Il tuo negozio raccoglie dati dei clienti ogni singolo giorno. Indirizzi email al checkout. Numeri di telefono per la spedizione. Dati di pagamento. Indirizzi IP dall'analisi dei dati. Cronologia di navigazione dai pixel di tracciamento. Ogni dato che raccogli comporta la responsabilità legale di proteggerlo e di spiegare ai clienti come lo usi.
Qui entrano in gioco privacy policy, consenso ai cookie e GDPR. Non sono semplici formalità legali. Sono le regole che disciplinano come raccogli, conservi e usi le informazioni dei clienti. Se le sbagli, rischi multe, sfiducia dei clienti e problemi legali. Se le fai bene, costruisci fiducia nel tuo brand.
La maggior parte dei titolari di negozi salta la privacy perché la trova noiosa e complicata. È complicata. Ma questo articolo spiega che cosa devi fare davvero.
Che cos'è il GDPR e a chi si applica
GDPR sta per General Data Protection Regulation, il regolamento generale sulla protezione dei dati. È una legge dell'Unione Europea che stabilisce le regole su come le aziende raccolgono e usano i dati personali. Se hai anche un solo cliente nell'UE, il GDPR si applica a te. Se il tuo negozio serve un qualsiasi cliente nell'UE, devi rispettare il GDPR.
Il GDPR non è facoltativo. Non è un suggerimento. La Commissione Europea ha multato aziende per miliardi di euro per averlo violato. Una grande azienda di software ha pagato 20 milioni di USD. Facebook ha pagato 5 miliardi di USD. Sono aziende enormi. Un piccolo negozio online potrebbe pagare multe più basse, ma il principio è lo stesso: le violazioni del GDPR costano care.
Il principio di base del GDPR è semplice: i clienti sono i proprietari dei loro dati. Tu li hai in prestito, per un po'. Devi chiedere il permesso prima di raccoglierli. Devi spiegare che cosa ne fai. E devi cancellarli quando te lo chiedono.
Le regole chiave del GDPR per i negozi e-commerce
Serve il permesso prima di raccogliere i dati
Non puoi raccogliere indirizzi email, numeri di telefono o altre informazioni personali senza un consenso chiaro. Al checkout servono caselle di consenso esplicito (opt-in), non caselle già spuntate. Se un cliente toglie la spunta da una casella che dice "Accetto di ricevere email di marketing", non puoi iscriverlo al marketing. Serve il suo consenso attivo e informato.
Vale per le liste di marketing, per il tracciamento analitico e per i cookie pubblicitari. Se usi Google Analytics, devi dire ai clienti che lo usi e dare loro un modo per rifiutare. Se usi Facebook Pixel per fare retargeting, ti serve il consenso prima che il pixel si attivi.
Devi spiegare che cosa fai con i dati
La tua privacy policy non è solo un documento legale. È una comunicazione con i tuoi clienti. Devi spiegare in modo semplice (non in gergo legale) quali dati raccogli, perché li raccogli, per quanto tempo li conservi e chi vi ha accesso. Il GDPR richiede che queste informazioni siano "facilmente accessibili" e "in un linguaggio semplice e chiaro".
Una privacy policy nascosta dietro 5 clic o scritta in gergo legale non rispetta lo standard di "semplice e chiaro".
Devi cancellare i dati quando te lo chiedono
I clienti hanno il diritto di chiederti di cancellare le loro informazioni. Si chiama "diritto all'oblio". Se un cliente ti scrive per chiedere di eliminare il suo account e i suoi dati, hai 30 giorni per farlo. Non puoi fargli pagare nulla. Non puoi ignorare la richiesta. Devi cancellare i dati e confermare che non ci sono più.
Devi segnalare le violazioni dei dati
Se i dati dei tuoi clienti vengono compromessi o rubati, hai 72 ore per segnalarlo alle autorità europee. Devi anche avvisare i clienti coinvolti. Non puoi nascondere una violazione né sperare che nessuno se ne accorga. Questo obbligo da solo ha reso il GDPR costoso per molte aziende, perché impone trasparenza e responsabilità. Per le migliori pratiche di sicurezza al checkout, leggi come tenere sicuro il checkout del tuo negozio online.
I trasferimenti di dati richiedono un'autorizzazione
Se conservi i dati dei clienti fuori dall'UE, devi usare meccanismi di trasferimento approvati. Conta se il tuo gestore dei pagamenti è negli Stati Uniti, se usi un servizio email con sede negli Stati Uniti o se fai il backup dei dati in un data center americano. Non puoi spostare i dati dei clienti europei dove capita. Servono quadri giuridici in regola.
