Als je je de afgelopen maanden niet onder een steen hebt verstopt, heb je waarschijnlijk veel gehoord over GDPR. Over hoe als GDPR de wet van het land in de VS was, de normen ervan de datalek van Equifax hadden kunnen voorkomen (nu een van de grootste in de geschiedenis). Over hoe AVG niemand spaart - met kolossen zoals Google die hun producten herzien om eraan te voldoen. En zelfs over hoe het Amerikaanse congres, gestimuleerd door het Cambridge Analytica-schandaal, Mark Zuckerberg onder vuur nam over de vraag of Facebook zijn AVG-compatibele privacytools zou uitbreiden naar gebruikers wereldwijd, tijdens zijn Congressionele hoorzitting over privacy
Of je je nu onder een steen hebt verstopt of je bent op de hoogte van GDPR, het is juridisch gezien absoluut noodzakelijk dat ook je bedrijf voldoet aan de historische wet van mei 25th. Met zo veel te veranderen in zo weinig tijd, kan beginnen beginnen overweldigend te voelen. Om u te helpen bij het navigeren door die reis, hebben we deze serie 3-onderdelen over GDPR gemaakt. Hierin bespreken we alles wat u moet weten om aan het belangrijkste deel van de wet te voldoen:
- Wat is GDPR en hoe beïnvloedt dit CRM? (Deel 1)
- Hoe Vtiger u helpt te voldoen aan GDPR, inclusief krachtig toestemmingsbeheer (deel 2)
- Hoe de nieuwe privacyfuncties van Vtiger in te stellen om te voldoen aan GDPR (deel 3)
openbaring
Deze serie behandelt de algemene naleving van de belangrijkste principes en rechten van GDPR (artikelen 5 tot 23). Er zijn andere processen, verantwoordelijkheden en normen waar u aan moet voldoen (artikelen 24 tot 43) en vallen niet onder deze reeks.
Deze serie en de komende productwijzigingen zijn afgeleid van een aantal verschillende bronnen. Van de wetteksten en hun algemeen aanvaarde interpretaties. Van discussies met klanten en hun advocaten, en van ander tertiair onderzoek over oplossingen voor de problemen met wettelijke toestemming die we aansnijden. De algemene leidraad waar het naar is gedestilleerd, moet het gemiddelde bedrijf helpen de reis naar naleving te starten, maar moet niet worden beschouwd als juridisch advies, wat we nog steeds aanbevolen wanneer u GDPR interpreteert voor uw specifieke scenario.
Als u het belang van GDPR al begrijpt en geen inleiding nodig hebt, kunt u gerust doorgaan naar de sectie met de titel "Zo verandert GDPR uw bedrijf".
Wat is GDPR?
GDPR is een nieuwe Europese wet die van kracht wordt op mei 25th, 2018, die regelt hoe bedrijven gegevens van Europese burgers kunnen verzamelen, opslaan en gebruiken. Daarover meer in een seconde.
Waarom werd GDPR vastgesteld?
Simpel gezegd - om te voorkomen dat bedrijven lukraak de gegevens van mensen verzamelen en gebruiken op manieren die hen kunnen schaden. Tegenwoordig behandelen bedrijven gegevens op dezelfde manier als economische imperialistische landen het buitenland behandelen. Ze vangen zoveel mogelijk en exploiteren het met weinig respect voor de wensen van de eigenaren, of bezorgdheid voor de schadelijke effecten die het op hen heeft.
Die vergelijking lijkt misschien hard, omdat niemand sterft wanneer een bedrijf zonder toestemming een lijst met leads en markten koopt. Maar toen Equifax de gevoelige gegevens van meer dan 140 miljoen mensen kritisch verloor en hen vervolgens in wezen liet om met de gevolgen om te gaan, was de pijn veel voelbaarder. Hun privé-identiteit en financiële toekomst waren gedoemd tot een onzekere toekomst die op de zwarte markt circuleerde. Dat zou net zo goed uw Google-zoekgeschiedenis of privéberichten kunnen zijn, en toch zou u weinig juridische middelen hebben als het zou gebeuren.
