GDPR

Comisia Europeana a hotarat ca incepand cu 25 mai 2018, toti cei care folosesc date ale cetatenilor Uniunii Europene trebuie sa ia masuri pentru securitatea acestor date. Websiteuri, institutii publice sau private, softuri, aplicatii, servicii de cloud si servicii de procesare, etc. Practic, daca cineva foloseste datele unui cetatean al Uniunii Europene, trebuie sa primeasca acordul expres de folosire a lor, din partea acestuia, in fiecare context si situatie sau scop pentru care datele sunt solicitate si, odata primit acordul, datele trebuie securizate si pastrate o anumita perioada de timp.

Mare parte din sensul GDPR este sa ingradeasca accesul nemarginit al companiilor din afara UE la datele cetatenilor UE. Ganditi-va doar ca exista companii precum Google sau Facebook care sunt in topul celor mai mari companii din lume si care si-au obtinut o mare parte din succesul lor procesand si date ale cetatenilor UE. Pentru multe companii datele personale sunt o resursa importanta.

Privit din acest unghi, GDPR are sens si este bine venit. Companiile au fost bombardate cu informatii despre GDPR, iar noi am primit intre 150 si 200 de mailuri nesolicitate si am vazut 500 de postari sponsorizate pe Facebook (vedeti aici puterea datelor, pentru ca au stiut ca suntem antreprenori cand au facut targhetarea) despre companii care organizeaza seminarii, avocati care te ajuta sa-ti pui firma in ordine cu GDPR-ul, firme care organizeaza cursuri de DPO (data protection officer) si multe altele.

Practic GDPR-ul a dat o paine calda unora iar acestia la randul lor au bagat spaima-n firme sa se puna in legalitate. Uite asa toata lumea sa apucat sa cheltuiasca timp si bani si totul a culminat cu celebrele e-mail-uri de la sfarsitul lui mai 2018 in care toata lumea iti cerea sa ramaneti prieteni pentru ca a venit GDPR-ul si si a rupt lantul de iubire. Practic, un regulament care interzice spamul a generat cel mai mult spam intr-o perioada scurta din istorie. A fost mana cereasca pentru cei de la Mail Chimp si alte sisteme de email marketing.

Noi am stat si ne-am uitat la toata treaba asta din ograzile vecinilor si apoi ne-am uitat in ograda noastra sa vedem ce facem noi. Noi avem un magazin online, deci procesam date.

De exemplu avem nevoie de numele tau ca sa-l scriem pe factura si adresa ta ca sa stim unde sa expediem produsele.

Datele exista in amonte de site si se refera in general la marketing ca sa aducem clientii pe site, apoi urmeaza site-ul unde se intampla comertul efectiv si majoritatea proceselor tehnice, iar in aval de site se afla in general tertii, partenerii care ne ajuta sa procesam, incasam si sa livram marfa la usa clientului.

In amonte de site este marketingul de tip PPC (Pay Per Click- de fiecare data cand dai click pe o reclama, dai bani catre Google, Facebook sau sutele de alte firme care fac astfel de reclame). Facem reclama pentru cuvantul “cadou”, iar cand cineva cauta cuvantul, vede reclama noastra, poate da click pe ea si ajunge pe site-ul nostru. Aici nu avem nici o obligatie si nu colectam date. Vedem cum merge reclama, poate niste variabile tehnice, de genul ca click-ul a venit din Romania dar nu stim cine este persoana respectiva. Toate datele demografice sunt la Google, nu la noi. Google ne taxeaza pentru a arata reclama, de fiecare data cand dai cick. Google a luat datele de la voi cand v-ati facut cont gratuit de Gmail. Ca sa platesca oamenii care au scris Gmail si sa platesca hard drive-ul pe care sunt stocate emailurile voastre cu poze cu pisici, internetul ca sa ajungeti la datele alea oricand si de oriunde, curentul electric care invarte platanele hardului si raceste cladirea unde sunt stocate datele, si ca sa va ofere toate aceste servicii gratuit, precum este Search, Gmail, Youtube. etc, ei iau bani de la noi.

