Kuaförler için GDPR kontrol listesi: gerçekten tamamlaman gereken beş adım

GDPR bir kuaför salonunda gerçekte neyi kapsıyor

Avrupa veri koruma tüzüğü, şirket büyüklüğünden bağımsız olarak kişisel veri işleyen herkes için geçerlidir. Şahıs şirketleri ya da iki koltuklu salonlar için bir alt sınır yok. Bir randevuyu onaylamak için bir isim ve telefon numarası kaydettiğin anda kapsama giriyorsun.

Bir salonda bu dört tür veriye denk gelir. Randevu almak ve onaylamak için kullanılan iletişim bilgileri. Hangi hizmetin ne zaman yapıldığını da içeren randevu geçmişi. Boya formülleri ve kullandığın ürünler gibi mesleki notlar. Ve son olarak sağlık notları: PPD'ye tepki, hassas bir saç derisi, kimyasal bir işlem için önemli olan bir hamilelik.

Bu son kategori hukuken farklı bir sınıfta yer alır. GDPR'ın 9. maddesine göre sağlık verileri özel nitelikli veri sayılır ve açık rıza ile daha güçlü güvenlik önlemleri gerektirir. Sıradan ve özel veri arasındaki çizgi, kuracağın diğer her şeyi şekillendirir; bu yüzden kontrol listesine başlamadan önce bunu netleştirmek işine yarar. Önce hangi müşteri verilerini hangi dayanakla kaydedebileceğini gözden geçirmek istersen güzellik salonları için GDPR'ın temelleri yazısını oku.

Kâğıt ajanda yasak değil, ama aşağıdaki adımların neredeyse hepsini zorlaştırır. Onu şifreleyemezsin, personel bazında kısıtlayamazsın ve kaybolursa ya da yanarsa hangi kayıtların tam olarak gittiğini bile bilemezsin. Bu son nokta, bir ihlali bildirmen gerektiğinde tam olarak ihtiyaç duyduğun şeydir.

1. adım: hangi verinin nerede durduğunu haritala

Var olduğunu bilmediğin şeyi koruyamazsın. Bu yüzden ilk adım sıkıcı ama vazgeçilmez: elindeki müşteri verilerini, nerede durduklarını ve kimlerin erişebildiğini yaz.

Yarım saat ayır ve salonunu kelimenin tam anlamıyla dolaş. Pratikte herkesin beklediğinden fazla yer çıkar: randevu yazılımın, resepsiyondaki telefon, bir ekip sohbet grubu, arka ofisteki bilgisayarda eski bir tablo, tüm randevu onaylarının durduğu e-posta kutusu ve kasanın yanındaki not defteri.

Her yer için üç şey not et. Orada hangi veri var, neden saklıyorsun ve kimin erişimi var. Çoğu salon sahibi üçüncü sütunda şaşırır: resepsiyon girişini kullanan bir stajyer, kendisi için hiç düşünülmemiş notlar dahil, çoğu zaman salon sahibiyle tamamen aynı bilgilere ulaşabilir.

Bu envanter laf olsun diye yapılan bir evrak işi değil. Sana 3. adım (verileri kiminle paylaşıyorsun), 4. adım (neler silinebilir) ve son bölümdeki bildirim (tam olarak ne açığa çıktı) için gereken listeyi verir. O yüzden sakla ve yeni bir sistem kullanmaya başladığında güncelle.

2. adım: yaptığın işe uyan bir aydınlatma metni yaz

Aydınlatma metni, müşterilere hangi verileri topladığını, neden topladığını, ne kadar sakladığını ve hangi haklara sahip olduklarını anlatır. Kolay bulunmalı: web sitende ve sana uyuyorsa resepsiyonda basılı olarak.

Tuzak, salonların bir metni olmaması değil; internetten gerçekte olanı anlatmayan bir metin kopyalamaları. Metinde sağlık verisi işlemediğin yazıyorsa ama sen alerjileri not ediyorsan, metnin hatalıdır ve bir sorunu çözmek yerine yeni bir sorun eklemiş olursun. 1. adımdaki envanteri temel al: o listedeki her yer metne yansımalı.

En azından dört şey içinde olmalı. Hangi verileri hangi amaçla işlediğin. Ne kadar sakladığın. Verileri hangi taraflarla paylaştığın, örneğin yazılım sağlayıcın ve muhasebecin. Ve bir müşterinin haklarını nasıl kullanacağı: erişim, düzeltme ve silme, ayrıca seninle aynı fikirde değilse nereye başvurabileceği.

