数字营销过程中的若干法律问题探究——以CRM系统为例（上篇）

在数字化时代背景下，企业的数字化营销如火如荼。近两年来，新冠肺炎疫情的影响进一步迫使众多企业加快了数字营销的步伐。数据显示，2021年数字营销在我国保持了22%的高速增长，占整体营销费用的比例高达52%，在调查中，有83%的企业表示2022年将进一步增加数字营销预算。[1]就数字营销而言，小程序、社交媒体、短视频、直播间等新媒体新消费渠道的变革，以及移动互联网、企业办公软件、工业互联网等技术发展导致数据的骤增提高了企业数字营销管理的难度，通过使用软件工具对数字营销进行管理成为越来越多的企业的选择。在众多软件工具中CRM（Customer Relationship Management）系统作为以管理客户数据为核心的软件，是企业数字营销重要的工具之一。目前传统CRM市场仍占据60%以上的市场份额，相比之下移动化、社交化的CRM市场仅有10%的占有率，与发达的美国市场超过50%的渗透率相比还有很大提升空间[2]。本文将围绕CRM系统对企业数字营销过程中的法律问题进行探讨。

企业数字营销涉及数字化平台的搭建、系统供应商的更换以及数字化平台后续的使用和运营，企业需注意其中涉及的法律问题。以CRM系统为例，企业通过CRM系统对数字营销进行管理时，在系统搭建阶段，企业可能需要与软硬件供应商进行合作，应注意供应商的选择以及与供应商主体之间的协议安排等问题；CRM系统搭建完毕之后，企业后续如需更换系统供应商，应注意系统供应商更换过程中的法律问题；就数字营销数字化平台后续的使用和运营，企业将需要注意如许可证照、数据合规以及内容合规等要求。

本文分为上下两篇，上篇主要探讨数字营销数字化平台系统搭建过程中以及系统供应商更换过程中的法律问题，下篇主要探讨数字营销数字化平台系统运营中的法律问题，此为上篇。

根据企业自身IT能力的不同，企业在搭建数字营销相关数字化平台时，可能选择自行开发或者委托外部供应商开发。大部分企业受自身IT能力的限制，需要将数字化平台的开发工作外包给外部供应商。以CRM系统为例，一般而言，CRM系统根据部署方式的不同可分为SaaS型CRM系统和传统本地部署型CRM系统，实践中，根据企业对系统部署方式的不同需求，企业也可能采用部分SaaS、部分本地部署的混合部署模式的CRM系统。在构建CRM系统时，如果企业选择外部供应商，CRM系统部署方式的不同，企业需注意的法律问题不同。本文将对使用SaaS型CRM系统和传统本地部署型CRM系统需注意的法律问题进行分析，对采用混合部署模式的CRM系统的企业而言，其需同时注意SaaS部署和传统本地部署系统中的法律问题。

1.选择使用SaaS型CRM系统需注意的法律问题

选择SaaS型CRM系统的企业不需要购买服务器等硬件设施，相关软件安装在CRM系统供应商自有的云服务器上，企业只需要购买账户，通过网络登录就能够在线使用系统功能。由于不需要准备服务器等硬件设施，初期投入费用较低，SaaS型CRM系统正成为越来越多中小型企业的选择。伴随疫情下远程办公与移动用户需求的增长，我国SaaS型CRM系统的使用比例正在逐步增加。一般而言，选用SaaS型CRM系统的企业与供应商之间的协议安排多为软件许可，且企业获得的软件许可多为目标代码层面的许可，这意味着企业如使用SaaS型CRM系统，其难以对该系统的源代码进行修改进而变更或拓展CRM系统的功能。选择SaaS型CRM系统供应商需注意数据安全问题以及供应商许可证照的问题。

（1）数据安全问题

因使用SaaS型CRM系统，企业数据、尤其是企业收集的客户数据，将存储于供应商的服务器，企业应对数据安全问题予以关注。具体而言，企业应注意以下事项：

首先是在选择SaaS型CRM系统供应商之前，企业应对供应商系统的数据安全问题进行评估尽调。企业的客户数据等对企业而言具有较高的商业价值，甚至可能构成企业的商业秘密。在使用供应商的SaaS型CRM系统存储或管理客户数据前，企业应对供应商系统的数据安全问题进行评估尽调，确认供应商提供的系统是否满足企业的数据安全要求。对一些如金融、医疗等特殊行业的企业而言，其数据可能涉及特殊类型的数据，对该些数据可能有特定的行业标准的要求。以金融行业为例，针对金融行业的数据，我国目前出台了诸多行业标准，如《金融数据安全 数据生命周期安全规范》《个人金融信息保护技术规范》等。如企业系从事金融服务的企业，且其上传至SaaS型CRM系统的数据涉及金融数据，则企业在对供应商的系统进行数据安全尽调时，应注意评估该系统是否达到了金融行业相关的数据安全行业标准。

