CRM GDPR: cosa verificare prima di metterci i dati dei clienti

Un «CRM GDPR» non è un prodotto con un bollino. È un CRM più i contratti, le impostazioni e le abitudini che ti permettono di rispettare i tuoi obblighi ai sensi del GDPR, e questi obblighi ricadono su di te in quanto titolare del trattamento: una base giuridica per ogni uso di dati personali, un accordo sul trattamento dei dati (DPA) con il fornitore che li conserva, una risposta a chi chiede cosa conservi su di lui e la cancellazione dei dati quando non ti servono più. Il fornitore di un CRM può renderti il lavoro facile o difficile, ma nessun CRM ti rende conforme da solo.

Questa guida elenca gli obblighi che contano per un CRM con i relativi articoli, mostra cosa verificare nel contratto e nell’elenco dei sub-responsabili di qualsiasi fornitore, percorre una richiesta di accesso e una di cancellazione e dice dove si colloca Customermates, anche con ciò che non dichiara. Customermates la pubblica e compare in sezioni contrassegnate. È un’informazione generale, non una consulenza legale: per il tuo caso rivolgiti a un avvocato o al tuo responsabile della protezione dei dati. Le fonti del diritto dell’UE e i testi legali di Customermates sono stati verificati l’11 novembre 2026; i testi legali cambiano, quindi leggi il DPA e l’elenco dei sub-responsabili in vigore prima di fare affidamento su questa pagina.

Cosa chiede il GDPR a un CRM?

Il GDPR (regolamento (UE) 2016/679, testo su EUR-Lex) non certifica alcun software. Disciplina l’organizzazione che decide finalità e mezzi del trattamento, il titolare, e il fornitore che tratta i dati per suo conto, il responsabile del trattamento. Un CRM pieno di nomi, indirizzi e-mail e conversazioni contiene dati personali: il titolare sei tu, e il fornitore che li conserva per te è un responsabile del trattamento. La tabella collega agli articoli gli obblighi più importanti per un CRM.

La Commissione europea spiega i principi del GDPR in modo semplice (in inglese), e le linee guida 07/2020 del Comitato europeo per la protezione dei dati (in inglese) chiariscono nel dettaglio i ruoli di titolare e responsabile. Un database CRM pensato con questi obblighi in mente parte da meno campi e da responsabilità chiare.

Esiste un CRM conforme al GDPR?

Nessun CRM è conforme al GDPR da solo. La conformità descrive come usi uno strumento: cosa raccogli, su quale base, quanto a lungo lo conservi e come rispondi alle richieste. Ciò che un fornitore può offrire onestamente è più circoscritto e verificabile:

• un contratto con il responsabile che copra l’art. 28, par. 3;
• un elenco pubblico dei sub-responsabili e una procedura descritta per i cambiamenti;
• informazioni chiare su dove i dati vengono trattati e su quale meccanismo copre un trasferimento fuori dal SEE;
• misure di sicurezza scritte nel contratto;
• funzioni per trovare, correggere, esportare e cancellare i dati di una persona; e
• una via d’uscita: la restituzione o la cancellazione dei tuoi dati alla fine.

Considera un bollino come «conforme al GDPR» o «fatto in Europa» un’affermazione commerciale. Il GDPR prevede certificazioni approvate (art. 42): chiedi quindi quale certificazione, rilasciata da quale organismo, per quale servizio. Customermates non ha alcuna certificazione di conformità; l’hosting in una regione dell’UE è un fatto di hosting, non una certificazione.

Contano la sede del fornitore e la posizione dei server?

Tre luoghi si confondono facilmente: dove ha sede il fornitore, dove gira il suo database e dove trattano i dati tutti gli altri fornitori della catena. Il GDPR non impone l’hosting nell’UE. Limita i trasferimenti fuori dal SEE (art. 44 a 46) e ti rende responsabile dell’intera catena. Un fornitore con sede in Germania può far girare l’applicazione presso un hosting statunitense, e un fornitore statunitense può tenere un database a Francoforte. È la vera domanda dietro la ricerca di un CRM tedesco o europeo: guarda tutti e tre i luoghi, non il titolo.

Per Customermates i testi legali dicono questo (stato all’11 novembre 2026):

L’elenco dei sub-responsabili indica ogni fornitore con finalità, luogo e base di trasferimento, e la documentazione sulla sicurezza spiega l’isolamento dei tenant e dove si trovano le credenziali. In sintesi: un gestore in Germania, un database in una regione dell’UE e fornitori statunitensi nella catena, per questo conta l’elenco più del nome di un paese.

Cosa deve contenere un accordo sul trattamento dei dati per un CRM?

L’art. 28, par. 3, elenca il contenuto minimo di un contratto con il responsabile. Confronta il contratto di un fornitore con le lettere da a a h. La colonna di destra mostra il DPA di Customermates; i numeri degli articoli rimandano al DPA pubblicato.

