Ficheiro de clientes e RGPD: o guia simples para independentes

Nome, telefone, e-mail, data da última marcação, algumas notas: assim que guarda estas informações, tem um ficheiro de clientes. E o ficheiro de clientes e o RGPD não dizem respeito apenas às grandes empresas: o regulamento europeu de proteção de dados aplica-se também ao cabeleireiro que anota as preferências das clientes, ao coach que envia uma oferta de regresso às aulas ou ao artesão que guarda os seus orçamentos. A boa notícia: para uma pequena atividade, o essencial resume-se a alguns gestos simples.

Este guia apoia-se nos documentos publicados pela CNIL, a autoridade francesa de proteção de dados. Dá-lhe um método em seis passos, os prazos de conservação a conhecer, as regras para enviar ofertas por e-mail ou SMS e modelos para copiar. Não substitui um aconselhamento jurídico: para um caso específico, informe-se junto da autoridade de proteção de dados ou de um profissional do direito.

O seu ficheiro de clientes está abrangido pelo RGPD?

Sim, assim que contém informações sobre pessoas identificáveis: um nome, um número de telefone, um endereço de e-mail, um histórico de marcações. O suporte não importa. Um caderno em papel, uma folha de cálculo, os contactos do telemóvel ou um software de reservas estão abrangidos da mesma forma.

O RGPD não o proíbe de guardar estas informações. Pede-lhe que saiba porque as guarda, que guarde só o que é útil, que avise os seus clientes, que respeite os seus direitos e que proteja o ficheiro. No seu guia prático para micro, pequenas e médias empresas, publicado com o Bpifrance em 2018, a CNIL resume o processo em quatro passos: identificar os ficheiros, fazer a triagem dos dados, respeitar os direitos das pessoas e proteger os dados.

Passo 1: faça a lista dos seus ficheiros e do objetivo de cada um

A CNIL propõe uma lista de verificação para pequenas empresas que começa precisamente por aí: identificar todos os ficheiros da empresa e anotar o objetivo de cada um. Para um profissional independente, a lista costuma ser curta:

• Clientes: marcações, acompanhamento dos serviços, faturação.
• Potenciais clientes: pessoas que pediram um orçamento ou uma informação sem comprar.
• Fidelização: envio de ofertas, novidades, recontactos.
• Contabilidade: faturas e documentos contabilísticos.

Este pequeno inventário é a base do «registo das atividades de tratamento». O guia da CNIL recomenda anotar nele, para cada atividade, o objetivo, as categorias de dados, quem tem acesso e durante quanto tempo são guardados. Para uma pequena atividade, uma tabela de uma página chega muitas vezes, e a CNIL disponibiliza um modelo.

Passo 2: guarde só as informações realmente úteis

É o ponto que a lista de verificação da CNIL formula com mais clareza: para cada ficheiro, faça a lista das informações registadas e confirme que são todas indispensáveis ao seu objetivo. Caso contrário, elimine-as e deixe de as pedir.

Na prática, para fazer uma marcação, o nome, um meio de contacto e o serviço costumam bastar. A data de nascimento, a morada ou a profissão só são úteis se tiver uma razão real para as pedir (uma intervenção ao domicílio, por exemplo).

Atenção às notas «livres»

Os comentários numa ficha de cliente são práticos, mas são dados como os outros. O referencial da CNIL sobre a gestão das atividades comerciais lembra que certas informações são consideradas sensíveis: origem, opiniões políticas, religiosas ou filosóficas, filiação sindical, vida ou orientação sexual, saúde. Não devem ser recolhidas sem o consentimento da pessoa. Escreva notas factuais, úteis para o serviço, que aceitaria mostrar ao cliente.

Se é profissional de saúde ou terapeuta de bem-estar, o tema dos dados de saúde merece uma atenção especial: informe-se sobre as regras próprias da sua atividade junto da autoridade de proteção de dados e da sua Ordem ou organização profissional.

Passo 3: informe os seus clientes no momento da recolha

Os seus clientes têm de saber o que faz com os dados deles. Segundo o guia da CNIL para micro, pequenas e médias empresas, a informação deve indicar nomeadamente o objetivo da recolha, o fundamento jurídico (contrato, consentimento, obrigação legal ou interesse legítimo), quem tem acesso aos dados, durante quanto tempo os guarda, como exercer os direitos e se há dados que saem da União Europeia.

Adapte os parênteses retos à sua situação e verifique o texto final com os recursos da autoridade de proteção de dados se tiver dúvidas.

