Näin luot tietosuojaselosteen verkkosivustollesi

Tietosuojaseloste on vain yhtä hyvä kuin sen taustalla oleva kartoitus. Ennen kuin kirjoitat sanaakaan, käy sivusto läpi sekä kävijänä että ylläpitäjänä ja kirjaa ylös jokainen kohta, jossa tietoja tulee sisään tai lähtee ulos:

• Lomakkeet: yhteydenotto-, tarjouspyyntö-, ajanvaraus-, uutiskirje- ja työhakemuslomakkeet, mukaan lukien piilokentät ja tiedostolataukset.
• Käyttäjätilit: rekisteröityminen, kirjautuminen, salasanan palautus ja profiilisivut.
• Analytiikka: Google Analytics, kotisivualustan sisäänrakennettu analytiikka, lämpökartat ja istuntojen tallennus.
• Evästeet ja paikallinen tallennustila: mitä kukin niistä tekee ja kuka sen asettaa.
• Upotukset: YouTube- tai Vimeo-soittimet, kartat, sosiaalisen median syötteet, ajanvarauswidgetit ja chat-kuplat.
• Isännöinti ja tietoturva: palvelinlokit, sisällönjakeluverkot, palomuurit ja CAPTCHA-työkalut.
• Sähköposti ja markkinointi: uutiskirjealustat, asiakkuudenhallintajärjestelmät (CRM) ja mainospikselit.
• Maksut: kassasivut, maksunvälittäjät ja laskutustyökalut.

Nopea tekninen tarkistus auttaa. Avaa selaimesi kehittäjätyökalut, lataa muutama sivu yksityisessä ikkunassa ja katso evästeet, tallennustila ja verkkopyynnöt. Jokainen näkemäsi kolmannen osapuolen verkkotunnus on palveluntarjoaja, joka saattaa olla mainittava selosteessasi.

Lähes jokainen verkkosivusto kerää henkilötietoja, vaikka omistaja ei koskaan pyytäisi niitä. Isännöintipalvelusi tallentaa IP-osoitteita palvelinlokeihin, analytiikkaskriptit asettavat tunnisteita, ja jo yksi yhteydenottolomake kerää nimiä ja sähköpostiosoitteita. Useat lait tekevät tästä velvollisuuden julkaista tietosuojaseloste:

• GDPR ja Britannian GDPR: 13 ja 14 artikla luettelevat tiedot, jotka sinun on annettava ihmisille, kun keräät heidän tietojaan, ja 12 artikla edellyttää, että tiedot ovat tiiviitä, läpinäkyviä ja helposti saatavilla.
• CalOPPA: kaupallisten verkkosivustojen, jotka keräävät henkilön tunnistettavia tietoja Kalifornian asukkailta, on julkaistava tietosuojaseloste näkyvästi.
• Muut säännöstöt: Kanada, Australia, Brasilia ja Uusi-Seelanti edellyttävät kaikki, että organisaatiot kertovat avoimesti, miten ne käsittelevät henkilötietoja.

Alustojen ehdot lisäävät omia vaatimuksiaan. Sekä Google Analytics että Google AdSense edellyttävät asianmukaista tietosuojaselostetta ennen kuin otat ne käyttöön. Jos haluat kokonaiskuvan siitä, kenen on julkaistava seloste, lue tarvitsenko tietosuojaselosteen? ja oppaamme siitä, mitä tapahtuu, jos sinulla ei ole tietosuojaselostetta.

Muuta kartoitus yksinkertaiseksi taulukoksi, jossa on viisi saraketta: mitä tietoja, miksi keräät niitä, kuka ne saa, kuinka kauan säilytät niitä ja, jos GDPR on sovellettavissa, mihin käsittelyperusteeseen nojaat. Tästä taulukosta tulee selosteen runko.

Pieni esimerkki pienen studion verkkosivustolta:

• Yhteydenottolomake: nimi, sähköpostiosoite, viesti. Tarkoitus: vastata yhteydenottoon. Palveluntarjoaja: sähköpostipalvelusi. Säilytys: 12 kuukautta keskustelun päättymisestä.
• Analytiikka: katsotut sivut, laitetyyppi, IP-osoitteesta päätelty likimääräinen sijainti. Tarkoitus: ymmärtää, mitkä sivut toimivat. Palveluntarjoaja: analytiikkapalvelusi. Säilytys: analytiikka-asetuksissa määritetty aika.
• Uutiskirje: sähköpostiosoite ja tilauspäivä. Tarkoitus: lähettää päivityksiä, joita henkilö on pyytänyt. Palveluntarjoaja: sähköpostimarkkinointialustasi. Säilytys: kunnes hän peruu tilauksen.

