Czyje są dane klientów w programie lojalnościowym? Jak je eksportować

Lista klientów w twoim programie lojalnościowym należy do ciebie. Według RODO firma, która wydaje kartę, jest administratorem danych (tym, kto decyduje, po co dane są zbierane), a narzędzie lojalnościowe jest tylko podmiotem przetwarzającym (oprogramowaniem, które przechowuje je i obsługuje dla ciebie, na twoje polecenie). Ten podział rozstrzyga, kto może eksportować, usuwać albo ponownie wykorzystywać dane twoich klientów. Haczyk tkwi w umowie: regulamin narzędzia i tak może wciągnąć twoich klientów do jego własnej aplikacji, wymieszać ich z klientami innych sklepów albo zatrzymać listę, gdy odejdziesz. Dlatego zanim podpiszesz, sprawdź trzy rzeczy opisane niżej.

Większość tekstów na ten temat pisze się dla działów danych w dużych markach: modele własności danych, komitety ds. zarządzania, audyty AI. Ten jest dla właściciela kilku lokali, który ma właśnie podpisać roczny plan, a jego wspólnik zapytał: „a czyja jest lista klientów, nasza czy ich?”. Twoje statystyki klientów mają sens tylko wtedy, gdy lista, która za nimi stoi, zostaje twoja, więc od tego zaczynamy. To nie jest porada prawna; podajemy numery artykułów, żeby łatwo było samemu sprawdzić, co dokładnie mówią przepisy.

#Do kogo należą dane klientów w programie lojalnościowym?

Do ciebie, i to w tym znaczeniu, które naprawdę się liczy. RODO nie używa słowa „własność”. Pyta, kto decyduje, po co i jak dane osobowe są wykorzystywane. To administrator danych, a gdy wydajesz kartę lojalnościową, jesteś nim ty. Firma, która dostarcza oprogramowanie, jest podmiotem przetwarzającym: może przetwarzać dane wyłącznie na twoje udokumentowane polecenie (art. 28). Ten sam artykuł mówi, że podmiot przetwarzający musi mieć z tobą umowę, która określa, co robi z danymi, i że po zakończeniu usługi usuwa je albo zwraca, zależnie od twojego wyboru.

Pytanie do narzędzia lojalnościowego nie brzmi więc „czyje są dane”. Brzmi: „gdzie jest wasza umowa powierzenia przetwarzania danych i co w niej stoi?”. Taka umowa (po angielsku DPA, data processing agreement) to właśnie kontrakt, którego wymaga art. 28. Poproś o nią przed podpisaniem, nie po, i poszukaj w niej trzech zdań opisanych niżej.

Dla porównania: oto, co mówi umowa powierzenia Passtastic (ostatnia aktualizacja: 1 października 2026): „Przetwarzamy dane twoich klientów wyłącznie na twoje polecenie”. „Nie wykorzystujemy danych twoich klientów do własnych celów”. „Nie sprzedajemy ich i nie udostępniamy innym sprzedawcom”. Obowiązuje automatycznie dla każdego konta, a polityka prywatności pod adresem passtastic.io/privacy-policy wymienia, co jest zbierane i kto to przetwarza. Tych samych trzech zdań na piśmie możesz wymagać od każdego dostawcy: wyślij wspólnikowi te dwie strony (umowę powierzenia i politykę prywatności), a pozostałych dostawców poproś o ich odpowiedniki.

Jedno zastrzeżenie, zanim pójdziesz dalej. Umowa z podmiotem przetwarzającym nigdy nie zdejmuje z ciebie odpowiedzialności prawnej. Art. 5 mówi, że administrator „jest odpowiedzialny za przestrzeganie przepisów i musi być w stanie wykazać ich przestrzeganie”. Narzędzie dba o bezpieczeństwo danych, ale decyzja o ich zbieraniu była twoja i to do ciebie napisze klient.

#Co narzędzie lojalnościowe może zrobić z twoją listą? Trzy rzeczy do sprawdzenia

Własność na papierze rozstrzyga umowa. Własność w praktyce rozstrzygają trzy rzeczy, które łatwo przeoczyć w regulaminie.

