GDPR για Γυμναστήρια — Τι Πρέπει να Ξέρει Κάθε Owner με Απλά Λόγια

Τι σημαίνει στην πράξη ο νόμος για τα προσωπικά δεδομένα στο γυμναστήριό σου: τι να γράφεις στο site σου, πώς να ζητάς άδεια από μέλη, τι να κάνεις αν χάσεις δεδομένα. Χωρίς νομικίστικα.

Τι είναι το GDPR με απλά λόγια

Το GDPR (ή ΓΚΠΔ στα ελληνικά) είναι ο νόμος που λέει πώς να φυλάς τα στοιχεία των πελατών σου. Όνομα, τηλέφωνο, email, πληροφορίες υγείας (πχ τραυματισμοί), στοιχεία πληρωμής — όλα αυτά είναι "προσωπικά δεδομένα" και έχεις ευθύνη να μην διαρρεύσουν ή χρησιμοποιηθούν λάθος. Τα γυμναστήρια έχουν παραπάνω ευθύνη από μια καφετέρια, γιατί κρατάς και πληροφορίες υγείας (αλλεργίες, παλιοί τραυματισμοί, καρδιακά προβλήματα). Αυτό σε βάζει σε πιο αυστηρή κατηγορία. Τα πρόστιμα φτάνουν εκατομμύρια — γι' αυτό αξίζει να το πάρεις σοβαρά.

Τι πρέπει να γράψεις στο site σου (Privacy Policy)

Πρέπει να έχεις μια σελίδα στο site σου που να εξηγεί στους πελάτες: τι στοιχεία τους ζητάς, γιατί τα χρειάζεσαι, πόσο καιρό τα κρατάς, και ποια δικαιώματα έχουν.

Συγκεκριμένα να αναφέρει:
• Ποιος είσαι (όνομα επιχείρησης, ΑΦΜ, διεύθυνση επικοινωνίας)
• Τι μαζεύεις (όνομα, email, τηλέφωνο, στοιχεία υγείας, παρουσίες)
• Γιατί το μαζεύεις (για να κάνεις τη συνδρομή, να στέλνεις προσφορές αν έχουν συμφωνήσει, κλπ)
• Σε ποιους τα δίνεις (στον λογιστή σου, στο booking σύστημα, στον hosting provider)
• Πόσο καιρό τα κρατάς (πχ "όσο είσαι ενεργό μέλος + 5 χρόνια μετά")
• Πώς μπορούν να σου ζητήσουν να τα διαγράψεις

Γράψε τα σε απλά ελληνικά, όχι σε δικηγορίστικα. Αν δεν το καταλαβαίνει η μαμά σου, ξαναγράψ' το.

Cookie banner — αυτό το παράθυρο που εμφανίζεται όταν μπεις σε site

Αν έχεις site, χρειάζεσαι ένα παράθυρο που να εμφανίζεται στους επισκέπτες όταν μπαίνουν, για να τους ρωτάει αν δέχονται τα cookies (μικρά αρχεία που "θυμούνται" τον χρήστη). Τι πρέπει να κάνει το παράθυρο:

• Να εμφανίζεται πριν φορτώσει το Google Analytics, το Facebook Pixel και άλλα tracking tools
• Να έχει επιλογή «Δέχομαι» αλλά και εύκολη επιλογή «Απορρίπτω»
• Να αφήνει τον χρήστη να επιλέξει τι ακριβώς θέλει (πχ μόνο τα απαραίτητα, ή και τα marketing)

ΠΡΟΣΟΧΗ: Φράσεις τύπου "με τη χρήση του site αποδέχεστε τα cookies" δεν αρκούν πια. Πρέπει ο χρήστης να κάνει ενεργό click.

Συμφωνητικά με όσους χειρίζονται δεδομένα σου

Όποιον "βάζεις στη μέση" να χειριστεί τα στοιχεία των μελών σου, πρέπει να έχεις γραπτή συμφωνία μαζί του ότι θα τα προστατεύσει. Σε ποιους αναφερόμαστε:

• Το booking σύστημά σου (fitVibe Plus)
• Email tools (πχ Mailchimp)
• Τον λογιστή σου
• Τον hosting provider του site σου
• CRM, marketing tools

Αυτή η συμφωνία λέγεται DPA (Data Processing Agreement). Οι σοβαρές εταιρείες έχουν έτοιμο template — απλά τους ζητάς και υπογράφεις. Το fitVibe Plus σου το δίνει μαζί με το onboarding.

