AVG in de E-commerce context
•Download as PPTX, PDF•
1 like•159 views
Deze presentatie gehouden op de XSARUS-kennissessie toont onze praktische AVG/GDPR-aanpak. Hoe je door middel van het volgen van de klantreis en het in kaart brengen van je applicatielandschap de privacy impact binnen je e-commerce activiteiten kunt ontdekken.
Recommended
More Related Content
Similar to AVG in de E-commerce context
Similar to AVG in de E-commerce context (20)
AVG in de E-commerce context
- 1. AVG in de E-commerce context kennissessie 11.01.2018 Bram Hoekman
- 2. AVG in de e-commerce context Rol E-commerce bedrijf Focus op ‘de online klant’ - multi / omni-channel ?! Noodzaak vs. Kans Organisatorische randvoorwaarden Verwerkingen in kaart brengen Data- & beveiligingsbeleid Implementatie Rol XSARUS Als verwerkingsverantwoordelijke Als verwerker Als adviseur
- 3. Organisatorische randvoorwaarden Functionaris Gegevensbescherming / Data Protection Officer Aanwijzen verantwoordelijke personen Protocol datalekken + register Welke toezichthouder - AP NOODZAAK KANSEN Privacy Awareness – kennis neemt toe Projectleiding voor implementatie
- 4. Verwerkingen in kaart brengen Welke gegevens (klasse), welke doel, op basis van welke grondslag Data Privacy Impact Assessment (DPIA) ? Verwerkingsregister Verwerker > verwerkersovereenkomst! Wat als u zelf (ook) verwerker blijkt te zijn? Customer Journey tegen het licht > procesdocumentatie Systeem architectuur overzicht > systeemdocumentatie Nieuwe initiatieven: verbeterprojecten Evaluatiemoment met leveranciers NOODZAAK KANSEN
- 5. Awareness Consideration Purchase Service Loyalty privacy impact Impact analyse obv Customer Journey managed touchpoint unmanaged touchpoint online ads blog 3rd party sites social network affiliates landing page search recommendations remarketing wishlist (abandoned) cart checkout payment delivery my account mobile appcustomer service chat social post review preferences newsletter personalized newsletter remarketing push messages
- 6. Cloud (IaaS, PaaS) Monitoring Services, SLA Application Integration CONTENT + EXPERIENCE CMS, Blog, Inspiration Office Automation ANALYTICS Business & Customer Intelligence, Web- Analytics, Data Warehouse MERCHANDISING Search, Navigation, Personlization, Recommendation, Optimization CART + CHECKOUT Checkout, Discounts, Payment, My Account, Self-service ORDER MANAGEMENT Shipping, Labelling, Fulfillment, Returns PIM / DAM Rich product data, design, images, studio INBOUND E-mail, Campaigns, SEA, SEO, Social, Marketplaces, Affiliates, Feeds CRM Loyalty, Chat, Customer Service, Social monitoring INSTORE Point Of Sale, Tablet Assisted, Kiosk, Beacons, Counters ERP / WMS Finance, Inventory, Purchasing privacy impact Impact analyse obv Architectuur
- 7. Data- & Beveiligingsbeleid Data-minimalisatie - Bewaartermijnen > archivering -> verwijdering Privacy by Default / Privacy by Design Pseudonimisering – versleuteling “huidige stand der techniek” Cyclus: testen/evalueren/bijstellen Performance / conversie: Minder uitvraag => betere beleving Systemen lean-and-mean Nazien backup policies (retenties, archivering) Risicobeperking (impact hacks / leaks) NOODZAAK KANSEN
- 8. Implementatie Recht op ontvangen uitgebreide informatie + portabiliteit Recht op bezwaar, beperking, vergetelheid Privacy Policy aanpassen Software aanpassen Checkout / registration flow en “Mijn Account” omgeving Transparatie Gebruiksvriendelijke opties – gebruiker centraal stellen Self-service NOODZAAK KANSEN
- 9. XSARUS als verwerkingsverantwoordelijke Intern GDPR traject – wij volgen soortgelijk stappen CRM, Servicedesk, HR, … Verwerkingsregister, datalekken Arbeidsovereenkomsten en bedrijfsreglement Customer / Employee Journey tegen het licht Systeem architectuur opnieuw in beeld Nieuwe initiatieven: verbeterprojecten Evaluatiemoment met leveranciers NOODZAAK KANSEN
- 10. XSARUS als verwerker Opstellen verwerkersovereenkomsten met klanten Opstellen overeenkomsten met sub-verwerkers met in/toestemming van klant Beveiligingsmaatregelen evalueren en evt. bijstellen Procedure omtrent melden datalekken Verwerkingsregister met klantdimensie Oriëntatie mainstream services vs. uitzonderingen Optimalisatie: Extra screening beveilingsmaatregelen Awareness / kennis: Security & Privacy - developers en consultants Ontzorgen ipv bezorgen: Snel en effectief GDPR compliant krijgen van dienstverlening aan onze klant NOODZAAK KANSEN
- 11. XSARUS als adviseur Samen met klant betere software bouwen en onderhouden Conversieverhoging checkouts, registratieflows, account omgevingen Delen van best-practices onder klanten Templates, user stories Kennis en contacten Werksessies – samen in kaart brengen 1: Customer Journey / touchpoints 2: Systemen / architectuur overzicht FEB / MRT KANSEN
