Владелец салона открывает утром мессенджер и видит десятки сообщений: имя клиента, номер телефона, фотографии «до/после», адрес, комментарии об аллергии и историю процедур. Всё это может храниться одновременно в WhatsApp, Instagram, телефоне администратора, блокноте мастера и общей таблице. Когда клиент просит удалить данные или уточнить, где они используются, быстро ответить становится почти невозможно.

GDPR касается не только крупных сетей в Евросоюзе. Если салон или независимый мастер работает с клиентами из ЕС, принимает онлайн-запись или рекламирует услуги европейской аудитории, правила могут применяться и к этому бизнесу. Ниже — практическая схема, как хранить клиентские данные безопаснее и не превращать администрирование в бесконечную юридическую задачу.

Что GDPR означает для салона красоты

GDPR — это европейский регламент о защите персональных данных. Для салона клиентские данные — это не только паспорт или медицинская карта. К ним относятся имя, номер телефона, e-mail, переписка, история визитов, фотографии, IP-адрес, сведения о предпочтениях и любая информация, по которой человека можно узнать.

Особенно осторожно нужно обращаться с данными о здоровье. Информация об аллергии на краситель, беременности, кожных заболеваниях, противопоказаниях к массажу или реакции на анестетик может относиться к специальным категориям данных. Нельзя собирать её «на всякий случай» и хранить без понятной цели и дополнительных мер защиты.

В типичной ситуации салон является оператором данных: он определяет, зачем собирает информацию и как её использует. Сервис онлайн-записи, CRM, рассылок или видеонаблюдения может выступать обработчиком. С ним важно понимать, где хранятся данные, кто имеет доступ и есть ли договор обработки данных.

Какие принципы нужно соблюдать

Законность и прозрачность: клиент понимает, какие сведения вы собираете и зачем.
Ограничение цели: номер телефона для напоминания не превращается автоматически в базу для рекламных рассылок.
Минимизация: для записи к мастеру обычно не нужны паспортные данные и полный домашний адрес.
Точность: устаревшие телефон и e-mail нужно исправлять или удалять.
Ограничение срока хранения: данные не должны лежать бессрочно без причины.
Безопасность: доступ получают только те сотрудники, которым он необходим.

Сначала составьте карту данных салона

До выбора CRM или подготовки политики конфиденциальности проведите короткую инвентаризацию. Возьмите лист или таблицу и перечислите все места, где появляются данные клиентов: форма записи на сайте, Instagram Direct, WhatsApp, телефон администратора, бумажные анкеты, кассовая система, камера, программы лояльности, Google-таблицы и личные телефоны мастеров.

Для каждой категории ответьте на четыре вопроса: что собираем, зачем, кто видит и сколько храним. Например, для маникюра достаточно имени, телефона, выбранной услуги, мастера и времени визита. Для окрашивания волос может понадобиться история формул и теста на аллергию, но доступ к ней должен быть у мастера и администратора, а не у всей команды.

Мини-пример для трёхкресельной парикмахерской

Имя и телефон: запись, перенос визита и сервисные напоминания.
История услуг: корректный подбор процедуры и повторение формулы окрашивания.
Фото волос: оценка результата и портфолио только при отдельном разрешении.
Аллергии: безопасность процедуры; доступ ограничен ответственным мастером.
Маркетинговый статус: отдельная отметка о согласии на рекламные сообщения.

Оценка объёма помогает увидеть лишнее. Если у мастера 500 контактов в телефоне, но за последний год реально посещали салон 180 человек, не нужно автоматически переносить всю адресную книгу в новую CRM. Переносите только актуальные и необходимые данные, предварительно определив основание и цель хранения.

Получайте правильное согласие, а не одну универсальную галочку

GDPR допускает разные правовые основания: исполнение договора, юридическую обязанность, законный интерес или согласие. Для записи на услугу обычно достаточно необходимости выполнить запрос клиента: салону нужно обработать имя и контакты, чтобы назначить визит. Для рекламных сообщений, публикации фотографий и передачи данных партнёрам чаще требуется отдельное, понятное согласие.

Не объединяйте всё в формулировку «Согласен на обработку персональных данных». Она не объясняет, что именно произойдёт. Лучше разделить цели:

«Использовать номер телефона для подтверждения и напоминания о записи».
«Получать рекламные предложения по SMS, e-mail или в мессенджере».
«Разрешить публикацию фотографии результата на сайте и в социальных сетях».
«Сохранить сведения о противопоказаниях для безопасного проведения процедур».

Маркетинговая подписка должна быть добровольной и не маскироваться под обязательное условие записи. Клиент должен иметь возможность отказаться так же просто, как подписался. Сохраняйте дату, текст согласия и способ его получения. Скриншот переписки, запись отметки в системе или журнал формы могут подтвердить, что разрешение действительно существовало.

