01Ce cere regulamentul și ce nu cere
GDPR nu folosește expresia 'pagină de politică de confidențialitate'. Articolul 13 spune că, atunci când colectezi date personale direct de la o persoană, trebuie să-i dai anumite informații în momentul în care le obții. Articolul 12 cere ca informațiile să fie concise, transparente, inteligibile și ușor accesibile, într-un limbaj clar și simplu. Datele personale sunt orice informații privind o persoană identificabilă, deci un nume și un email dintr-un formular intră aici. Considerentul 30 adaugă că oamenii pot fi asociați cu identificatori online, precum adresele IP și identificatorii cookie. De aceea răspunsul obișnuit e o pagină, legată din subsol și de fiecare formular, iar noi o tratăm ca parte din site, nu ca decor. Dacă situația ta exactă cere una, întreabă un avocat.
- Cine ești și cum te poate contacta cineva, plus datele de contact ale responsabilului cu protecția datelor, dacă ai unul (art. 13 alin. 1 lit. a și b)
- De ce folosești datele și pe ce temei legal, plus interesele tale legitime, dacă acela e temeiul (art. 13 alin. 1 lit. c și d)
- Cine primește datele și orice transfer în afara UE (art. 13 alin. 1 lit. e și f)
- Cât timp le păstrezi și drepturile de acces, rectificare, ștergere, restricționare, opoziție și portabilitate (art. 13 alin. 2 lit. a și b)
- Dreptul de a depune o plângere la o autoritate de supraveghere și dacă furnizarea datelor este obligatorie (art. 13 alin. 2 lit. d și e)
02Ce din site-ul tău pune regula în funcțiune
Parcurge site-ul ca un vizitator și notează fiecare loc unde se trimite sau se colectează ceva. Un formular de contact. Un widget de programări. O casetă de newsletter. O bulă de chat. O pagină de plată. Statistici. O hartă sau un video încorporat. Fiecare fie colectează date personale de la vizitator, fie le dă unei terțe părți, iar art. 13 alin. (1) lit. (e) cere să numești destinatarii sau categoriile de destinatari. Art. 13 alin. (1) lit. (f) cere să spui dacă intenționezi să transferi datele în afara UE, deci citește condițiile fiecărui furnizor: pagina noastră de confidențialitate spune că o parte din datele Google Analytics pot fi transferate în afara UE, în condițiile Google. Un site fără formular, fără statistici și fără conținut încorporat e alt caz. Chiar și atunci găzduirea păstrează jurnale de server cu adrese IP, așa că noi am adăuga o notă scurtă și am lăsa un avocat să decidă dacă e nevoie. Cookie-urile și bannerele de consimțământ țin de altă regulă, pe care articolul ăsta nu o tratează.
- Formularele, widgeturile de programări, casetele de newsletter și plata colectează date direct
- Statisticile, hărțile, video-urile și widgeturile de chat pot da date unei terțe părți
- Fiecare terț este un destinatar pe care îl numești (art. 13 alin. 1 lit. e)
- Un furnizor care transferă date în afara UE aduce în discuție rubrica despre transferuri (art. 13 alin. 1 lit. f)
- Bannerele de cookie-uri țin de altă regulă, netratată aici
03Ce conține o pagină utilizabilă
O pagină bună e scurtă, specifică site-ului tău și organizată după ce se întâmplă de fapt. Pagina noastră de confidențialitate are nouă secțiuni scurte: cine suntem, ce colectează formularul de start, cum merg plățile, ce instrumente de statistică rulează și ce cookie-uri pun, unde e găzduit site-ul, temeiul legal, cât timp păstrăm datele, drepturile vizitatorului și ce se întâmplă când schimbăm pagina. Numește, printre altele, Stripe, Resend, trei instrumente de statistică, Hetzner din Germania și Cloudflare. Le spune oamenilor să ne scrie și că pot depune o plângere la ANSPDCP, autoritatea română. Nu o copia pe a noastră. Descrie site-ul nostru și nimic altceva, iar al tău rulează alte instrumente. Scrie la persoana întâi plural, în propoziții pe care un client le poate citi pe telefon.
- Cine ești și cum te poate contacta cineva
- Fiecare lucru pe care îl colectezi, de ce și pe ce temei legal
- Cine îl primește: furnizorii de găzduire, plăți, email și statistici
- Cât timp îl păstrezi
- Drepturile vizitatorului, cum și le exercită și dreptul de a depune plângere la ANSPDCP în România
04Patru feluri în care o pagină de confidențialitate ajunge inutilă
Primul: un șablon de la un generator care enumeră instrumente pe care nu le folosești și le omite pe cele pe care le folosești. Al doilea: o pagină corectă la lansare și neatinsă apoi, deși ai adăugat un widget de chat sau un formular nou. Al treilea: o politică îngropată în subsol, fără nimic în locul unde se colectează datele. Art. 13 spune că informațiile se dau în momentul în care datele sunt obținute, așa că noi am pune lângă fiecare formular o frază scurtă și un link. Al patrulea: ceața juridică. Art. 12 cere limbaj clar și simplu, iar o pagină pe care nu o poate citi nimeni nu îl respectă. O frază de tipul 'nu transmitem niciodată datele tale' e bine să lipsească atâta timp cât Stripe, găzduirea și instrumentul tău de email primesc fiecare o parte din ele.
