Loojate aadressid, GDPR ja CCPA: mida brändid tohivad teha

Sa tohid koguda ja kasutada looja nime, aadressi ja telefoninumbrit, et saata talle kingitus, mida ta küsis, ilma eraldi nõusolekuvalikuruuduta. Hoia andmeid ainult nii kaua, kui vaja, ütle loojale, mida nendega teed, ja ära liiguta teda oma turunduslisti ilma opt-inita, kui ta on Ühendkuningriigis või ELis. Enamik väikebrände jääb CCPA lävenditest allapoole, kuid GDPR puudutab sind hetkest, kui kingid Euroopa loojale.

See on lihtsas keeles juhend, mitte õigusnõu. Maksa privaatsusadvokaadile, kui saad regulaatorilt kirja, kui sul on andmeleke või kui oled allpool toodud CCPA lävendite lähedal. Kõige muu jaoks maksavad siinsed sammud ühe pärastlõuna.

See postitus käsitleb seadust. Täieliku aadressi kogumise kohta vaata kuidas koguda loojate tarneaadresse ja oma nimekirja säilitamise kohta tööriistast või agentuurist lahkudes vaata kellele kuulub sinu loojate nimekiri.

Kas looja aadress on isikuandmed?

Jah, kõigi siin olulise seaduse järgi. California Consumer Privacy Act nimetab isikuandmete definitsioonis „postiaadressi“ otse tunnusena (Civ. Code § 1798.140). GDPR katab igasuguse teabe tuvastatava isiku kohta. Looja kasutajanimi, e-post, telefon, koduaadress, riietuse suurus ja see, mida talle saatsid, on kõik isikuandmed. 80 000 jälgijat ei tee koduaadressi avalikuks.

Millised privaatsusseadused väikebrändile tegelikult kehtivad?

Kaks märkust selle tabeli kohta. GDPR-i punkt tabab USA brände ootamatult. Tasuta kingitus loeb ikkagi kaupade pakkumiseks, nii et Ohio bränd, kes kingib Berliini loojale, töötleb selle looja andmeid GDPR-i alusel. Artikli 27 kohustusel määrata ELi esindaja on erand „juhuslikuks“ ja väikese riskiga töötlemiseks, mis käputäis kingitusi kuus tõenäoliselt on. Püsiv ELi programm on vähem selge.

CCPA puhul on 26 625 000 $ California Privacy Protection Agency inflatsioonikorrektsioon, mis jõustus 1. jaanuaril 2025 (seadus ise ütleb endiselt 25 miljonit $). 100 000 test loeb andmeid, mida sa ostad, müüd või „jagad“, ja „jagamine“ hõlmab andmete edastamist reklaamiplatvormidele kontekstideülese käitumusliku reklaami jaoks. Suure liiklusega pood, mis kasutab reklaamipiksleid, võib selle piirini jõuda poe külastajate, mitte loojate kaudu. Kui see võib olla sina, on see see, mille kohta advokaadilt küsida.

Kas looja aadressi võib kasutada ilma tema nõusolekuta?

Jah. Selle osa saavad enamik brände valesti aru. Nõusolek on GDPR artikli 6 kuuest õiguslikust alusest vaid üks ja saatmiseks nõrgim, sest seda saab igal ajal tagasi võtta. Kaks paremat alust sobivad kinkimisele:

• Leping või lepingueelsed sammud (art. 6(1)(b)). Looja küsis kingitust ja andis sulle oma aadressi, et saaksid selle saata. Töötlemine „andmesubjekti taotlusel“ on kaetud.
• Õigustatud huvi (art. 6(1)(f)). Sul on õigustatud huvi saata tooteid loojatele ja looja, kes oma aadressi andis, ootab, et saadaksid sinna.

Mida GDPR tegelikult nõuab, on läbipaistvus. Artikkel 13 ütleb, et kogumise hetkel ütled inimesele, kes sa oled, miks andmeid kogud ja mis õiguslikul alusel, kes neid veel saab, kui kaua hoiad ja millised õigused tal on. See on teade, mitte nõusoleku valikuruut. Allpool toodud privaatsusrida katab selle.

