Czy potrzebuję zgody na prowadzenie karty lojalnościowej?

Do samego prowadzenia karty podstawą jest wykonanie umowy z klientem (uczestnictwo w programie). Osobnej zgody wymaga wysyłanie wiadomości marketingowych — i musi być zbierana odrębnie dla SMS-ów i e-maili.

Czy muszę mieć umowę powierzenia z dostawcą oprogramowania?

Tak. Dostawca przetwarza dane Twoich klientów w Twoim imieniu, więc art. 28 RODO wymaga umowy powierzenia. Powinieneś dostać ją bez proszenia.

Co zrobić, gdy klient prosi o usunięcie danych?

Usunąć je bez zbędnej zwłoki. W praktyce warto mieć narzędzie, w którym klient zrobi to sam — wtedy nie ma ryzyka, że prośba utknie w skrzynce.

Czy mogę wysłać SMS do wszystkich klientów z bazy?

Tylko do tych, którzy wyrazili zgodę na kontakt tym kanałem. Wiadomości obsługowe (link do karty, informacja o zdobytej nagrodzie) to inna kategoria — służą wykonaniu usługi.

RODO w programie lojalnościowym — co musisz mieć, żeby spać spokojnie

Program lojalnościowy oznacza zbieranie danych osobowych — i to jest w porządku, o ile ma się cztery rzeczy poukładane. Poniżej lista dla małej firmy, bez prawniczego żargonu.

1. Podstawa przetwarzania

Rozdziel dwie rzeczy, bo mają różne podstawy prawne:

Prowadzenie karty (imię, kontakt, historia pieczątek) — podstawą jest wykonanie umowy z klientem, czyli jego uczestnictwo w programie. Osobna zgoda nie jest do tego potrzebna.
Wysyłka marketingowa (promocje, zaproszenia) — tu potrzebna jest zgoda, i to odrębna dla każdego kanału. Zgoda na SMS-y nie jest zgodą na e-maile.

Praktyczny wniosek dla formularza zapisu: jeden checkbox obowiązkowy (uczestnictwo i informacja o przetwarzaniu) i jeden opcjonalny (wiadomości marketingowe). Nie łącz ich w jeden — zgoda zbierana pod przymusem nie jest zgodą.

2. Obowiązek informacyjny

Klient musi wiedzieć, kto jest administratorem jego danych, w jakim celu je zbierasz i jakie ma prawa. W praktyce wystarczy krótka informacja przy formularzu z linkiem do pełnej polityki prywatności, a dane administratora (nazwa, NIP, kontakt) powinny być widoczne na karcie.

To jest punkt, w którym najczęściej pojawia się luka: firma korzysta z narzędzia, które w ogóle nie pokazuje klientowi, kto jest administratorem.

3. Umowa powierzenia z dostawcą

Jeśli korzystasz z oprogramowania, dostawca przetwarza dane Twoich klientów w Twoim imieniu. Art. 28 RODO wymaga wtedy umowy powierzenia — określającej zakres, cel, środki bezpieczeństwa i listę podprocesorów.

Sprawdź, czy Twój dostawca ją udostępnia. Jeśli musisz o nią prosić i czekać tydzień, to sygnał ostrzegawczy. My publikujemy wzór umowy powierzenia otwarcie na stronie.

4. Realizacja praw klienta

Klient ma prawo dostępu do danych, ich sprostowania, usunięcia i przenoszenia. W małej firmie problem nie polega na tym, że tych praw nie chcesz realizować — tylko na tym, że prośba przychodzi mailem w piątek wieczorem i ginie.

Najprostsze rozwiązanie: narzędzie, w którym klient zrobi to sam. Na karcie w smart pieczątkach jest link „Twoje dane i wypis” prowadzący do podglądu danych, pobrania ich w pliku i przycisku usunięcia. Prośba nie musi w ogóle przez Ciebie przechodzić.

Dodatkowo: dokumentuj zgody

Sama zgoda to nie wszystko — trzeba umieć wykazać, że jej udzielono. Dlatego każda zgoda powinna być zapisana wraz z datą i źródłem (formularz zapisu, panel, wypis). Bez tego przy kontroli masz twierdzenie, a nie dowód.

Retencja: nie trzymaj wszystkiego wiecznie

Dane należy przechowywać tylko tak długo, jak są potrzebne. Rozsądne domyślne okresy: historia operacji 24 miesiące, logi wysyłek 12 miesięcy, dane po usunięciu konta 30 dni. Warto, żeby narzędzie robiło to automatycznie, bo ręcznego czyszczenia bazy nikt nie robi.

Ten tekst jest praktycznym przewodnikiem, a nie poradą prawną. Przy nietypowych programach — na przykład takich, które profilują klientów albo łączą dane z kilku źródeł — warto skonsultować się z prawnikiem.