Online rezervacije i zaštita podataka: što posao treba znati

Kad klijenti rezerviraju online, vaš posao prikuplja osobne podatke: ime, telefon, e-mail i termine. Ovaj vodič objašnjava tko je za njih odgovoran, što ubooq radi umjesto vas i što ostaje na vama.

Vodič je informativan i nije pravni savjet. Svoje obveze, posebno ako obrađujete podatke o zdravlju, provjerite s pravnikom ili kod nadzornog tijela. U Hrvatskoj je to Agencija za zaštitu osobnih podataka (azop.hr).

Tko je za što odgovoran

• Vaš posao je voditelj obrade. Vi odlučujete koje podatke tražite, za što ih koristite i koliko ih dugo čuvate. Klijenti se vama obraćaju kad žele vidjeti, ispraviti ili obrisati svoje podatke.
• ubooq je izvršitelj obrade. Podatke obrađujemo samo u vaše ime i samo za rezervacije, prema ugovoru o obradi podataka, koji je dio uvjeta korištenja. Ne prodajemo ih i ne koristimo za oglašavanje.

Ako se klijent s pitanjem o svojim podacima javi nama, zahtjev bez odgađanja prosljeđujemo vama.

Koje podatke traži stranica za rezervacije

Online rezervacija traži ime, telefon i e-mail, a klijent može dodati napomenu. Uz to se spremaju podaci o terminu: usluga, djelatnik, vrijeme i kasnije promjene. Ništa drugo ne tražimo.

• Lista čekanja traži ime i e-mail. Telefon nije obavezan.
• Stranica za rezervacije ne koristi kolačiće ni alate za praćenje, a IP adresa se ne sprema.
• Zapisi o radu sustava ne sadrže imena, telefone ni e-mail adrese.

Na što klijent pristaje

Prije rezervacije klijent označava kvačicu „Slažem se da se moji podaci koriste za ovu rezervaciju i obavijesti o terminu”. Uz kvačicu uvijek stoji poveznica na obavijest o privatnosti (vidi dolje).

Lista čekanja ima svoju, posebnu suglasnost: podaci se koriste samo za obavijesti s liste i brišu se najkasnije 30 dana nakon što upis prestane vrijediti.

Rezervacija nije pristanak na promotivne poruke. Za newsletter ili akcije treba posebna privola, pa ubooq skupne poruke ne šalje. Iz administracije klijenta možete nazvati ili mu napisati e-mail, jednom po jednom.

Obavijest o privatnosti

Klijenti moraju znati tko obrađuje njihove podatke i zašto. U Postavke → Podaci imate dvije mogućnosti:

1. Vlastita politika privatnosti. Upišite poveznicu na nju i obrazac za rezervaciju vodit će na nju. To je pravi izbor ako podatke klijenata koristite i za nešto osim rezervacija.
2. Zadana obavijest. Ako poveznicu ne upišete, uz obrazac se prikazuje obavijest koju sastavljamo iz vaših podataka: naziv, pravni subjekt, adresa, e-mail i telefon.

Zadana obavijest govori u ime vašeg posla i opisuje samo ono što stranica za rezervacije radi: koje podatke traži, zašto i na kojoj osnovi, tko ih još obrađuje, koliko se čuvaju i koja prava klijent ima. Listu čekanja i molbe za Google recenziju spominje samo dok su uključene. Otvara je poveznica Pogledaj zadanu obavijest u istim postavkama.

Ako koristite zadanu obavijest:

• upišite Pravni subjekt, npr. „Obrt Ana, vl. Ana Horvat, OIB …”, da klijenti znaju tko je voditelj obrade;
• provjerite da su naziv, adresa, e-mail i telefon točni, jer za njih odgovarate vi.

Više u članku Osobni podaci klijenata.

Tko u vašem timu vidi podatke

• Vlasnik vidi sve, uređuje kartice klijenata, piše internu napomenu i izvozi popis klijenata.
• Djelatnik vidi ime, kontakt i povijest termina, ali ništa ne mijenja. Internu napomenu ne vidi.

