Weryfikacja tożsamości klienta przy zamówieniu nie polega na zbieraniu dokumentów. Chodzi o odpowiedź na jedno pytanie: czy osoba po drugiej stronie czatu ma prawo zobaczyć adres dostawy, listę produktów albo dane do faktury. Ktoś może znać numer zamówienia, bo widział go na etykiecie paczki albo w przekazanym e-mailu. To wystarcza, żeby odnaleźć sprawę, ale nie wystarcza, żeby ujawnić jej szczegóły.
Ten poradnik pokazuje, jak podzielić informacje na poziomy, jak potwierdzić osobę przez kanał znany z zamówienia i kiedy przekazać sprawę dalej. Nie dotyczy sytuacji, w której klient sam wkleja na czacie dane karty; tę opisuje osobny tekst o danych wrażliwych na czacie. Tutaj zajmujemy się pytaniem, komu wolno odpowiedzieć.
Numer zamówienia wskazuje sprawę, nie osobę
Zacznij od rozdzielenia dwóch czynności: odnalezienia zamówienia i sprawdzenia, czy pytający jest z nim związany. Numer zamówienia, nazwisko czy miasto dostawy pomagają w pierwszej. Do drugiej potrzebujesz czegoś, czego nie zna przypadkowa osoba: zalogowanego konta, adresu e-mail zapisanego w zamówieniu albo numeru telefonu podanego przy zakupie. Nazwa nadawcy wyświetlana w e-mailu lub komunikatorze może zostać ustawiona dowolnie, więc sama w sobie niczego nie dowodzi.
Przykład z fikcyjnego sklepu z herbatą: ktoś pisze na czacie „Jestem mężem pani Anny, podajcie adres, na który poszła paczka, i co zamówiła”. Podaje poprawny numer zamówienia. Operator, który chce pomóc, odpowiada pełnymi danymi. Tymczasem w tej rozmowie nic nie potwierdziło, że pytający jest mężem ani że pani Anna zgadza się na ujawnienie adresu. Uprzejmość nie zastępuje sprawdzenia uprawnienia.
OWASP Authorization Cheat Sheet zaleca odmowę domyślną i sprawdzanie uprawnienia do konkretnego obiektu przy każdym żądaniu, zamiast polegania na tym, że identyfikator jest trudny do odgadnięcia. To zalecenie dla aplikacji, nie regulamin obsługi klienta; przenosimy z niego jedynie zasadę, że znajomość numeru nie daje dostępu.
Podziel informacje na poziomy
Nie każda odpowiedź wymaga tego samego potwierdzenia. Ogólne zasady dostawy możesz podać każdemu, bo są publiczne. Szczegóły jednego zamówienia ujawniają już dane osobowe, a zmiana adresu lub odbiorcy może przekierować paczkę do innej osoby. Poniższa tabela jest przykładem ustawienia dla małego sklepu internetowego, nie normą; dopasuj ją do własnych danych i ryzyka.
Przesuń tabelę w bok, aby zobaczyć wszystkie kolumny.
| Rodzaj prośby | Przykład | Przykładowe potwierdzenie |
|---|---|---|
| Informacja ogólna | Ile trwa wysyłka za granicę | Brak, odpowiedź z bazy wiedzy |
| Status bez danych osobowych | Czy zamówienie zostało wysłane | Numer zamówienia i odpowiedź bez adresu ani produktów |
| Szczegóły zamówienia | Adres dostawy, produkty, kwota, dane faktury | Zalogowane konto lub odpowiedź na e-mail zapisany w zamówieniu |
| Zmiana zamówienia | Nowy adres, inny odbiorca, zmiana e-maila | Potwierdzenie ze znanego kanału i decyzja osoby uprawnionej |
Drugi wiersz wymaga dyscypliny w treści odpowiedzi. „Paczka wyszła wczoraj” nie zdradza nic poza statusem. „Paczka wyszła wczoraj do Gdańska, na ulicę Lipową” to już adres. Jeżeli w twoim sklepie często pada pytanie o status, ogranicz je u źródła, jak opisuje poradnik o pytaniach „gdzie jest moje zamówienie”; mniej takich rozmów to także mniej okazji do pomyłki.
