Kuka hallitsee asiakasrekisteriä
Tietojen ”omistuksesta” puhutaan käytännön syistä. Henkilötietojen osalta laki ajattelee toisin: se kysyy, kuka päättää ja kuka toteuttaa. GDPR kutsuu rekisterinpitäjäksi tahoa, joka ”määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot”, ja henkilötietojen käsittelijäksi tahoa, joka ”käsittelee henkilötietoja rekisterinpitäjän lukuun” (4 artiklan 7 ja 8 kohta).
Palveluna tarjottavassa CRM:ssä rekisterinpitäjä on yritys, joka tekee myyntityötä ja laskuttaa. Ohjelmistoa ylläpitävä palveluntarjoaja on käsittelijä: se toimii ohjeiden mukaan eikä päätä rekisterin käytöstä.
Tästä seuraa kolme käytännön asiaa:
- Palveluntarjoaja toimii vain ohjeiden mukaan. 28 artiklan mukaan käsittelijä käsittelee tietoja ”ainoastaan rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti”. CRM, jonka toimittaja käyttäisi asiakaskorttejanne omiin tarkoituksiinsa, ei pysy näissä rajoissa.
- Tietojen palauttaminen on oikeus, ei palvelus. Sopimuksen päättyessä käsittelijän on ”rekisterinpitäjän valinnan mukaan” poistettava tiedot tai palautettava ne ja hävitettävä olemassa olevat kopiot, ellei laki edellytä säilyttämistä.
- Sopimus kertoo, kuka käyttää tietoja. Tietojenkäsittelysopimus (usein DPA) määrittää ohjeet, turvatoimet, alikäsittelijät ja tietojen palauttamisen. Se kannattaa lukea ennen CRM:n valintaa, ei etusivua.
Kysymystä ”kuka voi avata tietoni, mitä lakia sovelletaan ja miten pääsen palvelusta pois” käsitellään tarkemmin oppaassa Mikä on suvereeni pilvi?. Muistakaa siitä yksi sääntö: palautettavuus kirjataan allekirjoitettaessa (muoto, aikataulu ja poisto) eikä vasta irtisanottaessa.
Mitä arkaluonteista CRM sisältää
Lähtekää liikkeelle objekteista, joita jokainen myynnin CRM hallitsee, älkääkä teoreettisesta kenttäluettelosta: liidit, asiakkaat, yhteyshenkilöt, myyntimahdollisuudet, tarjoukset, tilaukset, laskut, hyvityslaskut ja maksumuistutukset. Kukin niistä sisältää erityyppistä tietoa.
| Objekti | Mitä se sisältää | Miksi se on arkaluonteista |
|---|
| Yhteyshenkilöt | Nimet, tehtävänimikkeet, sähköpostit, puhelinnumerot | GDPR:n tarkoittamia henkilötietoja, hyödyllisiä sille, joka haluaa lähestyä yhteyshenkilöitänne |
| Asiakashistoria | Puhelut, tapaamiset, muistiinpanot, muistutukset | Paljastaa kunkin asiakassuhteen tilan, joskus riidan tai tyytymättömyyden |
| Myyntimahdollisuudet | Summat, todennäköisyydet, aikataulut | Näyttää, missä olette tekemässä kauppaa ja millä hinnalla |
| Tarjoukset ja tilaukset | Hinnat, alennukset, ehdot | Paljastaa hinnoittelupolitiikkanne asiakas kerrallaan |
| Laskut, hyvityslaskut, maksumuistutukset | Liikevaihto, maksuviivästykset | Antaa arvata asiakkaan taloudellisen tilanteen |
Vapaamuotoiset muistiinpanot vaativat erityistä huomiota. Myyjä kirjoittaa niihin joskus enemmän kuin pitäisi. GDPR edellyttää, että tiedot ovat asianmukaisia ja rajattuja siihen, mikä on tarpeen: muistiinpano, joka ei palvele asiakassuhdetta, ei kuulu asiakaskorttiin.
Henkilöillä, joiden yhteystiedot ovat rekisterissä, on oikeuksia: oikeus saada pääsy tietoihin, oikaista, poistaa ja rajoittaa niitä, vastustaa käsittelyä sekä tietyissä tapauksissa siirtää tiedot järjestelmästä toiseen (GDPR:n 15–21 artikla). Liidin, joka kysyy, mitä tiedätte hänestä, on saatava kattava vastaus. Hänen tietonsa on siis voitava löytää ja poimia ilman, että kymmentä työkalua joudutaan penkomaan.
Mitä kokonaisuus paljastaa
Yksittäinen asiakaskortti kertoo vähän. Koko rekisteri kertoo lähes kaiken yrityksen myynnistä:
- Myyntiputki: mitä olette tekemässä kauppaa, milloin ja millä todennäköisyydellä.
- Keskittyminen: kuinka moni asiakas tuo suurimman osan liikevaihdosta, ja ketkä.
- Kausivaihtelu: mihin aikaan vuodesta myytte, muistutatte ja saatte maksut.
