Ügyféladatok és GDPR KKV-knak: gyakorlati checklist, nem jogi iroda

Ez a cikk nem jogi tanácsadás, és nem helyettesíti ügyvéd vagy adatvédelmi szakember véleményét. A cél ennél jóval egyszerűbb: segítsen egy 8–30 fős vállalkozásnak rendet tenni az ügyféladatok körül anélkül, hogy a GDPR-ra vagy teljes közönnyel, vagy teljes bénultsággal reagálna.

A két szélsőség ugyanis meglepően gyakori. Az egyik szerint jobb semmit nem leírni, mert „abból biztosan nem lehet baj”. A másik szerint az ügyféladat úgyis mindenhol ott van, mindenki lát mindent, és ha egyszer érkezik egy törlési vagy hozzáférési kérés, majd akkor kitaláljuk, mit kell csinálni.

A kettő között van egy sokkal használhatóbb működési minimum: tudni, milyen ügyféladatot hol tart a cég, ki fér hozzá, és kihez kerül a kérdés, ha valaki az adatairól érdeklődik.

Ebben a történetben önmagában a CRM nem probléma. Sokkal nehezebb helyzetet teremt a szétszórt adat. Egy telefonszám szerepel a CRM-ben, a személyes Gmailben, egy Excelben, a kolléga telefonján és esetleg egy három éve távozott értékesítő exportjában is. Ha a cég maga sem tudja, hány helyen él ugyanaz az információ, nehéz érdemben reagálni arra, amikor valaki megkérdezi, mit tárolnak róla.

A CRM-adatminőségről szóló cikk elsősorban a duplikált adatokkal és a szétszórt értékesítési információval foglalkozik. Itt egy másik oldal kerül előtérbe: hol van az adat, ki látja, meddig marad, és mi történik, ha valaki kérdez róla.

Először ne szabályzatot írjon, hanem rajzoljon térképet

Egy kisebb vállalkozásnak első körben nem feltétlenül egy negyvenoldalas adatkezelési dokumentumból derül ki a legtöbb a saját működéséről. Sokkal beszédesebb lehet egyetlen A4-es lap.

Írják rá, hol található ügyféladat a cégnél.

CRM. Számlázó. Könyvelés. Megosztott mappa. Céges postafiókok. Telefonos névjegyzék. Excel. Webes űrlap. Esetleg valamilyen marketingrendszer.

A lista valószínűleg gyorsan elkészül. Az érdekes rész általában utána következik.

Mi van a személyes postafiókokkal? Letöltött valaki korábban egy ügyféllistát a saját gépére? Van régi Excel egy megosztott mappában? Megmaradt hozzáférése annak a kollégának, aki már fél éve nem dolgozik a cégnél?

Az adattérkép akkor igazán hasznos, ha nem csak azt írja le, milyen szoftvereket vásárolt a vállalkozás, hanem azt is, hogyan dolgoznak velük ténylegesen az emberek.

Egyszerű teszt lehet, ha a tulajdonos és az egyik értékesítő külön-külön felírja, hol található ügyféladat a cégnél. Ha a két lista jelentősen eltér, akkor már meg is van az első tanulság: az információ elhelyezkedése nincs igazán kézben.

Ezután érdemes kijelölni azt is, melyik rendszer számít elsődlegesnek egy adott célra. Az aktív értékesítési állapot például lehet a CRM-ben, a számlák a számlázóban, a számviteli adatok pedig a megfelelő pénzügyi rendszerben.

Nem kell mindent egyetlen alkalmazásba zsúfolni.

A lényeg az, hogy a cég tudja, melyik adatnak hol van a hivatalos helye.

A jogosultság nem bizalmatlanság

Egy 10–15 fős vállalkozásban természetes, hogy az emberek ismerik egymást, és sok minden bizalmi alapon működik. Emiatt könnyen kialakul az a hozzáállás is, hogy egyszerűbb, ha mindenki mindenhez hozzáfér.