Piiriks on eesmärk. Andmeid, mis on kogutud „kindlaksmääratud, selgesõnaliselt väljendatud ja õiguspärastel eesmärkidel“, ei saa taaskasutada millekski kokkusobimatuks (art. 5(1)(b)). Kingituse saatmine, postituse järelkontakt ja teise kingituse saatmine sobivad eesmärgiga. Nende lisamine nädalasse uudiskirja ei sobi.

Kas kingitud loojad võib panna oma turundus-e-posti nimekirja?

USA loojad: juriidiliselt jah, ilma eelneva nõusolekuta. CAN-SPAM on loobumisseadus. FTC vastavusjuhendi järgi vajab iga kommertsmeil selget loobumisvõimalust, sinu kehtivat füüsilist postiaadressi ning ausaid päiseid ja teemaridu ning loobumisi tuleb austada 10 tööpäeva jooksul. Iga rikkuv meil võib maksta kuni 53 088 $. Seaduslik ei ole sama mis tark: promo-pomm päev pärast PR-kasti saabumist paneb loojat tundma end liidina.

Ühendkuningriigi ja ELi loojad: üldiselt mitte, mitte ilma nõusolekuta. Ühendkuningriigi regulaator ICO ütleb, et turundusmeile ei tohi eraisikutele saata, kui nad pole selleks selgesõnaliselt nõusoleku andnud. „Pehme opt-in“ erand katab inimesi, kes sinult midagi ostsid või ostmist läbi rääkisid. Kingitus ei ole ost, nii et ära toetu sellele. ELi riigid kohaldavad sarnaseid reegleid e-privaatsuse direktiivi alusel.

Vastus, mis töötab kõikjal: märkimata, valikuline valikuruut kinkimisvormil: „Saada mulle lanseeringuid ja brändiuudiseid e-postiga.“ Kes selle märgib, läheb nimekirja. Keegi teine mitte. Üks-ühele e-kirjad nende kingituse, postituse ja sinu järgmise kingituse kohta ei ole turundusmeilid ega vaja ruutu.

Kui kaua tohib loojate aadresse hoida?

GDPR-i reegel on „mitte kauem, kui on vajalik“ eesmärgi jaoks (art. 5(1)(e)). See ei sea kindlat arvu, nii et sead selle ise ja kirjutad üles. Lihtsalt kaitstav poliitika:

• Aktiivsed loojad: hoia nende aadressi, kuni neile kingid. Uuesti kinkimine on osa algsest eesmärgist.
• Mitteaktiivsed loojad: pärast 24 kuud ilma uue kingituseta kustuta aadress töönimekirjadest (tabelid, CRM, e-posti tööriist). Kasutajanime ja märke „kingitud, postitas“ võid soovi korral alles hoida.
• Tellimuskirjed: hoia neid nii kaua, kui sinu maksukirjed nõuavad. IRS-i alus on 3 aastat esitamisest, mõnel juhul kauem. Eestis kehtivad raamatupidamisdokumentide säilitamise nõuded, mille täpse tähtaja kontrolli oma raamatupidajalt. Sinu 0 $ kingitustellimused on need kirjed ja GDPR lubab sul hoida andmeid, mida pead seaduse järgi säilitama (art. 17(3)(b)).
• Virtuaalassistendiga jagatud tabelid: halvim koht aadressidele. Kustuta read, kui tellimus on saadetud. Tellimus juba sisaldab aadressi.

Mida teha, kui looja palub oma andmed kustutada?

See juhtub harva ja võtab umbes 20 minutit. Tee see samal päeval.

1. Kinnita, et see on tõesti tema. Vasta lõimest või kontolt, mida ta sinuga kasutas, mitte uuelt tundmatult aadressilt.
2. Leia iga koopia. Shopify, tabelid, e-posti tööriist, eksporditud DM-id ja kõik, mida agentuur või virtuaalassistent hoiab.
3. Kustuta Shopifys. Tema kliendiprofiilil kasuta More actions, siis Erase personal data. Shopify ütleb, et kustutustaotlus hõlmab sinu poodi ning paigaldatud rakendusi ja kanaleid ning et müügiandmed, nagu mida ja millal müüdi, jäävad nähtavaks isiklike andmete kustutatuna. Sina vastutad kõigi teiste eest, kellega andmeid jagasid.
4. Ütle oma agentuurile või virtuaalassistendile kirjalikult, et nad oma koopia kustutaksid, ja saa tagasi kinnitus „tehtud“.
5. Vasta loojale. GDPR annab sulle ühe kuu, keeruliste taotluste puhul pikendatav kahe kuu võrra (art. 12(3)). CCPA, kui see sind puudutab, annab 45 päeva, kord pikendatav 45 päeva võrra (§ 1798.130).

