Ehdot, tietosuoja ja evästeet verkkokaupassa

Moduuli 5: Velvollisuudet ja ehdot · Lukuaika: 11 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat tarjota toimitusehdot niin, että ne ovat voimassa, täydentää verkkokaupan tietosuojaselosteen myyntiin liittyvillä käsittelyillä, arvioida, mitä evästeitä verkkokauppa saa asettaa ilman suostumusta, ja valita puolueettomasti, sopiiko luotettavuusmerkki sinulle.

Keskeiset käsitteet: toimitusehdot, ehtojen antaminen asiakkaalle, ehtojen saattaminen saataville sähköisesti, hyväksymisruutu, tietosuojaseloste, henkilötietojen käsittelijä, käsittelysopimus, säilytysaika, toiminnalliset evästeet, seurantaevästeet, order attribution, suostumus, luotettavuusmerkki, riitalautakunta, ODR-alusta

Tämä oppitunti kertoo säännöistä sellaisina kuin ne ovat voimassa 9. marraskuuta 2026. Se ei ole oikeudellista eikä verotuksellista neuvontaa. Jos olet epävarma omasta tilanteestasi, kysy juristilta, toimialajärjestöltäsi tai kirjanpitäjältäsi.

Toimitusehdot: pelkkä olemassaolo ei riitä

Toimitusehdot ovat vakiosopimusehdot, joita käytät jokaisessa tilauksessa: toimitus, maksu, takuu, vastuu ja reklamaatiot. Ne eivät ole pakollisia, mutta lähes jokaisella verkkokaupalla on ne. Sudenkuoppa: ehdot, joita asiakas ei ehtinyt lukea ajoissa, eivät välttämättä ole voimassa.

Hollannissa siviililain artikla 6:234 BW edellyttää, että ehdot annetaan asiakkaalle ennen sopimuksen tekemistä tai sen yhteydessä. Verkossa tämä saa tapahtua sähköisesti, kunhan asiakas voi tallentaa ehdot ja lukea ne myöhemmin. Jos et tee näin, asiakas voi mitätöidä ehtojen määräykset. Käytännössä:

• linkki ehtoihin aivan tilauspainikkeen vieressä ja valintaruutu, joka on aluksi tyhjä ("Olen lukenut toimitusehdot");
• ehdot pdf-tiedostona tai tekstinä tilausvahvistuksessa tai sen liitteenä, jotta ne jäävät asiakkaalle;
• pysyvä sivu, joka on aina saatavilla, esimerkiksi alatunnisteen kautta.

Saksassa on samankaltainen sääntö (asiakkaalla on oltava kohtuullinen mahdollisuus tutustua "Allgemeine Geschäftsbedingungen" -ehtoihin, AGB). Belgiassa ehdot ovat voimassa, jos asiakas pystyi tutustumaan niihin ennen sopimuksen tekemistä ja hyväksyi ne. Ajatus on kaikkialla sama: näytä ehdot ajoissa ja anna asiakkaan tallentaa ne.

Yhtä tärkeää on se, mitä ehtoihin ei saa kirjoittaa. Ehdot eivät saa rajoittaa kuluttajan lakisääteisiä oikeuksia. "Palautus vain alkuperäisessä, avaamattomassa pakkauksessa" tai "alennustuotteilla ei ole peruuttamisoikeutta" on ristiriidassa peruuttamisoikeuden kanssa (oppitunti 5.2). Pelkästään ehdoissa oleva määräys ei myöskään koskaan korvaa pakollisia tietoja (oppitunnit 5.1 ja 5.4). Toimialajärjestöillä ja luotettavuusmerkeillä on usein mallisopimusehdot; ne ovat turvallisempi lähtökohta kuin omat tekstit tai toisen verkkokaupan tekstin kopioiminen (jälkimmäinen ei ole hyväksyttävää myöskään tekijänoikeuden kannalta).

Tietosuoja: mitä verkkokauppa käsittelee lisäksi

Verkkosivuston GDPR-perusteet (henkilötiedot, käsittelyperuste, tietosuojaseloste, lomakkeet, käsittelijät) käsitellään WordPress-kurssin oppitunnilla 9.3. Verkkokauppa käsittelee enemmän tietoja, ja useampi osapuoli on mukana:

Mitä teet tämän perusteella:

