CRM és GDPR: mit kell tudnod, ha ügyféladatot tárolsz?
Ha a CRM-ben természetes személyek adatai vannak (egy magánügyfél, vagy egy cégnél a kapcsolattartó neve és e-mail-címe), a GDPR vonatkozik rá. A gyakorlatban öt dolgot kell rendben tartani: minden adatnak legyen jogalapja, csak a szükséges adatot tárold, kérésre add ki vagy töröld, korlátozd, ki fér hozzá, és legyen szerződésed a CRM szolgáltatójával. Ez általános tájékoztatás a rendelet szövege alapján, nem jogi tanácsadás.
Megjelent: · Szerző: a HelloCRM csapata
Az alap CRM örökre ingyenes. Előregisztrálj, és az elsők között jutsz be.
Vonatkozik a GDPR egy kis cég CRM-jére?
Igen, ha azonosítható természetes személyről tárol adatot: a GDPR szerint személyes adat minden információ, amely azonosított vagy azonosítható személyre vonatkozik (4. cikk 1. pont). Ilyen egy magánügyfél neve és telefonszáma, és egy cégnél dolgozó kapcsolattartó neve és munkahelyi e-mail-címe is. A cég maga, a cégnév és az adószám nem személyes adat.
A cég mérete nem mentesít: a rendelet egy háromfős vállalkozásra ugyanúgy vonatkozik, mint egy nagyvállalatra. Néhány nyilvántartási kötelezettség alól a kisebb szervezetek bizonyos feltételekkel mentesülhetnek (30. cikk 5. bekezdés); hogy rátok ez vonatkozik-e, azt adatvédelmi szakemberrel érdemes tisztázni.
Milyen jogalapon tárolhatod az ügyfelek adatait?
A GDPR hat jogalapot sorol fel (6. cikk 1. bekezdés): hozzájárulás, szerződés teljesítése, jogi kötelezettség, létfontosságú érdek, közérdekű feladat és jogos érdek. Egy CRM-ben a legtöbb adat a szerződésre (akinek ajánlatot adsz vagy akivel szerződsz), a jogi kötelezettségre (például a számlák megőrzése) vagy a jogos érdekre épül. A hírlevél jellemzően hozzájárulásra.
Érdemes ügyféltípusonként leírni, melyik jogalapra támaszkodsz, mert egy kérésnél vagy ellenőrzésnél ezt kell megmondanod. A rendelet az elszámoltathatóság elvével azt is előírja, hogy a megfelelést igazolni tudd (5. cikk 2. bekezdés).
Mit jelent az adattakarékosság a CRM-ben?
Részletek
Azt, hogy csak annyi adatot gyűjts, amennyi a célhoz szükséges (5. cikk 1. bekezdés c) pont), és csak addig tárold, ameddig kell (e) pont). Egy CRM-ben ez azt jelenti, hogy ne vegyél fel egyedi mezőt olyasmire, amit senki nem használ (születésnap, személyi igazolvány száma), és időnként nézd át a régóta inaktív kapcsolatokat.
Mit kell tudnod a hozzájárulásról és a hírlevélről?
Részletek
Ha hozzájárulásra építesz, igazolnod kell, hogy az érintett hozzájárult (7. cikk 1. bekezdés), és a visszavonásnak ugyanolyan egyszerűnek kell lennie, mint a megadásnak (7. cikk 3. bekezdés). Ezért egy hírlevélnél azt is érdemes megőrizni, mit, mikor és milyen szöveggel fogadott el valaki, és minden levélben legyen leiratkozó link.
A közvetlen üzletszerzés ellen az érintett bármikor tiltakozhat, és ekkor az adatai erre a célra már nem kezelhetők (21. cikk 2. és 3. bekezdés). Az e-mail-marketingről szóló útmutató a gyakorlati minimumot sorolja végig.
Mit tegyél, ha valaki kéri az adatait vagy a törlést?
Részletek
Az érintettnek joga van megtudni, milyen adatot kezelsz róla, és másolatot kapni (15. cikk), kérni a helyesbítést (16. cikk), bizonyos esetekben a törlést (17. cikk), és az általa megadott adatokat géppel olvasható formában megkapni (20. cikk). A kérésre indokolatlan késedelem nélkül, de legfeljebb egy hónapon belül kell válaszolni, ami indokolt esetben további két hónappal meghosszabbítható (12. cikk 3. bekezdés).
A törlés nem mindig teljes: ami jogi kötelezettség miatt megőrzendő, például egy kiállított számla, az marad. A nehéz rész az, hogy egy CRM-ben ugyanaz az ember sok helyen szerepelhet: a kapcsolatnál, egy webshop-rendelésben, egy időpontban, egy elküldött webhookban. A törlésnek ezeket a másolatokat is el kell érnie.