- Text de generator care nu se potrivește cu instrumentele de pe site-ul tău
- Nicio actualizare după ce adaugi un widget sau un formular
- Niciun link sau nicio frază chiar la formular
- Un limbaj pe care un client nu îl poate urmări
05Unde PROOF48 nu e alegerea potrivită
PROOF48 construiește site-uri. Nu e cabinet de avocatură. Un site de prezentare de până la aproximativ cinci pagini costă între 500 și 2.500 EUR, vezi un preview live în 48 de ore și plătești abia după aceea, iar textul de confidențialitate îl confirmi tu cu un avocat. Nimic de pe proof48.com nu promite o pagină de confidențialitate gata făcută pentru lucrările clienților, așa că cere-o în brief și întreabă ce va rula pe site-ul tău și ce va spune pagina înainte de lansare. Nu suntem alegerea potrivită dacă ai nevoie de avizul unui avocat înainte să apară vreun cuvânt: oferta noastră în care construim întâi nu se potrivește proiectelor care cer avizare juridică înainte de orice text. Dacă vinzi produse online, fluxurile de date cresc, iar un magazin este o lucrare separată, între 2.500 și 4.500 EUR, cu termenul ei. Dacă lucrezi cu date sensibile, de exemplu fișe medicale, vorbește mai întâi cu un avocat. Articolul ăsta nu acoperă cazul.
- Un site în 48 de ore: până la aproximativ cinci pagini, între 500 și 2.500 EUR, plătit după preview
- Textul de confidențialitate îl confirmi tu cu un avocat
- Nu e alegerea potrivită dacă ai nevoie de avizul unui avocat înainte de lansare
- Un magazin este o lucrare separată, între 2.500 și 4.500 EUR, cu propriul termen
O listă de instrumente care ating datele clienților
Rotiseria Baba Novac, o rotiserie din București, are propriul sistem de comenzi, cu plată prin Stripe, intervale de ridicare, un email de confirmare la fiecare comandă trimis prin Resend și urmărirea comenzii de către client. Lista asta e un exercițiu util pentru orice site care primește comenzi sau cereri: fiecare instrument extern care ajunge la datele unui client, aici plata și emailul, este ceva ce ai numi atunci când spui cine primește datele. Studiul de caz nu consemnează textul de confidențialitate al restaurantului și nu publicăm volumul lui de comenzi. Este un sistem de comenzi de genul celor care costă cât un magazin, nu site-ul în 48 de ore.
Vezi lucrarea: Rotiseria Baba NovacÎntrebări, cu răspuns
Spune GDPR că am nevoie de o pagină numită 'politică de confidențialitate'?
Nu. Articolul 13 enumeră informațiile pe care le dai oamenilor când le colectezi datele, iar articolul 12 cere ca ele să fie ușor accesibile și într-un limbaj clar și simplu. O pagină legată din fiecare pagină și de fiecare formular e felul obișnuit de a face asta, după părerea noastră.
Pot copia un șablon de politică de confidențialitate?
Doar ca punct de plecare. Articolul 13 întreabă de scopurile, destinatarii și perioadele tale de stocare, deci textul trebuie să se potrivească cu instrumentele de pe site-ul tău. Dă versiunea finală la citit unui avocat.
Site-ul meu arată doar o adresă și un telefon. Am nevoie de pagină?
Dacă site-ul nu colectează nimic și nu rulează statistici sau conținut încorporat, articolul 13 poate să nu se aplice paginii în sine. Găzduirea păstrează totuși adrese IP, iar considerentul 30 enumeră adresele IP printre identificatorii online, deci noi am adăuga o notă scurtă și am întreba un avocat.
La cine depun oamenii plângere în România?
La ANSPDCP, autoritatea națională de supraveghere a prelucrării datelor, pe dataprotection.ro. Art. 13 alin. (2) lit. (d) cere ca pagina ta să menționeze dreptul de a depune o plângere la o autoritate de supraveghere.
Adaugă PROOF48 o pagină de confidențialitate pe site-urile pe care le construiește?
Nimic de pe proof48.com nu promite o pagină de confidențialitate gata făcută pentru lucrările clienților, deci nu afirmăm nimic în niciun sens. Cere-o în brief și întreabă ce va rula pe site-ul tău și ce va spune pagina înainte de lansare. Textul îl confirmi tu cu un avocat.
Unde se încadrează PROOF48
Dacă site-ul tău colectează date personale, articolul 13 din GDPR așteaptă să le spui oamenilor cine ești, de ce le colectezi datele, cine le primește, cât timp le păstrezi și ce drepturi au, într-un limbaj clar și simplu. O pagină care se potrivește cu instrumentele de pe site e felul obișnuit de a face asta. Scrie-o după o plimbare prin propriul site, actualizează-o când adaugi un widget și dă textul final la citit unui avocat. PROOF48 construiește site-ul în 48 de ore, între 500 și 2.500 EUR, plătit după preview.
Cosmin Tiu · Fondator, PROOF48
Cosmin lucrează în marketing online și dezvoltare software din 2018, iar din ianuarie 2023 construiește zilnic cu AI. Scrie și acum cod de la zero în fiecare zi, în Python, React, Rust și C#. PROOF48 livrează site-uri de prezentare în 48 de ore și facturează după, așa că fiecare opinie de pe acest blog a fost plătită în lucrări reale, nu în teorie.