GoHighLevel a GDPR se většinou řeší od špatného konce. Firma se zeptá, kde leží servery, dostane uklidňující odpověď a víc nezkoumá. Skutečná rizika přitom leží jinde: v tabulce se starými kontakty, v zaškrtávacím políčku na formuláři a v prvním newsletteru, který odejde lidem, kteří o něj nikdy nežádali.
U účtů, které přebírám po někom jiném, vídám pořád stejný obrázek. Celá databáze pod jedním štítkem s názvem importu, bez data a bez zdroje. Kampaň už na ni jednou odešla. A dnes nikdo neumí říct, komu z těch lidí se psát smělo.
Kde leží data a kdo za ně odpovídá
Data v GoHighLevelu leží na serverech ve Spojených státech a odpovědnost za ně nesete vy. HighLevel vystupuje u vašich kontaktů jako zpracovatel, vy jako správce: rozhodujete, co nahrajete, proč a jak dlouho to držíte.
Zpracovatelskou smlouvu nemusíte nikde podepisovat zvlášť. Podle textu na webu HighLevelu platí od chvíle, kdy přijmete podmínky služby, a podepsanou kopii si můžete stáhnout. Přenos do Ameriky kryjí standardní smluvní doložky a HighLevel je navíc certifikovaný podle rámce EU-U.S. Data Privacy Framework. Únik dat vám HighLevel podle smlouvy oznámí nejpozději do 72 hodin a na námitku proti novému subdodavateli máte třicet dní.
Jedna věta ve smlouvě stojí za pozornost. Mezi vaše pokyny HighLevel počítá i anonymizaci dat a provoz svých AI funkcí. Kdo dodává velkým zákazníkům s vlastními pravidly, má to vědět dřív než oni. Na co se ptát u ostatních služeb, rozebírám v článku o tom, kam tečou data u AI nástrojů.
Smlouvu s HighLevelem za vás vyřeší jedno kliknutí na podmínky služby. Souhlasy vašich zákazníků za vás nevyřeší nikdo.
Komu smíte psát bez souhlasu?
Bez souhlasu smíte psát jen vlastním zákazníkům, a to o vlastních obdobných výrobcích nebo službách. Ostatním lidem podle zákona č. 480/2004 Sb. obchodní sdělení pošlete jedině s jejich předchozím souhlasem.
Zákazník přitom znamená člověka, který s vámi uzavřel smlouvu, klidně i bezplatnou. Podle častých otázek, které k zákonu vede Úřad pro ochranu osobních údajů, jím není zájemce z poptávky ani účastník soutěže. Koupená databáze je podle úřadu pro rozesílku prakticky nepoužitelná. A obchodním sdělením je víc zpráv, než by člověk čekal: přání k Vánocům, k narozeninám i prosba o recenzi.
Pro stěhování je nejdůležitější jiná odpověď z téhož seznamu. Lidi, kteří nejsou vašimi zákazníky, nesmíte o souhlas žádat e-mailem ani SMS, protože i taková žádost je obchodním sdělením. Oblíbený nápad „před importem všem napíšeme, ať potvrdí, že chtějí novinky dál“ tím padá. Souhlas se sbírá tam, kam člověk přijde sám: na webu, ve formuláři, při objednávce.
Stěhování kontaktů: o souhlasu se rozhoduje v den importu
Každý kontakt by měl do GoHighLevelu přijít s informací, odkud je a na čem stojí jeho zpracování. Doplnit ji později je skoro nemožné, protože za rok si nikdo nevzpomene, ze které akce adresa pochází.
Rodný list kontaktu
Čtyři údaje, které má mít každý kontakt v CRM: odkud přišel, kdy, na jakém právním základě s ním pracujete a čím to doložíte (potvrzený formulář, objednávka, smlouva). Bez nich nedokážete odpovědět na nejjednodušší otázku zákazníka i úřadu: proč mi píšete?
Před importem proto rozdělím CSV na tři hromádky. Zákazníci s objednávkou nebo smlouvou jdou do kampaní o obdobných službách. Lidé s doloženým souhlasem jdou do newsletteru. Všichni ostatní se naimportují jen do CRM, se štítkem a bez kampaní, dokud souhlas sami nedají. Třídím tak při každém stěhování z jiných nástrojů. Na seznam věcí, které si ohlídat před migrací, patří stejně samozřejmě jako záloha dat.