其次是在选定供应商之后，企业应注意与供应商之间关于数据的协议安排。在与SaaS型CRM系统供应商之间的协议中，企业应注意：（1）明确数据权益及授权。我国目前暂无法律法规对数据所有权的归属进行明确规定，鉴于企业的客户数据等对企业而言具有较高的商业价值，为避免企业数据存储于SaaS型CRM系统期间出现权益不明的问题，企业可以考虑在与系统供应商的协议中明确数据权益归企业所有。部分系统供应商可能会有基于企业的原始数据开发大数据产品的商业需求，因此可能会在与企业的协议中加入数据授权相关条款，企业应对该些条款予以注意。此外，企业与企业的客户之间的协议可能会有关于数据的安排，在与供应商的协议中，企业应对与其客户之间关于数据的安排予以考虑，避免企业与供应商的协议和企业与其客户之间的协议产生冲突；（2）落实数据安全责任。企业可在与SaaS型CRM系统供应商的协议中，要求供应商对数据安全问题进行陈述与保证，明确当出现数据安全问题时，供应商应当承担的责任。

（2）许可证照问题

企业使用SaaS型CRM系统存在两重法律关系，一重为SaaS型系统供应商向企业提供软件等服务，另一重为企业使用CRM系统和/或其集成的其他对外系统为企业的客户提供服务。在第二重关系中，对企业使用CRM系统等为客户提供服务是否需取得相关证照的问题，详见本文下篇中的分析。

对SaaS型系统供应商向企业提供软件等服务是否需取得相关许可证照的问题，以电信牌照为例，一般而言，SaaS型CRM系统供应商仅为客户提供纯SaaS产品软件服务，软件服务本身并不属于增值电信业务服务的范畴，无需取得增值电信业务经营许可证。但是在实践中，一些提供综合服务的SaaS型CRM系统供应商可能在软件服务之外，向企业额外提供信息服务等，若其提供的信息服务等落入了增值电信业务服务的范围，则系统供应商需取得相应的增值电信业务经营许可证。企业在选用该类综合型SaaS型CRM系统供应商时，需注意对供应商的电信牌照进行审核。

对外资企业而言，基于集团统一管理的需要，中国子公司通常会选用与国外总部统一的CRM系统供应商，该些系统供应商很有可能并非中国的本土企业，如果其提供的CRM系统涉及提供增值电信业务，从合规角度而言，该些系统供应商应取得相应的增值电信业务经营许可证。由于目前我国增值电信业务经营许可证的颁发仍然存在外资限制，外资系统供应商在中国可能不能取得部分增值电信业务的许可证，其在中国提供增值电信业务服务可能将受到限制。实践中，部分外资系统供应商可能选择与有证照的第三方进行合作的方式以达到合规要求，部分外资系统供应商尤其是中小型供应商可能不具有相关证照但仍然开展相关业务。外资企业在选用外资系统供应商时，应结合使用的CRM系统的功能（如是否涉及增值电信业务服务）对供应商是否具有相应的许可证照进行审核。

2.选择使用传统本地部署型CRM系统需注意的法律问题

与SaaS型CRM系统不同，传统本地部署型CRM系统将在企业自己的服务器中运行，相关数据亦将存储于企业自己的服务器中，传统本地部署型CRM系统具有更高的安全性，能使企业拥有更多的自主权。使用传统本地部署型CRM系统，企业前期需购买物理服务器或租用云服务器等自行搭建IT基础架构，后期需要持续的运维服务，相较于SaaS型CRM系统而言，企业投入成本较高，一般而言，选用传统本地部署型CRM系统的多为大中型企业。

（1）外包过程中的知识产权问题

鉴于CRM系统与企业的对内和对外管理均息息相关，对于选用传统本地部署型CRM系统的企业而言，其更需要贴合内部管理和具体业务场景的产品和服务，从而对CRM系统软件有定制化的需求。在软件定制化场景下，企业与CRM系统供应商之间可能涉及软件的委托开发，其中尤其应当注意定制开发系统的知识产权和相关代码等技术资料的归属。

委托开发场景涉及两部分的知识产权，一部分为在相关协议签署前协议双方拥有的、对委托开发项目有用或必要的知识产权，该部分知识产权称为背景知识产权；另一部分为在委托开发过程中产生的与委托项目有关的知识产权，如委托开发过程中新产生的代码、设计等，该部分知识产权称为前景知识产权。一般情况下，供应商应就CRM系统涉及的背景知识产权，授予企业一项许可，以使企业能使用和处置CRM系统。对CRM系统中涉及的前景知识产权，协议双方应就其归属问题进行协商，如在协议中明确，前景知识产权归企业所有等。

因对定制化CRM系统而言，企业后续对其进行修改（如增加功能模块）或者再开发的需求通常较高，可能需要获得相关软件的源代码。因此对定制化CRM系统的背景知识产权，企业需要获得源代码层面的许可；对前景知识产权，若前景知识产权归系统供应商所有，则与背景知识产权相同，企业需获得前景知识产权源代码层面的许可。若前景知识产权归企业所有或企业与系统供应商共有，则企业需注意在协议中明确要求系统供应商交付前景知识产权相关的源代码。

（2）其他软硬件服务采购问题

对使用传统本地部署型CRM系统的企业而言，因CRM系统供应商通常仅提供软件等技术服务，供应商无需因提供软件技术服务取得增值电信业务经营许可证，CRM系统供应商向企业提供传统本地部署型CRM系统一般不涉及许可证照的问题。

