Tietosuojaselosteen malli pienyrityksille: mitä siihen kuuluu ja milloin sitä tarvitset

Tietosuojaseloste on yksi tärkeimmistä oikeudellisista ja luottamusta rakentavista sivuista yrityksen verkkosivustolla. Se kertoo kävijöille, mitä henkilötietoja keräät, miten käytät niitä, jaatko tietoja eteenpäin sekä millaisia valintoja käyttäjillä on omien tietojensa suhteen.

Pienyrityksille tietosuojaseloste ei ole vain lakitekninen muodollisuus. Se on käytännöllinen asiakirja, joka auttaa asettamaan odotukset, pienentämään riskejä ja osoittamaan asiakkaille, että suhtaudut tietojen käsittelyyn vakavasti. Jos verkkosivustosi kerää sähköpostiosoitteita, käyttää analytiikkaa, vastaanottaa maksuja tai sisältää yhteydenottolomakkeen, tietosuojaseloste on hyvä nähdä liiketoiminnan perusvaatimuksena.

Mitä tietosuojaseloste tekee

Tietosuojaseloste kuvaa, miten yrityksesi käsittelee henkilötietoja, joita kerätään verkkosivuston, sovelluksen tai muiden digitaalisten palvelujen kautta. Se kattaa yleensä tietojen keräämisen, käyttötarkoitukset, luovutuskäytännöt, säilytysajat ja käyttäjien oikeudet.

Kävijät jakavat usein henkilötietoja ajattelematta asiaa erityisemmin. Pelkkä uutiskirjeen tilauslomake voi kerätä sähköpostiosoitteen. Yhteydenottolomake voi kerätä nimen, puhelinnumeron tai viestin. Verkkokaupan kassalla voidaan kerätä laskutus- ja toimitustietoja. Analytiikkatyökalut voivat lisäksi kerätä laitetunnisteita, selauskäyttäytymistä ja sijaintitietoja.

Tietosuojaseloste on paikka, jossa kerrot nämä käytännöt selkeästi ja tarkasti.

Miksi pienyritys tarvitsee sellaisen

Moni yrittäjä olettaa, että tietosuojaseloste tarvitaan vain suurille yrityksille. Käytännössä myös pienyritykset keräävät usein henkilötietoja, ja monet tietosuojalait soveltuvat sen perusteella, millaista dataa keräät, missä käyttäjäsi sijaitsevat tai millä toimialalla toimit.

Tietosuojaseloste auttaa sinua:

• kertomaan, mitä tietoja keräät ja miksi
• rakentamaan luottamusta kävijöiden ja asiakkaiden kanssa
• pienentämään vaatimustenmukaisuuteen liittyviä riskejä
• tukemaan maksupalveluja, mainosverkostoja ja analytiikkatyökaluja, jotka voivat edellyttää sitä
• esittämään ammattimaisen ja uskottavan verkkosivuston

Jos yrityksesi verkkosivusto julkaistaan osana uuden yhtiön perustamista, tietosuojaseloste kannattaa laatia jo varhaisessa vaiheessa eikä vasta sen jälkeen, kun käyttäjätietoja on alettu kerätä.

Milloin tietosuojaseloste voi olla tarpeen

Tarvitset todennäköisesti tietosuojaselosteen, jos sivustosi tai yrityksesi:

• kerää nimiä, sähköposteja, puhelinnumeroita tai osoitteita
• käyttää evästeitä tai analytiikkatyökaluja
• tekee mainontaa tai uudelleenmarkkinointia
• myy tuotteita tai palveluja verkossa
• tarjoaa käyttäjätilin rekisteröinnin tai jäsenyyskäytön
• vastaanottaa maksuja kassasivun kautta
• käyttää kolmannen osapuolen lisäosia, upotuksia tai integraatioita
• kohdistuu käyttäjiin osavaltioissa tai maissa, joissa on tietosuojalakeja

Vaikka verkkosivustosi olisi yksinkertainen, tietoja voi silti kerääntyä epäsuorasti esimerkiksi palvelinlokien, roskapostisuodattimien, analytiikan tai upotettujen palvelujen kautta.

Lait ja säännöt, jotka voivat soveltua

Tietosuojavaatimukset vaihtelevat liiketoimintamallin, kohdeyleisön ja sijainnin mukaan. Yhdysvalloissa ei ole yhtä yleistä tietosuojalakia, joka koskisi kaikkia yrityksiä samalla tavalla. Velvoitteet voivat sen sijaan perustua liittovaltion, osavaltioiden ja toimialakohtaisiin sääntöihin.

