GDPR i Webshop

Alla företag som hanterar personuppgifter och är verksamma inom EU måste följa dataskyddsförordningen GDPR (General Data Protection Regulation). Det innebär att du som företagare ansvarar för att dina kunders, anställdas och leverantörers personuppgifter hanteras på ett säkert sätt.

Grundprinciper för GDPR:

• Du får bara behandla personuppgifter om du uppfyller kraven i lagen.
• Du får bara samla in personuppgifter för ett angivet syfte.
• Du får bara samla in de uppgifter som är nödvändiga för att uppfylla syftet.
• Har du personuppgifter måste du hålla dem korrekta och uppdaterade.
• När syftet är uppnått ska uppgifterna tas bort.
• Personuppgifter ska förvaras säkert så de inte ändras eller stjäls.

• Du ska kunna bevisa att din hantering av personuppgifter uppfyller villkoren enligt GDPR.

På spiris.se hittar du mer allmän information om vad GDPR är.

Här kan du läsa mer om vad du behöver göra för att uppfylla kraven för personuppgiftshantering enligt GDPR när du arbetar i Webshop.

• Du bör få samtycke från dina kunder och specificera att du har rätt att lagra och använda deras uppgifter för att uppfylla villkoren för ditt åtagande Under Inställningar - Shopinställningar på fliken Samtycke, kan du markera Visa och kräv samtycke av kunden i kassan. När du markerar rutan, kommer en checkbox med en länk till din information om samtycke att visas i kassan. Där finns också en malltext som du kan anpassa enligt dina villkor.
• Du får bara lagra personuppgifter så länge som de behövs för att uppfylla det syfte som du angav när uppgifterna samlades in. Den du lagrat personuppgifter om kan också begära att du tar bort de uppgifter du har sparade. Detta förutsätter naturligtvis att den svenska bokföringslagen fortfarande tillämpas, dvs att endast bokföringsunderlag äldre än 7 år får raderas. Om du fört över alla beställningsuppgifterna till ett redovisningssystem, kan du avidentifiera uppgifterna i Webshop.
  I Webshop kan du inte radera en kund, så istället måste du avidentifiera informationen. För att göra det, kan du välja att avidentifiera en order under Beställningar.
• En enskild individ har rätt att fråga dig om det finns personuppgifter om denne registrerade hos dig. I det fallet, måste du delge denna informationen till kunden. I Webshop kan du göra det genom att välja Beställningar, välj den aktuella beställningen och välj fliken Status skickade mejl. Kontrollera att e-postadressen är korrekt och välj Skicka.
• Om du använder elementet Formulär, kom ihåg att du är ansvarig för att radera e-post som skickas till dig via formuläret, när det inte längre är aktuellt att spara dem.

Till personuppgifter räknas uppgifter som direkt eller indirekt kan identifiera en nu levande fysisk person. Tänk på att även enskilda firmor räknas som fysisk person. Enligt GDPR får du bara samla in personuppgifter för ett angivet syfte. Syftet kan skilja sig åt mellan företag beroende på företagets verksamhet. Ett syfte kan t ex vara att spara adressuppgifter för att kunna fakturera kunder.

De personer som du samlar in uppgifter om, har enligt GDPR rätt att få veta följande:

• vem du är
• vilket syftet med insamlingen av uppgifterna är
• vilken rättslig grund du stödjer dig på
• om uppgifterna delas vidare
• hur länge uppgifterna kommer att sparas

Den du har samlat in personuppgifter om har också rätt att begära att få tillgång till uppgifterna.

Personuppgifter förekommer i fält som har ett förutbestämt syfte, exempelvis fält för namn, telefonnummer och adress. Dessa uppgifter är enkla att sammanställa om någon hör av sig och vill ta del av dessa uppgifter. Förutom fält som har ett specifikt syfte, kan personuppgifter också lagras på andra platser, till exempel i fritextfält och kommentarer. Vi rekommenderar att du undviker att ange personuppgifter på dessa platser eftersom det är svårt att söka efter, analysera och sammanställa dessa uppgifter.

I Webshop lagras personuppgifter i Beställningar, Nyhetsbrev .

Beställningar

Här sparas de uppgifter kunden angett vid köp.

Inloggningsgrupper

De uppgifter som angetts här måste raderas eller avidentifieras när kunden inte har gjort någon beställning under de senaste 12 månaderna.

Inmatade personuppgifter lagras på Spiris servrar och hos vår infrastrukturleverantör. Vill du veta mer om hur vi tar hand om din information hittar du allt på sidan Information om våra villkor - Dataskydd och Integritet.

I funktionen kan personuppgifter lagras på olika ställen och i olika format. För Webshop är det normala att sådan data förekommer på följande ställen:

• I funktionens databas
• I Bokföring & Fakturerings databas

Som företagare för du ibland över personuppgifter till andra, ofta utan att du ens tänker på det. Det kan exempelvis vara till kreditupplysningsföretag, e-handelssystem, fakturerings- eller betallösningar. När sådana så kallade tredjepartsleverantörer tar emot personuppgifter av dig blir de personuppgiftsbiträden.

Du som företagare är personuppgiftsansvarig och är alltid ansvarig för insamlade uppgifter. Det gäller även när uppgifter förts över till en tredjepartsleverantör. I dessa fall krävs ett personuppgiftsbiträdesavtal mellan dig och de tredjepartsleverantörer du har. Läs mer om personuppgiftsbiträdesavtal.

Biträdesavtal mellan Spiris och dig som kund

Du jobbar helt molnbaserat vilket innebär att de personuppgifter du registrerar lagras hos oss. Vi räknas i och med detta som en tredjepartsleverantör som behandlar personuppgifter för din räkning. I och med detta behövs ett personuppgiftsbiträdesavtal mellan Spiris och dig. I det avtal som du godkänner innan du får tillgång, ingår ett sådant biträdesavtal.