Czego RODO wymaga od salonu lub studia

Prawie wszystko, co zapisujesz o kliencie, to dane osobowe: imię i nazwisko, telefon, e-mail, historia wizyt, notatki o preferencjach, odpowiedzi w formularzu i płatności. Fryzjerka z 400 stałymi klientkami ma 400 małych kartotek – niezależnie od tego, czy są w kalendarzu papierowym, w arkuszu czy w systemie rezerwacji.

Niektóre notatki są bardziej wrażliwe. Uczulenie na farbę do włosów, choroba skóry przed zabiegiem kosmetycznym czy uraz przed masażem to dane o zdrowiu. RODO zalicza je do szczególnej kategorii z surowszymi zasadami, więc zbieraj je tylko wtedy, gdy naprawdę potrzebujesz ich do bezpiecznego zabiegu.

• Zwykle potrzebne: imię i nazwisko, telefon lub e-mail, zarezerwowana usługa i godzina.
• Potrzebne tylko czasem: alergie lub przeciwwskazania, data urodzenia przy usłudze z ograniczeniem wiekowym.
• Rzadko potrzebne: adres zamieszkania, numery dokumentów, zdjęcia.

Dane kryją się też poza systemem rezerwacji: zdjęcia kalendarza w telefonie, rozmowa z klientką na WhatsAppie, arkusz z kartami podarunkowymi. One też się liczą, dlatego warto trzymać dane klientów w jak najmniejszej liczbie miejsc.

Każde wykorzystanie danych osobowych wymaga podstawy prawnej. Komisja Europejska wymienia sześć. Tabela pokazuje, gdzie w salonie mogą pojawić się cztery z nich – jako przykłady, a nie rozstrzygnięcie Twojej sytuacji:

To, która podstawa pasuje do Twojej konkretnej sytuacji, rozstrzygasz Ty jako firma, która jest administratorem danych. Jeśli nie masz pewności, zapytaj krajowy organ ochrony danych lub doradcę.

Przykład: klientka rezerwuje online koloryzację. Bez jej imienia, telefonu i godziny w ogóle nie zrealizujesz rezerwacji. To, czy chce dostawać oferty e-mailem, jest osobną kwestią, a zgodnie z warunkami zgody opisanymi przez Komisję odmowa nie może kosztować jej wizyty.

Zgoda jest ważna tylko wtedy, gdy klient sam ją wyraża w konkretnym celu, wie, kim jesteś i co zrobisz z danymi, i może odmówić bez negatywnych skutków. W praktyce oznacza to niezaznaczone pole, które klient musi zaznaczyć, jasne zdanie obok niego i zapis, kiedy zgoda została udzielona. Komisja dodaje, że wycofanie zgody musi być równie łatwe jak jej wyrażenie.

W Resovu ustawisz to w Ustawienia → Zgody, w każdym planie:

• Zgoda marketingowa to osobne, opcjonalne pole. Klienci, którzy go nie zaznaczą, nadal mogą zarezerwować wizytę.
• Własne zgody (na przykład na zdjęcia przed i po zabiegu) dodasz przyciskiem Dodaj zgodę, jako wymagane lub opcjonalne.
• Czy i kiedy klient wyraził zgodę RODO i zgodę marketingową, widać w Szczegółach klienta, a od planu Starter także w eksporcie klientów do CSV.
• Wersja polityki prywatności, którą wpiszesz w Ustawienia → Ochrona danych / RODO, zapisuje się przy każdej zgodzie, więc później możesz pokazać, na jaki tekst klient się zgodził.

Treści zgód są wstępnie wypełnione i możesz je edytować; za ich brzmienie odpowiadasz Ty.

Jasne zdanie zgody marketingowej może być krótkie: „Chcę otrzymywać e-maile o nowościach i ofertach Salonu Iris. Mogę zrezygnować w każdej chwili.” Nie łącz go z warunkami rezerwacji – klientka, która chce się ostrzyc, nie powinna musieć zgadzać się na newsletter.

RODO mówi, że dane osobowe należy przechowywać nie dłużej, niż to konieczne do celu, w którym je zebrano. Nie podaje stałej liczby lat, więc decyzja należy do Ciebie i warto umieć ją uzasadnić. Przepisy rachunkowe i podatkowe mogą wymagać przechowywania faktur przez kilka lat; notatki o klientach rzadko są potrzebne tak długo.

