Vem innehar kundregistret
Man talar om ”ägande” av data för enkelhetens skull. För personuppgifter resonerar lagen annorlunda: den frågar vem som bestämmer och vem som utför. GDPR kallar den organisation som ”bestämmer ändamålen och medlen för behandlingen” för personuppgiftsansvarig, och den som ”behandlar personuppgifter för den personuppgiftsansvariges räkning” för personuppgiftsbiträde (artikel 4, punkterna 7 och 8).
I ett hostat CRM är det företag som bearbetar kunder och fakturerar personuppgiftsansvarigt. Leverantören som driver programvaran är personuppgiftsbiträde: den agerar på instruktion och väljer inte hur registret används.
Det får tre praktiska följder:
- Leverantören agerar bara på instruktion. Artikel 28 kräver att biträdet behandlar uppgifterna ”endast på dokumenterade instruktioner från den personuppgiftsansvarige”. Ett CRM vars leverantör återanvänder era kundkort för egna syften faller utanför denna ram.
- Att lämna är en rättighet, inte en tjänst. När avtalet upphör ska biträdet, ”beroende på vad den personuppgiftsansvarige väljer”, radera uppgifterna eller återlämna dem och förstöra befintliga kopior, om inte lagen kräver att de bevaras.
- Avtalet anger vem som använder uppgifterna. Personuppgiftsbiträdesavtalet (ofta kallat DPA) fastställer instruktioner, säkerhetsåtgärder, underbiträden och återlämning. Det är avtalet ni ska läsa innan ni väljer ett CRM, inte startsidan.
Frågan ”vem kan öppna mina data, vilken lag gäller, hur lämnar jag tjänsten” behandlas utförligt i guiden Vad är ett suveränt moln?. Kom ihåg en regel: reversibiliteten skrivs in vid undertecknandet, med format, tidsfrist och radering, inte när ni säger upp avtalet.
Vad ett CRM innehåller som är känsligt
Utgå från de objekt som varje säljinriktat CRM hanterar, snarare än från en teoretisk fältlista: prospekt, kunder, kontakter, affärsmöjligheter, offerter, order, fakturor, kreditnotor och påminnelser. Varje objekt bär en annan typ av information.
| Objekt | Vad det innehåller | Varför det är känsligt |
|---|
| Kontakter | Namn, befattningar, e-post, telefonnummer | Personuppgifter enligt GDPR, användbara för den som vill bearbeta era kontaktpersoner |
| Relationshistorik | Samtal, möten, anteckningar, uppföljningar | Visar läget i varje relation, ibland en tvist eller ett missnöje |
| Affärsmöjligheter | Belopp, sannolikheter, tidpunkter | Visar var ni kommer att teckna avtal, och till vilket pris |
| Offerter och order | Priser, rabatter, villkor | Exponerar er prissättning kund för kund |
| Fakturor, kreditnotor, påminnelser | Omsättning, sena betalningar | Ger en fingervisning om en kunds ekonomiska hälsa |
Fritextanteckningar kräver särskild uppmärksamhet. En säljare skriver ibland mer än nödvändigt. GDPR kräver att uppgifterna är adekvata och begränsade till vad som är nödvändigt: en anteckning som inte hjälper affärsrelationen hör inte hemma i kundkortet.
De personer vars kontaktuppgifter finns i registret har rättigheter: tillgång, rättelse, radering, begränsning, invändning och, i angivna fall, dataportabilitet (artiklarna 15 till 21 i GDPR). Ett prospekt som frågar vad ni vet om honom eller henne ska få ett fullständigt svar. Ni måste alltså kunna hitta och ta fram uppgifterna utan att leta i tio verktyg.
Vad helheten avslöjar
Ett enskilt kundkort säger lite. Hela registret säger nästan allt om företagets försäljning:
- Pipelinen: vad ni kommer att teckna, när och med vilken sannolikhet.
- Koncentrationen: hur många kunder som står för huvuddelen av omsättningen, och vilka.
- Säsongsvariationen: när på året ni säljer, följer upp och får betalt.