Ez addig kényelmes, amíg egyszer fel nem merül a kérdés: miért tudja egy gyakornok letölteni a teljes ügyféllistát? Miért látja egy olyan kolléga a teljes sales-pipeline-t, akinek valójában csak néhány saját ügyfélre van szüksége? Megszűnt-e annak a felhasználónak a hozzáférése, aki már nem dolgozik a cégnél?

A jogosultságok kezelése nem azt jelenti, hogy nem bízunk a kollégákban. Ugyanaz a logika, mint amikor nem minden munkatársnak van kulcsa minden irodához.

Érdemes ezért időnként néhány nagyon egyszerű kérdést végigvenni. Ki látja a teljes partnerlistát? Ki tud exportot készíteni? Ki tud adatot törölni? Kik rendelkeznek adminisztrátori jogosultsággal? Van-e még aktív fiókja korábbi munkatársnak?

Ezek nem elméleti adatvédelmi kérdések. Mindennapi üzemeltetési feladatok.

A CRM-bevezetési útmutatóban ezért is érdemes már induláskor eldönteni, milyen szerepkörök lesznek. Sokkal könnyebb az első héten megmondani, hogy ki mit lát, mint fél év múlva visszafejteni, miért van tizenhárom embernek adminisztrátori hozzáférése.

A jogosultságoknak pedig legyen gazdája. Kisebb cégnél ez lehet a tulajdonos, az irodavezető vagy más kijelölt operatív felelős. Nem az a kolléga, aki éppen ráér, amikor új felhasználót kell létrehozni.

Mi történik, ha valaki az adatairól kérdez?

Az adatvédelmi kérések azért tudnak egy kisebb cégnél aránytalanul nagy zavart okozni, mert ritkák. A csapat napi szinten ajánlatokat készít, számláz és ügyfelekkel beszél, ezért ezekre van kialakult rutin. Egy hozzáférési vagy törlési kérés viszont lehet, hogy évente egyszer érkezik.

Pont ezért érdemes nem az első ilyen e-mailnél kitalálni a folyamatot.

A működési minimum egyszerű. Legyen egy kijelölt személy vagy cím, ahová az ilyen megkeresések kerülnek. Legyen egy rövid belső lépéssor arra, hogy a kérés beérkezése után ki ellenőrzi, kiről van szó, hol kell adatot keresni, ki készíti elő a választ, és hol jegyzik fel, hogy a kérdéssel foglalkoztak.

A konkrét jogi kötelezettségeket, határidőket és azt, hogy egy adott esetben milyen adat törölhető vagy őrzendő meg, természetesen nem egy általános cikkből érdemes eldönteni. Ezekben a cég saját jogi vagy adatvédelmi tanácsadója tud biztos választ adni.

Az azonban már belső működési kérdés, hogy ki viszi el hozzá a problémát.

Nem jó rendszer, ha a péntek délután érkező e-mailt először az értékesítő olvassa, majd továbbküldi a tulajdonosnak, aki hétfőn megkérdezi a könyvelőt, a könyvelő pedig azt mondja, hogy ezt inkább az ügyvédtől kellene megkérdezni.

A szakértő bevonása teljesen rendben van.

A gazdátlanság nem.

A törlés nem feltétlenül egy nagy piros gomb

A „kérem, töröljék az adataimat” mondat könnyen azt az érzést keltheti, hogy most azonnal minden rendszerből mindennek el kell tűnnie.

A valós vállalati adatkezelés ennél összetettebb lehet.

Egy értékesítési megjegyzés, egy korábbi érdeklődő adata, egy létrejött szerződés és egy kiállított számla nem feltétlenül ugyanabba a kategóriába tartozik. Bizonyos adatok megőrzésére más üzleti vagy jogi szempontok vonatkozhatnak.

Éppen ezért fontos az adattérkép.

Ha a cég tudja, hogy a CRM-ben értékesítési adatok vannak, a számlázóban bizonylatok, a dokumentumtárban pedig szerződések, akkor egy szakembernek is sokkal könnyebb pontos választ adnia arra, hogy egy konkrét kérésnél mit kell tenni.

