Kereskedői adatirányítási és GDPR-útmutató

1. Mérje fel a célokat a rendszerek előtt

Ugyanaz a személy lehet érdeklődő, vevő, hitelfelvevő, jármű használója, szervizügyfél, panaszos vagy alkalmazott. Ugyanaz a VIN-szám megjelenhet a beszámításnál, a forgalomba helyezésnél, a finanszírozásnál, a biztosításnál, a garanciánál, a javításnál, az útközbeni segítségnyújtásnál és a csatlakoztatott szolgáltatásoknál. Önmagában a rendszerleltár nem mutatja meg, hogy az újrafelhasználás jogszerű vagy elvárt-e.

Készítsen adatkezelési térképet cél szerint. Minden tevékenységnél rögzítse az érintetteket, a kategóriákat, a forrást, a jogalapot, a címzetteket, a továbbításokat, a megőrzési időt, a biztonsági intézkedéseket, az automatizált döntéseket és a felelőst. Kapcsolja ehhez a GDPR 30. cikke szerinti adatkezelési nyilvántartást, ahol releváns. Válassza külön a szerződés teljesítéséhez szükséges adatokat az opcionális marketingtől és analitikától. Ne vonjon össze eltérő célokat egyetlen hozzájárulásba.

A GDPR megköveteli a jogszerűséget, tisztességes eljárást és átláthatóságot; a célhoz kötöttséget; az adattakarékosságot; a pontosságot; a korlátozott tárolhatóságot; a biztonságot; és az elszámoltathatóságot. [1] Ezek az elvek nem csupán dokumentációs követelmények. Meg kell határozniuk, mely CRM-mezők kötelezők, mely szerepkörök exportálhatnak ügyféllistát, és mikor kell törölni az elavult érdeklődői adatokat.

2. Osztályozza az ügyfél- és járműadatokat kontextusban

A nevek, a személyes e-mail-címek, a telefonszámok, az aláírások és a pénzügyi adatok egyértelműen személyes adatok. A járműadatok kontextuális elemzést igényelnek. Egy VIN-szám, rendszám, helyadat-nyom, vezetési minta, szervizelőzmény vagy jármű-azonosító kapcsolódhat egy azonosítható tulajdonoshoz, üzembentartóhoz, vezetőhöz vagy utashoz. Az álnevesítés csökkenti a kockázatot, de nem feltétlenül vonja ki az adatot a GDPR hatálya alól, ha az újraazonosítás továbbra is lehetséges.

Az Európai Adatvédelmi Testület csatlakoztatott járművekre vonatkozó iránymutatása hangsúlyozza, hogy a járművek által generált adatok jelentős része személyes adat, és kiemeli a helyadatot, a biometrikus adatot és a jogsértéssel összefüggő adatot mint kontextusban különösen érzékeny kategóriákat. Az iránymutatás a helyi feldolgozást és a felhasználói kontrollt részesíti előnyben a gyűjtés felett, ahol lehetséges. [2]

Osztályozza a mezőket érzékenység és cél szerint, ne az alkalmazás szerint. Egy adat az egyik munkafolyamatban hétköznapi lehet, kombinálva viszont sokat elárulhat. A szabad szöveges megjegyzések különösen kockázatosak, mert a munkatársak strukturálatlanul rögzíthetnek egészségügyi, családi, pénzügyi vagy panaszadatokat. Használjon útmutatásokat, képzést és korlátozott mezőket a felesleges adatgyűjtés csökkentésére.

3. Tisztázza a szerepköröket a kereskedő, a csoport, a gyártó és a beszállítók között

A kereskedő az értékesítési és szervizműveletek tekintetében gyakran adatkezelő, de a viszonyok eltérőek lehetnek. A gyártó lehet önálló adatkezelő a garanciális vagy csatlakoztatott szolgáltatásoknál, közös adatkezelő egy közösen meghatározott kampánynál, vagy más meghatározott megállapodás alapján kaphatja meg az adatot. A DMS-szolgáltató jellemzően adatfeldolgozóként jár el a hosztolt kereskedői adatoknál, de saját fiókadminisztrációjánál vagy biztonsági naplóinál adatkezelő is lehet.

Ne vegye át a szerződésben szereplő szerepkör-megnevezést a valóság ellenőrzése nélkül. Kérdezze meg, ki dönt a célról és a lényeges eszközökről, ki válaszol az érintetti kérelmekre, ki értesít kit egy incidensről, mely alfeldolgozók érintettek, és hogy az adatot felhasználják-e modellek betanítására vagy ügyfelek benchmarkolására. Dokumentálja a megosztás jogalapját és az adattakarékosságot minden egyes interfésznél.

A csatlakoztatott járművekhez való hozzáférés mostantól az uniós Adatjogi Rendelettel (Data Act) is összefonódik. Az Európai Bizottság 2025-ös, nem kötelező erejű gépjárműipari iránymutatása kifejti, hogyan alkalmazandók az Adatjogi Rendelet fogalmai a járműadatokra, ugyanakkor hangsúlyozza, hogy a személyes adatokra továbbra is a GDPR vonatkozik. [3] A termékadatokhoz való hozzáférés vagy azok megosztásának joga nem jelent általános felmentést az adatvédelmi jog alól.

