VDAR saloniem un klīnikām: klientu dati, piekrišana un mārketings

Īsā atbilde: salons ir klientu datu pārzinis, un pierakstu sistēma ir apstrādātājs. Pieraksta apstiprinājumam un atgādinājumam piekrišana parasti nav vajadzīga, jo tie ir daļa no pakalpojuma. Reklāmai pa e-pastu un SMS piekrišana vajadzīga, un tai jābūt reģistrētai ar datumu. Veselības informācija ir īpaši aizsargājami dati. Uz klienta pieprasījumu eksportēt vai dzēst datus jāatbild mēneša laikā. Glabāšanas termiņu nosakāt jūs, nevis programma.

Šis raksts ir praktisks skaidrojums, nevis juridisks atzinums. Tas balstās uz Vispārīgo datu aizsardzības regulu (VDAR) un Informācijas sabiedrības pakalpojumu likumu, stāvoklis 2026. gada oktobrī. Konkrētos jautājumos konsultējieties ar datu aizsardzības speciālistu un pārbaudiet aktuālās redakcijas. Higiēnas prasības šeit neaplūkojam, par tām rakstījām ceļvedī kā atvērt skaistumkopšanas salonu.

Kādi klientu dati ir personas dati

Personas dati ir jebkura informācija par cilvēku, kuru var identificēt. Salonā tas ir gandrīz viss, kas saistīts ar klientu:

• vārds, tālrunis, e-pasts, dzimšanas datums, personas kods, adrese;
• vizīšu vēsture: kurš pakalpojums, pie kura meistara, kad, vai klients ieradās;
• rēķini un maksājumi;
• piezīmes klienta kartītē un fotogrāfijas „pirms” un „pēc”;
• piekrišana vai atteikums saņemt mārketingu.

Atsevišķa kategorija ir veselības dati (VDAR 9. pants): alerģijas, kontrindikācijas, ādas stāvoklis, grūtniecība, medikamenti. Šādu informāciju var apstrādāt tikai uz īpaša pamata, piemēram, ar klienta nepārprotamu piekrišanu, un tai jābūt aizsargātai stingrāk. Praktisks noteikums: kartītē ierakstiet tikai to, kas meistaram tiešām vajadzīgs drošai procedūrai, piemēram, „alerģija pret lateksu”, nevis visu klienta stāstīto par veselību. Klīnikām, kas ir ārstniecības iestādes, medicīniskās dokumentācijas kārtību nosaka atsevišķi normatīvie akti; tās nav jāizdomā pašam, bet jāsaskaņo ar savu juristu.

Katrai datu apstrādei vajag tiesisko pamatu (VDAR 6. pants). Salonam visbiežāk der trīs:

1. Līguma izpilde. Klients pierakstījās, tātad jums vajag viņa vārdu un kontaktu, lai vizīte notiktu un jūs varētu viņu brīdināt par izmaiņām.
2. Juridisks pienākums. Rēķini un grāmatvedības dokumenti jāglabā likumā noteikto laiku.
3. Piekrišana. Reklāmai, jaunumiem un jebkam, ko klients nav pieteicis pats.

Leģitīmās intereses pamats arī pastāv, taču tas prasa izvērtēt, vai klienta intereses un tiesības nav svarīgākas par jūsu interesēm. Mazam salonam vienkāršāk ir balstīties uz līgumu un piekrišanu.

Pakalpojuma ziņa un mārketings

Šī ir vieta, kur kļūdās visbiežāk. Pa vienu un to pašu SMS kanālu var pienākt divu veidu ziņas:

• Pakalpojuma ziņa: apstiprinājums, atgādinājums par rītdienas vizīti, paziņojums par pārcelšanu vai atcelšanu. Klients to sagaida, jo pats pierakstījās. Piekrišana mārketingam šeit nav vajadzīga.
• Mārketinga ziņa: akcija, jaunums, dzimšanas dienas atlaide, „sen neesam redzējušies”. Tas ir komerciāls paziņojums.