Resovu zamienia Twoją decyzję w ustawienie. W Ustawienia → Ochrona danych / RODO wpisz Okres przechowywania danych osobowych (dni), od 30 do 3650 (domyślnie 365). Proces uruchamiany raz w tygodniu:

• anonimizuje klientów, których ostatnia rezerwacja lub wizyta jest starsza niż ustawiony okres i którzy nie mają aktywnej karty podarunkowej ani aktywności w portalu klienta,
• usuwa imiona, dane kontaktowe, notatki i odpowiedzi z formularzy ze starszych rezerwacji,
• zachowuje kwoty, daty i usługi, dzięki czemu raporty przychodów i wystawione faktury pozostają poprawne.

Przykład przy 365 dniach: klientka, która była ostatnio w październiku 2025 roku i nie ma karty podarunkowej, zostanie zanonimizowana przy pierwszym cotygodniowym uruchomieniu procesu po październiku 2026 roku.

Klienci mogą poprosić o kopię swoich danych, ich sprostowanie lub usunięcie albo wnieść sprzeciw wobec marketingu. Według Komisji odpowiedź powinna nastąpić bez zbędnej zwłoki, co do zasady w ciągu miesiąca, a żądanie należy rozpatrzyć bezpłatnie (chyba że jest ewidentnie nieuzasadnione lub nadmierne).

• Kopia danych: otwórz Klienci, kliknij klienta i wybierz Eksport danych (RODO). Otrzymasz plik JSON, który mu wyślesz.
• Usunięcie: w tym samym miejscu wybierz Usunięcie danych (RODO). Imię i nazwisko, dane kontaktowe, odpowiedzi z formularzy, notatki i punkty lojalnościowe zostaną trwale usunięte; Twoje faktury i anonimowe kwoty rezerwacji zostają.
• Własne rezerwacje i dane do faktury: klienci widzą nadchodzące i minione rezerwacje w portalu klienta, a dane do faktur mogą zapisać w zakładce Dane osobowe.

Eksport i usunięcie może wykonać tylko właściciel konta. Resovu nie wysyła klientowi e-maila o usunięciu danych, więc daj mu znać sam, gdy będzie po wszystkim.

Przykład: 3 marca klientka pisze z pytaniem, jakie dane o niej masz. Do 3 kwietnia wysyłasz jej eksport z Resovu oraz wszystko, co przechowujesz poza systemem, na przykład notatki w kalendarzu czy e-maile.

Jeśli z usługi korzystają dzieci, możesz poprosić rodzica lub opiekuna prawnego o potwierdzenie rezerwacji. W Resovu otwórz Usługi, wybraną usługę i włącz Usługa przeznaczona dla osób niepełnoletnich. Formularz zapyta wtedy, czy uczestnik jest poniżej granicy wieku obowiązującej w Twoim kraju, oraz o imię i nazwisko i e-mail opiekuna; rezerwacja zostaje potwierdzona, gdy opiekun potwierdzi ją e-mailem, a miejsce jest blokowane przez 48 godzin.

Ogranicz, kto widzi dane klientów. W Resovu każdy członek zespołu ma rolę (właściciel, administrator, pracownik lub tylko do odczytu), a dane kontaktowe klientów widzą wyłącznie właściciel i administratorzy.

Jeśli dane wyciekną – na przykład zgubisz telefon z kontaktami klientów – według wytycznych Komisji należy bez zbędnej zwłoki, najpóźniej w ciągu 72 godzin, zgłosić to organowi nadzorczemu, jeśli naruszenie prawdopodobnie zagraża ludziom, a przy wysokim ryzyku poinformować także samych klientów.

Każda strona rezerwacji w Resovu ma też automatycznie generowaną informację o prywatności, wypełnioną danymi Twojej firmy i z listą podmiotów przetwarzających, z których korzysta Resovu. Traktuj ją jako punkt wyjścia i sprawdź, czy odpowiada temu, jak naprawdę pracujesz z danymi. Dane są przechowywane w UE (Frankfurt), a administratorem danych Twoich klientów pozostajesz Ty.