme souhlas pro tyto údaje oddělit.
Celé potvrzení objednávky tedy může vypadat takto:
Pokud jste členové APEK, doporučujeme jejich checklisty a další materiály.
Ještě jednou doporučujeme, konzultujte každý z výše popsaných kroků se svým právním zástupcem. GDPR zdar!
