# Bezpieczeństwo danych klientów w systemie rezerwacji: RODO w salonie - URL: https://bookito.pl/blog/bookito-bezpieczenstwo-rodo-ochrona-danych - Opublikowano: 2026-02-18 - Dla: Salony beauty - Kategoria: O Bookito - Tagi: rodo, bezpieczeństwo danych, system rezerwacji, dane klientek, umowa powierzenia > Salon jest administratorem danych klientek, system rezerwacji tylko je przetwarza. Sprawdź, co z obowiązków RODO robi za Ciebie Bookito, a co zostaje po Twojej stronie. Bezpieczeństwo danych klientów w systemie rezerwacji zależy od dwóch stron. Salon jest administratorem danych klientek i odpowiada za podstawę prawną, zgody oraz odpowiedzi na żądania. System jest podmiotem przetwarzającym: trzyma dane na serwerach, szyfruje wybrane pola, robi kopie zapasowe i daje narzędzia do eksportu oraz usunięcia danych. ## Najważniejsze informacje - Administratorem danych klientek jest salon, a Bookito przetwarza je jako podmiot przetwarzający na podstawie umowy powierzenia, którą na życzenie podpisujemy. - Serwery Bookito stoją w regionie Microsoft Azure Poland Central (Warszawa), a połączenie jest szyfrowane (HTTPS, TLS). - Alergie, notatki zabiegowe i odpowiedzi w formularzach zgód są szyfrowane w bazie algorytmem AES-256-GCM. Imię, telefon i e-mail klientki nie są szyfrowane na poziomie pola. - Dane klientki możesz wyeksportować lub usunąć. Prawo do usunięcia ma wyjątki, na przykład dokumenty potrzebne do rozliczeń podatkowych. - Żaden system nie jest "zgodny z RODO" sam z siebie. Zgodność to Twoje procesy plus narzędzia, które system Ci daje. ## Kto odpowiada za dane klientek: salon czy system rezerwacji? Za dane klientek odpowiada salon. To Ty decydujesz, po co zbierasz imię, telefon i e-mail oraz jak długo je trzymasz, więc według RODO jesteś administratorem. System rezerwacji działa na Twoje polecenie i jest podmiotem przetwarzającym (art. 28 RODO). Relację między wami opisuje umowa powierzenia przetwarzania danych. Bookito przetwarza dane jako podmiot przetwarzający. Umowę powierzenia podpisujemy na życzenie, napisz na kontakt@bookito.pl. Aktualna lista podwykonawców, czyli podprocesorów, jest na stronie [bookito.pl/podprocesorzy](/podprocesorzy). Znajdziesz tam między innymi dostawców chmury, płatności i modeli AI. ## Jakie obowiązki RODO ma salon i co z nich robi system? Salon ma sześć obowiązków, które dotykają systemu rezerwacji. System może pomóc przy każdym, ale żadnego nie przejmuje w całości. | Obowiązek RODO salonu | Co robi system | Co robisz Ty | |---|---|---| | Poinformować klientkę, że przetwarzasz jej dane | Pozwala dodać formularze i zgody do rezerwacji | Utrzymujesz aktualną politykę prywatności salonu | | Zbierać tylko potrzebne dane | Rezerwacja wymaga telefonu i kodu z e-maila, bez zakładania konta | Nie dopisujesz pól, których nie potrzebujesz | | Chronić dane przed wyciekiem | Szyfrowanie połączenia, szyfrowanie wrażliwych pól, kopie zapasowe, osobne dane każdego salonu | Silne hasło, ostrożne nadawanie dostępów zespołowi | | Usunąć dane na żądanie | Usuwanie na żądanie i anonimizacja klientki | Weryfikujesz tożsamość i odpowiadasz w terminie | | Wydać kopię danych na żądanie | Eksport danych klientki | Przekazujesz plik osobie, która o niego prosi | | Mieć zgodę na marketing | Daje formularze i zgody, które możesz zbierać od klientek | Nie wysyłasz marketingu bez zgody na dany kanał | Terminy i wyjątki sprawdzisz w tekście rozporządzenia, link w sekcji Źródła. Najważniejszy: na żądanie osoby masz odpowiedzieć bez zbędnej zwłoki, co do zasady w ciągu miesiąca (art. 12 ust. 3 RODO). ## Bezpieczeństwo danych klientów w Bookito: co dokładnie chronimy? Chronimy dane na trzech poziomach: w drodze do serwera, w bazie i w dostępie. - **W transporcie.** Połączenie z Bookito jest szyfrowane (HTTPS, TLS), a strony mają włączony mechanizm HSTS. Aplikacja łączy się z bazą PostgreSQL przez TLS, a baza nie ma dostępu publicznego. - **W bazie.** Dane szczególnej kategorii, jak alergie, notatki zabiegowe i odpowiedzi w formularzach zgód, szyfrujemy algorytmem AES-256-GCM. Klucz trzymamy poza bazą, w Azure Key Vault. Szyfrujemy też treść wiadomości w skrzynce i zapisy rozmów AIdy. - **W dostępie.