Ja, ett litet företag får driva en kundklubb enligt GDPR, så länge du bara samlar in de uppgifter som behövs och har en rättslig grund för varje syfte. För själva kortet räcker oftast avtal, medan nyhetsmejl kräver samtycke enligt marknadsföringslagen § 19, om inte undantaget för befintliga kunder gäller.
Det låter krångligare än det är. Den här guiden går igenom vad du behöver fråga efter, vilken rättslig grund som passar till vad, vad du måste berätta för medlemmarna och hur du hanterar radering. Längst ner finns en checklista med tio punkter som du kan gå igenom på en fikapaus.
Vilka uppgifter behöver en kundklubb egentligen?
Grundregeln i GDPR är uppgiftsminimering: du får inte samla in mer än du behöver för det du ska göra. För ett stämpelkort eller klippkort är det förvånansvärt lite.
För att kortet ska fungera behöver du i regel:
- Förnamn, så att personalen kan hälsa och se att rätt kort skannas.
- E-postadress, så att kunden kan få tillbaka kortet vid byte av telefon och få besked när en belöning väntar.
- Stämpelhistorik, alltså när kortet fick en stämpel och när en belöning löstes in. Utan den finns inget kort.
Det du normalt inte behöver är personnummer, hemadress, telefonnummer, kön eller födelsedatum. Varje extra fält är något du måste kunna motivera, skydda och berätta om. Ett kortare formulär är dessutom snabbare att fylla i vid disken, så fler kunder går faktiskt med.
Vilken rättslig grund gäller för vad?
GDPR kräver att varje behandling av personuppgifter har en rättslig grund. IMY räknar upp sex stycken: samtycke, avtal, rättslig förpliktelse, grundläggande intresse, allmänt intresse eller myndighetsutövning, och intresseavvägning. För en kundklubb är det i praktiken tre som är aktuella.
IMY påpekar att samtycke ofta inte är den lämpligaste grunden och att du först bör fundera på de andra. Många småföretag gör tvärtom och ber om samtycke till allt. Problemet är att ett samtycke måste vara frivilligt och kan dras tillbaka när som helst. Om kunden drar tillbaka samtycket till själva kortet skulle kortet sluta fungera, och då var samtycket aldrig riktigt frivilligt. Därför passar avtal bättre för kärnan i kundklubben: kunden går med för att samla stämplar, och du behandlar de uppgifter som krävs för att leverera det.
| Syfte | Uppgifter | Rättslig grund |
|---|---|---|
| Driva stämpelkortet | Förnamn, e-post, stämplar | Avtal, art. 6.1 b |
| Meddela att en belöning väntar | E-post eller avisering på kortet | Avtal, art. 6.1 b |
| Nyhetsbrev och erbjudanden | E-post | Samtycke, art. 6.1 a, eller undantaget i MFL § 19 |
| Anonym statistik över besök | Stämpelhistorik utan namn | Ofta intresseavvägning, art. 6.1 f |
| Bokföring av försäljning | Kvitton, inte kundklubben | Rättslig förpliktelse, art. 6.1 c |
Tabellen är en utgångspunkt, inte ett facit. Det viktiga är att du har tänkt igenom varje syfte och kan förklara varför den grunden passar.
Vad gäller för marknadsföring via e-post och push?
Här möts två regelverk. GDPR styr hur du behandlar uppgifterna, och marknadsföringslagen styr när du får skicka reklam via elektronisk post till privatpersoner.
Enligt marknadsföringslagen § 19 får du bara skicka marknadsföring via e-post till en fysisk person som har samtyckt i förväg. Det finns ett undantag för befintliga kunder. Det gäller bara om alla dessa villkor är uppfyllda:
- Du fick e-postadressen i samband med att du sålde en produkt eller tjänst till kunden.
- Du marknadsför dina egna, liknande produkter eller tjänster.
- Kunden har inte motsatt sig att adressen används på det sättet.
- Kunden fick tydligt möjlighet att enkelt och kostnadsfritt säga nej när adressen samlades in, och får samma möjlighet i varje meddelande.
Undantaget kan låta bekvämt, men för en kundklubb där folk går med via en QR-kod utan att köpa något just då är det inte alltid uppfyllt. Den enkla vägen är en frivillig ruta i formuläret som inte är förkryssad. Då har du ett samtycke som är lätt att visa.
Oavsett grund kräver § 20 att varje marknadsföringsmejl innehåller en giltig adress dit mottagaren kan vända sig för att få utskicken att upphöra. I praktiken betyder det en avregistreringslänk som fungerar.
Aviseringar på låsskärmen via Apple Wallet eller Google Wallet är inte uttryckligen nämnda i lagtexten, och det är inte självklart hur de ska bedömas. Det säkraste är att behandla kampanjer och nyheter där på samma sätt som e-post: bara till dem som har kryssat i rutan.
Vad måste du berätta för medlemmarna?