Passo 4: peça autorização antes de enviar ofertas

É a regra que mais apanha os profissionais independentes. Segundo a CNIL, enviar publicidade por e-mail, SMS ou fax a um particular exige, em princípio, o seu consentimento prévio, e esse consentimento tem de ser livre, específico, informado e inequívoco. Aceitar as suas condições gerais não equivale a concordar em receber ofertas. A CNIL recomenda uma caixa de seleção, não assinalada por defeito.

Há uma exceção útil para o comércio de proximidade: se a pessoa já é cliente e lhe propõe produtos ou serviços análogos aos que já comprou, o consentimento não é necessário. Mas duas condições continuam obrigatórias: ela tem de poder recusar de forma simples e gratuita no momento em que recolhe os seus contactos e, depois, a qualquer momento, nomeadamente em cada mensagem.

Estas regras visam a prospeção, ou seja, a publicidade e as promoções. Um lembrete de marcação, por sua vez, serve o serviço que o cliente pediu. Para recontactar os seus clientes dentro das regras e sem os cansar, o nosso guia para recontactar um cliente propõe mensagens e ritmos adequados.

Passo 5: defina um prazo de conservação e cumpra-o

A lista de verificação da CNIL di-lo sem rodeios: identifique durante quanto tempo deve guardar cada tipo de informação e não a conserve para além disso. Para a prospeção, o referencial da CNIL sobre a gestão das atividades comerciais dá referências precisas.

• Clientes: os dados podem ser usados para prospeção durante a relação comercial e depois durante 3 anos após o seu fim (por exemplo, a contar da última compra).
• Potenciais clientes que não são clientes: 3 anos a contar da recolha ou do último contacto vindo da pessoa. O simples facto de abrir um e-mail não conta como contacto; um clique num link, sim.
• Ao fim de 3 anos: pode perguntar à pessoa se quer continuar a receber as suas mensagens. Sem uma resposta positiva e clara, os dados são eliminados ou arquivados.

As faturas e os documentos contabilísticos seguem as suas próprias obrigações de conservação: confirme-as com o seu contabilista. O mais simples é marcar uma limpeza anual, por exemplo todos os meses de janeiro, para fazer a triagem dos contactos inativos.

Passo 6: proteja o acesso ao ficheiro

Um ficheiro de clientes perdido ou consultado por terceiros é um problema real, para os seus clientes e para si. O referencial da CNIL enumera muitas medidas de segurança; eis as que mais contam para um profissional independente:

• uma palavra-passe forte e própria para cada ferramenta, nunca partilhada num post-it;
• o bloqueio automático do ecrã do telemóvel e do computador;
• um acesso reservado às pessoas que precisam dele, retirado assim que um colaborador sai;
• cópias de segurança regulares, guardadas noutro sítio que não o aparelho principal;
• nenhum ficheiro de clientes enviado em anexo sem proteção.

Em caso de fuga suscetível de representar um risco para as pessoas, o guia da CNIL indica que deve ser comunicada à autoridade de proteção de dados no prazo de 72 horas e que as pessoas afetadas devem ser avisadas se o risco for elevado.

O que fazer quando um cliente pede para ver ou apagar os seus dados?

Os seus clientes têm direitos: acesso, retificação, oposição, apagamento, portabilidade e limitação. O guia da CNIL pede que lhes responda em prazos curtos, um mês no máximo. Tenha um endereço de e-mail para estes pedidos e uma forma simples de encontrar todas as informações de uma pessoa.

Exemplos por profissão

Esteticista: guarde as informações úteis para o tratamento (uma alergia indicada pela cliente, por exemplo) só com o acordo dela, e proponha as suas ofertas de fidelização às clientes existentes com um link para cancelar a subscrição. Personal trainer: separe os contactos que vieram a uma sessão experimental (clientes) dos que só pediram um preço (potenciais clientes). Advogado: o sigilo profissional soma-se ao RGPD; limite o acesso aos processos e à agenda. Artesão: um orçamento não assinado cria um potencial cliente, não um cliente: conte três anos a partir da última troca. Para transformar um ficheiro organizado em clientes fiéis, o nosso guia para fidelizar os seus clientes dá métodos concretos.

Como o Calendrio o ajuda a manter um ficheiro de clientes organizado

No Calendrio, cada cliente tem uma ficha com o histórico de marcações e as suas notas privadas: está tudo no mesmo sítio, o que facilita um pedido de acesso ou de retificação. Pode classificar os seus clientes por categoria e marcar um contacto como «pessoal» para o excluir das campanhas.

Cada campanha por e-mail ou SMS enviada a partir do Calendrio contém automaticamente um link para deixar de receber mensagens; um cliente que cancelou a subscrição fica assinalado na ficha e deixa de receber as suas campanhas. Os planos estão apresentados na página Preços, com um período de teste gratuito de um mês, sem cartão bancário e sem fidelização.