Gestionale parrucchiere GDPR: dati clienti e hosting

Un salone di parrucchieri tratta molti più dati personali di quanto la maggior parte dei titolari immagini. Nella scheda cliente ci sono nome, numero di telefono e storico degli appuntamenti, e accanto stanno formule colore, note sulla struttura del capello, indicazioni su intolleranze passate e ogni tanto fotografie. Ognuna di queste voci è un trattamento di cui risponde il salone, anche quando il software è gestito da qualcun altro.

Su un punto la posizione del salone non è discutibile: l'esenzione per i trattamenti a carattere esclusivamente personale o domestico, prevista dall'articolo 2, paragrafo 2, lettera c del GDPR, non vale mai per un'attività professionale. Il salone è titolare del trattamento, il fornitore del software è responsabile del trattamento, e l'autorità di controllo è il Garante per la protezione dei dati personali. Questo articolo mostra come mettere ordine in quella responsabilità nel lavoro di tutti i giorni; non sostituisce una consulenza legale, che per il tuo caso concreto resta la strada giusta.

È dato personale ogni informazione riferibile a una persona identificata o identificabile. In salone rientra molto più dell'elenco degli indirizzi: il numero di telefono usato per il promemoria, l'indirizzo e-mail arrivato con la prenotazione online, lo storico degli appuntamenti, la nota «arriva spesso in ritardo», l'indicazione di chi ha servito l'ultima volta e la formula colore stessa.

Un piccolo gruppo di voci merita un'attenzione a parte, ed è qui che il quadro italiano si stacca da una generica checklist privacy. Le indicazioni su allergie, intolleranze ai coloranti, dermatiti del cuoio capelluto, una gravidanza o una chemioterapia in corso sono dati relativi alla salute: ricadono nell'articolo 9 del GDPR, quindi tra le categorie particolari, e non si trattano sulla base di un interesse legittimo generico. Nella pratica del salone la strada percorribile è il consenso esplicito dell'articolo 9, paragrafo 2, lettera a, raccolto in fase di consulenza, documentato e revocabile. Registrare quelle informazioni non è vietato ed è spesso doveroso per consigliare bene, ma servono una base giuridica dichiarata e un termine di cancellazione proprio, non un campo note aperto in cui finiscono per caso.

Un primo passo pratico non costa nulla: scorri una volta i campi della tua scheda cliente e segna quelli che ti servono davvero per la consulenza. Quello che non serve non va raccolto, e quello che non viene raccolto non può essere né conservato male né divulgato per errore.

La domanda sulla conservazione si pone in salone in modo diverso rispetto ad altre attività, perché qui i dati restano utili per anni. La formula colore di tre anni fa, per una cliente abituale, è un valore e non un residuo. Proprio per questo in salone non si cancella quasi mai, e proprio per questo le schede si riempiono di persone che non entrano da sei o sette anni.

Serve una regola decisa una volta e poi applicata: quanto resta la scheda di chi non torna più? Il principio di limitazione della conservazione, all'articolo 5, paragrafo 1, lettera e, non fissa un numero, quindi il numero lo fissi tu e lo scrivi nell'informativa. Due anni dall'ultimo appuntamento sono un ordine di grandezza usuale per i dati di consulenza; per i dati sulla salute dell'articolo 9 conviene un termine più corto, dichiarato a parte. I documenti contabili seguono un binario diverso e più lungo: le scritture contabili si conservano dieci anni ai sensi dell'articolo 2220 del codice civile e non si cancellano insieme alla scheda.

Verifica poi sul sistema se una regola del genere è realizzabile davvero. Ti mostra le schede rimaste inattive? Si può eliminare una singola scheda senza rendere inservibili gli appuntamenti passati? Un sistema che conosce solo «conserva tutto» trasforma la pulizia in lavoro manuale, e il lavoro manuale in salone non si fa mai.

Dal momento in cui un software conserva per te i dati dei clienti, il fornitore li tratta per tuo conto. Serve il contratto previsto dall'articolo 28 del GDPR, in forma scritta anche elettronica, con il contenuto minimo elencato al paragrafo 3: oggetto e durata, natura e finalità, tipi di dati e categorie di interessati, obblighi di riservatezza, misure di sicurezza, assistenza sui diritti degli interessati e destino dei dati alla fine del rapporto. Non è un modulo da recuperare dopo: senza di esso al trattamento manca la base contrattuale che la norma richiede, ed è il primo documento che ti viene chiesto in caso di controllo.