- Kaupalliset ehdot: alennukset, maksuajat, neuvotellut hinnat.
Se on kuva liiketoiminnasta samalla tavalla kuin pääkirja. Kirjanpito kertoo, paljonko yritys on ansainnut. CRM kertoo, kenen kanssa, miten ja mitä on tulossa. Kohdennettua tarjousta valmistelevalle kilpailijalle tai työntekijälle, joka lähtee aikeenaan houkutella mukaansa tiimi tai asiakaskanta, jälkimmäinen on usein hyödyllisempi kuin edellinen.
Esimerkki. 40 hengen teollisuuden kunnossapitoyritys tekee 60 % liikevaihdostaan kahdentoista asiakkaan kanssa. Täydellinen CRM-vienti antaa yhdessä tiedostossa nämä kaksitoista nimeä, yhteyshenkilöt, käytetyt hinnat ja sopimusten uusimispäivät. Mikään kirjanpidon asiakirja ei anna näitä neljää tietoa yhdessä.
CRM:ää on siis käsiteltävä samoilla säännöillä kuin taloushallintoa: harvalla on oikeus nähdä kaikki, oikeudet tarkistetaan, kun joku vaihtaa tehtävää, ja muutoksista jää jälki.
Salaus: mitä se suojaa CRM:ssä
CRM:n on luettava asiakaskortteja toimiakseen: haettava asiakasta, laskettava koontinäkymä, luotava tarjous, lähetettävä lasku. Sen tiedot on siksi salattu levossa avaimilla, joita palvelu voi käyttää.
Opas Mikä on suvereeni pilvi? erottaa kaksi mallia:
- Levossa olevan tiedon salaus, palveluntarjoajan hallitsemat avaimet. Se suojaa levyjä ja varastettuja tai huonosti kierrätettyjä tallennusvälineitä. Se ei tee tiedoista lukukelvottomia itse palvelulle. Tämä on CRM:n malli.
- Salaus, jonka avain on vain asiakkaalla. Näin on lähteellä salattujen asiakirjojen tai S/MIME-allekirjoitettujen ja -salattujen viestien kohdalla. Palveluntarjoaja ei voi lukea sisältöä, mutta ei myöskään käsitellä sitä.
CRM:n esittäminen ”päästä päähän salattuna” olisi harhaanjohtavaa. Levossa olevan tiedon salauksen lisäksi asiakasrekisteriä suojaavat käyttöoikeudet, lokit, sopimus ja palveluntarjoajaan sovellettava laki.
Sähköinen laskutus: tarkoituksellinen ja säännelty tiedonsiirto
Ranskassa sähköisen laskutuksen uudistus velvoittaa yritykset välittämään yritysten väliset laskunsa hyväksytyn alustan kautta, jonka veroviranomainen on rekisteröinyt. Alusta lähettää, välittää ja vastaanottaa laskut sekä toimittaa tiettyjä tietoja viranomaiselle.
Ranskan talousministeriön julkaisema aikataulu on seuraava:
- 1.9.2026: kaikkien yritysten koosta riippumatta on pystyttävä vastaanottamaan sähköisiä laskuja. Suurten ja keskisuurten yritysten on myös lähetettävä niitä.
- 1.9.2027: lähetysvelvoite laajenee pk-yrityksiin ja mikroyrityksiin.
CRM:n kannalta tämä tarkoittaa, että laskutustiedot lähtevät tarkoituksellisesti työkalusta lain määräämälle kolmannelle osapuolelle. Kyse ei ole tietovuodosta: kohde, muoto ja sisältö on määritelty. Tavallisia rakenteisia muotoja ovat CII, UBL ja Factur-X. Tarkistakaa ennen valintaa, mihin alustaan CRM liitetään, kuka sitä ylläpitää ja mihin laskun tilatiedot (jätetty, hylätty, maksettu) palautuvat.
Yleisiä virheitä
- Hostingin ja hallinnan sekoittaminen. Tietojen sijoittaminen kolmannelle osapuolelle ei siirrä vastuuta: yritys on edelleen rekisterinpitäjä.
- Kaikille myyjille annetaan näkymä koko rekisteriin helppouden vuoksi projektin alussa, eikä asiaan koskaan palata.
- Vientioikeus jätetään kaikille. Asiakaskortin lukeminen ja koko asiakaskannan lataaminen ovat kaksi eri oikeutta.
- Kopiot unohtuvat: viennit työasemilla, varmuuskopiot, tukipyyntöjen liitteet. Sopimuksen päättyessä nekin lasketaan.
Usein kysyttyä
Voiko CRM-palveluntarjoajani käyttää asiakaskorttejani?
Käsittelijänä se saa käsitellä niitä vain dokumentoitujen ohjeidenne mukaisesti. Tarkistakaa tämä tietojenkäsittelysopimuksesta ja lukekaa GDPR-sivumme.
Riittääkö salaus suojaamaan CRM:n?
