CRM:n hinta, hinnoittelumallit ja 2026 säännöt
CRM ja tietosuoja: GDPR, tietosuojalaki 1050/2018 ja henkilötietojen käsittelysopimus
CRM on henkilörekisteri. Käsittelyperusteet, käsittelysopimus CRM-toimittajan kanssa, tietojen sijainti, säilytysajat ja rekisteröidyn oikeudet pienyrityksen näkökulmasta.
Kun pienyritys tallentaa asiakkaiden ja yhteyshenkilöiden tietoja CRM:ään, se on rekisterinpitäjä, ja CRM-palvelun tarjoaja on yleensä henkilötietojen käsittelijä. Tietosuoja-asetus (EU) 2016/679 eli GDPR edellyttää tällöin, että käsittelylle on peruste, rekisteröityjä informoidaan, tiedot suojataan ja niitä säilytetään vain tarpeen mukaan, ja että toimittajan kanssa on kirjallinen käsittelysopimus (GDPR 28 artikla). Suomessa asetusta täydentää tietosuojalaki (1050/2018), ja valvova viranomainen on tietosuojavaltuutettu. Tämä opas käy läpi, mitä tämä tarkoittaa CRM:n valinnassa. Kokonaiskuva on oppaassa CRM-järjestelmän hinta pienyritykselle.
Koskeeko GDPR B2B-asiakastietoja?
Koskee, kun tieto liittyy tunnistettavaan ihmiseen. Yrityksen nimi ja Y-tunnus eivät ole henkilötietoja, mutta yhteyshenkilön nimi, työsähköposti, puhelinnumero ja muistiinpanot hänen kanssaan käydyistä keskusteluista ovat. Toiminimellä toimivan elinkeinonharjoittajan tiedot ovat usein myös henkilötietoja, koska yritys ja henkilö ovat sama. Käytännössä lähes jokainen CRM sisältää henkilötietoja.
Käsittelyperusteet CRM:ssä
GDPR:n 6 artikla luettelee käsittelyperusteet. CRM:ssä tavallisia ovat:
| Peruste | Tyypillinen käyttö CRM:ssä | Huomioi |
|---|---|---|
| Sopimus (6 art. 1 b) | Asiakkaan tilaukset, toimitukset, laskutus | Kattaa sopimuksen hoitamisen, ei automaattisesti markkinointia |
| Oikeutettu etu (6 art. 1 f) | B2B-yhteyshenkilöt, asiakassuhteen hoito, osa suoramarkkinoinnista | Vaatii tasapainotestin; rekisteröity voi vastustaa |
| Suostumus (6 art. 1 a) | Uutiskirjeen tilaus kuluttajalta | Oltava vapaaehtoinen, yksilöity ja todennettavissa; peruttavissa |
| Lakisääteinen velvoite (6 art. 1 c) | Kirjanpitoaineisto | Säilytysajat kirjanpitolaista |
Tietosuoja-asetuksen johdanto-osan 47 kappaleessa todetaan, että suoramarkkinointia voidaan pitää oikeutetun edun mukaisena käsittelynä. Sähköisen viestinnän erityissäännöt rajaavat kuitenkin, miten markkinointia saa lähettää: kuluttajille sähköpostilla tai tekstiviestillä lähetettävä markkinointi vaatii yleensä suostumuksen riippumatta GDPR:n käsittelyperusteesta. Tämä on purettu oppaassa sähköinen suoramarkkinointi ja laki.
Rekisteröidyllä on GDPR:n 21 artiklan mukaan oikeus vastustaa suoramarkkinointia milloin tahansa, ja vastustuksen jälkeen tietoja ei saa käyttää suoramarkkinointiin. CRM:n pitää siis pystyä tallentamaan kielto pysyvästi.
Henkilötietojen käsittelysopimus CRM-toimittajan kanssa
GDPR:n 28 artiklan mukaan rekisterinpitäjän ja käsittelijän välillä on oltava sopimus, josta käyvät ilmi ainakin käsittelyn kohde, kesto, luonne ja tarkoitus, henkilötietotyypit ja rekisteröityjen ryhmät sekä käsittelijän velvollisuudet. Pilvi-CRM:ssä sopimus on yleensä palveluehtojen liitteenä nimellä Data Processing Agreement (DPA) tai tietojenkäsittelyliite.
Tarkista käsittelysopimuksesta ainakin:
- Ohjeet ja tarkoitus: toimittaja käsittelee tietoja vain sinun ohjeidesi mukaan.
- Alihankkijat (alikäsittelijät): luettelo, ilmoitus muutoksista ja oikeus vastustaa.
- Tietojen sijainti: säilytetäänkö tiedot EU:ssa ja siirretäänkö niitä EU:n ulkopuolelle. Siirroille tarvitaan GDPR:n V luvun mukainen peruste, esimerkiksi komission tietosuojan riittävyyttä koskeva päätös tai vakiolausekkeet.
- Tietoturva: salaus, käyttöoikeuksien hallinta, varmuuskopiot.
- Tietoturvaloukkaukset: toimittajan on ilmoitettava loukkauksesta ilman aiheetonta viivytystä. Rekisterinpitäjän on ilmoitettava loukkauksesta valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun se on tullut tietoon, paitsi jos loukkauksesta ei todennäköisesti aiheudu riskiä ihmisten oikeuksille ja vapauksille (GDPR 33 artikla). Myöhästyneeseen ilmoitukseen on liitettävä selitys viiveestä.
- Tietojen palautus ja poisto sopimuksen päättyessä. Tämä liittyy suoraan tietojen vientiin ja toimittajan vaihtoon.
- Auditointioikeus: usein toteutettu sertifikaateilla tai raporteilla.