1. Mainitse jokainen käsittely tietosuojaselosteessasi ja kerro tarkoitus, käsittelyperuste, säilytysaika ja vastaanottajat. WordPressissä on kohdassa Asetukset > Tietosuoja apupohja; WooCommerce lisää siihen omia tekstiehdotuksia verkkokauppaa varten. Käytä niitä lähtökohtana, älä valmiina tekstinä.
2. Tee käsittelysopimukset niiden osapuolten kanssa, jotka käsittelevät tietoja puolestasi (webhotelli, postituspalvelu, kirjanpito-ohjelma). Maksupalvelujen ja kuljetusyhtiöiden rooli vaihtelee osapuolittain; lue, mitä ne itse kertovat.
3. Määritä säilytysajat kohdassa WooCommerce > Asetukset > Tilit Yksityisyys (oppitunti 2.3): passiiviset tilit poistetaan määräajan jälkeen, maksamattomat, epäonnistuneet ja peruutetut tilaukset siirretään roskakoriin, ja hyvitettyjen ja valmiiden tilausten henkilötiedot anonymisoidaan. Ota huomioon verotuksellinen säilytysvelvollisuus (oppitunti 5.6): säilytä laskutustiedot kirjanpidossasi, jos poistat ne kaupasta. Suomessa kirjanpitolain mukaan kirjanpitokirjat säilytetään 10 vuotta ja tositteet 6 vuotta.
4. Tiedä, mitä teet tietoturvaloukkauksen sattuessa (KB 6749 ja kurssi Turvallisesti verkossa). Murrettu verkkokauppa, jossa on asiakastietoja, on lähes aina ilmoitusvelvollinen tapaus.

Evästeet verkkokaupassa

Itse evästeitä koskevat säännöt (Hollannissa Telecommunicatiewet, EU:ssa sähköisen viestinnän tietosuojadirektiivi) käsitellään myös WordPress-kurssin oppitunnilla 9.3. Nyrkkisääntö: toiminnalliset evästeet, jotka ovat tarpeen kävijän pyytämän palvelun kannalta, saa asettaa ilman suostumusta. Seurantaan ja useimpiin tilastoihin tarvitset suostumuksen etukäteen.

Verkkokaupassa tämä tarkoittaa:

• Toiminnalliset: WooCommercen ostoskorin ja istunnon evästeet (woocommerce_cart_hash, woocommerce_items_in_cart, wp_woocommerce_session_...) ja maksupalvelusi evästeet maksun aikana. Nämä ovat sallittuja, ja ne kuuluvat evästeselosteeseesi.
• Order attribution: WooCommercessa on toiminto, joka seuraa, minkä kanavan kautta tilaus tuli (hakukone, kampanja, sähköposti). Se käyttää evästeitä, jotka alkavat sbjs_, oletuksena vain käynnin ajan. Tarvitaanko siihen suostumus, riippuu siitä, miten käytät tietoja; kyse on mittaamisesta, joka ei ole tarpeen tilauksen kannalta. Voit poistaa toiminnon käytöstä kohdassa WooCommerce > Asetukset > Edistyneet > Ominaisuudet. Selvitä, mitä sinua koskee, ja kirjaa se evästeselosteeseesi.
• Seuranta ja mainonta: sosiaalisen median pikselit, mainosverkostot ja tilastot, jotka jakavat tietoja kolmansille osapuolille. Lataa ne vasta suostumuksen jälkeen. Evästebanneri, joka lataa kaiken jo ennen kuin kävijä valitsee, ei täytä vaatimuksia.

Sudenkuoppa: suuri ja vihreä "Hyväksy"-painike, jonka vieressä on vaikeasti löydettävä "Hylkää". Valvontaviranomaiset edellyttävät, että kieltäytyminen on yhtä helppoa kuin hyväksyminen.

Luotettavuusmerkit ja riidat

Luotettavuusmerkki on vapaaehtoinen sopimus organisaation kanssa, joka tarkastaa kauppasi, antaa sinulle mallisopimusehdot ja tarjoaa usein riidanratkaisumenettelyn. Esimerkkejä: Thuiswinkel Waarborg Hollannissa, BeCommerce Belgiassa ja Trusted Shops Saksassa; muitakin on. Ne eroavat vaatimuksiltaan, tarkastuksiltaan ja kustannuksiltaan. Luotettavuusmerkki ei ole pakollinen eikä korvaa lakia; se voi kuitenkin lisätä luottamusta ja auttaa pysymään sääntöjen tasalla. Vertaile niitä sen perusteella, mitä ne tarkastavat, mitä ne sinulta vaativat ja mikä riidanratkaisumenettely niihin kuuluu.

Riidoista vielä ajankohtainen asia: vuoteen 2025 asti verkkokauppojen oli linkitettävä EU:n verkkovälitteisen riidanratkaisun ODR-alustalle. Alusta suljettiin 20. heinäkuuta 2025 (asetus (EU) 2024/3228), ja velvollisuus linkittää siihen on poistunut. Jos linkki on yhä ehdoissasi tai alatunnisteessasi, poista se; se osoittaa johonkin, mitä ei enää ole. Euroopan komissio ohjaa nyt maakohtaiseen riidanratkaisuelinten luetteloon.

