Prowadząc serwis czy sklep internetowy, będziesz zapewne korzystać z pomocy podmiotów zewnętrznych, którym będziesz udostępniać dane osobowe Użytkowników lub Twoich Klientów. Poniżej wyjaśnimy pokrótce, kim najczęściej mogą być odbiorcy danych.
Jeśli wykupiłeś hosting dla swojego serwisu u zewnętrznego podmiotu, to podmiot ten będzie przechowywał zgromadzone w serwisie dane Twoich Użytkowników – a więc będzie je przetwarzać.
Jeśli hosting zapewnia Ci wyłącznie dostawca oprogramowania do prowadzenia sprzedaży, np. Sky-Shop, Take Drop czy Shoper, to nie musisz zaznaczać tej odpowiedzi — dostawcę tego oprogramowania uwzględnisz niżej.
Jeśli posiadasz personel współpracujący z Tobą na podstawie umów cywilnoprawnych, np. umowy zlecenia, umowy o dzieło, umowy B2B itp., i jednocześnie personel ten otrzymuje dostęp do danych Użytkownika (np. w związku z obsługą klienta, pracami programistycznymi, obsługą magazynu itp.), to powinieneś zaznaczyć tę odpowiedź.
Jeśli przy obsłudze technicznej serwisu, w tym obsłudze ewentualnych błędów, korzystasz z usług zewnętrznego podmiotu, i może zdarzyć się, że podmiot ten uzyska dostęp do danych osobowych Użytkownika, to powinieneś zaznaczyć tę odpowiedź.
Jeśli wsparcie zapewnia Ci wyłącznie dostawca oprogramowania do prowadzenia sprzedaży, np. Sky-Shop, Take Drop czy Shoper, to nie musisz zaznaczać tej odpowiedzi — dostawcę tego oprogramowania uwzględnisz niżej.
Jeśli wysyłasz newsletter lub wiadomości marketingowe, i korzystasz przy tym z zewnętrznego rozwiązania umożliwiającego masową wysyłkę takich wiadomości, powinieneś zaznaczyć tę oodpowiedź.
Jeśli wysyłkę zapewnia Ci wyłącznie dostawca oprogramowania do prowadzenia sprzedaży, np. Sky-Shop, Take Drop czy Shoper, to nie musisz zaznaczać tej odpowiedzi — dostawcę tego oprogramowania uwzględnisz niżej.
Jeśli założyłeś sklep w ramach oprogramowania do prowadzenia sprzedaży internetowej, takiego jak Sky-Shop, Take Drop, Shoper czy Allegro, to zapewne nie posiadasz sklepu na własnym serwerze, a dostawca tego oprogramowania będzie mieć dostęp do danych Twoich Użytkowników i Klientów. Powinieneś w takim wypadku zaznaczyć tę odpowiedź.
Powinieneś zaznaczyć tę odpowiedź zwłaszcza wówczas, gdy korzystasz z rozwiązań takich jak piksel Facebooka czy Google Ads.
Czy w Twoim serwisie jest możliwość umieszczania komentarzy za pomocą profilu na Facebooku? Może dostępna jest opcja tzw. logowania społecznościowego albo udostępniania strony produktu na portalu społecznościowym? W takich wypadkach powinieneś zaznaczyć tę odpowiedź.
Jeśli analizujesz zachowania Użytkowników poruszających się po Twoim serwisie, np. badasz, ile czasu spędzają na danej podstronie lub w które miejsca w serwisie klikają, i korzystasz w tym celu z usług zewnętrznych, takich jak np. Google Analytics, HotJar lub podobne narzędzia analityczne, to powinieneś zaznaczyć tę odpowiedź.
Powinieneś zaznaczyć tę odpowiedź, jeśli w Twoim serwisie można zapłacić za pomocą rozwiązań dostarczanych przez dostawców płatności elektronicznych, np. Autopay (w tym Sky-Pay), dotpay, PayU, Przelewy24 itp.
Powinieneś zaznaczyć tę odpowiedź zwłaszcza w przypadku, w którym prowadzisz sprzedaż w modelu dropshippingu — hurtownia otrzymuje wówczas dane adresowe Klienta. Będzie tak również w przypadku, w którym zwroty lub reklamacje w Twoim sklepie kierowane są na adres hurtowni.
Jeśli sprzedajesz towary wymagające fizycznego dostarczenia do Klienta, a dostawę zapewnia Ci podmiot trzeci (np. Poczta Polska, kurier itp.), powinieneś zaznaczyć tę odpowiedź.
Wystawiasz Klientom faktury z pomocą zewnętrznego oprogramowania? A może wykorzystujesz oprogramowanie CRM lub ERP, do którego wprowadzane są dane Użytkowników? Jeśli korzystasz z oprogramowania, do którego trafiają dane osobowe Użytkownika, i nie jest to oprogramowanie przechowywane wyłącznie na Twoim serwerze, powinieneś zaznaczyć tę odpowiedź.
