Automatyzacja a RODO: gdzie fizycznie lądują dane Twoich klientów

Formularz na stronie to nie jeden krok, tylko łańcuch czterech systemów

Zgłoszenie klienta rzadko trafia prosto do Ciebie. Zwykle przechodzi przez łańcuch:

Każde ogniwo to osobny serwer, często u innego dostawcy i w innym kraju.

Formularz zbiera dane i wysyła je do narzędzia automatyzacji, na przykład n8n albo Make. To narzędzie przekazuje je dalej do CRM, gdzie handlowiec albo recepcjonistka widzi zgłoszenie razem z historią klienta. Na końcu system wysyła powiadomienie – e-mailem, przez Messenger albo WhatsApp – żeby ktoś w firmie zareagował tego samego dnia.

Każdy z tych czterech kroków to osobne przetwarzanie danych osobowych w rozumieniu RODO. Za to, co dzieje się z danymi klienta na każdym odcinku, odpowiada właściciel firmy, nie dostawca narzędzia. Dlatego zanim podłączysz kolejny system do formularza, warto wiedzieć, przez czyje ręce faktycznie przechodzi zgłoszenie.

n8n, Make i Zapier: kto naprawdę decyduje, gdzie stoją dane klienta

Nie każde narzędzie automatyzacji trzyma dane w tym samym miejscu. n8n można postawić na własnym serwerze. Wtedy to Ty decydujesz, w którym kraju stoją dane klienta.

Make i Zapier działają inaczej – to gotowe usługi w chmurze, więc o lokalizacji serwerów decyduje dostawca, a nie Ty. Dlatego jurysdykcję każdego z tych narzędzi trzeba sprawdzić osobno, w jego regulaminie i polityce prywatności, zamiast zakładać, że wszystkie działają tak samo. To samo dotyczy integracji z Google Calendar, Google Business Profile czy SMSAPI. Każdy z tych systemów ma własną politykę przechowywania danych.

Google Calendar i Google Business Profile to osobny przypadek. Część usług Google pozwala wybrać region przechowywania danych, ale trzeba to świadomie ustawić, a nie zakładać, że dzieje się to domyślnie. Konsultant, który podłącza kalendarz rezerwacji do automatyzacji, powinien to sprawdzić razem z administratorem, zanim system zacznie zapisywać w nim dane klientów.

Administrator albo konsultant, który wdraża automatyzację, powinien mieć listę wszystkich podłączonych narzędzi i sprawdzoną umowę powierzenia przetwarzania danych z każdym z nich, zgodnie z zasadami UODO. Bez tej listy nikt w firmie nie odpowie na pytanie klienta, gdzie fizycznie leżą jego dane. Więcej o samym łączeniu systemów znajdziesz przy integracjach.

Ile kosztuje uporządkowanie automatyzacji pod RODO

Samo sprawdzenie, gdzie lądują dane, nie jest drogie – drogie bywa dopiero zaniedbanie tego kroku. Integracja z pocztą e-mail i integracja z Telegramem albo WhatsAppem to dwa różne kawałki pracy — ich zakres ustalamy po rozmowie o potrzebach firmy. To pozwala zamknąć kanał zgłoszeń w jednym, kontrolowanym miejscu zamiast rozpraszać dane po kilku niezależnych skrzynkach.

Jeśli automatyzacja ma też zapisywać zgłoszenia w CRM i pilnować, kto i kiedy je obsłużył, dochodzi kolejny odcinek tej samej drogi — jego zakres ustalamy po rozmowie. Panel admina, w którym właściciel albo kierownik widzi wszystkie zgłoszenia i historię ich obsługi w jednym miejscu, zamyka ten łańcuch: pod RODO liczy się nie tylko to, gdzie dane leżą, ale i to, czy da się pokazać, kto ich dotykał. Nie ma tu kwot do zsumowania – zakres dobieramy do tego, co w konkretnej firmie faktycznie dzieje się z danymi.

