Wie het klantenbestand in handen heeft
Gemakshalve spreekt men van ‘eigendom’ van gegevens. Voor persoonsgegevens redeneert het recht anders: het vraagt wie beslist en wie uitvoert. De AVG noemt verwerkingsverantwoordelijke de organisatie die ‘het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt’, en verwerker degene die ‘ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt’ (artikel 4, punten 7 en 8).
In een gehost CRM is de onderneming die prospecteert en factureert de verwerkingsverantwoordelijke. De dienstverlener die de software laat draaien, is verwerker: hij handelt op instructie en kiest niet waarvoor het bestand wordt gebruikt.
Daaruit volgen drie praktische gevolgen:
- De dienstverlener handelt alleen op instructie. Artikel 28 bepaalt dat de verwerker de gegevens ‘uitsluitend verwerkt op basis van schriftelijke instructies van de verwerkingsverantwoordelijke’. Een CRM waarvan de leverancier uw fiches voor eigen doeleinden zou hergebruiken, valt buiten dat kader.
- Vertrekken is een recht, geen gunst. Aan het einde van het contract moet de verwerker, ‘naargelang de keuze van de verwerkingsverantwoordelijke’, de gegevens wissen of terugbezorgen en de bestaande kopieën verwijderen, behalve bij een wettelijke bewaarplicht.
- Het contract bepaalt wie exploiteert. De verwerkersovereenkomst (vaak DPA genoemd) legt de instructies, de beveiligingsmaatregelen, de subverwerkers en de teruggave vast. Die moet u lezen voordat u een CRM kiest, niet de homepage.
De vraag ‘wie kan mijn gegevens openen, welk recht is van toepassing, hoe stap ik eruit’ wordt uitgebreid behandeld in de gids Wat is een soevereine cloud?. Onthoud er één regel uit: omkeerbaarheid legt u vast bij de ondertekening, met formaat, termijn en verwijdering, en niet op het moment van opzeggen.
Wat een CRM aan gevoelige gegevens bevat
Vertrek van de objecten die elk commercieel CRM beheert, eerder dan van een theoretische lijst van velden: prospects, klanten, contactpersonen, verkoopkansen, offertes, bestellingen, facturen, creditnota’s en herinneringen. Elk bevat een ander soort informatie.
| Object | Wat het bevat | Waarom het gevoelig is |
|---|
| Contactpersonen | Namen, functies, e-mailadressen, telefoonnummers | Persoonsgegevens in de zin van de AVG, nuttig voor wie uw gesprekspartners wil benaderen |
| Relatiehistoriek | Gesprekken, afspraken, notities, herinneringen | Toont de stand van elke relatie, soms een geschil of ontevredenheid |
| Verkoopkansen | Bedragen, kansen, termijnen | Laat zien waar u gaat tekenen, en tegen welke prijs |
| Offertes en bestellingen | Prijzen, kortingen, voorwaarden | Legt uw prijsbeleid per klant bloot |
| Facturen, creditnota’s, herinneringen | Omzet, betalingsachterstanden | Laat de financiële gezondheid van een klantaccount raden |
Vrije notities verdienen bijzondere aandacht. Een verkoper schrijft er soms meer in dan nodig. De AVG eist gegevens die toereikend zijn en beperkt tot wat noodzakelijk is: een notitie die de commerciële relatie niet helpt, hoort niet in de fiche.
De personen van wie de gegevens in het bestand staan, hebben rechten: inzage, rectificatie, wissing, beperking, bezwaar en, in de voorziene gevallen, overdraagbaarheid (artikelen 15 tot 21 van de AVG). Een prospect die vraagt wat u over hem weet, moet een volledig antwoord krijgen. U moet zijn gegevens dus kunnen terugvinden en extraheren zonder tien tools te doorzoeken.
Wat het geheel onthult
Een losse fiche zegt weinig. Het hele bestand zegt bijna alles over de commerciële onderneming:
- De pijplijn: wat u gaat tekenen, wanneer, en met welke waarschijnlijkheid.
- De concentratie: hoeveel klanten het grootste deel van de omzet realiseren, en welke.
- De seizoensgebondenheid: op welk moment van het jaar u verkoopt, herinneringen stuurt, int.
- De commerciële voorwaarden: kortingen, betalingstermijnen, onderhandelde prijzen.
