CRM RODO: co sprawdzić, zanim zapiszesz dane klientów

CRM RODO to nie produkt z odznaką. To CRM plus umowy, ustawienia i nawyki, które pozwalają Ci wypełnić własne obowiązki wynikające z RODO, a te obowiązki spoczywają na Tobie jako administratorze: podstawa prawna każdego użycia danych osobowych, umowa powierzenia przetwarzania danych z dostawcą, który je przechowuje, odpowiedzi dla osób pytających, co o nich masz, oraz usunięcie danych, gdy przestajesz ich potrzebować. Dostawca CRM może to ułatwić lub utrudnić, ale żaden CRM sam nie czyni Cię zgodnym z przepisami.

Ten poradnik wylicza obowiązki istotne dla CRM wraz z numerami artykułów, pokazuje, co sprawdzić w umowie i na liście podmiotów podprzetwarzających dowolnego dostawcy, przeprowadza przez wniosek o dostęp i wniosek o usunięcie danych oraz podaje, gdzie stoi Customermates, w tym czego nie deklaruje. Publikuje go Customermates, który pojawia się w oznaczonych sekcjach. To informacja ogólna, nie porada prawna: zapytaj prawnika albo inspektora ochrony danych o swój przypadek. Źródła prawa UE i strony prawne Customermates sprawdzono 11 listopada 2026; strony prawne się zmieniają, więc zanim oprzesz się na tej stronie, przeczytaj aktualną umowę powierzenia przetwarzania danych i listę podmiotów podprzetwarzających.

Czego RODO wymaga od CRM?

RODO (rozporządzenie (UE) 2016/679, tekst w EUR-Lex) nie certyfikuje oprogramowania. Reguluje organizację, która decyduje, dlaczego i jak dane osobowe są wykorzystywane, czyli administratora, oraz dostawcę, który przetwarza dane w jego imieniu, czyli podmiot przetwarzający. CRM pełen nazwisk, adresów e-mail i rozmów zawiera dane osobowe, więc Ty jesteś administratorem, a dostawca, który je dla Ciebie przechowuje, jest podmiotem przetwarzającym. Tabela przypisuje artykułom obowiązki najważniejsze dla CRM.

Strona Komisji Europejskiej o zasadach RODO podaje wersję w prostym języku (po angielsku), a wytyczne 07/2020 Europejskiej Rady Ochrony Danych (po angielsku) szczegółowo wyjaśniają role administratora i podmiotu przetwarzającego. Baza danych CRM zbudowana z myślą o tych obowiązkach zaczyna się od mniejszej liczby pól i jasnych właścicieli.

Jakie dane w CRM to dane osobowe i które są szczególne?

Dane osobowe to według art. 4 pkt 1 RODO wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. W CRM należą do nich imię i nazwisko, adres e-mail, numer telefonu, adres, stanowisko, profil na LinkedInie, notatki z rozmów i historia wiadomości.

Czy adres e-mail podlega RODO? Tak, gdy pozwala zidentyfikować osobę, na przykład imie.nazwisko@firma.pl. Adres ogólny, taki jak biuro@firma.pl, sam dotyczy firmy, ale wiadomość od konkretnej osoby, jej podpis i treść rozmowy to już dane osobowe. Cały CRM z kontaktami zawodowymi traktuj więc jak zbiór danych osobowych, także w B2B: RODO chroni osoby, a nie tylko konsumentów.

Które dane są szczególne (wrażliwe)? Art. 9 ust. 1 wymienia dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe oraz przynależność do związków zawodowych, a także dane genetyczne, biometryczne, dane dotyczące zdrowia, seksualności lub orientacji seksualnej. Ich przetwarzanie jest co do zasady zakazane, chyba że zachodzi jeden z wyjątków z art. 9 ust. 2, na przykład wyraźna zgoda. W zwykłym CRM sprzedażowym najbezpieczniej w ogóle ich nie zapisywać: nie wpisuj do notatek, że klient choruje albo należy do związku zawodowego, nawet jeśli sam o tym wspomniał w rozmowie.

Jakich danych nie można udostępnić? RODO nie zawiera listy danych zakazanych do udostępnienia. Każde ujawnienie danych osobowych wymaga podstawy prawnej z art. 6, a dla danych szczególnych dodatkowo wyjątku z art. 9. W CRM dotyczy to na przykład przekazania listy klientów innej firmie albo wspólnego pliku z danymi dla osób, które nie potrzebują ich do pracy.

Czym jest bezpieczeństwo danych osobowych? To zdolność do zapewnienia ich poufności, integralności i dostępności (art. 32 ust. 1 lit. b): dostęp mają tylko właściwe osoby, dane nie są po cichu zmieniane ani uszkadzane i da się je odzyskać po incydencie. W CRM oznacza to role z wąskim dostępem, szyfrowanie, kopie zapasowe i dziennik zmian, o których piszemy dalej.

