Regulamin, RODO i obowiązki informacyjne sprzedawcy internetowego: praktyczny poradnik

Trzy porządki zamiast jednego dokumentu

Początkujący sprzedawcy często szukają „jednego regulaminu, który załatwia wszystko”. Taki dokument nie istnieje, bo obowiązki wynikają z trzech różnych źródeł. Pierwsze to informacje, które konsument ma dostać przed zawarciem umowy na odległość – wynikają z prawa konsumenckiego. Drugie to regulamin, czyli zasady korzystania ze sklepu i usług elektronicznych, takich jak konto klienta, formularz kontaktowy czy newsletter. Trzecie to ochrona danych osobowych, czyli RODO.

Te obszary się przenikają, ale nie zastępują. Klauzula informacyjna RODO nie zastąpi informacji o prawie odstąpienia od umowy, a rozbudowany regulamin nie zwalnia Cię z poinformowania klienta, kto i po co przetwarza jego adres. Dobrze jest więc potraktować je jak trzy szuflady w jednej szafie: osobno opisane, ale spójne ze sobą.

Ten poradnik nie omawia szczegółowo reklamacji, zwrotów ani bezpieczeństwa produktów – to tematy osobnych poradników. Tutaj skupiamy się na tym, co wpisać, pokazać i zabezpieczyć, żeby sprzedaż była legalna i budziła zaufanie.

Co klient musi wiedzieć przed zakupem

Przepisy o prawach konsumenta wymagają, by przed związaniem się umową klient otrzymał jasne i zrozumiałe informacje. Nie muszą leżeć w jednym miejscu, ale muszą być łatwo dostępne: na karcie produktu, w koszyku, na etapie podsumowania zamówienia i w zakładkach informacyjnych sklepu. Liczy się to, że klient widzi je zanim zapłaci.

Najczęstszy błąd to ukrywanie kosztów. Cena na liście produktów bez dostawy, dopłata za płatność przy odbiorze pokazana dopiero na ostatnim kroku albo nieczytelny termin realizacji – to wszystko wprost prowadzi do sporów. Przycisk kończący zamówienie ma też jednoznacznie informować, że klient zawiera umowę z obowiązkiem zapłaty. „Dalej” albo „Kontynuuj” nie wystarczą.

Pełną i aktualną listę wymaganych informacji sprawdź w ustawie o prawach konsumenta oraz na stronach UOKiK. W praktyce sprzedawca internetowy powinien mieć uporządkowane przynajmniej poniższe elementy.

• Główne cechy towaru, opisane tak, by klient wiedział, co kupuje (parametry, wymiary, skład, stan).
• Cena całkowita z podatkami oraz koszty dostawy i inne opłaty; przy promocjach – zgodność z zasadami Omnibus (osobny poradnik).
• Dostępne sposoby płatności i dostawy oraz przewidywany termin realizacji zamówienia.
• Dane sprzedawcy: pełna nazwa, adres, dane do kontaktu.
• Informacja o prawie odstąpienia od umowy w 14 dni, warunkach jego wykonania, kosztach zwrotu oraz wzór formularza odstąpienia.
• Informacja o przypadkach, w których prawo odstąpienia nie przysługuje (np. towary wykonane na zamówienie według specyfikacji klienta).
• Informacja o odpowiedzialności sprzedawcy za niezgodność towaru z umową oraz o gwarancji, jeśli jest udzielana.
• Informacja o możliwości skorzystania z pozasądowych sposobów rozpatrywania reklamacji i dochodzenia roszczeń – aktualny zakres sprawdź na UOKiK.

Dane kontaktowe i identyfikacja sprzedawcy

Klient ma prawo wiedzieć, z kim zawiera umowę. W sklepie internetowym oznacza to: pełną nazwę firmy (przy jednoosobowej działalności – imię i nazwisko oraz nazwę firmy, jeśli ją masz), adres miejsca prowadzenia działalności, NIP oraz dane, dzięki którym da się szybko skontaktować – adres e-mail i numer telefonu. Dane powinny być widoczne w stopce, w zakładce „Kontakt” i w regulaminie, i wszędzie takie same.

