Compliance RODO dla małej firmy

Bramka startowa, zanim cokolwiek „wdrażasz”

• Zapisz jedną osobę odpowiedzialną za temat danych w firmie (nawet jeśli to Ty).
• Wypisz w trzech liniach: skąd bierzesz kontakty, do czego ich używasz, gdzie leżą (skrzynka, CRM, arkusz, narzędzie AI).
• Oddziel dane klientów i leadów od danych pracowników i kandydatów.
• Zaznacz, czy wysyłasz marketing (newsletter, ads, sekwencje) osobno od obsługi zamówienia i faktury.
• Ustal, że nic nie ląduje w publicznym czacie AI z pełnymi danymi osób (imię plus mail plus treść sprawy razem to już za dużo).
• Bramka: wiesz kto pilnuje tematu, jakie są trzy główne źródła danych i które procesy są marketingiem.

Inwentaryzacja danych (co realnie macie)

• Zrób listę zbiorów: leady, klienci, faktury, support, CV, newsletter, remarketing, nagrania, notatki ze spotkań.
• Dla każdego zbioru zapisz: skąd pochodzi, w jakim celu, kto ma dostęp, w jakim systemie leży.
• Dla każdego zbioru zapisz okres przechowywania (np. lead bez odpowiedzi 12 miesięcy, faktury zgodnie z wymogami księgowymi, CV po rekrutacji X miesięcy).
• Oznacz dane „wrażliwe” albo wysokiego ryzyka, jeśli w ogóle je zbieracie (zdrowie, biometria, dane dzieci). Domyślnie mała firma B2B ich nie potrzebuje.
• Sprawdź arkusze i folder „stare eksporty”. To najczęstsza dziura: kopie CSV na Dysku i mailach.
• Sprawdź integracje: formularz, CRM, mail, ads. Każdy skok to osobne miejsce, w którym dane mogą zostać.
• Bramka: masz jedną listę zbiorów, nie trzy sprzeczne historie w głowie.

Podstawa prawna i cel (po ludzku)

• Dla każdego zbioru dopisz cel jednym zdaniem, np. „wysłanie oferty po formularzu”, „realizacja umowy”, „newsletter raz w tygodniu”.
• Przypisz podstawę: umowa / działania przed umową, prawny obowiązek (np. księgowość), prawnie uzasadniony interes (ostrożnie), zgoda (marketing tam, gdzie jej potrzebujesz).
• Nie mieszaj „wysłaliśmy ofertę” z „dopisaliśmy do newslettera na zawsze” bez jasnej reguły.
• Jeśli opierasz marketing na zgodzie, zapisz jak i kiedy została zebrana oraz jak ją wycofać w jednym kliknięciu albo jednej prostej prośbie.
• Jeśli opierasz się na uzasadnionym interesie (np. soft follow up po rozmowie B2B), zapisz dlaczego i jak osoba może się wypisać.
• Bramka: dla top 5 procesów masz cel i podstawę, bez „bo wszyscy tak robią”.

Informacja dla człowieka (polityka i formularze)

• Na stronie masz politykę prywatności z aktualną datą, danymi firmy i prostym opisem celów.
• Przy każdym formularzu widać, po co bierzesz mail i co się stanie po wysłaniu.
• Link do polityki jest tam, gdzie zbierasz dane, nie tylko w stopce schowanej na stronie O nas.
• W stopce maili marketingowych jest jasna rezygnacja (unsubscribe albo prosta instrukcja „odpisz STOP”).
• Szablon odpowiedzi na pytanie „jakie moje dane macie” jest gotowy: kto odpowiada, w jakim terminie, z jakich systemów sprawdza.
• Bramka: nowy lead po 2 minutach wie, po co oddał mail i jak się wypisać.

Zgody marketingowe i listy mailingowe

• Oddziel listę transakcyjną (faktury, dostęp, support) od listy marketingowej.
• Sprawdź, czy stara lista z lat wstecz ma źródło zgody albo inną jasną podstawę. Brak źródła = nie mailujesz „bo baza duża”.
• Każda nowa kampania używa segmentu ze znanym źródłem, nie pełnego eksportu „wszyscy z CRM”.
• Test wypisu: wypisz siebie z maila i potwierdź, że system realnie przestaje wysyłać w ciągu jednego cyklu wysyłki.
• Nie kupuj baz. Nie dorzucaj maili z wizytówek do newslettera bez reguły.
• Bramka: potrafisz wskazać źródło dla losowych 10 adresów z listy marketingowej.