Practic, utilizatorul final plateste pentru accesul la toate aceste servicii insa nu o face cu bani ci cu datele sale personale, date de genul: sex, varsta, locatie geografica, interese in functie de cautari. Google face profit din datele voastre. De fapt nu le vinde, le imprumuta. Serviciul Adwords nu spune insa nimanui cum va numiti in viata reala.

Cineva care face o reclama nu poate ajunge la Mihai Popescu. Poate ajunge la o parte dintre barbatii din Romania, de aproximativ 30 de ani si interesati de cadouri. Nimeni nu poate vedea cine sunteti.

Apoi mai este Facebook unde facem reclama si ii spunem platformei Facebook Ads sa o arate barbatilor din Romania, de peste 30 de ani care sunt interesati de cadouri. Variabilele de sex, zona geografica, varsta si interese sunt date ale Facebook Ads pe care voi le-ati dat cand v-ati facut cont si in timp ce ati folosit platforma si ati dat like-uri. La fel si Facebook va vinde datele ca sa plateasca oamenii aia de acolo care scriu aplicatia Facebook si stocarea pentru toate clipurile si pozele pe care le postezi.

Ca si Google, Facebook nu vinde datele intr-un tabel Excel si apoi vedem noi ce facem cu ele. Nu. Datele sunt in sistemele lor, sunt ale lor, ele nu se exporta si nu se dau ci se folosesc in interiorul platformelor lor de publicitate. Din nou, nimeni nu stie cine sunteti. Toata lumea vede o variabila si gata. Adica nu vedem Mihai Popescu ci barbati de 30 de ani din Romania, interesati de cadouri. Nimeni nu poate asocia datele cu o persoana. In cazul tuturor procesatorilor de date pentru reclame de tip PPC, nu se porneste de la individ. Nimeni nu stie cine este individul.

In schimb, se porneste de la zeci sau sute de parametrii care definesc milioane de oameni si prin filtrare se reduc astfel incat sa se ajunga la publicul tinta. Daca de exemplu am vinde ruj de buze, sigur sigur nu am vrea ca reclamele noastre sa fie vazute de barbati pentru ca nu ei le cumpara, in general. Cam asta este targetarea. Niciodata cel care face reclama nu poate ajunge la un individ anume. Noi ii spunem lui Google sau Facebook ca vrem sa ne arate reclama doar in Romania, doar celor peste 18 ani si doar barbatilor, pentru ca produsul nostru este pentru barbati.

Daca nu sunteti confortabili cu lucurile astea, trebuie sa stiti ca toate companiile astea va ofera acces la datele voastre, date pe care le puteti modifica sau sterge orincand. In Politica de Cookies a site-ului am pus linkuri directe catre aceste informatii. Sigur ca aceste companii nu vor fi fericite, sigur ca in timp exista posibilitatea sa nu aveti acces la unele dintre serviciile lor. Chestiunea echilibrului este mai mare decat putem noi cuprinde aici si tocmai de aceea reglementarile aduse de GDPR sunt bine venite.

Mai departe, sa presupunem ca utilizatorul cauta un cadou si vede relama noastra.

Dupa ce utilizatorul a dat click pe reclama cu cadouri, acesta ajunge pe site. Aici apar cookie-urile. Folosim Google Analytics ca sa aflam informatii despre trafic si ca sa monitorizam statistici despre site. Noi insa nu facem Google Remarketing, adica nu va punem un cookie in calculator si va apar apoi pe fiecare pagina de internet bannere cu site-ul nostru sau cu produse pe care le comercializam. Nu colectam cu Analytics date personale. Analytics nu colecteaza astfel de date.

Cu toate astea, Google Analytics foloseste amprenta voastra digitala ca sa ne supuna daca sunteti un “first time visitor” sau un “returning visitor”. Tot aici pe site preluam date si folosim cookie-uri. De exemplu un coockie tine minte pagina ta de pe calculator si daca dai refresh la pagina, stie ca esti tot tu si nu altcineva. Un alt coockie tine minte ce pui in cosul de cumparaturi, astfel incat atunci cand navighezi pe o alta pagina a site-ului sa nu se stearga ce ai pus in cosul de cumparaturi.

Un alt cookie vede ce dimensiune are ecranul tau astfel incat sa adapteze designul sa incapa pe telefonul tau mobil spre exemplu. Practic fara aceste coockie-uri nu ai putea sa cumperi nimic pentru ca totul s-ar sterge de fiecare data cand dai click pe ceva si pagina se reincarca.

