Lista kontrolna RODO dla salonów fryzjerskich: pięć kroków, które naprawdę musisz wykonać

Czego RODO faktycznie dotyczy w salonie fryzjerskim

Europejskie rozporządzenie o ochronie danych dotyczy każdego, kto przetwarza dane osobowe, niezależnie od wielkości firmy. Nie ma dolnego progu dla jednoosobowych działalności czy salonów z dwoma fotelami. Gdy tylko zapisujesz imię i numer telefonu, aby potwierdzić wizytę, podlegasz tym przepisom.

W salonie sprowadza się to do czterech rodzajów danych. Dane kontaktowe, używane do rezerwowania i potwierdzania wizyt. Historia wizyt, łącznie z tym, jaki zabieg odbył się kiedy. Notatki zawodowe, takie jak receptury koloryzacji i użyte produkty. I wreszcie notatki zdrowotne: reakcja na PPD, wrażliwa skóra głowy, ciąża, która ma znaczenie przy zabiegu chemicznym.

Ta ostatnia kategoria należy do innej klasy prawnej. Zgodnie z art. 9 RODO dane o zdrowiu to szczególna kategoria, która wymaga wyraźnej zgody i silniejszych zabezpieczeń. Granica między danymi zwykłymi a szczególnymi kształtuje wszystko, co potem konfigurujesz, więc warto mieć ją jasną, zanim zaczniesz listę kontrolną. Jeśli najpierw chcesz przejść przez to, jakie dane klientów w ogóle możesz zapisywać i na jakiej podstawie, przeczytaj podstawy RODO dla salonów kosmetycznych.

Papierowy kalendarz nie jest zakazany, ale utrudnia niemal każdy z poniższych kroków. Nie możesz go zaszyfrować, nie możesz ograniczyć dostępu dla poszczególnych pracowników, a jeśli zginie lub spłonie, nawet nie będziesz dokładnie wiedział, których danych już nie ma. Ten ostatni punkt to dokładnie to, czego potrzebujesz, gdy trzeba zgłosić naruszenie.

Krok 1: zinwentaryzuj, jakie dane są gdzie

Nie ochronisz czegoś, o czego istnieniu nie wiesz. Pierwszy krok jest więc nudny, ale niezbędny: zapisz, jakie dane klientów masz, gdzie się znajdują i kto ma do nich dostęp.

Zarezerwuj pół godziny i dosłownie przejdź się po salonie. W praktyce wychodzi więcej miejsc, niż ktokolwiek się spodziewa: oprogramowanie do rezerwacji, telefon przy recepcji, grupowy czat zespołu, stary arkusz na komputerze na zapleczu, skrzynka pocztowa ze wszystkimi potwierdzeniami wizyt i zeszyt obok kasy.

Dla każdego miejsca zapisz trzy rzeczy. Jakie dane się tam znajdują, dlaczego je przechowujesz i kto ma do nich dostęp. Ta trzecia kolumna to miejsce, w którym większość właścicieli przeżywa zaskoczenie: uczeń korzystający z loginu recepcji często ma dostęp do dokładnie tych samych informacji co właściciel, łącznie z notatkami, które nigdy nie były dla niego przeznaczone.

Ta inwentaryzacja nie jest papierologią dla samej papierologii. Daje Ci listę, której potrzebujesz do kroku 3 (komu udostępniasz dane), kroku 4 (co może zniknąć) i zgłoszenia w ostatniej części (co dokładnie zostało ujawnione). Zachowaj ją więc i aktualizuj za każdym razem, gdy wprowadzasz nowy system.

Krok 2: napisz informację o prywatności zgodną z tym, co robisz

Informacja o prywatności mówi klientom, jakie dane zbierasz, dlaczego, jak długo je przechowujesz i jakie mają prawa. Powinna być łatwa do znalezienia: na Twojej stronie internetowej i, jeśli Ci to odpowiada, wydrukowana przy recepcji.

Pułapką nie jest to, że salony nie mają takiej informacji, tylko to, że kopiują ją z internetu, a ona nie opisuje tego, co faktycznie się dzieje. Jeśli piszesz, że nie przetwarzasz danych o zdrowiu, a notujesz alergie, Twoja informacja jest nieprawdziwa i dodałeś problem, zamiast go rozwiązać. Jako podstawy użyj inwentaryzacji z kroku 1: każde miejsce z tej listy powinno znaleźć odzwierciedlenie w informacji.

Minimum to cztery rzeczy. Jakie dane przetwarzasz i w jakim celu. Jak długo je przechowujesz. Z jakimi podmiotami je udostępniasz, na przykład z dostawcą oprogramowania i księgowym. I jak klient może skorzystać ze swoich praw: dostępu, sprostowania i usunięcia, oraz dokąd może się zwrócić, jeśli się z Tobą nie zgadza.