Rozbieżności zdarzają się częściej, niż się wydaje. Po zmianie adresu, nazwy firmy albo e-maila zmieniasz je w sklepie, ale zapominasz o regulaminie, szablonie wiadomości do klientów lub stronie sklepu na marketplace. Dla kupującego to sygnał ostrzegawczy, a dla urzędu – brak staranności. Zrób sobie jednorazowo listę miejsc, w których występują Twoje dane, i sprawdzaj ją przy każdej zmianie.

Dobra praktyka to także podanie godzin, w których odpowiadasz na wiadomości, oraz adresu do zwrotów, jeśli różni się od adresu firmy. Magazyn w innej miejscowości niż siedziba to klasyczna pułapka: klient odsyła paczkę na adres z regulaminu, a ona wraca do niego jako niedoręczona. Jeśli prowadzisz sprzedaż także w serwisach zakupowych, takich jak allee.pl, te dane uzupełnisz w panelu sprzedawcy i na stronie swojego sklepu – pilnuj, by pasowały do danych z Twojej witryny.

Regulamin sklepu: co powinien zawierać, a czego unikać

Regulamin nie jest dokumentem do odhaczenia. To instrukcja dla klienta i Twoja tarcza w sporze. Przy świadczeniu usług drogą elektroniczną (konto, newsletter, formularze) musi opisywać m.in. rodzaje i zakres usług, warunki ich świadczenia, wymagania techniczne, warunki zawierania i rozwiązywania umów o te usługi oraz tryb postępowania reklamacyjnego. Do tego dochodzą zasady składania zamówień, płatności, dostawy, zwrotów i reklamacji towaru.

Pisz zrozumiałym językiem i w logicznym układzie, z numeracją, którą da się zacytować. Regulamin, którego nie sposób przeczytać, jest gorszy niż krótszy, ale jasny. Udostępnij go tak, aby klient mógł go pobrać, zapisać lub wydrukować, i zadbaj o archiwum wersji: gdy dojdzie do sporu, musisz wiedzieć, jaki tekst obowiązywał w dniu zamówienia.

Największym zagrożeniem są wzory kopiowane bez zastanowienia. Zapisy, które skracają ustawowe terminy, wyłączają odpowiedzialność za wady albo każą konsumentowi ponosić koszty, których prawo mu nie przypisuje, mogą zostać uznane za niedozwolone. Wtedy nie wiążą klienta, a Ty tracisz wiarygodność. Przy konsumentach przepisy mają charakter ochronny, więc „zgoda” klienta na gorsze warunki niczego nie zmienia.

• Pisz o stanie faktycznym: jeśli nie wysyłasz za granicę, nie wpisuj zasad takiej wysyłki.
• Zadbaj o zgodność regulaminu z tym, co klient widzi w koszyku (terminy, koszty, formy płatności).
• Przy każdej zmianie regulaminu zapisz datę wejścia w życie i zasady dla zamówień już złożonych.
• Oddziel regulamin od polityki prywatności i polityki cookies – to osobne dokumenty z osobną funkcją.
• Raz na kwartał przeczytaj całość jak klient i sprawdź, czy wszystko nadal jest prawdą.

Dane z zamówień w świetle RODO

Imię, nazwisko, adres dostawy, e-mail, numer telefonu, historia zakupów – to dane osobowe, a Ty jesteś ich administratorem. Dobra wiadomość: do realizacji zamówienia nie potrzebujesz zgody klienta. Podstawą jest wykonanie umowy. Do wystawienia faktury i prowadzenia dokumentacji podatkowej – obowiązek prawny. Do obrony przed roszczeniami i dochodzenia własnych – prawnie uzasadniony interes. Zgoda pojawia się dopiero przy marketingu i niektórych cookies, o czym piszemy niżej.

Obowiązek informacyjny polega na tym, że przy zbieraniu danych mówisz klientowi, kto jest administratorem, w jakim celu i na jakiej podstawie przetwarzasz dane, komu je przekazujesz (kurier, operator płatności, biuro rachunkowe, dostawca sklepu), jak długo je przechowujesz oraz jakie prawa ma klient: dostępu, sprostowania, usunięcia, ograniczenia, sprzeciwu, przenoszenia i skargi do Prezesa UODO. Informację umieść w polityce prywatności i linkuj ją przy formularzu zamówienia oraz przy rejestracji konta.