Ei. Se suojaa tallennusvälineitä. Oikeudet ja sopimus suojaavat käyttöä. Opas suvereenista pilvestä selittää eron.
Miten estän myyjää viemästä asiakaskantaa mukanaan?
Erottamalla lukuoikeuden ja vientioikeuden. Katso Asiakaskannan viennin estäminen.
Miten konsernin kahden yhtiön asiakkaat erotetaan toisistaan?
Katso Kuka näkee mitkäkin asiakkaat Klytic CRM:ssä.
Klyticin asema
Klytic CRM hallitsee liidit, asiakkaat, yhteyshenkilöt, myyntimahdollisuudet, tarjoukset, tilaukset, laskut, hyvityslaskut ja maksumuistutukset. Varasto, hankinnat, projektit ja kulukorvaukset lisätään tarpeen mukaan. Palvelua voi käyttää yksinään ilman Klytic Mailia tai Klytic Docsia.
- Rooli. Palveluun tallennettujen CRM-tietojen osalta Klytic toimii GDPR:n 28 artiklan tarkoittamana henkilötietojen käsittelijänä. Jokaisen asiakkaan kanssa allekirjoitetaan tietojenkäsittelysopimus.
- Tietojen käyttö. Klytic ilmoittaa, ettei tietoja koskaan käytetä kaupallisiin tarkoituksiin eivätkä kolmannet osapuolet käytä niitä.
- Hosting. Millä tahansa sovellettavaa lainkäyttöaluetta vastaavalla maantieteellisellä alueella palvelujen saatavuuden mukaan, erityisesti Euroopassa tai Mauritiuksella, tai asiakkaan palvelimilla. Katso Hosting ja suvereniteetti.
- Salaus. Levossa, avaimilla joita palvelu käyttää. Kyse ei ole salauksesta, jonka avain olisi vain asiakkaalla.
- Käyttöönotto ja palvelusta poistuminen. Tuetusti toteutettu tuonti taulukkolaskentatiedostosta tai muusta ohjelmistosta. Sopimuksen päättyessä tiedot ovat vietävissä 30 päivän ajan vakiomuodoissa tuen kanssa, minkä jälkeen ne poistetaan.
- Sähköinen laskutus. CII-, Factur-X- ja UBL-muodot, yhteys EsaLinkiin (Hubtimize) ja SuperPDP:hen. Lisätietoja Klytic CRM -sivulla.
- Varmuuskopiointi. Tunneittain, säilytys 30 päivää, palautus tuen kautta, sisältyy hintaan tai laskutetaan syyn mukaan. Klytic CRM:ssä ei oletuksena ole roskakoria: valinnainen ”roskakori”-laajennus mahdollistaa poistetun asiakaskortin palauttamisen itse ja tukee avoimen lähdekoodin projektia, johon palvelu perustuu. Katso Tietoturva ja varmuuskopiointi.
Klyticillä ei ole SecNumCloud-hyväksyntää. Jos toimialanne sitä edellyttää, Klytic ei ole oikea valinta.
Tämä sivu kuvaa yleisiä periaatteita. Se ei korvaa sopimuksenne analyysia eikä oikeudellista neuvontaa.
Oikeudellinen tilanne 11.10.2026. Tässä mainittu sähköisen laskutuksen aikataulu on Ranskan talousministeriön julkaisema. Sitä on muutettu aiemminkin: tarkistakaa virallinen sivu ennen päätöksiä.
Lähteet
Tarkistettu lokakuussa 2026.
- GDPR, 4 artiklan 7 ja 8 kohta: rekisterinpitäjän ja henkilötietojen käsittelijän määritelmät. cnil.fr
- GDPR, 15–21 artikla: oikeus saada pääsy tietoihin, oikaista, poistaa, rajoittaa, siirtää ja vastustaa. cnil.fr
- GDPR, 28 artikla: dokumentoidut ohjeet, tietojen poistaminen tai palauttaminen palvelun päättyessä; 32 artikla: salaus yhtenä turvatoimena. cnil.fr
- Asetus (EU) 2016/679, virallinen teksti, johdanto-osan 81 kappale (käsittelijän suorittama palauttaminen tai poistaminen) ja 83 kappale (salaus). eur-lex.europa.eu
- Sähköisen laskutuksen aikataulu: vastaanottaminen kaikissa yrityksissä 1.9.2026, lähettäminen pk- ja mikroyrityksissä 1.9.2027. economie.gouv.fr
- Hyväksyttyjen alustojen rooli: laskujen lähettäminen, välittäminen ja vastaanottaminen sekä tietojen toimittaminen viranomaiselle. impots.gouv.fr
- Klytic CRM: hallittavat objektit, moduulit, sähköisen laskutuksen muodot ja alustat, hosting. klytic.com
- CRM-tietojen salaus levossa ja ero asiakkaan hallussa olevaan avaimeen; palautettavuus. klytic.com
- Klytic henkilötietojen käsittelijänä, tietojenkäsittelysopimus, 30 päivän palautettavuus. klytic.com