Ha viszont minden össze van keverve egyetlen nyolcéves Excelben, ahol ugyanabban a sorban szerepel az első érdeklődés, az utolsó ajánlat és a számlázási információ, már maga a kérdés felderítése is sokkal nehezebb.

Ezért egy jó adattérkép nem jogi dokumentum helyett készül.

Hanem azért, hogy amikor jogi kérdés van, legyen miről pontosan beszélni.

Az élő pipeline és az örökké őrzött névjegy nem ugyanaz

A CRM-ek egyik természetes mellékhatása, hogy könnyű bennük adatot gyűjteni, és kevésbé természetes adatot eltávolítani. Egy új érdeklődő egy perc alatt bekerül, egy három éve inaktív partner viszont könnyen örökre bent marad.

Néhány év alatt ebből több ezer rekordos adatbázis lehet, amelynek jelentős része már nem vesz részt a napi működésben.

Ennek adatvédelmi szempontjai mellett nagyon egyszerű üzleti ára is van: a CRM tele lesz zajjal.

A saleses olyan cégekkel találkozik a keresőben, amelyek évek óta nem aktívak. A vezető nem tudja eldönteni, melyik partner valódi lehetőség, és melyik egy régi kiállítási névjegy maradványa. A riportokba pedig könnyen bekerülnek olyan adatok is, amelyeknek már nincs közük a jelenlegi értékesítéshez.

Érdemes ezért időszakosan átnézni az inaktív állományt.

Nem automatikusan törölni mindent egy bizonyos kor után, hanem felülvizsgálni. Melyik adat mögött van élő üzleti kapcsolat? Melyik kapcsolódik szerződéshez vagy más olyan dokumentumhoz, amelynek megőrzésével kapcsolatban külön szabály lehet? És melyik az a régi érdeklődő, amelyhez évek óta semmilyen aktivitás nem tartozik?

A konkrét megőrzési szabályokról itt is szakemberrel kell dönteni.

A működési tanulság azonban egyszerű: a „hátha egyszer még kell” nem jó adatkezelési stratégia, és nem is jó CRM-stratégia.

A tisztább adatbázis az értékesítésnek is jobb.

Egy 11 fős ügynökség péntek délutánja

Egy tizenegyfős ügynökség péntek délután kapott egy rövid e-mailt egy korábbi érdeklődőtől, aki azt kérte, hogy töröljék a róla tárolt adatokat.

Nem volt mögötte különösebb konfliktus.

A cégnél mégis gyorsan kialakult a bizonytalanság.

A tulajdonos az értékesítőt kérdezte, mert korábban ő beszélt az érdeklődővel. Az értékesítő megtalálta a régi levelezést a Gmailben. A CRM-ben is volt egy kártya. A megosztott mappában szerepelt egy korábbi brief. Számla nem készült, mert végül nem lett megrendelés.

Nagyjából ennyit tudtak.

Azt viszont már kevésbé, hogy ki válaszoljon, pontosan milyen rendszereket kell ellenőrizni, illetve kinek kell meghoznia a végső döntést.

A kérés így a közös postaládában maradt hétvégére.

Nem történt katasztrófa. Viszont hétfőre nagyon világossá vált, hogy a következő hasonló megkeresés pontosan ugyanígy fog elakadni, ha nem változtatnak valamin.

A megoldás első lépése egyetlen oldal volt.

Az irodavezető lett az ilyen kérelmek belső gazdája. Felírták, hogy az érdeklődői adatok jellemzően a CRM-ben, a céges Gmailben és a közös dokumentumtárban lehetnek. Készítettek egy egyszerű lépéssort: a kérés fogadása, az érintett azonosítása, a releváns rendszerek ellenőrzése, a válasz előkészítése és szükség esetén tulajdonosi vagy szakértői jóváhagyás.