Yleisiä esimerkkejä ovat:

• COPPA, joka koskee palveluja, jotka keräävät tietoja alle 13-vuotiaista lapsista
• HIPAA, joka koskee tiettyjä terveyteen liittyviä tietoja ja säänneltyjä toimijoita
• osavaltioiden tietosuojalait, kuten Kalifornian, Virginian, Coloradon, Connecticutin, Utahin, Texasin, Oregonin ja muiden osavaltioiden lait
• Kalifornian lait, kuten CalOPPA ja California Privacy Rights Act, jotka voivat vaikuttaa moniin verkkoliiketoimintoihin
• kansainväliset lait, kuten Euroopan GDPR tai Yhdistyneen kuningaskunnan Data Protection Act, jos palvelet näitä alueita

Tarkat vaatimukset voivat muuttua ajan myötä, joten tietosuojaseloste kannattaa tarkistaa säännöllisesti ja päivittää aina, kun tietojenkäsittelykäytännöt muuttuvat.

Mitä tietosuojaselosteen malliin kannattaa sisällyttää

Hyvän tietosuojaselosteen mallin pitäisi kattaa ne keskeiset aiheet, joita kävijät ja viranomaiset odottavat näkevänsä. Sisällytä ainakin seuraavat osiot.

1. Mitä tietoja keräät

Kerro, mitä henkilötietoryhmiä keräät. Ole tarkka ja rehellinen. Tyypillisiä esimerkkejä ovat:

• nimi
• sähköpostiosoite
• puhelinnumero
• postiosoite
• maksutiedot
• IP-osoite
• selain- ja laitetiedot
• käyttö- ja selauskäyttäytyminen

Jos keräät arkaluonteisia tietoja, kerro siitä selkeästi ja kuvaa keruun tarkoitus.

2. Miten keräät tiedot

Selitä, millä tavalla tiedot kerätään. Saatat kerätä tietoja, kun käyttäjät:

• täyttävät lomakkeen
• luovat tilin
• tilaavat uutiskirjeen
• tekevät tilauksen
• käyttävät yhteydenottosivua
• ovat vuorovaikutuksessa evästeiden tai analytiikkatyökalujen kanssa
• ottavat yhteyttä asiakastukeen

Tämä osio auttaa käyttäjiä ymmärtämään, tulevatko tiedot suoraan heiltä, automaattisesti verkkosivustosi kautta vai kolmansilta osapuolilta.

3. Miten käytät tietoja

Kerro kävijöille, miksi keräät tietoja. Tyypillisiä käyttötarkoituksia ovat:

• maksutapahtumien käsittely
• kyselyihin vastaaminen
• palveluviestien lähettäminen
• verkkosivuston suorituskyvyn parantaminen
• käyttäjäkokemuksen personointi
• lakisääteisten tai turvallisuuteen liittyvien velvoitteiden täyttäminen
• tuotteiden tai palvelujen markkinointi, kun se on sallittua

Jos käytät henkilötietoja sähköpostikampanjoihin, uudelleenmarkkinointiin tai kohdennettuun mainontaan, kerro siitä selkeästi.

4. Tietojen jakaminen ja luovuttaminen

Jos jaat tietoja toimittajien tai palveluntarjoajien kanssa, selitä, kuka tietoja saa ja miksi. Tavallisia kolmansia osapuolia voivat olla:

• maksupalveluntarjoajat
• verkkohosting-palvelut
• analytiikkapalvelut
• sähköpostimarkkinoinnin alustat
• asiakastukityökalut
• toimitus- tai täyttöpalvelujen kumppanit

Jos myyt henkilötietoja tai jaat niitä kohdennettua mainontaa varten, sen tulee näkyä selosteessa selkokielellä.

5. Evästeet ja seurantateknologiat

Useimmat verkkosivustot käyttävät evästeitä, pikseleitä, tunnisteita tai vastaavia työkaluja. Tietosuojaselosteen tulisi kertoa:

• mitä evästeitä käytetään
• mihin tarkoituksiin niitä käytetään
• ovatko ne välttämättömiä, toiminnallisia, analytiikkaan liittyviä vai markkinointiin liittyviä
• miten käyttäjät voivat hallita evästeasetuksia

Jos toimit alueilla, joissa suostumusvaatimukset ovat voimassa, saatat tarvita myös erillisen evästeilmoituksen tai bannerin.

6. Tietojen säilytys

Kerro, kuinka kauan säilytät henkilötietoja tai miten määrität säilytysajat. Sinun ei tarvitse julkaista kaikkia sisäisiä säilytyssääntöjä, mutta käyttäjien tulisi ymmärtää, poistetaanko tiedot pyynnöstä, säilytetäänkö niitä oikeudellisista syistä vai tallennetaanko niitä tiettyyn liiketoiminnalliseen tarkoitukseen.

7. Tietoturva

Kuvaa suojaustoimet, joilla suojaat tietoja. Sinun ei tarvitse paljastaa arkaluonteisia turvamekanismeja, mutta voit mainita yleisiä keinoja, kuten käyttöoikeuksien hallinnan, salauksen, valvonnan tai palveluntarjoajien suojauskäytännöt, jos se on tarkoituksenmukaista.