1. 1Aplikacja lub katalog dla konsumentów. Jeśli narzędzie ma własną aplikację albo stronę dla kupujących, sprawdź, czy twoi klienci widzą w niej inne firmy i czy możesz to wyłączyć. Nie chcesz, żeby twój stały klient zapisał się do twojej karty i na następnym ekranie zobaczył kawiarnię z drugiej strony ulicy. Passtastic nie ma własnej aplikacji, którą klienci musieliby otwierać: karta leży w Apple Wallet lub Google Wallet i żadna aplikacja nie jest potrzebna, ani tobie, ani klientowi.
2. 2Dane łączone lub współdzielone. Programy koalicyjne, w których kilka marek dzieli jedną kartę, to najsłabsza forma własności, bo członkowie należą do sieci, nie do ciebie. Nawet poza koalicjami sprawdź, czy dostawca może „agregować” dane twoich klientów, analizować je między firmami albo trenować na nich modele AI. Te słowa oznaczają, że twoja lista zasila coś, co nie jest twoją kartą.
3. 3Co się dzieje, gdy odchodzisz. Czy możesz wyeksportować wszystko, w każdej chwili, bez pytania? A gdy rezygnujesz: dane są usuwane, zostają u dostawcy, czy zostają i są dalej używane? Passtastic na przykład nie usuwa danych twoich klientów automatycznie po zakończeniu subskrypcji; możesz je wyeksportować, dopóki konto jest aktywne, a jeśli chcesz, żeby zostały usunięte, piszesz e-mail i są usuwane bez zbędnej zwłoki. Umowa powierzenia Passtastic nie podaje tu stałej liczby dni, więc jeśli termin jest dla ciebie ważny, poproś o niego na piśmie. Jakakolwiek będzie odpowiedź, miej ją na piśmie, zanim na karcie znajdzie się 2000 osób.

Trzy pytania do dostawcy, do skopiowania jak leci:

“

1. Czy mogę samodzielnie wyeksportować wszystkie dane moich klientów, w dowolnym momencie, bez kontaktu z wami?

2. Czy używacie, udostępniacie albo pokazujecie dane moich klientów do czegokolwiek poza prowadzeniem mojej karty? Proszę wskazać mi odpowiedni zapis.

3. Co się dzieje z danymi, gdy rezygnuję, jak mogę je usunąć i w ciągu ilu dni?

“

Jeśli dostawca odpowiada na każde z nich w dwóch linijkach, da się z nim pracować.

Jeśli wahasz się między kartą a budową własnej aplikacji lojalnościowej, pamiętaj, że aplikacja niczego tu nie zmienia. Twój programista albo platforma do aplikacji też jest podmiotem przetwarzającym, z tą samą umową do podpisania.

#Co właściwie zbiera karta lojalnościowa w portfelu?

Mniej, niż ludzie się boją, i tylko to, o co poprosisz. Gdy zakładasz kartę lojalnościową w portfelu, wybierasz, o jakie dane pyta formularz zapisu: imię, nazwisko, e-mail, telefon, data urodzin i adres, plus własne pytania w planie Multi-Location i wyżej. Każde włączone pole jest obowiązkowe; jeśli wyłączysz zbieranie danych, formularza nie ma wcale i klient od razu dodaje kartę. Podczas zapisu klienci akceptują twoją politykę prywatności.

Od tej chwili karta rejestruje już tylko aktywność w programie: wizyty, pieczątki lub punkty, postęp do nagrody, którą kartę ktoś ma i czy jest w jego portfelu. Do każdej zainstalowanej karty Apple lub Google wydaje też token push portfela (techniczny identyfikator, dzięki któremu karta aktualizuje się na tym telefonie); polityka prywatności Passtastic mówi, że służy on wyłącznie do dostarczania aktualizacji karty.

Ile tych danych będziesz mieć? Wśród 265 firm korzystających z Passtastic, które mają co najmniej 10 członków (dane z ostatnich 12 miesięcy), typowa firma zapisała w pierwszym miesiącu 30 klientów (mediana). Po czterech tygodniach będziesz więc zwykle mieć trzydzieści rekordów klientów. To niewiele, ale od pierwszego dnia to dane osobowe.

Zasada minimalizacji danych prostymi słowami: pytaj tylko o to, z czego skorzystasz. Jeśli nigdy nie wyślesz urodzinowego poczęstunku, nie pytaj o datę urodzin. Sieć kawiarni nie potrzebuje adresu pocztowego. Im więcej pole mówi o człowieku (data urodzin, adres domowy), tym lepszy musisz mieć powód, żeby o nie pytać.

