Vilka kunddata bör ett CRM-system hantera?

Vad avgör vilka kunddata ett CRM bör hantera?

Ett CRM-system är en centraliserad databas- och kontakthantering. Där lagras kunddata som demografi, kontaktinformation, kommunikationshistorik och interaktioner i sociala medier. Frågan är vilka uppgifter som hör hemma där.

Per definition är ett CRM-system en databas över personuppgifter: namn, e-postadresser, telefonnummer, kundhistorik och kommunikation. Dataskyddsreglerna är därför direkt relevanta för all CRM-användning. GDPR gäller alla företag som hanterar personuppgifter för personer inom EU/EES, oavsett var företaget är baserat.

Urvalet utgår från två frågor: vilket ändamål uppgiften tjänar och vilken laglig grund som bär behandlingen.

Kundernas förväntningar har skärpts; de vill se större transparens. När traditionella spårningscookies försvinner blir uppgifter som kunderna själva lämnar viktigare.

Den som samlar in mer än ändamålet kräver får både en regelefterlevnadsrisk och en förtroenderisk.

Stamdata och kontaktuppgifter – grunden i CRM

Stamdata omfattar namn, e-postadress, födelsedatum eller bostadsort. Det är grunden för vidare analys och personlig kommunikation. Dit hör även demografi, kontaktinformation och kommunikationshistorik knuten till personen.

Funktionen är identifiering: att veta vem kunden är, adressera utskick och samtal rätt och hålla kontaktuppgifterna uppdaterade. Utan korrekt stamdata blir övriga data svåra att använda, eftersom de inte kan knytas till en identifierad person.

Stamdata behöver hållas uppdaterad; ett CRM-system används för att hålla kundernas kontaktuppgifter uppdaterade. Rätten till rättelse måste därför fungera i praktiken: en kund har rätt att få felaktiga uppgifter rättade, och rutinen bör vara känd av dem som arbetar i systemet.

Födelsedatum och bostadsort bör bara finnas kvar så länge de används för ett ändamål. Annars ska de gallras.

Beteendedata: köp, service och kommunikation

Beteendedata omfattar köphistorik, besöksfrekvens och appanvändning. De visar hur aktiv och lojal en kund är och kan inte ersättas med antaganden.

Beteendedata uppstår vid varje interaktion: en säljare loggar ett samtal, supportteamet uppdaterar ett ärende, marknadsavdelningen skickar ett nyhetsbrev. Varje händelse innebär behandling av personuppgifter, och i de flesta organisationer är CRM-systemet navet för datan. Ärenden, samtal, nyhetsbrev och kundhistorik hör därför till systemets mest affärskritiska del.

Beteendedata kräver en laglig grund. Inom CRM är avtal, berättigat intresse och samtycke vanligast. En kund kan invända mot behandling som bygger på berättigat intresse, till exempel vid direktmarknadsföring. Systemet måste därför hantera både grunden och invändningar mot den.

Lagliga grunder för kunddatahantering i CRM

Preferens- och zero-party-data – det kunden själv delar

Preferensdata och zero-party-data är uppgifter som kunderna frivilligt delar, till exempel i en kort enkät i appen. De kommer direkt från källan: kunden har själv sagt vad hen vill ha, vilka intressen som är relevanta och vilken kommunikation som passar.

Kategorin blir strategiskt viktigare när möjligheten att följa beteende via tredjepartscookies minskar. Förstaparts- och nollpartsuppgifter – information som kunderna frivilligt lämnar – pekas ut som den viktigaste datakällan inom marknadsföringen.

För behandling av personuppgifter i CRM krävs en laglig grund, och samtycke är en av de vanligaste grunderna. Om samtycke används för preferensdata måste det vara aktivt, och ni måste kunna visa vad kunden har sagt ja till. Preferenser förändras över tid, så enkätsvar behöver kunna uppdateras eller tas bort när de inte längre är aktuella.