Közben átnézték a hozzáféréseket is, és kiderült, hogy egy korábbi munkatárs fiókja még aktív.

Ezt megszüntették.

A későbbi részletes sablonok és jogi pontosítások már szakemberrel készültek. A legnagyobb változás azonban előtte megtörtént: a cég többé nem egy váratlan e-mailként kezelte a helyzetet, hanem folyamatként.

A közös jelszó addig kényelmes, amíg valaki el nem megy

Kisebb cégeknél még mindig előfordul, hogy egy közös rendszerhez egyetlen felhasználónév és jelszó tartozik. Mindenki ezt használja, mert egyszerűbb, és nincs szükség külön hozzáférések kezelésére.

Ennek a kényelme pontosan addig tart, amíg nem kell megmondani, ki mit csinált, vagy amíg valaki el nem hagyja a céget.

Ha mindenki ugyanazzal a belépővel dolgozik, a távozó kolléga hozzáférésének megszüntetése is nehezebb. Vagy mindenki jelszavát meg kell változtatni, vagy marad egy olyan hozzáférés, amelynek használatát a vállalkozás már nem igazán tudja kontrollálni.

A praktikus irány ezért az egyéni felhasználó.

Ahol szerepkör vagy jogosultsági szint állítható, érdemes ezeket használni. Ha pedig a csapat még megosztott táblázattal dolgozik, ott is időnként meg lehet nézni, kik férnek hozzá, ki szerkeszthet, és vannak-e régi meghívottak.

Nem kell minden hétfőn jogosultsági auditot tartani.

Kilépő kollégánál viszont ugyanúgy legyen természetes lépés a hozzáférések megszüntetése, mint a laptop vagy a belépőkártya visszaadása.

A személyes postaláda könnyen lyukat üt az adattérképen

A legtisztább CRM-rendszer mellett is kialakulhat rendezetlen adatkezelés, ha a fontos dokumentumok rendszeresen magán- vagy nem megfelelő fiókokba kerülnek.

Egy értékesítő például továbbküldi magának az ajánlatot egy másik címre, mert azon a telefonján egyszerűbb megnyitni. Egy exportot letölt az asztalára, majd otthonról folytatja. Egy ügyfél telefonszáma bekerül a privát névjegyzékébe, mert onnan könnyebb hívni.

Ettől a hivatalos rendszer még lehet rendezett.

Az adattérkép viszont már nem teljes.

Érdemes ezért egyszerű működési szabályokat kialakítani arra, hogy az üzleti dokumentumok és ügyféladatok lehetőség szerint a céges rendszerekben maradjanak. Nem azért, mert minden egyes másolat önmagában katasztrófa, hanem azért, mert amit a vállalkozás nem lát, azt később kezelni sem tudja megbízhatóan.

A térkép csak akkor ér valamit, ha őszinte.

Mit érdemes szakemberhez vinni?

Ha a cég ügyvéddel vagy adatvédelmi tanácsadóval beszél, sokkal hasznosabb lehet egy konkrét működési térképpel érkezni, mint általánosságban megkérdezni, hogy „GDPR szempontból minden rendben van-e”.

Vigye magával, milyen rendszerekben tárolnak ügyféladatot, milyen típusú adatok vannak bennük, kik férnek hozzá, ki a kérelmek gazdája, és hogyan nézne ki egy tipikus hozzáférési vagy törlési kérés.

Ezután már célzott kérdéseket lehet feltenni.

Milyen adatoknak milyen megőrzése indokolt? Mi legyen a számlázási és szerződéses dokumentumokkal? Mi történjen a régi érdeklődőkkel? Hogyan érdemes dokumentálni a kérelmek kezelését?

Ezekre a válaszokat nem ez a cikk adja meg.

És nem is kell neki.

A vállalkozás feladata az, hogy tudja, mit kell megkérdeznie.

Egy adat-nap évente többet érhet, mint az állandó aggodalom

A heti pipeline-meeting mellé természetesen nem kell heti adatvédelmi meetinget is bevezetni. Egy kisebb cégnél sokkal életszerűbb lehet évente vagy más megfelelő rendszerességgel tartani egy rövid felülvizsgálatot.

