Kort svar
CRM kan innehålla personuppgifter om kunder, kontaktpersoner och prospekt.
CRM-guide för svenska företag
CRM, GDPR och säkerhet
CRM kan innehålla personuppgifter om kunder, kontaktpersoner och prospekt. Företaget måste själv bedöma ändamål, rättslig grund, roller, risker och avtal; leverantörens funktioner gör inte systemet automatiskt förenligt med GDPR.
Redaktionell avsändare: CRMvalet · Metod och källkontroll
Innehåll uppdaterat · CRMvalets redaktionella principer
Vilka GDPR- och säkerhetsfrågor behöver bedömas före CRM-avtal?
CRM kan innehålla personuppgifter om kunder, kontaktpersoner och prospekt. Företaget måste själv bedöma ändamål, rättslig grund, roller, risker och avtal; leverantörens funktioner gör inte systemet automatiskt förenligt med GDPR.
Passar när
För ansvariga som behöver ställa dataskydds- och säkerhetsfrågor före CRM-avtal.
Kontrollera särskilt
Roller, rättslig grund, behörighet, underbiträden, överföringar, incidenter och exit.
Nästa steg
Dokumentera leverantörsfrågor och ta juridisk hjälp vid hög eller oklar risk.
Innehåll
Dokumenten och frågorna att granska före CRM-avtal
Använd checklistan med organisationens data-, IT- och avtalsansvariga. Källorna förklarar avgränsade frågor; de avgör inte om just er behandling eller ett visst CRM-val är lagligt. Varken leverantörens ursprungsland eller en EU-region ger ett färdigt ja eller nej.
Dokumentens relevanta innehåll granskades av Codex. Inga kundavtal, kontoinställningar eller säkerhetsfunktioner har testats. Efter 180 dagar visas sammanfattningarna som obekräftade; kontrollfrågorna finns kvar.
SEC-01: Personuppgiftsansvar
Den ansvariga bestämmer varför och hur personuppgifterna behandlas. Biträdet behandlar för den ansvarigas räkning.
Fråga till ansvarig: Vem hos er äger ändamål, rättslig grund och beslut? Vilken roll har CRM-leverantören för varje vald funktion?
Spara: Behandlingsförteckning och rollbedömning, version, datum, ansvarig och kvarvarande fråga.
EDPB: Data controller or data processor · Kontrollerad
SEC-02: Ändamål och lagringstid
Dataminimering och lagringsbegränsning hör till dataskyddets grundprinciper.
Fråga till ansvarig: Vilka fält behöver ni, för vilket ändamål, på vilken grund och hur länge? Vem beslutar om gallring och dokumenterade undantag?
Spara: Fältlista med ändamål, grund och gallringsregel, version, datum, ansvarig och kvarvarande fråga.
EDPB: Basic principles · Kontrollerad
SEC-03: Biträdesavtal och underbiträden
Biträdesbehandling regleras genom bindande avtal eller annan rättsakt. Anlitande av underbiträden kräver föregående skriftligt tillstånd, särskilt eller allmänt.
Fråga till ansvarig: Täcker er avtalade DPA instruktioner, funktioner, underbiträden, ändringsbesked, incidentstöd och återlämning/radering?
Spara: Gällande DPA med bilagor och versionsdatum, version, datum, ansvarig och kvarvarande fråga.
IMY: Personuppgiftsbiträdesavtal · Kontrollerad
SEC-04: Lagringsregion, åtkomst och överföring
Åtkomst för en annan mottagare utanför EU/EES kan vara en tredjelandsöverföring även när uppgifterna lagras inom EU/EES. IMY beskriver kriterier och möjliga överföringsstöd.
Fråga till ansvarig: Var finns drift, kopior, supportåtkomst och varje aktiv connector? Vilken överföring sker och vilket stöd och eventuella kompletterande skydd har bedömts?
Spara: Dataflödeskarta, regionbekräftelse och överföringsbedömning, version, datum, ansvarig och kvarvarande fråga.
IMY: Överföring till tredjeland · Kontrollerad
SEC-05: Åtkomst och säkerhet
Tekniska och organisatoriska skydd ska anpassas till behandlingens risk. EDPB beskriver bland annat behörigheter, autentisering och säkerhetskopiering.
Fråga till ansvarig: Kan ni prova minsta behörighet, avslutad användare, MFA, exportkontroll och återställning? Vem granskar loggar och tar emot incidenter?
Spara: Rollmatris, säkerhetsbilaga och provprotokoll, version, datum, ansvarig och kvarvarande fråga.
EDPB: Secure personal data · Kontrollerad
SEC-06: Rättigheter, incidenter och exit
Biträdesavtalet behöver reglera stöd för den ansvarigas skyldigheter och hantering av uppgifter när avtalet upphör.
Fråga till ansvarig: Hur hittar, exporterar och hanterar ni en persons uppgifter? Vad gäller för backup, lagkrav och återlämning/radering vid exit? Vem bedömer incidenten?