Po co ci ta lista, gdy już jest twoja: żeby wiedzieć, kto jest nowy, kto jest stałym klientem, a kto przestał przychodzić. Strona Customers (Klienci) w Passtastic tworzy te grupy za ciebie w każdym planie, w tym grupę nowych członków i tych, którzy nie wrócili od 30 dni; z tej samej strony napiszesz do grupy, dodasz pieczątkę albo punkty lub zostawisz notatkę. Liczby, które warto śledzić, są proste: ilu ludzi wróciło, ilu jest nadal aktywnych i ile kart jest gotowych do odbioru nagrody. Jeśli ta ostatnia liczba trzyma się blisko zera, zwykle znaczy to, że kartę za trudno zapełnić, a nie że klienci są leniwi.

Przykładowe zdanie do polityki prywatności albo na tabliczkę przy ladzie, napisane dla kawiarni Bean & Bridge (to przykład, nie formuła prawna): „Używamy Twojego imienia i numeru telefonu, żeby prowadzić Twoją kartę Bean & Bridge i informować Cię o nagrodach i ofertach u nas. Nie przekazujemy ich nikomu innemu. W każdej chwili możesz poprosić nas o wgląd, zmianę albo usunięcie tych danych”.

#Podstawy RODO dla małego lokalu w pięciu linijkach

Przepisy są długie, ale przy karcie lojalnościowej pięć linijek załatwia większość tego, co musisz zrobić; przy każdej jest artykuł, z którego to wynika:

Czy to dotyczy kawiarni z jednym lokalem? Tak. Art. 3 wiąże zakres przepisów z miejscem, w którym firma ma siedzibę, i nie ma w nim żadnego progu wielkości ani obrotu. W Wielkiej Brytanii te same zasady obowiązują dalej jako UK GDPR, a tamtejszy urząd ICO publikuje poradniki pisane dla małych organizacji i jednoosobowych firm. W USA kalifornijska ustawa CCPA dotyczy firm o przychodach powyżej 25 milionów dolarów albo takich, które kupują, sprzedają lub udostępniają dane osobowe co najmniej 100 000 mieszkańców lub gospodarstw domowych Kalifornii (to tylko część progów), więc większość niezależnych sklepów jest poza nią; sprawdź zasady swojego stanu. Gdziekolwiek jesteś, prośbę „usuń moje dane” po prostu spełniaj: nic cię to nie kosztuje, a zachowasz sympatię klienta.

Kary istnieją (w wyższym przedziale do 20 milionów euro albo 4% światowego obrotu), ale dla małego lokalu prawdziwym ryzykiem nie jest kara, tylko stały klient, który czuje się oszukany i mówi o tym innym.

#Jak wyeksportować listę klientów

W Passtastic eksport to dwa kliknięcia i jest dostępny w każdym planie, także Single Location. Potrzebujesz roli Editor lub wyższej.

1. 1Otwórz Customers (Klienci) w menu bocznym.
2. 2Jeśli chcesz tylko część listy, przefiltruj ją po karcie albo po statusie (na przykład tylko aktywni klienci).
3. 3Kliknij Download customers (Pobierz klientów), w prawym górnym rogu obok paska wyszukiwania.

Plik pobiera się jako passusers_YYYY-MM-DD.csv i otwiera w Excelu, Arkuszach Google lub Numbers. Każdy wiersz to jedna karta: nazwa, imię, nazwisko, e-mail, telefon, nazwa i typ karty, status, data utworzenia, data wygaśnięcia oraz wszystkie własne pola, na przykład data urodzin. Klient z dwiema kartami pojawia się w dwóch wierszach; kolumna Person Key (klucz osoby) ma w obu tę samą wartość, więc posortuj arkusz po tej kolumnie, a karty jednej osoby znajdą się obok siebie.

Ten plik CSV to też dokładnie to, co art. 20 nazywa „ustrukturyzowanym, powszechnie używanym formatem nadającym się do odczytu maszynowego”. Jeśli przenosisz się do innego narzędzia, to jest ten plik. Jeśli jeden klient prosi o swoje dane, nigdy nie wysyłaj mu pełnego eksportu, bo są w nim wszyscy z karty: otwórz jego rekord na stronie Customers i wyślij to, co tam jest, albo w kopii pliku CSV zostaw tylko jego wiersze (te z jego Person Key), zanim ją wyślesz.