Kik férnek hozzá a rendszerekhez? Van-e olyan régi felhasználó, akinek már nem kellene? Milyen inaktív rekordok gyűltek össze? Megjelent-e új rendszer vagy új adattárolási hely az előző ellenőrzés óta? A belső adattérkép még mindig azt mutatja, ahogy a cég ténylegesen dolgozik?

Ez nem látványos compliance-projekt.

Üzemeltetés.

Pont úgy, mint amikor évente átnézik a beszállítói szerződéseket vagy a jogosultságokat a bankban.

A cél nem az, hogy minden munkatárs adatvédelmi szakértő legyen. Sokkal inkább az, hogy egy váratlan kérésnél ne akkor derüljön ki először, hol vannak egyáltalán az ügyfél adatai.

Gyakorlati minimum egy kisebb cégnél

Első körben érdemes egy egyszerű adattérképet készíteni arról, hol található név, telefonszám, e-mail, ajánlat, szerződés és számlázási információ. Legyen kijelölt gazdája annak is, ha valaki az adatairól érdeklődik vagy valamilyen kérelmet küld.

A felhasználói hozzáféréseket úgy érdemes kialakítani, hogy mindenki azt lássa és módosítsa, amire a munkájához szüksége van. Kilépő kolléga esetén a hozzáférések megszüntetése legyen ugyanúgy része az offboardingnak, mint az eszközök visszaadása.

A kérelmekhez legyen belső út: ki fogadja, ki keresi meg az adatot, ki készíti elő a választ, hol kerül nyoma annak, hogy történt intézkedés. Az inaktív ügyfélállományt pedig időnként érdemes felülvizsgálni ahelyett, hogy minden valaha megszerzett kontakt automatikusan örökre a CRM-ben maradna.

A konkrét jogi döntéseket – különösen a megőrzést, törlést és egyedi kérelmek kezelését – szakemberrel kell egyeztetni.

Ez a különbség fontos.

A cégnek nem kell házon belül jogi irodává válnia. A saját adatainak működését viszont ismernie kell.

Mit csináljon jövő hétfőn?

Ne a negyvenoldalas szabályzattal kezdjen. Vegyen elő egy üres A4-es lapot, és írja fel rá azokat a helyeket, ahol ügyféladat található a cégnél. CRM, számlázó, Gmail, megosztott mappa, telefon, Excel – és minden más, amit a kollégák valóban használnak.

Ezután írjon a lap tetejére egy nevet: kihez kerül egy adatkezeléssel kapcsolatos ügyfélkérés?

A következő lépés a hozzáférések átnézése. Van-e közös jelszó? Van-e olyan volt munkatárs, akinek még mindig működik a hozzáférése? Ki képes teljes partnerlistát exportálni? Tényleg mindenkinek szüksége van rá?

Ha pedig már van nyitott ügyfélkérés a postaládában, annak még aznap legyen gazdája. Nem kell a válasz minden részletét házon belül kitalálni – szakértőt lehet és kell is bevonni, ahol szükséges –, de annak világosnak kell lennie, ki viszi tovább az ügyet.

Ha az ügyféladatok jelentős része közös CRM-ben él, az adattérkép természetesen egyszerűbb lehet. A VentasCRM kapcsolódó lehetőségei a funkcióknál tekinthetők át.

A jogi döntést azonban nem a CRM hozza meg.

A rendszer abban segíthet, hogy a cég tudja, hol van az adat és ki fér hozzá. Hogy egy konkrét esetben mit kell törölni, mit kell megőrizni és hogyan kell eljárni, azt továbbra is a vonatkozó szabályok és szükség esetén a szakember mondja meg.

Ez a cikk ezért nem jogi tanácsadás. Inkább egy egyszerű működési javaslat: mielőtt az ügyfél kérdez, a cég legalább tudja, hol keresse a választ.