Kto włada bazą klientów
O „własności” danych mówi się dla wygody. W przypadku danych osobowych prawo rozumuje inaczej: pyta, kto decyduje, a kto wykonuje. RODO nazywa administratorem podmiot, który „ustala cele i sposoby przetwarzania danych osobowych”, a podmiotem przetwarzającym ten, który „przetwarza dane osobowe w imieniu administratora” (art. 4 pkt 7 i 8).
W hostowanym CRM administratorem jest firma, która pozyskuje klientów i wystawia faktury. Usługodawca, który utrzymuje oprogramowanie, jest podmiotem przetwarzającym: działa na polecenie i nie decyduje o wykorzystaniu bazy.
Wynikają z tego trzy praktyczne konsekwencje:
- Usługodawca działa wyłącznie na polecenie. Art. 28 wymaga, aby podmiot przetwarzający przetwarzał dane osobowe „wyłącznie na udokumentowane polecenie administratora”. CRM, którego dostawca wykorzystywałby Państwa karty do własnych celów, wychodzi poza te ramy.
- Wyjście to prawo, a nie przysługa. Po zakończeniu umowy podmiot przetwarzający musi „zależnie od decyzji administratora” usunąć dane lub je zwrócić oraz usunąć istniejące kopie, chyba że prawo nakazuje ich przechowywanie.
- Umowa określa, kto z danych korzysta. Umowa powierzenia przetwarzania (często nazywana DPA) ustala polecenia, środki bezpieczeństwa, dalszych podmiotów przetwarzających i zwrot danych. To ją należy przeczytać przed wyborem CRM, a nie stronę główną.
Pytanie „kto może otworzyć moje dane, jakie prawo ma zastosowanie, jak z tego wyjść” jest szczegółowo omówione w przewodniku Czym jest suwerenna chmura?. Warto zapamiętać z niego jedną zasadę: odwracalność zapisuje się przy podpisaniu umowy, wraz z formatem, terminem i usunięciem danych, a nie w chwili jej wypowiedzenia.
Co wrażliwego zawiera CRM
Proszę wyjść od obiektów, którymi zarządza każdy CRM handlowy, a nie od teoretycznej listy pól: potencjalni klienci, klienci, kontakty, szanse sprzedaży, oferty, zamówienia, faktury, faktury korygujące i monity. Każdy z nich niesie inny rodzaj informacji.
| Obiekt | Co zawiera | Dlaczego jest wrażliwy |
|---|
| Kontakty | Imiona i nazwiska, stanowiska, e-maile, telefony | Dane osobowe w rozumieniu RODO, przydatne dla każdego, kto chce dotrzeć do Państwa rozmówców |
| Historia relacji | Rozmowy, spotkania, notatki, monity | Ujawnia stan każdej relacji, czasem spór lub niezadowolenie |
| Szanse sprzedaży | Kwoty, prawdopodobieństwa, terminy | Pokazuje, gdzie Państwo podpiszą umowę i za jaką cenę |
| Oferty i zamówienia | Ceny, rabaty, warunki | Ujawnia Państwa politykę cenową wobec każdego klienta |
| Faktury, faktury korygujące, monity | Obroty, opóźnienia w płatnościach | Pozwala odgadnąć kondycję finansową klienta |
Szczególnej uwagi wymagają notatki swobodne. Handlowiec zapisuje w nich czasem więcej, niż powinien. RODO wymaga danych adekwatnych i ograniczonych do tego, co niezbędne: notatka, która nie służy relacji handlowej, nie ma miejsca w karcie.
Osoby, których dane kontaktowe znajdują się w bazie, mają prawa: dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, sprzeciwu oraz, w przewidzianych przypadkach, przenoszenia danych (art. 15–21 RODO). Potencjalny klient, który pyta, co Państwo o nim wiedzą, musi otrzymać pełną odpowiedź. Trzeba więc umieć odnaleźć i wyodrębnić jego dane bez przeszukiwania dziesięciu narzędzi.
Co ujawnia całość
Pojedyncza karta mówi niewiele. Cała baza mówi niemal wszystko o działalności handlowej firmy:
- Lejek sprzedaży: co Państwo podpiszą, kiedy i z jakim prawdopodobieństwem.
- Koncentracja: ilu klientów generuje większość obrotów i którzy.
- Sezonowość: w jakim okresie roku Państwo sprzedają, wysyłają monity, inkasują należności.
- Warunki handlowe: rabaty, terminy płatności, wynegocjowane ceny.
