Кому належать дані клієнтів програми лояльності й як їх експортувати

Список клієнтів у вашій програмі лояльності належить вам. За GDPR (регламентом ЄС про захист персональних даних) заклад, який випускає картку, є контролером даних (тим, хто вирішує, навіщо їх збирати), а інструмент лояльності — лише обробником (програмою, яка зберігає й обробляє їх для вас за вашими вказівками). Саме цей поділ визначає, хто може експортувати, видаляти чи повторно використовувати дані ваших клієнтів. Пастка — у договорі: умови інструменту все одно можуть затягнути ваших клієнтів у його власний застосунок, змішати їх із клієнтами інших закладів або залишити список собі після того, як ви підете. Тому перед підписанням пройдіться за трьома перевірками нижче.

Більшість статей на цю тему написані для відділів аналітики у великих брендах: моделі володіння, комітети з управління даними, аудити ШІ. Ця — для власника кількох закладів, який збирається підписати річний план і якого бізнес-партнер щойно запитав: «А кому належить список клієнтів, нам чи їм?» Ваша аналітика клієнтів чогось варта лише тоді, коли список за нею — ваш і ви можете його забрати. Із цього й почнемо. Це не юридична порада: номери статей наведені, щоб ви могли самі перевірити формулювання.

#Кому належать дані клієнтів у програмі лояльності?

Вам — у тому сенсі, який справді важить. GDPR не вживає слова «володіти». Він питає, хто вирішує, навіщо і як використовувати персональні дані. Це контролер, і якщо картку випускаєте ви, то контролер — ви. Компанія, яка робить програму, — обробник: вона може працювати з даними лише за вашими задокументованими вказівками (стаття 28). Та сама стаття каже, що обробник повинен мати з вами договір, у якому прописано, що він робить із даними, а після завершення послуги видаляє або повертає їх — на ваш вибір.

Тож інструмент лояльності треба питати не «кому належать дані», а «де ваш договір про обробку даних і що в ньому написано?». DPA (data processing agreement) — це і є договір, якого вимагає стаття 28. Просіть його до підписання, а не після, і шукайте в ньому три речення нижче.

Ось що каже договір про обробку даних Passtastic, щоб вам було з чим порівняти (останнє оновлення 1 жовтня 2026 року): «Ми обробляємо дані ваших клієнтів лише за вашими вказівками». «Ми не використовуємо дані ваших клієнтів для власних цілей». «Ми не продаємо їх і не передаємо іншим закладам». Він діє для кожного акаунта автоматично, а політика конфіденційності на passtastic.io/privacy-policy перелічує, що збирається і хто це обробляє. Ті самі три речення можна попросити письмово в будь-якого постачальника: надішліть партнерові ці дві сторінки (DPA і політику конфіденційності), а в інших постачальників попросіть такі самі.

Одне застереження, перш ніж іти далі. Договір з обробником не знімає юридичної відповідальності з вас. Стаття 5 каже, що контролер «несе відповідальність і має бути здатен продемонструвати дотримання». Інструмент надійно зберігає дані, але рішення збирати їх ухвалили ви, і саме вам напише клієнт.

#Що інструмент лояльності може робити з вашим списком? Три перевірки

Володіння на папері вирішує договір. Володіння на практиці вирішують три речі, які легко пропустити на сторінці з умовами.

1. 1Застосунок або каталог для покупців. Якщо в інструменту є власний застосунок чи сайт для покупців, перевірте, чи показують у ньому вашим клієнтам інші заклади і чи можна це вимкнути. Вам ні до чого, щоб постійний клієнт додав вашу картку, а на наступному екрані побачив кав'ярню через дорогу. У Passtastic немає окремого застосунку, який клієнтам треба було б відкривати: картка лежить в Apple Wallet або Google Wallet, і застосунок не потрібен ні вам, ні їм.
2. 2Об'єднані або спільні дані. Коаліційні програми, де кілька брендів ділять одну картку, дають найслабші права на дані, бо учасники належать мережі. Та й поза коаліціями перевірте, чи може постачальник «агрегувати» дані ваших клієнтів, порівнювати їх між закладами або навчати на них моделі ШІ. Такі слова означають, що ваш список працює ще на щось, крім вашої картки.
3. 3Що буде, коли ви підете. Чи можете ви експортувати все, будь-коли, нікого не питаючи? А коли ви скасуєте підписку, дані видалять, залишать чи залишать і далі використовуватимуть? Passtastic, наприклад, не видаляє дані ваших клієнтів автоматично після завершення підписки; ви можете експортувати їх, поки акаунт активний, а якщо хочете, щоб їх прибрали, напишіть на пошту, і їх видалять без невиправданої затримки. У DPA не вказано конкретної кількості днів, тож якщо строк для вас важливий, попросіть його письмово. Хай якою буде відповідь, отримайте її письмово, перш ніж на картці назбирається 2000 людей.