Vastus, mille saad kopeerida:

Tere, [nimi], tehtud. Oleme kustutanud sinu aadressi, telefoninumbri ja e-posti oma loojate kirjetest ning palunud [agentuuril/tööriistal] teha sama. Hoiame maksuvajaduse tõttu tellimuse enda kirjet, kus sinu isiklikud andmed on meie süsteemide lubatud ulatuses eemaldatud. Meist sa enam ei kuule, kui ise ei võta ühendust.

Kas loojate nimekirja võib agentuuri või virtuaalassistendiga jagada?

Jah, kui nad töötavad sinu heaks, mitte enda heaks. Seadus käsitleb seda volitatud töötlejana (GDPR) või teenuseosutajana (CCPA) ja mõlemad nõuavad kirjalikku lepingut, mis piirab, mida nad andmetega teha tohivad. GDPR artikkel 28 nõuab, et töötlemist „reguleeritaks lepinguga“. Praktikas:

• Pane agentuurilepingusse andmeklausel. Nad kasutavad loojate andmeid ainult sinu kampaaniate jaoks, ei taaskasuta neid teiste klientide jaoks, hoiavad need turvaliselt ning kustutavad või tagastavad need koostöö lõppedes. Enamikul agentuuridel on tavaline andmetöötluse leping; küsi seda.
• Anna ligipääs, ära saada faile. Koht tööriistas, mida kontrollid, on tühistatav. Tabel kellegi postkastis on püsiv.
• Ära vaheta nimekirju teiste brändidega. Oma loojate aadresside andmine sõbralikule brändile nende kinkimiseks ei ole enam töötlemine sinu nimel. See on avaldamine teisele vastutavale töötlejale ja võimalik „müük“ osariigi seaduse järgi. Jaga kasutajanimesid, mitte aadresse, ja lase teisel brändil looja käest ise küsida.

Väikebrändi tegelik risk ei ole GDPR-i trahv. Teoreetiline lagi on 20 miljonit € või 4% ülemaailmsest käibest (art. 83(5)), kuid regulaatorid keskenduvad suurematele kaladele. Tegelik risk on loojate koduaadressidega lekkinud tabel ja looja, kes saab teada, kuidas tema oma välja jõudis. See on maineprobleem kogukonnas, kus kõik räägivad.

Privaatsusrida, mille kinkimisvormile kleepida

Pane see otse esitusnupu kohale ja lingi see oma täieliku privaatsuspoliitikaga:

Kasutame sinu nime, aadressi, telefoni ja e-posti, et saata sinu kingitus ning võtta sinuga selle ja tulevaste kingituste osas ühendust. Jagame neid ainult oma saatmis- ja täitmisteenuse pakkujatega ning tööriistadega, mida kinkimise korraldamiseks kasutame. Hoiame sinu aadressi, kuni sulle kingime, ja kustutame selle pärast 24 kuud tegevusetust, välja arvatud tellimuskirjed, mida peame maksuvajaduseks säilitama. Oma andmete nägemiseks või kustutamiseks kirjuta aadressil [privacy@yourbrand.com]. Me ei lisa sind turundusmeilidele, kui sa allolevat ruutu ei märgi.

Seejärel lisa oma poe privaatsuspoliitikasse lühike lõik „Loojatele kinkimine“, mis ütleb sama, sh õiguslik alus ELi ja Ühendkuningriigi loojate jaoks (sinu küsitud kingituse täitmiseks ja meie õigustatud huvi loojatega töötamiseks). Kui käitad kinkimist Seediga, lasevad kinkimisvorm sul lisada oma tingimuste teksti koos nõustumise valikuruuduga, nii et teade asub täpselt seal, kus looja oma aadressi sisestab. Iga esitamine muutub Shopify tellimuseks, mitte jagatud tabeli reaks.