** Każdy salon widzi tylko swoje dane, a izolację między salonami pilnuje aplikacja. Hasła przechowujemy w postaci skrótu. Zmiany w danych trafiają do rejestru zmian. Czego nie obiecujemy: nie stosujemy szyfrowania, w którym klucze ma wyłącznie użytkownik, i nie twierdzimy, że "nie widzimy danych". Aplikacja musi odczytać dane, żeby pokazać je w panelu. Numeru karty klientki nie widzimy, bo płatności obsługuje Stripe. ## Gdzie są przechowywane dane klientek salonu? Dane klientek trzymamy na serwerach Microsoft Azure w Polsce, w regionie Poland Central. Baza ma kopie zapasowe z odtwarzaniem do punktu w czasie, z okresem przechowywania 14 dni. Dodatkową nocną kopię bazy trzymamy u innego dostawcy, w Cloudflare R2, a ten magazyn jest w USA. Dlatego nie piszemy, że dane nigdy nie opuszczają Polski. Rozmowy i wiadomości przetwarzane przez AIdę trafiają też do dostawców modeli AI wskazanych w rejestrze podprocesorów. Jeśli klientka zapyta, gdzie są jej dane, daj jej tę odpowiedź w całości. ## Co zrobić, gdy klientka żąda usunięcia swoich danych? Gdy klientka pisze "usuńcie moje dane", masz co do zasady miesiąc na odpowiedź. Zrób cztery kroki: 1. Potwierdź, że prośba pochodzi od tej klientki, na przykład odpowiedzią z numeru telefonu lub adresu e-mail zapisanego w jej karcie. 2. Sprawdź, czy musisz zachować jakieś dane. Dokumenty potrzebne do rozliczeń podatkowych trzymasz przez okres wynikający z przepisów, o szczegóły zapytaj księgową. 3. Usuń klientkę w Bookito albo ją zanonimizuj. Anonimizacja zostawia statystyki bez danych osobowych. 4. Odpisz klientce, co zostało usunięte i czego nie możesz usunąć, wraz z podstawą prawną. Prawo do usunięcia nie jest absolutne. Art. 17 ust. 3 RODO wymienia wyjątki, między innymi obowiązek prawny, który wymaga przechowywania danych. ## Czy możesz wyeksportować bazę klientek i zabrać ją ze sobą? Tak. Dane klientki i salonu możesz w każdej chwili wyeksportować. Klientka ma prawo do kopii swoich danych (art. 15 RODO) i do przeniesienia danych, które sama Ci podała (art. 20 RODO). Salon ma w Bookito własną bazę i może ją pobrać, jeśli zmienia system. Przy przenosinach pamiętaj o zgodach. Zgoda na marketing jest przypisana do kanału (SMS, e-mail, komunikator) i nie przechodzi automatycznie do nowego systemu razem z numerami telefonów. Szczegóły opisuje artykuł o [przeniesieniu bazy klientów a RODO](/blog/rodo-przeniesienie-bazy-klientow). Wzór karty klientki z ankietą zdrowotną i zgodą znajdziesz w tekście [karta klientki do salonu kosmetycznego](/blog/karta-klientki-salon-kosmetyczny-wzor). ## Najczęściej zadawane pytania ### Czy system rezerwacji dla salonu jest zgodny z RODO? Żaden system nie jest zgodny z RODO sam z siebie, bo zgodność dotyczy sposobu, w jaki salon przetwarza dane. Dobry system daje narzędzia: umowę powierzenia, szyfrowanie, eksport i usuwanie danych. Bookito ma te narzędzia, ale polityka prywatności, zgody i odpowiedzi na żądania klientek zostają po stronie salonu. ### Gdzie przechowywane są dane moich klientek w systemie rezerwacji? W Bookito dane są na serwerach Microsoft Azure w regionie Poland Central (Warszawa). Dodatkowa nocna kopia bazy leży w Cloudflare R2 w USA. Treści rozmów AIdy przetwarzają dostawcy modeli AI z rejestru podprocesorów. ### Co zrobić, gdy klientka żąda usunięcia swoich danych? Zweryfikuj, kto prosi, sprawdź, czy musisz coś zachować z powodów prawnych, usuń lub zanonimizuj klientkę i odpowiedz w ciągu miesiąca. Napisz klientce, jakich danych nie możesz usunąć i dlaczego. ### Czy mogę wyeksportować bazę klientów i zabrać ją ze sobą? Tak, dane klientek i salonu możesz wyeksportować w każdej chwili. Pamiętaj, że zgoda marketingowa jest osobna dla każdego kanału. Przed wysyłką marketingu z nowego systemu sprawdź, czy masz zgodę na dany kanał. ### Kto jest administratorem danych klientek: salon czy dostawca systemu? Administratorem jest salon, bo to on decyduje, po co i jak długo przetwarza dane. Dostawca systemu jest podmiotem przetwarzającym i działa na podstawie umowy powierzenia. W Bookito podpisujemy ją na życzenie, napisz na kontakt@bookito.pl. ## Źródła - [Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 12, 15, 17, 20 i 28](https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32016R0679) Zobacz też: [RODO w małym salonie](/blog/rodo-maly-salon), [bezpieczeństwo danych logowania przy migracji](/blog/bezpieczenstwo-migracji-dane-logowania) i [FAQ Bookito](/blog/bookito-faq-pytania-odpowiedzi). Chcesz sprawdzić, jak to wygląda w panelu? [Załóż konto w Bookito](/zaloz-konto) i przejrzyj ustawienia danych klientek.