W Polsce organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych (UODO): do niego zgłaszasz naruszenia ochrony danych (art. 33) i do niego osoby mogą kierować skargi.

Czy istnieje CRM zgodny z RODO?

Żaden CRM nie jest zgodny z RODO sam z siebie. Zgodność opisuje, jak używasz narzędzia: co zbierasz, na jakiej podstawie, jak długo przechowujesz i jak odpowiadasz na wnioski. To, co dostawca może uczciwie zaoferować, jest węższe i da się to sprawdzić:

• umowa powierzenia obejmująca art. 28 ust. 3;
• publiczna lista podmiotów podprzetwarzających i opisany proces zmian;
• jasna informacja, gdzie dane są przetwarzane i jaki mechanizm obejmuje każdy transfer poza EOG;
• środki bezpieczeństwa zapisane w umowie;
• funkcje produktu do znalezienia, poprawienia, wyeksportowania i usunięcia danych jednej osoby; oraz
• sposób wyjścia: zwrot lub usunięcie Twoich danych po zakończeniu.

Traktuj odznakę w rodzaju „zgodny z RODO” albo „made in Europe” jako twierdzenie marketingowe. RODO przewiduje zatwierdzoną certyfikację (art. 42), więc pytaj, jaką certyfikację, od jakiego podmiotu i dla jakiej usługi. Customermates nie ma certyfikatu zgodności; hosting w regionie UE to fakt dotyczący hostingu, nie certyfikacja.

Czy ma znaczenie, gdzie jest dostawca CRM i jego serwery?

Trzy miejsca się mieszają: gdzie dostawca ma siedzibę, gdzie działa jego baza danych i gdzie dane przetwarza każdy inny dostawca w łańcuchu. RODO nie wymaga hostingu w UE. Ogranicza transfery poza EOG (art. 44 do 46) i czyni Cię odpowiedzialnym za cały łańcuch podmiotów przetwarzających. Dostawca z Niemiec może uruchamiać aplikację u amerykańskiego dostawcy hostingu, a amerykański dostawca może uruchamiać bazę danych we Frankfurcie. To prawdziwe pytanie kryjące się za wyszukiwaniem niemieckiego lub unijnego CRM: czytaj wszystkie trzy miejsca, nie nagłówek.

W przypadku Customermates strony prawne mówią tak (stan z 11 listopada 2026):

Lista podmiotów podprzetwarzających zawiera każdego dostawcę z jego celem, lokalizacją i podstawą transferu, a dokumentacja bezpieczeństwa wyjaśnia izolację najemców i miejsce przechowywania poświadczeń. Podsumowanie: operator w Niemczech, baza danych skonfigurowana w regionie UE i dostawcy z USA w łańcuchu, dlatego lista liczy się bardziej niż nazwa kraju.

Co powinna zawierać umowa powierzenia przetwarzania danych w CRM?

Art. 28 ust. 3 wymienia minimalną treść umowy z podmiotem przetwarzającym. Porównaj umowę dostawcy z lit. a do h. Prawa kolumna pokazuje umowę powierzenia Customermates, której numery sekcji odnoszą się do opublikowanej umowy.

Czytaj także ograniczenia. Umowa wskazuje, czego nie może obiecać: dla podłączonych kont nie ma umownego prawa do usunięcia danych konta względem Unipile i może jedynie zażądać usunięcia, a surowe rekordy przychodzące, których nie da się przypisać do klienta, są przechowywane do analizy błędów bez ustalonego okresu. Umowę, która wskazuje swoje ograniczenia, łatwiej ocenić niż taką, która nie wskazuje żadnych.

Sprawdź też, jak jest zawierana. Opublikowanie dokumentu go nie zawiera: umowa powierzenia Customermates zaczyna obowiązywać klienta, gdy upoważniony administrator konta zaakceptuje ją razem z Regulaminem podczas onboardingu, a kopia w formie tekstowej jest dostępna na życzenie. Wiążąca jest wersja niemiecka, a angielska to tłumaczenie dla wygody.

Jak obsłużyć wniosek o dostęp lub usunięcie danych w CRM?

To test każdej konfiguracji CRM: ktoś pisze „co o mnie masz?” albo „usuń moje dane”. Poniższe kroki używają Customermates, a kolejność sprawdza się w każdym narzędziu.

1. Zarejestruj wniosek i potwierdź, kto pyta

   Zapisz datę otrzymania: od niej biegnie miesięczny termin z art. 12 ust. 3. Potwierdź tożsamość proporcjonalnie do danych, nie zbierając więcej, niż trzeba do tego celu.

