Vendiamo online nei paesi UE: il GDPR ci riguarda direttamente?

Bisogna essere realisti: l'autorità per la protezione dei dati europea non verrà certo a fare milioni di euro di multa a un piccolo laboratorio in Russia. Il rischio concreto è che le piattaforme di pagamento internazionali o le integrazioni che utilizzate vi congelino l'account a seguito di un reclamo. Nei loro contratti, infatti, impongono come requisito la conformità al GDPR.

Se usate Google Analytics o i pixel pubblicitari, attivate le impostazioni di anonimizzazione degli indirizzi IP. Inoltre, il banner dei cookie sul sito non può limitarsi al solo tasto "Accetta"; dovete dare all'utente anche la possibilità di rifiutare separatamente i cookie analitici e quelli di marketing.

Nella fase di checkout inserite una dicitura con link cliccabile del tipo: "I tuoi dati vengono trattati in conformità alla nostra privacy policy al fine di elaborare e consegnare l'ordine". Indicate poi nell'informativa un'email di contatto da utilizzare nel caso in cui il cliente desideri richiedere la cancellazione dei dati.

Anche noi, quando avevamo un fatturato mensile di circa 4.500 EUR verso l'UE, abbiamo ricevuto un'email formale da un cliente tedesco che chiedeva su quali server fossero salvati i suoi dati e ne pretendeva la cancellazione dal sistema. C'è l'obbligo di rispondere per iscritto entro 30 giorni. Abbiamo ripulito i record dal database, inviato la conferma e la questione si è chiusa lì.

Avere il sito disponibile solo in inglese e con i prezzi in euro basta da solo a far scattare l'obbligo oppure è necessario che ci sia un'effettiva consegna dell'ordine in quei paesi?

Va precisato che, per i trasferimenti transfrontalieri di dati che superano determinati volumi, sussiste l'obbligo di nominare un rappresentante nell'UE (EU Representative). Tuttavia, per le microimprese si applica il principio di proporzionalità; pertanto, l'adozione delle misure fondamentali di trasparenza e sicurezza dei dati costituisce il criterio di verifica prioritario.

niente panico. insomma i grandi contenziosi riguardano sempre i colossi del web. voi limitatevi a non raccogliere dati inutili oltre a nome e indirizzo necessari per la spedizione pubblicate un'informativa trasparente e se un cliente chiede la cancellazione procedete senza fare storie. per una PMI la sostanza è tutta qui.

Salvato.

Grazie per averlo scritto, è proprio così. comunque un report di scansione automatica e un penetration test non sono la stessa cosa.

Racconto la mia esperienza. La risposta varia molto in base al settore, non esiste una regola generale.

Questa è la mia opinione, non la scrivo come verità assoluta.

Hai fatto bene ad aprire questo thread. Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

Buon lavoro.

Ti seguo.

Grazie per aver scritto. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Spero che le sia utile.

Quanto scritto rispecchia esattamente ciò che abbiamo vissuto. La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

È tutto, scusate se mi sono dilungato.

Vi spiego come si fa in pratica. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Se scrivete qui il risultato, sarà utile anche ad altri.

Questo approccio ha un costo, di cui non si parla. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Questa è la mia opinione, non la scrivo come verità assoluta.

Ci proverò.

Riassumo l'argomento, perché sono state date diverse risposte. L'errore commesso da gdpr è generalmente reversibile ma costoso.

Se rimproverate i falsi allarmi, nessuno segnalerà più nulla.