Sunt si alte cookie-uri dar o sa le evidentiem mai jos si o sa-ti explicam de ce orice site are nevoie de ele pentru a functiona. Cookieurile sunt solutia tehnica a browserelor pentru a putea sa-ti arate siteurile moderne si complexe precum magazinele online.

Fara ele nu ai putea sa cumeri nimic si nu ai putea sa interactionezi cu diferite functii. Totul ar fi ca o pagina de ziar. Tot aici pe site preluam datele tale cele mai sensibile. De exemplu, pentru a putea emite factura, legea ne obliga sa cerem niste date, care sunt obligatorii pentru facturi. Spre exemplu avem nevoie de numele tau, de adresa ta, e-mailul si numarul de telefon, tara si CNP-ul tau, cod fiscal pentru persoane juridice, etc. Toate astea ca sa putem sa emitem o factura corecta.

Apoi avem nevoie, pentru generarea documentului de transport, de adresa ta ca sa stim unde sa trimitem produsul comandat de tine, avem nevoie de numar de telefon ca sa te sune curierul cand ajunge la usa ta, etc. In principiu, aici sunt datele despre navighare si date functionale care fac posibila achizitia dintr-un magazin online.

In aval de site exista furnizorii de servicii cu care lucram si care ne ajuta sa incasam comanda cu cardul, sa o facturam, sa livram comanda, etc. Asta inseamna ca, cu datele de mai sus, pe care tu le pui in campurile de comanda, putem emite facturi, AWB-uri, putem procesa plati, etc.

Serviciile de facturare, plata si livrare sunt servicii furnizate de terti, parteneri care spre exemplu iau coletul de la noi, scaneaza un document de transport si stiu automat cui si unde trebuie sa-l duca.

Asta inseamna ca dam datele tale unor terti iar ei trebuie sa aiba grija de ele asa cum am avea si noi grija de ele.

Tocmai de aceea am convenit intre noi documente si protocoale de lucru pentru ca datele tale sa fie in siguranta, proceduri menite sa ne responsabilizeze reciproc in procesarea acestor date.

Ce trebuie sa intelegi din toata treaba asta este ca GDPR-ul este un lucru bun pentru sigurnata ta iar Uniunea Europeana este prima entitate importanta la nivel global care aduce putina reglementare in relatia cetatenilor ei cu procesatorii de date.

Pe de alta parte, Google si Facebook sunt unelte grozave pe care le folosim atat in viata personala cat si in activitatea comerciala si care sunt in acest moment instrumente importante in lumea tehnologica in care traim.

Echilibrul adus de GDPR te apara de abuzuri si aduce controlul datelor in mainile tale. Protecția datelor tale personale este foarte importanta pentru noi, sens in care am adoptat masuri tehnice si organizatorice adecvate pentru a proteja datele personale. Te asiguram ca am emis politici interne cu privire la prelucrarea datelor tale personale de catre angajatii si colaboratorii nostri. Trebuie să retii ca cu cat furnizezi mai putine informatii, cu atat ai mai mult controlul asupra datelor cu caracter personal. De exemplu, daca doresti sa navighezi anonim si nu doresti ca si comportamentul tau să fie testat independent de noi și de furnizorii de servicii, trebuie sa efectuezi setarile corespunzatoare in browserul tau. Poti naviga, de exemplu, in modul "incognito" cu Google Chrome sau in modul "privat" cu Firefox. Datele cu caracter personal pe care le colectam sunt legate de functionarea siteului si de comanda si sunt in general date legate de nume, email, telefon, adresa. Avem nevoie de acestea pentru serviciile de livrare, plata sau facturare. Trebuie sa stim cui ii facturam comanda, unde sa o livram si cine si cum o plateste. Nu folosim si nu colectam date despre sex, varsta, convingeri personale, religioase, politice, etc.

Kronia City SRL foloseste platforma ecomerce Magento. Aici gasiti linkuri utile cu privire la modul in care aceasta platforma se conformeaza GDPR.

1. Privacy Shield Framework

2. Magento 1.x GDPR compliance

3. Magento GDPR Frequently Asked Questions

4. 2018 reform of EU data protection rules