Checklist do RGPD para cabeleireiros: os cinco passos que tens mesmo de cumprir

Em que é que o RGPD toca realmente num cabeleireiro

O regulamento europeu de proteção de dados aplica-se a qualquer pessoa que trate dados pessoais, independentemente da dimensão da empresa. Não há um limiar mínimo para profissionais por conta própria ou salões de duas cadeiras. No momento em que guardas um nome e um número de telefone para confirmar uma marcação, estás abrangido.

Num salão, isto resume-se a quatro tipos de dados. Contactos, usados para marcar e confirmar marcações. Historial de marcações, incluindo que tratamento foi feito e quando. Notas profissionais, como fórmulas de coloração e os produtos que usaste. E, por fim, notas de saúde: uma reação à PPD, um couro cabeludo sensível, uma gravidez relevante para um serviço químico.

Esta última categoria está numa classe jurídica diferente. Ao abrigo do artigo 9.º do RGPD, os dados de saúde são uma categoria especial, que exige consentimento explícito e salvaguardas mais fortes. A fronteira entre dados normais e especiais molda tudo o resto que configuras, por isso compensa tê-la clara antes de começares a checklist. Se quiseres primeiro rever que dados de clientes podes registar e com que base, lê o essencial do RGPD para salões de beleza.

Uma agenda de papel não é proibida, mas torna quase todos os passos abaixo mais difíceis. Não a podes encriptar, não a podes restringir por profissional e, se se perder ou arder, nem sequer vais saber exatamente que registos desapareceram. Esse último ponto é precisamente aquilo de que precisas quando tens de notificar uma violação.

Passo 1: mapeia que dados estão onde

Não consegues proteger o que não sabes que existe. Por isso o primeiro passo é aborrecido, mas essencial: escreve que dados de clientes tens, onde estão e quem lhes pode chegar.

Reserva meia hora e percorre literalmente o teu salão. Na prática aparecem mais sítios do que alguém espera: o teu software de agendamento, o telefone da receção, um grupo de chat da equipa, uma folha de cálculo antiga no computador do escritório, a caixa de correio com todas as confirmações de marcação e o caderno ao lado da caixa.

Para cada sítio, anota três coisas. Que dados estão lá, porque os guardas e quem tem acesso. É na terceira coluna que a maioria dos donos tem uma surpresa: um aprendiz que usa o acesso da receção consegue muitas vezes chegar exatamente à mesma informação que o dono, incluindo notas que nunca lhe eram destinadas.

Este inventário não é papelada por si só. Dá-te a lista de que precisas para o passo 3 (com quem partilhas dados), o passo 4 (o que pode sair) e a notificação da última secção (o que ficou exatamente exposto). Por isso guarda-o e atualiza-o sempre que adotares um sistema novo.

Passo 2: escreve uma política de privacidade que corresponda ao que fazes

Uma política de privacidade diz às clientes que dados recolhes, porquê, durante quanto tempo os guardas e que direitos têm. Deve ser fácil de encontrar: no teu site e, se te der jeito, impressa na receção.

A armadilha não é os salões não terem política, mas copiarem uma da internet que não descreve o que acontece realmente. Se ela diz que não tratas dados de saúde enquanto estás a anotar alergias, a tua política é inexata e acrescentaste um problema em vez de resolveres um. Usa o inventário do passo 1 como base: cada sítio dessa lista deve estar refletido na política.

Quatro coisas têm de lá estar, no mínimo. Que dados tratas e para que finalidade. Durante quanto tempo os guardas. Com que entidades os partilhas, como o teu fornecedor de software e o teu contabilista. E como uma cliente exerce os seus direitos: acesso, retificação e apagamento, mais a quem se pode dirigir se não concordar contigo.

As autoridades de controlo publicam orientações que podes seguir sem formação jurídica. A explicação geral do RGPD da autoridade neerlandesa é um ponto de partida exequível, e os princípios que apresenta aplicam-se em toda a UE. Depois escreve a política pelas tuas palavras. Um texto que a tua cliente percebe vale mais do que um texto que parece um contrato.

