GDPR e Zoho CRM - Un'introduzione

Il GDPR non si risolve spuntando una casella nel CRM. Chiede di sapere quali dati personali si trattano, su quale base giuridica, per quanto tempo si conservano e come si risponde a chi chiede di accedervi o cancellarli. Un CRM è il luogo dove queste domande diventano concrete, perché è lì che i dati dei clienti vivono davvero.

Questa pagina spiega cosa Zoho CRM mette a disposizione e, soprattutto, quali decisioni vanno prese prima di attivare qualsiasi funzione. Svennis opera dall'Unione Europea, con dati ospitati in data center europei, e affianca le aziende italiane anche nel rapporto con il Garante per la protezione dei dati personali.

Chi è titolare e chi è responsabile

La distinzione determina le responsabilità e viene spesso fraintesa. Titolare del trattamento è la Sua azienda: raccoglie i dati e decide finalità e modalità. Responsabile del trattamento è Zoho, che tratta quei dati per Suo conto secondo le istruzioni ricevute.

La conseguenza pratica è che la conformità non si acquista con la licenza. Zoho fornisce gli strumenti e le garanzie contrattuali; come li configura e li usa resta responsabilità dell'azienda. Un CRM tecnicamente conforme, usato senza basi giuridiche definite, non rende conforme il trattamento.

La scelta che si fa una volta sola: il data center

Il data center viene scelto all'attivazione dell'account e determina dove risiedono fisicamente i dati. Per un'azienda italiana la scelta del data center europeo semplifica sensibilmente la gestione degli obblighi sui trasferimenti internazionali.

È una decisione da prendere all'inizio, perché spostare i dati dopo non è un'operazione banale. Nelle valutazioni che facciamo prima di un progetto è una delle prime domande, insieme a quali categorie di dati personali entreranno nel sistema.

Le basi giuridiche vengono prima della configurazione

È l'errore più comune e il più costoso da correggere. Le funzioni di conformità di Zoho CRM chiedono, per ogni contatto, su quale base giuridica il dato viene trattato: consenso, esecuzione di un contratto, obbligo legale, interesse legittimo.

Se il team risponde a caso perché nessuno ha stabilito le regole, il registro risulta peggio che assente: documenta scelte sbagliate, per iscritto. Nei nostri progetti definiamo le basi con il responsabile privacy del cliente prima di attivare le funzioni, e le mappiamo per tipologia di contatto, perché un cliente attivo, un lead da fiera e un iscritto alla newsletter non stanno sulla stessa base.

Consenso, conservazione, diritti

Tre aspetti che il CRM può supportare, a condizione che i processi esistano.

Consenso. Zoho CRM permette di registrare per ogni contatto lo stato del consenso e quando è stato raccolto. È l'informazione da produrre se il Garante o l'interessato chiede conto del trattamento. Un consenso non tracciato equivale a un consenso non raccolto.

Conservazione. Il GDPR non fissa una durata universale: dipende dalla finalità. La domanda operativa è per quanto tempo un lead mai convertito resta nel sistema. Nella maggior parte delle aziende con cui lavoriamo la risposta iniziale è «per sempre», e non è una risposta difendibile. Definire un periodo e applicarlo è parte della conformità.

Diritti degli interessati. Accesso, rettifica, cancellazione, portabilità. Il punto critico non è tecnico ma organizzativo: chi riceve la richiesta, entro quanto risponde, come verifica l'identità. Il CRM esegue; la procedura la definisce l'azienda.

Un aspetto spesso trascurato: le integrazioni

I dati personali raramente restano nel CRM. Passano al gestionale, allo strumento di email marketing, al sistema di fatturazione elettronica, a volte a un helpdesk. Ogni flusso è un trasferimento che va mappato nel registro dei trattamenti.

Nelle integrazioni che sviluppiamo per il mercato italiano, verso i sistemi di fatturazione e i gestionali, questa mappatura è parte della progettazione e non un adempimento successivo: definiamo quali campi passano, in che direzione e con quale base giuridica, prima di scrivere il codice.

Da dove iniziare

L'ordine che seguiamo, perché ogni passaggio dipende dal precedente:

1. Scegliere il data center europeo, all'attivazione.
2. Mappare quali dati personali entrano e da quali fonti.
3. Definire le basi giuridiche per tipologia di contatto, con il responsabile privacy.
4. Attivare le impostazioni di conformità e configurare i consensi.
5. Stabilire i tempi di conservazione e la procedura per le richieste degli interessati.
6. Mappare le integrazioni e i flussi verso l'esterno.

Attivare il punto 4 senza aver fatto i punti 2 e 3 è l'errore che vediamo più spesso, e comporta di rimettere mano ai dati già registrati.