2. Znajdź każdy rekord

   Naciśnij Cmd lub Ctrl i K. Wyszukiwanie globalne przeszukuje każdą listę, którą możesz czytać, i znajduje kontakt po dowolnym adresie e-mail lub numerze telefonu w jego polu Dane kontaktowe; wyszukaj też nazwisko i otwórz powiązane organizacje i szanse sprzedaży. Rozmowy nie są częścią tego wyszukiwania: Skrzynka odbiorcza, dostępna od Pro z podłączonym kontem, ma własną wyszukiwarkę.

3. Zbierz dane

   Przefiltruj każdą listę do tej osoby, a potem wybierz Eksportuj jako Excel (.xlsx) albo Eksportuj jako JSON z menu Więcej działań. Eksport zawiera to, co lista pokazuje z Twoimi filtrami, do 5000 rekordów, i tylko pola, które może odczytać Twoja rola. Customermates nie ma eksportu całego konta, więc powtórz to dla każdej listy, w której jest ta osoba, i dodaj to, co leży w Twojej poczcie, arkuszach i innych narzędziach.

4. Popraw to, co jest błędne

   Edytuj wartość w miejscu. To odpowiada na wniosek o sprostowanie z art. 16; Dziennik aktywności zapisuje zmianę z poprzednią wartością, autorem i czasem.

5. Usuń, a potem sprawdź kopie

   Usuń przenosi rekord do Kosza i wyłącza go z list, wyszukiwania, widżetów i eksportów. Otwórz Kosz i wybierz Usuń trwale, aby usunąć go teraz, co usuwa też wartości pól rekordu z jego historii; w przeciwnym razie zniknie sam po 30 dniach. Wiadomości w podłączonej skrzynce odbiorczej są kopiami wiadomości z Twojego konta e-mail lub komunikatora, więc oryginał wymaga tej samej decyzji. Zapytaj, jak Twój dostawca traktuje kopie zapasowe: umowa powierzenia Customermates podaje najwyżej 90 dni dla usunięć, które obejmuje (sekcja 11).

6. Odpowiedz i zapisz, co zrobiono

   Odpowiedz w ciągu miesiąca i zachowaj notatkę o wniosku, decyzji i dacie, żeby dało się to później wykazać (art. 5 ust. 2). W przypadku sprzeciwu wobec marketingu (art. 21 ust. 3) dodaj pole Tak/Nie, na przykład Sprzeciw wobec marketingu, i wyłącz te rekordy ze wszystkich list mailingowych.

Dokumentacja Kosza opisuje przywracanie i trwałe usuwanie, a dokumentacja rekordów filtry, eksport i import.

Jak wdrożyć RODO w CRM?

Lista kontrolna na pierwszy tydzień, zanim wejdą prawdziwe dane klientów:

1. Zdecyduj, co przechowuje każda lista

   Mniej pól to mniej do ochrony, odpowiadania i usuwania (art. 5 ust. 1 lit. c). Zapisz cel i podstawę prawną każdej listy w jej opisie i pomiń szczególne kategorie danych, takie jak dane o zdrowiu (art. 9), chyba że masz konkretną podstawę.

2. Daj ludziom tylko potrzebny dostęp

   Role nadają dostęp Tworzenie, Edycja, Usuwanie i Dostęp do odczytu (Wszystkie, Przypisane lub Brak) dla każdej listy. Nie ma uprawnień na poziomie pól, więc trzymaj wrażliwe informacje w osobnej liście z węższym dostępem.

3. Zaplanuj, jak ludzie odchodzą

   Ustawienie członka jako Nieaktywny blokuje naraz jego dostęp, klucze API i połączenia MCP dla przestrzeni roboczej.

4. Zawrzyj umowę powierzenia i przeczytaj listę podmiotów podprzetwarzających

   Zachowaj swoją kopię zaakceptowanej wersji i spójrz na listę ponownie, gdy przyjdzie powiadomienie o zmianie.

5. Podłączaj tylko kanały, których używasz

   Każde podłączone konto dodaje do łańcucha dostawcę i zapisaną kopię jego wiadomości. Rozłączenie konta usuwa zapisane wątki, wiadomości, uczestników i dane kalendarza tego konta, jak opisuje umowa powierzenia.

6. Ustal regułę retencji dla każdej listy i ją stosuj

   Zapisz widok rekordów niezaktualizowanych przez wybrany okres, przeglądaj go według harmonogramu i usuwaj to, czego już nie potrzebujesz. RODO zostawia okres Tobie (art. 5 ust. 1 lit. e); tam, gdzie prawo podatkowe lub handlowe wymaga przechowywania dokumentu, ten obowiązek obowiązuje dodatkowo.