Pienyritys ei yleensä voi neuvotella kansainvälisen pilvipalvelun vakiosopimusta, mutta sen pitää lukea se ja tallentaa versio, joka oli voimassa tilaushetkellä.
Tietosuojalaki 1050/2018 ja valvonta
Tietosuojalaki täsmentää GDPR:ää Suomessa. Pienyrityksen CRM:n kannalta tärkein seikka on, että kansallinen valvontaviranomainen on tietosuojavaltuutettu, joka myös ohjeistaa rekisterinpitäjiä. Tietosuojavaltuutettu valvoo myös sähköistä suoramarkkinointia koskevien säännösten noudattamista. Rekisteröity voi tehdä tietosuojavaltuutetulle ilmoituksen, jos hän katsoo, että hänen tietojaan käsitellään lainvastaisesti.
Säilytysajat ja tietojen minimointi
GDPR:n mukaan henkilötiedot on säilytettävä vain niin kauan kuin on tarpeen. CRM:ssä se tarkoittaa käytännössä:
| Tietotyyppi | Havainnollinen säilytysperiaate |
|---|---|
| Aktiivisen asiakkaan yhteyshenkilö | Asiakassuhteen ajan, päivitetään henkilövaihdoksissa |
| Liidi, josta ei tullut asiakasta | Määräaika, esimerkiksi 12–24 kuukautta viimeisestä yhteydestä, perusteltava |
| Markkinointikiellon tallentanut henkilö | Kieltotieto säilytetään, jotta kieltoa voidaan noudattaa |
| Laskut ja tositteet | Kirjanpitolain mukaiset ajat taloushallinnossa, ei välttämättä CRM:ssä |
Esimerkkiajat ovat havainnollisia; yrityksen on määriteltävä omat aikansa ja kirjattava ne. Tarkista, tukeeko CRM automaattista poistoa tai arkistointia, koska käsin tehty poisto unohtuu.
Minimoi myös vapaateksti. Muistiinpanoon ei kirjata terveystietoja, poliittisia mielipiteitä tai muuta erityistä tietoa, eikä henkilöstä kirjata asioita, joita ei voisi näyttää hänelle itselleen. Rekisteröidyllä on oikeus saada pääsy tietoihinsa.
Rekisteröidyn oikeudet CRM:n toimintoina
Valitse CRM, jossa nämä onnistuvat ilman käsityötä:
- Tietojen haku ja vienti henkilöä kohden (pääsyoikeus, siirto-oikeus).
- Tietojen korjaaminen ja muutoshistorian näkyminen.
- Poistaminen niin, että tieto poistuu myös integroiduista järjestelmistä.
- Markkinointikiellon tallentaminen, joka estää lähetykset kaikista kanavista.
Tietosuojaseloste ja informointi
Rekisteröidyille on kerrottava käsittelystä GDPR:n 13 ja 14 artiklan mukaisesti, yleensä tietosuojaselosteella verkkosivulla. Selosteessa mainitaan muun muassa käsittelyn tarkoitukset ja perusteet, vastaanottajat, kuten CRM-toimittaja, siirrot EU:n ulkopuolelle ja säilytysajat. Kun vaihdat CRM:ää, päivitä seloste.
Milloin kannattaa kysyä asiantuntijalta
Jos käsittelet erityisiä henkilötietoryhmiä, profiloit asiakkaita laajasti, käytät tekoälytoimintoja henkilötietoihin tai siirrät tietoja EU:n ulkopuolelle ilman selvää perustetta, pyydä tietosuoja-asiantuntijan arvio. Laajassa riskialttiissa käsittelyssä voidaan tarvita vaikutustenarviointi (GDPR 35 artikla).
Tietoturvaloukkaus CRM:ssä: toimintamalli
Laadi lyhyt ohje ennen kuin mitään tapahtuu. Esimerkkejä loukkauksista ovat myyjän tunnusten kaappaus, väärälle vastaanottajalle lähetetty asiakaslista tai toimittajan ilmoittama tietomurto.
- Rajaa vahinko: vaihda salasanat, sulje tunnukset ja pysäytä lähetykset.
- Selvitä, mitä tietoja ja kuinka monen henkilön tietoja loukkaus koskee.
- Arvioi riski rekisteröidyille ja kirjaa arvio.
- Ilmoita tietosuojavaltuutetulle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa, ellei loukkauksesta todennäköisesti aiheudu riskiä, ja rekisteröidyille, jos riski on korkea (GDPR 34 artikla).
- Kirjaa loukkaus ja toimenpiteet, myös silloin kun ilmoitusta ei tehdä.
Usein kysytyt kysymykset
Riittääkö, että CRM-toimittaja on iso ja tunnettu?
Ei. Rekisterinpitäjänä vastaat siitä, että käsittelysopimus on olemassa ja että tietojen sijainti ja siirrot ovat lainmukaisia. Tarkista ne itse.
Saako myyjän puhelimen yhteystiedot synkronoida CRM:ään?
Vain tarpeellisin osin. Yksityiset yhteystiedot eivät kuulu yrityksen rekisteriin. Rajaa synkronointi työkontakteihin.
Mitä tehdä, jos joku pyytää poistamaan tietonsa?
Tarkista, onko tietojen säilyttämiselle muu peruste, kuten avoin sopimus tai kirjanpitovelvoite. Muuten poista tiedot ja säilytä vain tieto markkinointikiellosta, jos henkilö on kieltänyt markkinoinnin.
Lähteet
- Tietosuojavaltuutetun toimisto – ohjeet rekisterinpitäjille ja käsittelysopimuksista
- Finlex – tietosuojalaki 1050/2018
- EUR-Lex – tietosuoja-asetus (EU) 2016/679
- Euroopan tietosuojaneuvosto – oikeutettua etua ja siirtoja koskevat suuntaviivat