Organy nadzorcze publikują wskazówki, z których możesz korzystać bez wykształcenia prawniczego. Ogólne wyjaśnienie RODO holenderskiego organu to praktyczny punkt wyjścia, a zasady, które opisuje, obowiązują w całej UE. Potem napisz informację własnymi słowami. Tekst, który klient rozumie, jest wart więcej niż tekst brzmiący jak umowa.

Krok 3: umowa powierzenia, o której zapomina prawie każdy salon

To krok, którego w praktyce najczęściej brakuje, a ma twardą podstawę prawną. Gdy tylko podmiot zewnętrzny przetwarza dane osobowe Twoich klientów, potrzebujesz z nim umowy powierzenia przetwarzania danych. To nie jest opcja ani formalność: wynika z art. 28 RODO.

W salonie to szybko cztery lub pięć podmiotów. Twoje oprogramowanie dla salonu. Program księgowy lub księgowy. Ten, kto wysyła Twój newsletter. Twój dostawca płatności online. Czasem twórca Twojej strony, jeśli jest na niej formularz kontaktowy.

Nie musisz sam przygotowywać umowy. Poważni dostawcy mają ją gotową, często jako część regulaminu albo osobny dokument, który możesz przejrzeć i zaakceptować na swoim koncie. Jeśli nigdzie jej nie znajdziesz, zapytaj. Dostawca, który po bezpośrednim pytaniu nie potrafi jej przedstawić, mówi Ci coś ważnego o tym, jak traktuje dane Twoich klientów.

Czytając ją, zwróć uwagę na dwa punkty, które naprawdę mają dla Ciebie znaczenie: gdzie dane fizycznie się znajdują i co się dzieje, gdy odchodzisz. Przechowywanie w Unii Europejskiej oszczędza Ci mnóstwo pracy związanej z przekazywaniem danych do państw trzecich. A zapis, że przy odejściu dostajesz swoje dane z powrotem w użytecznym pliku, sprawia, że Twoja lista klientów nie staje się zakładnikiem subskrypcji. Salonnare przechowuje dane w UE i udostępnia umowę powierzenia w każdym planie, także w darmowym.

Krok 4: okresy przechowywania, i dlaczego jedna liczba nigdy nie pasuje do wszystkiego

RODO nie określa dokładnych terminów. Mówi, że nie wolno przechowywać danych dłużej, niż jest to konieczne do celu, w jakim zostały zebrane. Brzmi to niejasno, ale w salonie układa się to całkiem zgrabnie.

Najjaśniejszym przypadkiem jest dokumentacja finansowa, bo prawo podatkowe ma pierwszeństwo przed Twoim obowiązkiem usuwania danych z RODO. Jak długo, zależy od tego, gdzie działasz: siedem lat w Holandii, dziesięć w Niemczech i Francji, sześć w Hiszpanii. Sprawdź zasadę obowiązującą w Twoim kraju i zapisz ją. Tych dokumentów nie możesz usunąć na prośbę klienta, i nie jest to odmowa, tylko obowiązek prawny, który możesz po prostu wyjaśnić.

Dla całej reszty sam wybierasz okres i go zapisujesz. Popularna zasada to dwa lata od ostatniej wizyty dla kartotek klientów i profili marketingowych. Jeśli ktoś nie był od dwóch lat, raczej nie będziesz potrzebować receptury koloryzacji z tamtego czasu. Zgoda na newsletter zwykle wygasa szybciej: jeśli subskrybent przez rok niczego nie otworzył, lepiej zapytać ponownie, niż wysyłać dalej.

Prawdziwa praca tkwi w rozróżnieniu. Klient, który prosi o usunięcie danych, ma prawo do usunięcia swojej kartoteki, podczas gdy jego faktury muszą zostać ze względów podatkowych. Rozdzielanie tego ręcznie prędzej czy później się nie udaje. W systemie, który traktuje kartotekę klienta i dokumentację finansową oddzielnie, usuwasz kartotekę, nie dotykając księgowości. Jak wygląda ta strona klienta, zobaczysz na stronie o zarządzaniu klientami.

Krok 5: notatki zdrowotne nie należą do pola uwag

Alergia na PPD, choroba skóry głowy, ciąża: to dokładnie te rzeczy, które musisz wiedzieć przed rozpoczęciem zabiegu chemicznego. To też dokładnie te rzeczy, których dotyczy art. 9 RODO.

Powszechnym nawykiem jest wpisywanie ich do zwykłego pola uwag na karcie klienta. To zrozumiałe, bo pole jest pod ręką, ale nie spełnia standardu. Takie pole zwykle nie jest osobno szyfrowane i jest widoczne dla każdego, kto otworzy kartę, łącznie z uczniem, który chce tylko potwierdzić jutrzejszą wizytę.

