Zásady ochrany osobních údajů vs. obchodní podmínky: jaký je rozdíl?

Představte si, že každý z dokumentů odpovídá na jinou otázku. Zásady ochrany osobních údajů odpovídají na otázku co se děje s mými daty? Obchodní podmínky odpovídají na otázku jaká tu platí pravidla a co se stane, když se něco pokazí?

Takto vypadá srovnání vedle sebe:

• Účel: zásady ochrany osobních údajů informují; podmínky stanoví závazná pravidla mezi vámi a vašimi uživateli.
• Proč existují: zásady ochrany osobních údajů obvykle existují proto, že je vyžaduje zákon o ochraně soukromí nebo platforma; podmínky existují proto, že chcete dohodu, na kterou se můžete spolehnout.
• Hlavní publikum: zásady ochrany osobních údajů se obracejí na uživatele, dozorové úřady a recenzenty aplikací; podmínky se obracejí na uživatele a ve sporu na soud nebo rozhodce.
• Koho zavazují: zásady ochrany osobních údajů popisují vaše vlastní postupy a mohou být použity proti vám, pokud jsou nepřesné; podmínky se snaží stanovit povinnosti oběma stranám.
• Přijetí: informace o ochraně osobních údajů musíte poskytnout, nikoli nechat přijmout; podmínky obecně potřebují souhlas uživatele, aby fungovaly jako smlouva.

Právě poslední bod lidé přehlížejí nejčastěji. Když po uživatelích chcete, aby „souhlasili se zásadami ochrany osobních údajů“, neuděláte z nich smlouvu a nevznikne tím ani platný souhlas se zpracováním údajů. Zásady ochrany osobních údajů jsou informace, které lidem dlužíte. Podmínky jsou dohoda, kterou jim nabízíte, a v registračním procesu byste je nikdy neměli zaměňovat.

Podle tohoto rozdělení se rozhodněte, kam která věta patří.

Témata zásad ochrany osobních údajů:

• kdo jste a jak vás kontaktovat ve věcech ochrany soukromí
• jaké osobní údaje shromažďujete a z jakých zdrojů
• proč je používáte a podle GDPR právní základ pro každý účel
• zpracovatelé, reklamní partneři a další příjemci
• mezinárodní předávání a jeho záruky
• doby uchovávání
• práva uživatelů a jak je uplatnit
• cookies a podobné sledovací technologie

Témata obchodních podmínek:

• způsobilost, účty a odpovědnost za zabezpečení
• přijatelné užívání a zakázané jednání
• vlastnictví vašeho obsahu a licence, kterou získáváte k uživatelskému obsahu
• platby, předplatné, obnovení, zrušení a vrácení peněz
• pozastavení a ukončení
• vyloučení záruk a omezení odpovědnosti v mezích zákona
• rozhodné právo, řešení sporů a změny podmínek

Některá témata se týkají obou dokumentů. Smazání účtu patří do podmínek jako smluvní záležitost a do zásad ochrany osobních údajů jako otázka uchovávání a práv. V takovém případě každý dokument pokrývá svůj vlastní úhel pohledu a místo opakování odkazuje na ten druhý. Úplnou stránku ochrany soukromí najdete v článku co by měly obsahovat zásady ochrany osobních údajů.

V mnoha situacích ano. Povinnost vyplývá z právních předpisů o ochraně osobních údajů, nikoli ze smluvního práva, a váže se k tomu, co shromažďujete, ne k velikosti vašeho webu.

• EU a Spojené království: články 13 a 14 GDPR a UK GDPR vyžadují, abyste lidem při shromažďování jejich osobních údajů poskytli konkrétní informace, včetně své totožnosti, účelů, právních základů, příjemců, dob uchovávání a práv.
• Kalifornie: CalOPPA vyžaduje, aby provozovatelé komerčních webů a online služeb, kteří shromažďují osobně identifikovatelné údaje obyvatel Kalifornie, viditelně zveřejnili zásady ochrany osobních údajů.
• Další regiony: Kanada, Brazílie, Austrálie i Nový Zéland mají zákony o ochraně soukromí s povinnostmi otevřenosti nebo informování, i když se liší prahové hodnoty a podrobnosti.
• Obchody s aplikacemi: Apple i Google Play očekávají u aplikací, které distribuují, odkaz na zásady ochrany osobních údajů bez ohledu na to, kde vývojář sídlí.