Che cos'è una privacy policy e perché ti serve
Una privacy policy è un documento che spiega come il tuo negozio raccoglie, usa e protegge le informazioni dei clienti. È richiesta dal GDPR, da molte leggi dei singoli stati degli Stati Uniti e dagli standard del settore. Senza, violi la legge e i clienti non hanno modo di capire come gestisci i loro dati.
La tua privacy policy deve coprire:
Quali dati raccogli
Elenca ogni tipo di dato che raccogli. Comprende cose ovvie come indirizzi email e indirizzi di spedizione, ma anche cose meno ovvie come gli indirizzi IP dal server del tuo sito, i cookie dell'analisi dei dati, il tracciamento del comportamento e i dati di posizione. Sii specifico. Non scrivere solo "informazioni personali". Scrivi "indirizzo email, numero di telefono, indirizzo di spedizione, cronologia degli acquisti e comportamento di navigazione". Se accetti pagamenti tramite un gateway di pagamento, la tua privacy policy deve spiegare quali dati di pagamento vengono gestiti dal tuo fornitore. Leggi come funzionano i gateway di pagamento per capire quali dati passano dal tuo sistema di pagamento.
Come li raccogli
Raccogli i dati tramite moduli, pagine di checkout o cookie? Tramite l'assistenza clienti o i ticket di supporto? Tramite strumenti di analisi o pixel pubblicitari? Spiega i metodi. Qui devi citare Google Analytics, Facebook Pixel, il tuo fornitore di pagamenti o qualsiasi altro strumento usi per raccogliere dati.
Perché li raccogli
Raccogli gli indirizzi email per elaborare gli ordini e inviare gli aggiornamenti sulla spedizione. Raccogli i numeri di telefono per l'assistenza clienti. Raccogli i dati analitici per capire come i visitatori usano il tuo sito. Usi i cookie per ricordare i clienti, così non devono accedere ogni volta. Spiega il motivo commerciale di ogni tipo di raccolta di dati.
Per quanto tempo li conservi
Non conservi i dati per sempre. Devi definire i periodi di conservazione. Potresti conservare la cronologia degli acquisti per 7 anni per motivi fiscali e legali. Potresti conservare gli indirizzi email per 3 anni dopo l'ultimo acquisto a fini di marketing. Potresti conservare i ticket di supporto per 1 anno. Qualunque sia la tua politica di conservazione, scrivila in modo chiaro.
Chi vi ha accesso
Se usi un gestore dei pagamenti, questo ha accesso ai dati di pagamento. Se usi un corriere, questo ha accesso agli indirizzi e può usare quelle informazioni per la consegna. Se esternalizzi l'assistenza clienti, il tuo team di supporto vede nomi e indirizzi email dei clienti. Elenca tutte le terze parti che possono vedere i dati dei clienti e spiega perché. Per i dettagli su come funziona la spedizione, leggi come impostare la spedizione per il tuo negozio online.
Come li proteggi
Usi certificati SSL per cifrare i dati in transito? Richiedi password robuste? Fai backup regolari dei dati? Formi il tuo team sulla sicurezza dei dati? Spiega le tue misure di sicurezza. Se la tua sicurezza è debole, dillo comunque, ma poi impegnati a migliorarla.
I diritti dei clienti
Con il GDPR i clienti hanno il diritto di accedere ai propri dati, correggerli, cancellarli e trasferirli a un altro servizio. La tua privacy policy deve dire loro come esercitare questi diritti. Inserisci un indirizzo email o un modulo di contatto con cui i clienti possono chiedere l'accesso o la cancellazione dei dati.
Consenso ai cookie e tracciamento
I cookie sono piccoli file che i siti web salvano sul computer di un cliente per ricordarlo. Servono a tenerti connesso, a ricordare gli articoli nel carrello e a tracciare il tuo comportamento tra un sito e l'altro.
Il GDPR distingue tra cookie necessari e cookie non necessari. I cookie necessari (come quelli del carrello o di sessione) non richiedono il consenso. Tutti gli altri sì.
Cookie necessari che non richiedono il consenso
I cookie del carrello sono necessari perché senza di loro i clienti perderebbero il carrello ogni volta che passano a una nuova pagina. I cookie di sessione che ti tengono connesso sono necessari. I cookie di sicurezza che prevengono le frodi sono necessari. Puoi usare questi cookie senza chiedere il permesso, perché servono al funzionamento del negozio.