Passo 3: o acordo de subcontratação que quase todos os salões esquecem

Este é o passo que mais vezes falta na prática, e tem uma base legal firme. Assim que uma entidade externa trata dados pessoais das tuas clientes, precisas de um acordo de tratamento de dados com ela. Não é opcional nem uma formalidade: está previsto no artigo 28.º do RGPD.

Num salão, isto significa rapidamente quatro ou cinco entidades. O teu software de salão. O teu programa de contabilidade ou o teu contabilista. Quem envia a tua newsletter. O teu fornecedor de pagamentos online. Às vezes o teu programador web, se o site tiver um formulário de contacto.

Não tens de redigir o acordo tu. Os fornecedores sérios têm um pronto, muitas vezes como parte das suas condições ou como documento à parte que podes rever e aceitar na tua conta. Se não o encontrares em lado nenhum, pede-o. Um fornecedor que não o consegue apresentar perante uma pergunta direta está a dizer-te algo importante sobre a forma como trata os dados das tuas clientes.

Ao lê-lo, há dois pontos que te importam mesmo: onde ficam fisicamente os dados e o que acontece quando sais. O armazenamento dentro da União Europeia poupa-te muito trabalho em torno das transferências para países terceiros. E um acordo que te garante receber os teus dados num ficheiro utilizável quando sais evita que a tua lista de clientes fique refém da tua subscrição. O Salonnare guarda os dados dentro da UE e disponibiliza um acordo de tratamento de dados em todos os planos, incluindo o gratuito.

Passo 4: prazos de conservação, e porque é que um único número nunca serve para tudo

O RGPD não define prazos exatos. Diz que não deves guardar dados por mais tempo do que o necessário para a finalidade para que os recolheste. Parece vago, mas num salão resolve-se bem.

Os teus registos financeiros são o caso mais claro, porque a lei fiscal se sobrepõe ao teu dever de apagar do RGPD. O prazo depende de onde trabalhas: sete anos nos Países Baixos, dez na Alemanha e em França, seis em Espanha. Verifica a regra do teu próprio país e escreve-a. Não podes apagar esses registos a pedido de uma cliente, e isso não é uma recusa, mas uma obrigação legal que podes simplesmente explicar.

Para tudo o resto escolhes um prazo e registas. Uma linha comum é dois anos após a última visita para as fichas de clientes e os perfis de marketing. Se alguém não vem há dois anos, é pouco provável que precises da fórmula de coloração dessa altura. O consentimento para a newsletter tende a caducar mais cedo: se um subscritor não abriu nada durante um ano, é melhor perguntar de novo do que continuar.

O verdadeiro trabalho está na distinção. Uma cliente que pede o apagamento tem direito a que a sua ficha seja eliminada, enquanto as suas faturas têm de ficar por razões fiscais. Separar isto à mão acaba, mais cedo ou mais tarde, por correr mal. Num sistema que trata a ficha de cliente e os registos financeiros em separado, apagas a ficha sem tocar na tua contabilidade. Podes ver como é esse lado das clientes na página sobre gestão de clientes.

Passo 5: as notas de saúde não pertencem à caixa de comentários

Uma alergia à PPD, um problema no couro cabeludo, uma gravidez: são exatamente as coisas que precisas de saber antes de começar um serviço químico. São também exatamente as coisas abrangidas pelo artigo 9.º do RGPD.

O hábito comum é pô-las na caixa de comentários normal da ficha de cliente. É compreensível, porque a caixa está mesmo ali, mas não cumpre o padrão. Esse campo normalmente não está encriptado à parte e é visível para quem abre a ficha, incluindo o aprendiz que só quer confirmar a marcação de amanhã.

A lei pede aqui duas coisas: consentimento explícito da cliente para registar estes dados e salvaguardas proporcionais à sua sensibilidade. Na prática, isso significa um sítio à parte e encriptado e acesso concedido por profissional, e não à equipa inteira de uma vez.