Potwierdź osobę przez kanał znany z zamówienia
Najmocniejsze potwierdzenie to takie, które już istnieje. Klient zalogowany na koncie przeszedł uwierzytelnienie przy logowaniu. Adres e-mail podany przy zakupie jest kanałem, który kontroluje właściciel zamówienia. Gdy rozmowa toczy się gdzie indziej, przenieś jej wrażliwą część do tego kanału, zamiast zadawać serię pytań kontrolnych na czacie.
- Nazwij prośbę.Ustal, o który poziom danych chodzi: status, szczegóły czy zmianę. Od tego zależy, czy w ogóle potrzebujesz potwierdzenia.
- Sprawdź obecny kanał.Jeśli klient jest zalogowany na koncie albo odpowiada w wątku, który sami wysłaliście na adres z zamówienia, możesz kontynuować. Adres podany dopiero w tej rozmowie się nie liczy.
- Przenieś odpowiedź.Wyślij wiadomość na e-mail z zamówienia i poproś o odpowiedź na nią. Nie wysyłaj szczegółów na nowy adres wskazany przez pytającego.
- Nie zdradzaj danych w pytaniu.Zamiast „Czy adres to Lipowa 5?” poproś klienta, żeby sam podał brakującą informację. Pytanie z odpowiedzią w treści ujawnia ją każdemu.
- Zapisz wynik.W notatce wewnętrznej zaznacz, jakim kanałem potwierdzono osobę i kiedy, bez przepisywania adresu czy danych faktury.
Prośbę o potwierdzenie wyślij w jednej wiadomości, z celem i informacją, czego nie potrzebujesz. Klient, który dostaje trzy kolejne pytania bez wyjaśnienia, odbiera to jako przesłuchanie. Jak połączyć brakujące informacje w jedną czytelną prośbę, pokazuje poradnik o prośbie o uzupełnienie zgłoszenia.
Czego nie żądać od klienta
Skan dowodu osobistego wydaje się pewnym rozwiązaniem, ale w sklepie internetowym zwykle niczego nie rozstrzyga. Nie wiesz, jak wygląda prawdziwy dokument tej osoby, a nazwisko na zamówieniu mógł wpisać ktokolwiek. Za to po przyjęciu skanu masz na czacie dane, które trzeba chronić i usunąć. Nie proś też o hasło do konta, pełny numer karty ani kod z SMS-a wysłany przez bank lub inny serwis; żaden z nich nie powinien trafić do obsługi.
Wytyczne EDPB 01/2022 dotyczące prawa dostępu (wersja 2.0 przyjęta 28 marca 2023 r.) uznają żądanie kopii dokumentu tożsamości za nieproporcjonalne, gdy osoba jest już uwierzytelniona, np. zalogowana na konto. Samą kopię dokumentu w procesie uwierzytelniania traktują co do zasady jako nieodpowiednią, chyba że jest ściśle niezbędna i zgodna z prawem krajowym. Wytyczne EDPB 01/2022. Dokument dotyczy wniosków o dostęp do danych na podstawie RODO, a nie każdego pytania o paczkę.
Ta sama logika proporcjonalności dobrze sprawdza się przy zwykłych pytaniach o zamówienie: zbieraj tylko tyle, ile wzmacnia związek osoby z zamówieniem. Ten tekst nie jest poradą prawną. Jeżeli w twojej branży przepisy wymagają dokumentu, ustal z prawnikiem bezpieczny kanał jego przyjęcia. Gdy klient mimo wszystko wyśle skan, postępuj według procedury opisanej w poradniku o wklejonych danych wrażliwych.