Ki férhet hozzá az ügyféladatokhoz?
Részletek
A rendelet megfelelő technikai és szervezési intézkedéseket kér az adatok biztonságára (32. cikk). Egy kis cég CRM-jében ez három dolgot jelent: mindenki a saját fiókjával lép be, és ne osszatok meg jelszót; a kolléga csak azt lássa, amire a munkájához szüksége van; és a belépéshez legyen második lépcső, például hitelesítő alkalmazás.
Ha valaki távozik, a hozzáférése a távozás napján szűnjön meg, a nyitott ügyei pedig kerüljenek át egy kollégához, hogy ne maradjon gazdátlan ügyfél.
Kell szerződés a CRM szolgáltatójával?
Részletek
Igen. Egy felhős CRM szolgáltatója a te megbízásodból kezeli az ügyfeleid adatait, vagyis adatfeldolgozó, és vele a GDPR szerint írásban kell szerződni, amely rögzíti például, hogy csak a te utasításodra kezelheti az adatot (28. cikk). Nézd meg azt is, hol tárolják az adatot, és ki tudod-e vinni őket, ha váltanál.
Mi a teendő adatvédelmi incidensnél?
Részletek
Ha egy incidens (például egy elveszett laptop vagy egy rossz címre küldött ügyféllista) kockázattal jár az érintettekre, azt indokolatlan késedelem nélkül, lehetőleg 72 órán belül be kell jelenteni a felügyeleti hatóságnak (33. cikk 1. bekezdés), magas kockázatnál pedig az érintetteket is tájékoztatni kell (34. cikk). Érdemes előre tudni, ki dönt erről a cégnél.
Mit ad ehhez a HelloCRM?
Részletek
- Egy ügyfél összes adata egy kattintással kiadható, és a törlés a másolatokra is kiterjed: webshop-rendelés, webhookok, időpontok.
- Az űrlapokon bekapcsolható kettős megerősítés: a hozzájárulás a kattintáskor rögzül, a megjelenített szöveggel, az idővel és az IP-címmel.
- Szerepkörök és rekordszintű láthatóság: egy kolléga csak a saját ügyfeleit láthatja.
- Kétlépcsős belépés hitelesítő alkalmazással, és naplózott tevékenység.
- A távozó kolléga hozzáférése az utolsó munkanapja után megszűnik, a nyitott ügyei átadhatók.
- A GDPR-eszközök az ingyenes csomag részei. Az adatok helyét a szerződés nevezi meg, és van saját szerveres csomag is.
Ezek eszközök: a jogalapot, a megőrzési időket és a tájékoztatót neked kell meghatároznod, lehetőleg adatvédelmi szakemberrel.
Röviden
Egy CRM-re a GDPR vonatkozik, ha természetes személyek adatait tárolja, a cég méretétől függetlenül. Minden adatnak legyen jogalapja, csak a szükségeset tárold, egy hónapon belül válaszolj az adatkérésekre, korlátozd a hozzáférést, és köss adatfeldolgozói szerződést a szolgáltatóval. A HelloCRM ehhez eszközöket ad (egy kattintásos kiadás, a másolatokra is kiterjedő törlés, hozzájárulás-napló, rekordszintű láthatóság), a döntések viszont a tieid.
Hol olvass tovább?
Gyakori kérdések
Személyes adat egy cégnél dolgozó kapcsolattartó e-mail-címe?
Igen, ha azonosítható személyhez tartozik (például nev.vezeteknev@ceg.hu): a GDPR 4. cikke szerint minden azonosítható természetes személyre vonatkozó információ személyes adat. Egy általános info@ cím nem személyhez kötött.
Mennyi időm van válaszolni egy adatkérésre?
Indokolatlan késedelem nélkül, de legfeljebb egy hónapon belül; indokolt esetben ez további két hónappal meghosszabbítható, amiről az érintettet tájékoztatni kell (GDPR 12. cikk 3. bekezdés).
Törölnöm kell a számlát is, ha az ügyfél a törlését kéri?
Nem: amit jogi kötelezettség miatt meg kell őrizni, az a törlési kérés után is megmarad (GDPR 17. cikk 3. bekezdés b) pont). A többi adatot, például a hírlevél-feliratkozást, törölni kell.
Kell adatfeldolgozói szerződés egy felhős CRM-mel?
Igen: a szolgáltató a te megbízásodból kezeli az adatot, és a GDPR 28. cikke írásbeli szerződést ír elő vele. Ebben szerepel, mire használhatja az adatot, és hogyan segít a kérések teljesítésében.
Források
Ez általános tájékoztatás, nem jogi vagy adótanácsadás. A szabályok forrása: Az (EU) 2016/679 rendelet (GDPR), EUR-Lex (ellenőrizve: )