Din butik samlar in kunddata varje dag. E-postadresser i kassan. Telefonnummer för frakt. Betalningsuppgifter. IP-adresser från analys. Surfhistorik från spårningspixlar. Varje uppgift du samlar in medför ett juridiskt ansvar att skydda den och berätta för kunderna hur du använder den.
Här kommer integritetspolicy, cookiesamtycke och GDPR in. De är inte bara juridiska formaliteter. De är reglerna för hur du samlar in, lagrar och använder kundinformation. Gör du fel riskerar du böter, kunder som tappar förtroendet och juridiska problem. Gör du rätt bygger du förtroende för ditt varumärke.
De flesta butiksägare hoppar över integritetsfrågor eftersom de känns tråkiga och krångliga. De är krångliga. Men den här artikeln bryter ner vad du faktiskt behöver göra.
Vad är GDPR och vem berörs
GDPR står för General Data Protection Regulation, på svenska dataskyddsförordningen. Det är en EU-lag som sätter regler för hur företag samlar in och använder personuppgifter. Om du har en enda kund i EU gäller GDPR för dig. Om din butik har kunder i EU måste du följa GDPR.
GDPR är inte frivilligt. Det är inget förslag. Företag har fått böter på miljarder euro för att ha brutit mot den. Ett stort techbolag betalade 20 miljoner USD. Facebook betalade 5 miljarder USD. Det är enorma bolag. En liten webbutik kan få lägre böter, men principen är densamma: överträdelser av GDPR blir dyra.
Grundprincipen i GDPR är enkel: kunderna äger sina data. Du lånar dem tillfälligt. Du måste be om tillstånd innan du samlar in dem. Du måste förklara vad du gör med dem. Och du måste radera dem när kunden ber om det.
Viktiga GDPR-regler för webbutiker
Du behöver tillstånd innan du samlar in data
Du kan inte bara samla in e-postadresser, telefonnummer eller andra personuppgifter utan tydligt samtycke. I kassan behöver du tydliga kryssrutor för att tacka ja, inte förikryssade rutor. Om en kund avmarkerar en ruta som säger "Jag godkänner marknadsföringsmejl" får du inte anmäla hen till marknadsföring. Du behöver hens aktiva, informerade godkännande.
Det gäller marknadsföringslistor, analysspårning och annonscookies. Om du använder Google Analytics måste du berätta det för kunderna och ge dem ett sätt att säga nej. Om du använder Facebook Pixel för att nå kunder igen behöver du samtycke innan pixeln aktiveras.
Du måste förklara vad du gör med data
Din integritetspolicy är inte bara ett juridiskt dokument. Den är kommunikation med dina kunder. Du måste förklara med enkelt språk (inte juridiska termer) vilka data du samlar in, varför du samlar in dem, hur länge du sparar dem och vem som har tillgång till dem. GDPR kräver att informationen är "lätt tillgänglig" och "på ett tydligt och enkelt språk".
En integritetspolicy som göms bakom 5 klick eller är skriven med juridiska termer uppfyller inte kravet på "tydligt och enkelt".
Du måste radera data när du blir ombedd
Kunder har rätt att begära att du raderar deras uppgifter. Det kallas "rätten att bli bortglömd". Om en kund mejlar och ber dig radera sitt konto och sina data har du 30 dagar på dig. Du får inte ta betalt för det. Du får inte ignorera begäran. Du måste radera uppgifterna och bekräfta att de är borta.
Du måste anmäla dataintrång
Om dina kunddata läcker ut eller stjäls har du 72 timmar på dig att anmäla det till europeiska myndigheter. Du måste också informera de kunder som berörs. Du kan inte dölja ett intrång eller hoppas att ingen märker det. Det här kravet ensamt har gjort GDPR kostsamt för många företag, eftersom det tvingar fram öppenhet och ansvar. För tips om säkerhet i kassan, se hur du håller kassan i din webbutik säker.
Dataöverföringar kräver godkännande
Om du lagrar kunddata utanför EU måste du använda godkända överföringsmekanismer. Det spelar roll om din betalleverantör finns i USA, om du använder en e-posttjänst baserad i USA eller om du tar säkerhetskopior i ett amerikanskt datacenter. Du kan inte bara flytta EU-kunders data vart som helst. Du behöver juridiska ramar på plats.