Ole täsmällinen asetuksista, jotka muuttavat vastausta, kuten analytiikan säilytysajasta, mainosominaisuuksista tai tietojen jakamisen valinnoista. Oppaamme analytiikan tietosuojatiedoista näyttää, mitkä analytiikka-asetukset vaikuttavat siihen, mitä sinun on kerrottava.

Useimmat verkkosivustojen tietosuojaselosteet noudattavat samaa runkoa, koska lait esittävät samat peruskysymykset. Käytä selkeitä otsikoita, joita kävijä voi silmäillä:

1. Kuka olet ja miten sinuun saa yhteyden, mukaan lukien tietosuoja-asioiden sähköpostiosoite.
2. Mitä henkilötietoja keräät lähteittäin ryhmiteltyinä: lomakkeet, käyttäjätilit, automaattinen keruu ja kolmannet osapuolet.
3. Miksi käytät niitä, sekä käsittelyperuste silloin, kun GDPR tai Britannian GDPR on sovellettavissa.
4. Evästeet ja vastaavat tekniikat sekä tapa muuttaa valintoja.
5. Kuka tiedot saa: isännöinti-, sähköposti-, analytiikka-, maksu- ja mainospalvelujen tarjoajat.
6. Kansainväliset siirrot ja suojatoimet, joihin nojaat.
7. Kuinka kauan säilytät kutakin tietoluokkaa.
8. Ihmisten oikeudet ja niiden käyttäminen.
9. Lasten tiedot, tietoturva ja se, miten ilmoitat muutoksista.

Kirjoita aktiivimuodossa ja kerro, mitä todella teet. ”Käytämme Google Analyticsia sivujen katselukertojen laskemiseen” on selkeämpi kuin ”saatamme käyttää erilaisia tekniikoita”. Tarkistuslista mitä tietosuojaselosteen pitäisi sisältää? selittää jokaisen osion tarkemmin.

Alueelliset osiot ovat kohta, jossa moni pieni verkkosivusto menee vikaan joko sivuuttamalla sitä koskevat lait tai kopioimalla osioita laeista, jotka eivät koske sitä.

• EU- ja UK-kävijät: jos tarjoat tavaroita tai palveluja ihmisille EU:ssa tai Yhdistyneessä kuningaskunnassa tai seuraat heidän käyttäytymistään, oleta, että GDPR tai Britannian GDPR on sovellettavissa. Tarvitset käsittelyperusteet, oikeudet, siirrot ja oikeuden tehdä valitus valvontaviranomaiselle. Katso GDPR-tietosuojaselosteen opas.
• Kalifornia: CalOPPA koskee kaupallisia sivustoja, jotka keräävät henkilön tunnistettavia tietoja Kalifornian asukkailta, ja edellyttää muun muassa lausumaa siitä, miten reagoit Do Not Track -signaaleihin. CCPA koskee vain yrityksiä, jotka ylittävät sen raja-arvot, kuten inflaatiokorjatun liikevaihtorajan tai 100 000:n tai useamman kalifornialaisen kuluttajan tai kotitalouden henkilötietojen käsittelyn. Katso CCPA- ja CPRA-opas.
• Muut Yhdysvaltain osavaltiot, Kanada, Brasilia, Australia ja Uusi-Seelanti: kullakin on omat soveltamisedellytyksensä ja käsitteistönsä.

Ilmoita vain oikeuksista ja velvoitteista, jotka koskevat sinua. Seloste, joka lupaa oikeuksia, joita et koskaan toteuta, luo oman riskinsä.

Sinulla on kolme realistista vaihtoehtoa, ja jokaisessa on omat kompromissinsa.

• Kirjoita itse: ilmaista ja täysin räätälöityä, mutta hidasta, ja pakollisia lausumia, kuten siirtojen suojatoimia tai Do Not Track -muotoilua, on helppo unohtaa.
• Kopioi toisen sivuston seloste: nopeaa mutta riskialtista. Toisen sivuston käytännöt, palveluntarjoajat ja lakisääteiset velvoitteet eivät ole sinun, ja teksti on yleensä tekijänoikeudella suojattu. Selitämme syyt oppaassa voinko kopioida tietosuojaselosteen?
• Käytä mallipohjaa tai generaattoria: nopeampaa, kunhan työkalu kysyy todellisista käytännöistäsi sen sijaan, että täyttäisi aukot yleisillä lupauksilla.