Už kontaktní formulář, přihlášení k newsletteru nebo analytický skript obvykle znamenají, že se zpracovávají osobní údaje, takže jen velmi málo skutečných webů nespadá pod žádné pravidlo. Podrobnější výklad najdete v článcích potřebuji zásady ochrany osobních údajů a požadavky GDPR na zásady ochrany osobních údajů. Pokud je odpověď pro váš projekt ano, zveřejněte zásady ochrany osobních údajů ještě před spuštěním a nečekejte, až si o ně řekne uživatel nebo recenzent.

Obvykle ne takto plošně. Žádné obecné pravidlo neříká, že každý web musí zveřejnit podmínky služby. Zveřejňujete je proto, že vás smlouva chrání: stanoví, kdo smí službu používat, co nesmí dělat, komu patří obsah, jak fungují platby a vrácení peněz a jak se řeší spory.

Existují však důležité výjimky, kdy zákon informace v podobě podmínek fakticky vyžaduje:

• Online prodej v EU a Spojeném království: prodejci musí spotřebitelům poskytnout konkrétní předsmluvní informace, například celkovou cenu, právo na odstoupení od smlouvy a vyřizování stížností, a musí smluvní podmínky zpřístupnit tak, aby si je lidé mohli uložit a reprodukovat.
• Uživatelský obsah v EU: zprostředkovatelské služby, včetně mnoha webů, které hostují příspěvky nebo nahrané soubory uživatelů, musí podle aktu o digitálních službách (Digital Services Act) popsat ve svých podmínkách omezení obsahu a jeho moderování.
• Předplatné v USA: firmy s opakovanými platbami se musí řídit federálními a státními pravidly o informování, souhlasu a zrušení.

Pokud se na vás nic z toho nevztahuje, jsou podmínky obchodním rozhodnutím, nikoli zákonnou povinností, i když obvykle rozumným. Náš návod potřebuji obchodní podmínky prochází jednotlivé spouštěče jeden po druhém a generátor podmínek služby promění vaše odpovědi v koncept, jehož náhled si můžete zdarma prohlédnout.

Protože se publikum liší, liší se i styl psaní.

Zásady ochrany osobních údajů musí být podle článku 12 GDPR stručné, transparentní, srozumitelné a snadno přístupné. Dozorové úřady je čtou, aby ověřily, zda to, co tvrdíte, odpovídá tomu, co váš produkt skutečně dělá. Recenzenti aplikací kontrolují, zda odkaz existuje a funguje. Uživatelé, kterým záleží na soukromí, v nich hledají sdílení, reklamu a mazání. Každé tvrzení by mělo být faktem, který dokážete doložit: které zpracovatele používáte, jak dlouho data uchováváte a jak lidé uplatňují svá práva.

Obchodní podmínky se většinou čtou, když se něco pokazilo: při sporu o vrácení peněz, zablokovaném účtu, stížnosti na porušení autorských práv nebo zpětném zúčtování platby (chargeback). Srozumitelnost je stále důležitá, protože spotřebitelské právo EU a Spojeného království vykládá nejasné podmínky ve prospěch spotřebitele. Podmínky ale smějí být rázné. Stanoví limity, vyhrazují práva a rozdělují rizika.

Praktický důsledek: nikdy do žádného z dokumentů nekopírujte sliby ze své marketingové stránky. Zásady ochrany osobních údajů, které tvrdí, že data se „nikdy nesdílejí“, zatímco provozujete reklamní pixel, nebo podmínky slibující nepřerušovanou službu se stanou důkazem proti vám, nikoli ochranou. Oba dokumenty pište věcným, faktickým jazykem někoho, kdo počítá s tím, že bude kontrolován.

Můžete je zveřejnit na jedné stránce, ale málokdy to pomůže a vznikají tím tři zbytečné problémy.