Vad är en integritetspolicy och varför behöver du en
En integritetspolicy är ett dokument som förklarar hur din butik samlar in, använder och skyddar kundinformation. Den krävs enligt GDPR, enligt många delstatslagar i USA och enligt branschstandarder. Utan en bryter du mot lagen och kunderna har inget sätt att förstå hur du hanterar deras data.
Din integritetspolicy behöver täcka:
Vilka data du samlar in
Lista alla typer av data du samlar in. Det inkluderar självklara saker som e-postadresser och leveransadresser, men också mindre självklara saker som IP-adresser från din webbserver, cookies från analys, beteendespårning och platsdata. Var konkret. Skriv inte bara "personuppgifter". Skriv "e-postadress, telefonnummer, leveransadress, köphistorik och surfbeteende". Om du tar emot betalningar via en betalningsgateway måste din integritetspolicy förklara vilka betaldata som hanteras av din leverantör. Se hur betalningsgateways fungerar för att förstå vilka data som flödar genom ditt betalsystem.
Hur du samlar in dem
Samlar du in data via formulär, kassasidor eller cookies? Via kundtjänstkontakter eller supportärenden? Via analysverktyg eller annonspixlar? Förklara metoderna. Här nämner du Google Analytics, Facebook Pixel, din betalleverantör eller vilka verktyg du nu använder för att samla in data.
Varför du samlar in dem
Du samlar in e-postadresser för att hantera beställningar och skicka fraktuppdateringar. Du samlar in telefonnummer för kundtjänst. Du samlar in analysdata för att förstå hur besökare använder din webbplats. Du använder cookies för att komma ihåg kunder så att de slipper logga in varje gång. Förklara affärsskälet för varje typ av datainsamling.
Hur länge du sparar dem
Du sparar inte data för alltid. Du måste bestämma lagringstider. Du kanske sparar köphistorik i 7 år av skatte- och juridiska skäl. Du kanske sparar e-postadresser i 3 år efter senaste köpet för marknadsföring. Du kanske sparar supportärenden i 1 år. Vad din lagringspolicy än är, skriv den tydligt.
Vem som har tillgång till dem
Om du använder en betalleverantör har den tillgång till betaldata. Om du använder en fraktleverantör har den tillgång till adresser och kan använda dem för leveransen. Om du lägger ut kundtjänsten på någon annan ser supportteamet kunders namn och e-postadresser. Lista alla tredje parter som kan se kunddata och förklara varför. För mer om hur frakt fungerar, se hur du ställer in frakt för din webbutik.
Hur du skyddar dem
Använder du SSL-certifikat för att kryptera data under överföring? Kräver du starka lösenord? Tar du säkerhetskopior regelbundet? Utbildar du ditt team i datasäkerhet? Förklara dina säkerhetsåtgärder. Om din säkerhet är svag, säg det ändå, men åta dig att förbättra den.
Kunders rättigheter
Enligt GDPR har kunder rätt att få tillgång till sina data, rätta dem, radera dem och flytta dem till en annan tjänst. Din integritetspolicy måste berätta hur de gör för att utöva de rättigheterna. Ange en e-postadress eller ett kontaktformulär där kunder kan begära tillgång till eller radering av sina data.
Cookiesamtycke och spårning
Cookies är små filer som webbplatser lagrar på en kunds dator för att komma ihåg hen. De används för att hålla dig inloggad, komma ihåg varor i varukorgen och spåra ditt beteende över webbplatser.
GDPR skiljer mellan nödvändiga och icke nödvändiga cookies. Nödvändiga cookies (som varukorgscookies eller sessionscookies) kräver inget samtycke. Allt annat gör det.
Nödvändiga cookies som inte kräver samtycke
Varukorgscookies är nödvändiga eftersom kunder annars skulle tappa sin varukorg varje gång de går till en ny sida. Sessionscookies som håller dig inloggad är nödvändiga. Säkerhetscookies som förhindrar bedrägerier är nödvändiga. Du kan använda dessa cookies utan att be om tillstånd eftersom de krävs för att butiken ska fungera.