7. Aktualizuj własne dokumenty

   Rejestr czynności przetwarzania (art. 30) i Twoja klauzula informacyjna (art. 13 i 14) żyją w Twoim folderze zgodności, nie w dokumentach dostawcy CRM.

Co zmieniają funkcje AI w świetle RODO?

Asystent AI dodaje do łańcucha dostawców i wysyła im tekst z Twoich rekordów. Przy każdej funkcji AI zapytaj, który dostawca otrzymuje jakie dane, czy jest na liście podmiotów podprzetwarzających, gdzie przetwarza, czy trenuje na Twoich danych i czy możesz zostawić funkcję wyłączoną.

W Customermates Cloud lista podmiotów podprzetwarzających opisuje Mate: zapytanie przechodzi przez Vercel AI Gateway do dostawców wymienionych w tabeli powyżej i zawiera tylko to, co potrzebne do odpowiedzi. Lista podaje ustawienie zerowej retencji danych na tej ścieżce bramy, które jest wąską kontrolą, a nie obietnicą retencji dla samego CRM. Modele Claude są przypięte do unijnej strefy inferencji, a wyszukiwanie w sieci i model osadzeń działają w USA. Ty decydujesz, jakie dane zawiera zapytanie, i to Ty odpowiadasz za konieczność i podstawę prawną. Jeśli podłączasz własnego klienta AI przez MCP, ten dostawca przetwarza dane na podstawie Twojej umowy z nim. Instancje self-hosted nie mają Mate. Poradnik o CRM z AI porównuje podejścia.

Customermates i RODO: co zapewnia, a czego nie

Zapewnia, według dokumentacji produktu i stron prawnych:

• umowę powierzenia i listę podmiotów podprzetwarzających dla zarządzanej chmury, z opisanym wyżej procesem zmian;
• role dla każdej listy, przełącznik dezaktywacji członków i rozdzielenie najemców według konta firmowego;
• wyszukiwanie globalne po adresie e-mail lub numerze telefonu, poprawianie w miejscu, eksport do Excela i JSON dla każdej listy oraz Kosz z trwałym usuwaniem;
• Dziennik aktywności zmian w rekordach CRM i konfiguracji przestrzeni roboczej, dostępny dla ról z dostępem; oraz
• rdzeń open source na licencji AGPL, który możesz hostować samodzielnie.

Nie zapewnia, więc szukaj tego gdzie indziej, jeśli potrzebujesz:

• Customermates nie ma certyfikatu zgodności ani umownej gwarancji, że wszystkie dane zostają w jednym regionie;
• nie ma uprawnień na poziomie pól ani eksportu całego konta jednym krokiem;
• jego Dziennik aktywności nie obejmuje logowań, kluczy API ani treści skrzynki odbiorczej i nie ma przycisku eksportu.

Self-hosting zmienia to, kto jest odpowiedzialny. Rdzeń AGPL działa z Dockerem i PostgreSQL na Twojej infrastrukturze, a umowa powierzenia obejmuje tylko usługę zarządzaną: wybierasz hosting i dostawców, a własne umowy z art. 28 i zabezpieczenia transferów trzymasz sam. TLS i szyfrowanie w spoczynku musisz skonfigurować sam. Self-hosting używa zestawu funkcji Starter, bez skrzynki odbiorczej i bez Mate, i nie jest odizolowany od sieci: pierwszy wpis adresu dla danego kraju pobiera publiczny plik kodów pocztowych tego kraju z GeoNames, chyba że ustawisz POSTAL_CODE_DATA_URL na off albo na mirror. Poradnik self-hostingu zawiera szczegóły, a strona o CRM open source wyjaśnia granicę licencji.

Aby sprawdzić powyższe punkty na własnym przypadku, najpierw przeczytaj umowę powierzenia i listę podmiotów podprzetwarzających, a potem rozpocznij 14-dniowy okres próbny: Pro, bez karty kredytowej. Zaimportuj kilka rekordów testowych, zanim wejdą prawdziwe dane klientów, i raz przejdź kroki wniosku o dostęp.

Najczęstsze pytania o RODO i CRM

Prawo i źródła stron trzecich sprawdzono 11 listopada 2026: rozporządzenie (UE) 2016/679 w EUR-Lex, dyrektywa o prywatności i łączności elektronicznej, zasady RODO Komisji Europejskiej i wytyczne 07/2020 Europejskiej Rady Ochrony Danych. Stwierdzenia o Customermates pochodzą z jego umowy powierzenia, listy podmiotów podprzetwarzających i dokumentacji bezpieczeństwa w wersji opublikowanej tego dnia.