Co musi zawierać zgoda RODO dla klientki salonu?

Kiedy salon potrzebuje zgody RODO, a kiedy wystarczy umowa. Wzory klauzuli informacyjnej, zgody marketingowej, zgody na zdjęcia i na dane o zdrowiu.

Dłoń z długopisem nad kartką z pustymi polami do zaznaczenia na ladzie recepcji

Zgoda RODO dla klientki salonu to w praktyce trzy osobne zgody i jedna informacja. Zgody dotyczą danych o zdrowiu, marketingu i zdjęć. Informacja to klauzula z art. 13 RODO, która mówi klientce, kto, po co i jak długo przetwarza jej dane. Imienia, telefonu i historii wizyt nie przetwarzasz na podstawie zgody, tylko umowy. Każda zgoda musi spełniać te same warunki z RODO, a przy danych o zdrowiu musi być wyraźna. Niżej rozpisujemy, która podstawa pasuje do czego, i dajemy cztery wzory.

Kiedy salon potrzebuje zgody klientki, a kiedy wystarczy umowa?

RODO daje sześć podstaw przetwarzania danych. Zgoda jest tylko jedną z nich (art. 6 ust. 1 RODO). W salonie wygląda to tak:

Co robisz z danymi Podstawa prawna Zgoda potrzebna?
Zapis na wizytę, potwierdzenie, przypomnienie SMS umowa, art. 6 ust. 1 lit. b RODO nie
Historia wizyt i notatki o usługach w karcie klientki umowa i prawnie uzasadniony interes, art. 6 ust. 1 lit. b i f nie
Faktura i rozliczenia podatkowe obowiązek prawny, art. 6 ust. 1 lit. c nie
Wywiad zdrowotny przed zabiegiem wyraźna zgoda, art. 9 ust. 2 lit. a tak
Promocje i wolne terminy SMS-em lub e-mailem zgoda, art. 6 ust. 1 lit. a RODO i art. 398 Prawa komunikacji elektronicznej tak
Zdjęcia przed i po w mediach społecznościowych zezwolenie z art. 81 prawa autorskiego i zgoda z art. 6 ust. 1 lit. a RODO tak
Przechowanie zgód na wypadek roszczeń art. 6 ust. 1 lit. f i art. 9 ust. 2 lit. f nie

Nie zbieraj zgody na to, co wynika z umowy. Zgodę klientka może wycofać w każdej chwili. Gdyby rezerwacje opierały się na zgodzie, po jej wycofaniu nie mogłabyś prowadzić wizyt tej klientki. Przy umowie ten problem nie istnieje.

Przypomnienie SMS o umówionej wizycie nie jest marketingiem, bo dotyczy usługi, którą klientka zamówiła. Marketingiem jest SMS o promocji, wolnym terminie albo rabacie urodzinowym. Gotowe treści przypomnień znajdziesz we wzorach SMS-ów przypominających o wizycie.

Jakie warunki musi spełnić zgoda RODO w salonie?

Definicję zgody podaje art. 4 pkt 11 RODO, a warunki art. 7. Dla salonu przekłada się to na osiem sprawdzalnych zasad:

  1. Dobrowolna. Klientka może odmówić i nadal skorzystać z usługi, która od tej zgody nie zależy (art. 7 ust. 4).
  2. Konkretna. Jeden cel na jedną zgodę. „Przetwarzanie danych osobowych” bez celu nie jest zgodą.
  3. Świadoma. Klientka wie, kto zbiera dane i po co.
  4. Jednoznaczna. Klientka coś robi, czyli zaznacza puste pole albo podpisuje. Pole zaznaczone z góry nie jest zgodą (motyw 32 RODO).
  5. Oddzielona od innych spraw. Gdy zgoda stoi w dokumencie o czymś innym, musi się wyraźnie odróżniać (art. 7 ust. 2).
  6. Łatwa do wycofania. Wycofanie ma być tak proste jak wyrażenie zgody (art. 7 ust. 3).
  7. Możliwa do wykazania. Musisz umieć pokazać, kto, kiedy i na co się zgodził (art. 7 ust. 1).
  8. Wyraźna przy danych o zdrowiu. Osobne oświadczenie, które klientka potwierdza podpisem albo zaznaczeniem (art. 9 ust. 2 lit. a).

