Chi detiene l’archivio clienti
Si parla di «proprietà» dei dati per comodità. Per i dati personali, il diritto ragiona diversamente: chiede chi decide e chi esegue. Il GDPR chiama titolare del trattamento l’organismo che «determina le finalità e i mezzi del trattamento di dati personali», e responsabile del trattamento quello che «tratta dati personali per conto del titolare del trattamento» (articolo 4, punti 7 e 8).
In un CRM ospitato presso terzi, l’azienda che fa prospezione e fattura è titolare del trattamento. Il fornitore che fa funzionare il software è responsabile del trattamento: agisce su istruzione e non sceglie l’uso dell’archivio.
Ne derivano tre conseguenze pratiche:
- Il fornitore agisce solo su istruzione. L’articolo 28 impone che il responsabile tratti i dati personali «soltanto su istruzione documentata del titolare del trattamento». Un CRM il cui fornitore riutilizzasse le Sue schede per fini propri esce da questo quadro.
- L’uscita è un diritto, non un favore. Al termine del contratto, il responsabile deve, «su scelta del titolare del trattamento», cancellare i dati o restituirli, e cancellare le copie esistenti, salvo obbligo legale di conservazione.
- Il contratto dice chi gestisce. Il contratto di nomina a responsabile (spesso chiamato DPA) fissa le istruzioni, le misure di sicurezza, gli eventuali sub-responsabili e la restituzione. È questo che va letto prima di scegliere un CRM, non la home page.
La domanda «chi può aprire i miei dati, quale diritto si applica, come uscirne» è trattata in dettaglio nella guida Che cos’è un cloud sovrano?. Ne ricordi una regola: la reversibilità si mette per iscritto alla firma, con formato, tempi e cancellazione, e non al momento della disdetta.
Che cosa contiene di sensibile un CRM
Parta dagli oggetti che ogni CRM commerciale gestisce, piuttosto che da un elenco teorico di campi: prospect, clienti, contatti, opportunità, preventivi, ordini, fatture, note di credito e solleciti. Ciascuno porta un tipo di informazione diverso.
| Oggetto | Che cosa contiene | Perché è sensibile |
|---|
| Contatti | Nomi, funzioni, e-mail, telefoni | Dati personali ai sensi del GDPR, utili a chi vuole contattare i Suoi interlocutori |
| Storico della relazione | Chiamate, appuntamenti, note, solleciti | Rivela lo stato di ogni relazione, a volte un contenzioso o un’insoddisfazione |
| Opportunità | Importi, probabilità, scadenze | Mostra dove sta per firmare, e a quale prezzo |
| Preventivi e ordini | Prezzi, sconti, condizioni | Espone la Sua politica tariffaria cliente per cliente |
| Fatture, note di credito, solleciti | Fatturato, ritardi di pagamento | Lascia intuire la salute finanziaria di un cliente |
Le note libere richiedono un’attenzione particolare. Un commerciale a volte vi scrive più del dovuto. Il GDPR esige dati adeguati e limitati a quanto necessario: una nota che non aiuta la relazione commerciale non ha posto nella scheda.
Le persone i cui recapiti figurano nell’archivio hanno dei diritti: accesso, rettifica, cancellazione, limitazione, opposizione e, nei casi previsti, portabilità (articoli da 15 a 21 del GDPR). Un prospect che chiede che cosa sa di lui deve ricevere una risposta completa. Occorre quindi poter ritrovare ed estrarre i suoi dati senza frugare in dieci strumenti.
Che cosa rivela l’insieme
Una scheda isolata dice poco. L’intero archivio dice quasi tutto dell’attività commerciale dell’azienda:
- La pipeline: che cosa sta per firmare, quando, e con quale probabilità.
- La concentrazione: quanti clienti generano la maggior parte del fatturato, e quali.
- La stagionalità: in quale periodo dell’anno vende, sollecita, incassa.
- Le condizioni commerciali: sconti, termini di pagamento, prezzi negoziati.
