Creatoradresser, GDPR og CCPA: Hvad brands må

Du kan indsamle og bruge en creators navn, adresse og telefonnummer til at sende hende den gave, hun har bedt om, uden en særskilt samtykkeboks. Opbevar oplysningerne kun, så længe du har brug for dem, fortæl creatoren, hvad du bruger dem til, og flyt hende ikke over på din marketingliste uden et tilvalg, hvis hun er i Storbritannien eller EU. De fleste små brands ligger under CCPA's grænser, men GDPR gælder for dig i det øjeblik, du sender en gave til en creator i Europa.

Det her er en guide i almindeligt sprog, ikke juridisk rådgivning. Betal for en jurist med speciale i persondata, hvis du får et brev fra en tilsynsmyndighed, hvis du har et databrud, eller hvis du er i nærheden af CCPA-grænserne nedenfor. Til alt andet koster trinene her en eftermiddag.

Dette indlæg handler om loven. Hvordan du overhovedet får en komplet adresse, kan du læse om i sådan indsamler du creatorernes leveringsadresser, og hvordan du beholder din liste, når du forlader et værktøj eller et bureau, i hvem ejer din creator-liste.

Er en creators adresse en personoplysning?

Ja, efter alle de love, der betyder noget her. California Consumer Privacy Act nævner «postadresse» ved navn som en identifikator i definitionen af personoplysninger (Civ. Code § 1798.140). GDPR dækker enhver oplysning om en identificerbar person. En creators brugernavn, mailadresse, telefonnummer, hjemmeadresse, tøjstørrelse og det, du har sendt hende, er alle personoplysninger. At have 80.000 følgere gør ikke en hjemmeadresse offentlig.

Hvilke persondatalove gælder faktisk for et lille brand?

To bemærkninger til tabellen. GDPR-punktet overrasker amerikanske brands. En gratis gave tæller stadig som tilbud om varer, så et brand i Ohio, der sender en gave til en creator i Berlin, behandler hendes data efter GDPR. Pligten i artikel 27 til at udpege en repræsentant i EU har en undtagelse for behandling, der er «lejlighedsvis» og af lav risiko, hvilket en håndfuld gaver om måneden sandsynligvis er. Et fast EU-program er mindre entydigt. For danske brands er der ikke tale om en udenlandsk repræsentant, men Datatilsynet er den myndighed, der fører tilsyn.

Hvad angår CCPA, er tallet $26.625.000 den inflationsjustering, California Privacy Protection Agency har foretaget, gældende fra 1. januar 2025 (selve loven siger stadig $25 millioner). Testen på 100.000 tæller data, du køber, sælger eller «deler», og «deling» omfatter at give data videre til annonceplatforme til adfærdsbaseret annoncering på tværs af kontekster. En webshop med meget trafik, der kører annoncepixels, kan komme tæt på den grænse via butikkens besøgende, ikke via sine creators. Kan det være dig, er det det, du skal spørge en jurist om.

Må du bruge en creators adresse uden hendes samtykke?

Ja. Det er den del, de fleste brands får bagvendt. Samtykke er kun ét af seks behandlingsgrundlag efter GDPR artikel 6, og det er det svageste til forsendelse, fordi det kan trækkes tilbage når som helst. To bedre grundlag passer til gifting:

• Aftale eller skridt forud for en aftale (art. 6, stk. 1, litra b). Creatoren bad om gaven og gav dig sin adresse, så du kunne sende den. Behandling «på den registreredes anmodning» er dækket.
• Legitim interesse (art. 6, stk. 1, litra f). Du har en legitim interesse i at sende produkter til creators, og en creator, der har afleveret sin adresse, forventer, at du sender til den.

Det, GDPR kræver, er gennemsigtighed. Artikel 13 siger, at du på det sted, hvor oplysningerne indsamles, skal fortælle personen, hvem du er, hvorfor du indsamler dataene og på hvilket retsgrundlag, hvem der ellers modtager dem, hvor længe du opbevarer dem, og hvilke rettigheder hun har. Det er en information, ikke en samtykkeboks. Privatlivslinjen nedenfor dækker det.

