Владелец магазина — оператор персональных данных своих покупателей по закону № 152-ФЗ «О персональных данных». BOTFARM обрабатывает эти данные по его поручению. Когда вы включаете интеграцию, данные уходят дальше: в Альбато и в сервисы, которые вы к нему подключите. За всю эту цепочку отвечает владелец магазина.
Что уходит из магазина
Вместе с событиями Альбато получает:
- имя, телефон, адрес доставки и состав заказа покупателя — в событиях заказов;
- данные клиента — в событиях создания и изменения клиента;
- текст переписки в Telegram или MAX — если включено событие «Входящее сообщение»;
- имена и графики сотрудников — в событиях исполнителей и записей на услуги.
Через API-токен сценарий может читать те же данные целиком: заказы, клиентов, записи.
Что нужно сделать до включения
- Проверьте политику конфиденциальности и согласие покупателя в вашем магазине. В них должна быть предусмотрена передача данных третьим лицам для исполнения заказа и работы подключенных сервисов.
- Заключите с Альбато соглашение об обработке персональных данных по вашему поручению (ст. 6 ч. 3 закона № 152-ФЗ). Убедитесь, что у каждого сервиса в цепочке — CRM, таблицы, мессенджеры — есть основание получать данные.
- Если в связке участвует иностранный сервис, например Google Таблицы, это трансграничная передача. О ней нужно уведомить Роскомнадзор до начала передачи (ст. 12 закона № 152-ФЗ), а первичный сбор данных покупателей должен оставаться в базе на территории России (ст. 18 ч. 5).
- Если вы еще не подавали в Роскомнадзор уведомление об обработке персональных данных (ст. 22 закона № 152-ФЗ), сделайте это до начала работы с покупателями.
Как снизить риски
- Отмечайте только события, которые нужны сценарию. Не включайте «Входящее сообщение», если связка не работает с перепиской.
- Выпускайте токены с минимальными правами и отзывайте те, что больше не используются.
- Не передавайте через интеграцию сведения о здоровье, биометрию и другие специальные категории данных. Если клиенты пишут о таком в чат, для обработки нужно отдельное письменное согласие (ст. 10 закона № 152-ФЗ), а передача в сторонние сервисы без него недопустима.
- Журнал доставок хранит последние 20 событий вместе с их содержимым. Открывайте вкладку «Альбато» только сотрудникам, которым она нужна для работы.
- При отключении услуги проверьте, что данные, уже переданные в Альбато и подключенные сервисы, удалены или хранятся на законном основании: отключение интеграции их не удаляет.
Ответственность
BOTFARM не проверяет наличие у владельца магазина оснований для передачи данных и не отвечает за обработку в Альбато и подключенных к нему сервисах. Ответственность за нарушение порядка обработки персональных данных несет оператор — владелец магазина (ст. 13.11 КоАП РФ).