Het is een momentopname van de activiteit, net als een grootboek. De boekhouding zegt hoeveel de onderneming heeft verdiend. Het CRM zegt met wie, hoe, en wat er nog komt. Voor een concurrent die een gericht aanbod voorbereidt, of voor een werknemer die vertrekt met het idee een team of een portefeuille weg te kapen, is het tweede vaak nuttiger dan het eerste.
Voorbeeld. Een kmo in industrieel onderhoud met 40 medewerkers realiseert 60% van haar omzet met twaalf klanten. Een volledige export van het CRM geeft in één bestand de twaalf namen, de gesprekspartners, de gehanteerde prijzen en de verlengingsdata van de contracten. Geen enkel boekhoudkundig document levert die vier gegevens samen.
Het CRM moet dus met dezelfde regels worden behandeld als de financiën: weinig personen die alles mogen zien, rechten die worden herzien wanneer iemand van functie verandert, en een spoor van de wijzigingen.
Versleuteling: wat ze in een CRM beschermt
Een CRM moet de fiches lezen om te werken: een klant zoeken, een dashboard berekenen, een offerte aanmaken, een factuur versturen. De gegevens worden dus in rust versleuteld, met sleutels die de dienst kan gebruiken.
De gids Wat is een soevereine cloud? onderscheidt twee regimes:
- Versleuteling in rust, sleutels beheerd door de dienstverlener. Ze beschermt schijven en dragers die worden gestolen of slecht worden gerecycled. Ze maakt de gegevens niet onleesbaar voor de dienst zelf. Dat is het regime van een CRM.
- Versleuteling waarvan alleen de klant de sleutel heeft. Dat is het geval bij documenten die bij de bron worden versleuteld of bij berichten die met S/MIME worden ondertekend en versleuteld. De dienstverlener kan de inhoud niet lezen, maar kan hem ook niet verwerken.
Een CRM voorstellen als ‘end-to-end versleuteld’ zou misleidend zijn. Wat het klantenbestand beschermt, naast versleuteling in rust, zijn de toegangsrechten, de logboeken, het contract en het recht dat op de dienstverlener van toepassing is.
E-facturatie: een gewilde en omkaderde uitstroom
In Frankrijk verplicht de hervorming van de elektronische facturatie ondernemingen om hun facturen tussen ondernemingen via een erkend platform te laten lopen, dat door de belastingadministratie is ingeschreven. Dit platform verstuurt, verzendt en ontvangt de facturen, en bezorgt bepaalde gegevens aan de administratie.
Het tijdschema dat het Franse ministerie van Economie heeft gepubliceerd, is als volgt:
- 1 september 2026: alle ondernemingen, ongeacht hun omvang, moeten elektronische facturen kunnen ontvangen. Grote ondernemingen en middelgrote ondernemingen moeten ze ook uitreiken.
- 1 september 2027: de verplichting tot uitreiking wordt uitgebreid tot kmo’s en micro-ondernemingen.
Voor het CRM betekent dit dat factuurgegevens het systeem bewust verlaten naar een derde die door de wet is aangewezen. Dat is geen lek: bestemming, formaat en inhoud liggen vast. De gangbare gestructureerde formaten zijn CII, UBL en Factur-X. Controleer vóór u kiest met welk platform het CRM verbinding maakt, wie het exploiteert, en waarheen de statussen van de factuur (ingediend, geweigerd, betaald) worden teruggestuurd.
Veelgemaakte fouten
- Hosting en zeggenschap verwarren. Hosten bij een derde draagt de verantwoordelijkheid niet over: de onderneming blijft verwerkingsverantwoordelijke.
- Alle verkopers zicht geven op het hele bestand, uit gemakzucht, bij de start van het project, zonder er ooit op terug te komen.
- Het exportrecht aan iedereen laten. Een fiche lezen en de hele portefeuille downloaden zijn twee verschillende rechten.
- De kopieën vergeten: exports op werkstations, back-ups, bijlagen van tickets. Aan het einde van een contract tellen ook die mee.
Veelgestelde vragen
Mag mijn CRM-dienstverlener mijn klantfiches gebruiken?
Als verwerker mag hij ze alleen verwerken op basis van uw schriftelijke instructies. Controleer het in de verwerkersovereenkomst, en lees onze pagina AVG.
Volstaat versleuteling om een CRM te beschermen?