Komerciāliem paziņojumiem pa e-pastu un SMS Latvijā ir Informācijas sabiedrības pakalpojumu likuma 9. pants. Pamatnoteikums ir šāds: fiziskai personai tos drīkst sūtīt tikai ar iepriekšēju piekrišanu. Izņēmums ir esošs klients, ja ir izpildīti visi nosacījumi kopā: kontaktu saņēmāt, pārdodot pakalpojumu vai preci, piedāvājat savus līdzīgus pakalpojumus, un klientam bija skaidra un bezmaksas iespēja atteikties gan kontakta iegūšanas brīdī, gan katrā ziņā. Ja kaut viens nosacījums nav izpildīts, vajag piekrišanu. Šī likuma normas un DVI skaidrojumus pārbaudiet aktuālajā redakcijā, pirms būvējat kampaņu uz izņēmuma.

Nejauciet abus veidus vienā ziņā. Atgādinājums, kura beigās ir „un šonedēļ visām krāsošanām -20%”, kļūst par mārketingu. Par atgādinājumu saturu un laiku vairāk lasiet rakstā SMS atgādinājumi klientiem.

Piekrišanas uzskaite

Piekrišanai jābūt brīvai, konkrētai, informētai un nepārprotamai. Praksē tas nozīmē četras lietas:

1. Rūtiņa nav iepriekš atzīmēta. Klusēšana vai iepriekš atzīmēta rūtiņa nav piekrišana.
2. Ir datums. Ja DVI vai klients jautā, jums jāspēj parādīt, kad un kā piekrišana dota.
3. Piekrišana ir konkrēta. Klientam jābūt skaidram, kādus piedāvājumus un jaunumus viņš saņems. Ja ievācat piekrišanu e-pastam un SMS atsevišķi, uzskaitē tās arī glabājiet atsevišķi.
4. Atsaukt ir tikpat viegli kā piekrist. Pēc atsaukuma ziņas vairs nesūta.

Kā tas izskatās Tervitā:

• Lapā Klienti, dialogā Pievienot klientu, ir divas atsevišķas rūtiņas: Piekrīt e-pasta mārketingam un Piekrīt SMS mārketingam. Pēc noklusējuma tās nav atzīmētas.
• Klienta kartītē, blokā Mārketings un avots, redzams Piekrišana e-pastam un Piekrišana SMS ar piekrišanas datumu. Datums tiek ierakstīts automātiski, kad rūtiņa tiek atzīmēta.
• Pieraksta lapā klientam ir viena rūtiņa „Vēlos saņemt piedāvājumus un jaunumus no …” ar jūsu salona nosaukumu, un tā attiecas gan uz e-pastu, gan uz SMS. Tiešsaistes pieraksts piekrišanu var tikai pievienot, nekad to nenoņem.
• Sadaļā Saziņa, cilnē Bloķētie, var bloķēt klienta e-pastu vai tālruni (SMS vai WhatsApp), ja klients no ziņām atteicies. Bloķēšana ir svarīgāka par piekrišanas rūtiņu un aptur arī automātiskos atgādinājumus.

Sīkāk par šiem iestatījumiem lasiet palīdzības rakstā Klientu dati, mārketinga piekrišana un GDPR.

Klienta pieprasījums: eksports un dzēšana

Klientam ir tiesības uzzināt, kādi dati par viņu ir, saņemt to kopiju, labot tos, iebilst pret mārketingu un lūgt dzēšanu. VDAR prasa atbildēt bez nepamatotas kavēšanās un ne vēlāk kā viena mēneša laikā. Sarežģītos gadījumos termiņu var pagarināt, bet par to klients jāinformē pirmā mēneša laikā.

Pirms atbildat, pārliecinieties, ka pieprasījumu sūta pats klients, piemēram, atbildiet uz e-pastu vai tālruni, kas jau ir kartītē. Datus nesūtiet uz jaunu adresi tikai tāpēc, ka kāds to lūdz.

„Dzēst visu” ne vienmēr nozīmē izdzēst katru rindu. Rēķini un grāmatvedības dokumenti jāglabā likumā noteikto laiku arī pēc klienta lūguma. Tāpēc praktiski dzēšana nozīmē noņemt personas datus no visa, kas nav jāglabā, un paturēt tikai to, ko prasa likums.