- Affärsvillkoren: rabatter, betalningsvillkor, förhandlade priser.
Det är en bild av verksamheten, precis som en huvudbok. Bokföringen visar hur mycket företaget har tjänat. CRM:et visar med vem, hur och vad som kommer härnäst. För en konkurrent som förbereder ett riktat erbjudande, eller för en anställd som slutar med planen att värva ett team eller en kundstock, är det senare ofta mer användbart än det förra.
Exempel. Ett industriellt underhållsföretag med 40 anställda gör 60 % av sin omsättning med tolv kunder. En fullständig export av CRM:et ger i en enda fil de tolv namnen, kontaktpersonerna, priserna och datumen då avtalen förnyas. Inget bokföringsdokument ger dessa fyra uppgifter tillsammans.
CRM:et ska därför hanteras med samma regler som ekonomin: få personer behöriga att se allt, behörigheter som ses över när någon byter roll, och spårbarhet för ändringar.
Kryptering: vad den skyddar i ett CRM
Ett CRM måste kunna läsa kundkorten för att fungera: söka efter en kund, beräkna en instrumentpanel, skapa en offert, skicka en faktura. Dess data krypteras därför i vila, med nycklar som tjänsten kan använda.
Guiden Vad är ett suveränt moln? skiljer mellan två modeller:
- Kryptering i vila, med nycklar som hanteras av leverantören. Den skyddar diskar och lagringsmedier som stjäls eller återvinns felaktigt. Den gör inte uppgifterna oläsliga för tjänsten själv. Det är modellen för ett CRM.
- Kryptering där endast kunden innehar nyckeln. Det gäller dokument som krypteras vid källan eller meddelanden som signeras och krypteras med S/MIME. Leverantören kan inte läsa innehållet, men kan inte heller behandla det.
Att beskriva ett CRM som ”end-to-end-krypterat” vore vilseledande. Det som skyddar kundregistret, utöver kryptering i vila, är åtkomsträttigheter, loggar, avtalet och den lag som gäller för leverantören.
E-fakturering: ett avsiktligt och reglerat utflöde
I Frankrike kräver reformen om e-fakturering att företag skickar sina fakturor mellan företag via en godkänd plattform som registrerats av skattemyndigheten. Plattformen utfärdar, överför och tar emot fakturor och vidarebefordrar vissa uppgifter till myndigheten.
Tidsplanen som publicerats av det franska ekonomiministeriet är följande:
- 1 september 2026: alla företag, oavsett storlek, ska kunna ta emot e-fakturor. Stora och medelstora företag ska även utfärda dem.
- 1 september 2027: skyldigheten att utfärda e-fakturor utvidgas till små och medelstora företag samt mikroföretag.
För CRM:et innebär det att faktureringsdata avsiktligt lämnar verktyget till en tredje part som utsetts enligt lag. Det är ingen läcka: mottagare, format och innehåll är fastställda. Vanliga strukturerade format är CII, UBL och Factur-X. Kontrollera innan ni väljer vilken plattform CRM:et ansluter till, vem som driver den och vart fakturans status (inlämnad, avvisad, betald) skickas tillbaka.
Vanliga misstag
- Att blanda ihop hosting och innehav. Hosting hos en tredje part flyttar inte ansvaret: företaget förblir personuppgiftsansvarigt.
- Att ge alla säljare insyn i hela registret, av bekvämlighet, när projektet startar, utan att någonsin se över det.
- Att låta alla ha exporträtt. Att läsa ett kundkort och att ladda ner hela kundstocken är två olika rättigheter.
- Att glömma kopiorna: exporter på arbetsstationer, säkerhetskopior, bilagor i ärenden. När ett avtal upphör räknas de också.
Vanliga frågor
Får min CRM-leverantör använda mina kundkort?
Som personuppgiftsbiträde får leverantören bara behandla dem enligt era dokumenterade instruktioner. Kontrollera det i personuppgiftsbiträdesavtalet och läs vår sida om GDPR.
Räcker kryptering för att skydda ett CRM?
