Podaci kupaca u franšizi: priprema poslovanja u Hrvatskoj

Kada postojeće poslovanje pretvarate u franšizu, baza kupaca nije samo prodajna prednost. Rezervacije, narudžbe, reklamacije i programi vjernosti sadrže osobne podatke za koje morate jasno odrediti tko ih smije koristiti i zašto. Prije uključivanja prvog partnera u franšiznu zajednicu uredite tokove podataka: zajednički naziv i isti računalni program ne znače da svi smiju vidjeti sve.

1. Popišite podatke prije odabira zajedničkog sustava

Počnite od stvarnog rada postojeće poslovnice, a ne od predloška pravnog dokumenta. Pratite put kupca od prvog upita do završetka usluge. Zabilježite gdje ostavlja podatke, tko ih vidi i šalju li se izvan poslovnice.

Izradite jednostavnu tablicu s ovim stupcima:

• Podatak: primjerice ime, kontakt, povijest narudžbi ili sadržaj reklamacije.
• Svrha: rezervacija termina, izvršenje narudžbe ili slanje ponuda.
• Pristup: zaposlenik poslovnice, primatelj franšize, davatelj ili vanjski pružatelj usluge.
• Mjesto pohrane: blagajna, elektronička pošta, papirnati obrazac ili zajednička aplikacija.
• Rok čuvanja: razdoblje opravdano svrhom i primjenjivim zakonskim obvezama.

Uključite i neformalne kanale: privatne telefone zaposlenika, zajedničke lozinke i tablice koje se šalju elektroničkom poštom. Upravo se takve navike lako prenesu u novu poslovnicu. Prije širenja odlučite koje ćete ukinuti, a koje zamijeniti kontroliranim postupkom.

2. Odredite uloge prema stvarnim odlukama

U Hrvatskoj ne postoji poseban zakon o franšizi ni opća obveza registracije franšize u posebnom državnom registru. Franšizni odnos oslanja se na Zakon o obveznim odnosima i druge primjenjive opće propise. Za osobne podatke ključni su Opća uredba o zaštiti podataka, odnosno GDPR, i Zakon o provedbi Opće uredbe o zaštiti podataka. Nadzorno tijelo je Agencija za zaštitu osobnih podataka, AZOP.

Uloge ne proizlaze iz toga tko je vlasnik brenda, nego iz toga tko određuje svrhe i sredstva obrade. Razmotrite svaku aktivnost zasebno:

• Samostalni voditelji obrade: primatelj može samostalno obrađivati podatke potrebne za svoje narudžbe i reklamacije. Davatelj nema automatsko pravo na cijelu njegovu bazu.
• Zajednički voditelji obrade: ako davatelj i primatelj zajedno određuju svrhe i sredstva zajedničkog programa vjernosti, potreban je dogovor prema članku 26. GDPR-a. Bit dogovora mora biti dostupna ispitanicima.
• Voditelj i izvršitelj obrade: kada jedna strana obrađuje podatke isključivo u ime druge i prema njezinim uputama, odnos treba urediti sukladno članku 28. GDPR-a.

Ista tvrtka može imati različite uloge za različite aktivnosti. Zato jedna ugovorna rečenica da je primatelj „odgovoran za GDPR” nije dovoljna.

3. Ograničite zajedničku bazu na opravdane potrebe

Prije nabave ili prilagodbe programa odlučite mora li davatelj uopće vidjeti identitet kupca. Za usporedbu prometa, broja reklamacija ili učestalosti ponovljenih kupnji često su dovoljni zbirni, stvarno anonimni podaci. Pseudonimizirani podaci, koje je moguće ponovno povezati s osobom, i dalje su osobni podaci.

Za svaki prijenos između partnera utvrdite svrhu i odgovarajuću pravnu osnovu. Podaci prikupljeni radi izvršenja narudžbe nisu automatski dostupni za zajedničke promidžbene kampanje. Kod promidžbenih poruka elektroničkim putem treba provjeriti i pravila Zakona o elektroničkim komunikacijama; privola nije jedina moguća osnova u svim okolnostima, ali iznimke imaju uvjete.

Kupcu jasno objasnite koja pravna osoba obrađuje njegove podatke, zašto, kome ih otkriva i kako može ostvariti prava. Obavijest koja navodi samo naziv brenda može biti nedovoljna kada iza poslovnica stoje različiti poduzetnici.

Tehnički postavite odvojene korisničke račune, ovlasti prema radnim zadacima i bilježenje pristupa. Zaposlenik jedne poslovnice ne treba pregledavati kupce druge samo zato što koriste isti program.

4. Pripremite dokumente i postupak za incidente

Uz franšizni ugovor pripremite dokumente koji odgovaraju utvrđenim ulogama: ugovor o obradi ili dogovor zajedničkih voditelja gdje je potreban, obavijesti kupcima te pravila pristupa i čuvanja. Provjerite i dobavljača računalnog programa, njegove podizvršitelje te moguće prijenose podataka izvan Europskoga gospodarskog prostora.

Odredite tko zaprima zahtjev kupca za pristup, ispravak ili brisanje i kako ga prosljeđuje odgovornoj osobi. Brisanje nije bezuvjetno: neke podatke morate čuvati radi zakonskih obveza.

Posebno uredite prijavu izgubljenog uređaja, pogrešno poslane poruke ili neovlaštenog pristupa. Izvršitelj obrade mora obavijestiti voditelja bez nepotrebnog odgađanja. Voditelj, kada su ispunjeni uvjeti iz GDPR-a, prijavljuje povredu AZOP-u bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata nakon saznanja. Interni postupak zato mora omogućiti brzu procjenu, a ne čekanje redovitog sastanka.

5. Provjerite postavke prije uključivanja partnera

Provedite kratku provjeru s izmišljenim podacima kupaca. Može li zaposlenik vidjeti tuđu poslovnicu? Tko odgovara na zahtjev kupca koji je kupovao na više lokacija? Možete li odmah ukinuti pristup osobi koja odlazi?

Zabilježite rezultate i odgovornu osobu za svaki nedostatak. Pristup stvarnim podacima otvorite tek nakon provjere ovlasti i dokumentacije. Za nejasne uloge ili osjetljive podatke zatražite stručnu pravnu procjenu.

Praktični zaključak: prije širenja franšizne zajednice izradite kartu podataka, odredite odgovornosti i provjerite pristup u praksi. Zajednički brend treba povezivati poslovnice, ali ne opravdava neograničeno dijeljenje podataka kupaca.