Nee. Ze beschermt de dragers. Rechten en het contract beschermen het gebruik. De gids soevereine cloud licht het verschil toe.
Hoe voorkom ik dat een verkoper de portefeuille meeneemt?
Door het recht om te lezen te scheiden van het recht om te exporteren. Zie Export van de klantenportefeuille verhinderen.
Hoe scheid ik de klanten van twee vennootschappen van een groep?
Zie Wie ziet welke klanten in Klytic CRM.
Waar Klytic staat
Klytic CRM beheert prospects, klanten, contactpersonen, verkoopkansen, offertes, bestellingen, facturen, creditnota’s en herinneringen. Voorraad, inkoop, projecten en onkostennota’s komen erbij naargelang de behoefte. De dienst kan op zichzelf worden gebruikt, zonder Klytic Mail of Klytic Docs.
- Rol. Voor de CRM-fiches die aan de dienst worden toevertrouwd, treedt Klytic op als verwerker in de zin van artikel 28 van de AVG. Met elke klant wordt een verwerkersovereenkomst ondertekend.
- Gebruik van de gegevens. Klytic geeft aan dat de gegevens nooit voor commerciële doeleinden of door derden worden gebruikt.
- Hosting. In elke geografische zone die overeenkomt met de toepasselijke jurisdictie, onder voorbehoud van de beschikbaarheid van de diensten, met name in Europa of op Mauritius, of op de servers van de klant. Zie Hosting en soevereiniteit.
- Versleuteling. In rust, met sleutels die de dienst gebruikt. Het is geen versleuteling waarvan alleen de klant de sleutel heeft.
- In- en uitstap. Begeleide import vanuit een spreadsheet of andere software. Aan het einde van het contract blijven de gegevens 30 dagen exporteerbaar in standaardformaten, met begeleiding, en worden ze daarna verwijderd.
- E-facturatie. Formaten CII, Factur-X en UBL, koppeling met EsaLink (Hubtimize) en SuperPDP. Details op de pagina Klytic CRM.
- Back-up. Elk uur, 30 dagen bewaard, herstel via de support, inbegrepen of gefactureerd naargelang de oorzaak. Klytic CRM heeft standaard geen prullenbak: de optionele extensie ‘prullenbak’ laat u een verwijderde fiche zelf terughalen en draagt bij aan de ondersteuning van het opensourceproject waarop het steunt. Zie Beveiliging en back-up.
Klytic heeft geen SecNumCloud-kwalificatie. Als uw sector die eist, is het niet de juiste keuze.
Deze pagina beschrijft een algemeen kader. Ze vervangt niet de analyse van uw contract of juridisch advies.
Juridische stand van zaken op 11 oktober 2026. Het tijdschema voor e-facturatie dat hier wordt vermeld, is het schema dat het Franse ministerie van Economie heeft gepubliceerd. Het is in het verleden al gewijzigd: controleer de officiële pagina vóór elke beslissing.
Bronnen
Geraadpleegd in oktober 2026.
- AVG, artikel 4, punten 7 en 8: definities van verwerkingsverantwoordelijke en verwerker. cnil.fr
- AVG, artikelen 15 tot 21: recht op inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar. cnil.fr
- AVG, artikel 28: schriftelijke instructies, wissing of teruggave van de gegevens aan het einde van de dienstverlening; artikel 32: versleuteling als een van de beveiligingsmaatregelen. cnil.fr
- Verordening (EU) 2016/679, officiële tekst, overwegingen 81 (teruggave of wissing door de verwerker) en 83 (versleuteling). eur-lex.europa.eu
- Tijdschema voor e-facturatie: ontvangst door alle ondernemingen op 1 september 2026, uitreiking door kmo’s en micro-ondernemingen op 1 september 2027. economie.gouv.fr
- Rol van de erkende platforms: uitreiking, verzending en ontvangst van facturen en doorgifte van gegevens aan de administratie. impots.gouv.fr
- Klytic CRM: beheerde objecten, modules, formaten en platforms voor e-facturatie, hosting. klytic.com
- Versleuteling in rust van CRM-gegevens en onderscheid met de sleutel die de klant beheert; omkeerbaarheid. klytic.com
- Rol van Klytic als verwerker, verwerkersovereenkomst, omkeerbaarheid van 30 dagen. klytic.com