Nej. Den skyddar lagringsmedierna. Behörigheterna och avtalet skyddar användningen. Guiden om suveränt moln förklarar skillnaden.
Hur hindrar jag en säljare från att ta med sig kundstocken?
Genom att skilja rätten att läsa från rätten att exportera. Se Förhindra export av kundstocken.
Hur skiljer jag kunderna åt mellan två bolag i en koncern?
Se Vem ser vilka kunder i Klytic CRM.
Var Klytic står
Klytic CRM hanterar prospekt, kunder, kontakter, affärsmöjligheter, offerter, order, fakturor, kreditnotor och påminnelser. Lager, inköp, projekt och utlägg läggs till efter behov. Tjänsten kan användas fristående, utan Klytic Mail eller Klytic Docs.
- Roll. För de kundkort som anförtros tjänsten agerar Klytic som personuppgiftsbiträde enligt artikel 28 i GDPR. Ett personuppgiftsbiträdesavtal tecknas med varje kund.
- Användning av data. Klytic uppger att data aldrig används i kommersiellt syfte eller av tredje part.
- Hosting. I varje geografisk zon som motsvarar tillämplig jurisdiktion, i mån av tillgänglighet för tjänsterna, bland annat i Europa eller på Mauritius, eller på kundens egna servrar. Se Hosting och suveränitet.
- Kryptering. I vila, med nycklar som tjänsten använder. Det är inte en kryptering där kunden ensam innehar nyckeln.
- In och ut. Import med stöd från kalkylark eller annan programvara. När avtalet upphör kan data exporteras i 30 dagar i standardformat, med stöd, och raderas sedan.
- E-fakturering. Formaten CII, Factur-X och UBL, anslutning till EsaLink (Hubtimize) och SuperPDP. Mer på sidan Klytic CRM.
- Säkerhetskopiering. Varje timme, sparas i 30 dagar, återställning via supporten, ingår eller debiteras beroende på orsak. Klytic CRM har ingen papperskorg som standard: tillägget ”papperskorg”, som tillval, gör att ni själva kan återställa ett raderat kundkort och bidrar till att stödja det öppen källkods-projekt som tjänsten bygger på. Se Säkerhet och säkerhetskopiering.
Klytic är inte SecNumCloud-kvalificerat. Om er bransch kräver det är detta inte rätt val.
Den här sidan beskriver en allmän ram. Den ersätter inte en analys av ert avtal eller juridisk rådgivning.
Juridisk lägesbild per den 11 oktober 2026. Tidsplanen för e-fakturering som anges här är den som publicerats av det franska ekonomiministeriet. Den har ändrats tidigare: kontrollera den officiella sidan innan ni fattar beslut.
Källor
Hämtade i oktober 2026.
- GDPR, artikel 4, punkterna 7 och 8: definitioner av personuppgiftsansvarig och personuppgiftsbiträde. cnil.fr
- GDPR, artiklarna 15 till 21: rätt till tillgång, rättelse, radering, begränsning, dataportabilitet och invändning. cnil.fr
- GDPR, artikel 28: dokumenterade instruktioner, radering eller återlämning av uppgifter när tjänsten upphör; artikel 32: kryptering bland säkerhetsåtgärderna. cnil.fr
- Förordning (EU) 2016/679, officiell text, skäl 81 (återlämning eller radering av biträdet) och 83 (kryptering). eur-lex.europa.eu
- Tidsplan för e-fakturering: mottagning för alla företag den 1 september 2026, utfärdande för små och medelstora företag samt mikroföretag den 1 september 2027. economie.gouv.fr
- De godkända plattformarnas roll: utfärdande, överföring och mottagning av fakturor samt överföring av uppgifter till myndigheten. impots.gouv.fr
- Klytic CRM: hanterade objekt, moduler, format och plattformar för e-fakturering, hosting. klytic.com
- Kryptering i vila av CRM-data och skillnaden mot en nyckel som kunden innehar; reversibilitet. klytic.com
- Klytics roll som personuppgiftsbiträde, personuppgiftsbiträdesavtal, reversibilitet i 30 dagar. klytic.com
