Автоматизація і RODO: де фізично знаходяться дані Ваших клієнтів

Форма на сайті – це не один крок, а ланцюжок із чотирьох систем

Заявка клієнта рідко надходить безпосередньо до Вас. Зазвичай вона проходить через ланцюжок:

Кожна ланка – це окремий сервер, часто в іншого постачальника і в іншій країні.

Форма збирає дані і надсилає їх до інструмента автоматизації, наприклад n8n або Make. Цей інструмент передає їх далі до CRM, де продавець або рецепціоніст бачить заявку разом з історією клієнта. Наприкінці система відправляє повідомлення – електронною поштою, через Messenger або WhatsApp – щоб хтось у компанії відреагував того самого дня.

Кожен із цих чотирьох кроків – це окреме оброблення персональних даних у розумінні RODO. За те, що відбувається з даними клієнта на кожній ділянці, відповідає власник бізнесу, а не постачальник інструмента. Тому, перш ніж підключати наступну систему до форми, варто знати, через чиї руки насправді проходить заявка.

n8n, Make і Zapier: хто насправді вирішує, де знаходяться дані клієнта

Не кожен інструмент автоматизації тримає дані в одному місці. n8n можна встановити на власному сервері. Тоді Ви вирішуєте, в якій країні знаходяться дані клієнта.

Make і Zapier працюють інакше – це готові хмарні послуги, тому розташування серверів визначає постачальник, а не Ви. Тому юрисдикцію кожного з цих інструментів потрібно перевірити окремо в його правилах та політиці конфіденційності, замість того, щоб припускати, що всі вони працюють однаково. Те саме стосується інтеграцій з Google Calendar, Google Business Profile чи SMSAPI. Кожна з цих систем має власну політику зберігання даних.

Google Calendar і Google Business Profile – це окремий випадок. Частина послуг Google дозволяє обрати регіон зберігання даних, але потрібно це свідомо налаштувати, а не припускати, що це відбувається за замовчуванням. Консультант, який підключає календар бронювання до автоматизації, має це перевірити разом з адміністратором, перш ніж система почне записувати в нього дані клієнтів.

Адміністратор або консультант, який впроваджує автоматизацію, повинен мати список усіх підключених інструментів і перевірену угоду про доручення оброблення даних з кожним із них, згідно з правилами UODO. Без цього списку ніхто в компанії не відповість на питання клієнта, де фізично знаходяться його дані. Більше про саме з'єднання систем — у розділі про інтеграції.

Скільки коштує впорядкування автоматизації під RODO

Сама перевірка, де знаходяться дані, не є дорогою – дорогим може бути нехтування цим кроком. Інтеграція з електронною поштою і інтеграція з Telegram або WhatsApp – два різні шматки роботи: обсяг кожного визначаємо після розмови про потреби компанії. Це дозволяє закрити канал заявок в одному контрольованому місці замість розпорошення даних по кількох незалежних скриньках.

Якщо автоматизація також має зберігати заявки в CRM і стежити, хто і коли їх обробив, додається наступний відрізок тієї ж дороги – його обсяг визначаємо в розмові. Панель адміна, в якій власник або керівник бачить усі заявки та історію їх обслуговування в одному місці, замикає цей ланцюг: за GDPR важливо не лише де лежать дані, а й чи можна показати, хто їх торкався. Підсумовувати тут нічого – обсяг добираємо під те, що в конкретній компанії справді відбувається з даними.

Якщо в компанії вже працює автоматизація запитів, але ніхто не перевіряв, куди потрапляють дані, варто почати з аудиту з'єднань, а не будувати наступні. Саме підключення форми до CRM і повідомлень, тобто автоматизацію запитів, оцінюємо після розмови про те, що саме має відбуватися. Це одноразова вартість впорядкування, а не місячна абонентська плата, бо йдеться про налаштування, а не про постійне обслуговування.

Коли автоматизація заявок – це погана ідея

Компанія, яка обробляє заявки самостійно і не має проблеми з відповідями вчасно, не потребує ланцюжка систем. Кожен додатковий інструмент – це місце, де дані клієнта можуть зависнути або залишитися довше, ніж потрібно. Іноді простіша поштова скринька і одна людина, яка її читає, є безпечнішою, ніж п'ять з'єднаних додатків.

Автоматизація також може бути ризикованою, коли ніхто в компанії не відповідає за її підтримку. Інтеграція може перестати працювати після оновлення одного з інструментів. Заявка тоді потрапляє в нікуди, а клієнт чекає без відповіді. Коли доходить до такого збою, хтось має його помітити і виправити – зазвичай технік або адміністратор, який знає весь ланцюжок з'єднань, а не тільки один його елемент.

Ми не обіцяємо, що автоматизація сама вирішить питання відповідності RODO. Вирішує їх лише рішення про те, хто адмініструє дані і де їх зберігає. Ми гарантуємо лише те, що після впровадження відомо, хто за який етап відповідає. Це не те, що можна купити один раз і забути.

Найчастіші питання про дані клієнтів та інтеграції

Чи потрібно мені мати угоду про доручення з кожним інструментом автоматизації?

Так, якщо інструмент обробляє персональні дані клієнтів від Вашого імені, потрібна угода про доручення оброблення даних згідно з вимогами RODO. Це стосується як n8n чи Make, так і CRM, в якому продавець записує історію контакту. Угода укладається з постачальником інструмента, а не з кінцевим клієнтом.

Чи можуть дані клієнта потрапити за межі Європейського Союзу?

Можуть, якщо Ви використовуєте хмарний інструмент, постачальник якого має сервери за межами Європейського економічного простору. В такій ситуації потрібна правова підстава для трансферу, зазвичай стандартні договірні положення постачальника. Ви перевірите це в політиці конфіденційності інструмента, найкраще до інтеграції з ним, а не після факту.

Хто в компанії відповідає за відповідність автоматизації RODO?

Формально завжди власник компанії як адміністратор даних, незалежно від того, хто технічно впровадив інтеграцію. На практиці у повсякденній роботі цю відповідальність перебирає особа, призначена для підтримки системи – адміністратор або консультант, який знає весь ланцюжок інструментів.

Чи менша компанія теж має це перевіряти?

Так, обов'язки, що випливають з RODO, залежать не від розміру компанії, а від того, чи обробляєте Ви персональні дані. Одна інтеграція форми з CRM вже підлягає тим самим правилам, що і у великій компанії. Масштаб впливає на кількість пунктів для перевірки, а не на те, чи взагалі потрібно це робити.

Чи WhatsApp і Messenger теж підпадають під RODO?

Так. Якщо клієнт пише Вам через WhatsApp або Messenger і залишає дані, наприклад ім'я, номер телефону або текст запитання, це також оброблення персональних даних. Постачальник месенджера має власну політику зберігання повідомлень, незалежно від Вашого CRM. Коли автоматизація копіює ці повідомлення до CRM, той самий обов'язок перевірки угоди про доручення стосується і цього каналу.

Поговорімо про те, де у Вашій компанії фізично знаходяться дані клієнтів і як впорядкувати це однією системою.