Klasyczny koszmar właściciela MŚP: kluczowy handlowiec po ośmiu latach składa wypowiedzenie, mówi że „idzie do konkurencji na trochę lepsze warunki" — i przez kolejne pół roku dziwnym trafem to właśnie tam trafiają Twoi klienci. Umowa o zakazie konkurencji jest, ale przez prawnika, który pisał ją w 2016 roku. Baza „jakoś tam" jest zabezpieczona. A i tak wiesz, że coś przeciekło.
To nie jest tekst o tym, jak zbudować enterprise DLP za pół miliona. To tekst o tym, co można zrobić w firmie 15-osobowej, w piątek po południu, żeby ryzyko nie było otwartą raną. Nic z tego nie da Ci 100% ochrony. Wszystko razem robi ogromną różnicę.
Zaczynijmy od najważniejszej rzeczy: nie zatrzymasz zdeterminowanego człowieka, który zna Twoich klientów po imieniu. Handlowiec, który przez pięć lat pił z nimi kawę, nie potrzebuje wyciągać Excela — ma to wszystko w głowie. Cała reszta tego tekstu jest o tym, żeby nie zabrał dodatkowo pełnej dokumentacji Twojego biznesu w pliku CSV.
Umowa, która ma zęby
Zaskakująco dużo firm ma z handlowcami umowy, w których „zakaz konkurencji" to trzy zdania bez konsekwencji. Ktoś kiedyś skopiował z internetu wzór, przyklepał u prawnika za 300 zł i zapomniał. To papier bez zębów.
Rzeczy, które faktycznie działają w polskich realiach:
- Klauzula o zakazie konkurencji po ustaniu stosunku pracy z konkretnym odszkodowaniem (kodeks pracy wymaga wynagrodzenia — bez tego klauzula jest po prostu nieważna). Realny okres to 6–12 miesięcy, na dłuższy nikt Ci nie podpisze.
- Klauzula o zakazie pozyskiwania klientów firmy (tzw. non-solicitation) — osobno od zakazu konkurencji, dotyczy konkretnie kontaktowania się z klientami z listy.
- Zdefiniowana „baza danych klientów" jako tajemnica przedsiębiorstwa w rozumieniu ustawy o zwalczaniu nieuczciwej konkurencji. Bez tego trudno cokolwiek egzekwować w sądzie — bo formalnie „każdy handlowiec zna swoich klientów".
- Kary umowne wpisane liczbowo. Sąd i tak może je miarkować, ale zapisana kwota rzędu 30–100 tys. zł działa psychologicznie zupełnie inaczej niż „na drodze cywilnej dochodzenia roszczeń".
Zerknij na umowy, które masz teraz podpisane. Jeśli od ostatniego przeglądu minęło 5+ lat i klauzula ma jeden akapit — nie jest umową, jest ozdobą.
Techniczne minimum, które można wprowadzić w tydzień
Bez enterprise DLP, bez inwestycji w SIEM, w firmie 15-osobowej można w tydzień zamknąć 80% typowych dróg wycieku. Bazując na typowym stacku (Comarch Optima albo enova365, Microsoft 365, jakiś CRM):
- Ogranicz eksporty do Excela z ERP/CRM. W Comarch Optima każdy operator może zwykle eksportować całe kartoteki. Ustaw uprawnienia tak, żeby eksport pełnej listy kontrahentów wymagał osobnego uprawnienia — a nie był domyślnie włączony dla każdego handlowca. Handlowiec ma widzieć swój zakres, nie całą bazę.
- Zablokuj masowe pobieranie z CRM. Większość CRM-ów (HubSpot, Pipedrive, także moduł CRM w Optimie) ma limity API i logi eksportu. Włącz je. To nie zatrzyma jednego eksportu, ale kolejne 40 pobrań w tydzień wygeneruje ślad.
- Wyłącz automatyczną synchronizację kontaktów Outlook/Teams z prywatnym telefonem. Ludzie o tym zapominają. Kontakty z firmowej skrzynki lądują na prywatnym iCloud i nikt nie wie kiedy.
- Zablokuj automatyczne przekierowania e-mail poza domenę. W Microsoft 365 to jedna opcja w Exchange, jedna transport rule, 5 minut. Skutek: nikt nie ustawi sobie „wszystko z klient@ przekazuj na mojprywatny@gmail".
- Zdefiniuj, które foldery SharePoint/OneDrive są „krytyczne" i włącz na nich alerty o masowym pobieraniu (Microsoft 365 ma to w E3/Business Premium). „Masowe" to np. >100 plików w godzinę.
U jednego z naszych klientów — 18-osobowa firma z branży opakowań, Comarch Optima + własny CRM — kluczowy handlowiec w ciągu 3 tygodni przed odejściem wyeksportował z Optimy 4 200 kontaktów w kolejnych partiach po ~150 rekordów, żeby nie rzucało się w oczy. Nikt tego nie zauważył. Dopiero po 4 miesiącach, gdy nowa firma zaczęła zapraszać dokładnie tych samych ludzi na spotkania, klient poprosił nas o przejrzenie logów. Były tam wszystkie. Utracony przychód w kolejnych 6 miesiącach oszacowaliśmy z klientem na ~340 tys. zł. Gdyby alerty o eksportach były włączone od początku — prawdopodobnie dowiedzieliby się w tygodniu 2, nie w miesiącu 4.
