GDPR для готелів і B&B: як тримати дані гостей у нормі

Готель чи B&B щодня обробляє персональні дані — від реєстраційних відомостей до листів-підтверджень. Важливо визначити мету, правову підставу, строки зберігання та заходи захисту для кожного процесу. Цей посібник допомагає зорієнтуватися, а вимоги до вашого закладу варто перевіряти з фахівцем із захисту даних.

Які дані ви обробляєте (часто цього не помічаючи)

Заклад розміщення збирає більше даних, ніж ви уявляєте. Одні обов'язкові за законом, інші потрібні для надання послуги, ще інші ви запитуєте, щоб працювати краще.

• Документи, що посвідчують особу, та анкетні дані (ім'я, дата народження, громадянство) для реєстрації гостей
• Контакти: email і номер телефону для підтвердження бронювання та допомоги гостю
• Платіжні й розрахункові дані, які значною мірою опрацьовує банківський контур
• Уподобання та нотатки щодо перебування (високий поверх, алергії, час прибуття)
• Номерні знаки авто для ZTL чи паркування, якщо потрібно

Правові підстави: чому ви можете їх обробляти

Кожен фрагмент даних має мати правову причину. Це не абстрактна бюрократія: саме це захищає вас, якщо хтось попросить звіту. На практиці для закладу розміщення підстав три.

• Обов'язок за законом: повідомлення про поселених до органів громадської безпеки вимагається законодавством; тут згода не потрібна — навпаки, ви не можете від цього відмовитися
• Виконання договору: щоб керувати бронюванням, перебуванням і оплатою, достатньо необхідних даних, без запиту дозволів
• Згода: потрібна лише для того, що виходить за межі послуги, зазвичай для маркетингу — розсилки, пропозиції, запити відгуків. Вона має бути вільною, конкретною й відкличною

Різниця дуже практична: ви не можете автоматично підписати на розсилку того, хто просто забронював номер.

Як довго їх зберігати

Тримати все назавжди — така сама помилка, як видаляти надто рано. Правило: зберігати кожен фрагмент даних лише доти, доки він служить своїй меті.

• Дані поселених: передача до органів громадської безпеки відбувається у встановлені законом строки — це не маркетинговий архів для повторного використання
• Податкові документи та рахунки-фактури: цивільне й податкове зберігання в Італії зазвичай десятирічне
• Маркетингові контакти: доки гість не відкликав згоду; після цього їх треба видалити
• Уподобання та нотатки щодо перебування: корисні для повернення гостя, але їх слід періодично переглядати й чистити

Добрий принцип: якщо дані більше не служать жодній зі своїх цілей — їх видаляють.

Права гостей

Гість залишається власником своїх даних і може реалізувати певні права. Ви маєте бути здатні відповісти в розумні строки — хоча б через чітку процедуру щодо того, хто цим займається.

• Доступ: знати, які дані ви обробляєте, і отримати їхню копію
• Виправлення: скоригувати помилкову чи неповну інформацію
• Видалення: бути забутим, коли не переважає обов'язок зберігання
• Заперечення проти маркетингу та відкликання згоди будь-коли

Практичні заходи, які варто застосувати одразу

Безпека даних не потребує ІТ-відділу: вона потребує звичок. У малих закладах більшість проблем виникає через залишені де-небудь аркуші й неформальні повідомлення, а не через витончені атаки.

• Обмежений доступ: кожен працівник бачить лише те, що йому потрібно, з особистими, а не спільними обліковими записами
• Жодних чутливих даних на паперових аркушах, у зошитах на рецепції чи в групах WhatsApp
• Дані й документи в зашифрованих системах, зі стійкими паролями і, де можливо, двофакторною автентифікацією
• Копії документів видаляються, щойно вони більше не потрібні
• Внутрішній відповідальний, здатний відреагувати на запит гостя

Підсумок

Для роботи з даними потрібно визначити правові підстави, строки зберігання, доступи й заходи захисту; перелік не вичерпується цим посібником. Під час обговорення пілотної програми HotelOnlineAI можна оцінити потреби закладу у впорядкуванні даних і відповідних налаштуваннях. Ролі, доступ, строки зберігання й документи щодо обробки потрібно узгодити для вашого випадку з фахівцем із захисту даних.