È una fotografia dell’attività, al pari di un libro mastro. La contabilità dice quanto ha guadagnato l’azienda. Il CRM dice con chi, come e che cosa viene dopo. Per un concorrente che prepara un’offerta mirata, o per un dipendente che se ne va con l’idea di portarsi via un team o un portafoglio, il secondo è spesso più utile della prima.
Esempio. Una PMI di manutenzione industriale di 40 persone realizza il 60% del fatturato con dodici clienti. Un’esportazione completa del CRM fornisce, in un solo file, i dodici nomi, gli interlocutori, i prezzi praticati e le date di rinnovo dei contratti. Nessun documento contabile fornisce queste quattro informazioni insieme.
Il CRM va quindi trattato con le stesse regole della finanza: poche persone autorizzate a vedere tutto, permessi rivisti quando qualcuno cambia ruolo e una traccia delle modifiche.
Cifratura: che cosa protegge in un CRM
Un CRM deve leggere le schede per funzionare: cercare un cliente, calcolare un cruscotto, generare un preventivo, inviare una fattura. I suoi dati sono quindi cifrati a riposo, con chiavi che il servizio può utilizzare.
La guida Che cos’è un cloud sovrano? distingue due regimi:
- Cifratura a riposo, chiavi gestite dal fornitore. Protegge i dischi e i supporti rubati o smaltiti male. Non rende i dati illeggibili per il servizio stesso. È il regime di un CRM.
- Cifratura di cui solo il cliente detiene la chiave. È il caso dei documenti cifrati alla fonte o dei messaggi firmati e cifrati in S/MIME. Il fornitore non può leggere il contenuto, ma non può nemmeno elaborarlo.
Presentare un CRM come «cifrato end-to-end» sarebbe ingannevole. Ciò che protegge l’archivio clienti, oltre alla cifratura a riposo, sono i permessi di accesso, i log, il contratto e il diritto applicabile al fornitore.
Fatturazione elettronica: un’uscita voluta e regolata
In Francia, la riforma della fatturazione elettronica obbliga le imprese a far transitare le fatture tra imprese attraverso una piattaforma accreditata, immatricolata dall’amministrazione fiscale. Questa piattaforma emette, trasmette e riceve le fatture, e trasmette alcuni dati all’amministrazione.
Il calendario pubblicato dal Ministero dell’Economia francese è il seguente:
- 1° settembre 2026: tutte le imprese, a prescindere dalle dimensioni, devono poter ricevere fatture elettroniche. Le grandi imprese e le imprese di dimensioni intermedie devono anche emetterle.
- 1° settembre 2027: l’obbligo di emissione si estende alle PMI e alle microimprese.
Per il CRM, ciò significa che dati di fatturazione escono volontariamente dallo strumento verso un terzo designato dalla legge. Non è una fuga di dati: destinazione, formato e contenuto sono stabiliti. I formati strutturati usuali sono CII, UBL e Factur-X. Prima di scegliere, verifichi a quale piattaforma si collega il CRM, chi la gestisce e dove vengono restituiti gli stati della fattura (depositata, rifiutata, pagata).
Errori frequenti
- Confondere hosting e titolarità. Affidare l’hosting a un terzo non trasferisce la responsabilità: l’azienda resta titolare del trattamento.
- Dare a tutti i commerciali la vista sull’intero archivio, per comodità, all’avvio del progetto, senza mai tornarci sopra.
- Lasciare il diritto di esportazione a tutti. Leggere una scheda e scaricare l’intero portafoglio sono due permessi diversi.
- Dimenticare le copie: esportazioni sui PC, backup, allegati dei ticket. Alla fine di un contratto contano anche loro.
Domande frequenti
Il mio fornitore di CRM può utilizzare le mie schede clienti?
In quanto responsabile del trattamento, deve trattarle solo su Sua istruzione documentata. Lo verifichi nel contratto di nomina a responsabile e legga la nostra pagina GDPR.
La cifratura basta a proteggere un CRM?
