Jakmile spustíte věrnostní program, začnete zpracovávat osobní údaje. Není to formalita, kterou vyřeší zaškrtávátko v registraci – ale není to ani důvod k panice. Povinností je konečný počet a dají se splnit za odpoledne.

Tenhle článek je praktický přehled toho, co musí být v pořádku. Není to právní poradenství; u složitějšího provozu nebo při pochybnostech se poraďte s právníkem.

Kdo je za data odpovědný: vy, ne dodavatel

Nejdůležitější věc na začátek, protože z ní plyne všechno ostatní.

Ve věrnostním programu je provozovna správcem osobních údajů (rozhoduje, proč a jak se údaje zpracovávají) a dodavatel systému zpracovatelem (zpracovává je jen podle pokynů provozovny). Tenhle vztah musí být podložený zpracovatelskou smlouvou podle čl. 28 GDPR.

Prakticky to znamená:

  • Odpovědnost vůči zákazníkovi i úřadu nese provozovna, ne dodavatel.
  • Dodavatel vám musí poskytnout součinnost, když zákazník uplatní svá práva.
  • Bez uzavřené zpracovatelské smlouvy je celé zpracování v rozporu s GDPR – i kdyby jinak bylo všechno správně.

U Walio je zpracovatelská smlouva součástí obchodních podmínek, takže vzniká automaticky s účtem. Pokud vybíráte jiného dodavatele, tohle si ověřte jako první; když ji nemá, hledejte dál.

Platí to i pro papírové kartičky?

Nejčastější omyl v téhle oblasti: že GDPR je věc aplikací a digitálních systémů.

Rozhoduje, jestli zpracováváte osobní údaje, ne čím to děláte. Kartička, na které je deset okýnek na razítka a nic víc, osobní údaj neobsahuje – to je jednoduchý případ. Jakmile si k ní ale vedete sešit se jmény a telefony, nebo píšete jméno přímo na kartičku, platí pro vás stejná pravidla jako pro jakýkoli digitální systém: právní titul, informační povinnost, lhůty, práva zákazníka.

Rozdíl je v tom, že u papíru je plníte ručně a obvykle hůř. Sešit pod pultem neumí doložit, kdy zákazník udělil souhlas, ani ho na požádání smazat bez přepisování celé stránky. Srovnání papíru a digitální karty bere tohle z praktické stránky.

Jaký právní titul potřebujete

Zpracování osobních údajů musí stát na některém z důvodů podle čl. 6 GDPR. U věrnostního programu se v praxi potkáte se dvěma a je zásadní je nesměšovat.

Vydání a vedení karty – plnění smlouvy

Když zákazník požádá o věrnostní kartu, uzavírá s vámi vztah: bude sbírat razítka a vy mu za ně dáte odměnu. Zpracování údajů nutných k tomu, aby to fungovalo, stojí na plnění smlouvy (čl. 6 odst. 1 písm. b).

Souhlas tu nepotřebujete a je chyba ho vyžadovat – vedlo by to k absurdnímu závěru, že když ho zákazník odvolá, musíte mu smazat kartu i s razítky, o která nepřišel.

Marketing – souhlas

Jiná věc je posílat zákazníkovi nabídky, kampaně a push notifikace o akcích. To už není nutné k vedení karty, takže na to potřebujete souhlas (čl. 6 odst. 1 písm. a) – svobodný, konkrétní a doložitelný.

Z toho plynou tři pravidla:

  1. Souhlas s marketingem musí být oddělený od registrace karty. Ne jedno zaškrtávátko na obojí.
  2. Nesmí být podmínkou získání karty. „Kartu dostanete, jen když souhlasíte s newslettery“ souhlas znehodnotí.
  3. Musí jít stejně snadno odvolat, jako byl udělen, a vy musíte umět doložit, kdy a k čemu byl dán.

Provozní připomínka („zbývá vám jedno razítko do odměny“) leží na hraně – je to spíš servisní zpráva k vedení karty. Obchodní nabídka („dnes 20 % na všechno“) je marketing a bez souhlasu se posílat nemá.

Sbírejte míň, než můžete

Zásada minimalizace říká, že máte zpracovávat jen údaje nezbytné pro daný účel. U věrnostní karty to znamená míň, než většina formulářů chce.

Co skutečně potřebujete: identifikátor karty a záznam o razítkách či bodech. To je celé. Karta ve Wallet funguje i bez jména.

Co má smysl, pokud to k něčemu použijete: e-mail nebo telefon (kontakt pro odměny a marketing), křestní jméno (oslovení), měsíc a den narození (přání k narozeninám).