Denetim otoriteleri, hukuk eğitimi olmadan izleyebileceğin rehberler yayınlar. Hollanda otoritesinin GDPR genel açıklaması uygulanabilir bir başlangıç noktasıdır ve anlattığı ilkeler AB genelinde geçerlidir. Sonra metni kendi kelimelerinle yaz. Müşterinin anladığı bir metin, sözleşme gibi okunan bir metinden daha değerlidir.

3. adım: neredeyse her salonun unuttuğu veri işleyen sözleşmesi

Pratikte en sık eksik olan adım budur ve sağlam bir hukuki dayanağı var. Harici bir taraf müşterilerinin kişisel verilerini işlediği anda, onunla bir veri işleme sözleşmesi yapman gerekir. Bu isteğe bağlı değil, bir formalite de değil: GDPR'ın 28. maddesinde düzenlenmiştir.

Bir salon için bu hızla dört beş tarafa ulaşır. Salon yazılımın. Muhasebe programın ya da muhasebecin. Bültenini gönderen kişi. Online ödeme sağlayıcın. Sitede bir iletişim formu varsa bazen web geliştiricin.

Sözleşmeyi kendin hazırlamak zorunda değilsin. Ciddi sağlayıcıların hazır bir sözleşmesi vardır; çoğu zaman şartlarının bir parçası ya da hesabının içinde inceleyip kabul edebileceğin ayrı bir belge olarak. Hiçbir yerde bulamazsan sor. Doğrudan sorulduğunda bir sözleşme sunamayan bir sağlayıcı, müşteri verilerine nasıl davrandığı hakkında sana önemli bir şey söylüyordur.

Okurken iki nokta senin için gerçekten önemli: verinin fiziksel olarak nerede durduğu ve ayrıldığında ne olacağı. Avrupa Birliği içinde saklama, üçüncü ülkelere aktarımlarla ilgili çok fazla işten seni kurtarır. Ayrılırken verilerini kullanılabilir bir dosya olarak geri alacağına dair bir madde de müşteri listenin aboneliğine rehin kalmasını önler. Salonnare verileri AB içinde saklar ve ücretsiz plan dahil her planda bir veri işleme sözleşmesi sunar.

4. adım: saklama süreleri ve neden tek bir sayının her şeye uymadığı

GDPR kesin süreler belirlemez. Verileri, toplama amacın için gerekenden daha uzun saklamaman gerektiğini söyler. Bu belirsiz gibi gelse de bir salonda düzgünce oturur.

Mali kayıtların en net örnektir, çünkü vergi hukuku GDPR kapsamındaki silme yükümlülüğünün önüne geçer. Sürenin ne kadar olduğu nerede faaliyet gösterdiğine bağlı: Hollanda'da yedi yıl, Almanya ve Fransa'da on yıl, İspanya'da altı yıl. Kendi ülkendeki kuralı kontrol et ve yaz. Bu kayıtları bir müşterinin talebiyle silemezsin; bu bir ret değil, kolayca açıklayabileceğin yasal bir yükümlülüktür.

Diğer her şey için bir süre seçer ve kaydedersin. Müşteri dosyaları ve pazarlama profilleri için yaygın bir sınır, son ziyaretten iki yıl sonrasıdır. Biri iki yıldır gelmediyse o zamanki boya formülüne muhtemelen ihtiyacın olmaz. Bülten izni genelde daha erken geçerliliğini yitirir: bir abone bir yıldır hiçbir şey açmadıysa, göndermeye devam etmek yerine yeniden sormak daha iyidir.

Asıl iş bu ayrımda. Silinmesini isteyen bir müşterinin dosyasının silinmesini talep etme hakkı vardır, ama faturaları vergi amacıyla kalmalıdır. Bunları elle ayrı tutmak er ya da geç ters gider. Müşteri dosyasını ve mali kayıtları ayrı ele alan bir sistemde, defterlerine dokunmadan dosyayı silersin. Bu müşteri tarafının nasıl göründüğünü müşteri yönetimi sayfasında görebilirsin.

5. adım: sağlık notlarının yeri yorum kutusu değil

Bir PPD alerjisi, bir saç derisi rahatsızlığı, bir hamilelik: kimyasal bir işleme başlamadan önce bilmen gereken tam olarak bunlardır. Aynı zamanda GDPR'ın 9. maddesinin kapsadığı şeyler de tam olarak bunlardır.

Yaygın alışkanlık, bunları müşteri kartındaki sıradan yorum kutusuna yazmaktır. Kutu hemen orada olduğu için anlaşılır, ama standardı karşılamaz. Böyle bir alan genelde ayrıca şifrelenmez ve kartı açan herkes tarafından görülür, yarınki randevuyu onaylamak isteyen stajyer dahil.