Grænsen er formålet. Data indsamlet «til udtrykkeligt angivne og legitime formål» kan ikke genbruges til noget uforeneligt (art. 5, stk. 1, litra b). At sende gaven, følge op på opslaget og sende en ny gave hører under formålet. At tilføje hende til dit ugentlige nyhedsbrev gør ikke.

Må du sætte creators, der har fået en gave, på din marketingmail-liste?

Amerikanske creators: juridisk ja, uden forudgående samtykke. CAN-SPAM er en lov om fravalg. Ifølge FTC's vejledning skal hver kommerciel mail have en tydelig afmelding, din gyldige fysiske postadresse og ærlige afsenderoplysninger og emnelinjer, og du skal respektere afmeldinger inden for 10 hverdage. Hver mail, der overtræder reglerne, kan koste op til $53.088. Lovligt er ikke det samme som klogt: En kampagnemail dagen efter, at PR-pakken er landet, får en creator til at føle sig som et lead.

Britiske og EU-creators: som udgangspunkt nej, ikke uden samtykke. Den britiske myndighed, ICO, siger, at du ikke må sende marketingmails til enkeltpersoner, medmindre de udtrykkeligt har givet samtykke. Undtagelsen «soft opt-in» dækker folk, der har købt eller forhandlet om at købe noget af dig. En gave er ikke et køb, så læn dig ikke op ad den. EU-lande anvender lignende regler efter ePrivacy-direktivet; i Danmark er det markedsføringsloven, der kræver forudgående samtykke til elektronisk post til markedsføring.

Svaret, der virker overalt: en ikke-afkrydset, valgfri boks på gift-formularen, «Send mig lanceringer og nyt fra brandet på mail». Den, der krydser af, kommer på listen. Ingen andre gør. Mails fra person til person om hendes gave, hendes opslag og din næste gave er ikke masseudsendelser og kræver ikke boksen.

Hvor længe må du opbevare creatoradresser?

GDPR's regel er «ikke længere end nødvendigt» for formålet (art. 5, stk. 1, litra e). Den fastsætter intet bestemt tal, så du sætter et og skriver det ned. En politik, der er let at forsvare:

• Aktive creators: behold deres adresse, mens du sender dem gaver. Gentagen gifting er en del af det oprindelige formål.
• Inaktive creators: slet adressen fra arbejdslister (regneark, CRM, mailværktøj) efter 24 måneder uden en ny gave. Behold gerne brugernavnet og en note om «gave sendt, har postet».
• Ordreregistreringer: behold dem, så længe dine regnskabsregler kræver det. Den amerikanske IRS-grundregel er 3 år fra indberetning, i nogle tilfælde længere. I Danmark kræver bogføringsloven som udgangspunkt, at regnskabsmateriale opbevares i fem år efter regnskabsårets udløb. Dine gaveordrer på $0 er de registreringer, og GDPR lader dig beholde data, du er juridisk forpligtet til at opbevare (art. 17, stk. 3, litra b).
• Regneark delt med en virtuel assistent: det værst tænkelige sted for adresser. Slet rækkerne, når ordren er sendt. Ordren indeholder allerede adressen.

Hvad gør du, når en creator beder dig slette hendes data?

Det sker sjældent, og det tager cirka 20 minutter. Gør det samme dag.

1. Bekræft, at det virkelig er hende. Svar fra den tråd eller konto, hun brugte over for dig, ikke en ny ukendt adresse.
2. Find alle kopier. Shopify, regneark, mailværktøj, DM'er du har eksporteret og alt, et bureau eller en virtuel assistent har.
3. Slet i Shopify. Brug Flere handlinger og derefter Slet personoplysninger på hendes kundeprofil. Shopify siger, at sletningsanmodningen dækker din butik og de apps og kanaler, du har installeret, og at salgsoplysninger som hvad der blev solgt og hvornår forbliver synlige med de personlige oplysninger fjernet. Du er ansvarlig for alle andre, du har delt dataene med.
4. Bed skriftligt dit bureau eller din virtuelle assistent om at slette deres kopi, og få en «færdig» tilbage.
5. Svar creatoren. GDPR giver dig en måned, som kan forlænges med yderligere to måneder ved komplekse anmodninger (art. 12, stk. 3). CCPA, hvis den gælder for dig, giver 45 dage, som kan forlænges én gang med 45 (§ 1798.130).

