Jeśli używasz narzędzia do automatycznych odpowiedzi na Allegro, przetwarzasz w nim dane osobowe kupujących: loginy, treść wiadomości, dane zamówień. Ten tekst tłumaczy, co z tego wynika, od strony praktycznej.
To nie jest porada prawna. Treść jest ogólna; w konkretnej sytuacji skonsultuj się z prawnikiem.
Kim jesteś według RODO
Jesteś administratorem danych swoich kupujących. To Ty decydujesz:
- po co przetwarzasz dane (realizacja zamówienia, obsługa kupującego),
- jak długo je trzymasz,
- komu je powierzasz (narzędzie do wiadomości, księgowość, hosting).
Narzędzie automatyzacji jest podmiotem przetwarzającym: działa na Twoje polecenie. Taka relacja wymaga umowy powierzenia przetwarzania danych (art. 28 RODO, po angielsku DPA).
Co musisz mieć
1. Umowę powierzenia (DPA)
Umowa może być osobnym dokumentem albo częścią regulaminu zawieranego elektronicznie. Według art. 28 ust. 3 RODO określa między innymi:
- przedmiot, czas, charakter i cel przetwarzania,
- rodzaj danych i kategorie osób,
- obowiązek działania na Twoje udokumentowane polecenie,
- poufność i środki bezpieczeństwa,
- zasady korzystania z dalszych podmiotów przetwarzających,
- pomoc przy żądaniach osób, których dane dotyczą,
- usunięcie albo zwrot danych po zakończeniu usługi,
- Twoje prawo do informacji i audytu.
W SkalujOnline: umowa powierzenia (wersja 1.3) jest dostępna pod /legal/dpa. Jest częścią umowy zawieranej na podstawie Regulaminu i zostaje zawarta w formie elektronicznej przy zakładaniu konta.
2. Wiedzę o dalszych podmiotach przetwarzających
Narzędzie korzysta z innych firm, na przykład z hostingu. RODO pozwala na to tylko za Twoją zgodą (szczegółową albo ogólną), a dalszy podmiot musi mieć te same obowiązki ochrony danych. Dostawca powinien podać Ci listę takich podmiotów i uprzedzać o zmianach.
W SkalujOnline: serwer działa w centrum danych w Unii Europejskiej (Hostinger). Gdy wybierzesz Silnik AI, dane potrzebne do odpowiedzi trafiają do dostawcy modelu językowego w USA (Anthropic). Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej (EU-US Data Privacy Framework), jeśli dostawca jest certyfikowany, albo standardowych klauzul umownych. O zamiarze dodania albo zmiany podmiotu informujemy e-mailem co najmniej 14 dni wcześniej. Pełna lista odbiorców danych jest w polityce prywatności.
Allegro nie jest naszym podmiotem przetwarzającym. To platforma, na której sprzedajesz; dane przepływają na podstawie zgody, którą dajesz przy połączeniu konta Allegro.
3. Sposób realizacji praw kupujących
Najczęściej spotkasz trzy prawa:
- Prawo do informacji (art. 13 i 14): kupujący powinien wiedzieć, kto i po co przetwarza jego dane. Twoja polityka prywatności powinna wymieniać narzędzia, którym powierzasz dane.
- Prawo dostępu (art. 15): kupujący może poprosić o informację o swoich danych i ich kopię.
- Prawo do usunięcia danych (art. 17): kupujący może zażądać usunięcia danych, chyba że musisz je przechowywać z innego powodu, na przykład podatkowego.
Żądanie kupujący kieruje do Ciebie jako administratora. Podmiot przetwarzający ma Ci pomóc je zrealizować.
W SkalujOnline:
- w „Moim koncie” pobierzesz plik z danymi swojego konta (format JSON),
- tam też usuniesz konto: dostęp i wysyłanie kończą się od razu, przez 30 dni możesz konto przywrócić, potem usuwamy dane, których nie musimy dalej przechowywać; w kopiach zapasowych mogą zostać do 14 dni,
- w sprawie danych konkretnego kupującego napisz na skalujonline.pl@gmail.com; umowa powierzenia zobowiązuje nas do pomocy przy takich żądaniach.
Czego zwykle nie potrzebujesz
Inspektora ochrony danych (IOD)
Obowiązek wyznaczenia IOD (art. 37 RODO) dotyczy organów publicznych oraz firm, których główna działalność polega na regularnym monitorowaniu osób na dużą skalę albo na przetwarzaniu na dużą skalę danych szczególnych kategorii. RODO nie wiąże go z liczbą pracowników ani zamówień. Typowy sklep na Allegro zwykle nie spełnia tych warunków, ale oceń to dla swojej działalności.
Corocznego „audytu RODO”
RODO nie nakazuje corocznego audytu. Wymaga za to, żebyś umiał wykazać, że przestrzegasz przepisów. W praktyce pomaga:
- polityka prywatności,
- umowy powierzenia z narzędziami zewnętrznymi,
- rejestr czynności przetwarzania (art. 30; zwolnienie dla firm poniżej 250 osób ma wyjątki, które zwykle obejmują stałe przetwarzanie danych klientów, więc sklepowi zwykle bezpieczniej go prowadzić),
- spisany sposób postępowania z żądaniami kupujących i z naruszeniami.
O co pytać dostawcę narzędzia
- „Czy macie umowę powierzenia?” Odpowiedź powinna brzmieć: tak, z treścią do przeczytania przed zakupem.
- „Gdzie są przechowywane dane?” Jeśli dane wychodzą poza Europejski Obszar Gospodarczy, zapytaj o podstawę przekazania.
- „Jak długo trzymacie dane po zakończeniu umowy i z kopii zapasowych?” Odpowiedź powinna podawać konkretne terminy.
- „Jak zabezpieczacie dane?” Co najmniej szyfrowane połączenie (HTTPS) i ochrona dostępu.
- „Kto jeszcze przetwarza dane?” Dostawca powinien podać listę dalszych podmiotów.
- „Jak wygląda eksport i usunięcie danych?”
Kary
Maksymalne kary określa art. 83 RODO: do 20 mln euro albo do 4% rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa. Wysokość kary w konkretnej sprawie zależy od okoliczności, między innymi wagi naruszenia, winy i współpracy z organem. Nie podajemy typowych kwot dla sklepów, bo nie mamy na to wiarygodnych danych.
Lista do sprawdzenia
- Mam politykę prywatności (na Allegro, na własnej stronie albo w obu miejscach).
- Polityka wymienia narzędzia, którym powierzam dane.
- Mam umowę powierzenia z każdym takim narzędziem.
- Wiem, gdzie są przechowywane dane i czy wychodzą poza EOG.
- Wiem, jak zrealizować żądanie kupującego (dostęp, usunięcie).
- Prowadzę rejestr czynności przetwarzania.
- Wiem, co robić przy naruszeniu (zgłoszenie do UODO w ciągu 72 godzin, jeśli jest wymagane).
Dokumenty SkalujOnline
Polityka prywatności, Regulamin i umowa powierzenia są opublikowane. Aktualna wersja i data obowiązywania stoją na górze każdego z tych dokumentów.
Pytania o przetwarzanie danych w Twoim sklepie wyślij przez formularz kontaktowy albo na skalujonline.pl@gmail.com.