Yasa burada iki şey ister: bu verileri kaydetmek için müşterinin açık rızası ve verinin hassasiyetiyle orantılı güvenlik önlemleri. Pratikte bu, ayrı ve şifreli bir yer ve tüm ekibe birden değil, personel bazında verilen erişim anlamına gelir.

Salonnare bunun için sıradan not alanından ayrı, şifreli bir kasa sunar; her personel için ayrı bir yetki ve veriyi kimin görüntülediğine dair bir kayıtla. Bu son ikisi lüks değil: erişimin gerçekten kısıtlandığının kanıtıdır. Rızayı nasıl isteyip kaydedeceğin ve hangi notların 9. maddeye girdiği salonda sağlık verileri hakkındaki yazıda ayrıntılı olarak anlatılıyor.

Yine de ters giderse: şimdi başlayan 72 saat

Veri ihlali illa bir hack olmak zorunda değil. Üzerinde takvimin olan çalıntı bir telefon, kaybolmuş bir not defteri, tüm müşteri adreslerinin gizli kopya yerine bilgi alanında olduğu bir e-posta: bunlar gündelik olaylar ve üçü de sayılır.

Kural şu: bir ihlali, farkına vardığın andan itibaren 72 saat içinde denetim otoritene bildirirsin; ilgili kişiler için bir risk doğurma ihtimali düşük değilse. Risk yüksekse müşterilerin kendisini de bilgilendirmen gerekir. Bu 72 saat, ne olduğunu sonunda anladığında değil, ihlali fark ettiğinde başlar.

1. adımdaki envanter işte bu yüzden işe yarar: bu 72 saat içinde kimin verisinin ve ne kadarının etkilendiğini söylemen gerekir. O genel bakış olmadan, dosyada en başta ne olduğunu çözmeye çalışırken değerli saatleri harcarsın.

Bildirmen gerekmeyen küçük olaylar dahil, kendi olay kaydını da tut. Bu bir zorunluluk ve örüntüleri fark etmene yardımcı olur. Neyin ihlal sayıldığını ve bildirimin nasıl işlediğini sade bir dille anlatan bir kaynak olarak, Hollanda hükümetinin gizlilik ve kişisel veriler hakkındaki bilgileri yaklaşımı açıkça ortaya koyuyor. Ekibinle, bir şüpheyi hemen sana bildirmeleri konusunda anlaş, çünkü saat salonda biri fark ettiği anda işlemeye başlar.

Bunu doğru kurmanın maliyeti

Yukarıdaki beş adım sana çoğunlukla sürekli bir bütçe değil, bir kerelik dikkat maliyeti çıkarır. İşin çoğu, sıradan ve özel veriyi zaten ayıran bir yazılımda durur; böylece aradaki farkı her gün elle denetlemek zorunda kalmazsın.

Salonnare'ın ayda 0 € olan kalıcı ücretsiz bir planı var: bir personel ve ayda en fazla elli randevu, online takvim, kasa ve müşteri kayıtlarıyla. AB içinde saklama, personel bazında yetkiler ve sağlık verileri için şifreli kasa bu plana dahil; yani tek başına çalışan bir kuaför olarak bile bu kontrol listesinin tamamını abonelik olmadan tamamlayabilirsin. Starter, randevu sınırı olmadan en fazla üç personel için ayda 29 €; Pro ise ekip büyüklüğünde sınır olmadan ayda 59 €.

Ödeme maliyetleri konusunda baştan net olmak gerekir. Online ve kartlı ödemeler kendi Mollie ya da Stripe hesabın üzerinden geçer; yani para doğrudan kendi banka hesabına gelir ve oranları ödeme sağlayıcınla kendin belirlersin. Salonnare, platform üzerinden randevu alan yeni müşteriler için pazar yeri komisyonu almaz: bu sıfırdır. Online ve kartlı ödemelerde ise ödeme sağlayıcının aldığına ek olarak %0,5, en az 0,30 € tutarında bir işlem ücreti vardır. Bu, her randevudan alınan bir yüzdeden daha öngörülebilirdir, ama hiç yok da değildir.

Muhasebe, muhasebe programına yüklediğin bir dışa aktarma dosyası üzerinden yürür; böylece müşteri dosyanın tamamını göndermeden mali verileri paylaşırsın. Bu tam olarak 4. adımla örtüşür: binadan yalnızca muhasebecinin ihtiyaç duyduğu şey çıkar.

1. adımla başla ve bu hafta ajandana yarım saat koy. Geri kalanını da hemen doğru yapmak istersen Salonnare'ı ücretsiz kullanmaya başlayabilir ve müşteri kayıtlarını, saklama sürelerini ve sağlık notlarını ilk günden doğru kurabilirsin.

Kuaför salonlarında GDPR hakkında sık sorulan sorular