GDPR a CRM: na čo myslieť, keď evidujete zákazníkov

Krátka odpoveď

Evidovať obchodné kontakty v CRM je v poriadku a na bežnú evidenciu spravidla nepotrebujete súhlas dotknutých ľudí. Musíte však mať v poriadku tri veci: vedieť, na akom základe údaje spracúvate, mať zmluvu s dodávateľom CRM a vedieť ľuďom na požiadanie povedať, čo o nich máte, alebo to vymazať.

Tento článok je praktický prehľad pre malé firmy, nie právne poradenstvo. Pri zložitejšej situácii sa poraďte s odborníkom na ochranu osobných údajov.

Čo sú v CRM osobné údaje (a čo nie)

GDPR chráni údaje o ľuďoch, nie o firmách. V CRM je to rozdelené takto:

Prakticky to znamená, že takmer každé CRM obsahuje osobné údaje, lebo so zákazníkom komunikujete cez konkrétnych ľudí.

Potrebujete súhlas? Väčšinou nie

Najčastejší omyl je, že na zapísanie kontaktu do CRM potrebujete od človeka súhlas. Pri bežnej obchodnej evidencii sa opierate o iné právne základy:

• plnenie zmluvy — so zákazníkom obchodujete alebo sa o zmluve rokuje,
• oprávnený záujem — potrebujete vedieť, s kým ste hovorili, čo ste ponúkli a kedy sa ozvať.

Iná situácia sú hromadné marketingové e-maily. Na ne sa okrem GDPR vzťahujú aj pravidlá zákona o elektronických komunikáciách a spravidla na ne potrebujete súhlas. Výnimkou bývajú vlastní zákazníci, ktorým ponúkate podobné produkty, a aj tí musia mať možnosť sa jednoducho odhlásiť. Zapísať si kontakt do CRM a posielať mu newsletter sú teda dve rôzne veci.

Vy ste prevádzkovateľ, dodávateľ CRM sprostredkovateľ

Keď používate CRM ako službu, GDPR rozlišuje dve role:

• Vy ste prevádzkovateľ. Rozhodujete, koho si do CRM zapíšete a prečo. Zodpovednosť za údaje je vaša.
• Dodávateľ CRM je sprostredkovateľ. Údaje za vás uchováva a spracúva, ale len podľa vašich pokynov.

Medzi vami musí existovať zmluva o spracúvaní osobných údajov (článok 28 GDPR). Nemusí to byť samostatný papier — často je súčasťou obchodných podmienok, ktoré prijmete pri registrácii. Musí však v nej byť, aké údaje dodávateľ spracúva, na aký účel, kto sú jeho subdodávatelia a čo sa stane s údajmi po skončení spolupráce.

Ak dodávateľ CRM takú zmluvu nemá, nie je to len jeho problém. Používate službu, ktorá s osobnými údajmi vašich zákazníkov narába bez zmluvy — a zodpovednosť za to nesiete vy.

Päť otázok, ktoré položte dodávateľovi CRM

1. Kde je zmluva o spracúvaní osobných údajov? Mali by vám ju vedieť ukázať hneď — v obchodných podmienkach alebo ako samostatný dokument.
2. Kde sú moje dáta uložené? Servery v EÚ sú najjednoduchšia situácia. Ak sú mimo EÚ, prenos musí mať právny základ.
3. Kto sú vaši subdodávatelia? Hosting, e-maily, a najmä AI. Ak má CRM AI asistenta, opýtajte sa, komu posiela vaše údaje, v ktorej krajine a či sa na nich AI netrénuje.
4. Ako dostanem údaje von a ako ich vymažem? Keď vás človek požiada o výmaz, musíte to vedieť spraviť naozaj — vrátane poznámok, dokumentov a histórie.
5. Čo sa stane s mojimi dátami, keď skončím? Dobrá odpoveď obsahuje možnosť exportu a konkrétnu lehotu vymazania vrátane záloh.

Na čo myslieť vo vlastnej firme

Ani najlepšie CRM nevyrieši všetko za vás. Tieto veci sú na vás:

• Informujte ľudí. Človek by mal vedieť, že jeho údaje spracúvate. Stačí napríklad odkaz na vaše zásady ochrany údajov v podpise e-mailu.
• Nedržte údaje donekonečna. Stanovte si pravidlo, napríklad že kontakty, s ktorými ste roky neobchodovali a neplánujete, vymažete.
• Každý kolega má vlastné prihlásenie. Žiadne zdieľané heslo. Keď niekto odíde, jeho prístup zrušíte a ostatných sa to nedotkne.
• Na žiadosti odpovedajte do mesiaca. Ak sa vás niekto opýta, aké údaje o ňom máte, alebo požiada o výmaz, máte na odpoveď spravidla jeden mesiac.
• Do poznámok píšte len to, čo potrebujete. Poznámka „rozhoduje o nákupe, preferuje e-mail" je v poriadku. Súkromné postrehy o človeku do CRM nepatria.

Je Excel z pohľadu GDPR bezpečnejší?

Nie — skôr naopak. Tabuľka so zákazníkmi sa posiela e-mailom, kopíruje na USB kľúče a existuje v piatich verziách, z ktorých nikto nevie, ktorá je aktuálna. Keď vás niekto požiada o výmaz, musíte ho nájsť všade.

V CRM je jeden zdroj, prístup má len ten, komu ho dáte, a výmaz spravíte na jednom mieste. Ak prechod z Excelu zvažujete, pomôže vám článok Ako preniesť zákazníkov z Excelu do CRM.

Ako to má NEXIRA CRM

Na tých päť otázok vyššie odpovedáme takto:

• Zmluva o spracúvaní je súčasťou obchodných podmienok (článok 9), ktoré prijímate pri registrácii. Nemusíte o ňu žiadať ani nič podpisovať.
• Dáta sú uložené na serveroch v EÚ (WebSupport, Slovensko).
• Subdodávatelia sú zverejnení v obchodných podmienkach vrátane toho, kde údaje spracúvajú. AI agent využíva služby Anthropic a Voyage AI v USA — až keď ho začnete používať (AI agent je dostupný počas skúšobnej doby a v pláne Premium). Kým ho neotvoríte, vaše údaje poskytovateľom AI neposielame.
• Výmaz a export: firmu vymažete natrvalo jedným tlačidlom vrátane obratov, nahraných dokumentov a cenových ponúk. Údaje si kedykoľvek exportujete.
• Po skončení údaje vymažeme, kópie v zálohách zmiznú najneskôr do 14 dní.
• Každý kolega má vlastné prihlásenie a cena sa za ďalších používateľov nezvyšuje, takže nemáte dôvod zdieľať heslá.

Všetko si vyskúšate 14 dní zdarma a bez karty.

Zhrnutie

GDPR vám evidovať zákazníkov nezakazuje — žiada, aby ste to robili s rozumom. Na bežnú obchodnú evidenciu súhlas nepotrebujete, potrebujete však zmluvu s dodávateľom CRM, prehľad o tom, kam putujú vaše údaje, a schopnosť ich na požiadanie vydať alebo vymazať.

Pri výbere CRM sa preto nepýtajte len na cenu a funkcie. Opýtajte sa aj na tých päť otázok vyššie. Dodávateľ, ktorý na ne vie odpovedať hneď a konkrétne, to s vašimi dátami myslí vážne.