To obraz działalności, tak jak księga główna. Księgowość mówi, ile firma zarobiła. CRM mówi, z kim, w jaki sposób i co będzie dalej. Dla konkurenta, który przygotowuje ukierunkowaną ofertę, albo dla pracownika, który odchodzi z zamiarem przejęcia zespołu lub portfela klientów, to drugie jest często bardziej przydatne niż pierwsze.
Przykład. MSP z branży utrzymania ruchu przemysłowego, zatrudniające 40 osób, osiąga 60% obrotów z dwunastoma klientami. Pełny eksport CRM daje w jednym pliku dwanaście nazw, rozmówców, stosowane ceny i daty odnowienia umów. Żaden dokument księgowy nie dostarcza tych czterech informacji naraz.
CRM należy więc traktować według tych samych zasad co finanse: niewiele osób uprawnionych do oglądania wszystkiego, uprawnienia weryfikowane przy zmianie stanowiska i ślad modyfikacji.
Szyfrowanie: co chroni w CRM
Aby działać, CRM musi odczytywać karty: wyszukać klienta, obliczyć pulpit, wygenerować ofertę, wysłać fakturę. Jego dane są więc szyfrowane w spoczynku, kluczami, z których usługa może korzystać.
Przewodnik Czym jest suwerenna chmura? rozróżnia dwa modele:
- Szyfrowanie w spoczynku, kluczami zarządzanymi przez usługodawcę. Chroni dyski i nośniki skradzione lub niewłaściwie zutylizowane. Nie sprawia, że dane są nieczytelne dla samej usługi. To model CRM.
- Szyfrowanie, którego klucz posiada wyłącznie klient. Tak jest w przypadku dokumentów szyfrowanych u źródła lub wiadomości podpisanych i zaszyfrowanych w S/MIME. Usługodawca nie może odczytać treści, ale nie może jej też przetwarzać.
Przedstawianie CRM jako „szyfrowanego end-to-end” byłoby mylące. Tym, co chroni bazę klientów poza szyfrowaniem w spoczynku, są uprawnienia dostępu, dzienniki, umowa i prawo właściwe dla usługodawcy.
E-fakturowanie: zamierzone i uregulowane wyjście danych
We Francji reforma fakturowania elektronicznego zobowiązuje firmy do przesyłania faktur między przedsiębiorstwami za pośrednictwem akredytowanej platformy, zarejestrowanej przez administrację skarbową. Platforma ta wystawia, przesyła i odbiera faktury oraz przekazuje określone dane administracji.
Harmonogram opublikowany przez francuskie Ministerstwo Gospodarki jest następujący:
- 1 września 2026: wszystkie firmy, niezależnie od wielkości, muszą być w stanie odbierać faktury elektroniczne. Duże przedsiębiorstwa i przedsiębiorstwa średniej wielkości muszą je również wystawiać.
- 1 września 2027: obowiązek wystawiania obejmuje MSP i mikroprzedsiębiorstwa.
Dla CRM oznacza to, że dane fakturowe celowo opuszczają narzędzie i trafiają do podmiotu trzeciego wskazanego przez prawo. To nie jest wyciek: miejsce docelowe, format i treść są określone. Typowe formaty ustrukturyzowane to CII, UBL i Factur-X. Przed wyborem proszę sprawdzić, z jaką platformą łączy się CRM, kto ją prowadzi i dokąd wracają statusy faktury (złożona, odrzucona, zapłacona).
Częste błędy
- Mylenie hostingu z władaniem. Hosting u podmiotu trzeciego nie przenosi odpowiedzialności: firma pozostaje administratorem.
- Danie wszystkim handlowcom wglądu w całą bazę, dla wygody, na początku projektu, bez późniejszej weryfikacji.
- Pozostawienie prawa eksportu wszystkim. Odczyt karty i pobranie całego portfela klientów to dwa różne uprawnienia.
- Zapominanie o kopiach: eksporty na stanowiskach, kopie zapasowe, załączniki zgłoszeń. Po zakończeniu umowy one też się liczą.
Najczęściej zadawane pytania
Czy mój dostawca CRM może wykorzystywać moje karty klientów?
Jako podmiot przetwarzający może je przetwarzać wyłącznie na Państwa udokumentowane polecenie. Proszę to sprawdzić w umowie powierzenia przetwarzania i przeczytać naszą stronę RODO.
Czy szyfrowanie wystarczy do ochrony CRM?
Nie. Chroni nośniki. Uprawnienia i umowa chronią sposób korzystania z danych. Przewodnik o suwerennej chmurze szczegółowo wyjaśnia tę różnicę.
