Вы запускаете накопительные карты или подключаете доставку — и в этот момент становитесь оператором персональных данных. Не по желанию, а по закону № 152-ФЗ. Штраф за нарушение — до 300 000 ₽, и Роскомнадзор проверяет малый бизнес всё активнее.
Что считается персональными данными в кофейне
Имя и телефон гостя в базе лояльности — это уже персональные данные. Адрес доставки, email для чека, дата рождения для скидки именинника — тоже.
Многие владельцы думают, что закон касается только крупных компаний. Это не так. Даже небольшая кофейня с картой постоянного гостя обязана:
• опубликовать политику обработки персональных данных (на сайте или в точке); • получать письменное или электронное согласие на обработку; • хранить данные только на серверах в России (требование ст. 18.1 152-ФЗ); • уничтожать данные по запросу гостя — в течение 30 дней.
Бумажная анкета «заполните для карты лояльности» без галочки о согласии — это уже нарушение.
Программа лояльности: три ошибки, которые стоят денег
Первая. Согласие на обработку и согласие на маркетинговые рассылки — это два разных документа. Нельзя объединять их в одном пункте. Роскомнадзор на это смотрит отдельно.
Вторая. Если вы передаёте базу гостей в агрегатор доставки или CRM-сервис — это называется передача данных третьим лицам. Гость должен об этом знать заранее, и это нужно прописать в согласии.
Третья. Кассир не должен иметь доступа к полной базе клиентов. Ограничение доступа к персональным данным — отдельное требование закона, которое часто игнорируется.
Доставка — зона повышенного риска
При доставке вы собираете адрес, телефон, иногда данные карты. Если работаете через собственное приложение или сайт — вы самостоятельный оператор со всеми обязательствами. Если через агрегатор — часть ответственности уходит к нему, но не вся.
Ошибка думать, что раз данные «в Яндекс.Еде» — вы ни за что не отвечаете. Отвечаете за тот момент, когда гость дал вам своё согласие на вашей странице или в вашем меню.
Отдельно: если курьер — ваш сотрудник, а не самозанятый агрегатора, он тоже получает доступ к адресам. Это надо закрывать инструкцией по работе с персональными данными и подписью об ответственности.
Шаблон из интернета здесь не поможет — политика обработки персональных данных должна учитывать конкретный способ сбора (сайт, анкета, приложение, кассовая система). Документы на bejure.ru адаптированы под кофейный бизнес, обновляются при изменении законодательства и подписываются электронно — без передачи данных третьим лицам.
Начните с малого: проверьте, есть ли у вас политика обработки персональных данных и подписанные согласия. Если нет — это первое, что нужно исправить до следующей проверки.
—
Юрист для кофеен BEJURE
Вы варите кофе, мы оформляем документы.
Документы в порядке. Бизнес под защитой.
https://bejure.ru/sfery-deyatelnosti/kofejnya