Cookie non necessari che richiedono il consenso
I cookie analitici (Google Analytics, strumenti di mappe di calore, analisi dei prodotti) non sono necessari per gestire il tuo negozio. Ti aiutano a capire i comportamenti, ma il negozio funziona benissimo senza. Capire i dati dei visitatori è utile per l'ottimizzazione, ma i clienti devono dare il consenso prima che tu li tracci. I cookie di marketing e i pixel di retargeting (Facebook Pixel, tracciamento delle conversioni di Google Ads) non sono assolutamente necessari. Questi cookie tracciano i clienti su internet per mostrare loro annunci. Richiedono il consenso esplicito prima di attivarsi. Per una panoramica di ciò che puoi imparare dall'analisi dei dati, leggi come usare l'analisi dei dati per capire il comportamento dei visitatori.
Come attivare il consenso ai cookie
Ti serve un banner di consenso ai cookie che compaia quando un cliente visita il tuo sito per la prima volta. Il banner deve spiegare quali cookie usi e perché. Dovrebbe avere almeno tre opzioni: Accetta tutto, Rifiuta i non necessari e Personalizza. "Accetta tutto" deve essere un solo pulsante. Anche "Rifiuta" deve essere facile da cliccare (non sepolto in un menu). I clienti devono poter dire no ai cookie analitici e di marketing senza perdere la possibilità di comprare.
Non rendere il consenso confuso con trucchi ingannevoli come "Accetta" in grandi lettere blu e "Rifiuta" in piccolo testo grigio. Viola il GDPR. Entrambe le opzioni devono essere ugualmente visibili e cliccabili.
Puoi usare uno strumento per il consenso ai cookie. Questi servizi gestiscono il banner, il consenso al tracciamento e l'aggiornamento delle preferenze. Costano, ma ti fanno risparmiare rischi legali.
La privacy per i negozi fuori dall'UE
Il GDPR è una legge dell'UE, ma le norme sulla privacy esistono ovunque. Se il tuo negozio opera in California, sei soggetto al CCPA (California Consumer Privacy Act). Se sei in Virginia, c'è il VDPA. Il Canada ha il PIPEDA. Il Brasile ha la LGPD. L'Australia ha gli APP.
Queste leggi non sono identiche al GDPR, ma seguono principi simili: i clienti sono i proprietari dei loro dati, devi chiedere il permesso, devi essere trasparente e devi cancellare i dati quando te lo chiedono.
Se hai clienti in più regioni, non puoi avere una sola privacy policy che vada bene ovunque. Devi rispettare la legge più severa che ti riguarda. Per la maggior parte dei negozi è il GDPR, perché è il più severo. Se rispetti il GDPR, probabilmente sei in regola anche con la maggior parte delle altre leggi sulla privacy.
Termini e condizioni e privacy policy a confronto
La tua privacy policy e i tuoi termini e condizioni sono documenti diversi con scopi diversi.
La privacy policy riguarda come gestisci i dati: che cosa raccogli, perché, per quanto tempo li conservi e come i clienti possono accedervi o cancellarli.
I termini e condizioni riguardano come i clienti possono usare il tuo negozio: condizioni di pagamento, politica sui resi, politica sui rimborsi, limiti di responsabilità e che cosa i clienti non possono fare. Un cliente potrebbe essere d'accordo con la tua gestione dei dati (privacy) ma non con la tua politica di non rimborso (termini).
Servono entrambi i documenti. Per i dettagli su come scrivere i termini e condizioni, leggi come scrivere i termini e condizioni per il tuo negozio online.
Come WEMASY ti aiuta con privacy e conformità
Il Creatore di siti di WEMASY include la cifratura SSL integrata per tutti i dati in transito. I dati dei tuoi clienti sono conservati su server sicuri con backup regolari. WEMASY supporta anche l'aggiunta di privacy policy e banner di consenso ai cookie direttamente nel tuo sito, senza bisogno di codice personalizzato. Puoi configurare quali cookie sono necessari e quali richiedono il consenso, poi lasciare che WEMASY gestisca il flusso del consenso.
Questo non ti toglie la responsabilità legale di avere una privacy policy chiara, ma rende l'attuazione più semplice. Scopri che cosa include il tuo piano WEMASY.
