CRM і GDPR: правові підстави, строки видалення та запити на доступ у щоденних продажах
CRM — місце, де компанія збирає найбільше персональних даних: імена, email, телефони, нотатки з розмов, іноді дні народження й особисті вподобання. Тому захист даних вирішується не стільки вибором постачальника, скільки щоденним поводженням із цими даними. У статті — п'ять пунктів, які роблять CRM стійкою до вимог GDPR у щоденних продажах, з німецькими строками зберігання як прикладом.
1. Правова підстава для кожної групи контактів
Кожне зберігання потребує правової підстави за ст. 6 GDPR. У CRM їх зазвичай три:
- Договір або підготовка до нього (ст. 6(1)(b)): клієнти та потенційні клієнти, що запитали пропозицію.
- Законний інтерес (ст. 6(1)(f)): наприклад контактні особи в бізнес-клієнтів, з якими ви співпрацюєте. Задокументуйте зважування інтересів.
- Згода (ст. 6(1)(a)): наприклад для розсилки. Зберігайте, коли й як її надано.
2. Постачальник, договір і права доступу
З постачальником CRM укладіть договір про обробку даних за ст. 28 GDPR. Перевірте місце зберігання й субпідрядників; для американських постачальників — ще й сертифікацію за EU-US Data Privacy Framework або стандартні договірні положення.
Не менш важливі права всередині команди: не кожному працівникові потрібен доступ до всіх контактів, нотаток і експорту. Ролі та правило, хто може експортувати дані, не дадуть половині бази клієнтів піти разом із менеджером, що звільняється.
3. Нотатки: по суті й стисло
Вільні текстові нотатки — найбільший ризик у CRM, бо за ст. 15 GDPR людина має право на доступ до своїх даних, і це стосується й нотаток. Пишіть лише те, що потрібно для ділових відносин, і так, щоб клієнт міг це прочитати. Дані про здоров'я, здогадки про особисте життя чи зневажливі коментарі там не місце.
4. Політика видалення зі справжніми строками
Дані можна зберігати лише стільки, скільки потрібно для мети, але торгове й податкове право іноді вимагає довгого зберігання. У Німеччині розрізняйте:
- Потенційні клієнти без замовлення: видаляти після визначеного строку, наприклад якщо рік не було контакту.
- Ділові листи й пропозиції, що привели до угоди: шість років за § 257 HGB.
- Бухгалтерські документи, як-от рахунки: з 2025 року вісім років (раніше десять); облікові книги й річна звітність — як і раніше, десять років.
- Ті, хто відписався від розсилки: залишати лише адресу в стоп-списку, щоб їй більше не писати.
5. Вбудуйте доступ, видалення й рекламу в процес
На запит на доступ загалом треба відповісти протягом місяця (ст. 12(3) GDPR). Визначте, хто їх обробляє, і один раз перевірте, чи можете ви вивантажити з CRM усе про одну людину, разом із нотатками й листами.
Email-реклама в Німеччині регулюється § 7 Закону про недобросовісну конкуренцію (UWG): без згоди писати можна лише наявним клієнтам за вузьких умов, наприклад про схожі товари й із можливістю відмовитися в кожному листі. Холодні рекламні листи потенційним клієнтам із CRM заборонені. Автоматичні правила видалення, стоп-списки й експорт для запитів на доступ ми налаштовуємо в межах інтеграції CRM.
Часті питання
- Чи можна вносити до CRM візитки з виставок?
- Загалом так, на підставі законного інтересу для ділового контакту. Але для рекламних листів однаково потрібна згода, якщо не діє виняток за § 7(3) UWG.
- Чи можна використовувати CRM зі США?
- Так, за наявності договору обробки й законної підстави для передачі, наприклад сертифікації постачальника в Data Privacy Framework. Багато постачальників пропонують і хостинг в ЄС.
- Чи треба вносити CRM до реєстру операцій обробки?
- Так. Ведення клієнтів і продажі мають бути в реєстрі за ст. 30 GDPR із метою, категоріями даних, отримувачами та строками видалення.
Джерела
Назвіть свою CRM і як контакти потрапляють туди зараз. Ми налаштуємо правила видалення, стоп-списки й права так, щоб захист даних працював автоматично.
Налаштувати захист даних у CRM