RODO w salonie beauty: praktyczny przewodnik

Prowadzisz salon, więc przetwarzasz dane osobowe: imiona, numery telefonów, historię wizyt, czasem notatki o preferencjach. RODO nie zabrania tego robić. Wymaga, żebyś robiła to świadomie, w jasnym celu i z poszanowaniem praw klientek. Ten przewodnik porządkuje najważniejsze sprawy w praktyczny sposób.

To materiał informacyjny, a nie porada prawna. W nietypowej sytuacji skonsultuj się z prawnikiem albo inspektorem ochrony danych.

Kto jest kim

• Salon jest administratorem danych swoich klientek. To Ty decydujesz, jakie dane zbierasz i po co.
• Program do rezerwacji jest podmiotem przetwarzającym. Przechowuje dane w Twoim imieniu i na Twoje polecenie. Dlatego potrzebujesz z nim umowy powierzenia przetwarzania danych (art. 28 RODO). Dobry dostawca daje ją do akceptacji przy zakładaniu konta.
• Klientka jest osobą, której dane dotyczą, i ma wobec Ciebie konkretne prawa.

Jakie dane możesz zbierać

Zbieraj tylko to, czego naprawdę potrzebujesz, żeby umówić i wykonać usługę (zasada minimalizacji). Zwykle wystarczy:

• imię i nazwisko (albo samo imię),
• numer telefonu,
• historia wizyt i usług,
• notatki potrzebne do wykonania usługi (np. ulubiony kształt paznokci, numer koloru).

Podstawą przetwarzania tych danych jest najczęściej wykonanie umowy o usługę (art. 6 ust. 1 lit. b RODO). Nie potrzebujesz do tego osobnej zgody.

Uwaga na dane o zdrowiu

Informacje o alergiach, chorobach skóry, ciąży czy przyjmowanych lekach to dane szczególnej kategorii (art. 9 RODO). Ich przetwarzanie co do zasady wymaga wyraźnej zgody klientki, a Ty musisz umieć tę zgodę wykazać.

Praktyczne zasady:

• nie zapisuj takich informacji „na wszelki wypadek”,
• jeśli naprawdę są potrzebne (np. przed zabiegiem kosmetycznym), zbierz wyraźną, udokumentowaną zgodę,
• ogranicz dostęp do takich notatek do osób, które ich potrzebują,
• nie przesyłaj ich SMS-em ani w komunikatorach.

W calndr pole notatek w karcie klientki pokazuje ostrzeżenie o danych zdrowotnych, a recepcja notatek nie widzi.

Obowiązek informacyjny

Klientka musi wiedzieć, kto przetwarza jej dane i po co (art. 13 RODO). Klauzula informacyjna powinna zawierać m.in.:

• nazwę i dane kontaktowe salonu,
• cel i podstawę przetwarzania,
• informację, komu dane są przekazywane (np. dostawcy programu do rezerwacji, bramce SMS),
• jak długo dane są przechowywane,
• prawa klientki i prawo skargi do Prezesa UODO.

Najprościej pokazać ją tam, gdzie klientka podaje dane: na stronie rezerwacji online, w wiadomości z linkiem do rezerwacji albo w salonie (np. wydruk przy recepcji).

SMS-y: przypomnienia a marketing

To rozróżnienie jest bardzo ważne:

• Przypomnienie o wizycie, potwierdzenie rezerwacji czy informacja o odwołaniu to wiadomości związane z usługą. Nie potrzebujesz na nie zgody marketingowej.
• Promocje, rabaty, „mamy wolne terminy w tym tygodniu” to marketing. Zgodnie z prawem komunikacji elektronicznej wymagają wcześniejszej zgody klientki. Zapisz, kiedy i w jaki sposób ją wyraziła, i daj łatwą możliwość rezygnacji.

Prawa klientek w praktyce

Klientka może poprosić o:

• dostęp do swoich danych (co o niej przechowujesz),
• sprostowanie (np. zmiana numeru telefonu),
• usunięcie danych, jeśli nie ma podstawy do ich dalszego przechowywania,
• przeniesienie danych.

Na prośbę odpowiadasz bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Dobrze, jeśli program pozwala wyeksportować dane jednej osoby i ją zanonimizować. Anonimizacja usuwa imię i telefon, ale zostawia statystyki wizyt, które są Ci potrzebne do rozliczeń.

Jak długo przechowywać dane

RODO nie podaje jednego terminu. Ustal go sama i zapisz, np.: „dane klientek, które nie odwiedziły salonu od 3 lat, anonimizujemy”. Dokumenty księgowe (faktury, paragony) przechowujesz zgodnie z przepisami podatkowymi, zwykle 5 lat od końca roku podatkowego.

Bezpieczeństwo na co dzień

• Telefon i komputer z danymi klientek zabezpiecz kodem lub hasłem.
• Nie udostępniaj jednego konta całemu zespołowi. Każda osoba powinna mieć swój login i tylko potrzebne uprawnienia.
• Włącz logowanie dwuetapowe tam, gdzie to możliwe.
• Papierowy kalendarz z numerami telefonów to też dane osobowe. Nie zostawiaj go na widoku.

Co zrobić, gdy coś pójdzie nie tak

Zgubiony telefon z danymi klientek albo wysłanie danych do niewłaściwej osoby może być naruszeniem ochrony danych. Jeśli niesie ryzyko dla klientek, administrator (salon) ma 72 godziny na zgłoszenie go do UODO. Dostawca programu powinien niezwłocznie poinformować Cię o naruszeniu po swojej stronie.

Lista kontrolna

• Mam umowę powierzenia z dostawcą programu do rezerwacji.
• Zbieram tylko dane potrzebne do wykonania usługi.
• Nie zapisuję danych o zdrowiu bez wyraźnej zgody.
• Klientki znają moją klauzulę informacyjną.
• Wiadomości marketingowe wysyłam tylko osobom, które się na nie zgodziły.
• Wiem, jak wyeksportować i usunąć dane klientki na jej prośbę.
• Mam ustalony czas przechowywania danych.
• Urządzenia i konta są zabezpieczone, a każda osoba w zespole ma własny login.