O Salonnare oferece para isto um cofre encriptado à parte, separado do campo de notas normal, com uma permissão própria por profissional e um registo de quem viu os dados. Estes dois últimos não são luxos: são a tua prova de que o acesso foi realmente restringido. Como pedir e registar o consentimento, e que notas estão abrangidas pelo artigo 9.º, está explicado em pormenor no artigo sobre dados de saúde no salão.

Quando corre mal: as 72 horas que começam agora

Uma violação de dados não é necessariamente um ataque informático. Um telemóvel roubado com a tua agenda, um caderno perdido, um email com os endereços de todas as clientes no campo cc em vez de bcc: são acontecimentos do dia a dia, e os três contam.

A regra é que notificas uma violação à tua autoridade de controlo no prazo de 72 horas a contar do momento em que tens conhecimento dela, a menos que seja pouco provável que resulte num risco para as pessoas envolvidas. Quando o risco é elevado, tens também de informar as próprias clientes. Essas 72 horas começam quando descobres a violação, e não quando finalmente percebes o que aconteceu.

É aqui que o inventário do passo 1 se paga: nessas 72 horas tens de dizer de quem eram os dados afetados e quantos. Sem essa visão geral queimas horas preciosas a perceber o que havia no ficheiro em primeiro lugar.

Mantém também o teu próprio registo de incidentes, incluindo os pequenos que não tens de notificar. É uma obrigação e ajuda-te a detetar padrões. Para uma explicação em linguagem simples do que conta como violação e de como funciona a notificação, a informação do governo neerlandês sobre privacidade e dados pessoais apresenta a abordagem com clareza. Combina com a tua equipa que qualquer pessoa te comunica uma suspeita de imediato, porque o relógio começa a contar no momento em que alguém no salão repara.

Quanto custa configurar isto como deve ser

Os cinco passos acima custam-te sobretudo atenção uma vez, não um orçamento contínuo. A maior parte do trabalho fica num software que já separa os dados normais dos especiais, por isso não tens de vigiar essa diferença à mão todos os dias.

O Salonnare tem um plano gratuito para sempre, a 0 euros por mês: um profissional e até cinquenta marcações por mês, com agenda online, caixa e fichas de clientes. O armazenamento na UE, as permissões por profissional e o cofre encriptado para dados de saúde estão incluídos, por isso, mesmo como cabeleireiro a trabalhar sozinho, consegues cumprir toda esta checklist sem subscrição. O Starter custa 29 euros por mês para até três profissionais, sem limite de marcações; o Pro custa 59 euros por mês, sem limite de dimensão da equipa.

Vale a pena ser claro desde já quanto aos custos de pagamento. Os pagamentos online e com cartão passam pela tua própria conta Mollie ou Stripe, por isso o dinheiro cai diretamente na tua conta bancária e combinas tu as tarifas com o teu fornecedor de pagamentos. O Salonnare não cobra comissão de marketplace sobre clientes novas que marcam através da plataforma: é zero. Os pagamentos online e com cartão têm, isso sim, uma taxa de transação de 0,5 por cento, com um mínimo de 0,30 euros, além do que o teu fornecedor de pagamentos cobra. É mais previsível do que uma percentagem de cada marcação, mas não é nada.

A contabilidade funciona através de um ficheiro de exportação que carregas no teu programa de contabilidade, por isso partilhas os dados financeiros sem enviar a tua ficha de clientes completa. Isso corresponde exatamente ao passo 4: só sai do salão o que o contabilista precisa.

Começa pelo passo 1 e põe meia hora na agenda esta semana. Se preferires acertar logo no resto, podes começar grátis com o Salonnare e configurar corretamente desde o primeiro dia as tuas fichas de clientes, os prazos de conservação e as notas de saúde.

Perguntas frequentes sobre o RGPD nos cabeleireiros