Enligt artikel 13 i GDPR ska du informera kunden när uppgifterna samlas in, alltså direkt i eller bredvid formuläret. Informationen ska vara kortfattad och begriplig. Den ska bland annat ta upp:
- vem som är ansvarig, med namn och kontaktuppgifter till företaget,
- vilka syften uppgifterna används för och den rättsliga grunden för varje syfte,
- vilka mottagare som får tillgång, till exempel leverantören av det digitala kortet,
- hur länge uppgifterna sparas, eller hur du bestämmer det,
- att kunden har rätt att få tillgång till, rätta och radera sina uppgifter, invända mot direktmarknadsföring och när som helst dra tillbaka ett samtycke,
- att kunden kan klaga hos IMY.
Det fungerar bra med en mening vid formuläret och en länk till en fullständig integritetspolicy. Skriv på vanlig svenska, utan juridiska omvägar.
Vem är personuppgiftsansvarig och vem är biträde?
Du som driver salongen, kaféet eller butiken är personuppgiftsansvarig. Det är du som bestämmer varför uppgifterna samlas in och vad de används till. Leverantören av det digitala kortet är personuppgiftsbiträde: den behandlar uppgifterna för din räkning och enligt dina instruktioner.
Artikel 28 kräver att det finns ett skriftligt avtal mellan er, ett personuppgiftsbiträdesavtal. Där ska det bland annat stå att biträdet bara behandlar uppgifterna enligt dina instruktioner, skyddar dem, hjälper dig när kunder utövar sina rättigheter och raderar eller lämnar tillbaka uppgifterna när samarbetet upphör. Fråga alltid efter avtalet innan du börjar, och kontrollera var uppgifterna lagras. Lagring inom EU gör det enklare.
Hur hanterar du radering och invändningar?
Artikel 17 ger kunden rätt att få sina uppgifter raderade, bland annat när de inte längre behövs, när ett samtycke dras tillbaka eller när kunden invänder. För en kundklubb betyder det att du ska kunna ta bort en medlem helt, snabbt och utan krångel. Ett mejl från kunden om att lämna klubben ska räcka.
Artikel 21 ger kunden rätt att invända mot direktmarknadsföring, och den rätten är ovillkorlig. Säger någon nej till reklam får du inte väga det mot ditt intresse av att skicka. Uppgifterna får då inte längre användas för det syftet. Kortet kan däremot fortsätta fungera, eftersom det vilar på avtalet.
Bestäm också en gallringsregel. GDPR säger att uppgifter inte får sparas längre än nödvändigt, men anger ingen fast tid. En rimlig regel kan vara att kort som inte använts på två år tas bort. Skriv in regeln i integritetspolicyn och lägg en påminnelse i kalendern.
Checklista: GDPR för din kundklubb
- Formuläret frågar bara efter det kortet behöver, oftast förnamn och e-post.
- Du har skrivit ner syftet och den rättsliga grunden för varje uppgift.
- Själva kortet bygger på avtal, inte på samtycke.
- Nyheter och erbjudanden kräver en frivillig, ej förkryssad ruta.
- Varje marknadsföringsmejl har en fungerande avregistreringslänk.
- Informationen enligt artikel 13 syns vid formuläret, med länk till integritetspolicyn.
- Du har ett skriftligt biträdesavtal med leverantören av kortet.
- Du vet var uppgifterna lagras och vem i personalen som ser vad.
- Du kan radera en medlem helt på några minuter.
- Du har en gallringsregel och följer den.
Hur hanterar Fidelia det här?
Om du använder Fidelia är mycket av listan redan på plats, men ansvaret för kundklubben är fortfarande ditt. Så här ser det ut:
- Kort formulär. Kunden skannar QR-koden och anger förnamn och e-post, de uppgifter som behövs för att kortet ska fungera. Sedan läggs kortet i Apple Wallet eller Google Wallet.
- En frivillig ruta. Formuläret har en enda ruta för nyheter från din butik. Kampanjmejl och meddelanden på låsskärmen når bara dem som kryssat i den, medan besked om en väntande belöning når alla.
- Avregistrering. Varje mejl har en avregistreringslänk med ett klick, och kortet fortsätter fungera efteråt. Det finns ingen spårningspixel för öppningar.
- Radera kund. När du raderar en kund försvinner namn och e-post direkt och kortet i plånboken blir ogiltigt. Den anonyma stämpelhistoriken finns kvar för statistiken.
- Begränsad åtkomst. Personalen ser bara förnamn. Ägare och chefer ser e-post och historik.
- EU-lagring och biträdesavtal. Uppgifterna lagras inom EU, i Frankfurt. Fidelia är personuppgiftsbiträde och biträdesavtalet ingår i villkoren. Du hittar det på sidan om biträdesavtalet. Fidelia säljer aldrig uppgifter och använder inte kortinnehavarnas uppgifter för egen marknadsföring.
Vill du läsa mer om hur ett digitalt kort fungerar i praktiken, se den kompletta guiden till digitala stämpelkort eller hur du startar en kundklubb utan app. Priserna finns på prissidan.
Sammanfattning
En kundklubb och GDPR går utmärkt ihop. Fråga efter lite, låt kortet vila på avtalet, be om ett tydligt ja till nyheter, berätta vad du gör och radera när någon ber om det. Då har du gjort det mesta rätt, och dina kunder kan lita på att deras uppgifter hanteras med respekt.