Te same zasady szczegółowo opisują wytyczne Europejskiej Rady Ochrony Danych w sprawie zgody.

Wzór klauzuli informacyjnej dla klientki salonu

Klauzula informacyjna to nie zgoda. Klientka jej nie podpisuje, tylko dostaje do przeczytania przy pierwszym kontakcie. Możesz ją wywiesić w recepcji, wręczyć na kartce albo opublikować na stronie salonu. Elementy wymienia art. 13 RODO. Usuń punkty, których u Ciebie nie ma, na przykład zdjęć, jeśli ich nie publikujesz.

Informacja o przetwarzaniu danych osobowych klientek [nazwa salonu]

Administratorem Twoich danych jest [pełna nazwa firmy], [adres], NIP [numer]. W sprawie danych napisz na [e-mail] albo zadzwoń pod [numer].

Przetwarzamy Twoje dane w tych celach:

Twoje dane przetwarzają na nasze zlecenie: dostawca systemu rezerwacji [nazwa], operator SMS, biuro rachunkowe [nazwa]. Nie przekazujemy ich poza Europejski Obszar Gospodarczy.

Dane z wizyt, podpisane zgody na zabieg i podane w nich dane o zdrowiu przechowujemy przez 6 lat od końca roku ostatniej wizyty, bo mogą być potrzebne przy roszczeniach. Dokumenty księgowe przechowujemy przez 5 lat od końca roku, w którym minął termin zapłaty podatku. Dane do wysyłki promocji i opublikowane zdjęcia przetwarzamy do wycofania zgody.

Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia i sprzeciwu. Zgodę możesz wycofać w każdej chwili. Wycofanie nie wpływa na zgodność z prawem przetwarzania przed wycofaniem. Możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.

Podanie danych jest dobrowolne. Bez imienia i numeru telefonu nie umówimy wizyty, a bez wywiadu zdrowotnego nie wykonamy zabiegu. Nie podejmujemy wobec Ciebie decyzji w sposób zautomatyzowany.

Sprawdź u dostawców, gdzie trzymają dane. Zdanie o Europejskim Obszarze Gospodarczym zostaw tylko wtedy, gdy to prawda.

Wzór zgody marketingowej na SMS i e-mail

Od 10 listopada 2024 roku zgodę na marketing SMS-em i e-mailem reguluje art. 398 Prawa komunikacji elektronicznej. Bez uprzedniej zgody nie wyślesz klientce promocji, nawet jeśli bywa u Ciebie od lat. Wysyłka bez zgody to czyn nieuczciwej konkurencji (art. 398 ust. 4). Przepis zastąpił art. 172 Prawa telekomunikacyjnego i art. 10 ustawy o świadczeniu usług drogą elektroniczną, które spotkasz w starszych wzorach. Sąsiedni art. 399 dotyczy plików cookies, nie marketingu. Osobne pola na SMS i e-mail pozwalają klientce wybrać kanał.

Zgoda na informacje o promocjach [nazwa salonu]

[ ] Chcę otrzymywać od [nazwa salonu] SMS-y o promocjach i wolnych terminach na numer [numer].

[ ] Chcę otrzymywać od [nazwa salonu] e-maile o promocjach i wolnych terminach na adres [e-mail].

Zgoda jest dobrowolna i nie ma wpływu na rezerwację wizyt. Mogę ją wycofać w każdej chwili osobiście w salonie, telefonicznie pod numerem [numer] albo e-mailem na adres [e-mail]. Wycofanie nie wpływa na zgodność z prawem wiadomości wysłanych wcześniej.

Data i podpis: ....................

Gdy klientka wycofa zgodę, zapisz datę i od razu wyłącz jej wysyłki. Data wyrażenia i wycofania zgody to Twój dowód przy skardze.