Tervitā abas darbības ir iestatījumu cilnē GDPR, kas pēc noklusējuma redzama tikai īpašniekiem un biroja vadītājiem:

• Eksportēt datus lejupielādē klienta ierakstu, pierakstus, rēķinus un piekrišanu stāvokli.
• Dzēst neatgriezeniski (anonimizēt) aizstāj vārdu, e-pastu, tālruni, dzimšanas datumu, personas kodu, piezīmes un adresi un noņem abas mārketinga atzīmes. Pieraksti paliek bez personas datiem. Rēķini, arī melnraksti, netiek mainīti: tajos paliek pircēja vārds, adrese, e-pasts un tālrunis, jo rēķini jāglabā likumā noteikto laiku. Darbību nevar atsaukt.

Abas darbības tiek ierakstītas darbību žurnālā. Ievērojiet: klienta noņemšana no saraksta viņu tikai arhivē. Tā nav dzēšana VDAR izpratnē.

Cik ilgi glabāt datus

VDAR nenosaka konkrētu termiņu klientu datiem. Tā prasa glabāt datus ne ilgāk, nekā vajag mērķim (glabāšanas ierobežojuma princips). Tātad termiņš jānosaka jums pašiem un jāpamato.

Praktiska pieeja salonam:

• Rēķini un grāmatvedības dokumenti: tik ilgi, cik prasa grāmatvedības un nodokļu normatīvie akti. Termiņu noskaidrojiet ar grāmatvedi.
• Aktīvu klientu kartītes: kamēr klients nāk pie jums.
• Neaktīvi klienti: nosakiet robežu, piemēram, vairākus gadus kopš pēdējās vizītes, un reizi gadā pārskatiet sarakstu.
• Mārketinga piekrišana: derīga, līdz klients to atsauc.
• Ārstniecības iestādes: medicīniskās dokumentācijas glabāšanas termiņi ir noteikti atsevišķos normatīvajos aktos. Pārbaudiet aktuālo redakciju un nesaīsiniet tos.

Tervita klientu ierakstus automātiski nedzēš. Tie paliek, līdz īpašnieks vai biroja vadītājs tos anonimizē ar roku. Tāpēc glabāšanas termiņu ierakstiet savā iekšējā kārtībā un ielieciet kalendārā gada pārskatu.

Piekļuve pēc lomām

Ne katram darbiniekam vajag redzēt visu. Meistaram vajag savu dienu un klienta piezīmes procedūrai. Administratoram vajag kontaktus. Grāmatvedim vajag rēķinus, bet ne piezīmes par alerģijām. Jo mazāk cilvēku redz datus, jo mazāks risks, ka tie noplūst vai tiek izmantoti nepareizi.

Tervitā ir četras gatavas lomas: Īpašnieks (pilna piekļuve, arī algas un abonements), Biroja vadītājs (viss, izņemot algas un abonementu), Darbinieks (grafiki un kase) un Grāmatvedis (rēķini un kase). Ja vajag ko citu, sadaļā Komanda, lapā Lomas, var izveidot pielāgotu lomu un atzīmēt, ko tā drīkst darīt ar resursu Klienti. Datu eksports un neatgriezeniska dzēšana pēc noklusējuma ir pieejama tikai īpašniekiem un biroja vadītājiem, bet pielāgotai lomai šādu piekļuvi var piešķirt, tāpēc piešķiriet to piesardzīgi.

Ko vēl izdarīt pašiem: katram darbiniekam savs konts (nevis viena kopīga parole reģistratūrā), aizejošam darbiniekam piekļuvi noņemt tajā pašā dienā, un klientu datus nesūtīt personiskos tērzēšanas kanālos.