Fördelar och risker med att samlas in preferensdata

Kunddata längs hela kundresan

Kundresan beskriver hela kundens väg, från första intresse till att kunden rekommenderar företaget vidare. Varje steg genererar olika data: första kontakten ger intressen, köpet varukorg och belopp, därefter följer frekvens och feedback. Först när punkterna kopplas samman blir de användbara som helhetsbild.

Stora datamängder omvandlas till insikter genom analys, och AI identifierar mönster automatiskt och betydligt snabbare än ett team manuellt. I CRM leder det till personanpassade erbjudanden, träffsäkra rekommendationer och kampanjer som når rätt person vid rätt tidpunkt.

Kopplingen mellan punkterna ska göras utan att onödiga detaljer lagras. Varje uppgift som förs in bör svara mot ett ändamål och en laglig grund, och uppgifter som inte längre behövs för ändamålet ska kunna gallras utan att helhetsbilden förstörs.

Segmentering, frekvensmätning och uppföljning av feedback kan göras på aggregerad nivå i stället för att spara varje enskild händelse för all framtid.

Kvalitet, gallring och ansvar för kunddata

Kunddata i CRM måste vara rensade och organiserade. Det innebär dublettkontroll, enhetliga fält och att inaktuella poster hanteras i stället för att ligga kvar och snedvrida rapporter och utskick.

Gallringen utgår från dokumentationen. Ett register över alla behandlingar av personuppgifter i CRM-systemet ska visa vilka uppgifter ni lagrar, varför, på vilken laglig grund och hur länge.

Utifrån registret införs rutiner för att regelbundet gallra data som inte längre behövs. De flesta CRM-system stöder automatisk gallring, vilket minskar risken att gallringen blir en manuell uppgift som prioriteras bort.

Ansvaret är delat men inte otydligt. Din organisation är personuppgiftsansvarig och bestämmer varför personuppgifter samlas in, vilka uppgifter som lagras, hur länge de lagras, vem som har tillgång till dem och vilken rättslig grund som gäller.

CRM-leverantören är personuppgiftsbiträde och behandlar uppgifterna på ditt uppdrag enligt dina dokumenterade instruktioner och ett formellt personuppgiftsbiträdesavtal.

I Sverige övervakar Integritetsskyddsmyndigheten (IMY, tidigare Datainspektionen) efterlevnaden.

Säkerhet, åtkomst och kundernas rättigheter i CRM

Säkerhetsarbetet utgår från privacy by design: integritetsskyddande mekanismer byggs in från grunden i datastruktur och åtkomst, så att skyddet inte kräver särskilda initiativ i efterhand.

Ett konkret exempel är att dela upp systemet och begränsa tillgången till personuppgifter till dem som aktivt behöver dem i arbetet.

Utöver åtkomststyrning krävs säkerhetsåtgärder så att uppgifterna inte faller i fel händer. Molntjänster kan konfigureras så att data förvaras i europeiska datacenter.

Kunderna har rätt till information om vilka uppgifter ni samlar in, varför och hur länge de lagras. De har också rätt till tillgång till uppgifterna, rättelse, radering, dataportabilitet i ett maskinläsbart format och att invända mot behandling som bygger på berättigat intresse, exempelvis direktmarknadsföring.

Informationen lämnas vanligen via integritetspolicyn, men tillgång, rättelse, radering och export måste kunna hanteras i CRM-systemet.

Praktiskt måste ni kunna identifiera, extrahera och radera information om kunder och kontaktpersoner på begäran. Processerna för detta ska vara tydliga även om de inte är helt automatiserade.

En vanlig fallgrop är att historiska kunder inaktiveras i stället för att raderas av spårbarhetsskäl – något som kan bli ett problem när rätten att bli glömd åberopas.

Undantagen gäller: uppgifter som krävs för exempelvis bokföring får inte raderas, och frågan om informationen behövs för att upprätthålla ett avtal avgör vad som kan tas bort.