Evästeasetukset jakavat suostumukset neljään luokkaan

AI Commerce -verkkokaupan evästeasetuksissa on neljä luokkaa: Välttämättömät evästeet, Analyysit ja tilastot, Mieltymysevästeet ja Markkinointievästeet. Välttämättömät ovat aina käytössä verkkokaupan valintaikkunassa. Muut kolme luokkaa asiakas voi hyväksyä tai hylätä erikseen.

Luokitus kertoo, mihin tarkoitukseen selain- tai seurantateknologiaa käytetään. Se ei yksin ratkaise lainmukaisuutta. Kauppias vastaa siitä, että jokainen käytössä oleva palvelu on luokiteltu oikein, asiakkaalle annettu tieto on ajantasainen ja suostumusta vaativa käsittely alkaa vain hyväksytyn luokan ehtojen mukaisesti.

AI Commerce -nimi korvaa tässä ohjeessa vanhan ja virheellisen Kommersverkkokauppa-alusta-ilmaisun. Ohje kuvaa nykyistä storefront-toteutusta, mutta se ei ole oikeudellinen lausunto. Tarkista yrityksesi oikeusperusteet, tietosuojaseloste ja palveluntarjoajasopimukset tietosuojavastaavalta tai oikeudelliselta asiantuntijalta.

Välttämättömät evästeet pitävät perustoiminnot käytössä

Välttämättömät evästeet tukevat toimintoja, joita ilman asiakkaan pyytämä verkkokauppapalvelu ei toimi odotetusti. Niihin voivat kuulua esimerkiksi istunnon, ostoskorin, turvallisuuden ja asiakkaan evästevalinnan säilyttäminen. Asiakas ei voi poistaa tätä luokkaa käytöstä AI Commercen valintaikkunassa.

Välttämättömyys ei tarkoita, ettei tietoja voisi yhdistyä käyttäjään. Se tarkoittaa, että käsittelylle arvioidaan muu asianmukainen peruste kuin vapaaehtoinen suostumus ja että käyttö rajataan välttämättömään tarkoitukseen. Älä lisää analytiikkaa, profilointia tai mainontaa tähän luokkaan vain siksi, että suostumusta ei haluta pyytää.

Selain voi estää myös välttämättömät evästeet. Tällöin verkkokauppa voi näyttää ilmoituksen Sinun täytyy hyväksyä evästeiden käyttö selaimen asetuksissa, jotta voit asioida verkkokaupoissa, ja esimerkiksi ostoskori tai istunto voi lakata toimimasta. AI Commerce ei voi ohittaa selaimen estoa.

Analyysit ja tilastot ohjaavat mittausta

Analyysit ja tilastot antaa luvan käyttökokemuksen ja sivuston käytön mittaamiseen tätä luokkaa käyttäville palveluille. Nykyisessä storefrontissa esimerkiksi Microsoft Clarity ja Hotjar käynnistyvät vain, kun analytiikkasuostumus on annettu. Myös erillinen kävijän puhelinnumeron hakutoiminto ohitetaan ilman analytiikkasuostumusta.

Google-tunnisteiden toiminta on erilainen. Nykyinen toteutus voi ladata Google-tunnisteen ja asettaa analytics_storage-signaalin arvoon denied, vaikka asiakas ei hyväksy analytiikkaa. Tämä voi mahdollistaa Google Consent Moden evästeettömiä mittaussignaaleja palvelun ja kaupan asetusten mukaan. Se ei vastaa täydellistä verkkokutsujen estoa.

Kauppias ei saa kuvata kaikkea analytiikkadataa automaattisesti anonyymiksi. Selvitä palvelukohtaisesti lähetetyt tiedot, tunnisteet, IP-käsittely, vastaanottajat, säilytys ja mahdollinen siirto EU- tai ETA-alueen ulkopuolelle. Dokumentoi myös se, käytetäänkö evästeetöntä mallinnusta hylätyn suostumuksen jälkeen.

Mieltymysevästeet ohjaavat personointia ja chatia

Mieltymysevästeet liittyvät verkkokauppakokemuksen mukauttamiseen asiakkaan mieltymysten sekä osto- ja navigointihistorian perusteella. Käyttökohteita voivat olla esimerkiksi personoidut tarjoukset, palvelulomakkeet ja ulkoiset chat-palvelut.

