GDPR och lojalitetsprogram: det här måste ditt företag följa

Först och främst

Den här artikeln är en allmän guide för små företag, inte juridisk rådgivning. Har du frågor om ditt särskilda fall, rådfråga din redovisningsbyrå eller en expert på dataskydd. Ansvarig myndighet i Sverige är Integritetsskyddsmyndigheten (IMY), som har kostnadsfria vägledningar på sin webbplats.

Be bara om det du behöver

Det är principen om uppgiftsminimering: samla bara in de uppgifter som är nödvändiga för det du ska göra. För ett stämplingskort räcker det oftast med namn och en e-postadress eller ett telefonnummer för att identifiera kunden och återställa kortet. Födelsedagen bara om du ska gratulera, och då som frivillig uppgift. Att be om personnummer, adress eller fullständigt födelsedatum för ett gratis kaffe är att gå för långt.

Två olika tillstånd

Här finns det vanligaste misstaget. Det är två olika saker och de bör hållas isär:

• Att använda kundens uppgifter för kortet: stämplar, belöningar, aviseringar om det egna programmet. Kunden ska informeras med en tydlig integritetspolicy innan hen går med.
• Att skicka erbjudanden och reklam: det kräver ett separat samtycke, en ruta som kunden kryssar i själv och som inte är förvald. Kryssar kunden inte i den kan hen ändå ha sitt kort, men skicka inga kampanjer.

Att kunden kan ha kortet utan att tacka ja till reklam är viktigt: att villkora det ena med det andra ses inte med blida ögon.

Informera tydligt

När kunden går med ska hen få veta vem som är personuppgiftsansvarig (ditt företag), vad uppgifterna används till, hur länge de sparas och hur hen kan utöva sina rättigheter. En kort text i formuläret med en länk till hela policyn är det vanliga.

Kundens rättigheter

Dina kunder kan när som helst be dig att få se sina uppgifter, rätta dem, radera dem eller invända mot att du använder dem för reklam. Du måste svara inom en månad. I praktiken är det enkelt med ett digitalt kort: du söker upp kunden och rättar eller tar bort profilen.

Hur länge du får spara dem

Så länge kunden använder kortet är det rimligt att spara uppgifterna. Om någon inte har synts på länge är det rimligt att bestämma en tidsgräns och radera eller anonymisera uppgifterna. Bestäm en tidsgräns och skriv in den i din integritetspolicy.

Om du använder en extern plattform

När ett företag sparar dina kunders uppgifter åt dig är det ett personuppgiftsbiträde, och ni ska ha ett avtal som reglerar det (ett personuppgiftsbiträdesavtal). Titta också på var uppgifterna lagras och vilka säkerhetsåtgärder som finns.

I Fidelizando sparas dina kunders namn, e-post och telefonnummer krypterade i databasen, anmälan kräver att kunden godkänner integritetspolicyn och, separat, tillstånd att få erbjudanden. Du kan exportera dina kunder när du vill. Det förklaras i vår integritetspolicy.

Snabb checklista

• Be bara om namn och en kontaktuppgift; resten frivilligt.
• Separat ruta för erbjudanden, inte förvald.
• Integritetspolicyn synlig före anmälan.
• Svara på kundernas förfrågningar inom en månad.
• Bestäm en tidsgräns för att radera dem som inte kommer tillbaka.
• Avtal med plattformen som lagrar uppgifterna.

Vanliga frågor