Okresy przechowywania ustalasz osobno dla każdego celu. Dokumenty księgowe i podatkowe przechowujesz tak długo, jak wymagają przepisy – sprawdź to z księgowym albo na podatki.gov.pl. Dane potrzebne do ewentualnych roszczeń – przez okres, w którym te roszczenia mogą się przedawnić. Dane marketingowe – do wycofania zgody. Po upływie okresu dane usuwasz albo anonimizujesz. Cofnięta zgoda na newsletter nie oznacza, że musisz skasować fakturę sprzed roku.

Wniosek klienta o dostęp do danych albo ich usunięcie wymaga odpowiedzi, co do zasady, w ciągu miesiąca. Przygotuj prosty tryb: adres e-mail do spraw danych, krótka procedura weryfikacji tożsamości i osoba, która odpowiada. Dobrze też prowadzić rejestr czynności przetwarzania, nawet w uproszczonej formie arkusza: jakie dane, po co, gdzie leżą, kto ma dostęp, jak długo.

Marketing, newsletter i cookies: tu potrzebujesz zgody

Najczęstsze nieporozumienie brzmi: „klient kupił, więc mogę mu wysyłać oferty”. Nie zawsze. Wiadomości handlowe wysyłane e-mailem lub SMS-em wymagają odrębnej zgody, zebranej dobrowolnie i konkretnie. Pole zgody nie może być domyślnie zaznaczone ani sztucznie powiązane z zakupem. Zapisz, kiedy i w jakiej formie klient ją wyraził, i daj mu prosty sposób wycofania – link rezygnacji w każdej wiadomości.

Osobna sprawa to pliki cookies i podobne technologie. Te niezbędne do działania sklepu (koszyk, sesja logowania, bezpieczeństwo) uruchamiasz bez zgody, o ile o nich informujesz. Analityczne, reklamowe i pozostałe wymagają zgody klienta, wyrażonej zanim zostaną zapisane. Baner powinien umożliwiać odmowę równie łatwo jak akceptację. Szczegóły sprawdź w przepisach dotyczących komunikacji elektronicznej oraz na stronach UODO.

Pomaga prosta inwentaryzacja. Wypisz wszystkie narzędzia, które działają na stronie: analityka, piksel reklamowy, czat, wtyczka z opiniami, mapa, wideo z zewnętrznego serwisu. Każde z nich może wczytywać dane i skrypty od zewnętrznego dostawcy, więc powinno mieć swoje miejsce w polityce cookies i w ustawieniach zgód.

Bezpieczeństwo danych w codziennej pracy sklepu

RODO wymaga „odpowiednich środków technicznych i organizacyjnych”, bez wskazywania gotowej listy. Dla małego i średniego sprzedawcy oznacza to rozsądny zestaw nawyków. Większość wycieków nie bierze się z wyrafinowanych ataków, tylko z jednego hasła użytego w pięciu miejscach, konta byłego pracownika, które nadal działa, albo arkusza z zamówieniami wysłanego mailem do niewłaściwej osoby.

Zacznij od dostępu. Każda osoba ma własne konto, a uprawnienia dopasowujesz do roli: magazynier nie potrzebuje danych finansowych, a osoba od reklam – adresów klientów. Włącz dwuskładnikowe logowanie w panelu sklepu, poczcie, systemie magazynowym i panelach marketplace. Kiedy ktoś odchodzi z firmy, zamykasz konta tego samego dnia. Zadbaj też o aktualizacje silnika sklepu, wtyczek i serwera – przestarzałe dodatki to ulubiony punkt wejścia dla atakujących.

Przejdź następnie do danych w obiegu. Płatności zlecaj operatorom płatności, żeby numerów kart nie przechowywać u siebie. Stronę sklepu udostępniaj wyłącznie przez bezpieczne połączenie szyfrowane. Kopie zapasowe rób regularnie, trzymaj je poza serwerem sklepu i sprawdzaj, czy da się z nich odtworzyć dane. Wydruki z adresami i etykiety niszcz zamiast wyrzucać, a eksporty zamówień do arkuszy usuwaj, gdy przestają być potrzebne.

Z podmiotami, którym powierzasz dane w Twoim imieniu – na przykład hosting, dostawca oprogramowania sklepu, system do wysyłki e-maili czy biuro rachunkowe – zwykle zawierasz umowę powierzenia przetwarzania. Czy konkretna firma jest procesorem, czy odrębnym administratorem (częste przy przewoźnikach), zależy od usługi i jej warunków, więc zapytaj dostawcę i sprawdź jego dokumenty.