Nykyiset Giosg-, Beacon-, Zendesk-, Tawk- ja LiveChat-integraatiot tarkistavat mieltymyssuostumuksen ennen käynnistymistä. Kun asiakas poistaa suostumuksen ja tallentaa asetuksen, aktiivinen chat suljetaan. Chat ei myöskään käynnisty tunnetulle botille tai muulle toteutuksen poissulkemalle käyttäjäagentille.

Älä lupaa, että jokainen suositus tai mukautus kuuluu aina tähän luokkaan. Todellinen luokka määräytyy palvelun käyttötarkoituksen ja tietojen käsittelyn perusteella. Jos chatia tarvitaan asiakkaan nimenomaisesti pyytämään palveluun ilman mieltymyssuostumusta, tarvitaan erillinen tuote- ja tietosuojapäätös eikä luokitusta pidä kiertää ohjeella.

Markkinointievästeet ohjaavat mainonnan seurantaa

Markkinointievästeet koskevat mainontaa, attribuutiota ja markkinointiprofilointia. Nykyinen storefront estää Meta-, Pinterest- ja TikTok-tunnisteiden käynnistyksen ilman markkinointisuostumusta. Asiakkaan suostumuksen poistamisen yhteydessä se yrittää myös poistaa Meta-evästeet _fbp ja _fbc nykyiseltä polulta.

Google Ads ja Microsoft Ads voivat käyttää suostumustilaa sen sijaan, että kaikki verkkokutsut estettäisiin. Googlelle mainonnan tallennus ja personointi ilmoitetaan granted- tai denied-arvona. Microsoft UET voidaan alustaa ad_storage: denied -tilassa ja päivittää suostumuksen muuttuessa. Palveluntarjoajan jatkokäsittely pitää arvioida erikseen.

Markkinointisuostumus ei takaa täydellistä kampanjaraporttia, eikä hylkäys välttämättä tarkoita kaikkien verkon mittaussignaalien puuttumista. Selaimen suojaus, mainonnan esto, eri laitteet ja attribuutiomallit vaikuttavat tuloksiin. Kerro tietosuojaselosteessa käytetyt palvelut ja tarkoitukset riittävän täsmällisesti.

Tee valinta ensimmäisellä käynnillä

Tee valinta ensimmäisellä käynnillä sivun alareunan evästeilmoituksesta, jonka verkkokauppa näyttää, kun selaimessa ei ole _gdprConsents-evästettä. Hyväksy evästeet hyväksyy kaikki neljä luokkaa. Asetukset avaa tarkemman näkymän. Sisällönrakentajan esikatselussa ilmoitusta ei näytetä samalla tavalla kuin tavalliselle kävijälle.

Asetusnäkymässä asiakas voi valita analytiikan, mieltymykset ja markkinoinnin erikseen. Välttämättömät evästeet on lukittu käyttöön. Asiakas voi valita Hyväksy kaikki, Hyväksy vain välttämättömät tai muokata kytkimiä ja valita Tallenna ja sulje.

Valinnan pitää olla vapaaehtoinen, tietoinen, yksilöity ja yhtä helppo peruuttaa kuin antaa. Älä tee ei-välttämättömien luokkien hyväksymisestä ostamisen ehtoa. Tarkista lisäksi, että painikkeiden tekstit, värit ja asettelu eivät ohjaa harhaan tai piilota hylkäysvaihtoehtoa.

Muuta evästeasetuksia myöhemmin alatunnisteesta

Asiakas avaa evästeasetukset myöhemmin verkkokaupan alatunnisteen Evästeet-linkistä. Nykyiset valinnat ladataan näkymään, minkä jälkeen asiakas voi muuttaa kolmea valinnaista luokkaa ja tallentaa uuden yhdistelmän.

Tallennus päivittää selaimen suostumustilan heti, lähettää valinnan palvelimen /service/gdpr/consent-käsittelyyn ja päivittää seurannan suostumussignaalit. Kun mieltymykset poistetaan, chat suljetaan. Kun markkinointi tai analytiikka poistetaan, näkymä päivitetään ja nykyinen toteutus poistaa Meta-evästeitä.