Legal Policy Generatorin verkkosivuston tietosuojaselostegeneraattori valitsee kolmannen tien. Vastaat selkeisiin kysymyksiin lomakkeista, analytiikasta, seurannasta, palveluntarjoajista ja alueista. Työkalu valitsee sitten vastauksiisi sopivat versioidut lausekkeet, eikä mikään tekoäly kirjoita lausekkeita ajon aikana. Kysely, koko esikatselu sekä yksinkertainen HTML- ja PDF-lataus ovat maksuttomia ilman tiliä. Edistyneet alueelliset tai valinnaiset moduulit maksavat 5 dollaria. Valitsitpa minkä tien tahansa, lopputulos ei ole oikeudellista neuvontaa, joten tarkista se todellisia asetuksiasi vasten.

Anna selosteelle oma sivu, jolla on lyhyt ja pysyvä osoite, kuten /privacy tai /privacy-policy. Pysyvä URL-osoite on tärkeä, koska liität sen sovelluskauppoihin, mainosalustoille, sähköpostityökaluihin ja kassa-asetuksiin, ja rikkinäinen linkki niissä voi pysäyttää tarkistuksen.

Yleiset vaiheet ovat samat lähes kaikilla alustoilla:

1. Luo uusi sivu otsikolla Tietosuojaseloste.
2. Liitä selosteen teksti tai HTML sivun sisältöön tai linkitä isännöityyn kopioon.
3. Lisää voimaantulopäivä yläreunaan, jotta lukijat tietävät, mitä versiota he lukevat.
4. Julkaise sivu ja avaa se yksityisessä ikkunassa varmistaaksesi, että se latautuu ilman kirjautumista.
5. Tarkista, että otsikot, luettelot ja linkit säilyivät liittämisessä.

Legal Policy Generatorin yksinkertaisen HTML-latauksen voi liittää kotisivualustan sivulle. Jos haluat mieluummin linkittää julkiseen verkkosivuun, valinnainen julkinen isännöinti maksaa kertaluonteisesti 0,99 dollaria lisää, ja 5 dollarin kuukausitilaus sisältää isännöinnin tilauksen ollessa voimassa. Alustakohtaisia neuvoja saat oppaasta näin lisäät tietosuojaselosteen Wixiin, Squarespaceen, Webflow'hun tai Shopifyhin.

Seloste, jota kukaan ei löydä, ei juuri auta. Sijoita vähintään Tietosuojaseloste-niminen linkki jokaisen sivun alatunnisteeseen, jotta se näkyy etusivulla ja kaikkialla, minne kävijä saapuu.

Lisää sitten asiayhteyteen sopivat linkit jokaiseen keruukohtaan:

• Lähetyspainikkeen viereen yhteydenotto-, tarjouspyyntö- ja uutiskirjelomakkeissa.
• Käyttäjätilin rekisteröitymis- ja kassasivuille.
• Evästebanneriin tai asetuskeskukseen, jos käytät sellaista.
• Sovelluskauppojen tuotesivuille, mainosalustojen asetuksiin ja OAuth-suostumusnäkymiin, jotka pyytävät tietosuojaselosteen URL-osoitetta.

Käytä selkeää linkkitekstiä, pidä linkki näkyvissä mobiiliasetteluissa ja varmista, että se toimii ilman JavaScriptiä. Oppaamme mihin tietosuojaselosteen linkki kannattaa sijoittaa käsittelee yksityiskohtaisesti CalOPPAn vaatimusta julkaista seloste näkyvästi (”conspicuously post”) sekä GDPR:n odotuksia.

Tietosuojaseloste kuvaa verkkosivustoasi yhtenä hetkenä, ja verkkosivustot muuttuvat jatkuvasti. Tarkista seloste aina, kun jokin näistä tapahtuu:

• Lisäät tai poistat lisäosan, skriptin, upotuksen tai integraation.
• Vaihdat isännöinti-, sähköposti-, analytiikka- tai maksupalvelun tarjoajaa.
• Aloitat mainonnan, uudelleenkohdentamisen tai verkkomyynnin.
• Alat palvella kävijöitä uudessa maassa tai uudella alueella.
• Laki, johon nojaat, muuttuu, tai alusta päivittää ehtojaan.

Säilytä päivätty kopio jokaisesta versiosta, muuta voimaantulopäivää aina, kun teksti muuttuu, ja kerro olennaisista muutoksista tavalla, joka sopii suhteeseesi ihmisiin, kuten sivustoilmoituksella tai sähköpostilla käyttäjätilien haltijoille. Lyhyt tarkistus muutaman kuukauden välein, vaikka mikään ei näyttäisi muuttuneen, paljastaa työkalut, joita tiimiläiset ovat lisänneet hiljaisesti. Lue kuinka usein tietosuojaseloste pitää päivittää?, niin saat käytännöllisen tarkistusaikataulun.