Ce spune GDPR despre datele clienților dintr-un CRM?
Un CRM este, prin definiție, o bază de date cu persoane. Asta îl pune direct sub Regulamentul (UE) 2016/679 și sub supravegherea ANSPDCP în România.
Răspuns scurt
- Fiecare prelucrare are nevoie de un temei legal: consimțământ, contract, obligație legală sau interes legitim.
- Prospectarea B2B se sprijină de obicei pe interes legitim; marketingul prin e-mail sau WhatsApp cere consimțământ.
- Cu furnizorul de CRM semnezi un contract de prelucrare a datelor (DPA) — el este împuternicit, tu ești operator.
- Trebuie să poți răspunde la cererile persoanelor: acces, rectificare, ștergere, portabilitate.
- La o breșă de securitate, termenul de notificare către ANSPDCP este de 72 de ore.
Ce trebuie să existe în CRM ca să fii conform
- Câmp cu temeiul legal și sursa fiecărui contact — de unde a venit și de ce îl prelucrezi.
- Înregistrarea consimțământului pentru comunicare comercială, cu data și canalul.
- Roluri și permisiuni, ca fiecare angajat să vadă doar datele de care are nevoie.
- Jurnal de modificări: cine a modificat o fișă și când.
- Export și ștergere la cerere, în format structurat.
- O politică de retenție — contactele nu se păstrează la nesfârșit „pentru orice eventualitate".
Cele mai frecvente cauze de sancțiune
În controalele ANSPDCP din ultimii ani, cele mai frecvente motive au fost lipsa măsurilor minime de securitate IT și consimțământul neconform — adică bifat implicit, obținut în bloc sau imposibil de retras.
Pentru încălcări grave, amenda poate ajunge la 20 de milioane de euro sau 4% din cifra de afaceri globală anuală.
Greșeli frecvente
- Importul unei baze cumpărate, fără să poți dovedi de unde provin datele.
- Trimiterea listei de clienți pe e-mail sau pe WhatsApp între colegi.
- Acces total pentru toți utilizatorii, „ca să fie mai simplu".
- Lipsa unui DPA semnat cu furnizorul de CRM și cu ceilalți furnizori care ating datele.
- Ștergerea unui contact fără să ștergi și copiile din exporturile locale.
Cum te ajută 4softcrm
- Temeiul legal, sursa și consimțământul se înregistrează ca date structurate pe fiecare contact.
- Roluri și permisiuni granulare, cu jurnal de modificări pe fișă.
- Export și ștergere la cerere, iar datele sunt găzduite în Uniunea Europeană.