RODO we franczyzie: przygotuj wspólny CRM przed startem

W działającej firmie baza klientów często powstaje wokół jednego właściciela, wspólnej recepcji i jednego systemu rezerwacji. Przekształcenie takiego biznesu we wspólnotę franczyzową zmienia sytuację: do obsługi klientów dołączają niezależni przedsiębiorcy. Zanim udostępnisz pierwszemu partnerowi CRM, ustal, kto odpowiada za dane, kto może je zobaczyć i w jakim celu. Sam zapis o poufności w umowie franczyzy nie wystarczy.

1. Rozpisz przepływ danych, nie tylko funkcje systemu

Zacznij od prześledzenia jednej rzeczywistej ścieżki klienta: od formularza na stronie, przez wybór placówki i wykonanie usługi, po przypomnienie o następnej wizycie. Przy każdym etapie zapisz, jaki podmiot otrzymuje dane, do czego ich potrzebuje oraz jak długo zamierza je przechowywać.

Przygotuj prostą tabelę obejmującą:

• źródło danych, np. formularz, telefon albo wizytę w lokalu;
• zakres informacji, np. imię, numer telefonu i historię rezerwacji;
• cel wykorzystania, np. realizację usługi, rozliczenie lub marketing;
• podmioty mające dostęp oraz uzasadnienie tego dostępu;
• termin usunięcia danych lub kryterium jego ustalenia.

Nie przenoś automatycznie całej dotychczasowej bazy do wszystkich placówek. Klient własnego punktu nie staje się przez samo uruchomienie franczyzy klientem każdego partnera. Udostępnienie danych wymaga odpowiedniej podstawy prawnej i zgodności z celem ich zebrania, a nie tylko technicznej możliwości eksportu.

Oddziel dane potrzebne do obsługi od danych wykorzystywanych do analiz. Centrala może potrzebować informacji o liczbie wizyt i obłożeniu, ale niekoniecznie nazwisk klientów. Jeżeli wystarczą statystyki rzeczywiście anonimowe, nie przyznawaj dostępu do pełnych kart klientów.

2. Przypisz role prawne do konkretnych czynności

W Polsce umowa franczyzy nie jest odrębnie uregulowaną umową nazwaną. Jej podstawą jest zasada swobody umów z art. 353¹ Kodeksu cywilnego, z wynikającymi z niej ograniczeniami. Nie istnieje odrębny obowiązek rejestracji systemu franczyzowego ani ustawowy, szczególny dla franczyzy termin przekazania dokumentu informacyjnego. Nie zwalnia to jednak z przestrzegania przepisów ogólnych.

Dla wspólnego CRM najważniejsze są RODO, czyli rozporządzenie (UE) 2016/679, oraz ustawa o ochronie danych osobowych. Przy elektronicznym marketingu bezpośrednim trzeba również uwzględnić Prawo komunikacji elektronicznej. Kodeks etyczny franczyzy nie zastępuje tych przepisów.

Role ustalaj według rzeczywistych decyzji, a nie nazw w umowie:

• Odrębni administratorzy: partner sam określa cele i sposoby przetwarzania danych swoich klientów, a centrala przetwarza określone dane do własnych, odrębnych celów. Każda strona potrzebuje podstawy prawnej swoich działań.
• Powierzenie przetwarzania: centrala obsługuje dane wyłącznie na udokumentowane polecenie partnera, np. zapewnia techniczną administrację CRM. Wtedy potrzebna jest umowa zgodna z art. 28 RODO.
• Współadministratorzy: strony wspólnie określają cele i sposoby przetwarzania. Wymaga to uzgodnienia odpowiedzialności zgodnie z art. 26 RODO i udostępnienia osobom zasadniczej treści tych uzgodnień.

Jedna relacja może obejmować różne role dla różnych czynności. Centrala może obsługiwać rezerwacje na polecenie partnera, a jednocześnie być administratorem danych uczestników własnego programu lojalnościowego. Nie obejmuj obu procesów jednym ogólnym zdaniem o powierzeniu.

3. Przygotuj dokumenty i ustawienia przed dostępem partnera

Dla każdego celu wskaż podstawę prawną. Obsługa rezerwacji, obowiązki księgowe i wysyłanie ofert nie muszą opierać się na tej samej przesłance. Zgoda nie jest uniwersalnym rozwiązaniem, a zgoda na marketing nie powinna być warunkiem wykonania usługi, jeżeli nie jest do niej niezbędna.

Klauzule informacyjne powinny odzwierciedlać faktyczny model współpracy. Klient musi wiedzieć między innymi, kto jest administratorem, jakie są cele i podstawy przetwarzania, komu dane mogą być ujawniane oraz jak realizować swoje prawa. Ogólne określenie „nasza sieć” nie zastąpi prawidłowego wskazania administratora.

W umowie franczyzy i dokumentach dotyczących danych ustal:

• kto tworzy konta i odbiera uprawnienia;
• kto odpowiada na żądania klientów i jak przekazuje je właściwej stronie;
• jak zgłasza się incydenty i zabezpiecza dowody;
• co dzieje się z danymi po zakończeniu współpracy;
• kto odpowiada za dostawcę CRM i ocenę ewentualnych transferów poza EOG.

Następnie przełóż dokumenty na konfigurację. Stosuj konta imienne, uwierzytelnianie wieloskładnikowe i uprawnienia ograniczone do potrzeb stanowiska. Pracownik jednej placówki nie powinien domyślnie widzieć klientów innych partnerów. Sprawdź też rejestrowanie eksportów oraz możliwość usuwania danych z uwzględnieniem obowiązków ich przechowywania.

4. Przetestuj obsługę żądania i incydentu

Przed uruchomieniem dostępu przeprowadź próbę na danych testowych. Zasymuluj żądanie kopii danych, wycofanie zgody marketingowej oraz omyłkowe wysłanie zestawienia do niewłaściwego partnera. Sprawdź nie tylko działanie programu, lecz także to, czy pracownicy wiedzą, kogo powiadomić.

Procedura incydentu powinna uwzględniać, że administrator zgłasza naruszenie organowi nadzorczemu, gdy zachodzą przesłanki RODO, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia. Podmiot przetwarzający zawiadamia administratora bez zbędnej zwłoki. Nie każde zdarzenie wymaga zgłoszenia, ale każde podejrzenie powinno trafić do osoby zdolnej szybko ocenić ryzyko.

Praktyczny wniosek: zanim zaprosisz pierwszego partnera do CRM, zatwierdź mapę przepływu danych, role prawne i macierz uprawnień. Dopiero potem uruchamiaj konta. Zaufanie we wspólnocie franczyzowej wymaga jasnych granic dostępu, nie nieograniczonego wglądu.