Umowy i podwykonawcy (kto jeszcze widzi dane)

• Wypisz dostawców, którzy widzą dane: hosting, CRM, mail, płatności, biuro rachunkowe, freelancersupport, narzędzia AI z wklejanymi treściami klientów.
• Dla każdego dostawcy zapisz: czy jest umowa powierzenia / DPA, region danych jeśli podany, kto w firmie ma konto admina.
• Freelancer z dostępem do skrzynki albo CRM ma start i koniec dostępu w kalendarzu, nie „zostawimy na wszelki wypadek”.
• Gdy zmieniasz CRM albo skrzynkę, stary system nie zostaje z pełną bazą „na backup wieczny” bez decyzji o retencji.
• Bramka: lista dostawców jest krótsza niż myślisz albo właśnie odkryłeś trzech zapomnianych.

Dostępy, hasła, urządzenia

• Konta z danymi klientów mają unikalne hasła i menedżer haseł, nie jeden wspólny login na Slacku.
• Włącz 2FA wszędzie, gdzie system na to pozwala (mail, CRM, hosting, ads).
• Osoba odchodząca z firmy traci dostęp tego samego dnia: skrzynka, CRM, dysk, social, AI.
• Laptopy i telefony z pocztą firmową mają blokadę ekranu i nie lądują w „trybie rodzinnego tabletu”.
• Eksporty CSV nie wiszą w pobranych plikach i na biurku w nieskończoność.
• Bramka: potrafisz w 15 minut odebrać dostęp byłemu współpracownikowi we wszystkich systemach z listy.

Prawa osób (wgląd, poprawa, usunięcie, sprzeciw)

• Masz skrzynkę albo adres do próśb o dane (może być ten sam co kontakt, ale ktoś musi czytać).
• Szablon: potwierdzenie przyjęcia prośby, lista systemów do sprawdzenia, termin odpowiedzi.
• Procedura usunięcia obejmuje CRM, listę mail, arkusze, backupy operacyjne jeśli realnie da się tam skasować albo ograniczyć.
• Prośba „usuń mnie” nie kończy się samym unsubscribe, jeśli osoba prosi o kasację konta klienta. Rozdziel marketing i umowę.
• Gdy trwa spór, faktura albo roszczenie, zapisz dlaczego część danych musi zostać i na jak długo.
• Bramka: umiesz obsłużyć prośbę bez paniki i bez 10 dni szukania „gdzie to w ogóle jest”.

Incydent (wyciek, zła wysyłka, zgubiony laptop)

• Masz definicję incydentu po ludzku: ktoś obcy zobaczył dane, wysłałeś mail do złej osoby z listą, skradziono odblokowany telefon z pocztą.
• Pierwsze 60 minut: odetnij dostęp, zmień hasła, nie kasuj logów zanim nie zapiszesz co się stało.
• Zapisz: co wyciekło, ile osób, czy to mail plus treść sprawy, czy tylko adres, kiedy się zaczęło.
• Masz zapisane, kogo wołasz (IT / prawnik / hosting) i że decyzję o zgłoszeniu do UODO oceniacie szybko, nie „kiedyś w piątek”.
• Po incydencie: co zmieniacie w procesie, żeby to się nie powtórzyło (jeden konkret, nie 20 haseł).
• Bramka: ćwiczenie stołowe raz na rok. Przejdźcie 15 minut fikcyjny scenariusz „wysłaliśmy CSV do złego maila”.

AI, automatyzacja i RODO (obowiązkowe w 2026)

• Wypisz narzędzia AI używane na danych klientów: chat publiczny, agent w firmie, transkrypcje, CRM z AI.
• Zasada domyślna: do publicznego chatu idzie treść bez imion, maili, numerów faktur i unikalnych szczegółów sprawy.
• Sprawdź ustawienia retencji i treningu modelu u dostawcy, jeśli wklejasz dane firmowe. Jeśli nie wiesz, traktuj jak wysokie ryzyko.
• Agenci i automatyzacje, które czytają skrzynkę albo CRM, mają właściciela, zakres i możliwość wyłączenia.
• Nie buduj „pamięci firmy” z pełną historią klientów w narzędziu, którego nie kontrolujesz umową i dostępami.
• Bramka: reguła w zespole na jednej stronie. Co wolno wkleić do AI, czego nie, kto zatwierdza wyjątki.

Plan 14 dni (domknięcie, nie perfekcja)

• Dzień 1 do 2: lista zbiorów i dostawców (sekcje inwentaryzacja + podwykonawcy).
• Dzień 3 do 5: polityka i teksty przy formularzach + test unsubscribe.
• Dzień 6 do 8: 2FA, odebranie starych dostępów, porządki w eksportach CSV.
• Dzień 9 do 11: reguła AI i szablon odpowiedzi na prośbę o dane.
• Dzień 12 do 14: ćwiczenie incydentu i lista 5 braków, które zostają z datą.
• Bramka ukończenia: masz listę zbiorów, działający wypis z maili, regułę AI i osobę odpowiedzialną. Reszta idzie w kolejkę, nie w zapomnienie.