Leggi anche i limiti. Il DPA dice cosa non può promettere: per gli account collegati Customermates non ha un diritto contrattuale di cancellazione per singolo account verso Unipile e può solo chiedere la rimozione, e i record in ingresso grezzi che non si possono attribuire a un cliente sono conservati senza un termine fisso per l’analisi degli errori. Un DPA che dichiara i propri limiti è più facile da valutare di uno che non ne dichiara.

Controlla anche come viene concluso. Pubblicare un documento non lo conclude: il DPA di Customermates diventa efficace per un cliente quando un amministratore autorizzato lo accetta, insieme alle condizioni generali, durante l’onboarding, e una copia in forma scritta è disponibile su richiesta. Fa fede solo la versione tedesca; le versioni inglese e italiana sono traduzioni a titolo informativo.

Come gestisci una richiesta di accesso o di cancellazione in un CRM?

È la prova del nove di ogni configurazione di CRM: qualcuno scrive «Cosa conservate su di me?» oppure «Cancellate i miei dati». I passi qui sotto usano Customermates; l’ordine vale per qualsiasi strumento.

1. Registra la richiesta e verifica l’identità

   Annota la data di ricezione: da lì decorre il termine di un mese dell’art. 12, par. 3. Verifica l’identità in modo proporzionato ai dati, senza raccogliere per questo più dati del necessario.

2. Trova tutte le schede

   Premi Cmd o Ctrl e K. La ricerca globale scorre tutte le liste che puoi leggere e trova un contatto da qualsiasi indirizzo e-mail o numero di telefono nei suoi Recapiti; cerca anche il nome e apri le organizzazioni e i deal collegati. Le conversazioni non fanno parte di questa ricerca: la posta in arrivo, da Pro con un account collegato, ha una ricerca propria.

3. Raccogli i dati

   Filtra ogni lista sulla persona, poi scegli Esporta come Excel o Esporta come JSON in Altre azioni. L’esportazione contiene ciò che la lista mostra con i tuoi filtri, fino a 5.000 record, e solo i campi che il tuo ruolo può leggere. Customermates non ha un’esportazione dell’intero account in un solo passaggio; ripeti quindi l’operazione per ogni lista che contiene la persona e aggiungi ciò che si trova nelle tue e-mail, nei fogli di calcolo e negli altri strumenti.

4. Correggi ciò che è sbagliato

   Modifica il valore direttamente nel campo. Così rispondi a una richiesta di rettifica ai sensi dell’art. 16; il registro attività annota la modifica con il valore precedente, chi l’ha fatta e quando.

5. Cancella, poi controlla le copie

   Elimina sposta il record nel cestino e lo toglie da liste, ricerca, widget ed esportazioni. Apri il cestino e scegli Elimina definitivamente per cancellare subito, il che rimuove anche i valori dei campi del record dalla sua cronologia; altrimenti sparisce da solo dopo 30 giorni. I messaggi di una posta in arrivo collegata sono copie di messaggi del tuo account e-mail o di messaggistica: l’originale richiede quindi la stessa decisione. Chiedi come il tuo fornitore tratta i backup: il DPA di Customermates indica al massimo 90 giorni per le cancellazioni che copre (articolo 11).

6. Rispondi e annota ciò che hai fatto

   Rispondi entro il mese e conserva una nota della richiesta, della decisione e della data, per poterlo dimostrare in seguito (art. 5, par. 2). Per un’opposizione al marketing (art. 21, par. 3) aggiungi un campo Sì/No come «Opposizione al marketing» e lascia quei record fuori da ogni lista di invio.

La documentazione del cestino descrive il ripristino e la cancellazione definitiva, la documentazione dei record filtri, esportazione e importazione.

Come configuri un CRM tenendo conto del GDPR?

Una checklist per la prima settimana, prima che entrino dati veri dei clienti:

1. Decidi cosa conserva ogni lista

   Meno campi significano meno da proteggere, da comunicare e da cancellare (art. 5, par. 1, lett. c). Scrivi finalità e base giuridica di ogni lista nella sua descrizione e lascia fuori le categorie particolari di dati, come i dati sulla salute (art. 9), finché non hai un fondamento specifico.

2. Dai solo gli accessi necessari

   I ruoli concedono Crea, Modifica, Elimina e Accesso in lettura (Tutti, Assegnati o Nessuno) separatamente per ogni lista. Non esistono permessi a livello di campo; metti quindi le informazioni sensibili in una lista separata con accesso più stretto.

3. Pianifica l’uscita delle persone

   Impostare un membro su Inattivo blocca subito il suo accesso, le sue chiavi API e le sue connessioni MCP per lo spazio di lavoro.

4. Concludi il DPA e leggi l’elenco dei sub-responsabili

   Conserva la tua copia della versione accettata e rileggi l’elenco quando arriva un avviso di modifica.

