Суть. Продажи ежедневно работают с персональными данными: имена, телефоны, переписка, записи разговоров. Правила сводятся к трём вещам — понимать, на каком основании вы храните данные, хранить ровно столько, сколько нужно, и уметь показать, кто имеет к ним доступ.
Что относится к персональным данным в работе продавца
| Данные | Где живут | Основной риск |
|---|---|---|
| Контакты сотрудников клиента | CRM, почта, мессенджеры | Собраны без основания, хранятся вечно |
| Записи разговоров | Телефония, сервисы встреч | Запись без уведомления второй стороны |
| Переписка | Почта, чаты | Пересылка третьим лицам |
| Обогащённые данные | Внешние базы | Источник происхождения неизвестен |
| Данные для демонстрации | Тестовые контуры | Реальные данные одного клиента показывают другому |
Четыре правила, которые закрывают большую часть риска
- Основание. По каждому массиву данных нужно уметь ответить, почему он у вас: договор, согласие или законный интерес. «Так исторически сложилось» — не ответ.
- Срок. У данных должен быть срок хранения. Контакты из сделки, проигранной три года назад, чаще всего хранить не на чем.
- Доступ. Уволенный сотрудник теряет доступ в день увольнения, а не когда вспомнят. Это первое, что спрашивают на проверке.
- Передача. Любой внешний сервис, куда уходят данные клиентов, — это отдельное решение. Особенно если это сервис с моделью.
Отдельно про записи разговоров и встреч: уведомление второй стороны — это не формальность, а условие законности. Автоматический бот-стенографист, который подключается к встрече молча, создаёт проблему не технического характера.
Что спросит служба безопасности заказчика
Готовый ответ на пять вопросов ускоряет проверку на недели: где физически хранятся данные, кто имеет доступ, используются ли данные для обучения моделей, что происходит при расторжении договора и как быстро вы уведомите об инциденте.
Жизненный цикл контакта в CRM
| Этап | Вопрос | Правило |
|---|---|---|
| Сбор | Откуда контакт и есть ли основание его обрабатывать | Записывать источник и согласие |
| Использование | Для чего используем | Только для заявленной цели |
| Хранение | Где и сколько храним | Сроки хранения, требования к размещению |
| Удаление | Что делаем, когда контакт больше не нужен | Регулярная чистка, удаление по запросу |
Требования Казахстана
Закон «О персональных данных и их защите» требует согласия субъекта на сбор и обработку данных, если нет иного законного основания, и хранения персональных данных граждан в базах на территории страны. Для отдела продаж это значит: CRM и почтовые сервисы с данными клиентов должны соответствовать требованиям к размещению, а согласие на рассылки нужно получать и хранить.
Клиенты в Евросоюзе
Если вы работаете с контактами из ЕС, применяется GDPR. Он допускает обработку в рамках законного интереса для B2B-коммуникации, но требует прозрачности, права на возражение и удаления по запросу. Штрафы рассчитываются от оборота компании.
ИИ-инструменты и данные клиентов
- Не вставлять персональные данные клиентов в публичные ИИ-сервисы без договора о защите данных.
- Использовать корпоративные версии с отключённым обучением на ваших данных.
- Обезличивать записи встреч и переписку перед анализом, если это возможно.
Если данные утекли
- Остановить утечку и зафиксировать, что произошло.
- Сообщить службе безопасности и юристу.
- Проверить требования к уведомлению регулятора и субъектов данных.
- Сообщить клиентам, чьи данные затронуты, до того, как они узнают из других источников.
Частые вопросы
Материал носит справочный характер и не заменяет юридическую консультацию: требования различаются по странам и меняются.
Связанное
- Согласие на обработку
- Программа информационной безопасности
- Управление данными для ИИ
- Минимальные права доступа
Вопрос не в том, законно ли вы работаете с данными, а в том, сможете ли объяснить это за пятнадцать минут, когда спросят. Если нет — риск уже есть.
Источники
- Закон Республики Казахстан «О персональных данных и их защите».
- Регламент (ЕС) 2016/679 — