Hvem ejer kundekartoteket
Man taler om »ejerskab« til data, fordi det er bekvemt. For personoplysninger tænker loven anderledes: den spørger, hvem der beslutter, og hvem der udfører. GDPR kalder den organisation, der »afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling«, for dataansvarlig, og den, der »behandler personoplysninger på den dataansvarliges vegne«, for databehandler (artikel 4, nr. 7 og 8).
I et hostet CRM er den virksomhed, der prospekterer og fakturerer, dataansvarlig. Den leverandør, der driver softwaren, er databehandler: den handler efter instruks og bestemmer ikke, hvad kartoteket bruges til.
Det har tre praktiske konsekvenser:
- Leverandøren handler kun efter instruks. Artikel 28 kræver, at databehandleren »kun behandler personoplysninger efter dokumenteret instruks fra den dataansvarlige«. Et CRM, hvis leverandør genbruger jeres kort til egne formål, falder uden for denne ramme.
- Udtrædelse er en rettighed, ikke en tjeneste. Ved kontraktens ophør skal databehandleren »alt efter den dataansvarliges valg« slette eller tilbagelevere oplysningerne og slette eksisterende kopier, medmindre der er lovkrav om opbevaring.
- Kontrakten siger, hvem der udnytter data. Databehandleraftalen (ofte kaldet DPA) fastsætter instrukser, sikkerhedsforanstaltninger, underdatabehandlere og tilbagelevering. Det er den, I skal læse, før I vælger et CRM, ikke forsiden.
Spørgsmålet »hvem kan åbne mine data, hvilken lovgivning gælder, og hvordan kommer jeg ud« behandles i detaljer i guiden Hvad er en suveræn cloud?. Husk én regel derfra: reversibilitet skrives ind ved underskrivelsen, med format, frist og sletning, og ikke når I opsiger aftalen.
Hvad et CRM indeholder af følsomt
Tag udgangspunkt i de objekter, som ethvert salgs-CRM håndterer, frem for en teoretisk liste over felter: emner, kunder, kontakter, salgsmuligheder, tilbud, ordrer, fakturaer, kreditnotaer og rykkere. Hver af dem indeholder en forskellig type oplysning.
| Objekt | Hvad det indeholder | Hvorfor det er følsomt |
|---|
| Kontakter | Navne, stillinger, e-mails, telefonnumre | Personoplysninger efter GDPR, nyttige for den, der vil kontakte jeres forbindelser |
| Relationshistorik | Opkald, møder, noter, opfølgninger | Afslører status for hver relation, nogle gange en tvist eller utilfredshed |
| Salgsmuligheder | Beløb, sandsynligheder, frister | Viser, hvor I er ved at lukke en aftale, og til hvilken pris |
| Tilbud og ordrer | Priser, rabatter, betingelser | Afslører jeres prispolitik kunde for kunde |
| Fakturaer, kreditnotaer, rykkere | Omsætning, betalingsforsinkelser | Giver et fingerpeg om en kundes finansielle sundhed |
Fritekstnoter kræver særlig opmærksomhed. En sælger skriver nogle gange mere, end der bør stå. GDPR kræver, at data er tilstrækkelige og begrænset til det nødvendige: en note, der ikke hjælper kunderelationen, hører ikke hjemme på kortet.
De personer, hvis kontaktoplysninger står i kartoteket, har rettigheder: indsigt, berigtigelse, sletning, begrænsning, indsigelse og, i de fastsatte tilfælde, dataportabilitet (artikel 15 til 21 i GDPR). Et emne, der spørger, hvad I ved om vedkommende, skal have et fuldstændigt svar. I skal derfor kunne finde og udtrække oplysningerne uden at gennemsøge ti værktøjer.
Hvad helheden afslører
Et enkelt kort siger ikke meget. Hele kartoteket siger næsten alt om virksomhedens salg:
- Pipelinen: hvad I er ved at lukke, hvornår og med hvilken sandsynlighed.
- Koncentrationen: hvor mange kunder der står for hovedparten af omsætningen, og hvilke.
- Sæsonudsvingene: hvornår på året I sælger, følger op og får betaling.