Три запитання постачальнику — копіюйте як є:

“

1. Чи можу я сам експортувати всі дані своїх клієнтів, будь-коли, не звертаючись до вас?

2. Чи використовуєте, передаєте чи показуєте ви дані моїх клієнтів для чогось іншого, крім роботи моєї картки? Вкажіть, будь ласка, відповідний пункт договору.

3. Що станеться з даними, коли я скасую підписку, як домогтися їх видалення і скільки днів це займе?

“

Постачальник, який відповідає на всі три запитання по два рядки на кожне, — той, з ким можна працювати.

Якщо ви вагаєтеся між карткою і розробкою власного застосунку лояльності, майте на увазі: застосунок цього питання не знімає. Ваш розробник чи платформа для застосунків — теж обробник, і договір потрібен той самий.

#Що насправді збирає картка лояльності в гаманці?

Менше, ніж багато хто побоюється, і лише те, що ви самі попросите. Коли ви налаштовуєте картку лояльності в гаманці, ви обираєте, які дані запитує форма реєстрації: ім'я, прізвище, email, телефон, день народження й адресу, а на Multi-Location і вище ще й власні запитання. Будь-яке ввімкнене поле стає обов'язковим; якщо збір даних вимкнено, форми немає взагалі, і клієнт одразу переходить до додавання картки. Під час реєстрації клієнти погоджуються з вашою політикою конфіденційності.

Далі картка записує активність у самій програмі: візити, печатки або бали, поступ до винагороди, яка в клієнта картка і чи додана вона в гаманець. Apple або Google також видає для кожної встановленої картки push-токен гаманця (технічний ідентифікатор, завдяки якому картка оновлюється саме на цьому телефоні), і за політикою конфіденційності Passtastic він використовується лише для доставки оновлень картки.

Скільки цього у вас назбирається? Серед 265 закладів на Passtastic, у яких не менше 10 учасників (за останні 12 місяців), медіанний заклад зареєстрував 30 клієнтів за перший місяць. Тож через чотири тижні у вас зазвичай буде тридцять записів про клієнтів. Це небагато, але це персональні дані з першого дня.

Правило мінімізації даних простими словами: просіть лише те, чим будете користуватися. Якщо ви не збираєтеся нічого дарувати на день народження, не питайте дату народження. Мережі кав'ярень не потрібна поштова адреса. Що більше поле каже про людину (день народження, домашня адреса), то вагомішою має бути причина його запитувати.

Навіщо вам цей список: щоб знати, хто новий, хто постійний, а хто затих. Сторінка Customers («Клієнти») в Passtastic збирає ці групи за вас на всіх тарифах, зокрема нових учасників і всіх, хто не повертався 30 днів, і з тієї самої сторінки можна написати групі, додати печатку чи бали або залишити нотатку. Стежити варто за найпростішими цифрами: скільки людей повернулося, скільки досі активні і на скількох картках уже назбиралося на винагороду. Якщо останнє число тримається біля нуля, зазвичай це означає, що картку надто важко заповнити, а не що клієнти ліниві.

Текст для реєстрації, який можна переробити під свою політику конфіденційності чи табличку на касі; написаний для кав'ярні Bean & Bridge (приклад, а не юридичне формулювання): «Ваше ім'я та номер телефону ми використовуємо, щоб вести вашу картку Bean & Bridge і повідомляти вам про винагороди й наші пропозиції. Нікому їх не передаємо. Будь-коли можете попросити нас показати, змінити або видалити їх».

#Основи GDPR для малого закладу в п'яти рядках

Закон довгий, але для картки лояльності п'ять рядків покривають більшість того, що ви маєте робити, і за кожним стоїть стаття:

Чи стосується це кав'ярні з одним закладом? Так. Стаття 3 визначає сферу дії за тим, де заснований бізнес, і не називає жодного порогу за розміром чи обігом. У Великій Британії ті самі правила діють як UK GDPR, а ICO публікує настанови, написані для малих організацій і приватних підприємців. У США каліфорнійський CCPA стосується компаній із доходом понад 25 мільйонів доларів або тих, що купують, продають чи передають персональну інформацію 100 000 і більше мешканців чи домогосподарств Каліфорнії (є й інші пороги), тож більшість незалежних закладів під нього не підпадає; перевірте правила свого штату. Хоч би де ви були, ставтеся до «видаліть мене» як до прохання, яке ви просто виконуєте: це нічого не коштує і зберігає прихильність клієнта.