Käytännössä: tältä se näyttää WooCommercessa

Theehuis Examplessa:

1. Sivut Tilaus- ja sopimusehdot ja Tietosuojaseloste; kohdassa WooCommerce > Asetukset > Edistyneet > Sivujen asetukset on valittu ehtosivu (hyväksymisruutu kassalla) ja kohdassa Asetukset > Tietosuoja tietosuojasivu.
2. Kohdassa Tilit Yksityisyys: tietosuojateksti, jonka WooCommerce näyttää rekisteröitymisen ja kassan yhteydessä, viittaa tietosuojaselosteeseen.
3. Evästebanneri, joka lataa seurannan vasta suostumuksen jälkeen; testattu yksityisessä ikkunassa kehittäjätyökaluilla (välilehdet Verkko ja Tallennustila): ennen valintaa ei pyyntöjä mainos- tai tilastopalveluihin.
4. Ehdot pdf-tiedostona tilausvahvistuksen liitteenä (lisäosan avulla) tai linkki sähköpostin lisäsisällössä.

Yhteenveto

• Toimitusehdot ovat voimassa vain, jos saatat ne saataville sähköisesti ennen sopimuksen tekemistä tai sen yhteydessä niin, että asiakas voi tallentaa ne (Hollannissa 6:234 BW); ne eivät saa rajoittaa kuluttajan oikeuksia.
• Verkkokauppa käsittelee enemmän henkilötietoja kuin tavallinen sivusto; kirjaa jokainen käsittely käsittelyperusteineen, säilytysaikoineen ja vastaanottajineen tietosuojaselosteeseesi ja määritä säilytysajat WooCommerceen. Suomessa kirjanpitolaki edellyttää kirjanpitokirjojen säilyttämistä 10 vuotta ja tositteiden 6 vuotta.
• Ostoskori- ja istuntoevästeet ovat toiminnallisia; seuranta ja mainonta vasta suostumuksen jälkeen; order attribution päälle tai pois harkiten.
• Luotettavuusmerkit ovat vapaaehtoisia; vertaile niitä puolueettomasti. Pakollinen linkki ODR-alustalle on poistunut 20. heinäkuuta 2025.

Tietovisa (quiz)

Tehtävä

Tehtävä A5.5: Ehdot, tietosuoja ja evästeet. Syötä verkkokauppasi osoite. Ohjelma hakee etusivun ilman evästeitä, kuten uusi kävijä, joka ei ole vielä valinnut mitään, ja kirjaa vain sivuston asettamien evästeiden nimet. Se etsii linkin toimitusehtoihisi ja linkin tietosuojaselosteeseesi (myös saksaksi, englanniksi ja ranskaksi) ja hakee molemmat sivut. Vihreä, jos molemmat linkit löytyvät ja sivut palauttavat koodin 200, HTML:ssä ei ole tunnettuja tilasto- tai mainosskriptejä eikä tilasto- tai mainosevästeitä (kuten _ga, _fbp) aseteta ennen kävijän valintaa. Oranssi, jos tällainen skripti on jo HTML:ssä ("latautuuko se vasta suostumuksen jälkeen?"), jos asetetaan order attribution -evästeitä (sbjs_) (tiedoksi) tai jos linkki ODR-alustalle on yhä olemassa. Punainen, jos jompikumpi linkeistä puuttuu, sivu ei ole saatavilla tai seuranta- tai mainosevästeitä asetetaan ilman valintaa. Ohjelma näkee vain HTML:n ilman JavaScriptiä; skriptit, jotka lataavat myöhemmin muita skriptejä, tarkistat itse selaimesi Verkko-välilehdeltä.

Kysymys itsellesi (ei tarkisteta): mitkä tämän oppitunnin taulukon käsittelyistä puuttuvat vielä tietosuojaselosteestasi?

Lue lisää

• Ilmainen WordPress-kurssi 9.3: Tietosuoja-asetus: evästeet, lomakkeet ja tietosuojaseloste
• Evästeet (Hollannin tietosuojaviranomainen Autoriteit Persoonsgegevens, hollanniksi): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Onko tämä tietovuoto, ja pitääkö minun ilmoittaa siitä?
• Hollannin siviililaki (Burgerlijk Wetboek), kirja 6, artikla 6:234 (wetten.overheid.nl, hollanniksi): https://wetten.overheid.nl/BWBR0005289/
• ODR-alustan sulkeminen ja maakohtaiset riidanratkaisuelimet (Euroopan komissio, englanniksi): https://consumer-redress.ec.europa.eu/site-relocation_en
• Thuiswinkel.org (luotettavuusmerkki Thuiswinkel Waarborg, hollanniksi): https://www.thuiswinkel.org/