Фотографии и данные несовершеннолетних

Для публикации фото «до/после» нужно отдельное разрешение, даже если лицо закрыто: по интерьеру, татуировке, волосам или уникальному образу человека его иногда можно узнать. Согласие на процедуру не означает согласие на рекламу. Для несовершеннолетних используйте процедуру, соответствующую местным требованиям о согласии родителей или законных представителей, и не публикуйте снимки без дополнительной проверки.

Настройте хранение и доступ к данным

Самая частая проблема небольшого салона — общий пароль и доступ «для удобства». У администратора, управляющего, мастеров и подрядчика по рекламе должны быть разные учётные записи с разными правами. Мастер по ресницам не обязан видеть всю клиентскую базу филиала, а таргетологу не нужен доступ к заметкам об аллергии.

Практический чек-лист безопасности

Включите двухфакторную аутентификацию в CRM, почте, Instagram и мессенджерах.
Запретите передачу паролей в общих чатах и регулярно меняйте доступ после увольнения.
Настройте автоматическую блокировку компьютеров администратора.
Не храните медицинские заметки в открытой Google-таблице или личном чате мастера.
Проверьте, создаются ли резервные копии и кто может их скачать.
Удаляйте данные с потерянного телефона и отключайте активные сессии.
Заключайте договоры обработки данных с внешними сервисами, если они работают от имени салона.

Определите срок хранения по категориям. Например, активную историю визитов можно сохранять, пока клиент пользуется услугами и пока она нужна для работы. Старые рекламные контакты без подтверждённого интереса следует регулярно очищать. Бумажные анкеты храните в закрытом шкафу, а не возле стойки, где их видят посетители.

Утечка — это не только взлом сервера. Ошибочная отправка прайса с телефоном клиента в общий чат, потерянный смартфон или письмо с адресами всех получателей в поле «Кому» тоже могут стать инцидентом. При нарушении безопасности оцените масштаб, зафиксируйте события и проверьте, требуется ли уведомление надзорного органа в течение 72 часов — это один из известных сроков GDPR для определённых случаев.

Подготовьте процесс для запросов клиентов

Клиент может попросить показать, какие данные о нём хранятся, исправить ошибку, удалить информацию, ограничить обработку или предоставить данные в переносимом формате. Не отправляйте такие запросы между администраторами без ответственного лица. Назначьте владельца процесса и внутренний срок проверки личности и ответа.

Удаление не всегда означает стирание абсолютно всего. Например, бухгалтерские документы могут требовать более длительного хранения по закону. Но маркетинговую подписку можно прекратить сразу, а фотографию из рекламного поста — убрать после отзыва разрешения, если нет другого законного основания для публикации.

Что написать в политике конфиденциальности

кто является оператором данных и как с ним связаться;
какие категории данных собираются и для каких целей;
какие сервисы получают данные: CRM, онлайн-запись, рассылки, платёжные системы;
сроки хранения или критерии их определения;
права клиента и способ отправки запроса;
информация о передаче данных за пределы ЕС, если она происходит;
контакты для вопросов и жалоб.

Публикуйте политику рядом с формой онлайн-записи, а не прячьте ссылку только в подвале сайта. Перед запуском рекламы и массовых рассылок проверьте документы с юристом, особенно если салон работает в нескольких странах, обрабатывает сведения о здоровье или использует подрядчиков за пределами Европейской экономической зоны.

Как салоны решают это с Chatity

В Chatity можно использовать бесплатные навсегда календарь онлайн-записи, CRM, напоминания о визитах и мини-сайт со страницей записи — без банковской карты; это помогает не собирать записи хаотично в личных чатах. Платная часть — ИИ-администратор: он отвечает 24/7 на сайте, в WhatsApp и Instagram Direct, видит свободные окна и записывает клиента, а салону важно заранее проверить настройки доступа и условия обработки данных.

Пошаговый план внедрения на этой неделе

День первый: составьте список каналов и выгрузок, где есть клиентские данные.
День второй: удалите дубли, старые контакты и лишние поля, которые не нужны для услуг.
День третий: разделите сервисные уведомления, рекламу и публикацию фото на разные цели и согласия.
День четвёртый: создайте индивидуальные доступы, включите двухфакторную защиту и удалите аккаунты бывших сотрудников.
День пятый: разместите понятную политику конфиденциальности и назначьте ответственного за запросы клиентов.
День шестой: проверьте договоры CRM, онлайн-записи, рассылок и других подрядчиков.
День седьмой: проведите тест: попросите сотрудника найти данные клиента, отменить рассылку и ограничить доступ к чувствительным заметкам.

Хотите, чтобы календарь заполнялся сам? Создайте бесплатный аккаунт салона в Chatity — онлайн-запись, CRM и напоминания бесплатны навсегда — и при необходимости включите платного ИИ-администратора, чтобы не терять обращения ночью и в выходные.

🍪 We use cookies

GDPR для салонов красоты: правильное хранение данных