Icke nödvändiga cookies som kräver samtycke
Analyscookies (Google Analytics, värmekartsverktyg, produktanalys) är inte nödvändiga för att driva din butik. De hjälper dig förstå beteende, men butiken fungerar bra utan dem. Att förstå dina besöksdata är bra för optimering, men kunderna ska ge samtycke innan du spårar dem. Marknadsföringscookies och retargeting-pixlar (Facebook Pixel, konverteringsspårning i Google Ads) är definitivt inte nödvändiga. De här cookies spårar kunder över internet för att visa annonser. De kräver uttryckligt samtycke innan de aktiveras. För en översikt över vad du kan lära dig av analys, se hur du använder analys för att förstå besökarnas beteende.
Så inför du cookiesamtycke
Du behöver en cookiebanner som visas när en kund besöker din webbplats första gången. Bannern måste förklara vilka cookies du använder och varför. Den bör ha minst tre alternativ: Acceptera alla, Avvisa icke nödvändiga och Anpassa. Acceptera alla ska vara en knapp. Avvisa ska vara lika lätt att klicka på (inte gömd under en meny). Kunder ska kunna säga nej till analys- och marknadsföringscookies utan att förlora möjligheten att handla.
Gör inte samtycket förvirrande med manipulativ design, som "Acceptera" med stora blå bokstäver och "Avvisa" med liten grå text. Det strider mot GDPR. Båda alternativen måste vara lika synliga och klickbara.
Du kan använda ett verktyg för cookiesamtycke. De här tjänsterna sköter bannern, samtycket till spårning och uppdateringen av dina inställningar. De kostar pengar men sparar dig juridisk risk.
Integritet för butiker utanför EU
GDPR är EU-lag, men integritetsregler finns överallt. Om din butik är verksam i Kalifornien omfattas du av CCPA (California Consumer Privacy Act). Är du i Virginia gäller VDPA. Kanada har PIPEDA. Brasilien har LGPD. Australien har APPs.
De här lagarna är inte identiska med GDPR, men de följer liknande principer: kunderna äger sina data, du måste be om tillstånd, du måste vara öppen och du måste radera data när du blir ombedd.
Om du har kunder i flera regioner kan du inte ha en integritetspolicy som fungerar överallt. Du behöver följa den strängaste lag som gäller för dig. För de flesta butiker är det GDPR eftersom den är strängast. Om du följer GDPR följer du sannolikt de flesta andra integritetslagar också.
Användarvillkor jämfört med integritetspolicy
Din integritetspolicy och dina användarvillkor är olika dokument med olika syften.
Integritetspolicyn handlar om hur du hanterar data: vad du samlar in, varför, hur länge du sparar det och hur kunder kan få tillgång till eller radera det.
Användarvillkoren handlar om hur kunder får använda din butik: betalvillkor, returpolicy, återbetalningspolicy, ansvarsbegränsningar och vad kunder inte får göra. En kund kan vara okej med hur du hanterar data (integritet) men inte hålla med om din policy utan återbetalning (villkor).
Du behöver båda dokumenten. För mer om hur du skriver användarvillkor, se hur du skriver användarvillkor för din webbutik.
Så hjälper WEMASY med integritet och regelefterlevnad
WEMASY:s webbplatsbyggare har inbyggd SSL-kryptering för all data under överföring. Dina kunddata lagras på säkra servrar med regelbundna säkerhetskopior. WEMASY gör det också möjligt att lägga till integritetspolicy och cookiebanners direkt på din webbplats utan egen kod. Du kan ställa in vilka cookies som är nödvändiga och vilka som kräver samtycke, och låta WEMASY hantera samtyckesflödet.
Det här tar inte bort ditt juridiska ansvar att ha en tydlig integritetspolicy, men det gör införandet enklare. Se vad som ingår i din WEMASY-plan.
