Что нужно сделать клиенту
Если вы через ЭТОЧАТБОТ принимаете заявки, храните переписку или отправляете сообщения своим клиентам, вы определяете цели обработки их персональных данных. Для обычного бизнеса с автоматизацией уведомление Роскомнадзора, как правило, требуется, даже когда база размещена у SaaS-сервиса.
- Уведомление РКН: описывает обработку вашим ИП или организацией и используемые базы данных.
- Ваша политика: объясняет людям, какие данные вы собираете, зачем, на какой срок и кому поручаете обработку.
- Поручение обработки — DPA: определяет инструкции и обязанности ЭТОЧАТБОТА.
- Согласия: оформляются и сохраняются, когда они нужны для обработки и её поручения.
Эти документы выполняют разные задачи. Регистрация сервиса в реестре РКН не заменяет уведомление, которое подаёт ваш ИП или организация. Общие правила уведомления установлены статьёй 22 Закона № 152-ФЗ.
1. Кто отвечает за переписку
- Вы, клиент сервиса: оператор персональных данных людей, которые общаются с вашими подключёнными ботами и аккаунтами.
- ИП Киселев Дмитрий Юрьевич, ЭТОЧАТБОТ: обрабатывает данные этих людей по вашему поручению на условиях DPA.
- Ваш аккаунт в сервисе и расчёты с нами: эти данные ЭТОЧАТБОТ обрабатывает для собственных целей, описанных в политике сервиса.
Обработка включает получение, хранение и показ переписки, работу с вложениями и отправку ответов. Технический доступ Исполнителя к переписке также относится к обработке и должен ограничиваться согласованными целями, включая оказание услуг, поддержку и безопасность. Обработку по поручению следует отразить в ваших документах.
Вы сохраняете ответственность перед субъектами данных; у Исполнителя есть собственные обязанности по закону и договору. Основание: части 3–5 статьи 6 Закона № 152-ФЗ.
2. Нужно ли подавать новое уведомление РКН
- Ещё не подавали: общее правило — уведомить до начала обработки. Исключения перечислены в части 2 статьи 22; размещение базы у SaaS-сервиса само по себе исключением не является.
- Уже есть в реестре: сравните уведомление с планируемой обработкой. Новые цели, категории данных, операции или места размещения баз могут потребовать внесения изменений.
- Сведения изменились: сообщите об изменениях не позднее 15-го числа следующего месяца. Само подключение подписки не требует повторного первоначального уведомления, если заявленные сведения не меняются.
Используйте официальный портал РКН. Правила и срок изменения сведений: статья 22 Закона № 152-ФЗ.
3. Что указывать в уведомлении
Для каждой цели описывайте свою фактическую обработку. Ниже — ориентир для обычных заявок и переписки; адаптируйте его под свой бизнес.
| Поле формы | Что указывать |
|---|---|
| «Цель обработки ПД» | «Подготовка, заключение и исполнение гражданско-правового договора» — для заказов и обслуживания. «Продвижение товаров, работ, услуг на рынке» — отдельно, если обрабатываете данные для продвижения. Если цель другая, выберите «иная» и опишите её точно. |
| Категории субъектов | «Клиенты» — для ваших клиентов. Для потенциальных клиентов, подписчиков и других отправителей обращений отметьте «Иные категории субъектов персональных данных, персональные данные которых обрабатываются» и опишите их. «Представители контрагентов» и «Посетители сайта» — если ваша обработка охватывает эти категории. |
| Категории данных | ФИО, номер телефона и адрес электронной почты — только если собираете. В «иные персональные данные»: идентификаторы пользователей и чатов в мессенджерах, имена пользователей, ссылки на профили, содержание переписки, переданные вложения и метаданные сообщений, относящиеся к физическим лицам. Другие категории отмечайте по фактическому содержимому. |
| Правовое основание | Согласие человека либо другое применимое основание статьи 6. Исполнение договора подходит для необходимых операций по договору с этим человеком. Договор вашей подписки на ЭТОЧАТБОТ сам по себе не разрешает обрабатывать любые данные ваших контактов. |
| Действия с данными | Фактические операции: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), удаление, уничтожение. Обработка сервисом по поручению предполагает предоставление данных и доступ к ним. |
| Способы обработки | Автоматизированная; смешанная — если также ведёте неавтоматизированную обработку. Укажите обработку с передачей по сети Интернет, когда она осуществляется. |
| Местонахождение базы данных | Фактическая страна и физический адрес ЦОД используемых баз. Актуальные сведения о размещении запросите в порядке, указанном ниже. |
Остальные поля заполняйте для своего бизнеса: контакты, меры защиты, дата начала и условия прекращения обработки. В обычном уведомлении описываются категории и порядок обработки; выгружать клиентскую переписку для его подачи не требуется.
Есть ли отдельное поле для ЭТОЧАТБОТА как подрядчика? Пункт 10.2 части 3 статьи 22 относится к лицам, обрабатывающим данные в государственных или муниципальных информационных системах. Обычный коммерческий бот не делает это поле применимым. Исполнителя указывайте в поручении обработки и раскрывайте обработку по поручению в документах для людей.
Состав уведомления: части 3 и 3.1 статьи 22. Соразмерность данных целям: статья 5. Идентификаторы и связанная с человеком переписка могут быть персональными данными: статья 3.
4. Что прописать в своей политике
Опубликуйте собственную политику и обеспечьте доступ к ней там, где собираете данные: на сайте, в описании и меню бота, в его первом сообщении, рядом с формами. Укажите свои реквизиты оператора, цели, категории данных, основания, сроки хранения, порядок удаления и контакт для обращений. Опишите обработку ЭТОЧАТБОТОМ по вашему поручению. Требование доступности политики установлено частью 2 статьи 18.1 Закона № 152-ФЗ.
Пример пункта для вашей политики
Замените текст в квадратных скобках своими сведениями и оставьте только используемые цели и данные. Это пункт политики; необходимое согласие оформляется отдельно.
[Наименование вашей организации или ФИО ИП] поручает обработку персональных данных индивидуальному предпринимателю Киселеву Дмитрию Юрьевичу (ИНН 165720128759, ОГРНИП 323169000141965), предоставляющему сервис «ЭТОЧАТБОТ» (etochat.bot), на основании соглашения об обработке данных по поручению.
Цели поручения: [приём и обработка обращений, оформление заказов и поддержка клиентов]. В рамках поручения обрабатываются идентификаторы пользователей и чатов в мессенджерах, имена пользователей и ссылки на профили, содержание переписки, переданные пользователями вложения и метаданные сообщений, а также [перечислите другие фактически собираемые данные]. Операции включают получение, запись, систематизацию, хранение, извлечение, отображение, передачу ответов, уточнение, удаление и уничтожение данных в пределах поручения.
Исполнитель обязан соблюдать конфиденциальность и обеспечивать защиту данных. Оператор определяет цели и законные основания обработки, принимает обращения субъектов персональных данных по адресу [ваш контакт для обращений].
Установите сроки хранения для каждой цели и организуйте удаление по этим срокам. Действующий порядок хранения истории описан в DPA; автоматическое удаление по истечении фиксированного срока в нём не предусмотрено. При организации удаления учитывайте вложения и подключённые системы.
Короткое сообщение в вашем боте
Оператор ваших персональных данных — [ваша организация или ИП]. Политика обработки данных: [ссылка на вашу политику]. Для приёма и обработки сообщений мы используем ЭТОЧАТБОТ; сервис обрабатывает данные по нашему поручению.
Ваша политика должна описывать все используемые вами процессы, включая собственную CRM и другие интеграции, если они подключены. Политика ЭТОЧАТБОТА описывает обработку сервисом и не заменяет вашу политику.
5. Согласие и поручение обработки
Проверьте основания отдельно для своей обработки и для её поручения сервису. По части 3 статьи 6 поручение требует согласия субъекта, если федеральный закон не предусматривает иное. Когда опираетесь на согласие, укажите Исполнителя, цели, данные и операции поручения; сохраняйте подтверждение действия человека и принятый им текст.
Согласие оформляется отдельно от других документов и информации, которые подтверждает человек. Сам по себе пункт в пользовательском соглашении или факт отправки сообщения не доказывает получение надлежащего согласия. Основание: части 1 и 3 статьи 9.
Если закон требует письменного согласия, в нём указываются ФИО и адрес Исполнителя по поручению — пункт 6 части 4 статьи 9. Актуальные полные реквизиты запросите у нас. Для обычного согласия паспортные данные автоматически не требуются.
Для прямого продвижения с использованием персональных данных получите предварительное согласие и прекращайте такую обработку по требованию человека. Запуск бота или согласие на сервисные сообщения автоматически не разрешают рекламу. Основание: статья 15 Закона № 152-ФЗ.
Используйте DPA вместе с пользовательским соглашением; сохраняйте согласованную редакцию и подтверждение её принятия. Поручение должно определять данные, цели и операции, конфиденциальность, безопасность, применимые требования локализации, подтверждение мер защиты и уведомление об инцидентах. Эти требования установлены частью 3 статьи 6. Для индивидуального договора напишите нам.
6. Реквизиты сервиса для ваших документов
| Исполнитель по поручению | Индивидуальный предприниматель Киселев Дмитрий Юрьевич |
|---|---|
| ИНН | 165720128759 |
| ОГРНИП | 323169000141965 |
| Сервис | ЭТОЧАТБОТ — etochat.bot |
| Контакт | info@etochat.bot |
| Документы | Реквизиты, DPA |
Запись сервиса в реестре РКН № 16-25-027399 относится к его уведомлению. Она не является сертификатом соответствия и не заменяет ваши обязанности.
7. Где получить адрес ЦОД
Запросите актуальные сведения о базах данных и ЦОД по адресу info@etochat.bot с темой «Сведения для уведомления РКН». Укажите свой аккаунт в сервисе и подключаемые боты, аккаунты или каналы, чтобы мы могли определить используемую схему. Запросите страны и физические адреса ЦОД, используемых для хранения и обработки данных, а также сведения о привлечённых лицах.
Адрес регистрации ИП и домен сайта не являются местом нахождения базы данных. Используйте подтверждённые сведения о фактической схеме. Учитывайте также свою CRM, выгрузки и другие базы, если используете их, и отражайте изменения заявленных сведений в уведомлении.
Перед запуском
- Определите людей, данные и цели в своих сценариях.
- Оформите законные основания, необходимые согласия и согласованное поручение обработки.
- Опубликуйте свою политику и обеспечьте доступ к ней в боте и формах сбора.
- Получите актуальные сведения о размещении баз; подайте или дополните уведомление, когда это требуется.
- Определите сроки хранения, права доступа и порядок обработки запросов и удаления.
Памятка объясняет обычное коммерческое использование сервиса по российскому законодательству о персональных данных. Она носит справочный характер; договорные условия обработки определяются DPA и договором, применимым к вашему аккаунту.