De CRM uitgelegd
Een Europees CRM kiezen
Waar uw klantgegevens staan, welk recht erop van toepassing is en hoe u ze weer meeneemt: drie vragen die zelden gesteld worden voordat u tekent.
Met een Europees CRM bedoelt men meestal twee dingen: een leverancier die in Europa gevestigd is, en klantgegevens die binnen de Europese Unie worden opgeslagen. Dat is een goed vertrekpunt, geen keurmerk. De AVG geldt ook voor leveranciers van buiten Europa, en ‘Europees’ zegt nog niets over wie de servers levert. Wat telt: waar de gegevens staan, onder welk recht elke schakel in de keten valt, en hoe u alles weer meeneemt.
Wat de AVG garandeert, en wat niet
De AVG, in België vaak GDPR genoemd, bepaalt op welke grond u persoonsgegevens verwerkt, wat u de betrokkenen meedeelt, welke rechten zij hebben en hoe u de gegevens beveiligt. Ook verplicht ze u tot een verwerkersovereenkomst met uw CRM-leverancier. Twee dingen regelt ze niet. Ze schrijft geen opslag in Europa voor: doorgifte buiten de Europese Economische Ruimte mag, met waarborgen zoals een adequaatheidsbesluit of modelcontractbepalingen. En ze lost geen wetsconflict op: een bedrijf dat onder het recht van een land buiten de EU valt, kan door de autoriteiten van dat land verplicht worden gegevens af te geven, ook als die in Europa staan.
De vragen die u een leverancier stelt
Stel ze schriftelijk en verwacht een schriftelijk antwoord. In welk land staan de gegevens fysiek? Welk bedrijf host ze, en onder welk recht valt dat bedrijf? Gaan er gegevens buiten de EU voor back-ups, support of andere subverwerkers? Welke verwerkersovereenkomst krijgt u? En hoe haalt u alles terug als u vertrekt, in welk formaat en zonder dat u erom hoeft te vragen? Een leverancier die bij een van deze vragen aarzelt, heeft u al geantwoord.
Uw gegevens meenemen: de vraag achter de soevereiniteit
Het dagelijkse risico is zelden spionage, wel vendor lock-in. Een CRM dat exporteren moeilijk maakt, houdt u vast: overstappen zou betekenen dat u de geschiedenis van uw klantrelaties kwijtraakt. Eis dat u contacten, organisaties en deals op elk moment zelf kunt exporteren in een leesbaar formaat, zonder tussenkomst van de support, en vraag wie in uw team dat mag. Hoe makkelijk u kunt vertrekken, zegt veel over de relatie die een leverancier met u wil.
Waar Lea staat
Lea CRM is een product van N.Y.B.K. SAS, een Frans bedrijf. De applicatie en de database (contacten, organisaties, deals, notities) draaien in Amsterdam, in Nederland, op servers van Railway Corp., een Amerikaans bedrijf: dat is ons antwoord op de vraag welk bedrijf uw gegevens host. Voor specifieke taken, zoals het opslaan van bijlagen of het verzenden van e-mails, werken we met andere leveranciers: vraag ons om de lijst. U exporteert uw gegevens op elk moment zelf als CSV vanuit de applicatie, zonder verzoek aan de support: contacten en organisaties voor alle rollen, deals voor de beheerders van het account. De interface bestaat in zes talen, en een ingebouwde uitsluitingslijst zorgt dat wie niet meer benaderd wil worden, niet opnieuw wordt geïmporteerd en vanuit Lea geen ongevraagde berichten meer krijgt. Wij beweren niet dat dit u tegen elk risico beschermt: u weet wel precies waar u staat, en u blijft vrij om te vertrekken.
Veelgestelde vragen
Is een Amerikaanse leverancier die de AVG naleeft genoeg?
Voor het gebruik van de gegevens is de AVG de maatstaf, en die geldt ook voor hem. Wat overblijft is het mogelijke conflict met het recht van zijn eigen land, dat de AVG niet beslecht. Of dat risico voor uw gegevens zwaar weegt, beoordeelt u zelf.
Bestaat er een AVG-proof CRM?
Niet als kant-en-klaar product. U blijft zelf verwerkingsverantwoordelijke: u bepaalt welke gegevens u vastlegt, hoe lang u ze bewaart en hoe u verzoeken van betrokkenen afhandelt. Een CRM kan dat makkelijker maken, maar het kan de AVG niet voor u naleven.
Opslag in eigen land of elders in de EU: maakt dat uit?
Juridisch speelt het zich af op het niveau van de Unie: dezelfde verordening, dezelfde rechten. Opslag in uw eigen land geeft nabijheid, geen extra bescherming. Belangrijker is onder welk recht de bedrijven in de keten vallen.
Hoe controleert u wat een leverancier belooft?
Vraag de naam van de hostingpartij en het land van opslag op papier: in het contract, de verwerkersovereenkomst of het privacybeleid. Een bewering op een website bindt niemand, een contractuele bepaling wel.