O que diz o RGPD sobre os dados de clientes num CRM?
Um CRM é, por definição, uma base de dados de pessoas. Isso coloca-o diretamente sob o Regulamento (UE) 2016/679 (RGPD, ou GDPR) e sob a supervisão da autoridade nacional de proteção de dados — em Portugal, a CNPD.
Resposta curta
- Cada atividade de tratamento precisa de uma base legal: consentimento, contrato, obrigação legal ou interesse legítimo.
- A prospeção B2B assenta normalmente no interesse legítimo; o marketing por e-mail ou WhatsApp exige consentimento.
- Assina um acordo de tratamento de dados (DPA) com o fornecedor do CRM — ele é o subcontratante, você é o responsável pelo tratamento.
- Tem de saber responder aos pedidos dos titulares dos dados: acesso, retificação, apagamento, portabilidade.
- Em caso de violação de segurança, o prazo para notificar a autoridade de controlo, em Portugal a CNPD, é de 72 horas.
O que tem de existir no CRM para a conformidade
- Um campo com a base legal e a origem de cada contacto — de onde veio e porque o trata.
- Um registo do consentimento para comunicação comercial, com data e canal.
- Perfis e permissões, para cada colaborador ver apenas os dados de que precisa.
- Um registo de alterações: quem alterou uma ficha e quando.
- Exportação e apagamento a pedido, num formato estruturado.
- Uma política de conservação — os contactos não se guardam indefinidamente “por precaução”.
As causas mais frequentes de sanção
Entre os motivos mais frequentes de sanção aplicados pelas autoridades de proteção de dados da UE estão a ausência de medidas mínimas de segurança informática e o consentimento não conforme — pré-marcado, agrupado ou impossível de retirar.
Nas violações graves, a coima pode chegar aos 20 milhões de euros ou a 4 % do volume de negócios anual mundial.
Erros comuns
- Importar uma lista comprada sem forma de provar de onde vieram os dados.
- Enviar a lista de clientes por e-mail ou por WhatsApp entre colegas.
- Acesso total para todos os utilizadores, “para simplificar”.
- Nenhum DPA assinado com o fornecedor do CRM e com os outros fornecedores que tocam nos dados.
- Apagar um contacto sem apagar as cópias nas exportações locais.
Como o 4softcrm ajuda
- A base legal, a origem e o consentimento ficam registados como dados estruturados em cada contacto.
- Perfis e permissões granulares, com um registo de alterações por ficha.
- Exportação e apagamento a pedido, com os dados alojados na União Europeia.