Et svar, du kan bruge:

Hej [navn], så er det gjort. Vi har slettet din adresse, dit telefonnummer og din mailadresse fra vores creator-registre og har bedt [bureau/værktøj] om at gøre det samme. Vi gemmer en registrering af selve ordren af hensyn til regnskabet, med dine personlige oplysninger fjernet, hvor vores systemer tillader det. Du hører ikke fra os igen, medmindre du selv kontakter os.

Må du dele din creator-liste med et bureau eller en virtuel assistent?

Ja, så længe de arbejder for dig og ikke for sig selv. Loven behandler det som en databehandler (GDPR) eller tjenesteudbyder (CCPA), og begge kræver en skriftlig kontrakt, der begrænser, hvad de må gøre med dataene. GDPR artikel 28 kræver, at behandlingen er «reguleret af en kontrakt». I praksis:

• Skriv en data-klausul ind i bureauets kontrakt. De bruger kun creator-data til dine kampagner, genbruger dem ikke til andre kunder, holder dem sikre og sletter eller returnerer dem, når samarbejdet slutter. De fleste bureauer har en standard databehandleraftale; bed om den.
• Giv adgang, send ikke filer. En plads i et værktøj, du selv kontrollerer, kan tages tilbage. Et regneark i en andens indbakke er permanent.
• Byt ikke lister med andre brands. At give dine creatoradresser videre til et venligtsindet brand til deres gifting er ikke længere behandling på dine vegne. Det er en videregivelse til en anden dataansvarlig og muligvis et «salg» efter delstatslov. Del brugernavne, ikke adresser, og lad det andet brand spørge creatoren direkte.

Den realistiske risiko for et lille brand er ikke en GDPR-bøde. Det teoretiske loft er 20 millioner euro eller 4 % af den globale omsætning (art. 83, stk. 5), men tilsynsmyndighederne fokuserer på større fisk. Den virkelige risiko er et lækket ark med creatorernes hjemmeadresser og den creator, der finder ud af, hvordan hendes slap ud. Det er et omdømmeproblem i et miljø, hvor alle taler sammen.

En privatlivslinje til din gift-formular

Sæt den direkte over send-knappen, og link til din fulde privatlivspolitik:

Vi bruger dit navn, din adresse, dit telefonnummer og din mailadresse til at sende din gave og til at kontakte dig om den og om fremtidige gaver. Vi deler dem kun med vores fragt- og fulfillment-leverandører og de værktøjer, vi bruger til at køre gifting. Vi opbevarer din adresse, mens vi sender dig gaver, og sletter den efter 24 måneders inaktivitet, bortset fra ordreregistreringer, vi skal gemme af hensyn til regnskabet. Hvis du vil se eller slette dine data, så skriv til [privacy@dittbrand.dk]. Vi tilføjer dig ikke til marketingmails, medmindre du krydser boksen nedenfor af.

Tilføj derefter et kort afsnit om «Creator gifting» i din butiks privatlivspolitik, der siger det samme, inklusive retsgrundlaget for creators i EU og Storbritannien (for at opfylde den gave, du har bedt om, og vores legitime interesse i at arbejde sammen med creators). Kører du gifting med Seed, lader gift-formularen dig tilføje din egen vilkårstekst med en aftaleboks, så informationen står præcis der, hvor creatoren indtaster sin adresse. Hver indsendelse bliver en Shopify-ordre frem for en række i et delt ark.