- De kommercielle betingelser: rabatter, betalingsfrister, forhandlede priser.
Det er et billede af aktiviteten, på linje med en hovedbog. Regnskabet siger, hvor meget virksomheden har tjent. CRM siger med hvem, hvordan og hvad der kommer bagefter. For en konkurrent, der forbereder et målrettet tilbud, eller for en medarbejder, der rejser med tanken om at tage et team eller en kundeportefølje med sig, er det sidste ofte mere nyttigt end det første.
Eksempel. En SMV inden for industriel vedligeholdelse med 40 medarbejdere har 60 % af sin omsætning hos tolv kunder. En fuld eksport af CRM giver i én fil de tolv navne, kontaktpersonerne, de anvendte priser og fornyelsesdatoerne for kontrakterne. Intet regnskabsdokument giver disse fire oplysninger samlet.
CRM skal derfor behandles efter samme regler som økonomien: få personer med adgang til alt, rettigheder, der gennemgås, når nogen skifter job, og et spor af ændringer.
Kryptering: hvad den beskytter i et CRM
Et CRM skal kunne læse kortene for at fungere: søge efter en kunde, beregne et dashboard, generere et tilbud, sende en faktura. Dets data er derfor krypteret i hvile med nøgler, som tjenesten kan bruge.
Guiden Hvad er en suveræn cloud? skelner mellem to ordninger:
- Kryptering i hvile med nøgler, som leverandøren administrerer. Den beskytter diske og medier, der bliver stjålet eller kasseret forkert. Den gør ikke data ulæselige for tjenesten selv. Det er ordningen for et CRM.
- Kryptering, hvor kun kunden har nøglen. Det gælder dokumenter, der krypteres ved kilden, eller meddelelser, der signeres og krypteres med S/MIME. Leverandøren kan ikke læse indholdet, men kan heller ikke behandle det.
Det ville være misvisende at præsentere et CRM som »end-to-end-krypteret«. Det, der beskytter kundekartoteket ud over kryptering i hvile, er adgangsrettigheder, logge, kontrakten og den lovgivning, leverandøren er underlagt.
Elektronisk fakturering: et tilsigtet og reguleret udtræk
I Frankrig pålægger reformen af elektronisk fakturering virksomhederne at sende deres fakturaer mellem virksomheder via en godkendt platform, der er registreret af skattemyndighederne. Platformen udsteder, sender og modtager fakturaerne og videregiver visse data til myndighederne.
Tidsplanen offentliggjort af det franske økonomiministerium er følgende:
- 1. september 2026: alle virksomheder, uanset størrelse, skal kunne modtage elektroniske fakturaer. Store og mellemstore virksomheder skal også udstede dem.
- 1. september 2027: pligten til at udstede udvides til SMV’er og mikrovirksomheder.
For CRM betyder det, at faktureringsdata bevidst forlader værktøjet til en tredjepart, der er udpeget ved lov. Det er ikke et læk: destination, format og indhold er fastlagt. De gængse strukturerede formater er CII, UBL og Factur-X. Kontrollér, før I vælger, hvilken platform CRM forbinder til, hvem der driver den, og hvor fakturaens status (indsendt, afvist, betalt) sendes tilbage til.
Hyppige fejl
- At forveksle hosting og ejerskab. Hosting hos en tredjepart overfører ikke ansvaret: virksomheden er fortsat dataansvarlig.
- At give alle sælgere adgang til hele kartoteket af bekvemmelighed ved projektstart uden nogensinde at vende tilbage til det.
- At lade alle beholde eksportrettigheden. At læse et kort og at downloade hele porteføljen er to forskellige rettigheder.
- At glemme kopierne: eksporter på arbejdsstationer, sikkerhedskopier, vedhæftninger i supportsager. Ved kontraktens ophør tæller de også.
Ofte stillede spørgsmål
Må min CRM-leverandør bruge mine kundekort?
Som databehandler må leverandøren kun behandle dem efter jeres dokumenterede instruks. Kontrollér det i databehandleraftalen, og læs vores side om GDPR.
Er kryptering nok til at beskytte et CRM?
