CRM, чаты, мессенджеры и рассылки: как не потерять контроль над персональными данными

Форма сайта - только начало маршрута персональных данных. После отправки заявка часто попадает в CRM, чат, мессенджер менеджера, почтовый сервис, таблицу, сервис рассылок и систему подрядчика. Если этот маршрут не описан, владелец сайта может думать, что у него есть простая форма обратной связи, хотя фактически работает цепочка из нескольких обработчиков.

Эта статья дополняет материалы про согласия и формы, хостинг и локализацию и уведомление РКН. Главная задача - не запретить все сервисы, а понять, какие данные куда уходят и какие документы должны это отражать.

Карта маршрута заявки

Начните с простой схемы: пользователь отправляет форму, сайт принимает данные, затем они уходят в конкретные системы. Для каждой системы нужно понять роль: хранение, обработка, уведомление клиента, реклама, поддержка, аналитика или передача подрядчику.

Система	Что туда попадает	Что проверить
CRM	Контакты, статус сделки, комментарии менеджера	Место хранения, доступы, договор с поставщиком
Онлайн-чат	Имя, телефон, текст обращения, история диалога	Согласие рядом с формой и описание сервиса в политике
Мессенджер	Контакт, переписка, вложения	Не заменяет ли переписка нормальную карту обработки
Почтовый сервис	Адрес почты, имя, тема обращения	Кто является поставщиком и где обрабатываются данные
Рассылка	Почта, телефон, интересы, история сообщений	Отдельное согласие и понятная возможность отказаться

Рассылка должна быть отдельным выбором

Заявка на консультацию и подписка на рекламные сообщения - разные цели. Если пользователь оставил телефон для обратного звонка, это не означает автоматическое согласие на регулярные рекламные сообщения. В форме лучше разделить основное обращение и рассылку: отдельный чек-бокс, отдельная цель, без заранее установленной отметки.

Та же логика работает для мессенджеров. Если после заявки менеджер пишет пользователю в выбранный канал связи, это один сценарий. Если контакт добавляют в постоянную рекламную базу, это уже другой сценарий, который нужно оформлять отдельно.

Подрядчики и доступы

CRM, чат и рассылка обычно означают, что к данным получают доступ не только сотрудники владельца сайта. Важно проверить договоры, права доступа, сроки хранения, порядок удаления и то, как поставщик сообщает об инцидентах. В политике не нужно перечислять каждую техническую деталь, но пользователь должен понимать категории получателей и цели передачи.

Если сервис находится за пределами России или фактически передает данные иностранному получателю, дополнительно оценивается трансграничная передача. Само иностранное название сервиса еще не доказывает нарушение, но требует проверки маршрута и условий обработки.

Когда нужно обновлять уведомление РКН

Если у сайта появляется новая CRM, чат, рассылка, личный кабинет или иной регулярный процесс обработки данных, стоит сверить ранее поданное уведомление с фактической картой процессов. Несоответствие уведомления и реальной обработки - отдельный риск, особенно если меняются цели, категории данных, места хранения или подрядчики.

Мини-чек-лист

1. Отправьте тестовую заявку и проследите, где она появилась.
2. Составьте список систем: сайт, CRM, почта, чат, мессенджер, рассылка, таблица.
3. Разделите связь по заявке и рекламную рассылку.
4. Проверьте, описаны ли подрядчики и категории получателей в политике.
5. Сверьте фактический маршрут с уведомлением РКН.
6. Оцените, есть ли трансграничная передача.

Официальные источники

• Роскомнадзор: форма уведомления оператора.
• Роскомнадзор: трансграничная передача персональных данных.

Частые вопросы

Можно ли отправлять заявки из формы сразу в мессенджер?

Нужно оценить, какие данные передаются, кто получает доступ и отражен ли этот маршрут в документах. Сам канал связи не освобождает от проверки цели, согласия и получателей.

Достаточно ли написать в политике «используем CRM»?

Лучше описать категории данных, цели, тип получателя и общую роль сервиса. Одна общая фраза без связи с реальными процессами часто не помогает пользователю понять обработку.

Что делать, если рассылка уже подключена?

Проверьте, как собиралось согласие, есть ли отдельный отказ, какие контакты попали в базу и можно ли подтвердить источник подписки.