Hvis du sender gratis produkter til creators, behandler du personoplysninger: navn, leveringsadresse, telefonnummer, mailadresse og brugernavn. Som dansk brand er du underlagt GDPR og den danske databeskyttelseslov, og Datatilsynet er den myndighed, der fører tilsyn. Det lyder tungt, men reglerne er til at gå til, og de fleste krav kan løses på en eftermiddag. Det her er en guide i almindeligt sprog, ikke juridisk rådgivning. Har du et databrud, et brev fra Datatilsynet eller et komplekst setup, så tal med en jurist.

Er en creators adresse en personoplysning?

Ja. Efter GDPR er alle oplysninger om en identificerbar person personoplysninger. En creators navn, hjemmeadresse, telefonnummer, mailadresse, tøjstørrelse og det, du har sendt hende, hører alle med. At hun har mange følgere, gør ikke hendes hjemmeadresse offentlig.

Skal du have samtykke for at sende en gave?

Nej, som udgangspunkt ikke. Det er den del, de fleste brands får bagvendt. Samtykke er kun ét af seks mulige behandlingsgrundlag efter GDPR artikel 6, og det er det svageste til forsendelse, fordi det kan trækkes tilbage når som helst. To bedre grundlag passer til gifting:

  • Aftale eller skridt forud for en aftale (art. 6, stk. 1, litra b). Creatoren bad om gaven og gav dig sin adresse, så du kunne sende den.
  • Legitim interesse (art. 6, stk. 1, litra f). Du har en legitim interesse i at sende produkter til creators, og en creator, der har afleveret sin adresse, forventer, at du sender til den.

Det, GDPR kræver, er gennemsigtighed. Efter artikel 13 skal du på det sted, hvor oplysningerne indsamles, fortælle personen, hvem du er, hvorfor du indsamler dataene og på hvilket retsgrundlag, hvem der modtager dem, hvor længe du gemmer dem, og hvilke rettigheder hun har. Det er en information, ikke en samtykkeboks.

Grænsen er formålet. Oplysningerne må bruges til at sende gaven, følge op på opslaget og sende en ny gave, men ikke til alt muligt andet. Opbevar dem ikke i et delt regneark, som flere har adgang til, længere end nødvendigt.

Hvad skal der stå i din information?

Sæt en kort tekst direkte over send-knappen på din gift-formular, og link til din fulde privatlivspolitik. Skriv den på dansk, hvis dine creators er danske. Et forslag:

Vi bruger dit navn, din adresse, dit telefonnummer og din mailadresse til at sende din gave og til at kontakte dig om den og om fremtidige gaver. Vi deler dem kun med vores fragt- og fulfillment-leverandører og de værktøjer, vi bruger til at køre gifting. Vi opbevarer din adresse, mens vi sender dig gaver, og sletter den efter 24 måneders inaktivitet, bortset fra ordreregistreringer, vi skal gemme af hensyn til regnskabet. Hvis du vil se eller slette dine data, så skriv til [privacy@dittbrand.dk]. Vi tilføjer dig ikke til marketingmails, medmindre du krydser boksen nedenfor af.

Med Seed kan du tilføje din egen vilkårstekst med en aftaleboks på gift-formularen, så informationen står præcis der, hvor creatoren indtaster sin adresse. Hver indsendelse bliver en ordre i Shopify i stedet for en række i et regneark.

Marketingmails til creators

At du må bruge adressen til at sende en gave, betyder ikke, at du må sende nyhedsbreve. Efter markedsføringsloven kræver elektronisk post til markedsføring som udgangspunkt forudgående samtykke fra modtageren. Den enkleste løsning er en separat, valgfri og ikke-afkrydset boks på formularen: «Send mig lanceringer og nyt fra brandet på mail». Den, der krydser af, kommer på listen. Ingen andre gør. Personlige mails om hendes gave, hendes opslag og din næste gave er ikke masseudsendelser og kræver ikke boksen.

Hvor længe må du gemme adresser?

GDPR siger, at du ikke må gemme oplysninger længere, end det er nødvendigt for formålet. Reglen sætter ikke et fast tal, så du må selv fastsætte en periode og skrive den ned. En politik, der er let at forsvare:

  • Aktive creators: behold adressen, mens du sender dem gaver.
  • Inaktive creators: slet adressen fra arbejdslister (regneark, CRM, mailværktøj) efter for eksempel 24 måneder uden en ny gave.
  • Ordreregistreringer: behold dem, så længe bogføringsloven kræver det. Som udgangspunkt skal regnskabsmateriale opbevares i fem år efter regnskabsårets udløb. Tjek de gældende regler med din revisor.
  • Regneark delt med en medhjælper: det værst tænkelige sted for adresser. Slet rækkerne, når ordren er sendt. Ordren indeholder allerede adressen.