Editor's Notes
- E-commerce organisatie heeft daarnaast eigenschappen zoals iedere andere organisatie Aspecten rond personeelsadministratie, werving en selectie Bij fysieke vestigingen ook nog andere ‘touchpoints’, bv. Videobewaking, of IOT achtige toepassingen, baecons, winkelzuilen etc. Hiervoor gelden steeds dezelfde aspecten Rol XSARUS – ook focus op de context voor u als klant-organisatie
- Aanwijzen verantwoordelijke personen – in eerste instantie een projectorganisatie met een paar betrokkenen, waaronder de te benoemen Functionaris Gegevensbescherming / Data Protection Officer FG rol wel wenselijk. Kan ook als kartrekker / projectleider voor het hele implementatie stuk optreden en wordt kennisdrager binnen de organisatie Geweten binnen de organisatie Protocol datalekken + register zodat iederen weet wat te doen op dat cruciale moment. Welke toezichthouder – Autoriteit Persoonsgegevens in NL [Brandeis: 1, 9, 12]
- DPIA nodig > afhankelijk van het risico, wat is ‘hoog’ risico. Verwerkt u gegevens van kinderen. Bijvoorbeeld in klant loyaliteitsprogramma’s. Combineren van gegevensverzamelingen > Customer Intelligence en (intelligente) Marketing Automation toepassingen. Bij twijfel zou ik zeggen: doen. En dan voor die specifieke verwerkingen om een duidelijke scope te krijgen. Uiteindelijk ontstaat een register “lijst” met verwerkingen. Dit register moet uiteraard onderhouden blijven E.e.a. is gelijk een mooie kans om customer journeys te analyseren (klantreis) en een systeem architectuur overzicht te krijgen – hoe en wanneer raken welke klanten welke systemen met welk doel. Misschien komen hier wel mooie nieuwe projecten uit of signaleren we besparingsmogelijkheden. “Wat hebben we allemaal draaien”. Duidelijke definitie afdelingen en werkprocessen – van wie is welke data [Brandeis: 2, 3, 5, 10]
- Standaard weergave customer journey met verschillende levensfasen Managed vs unmanaged touchpoint. Systemen die je zelf runt of laat runnen vs. systemen die door 3rd parties worden geexploiteerd. Mogelijk wel gebruikmakend van jouw data!
- Weergave van de systeemdomeinen – een indeling die binnen xsarus vaak wordt gebruikt, onze “happy stack”. (unhappy). Langs de as van alle systemen de impact blootleggen om maatregelen te treffen. Per systeem externe verwerkers (diensten / saas software) of leveranciers (systeembouwers) langsgaan
- Er zijn wettelijke bewaartermijnen (minimaal en maximaal) – die kunnen zelfs conflicteren! Welke data heb ik minimaal nodig om mijn taken (verwerkingen) uit te voeren. Minimale data is niet helemaal hip op dit moment. Staat in contrast met ‘big-data’ fenomeen, harvest maar zoveel als mogelijk, we kijken nog wel wat we ermee doen. Misschien komt het van pas ? Dat zou dus niet meer zonder meer mogen. Wat is nu de huidige stand der techniek. PET – privacy enhancing technologies : technologien die eerder gebruikt werden door adepten/freaks moeten/kunnen nu worden ingezet door bedrijven zelf. Performance / conversie: Minder uitvraag => betere beleving Systemen lean-and-mean Nazien backup policies (retenties, archivering) Impact van datalekken/hacks. Los van de AVG is dit natuurlijk de nachtmerrie van elke organisatie, stok achter de deur helpt wel eens om dit eindelijk goed te regelen. [Brandeis: 4, 6]
- Uitgebreide informatie: Werkwijze komen om een volledige gegevensdump van een individueel persoon aan te kunnen leveren. 1e verzoek afwachten? Maar alvast nadenken over hoe dit technisch kan. Samenhangend is portabiliteit > de export van de gegevens moet in een machine-leesbaar formaat (dus geen doos uitgeprint A4) Bezwaar is een soort harde opt-out. Verwerking kan stil komen te liggen. Treft met name profiling / geautomatiseerde besluitvorming >bijvoorbeeld intelligente marketing automation. Vergeten is feitelijk verwijderen van de klant Registration flow moet aan alle aspecten onderworpen. Duidelijk vertellen doel van de gegevens, rechtsgeldige toestemming krijgen. Beter onderscheid maken tussen On Account of ‘anoniem’ bestellen. Dit laatste moet ook mogelijk zijn. Mijn account omgeving > prominente rol. Naast aanbieden van routes voor het uitvoeren van deze rechten > klantbeleving (hoewel: de laatste dan) Ook meer inzicht geven welke data er precies is -> naast order historie ook andere touchpoints. Transparantie als bewijs. Self-service om operationele last van dit alles beperkt te houden [Brandeis: 7, 8, 11]
- Welke risico klasse zou dit zijn ?