Δικαιώματα που έχουν τα μέλη σου

Κάθε μέλος του studio σου έχει το δικαίωμα να σου ζητήσει:

• Να δει τι έχεις γι' αυτόν (να εξάγει όλα τα δεδομένα του)
• Να διορθώσει στοιχεία (πχ άλλαξε τηλέφωνο)
• Να διαγραφεί τελείως ("ξέχασέ με")
• Να μην του στέλνεις άλλο marketing
• Να μεταφέρει τα στοιχεία του σε άλλο γυμναστήριο

Έχεις 30 ημέρες να απαντήσεις σε τέτοιο αίτημα. Setup που χρειάζεσαι:

• Ένα email όπως privacy@studio.gr όπου μπορούν να στείλουν αιτήματα
• Να ζητάς ταυτότητα πριν εκτελέσεις (αλλιώς οποιοσδήποτε θα μπορούσε να ζητήσει τα στοιχεία κάποιου άλλου)
• Καταγραφή κάθε αιτήματος για audit

Τι κάνεις αν χαθούν δεδομένα (data breach)

Αν κάποιος μπει στο σύστημα και κλέψει δεδομένα μελών, ή αν χάσεις laptop με στοιχεία πελατών, ή αν στείλεις κατά λάθος email με προσωπικά στοιχεία σε λάθος άνθρωπο — αυτό λέγεται διαρροή δεδομένων. Έχεις 72 ώρες να ενημερώσεις την Αρχή Προστασίας Προσωπικών Δεδομένων (μέσω dpa.gr) και τα μέλη που επηρεάστηκαν.

Βήματα όταν συμβεί:

1. Δες τι ακριβώς διέρρευσε
2. Σταμάτα το (αλλαγή κωδικών, αφαίρεση πρόσβασης)
3. Αν είναι σοβαρό, ενημέρωσε τα μέλη
4. Κατέγραψε τα πάντα για να έχεις απόδειξη
5. Στείλε αναφορά στο dpa.gr

Συμβουλή: να έχεις γραπτή διαδικασία πριν συμβεί κάτι, όχι μετά. Σε στιγμή κρίσης δεν θα έχεις χρόνο να ψάχνεις.

Λάθη που οδηγούν σε πρόστιμα — απόφυγέ τα

• Excel με στοιχεία πελατών στο προσωπικό σου laptop που τυχόν χαθεί ή κλαπεί
• Στέλνεις προωθητικά email σε όσους γράφτηκαν χωρίς να συμφωνήσουν ρητά να λαμβάνουν marketing (η εγγραφή δεν είναι αυτόματη άδεια για διαφημίσεις)
• Φωτογραφίες μελών στο Instagram χωρίς γραπτή άδειά τους
• Instagram & Viber groups με προσωπικά στοιχεία μελών (τα social/messaging apps δεν είναι σωστό CRM για επαγγελματική χρήση)
• Κάμερες ασφαλείας με υλικό που κρατάς πάνω από 15 μέρες χωρίς λόγο
• Privacy policy μόνο στα αγγλικά ή ανύπαρκτη

Πώς το fitVibe σε καλύπτει αυτόματα

Το fitVibe Plus έχει φτιαχτεί για να καλύπτει τα περισσότερα από αυτά αυτόματα:

• Οι servers είναι στην Ευρώπη (Frankfurt/Αθήνα)
• Όλα τα στοιχεία είναι κρυπτογραφημένα
• Έτοιμο DPA συμφωνητικό για να υπογράψεις
• Έτοιμο template privacy policy που μπορείς να βάλεις στο site σου
• Cookie banner που μπορείς να ενεργοποιήσεις άμεσα
• Αυτόματο export δεδομένων όταν μέλος σου το ζητήσει (κάνεις 2 clicks)
• Διαγραφή ή ανωνυμοποίηση όταν φύγει μέλος
• Καταγραφή ποιος έχει δει τι, για audit

Έτσι δεν χρειάζεται να φτιάξεις GDPR υποδομή μόνος σου — όλα έρχονται έτοιμα.