Nakup franšize: kdo nadzoruje podatke o vaših strankah?

Pri nakupu franšize se lahko za enotnim programom zvestobe, spletno trgovino ali rezervacijskim sistemom skriva pomembna poslovna odvisnost. Stranke obiskujejo vašo poslovalnico, podatke pa upravlja nekdo drug. Pred vstopom v franšizno skupnost zato preverite, katere podatke boste lahko uporabljali, kdo odgovarja za njihovo varnost in kaj se zgodi, če dostop preneha. To ni zgolj tehnično vprašanje, temveč del skrbnega pregleda naložbe.

1. Narišite pot podatkov od stranke do sistema

Najprej zahtevajte predstavitev dejanskega delovanja digitalnih orodij. Prodajna predstavitev pogosto pokaže lep pregled prodaje, ne pa omejitev dostopa. Ogled opravite skupaj z osebo, ki pozna vsakodnevno delo poslovalnice, in ne samo s prodajnim predstavnikom franšizodajalca.

Popišite, kje nastajajo osebni podatki: pri spletnih naročilih, rezervacijah, reklamacijah, prijavah v program zvestobe in prejemanju oglasnih sporočil. Za vsako pot določite, kdo podatke zbira, kam jih pošilja in kdo jih lahko pregleduje.

Vprašajte predvsem:

• Ali vidite podatke posamezne stranke ali samo zbirna poročila?
• Ali lahko popravite napačen podatek in obravnavate zahtevo za izbris?
• Ali franšizodajalec podatke uporablja tudi za svoje poslovalnice ali druge franšizojemalce?
• Kdo določa roke hrambe in pravice dostopa zaposlenih?
• Ali se podatki shranjujejo ali oddaljeno obdelujejo zunaj Evropskega gospodarskega prostora?

Dostop do prodajnega poročila ni isto kot pravica do uporabe podatkov za trženje. Tudi če lahko prenesete seznam elektronskih naslovov, to še ne pomeni, da smete nanj poslati ponudbo. Posebej preverite razliko med podatki, potrebnimi za izvedbo naročila, in podatki za dodatno oglaševanje.

2. Razjasnite pravne vloge in slovenska pravila

Slovenija nima posebnega zakona o franšizingu, obveznega posebnega registra franšiz ali zakonsko predpisanega standardnega dokumenta predpogodbenega razkritja za vse franšize. Franšizna pogodba se presoja predvsem po Obligacijskem zakoniku, vključno z načelom vestnosti in poštenja ter pravili o odgovornosti pri pogajanjih. Odsotnost posebnega zakona ne pomeni odsotnosti pravnih obveznosti.

Za osebne podatke veljata Splošna uredba o varstvu podatkov, znana kot GDPR, in Zakon o varstvu osebnih podatkov (ZVOP-2). Pri neposrednem trženju po elektronskih komunikacijah je pomemben tudi Zakon o elektronskih komunikacijah (ZEKom-2). Pogodbeno dovoljenje franšizodajalca samo po sebi ne nadomesti ustrezne pravne podlage za obdelavo.

Pravne vloge izhajajo iz dejanskega odločanja o namenih in sredstvih obdelave, ne zgolj iz poimenovanja v pogodbi. Franšizodajalec in franšizojemalec sta lahko samostojna upravljavca, skupna upravljavca ali pa eden za drugega opravlja določeno obdelavo kot obdelovalec. Razmerje je lahko pri različnih dejavnostih različno.

Če gre za obdelavo v imenu upravljavca, je potreben dogovor po 28. členu GDPR. Pri skupnem upravljanju je treba odgovornosti pregledno razdeliti z dogovorom po 26. členu. Preverite tudi, ali obvestilo strankam o zasebnosti odraža dejansko ureditev. Nadzorni organ v Sloveniji je Informacijski pooblaščenec.

Ne sprejmite splošne izjave, da »za GDPR poskrbi centrala«. Zahtevajte jasno razdelitev nalog: kdo odgovarja strankam, kdo vodi evidence, kdo obravnava incidente in kdo preverja zunanje ponudnike.

3. Pogodbeno uredite dostop, stroške in varnost

Pred podpisom zahtevajte prilogo o digitalnih sistemih in podatkih. V njej naj bodo navedeni obvezna programska oprema, uporabniški računi, dovoljene uporabe podatkov, možnosti izvoza ter odgovornosti ob izpadu. Preverite, ali dokumenti, na katere se pogodba sklicuje, omogočajo enostranske spremembe teh pravic.

Stroške razdelite na začetno vzpostavitev, redne naročnine, dodatne uporabnike, povezave z računovodstvom in izvoz podatkov. Ugotovite, ali cena vključuje pomoč pri zahtevah strank in varnostnih incidentih. Neomejena obveznost plačevanja »vseh stroškov skladnosti« je razlog za podrobnejša pogajanja.

Pri varnosti zahtevajte več kot obljubo o zanesljivem sistemu. Preverite večfaktorsko prijavo, omejevanje dostopov glede na delovno mesto, beleženje vpogledov, varnostne kopije in pravočasno ukinjanje računov nekdanjih zaposlenih.

Pogodba naj določi tudi hitro obveščanje o kršitvah varnosti osebnih podatkov. GDPR pri določenih kršitvah upravljavcu nalaga prijavo nadzornemu organu v 72 urah po seznanitvi, zato večdnevno čakanje na odziv centrale ni sprejemljiva operativna rešitev. Prijava ni potrebna pri vsaki kršitvi; odločitev mora temeljiti na ustrezni presoji tveganja.

4. Preizkusite neodvisnost poslovalnice

Pred odločitvijo izvedite preprost preizkus: prosite za vzorčni izvoz z izmišljenimi podatki. Preverite, ali je format uporaben, ali vsebuje dogovorjena polja in ali ga lahko odpre vaš računovodski oziroma drug poslovni sistem. Tako odkrijete razliko med pogodbeno obljubo in dejansko možnostjo uporabe.

Dogovorite se, kaj se zgodi ob zamenjavi ponudnika programske opreme, sporu ali prenehanju sodelovanja. Potrebujete urejen dostop do dokumentacije, ki jo morate hraniti zaradi zakonskih obveznosti. To pa ne pomeni samodejne pravice, da obdržite celotno zbirko strank za novo dejavnost.

Pravica posameznika do prenosljivosti podatkov po GDPR ni splošna pravica franšizojemalca do prenosa poslovne zbirke. Vaše možnosti izvoza morajo biti pogodbeno določene, izvedba pa skladna s pravili varstva osebnih podatkov.

Praktični sklep: pred nakupom pridobite zemljevid podatkov, pisno razdelitev odgovornosti in preizkušen način izvoza. Če franšizodajalec tega ne zna pojasniti, digitalne odvisnosti še ne morete zanesljivo oceniti.