Kad djelatnik ode, na njegovoj stranici kliknite Onemogući pristup. Termini i povijest ostaju, a on se više ne može prijaviti.

Podaci o zdravlju

Fizioterapija, masaža i slični poslovi lako dođu do podataka o zdravlju, a za njih vrijede stroža pravila. ubooq nije namijenjen takvim podacima:

• u napomene ne upisujte dijagnoze, nalaze ni slične podatke, osim ako je to nužno i za to imate pravnu osnovu;
• procijenite otkriva li već sama usluga, npr. terapija, nešto o zdravlju klijenta i imate li za to odgovarajuću osnovu;
• medicinsku dokumentaciju vodite izvan sustava za rezervacije.

Kad klijent nešto zatraži

Zahtjev	Gdje ga rješavate
Uvid u svoje podatke ili njihova kopija	kartica klijenta; popis svih klijenata u Klijenti → Izvoz (CSV)
Ispravak	uređivanje kartice klijenta
Brisanje	Obriši osobne podatke na kartici klijenta
Odjava s liste čekanja	klijent sam, poveznicom iz e-maila, ili vi, gumbom Ukloni na stranici Lista čekanja
Odjava od molbi za recenziju	klijent sam, poveznicom u svakoj molbi

Na zahtjev treba odgovoriti bez nepotrebnog odgađanja, a najkasnije u roku od mjesec dana.

Brisanje trajno uklanja ime, kontakt i napomene, a povijest termina ostaje bez njih, pa analitika ostaje točna. Brišu se i klijentovi upisi na listi čekanja. Brisanje se ne može poništiti, a ako klijent ima nadolazeće termine, prvo ih otkažite.

Koliko dugo se podaci čuvaju

• Kartice klijenata i termini čuvaju se dok ih ne obrišete. Automatskog brisanja nema: vi, kao voditelj obrade, odlučujete koliko su vam podaci potrebni. Zadana obavijest to opisuje ovako: podaci se čuvaju dok su potrebni za termine i dok klijent ne zatraži brisanje, osim ako propis traži dulje čuvanje.
• Upisi na listi čekanja brišu se 30 dana nakon što prestanu vrijediti.
• Kodovi iz e-maila za potvrdu rezervacije brišu se dan nakon isteka.
• Sigurnosne kopije čuvaju se 14 dana, pa obrisani podaci iz njih nestaju najkasnije 14 dana nakon brisanja.

Kad prestanete koristiti ubooq

Do prestanka ugovora podatke klijenata izvezite u Klijenti → Izvoz (CSV). Vlasnici o datumu prestanka dobivaju e-mail odmah i još jednom 7 dana prije. Nakon prestanka ugovora podatke vašeg posla brišemo u roku od 30 dana, a iz sigurnosnih kopija nestaju u sljedećih 14 dana.

Sigurnost

• Sav promet ide preko HTTPS-a, a poslužitelji su u Europskoj uniji. Koje usluge još obrađuju podatke (npr. za slanje e-mailova) i gdje, piše u ugovoru o obradi podataka.
• Podaci svakog posla odvojeni su u bazi tako da im drugi posao ne može pristupiti.
• Prava vlasnika i djelatnika provjeravaju se na poslužitelju, pri svakoj radnji.
• Lozinke se spremaju samo kao argon2id hash, nikad u čitljivom obliku.
• O povredi osobnih podataka obavještavamo vas najkasnije 48 sati nakon što za nju saznamo.

Ukratko

• ubooq obrađuje podatke vaših klijenata samo u vaše ime, a ugovor o obradi podataka dio je uvjeta korištenja.
• Uz obrazac za rezervaciju uvijek stoji obavijest o privatnosti: vaša ili zadana. Za zadanu upišite pravni subjekt.
• Podatke o zdravlju ne upisujte u napomene.
• Zahtjeve klijenata rješavate na kartici klijenta, u roku od mjesec dana.
• Promotivne poruke šaljite samo uz posebnu privolu.