Pytanie w czyimś imieniu i presja czasu
Część próśb przychodzi od osób, które rzeczywiście działają w imieniu klienta: członka rodziny, asystentki, działu zakupów firmy. Nie musisz ich odrzucać, ale potwierdzenie powinno przyjść od właściciela zamówienia, najlepiej przez znany kanał. Do tego czasu możesz podać status bez danych osobowych. Zmianę adresu albo odbiorcy zostaw osobie, która ma prawo zdecydować, i opisz jej, co zostało sprawdzone.
Uważaj na sygnały nacisku: pilny termin, rzekomą zgodę „szefa”, prośbę o wysłanie danych na nowy adres e-mail albo zmianę danych kontaktowych tuż przed pytaniem o szczegóły. Każdy z nich sam w sobie może być niewinny, ale razem uzasadniają przekazanie sprawy wskazanej osobie. Operator, który ma prawo powiedzieć „sprawdzimy to i odpiszemy”, rzadziej ulega presji niż ten, który boi się, że odmowa zostanie uznana za złą obsługę.
„Chętnie pomogę. Żeby chronić dane zamówienia, szczegóły przekazujemy tylko na adres e-mail podany przy zakupie albo po zalogowaniu na konto. Wysłaliśmy tam wiadomość; odpowiedz na nią, a dokończymy sprawę. Nie potrzebujemy skanu dokumentu ani hasła.” Spokojnie, bez sugerowania, że pytający kłamie.
Zapisz procedurę, zanim zdarzy się wyjątek
meetlead.identify() może przypisać profil do stabilnego identyfikatora konta bez podpisu HMAC. Potwierdzenie accepted oznacza zapis profilu CRM, a nie prawo do informacji o zamówieniu ani dostęp do wcześniejszych rozmów. Zespół nadal sprawdza uprawnienie do konkretnej sprawy według własnej procedury.
Notatka o weryfikacji powinna mówić, co sprawdzono, a nie powtarzać chronione dane. „Potwierdzono odpowiedzią z e-maila z zamówienia, 14:20” wystarczy następnej osobie. Wzór takiego zapisu znajdziesz w poradniku o notatkach wewnętrznych w obsłudze. W publicznym artykule Centrum pomocy możesz z kolei uprzedzić klientów, o co zapytacie i czego nigdy nie będziecie żądać. Taki artykuł przydaje się też wtedy, gdy klienci dostają fałszywe SMS-y pod nazwą sklepu i pytają, czy wiadomość jest od was.
- Każdy rodzaj prośby ma przypisany poziom danych.
- Zespół zna akceptowane kanały potwierdzenia.
- Szczegóły nie trafiają na adres podany dopiero w rozmowie.
- Wzór odpowiedzi jest zapisany i nie oskarża klienta.
- Wiadomo, kto decyduje o zmianie adresu lub odbiorcy.
- Notatka opisuje sposób potwierdzenia, bez kopiowania danych.
Jeśli korzystasz z asystenta AI, nie przenoś na niego decyzji o ujawnieniu danych konkretnego zamówienia. Zakres dostępu narzędzia warto ustalić osobno, według zasad opisanych w poradniku o uprawnieniach agenta AI.
Pytania o weryfikację klienta
Czy numer zamówienia i nazwisko wystarczą, żeby podać adres dostawy? W większości sklepów nie. Obie informacje bywają widoczne na paczce, w przekazanej wiadomości albo na zrzucie ekranu. Pozwalają odnaleźć zamówienie i podać status bez danych osobowych. Szczegóły przekaż po zalogowaniu albo na adres e-mail zapisany w zamówieniu.
Co zrobić, gdy klient nie ma już dostępu do e-maila z zamówienia? Nie zmieniaj adresu na prośbę z czatu. Przekaż sprawę osobie, która decyduje o wyjątkach, i zapisz, co klient potrafi potwierdzić oraz dlaczego nie może użyć dotychczasowego kanału. Do czasu decyzji podawaj tylko status bez danych osobowych. Dzięki temu nie blokujesz klienta, a jednocześnie nie przekierowujesz paczki ani danych do osoby, której nie znasz.