Nej. Den beskytter medierne. Rettighederne og kontrakten beskytter brugen. Guiden om suveræn cloud forklarer forskellen.
Hvordan forhindrer jeg en sælger i at tage kundeporteføljen med?
Ved at adskille retten til at læse fra retten til at eksportere. Se Forhindr eksport af kundeporteføljen.
Hvordan adskiller jeg kunderne i to selskaber i en koncern?
Se Hvem ser hvilke kunder i Klytic CRM.
Hvor Klytic står
Klytic CRM håndterer emner, kunder, kontakter, salgsmuligheder, tilbud, ordrer, fakturaer, kreditnotaer og rykkere. Lager, indkøb, projekter og udlæg tilføjes efter behov. Tjenesten kan bruges alene, uden Klytic Mail eller Klytic Docs.
- Rolle. For de CRM-kort, der er betroet tjenesten, er Klytic databehandler i henhold til artikel 28 i GDPR. Der indgås en databehandleraftale med hver kunde.
- Brug af data. Klytic oplyser, at data aldrig bruges til kommercielle formål eller af tredjeparter.
- Hosting. I enhver geografisk zone, der svarer til den gældende jurisdiktion, med forbehold for tjenesternes tilgængelighed, herunder i Europa eller på Mauritius, eller på kundens egne servere. Se Hosting og suverænitet.
- Kryptering. I hvile med nøgler, som tjenesten bruger. Det er ikke en kryptering, hvor kun kunden har nøglen.
- Ind- og udtrædelse. Assisteret import fra et regneark eller et andet program. Ved kontraktens ophør kan data fortsat eksporteres i 30 dage i standardformater med assistance og slettes derefter.
- Elektronisk fakturering. Formaterne CII, Factur-X og UBL, forbindelse til EsaLink (Hubtimize) og SuperPDP. Detaljer på siden Klytic CRM.
- Backup. Hver time, opbevares i 30 dage, gendannelse via supporten, inkluderet eller faktureret afhængigt af årsagen. Klytic CRM har ikke en papirkurv som standard: udvidelsen »papirkurv«, som tilvalg, gør det muligt selv at gendanne et slettet kort og er med til at støtte det open source-projekt, som tjenesten bygger på. Se Sikkerhed og backup.
Klytic er ikke SecNumCloud-kvalificeret. Hvis jeres branche kræver det, er det ikke det rette valg.
Denne side beskriver en generel ramme. Den erstatter ikke en analyse af jeres kontrakt eller juridisk rådgivning.
Juridisk status pr. 11. oktober 2026. Tidsplanen for elektronisk fakturering, der nævnes her, er den, som det franske økonomiministerium har offentliggjort. Den er tidligere blevet ændret: kontrollér den officielle side, før I træffer beslutninger.
Kilder
Gennemgået i oktober 2026.
- GDPR, artikel 4, nr. 7 og 8: definitioner af dataansvarlig og databehandler. cnil.fr
- GDPR, artikel 15 til 21: ret til indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse. cnil.fr
- GDPR, artikel 28: dokumenteret instruks, sletning eller tilbagelevering af data ved opgavens ophør; artikel 32: kryptering blandt sikkerhedsforanstaltningerne. cnil.fr
- Forordning (EU) 2016/679, officiel tekst, betragtning 81 (databehandlerens tilbagelevering eller sletning) og 83 (kryptering). eur-lex.europa.eu
- Tidsplan for elektronisk fakturering i Frankrig: modtagelse for alle virksomheder fra 1. september 2026, udstedelse for SMV’er og mikrovirksomheder fra 1. september 2027. economie.gouv.fr
- De godkendte platformes rolle: udstedelse, afsendelse og modtagelse af fakturaer samt videregivelse af data til myndighederne. impots.gouv.fr
- Klytic CRM: håndterede objekter, moduler, formater og platforme til elektronisk fakturering, hosting. klytic.com
- Kryptering i hvile af CRM-data og forskellen fra en nøgle, som kunden har; reversibilitet. klytic.com
- Klytics rolle som databehandler, databehandleraftale, reversibilitet i 30 dage. klytic.com
