GDPR pro transferové firmy — co potřebujete vědět
Pokud provozujete transferovou nebo šoférskou firmu v Evropě, GDPR není volitelné. Osobní údaje shromažďujete pokaždé, když si cestující rezervuje jízdu. Zde je praktický průvodce, jak zůstat v souladu s předpisy, aniž byste se utopili v papírování.
1. Proč na GDPR záleží transferovým firmám
Obecné nařízení o ochraně osobních údajů (GDPR) se vztahuje na každou firmu, která zpracovává osobní údaje osob v EU — bez ohledu na to, kde firma sídlí. Transferové firmy jsou obzvláště dotčené, protože denně zpracovávají citlivé údaje: jména cestujících, telefonní čísla, údaje o letech, adresy hotelů, platební informace a GPS trasy.
Nedodržování předpisů není jen teoretické riziko. Pokuty mohou dosáhnout až €20 milionů nebo 4% ročního obratu, podle toho, co je vyšší. Ale kromě pokut ničí úniky dat důvěru klientů — a v byznysu VIP transferů je důvěra vším. Firemní klienti a luxusní hotely nebudou spolupracovat s provozovateli, kteří nedokážou zaručit zabezpečení dat.
2. Jaké údaje shromažďujete
Většina transferových firem si neuvědomuje, kolik osobních údajů zpracovává. Zde je typický přehled:
| Kategorie údajů | Příklady | Citlivost |
|---|---|---|
| Údaje cestujícího | Jméno, telefon, e-mail, číslo letu, adresa hotelu | Vysoká |
| Údaje klienta / objednatele | Název firmy, fakturační adresa, kontaktní osoby, DIČ | Střední |
| Údaje řidiče | Jméno, telefon, číslo řidičského průkazu, sledování polohy, pracovní doba | Vysoká |
| Údaje o trase | Adresy vyzvednutí/cíle, GPS záznamy, časy jízdy | Střední |
| Platební údaje | Údaje o platební kartě, faktury, historie transakcí | Velmi vysoká |
| Záznamy komunikace | E-maily, SMS, zprávy WhatsApp s cestujícími | Střední |
3. Souhlas a právní základ
Podle GDPR potřebujete pro zpracování každého typu osobních údajů právní základ. Pro transferové firmy jsou nejrelevantnější tři základy:
- Plnění smlouvy (článek 6 odst. 1 písm. b) — K vyřízení rezervace transferu potřebujete jméno, telefon a adresu vyzvednutí cestujícího. To je váš hlavní právní základ pro většinu údajů souvisejících s objednávkou. Samostatný souhlas není potřeba.
- Oprávněný zájem (článek 6 odst. 1 písm. f) — Oprávněný zájem můžete uplatnit u věcí, jako je sledování GPS řidiče během aktivních jízd (bezpečnost), uchovávání historie klienta pro lepší služby a základní analytika. Zdokumentujte své odůvodnění.
- Souhlas (článek 6 odst. 1 písm. a) — Vyžadován pro marketingové e-maily, sdílení údajů s třetími stranami a uchovávání údajů nad rámec toho, co je pro smlouvu nezbytné. Souhlas musí být svobodný, konkrétní a snadno odvolatelný.
Klíčové ponaučení: nemusíte cestující žádat o souhlas se zpracováním jejich rezervačních údajů. Souhlas ale potřebujete pro marketing a pro vše ostatní musíte zdokumentovat svůj právní základ.
4. Ukládání a zabezpečení dat
GDPR vyžaduje, abyste zavedli „vhodná technická a organizační opatření“ k ochraně osobních údajů. Pro transferové firmy to znamená:
- 1Servery v EU — Všechny osobní údaje ukládejte v rámci EU. Přenos dat mimo EU vyžaduje další záruky (standardní smluvní doložky nebo rozhodnutí o odpovídající ochraně).
- 2Šifrování — Pro všechna přenášená data používejte HTTPS a citlivá data šifrujte v klidu. To zahrnuje vaši databázi, zálohy a jakékoli exportované soubory.
- 3Řízení přístupu — Ne každý ve vaší firmě potřebuje přístup ke všem datům. Řidiči by měli vidět pouze své přidělené objednávky. Dispečeři by neměli mít přístup k finančním záznamům. Používejte oprávnění založená na rolích.
- 4Zásady uchovávání dat — Určete, jak dlouho data uchováváte. Data objednávek se obvykle uchovávají 5–7 let (daňové povinnosti). Telefonní čísla a e-maily cestujících by měly být smazány, jakmile již nejsou potřeba.
- 5Ohlašování porušení — Pokud dojde ke kompromitaci osobních údajů, musíte to do 72 hodin ohlásit svému dozorovému úřadu a bez zbytečného odkladu dotčeným osobám.
5. Práva subjektů údajů
Podle GDPR mají vaši cestující, klienti a řidiči specifická práva týkající se jejich údajů. Musíte být připraveni tyto žádosti vyřídit:
Právo na přístup
Osoby si mohou vyžádat kopii všech osobních údajů, které o nich uchováváte. Na odpověď máte 30 dní.
Právo na opravu
Pokud jsou údaje nesprávné, mohou vás požádat o jejich opravu. Neprodleně je aktualizujte ve všech svých systémech.
Právo na výmaz
„Právo být zapomenut“. Osoby vás mohou požádat o smazání svých údajů, pokud nemáte zákonnou povinnost je uchovávat.
Právo na přenositelnost
Mohou si vyžádat své údaje ve strojově čitelném formátu (CSV, JSON) pro přenos k jinému poskytovateli.
V praxi dostává většina transferových firem jen velmi málo žádostí subjektů údajů. Musíte však mít zavedený proces. Váš CRM by měl usnadnit export, aktualizaci nebo smazání údajů cestujícího na požádání.
6. Výběr softwaru v souladu s GDPR
Váš CRM a dispečerský software je místem, kde se nachází většina osobních údajů. Výběr řešení v souladu s GDPR je jedním z nejzásadnějších rozhodnutí, která můžete učinit. Na co se zaměřit:
- Hosting dat v EU — Vaše data by měla být uložena na serverech v EU. Většina CRM se sídlem v USA ukládá data v USA, což vytváří složitost v oblasti souladu.
- Přístup podle rolí — Software by vám měl umožnit řídit, kdo co vidí. Řidiči vidí pouze své objednávky. Dispečeři vidí provoz. Administrátoři vidí vše.
- Export a mazání dat — Musíte být schopni exportovat data klienta (pro žádosti o přenositelnost) a smazat je (pro žádosti o výmaz) přímo ze softwaru.
- Auditní protokolování — Každý přístup k datům a jejich úprava by měly být zaznamenány. To vám pomáhá prokázat soulad a prošetřit případné problémy.
- Šifrování a 2FA — Software by měl šifrovat data v klidu i při přenosu a podporovat dvoufaktorové ověřování pro všechny uživatelské účty.
- Smlouva o zpracování údajů — Váš dodavatel softwaru je podle GDPR „zpracovatelem“. Měl by nabídnout podepsanou smlouvu o zpracování údajů (DPA), která vymezuje jeho povinnosti.
TransferCRM je vytvořen pro evropské provozovatele se souladem s GDPR ve svém jádru: infrastruktura v EU, oprávnění podle rolí, auditní protokoly, export dat, 2FA a podepsaná smlouva o zpracování údajů zahrnutá ve všech plánech.
Připraveni zefektivnit své transfery?
Začněte své 14denní bezplatné zkušební období. Bez kreditní karty.