Kupnja franšize: pristup podacima o kupcima u Hrvatskoj

Prije ulaska u franšiznu zajednicu provjerite tko upravlja podacima iz blagajne, rezervacija, internetskih narudžbi i programa vjernosti. Pristup aplikaciji ne znači automatski pravo preuzimanja ili daljnjeg korištenja podataka. Ako to ostane nejasno, možete uredno plaćati sustav, a ipak ostati bez izvještaja potrebnih za poslovanje ili pristupa evidencijama kada nastane spor. Zato ovo pitanje riješite prije potpisa, zajedno s pravnim i tehničkim savjetnikom.

1. Popišite podatke koje poslovanje stvara

Od davatelja zatražite prikaz puta podataka: gdje nastaju, u kojem se sustavu pohranjuju, tko ih vidi i kome se šalju. Obuhvatite fizičku poslovnicu i digitalne kanale. Narudžba zaprimljena preko središnje internetske stranice može završiti u vašoj poslovnici, dok kontakt kupca ostaje dostupan samo davatelju.

Razdvojite tri skupine:

• Poslovni pokazatelji: promet, prodane količine, zalihe i zbirna izvješća o uspješnosti.
• Osobni podaci: imena, kontakti, povijest kupnje povezana s osobom i podaci o rezervacijama.
• Obvezne evidencije: računi i druga dokumentacija koju morate čuvati prema primjenjivim propisima.

Te se skupine mogu preklapati. Račun, primjerice, može sadržavati osobne podatke. Za svaku skupinu zapišite svrhu korištenja, potrebne korisničke ovlasti i mogućnost izvoza. Nemojte prihvatiti odgovor „sve je u sustavu” bez demonstracije: zatražite da vam pokažu konkretan izvještaj i preuzimanje oglednih podataka, bez stvarnih podataka kupaca.

2. Razumijte hrvatski pravni okvir i uloge

U Hrvatskoj nema posebnog zakona o franšizi ni posebnog obveznog predugovornog dokumenta za otkrivanje informacija propisanog baš za franšize. Na ugovorni odnos primjenjuje se Zakon o obveznim odnosima, uz druge primjenjive propise, primjerice pravila tržišnog natjecanja i zaštite intelektualnog vlasništva. Registar franšiza HGK-a informativan je vodič, a ne obvezno državno odobrenje poslovanja.

Za osobne podatke ključni su Opća uredba o zaštiti podataka (GDPR) i Zakon o provedbi Opće uredbe o zaštiti podataka. Nadzorno tijelo u Hrvatskoj je Agencija za zaštitu osobnih podataka, odnosno AZOP. Franšizni ugovor sam po sebi nije pravna osnova za svako korištenje podataka kupaca.

Davatelj i primatelj mogu biti samostalni voditelji obrade za različite svrhe. Ako zajednički određuju svrhe i sredstva određene obrade, mogu biti zajednički voditelji te moraju transparentno urediti odgovornosti. Ako jedna strana obrađuje podatke samo prema uputama druge, potrebno je odgovarajuće uređenje odnosa voditelja i izvršitelja obrade prema članku 28. GDPR-a.

Uloge ovise o stvarnom postupanju, ne samo o nazivu u ugovoru. Izbjegavajte pojednostavljenu formulaciju da netko „posjeduje kupce”. Ugovor može urediti pristup i korištenje baze, ali ne može ukinuti prava osoba čiji se podaci obrađuju.

3. Ugovorite pristup, izvoz i stvarni trošak sustava

U prilogu ugovora navedite kojim izvještajima pristupate, koliko često se osvježavaju i možete li ih samostalno preuzeti. Posebno uredite pristup računovođe i ovlasti zaposlenika. Svaka osoba ne treba vidjeti sve podatke.

Provjerite uključuje li naknada za aplikaciju izvoz, dodatne korisnike, povezivanje s računovodstvom, arhivu i tehničku pomoć. Trošak nije samo mjesečna pretplata: može nastati pri prijenosu povijesnih zapisa, prilagodbi izvještaja ili vraćanju sigurnosne kopije. Tražite pisani cjenik i način odobravanja dodatnih radova.

Ugovorni zahtjev može glasiti: primatelj ima redovit pristup izvještajima vlastite poslovnice i mogućnost njihova preuzimanja u uobičajenom, strojno čitljivom obliku, u opsegu dopuštenom propisima. Odvojeno treba urediti osobne podatke, dopuštene svrhe i rokove čuvanja.

To nije isto što i GDPR-ovo pravo ispitanika na prenosivost podataka. Vaše poslovno pravo izvoza mora biti jasno ugovoreno; ne nastaje automatski zato što se podaci odnose na vaše kupce.

4. Provjerite postupanje u problematičnim situacijama

Prije potpisa prođite tri scenarija: sustav ne radi, kupac traži brisanje podataka i davatelj vam blokira račun zbog spora. Za svaki utvrdite odgovornu osobu, zamjenski postupak, rok reakcije i način dokumentiranja događaja.

Kod sigurnosnog incidenta ugovorite brzu razmjenu informacija. GDPR za prijavu povrede nadzornom tijelu, kada je prijava potrebna, predviđa rok od najkasnije 72 sata od saznanja voditelja obrade, ako je izvedivo. Zato interna obavijest ne smije čekati redoviti mjesečni sastanak.

Provjerite i gdje se podaci pohranjuju te postoji li pristup izvan Europskoga gospodarskog prostora. Takav prijenos zahtijeva odgovarajući pravni mehanizam; sama tvrdnja da je pružatelj aplikacije međunarodno poznat nije dovoljna.

Naposljetku uredite što se događa s evidencijama nakon prestanka pristupa sustavu: što zakonito preuzimate, što se vraća ili briše te što morate sačuvati zbog zakonskih obveza. Preuzimanje kontakata ne daje automatski pravo slanja novih marketinških poruka.

Praktični zaključak: prije kupnje franšize tražite demonstraciju izvoza, popis dopuštenih korištenja podataka i pisanu podjelu odgovornosti. Nejasan pristup podacima poslovni je rizik, a ne samo informatičko pitanje.