Baza danych firm RODO: źródła, obowiązki i bezpieczeństwo
Dział prawny zadaje przed zakupem bazy firm zawsze te same pytania: skąd są dane, na jakiej podstawie je przetwarzamy, co wolno z nimi zrobić i jak są chronione. Tu odpowiadamy na wszystkie po kolei.
Źródła danych: wyłącznie rejestry publiczne
- Krajowy Rejestr Sądowy prowadzony przez Ministra Sprawiedliwości i sądy rejestrowe.
- Centralna Ewidencja i Informacja o Działalności Gospodarczej.
- Rejestr REGON prowadzony przez Główny Urząd Statystyczny.
- Wykaz podatników VAT prowadzony przez Szefa Krajowej Administracji Skarbowej.
- Repozytorium Dokumentów Finansowych KRS.
Przy każdym polu rekordu widać, z którego rejestru pochodzi. Nie kupujemy danych od pośredników, nie zbieramy ich ze stron internetowych i nie dopisujemy kontaktów spoza rejestrów.
Spółka to nie osoba, jednoosobowa działalność to dane osobowe
Dane spółki z KRS (nazwa, NIP, adres siedziby, PKD, kapitał) nie są danymi osobowymi. Inaczej jest z jednoosobową działalnością gospodarczą: jej nazwa zawiera zwykle imię i nazwisko przedsiębiorcy, więc cały wpis z CEIDG jest daną osobową i podlega RODO. Tak samo traktujemy członków zarządu i wspólników widocznych w odpisie z KRS.
Jak wypełniamy obowiązki z RODO
- Podstawa przetwarzania: prawnie uzasadniony interes, czyli udostępnianie informacji o działalności gospodarczej firmom, które chcą z nią nawiązać relację handlową (art. 6 ust. 1 lit. f RODO).
- Obowiązek informacyjny z art. 14 RODO wobec przedsiębiorców z bazy realizujemy jako administrator bazy. Ty, jako odrębny administrator, informujesz przedsiębiorcę przy pierwszym kontakcie, skąd masz jego dane, i odpowiadasz za własne dalsze przetwarzanie.
- Informacja przy pierwszym kontakcie może brzmieć tak: „Twoje dane (nazwa firmy, adres, NIP) pozyskaliśmy z publicznych rejestrów przedsiębiorców za pośrednictwem serwisu Bazaprzedsiębiorstw. Administratorem jest [Twoja firma], cel: nawiązanie relacji handlowej, podstawa: art. 6 ust. 1 lit. f RODO. Możesz wnieść sprzeciw, pisząc na [Twój adres]”.
- Prawo sprzeciwu (art. 21 RODO): przedsiębiorca pisze na kontakt@bazaprzedsiebiorstw.pl, podaje NIP, a jego rekord znika z bazy i z przyszłych eksportów wszystkich klientów. Sprzeciw zapisujemy w rejestrze sprzeciwów, żeby rekord nie wrócił z rejestru publicznego.
- Minimalizacja: baza zawiera tylko pola z rejestrów, które mają znaczenie dla relacji między firmami.
Pełne informacje są w polityce prywatności.
Co wolno zrobić z danymi z bazy
Posiadanie danych firmy to jedno, a sposób kontaktu to drugie. Prawo komunikacji elektronicznej wymaga uprzedniej zgody odbiorcy na informację handlową wysłaną e-mailem i na marketing bezpośredni przez telefon. Dotyczy to także adresów firmowych.
- Wolno: segmentować rynek, planować sprzedaż, wysłać list tradycyjny, zaprosić na wydarzenie, kierować reklamę do listy firm, nawiązać kontakt na platformie zawodowej, porozmawiać z firmą, która sama się zgłosiła.
- Nie wolno: wysłać oferty e-mailem albo zadzwonić z ofertą bez zgody odbiorcy, odsprzedać bazy albo udostępnić jej osobom trzecim.
Dlatego nie sprzedajemy „bazy do masowego mailingu”. Praktyczne wskazówki są w tekście baza mailingowa firm a RODO. W sprawach spornych warto zapytać własnego prawnika.
Bezpieczeństwo konta i danych klienta
- Połączenie z serwisem wyłącznie szyfrowane.
- Logowanie kodem wysłanym na adres służbowy, w planie Enterprise przez SSO: SAML, Microsoft Entra ID, Google Workspace.
- Role i uprawnienia w planie Firma: administrator, handlowiec, tylko podgląd.
- Historia eksportów z datą, osobą i segmentem, do wglądu administratora.
- Połączenia z CRM przez autoryzację po stronie CRM, bez przekazywania nam hasła.
- Dane z Twojego CRM wykorzystujemy tylko do deduplikacji po NIP i nie udostępniamy ich innym klientom.
Dokumenty dla działu prawnego i zakupów
W planie Enterprise przygotowujemy umowę powierzenia przetwarzania danych, która dotyczy danych z Twojego CRM, przetwarzanych przez nas na Twoje polecenie przy deduplikacji po NIP i aktualizacji rekordów. Do danych z bazy jesteś odrębnym administratorem. Poza tym wypełniamy ocenę dostawcy i ankiety bezpieczeństwa oraz zawieramy umowę z SLA 99,9 procent. Zamówienie może przejść przez dział zakupów z roczną fakturą.
Pytania o bazę danych firm i RODO
Tak, jeśli dane wykorzystujesz zgodnie z celem: do relacji między firmami, z poszanowaniem sprzeciwu i bez wysyłki informacji handlowej bez zgody. Po naszej stronie dane pochodzą z rejestrów publicznych, a obowiązek informacyjny z art. 14 RODO wobec przedsiębiorców z bazy realizujemy jako administrator bazy. Ty, jako odrębny administrator, informujesz przedsiębiorcę przy pierwszym kontakcie, skąd masz jego dane. Treść takiej informacji podpowiadamy na tej stronie.
Rekord znika z bazy i z przyszłych eksportów wszystkich klientów, a NIP trafia do rejestru sprzeciwów. Jeśli firma jest już w Twoim CRM, w planie Firma dostajesz o tym informację przy aktualizacji rekordów.
Tak, w planie Enterprise. Umowa dotyczy danych z Twojego CRM, które przetwarzamy na Twoje polecenie przy deduplikacji po NIP. Przygotowujemy też odpowiedzi do oceny dostawcy dla działu prawnego i IT.
Baza firm, którą zaakceptuje dział prawny
Załóż konto albo napisz do nas w sprawie dokumentów dla planu Enterprise.