No. Protegge i supporti. I permessi e il contratto proteggono l’uso. La guida cloud sovrano illustra la differenza.
Come impedire a un commerciale di portarsi via il portafoglio?
Separando il diritto di leggere da quello di esportare. Veda Impedire l’esportazione del portafoglio.
Come separare i clienti di due società di un gruppo?
Veda Chi vede quali clienti in Klytic CRM.
Dove si colloca Klytic
Klytic CRM gestisce prospect, clienti, contatti, opportunità, preventivi, ordini, fatture, note di credito e solleciti. Magazzino, acquisti, progetti e note spese si aggiungono secondo le necessità. Il servizio si usa da solo, senza Klytic Mail né Klytic Docs.
- Ruolo. Per le schede CRM affidate al servizio, Klytic agisce come responsabile del trattamento ai sensi dell’articolo 28 del GDPR. Con ogni cliente viene firmato un accordo sul trattamento dei dati.
- Uso dei dati. Klytic dichiara che i dati non sono mai utilizzati a fini commerciali né da terzi.
- Hosting. In qualsiasi area geografica corrispondente alla giurisdizione applicabile, fatta salva la disponibilità dei servizi, in particolare in Europa o a Mauritius, oppure sui server del cliente. Veda Hosting e sovranità.
- Cifratura. A riposo, con chiavi che il servizio utilizza. Non è una cifratura di cui solo il cliente detiene la chiave.
- Ingresso e uscita. Importazione assistita da un foglio di calcolo o da un altro software. A fine contratto, i dati restano esportabili per 30 giorni in formati standard, con un accompagnamento, poi vengono cancellati.
- Fatturazione elettronica. Formati CII, Factur-X e UBL, collegamento a EsaLink (Hubtimize) e SuperPDP. Dettagli nella pagina Klytic CRM.
- Backup. Ogni ora, conservato 30 giorni, ripristino tramite il supporto, incluso o a pagamento a seconda della causa. Klytic CRM non ha un cestino per impostazione predefinita: l’estensione «cestino», come opzione, permette di recuperare autonomamente una scheda eliminata e contribuisce a sostenere il progetto open source su cui si basa. Veda Sicurezza e backup.
Klytic non è qualificato SecNumCloud. Se il Suo settore lo richiede, non è la scelta giusta.
Questa pagina descrive un quadro generale. Non sostituisce l’analisi del Suo contratto né una consulenza legale.
Quadro giuridico all’11 ottobre 2026. Il calendario della fatturazione elettronica qui citato è quello pubblicato dal Ministero dell’Economia francese. È già stato modificato in passato: verifichi la pagina ufficiale prima di qualsiasi decisione.
Fonti
Consultate a ottobre 2026.
- GDPR, articolo 4, punti 7 e 8: definizioni di titolare del trattamento e di responsabile del trattamento. cnil.fr
- GDPR, articoli da 15 a 21: diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. cnil.fr
- GDPR, articolo 28: istruzione documentata, cancellazione o restituzione dei dati al termine della prestazione; articolo 32: cifratura tra le misure di sicurezza. cnil.fr
- Regolamento (UE) 2016/679, testo ufficiale, considerando 81 (restituzione o cancellazione da parte del responsabile) e 83 (cifratura). eur-lex.europa.eu
- Calendario della fatturazione elettronica: ricezione da parte di tutte le imprese al 1° settembre 2026, emissione da parte di PMI e microimprese al 1° settembre 2027. economie.gouv.fr
- Ruolo delle piattaforme accreditate: emissione, trasmissione, ricezione delle fatture e trasmissione di dati all’amministrazione. impots.gouv.fr
- Klytic CRM: oggetti gestiti, moduli, formati e piattaforme di fatturazione elettronica, hosting. klytic.com
- Cifratura a riposo dei dati del CRM e distinzione con la chiave detenuta dal cliente; reversibilità. klytic.com
- Ruolo di responsabile del trattamento di Klytic, accordo sul trattamento, reversibilità di 30 giorni. klytic.com