除了系统软件之外，使用传统本地部署型CRM系统的企业还可能要求CRM系统供应商提供其他服务，如在企业内部有相关技术人员负责传统本地部署型CRM系统的运行和维护事宜的情况下，企业可能需要供应商对前述技术人员提供技术支持和技术培训；在企业内部没有相关技术人员的情况下，企业可能需要供应商提供系统运行和维护服务，对该些事宜，企业可能需要在与供应商之间的协议中一并明确。在构建传统本地部署型CRM系统时，除了软件之外，企业可能还需要购买物理服务器或租用云服务器以搭建IT基础架构，应注意与相关供应商之间的协议安排。

除搭建数字营销相关数字化平台之外，在日趋竞争的大环境下，企业终止或更换供应商的需求也日渐增加，因此产生的法律纠纷屡见不鲜。以CRM系统为例，更换系统供应商的问题主要体现在企业将传统本地部署型CRM系统的运维服务工作外包，或者使用SaaS型CRM系统的情形，即使用传统本地部署型CRM系统的企业后续需更换运维服务商，或使用SaaS型CRM系统的企业后续需更换系统服务商。更换相关供应商需注意以下问题。

1.更换供应商前的准备工作

在更换系统供应商之前，企业应注意盘点和梳理与供应商合作过程中的各种事项，包括结合与供应商之间的合同条款对合作中产生的经营类和技术类文件、数据、知识产权等进行全面梳理等。企业应尤其注意梳理与系统平台后续运营息息相关的事项，在终止与供应商的合作前，尽量掌握前述事项的具体信息和资料，以保证系统平台对外运营的持续性。在必要情况下，企业可对前述事项进行详细的尽职调查。

在终止与原系统供应商的合作前，尤其是对缺乏IT能力的企业而言，新供应商的确定尤为重要。对更换传统本地部署型系统的运维服务商的企业而言，新供应商可以为企业的系统运维提供技术支持，减小终止合作对系统的正常运行产生的影响；对更换SaaS型系统供应商的企业而言，新供应商可以协助企业提前准备系统迁移所需的信息和资料。

2.就终止和更换事宜进行磋商

更换平台系统供应商涉及终止与原供应商之间的协议。一般而言，此类协议普遍采用供应商提供初稿版本，较多采取固定期限的安排，如无法定终止事由或双方协商一致提前终止协议，企业因商业或技术等原因单方终止的场景较为有限。

在实践中，企业可能因服务需求变化或对供应商的服务不满意等原因，需更换相关供应商，拟提前终止与供应商之间的协议。如企业提前终止协议的理由不能构成合同约定或法定终止事由，且未能与供应商就协议终止事宜达成一致，企业可能难以单方要求终止协议。考虑到系统供应商的更换不仅涉及到协议终止的问题，更换系统还需供应商配合完成系统的各项交接工作，因此，企业在终止与供应商之间的协议时，应与供应商友好协商，避免因协议终止处理不当导致供应商对系统的后续交接设置障碍。此外，与原供应商之间的协议终止洽谈进度对于与新供应商之间的合同签署与衔接也颇为关键。

3.更换过程中的交接安排

CRM等数字营销平台涉及企业的对外日常经营，因此，无论是终止还是更换供应商，均应保证在对外“无感”的前提下开展工作，其中对于已签署协议的终止、清算以及过渡期间的安排便尤为重要。

对使用传统本地部署型系统的企业而言，如企业委托同一供应商同时提供系统软件开发以及软件的运维服务，因企业数字化平台较为详细的技术和运维资料为供应商所掌握，为避免更换供应商对企业数字营销数字化平台的正常运行产生影响，在更换供应商时，企业应注意以下事项，并尽量就以下事项与供应商达成协议：（1）要求供应商向企业交还数字营销平台相关的所有技术、运营等资料。技术资料包括但不限于与数字营销平台相关的源代码、文档、接口数据、平台功能清单和介绍等；运营数据包括但不限于平台运营的历史记录、平台账户和密码信息等；（2）在企业确定好继任供应商后，要求原供应商与继任供应商进行合作，完成服务交接工作。企业可考虑要求原供应商向继任供应商提供项目背景介绍、系统培训等，以确保继任供应商交接工作的顺利进行；（3）如在双方合作终止后，企业无法立即完成交接事宜，企业可与供应商协商过渡期，要求供应商在过渡期内继续提供服务。过渡期内，企业可以考虑继续向供应商支付适当费用。

除前述事项之外，对使用SaaS型系统的企业而言，因企业数据存储在服务商的服务器中，企业在更换供应商时，应注意要求供应商配合企业完成数据归还、系统迁移等交接工作，企业数据可能涉及商业机密的，在数据交接工作完成后，应注意要求供应商删除并销毁存储于供应商服务器中数据。

转载声明：好文共赏，如需转载，请直接在公众号后台或下方留言区留言获取授权。

封面图源：问题少年002·杜飞辰

责任编辑：赵天园

我知道你  在看  哦