Программы и автоматизация
Персональные данные клиентов СТО: сайт, звонки и программа учёта
Составьте карту данных автосервиса: формы сайта, звонки, заказ-наряды и CRM. Проверьте уведомление, права доступа, сроки хранения и согласия на рекламу.
Схема к статье · можно увеличить
Автосервис обычно хранит имя и телефон клиента, государственный номер, VIN, историю ремонтов, фотографии автомобиля и переписку. По отдельности часть этих сведений кажется технической, но вместе они позволяют связать автомобиль с конкретным человеком. Значит, СТО должна понимать, какие данные собирает, зачем, где хранит и кому передает.
Начните не с формы согласия, а с карты данных
Составьте таблицу всех точек сбора:
- форма записи на сайте;
- телефон и мессенджер;
- заказ-наряд и приемо-сдаточный акт;
- CRM или программа учета;
- видеонаблюдение и фотофиксация автомобиля;
- облачная телефония, рассылка и аналитика сайта;
- данные сотрудников и кандидатов.
Для каждой точки укажите цель, состав сведений, правовое основание, срок хранения, ответственного сотрудника и внешнего подрядчика. Такой реестр быстро обнаруживает лишние данные. Например, дата рождения клиента редко нужна для обычной замены масла.
Уведомление Роскомнадзора
Статья 22 закона № 152-ФЗ обязывает оператора уведомить уполномоченный орган до начала обработки персональных данных, кроме ограниченных исключений. Одно из исключений относится к обработке исключительно без средств автоматизации. Для современной СТО с сайтом, CRM, электронной почтой или облачной телефонией рассчитывать на это исключение обычно нельзя без отдельной проверки.
Нужно сверить фактические процессы со сведениями в реестре операторов: цели, категории данных, способы обработки, место нахождения баз, подрядчики и меры защиты. Если процессы изменились, уведомление актуализируют.
Что должно быть на сайте и внутри компании
- опубликованная политика обработки персональных данных;
- понятные тексты под формами записи и обратной связи;
- отдельное основание для рекламной рассылки;
- назначенный ответственный;
- правила доступа сотрудников к CRM;
- порядок выдачи, исправления и удаления данных;
- резервное копирование и журнал действий пользователей;
- договорные условия с подрядчиками, которые получают данные клиентов.
Для каждой цели определяют своё правовое основание: согласие требуется не для любой операции с данными. Например, выполнение договора и рекламная рассылка не должны смешиваться в одной неразличимой цели. Цели ремонта, обратного звонка, напоминания о ТО и рекламной рассылки различаются. В программе их полезно хранить раздельно.
Практический минимум на одну неделю
- Найдите организацию или ИП в реестре операторов Роскомнадзора.
- Сравните уведомление с реальными системами и подрядчиками.
- Уберите из форм необязательные поля.
- Закройте общие учетные записи сотрудников.
- Включите разграничение прав и журнал изменений.
- Проверьте резервные копии восстановлением, а не наличием файла.
- Назначьте срок хранения старых заявок и правило удаления.
Штрафы по статье 13.11 КоАП зависят от состава нарушения и могут быть существенными. Главная защита СТО — не папка с шаблонами, а совпадение документов с тем, как данные действительно проходят через сайт, телефонию, мессенджеры и программу.
Как может выглядеть карта данных СТО
| Процесс | Что записать в реестр |
|---|---|
| Обратный звонок | Какие контакты нужны, кто видит заявку и когда её удаляют |
| Исполнение заказа | Документы, основание обработки и сроки по обязанностям сервиса |
| Запись звонка | Цель записи, уведомление клиента, доступ и срок хранения |
| Рекламная рассылка | Подтверждение предварительного согласия и способ отказа |
| Фото ремонта | Где хранятся исходники и как убирают идентифицирующие данные из публикации |
Отделите обслуживание заказа от рекламы
Сообщение о готовности уже принятого автомобиля и предложение новой платной услуги имеют разную задачу. Для рекламных сообщений по сетям электросвязи нужно предварительное согласие адресата; его наличие должен подтвердить распространитель. Это предусмотрено статьёй 18 закона о рекламе. Сам факт прошлого ремонта не даёт такого согласия. Храните дату, текст и способ подтверждения, а также отказ от рассылки.
Что проверить при подключении IT-системы
Попросите показать права приёмщика, механика и руководителя на одних и тех же данных. Проверьте отключение уволенного сотрудника, выгрузку истории, восстановление резервной копии и удаление записи по установленному порядку. Уточните размещение баз, обработку подрядчиками и передачу данных за границу, если она возникает.
Внедряя управление заказами или аналитику звонков, согласуйте эти параметры заранее. Юрист определяет основания и документы, техническая команда настраивает соответствующий процесс. Покупка программы не заменяет обязанности оператора данных.
Вопросы по теме
Нужно ли СТО с CRM уведомлять Роскомнадзор?
Общее правило статьи 22 — уведомление до начала обработки. Исключений немного; использование сайта и CRM обычно не соответствует исключению для исключительно неавтоматизированной обработки. Конкретную ситуацию проверяют по фактическим процессам.
Можно ли отправлять рекламу всем, кто когда-либо ремонтировался?
Сам факт ремонта не подтверждает согласие на рекламу. Для рассылки нужно предварительное согласие и возможность доказать его получение.
Достаточно ли разместить политику на сайте?
Нет. Доступы, подрядчики, сроки хранения и действия сотрудников должны соответствовать документам. Отдельно проверяют фактическую защиту данных.