Jeśli w firmie już działa automatyzacja zapytań, ale nikt nie sprawdzał, gdzie trafiają dane, warto zacząć od audytu połączeń zamiast budowania kolejnych. Samo podłączenie formularza do CRM i powiadomień, czyli automatyzację zapytań, wyceniamy po rozmowie o tym, co dokładnie ma się wydarzyć. To jednorazowy koszt uporządkowania, nie miesięczny abonament, bo mówimy o konfiguracji, a nie o stałej obsłudze.

Kiedy automatyzacja zgłoszeń to zły pomysł

Firma, która obsługuje zgłoszenia samodzielnie i nie ma problemu z odpowiadaniem na czas, nie potrzebuje łańcucha systemów. Każde dodatkowe narzędzie to kolejne miejsce, gdzie dane klienta mogą się zawiesić albo zostać dłużej, niż trzeba. Czasem prostsza skrzynka e-mail i jedna osoba, która ją czyta, jest bezpieczniejsza niż pięć połączonych aplikacji.

Automatyzacja bywa też ryzykowna, gdy nikt w firmie nie jest odpowiedzialny za jej utrzymanie. Integracja może przestać działać po aktualizacji jednego z narzędzi. Zgłoszenie trafia wtedy donikąd, a klient czeka bez odpowiedzi. Kiedy dojdzie do takiej awarii, ktoś musi ją zauważyć i naprawić – zwykle technik albo administrator, który zna cały łańcuch połączeń, a nie tylko jeden jego element.

Nie obiecujemy, że automatyzacja sama rozwiąże kwestie zgodności z RODO. Rozwiązuje je dopiero decyzja, kto administruje danymi i gdzie je trzyma. Gwarantujemy tylko to, że po wdrożeniu wiadomo, kto za który etap odpowiada. To nie jest coś, co da się kupić raz i zapomnieć.

Najczęściej zadawane pytania o danych klientów i integracjach

Czy muszę mieć umowę powierzenia z każdym narzędziem automatyzacji?

Tak, jeśli narzędzie przetwarza dane osobowe klientów w Twoim imieniu, potrzebujesz umowy powierzenia przetwarzania danych zgodnie z wymogami RODO. Dotyczy to zarówno n8n czy Make, jak i CRM, w którym handlowiec zapisuje historię kontaktu. Umowę zawiera się z dostawcą narzędzia, nie z klientem końcowym.

Czy dane klienta mogą trafić poza Unię Europejską?

Mogą, jeśli korzystasz z narzędzia w chmurze, którego dostawca ma serwery poza Europejskim Obszarem Gospodarczym. W takiej sytuacji potrzebna jest podstawa prawna transferu, zwykle standardowe klauzule umowne dostawcy. Sprawdzisz to w polityce prywatności narzędzia, najlepiej zanim się z nim zintegrujesz, a nie po fakcie.

Kto w firmie odpowiada za zgodność automatyzacji z RODO?

Formalnie zawsze właściciel firmy jako administrator danych, niezależnie od tego, kto technicznie wdrożył integrację. W praktyce dzień po dniu tę odpowiedzialność przejmuje osoba wyznaczona do utrzymania systemu – administrator albo konsultant, który zna cały łańcuch narzędzi.

Czy mniejsza firma też musi to sprawdzać?

Tak, obowiązki wynikające z RODO nie zależą od wielkości firmy, tylko od tego, czy przetwarzasz dane osobowe. Jedna integracja formularza z CRM już podlega tym samym zasadom co w dużej firmie. Skala wpływa na to, ile masz punktów do sprawdzenia, a nie na to, czy w ogóle musisz to zrobić.

Czy WhatsApp i Messenger też podlegają RODO?

Tak. Jeśli klient pisze do Ciebie przez WhatsApp albo Messenger i zostawia dane, na przykład imię, numer telefonu czy treść pytania, to również przetwarzanie danych osobowych. Dostawca komunikatora ma własną politykę przechowywania wiadomości, niezależną od Twojego CRM. Gdy automatyzacja kopiuje te wiadomości do CRM, ten sam obowiązek sprawdzenia umowy powierzenia obejmuje i ten kanał.

Porozmawiajmy o tym, gdzie w Twojej firmie fizycznie lądują dane klientów i jak uporządkować to jednym systemem.