Sygnały ostrzegawcze, na które warto patrzeć
Nie chodzi o inwigilację. Chodzi o kilka wzorców, które w praktyce prawie zawsze poprzedzają odejście z bazą:
- Nagły wzrost eksportów z CRM/ERP — szczególnie „lista wszystkich klientów", „wszystkie oferty z ostatnich 12 miesięcy", „cennik".
- Podłączenie prywatnego pendrive'a albo dysku zewnętrznego (endpoint protection to loguje).
- Kopiowanie folderów z SharePointa na komputer lokalny w ilościach nietypowych dla dotychczasowego wzorca użytkowania.
- Wysyłanie sobie samemu maili z załącznikami na prywatne skrzynki (SPF/DMARC i logi Exchange to widzą).
- Nagły spadek aktywności sprzedażowej (brak nowych ofert, brak spotkań) przy „normalnej" obecności w pracy — klasyczne „już mentalnie odszedł".
Żaden z tych sygnałów pojedynczo nic nie znaczy. Ale gdy trzy z nich zbiegają się w czasie u tego samego pracownika — to jest sygnał do rozmowy z prawnikiem, nie do paniki na open space'ie.
Dzień odejścia — nudna, twarda procedura
Ostatni dzień pracy nie może być improwizacją. Standardowa procedura, którą warto mieć spisaną:
- Cofnięcie dostępów w tej samej godzinie, w której podpisywane jest oświadczenie. Nie „w poniedziałek jak wróci klucz". Konta w M365, VPN, ERP, CRM, SharePoint — wszystko w jednym okienku 30 minut.
- Zwrot laptopa i telefonu przed wyjściem z biura, nie „prześlemy kurierem". Sprawdzenie, czy urządzenie nie zostało zresetowane do ustawień fabrycznych.
- Archiwizacja skrzynki e-mail i przekierowanie na inną osobę na 90 dni (przypilnuje domykających się spraw i pozwoli zobaczyć, kto pisze).
- Wyciąg z logów aktywności za ostatnie 3 miesiące — zapisany, na wypadek gdyby za 2 miesiące trzeba było go pokazać prawnikowi.
- Krótki mail od zarządu do klientów tej osoby: „X już z nami nie pracuje, opiekunem został Y". Zwykłe zdanie, ale zamyka spory typu „ale ja rozmawiałem z X i on mówił".
To brzmi bezosobowo. Ma być. Procedura chroni obie strony — pracownika też, bo nie ma sporów o to, „co zabrał".
Co robić, gdy się już stało
Załóżmy, że jest za późno. Wyszedł, klienci masowo dziwnie „przypominają sobie" innego dostawcę. Co realnie można zrobić:
- Zabezpiecz dowody. Logi ERP, CRM, Exchange, endpointów — natychmiast wyciągnij i zapisz w osobnym miejscu. Standardowe retencje to 30–90 dni; jak przespycz to, nic już nie udowodnisz.
- Skorzystaj z prawnika, który to robił. Nie ten sam, który pisze umowy najmu. Konkretnie: sprawy z zakresu ustawy o zwalczaniu nieuczciwej konkurencji (art. 11 i 12). Poproś o list ostrzegawczy do byłego pracownika i do nowego pracodawcy — sam list często załatwia 60% spraw.
- Nie kontaktuj się z klientami z pretensjami. To najgorszy pomysł. Klient nie odchodzi bo Cię nie lubi — odchodzi, bo ma relację z konkretnym człowiekiem. Naprawa relacji to osobny temat, ale zaczyna się od bycia profesjonalnym, nie roszczeniowym.
- Zrób lekcję na przyszłość. Nie zwalniaj IT za to, że „nie zablokowali". Zwalniaj procedurę, której nie było. Wpisz do onboardingu każdego nowego handlowca odpowiednie klauzule, uporządkuj uprawnienia, włącz alerty. Za rok będziesz w innej pozycji.
Nic z tego nie zwraca utraconego przychodu. Ale wszystko razem zamienia „nas okradli" w „mamy politykę i egzekwujemy ją". To dwie zupełnie różne sytuacje przed sądem — i przed kolejnym handlowcem, który przyjdzie na rozmowę.
Jeśli chcesz zrobić szybki przegląd swoich obecnych zabezpieczeń — umów bezpłatną, 30-minutową rozmowę. Pokażemy Ci na Twojej konfiguracji, gdzie są największe dziury i co da się załatać w tym tygodniu.
Nie zatrzymasz człowieka, który zna Twoich klientów po imieniu. Ale możesz sprawić, żeby nie wyszedł dodatkowo z pełną dokumentacją Twojego biznesu w Excelu.