Koupě franšízy: kdo smí využívat zákaznická data

Společná zákaznická databáze může být významnou výhodou franšízové komunity. Sama existence věrnostní aplikace nebo rezervačního systému ale nezaručuje, že budete smět zákazníky oslovovat nebo získáte údaje potřebné k vyřízení reklamací. Před koupí franšízy proto prověřte nejen používané technologie, ale také právní role, přístupová oprávnění a odpovědnost za osobní údaje.

1. Zmapujte cestu údajů od zákazníka k centrále

Nezačínejte otázkou, komu databáze „patří“. U osobních údajů je důležitější, kdo rozhoduje o účelu a prostředcích jejich zpracování, kdo k nim má přístup a pro jaké činnosti je smí využívat. Smluvní označení vlastníka databáze tyto otázky neřeší.

Požádejte franšízora o ukázku systému s testovacími údaji a popis toku dat. Projděte rezervaci, nákup, přihlášení do věrnostního programu, reklamaci i zaslání nabídky. U každého kroku zaznamenejte:

• které údaje se získávají a proč;
• která společnost je přijímá a kdo je dále uvidí;
• kde se ukládají a jak dlouho zůstávají dostupné;
• zda je může franšízant opravit, vyhledat nebo exportovat;
• zda centrála vidí jednotlivé zákazníky, nebo pouze souhrnné výsledky.

Rozlišujte také údaje zákazníků od provozních statistik. Souhrn tržeb nemusí být osobním údajem, zatímco přehled nákupů propojený s konkrétním členem věrnostního programu jím zpravidla bude. Pro prvotní prověrku nepotřebujete skutečnou zákaznickou databázi; vhodnější jsou anonymizované podklady a testovací účet.

2. Určete právní role, nikoli jen smluvní názvy

Česká republika nemá zvláštní franšízový zákon ani povinný předsmluvní informační dokument určený výhradně zájemcům o franšízu. Franšízová smlouva bývá nepojmenovanou smlouvou podle § 1746 odst. 2 zákona č. 89/2012 Sb., občanského zákoníku. Uplatní se také obecná pravidla předsmluvního jednání. Absence zvláštního režimu však nijak neomezuje povinnosti při ochraně osobních údajů.

Pro zákaznická data jsou zásadní obecné nařízení o ochraně osobních údajů, známé jako GDPR, a zákon č. 110/2019 Sb., o zpracování osobních údajů. Elektronická obchodní sdělení upravuje také zákon č. 480/2004 Sb., o některých službách informační společnosti.

Role se posuzují podle skutečné činnosti, nikoli podle nadpisu smlouvy. Franšízant může být samostatným správcem údajů pro své objednávky. Centrála může být jiným správcem pro vlastní věrnostní program. Pokud účely a prostředky určují společně, může jít o společné správce, kteří potřebují ujednání podle článku 26 GDPR. Jestliže jeden subjekt zpracovává údaje pouze podle pokynů druhého, je namístě úprava podle článku 28 GDPR.

Jeden partner přitom může zastávat různé role pro různé činnosti. Nechte proto právníka posoudit konkrétní procesy, ne pouze univerzální přílohu o GDPR.

3. Prověřte, zda můžete zákazníky skutečně oslovovat

Přístup k e-mailovým adresám automaticky neznamená oprávnění rozesílat nabídky. Zjistěte, jaký právní titul opravňuje jednotlivá zpracování a zda jsou splněny podmínky pro zasílání obchodních sdělení. Souhlas není vždy nutný, ale ani výjimku pro nabídku vlastních obdobných výrobků či služeb zákazníkům nelze bez dalšího přenášet mezi samostatnými podnikateli.

Vyžádejte si vzory informací pro zákazníky, znění souhlasů, pokud se používají, a způsob evidence jejich udělení i odvolání. Ověřte, zda zákazník rozpozná, se kterou společností jedná a kdo mu bude nabídky posílat.

Praktický test je jednoduchý: zákazník nakoupí u vaší společnosti a centrála mu následně pošle nabídku jiné provozovny. Franšízor by měl vysvětlit, na jakém základě tento postup funguje a jak se zákazník může odhlásit. Odpověď „je to jedna značka“ nestačí, pokud za ní vystupuje více právně samostatných subjektů.

4. Sjednejte přístup, bezpečnost a rozdělení nákladů

Ve smlouvě nebo závazné příloze určete, jaké údaje budete mít dostupné pro obsluhu zákazníků, účetnictví, reklamace a ochranu právních nároků. Přístup má odpovídat konkrétním potřebám; neomezené kopírování celé databáze není vhodným výchozím řešením.

Dohodněte také postup pro žádosti zákazníků, opravy údajů a bezpečnostní incidenty. U porušení zabezpečení může správci vzniknout povinnost oznámit událost dozorovému úřadu do 72 hodin od okamžiku, kdy se o ní dozvěděl. Interní předávání informací proto nesmí čekat na pravidelnou poradu.

Před podpisem chtějte jasné odpovědi:

• Kdo zakládá a ruší účty zaměstnanců a kontroluje jejich oprávnění?
• Kdo zajišťuje zálohy, obnovu dat a evidenci přístupů?
• Kdo prověřuje dodavatele systému a případné předávání údajů mimo Evropský hospodářský prostor?
• Kdo zaplatí nezbytný export, obnovu nebo součinnost při vyřizování žádostí?

Ujasněte si rovněž dostupnost potřebných záznamů po ukončení spolupráce a pravidla jejich výmazu. Nejde o právo odnést si všechny kontakty, ale o zajištění zákonných povinností a oprávněných potřeb. Smluvní rozdělení úkolů přitom samo o sobě neodstraňuje odpovědnost vůči zákazníkům či úřadu.

Praktický závěr: Před koupí franšízy si vyžádejte mapu datových toků, předvedení oprávnění v systému a závazné rozdělení odpovědnosti. Pokud centrála nedokáže vysvětlit, kdo smí s údaji nakládat a proč, považujte to za nevyřešené riziko, nikoli za technickou drobnost.