GDPR и приложенията за лоялност: кой всъщност носи отговорност, когато приложението просто я прехвърля на вас

Ако използвате или обмисляте програма за лоялност на клиентите, има голяма вероятност да сте подписали — без да забележите — нещо, което ви прави лично отговорни за спазването на GDPR. Не доставчика на софтуера. Вас.

Какво означава „администратор на данни“ и защо ви засяга

Общият регламент относно защитата на данните (GDPR) разграничава две роли: администратор на данни — който решава защо и как се обработват данните — и обработващ данни — който просто извършва обработката от името на администратора. В програмите за лоялност бизнесът, който събира данните на клиентите (телефон, имейл, история на покупките, дата на раждане), почти винаги е администраторът на данни. Това означава, че отговорността — и рискът от глоба при нарушение — пада юридически върху бизнеса, а не върху приложението, което използва.

Клаузата, скрита в условията за ползване

Прочетете внимателно условията за ползване на всяко приложение за лоялност, което използвате или обмисляте. Почти винаги ще намерите клауза от рода на: „Клиентът (бизнесът) носи изключителна отговорност за спазването на приложимото законодателство за защита на данните.“ Юридически това често е вярно — само по себе си не е непременно „лоша“ клауза. Проблемът не е клаузата, а това, което не идва с нея: ако платформата не ви дава механизъм за съгласие, автоматичен експорт на данни и начин да изтриете данните на клиент при поискване, вие носите отговорността без инструментите да я изпълните.

Какво реално може да се обърка

Представете си този много чест сценарий: клиент ви пише по имейл и иска всички негови лични данни да бъдат изтрити (право, изрично гарантирано от GDPR, член 17). Ако приложението, което използвате, няма механизъм за изтриване или процесът изисква да пишете на доставчика и да чакате, законовият срок (обикновено един месец) вече тече срещу вас. Ако клиентът не получи навременен отговор, той има право да подаде жалба до съответния орган за защита на данните — и жалбата ще бъде срещу вашия бизнес, а не срещу доставчика на софтуера.

Какво трябва да изисквате от платформа за лоялност

Ако отговорността на практика е ваша, най-малкото, което една платформа, за която плащате, трябва да ви даде, са инструментите да я изпълните, без да наемате адвокат или програмист:

• Изрично, записано съгласие — с история на версиите, а не просто отметка, за която никой не помни кога е поставена.
• Самостоятелен експорт на данни — за да може клиентът да поиска данните си без ръчен процес, който води до забавяне.
• Самостоятелно изтриване на профил/данни — за да отговаряте на искания за изтриване в разумен срок, без да чакате доставчика.
• 2FA (двуфакторно удостоверяване) за администраторските профили — защото компрометиран администраторски профил също е нарушение на сигурността на данните.
• Споразумение за обработване на данни (DPA) с доставчика — което ясно определя кой какво прави.

Как го прави 4Rewards / 4Loyalty

Проектирахме го от първия ден точно с тази мисъл: отговорността ви не бива да остава без инструменти. Всеки бизнес в 4Loyalty има вградена система за съгласие с пълна история на версиите, самостоятелен експорт и изтриване на данни — както за потребителя, така и за самия бизнес — и незадължително 2FA за администраторските профили. Няма какво да изграждате сами и не е нужно да чакате нас, за да отговорите на искане на клиент.

Ако не сте сигурни какво реално ви дава сегашното ви приложение за лоялност, първата стъпка е проста: отворете условията му за ползване и потърсете думата „GDPR“. Ако намерите само клаузата за отговорност и нищо друго, може би е време да преразгледате възможностите си.