Prawo wymaga tu dwóch rzeczy: wyraźnej zgody klienta na zapisanie tych danych i zabezpieczeń proporcjonalnych do ich wrażliwości. W praktyce oznacza to osobne, zaszyfrowane miejsce i dostęp nadawany dla każdego pracownika, a nie całemu zespołowi naraz.

Salonnare zapewnia do tego osobny zaszyfrowany sejf, oddzielony od zwykłego pola notatek, z własnym uprawnieniem dla każdego pracownika i zapisem, kto przeglądał dane. Te dwa ostatnie elementy to nie luksus: to Twój dowód, że dostęp naprawdę był ograniczony. Jak prosić o zgodę i ją zapisywać oraz które notatki podlegają art. 9, szczegółowo omawia artykuł o danych o zdrowiu w salonie.

Gdy jednak coś pójdzie nie tak: 72 godziny, które zaczynają się teraz

Naruszenie ochrony danych to niekoniecznie atak hakerski. Skradziony telefon z Twoim kalendarzem, zgubiony zeszyt, e-mail ze wszystkimi adresami klientów w polu DW zamiast UDW: to codzienne zdarzenia i wszystkie trzy się liczą.

Zasada brzmi: naruszenie zgłaszasz organowi nadzorczemu w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla osób, których dotyczy. Gdy ryzyko jest wysokie, musisz też poinformować samych klientów. Te 72 godziny zaczynają się w chwili, gdy odkryjesz naruszenie, a nie wtedy, gdy w końcu zrozumiesz, co się stało.

Dlatego inwentaryzacja z kroku 1 jest tak cenna: w ciągu tych 72 godzin musisz powiedzieć, czyich i ilu danych to dotyczyło. Bez tego przeglądu tracisz cenne godziny na ustalanie, co w ogóle było w pliku.

Prowadź też własny rejestr incydentów, łącznie z drobnymi, których nie musisz zgłaszać. To wymóg, a przy okazji pomaga dostrzegać wzorce. Przystępne wyjaśnienie, co jest naruszeniem i jak działa zgłaszanie, znajdziesz w informacjach holenderskiego rządu o prywatności i danych osobowych. Ustal z zespołem, że każdy natychmiast zgłasza Ci podejrzenie, bo zegar startuje w chwili, gdy ktokolwiek w salonie coś zauważy.

Ile kosztuje porządne ustawienie tego wszystkiego

Pięć powyższych kroków kosztuje Cię głównie jednorazową uwagę, a nie stały budżet. Większość pracy wykonuje oprogramowanie, które już oddziela dane zwykłe od szczególnych, więc nie pilnujesz tej różnicy ręcznie każdego dnia.

Salonnare ma bezterminowo darmowy plan za 0 euro miesięcznie: jeden pracownik i do pięćdziesięciu rezerwacji miesięcznie, z kalendarzem online, kasą i kartoteką klientów. Przechowywanie w UE, uprawnienia dla każdego pracownika i zaszyfrowany sejf na dane o zdrowiu są w nim zawarte, więc nawet jako fryzjer pracujący samodzielnie możesz przejść całą tę listę kontrolną bez subskrypcji. Starter kosztuje 29 euro miesięcznie dla maksymalnie trzech pracowników bez limitu rezerwacji; Pro 59 euro miesięcznie bez limitu wielkości zespołu.

Warto od razu jasno powiedzieć o kosztach płatności. Płatności online i kartą przechodzą przez Twoje własne konto Mollie lub Stripe, więc pieniądze trafiają bezpośrednio na Twoje własne konto bankowe, a stawki uzgadniasz sam ze swoim dostawcą płatności. Salonnare nie pobiera prowizji marketplace od nowych klientów, którzy rezerwują przez platformę: to zero. Płatności online i kartą obciążone są natomiast opłatą transakcyjną 0,5 procent, minimum 0,30 euro, oprócz tego, co pobiera Twój dostawca płatności. To bardziej przewidywalne niż procent od każdej rezerwacji, ale to nie jest nic.

Księgowość przebiega przez plik eksportu, który wczytujesz do programu księgowego, więc udostępniasz dane finansowe bez wysyłania całej kartoteki klientów. To dokładnie zgadza się z krokiem 4: z salonu wychodzi tylko to, czego potrzebuje księgowy.

Zacznij od kroku 1 i zarezerwuj w tym tygodniu pół godziny w kalendarzu. Jeśli wolisz od razu zrobić porządnie resztę, możesz zacząć z Salonnare za darmo i od pierwszego dnia prawidłowo skonfigurować kartotekę klientów, okresy przechowywania i notatki zdrowotne.

Najczęstsze pytania o RODO w salonach fryzjerskich