5. Collega solo i canali che usi

   Ogni account collegato aggiunge un fornitore alla catena e una copia conservata dei suoi messaggi. Scollegare un account cancella i thread, i messaggi, i partecipanti e i dati del calendario conservati per quell’account, come descrive il DPA.

6. Fissa una regola di conservazione per lista e applicala

   Salva una vista dei record non aggiornati da un periodo che hai scelto, rivedila a scadenze regolari e cancella ciò che non ti serve più. La scelta del periodo il GDPR la lascia a te (art. 5, par. 1, lett. e); se il diritto tributario o commerciale ti obbliga a conservare un documento, quell’obbligo si aggiunge.

7. Tieni aggiornati i tuoi documenti

   Il registro dei trattamenti (art. 30) e la tua informativa sulla privacy (art. 13 e 14) stanno nel tuo archivio di conformità, non nei documenti del fornitore del CRM.

Cosa cambiano le funzioni di IA con il GDPR?

Un assistente IA aggiunge fornitori alla catena e invia loro testo tratto dai tuoi record. Per ogni funzione di IA chiedi quale fornitore riceve quali dati, se compare nell’elenco dei sub-responsabili, dove tratta i dati, se si addestra sui tuoi dati e se puoi lasciare la funzione disattivata.

Per Customermates Cloud, l’elenco dei sub-responsabili descrive Mate: una richiesta passa da Vercel AI Gateway ai fornitori della tabella qui sopra e contiene solo ciò che serve per la risposta. L’elenco indica, su quel percorso del gateway, un’impostazione senza conservazione dei dati (Zero Data Retention); è un controllo ristretto e non una promessa di conservazione per il CRM stesso. I modelli Claude sono fissati su una zona di inferenza dell’UE, mentre la ricerca sul web e il modello di embedding girano negli Stati Uniti. Quali dati contiene una richiesta lo decidi tu, e resti responsabile di necessità e base giuridica. Se colleghi il tuo client IA tramite MCP, quel fornitore tratta i dati in base al tuo contratto con lui. Le istanze in self-hosting non hanno Mate. La guida al CRM con IA confronta gli approcci.

Customermates e il GDPR: cosa offre e cosa no

Offerto, secondo la documentazione di prodotto e i testi legali:

• il DPA e l’elenco dei sub-responsabili per il cloud gestito, con la procedura di modifica descritta sopra;
• ruoli per lista, un interruttore per disattivare i membri e separazione dei tenant per account aziendale;
• ricerca globale per indirizzo e-mail o numero di telefono, correzione sul posto, esportazione Excel e JSON per lista e un cestino con cancellazione definitiva;
• un registro attività per le modifiche ai record del CRM e alla configurazione dello spazio di lavoro, leggibile dai ruoli che hanno accesso; e
• un nucleo open source con licenza AGPL che puoi installare in self-hosting.

Non offerto, chiedilo quindi altrove se ti serve:

• Customermates non ha alcuna certificazione di conformità né una garanzia contrattuale che tutti i dati restino in una sola regione;
• non ha permessi a livello di campo né un’esportazione di un intero account in un solo passaggio;
• il suo registro attività non copre accessi, chiavi API o contenuto della posta in arrivo e non ha un pulsante di esportazione.

Il self-hosting sposta la responsabilità. Il nucleo AGPL gira con Docker e PostgreSQL sulla tua infrastruttura, e il DPA copre solo il servizio gestito: scegli tu hosting e fornitori e hai i tuoi contratti ai sensi dell’art. 28 e le tue garanzie di trasferimento. TLS e cifratura a riposo sono a tuo carico. Il self-hosting usa l’insieme di funzioni Starter, senza posta in arrivo e senza Mate, e non è isolato dalla rete: al primo inserimento di un indirizzo per un paese, l’istanza scarica da GeoNames il file pubblico dei codici postali di quel paese, a meno che tu imposti POSTAL_CODE_DATA_URL su off o su un mirror. La guida al self-hosting dà i dettagli, e la pagina sul CRM open source spiega il confine della licenza.

Per verificare questi punti sul tuo caso, leggi prima il DPA e l’elenco dei sub-responsabili, poi avvia la tua prova di 14 giorni: Pro, senza carta di credito. Importa qualche record di prova prima dei dati veri dei clienti e percorri una volta i passi della richiesta di accesso.

Domande frequenti su GDPR e CRM

Diritto e dati di terzi verificati l’11 novembre 2026: regolamento (UE) 2016/679 su EUR-Lex, la direttiva e-Privacy, i principi del GDPR della Commissione europea e le linee guida 07/2020 dell’EDPB. Le indicazioni su Customermates provengono dal suo DPA, dal suo elenco dei sub-responsabili e dalla sua documentazione sulla sicurezza nello stato di quella data.