De logische reactie hierop is dus
Als alleen iemand mij het recht zou geven om te kiezen wie mijn gegevens kan hebben, waar en waarvoor ze het niet kunnen gebruiken, zorgt het ervoor dat ze het veilig bewaren en straffen ze voor het schenden van deze rechten!
En dat is precies wat GDPR doet voor EU-burgers.
Moet ik GDPR naleven?
GDPR is op u van toepassing als u aan een van de volgende voorwaarden voldoet:
- U hebt klanten in de EU
- U verleent diensten aan (betaald of gratis) aan EU-burgers
- U verkoopt aan EU-burgers
- Je volgt de activiteiten van EU-burgers
Als uw bedrijf uitsluitend lokaal en buiten de EU gevestigd is, hoeft u zich waarschijnlijk geen zorgen te maken over AVG. Een bloemenwinkel op het platteland van Ohio die alleen verkoopt en naar de plaatselijke stad verzendt, hoeft waarschijnlijk niet te voldoen, zelfs als iemand uit de EU langs uw website komt en in uw analyseoplossing terechtkomt.
Maar alleen omdat uw bedrijf klein is, betekent niet dat GDPR niet van toepassing is. Een SEO-bedrijf in een kleine stad dat zijn diensten online op de markt brengt en al een paar klanten uit een paar andere landen heeft, zelfs als het zich niet specifiek op klanten in de EU richt, moet zich waarschijnlijk aan de AVG houden omdat het denkbaar is dat het SEO-bedrijf zou graag zaken van Europese klanten verwelkomen als het zich zou voordoen.
Aan welke rechten moet ik voldoen?
EU-burgers bezitten nu legaal zelfs de gegevens over hen die in uw bezit zijn. En ze hebben een aantal fundamentele rechten die bij dat eigendom horen. We gebruiken de 80/20-regel om de onderstaande teksten samen te vatten in oneliners. Zoals bij elke samenvatting zijn er altijd kanttekeningen, dus als je nieuwsgierig bent, klik dan op de meegeleverde links om de volledige juridische tekst en uitzonderingen te lezen (ze zijn niet lang!):
- Wanneer u gegevens van iemand verzamelt, moet u bekendmaken wat u van plan bent ermee te doen en hoe lang u van plan bent om het onder andere te bewaren op het moment van verzamelen (artikelen 7, 12, 13, 14)
- Wanneer u gegevens van iemand gebruikt, moet al uw gebruik worden gedaan met toestemming voor dat gebruik, in directe relatie tot een reeds overeengekomen gebruik of omdat het de afweging van interessetests, met enkele kanttekeningen (artikel 6)
- U moet reageren op de volgende rechtsvragen van een contactpersoon binnen de 1-maand van het verzoek (artikel 12)
- Om te weten welke informatie u op hen hebt en waarvoor u het gebruikt (artikel 15)
- Om alle informatie die u over hen hebt te corrigeren (artikel 16)
- Om de gegevens die u op ze hebt te wissen (artikel 17)
- Om uw mogelijkheid om hun gegevens te gebruiken te beperken zonder het te verwijderen (artikel 18)
- Om te weten wanneer u hun gegevens hebt gewist of gestopt (artikel 19)
- Om uw gegevens erop over te dragen aan een concurrent (artikel 20)
- Bezwaar maken tegen elk proces (artikel 21)
- Bezwaar maken tegen geautomatiseerde (algoritmische) besluitvorming (artikel 22)
- U mag gegevens niet langer dan nodig gebruiken of opslaan (overweging 39)
- U moet beveiligde gegevens gebruiken op een manier die evenredig is aan de beveiliging van de mogelijke schade die de betrokkene zou kunnen overkomen als de gegevens zouden worden blootgesteld (artikel 25, 32)
Welke invloed heeft GDPR op mijn bedrijf?