Integritetschecklista för din butik
Gå igenom den här listan innan du går live:
Integritetspolicy
Har du en integritetspolicy på din webbplats? Är den offentligt tillgänglig? Förklarar den vilka data du samlar in, varför, hur länge du sparar dem och vem som har tillgång? Har den kontaktuppgifter för förfrågningar om data? Kopiera inte någon annans integritetspolicy. Generiska policyer förklarar inte just din hantering.
Cookiesamtycke
Om du använder analys- eller marknadsföringscookies, har du en cookiebanner? Ger den kunderna ett verkligt val att säga nej? Är avvisaknappen lika lätt att klicka på som acceptera-knappen? Förklarar bannern vad varje typ av cookie gör?
Nödvändig säkerhet
Använder du SSL (HTTPS) för hela din butik? Kräver du starka lösenord? Har du en plan för vad du gör om data läcker ut? Tar du regelbundna säkerhetskopior av kunddata?
Tredjepartsverktyg
Lista alla verktyg du använder som hanterar kunddata: betalleverantör, fraktleverantör, e-posttjänst, analysplattform, marknadsföringsverktyg, supportprogram. Nämner din integritetspolicy alla? Har du läst deras integritetspolicyer? Följer de GDPR eller dina lokala lagar?
Process för radering av data
Om en kund mejlar och ber dig radera sina data, har du en process för det? Vet du hur du raderar data från ditt butikssystem, din betalleverantör, din e-posttjänst och alla andra verktyg? Du behöver en dokumenterad process, inte en gissning.
Juridisk rådgivning
Har du pratat med en jurist om integritet? Du behöver inte en jurist för varje fråga, men för din första butik är det värt 1 till 2 timmars juridisk tid för att se till att du är på rätt väg. Många jurister granskar en enkel integritetspolicy för 200 till 400 EUR.
Vanliga frågor
Behöver jag en integritetspolicy om min butik är liten?
Ja. GDPR och andra integritetslagar gäller oavsett butikens storlek. Även en butik med 10 kunder i månaden har en juridisk skyldighet att skydda deras data och förklara hur du använder dem. En integritetspolicy är det juridiska minimum.
Kan jag använda en mall för integritetspolicy?
Ja, men bara som utgångspunkt. Generatorer för integritetspolicy skapar policyer utifrån dina specifika verktyg och rutiner. Kopiera inte en annan butiks policy ord för ord. Policyn måste stämma med hur du faktiskt hanterar data. Om din policy säger att du raderar data efter 1 år men du i själva verket sparar dem i 7 år skapar du juridiskt ansvar.
Vad gäller om jag inte har kunder i EU?
Du kan ändå ha skyldigheter kring integritet. USA har CCPA i Kalifornien och VDPA i Virginia. Kanada har PIPEDA. Brasilien har LGPD. De flesta länder har någon form av integritetslag. Även om du bara riktar dig till kunder i USA är det säkrare att följa GDPR eftersom den är strängast. Att följa GDPR betyder oftast att du följer svagare lagar också.
Vad kostar en integritetspolicy egentligen?
Du kan ta fram en enkel policy gratis med en generator för integritetspolicy. För en personlig policy skriven av en jurist kan du räkna med 500 till 2 000 EUR. De flesta små butiker börjar med en genererad policy och låter en jurist granska den för 200 till 400 EUR för att se till att den täcker den egna lösningen.
Vad är skillnaden mellan GDPR och CCPA?
GDPR är EU-lag. CCPA är Kaliforniens delstatslag. GDPR är strängare. Båda ger kunder rätt att få tillgång till, radera och rätta sina data. Båda kräver samtycke för marknadsföring. GDPR kräver samtycke innan de flesta data samlas in. CCPA tillåter insamling men kräver möjlighet att välja bort. Om du följer GDPR följer du sannolikt CCPA också.
Hur svarar jag på en kunds begäran om radering av data?
När en kund ber om att få sina data raderade, svara inom 30 dagar. Radera kontot i ditt butikssystem. Ta bort hen från din e-postlista för marknadsföring. Ta bort hen ur din analys. Be din betalleverantör radera hens data. Bekräfta skriftligt att datan är raderad. Spara dokumentation av raderingen ifall du behöver bevisa att du följt reglerna.