4. Alakítsa ki a jogalapot és az átláthatóságot az ügyfélút mentén

Ez a táblázat kiindulópont, nem jogi állásfoglalás. Az e-hírközlési és közvetlen üzletszerzési szabályok csatornánként és nemzeti átültetésenként eltérnek. A hozzájárulásnak önkéntesnek, konkrétnak, tájékozottnak, egyértelműnek és visszavonhatónak kell lennie. A jogos érdek célvizsgálatot, szükségességi vizsgálatot és érdekmérlegelést igényel.

Nyújtson rétegzett tájékoztatást a releváns pillanatokban, ne egyetlen távoli adatvédelmi oldalon. Magyarázza el a lényeges adatkezelést az érdeklődésnél, a próbautazásnál, a vásárlásnál, a szervizelésnél és az alkalmazás csatlakoztatásánál. Tegye könnyen módosíthatóvá a preferenciákat, és juttassa el a visszavonást minden érintett kampányrendszerhez.

5. Ellenőrizze az azonosítást, a pontosságot, a hozzáférést és a megőrzést

Az ügyfélpárosítás segíti a folytonosságot, de két különböző személyt is helytelenül összevonhat. Használjon ellenőrzött azonosítókat, megbízhatósági szinteket, tekintse át a következményekkel járó összevonásokat, és biztosítson visszafordítható naplózást. Őrizze meg, mely forrás szolgáltatta az adott értéket. A kereskedőnek képesnek kell lennie megmagyarázni, miért kapott egy személy üzenetet, és gyorsan korrigálni egy tulajdonosváltást.

Vezessen be szerepkör-alapú hozzáférést és feladatkörök szétválasztását. Az értékesítőnek aktuális elérhetőségre és ügyletkontextusra lehet szüksége, nem korlátlan exportra vagy bérszámfejtési adatra. A csoportszintű riportáláshoz aggregált telephelyi adat kellhet, nem ügyfélszintű részletezés. Vizsgálja felül a kiemelt jogosultságú szerepköröket és az inaktív fiókokat. Rögzítse a magas kockázatú adatállományokhoz való hozzáférést, és vizsgálja ki a tömeges exportokat.

Határozza meg a megőrzési időt nyilvántartás és cél szerint. Az adóügyi dokumentumok, szerződések, garanciális bizonyítékok, sikertelen érdeklődések, hívásfelvételek, helyadatok és modellbetanítási minták eltérő megőrzési időt igényelnek. Vegye figyelembe az elévülési időket és a jogi zárolásokat, majd törölje vagy anonimizálja az adatot. Tesztelje a mentéseket és a downstream integrációkat, hogy a felületen elvégzett törlés ne csak látszólagos legyen.

6. Érvényesítse az érintetti jogokat, végezzen hatásvizsgálatokat és kezelje az incidenseket

Alakítson ki ellenőrzött befogadási folyamatot a hozzáférési, helyesbítési, törlési, korlátozási, tiltakozási és hordozhatósági kérelmekhez. Keressen ügyfél- és jármű-azonosítók alapján a CRM-ben, a DMS-ben, a hívás-, dokumentum- és marketingrendszerekben. A kiadás előtt vizsgálja át a harmadik felek adatait és mások jogait. Rögzítse a döntést és a válaszadás dátumát.

Végezzen adatvédelmi hatásvizsgálatot ott, ahol az adatkezelés valószínűleg magas kockázatot jelent, különösen szisztematikus megfigyelés, új típusú csatlakoztatott adat vagy jelentős automatizált döntés esetén. Az adatvédelmi hatásvizsgálatnak a bevezetés előtt kell alakítania a tervezést. Nem utólagos jóváhagyó űrlap.

Készítsen elő incidenskezelési triázst. A munkatársaknak fel kell ismerniük a téves címzettnek küldött számlákat, a nyilvánosságra került exportokat, a fiókkompromittálódást és a zsarolóvírust mint lehetséges személyesadat-incidenst. Rögzítse gyorsan a tényeket, korlátozza a hozzáférést, őrizze meg a bizonyítékokat, és támogassa az adatkezelő értékelését a bejelentési kötelezettségekről. A GDPR 72 órás felügyeleti hatósági bejelentési határidőt ír elő, ha a vonatkozó kockázati küszöb teljesül. [1]

Hol illeszkedik ide az Omnetic

Az Omnetic dokumentált moduljai ügyfél-, jármű-, ügylet-, kommunikációs, állapotfelmérési, készlet- és árazási kontextust visznek be az operatív munkafolyamatokba. Ez a folytonosság támogathatja a pontosságot, a forrás-láthatóságot és kevesebb ellenőrizetlen átadási pontot eredményezhet. Önmagában azonban nem teremt GDPR-megfelelést.

A kereskedőknek célszerű az Omnetictől megkérdezniük az adatkezelői és adatfeldolgozói szerepköröket, az adattárolás helyét, az alfeldolgozókat, a megőrzési és törlési gyakorlatot, a hozzáférés-vezérlést, az audit naplókat, az exporttámogatást, az incidensfeltételeket és az MI-alapú adatkezelés részleteit. Az ország, a csomag és a telepítési mód megválasztása befolyásolhatja a választ.