8. Käyttäjien oikeudet ja valinnat

Sovellettavasta laista riippuen käyttäjillä voi olla oikeuksia, kuten:

• oikeus tarkastella omia tietojaan
• oikeus korjata virheellisiä tietoja
• oikeus poistaa henkilötietoja
• oikeus kieltäytyä markkinointisähköposteista
• oikeus rajoittaa tiettyjä käyttötarkoituksia
• oikeus pyytää selvitystä siitä, mitä tietoja kerätään tai jaetaan

Selosteessa tulisi kertoa, miten käyttäjä voi tehdä pyynnön ja miten yrityksesi käsittelee sen.

9. Lasten tiedot

Jos verkkosivustosi on suunnattu lapsille tai se saattaa kerätä tietoja alaikäisistä, lisää lasten tietosuojaa koskeva osio. Tämä on erityisen tärkeää yrityksille, joita COPPA tai vastaavat säännöt koskevat.

10. Yhteystiedot

Tee tietosuojakysymysten esittämisestä helppoa. Lisää tarvittaessa sähköpostiosoite, postiosoite tai yhteydenottolomakkeen polku.

Miten kirjoittaa tietosuojaseloste, joka oikeasti toimii

Tietosuojaselostetta ei pitäisi kopioida toiselta verkkosivustolta ilman tarkistusta. Mallit ovat hyödyllisiä, koska ne antavat rakenteen, mutta lopullisen selosteen on vastattava yrityksesi todellisia käytäntöjä.

Noudata näitä ohjeita, kun laadit tai muokkaat selostetta:

• sovita seloste todellisiin tietojenkäsittelykäytäntöihisi
• käytä mahdollisuuksien mukaan selkeää ja helposti ymmärrettävää kieltä oikeudellisen jargonian sijaan
• pidä seloste näkyvissä sivuston alatunnisteessa ja asiaankuuluvien lomakkeiden yhteydessä
• päivitä se, kun lisäät uusia työkaluja tai vaihdat palveluntarjoajia
• tarkista se ennen julkaisua ja aina merkittävien verkkosivustomuutosten jälkeen

Jos sivustollesi lisätään uusi analytiikka-alusta, chat-työkalu tai maksupalvelu, muutos voi edellyttää myös uutta ilmoitusta.

Mihin tietosuojaseloste kannattaa sijoittaa

Selosteen tulisi olla helposti löydettävissä. Tyypillisiä paikkoja ovat:

• verkkosivuston alatunniste
• tilin rekisteröintisivut
• kassa- tai maksusivut
• uutiskirjeen tilauslomakkeet
• yhteydenottolomakkeet
• sovelluskaupan tai mobiilisovelluksen asetukset

Näkyvä tietosuojaseloste auttaa käyttäjiä tekemään tietoon perustuvia päätöksiä ennen henkilötietojen jakamista.

Yleiset virheet, joita kannattaa välttää

Monet pienyritykset tekevät samat tietosuojaselosteen virheet. Vältä näitä ongelmia:

• yleisen mallin käyttäminen ilman räätälöintiä
• analytiikan, seurannan tai kolmansien osapuolten integraatioiden unohtaminen
• selosteen päivittämättä jättäminen liiketoiminnan muutosten jälkeen
• väittäminen, ettet kerää tietoja, vaikka todellisuudessa keräät
• selosteen piilottaminen paikkaan, josta käyttäjät eivät löydä sitä helposti
• epäselvien väitteiden kirjoittaminen, jotka eivät kuvaa todellisia käytäntöjä

Tietosuojaselosteen pitäisi heijastaa yritystäsi sellaisena kuin se on tänään, ei sellaisena kuin se oli perustamishetkellä.

Tietosuojaselosteen malli-runko

Jos aloitat alusta, käytännöllinen rakenne voi olla tällainen:

1. Johdanto
2. Kerättävät tiedot
3. Tietojen keräämistavat
4. Miten tietoja käytetään
5. Miten ja milloin tietoja jaetaan
6. Evästeet ja seurantateknologiat
7. Tietojen säilytys
8. Tietoturvatoimet
9. Käyttäjien oikeudet ja valinnat
10. Lasten tietosuoja
11. Kolmannen osapuolen palvelut
12. Yhteystiedot
13. Käytäntöpäivitykset

Tämä rakenne on joustava, mutta se kattaa keskeiset asiat, jotka useimpien yritysten on syytä huomioida.

Lopuksi

Tietosuojaseloste on yrityksen verkkosivuston perusasiakirjoja. Sen avulla voit viestiä läpinäkyvästi, täyttää oikeudellisia odotuksia ja vahvistaa asiakkaiden luottamusta heti ensimmäisestä yhteydenotosta alkaen.

Pienyrityksille paras toimintatapa on yksinkertainen: selvitä, mitä tietoja keräät, kerro miten käytät niitä, ilmoita mukana olevat kolmannet osapuolet ja pidä seloste ajan tasalla liiketoiminnan kehittyessä.

Jos olet perustamassa uutta yritystä, tämä on yksi niistä vaatimustenmukaisuusasiakirjoista, jotka kannattaa valmistella varhain. Zenind auttaa perustajia pysymään järjestyksessä yritysten perustamisen ja pyörittämisen aikana, ja selkeä tietosuojaseloste on osa tätä perustaa.