Müşteri dosyası ve GDPR: serbest çalışanlar için basit rehber
Bir müşterinin adını ve telefonunu not ettiğiniz anda GDPR'a tabi bir dosya tutuyorsunuz. Panik yok: küçük bir işletme için işin özü altı adımdan ibaret. CNIL belgelerinden esinlenen bir yöntem, bilinmesi gereken saklama süreleri, kampanya göndermenin kuralları ve kopyalamaya hazır şablonlar.
Ad, telefon, e-posta, son randevu tarihi, birkaç not: bu bilgileri sakladığınız anda bir müşteri dosyası tutuyorsunuz demektir. Ve GDPR kapsamında müşteri dosyası yalnızca büyük şirketleri ilgilendirmez: Avrupa veri koruma tüzüğü, müşterilerinin tercihlerini not eden kuaföre, okul dönüşü kampanyası gönderen koça ya da tekliflerini saklayan zanaatkâra da uygulanır. İyi haber: küçük bir işletme için işin özü birkaç basit adımdan ibarettir.
Bu rehber, Fransız veri koruma kurumu CNIL'in yayımladığı belgelere dayanıyor. Size altı adımlık bir yöntem, bilmeniz gereken saklama sürelerini, e-posta veya SMS ile kampanya göndermenin kurallarını ve kopyalanacak şablonları sunuyor. Hukuki danışmanlığın yerini tutmaz: özel bir durum için CNIL'e veya bir hukuk uzmanına danışın.
Müşteri dosyanız GDPR kapsamında mı?
Evet, kimliği belirlenebilir kişilere ilişkin bilgiler içerdiği anda: bir ad, bir telefon numarası, bir e-posta adresi, bir randevu geçmişi. Ortamın önemi yoktur. Kâğıt bir defter, bir elektronik tablo, telefonunuzdaki kişiler ya da bir rezervasyon yazılımı aynı şekilde kapsam içindedir.
GDPR bu bilgileri saklamanızı yasaklamaz. Bunları neden sakladığınızı bilmenizi, yalnızca gerekli olanı saklamanızı, müşterilerinizi bilgilendirmenizi, haklarına saygı göstermenizi ve dosyayı korumanızı ister. CNIL, Bpifrance ile birlikte 2018'de yayımladığı küçük ve orta ölçekli işletmelere yönelik pratik rehberinde yaklaşımı dört adımda özetliyor: dosyalarını listelemek, verilerini ayıklamak, kişilerin haklarına saygı göstermek ve verilerini güvence altına almak.
1. adım: dosyalarınızın ve amaçlarının listesini çıkarın
CNIL'in küçük işletmeler için önerdiği kontrol listesi buradan başlar: işletmenin tüm dosyalarını belirlemek, sonra her birinin amacını not etmek. Bir serbest çalışan için liste çoğu zaman kısadır:
- Müşteriler: randevu alma, hizmetlerin takibi, faturalandırma.
- Potansiyel müşteriler: satın almadan teklif ya da bilgi isteyen kişiler.
- Sadakat: kampanya, haber ve hatırlatma gönderimi.
- Muhasebe: faturalar ve muhasebe belgeleri.
Bu küçük envanter, “işleme faaliyetleri kaydı”nın temelidir. CNIL rehberi, her faaliyet için amacı, veri kategorilerini, kimlerin erişebildiğini ve verilerin ne kadar süre saklandığını buraya not etmeyi öneriyor. Küçük bir işletme için tek sayfalık bir tablo çoğu zaman yeterlidir ve CNIL bir şablon sunuyor.
2. adım: yalnızca gerçekten gerekli bilgileri saklayın
CNIL kontrol listesinin en açık ifade ettiği nokta budur: her dosya için kaydedilen bilgilerin listesini çıkarın ve hepsinin amacınız için vazgeçilmez olduğunu kontrol edin. Değilse silin ve artık istemeyin.
Uygulamada randevu almak için ad, bir iletişim yolu ve hizmet çoğu zaman yeterlidir. Doğum tarihi, posta adresi veya meslek ancak bunları istemek için gerçek bir nedeniniz varsa (örneğin evde bir hizmet) faydalıdır.
“Serbest” notlara dikkat
Bir müşteri kaydındaki yorumlar pratiktir, ama diğerleri gibi veridir. CNIL'in ticari faaliyetlerin yönetimine ilişkin referans belgesi, bazı bilgilerin hassas sayıldığını hatırlatıyor: köken, siyasi, dinî veya felsefi görüşler, sendika üyeliği, cinsel yaşam veya yönelim, sağlık. Bunlar kişinin rızası olmadan toplanmamalıdır. Hizmet için faydalı, müşteriye göstermeyi kabul edeceğiniz olgusal notlar yazın.
Bir sağlık profesyoneli veya sağlıklı yaşam uzmanıysanız, sağlık verileri konusu özel bir dikkat gerektirir: işinize özgü kuralları CNIL'den ve meslek odanızdan ya da meslek kuruluşunuzdan öğrenin.