Plik da się też pominąć, na dwa sposoby. W planie Multi-Location i wyżej Zapier może wysyłać każdy nowy zapis, pieczątkę lub nagrodę do narzędzi, których już używasz, a przy własnej integracji to samo robią API i webhooki. W planie Single Location eksportujesz ręcznie. W każdym razie zastanów się, zanim wkleisz listę do narzędzia do newsletterów: polityka, którą klienci zaakceptowali przy zapisie, mówiła, do czego użyjesz ich danych, i cotygodniowego e-maila mogło w niej nie być. Jeśli nie było, najpierw zapytaj. Powiadomienie Wallet to kanał, na który klienci faktycznie się zapisali; tu przeczytasz, co możesz wysłać w powiadomieniu Wallet.

#Co zrobić, gdy klient mówi „usuń moje dane”

Usuń jego dane, bez zbędnej zwłoki i najpóźniej w ciągu miesiąca (prawo pozwala przedłużyć ten termin o kolejne dwa miesiące przy skomplikowanych wnioskach, ale twój taki nie będzie). To art. 17 i art. 12(3). Dla lokalu to rzadko więcej niż jedna rozmowa, kilka kliknięć i wpisanie słowa DELETE.

W Passtastic klient może zacząć sam. Na swojej stronie „My details” (Moje dane) wpisuje sześciocyfrowy kod z e-maila i prosi o usunięcie. Na tym etapie nic nie jest jeszcze usuwane: klient dostaje na twojej liście Customers oznaczenie „Deletion requested” (prośba o usunięcie), a ty masz dwie opcje:

• Erase (usuń): otwiera Delete permanently (usuń trwale) dla tego klienta i kończy jego sesje. Mogą to zrobić tylko osoby z rolą Admin lub Owner.
• Dismiss (odrzuć): zdejmuje oznaczenie i niczego nie usuwa; przyda się, gdy prośba poszła przez pomyłkę albo została załatwiona inaczej. Mogą to zrobić osoby z rolą Editor i wyższą.

Żeby usunąć ręcznie: otwórz Customers, otwórz klienta, wybierz Delete permanently z menu ⋯, wybierz, czy usuwasz tylko tę kartę, czy osobę ze wszystkimi jej kartami, wpisz DELETE i kliknij Delete forever (usuń na zawsze). Żeby usunąć kilka osób naraz, osoba z rolą Admin lub Owner zaznacza wiersze na stronie Customers i klika Delete permanently na pasku, który się pojawi. W obu przypadkach nie da się tego cofnąć. Znika profil, wizyty, punkty i historia skanów; zostaje tylko kilka rekordów bez danych osobowych (logi wiadomości bez treści, zapisy płatności bez e-maila).

Jednej rzeczy prawo nie zmieni: karta zostaje w telefonie klienta. Apple i Google nie pozwalają dostawcy usunąć karty z urządzenia, więc karta po prostu przestaje działać i ląduje wśród wygasłych. Jeśli klient zapyta, powiedz mu, że karta już nie działa i może ją usunąć samodzielnie.

Przy duplikatach i członkach, którzy mogą jeszcze wrócić, użyj raczej Mark inactive (oznacz jako nieaktywnego): blokuje korzyści przy skanerze, zachowuje historię i saldo, a da się to cofnąć. Delete permanently zostaw na prawdziwą prośbę i na członków, do których już nigdy nie napiszesz.

#Kto z twojego zespołu widzi listę i może ją wyeksportować?

Lista jest tak bezpieczna, jak najnowsza osoba w twoim zespole. Passtastic ma cztery role, a dla danych liczą się dwa pytania: kto może eksportować i kto może usuwać:

Plan decyduje, jak daleko sięga rola. Single Location (jeden lokal) obejmuje 2 członków zespołu, a Multi-Location (do 3 lokali) 5; w obu każdy Editor widzi i może wyeksportować całą listę, ze wszystkich lokali, więc rolę Editor dawaj tylko ludziom, którym bez wahania dasz listę do ręki. Groups & Brands (do 10 lokali, 20 członków zespołu) to plan, w którym Viewera lub Editora da się ograniczyć do wybranych lokali; taki ograniczony Viewer nie widzi e-maili ani numerów telefonów klientów i nie może eksportować. Trzy kawiarnie mieszczą się więc w Multi-Location, z jedną wspólną listą widoczną dla każdego Editora; jeśli prowadzisz jedną kartę we wszystkich lokalach i chcesz, żeby każdy kierownik widział tylko swój lokal, to już Groups & Brands, z rolą Admin zostawioną dla centrali.