Штрафи існують (до 20 мільйонів євро або 4% світового обігу за серйозні порушення), але для закладу реальний ризик — не штраф. Це постійний клієнт, який відчув себе обдуреним і розповів про це іншим.

#Як експортувати список клієнтів

У Passtastic експорт — це два кліки, і він є на всіх тарифах, зокрема на Single Location. Потрібна роль Editor або вища.

1. 1Відкрийте Customers на бічній панелі.
2. 2Якщо потрібна лише частина списку, відфільтруйте за карткою або за статусом (наприклад, лише активні клієнти).
3. 3Натисніть Download customers («Завантажити клієнтів») угорі праворуч, поруч із рядком пошуку.

Файл завантажується як passusers_YYYY-MM-DD.csv і відкривається в Excel, Google Таблицях або Numbers. Кожен рядок — одна картка: повне ім'я, ім'я, прізвище, email, телефон, назва і тип картки, статус, дата створення, дата закінчення і всі власні поля, як-от день народження. Клієнт із двома картками займає два рядки; у стовпці Person Key («ключ особи») в обох стоїть однакове значення, тож відсортуйте таблицю за ним, і картки кожної людини опиняться поруч.

Цей CSV — саме те, що стаття 20 називає «структурованим, загальновживаним і машинозчитуваним форматом». Переходите на інший інструмент — це той самий файл. Якщо свої дані просить один клієнт, ніколи не надсилайте йому повний експорт, бо в ньому всі власники картки: відкрийте його запис на сторінці Customers і надішліть те, що там є, або залиште в копії CSV лише його рядки (з його Person Key) і тоді надсилайте.

Є два способи обійтися без файлу. На Multi-Location і вище Zapier може передавати кожну нову реєстрацію, печатку чи винагороду в інструменти, якими ви вже користуєтеся, а API та вебхуки роблять те саме для власної інтеграції. На Single Location ви експортуєте вручну. У будь-якому разі подумайте, перш ніж заливати список у сервіс розсилок: під час реєстрації ви сказали людям у політиці, для чого використовуватимете їхні дані, і щотижневої розсилки там могло не бути. Якщо не було, спершу спитайте. Сповіщення Wallet — це канал, на який вони справді погодилися; ось що можна надіслати у сповіщенні Wallet.

#Що робити, коли клієнт каже «видаліть мої дані»

Видалити: без невиправданої затримки і щонайпізніше протягом місяця (на складні запити закон дає ще два місяці, але ваш таким не буде). Це статті 17 і 12(3). Для закладу це рідко щось більше, ніж одна розмова, кілька кліків і набране слово DELETE.

У Passtastic запит може надійти від самого клієнта. На своїй сторінці «Мої дані» він підтверджує шестизначний код з email і просить видалити дані. Поки що нічого не видалено: у вашому списку Customers він позначений як «Deletion requested» («запит на видалення»), і далі вирішуєте ви:

• Erase («Стерти»): відкриває Delete permanently («Видалити назавжди») для цього клієнта і завершує його сеанси. Це можуть робити лише Admin і Owner.
• Dismiss («Відхилити»): знімає позначку, нічого не видаляючи, якщо запит надіслали помилково або питання вирішили інакше. Це можуть робити Editor і вище.

Щоб видалити вручну: відкрийте Customers, потім запис клієнта, оберіть Delete permanently у меню ⋯, виберіть лише цю картку або людину з усіма її картками, наберіть DELETE і натисніть Delete forever («Видалити безповоротно»). Щоб прибрати кількох одразу, Admin або Owner позначає рядки в Customers і натискає Delete permanently на панелі, що з'явиться. Скасувати це не можна в жодному з випадків. Видаляються профіль, візити, бали та історія сканувань; кілька записів залишаються, але без персональних даних (журнали повідомлень без тексту, платіжні записи без email).

Одного не змінить і закон: картка залишається в телефоні клієнта. Apple і Google не дають постачальнику видалити картку з пристрою, тож вона просто перестає працювати й потрапляє до розділу прострочених. Якщо клієнт спитає, скажіть, що картка більше не діє і він може видалити її сам.