Hoe u contactgegevens opslaat en verwerkt
Er zijn 2-gegevenstypes te overwegen onder GDPR. Gevoelige gegevens en persoonlijke gegevens. Hier zijn specifieke voorbeelden van gegevens, gegroepeerd op type.
| Niet gevoelig | gevoelig | |
| Niet persoonlijk identificerend | Favoriete merk chips Postcode |
Geslacht Godsdienst Afkomst Politieke affiliatie |
| Persoonlijk identificerend | Naam E-mailadres Facebook identiteit |
Nationale ID Nummer Creditcardnummer |
Gevoelige data
Dit zijn gegevens die niet openbaar beschikbaar zijn en die kunnen worden misbruikt om mensen schade te berokkenen, zoals een paspoortnummer of iemands politieke voorkeur. De AVG raadt aan om toestemming te verkrijgen voor het opslaan van gevoelige gegevens en deze vervolgens, hoe mogelijk ook, te beschermen. Deze gegevens worden het best beschermd door het volgende te doen:
- Versleuteling van deze velden in databases om misbruik te voorkomen als er een gegevensinbreuk is
- Deze velden verdoezelen in werknemersvisies om misbruik door werknemers te voorkomen wanneer toegang niet noodzakelijk is (bijv .: toon alleen de laatste 4-cijfers van een CC #)
- Log in wanneer werknemers waarden niet verdoezelen om misbruik te voorkomen wanneer toegang noodzakelijk is
Persoonlijk identificeerbare gegevens
Gegevens kunnen alleen schadelijk zijn als deze kunnen worden gekoppeld aan een persoon. Met GDPR kunnen uw contactpersonen u vragen hun persoonlijk identificeerbare gegevens te wissen (onder voorbehoud van bepaalde voorwaarden).
Zodra persoonlijke gegevens zijn gewist, is gerelateerde informatie die van belang is voor het nemen van zakelijke beslissingen, zoals aankoopgeschiedenissen en betrokkenheid bij uw digitale services, veilig op te slaan omdat ze niet langer worden geassocieerd met een identificeerbare persoon.
Wees voorzichtig met groepen niet-persoonlijk identificeerbare informatie, aangezien groepen ervan identificerend kunnen worden als die groep uniek is voor één persoon. Als u bijvoorbeeld de postcode, het geslacht, de etniciteit en de geboortedatum van iemand kent - samen kunnen deze eigenschappen uniek zijn voor één persoon en voor hen herkenbaar zijn via een andere informatiebron - dus het is belangrijk om er zeker van te zijn dat dit niet gebeurt met wat er over is van uw gewiste dataset.
Opslaglimieten
Niemand zou voor altijd in uw database moeten blijven, alleen maar omdat zij uw webformulier eens in één keer hebben ingevuld. U moet nu automatisch stoppen met gebruiken en uiteindelijk persoonlijke identificatiegegevens verwijderen wanneer u deze niet meer nodig heeft. De juiste tijdslimiet om te gebruiken varieert van geval tot geval. In ons geval zullen we onze contactgegevens één jaar nadat een contact stopt met direct contact met ons verwijderen.
Hoe u websiteformulieren presenteert
Informatieverschaffing
Mensen zouden eigenlijk alleen informatie online moeten indienen als ze weten wat de ontvanger ermee gaat doen. Dus uw webformulieren moeten nu ofwel rechtstreeks aangeven hoe de informatie zal worden gebruikt, of een link naar informatie over hoe u hun gegevens gaat gebruiken. Dit kan worden gedaan via tooltips, of door direct te koppelen aan een beleid voor gegevensgebruik.
Opt-ins voor e-mail
Als u iemand wilt abonneren op uw e-mailmarketing na het indienen van een formulier, moeten ze nu ook expliciet instemmen. Dat betekent het tonen van een niet-aangevinkt selectievakje met duidelijke taal zoals "Ik zou graag marketing e-mail van [bedrijf] ontvangen". Gewoon niet vragen of een vooraf aangevinkt selectievakje telt niet meer mee.