Wzór zgody na publikację zdjęć klientki

Zdjęcie, na którym da się rozpoznać klientkę, to jej wizerunek. Jego rozpowszechnianie wymaga zezwolenia osoby na nim przedstawionej (art. 81 ustawy o prawie autorskim). Zbierasz je osobno od zgody na zabieg, bo klientka może odmówić i nadal mieć zabieg.

Zgoda na publikację zdjęć [nazwa salonu]

Wyrażam zgodę na publikację przez [nazwa salonu] zdjęć efektów zabiegu [nazwa zabiegu] wykonanego [data].

Zakres (zaznacz jedno): [ ] zdjęcia bez twarzy, na których nie da się mnie rozpoznać [ ] zdjęcia z twarzą

Miejsca publikacji: [ ] Instagram [ ] Facebook [ ] strona internetowa salonu [ ] inne: ..........

Zgoda jest dobrowolna i nieodpłatna. Obowiązuje do wycofania. Mogę ją wycofać w każdej chwili osobiście w salonie albo e-mailem na adres [e-mail]. Salon usunie wtedy zdjęcia ze swoich kont i strony w ciągu [7] dni. Wycofanie nie obejmuje kopii, które inne osoby zapisały albo udostępniły wcześniej, bo salon nie ma do nich dostępu.

Data i podpis: ....................

Zdanie o kopiach to informacja o skutkach wycofania zgody (art. 7 ust. 3 RODO), nie wyłączenie odpowiedzialności. Ogólnego „salon nie odpowiada za...” nie wpisuj. Wobec konsumentki takie postanowienie może zostać uznane za niedozwolone (art. 385³ pkt 2 KC).

Gdzie wpisać zgodę na przetwarzanie danych o zdrowiu?

Dane o zdrowiu to dane szczególnej kategorii. Art. 9 ust. 1 RODO co do zasady zakazuje ich przetwarzania. Salon może je przetwarzać na podstawie wyraźnej zgody klientki (art. 9 ust. 2 lit. a). We wszystkich naszych wzorach trzymamy się jednej zasady:

Ten punkt wklejasz do zgody na zabieg pod osobnym nagłówkiem:

Zgoda na przetwarzanie danych o zdrowiu

Podanie danych o zdrowiu jest dobrowolne. Salon potrzebuje ich, żeby ocenić, czy zabieg jest dla mnie bezpieczny. Bez tej oceny zabieg nie zostanie wykonany.

[ ] Wyrażam zgodę na przetwarzanie przez [nazwa salonu] moich danych o stanie zdrowia podanych w tym dokumencie w celu oceny, czy zabieg można bezpiecznie wykonać, i jego wykonania (art. 9 ust. 2 lit. a RODO). Mogę wycofać tę zgodę w każdej chwili, osobiście w salonie albo e-mailem na adres [e-mail]. Wycofanie nie wpływa na zgodność z prawem przetwarzania przed wycofaniem.

Pierwsze zdanie to informacja o skutkach niepodania danych (art. 13 ust. 2 lit. e RODO), a nie warunek zgody. Dlaczego nie piszemy „bez zgody nie wykonamy zabiegu”, tłumaczymy we wzorze zgody na makijaż permanentny. Tam jest też cały dokument z tym punktem, wywiadem i opisem ryzyka. Zbieraj tylko te informacje o zdrowiu, które mają znaczenie dla zabiegu (art. 5 ust. 1 lit. c RODO). Trzymaj je przy zgodzie, a nie w notatkach widocznych dla całego zespołu.

Wzory to punkt wyjścia

Dopasuj wzory do swojego salonu. W razie wątpliwości pokaż je prawnikowi albo inspektorowi ochrony danych, zwłaszcza jeśli przetwarzasz dane o zdrowiu.

Jakie błędy w zgodach RODO zdarzają się w salonach najczęściej?