1. Souhlas se zamotá. Čl. 7 odst. 2 GDPR stanoví, že pokud se žádá o souhlas v písemném prohlášení, které se týká i jiných skutečností, musí být žádost o souhlas jasně odlišitelná od těchto jiných skutečností. Když schováte oprávnění ke zpracování dat uvnitř smlouvy, těžko pak doložíte platný souhlas.
2. Smluvní formulace proniknou do informací. Fráze jako „souhlasíte s tím, že můžeme shromažďovat“ naznačují, že informace o ochraně soukromí jsou něčím, o čem uživatelé vyjednávají. Podle GDPR není souhlas se smlouvou totéž co souhlas se zpracováním a každý účel potřebuje vlastní právní základ srozumitelně vysvětlený.
3. Aktualizace se střetnou. Když přidáte nový analytický nástroj, možná budete muset aktualizovat zásady ochrany osobních údajů, aniž byste po všech chtěli znovu přijmout celou smlouvu, a platí to i naopak.

Čistším řešením jsou dva dokumenty se vzájemnými odkazy. Podmínky uvádějí, že zásady ochrany osobních údajů vysvětlují, jak se nakládá s osobními údaji, a zásady ochrany osobních údajů zůstávají samostatným informačním dokumentem. Pokud chcete, aby uživatelé při registraci viděli oba, zobrazte vedle tlačítka pro souhlas dva samostatné odkazy a dejte jasně najevo, že souhlas se týká pouze podmínek.

Umístění se řídí funkcí.

• Patička každé stránky: odkažte na oba dokumenty, aby je návštěvníci kdykoli našli.
• Registrace a pokladna: umístěte podmínky vedle akce, kterou vzniká smlouva, s formulací jako „Vytvořením účtu souhlasíte s podmínkami služby“ a k tomu odkaz na zásady ochrany osobních údajů pro informaci.
• Místa sběru dat: kontaktní formuláře, přihlášení k newsletteru a formuláře pro získávání kontaktů by měly odkazovat na zásady ochrany osobních údajů přímo tam, kde se data shromažďují.
• Obchody s aplikacemi: URL zásad ochrany osobních údajů patří do polí v záznamu aplikace v obchodě a Apple navíc nabízí samostatné pole pro licenční smlouvu.
• Uvnitř aplikací: obrazovka nastavení nebo informací o aplikaci by měla odkazovat na oba dokumenty.

Umístění není ozdoba. Soudy v USA odmítly vymáhat podmínky, na které vedl jen odkaz v patičce, když o nich uživatelé neměli rozumnou možnost vědět, takže to, kde se vaše podmínky zobrazují, přímo ovlivňuje, zda někoho zavazují. Zásady ochrany osobních údajů, které v okamžiku sběru nikdo nenajde, také neplní svůj účel, i když někde na vašem webu existují. Podrobné vzory umístění najdete v článku kam umístit odkaz na zásady ochrany osobních údajů.

Rozpory mezi zásadami ochrany osobních údajů a podmínkami obvykle vznikají tím, že se píší v různou dobu podle různých šablon. Jeden dokument říká, že se účty mažou po 30 dnech, druhý uvádí 90. Jeden tvrdí, že data nikdy neprodáváte, druhý uděluje partnerům licenci k uživatelskému obsahu.

Bezpečnější postup:

1. Sepište fakta jednou: shromažďovaná data, zpracovatele, platební kanál, uživatelský obsah, obsluhované regiony a věkové limity.
2. Z těchto faktů sepište nebo vygenerujte zásady ochrany osobních údajů.
3. Ze stejných faktů sepište nebo vygenerujte podmínky.
4. Porovnejte společná témata: mazání, uchovávání, komunikaci, uživatelský obsah a služby třetích stran.
5. Zveřejněte oba dokumenty s jasným datem účinnosti a staré verze si ponechte.

Legal Policy Generator postupuje právě takto. Odpovídáte na srozumitelné otázky a on sestaví verzované, deterministické klauzule pro zásady ochrany osobních údajů nebo podmínky služby; za běhu žádné klauzule nepíše AI. Dotazník a úplný náhled jsou zdarma bez účtu a jednoduché stažení v HTML nebo PDF je zdarma. Pokročilé regionální nebo volitelné moduly stojí $5. Výstup odráží fakta, která zadáte, a nepředstavuje právní poradenství.