GDPR és hűségprogram — mire figyelj

Amint elkezdesz vendégadatot gyűjteni — nevet, e-mailt, telefonszámot, vásárlási előzményt —, a GDPR rád is vonatkozik, függetlenül attól, hogy egy kávézó vagy egy étteremlánc vagy. Sokakat ez elriaszt a hűségprogramtól, pedig a követelmények teljesíthetők, és egy jól felépített rendszer a nagy részüket leveszi a válladról.

Ez a poszt nem jogi tanácsadás, hanem egy gyakorlati áttekintés arról, mire érdemes figyelned. Konkrét, az üzletedre szabott kérdésekben kérd ki adatvédelmi szakember vagy ügyvéd véleményét.

Milyen adatot gyűjtesz, és miért

Az első elv: csak azt gyűjtsd, amire tényleg szükséged van (adattakarékosság). Egy hűségprogramhoz jellemzően elég egy azonosító (e-mail vagy telefonszám) és a pont/pecsétállás. Nincs szükséged a vendég lakcímére vagy születési dátumára, hacsak nem építesz rá konkrét funkciót (pl. születésnapi bónusz — és akkor is csak a hónap/nap kell, az évszám nem feltétlen).

Mi a jogalap

A GDPR megköveteli, hogy legyen jogalapod az adatkezelésre. Hűségprogramnál ez jellemzően kettő lehet:

Szerződés teljesítése — a vendég csatlakozott a programhoz, és az adatkezelés ahhoz kell, hogy a pontjait vezesd. Ez fedi a program alapműködését.

Hozzájárulás — ez kell a marketingüzenetekhez (hírlevél, win-back, akciók). A hozzájárulásnak önkéntesnek, konkrétnak és visszavonhatónak kell lennie. Vagyis: ne legyen alapból bepipálva a „kérek hírlevelet" jelölőnégyzet, és a vendég bármikor le tudjon iratkozni.

A két jogalapot tartsd külön: a programban való részvétel nem feltételezheti automatikusan a marketing-hozzájárulást.

Adatkezelési tájékoztató

A vendégnek átláthatóan kell látnia, mit, miért és meddig kezelsz. Erre való az adatkezelési tájékoztató, amit a csatlakozás pontján elérhetővé teszel. Tartalmazza legalább: ki az adatkezelő, milyen adatot kezel, milyen célból és jogalappal, meddig őrzi, kinek továbbítja (pl. a hűségprogram szolgáltatójának mint adatfeldolgozónak), és milyen jogai vannak a vendégnek.

Megőrzési idő

Az adatot nem őrizheted örökké. Határozz meg egy ésszerű időt — pl. az utolsó aktivitástól számított 2-3 év —, és utána töröld vagy anonimizáld az inaktív vendégek adatait. Egy jó rendszerben ez beállítható, nem neked kell kézzel csinálni.

A vendég jogai

A vendégnek joga van hozzáférni az adataihoz, helyesbíteni, töröltetni („elfeledtetés"), és visszavonni a hozzájárulását. A gyakorlatban ez azt jelenti, hogy a vendég ki tud lépni a programból, és kérheti az adatai törlését. Egy jól megépített hűségprogramban erre van önkiszolgáló funkció — a vendég maga törölheti a fiókját.

Adatfeldolgozó és adatfeldolgozási szerződés

Ha külső szolgáltatót használsz a hűségprogramhoz, az adatfeldolgozónak minősül, és kell vele egy adatfeldolgozási szerződés (DPA), ami rögzíti, hogyan kezeli a vendégeid adatait a te megbízásodból. Egy komoly szolgáltató ezt készen adja — nem neked kell megírni.

A jó hír

Ha jól választasz szolgáltatót, a GDPR-teher nagy részét a rendszer viszi: adatkezelési tájékoztató sablon, vendég-önkiszolgálás a törléshez, beállítható megőrzési idő, kész adatfeldolgozási szerződés. A te dolgod, hogy átgondold, milyen adatot gyűjtesz és miért, és hogy a vendégekkel ezt átláthatóan közöld.

A Pontiónál ezek a sablonok és funkciók beépítve elérhetők — adatkezelési tájékoztató, adatfeldolgozási szerződés, vendég-önkiszolgálás —, hogy a megfelelésre fordított idő percekben mérhető legyen, ne hetekben.

Indítsd el a saját hűségprogramodat — 7 napig ingyen →

Ez a cikk általános tájékoztatás, nem minősül jogi tanácsadásnak. Konkrét adatvédelmi kérdésekben fordulj szakemberhez.