Een WooCommerce-webshop verwerkt veel persoonsgegevens: namen, adressen, betaalgegevens en bestelhistorie. Om AVG compliant te zijn, moet je minimaal zorgen voor een correct privacybeleid, cookietoestemming, beveiligde opslag, verwerkersovereenkomsten met plugins en betaaldiensten, en een duidelijke bewaartermijn voor klantgegevens. In dit artikel loop je stap voor stap door wat je concreet moet regelen.
Welke gegevens verwerkt WooCommerce
WooCommerce slaat standaard klantgegevens op zoals naam, e-mailadres, afleveradres, telefoonnummer en bestelgeschiedenis. Bij gebruik van een betaalprovider worden ook betaalgegevens doorgegeven, al worden kaartgegevens zelf meestal niet in WordPress opgeslagen. Daarnaast loggen veel plugins IP-adressen, bijvoorbeeld voor spampreventie of statistieken. Breng eerst in kaart welke plugins en integraties je gebruikt en welke gegevens ze verzamelen, want dat is de basis van je AVG-aanpak.
Let ook op gastbestellingen en accountregistraties: beide vallen onder de AVG, ook al heeft een klant geen wachtwoord ingesteld.
Privacybeleid en cookies instellen
Een actueel privacybeleid is verplicht en moet specifiek beschrijven welke gegevens WooCommerce verzamelt, met welk doel, hoe lang ze bewaard worden en aan wie ze eventueel worden doorgegeven (bijvoorbeeld een pakketbezorger of betaalprovider). WordPress heeft een ingebouwde privacybeleid-generator onder Instellingen > Privacy, maar vul deze altijd aan met webshop-specifieke informatie.
Voor cookies geldt dat alles behalve functionele cookies pas geplaatst mag worden na actieve toestemming. Gebruik een cookiebanner die bezoekers echt laat kiezen, zonder vooraf aangevinkte vakjes, en koppel analytics- of marketingscripts pas na toestemming.
Beveiliging en hosting
De AVG verplicht passende technische beveiliging van persoonsgegevens. Voor een WooCommerce-shop betekent dit onder meer een geldig SSL-certificaat, actuele software, sterke wachtwoorden en regelmatige back-ups zodat je bij een incident snel kunt herstellen. Dagelijkse back-ups en gratis SSL zijn bij webhosting van Tandata standaard geregeld, zodat dit onderdeel van je AVG-aanpak niet op jouw bordje ligt.
Kies ook voor servers die in de EU staan, zodat gegevens niet onnodig buiten de Europese Economische Ruimte worden opgeslagen. Combineer dit met beveiligde zakelijke e-mail voor bestelbevestigingen en klantcontact, en met een eigen domeinnaam via domeinnamen zodat je volledige controle houdt over je online identiteit.
Verwerkersovereenkomsten en plugins
Voor elke partij die namens jou persoonsgegevens verwerkt, is een verwerkersovereenkomst verplicht. Denk aan je hostingprovider, betaalprovider, verzendpartner, e-mailmarketingtool en eventuele chatplugins. Controleer bij elke WooCommerce-extensie welke gegevens worden doorgestuurd en vraag de leverancier om een verwerkersovereenkomst als die niet standaard wordt aangeboden.
Ruim ook inactieve accounts en oude bestelgegevens periodiek op, want de AVG schrijft voor dat je gegevens niet langer bewaart dan nodig. Richt een proces in voor het recht op inzage, correctie en verwijdering, zodat je klantverzoeken binnen de wettelijke termijn kunt afhandelen. Voor technische vragen over instellingen of plugins kun je terecht in de kennisbank, en ben je toe aan een provider die hierin meedenkt, bekijk dan de mogelijkheden om te overstappen naar Tandata.
Inventariseer gegevensstromen
Breng in kaart welke plugins, betaalproviders en verzenddiensten gegevens verwerken.
Stel privacybeleid op
Beschrijf concreet welke gegevens je verzamelt, waarom en hoe lang je ze bewaart.
Regel cookietoestemming
Plaats een cookiebanner die niet-functionele cookies pas na toestemming activeert.
Sluit verwerkersovereenkomsten
Vraag bij elke externe partij een overeenkomst op en bewaar deze zorgvuldig.
Beveilig en back-up je shop
Zorg voor SSL, updates en dagelijkse back-ups op een betrouwbare hostingomgeving.
Veelgestelde vragen
Moet ik een verwerkersovereenkomst sluiten met mijn hostingprovider?
Ja, aangezien de hostingprovider persoonsgegevens namens jou opslaat, is een verwerkersovereenkomst verplicht.
Mag ik klantgegevens onbeperkt bewaren?
Nee, je mag gegevens alleen bewaren zolang dat nodig is voor het doel, bijvoorbeeld de wettelijke bewaartermijn voor facturen.
Is een cookiebanner verplicht bij elke webshop?
Ja, zodra je niet-functionele cookies plaatst, zoals voor analytics of marketing, heb je voorafgaande toestemming nodig.
Wat gebeurt er met gegevens bij een gastbestelling?
Ook gastbestellingen vallen onder de AVG; je moet deze gegevens even zorgvuldig behandelen als accountgegevens.
Hoe ga ik om met een verzoek tot verwijdering?
Verifieer de identiteit van de aanvrager en verwijder of anonimiseer de gegevens binnen de wettelijke termijn, tenzij een bewaarplicht geldt.
Conclusie
WooCommerce AVG compliant maken draait om inzicht in je gegevensstromen, een duidelijk privacybeleid, correcte cookietoestemming, afspraken met verwerkers en een beveiligde hostingomgeving met back-ups. Door dit stap voor stap te regelen, bescherm je klantgegevens en voldoe je aan de wettelijke eisen.