Jak zapobiec temu, by handlowiec zabrał portfel klientów?
Oddzielając prawo odczytu od prawa eksportu. Zob. Jak zapobiec eksportowi portfela klientów.
Jak rozdzielić klientów dwóch spółek z grupy?
Zob. Kto widzi których klientów w Klytic CRM.
Gdzie plasuje się Klytic
Klytic CRM obsługuje potencjalnych klientów, klientów, kontakty, szanse sprzedaży, oferty, zamówienia, faktury, faktury korygujące i monity. Magazyn, zakupy, projekty i rozliczanie wydatków dochodzą w zależności od potrzeb. Z usługi można korzystać samodzielnie, bez Klytic Mail i Klytic Docs.
- Rola. W odniesieniu do kart CRM powierzonych usłudze Klytic działa jako podmiot przetwarzający w rozumieniu art. 28 RODO. Z każdym klientem podpisywana jest umowa powierzenia przetwarzania danych.
- Wykorzystanie danych. Klytic deklaruje, że dane nigdy nie są wykorzystywane do celów komercyjnych ani przez podmioty trzecie.
- Hosting. W każdej strefie geograficznej odpowiadającej właściwej jurysdykcji, z zastrzeżeniem dostępności usług, w szczególności w Europie lub na Mauritiusie, albo na serwerach klienta. Zob. Hosting i suwerenność.
- Szyfrowanie. W spoczynku, kluczami, z których korzysta usługa. Nie jest to szyfrowanie, którego klucz posiada wyłącznie klient.
- Wejście i wyjście. Import ze wsparciem z arkusza kalkulacyjnego lub innego oprogramowania. Po zakończeniu umowy dane pozostają możliwe do wyeksportowania przez 30 dni w standardowych formatach, ze wsparciem, a następnie są usuwane.
- E-fakturowanie. Formaty CII, Factur-X i UBL, połączenie z EsaLink (Hubtimize) i SuperPDP. Szczegóły na stronie Klytic CRM.
- Kopia zapasowa. Co godzinę, przechowywana przez 30 dni, przywracanie przez wsparcie, wliczone w cenę lub płatne w zależności od przyczyny. Klytic CRM domyślnie nie ma kosza: opcjonalne rozszerzenie „Kosz” pozwala samodzielnie odzyskać usuniętą kartę i przyczynia się do wspierania projektu open source, na którym opiera się usługa. Zob. Bezpieczeństwo i kopie zapasowe.
Klytic nie posiada kwalifikacji SecNumCloud. Jeśli Państwa sektor jej wymaga, nie jest to właściwy wybór.
Ta strona opisuje ogólne ramy. Nie zastępuje analizy Państwa umowy ani porady prawnej.
Stan prawny na 11 października 2026 r. Przytoczony tu harmonogram fakturowania elektronicznego to harmonogram opublikowany przez francuskie Ministerstwo Gospodarki. Był on już w przeszłości zmieniany: przed podjęciem decyzji proszę sprawdzić oficjalną stronę.
Źródła
Stan na październik 2026 r.
- RODO, art. 4 pkt 7 i 8: definicje administratora i podmiotu przetwarzającego. cnil.fr
- RODO, art. 15–21: prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych i sprzeciwu. cnil.fr
- RODO, art. 28: udokumentowane polecenie, usunięcie lub zwrot danych po zakończeniu świadczenia usług; art. 32: szyfrowanie jako jeden ze środków bezpieczeństwa. cnil.fr
- Rozporządzenie (UE) 2016/679, tekst urzędowy, motywy 81 (zwrot lub usunięcie danych przez podmiot przetwarzający) i 83 (szyfrowanie). eur-lex.europa.eu
- Harmonogram fakturowania elektronicznego we Francji: odbiór przez wszystkie firmy od 1 września 2026 r., wystawianie przez MSP i mikroprzedsiębiorstwa od 1 września 2027 r. economie.gouv.fr
- Rola akredytowanych platform: wystawianie, przesyłanie i odbiór faktur oraz przekazywanie danych administracji. impots.gouv.fr
- Klytic CRM: obsługiwane obiekty, moduły, formaty i platformy fakturowania elektronicznego, hosting. klytic.com
- Szyfrowanie danych CRM w spoczynku i różnica wobec klucza w posiadaniu klienta; odwracalność. klytic.com
- Rola Klytic jako podmiotu przetwarzającego, umowa powierzenia, 30-dniowa odwracalność. klytic.com
