Hva GDPR krever av en frisørsalong eller et studio

Nesten alt du noterer om en kunde, er personopplysninger: navn, telefon, e-post, besøkshistorikk, notater om ønsker, svar i skjemaer og betalinger. En frisør med 400 faste kunder har 400 små kundemapper, enten de ligger i en avtalebok, et regneark eller et bestillingssystem.

Noen notater er mer sensitive. Allergi mot en hårfarge, en hudlidelse før en kosmetisk behandling eller en skade før en massasje er helseopplysninger. GDPR regner helseopplysninger som en særlig kategori med strengere regler, så samle dem bare inn når du virkelig trenger dem for en trygg behandling.

• Trengs som regel: navn, telefon eller e-post, bestilt tjeneste og tidspunkt.
• Trengs bare av og til: allergier eller kontraindikasjoner, fødselsdato for en tjeneste med aldersgrense.
• Trengs sjelden: hjemmeadresse, ID-numre, bilder.

Data gjemmer seg også utenfor bestillingssystemet: bilder av avtaleboken på mobilen, en WhatsApp-samtale med en kunde, et regneark over gavekort. De teller også, så det lønner seg å ha kundedata på færrest mulig steder.

All bruk av personopplysninger krever et rettslig grunnlag. Europakommisjonen lister opp seks. Tabellen viser hvor fire av dem kan dukke opp i en salong – som eksempler, ikke som en vurdering av ditt tilfelle:

Hvilket grunnlag som passer din konkrete situasjon, avgjør du som virksomheten som er behandlingsansvarlig for dataene. Er du usikker, kan du spørre personvernmyndigheten i landet ditt (i Norge Datatilsynet) eller en rådgiver.

Eksempel: en kunde bestiller farging på nett. Uten navn, telefon og tidspunkt kan du ikke gjennomføre bestillingen i det hele tatt. Om hun vil ha tilbud på e-post, er et eget spørsmål, og etter kommisjonens vilkår for samtykke skal et nei ikke koste henne bestillingen.

Et samtykke gjelder bare når kunden aktivt gir det for et bestemt formål, vet hvem du er og hva du skal gjøre, og kan si nei uten ulempe. I praksis betyr det en tom avkrysningsboks som kunden må krysse av selv, en tydelig setning ved siden av og en registrering av når samtykket ble gitt. Kommisjonen legger til at det skal være like enkelt å trekke samtykket tilbake som å gi det.

I Resovu setter du dette opp under Innstillinger → Samtykker, på alle planer:

• Markedsføringssamtykke er en egen, valgfri boks. Kunder som ikke krysser av, kan likevel bestille.
• Egne samtykker (for eksempel til før- og etterbilder) legger du til med Legg til samtykke, som obligatoriske eller valgfrie.
• Om og når en kunde ga GDPR- og markedsføringssamtykke, vises i Kundedetaljer, og fra Starter-planen også i CSV-eksporten av kunder.
• Versjon av personvernregler som du fyller ut under Innstillinger → Databeskyttelse / GDPR, lagres med hvert samtykke, så du senere kan vise hvilken tekst kunden godtok.

Samtykketekstene er ferdig utfylt, og du kan endre dem; du er selv ansvarlig for ordlyden.

En tydelig setning for markedsføringssamtykke kan være kort: «Jeg vil gjerne få e-post om nyheter og tilbud fra Salong Iris. Jeg kan melde meg av når som helst.» Ikke bland den sammen med vilkårene for bestillingen – en kunde som vil klippe seg, skal ikke måtte godta nyhetsbrev.

GDPR sier at personopplysninger ikke skal lagres lenger enn nødvendig for formålet de ble samlet inn for. Forordningen setter ikke noe fast antall år, så du bestemmer selv og bør kunne forklare valget. Regnskaps- og skatteregler kan pålegge deg å oppbevare fakturaer i flere år; kundenotater trenger sjelden å ligge så lenge.

Resovu gjør beslutningen din om til en innstilling. Under Innstillinger → Databeskyttelse / GDPR fyller du ut Lagringstid for personopplysninger i dager, fra 30 til 3650 (standard er 365). En ukentlig prosess vil da:

• anonymisere kunder der siste bestilling eller besøk er eldre enn perioden, og som ikke har aktivt gavekort eller aktivitet i kundeportalen,
• fjerne navn, kontaktinformasjon, notater og skjemasvar fra eldre bestillinger,
• beholde beløp, datoer og tjenester, så inntektsrapportene og utstedte fakturaer fortsatt stemmer.

Eksempel med 365 dager: en kunde som sist var innom i oktober 2025 og ikke har gavekort, anonymiseres ved første ukentlige kjøring etter oktober 2026.

Kunder kan be om en kopi av dataene sine, retting eller sletting, eller protestere mot markedsføring. Ifølge kommisjonen skal du svare uten ugrunnet opphold og i utgangspunktet innen én måned, og behandle forespørselen gratis (med mindre den er åpenbart grunnløs eller overdreven).

• Kopi av data: åpne Kunder, klikk på kunden og velg Eksporter data (GDPR). Du får en JSON-fil som du sender til kunden.
• Sletting: på samme sted velger du Slett data (GDPR). Navn, kontaktinformasjon, skjemasvar, notater og lojalitetspoeng fjernes for godt; fakturaene dine og anonyme bestillingsbeløp blir værende.
• Egne bestillinger og fakturaopplysninger: kundene ser kommende og tidligere bestillinger i kundeportalen og kan lagre fakturaopplysninger under Personopplysninger.

Bare kontoeieren kan eksportere og slette. Resovu sender ikke kunden e-post om slettingen, så gi selv beskjed når det er gjort.

Eksempel: en kunde skriver 3. mars og spør hva du har lagret om henne. Innen 3. april sender du henne eksporten fra Resovu og alt du har utenfor systemet, som notater i avtaleboken eller e-poster.

Hvis barn deltar i en tjeneste, kan du la en forelder eller verge bekrefte bestillingen. I Resovu åpner du Tjenester, deretter tjenesten, og slår på Tjenesten er rettet mot mindreårige. Skjemaet spør da om deltakeren er under aldersgrensen i landet ditt, og ber om navn og e-post til vergen; bestillingen bekreftes når vergen bekrefter på e-post, og plassen holdes i 48 timer.

Begrens hvem som ser kundedata. I Resovu har hvert teammedlem en rolle (eier, administrator, ansatt eller kun lesing), og kundenes kontaktinformasjon er bare synlig for eieren og administratorer.

Hvis data kommer på avveie – for eksempel hvis du mister en mobil med kundekontakter – sier kommisjonens veiledning at du skal varsle tilsynsmyndigheten uten ugrunnet opphold og senest innen 72 timer når bruddet sannsynligvis medfører en risiko for personene, og informere kundene selv når risikoen er høy.

Hver bestillingsside i Resovu får også en automatisk generert personvernerklæring, utfylt med bedriftsopplysningene dine og med en liste over databehandlerne Resovu bruker. Se på den som et utgangspunkt, og sjekk at den stemmer med hvordan du faktisk jobber med data. Dataene lagres i EU (Frankfurt), og du er fortsatt behandlingsansvarlig for kundenes data.