Błąd Jak to poprawić
Jedno pole „akceptuję regulamin i RODO” osobne pola dla marketingu i zdjęć, klauzula informacyjna bez pola
Pole zgody marketingowej zaznaczone z góry puste pole, które klientka zaznacza sama
Zgoda na rezerwację wizyty rezerwacja opiera się na umowie, zgoda jest zbędna
Zgoda na zdjęcia ukryta w zgodzie na zabieg osobny dokument, który można nie podpisać
Brak informacji, jak wycofać zgodę telefon, e-mail albo osobiście, wpisane w zgodę
Zgoda ustna przez telefon bez śladu notatka z datą albo podpis przy najbliższej wizycie
„Bez zgody nie wykonamy zabiegu” przy danych o zdrowiu informacja o skutku niepodania danych (art. 13 ust. 2 lit. e), a zgoda jako osobne oświadczenie
„Salon nie odpowiada za skutki zabiegu” w zgodzie wykreślić, wobec konsumentki to klauzula niedozwolona (art. 385³ pkt 1 i 2 KC)

Zobacz, co się dzieje bez osobnej zgody. Recepcja zaznacza nowej klientce jedno pole „akceptuję regulamin i RODO”. Po trzech miesiącach salon wysyła jej SMS z rabatem urodzinowym. Klientka pyta, skąd zgoda. Salon nie ma dowodu zgody marketingowej, bo osobnej zgody nigdy nie było. Taka klientka może złożyć skargę do UODO.

Jak DamiBook pomaga zbierać zgody klientek?

Zgodę marketingową klientka zaznacza sama w formularzu rezerwacji online. Pole „Chcę otrzymywać SMS-y o promocjach i wolnych terminach (opcjonalnie)” jest domyślnie puste. DamiBook zapisuje datę wyrażenia zgody. Kampanie SMS i przypomnienia o powrocie wychodzą tylko do klientek ze zgodą. Przy imporcie bazy z innego systemu kolumnę zgody wskazujesz ręcznie, bo system nigdy nie przypisuje jej sam. Przenoś ją tylko wtedy, gdy masz dowód zgody z poprzedniego programu.

Zgody na zabieg i na zdjęcia klientka podpisuje palcem na ekranie tabletu albo telefonu. Taki podpis to forma dokumentowa (art. 77² KC). Wystarcza, bo RODO nie wymaga dla zgody formy pisemnej, tylko możliwości wykazania, kto, kiedy i na co się zgodził (art. 7 ust. 1). To część planu PMU Pro za 129 zł miesięcznie, a przez pierwsze 14 dni moduł działa bez opłat. Na start dostajesz trzy gotowe szablony: zgodę na PMU brwi, PMU ust i zgodę na wizerunek. Szablony PMU mają osobny punkt ze zgodą na dane o zdrowiu. Gdy tworzysz własny szablon zgody na zabieg, na przykład na laminację, dopisz ten punkt z naszego wzoru. Podpisany dokument zachowuje treść z chwili podpisu i numer wersji szablonu, a w dzienniku aktywności zostaje wpis „Zgoda podpisana”. Więcej o module przeczytasz na stronie funkcji dla studiów PMU.

Lista szablonów zgód w panelu DamiBook: zgoda na wizerunek, zgoda na zabieg PMU brwi i PMU ust, każda w wersji 1
Szablony zgód w DamiBook. Zmiana treści tworzy nową wersję, a podpisane dokumenty zachowują starą

Klauzuli informacyjnej formularz rezerwacji online nie wyświetla. Daj ją klientce przy pierwszej wizycie albo opublikuj na stronie salonu.

Po stronie bezpieczeństwa numery telefonów i adresy e-mail klientek są w bazie DamiBook zaszyfrowane, a dane leżą na serwerach w Unii Europejskiej. Umowę powierzenia przetwarzania danych (art. 28 RODO) zawierasz z nami przy rejestracji. Jest załącznikiem do regulaminu. Gdy klientka poprosi o usunięcie danych, w jej karcie masz przycisk „Usuń dane (RODO)”. Usuwa on także podpisane zgody i karty zabiegowe, więc najpierw sprawdź, czy nie są Ci potrzebne na wypadek roszczeń (art. 17 ust. 3 lit. e RODO). Gdy poprosi o pełną kopię, eksport jej danych przygotujemy na Twoje życzenie.

Podsumowanie

Źródła