Jakmile spustíte věrnostní program, začnete zpracovávat osobní údaje. Není to formalita, kterou vyřeší zaškrtávátko v registraci — ale není to ani důvod k panice. Povinností je konečný počet a dají se splnit za odpoledne.

Tenhle článek je praktický přehled toho, co musí být v pořádku. Není to právní poradenství; u složitějšího provozu nebo při pochybnostech se poraďte s právníkem.

Kdo je za data odpovědný: vy, ne dodavatel

Nejdůležitější věc na začátek, protože z ní plyne všechno ostatní.

Ve věrnostním programu je provozovna správcem osobních údajů (rozhoduje, proč a jak se údaje zpracovávají) a dodavatel systému zpracovatelem (zpracovává je jen podle pokynů provozovny). Tenhle vztah musí být podložený zpracovatelskou smlouvou podle čl. 28 GDPR.

Prakticky to znamená:

Odpovědnost vůči zákazníkovi i úřadu nese provozovna, ne dodavatel.
Dodavatel vám musí poskytnout součinnost, když zákazník uplatní svá práva.
Bez uzavřené zpracovatelské smlouvy je celé zpracování v rozporu s GDPR — i kdyby jinak bylo všechno správně.

U Walio je zpracovatelská smlouva součástí obchodních podmínek, takže vzniká automaticky s účtem. Pokud vybíráte jiného dodavatele, tohle si ověřte jako první; když ji nemá, hledejte dál.

Jaký právní titul potřebujete

Zpracování osobních údajů musí stát na některém z důvodů podle čl. 6 GDPR. U věrnostního programu se v praxi potkáte se dvěma a je zásadní je nesměšovat.

Vydání a vedení karty — plnění smlouvy

Když zákazník požádá o věrnostní kartu, uzavírá s vámi vztah: bude sbírat razítka a vy mu za ně dáte odměnu. Zpracování údajů nutných k tomu, aby to fungovalo, stojí na plnění smlouvy (čl. 6 odst. 1 písm. b).

Souhlas tu nepotřebujete a je chyba ho vyžadovat — vedlo by to k absurdnímu závěru, že když ho zákazník odvolá, musíte mu smazat kartu i s razítky, o která nepřišel.

Marketing — souhlas

Jiná věc je posílat zákazníkovi nabídky, kampaně a push notifikace o akcích. To už není nutné k vedení karty, takže na to potřebujete souhlas (čl. 6 odst. 1 písm. a) — svobodný, konkrétní a doložitelný.

Z toho plynou tři pravidla:

Souhlas s marketingem musí být oddělený od registrace karty. Ne jedno zaškrtávátko na obojí.
Nesmí být podmínkou získání karty. „Kartu dostanete, jen když souhlasíte s newslettery“ souhlas znehodnotí.
Musí jít stejně snadno odvolat, jako byl udělen, a vy musíte umět doložit, kdy a k čemu byl dán.

Provozní připomínka („zbývá vám jedno razítko do odměny“) leží na hraně — je to spíš servisní zpráva k vedení karty. Obchodní nabídka („dnes 20 % na všechno“) je marketing a bez souhlasu se posílat nemá.

Sbírejte míň, než můžete

Zásada minimalizace říká, že máte zpracovávat jen údaje nezbytné pro daný účel. U věrnostní karty to znamená míň, než většina formulářů chce.

Co skutečně potřebujete: identifikátor karty a záznam o razítkách či bodech. To je celé. Karta ve Wallet funguje i bez jména.

Co má smysl, pokud to k něčemu použijete: e-mail nebo telefon (kontakt pro odměny a marketing), křestní jméno (oslovení), měsíc a den narození (přání k narozeninám).

Co nesbírejte: rodné číslo, adresu, celé datum narození včetně roku, pokud nemáte konkrétní důvod. Zvláštní kategorie údajů — zdravotní stav, stravovací omezení jako projev náboženství — do věrnostního programu nepatří vůbec.

Dobrý test: u každé kolonky ve formuláři si řekněte, co konkrétně s tím údajem uděláte příští měsíc. Když nic, škrtněte ji.

Jak dlouho data držet

GDPR neurčuje konkrétní lhůty, ale zakazuje držet údaje déle, než je nutné. U věrnostního programu se osvědčuje jednoduché pravidlo:

Aktivní karta: po dobu, kdy zákazník kartu používá.
Neaktivní karta: stanovte si lhůtu (běžně 24 až 36 měsíců od poslední návštěvy) a po jejím uplynutí údaje smažte nebo anonymizujte.
Souhlas s marketingem: doklad o něm si nechte i po jeho odvolání, abyste unesli důkazní břemeno.

Podstatné je, že tu lhůtu máte napsanou a dodržujete ji. Databáze, do které se deset let jen přidává, je problém sama o sobě.

Co musíte zákazníkovi říct

Před získáním údajů musí zákazník vědět (čl. 13 GDPR), kdo je správce, k čemu údaje sbíráte, na jakém právním titulu, jak dlouho je držíte, komu je předáváte a jaká má práva.

Nemusí to být na kartě ani na stojánku — stačí odkaz na informace o zpracování, typicky na vaše webové stránky, dostupný z registrace karty. Jednu stránku srozumitelnou češtinou, ne pět stran právničiny.

Práva zákazníka a co s nimi v praxi

Zákazník má právo na přístup ke svým údajům, opravu, výmaz, omezení zpracování, přenositelnost a námitku. Reagovat máte do jednoho měsíce.

Dvě věci, které lidi překvapí:

Právo na výmaz není absolutní. Když zákazník požádá o smazání, ale vy máte doklady, které musíte držet podle účetních předpisů, smažete jen to, co držet nemusíte.
Žádost může přijít i ústně u pultu. Mějte pro obsluhu jednu větu, kam takového zákazníka poslat — typicky na e-mail provozovny.

Kde jsou data uložená

Zákazníci i úřad se ptají, kam údaje putují. Odpověď musí být dohledatelná ve vašich informacích o zpracování a měla by zahrnovat i subdodavatele, které dodavatel systému používá (hosting, e-maily, platby, Apple a Google kvůli kartě).

U předání mimo Evropský hospodářský prostor musí existovat právní základ — rozhodnutí Evropské komise o odpovídající úrovni ochrany, nebo standardní smluvní doložky. Tohle je otázka na dodavatele a odpověď má být okamžitá; když ji nemá, je to varovný signál.

Kontrolní seznam před spuštěním

Uzavřená zpracovatelská smlouva s dodavatelem (čl. 28 GDPR)
Právní titul určený zvlášť pro vedení karty (smlouva) a zvlášť pro marketing (souhlas)
Souhlas s marketingem oddělený od registrace a doložitelný
Sbírané údaje omezené na to, co reálně používáte
Stanovená a dodržovaná lhůta pro smazání neaktivních karet
Informace o zpracování dostupné z registrace karty
Postup, jak vyřídit žádost zákazníka do jednoho měsíce
Přehled subdodavatelů a míst zpracování údajů

Když tohle sedí, je věrnostní program po stránce ochrany údajů v pořádku — a je to zároveň argument směrem k zákazníkovi. Databáze hostů, kterou máte ve vlastní správě a ne na cizí platformě, je v tomhle ohledu jednodušší na obhájení než sbírání kontaktů přes sociální sítě.

Jak Walio zpracování řeší, je popsané v ochraně osobních údajů a v obchodních podmínkách.