3. adım: veri topladığınız anda müşterilerinizi bilgilendirin
Müşterileriniz verileriyle ne yaptığınızı bilmelidir. CNIL'in küçük ve orta ölçekli işletmelere yönelik rehberine göre bilgilendirme özellikle şunları belirtmelidir: toplamanın amacı, hukuki dayanak (sözleşme, rıza, yasal yükümlülük veya meşru menfaat), verilere kimlerin erişebildiği, ne kadar süre saklandıkları, hakların nasıl kullanılacağı ve verilerin Avrupa Birliği dışına çıkıp çıkmadığı.
Uyarlanacak bilgilendirme metni şablonu (form, rezervasyon sayfası, karşılama formu)
“Toplanan bilgiler, randevularınızı, hizmetlerinizi ve faturalarınızı yönetmek için [İşletmenizin adı] tarafından kullanılır. Bunlara yalnızca [siz / ekibiniz] ve teknik hizmet sağlayıcılarımız erişebilir. İlişkimiz süresince, ardından yasal bir yükümlülük yoksa son randevunuzdan [süre] sonrasına kadar saklanır. [e-posta adresi] adresine yazarak bunlara erişebilir, düzeltilmelerini veya silinmelerini isteyebilir ya da kullanılmalarına itiraz edebilirsiniz. CNIL'e şikâyette de bulunabilirsiniz.”
Köşeli parantezleri durumunuza göre uyarlayın ve emin olmadığınızda son metni CNIL kaynaklarıyla kontrol edin.
4. adım: kampanya göndermeden önce onay isteyin
Serbest çalışanların en çok takıldığı kural budur. CNIL'e göre bir bireye e-posta, SMS veya faksla reklam göndermek ilke olarak önceden rızasını gerektirir ve bu rıza özgür, belirli, bilgilendirilmiş ve açık olmalıdır. Genel koşullarınızı kabul etmek, kampanya almaya onay anlamına gelmez. CNIL, varsayılan olarak işaretlenmemiş bir onay kutusu öneriyor.
Mahalle işletmeleri için faydalı bir istisna var: kişi zaten müşterinizse ve ona daha önce satın aldıklarına benzer ürün veya hizmetler sunuyorsanız, rıza gerekmez. Ama iki koşul zorunlu kalır: iletişim bilgilerini topladığınız anda, ardından her zaman, özellikle her mesajda, basitçe ve ücretsiz olarak reddedebilmelidir.
| Durum | Kural ne diyor? |
|---|---|
| Bir kuaför salonunun müşterisi, saç bakımı kampanyası | Benzer hizmet: önceden onay olmadan mümkün, toplama sırasında ve her mesajda reddetme imkânıyla |
| Hiç gelmemiş, yalnızca fiyat sormuş bir kişi | Henüz müşteri değil: ona kampanya göndermek için önceden onay gerekli |
| Bir zanaatkârın müşterisi, bir ortağın işine yönelik reklam | Sizden satın aldığına benzer değil: önceden onay gerekli |
| STOP yanıtı vermiş veya “artık almak istemiyorum”a tıklamış müşteri | Reddettiği hiçbir kanalda artık hiçbir kampanya yok |
Bu kurallar tanıtım faaliyetlerini, yani reklam ve promosyonları hedefler. Randevu hatırlatması ise müşterinin talep ettiği hizmete yöneliktir. Müşterilerinizi kurallara uygun ve onları bıktırmadan takip etmek için bir müşteriyi takip etmek rehberimiz uygun mesajlar ve sıklıklar öneriyor.
5. adım: bir saklama süresi belirleyin ve ona uyun
CNIL kontrol listesi bunu açıkça söylüyor: her bilgi türünü ne kadar süre saklamanız gerektiğini belirleyin ve bu süreden fazla saklamayın. Tanıtım faaliyetleri için CNIL'in ticari faaliyetlerin yönetimine ilişkin referans belgesi kesin ölçüler veriyor.
- Müşteriler: veriler ticari ilişki süresince, ardından ilişkinin bitiminden itibaren 3 yıl boyunca (örneğin son satın alımdan itibaren) tanıtım için kullanılabilir.
- Müşteri olmayan potansiyel müşteriler: toplamadan veya kişiden gelen son temastan itibaren 3 yıl. Bir e-postayı yalnızca açmak temas sayılmaz; bir bağlantıya tıklamak sayılır.
- 3 yılın sonunda: kişiye mesajlarınızı almaya devam etmek isteyip istemediğini sorabilirsiniz. Açık ve olumlu bir yanıt yoksa veriler silinir veya arşivlenir.
Faturalar ve muhasebe belgeleri kendi saklama yükümlülüklerine tabidir: bunları muhasebecinizle kontrol edin. En basiti, etkin olmayan kişileri ayıklamak için yılda bir temizlik zamanı belirlemektir, örneğin her ocak ayı.