Hoe u uw privacybeleid schrijft
Telkens wanneer u informatie van iemand verzamelt of van plan bent deze voor een nieuw doel te gebruiken, moet u hem of haar op de hoogte stellen van een aantal basisprincipes die gewoonlijk worden overgebracht via een privacybeleid. Dit moet worden geschreven in een taal die duidelijk en gemakkelijk te begrijpen is, en zodanig ingedeeld dat elk gebruik van de gegevens en het doel afzonderlijk worden beschreven. De belangrijkste dingen die in dit beleid moeten worden vermeld, zijn:
- Wat uw bedrijf doet en hoe u contact met u kunt opnemen
- Hoe u hun gegevens gebruikt en voor welke doeleinden u geen toestemming zult vragen
- Met wie deelt u hun gegevens
- Of u de gegevens buiten het land van de contactpersoon wilt overbrengen
- Hoelang bent u van plan om de gegevens te gebruiken voor
- Alle rechten van het onderwerp (toegang, correct, wissen, beperken of poortgegevens, of een klacht indienen)
- Wat gebeurt er als de contactpersoon de gegevens niet verstrekt?
- Als u automatische beslissingen neemt met hun gegevens
Hoe u e-mailmarketing uitvoert
Dubbele opt-ins
Om iemand e-mail voor marketing te sturen, moet u een niet-falsifieerbaar bewijs hebben dat zij het van u willen ontvangen. Omdat iedereen een formulier op uw site kan invullen dat beweert iemand anders te zijn, is de beste manier om dat bewijs te krijgen, met een dubbele opt-in e-mail.
Dubbele opt-in-e-mails werken als volgt: wanneer iemand aangeeft dat hij uw e-mail wil ontvangen (hetzij mondeling, of door een vakje op een webformulier aan te vinken), stuurt u hem een e-mail met een speciale link. Als ze erop klikken, wordt hun klik geregistreerd en worden ze toegevoegd aan uw e-maillijst.
Voorkeuren beheren en opt-out
Wanneer u een e-mail naar een contact verzendt, moet het voor hen even gemakkelijk zijn om zich af te melden als voor hen om zich aan te melden. Dat betekent meestal dat u een link voor afmelding aan de onderkant van de e-mail moet opnemen. Een robuustere oplossing zou ervoor zorgen dat contactpersonen hun opt-in en outs van specifieke e-maillijsten kunnen beheren vanaf een pagina die toegankelijk is via de voettekst van de e-mail.
Hoe u klanten volgt op websites, e-mail en documenten
Veel digitale services die u aan klanten verstrekt, houden hun acties bij en voorzien u van analyses, zodat u kunt leren hoe u hun ervaring kunt verbeteren. Dat kan een website, e-mailcampagne of een document zijn dat u met hen hebt gedeeld. Ongeacht hoe tracking wordt uitgevoerd, moet u gebruikers onder de meeste omstandigheden laten weten dat ze worden bijgehouden en hen de mogelijkheid bieden om zich af te melden voor uw tracking.
Wanneer u klantgegevens gebruikt
U gebruikt klantgegevens voor een aantal doeleinden. Van eenvoudig opslaan, tot het verzenden van marketing e-mail, tot het controleren van hun kredietgeschiedenis of het delen met derden, zodat ze uw producten beter kunnen gebruiken.
Waar u ook klantgegevens voor gebruikt, moet in het algemeen worden gedaan om een van deze drie redenen:
- U hebt expliciete voorafgaande toestemming voor dat gebruik ontvangen
- Het gebruik is gerelateerd aan een ander doel waarvoor u al toestemming hebt ontvangen
- Het doel is uw rechtmatige belang en schendt de rechten van het contact (de afwegingstest) niet
We raden altijd aan om toestemming te vragen voor zoveel mogelijk doeleinden, aangezien dit de enige onbetwistbare manier is om de gegevens van uw contacten te gebruiken. Welke toestemming u ook verkrijgt voor een bepaald doel, de beste manier om deze te verkrijgen is op een niet-falsifieerbare manier. Deze variëren van een opgenomen communicatie, zoals een e-mail, tot een portaal voor voorkeursbeheer waarop contacten kunnen inloggen om hun toestemmingen te beheren. Net als bij e-mailvoorkeuren, is het belangrijk om contacten hun toestemming minstens net zo gemakkelijk te laten intrekken als ze deze hebben gegeven.