Co nesbírejte: rodné číslo, adresu, celé datum narození včetně roku, pokud nemáte konkrétní důvod. Zvláštní kategorie údajů – zdravotní stav, stravovací omezení jako projev náboženství – do věrnostního programu nepatří vůbec.

Dobrý test: u každé kolonky ve formuláři si řekněte, co konkrétně s tím údajem uděláte příští měsíc. Když nic, škrtněte ji.

Jak dlouho data držet

GDPR neurčuje konkrétní lhůty, ale zakazuje držet údaje déle, než je nutné. U věrnostního programu se osvědčuje jednoduché pravidlo:

  • Aktivní karta: po dobu, kdy zákazník kartu používá.
  • Neaktivní karta: stanovte si lhůtu (běžně 24 až 36 měsíců od poslední návštěvy) a po jejím uplynutí údaje smažte nebo anonymizujte.
  • Souhlas s marketingem: doklad o něm si nechte i po jeho odvolání, abyste unesli důkazní břemeno.

Podstatné je, že tu lhůtu máte napsanou a dodržujete ji. Databáze, do které se deset let jen přidává, je problém sama o sobě.

Co musíte zákazníkovi říct

Před získáním údajů musí zákazník vědět (čl. 13 GDPR), kdo je správce, k čemu údaje sbíráte, na jakém právním titulu, jak dlouho je držíte, komu je předáváte a jaká má práva.

Nemusí to být na kartě ani na stojánku – stačí odkaz na informace o zpracování, typicky na vaše webové stránky, dostupný z registrace karty. Jednu stránku srozumitelnou češtinou, ne pět stran právničiny.

Práva zákazníka a co s nimi v praxi

Zákazník má právo na přístup ke svým údajům, opravu, výmaz, omezení zpracování, přenositelnost a námitku. Reagovat máte do jednoho měsíce.

Dvě věci, které lidi překvapí:

  • Právo na výmaz není absolutní. Když zákazník požádá o smazání, ale vy máte doklady, které musíte držet podle účetních předpisů, smažete jen to, co držet nemusíte.
  • Žádost může přijít i ústně u pultu. Mějte pro obsluhu jednu větu, kam takového zákazníka poslat – typicky na e-mail provozovny.

Kde jsou data uložená

Zákazníci i úřad se ptají, kam údaje putují. Odpověď musí být dohledatelná ve vašich informacích o zpracování a měla by zahrnovat i subdodavatele, které dodavatel systému používá (hosting, e-maily, platby, Apple a Google kvůli kartě).

U předání mimo Evropský hospodářský prostor musí existovat právní základ – rozhodnutí Evropské komise o odpovídající úrovni ochrany, nebo standardní smluvní doložky. Tohle je otázka na dodavatele a odpověď má být okamžitá; když ji nemá, je to varovný signál.

Dvě povinnosti, na které se zapomíná

Záznamy o činnostech zpracování (čl. 30). Výjimka pro organizace pod 250 zaměstnanců zní úlevně, jenže se nevztahuje na zpracování, které není příležitostné – a věrnostní program pravidelný je. Počítejte tedy s tím, že záznam mít máte. V praxi je to jedna tabulka: účel, kategorie údajů a subjektů, právní titul, lhůta pro výmaz, příjemci a předání mimo EHP. Vejde se na stránku a píše se jednou.

Pověřenec pro ochranu osobních údajů. Tady je odpověď pro běžnou provozovnu jednoduchá: nepotřebujete ho. Povinný je u orgánů veřejné moci a tam, kde je hlavní činností rozsáhlé systematické monitorování nebo zpracování zvláštních kategorií údajů. Kavárna ani salon s věrnostním programem pod to nespadá.

Kontrolní seznam před spuštěním

  • Uzavřená zpracovatelská smlouva s dodavatelem (čl. 28 GDPR)
  • Právní titul určený zvlášť pro vedení karty (smlouva) a zvlášť pro marketing (souhlas)
  • Souhlas s marketingem oddělený od registrace a doložitelný
  • Sbírané údaje omezené na to, co reálně používáte
  • Stanovená a dodržovaná lhůta pro smazání neaktivních karet
  • Informace o zpracování dostupné z registrace karty
  • Postup, jak vyřídit žádost zákazníka do jednoho měsíce
  • Přehled subdodavatelů a míst zpracování údajů
  • Záznam o činnostech zpracování podle čl. 30

Když tohle sedí, je věrnostní program po stránce ochrany údajů v pořádku – a je to zároveň argument směrem k zákazníkovi. Databáze hostů, kterou máte ve vlastní správě a ne na cizí platformě, je v tomhle ohledu jednodušší na obhájení než sbírání kontaktů přes sociální sítě.

Jak Walio zpracování řeší, je popsané v ochraně osobních údajů a v obchodních podmínkách.