Loyaliteitsdata beveiligen: zo bescherm je klantgegevens

Loyaliteitsdata beveiligen: zo bescherm je klantgegevens

Een digitale spaarkaart levert je waardevolle gegevens op: wie je klanten zijn, hoe vaak ze terugkomen en waar ze op reageren. Die gegevens zijn persoonsgegevens, en dan geldt de AVG. Je moet ze passend beveiligen, je mag ze alleen gebruiken voor het doel waarvoor je ze verzamelde, en bij een datalek heb je in veel gevallen 72 uur om dat te melden. In dit artikel lees je wat dat in de praktijk betekent voor een salon, café of winkel: welke data je echt nodig hebt, hoe je die beschermt, welke afspraken je met je leverancier maakt en wat je doet als het toch misgaat.

Kort samengevat

• Een loyaliteitsprogramma verwerkt persoonsgegevens zoals naam, contactgegevens en bezoekgeschiedenis, dus je bent verplicht die passend te beveiligen.
• Verzamel zo weinig mogelijk: elk gegeven dat je niet opslaat, kan ook niet uitlekken.
• Voor marketingberichten via e-mail, sms of app heb je in de regel vooraf toestemming nodig, en afmelden moet gratis en eenvoudig zijn.
• Leg met je softwareleverancier schriftelijk vast hoe de data beveiligd wordt, wie erbij kan en waar die staat.
• Bij een datalek: direct onderzoeken, schade beperken, intern registreren en zo nodig binnen 72 uur melden bij de Autoriteit Persoonsgegevens.

Inhoudsopgave

• Welke gegevens een spaarprogramma verzamelt
• Wat de AVG van je vraagt
• Toestemming voor gegevens en pushberichten
• Beveiligingsmaatregelen voor salon, café en winkel
• Afspraken met je leverancier
• Hoe lang je bewaart en welke rechten klanten hebben
• Datalek: wat je doet als het misgaat
• Onze kijk: minder gegevens, minder risico
• Een spaarprogramma dat je overzichtelijk houdt
• Veelgestelde vragen
• Bronnen

Welke gegevens een spaarprogramma verzamelt

Loyaliteitsprogramma’s werken met gegevens als naam, adres, aankoopgeschiedenis en klantnummers. Bij een digitale spaarkaart in de Wallet van de telefoon komt daar vaak een geboortedatum bij (voor een verjaardagsactie), een e-mailadres of telefoonnummer, en het moment van elke stempel.

Los lijken die gegevens onschuldig. Samen vertellen ze veel: wanneer iemand naar de kapper gaat, hoe vaak iemand koffie haalt, in welke buurt iemand woont. Daarom kijk je niet alleen naar wat je opslaat, maar ook naar wat iemand met die combinatie zou kunnen doen.

De laatste kolom is de belangrijkste. Een stempelkaart voor koffie werkt prima met een voornaam en een bezoekteller. Een woonadres of volledige geboortedatum voegt voor zo’n programma weinig toe, maar vergroot wel de schade als er iets misgaat.

Wat de AVG van je vraagt

De Algemene verordening gegevensbescherming geldt voor elke verwerking van persoonsgegevens, dus ook voor je spaarprogramma. Het maakt niet uit of je één kapsalon hebt of tien vestigingen. Voor een loyaliteitsprogramma komen de eisen neer op vier punten:

1. Een grondslag. Je hebt een wettelijke reden nodig om de gegevens te verwerken. Bij loyaliteitsprogramma’s is dat meestal toestemming van de klant.
2. Transparantie. De klant weet vooraf welke gegevens je verzamelt, waarvoor, hoe lang je ze bewaart en met wie je ze deelt. Een korte, begrijpelijke privacyverklaring bij de aanmelding regelt dat.
3. Beveiliging. Je neemt passende technische en organisatorische maatregelen, afgestemd op het risico.
4. Privacyrechten. Klanten kunnen hun gegevens inzien, laten corrigeren of verwijderen en hun toestemming intrekken.

De AVG schrijft geen vaste lijst met maatregelen voor. De Autoriteit Persoonsgegevens verwacht dat je het beveiligingsniveau afstemt op de risico’s voor de mensen van wie je gegevens hebt, op de stand van de techniek en op de kosten. Een café met een stempelkaart hoeft dus niet hetzelfde te doen als een bank, maar moet wel kunnen uitleggen waarom de gekozen maatregelen passen.

