RODO w salonie: klauzula, zgody i wzory do skopiowania

Podstawa prawna, czyli błąd numer jeden

Zgoda jest tylko jedną z sześciu podstaw przetwarzania danych i wcale nie najważniejszą. Kiedy klientka rezerwuje wizytę, zawiera z Tobą umowę o świadczenie usługi. Przetwarzanie jej imienia i numeru telefonu jest niezbędne do wykonania tej umowy, więc masz podstawę bez pytania o cokolwiek.

Ma to znaczenie praktyczne, bo zgodę można wycofać w każdej chwili. Jeśli oprzesz obsługę rezerwacji na zgodzie, a klientka ją wycofa dzień przed wizytą, formalnie tracisz podstawę do przetwarzania jej danych, mimo że umowa nadal Was wiąże. Oparcie tego na wykonaniu umowy usuwa problem.

Klauzula informacyjna: wzór do skopiowania

Klauzula to nie zgoda. Zgody się udziela, klauzulę się otrzymuje. Obowiązek poinformowania istnieje zawsze, także wtedy, gdy żadnej zgody nie zbierasz. Poniżej treść do uzupełnienia w nawiasach kwadratowych.

1. Administrator. Administratorem Twoich danych osobowych jest [nazwa firmy], [adres], NIP [numer]. Kontakt w sprawie danych: [e-mail], [telefon].
2. Cele i podstawy prawne. Dane przetwarzamy w celu rezerwacji i realizacji usługi oraz kontaktu w sprawie wizyty, na podstawie niezbędności do wykonania umowy. W celu wystawienia i przechowywania dokumentów księgowych, na podstawie obowiązku prawnego. W celu ustalenia lub dochodzenia roszczeń albo obrony przed nimi, na podstawie naszego prawnie uzasadnionego interesu. Informacje o stanie zdrowia przetwarzamy wyłącznie na podstawie Twojej wyraźnej zgody, w celu bezpiecznego doboru i wykonania zabiegu.
3. Odbiorcy danych. Dane mogą być przekazywane podmiotom, które obsługują nas technicznie: dostawcy systemu rezerwacji, dostawcy usług wysyłki wiadomości, biuru rachunkowemu. Każdy z tych podmiotów przetwarza dane na podstawie umowy powierzenia i wyłącznie na nasze polecenie.
4. Okres przechowywania. Dane związane z wizytami przechowujemy przez [okres] od ostatniej wizyty. Dokumenty księgowe przez okres wymagany przepisami podatkowymi. Dane przetwarzane na podstawie zgody do czasu jej wycofania.
5. Twoje prawa. Masz prawo dostępu do danych, ich sprostowania, usunięcia lub ograniczenia przetwarzania, prawo do przenoszenia danych, prawo sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz prawo wycofania zgody w dowolnym momencie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania sprzed jej wycofania.
6. Skarga. Masz prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.
7. Dobrowolność. Podanie danych kontaktowych jest dobrowolne, ale niezbędne do rezerwacji terminu. Podanie informacji o stanie zdrowia jest dobrowolne, jednak ich brak może uniemożliwić bezpieczne wykonanie niektórych zabiegów.

Trzy zgody: treść do skopiowania

Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. W praktyce oznacza to trzy rzeczy: osobny checkbox dla każdego celu, żaden checkbox nie jest zaznaczony z góry i treść napisana zrozumiale. Zgoda zebrana jednym polem na wszystko jest nieważna w całości, także w tej części, w której faktycznie była potrzebna.

1. Zgoda na dane o zdrowiu. „Wyrażam zgodę na przetwarzanie przez [nazwa firmy] informacji o moim stanie zdrowia, które podaję w wywiadzie przed zabiegiem, w celu bezpiecznego doboru i wykonania usługi. Wiem, że mogę wycofać tę zgodę w każdej chwili."
2. Zgoda na publikację wizerunku. „Wyrażam zgodę na nieodpłatne wykorzystanie mojego wizerunku utrwalonego na zdjęciach wykonanych w salonie [nazwa], w celu prezentacji efektów pracy salonu na [wymień miejsca: strona internetowa, Instagram, Facebook]. Zgoda nie obejmuje innych kanałów. Wiem, że mogę ją wycofać w każdej chwili."
3. Zgoda na marketing. „Wyrażam zgodę na otrzymywanie od [nazwa firmy] informacji o promocjach i nowych usługach na podany numer telefonu [oraz na podany adres e-mail]. Wiem, że mogę wycofać tę zgodę w każdej chwili, a każda wiadomość będzie zawierać informację, jak to zrobić."

Rejestr czynności przetwarzania: tak, Ciebie też dotyczy

Krąży przekonanie, że rejestr prowadzą tylko duże firmy, bo RODO zwalnia z niego podmioty zatrudniające mniej niż 250 osób. Zwolnienie ma jednak wyjątki i jeden z nich trafia w salony bezpośrednio: nie stosuje się go, gdy przetwarzanie obejmuje szczególne kategorie danych.

Wyjątek nie znosi jednak zwolnienia hurtem. Obowiązek dotyczy tych czynności przetwarzania, które wpadają w wyjątek, a nie automatycznie wszystkiego, co robisz z danymi. Problem w tym, że w salonie wpadają w niego praktycznie wszystkie czynności, i to z dwóch niezależnych powodów naraz.

• Wywiad zdrowotny to szczególna kategoria danych. Jeśli pytasz o alergie, choroby albo ciążę, ta czynność jest objęta obowiązkiem wprost.
• Obsługa klientek nie ma charakteru sporadycznego. Rezerwacje, historia wizyt i kontakt to przetwarzanie stałe, powtarzalne, będące istotą działalności. To drugi, niezależny powód, dla którego ta czynność też trafia do rejestru.

Wniosek praktyczny jest więc taki sam jak przy prostszym odczytaniu przepisu: rejestr prowadzić musisz, nawet prowadząc salon w pojedynkę. Sam rejestr salonu to tabela na jedną stronę.

System rezerwacji, czyli umowa powierzenia

Kiedy korzystasz z systemu rezerwacji, dane Twoich klientek przechodzą przez cudzą infrastrukturę. Administratorem pozostajesz Ty, a dostawca systemu jest podmiotem przetwarzającym. Relację tę trzeba oprzeć na umowie powierzenia i to na Tobie ciąży obowiązek jej zawarcia.

• Sprawdź, czy umowa powierzenia w ogóle istnieje. Jeśli dostawca nie potrafi jej wskazać, to jest odpowiedź sama w sobie.
• Sprawdź listę podprocesorów. Dostawca prawie zawsze korzysta z kolejnych firm: hosting, wysyłka SMS, poczta. Powinnaś wiedzieć, kto to jest.
• Sprawdź, czy da się wyeksportować dane. Brak eksportu utrudnia realizację prawa do przenoszenia danych i wiąże Cię z dostawcą.
• Sprawdź, gdzie dane są przechowywane. Transfer poza Europejski Obszar Gospodarczy wymaga dodatkowej podstawy.

W Umowly umowa powierzenia jest dostępna pod adresem /dpa razem z listą podprocesorów, a akceptuje się ją z poziomu ustawień. Opisuje to artykuł o umowie powierzenia.