Kontrollnimekiri

• Privaatsusrida kinkimisvormil, lingitud sinu poliitikaga.
• Turundusmeili opt-in eraldi, märkimata ruuduna.
• Aadressid elavad Shopify tellimustes, mitte jagatud tabelites.
• Kirjalik säilitusreegel: 24 kuud tegevusetust, maksukirjed vastavalt nõuetele.
• Andmeklausel igas agentuuri- või virtuaalassistendilepingus.
• Kustutamisrutiin, mille saad 20 minutiga läbi teha.

Ülejäänud loojadokumentide jaoks vaata influencer-lepingu ja kinkimislepingu juhendit. Välismaale saadetavate kingituste kohta vaata rahvusvaheline loojatele kinkimine, saatmine ja toll.

KKK

Kas ma vajan nõusolekut looja tarneaadressi salvestamiseks?

GDPR-i alusel mitte, kui kasutad seda looja küsitud kingituse saatmiseks. Saatmine on kaetud „lepingu täitmisega“ või looja taotlusel astutud sammudega (artikkel 6(1)(b)) või õigustatud huviga (artikkel 6(1)(f)). Mida sa vajad, on läbipaistvus: ütle loojale kogumise hetkel, kes sa oled, milleks andmeid kasutad, kui kaua neid hoiad ja kuidas kustutamist taotleda.

Kas CCPA kehtib minu väikesele Shopify brändile?

Tõenäoliselt mitte. CCPA kehtib kasumit taotlevatele ettevõtetele, mis tegutsevad Californias ja vastavad ühele kolmest testist: aastane brutotulu üle 26 625 000 $ (2025. aasta inflatsiooniga korrigeeritud summa), 100 000 või enama California tarbija või leibkonna isikuandmete ostmine, müümine või jagamine aastas või poole või enama tulu teenimine isikuandmete müümisest või jagamisest. Enamik loojatele kinkivaid brände ei vasta ühelegi.

Kas ma võin kingitud loojad oma e-posti turunduse nimekirja lisada?

USA-s CAN-SPAM ei nõua eelnevat nõusolekut, kuid iga turundusmeil vajab töötavat loobumisvõimalust, mida austatakse 10 tööpäeva jooksul, sinu füüsilist postiaadressi ja ausaid teemaridu. Ühendkuningriigi ja ELi loojate puhul vajab turundusmeil eraisikutele üldjuhul eelnevat nõusolekut ning olemasolevate klientide „pehme opt-in“ on seotud ostuga, mida kingitus ei ole. Puhas vastus kõikjal on märkimata valikuruut kinkimisvormil.

Kui kaua tohin loojate aadresse hoida?

GDPR ütleb, et mitte kauem, kui on vaja eesmärgil, milleks need koguti. Kaitstav poliitika väikebrändile: hoia aadressi, kuni aktiivselt sellele loojale kingid, kustuta see töönimekirjadest umbes 24 kuud pärast viimast kingitust ja hoia tellimuskirjeid nii kaua, kui sinu maksukirjed nõuavad (IRS-i alus on 3 aastat; Eestis kehtivad raamatupidamise säilitamisnõuded, mille kohta küsi oma raamatupidajalt).

Mida teha, kui looja palub oma andmed kustutada?

Kinnita, kes ta on, kustuta ta oma tabelitest, e-posti tööriistast ja iga agentuuri koopiast ning kasuta Shopify tegevust „Erase personal data“ tema kliendiprofiilil, mis hõlmab sinu poodi ja paigaldatud rakendusi. Vasta ELi ja Ühendkuningriigi loojatele ühe kuu jooksul (GDPR artikkel 12(3)) või 45 päeva jooksul CCPA alusel, kui see sind puudutab. Kirjed, mida pead seaduse järgi hoidma, nagu maksukirjed, võivad jääda.

Kas ma võin oma loojate nimekirja agentuuriga jagada?

Jah, kui agentuur töötab sinu nimel ja kirjaliku lepingu alusel, mis piirab, mida nad andmetega teha tohivad. GDPR-i all on see volitatud töötleja leping (artikkel 28); CCPA all teenuseosutaja leping. Anna ligipääs sinu kontrollitava tööriista kaudu, mitte tabelit e-postiga saates, ning tühista see, kui koostöö lõpeb. Nimekirja müümine või vahetamine teise brändiga on teine tegu ja vajab palju tugevamat alust.