Osoby z rolą Admin lub Owner widzą też dziennik Changes (zmiany): każdą pieczątkę, punkt, notatkę albo zmianę salda wykonaną z panelu, razem z nazwiskiem osoby, która to zrobiła. Osoby z rolą Editor lub Viewer widzą wpisy bez nazwisk. To odpowiedź na pytanie „kto we wtorek dodał 40 punktów do karty Toma”.

#Co dzieje się z danymi, gdy odchodzisz albo zmieniasz narzędzie?

Najpierw eksport, potem decyzja. Według art. 28 po zakończeniu usługi podmiot przetwarzający usuwa dane albo je zwraca, zależnie od twojego wyboru, więc do ustalenia są dwie rzeczy: które z tych dwóch wybierasz i do kiedy. Ani art. 28, ani umowa powierzenia Passtastic nie podają liczby dni, więc termin musisz ustalić z dostawcą.

W Passtastic po rezygnacji z subskrypcji konto i dane zostają: nic nie usuwa się automatycznie, możesz wrócić, a jeśli poprosisz e-mailem, dane są usuwane bez zbędnej zwłoki. Usunięcie konta to druga ścieżka: usuwa organizację, karty, wiadomości i rekordy klientów, karty w portfelach przestają działać, a zrobić to może tylko Owner. Pierwszy punkt w poradniku pomocy brzmi: zanim to zrobisz, wyeksportuj listę klientów.

Droga w drugą stronę, do nowego narzędzia, to też plik. Passtastic importuje plik CSV lub arkusz Excela do 10 000 wierszy, dopasowuje kolumny z imieniem, nazwiskiem, e-mailem, telefonem i saldem oraz prosi o potwierdzenie, że masz z tymi osobami prawdziwą relację i możesz pisać do nich w sprawie ich karty. Import nie wgrywa karty nikomu do telefonu: każdy klient sam stuka w swój link z zaproszeniem, a kto zostanie dopasowany po e-mailu lub telefonie, jest aktualizowany, a nie dublowany.

Plany zaczynają się od €39 miesięcznie za jeden lokal i €99 miesięcznie za maksymalnie trzy, z 14-dniowym darmowym okresem próbnym bez podawania karty; ile kosztuje każdy plan sprawdzisz w cenniku, a eksport jest w każdym z nich.

#Trzy lokale, trzy pytania

• Niamh prowadzi trzy kawiarnie w Dublinie. Jej wspólnik zapytał o własność danych. Odpowiedź znajduje w umowie powierzenia: podmiot przetwarzający, żadnego innego użycia, usunięcie na prośbę. Wysyła trzy pytania do dwóch dostawców i podpisuje umowę z tym, który odpowiada.
• Salon paznokci Ines, Lacquer Lane, pyta o datę urodzin. Ines wysyła urodzinowy poczęstunek, więc to pole ma rację bytu. Wyłącza za to pole adresu, z którego nigdy nie korzystała, i formularz jest o linijkę krótszy.
• Pedal Post, sklep rowerowy, dostaje pierwszy e-mail „usuń moje dane”. Klient zdążył już wysłać prośbę ze swojej karty; właściciel klika Erase, odpisuje „zrobione” i całość zajmuje cztery minuty, nie miesiąc.

Dane to efekt uboczny karty, która działa. Klienci pożyczyli ci je na potrzeby karty; trzymaj je tam, skąd w każdej chwili możesz je zabrać, a pytanie o własność będzie rozstrzygnięte, zanim ktokolwiek je zada.

“

Kiedy zobaczyli, że nie muszą instalować aplikacji ani przeklikiwać kolejnych zabezpieczeń i uprawnień, że to po prostu połączone z moim kontem i nic więcej, mieliśmy pod tym względem bardzo dobre opinie.

(Przetłumaczono z angielskiego)

“

Alex, właściciel Rewind

Read their story →