Plan awaryjny przygotuj, zanim coś się stanie. Naruszenie ochrony danych, które może powodować ryzyko dla osób, zgłaszasz do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia. Jeśli ryzyko jest wysokie, informujesz także osoby, których dane dotyczą. Warto więc wiedzieć, kto w firmie decyduje, jak dokumentujesz zdarzenie i do kogo dzwonisz po pomoc.

• Unikalne, długie hasła i menedżer haseł dla zespołu.
• Dwuskładnikowe logowanie wszędzie, gdzie jest dostępne.
• Imienne konta i uprawnienia dopasowane do roli; przegląd kont co kwartał.
• Regularne aktualizacje sklepu, wtyczek i serwera.
• Kopie zapasowe poza serwerem sklepu i próbne odtwarzanie.
• Rejestr incydentów i krótka instrukcja: kto, co i w jakim terminie robi po wycieku.

Marketplace i własny sklep: kto za co odpowiada

Sprzedaż przez platformę zakupową zdejmuje z Ciebie część pracy: regulamin serwisu, mechanizm płatności i panel zamówień dostarcza platforma. Nie znika jednak Twoja odpowiedzialność za ofertę. Opis towaru, cena, termin wysyłki, zwroty, reklamacje i rzetelne dane sprzedawcy pozostają po Twojej stronie. Zamówienie przekazuje Ci dane kupującego, a gdy zajmujesz się wysyłką, przetwarzasz je dla własnych celów – realizacji umowy i obowiązków księgowych.

Dlatego przeczytaj regulamin platformy pod kątem podziału ról i obowiązków. Sprawdź, jak opisano wykorzystanie danych kupujących, czy wolno Ci używać ich do własnego marketingu i jakie dane sprzedawcy są pokazywane w ofertach. Zasada jest prosta: dane z zamówienia służą do jego realizacji, a nie do dopisywania klienta do newslettera bez zgody.

Jeśli prowadzisz własny sklep i podłączasz go do marketplace, na przykład przez allee Connect, Twoja strona, jej regulamin i polityka prywatności zostają Twoje – allee tylko czyta katalog produktów, a zamówienia zobaczysz w panelu sprzedawcy. Wygodne w tym układzie jest to, że dokumenty w sklepie i dane na stronie sklepu w allee możesz prowadzić spójnie, z jednego źródła prawdy. Ta spójność ma zaletę praktyczną: klient widzi te same warunki, niezależnie od tego, gdzie złożył zamówienie.

Lista kontrolna na koniec i zastrzeżenie

Przejdź przez poniższą listę raz teraz, a potem powtarzaj ją po każdej większej zmianie w sklepie: nowym kurierze, nowej metodzie płatności, nowej wtyczce czy narzędziu marketingowym. Kwadrans co kwartał oszczędza godziny tłumaczenia się klientowi albo urzędowi.

W sprawach spornych lub nietypowych – sprzedaż towarów regulowanych, sprzedaż za granicę, wdrażanie rozbudowanej analityki czy kontrola z urzędu – skonsultuj dokumenty z prawnikiem. Ten artykuł ma charakter informacyjny i nie zastępuje porady księgowego lub prawnika. Aktualne przepisy i wytyczne sprawdzisz na gov.pl, biznes.gov.pl, w serwisie UOKiK oraz na stronie Urzędu Ochrony Danych Osobowych.

• Dane sprzedawcy są kompletne i jednakowe w stopce, regulaminie, e-mailach i na marketplace.
• Cena całkowita, koszty dostawy i terminy są widoczne przed złożeniem zamówienia.
• Przycisk zamówienia jednoznacznie informuje o obowiązku zapłaty.
• Pouczenie o odstąpieniu od umowy i wzór formularza są dostępne dla klienta.
• Regulamin jest aktualny, zrozumiały i zarchiwizowany w kolejnych wersjach.
• Polityka prywatności zawiera cele, podstawy, odbiorców, okresy i prawa klienta.
• Zgody marketingowe są odrębne, niezaznaczone domyślnie i można je łatwo cofnąć.
• Baner cookies pozwala odmówić; narzędzia na stronie są zinwentaryzowane.
• Dwuskładnikowe logowanie, kopie zapasowe i przegląd uprawnień są wdrożone.
• Wiesz, kto i jak reaguje na wyciek danych oraz na wniosek klienta o dostęp lub usunięcie danych.