Podatki strank pred prvo franšizo v Sloveniji

Ko obstoječe podjetje preraste v franšizno skupnost, zbirka strank ne postane samodejno skupna last vseh sodelujočih. Rezervacije, zgodovina nakupov in naslovi za obveščanje imajo različne namene uporabe, zato enoten računalniški sistem še ne pomeni neomejenega dostopa. Pred vključitvijo prvega franšizojemalca določite, kdo katere podatke potrebuje, na kateri pravni podlagi jih uporablja in kdo odgovarja strankam.

1. Najprej popišite poti podatkov, ne programske opreme

Začnite pri dejanskem poslovanju svoje obstoječe enote. Spremljajte pot stranke od prvega povpraševanja do izvedene storitve, računa, morebitne reklamacije in poznejšega trženjskega sporočila. Pri vsakem koraku zapišite podatke, namen obdelave, uporabnike in predvideni rok hrambe.

Preprost pregled naj odgovori na naslednja vprašanja:

• Ali stranka naročilo odda osrednjemu podjetju ali neposredno lokalnemu franšizojemalcu?
• Katero podjetje opravi storitev, izda račun in obravnava reklamacijo?
• Ali osrednje podjetje potrebuje posameznikove podatke ali zgolj zbirno poročilo?
• Ali lahko druga enota vidi zgodovino obiskov in zakaj bi jo potrebovala?
• Kdo pošilja oglasna sporočila in upravlja odjave?

Posebej označite prosta besedilna polja. Zaposleni lahko vanje nehote vnašajo zdravstvene informacije, osebne okoliščine ali druge podatke, ki za storitev niso potrebni. Pri prenosu poslovnega modela v franšizno skupnost takšna navada hitro postane ponavljajoča se težava.

Praktični rezultat tega koraka je zemljevid obdelav, ne le seznam programov. Šele nato izberite ali prilagodite skupni sistem za upravljanje odnosov s strankami.

2. Vloge določite po dejanskem odločanju

Slovenija nima posebnega zakona, ki bi celovito urejal franšizne pogodbe, niti posebnega obveznega registra franšiz. Pogodbena razmerja se presojajo predvsem po Obligacijskem zakoniku in drugih ustreznih splošnih predpisih. Za osebne podatke sta ključna Splošna uredba o varstvu podatkov oziroma GDPR in Zakon o varstvu osebnih podatkov, ZVOP-2. Za elektronsko neposredno trženje je pomemben tudi Zakon o elektronskih komunikacijah, ZEKom-2.

Pri vsaki obdelavi določite vlogo sodelujočih podjetij:

• Samostojni upravljavci: vsako podjetje samo določa namene in bistvena sredstva svoje obdelave. Lokalni franšizojemalec je denimo lahko upravljavec podatkov za svoje račune.
• Skupni upravljavci: podjetji skupaj določata namene in bistvena sredstva določene obdelave, na primer skupnega programa zvestobe. Takrat potrebujeta ureditev odgovornosti po 26. členu GDPR, katere bistvo mora biti dostopno posameznikom.
• Upravljavec in obdelovalec: eno podjetje podatke obdeluje v imenu drugega in po njegovih navodilih. Tak odnos zahteva pogodbo oziroma drug ustrezen pravni akt po 28. členu GDPR.

Vloge lahko pri različnih obdelavah odstopajo. Franšizodajalec ni avtomatično upravljavec vseh podatkov samo zato, ker zagotavlja programsko opremo ali znamko. Prav tako franšizojemalec ni avtomatično obdelovalec, ker upošteva poslovni priročnik.

Pogodbeni naziv ne more nadomestiti dejanskega stanja. Presojo naj zato skupaj opravijo oseba, ki pozna poslovne postopke, skrbnik informacijskega sistema in pravni svetovalec.

3. Ločite izvedbo storitve od skupnega trženja

Za vsak namen določite ustrezno pravno podlago. Podatki, potrebni za izvedbo naročene storitve, se lahko obdelujejo zaradi izvajanja pogodbe s stranko; zakonsko zahtevana hramba računov temelji na pravni obveznosti. Nobena od teh podlag sama po sebi ne dovoljuje vseh poznejših trženjskih uporab.

Če vaša obstoječa zbirka vsebuje privolitve za prejemanje ponudb vašega podjetja, ne predpostavljajte, da zajemajo tudi pošiljanje ponudb novega, pravno samostojnega franšizojemalca. Preverite besedilo privolitve, navedene upravljavce, namene in dokazila o pridobitvi. Za elektronsko pošto in sporočila upoštevajte tudi pogoje ZEKom-2; morebitne izjeme za trženje obstoječim kupcem niso splošno dovoljenje za celotno skupnost.

Stranki jasno predstavite, s katerim podjetjem posluje in kako se uporabljajo njeni podatki. Obvestilo o zasebnosti naj odraža dejansko razdelitev odgovornosti, prejemnike, roke hrambe in način uveljavljanja pravic.

Za poslovno primerjavo enot praviloma najprej uporabite zbirne podatke. Franšizodajalec lahko spremlja število rezervacij ali pogostost ponovnih obiskov, ne da bi vedno potreboval imena strank. Pri tem pazite: odstranitev imena še ne zagotavlja anonimnosti, če je posameznika mogoče prepoznati iz drugih podatkov.

4. Pred odprtjem preizkusite dostop in odzivanje

Dogovorjena pravila prenesite v nastavitve sistema in kratko pogodbeno prilogo. Ta naj opredeli dovoljene uporabe, pravice dostopa, roke hrambe, sodelovanje pri zahtevah posameznikov in ravnanje ob varnostnih dogodkih. Kjer je potrebna ureditev po 26. ali 28. členu GDPR, splošna klavzula o zaupnosti ne zadošča.

Vsak uporabnik naj ima svoj račun. Dostop omejite glede na naloge, uvedite večfaktorsko prijavo, kjer je primerna, ter beležite pomembne posege. Preverite tudi ponudnika sistema, njegove podizvajalce in morebitne prenose podatkov izven Evropskega gospodarskega prostora.

Pred odprtjem izvedite preizkus z izmišljenimi podatki: stranka zahteva dostop, zaposleni zamenja enoto, nekdo izvozi zbirko ali izgubi napravo. Določite, kdo ukrepa in koga obvesti. Notranje obveščanje mora omogočiti pravočasno presojo morebitne prijave kršitve Informacijskemu pooblaščencu; GDPR za upravljavca praviloma določa rok 72 ur od seznanitve, kadar je prijava potrebna.

Praktični sklep: pred prvo franšizo pripravite zemljevid obdelav, razdelitev pravnih vlog in preizkušen seznam dostopov. Skupna znamka povezuje franšizno skupnost, ne daje pa neomejene pravice do podatkov njenih strank.