Pierakstu sistēma kā apstrādātājs

Kad salons lieto pierakstu sistēmu, salons ir pārzinis: tas nosaka, kāpēc un kā klientu dati tiek apstrādāti. Sistēmas piegādātājs ir apstrādātājs: tas apstrādā datus salona vārdā un pēc salona norādījumiem. VDAR 28. pants prasa, lai starp abiem būtu līgums vai cits juridisks akts ar noteiktu saturu (to bieži sauc par datu apstrādes līgumu, angliski DPA), un lai apstrādātājs neiesaistītu apakšapstrādātājus bez pārziņa piekrišanas.

Izvēloties jebkuru sistēmu, pārbaudiet trīs lietas: vai līgums aptver VDAR 28. panta prasības (apstrāde tikai pēc jūsu norādījumiem, konfidencialitāte, drošība, palīdzība klientu pieprasījumu izpildē, datu dzēšana vai atdošana līguma beigās, apakšapstrādātāji); kur dati tiek glabāti; un vai ir publisks apakšapstrādātāju saraksts. Ja kaut kas nav skaidrs, jautājiet piegādātājam. Tervitas lietošanas noteikumos ir apstrādātāja klauzula: attiecībā uz jūsu klientu datiem jūs esat pārzinis un Tervita ir apstrādātājs, kas datus apstrādā pēc jūsu dokumentētiem norādījumiem. Apakšapstrādātāju saraksts un datu glabāšanas vieta ir privātuma politikā.

Ja notiek datu noplūde, kas var radīt risku cilvēkiem, pārzinim tā jāpaziņo Datu valsts inspekcijai 72 stundu laikā. DVI ir arī iestāde, kurā klients var sūdzēties par datu apstrādi un par reklāmu bez piekrišanas.

Kontrolsaraksts

Biežāk uzdotie jautājumi

Vai atgādinājumam par vizīti vajag klienta piekrišanu?

Parasti nē. Apstiprinājums, atgādinājums un ziņa par izmaiņām ir daļa no pakalpojuma, ko klients pats pieteica, tāpēc to pamatā ir līguma izpilde, nevis piekrišana. Piekrišana vajadzīga reklāmai un piedāvājumiem. Ja klients lūdz viņam vairs neko nesūtīt, ievērojiet to arī attiecībā uz atgādinājumiem.

Vai drīkst sūtīt akcijas visiem klientiem, kuri reiz bijuši salonā?

Nē, ne automātiski. Informācijas sabiedrības pakalpojumu likuma 9. pants komerciālus paziņojumus pa e-pastu un SMS ļauj sūtīt ar iepriekšēju piekrišanu. Izņēmums ir esošs klients, kura kontaktu saņēmāt pārdošanas laikā, ja piedāvājat līdzīgus savus pakalpojumus un viņam katru reizi bija iespēja atteikties. Pārbaudiet aktuālo redakciju likumi.lv un Datu valsts inspekcijas skaidrojumos.

Cik ātri jāatbild uz klienta datu pieprasījumu?

VDAR prasa atbildēt bez nepamatotas kavēšanās un ne vēlāk kā viena mēneša laikā. Sarežģītos gadījumos termiņu var pagarināt, bet par to klients jāinformē pirmā mēneša laikā.

Vai Tervita pati dzēš vecus klientu datus?

Nē. Tervita klientu ierakstus automātiski nedzēš. Glabāšanas termiņu nosaka salons, un vecos ierakstus dzēš īpašnieks vai biroja vadītājs ar roku cilnē GDPR, izmantojot „Dzēst neatgriezeniski (anonimizēt)”.

Kas Latvijā uzrauga VDAR ievērošanu?

Datu valsts inspekcija (DVI). Tā izskata sūdzības par personas datu apstrādi un arī par komerciāliem paziņojumiem, ko sūta bez piekrišanas. Ja notiek datu noplūde, kas rada risku cilvēkiem, DVI jāinformē 72 stundu laikā.

Kā sākt

Sāciet ar to, kas jau ir jūsu rokās: pārbaudiet, kuri klienti tiešām ir piekrituši mārketingam, un atdaliet atgādinājumus no reklāmas. Tervitā piekrišanas, bloķētie kontakti, eksports un anonimizēšana ir vienā vietā. Izmēģiniet Tervitu 14 dienas bez maksas, bet plānu un iekļautās funkcijas skatiet cenu lapā.