De nieuwe wettelijke rechten die u moet faciliteren
Recht om te weten welke gegevens u opslaat en de mogelijkheid om die gegevens te exporteren
Als een contact u om de informatie vraagt die u over hen hebt, bent u wettelijk verplicht om dit te doen. Bovendien moet u bekendmaken waar u het voor gebruikt, met wie u het deelt, hoe lang u het wilt houden en de andere rechten die zij hebben. Ze kunnen bovendien om een kopie van al deze informatie vragen in een machinaal leesbaar formaat zoals een CSV-bestand of -database, dus het CRM-systeem dat u gebruikt om hun informatie op te slaan, zou het maken van dergelijke bestanden moeten vergemakkelijken.
Recht om hun informatie bij te werken
Als een contactpersoon u vraagt om onjuiste of ontbrekende informatie bij te werken, moet u deze informatie bijwerken in uw systemen zodra u kunt bevestigen wie ze zijn. Dit is met name van belang als u die gegevens handmatig gebruikt of op basis van algoritmen hierover beslissingen neemt.
Recht om te worden vergeten
Een contactpersoon heeft het recht om uw gegevens erop te wissen. Hoewel de eenvoudigste oplossing is om al uw records die aan hen zijn gekoppeld, te wissen, is dit meestal ongewenst omdat het belangrijke bedrijfsinformatie zoals inkoopgegevens, weergave-inkomsten en andere rapporten onjuist kan verwijderen. De ideale manier om dit te doen is om persoonlijk identificeerbare informatie uit het record van een contact te verwijderen, zodat u ze niet langer kunt identificeren. De beste GDPR-compatibele CRM-oplossingen zullen dit type wissen vergemakkelijken.
Het recht om bezwaar te maken tegen een van uw doelen
Een contact kan vragen dat u hun gegevens niet voor een specifiek doel gebruikt. Dat kan betekenen dat u zich afmeldt voor marketing, en vraagt dat deze niet wordt gedeeld met een derde partij of een ander specifiek doel. Om dit te vergemakkelijken zonder dat u lastige records moet beheren, kiest u een CRM-oplossing waarmee uw contactpersonen automatisch hun toestemmingen voor uw gebruik beheren, zodat de teams die verantwoordelijk zijn voor het handelen aan die toestemming alleen kunnen handelen voor de contactpersonen die toestemming hebben gegeven.
Recht om te stoppen met het gebruik van hun volledige dossier
Contacten hebben eindelijk het recht om u te vragen ze uit alle vormen van verwerking te nemen die u doet. Welk systeem u ook gebruikt om hun informatie op te slaan, moet hun records kunnen bevriezen, zodat ze niet door uw gebruikers kunnen worden aangepast of handmatig of automatisch voor commerciële doeleinden kunnen worden gemaild.
Er is zoveel te doen! Hoe zal Vtiger me helpen te voldoen?
Er kunnen veel nieuwe regels zijn waaraan moet worden voldaan, maar de wijzigingen die VSTIGER tegen mei 9th aanbrengt, stellen bedrijven in staat om de naleving van GDPR moeiteloos uit te rollen. Of uw klanten zich nu in de VS, EU of elders bevinden, deze wijzigingen helpen u bij het presenteren van informatie, veiliger opslaan van gevoelige gegevens, legale e-mails op legale markten en laten uw contacten toestemmen en beheren met een ervaring die bij geen ander beschikbaar is CRM op de markt vandaag.
U kunt een complete doorloop van deze wijzigingen vinden in Deel 2 van deze serie.
Stay tuned!
