RODO przy kupowaniu leadów — czego żądać od dostawcy

Ten temat jest nudny do momentu, w którym przestaje być nudny. Poniżej praktyczna wersja: co sprawdzić, o co poprosić i co trzymać w segregatorze.

To materiał informacyjny, nie porada prawna. Przy większej skali działania skonsultuj swoje wzory dokumentów z prawnikiem specjalizującym się w ochronie danych.

Trzy rzeczy, które trzeba rozdzielić

Ludzie mylą je notorycznie, a to trzy osobne kwestie:

1. Podstawa przetwarzania danych — dlaczego w ogóle wolno ci trzymać czyjś numer w CRM. 2. Zgoda na kontakt marketingowy — czy wolno ci na ten numer zadzwonić lub wysłać SMS-a z ofertą. 3. Obowiązek informacyjny — czy osoba wie, kto ma jej dane i co z nimi robi.

Dostawca może mieć w porządku jedno i nie mieć drugiego. Pytaj o każdą z tych rzeczy osobno.

Co powinieneś dostać od dostawcy

Treść zgody, którą widziała osoba. Dosłowne brzmienie, nie streszczenie. Sprawdź, czy zgoda obejmuje przekazanie danych podmiotom trzecim i czy ty mieścisz się w opisanej kategorii odbiorców. Zgoda sformułowana jako „partnerzy handlowi" bez doprecyzowania bywa kwestionowana.

Dowód udzielenia zgody. Znacznik czasu, adres IP, identyfikator formularza, adres strony. To jest to, co pokazujesz, gdy ktoś twierdzi, że nigdy nic nie wypełniał.

Informację o roli stron. Czy dostawca przekazuje ci dane jako odrębnemu administratorowi, czy jesteście współadministratorami, czy przetwarza dane w twoim imieniu. Od tego zależy, jaka umowa jest potrzebna.

Umowę. W zależności od ustalonej roli — umowa powierzenia przetwarzania albo umowa określająca zasady udostępnienia danych i odpowiedzialność stron.

Klauzulę informacyjną. Treść, którą osoba otrzymała przy zapisie, wraz z informacją o odbiorcach danych.

Zgoda na kontakt telefoniczny i SMS

To jest odrębna warstwa od samego RODO i najczęściej pomijana. Kontakt marketingowy telefonem lub SMS-em wymaga zgody na użycie tego konkretnego kanału. Sprawdź u dostawcy:

• Czy zgoda wyraźnie obejmuje kontakt telefoniczny
• Czy obejmuje SMS, jeśli planujesz SMS-y
• Czy obejmuje e-mail marketingowy, jeśli planujesz newsletter

Zgoda „na kontakt w sprawie oferty" bez wskazania kanału to słaby grunt.

Co musisz zrobić po swojej stronie

Własna klauzula informacyjna. Przy pierwszym kontakcie — najpóźniej w rozsądnym terminie po pozyskaniu danych — osoba musi wiedzieć, że ty masz jej dane, skąd je masz i co z nimi robisz. W praktyce: SMS albo e-mail z linkiem do polityki prywatności zaraz po przekazaniu leada.

Rejestr czynności przetwarzania. Dopisz pozycję: leady zakupione, źródło, cel, podstawa, okres retencji.

Okres przechowywania. Ustal i zapisz, jak długo trzymasz kontakt, który nie został klientem. Nie „bezterminowo".

Obsługa żądań. Ktoś zażąda usunięcia danych albo sprzeciwi się przetwarzaniu — musisz mieć na to procedurę i osobę, i musisz przekazać to dalej, jeśli dane pochodzą od dostawcy.

Ślad w CRM. Przy każdym rekordzie: skąd pochodzi, kiedy wpłynął, jaki jest identyfikator zgody. Przy jakiejkolwiek kontroli to jest pierwsza rzecz, o którą zapytają.

Czerwone flagi u dostawcy

• „Wszystko jest zgodne z RODO" bez pokazania dokumentów
• Brak możliwości uzyskania dowodu zgody dla konkretnego rekordu
• Kontakty pochodzące ze scrapingu, kupionych baz albo „z internetu"
• Ten sam kontakt sprzedawany bez ograniczeń czasowych i ilościowych
• Brak jakiejkolwiek umowy — tylko faktura i plik z numerami

Ostatni punkt jest najczęstszy i najbardziej ryzykowny. Jeśli jedynym śladem transakcji jest faktura, w razie problemu stoisz sam.

Minimum, które warto mieć w segregatorze

• Umowa z dostawcą określająca role i odpowiedzialność
• Wzór zgody z dowodem jej udzielenia dla każdego rekordu
• Twoja klauzula informacyjna i sposób jej doręczenia
• Wpis w rejestrze czynności przetwarzania
• Procedura obsługi żądań osób, których dane dotyczą

Pięć dokumentów. Jeden dzień pracy. Spokój na lata.

W hotleady.pl każdy lead ma przypisany dowód zgody ze znacznikiem czasu i źródłem. Napisz, jeśli chcesz zobaczyć wzór umowy i klauzuli, zanim cokolwiek kupisz.