Для дублікатів і учасників, які ще можуть повернутися, краще використовуйте Mark inactive («Позначити неактивним»). Це блокує бонуси на сканері, зберігає історію та баланс, і дію можна скасувати. Delete permanently залиште для справжнього запиту і для учасників, яким ви вже ніколи не напишете.

#Хто з вашої команди бачить і експортує список?

Список захищений рівно настільки, наскільки надійний ваш найновіший працівник. У Passtastic чотири ролі, і для даних важливі два питання: хто може експортувати і хто може видаляти.

Як далеко сягає роль, залежить від тарифу. Single Location (один заклад) включає 2 учасників команди, Multi-Location (до 3 закладів) — 5; на обох кожен Editor бачить і може експортувати весь список по всіх закладах, тож давайте роль Editor лише тим, кому віддали б список у руки. Groups & Brands (до 10 закладів, 20 учасників команди) — це той тариф, на якому Viewer або Editor можна обмежити вибраними закладами; обмежений Viewer не бачить email і телефонів клієнтів і не може експортувати. Отже, трьом кав'ярням вистачить Multi-Location з одним списком, спільним для всіх Editor; якщо ж ви ведете одну картку в усіх закладах і хочете, щоб кожен керівник бачив лише свій заклад, це вже Groups & Brands, а роль Admin залишається за головним офісом.

Admin і Owner бачать також журнал Changes («Зміни»): кожну печатку, бал, нотатку чи зміну балансу, зроблену з панелі керування, з ім'ям того, хто її зробив. Editor і Viewer бачать ті самі записи, але без імен. Саме тут шукати відповідь на питання «хто у вівторок додав 40 балів на картку Tom».

#Що стається з даними, коли ви йдете або міняєте інструмент?

Спершу експортуйте, потім вирішуйте. За статтею 28 обробник після завершення послуги видаляє або повертає дані на ваш вибір, тож узгодити треба дві речі: який із двох варіантів ви обираєте і до якого дня. Ні стаття 28, ні DPA Passtastic не задають кількості днів, тож про дату домовляєтеся з постачальником самі.

У Passtastic після скасування підписки акаунт і дані зберігаються: нічого не видаляється автоматично, ви можете повернутися, а за запитом на email дані приберуть без невиправданої затримки. Видалення акаунта — інша річ: воно прибирає організацію, картки, повідомлення й записи про клієнтів, картки в гаманцях перестають працювати, і зробити це може лише Owner. Перша порада в довідці — спершу експортувати список клієнтів.

Шлях у зворотний бік, до нового інструменту, — це теж файл. Passtastic імпортує CSV або таблицю Excel до 10 000 рядків, зіставляє ім'я, прізвище, email, телефон і стовпець із балансом та просить підтвердити, що ці люди справді ваші клієнти і ви можете писати їм про їхню картку. Імпорт нікому не додає картку на телефон: кожен клієнт сам натискає своє посилання-запрошення, а тих, кого знайдено за email чи телефоном, оновлюють, а не дублюють.

Тарифи починаються від €39 на місяць за один заклад і €99 на місяць за щонайбільше три; безкоштовний старт на 14 днів, банківська картка не потрібна. Скільки коштує кожен тариф — на сторінці цін, а експорт є на всіх.

#Три заклади, три запитання

• Niamh тримає три кав'ярні в Дубліні. Її партнер питав, кому належать дані. Відповідь — у DPA: обробник, жодного іншого використання, видалення на запит. Вона надсилає три запитання двом постачальникам і підписує договір із тим, хто відповів.
• Манікюрний салон Ines, Lacquer Lane, питає дату народження. Вона надсилає подарунок на день народження, тож це поле своє місце заслужило. Поле адреси, яким вона ні разу не скористалася, вона вимикає, і форма стає на рядок коротшою.
• Веломайстерня Pedal Post отримує перший лист «видаліть мої дані». Клієнт уже надіслав запит із картки; власник натискає Erase, відповідає «готово», і все забрало чотири хвилини, а не місяць.

Дані — побічний продукт картки, яка працює. Клієнти лише позичили їх вам для картки; тримайте їх там, звідки зможете забрати, і питання «кому вони належать» вирішиться ще до того, як хтось його поставить.

“

Коли вони побачили, що не треба встановлювати застосунок чи погоджуватися на купу дозволів і рівнів безпеки — картка просто пов'язана з моїм акаунтом, і все — ми отримали дуже гарні відгуки саме щодо цього.

(Перекладено з англійської)

“

Алекс, власник Rewind

Read their story →