V GoHighLevelu na to stačí vlastní pole Právní základ s hodnotami souhlas, smlouva a oprávněný zájem a k němu štítek pro rychlé filtrování. Popisuje to přímo nápověda HighLevelu. Import umí kontaktům rovnou přidat štítek, takže hromádku označíte jedním krokem. Jedna past: když v CSV necháte sloupec DND, GoHighLevel kontaktu vypne všechny kanály naráz. Zákaz jen pro e-mail se nastavuje přes štítek a workflow. Hromádku zákazníků pak můžete opatrně probudit reaktivační kampaní.
Deset náhodných řádků
Otevřete export ze starého nástroje a vyberte deset náhodných kontaktů. U každého zkuste říct, odkud je, kdy přišel a čím byste doložili souhlas. Důkazní břemeno podle úřadu nese odesílatel, takže souhlas, který nedoložíte, se počítá, jako byste ho neměli.
Co pro souhlasy umí GoHighLevel sám
GoHighLevel má na souhlasy tři nástroje: zaškrtávací políčko na formulářích, potvrzovací e-mail přes workflow a zákaz komunikace u kontaktu. Dohromady pokryjí sběr, doložení i odhlášení.
Políčko se souhlasem přidáte do formuláře, rezervačního kalendáře, objednávkového formuláře i do chatu na webu a odpověď se uloží ke kontaktu. U chatu nastavení nabízí i předem zaškrtnuté políčko. Tuhle volbu nechte vypnutou, protože podle nařízení GDPR (recitál 32) předem zaškrtnuté políčko souhlasem není. Doklad pak obstará potvrzovací e-mail: kontakt dostane odkaz a teprve kliknutím se dostane do newsletteru. Úřad tenhle postup, takzvaný double opt-in, sám doporučuje. Weby a funnely v GoHighLevelu umí i cookie lištu. Jak ji mít ve vlastní značce, rozebírám zvlášť.
DND (Do Not Disturb)
Zákaz komunikace u kontaktu v GoHighLevelu, zvlášť pro e-mail, SMS, hovory, WhatsApp a další kanály. U e-mailu se zapne sám, když se člověk odhlásí, označí zprávu jako spam nebo adresa trvale nedoručuje. Faktury a upozornění z kalendáře projdou dál, marketing ne. DND tak slouží jako seznam lidí, kteří si vaše zprávy nepřejí. Právě takový seznam chce úřad po každém odesílateli.
Každé obchodní sdělení musí nést jasnou identifikaci odesílatele a funkční odkaz na odhlášení. Úřad doporučuje dát označení typu „newsletter“ nebo „akce“ rovnou do předmětu. A když vás někdo požádá o výmaz, kontakt smí smazat jen administrátor. Smazaný kontakt jde šedesát dní obnovit, jenže konverzace a poznámky už se nevrátí.
Kdy to nastavením nevyřešíte
Celé třídění se nevyplatí firmě, která z GoHighLevelu žádné kampaně neposílá. Kdo jím jen potvrzuje rezervace a posílá faktury, odpovídá lidem na jejich vlastní žádost a tři hromádky řešit nemusí. Databázi o pár desítkách lidí projdete ručně za odpoledne.
Opačný konec jsou kliniky, poradny a všichni, kdo do formulářů sbírají údaje o zdraví. Tam nastavení nestačí a patří k tomu právník. Na rovinu: nejsem advokát a tenhle článek není právní rada. Popisuju, jak zákon vykládá úřad a jak to promítám do nastavení. O sporných případech rozhoduje advokát, ne políčko v CRM.
Celý systém v kostce
- Stáhněte si podepsanou zpracovatelskou smlouvu a na každý formulář dejte odkaz na zásady ochrany osobních údajů.
- Před importem rozdělte kontakty na zákazníky, lidi se souhlasem a ostatní.
- Každému kontaktu dejte vlastní pole s právním základem a štítek se zdrojem.
- Na formuláře přidejte nezaškrtnuté políčko se souhlasem a za něj potvrzovací e-mail.
- Hlídejte DND, aby odhlášený člověk nedostal marketing ani z jiné kampaně.
- Do kampaní pouštějte jen první dvě hromádky a zbytek nechte v CRM.
Servery v Americe tak v celé věci zaberou nejmíň práce. Rozhoduje odpoledne nad tabulkou, kdy ke každé adrese připíšete, odkud se vzala. Kdo to nechce skládat sám, může si nastavení GoHighLevelu objednat u mě. Kontakty roztřídím i naimportuju a od prvního hovoru po předání mluvíte pořád se mnou. První newsletter pak odejde jen lidem, kteří o něj stáli.