Spara: Rutin för begäran, incident och avslut med ansvarig, version, datum, ansvarig och kvarvarande fråga.
IMY: Personuppgiftsbiträdesavtal · Kontrollerad
Samma dokumenttyper för Pipedrive och HubSpot
Läs DPA, underbiträdeslista och regionvillkor tillsammans. Bekräfta den egna avtalsparten, kontoregionen och aktiva tillägg. Dokumentlänkarna är underlag för frågor och innebär ingen laglighetsranking.
Pipedrive
DPA och säkerhetsbilaga
DPA avsnitt 6–8 behandlar underbiträden, överföring och säkerhet. Den globala behandlingen måste läsas ihop med ert avtal och era funktioner.
Pipedrive Data Processing Addendum · Kontrollerad
Underbiträden och dataregioner
Listan skiljer drift, funktionsberoende tjänster, AI och support. Den anger hostingregioner men påpekar att det egna kontots placering kan avvika.
Pipedrive: Sub-processors and Data Hosting Locations · Kontrollerad
HubSpot
DPA och rollfördelning
DPA skiljer biträdesbehandling från vissa behandlingar som ansvarig, bland annat kopplade till berikning och tracking. Bedöm aktiva funktioner var för sig.
HubSpot Data Processing Agreement · Kontrollerad
Underbiträden
Listan har olika delar för infrastruktur, funktioner och koncernbolag. Kontrollera vilka som berör era valda tjänster och regioner.
HubSpot Sub-Processors Page · Kontrollerad
Regionvillkor i kundvillkoren
Avsnitt 5.5–5.6 behandlar regional hosting, undantag och överföringar. Tillägg, tredjepartstjänster och annan åtkomst kan falla utanför hostingvalet.
HubSpot Customer Terms of Service: 5.5–5.6 · Kontrollerad
Dokumentera öppna frågor separat: vem behandlar uppgifterna, för vilket syfte, var lagras de, vem kan komma åt dem och vilket stöd finns för en eventuell överföring? Låt ansvarig ta ställning till den faktiska behandlingen och vid behov ta juridiskt stöd.
Inte juridisk rådgivning
Guiden är generell information för kravarbete. Den ersätter inte juridisk bedömning av er behandling, rättsliga grund, risknivå eller avtal.
Roller
Personuppgiftsansvarig bestämmer ändamål och medel. Personuppgiftsbiträde behandlar personuppgifter för den ansvariges räkning. Underbiträde anlitas av biträdet och behöver kontrolleras i kedjan.
Ändamål och rättslig grund
Dokumentera varför uppgifterna behövs, vilken rättslig grund som används och hur länge uppgifterna ska sparas. Dataminimering betyder att CRM inte ska samla fält bara för att de finns.
Behörighet och säkerhet
Kravställ MFA där det behövs, rollstyrning, loggning, exportkontroll, backup och återställning. Leverantörsfunktioner ersätter inte interna rutiner.
Underbiträden och dataregion
Be om lista över underbiträden och regioner. EU-lagring kan minska vissa risker men innebär inte automatiskt full efterlevnad.
Internationella överföringar
Om personuppgifter överförs utanför EU/EES behövs bedömning av överföringsmekanism, till exempel adekvansbeslut eller standardavtalsklausuler när relevant.
Incidenter och exit
Kontrollera incidentrutiner, exportformat, återlämning, radering och hur åtkomst hanteras efter uppsägning.
Källor och metod
EDPB: Data controller or data processor
EDPB · Källa kontrollerad
Stödjer: URL och relevant löptext kontrollerade. Ingen bedömning av ett kundavtal eller en enskild organisations laglighet.
EDPB: Basic principles
EDPB · Källa kontrollerad
Stödjer: URL och relevant löptext kontrollerade. Ingen bedömning av ett kundavtal eller en enskild organisations laglighet.
IMY: Personuppgiftsbiträdesavtal
IMY · Källa kontrollerad
Stödjer: URL och relevant löptext kontrollerade. Ingen bedömning av ett kundavtal eller en enskild organisations laglighet.
IMY: Överföring till tredjeland
IMY · Källa kontrollerad
Stödjer: URL och relevant löptext kontrollerade. Ingen bedömning av ett kundavtal eller en enskild organisations laglighet.
EDPB: Secure personal data
EDPB · Källa kontrollerad
Stödjer: URL och relevant löptext kontrollerade. Ingen bedömning av ett kundavtal eller en enskild organisations laglighet.
Praktisk checklista
- ✓ Dokumentera ändamål och rättslig grund för CRM-behandlingen.
- ✓ Skilj personuppgiftsansvarig, biträde och underbiträde i avtalet.
- ✓ Kravställ MFA, behörigheter, loggning och incidentrutiner.
- ✓ Granska dataregion och internationella överföringar försiktigt.
- ✓ Planera export, radering och återställning vid exit.