Wil je weten wat je als ondernemer verder moet regelen, zoals een privacyverklaring en een verwerkingsregister? Ons artikel over AVG en je loyaliteitsprogramma loopt die punten stap voor stap door.

Toestemming voor gegevens en pushberichten

Toestemming telt alleen als die vrij, specifiek, geïnformeerd en ondubbelzinnig is. In de praktijk betekent dat:

• Vrij: de klant kan nee zeggen zonder nadeel bij de gewone dienstverlening. Je knipbeurt of cappuccino hangt niet af van de spaarkaart.
• Specifiek: toestemming voor de spaarkaart is iets anders dan toestemming voor een nieuwsbrief. Vraag ze apart.
• Geïnformeerd: de klant weet waar hij ja tegen zegt, in gewone taal.
• Ondubbelzinnig: een actieve handeling, zoals zelf een vinkje zetten. Een vooraf aangevinkt vakje telt niet.

Voor marketingberichten geldt daarnaast de Telecommunicatiewet. Volgens artikel 11.7 mag digitale direct marketing, zoals e-mail, sms of berichten via een app, alleen met voorafgaande toestemming. Er is een uitzondering voor bestaande klanten aan wie je eigen, soortgelijke producten aanbiedt. Een kapsalon die een vaste klant mailt over een nieuwe behandeling valt daar mogelijk onder, maar een café dat ineens schoenen van een partnerwinkel aanprijst niet.

Hoe dan ook moet een klant zich gratis en makkelijk kunnen afmelden, bijvoorbeeld via een afmeldlink. Bij een Wallet-kaart kan de klant meldingen in de telefoon zelf uitzetten of de kaart verwijderen. Zet in je welkomsttekst gewoon hoe dat werkt. Twijfel je of een bepaald soort bericht onder de uitzondering valt, vraag het dan na bij een privacyjurist voordat je een campagne naar je hele klantenbestand stuurt.

Beveiligingsmaatregelen voor salon, café en winkel

De meeste datalekken in kleine bedrijven ontstaan niet door hackers met geavanceerde aanvallen, maar door alledaagse dingen: een gedeeld wachtwoord, een exportbestand in de mailbox, een oude medewerker die nog kan inloggen. Met deze maatregelen dek je de grootste risico’s af.

1. Doe een korte risicoanalyse

De AP noemt risicoanalyses en passende technische en organisatorische maatregelen als basis. Voor een klein bedrijf kan dat één A4’tje zijn: welke gegevens heb je, waar staan ze, wie kan erbij, en wat gebeurt er als ze op straat liggen? Neem ook de scanner mee: de telefoon of tablet waarmee je QR-codes scant.

2. Verzamel minder

Loop de tabel hierboven na en schrap wat je niet gebruikt. Vraag bij een verjaardagsactie alleen dag en maand. Vraag geen adres als je nooit post stuurt.

3. Geef ieder teamlid een eigen account

Eén gedeelde login voor de hele zaak betekent dat je niet kunt zien wie wat deed, en dat je bij elk vertrek het wachtwoord van iedereen moet wijzigen. Met aparte accounts zet je iemand die vertrekt in één handeling op non-actief. Geef medewerkers die alleen stempels uitdelen geen toegang tot exports of het volledige klantenbestand.

4. Beveilig de apparaten

De telefoon of tablet bij de kassa ligt vaak onbeheerd op de balie. Zet er een schermvergrendeling op, houd het besturingssysteem bijgewerkt en zorg dat je het toestel op afstand kunt wissen als het gestolen wordt.

5. Gebruik sterke, unieke wachtwoorden

Gebruik voor het beheeraccount van je loyaliteitsplatform een wachtwoord dat je nergens anders gebruikt, bij voorkeur uit een wachtwoordmanager. Zet extra verificatie aan als je leverancier dat aanbiedt.

6. Wees zuinig met exports

Een Excel-bestand met alle klanten dat rondgaat per mail of op een USB-stick is een van de grootste risico’s. Laat de data waar die hoort: in het platform. Moet je toch exporteren, verwijder het bestand dan zodra je klaar bent. Voor salons die nu nog met spreadsheets werken, beschrijven we in klantenbestand bijhouden zonder Excel hoe het anders kan.

7. Kies voor versleuteling

Het NCSC raadt aan om gevoelige informatie in de cloud te versleutelen, bijvoorbeeld met een sterk algoritme als AES-256. Dat bouw je als ondernemer niet zelf, maar het is wel een vraag die je je leverancier stelt.