Prima di decidere chiedi tre cose. La prima: il contratto esiste ed è consultabile senza passare dal commerciale? La seconda: dove stanno i server? Il software per parrucchieri di Salon Wizard è ospitato in Germania; a un fornitore qualsiasi la domanda utile è se il trattamento resta nello Spazio economico europeo e, se non ci resta, su quale garanzia dell'articolo 46 si regge. La terza: quali sub-responsabili sono coinvolti? Quasi nessun fornitore fa tutto in casa, perché hosting, invio delle e-mail, invio degli SMS e raccolta degli errori passano spesso da altri; quell'elenco deve essere consultabile, con l'obbligo di preavviso sulle sostituzioni previsto dall'articolo 28, paragrafo 2.

Due punti vengono dimenticati con regolarità. Il primo è il registro delle attività di trattamento dell'articolo 30: l'esonero pensato per le imprese sotto i 250 dipendenti cade quando il trattamento non è occasionale oppure riguarda categorie particolari di dati, e una scheda clienti con indicazioni sulla salute è entrambe le cose. Il secondo sono gli strumenti che usi intorno al gestionale, che trattano dati anche loro: la conferma mandata in chat, la lista clienti in un foglio di calcolo sul portatile di casa, la foto nel rullino del telefono aziendale. Nella pratica la falla sta quasi sempre lì.

Nel salone a conduzione singola la domanda quasi non si pone; con un team diventa concreta in fretta. Chi copre la reception il sabato deve vedere la nota che una cliente, dopo una chemioterapia, non può ricevere un certo trattamento? E gli apprendisti hanno bisogno dello storico completo di tutti i clienti o soltanto di quello della giornata?

La regola di base è più semplice di come suona: ciascuno vede quello che gli serve per lavorare, e nulla di più. In termini di norma, chi opera sotto l'autorità del titolare va autorizzato e istruito per iscritto, come chiedono l'articolo 29 del GDPR e l'articolo 2-quaterdecies del Codice privacy. In termini pratici significa che il sistema deve distinguere dei ruoli, per esempio reception, team e direzione, e che quei ruoli devono potersi cambiare quando qualcuno cambia mansione.

Il caso che va storto più spesso è l'uscita dal team. Quando qualcuno lascia il salone l'accesso va chiuso, ma la sua storia nel sistema non va cancellata, altrimenti gli appuntamenti passati non sono più attribuibili a nessuno. Verifica in anticipo se il sistema sa disattivare un accesso senza portarsi via lo storico, e stabilisci chi esegue quel passaggio: un accesso a cui nessuno pensa il giorno delle dimissioni resta aperto per mesi.

Queste richieste arrivano di rado, ma arrivano: di solito per e-mail, ogni tanto a voce alla cassa. Una cliente vuole sapere che cosa il salone ha memorizzato su di lei, ed è l'articolo 15; un'altra vuole essere cancellata, ed è l'articolo 17; un terzo vuole correggere un numero di telefono sbagliato, ed è l'articolo 16. Il termine è quello dell'articolo 12, paragrafo 3: un mese, prorogabile di altri due se la richiesta è complessa, purché l'interessato venga avvisato entro il primo mese. A rispondere è il salone, non il fornitore del software.

Prepara quindi due cose finché nessuno chiede nulla. La prima è sapere dove stanno i dati di quella persona: nella scheda, nel calendario, nello storico dei messaggi, nella contabilità. La seconda è poter estrarre un riscontro completo dal sistema senza ricopiarlo a mano; un export per singola scheda cliente è ciò che separa dieci minuti da mezza giornata. La stessa funzione serve per la portabilità dell'articolo 20, che chiede un formato strutturato, di uso comune e leggibile da dispositivo automatico.

Sulla cancellazione vale la riserva del punto due: non tutto può sparire. I dati con rilevanza contabile restano per i termini di conservazione civilistici e fiscali anche quando i dati di consulenza vengono eliminati. Come le due esigenze si conciliano nel caso concreto è esattamente la domanda a cui possono rispondere in modo vincolante una consulenza qualificata o il Garante; una guida come questa può solo mostrarti dove la domanda si pone. Aggiungi il caso peggiore, già che ci sei: in caso di violazione dei dati la notifica al Garante va fatta entro settantadue ore da quando ne vieni a conoscenza, come prevede l'articolo 33, e chi non ha deciso prima chi la scrive, quel giorno non la scrive in tempo.