Guide
Kunduppgifter och GDPR för tatuerare
Som tatuerare sparar du uppgifter om dina kunder: namn, kontaktuppgifter, idéer och bilder. Den här guiden går igenom vad du ansvarar för och hur du hanterar uppgifterna i vardagen. Den är inte juridisk rådgivning.
Du är personuppgiftsansvarig
Det är du som bestämmer vilka uppgifter du samlar in om dina kunder och varför. Därför är du personuppgiftsansvarig för dem enligt GDPR.
Sparar du uppgifterna i ett system är leverantören personuppgiftsbiträde. Biträdet sparar uppgifterna åt dig och får inte använda dem till något annat. Det regleras i ett personuppgiftsbiträdesavtal.
I Gaddie ansvarar du för dina kunders uppgifter, och Amöba, som driver Gaddie, är biträde.
Vad som är rimligt att spara
Spara det du behöver för att boka och genomföra tatueringen.
- Namn, e-post och telefonnummer, för att kunna nå kunden.
- Idén: placering, storlek och beskrivning.
- Referensbilder som kunden har skickat.
- Bokningshistorik: vilka tider kunden har haft och vad som gjordes.
- Egna anteckningar som rör tatueringen.
Fråga inte om sådant du inte använder. Varje fråga i formuläret är en uppgift du behöver ta hand om.
Var försiktig med frågor om hälsa, som allergier eller mediciner. Hälsouppgifter är känsliga personuppgifter och har strängare regler. Behöver du veta något inför en sittning kan du fråga på plats.
Samtycke när kunden skickar en förfrågan
Låt kunden godkänna att uppgifterna sparas när hen skickar sin förfrågan. Länka till en sida som säger vad som sparas, varför och hur länge.
I Gaddie kryssar kunden i en ruta innan förfrågan kan skickas, och tidpunkten sparas med förfrågan. Rutan länkar till en integritetssida för dina kunder som Gaddie skapar åt dig, med ditt namn och tiderna nedan.
Hur länge uppgifterna sparas
Spara uppgifterna bara så länge du behöver dem. Bestäm en tid för varje sorts uppgift och följ den.
Så här gör Gaddie:
- Nekade förfrågningar raderas efter 90 dagar, med bilderna.
- Ett kundkort som skapades från en förfrågan och aldrig fick en länk eller en bokning raderas 90 dagar efter att förfrågan nekades.
- Loggen över skickade mejl raderas efter 180 dagar.
- Historiken över ändringar i bokningar sparas i 2 år. Den innehåller inga namn eller kontaktuppgifter.
- Kunder som har bokat finns kvar tills du anonymiserar dem.
Radera och anonymisera
En kund har i många fall rätt att få sina uppgifter raderade, och rätt att få veta vilka uppgifter du har. Svara inom en månad.
I Gaddie anonymiserar du en kund från kundkortet. Namn, kontaktuppgifter, anteckningar, svaren i förfrågningarna och bilderna tas bort, och öppna länkar slutar fungera. Bokningarna finns kvar i kalendern utan namn, så att din historik stämmer.
Kvitton och bokföring har egna regler i bokföringslagen. De ligger utanför Gaddie.
Bilder och platsdata
En bild tagen med mobilen kan innehålla var och när den togs, och med vilken telefon. Det kallas EXIF-data.
Gaddie tar bort platsdata och annan kamerainformation från varje bild när den laddas upp. Bilderna kan bara öppnas av dig när du är inloggad.
Sparar du bilder på andra ställen, till exempel i mobilen eller i en delad mapp, gäller samma ansvar där.
Gaddies servrar finns hos Hostup i Sverige. Mer om det på Om Gaddie.
Hur förfrågan och bokningen går till står i Från DM till bokad tid och på Bokningslänk för tatuerare.
Vanliga frågor
Behöver jag ett personuppgiftsbiträdesavtal?
Ja, med den som sparar uppgifterna åt dig. Avtalet beskriver vad leverantören får göra med uppgifterna.
Hur länge får jag spara en kunds uppgifter?
Så länge du behöver dem för det du samlade in dem till. Bestäm en tid och följ den. Gaddie raderar nekade förfrågningar efter 90 dagar.
Vad gör jag om en kund vill se sina uppgifter?
Kunden har rätt att få veta vilka uppgifter du har om hen. Svara inom en månad. I Gaddie finns allt om kunden samlat på kundkortet.
Får jag lägga upp bilder på kundens tatuering?
Fråga kunden först. En bild där kunden kan kännas igen är en personuppgift, och kunden ska veta var den visas.