CRM по определению хранит данные о клиентах — имена, телефоны, почты, реквизиты. А значит, на неё распространяется закон №152-ФЗ «О персональных данных». Разберём на практическом уровне, что это означает для бизнеса и на что обращать внимание при выборе системы.
Это обзорный материал, а не юридическая консультация. По конкретным требованиям к вашей компании стоит обратиться к профильному юристу.
Что считается персональными данными
Персональные данные (ПДн) — это любая информация, относящаяся к конкретному человеку. В контексте CRM это, например:
- ФИО контактного лица;
- телефон и адрес электронной почты;
- должность и место работы;
- иногда — реквизиты, по которым можно идентифицировать человека.
Если вы храните такие данные о клиентах и сотрудниках клиентов, вы становитесь оператором персональных данных со всеми вытекающими обязанностями.
Ключевые требования закона
В упрощённом виде бизнесу важно помнить про несколько вещей:
- Согласие и цель. Данные собираются для конкретной цели, а не «про запас».
- Хранение. Существуют требования к тому, где и как хранятся данные россиян.
- Защита. Оператор обязан защищать данные от утечек и несанкционированного доступа.
- Трансграничная передача. Передача данных за рубеж ограничена и требует законных оснований.
Последний пункт особенно важен, если CRM использует облачный искусственный интеллект.
CRM и облачный ИИ: в чём риск
Многие современные CRM используют ИИ для разбора писем, извлечения данных и подсказок. Если запросы уходят в зарубежные облачные модели «как есть», вместе с ними за границу уезжают и персональные данные клиентов — а это и есть та самая трансграничная передача, которую закон ограничивает.
Как это решается правильно
- Обезличивание. Перед отправкой во внешнюю модель имена, почты, телефоны и реквизиты заменяются на обезличенные метки, а после ответа восстанавливаются. Модель работает с текстом, но не видит реальных персональных данных.
- Чувствительные операции — на российских мощностях. Часть задач можно выполнять без передачи данных за рубеж.
- Изоляция данных между клиентами. В мультиарендной системе данные одной организации не должны быть доступны другой даже технически.
На что смотреть при выборе CRM
| Критерий | Зачем |
|---|---|
| Обезличивание ПДн перед облачным ИИ | Снижает риск трансграничной передачи |
| Изоляция данных между организациями | Защита от доступа чужих пользователей |
| Шифрование чувствительных данных | Защита при утечке |
| Прозрачность по хранению | Понимать, где лежат данные |
Итог
Работа с CRM почти всегда означает работу с персональными данными, а значит — ответственность по 152-ФЗ. При выборе системы важно понимать, как она хранит данные и что происходит с ними при использовании ИИ. Хороший подход — обезличивание перед облачными моделями и изоляция данных между клиентами. Как это устроено в Alfa-CRM, описано в разделе возможностей про безопасность.