Tjeklisten

• Privatlivslinje på gift-formularen, linket til din politik.
• Tilvalg til marketingmails som en separat, ikke-afkrydset boks.
• Adresser ligger i Shopify-ordrer, ikke i delte regneark.
• Skriftlig regel for opbevaring: 24 måneders inaktivitet, regnskabsbilag efter kravene.
• En data-klausul i hver aftale med bureau eller virtuel assistent.
• En sletterutine, du kan køre på 20 minutter.

Til resten af dine creator-papirer, se guiden til influencer-kontrakter og gifting-aftaler. Til gaver, der sendes til udlandet, se international creator gifting, forsendelse og told.

FAQ

Skal jeg have samtykke for at gemme en creators leveringsadresse?

Ikke efter GDPR, hvis du bruger den til at sende den gave, hun har bedt om. Forsendelse er dækket af «opfyldelse af en aftale» eller skridt, der tages på creatorens anmodning (artikel 6, stk. 1, litra b), eller af legitim interesse (artikel 6, stk. 1, litra f). Det, du har brug for, er gennemsigtighed: Fortæl creatoren på det sted, hvor oplysningerne indsamles, hvem du er, hvad du bruger dem til, hvor længe du opbevarer dem, og hvordan hun kan bede om sletning.

Gælder CCPA for mit lille Shopify-brand?

Sandsynligvis ikke. CCPA gælder for virksomheder med gevinst som formål, der driver forretning i Californien og opfylder én af tre betingelser: en årlig bruttoomsætning over $26.625.000 (den inflationsjusterede sats for 2025), køb, salg eller deling af personoplysninger om 100.000 eller flere californiske forbrugere eller husstande om året, eller halvdelen eller mere af omsætningen fra salg eller deling af personoplysninger. De fleste brands, der sender gaver til creators, opfylder ingen af dem.

Kan jeg tilføje creators, der har fået en gave, til min marketingmail-liste?

I USA kræver CAN-SPAM ikke forudgående samtykke, men hver marketingmail skal have en fungerende afmelding, der respekteres inden for 10 hverdage, din fysiske postadresse og ærlige emnelinjer. For britiske og EU-creators kræver marketingmails til enkeltpersoner som udgangspunkt forudgående samtykke, og «soft opt-in» for eksisterende kunder er knyttet til et køb, hvilket en gave ikke er. Det rene svar overalt er en ikke-afkrydset tilvalgsboks på gift-formularen.

Hvor længe må jeg opbevare creatoradresser?

GDPR siger ikke længere, end du har brug for dem til det formål, de blev indsamlet til. En forsvarlig politik for et lille brand: Behold adressen, mens du aktivt sender gaver til den creator, slet den fra arbejdslister efter cirka 24 måneder uden en ny gave, og behold ordreregistreringer, så længe dine regnskabsregler kræver det (i USA er IRS' grundregel 3 år).

Hvad gør jeg, hvis en creator beder mig slette hendes data?

Bekræft, hvem hun er, slet hende fra dine regneark, dit mailværktøj og enhver kopi hos et bureau, og brug Shopifys handling «Slet personoplysninger» på hendes kundeprofil, som dækker din butik og installerede apps. Svar inden for en måned til creators i EU og Storbritannien (GDPR artikel 12, stk. 3), eller 45 dage under CCPA, hvis den gælder for dig. Oplysninger, du er juridisk forpligtet til at opbevare, fx regnskabsbilag, må blive.

Kan jeg dele min creator-liste med et bureau?

Ja, hvis bureauet arbejder på dine vegne og under en skriftlig kontrakt, der begrænser, hvad de må gøre med data. Efter GDPR er det en databehandleraftale (artikel 28); efter CCPA en kontrakt med en tjenesteudbyder. Giv adgang via et værktøj, du selv kontrollerer, frem for at mail et regneark, og tag adgangen tilbage, når samarbejdet slutter. At sælge eller bytte listen med et andet brand er en anden handling og kræver et langt stærkere grundlag.