Co po salonu a studiu chce GDPR

Osobní údaj je skoro všechno, co si o klientce zapíšete: jméno, telefon, e-mail, historie návštěv, poznámky, odpovědi z formuláře i platby. Kadeřnice se 400 stálými klientkami má 400 malých kartoték – ať leží v diáři, v tabulce, nebo v rezervačním systému.

Některé poznámky jsou citlivější. Alergie na barvu, kožní problém před kosmetickým ošetřením nebo zranění před masáží jsou údaje o zdraví. GDPR je řadí mezi zvláštní kategorie s přísnějšími pravidly, proto je sbírejte jen tehdy, když je opravdu potřebujete k bezpečnému ošetření.

• Většinou potřeba: jméno, telefon nebo e-mail, služba a termín.
• Jen někdy: alergie a kontraindikace, datum narození u služby s věkovým omezením.
• Málokdy: adresa bydliště, čísla dokladů, fotografie.

Údaje se skrývají i mimo rezervační systém: fotky diáře v mobilu, konverzace s klientkou na WhatsAppu, tabulka dárkových poukazů. I ty se počítají, proto pomáhá držet údaje klientů na co nejméně místech.

Každé použití osobních údajů potřebuje právní základ. Evropská komise jich uvádí šest. V tabulce je, kde se v salonu může objevit čtveřice z nich – jako příklad, ne jako posouzení vašeho případu:

Který základ sedí na vaši konkrétní situaci, rozhodujete vy jako správce údajů. Když si nejste jistí, obraťte se na Úřad pro ochranu osobních údajů nebo na poradce.

Příklad: klientka si přes web zarezervuje barvení. Jméno, telefon a termín potřebujete, abyste rezervaci vůbec mohli splnit. Zda chce dostávat akční nabídky, je samostatná otázka a podle podmínek souhlasu, které uvádí Komise, ji odmítnutí nesmí připravit o rezervaci.

Souhlas platí, jen když ho klient aktivně udělí ke konkrétnímu účelu, ví, kdo jste a co s údaji uděláte, a může odmítnout bez nevýhody. V praxi to znamená nezaškrtnuté políčko, které klient sám zaškrtne, srozumitelnou větu vedle něj a záznam, kdy souhlas dal. Komise dodává, že odvolat souhlas musí jít stejně snadno jako ho udělit.

V Resovu to nastavíte v Nastavení → Souhlasy, v každém plánu:

• Marketingový souhlas je samostatné, nepovinné políčko. Kdo ho nezaškrtne, rezervovat může dál.
• Vlastní souhlasy (třeba s fotografováním před a po ošetření) přidáte tlačítkem Přidat souhlas jako povinné nebo volitelné.
• Zda a kdy klient udělil GDPR a marketingový souhlas, uvidíte v detailu zákazníka a od plánu Starter také v exportu zákazníků do CSV.
• Verze zásad ochrany osobních údajů, kterou zadáte v Nastavení → Ochrana dat / GDPR, se ukládá ke každému souhlasu. Později tak doložíte, s jakým textem klient souhlasil.

Texty souhlasů jsou předvyplněné a můžete je upravit; za jejich znění odpovídáte vy.

Srozumitelná věta k marketingovému souhlasu může být krátká: „Chci dostávat e-maily o novinkách a akcích Salonu Iris. Odhlásit se můžu kdykoli.“ Nespojujte ji s podmínkami rezervace – klientka, která chce střih, nemá kvůli tomu souhlasit s newsletterem.

Podle GDPR se osobní údaje mají uchovávat jen tak dlouho, jak je potřeba pro účel, kvůli kterému jste je získali. Pevný počet let nařízení nestanoví, rozhodujete tedy vy a měli byste umět rozhodnutí vysvětlit. Účetní a daňové předpisy vám mohou ukládat držet faktury několik let; poznámky ke klientce tak dlouho potřeba obvykle nejsou.

Resovu z vašeho rozhodnutí udělá nastavení. V Nastavení → Ochrana dat / GDPR zadejte Dobu uchovávání osobních údajů ve dnech, od 30 do 3 650 (výchozí je 365). Jednou týdně pak systém:

• anonymizuje zákazníky, jejichž poslední rezervace nebo návštěva je starší než nastavená doba a kteří nemají aktivní dárkový poukaz ani aktivitu v portálu,
• odstraní ze starších rezervací jména, kontakty, poznámky a odpovědi z formuláře,
• ponechá částky, termíny a služby, takže přehledy tržeb i vystavené faktury zůstanou v pořádku.

Příklad při 365 dnech: klientka, která naposledy přišla v říjnu 2025 a nemá dárkový poukaz, se anonymizuje při prvním týdenním běhu po říjnu 2026.

Klient může chtít kopii svých údajů, opravu, výmaz nebo vznést námitku proti marketingu. Podle Komise máte odpovědět bez zbytečného odkladu, zpravidla do jednoho měsíce, a vyřídit ji zdarma (výjimkou jsou zjevně nedůvodné nebo nepřiměřené žádosti).

• Kopie údajů: otevřete Zákazníci, klikněte na klienta a zvolte Export dat (GDPR). Dostanete soubor JSON, který mu pošlete.
• Výmaz: na stejném místě zvolte Výmaz dat (GDPR). Jméno, kontakty, odpovědi z formuláře, poznámky i věrnostní body se trvale odstraní; vaše faktury a anonymní částky rezervací zůstanou.
• Vlastní rezervace a fakturační údaje: klient vidí své budoucí i minulé rezervace v zákaznickém portálu a fakturační údaje pro faktury si uloží v části Osobní údaje.

Export i výmaz může udělat jen vlastník účtu. Resovu klientovi o výmazu e-mail neposílá, dejte mu proto vědět sami.

Příklad: klientka vám 3. března napíše, že chce vědět, co o ní vedete. Do 3. dubna jí pošlete export z Resovu a případné další údaje, které máte mimo systém, třeba v diáři nebo v e-mailu.

Pokud službu navštěvují děti, může rezervaci potvrdit rodič nebo jiný zákonný zástupce. V Resovu otevřete Služby, danou službu a v části Nezletilí účastníci zapněte Služba je určena nezletilým. Formulář se pak zeptá, zda je účastník mladší než věková hranice vaší země, a na jméno a e-mail zástupce. Rezervace platí, až ji zástupce potvrdí e-mailem; do té doby zůstává místo 48 hodin blokované.

Omezte, kdo údaje klientů vidí. Každý člen týmu má v Resovu roli (vlastník, administrátor, zaměstnanec, jen pro čtení) a kontakty zákazníků vidí jen vlastník a administrátoři.

Když údaje uniknou, třeba se ztratí telefon s kontakty klientek, Komise uvádí: pokud únik pravděpodobně ohrožuje práva lidí, oznamte ho dozorovému úřadu bez zbytečného odkladu, nejpozději do 72 hodin, a při vysokém riziku informujte i samotné klienty.

Každá rezervační stránka v Resovu má navíc automaticky vygenerované zásady zpracování osobních údajů s údaji vašeho podniku a seznamem zpracovatelů, které Resovu používá. Berte je jako výchozí text a zkontrolujte, že odpovídají tomu, jak s daty skutečně pracujete. Data jsou uložená v EU (Frankfurt) a správcem údajů vašich klientů zůstáváte vy.