Checklist privacy per il tuo negozio
Prima di andare online, ripassa questa lista:
Privacy policy
Hai una privacy policy sul tuo sito? È accessibile pubblicamente? Spiega quali dati raccogli, perché li raccogli, per quanto tempo li conservi e chi vi ha accesso? Include i contatti per le richieste sui dati? Non copiare la privacy policy di qualcun altro. Le policy generiche non spiegano le tue pratiche specifiche.
Consenso ai cookie
Se usi cookie analitici o di marketing, hai un banner di consenso ai cookie? Dà ai clienti una vera possibilità di rifiutare? Il pulsante di rifiuto è facile da cliccare quanto quello di accettazione? Il banner spiega che cosa fa ogni tipo di cookie?
Sicurezza di base
Usi SSL (HTTPS) per tutto il negozio? Richiedi password robuste? Hai un piano per il caso in cui i dati vengano compromessi? Fai backup regolari dei dati dei clienti?
Strumenti di terze parti
Elenca ogni strumento che usi e che gestisce dati dei clienti: gestore dei pagamenti, corriere, servizio email, piattaforma di analisi, strumento di marketing, software di assistenza. La tua privacy policy li cita tutti? Hai letto le loro privacy policy? Rispettano il GDPR o le leggi del tuo paese?
Procedura di cancellazione dei dati
Se un cliente ti scrive per chiedere di cancellare i suoi dati, hai una procedura per farlo? Sai come cancellare i dati dal sistema del tuo negozio, dal gestore dei pagamenti, dal servizio email e da ogni altro strumento? Serve una procedura documentata, non un'ipotesi.
Consulenza legale
Hai consultato un avvocato sulla privacy? Non serve un avvocato per ogni domanda, ma per il tuo primo negozio vale la pena dedicare 1-2 ore a una consulenza legale per assicurarti di essere sulla strada giusta. Molti avvocati rivedono una privacy policy di base per 200-400 EUR.
Domande frequenti
Mi serve una privacy policy se il mio negozio è piccolo?
Sì. Il GDPR e le altre leggi sulla privacy si applicano a prescindere dalle dimensioni del negozio. Anche un negozio con 10 clienti al mese ha l'obbligo legale di proteggere i loro dati e di spiegare come li usa. Una privacy policy è il minimo legale.
Posso usare una privacy policy modello?
Sì, ma solo come punto di partenza. I generatori di privacy policy creano testi basati sui tuoi strumenti e sulle tue pratiche specifiche. Non copiare parola per parola la policy di un concorrente. La policy deve corrispondere alle tue pratiche reali sui dati. Se la tua policy dice che cancelli i dati dopo 1 anno ma in realtà li conservi per 7 anni, crei una responsabilità legale.
E se non ho clienti nell'UE?
Potresti comunque avere obblighi sulla privacy. Gli Stati Uniti hanno il CCPA in California e il VDPA in Virginia. Il Canada ha il PIPEDA. Il Brasile ha la LGPD. La maggior parte dei paesi ha una qualche forma di legge sulla privacy. Anche se ti rivolgi solo a clienti statunitensi, è più sicuro seguire il GDPR perché è il più severo. Rispettare il GDPR di solito significa rispettare anche le leggi meno severe.
Quanto costa davvero una privacy policy?
Puoi generare una policy di base gratis con un generatore di privacy policy. Per una policy personalizzata scritta da un avvocato, calcola 500-2.000 EUR. La maggior parte dei piccoli negozi parte da una policy generata e la fa rivedere da un avvocato per 200-400 EUR, per assicurarsi che copra la propria situazione specifica.
Qual è la differenza tra GDPR e CCPA?
Il GDPR è una legge dell'UE. Il CCPA è una legge dello stato della California. Il GDPR è più severo. Entrambi danno ai clienti il diritto di accedere ai dati, cancellarli e correggerli. Entrambi richiedono il consenso opt-in per il marketing. Il GDPR richiede il consenso prima di raccogliere la maggior parte dei dati. Il CCPA permette la raccolta ma richiede opzioni di rifiuto (opt-out). Se rispetti il GDPR, probabilmente sei in regola anche con il CCPA.
Come rispondo a una richiesta di cancellazione dei dati di un cliente?
Quando un cliente chiede di cancellare i suoi dati, rispondi entro 30 giorni. Elimina il suo account dal sistema del negozio. Eliminalo dalla tua lista di email marketing. Rimuovilo dall'analisi dei dati. Chiedi al tuo gestore dei pagamenti di cancellare i suoi dati. Conferma per iscritto che i suoi dati sono stati cancellati. Conserva la documentazione della cancellazione, nel caso tu debba dimostrare di aver rispettato la richiesta.