По GDPR интернет-магазин может передавать данные покупателей партнёрам только при законном основании, с понятным уведомлением покупателя и правильным договором. Самый безопасный вариант для совместных акций — вообще не передавать персональные данные, а дать покупателю самому перейти к партнёру.
Что считается передачей данных
Персональные данные — любая информация, по которой можно прямо или косвенно определить человека: имя, email, телефон, адрес, номер заказа, идентификатор устройства. Передача — когда эти данные получает другая компания: вы выгружаете список, отправляете через API, встраиваете на страницу скрипт партнёра, который читает данные заказа.
Последний случай часто упускают. Если скрипт партнёра на странице «Спасибо» получает email покупателя или сумму заказа вместе с идентификатором, это тоже передача. Проверьте, что именно отправляет каждый плагин и пиксель.
Законные основания
Статья 6 GDPR перечисляет основания для обработки. Для передачи партнёрам в маркетинговых целях обычно рассматривают два.
| Основание | Когда подходит | Ограничения |
|---|---|---|
| Согласие (ст. 6(1)(a)) | Покупатель отдельно отметил, что согласен передать данные конкретному партнёру | Добровольное, отдельное от заказа, его можно отозвать |
| Законный интерес (ст. 6(1)(f)) | Обработка ожидаема для покупателя и не перевешивает его права | Нужна оценка баланса интересов; для передачи третьим лицам в маркетинговых целях применять осторожно |
| Исполнение договора (ст. 6(1)(b)) | Передача службе доставки, платёжной системе | Не покрывает маркетинг партнёров |
Роли: контролёр, обработчик, совместные контролёры
- Обработчик (ст. 28): обрабатывает данные по вашему поручению, например сервис рассылок. Нужен договор обработки данных (DPA).
- Самостоятельный контролёр: партнёр получает данные и использует их в своих целях. Нужно основание для передачи и уведомление покупателя.
- Совместные контролёры (ст. 26): вы с партнёром вместе определяете цели и способы обработки, например общая акция с общей формой. Нужно соглашение о распределении обязанностей, его суть сообщают покупателю.
Что сказать покупателю
Статья 13 GDPR требует сообщать при сборе данных: кто контролёр, цели и основания обработки, получатели или категории получателей, срок хранения, права покупателя. Если вы планируете передавать данные партнёрам, это должно быть в политике конфиденциальности и в понятном виде рядом с формой, где покупатель соглашается.
Если партнёр находится за пределами ЕЭЗ, добавляются требования к международной передаче (глава V GDPR): решение о достаточности защиты или стандартные договорные условия.
Рассылки: GDPR плюс LSSI
Для email-рекламы в Испании кроме GDPR действует статья 21 закона LSSI. Без предварительного согласия магазин может отправлять клиенту рекламу только своих товаров или услуг, похожих на купленные, и в каждом письме должен быть простой бесплатный способ отказаться.
Отсюда вывод: реклама партнёров по email на базе «мягкого согласия» не проходит, нужно явное согласие на получение предложений партнёров. Если вы добавляете партнёрский блок в сервисное письмо с чеком, обсудите формат с юристом: часть письма становится коммерческим сообщением.
Схемы от рискованной к безопасной
| Схема | Риск | Что нужно |
|---|---|---|
| Выгрузка базы клиентов партнёру | Высокий | Отдельное согласие на передачу конкретному партнёру, учёт согласий |
| Скрипт партнёра читает данные заказа | Высокий | Согласие, договор, проверка, что именно уходит |
| Общая форма акции с партнёром | Средний | Соглашение совместных контролёров, уведомление |
| Ссылка на предложение партнёра без данных | Низкий | Только неперсональная метка клика |
Безопасная схема для партнёрских предложений
Покупатель видит предложение, сам переходит по ссылке и сам оставляет данные на сайте партнёра, по его политике конфиденциальности. Магазин передаёт только обезличенную метку перехода, чтобы засчитать результат. Так устроен ThanklyClub: плагин не передаёт имена, email, адреса и телефоны покупателей, а для подбора предложений использует категории товаров, диапазон суммы заказа, валюту, страну и язык.
Частые ошибки магазинов
- Одна общая галочка «согласен с условиями и на передачу данных партнёрам»: согласие должно быть отдельным и добровольным.
- Заранее отмеченные чекбоксы согласия.
- Пиксели рекламных сетей на странице «Спасибо», которые получают email или телефон покупателя без согласия.
- Нет списка получателей в политике конфиденциальности.
- Нет договоров с сервисами рассылок и аналитики.
Пример: акция с партнёром без передачи данных
Магазин обуви договаривается с фитнес-приложением о пробном месяце для покупателей. На странице «Спасибо» и в письме с чеком появляется блок с описанием предложения и кнопкой. Ссылка содержит только неперсональный идентификатор клика. Покупатель, которому интересно, переходит в приложение и регистрируется там сам, принимая политику конфиденциальности приложения.
Магазин не передаёт ни email, ни имя, ни состав заказа. Приложение сообщает о регистрации по идентификатору клика, и магазин получает выплату. Политику конфиденциальности магазина всё равно стоит дополнить: какие сервисы задействованы в показе предложений и какие технические данные они получают.
Сроки хранения и удаление
GDPR требует хранить данные не дольше, чем нужно для цели. Определите сроки: данные заказов — по требованиям бухгалтерского и налогового учёта, согласия на рассылку — пока они действуют и пока вы можете доказать их получение, данные брошенных корзин — короткий срок. Проверьте, что плагины действительно удаляют данные по этим срокам.
Чек-лист
- Составьте список всех плагинов, скриптов и пикселей на странице «Спасибо» и в письмах и проверьте, какие данные они получают.
- Для каждого получателя определите роль и основание.
- Подпишите DPA с обработчиками.
- Обновите политику конфиденциальности: получатели, цели, сроки.
- Разделите согласие на рассылку магазина и на предложения партнёров.
- Сложные случаи обсудите с юристом или специалистом по защите данных.
Частые вопросы
Можно ли передать email покупателя партнёру для рассылки?
Только с отдельным добровольным согласием покупателя на передачу этому партнёру. Согласие на рассылку магазина не распространяется на партнёров.
Нужно ли согласие, чтобы показать покупателю предложение партнёра?
Если партнёр не получает персональных данных и покупатель сам переходит по ссылке, сам показ предложения не требует передачи данных. Учитывайте правила cookie и коммерческих сообщений.
Какие штрафы предусматривает GDPR?
Статья 83 GDPR предусматривает штрафы до 20 млн € или до 4% мирового годового оборота за наиболее серьёзные нарушения, в зависимости от того, что больше.
Чем обработчик отличается от контролёра?
Контролёр определяет цели и способы обработки, обработчик действует по его поручению и не использует данные в своих целях.
Подключите магазин за 5 минут
Плагин бесплатный. Вы получаете 60% выплаты партнёра за каждого нового клиента.