Afspraken met je leverancier

Gebruik je een digitaal loyaliteitsplatform, dan verwerkt die leverancier de klantgegevens namens jou. Jij blijft verantwoordelijk. Daarom leg je afspraken vast: de AVG vereist in artikel 28 een overeenkomst met elke verwerker, meestal de verwerkersovereenkomst genoemd. Het NCSC adviseert bovendien om afspraken met IT-leveranciers schriftelijk en zo meetbaar mogelijk te maken, en daarbij de beveiliging, de toegang tot informatie en de geografische locatie van data en systemen te bespreken.

Deze vragen stel je elke leverancier, ook ons:

Krijg je op deze vragen geen helder antwoord, dan is dat zelf al een antwoord. Een goede leverancier heeft dit op papier staan.

Hoe lang je bewaart en welke rechten klanten hebben

Je mag gegevens alleen bewaren zolang dat nodig is voor het doel, en je stelt daar zelf concrete termijnen voor vast. De AVG geeft geen standaardtermijn voor spaarkaarten. Een redelijke aanpak: verwijder of anonimiseer klantkaarten die een vaste periode niet meer zijn gebruikt, en leg die periode vast in je privacyverklaring. Kies een termijn die past bij je zaak. Een kapper met klanten die eens per twee maanden komen, rekent anders dan een koffiebar met dagelijkse bezoekers.

Klanten hebben bij een loyaliteitsprogramma onder meer deze rechten:

• Inzage: welke gegevens heb je van mij?
• Correctie: mijn e-mailadres klopt niet meer.
• Verwijdering: haal mij uit het systeem.
• Intrekken van toestemming: ik wil geen berichten meer.

De AVG geeft je in principe een maand om op zo’n verzoek te reageren. Een verwijderverzoek hoef je niet altijd in te willigen, bijvoorbeeld als de gegevens nodig zijn bij een juridisch geschil. Bij een gewone spaarkaart is dat zelden het geval. Spreek met je team af wie zulke verzoeken afhandelt, zodat een mailtje van een klant niet blijft liggen.

Datalek: wat je doet als het misgaat

Een datalek is meer dan een hack. Een gestolen tablet met toegang tot je klantenbestand, een mail met klantgegevens naar het verkeerde adres of een oud-medewerker die nog kan inloggen: het zijn allemaal datalekken. De AP geeft een stappenplan voor actie bij een datalek. Vertaald naar een kleine zaak:

1. Onderzoek direct wat er is gebeurd. Welke gegevens, van hoeveel klanten, sinds wanneer?
2. Beperk de schade. Wis een gestolen toestel op afstand, wijzig wachtwoorden, blokkeer accounts, vraag een verkeerde ontvanger de mail te verwijderen.
3. Beoordeel of je moet melden. Is er een risico voor de mensen om wie het gaat, dan meld je het binnen 72 uur nadat je het ontdekte bij de Autoriteit Persoonsgegevens.
4. Informeer zo nodig je klanten. Bij een hoog risico moeten ook de betrokkenen het horen, zodat ze zich kunnen beschermen tegen bijvoorbeeld phishing.
5. Registreer het lek altijd. Elk datalek komt in je interne datalekregister, ook als je het niet hoeft te melden.
6. Neem contact op met je leverancier. Als het lek bij of via het platform ontstond, heb je hun informatie nodig voor je melding.

Wordt je computer of kassasysteem getroffen door ransomware, ga er dan van uit dat het om een datalek gaat. Het NCSC wijst erop dat versleutelde bestanden met persoonsgegevens binnen 72 uur gemeld moeten worden. Schakel bij ransomware direct een IT-specialist in, en betaal niet op eigen houtje losgeld.

De 72 uur zijn sneller om dan je denkt, zeker als een lek op vrijdagavond ontdekt wordt. Leg daarom nu al vast wie in je zaak de beslissing neemt en waar het register staat.

Onze kijk: minder gegevens, minder risico

We zien vaak dat ondernemers bij een loyaliteitsprogramma meteen alles willen weten van hun klanten. Begrijpelijk, maar een spaarkaart werkt niet beter door meer velden in het aanmeldformulier. Wat klanten terugbrengt is een beloning die ze zien en een bericht op het juiste moment. Daarvoor heb je verrassend weinig gegevens nodig.