Når en creator beder om sletning

Det sker sjældent og tager cirka 20 minutter. Gør det samme dag:

  1. Bekræft, at det er hende. Svar fra den tråd eller konto, hun brugte over for dig.
  2. Find alle kopier: Shopify, regneark, mailværktøj, eksporterede DM'er og alt, et bureau eller en medhjælper har.
  3. Slet i Shopify med handlingen «Slet personoplysninger» på hendes kundeprofil.
  4. Bed skriftligt dit bureau eller din medhjælper om at slette deres kopi, og få en bekræftelse tilbage.
  5. Svar creatoren uden unødig forsinkelse og senest inden for en måned.

Oplysninger, du er forpligtet til at gemme efter anden lovgivning, som regnskabsbilag, kan blive. Fortæl hende det i svaret.

Bureauer og databehandlere

Hvis et bureau eller en freelancer hjælper dig med gifting og får adgang til creatorernes oplysninger, er de databehandlere. Efter GDPR artikel 28 skal behandlingen være reguleret af en skriftlig databehandleraftale, der begrænser, hvad de må gøre med oplysningerne. I praksis:

  • Skriv en klausul ind i aftalen: De bruger kun oplysningerne til dine kampagner, genbruger dem ikke til andre kunder, holder dem sikre og sletter eller returnerer dem, når samarbejdet slutter.
  • Giv adgang, send ikke filer. En plads i et værktøj, du kontrollerer, kan tages tilbage. Et regneark i en andens indbakke er permanent.
  • Byt ikke lister med andre brands. Det er videregivelse til en anden dataansvarlig og kræver et helt andet grundlag. Del brugernavne, ikke adresser.

Tjekliste

  • Information på gift-formularen, linket til din privatlivspolitik.
  • Tilvalg til marketingmails som en separat, ikke-afkrydset boks.
  • Adresser ligger i Shopify-ordrer, ikke i delte regneark.
  • Skriftlig regel for opbevaring og sletning.
  • Databehandleraftale med hvert bureau eller hver freelancer, der får adgang.
  • En sletterutine, du kan køre på 20 minutter.

Den bredere gennemgang med amerikanske regler finder du i creatoradresser, GDPR og CCPA, og hvordan du indsamler adressen rigtigt fra start, i sådan indsamler du creatorernes leveringsadresser.

Ofte stillede spørgsmål

Er en creators adresse en personoplysning efter GDPR?

Ja. Navn, adresse, telefonnummer, mailadresse og brugernavn er personoplysninger, når de kan knyttes til en bestemt person. Det gælder også, selv om creatoren har mange følgere. At en profil er offentlig, gør ikke hjemmeadressen offentlig.

Skal jeg have samtykke for at gemme en creators leveringsadresse?

Normalt ikke. Når du bruger adressen til at sende den gave, hun har bedt om, kan du støtte dig på aftalegrundlaget (artikel 6, stk. 1, litra b) eller på legitim interesse (artikel 6, stk. 1, litra f). Det, du skal gøre, er at informere hende, når du indsamler oplysningerne, om hvem du er, hvad du bruger dem til, hvor længe du gemmer dem, og hvordan hun kan bede om sletning.

Må jeg sende marketingmails til creators, der har fået en gave?

Ikke uden videre. Efter markedsføringsloven kræver elektronisk post til markedsføring som udgangspunkt forudgående samtykke fra modtageren. Brug en separat, ikke-afkrydset boks på formularen til nyhedsbrevet. Personlige mails om hendes gave og dit samarbejde er ikke masseudsendelser.

Hvor længe må jeg gemme creatoradresser?

Ikke længere, end du har brug for dem til det formål, de blev indsamlet til. Fastsæt en regel og skriv den ned, for eksempel at adressen slettes fra arbejdslister efter cirka 24 måneders inaktivitet. Ordreregistreringer skal du typisk gemme, så længe bogføringsloven kræver det. Tjek de gældende regler med din revisor.

Hvad gør jeg, hvis en creator beder mig slette sine oplysninger?

Bekræft, at det er hende, slet oplysningerne fra alle steder, hvor du har dem (regneark, mailværktøj, bureau, Shopify), og svar uden unødig forsinkelse og senest inden for en måned. Oplysninger, du er forpligtet til at gemme efter anden lovgivning, som regnskabsbilag, kan blive.

Må jeg dele min creator-liste med et bureau?

Ja, hvis bureauet behandler oplysningerne på dine vegne efter en skriftlig databehandleraftale (artikel 28). Giv adgang gennem et værktøj, du selv kontrollerer, frem for at sende regneark rundt, og tag adgangen tilbage, når samarbejdet slutter. Det er noget andet at give listen videre til et andet brand.