6. adım: dosyaya erişimi koruyun
Kaybolan ya da üçüncü bir kişi tarafından görüntülenen bir müşteri dosyası, hem müşterileriniz hem de sizin için gerçek bir sorundur. CNIL'in referans belgesi pek çok güvenlik önlemi sıralıyor; işte bir serbest çalışan için en önemlileri:
- her araca özgü, güçlü ve asla bir yapışkan nota yazılarak paylaşılmayan bir parola;
- telefon ve bilgisayar ekranının otomatik kilitlenmesi;
- yalnızca ihtiyacı olan kişilere ayrılan ve bir çalışan ayrılır ayrılmaz geri alınan erişim;
- ana cihazdan başka bir yerde saklanan düzenli yedekler;
- korumasız ek olarak gönderilen müşteri dosyası olmaması.
Kişiler için risk oluşturabilecek bir veri sızıntısı durumunda CNIL rehberi, bunun 72 saat içinde CNIL'e bildirilmesi ve risk yüksekse ilgili kişilere haber verilmesi gerektiğini belirtiyor.
Bir müşteri verilerini görmek veya silmek istediğinde ne yapmalı?
Müşterilerinizin hakları vardır: erişim, düzeltme, itiraz, silme, taşınabilirlik ve kısıtlama. CNIL rehberi bunlara kısa sürede, en fazla bir ay içinde yanıt verilmesini istiyor. Bu talepler için bir e-posta adresi ve bir kişiye ait tüm bilgileri kolayca bulmanın bir yolunu öngörün.
Silme talebine yanıt şablonu
“Merhaba [Ad], [tarih] tarihli talebinizi aldık. İletişim bilgileriniz ve geçmişiniz müşteri dosyamızdan silindi ve artık bizden mesaj almayacaksınız. Yasa saklamamızı zorunlu kıldığı için yalnızca faturalar saklanmaktadır. Saygılarımızla, [İmza]”
Mesleğe göre örnekler
Güzellik uzmanı: bakım için faydalı bilgileri (örneğin müşterinin bildirdiği bir alerji) yalnızca onun onayıyla saklayın ve sadakat kampanyalarınızı mevcut müşterilerinize abonelikten çıkma bağlantısıyla sunun. Spor koçu: deneme seansına gelen kişileri (müşteriler) yalnızca fiyat soranlardan (potansiyel müşteriler) ayırın. Avukat: meslek sırrı GDPR'a eklenir; dosyalara ve takvime erişimi sınırlayın. Zanaatkâr: imzalanmamış bir teklif bir müşteri değil, potansiyel müşteri oluşturur: son yazışmadan itibaren üç yıl sayın. Düzenli bir dosyayı sadık müşterilere dönüştürmek için müşteri sadakati sağlamak rehberimiz somut yöntemler sunuyor.
- Kâğıt ya da dijital, her müşteri dosyası GDPR kapsamındadır.
- Dosyalarınızı ve amaçlarını listeleyin, yalnızca gerekli bilgileri saklayın.
- Müşterilerinizi veri toplama anından itibaren açık bir metinle bilgilendirin.
- Kampanya göndermek ilke olarak önceden onay gerektirir; mevcut bir müşteriye sunulan benzer hizmetler hariçtir ve bu müşteri her zaman reddedebilmelidir.
- Tanıtım için CNIL ölçüsü: müşteri ilişkisinin bitiminden veya potansiyel müşterinin son temasından sonra 3 yıl.
- Müşterilerin taleplerine en fazla bir ay içinde yanıt verin ve dosyaya erişimi koruyun.
Calendrio düzenli bir müşteri dosyası tutmanıza nasıl yardımcı olur?
Calendrio'da her müşterinin randevu geçmişini ve özel notlarınızı içeren bir kaydı vardır: her şey tek yerdedir, bu da bir erişim veya düzeltme talebini kolaylaştırır. Müşterilerinizi kategorilere ayırabilir ve bir kişiyi kampanyaların dışında tutmak için “kişisel” olarak işaretleyebilirsiniz.
Calendrio'dan gönderilen her e-posta veya SMS kampanyası, mesaj almayı bırakmak için otomatik olarak bir bağlantı içerir; abonelikten çıkan bir müşteri kaydında belirtilir ve artık kampanyalarınızı almaz. Paketler Fiyatlar sayfasında, kredi kartı olmadan ve taahhütsüz bir aylık ücretsiz denemeyle sunuluyor.
Sık sorulan sorular
Bir serbest çalışan müşteri dosyası için GDPR'a uymak zorunda mı?
Bir müşterinin verileri ne kadar süre saklanabilir?
Müşterilere SMS veya e-postayla promosyon gönderilebilir mi?
Bir müşteri verilerinin silinmesini isterse ne yapmalı?
Tek başına çalışırken işleme faaliyetleri kaydı gerekir mi?
Peki ya takviminiz kendi kendine dolsaydı?
Calendrio ile müşterileriniz 7/24 online randevu alır ve otomatik hatırlatmalar alır. 1 ay ücretsiz deneme, banka kartı gerekmez.
Calendrio'yu ücretsiz deneyin- CNIL — Prospection commerciale par courrier électronique, fax ou SMS : le consentement
- CNIL — Référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales
- CNIL et Bpifrance — Guide pratique de sensibilisation au RGPD pour les petites et moyennes entreprises (avril 2018)
- CNIL — Check-list RGPD pour les TPE-PME