Jeśli prowadzisz sklep internetowy lub oferujesz Klientom odpłatne usługi, i obsługuje Cię zewnętrzne biuro księgowe, powinieneś zaznaczyć tę odpowiedź — dane Klienta mogą znajdować się zwłaszcza na fakturach.
Czy w Twoim serwisie jest możliwość płatności ratalnej? Jeśli tak, zapewne rozwiązanie to dostarcza Ci podmiot trzeci. Trafią do niego dane Twojego Klienta, który zdecydował się na skorzystanie z tej metody płatności. W takim wypadku zaznacz więc tę odpowiedź.
Jednymi z popularniejszych podmiotów, które umożliwiają takie działania, są Ceneo i Opineo. Jeśli korzystasz z ich usług, pamiętaj, żeby zaznaczyć tę odpowiedź.
Jeśli w Twoim serwisie dostępny jest czat, który nie jest przechowywany na Twoim serwerze, powinieneś zaznaczyć tę odpowiedź.
Jeśli korzystasz z pakietu Microsoft 365, Google Workspace, usług poczty elektronicznej utrzymywanej przez zewnętrzny podmiot itp., to powinieneś zaznaczyć tę odpowiedź.
Jeśli na przykładowej liście z formularza nie znalazłeś podmiotu, któremu udostępniasz dane osobowe Użytkownika, pamiętaj, że możesz wpisać ten podmiot samodzielnie na końcu formularza, zaznaczając jednocześnie, w jakich sytuacjach ma miejsce takie udostępnienie.
Nie musisz podawać konkretnych nazw podmiotów, z ich NIPem i innymi danymi – wystarczy, że określisz ten podmiot zbiorczo. Przykładowo, zamiast “Kancelaria prawna XYZ Sp. z o. o.” możesz wpisać “kancelaria prawna”.
Poniżej znajduje się przykładowo wypełniona odpowiedź:
Pamiętaj, że jeśli powierzasz dane do przetwarzania innym podmiotom w Twoim imieniu, konieczne będzie zawarcie z nimi umowy powierzenia przetwarzania danych osobowych. Taka umowa może stanowić element akceptowanego przez Ciebie regulaminu danego podmiotu.
Dodatkowo, jeśli odbiorca danych będzie przetwarzać dane Twojego klienta poza Unią Europejską (a ściślej: poza Europejskim Obszarem Gospodarczym – “EOG”), powinieneś zadbać o odpowiednią podstawę prawną dla takich działań. Zweryfikuj zatem, czy takie przekazanie danych jest w danym przypadku możliwe, głównie na podstawie:
– odpowiedniej decyzji Komisji Europejskiej (decyzje takie istnieją np. w przypadku Wielkiej Brytanii, Szwajcarii i Kanady);
– lub – w przypadkach nieobjętych odpowiednią decyzją Komisji Europejskiej – standardowych klauzul umownych (mogą one stanowić element akceptowanego przez Ciebie regulaminu usługi).
W polityce prywatności powinieneś poinformować, do jakiego kraju spoza EOG przekazujesz dane oraz na jakiej podstawie prawnej. Miej zatem na uwadze, aby prawidłowo udzielić odpowiedzi na pytania o odbiorców danych w formularzu Kreatora i zadbaj o spełnienie wymogów prawnych związanych z takim przekazaniem danych.
Przy każdym z odbiorców danych wskazanych w formularzu Kreatora powinieneś zaznaczyć, czy podmiot ten przetwarza dane osobowe poza Unią Europejską (ściślej: poza EOG). W dużym uproszczeniu można przyjąć, że w przypadku podmiotów z siedzibą w EOG raczej nie będzie miało miejsce przetwarzanie danych osobowych poza EOG – warto to jednak sprawdzić, weryfikując regulamin czy umowę zawartą z danym podmiotem.
W przypadku, w którym istnieje duże prawdopodobieństwo, że zasadniczą część usługi dostarcza podmiot spoza EOG (jak w przypadku np. usług Google czy Facebooka), bezpieczniej byłoby przyjąć, że mamy do czynienia z przekazaniem danych poza EOG — nawet jeśli umowa jest zawierana z podmiotem mającym siedzibę w Unii (np. w Irlandii).
Jeśli przekazujesz dane osobowe do Stanów Zjednoczonych, upewnij się, że podmiot, któremu przekazujesz dane osobowe, znajduje się na liście podmiotów certyfikowanych w ramach Data Privacy Framework – do takiej sytuacji dostosowany jest nasz Kreator. Możesz sprawdzić, czy dany podmiot znajduje się na liście, pod tym linkiem: https://www.dataprivacyframework.gov/s/participant-search