Daarom hebben we Beepify zo gebouwd dat klanten geen aparte app hoeven te downloaden. De spaarkaart staat in Apple Wallet of Google Wallet, en een stempel komt erbij door een QR-code te scannen. Dat scheelt een extra account, een extra wachtwoord en een extra plek waar gegevens kunnen rondzwerven.

Voor ons is beveiliging ook een kwestie van dagelijkse routine in jouw zaak. Geef elk teamlid een eigen toegang, haal klantgegevens niet uit het systeem als dat niet hoeft, en stuur alleen berichten waar je klant om gevraagd heeft. Een programma dat klanten vertrouwen, levert op de lange termijn meer terugkerende bezoeken op dan een programma dat zoveel mogelijk data verzamelt.

— erenmette

Een spaarprogramma dat je overzichtelijk houdt

Met Beepify geef je klanten een digitale stempel- of spaarkaart in je eigen huisstijl, direct in Apple Wallet of Google Wallet. Stempels komen erbij via een QR-code, je stuurt met één klik een pushbericht, na een bezoek gaat er automatisch een verzoek voor een Google-review uit en je ziet in real time hoe je programma loopt. Met team- en multi-useraccounts geef je medewerkers hun eigen toegang, wat je toegangsbeheer eenvoudig maakt.

Het Starter-pakket kost € 45,00 per maand of € 540 per jaar, Professional € 86,67 per maand of € 1.040 per jaar, en Multi-Location € 207,50 per maand of € 2.490 per jaar. Bekijk alle functies van Beepify of vergelijk de pakketten en prijzen. Wil je eerst weten hoe je het opzet? Lees hoe je een digitaal loyaliteitsprogramma opzet.

Veelgestelde vragen

Is een digitale spaarkaart veiliger dan een papieren kaart?

Een papieren stempelkaart bevat meestal geen persoonsgegevens, dus daar valt weinig te lekken. Een digitale kaart verwerkt wel gegevens, maar staat in een beheerd systeem in plaats van in een schoenendoos of Excel-bestand. Het verschil zit in hoe je het inricht: met weinig gegevens, eigen accounts per medewerker en goede afspraken met je leverancier is een digitale kaart goed te beveiligen.

Heb ik een verwerkersovereenkomst nodig met mijn loyaliteitsleverancier?

Ja. Verwerkt een leverancier klantgegevens namens jou, dan vereist de AVG een overeenkomst waarin staat wat de leverancier met de data mag doen en hoe die beveiligd wordt. Vraag ernaar voordat je begint, niet pas als er iets misgaat.

Mag ik klanten een pushbericht sturen over een aanbieding?

Voor digitale direct marketing is in de regel vooraf toestemming nodig. Er is een uitzondering voor bestaande klanten en eigen, soortgelijke producten, maar ook dan moet afmelden eenvoudig en gratis zijn. Vraag bij de aanmelding voor de spaarkaart duidelijk of de klant berichten wil ontvangen.

Moet ik elk datalek melden bij de Autoriteit Persoonsgegevens?

Niet elk lek hoeft gemeld te worden, maar wel elk lek waarbij een risico ontstaat voor de mensen om wie het gaat, en dat binnen 72 uur. Elk datalek, ook een klein, registreer je in je eigen datalekregister. Twijfel je, gebruik dan het stappenplan van de AP of vraag een privacyjurist om mee te kijken.

Hoe lang mag ik gegevens van oude spaarkaarten bewaren?

Zolang je ze nodig hebt voor het doel van je programma, en geen dag langer. Je stelt zelf een concrete termijn vast, bijvoorbeeld een vaste periode na het laatste gebruik van de kaart, en zet die in je privacyverklaring. Daarna verwijder of anonimiseer je de gegevens.

Bronnen

Algemene verordening gegevensbescherming (EUR-Lex) Grondslag toestemming, Autoriteit Persoonsgegevens Digitale direct marketing, Autoriteit Persoonsgegevens Maatregelen voor beveiliging, Autoriteit Persoonsgegevens Privacyrechten in de praktijk, Autoriteit Persoonsgegevens Zo meldt u een datalek, Autoriteit Persoonsgegevens Stappenplan: kom in actie bij een datalek, Autoriteit Persoonsgegevens Wat te doen bij een ransomware-aanval, NCSC Kiezen van een cloudleverancier, NCSC Geavanceerde informatie over de cloud, NCSC Loyaliteitsprogramma’s en de verwerking van persoonsgegevens, Hospitality Management

Aanbevelingen

• AVG en loyaliteitsprogramma: wat je als ondernemer moet regelen