Suostumuksen peruuttaminen ei todistetusti poista kaikkia aiemmin asetettuja kolmannen osapuolen evästeitä tai jo lähetettyjä tietoja. Palvelukohtainen poisto, säilytys ja jatkokäsittely on tarkistettava erikseen. Tarjoa tietosuojaselosteessa myös yhteydenottotapa rekisteröidyn oikeuksien käyttämiseen.

Suostumusvalinta säilyy yhden vuoden selaimessa

Suostumusvalinta tallennetaan _gdprConsents-evästeeseen 365 päiväksi. Eväste sisältää neljän luokan totuusarvot ja käyttää polkua /, SameSite=Lax-asetusta sekä Secure-lippua. Niin kauan kuin eväste löytyy, ensikäynnin ilmoitusta ei näytetä uudelleen tavallisessa selauksessa.

Asiakas voi avata asetukset koska tahansa Evästeet-linkistä. Valinta katoaa aiemmin, jos asiakas tyhjentää evästeet, käyttää toista selainta tai laitetta tai selaimen käytäntö poistaa evästeen. Tällöin ilmoitus näytetään uudelleen.

Yhden vuoden tekninen voimassaolo ei tarkoita, että sama suostumus olisi aina sisällöllisesti pätevä koko ajan. Näytä valinta uudelleen, jos käsittelyn tarkoitus, palveluntarjoajat tai luokitus muuttuvat olennaisesti. Nykyisessä toteutuksessa ei ole todistettua suostumusversion automaattista mitätöintiä.

Tarkista evästehallinta käytännössä

Tarkista evästehallinta uudessa yksityisessä selainikkunassa vähintään neljällä polulla: ei aiempaa valintaa, vain välttämättömät, kaikki hyväksytty ja myöhemmin peruutettu valinnainen luokka. Varmista ilmoituksen painikkeet, kytkimet, tallennus, alatunnisteen linkki ja yhden vuoden evästeen sisältö.

Tarkista selaimen verkkopyynnöistä ja tallennustilasta jokainen käytössä oleva analytiikka-, chat- ja markkinointipalvelu. Pelkkä käyttöliittymän kytkin ei todista, että palvelu noudattaa luokkaa. Erota kokonaan estetty skripti, denied-signaalilla toimiva palvelu ja jo asetetun evästeen poistaminen toisistaan.

Toista tarkistus aina, kun kauppaan lisätään tunniste, chat, personointi, uusi palveluntarjoaja tai muutos Consent Modeen. Kirjaa palvelu, tarkoitus, luokka, suostumusta edeltävä käytös, hyväksynnän jälkeinen käytös, peruutuksen tulos ja tietosuojaselosteen kohta. Korjaa toteutus tai teksti ennen julkaisua, jos ne eivät vastaa toisiaan.

GDPR-vaatimustenmukaisuus on jatkuva vastuu

GDPR-vaatimustenmukaisuus ei valmistu vain ottamalla evästeikkuna käyttöön. Kauppiaan pitää ylläpitää palveluinventaario, käsittelyn tarkoitukset, oikeusperusteet, vastaanottajat, säilytysajat, siirtoperusteet, sopimukset ja asiakkaalle annettavat tiedot.

AI Commerce tarjoaa teknisen neljän luokan valinnan ja välittää sitä käyttäville palveluille suostumustilaa. Kauppias päättää, mitä palveluja kaupassa käytetään, ja vastaa luokituksen sekä tekstien oikeellisuudesta. Partnerin pitää ilmoittaa uudesta seurannasta ennen käyttöönottoa eikä piilottaa sitä yleiseen luokkaan.

Pidä eväste- ja tietosuojatekstit synkronissa todellisen koodin kanssa. Kun epäselvyys koskee lakia, henkilötietojen käsittelyä tai palveluntarjoajan denied-tilaa, merkitse se tarkistettavaksi ja pyydä oikeudellinen arvio. Älä tee asiakkaalle ehdotonta lainmukaisuuslupausta pelkän teknisen testin perusteella.