Kako mogu brisati ili prenijeti osobne podatke kupaca u skladu s GDPR-om?

GDPR nije samo kolačićni banner. Trgovci trebaju znati kako postupiti kad kupac zatraži brisanje, kako mu izvući podatke i kako sustav sam brine rokove čuvanja. WebShopHR te zahtjeve rješava unutar istog toka, a ne kao zasebne module: od blagajne preko anonimizacije i izvoza do automatskog brisanja isteklih zapisa.

Pravo na zaborav: jedan klik anonimizira kupca i njegove narudžbe

Kad kupac zatraži brisanje svojih osobnih podataka, trgovac u CMS-u može pokrenuti anonimizaciju. U jednoj transakciji sustav zamijeni e-mail, ime, adresu, telefon i druge osobne identifikatore u retku kupca, i isti postupak provede na narudžbama vezanim uz taj račun.

Narudžbe koje je ista osoba napravila kao gost, prije nego je otvorila račun, ostaju nepromijenjene, iako se na istom ekranu prikazuju zajedno s narudžbama s računa. Ako kupac koji traži brisanje ima i takve starije narudžbe, trgovac ih treba provjeriti i urediti zasebno.

Financijski iznosi, stavke narudžbi, povijest plaćanja i porezni trag ostaju netaknuti, jer knjigovodstvena obveza čuvanja tih podataka ostaje. Ako se ista akcija ponovi nad već anonimiziranim kupcem, sustav to prepoznaje i ne rastura već očišćene zapise.

Pravo na uvid i prenosivost: izvoz u JSON-u ili CSV-u

Trgovac u bilo kojem trenutku može izvesti cijeli sadržaj dućana: katalog s varijantama, kupce i narudžbe sa stavkama. Izvoz se gradi u jednoj transakciji, što znači da je snimak konzistentan bez obzira na to tko je u međuvremenu kupio ili spremio. Kroz CMS je jednim klikom dostupan izvoz kupaca; puni izvoz kataloga i narudžbi trenutno ide izravnim API pozivom, ne klikom u sučelju.

Može se preuzeti kao jedan JSON s ugniježđenim strukturama ili kao ZIP arhiva s nekoliko CSV datoteka. CSV datoteke nose UTF-8 BOM oznaku, pa se hrvatski dijakritički znakovi u Excelu na Windowsu čitaju ispravno. Izvoz kupaca nikad ne sadrži stupac s hešom lozinke.

Cookie privola sa sigurnosnim zadanim stanjem

Google Analytics 4 i srodne skripte učitavaju se tek nakon što kupac eksplicitno pristane klikom na „Prihvaćam“. Ako kupac ne koristi JavaScript, pripadajući fragment se ne učita, pa se automatski tretira kao da je odbio praćenje.

Odluka se pamti godinu dana u sigurnom kolačiću, a kupac je u svakom trenutku može promijeniti ili povući jednim klikom. Kad je privola dana, GA4 se pokreće s uključenom anonimizacijom IP adrese.

Audit log izmjena u CMS-u

Svaka promjena u CMS-u, osim običnog čitanja, ostavlja red u audit logu: izvor izmjene, metoda, putanja i statusni kod odgovora. Tijelo zahtjeva, Stripe ključevi i druge tajne nikad ne ulaze u audit log.

Za automatizaciju preko Javnog API-ja izvor je naziv te API veze, i taj naziv razlikuje jednu vezu od druge. Za rad kroz sam CMS zapis trenutačno ne razlikuje pojedine članove osoblja: bilježi da je izmjenu napravio netko prijavljen u CMS, ne koji konkretno.

Ako upis audit reda iz bilo kojeg razloga ne uspije, sama operacija se ne prekida, već se greška bilježi u poslužiteljskom zapisu. Time se osigurava da se audit ne pretvori u točku kvara. Pristup audit logu ima posebnu razinu ovlasti, pa ga obični djelatnici ne mogu mijenjati ni brisati.

Automatsko zadržavanje podataka

Sustav redovito pokreće pozadinske poslove koji brišu podatke nakon zakonski opravdanih rokova. Audit logovi se uklanjaju nakon dvanaest mjeseci, razgovori s AI agentom nakon trideset dana, a napuštene košarice koje sadržavaju e-mail adrese nakon trideset dana.

Ti poslovi prolaze kroz sve tenante (sve dućane na platformi), uključujući one koji su privremeno suspendirani ili su prešli na niži paket, jer se obveza čuvanja osobnih podataka ne mijenja paketom. Rokovi se ne oslanjaju na to da netko ručno pregledava svaki dućan. Posao ih pokriva automatski.

Pristanak za newsletter

Kupac na blagajni može označiti želi li primati newsletter. Taj izbor se zapisuje uz samu narudžbu, pa trgovac uvijek zna da je privola nastala u trenutku kupnje, a ne odvojeno ili naknadno. Taj zapis ostaje vezan uz narudžbu i ne može se naknadno promijeniti. Ako se kupac kasnije anonimizira, i newsletter e-mail nestaje zajedno s ostalim osobnim podacima, jer je dio istog retka koji se očišćuje.

GDPR u WebShopHR-u nije dodatak. Audit log se čuva dvanaest mjeseci, razgovori s AI agentom trideset dana, a napuštene košarice s e-mail adresama trideset dana, sve automatski i bez ručnog nadzora.

Više o temi: Sigurnost i infrastruktura.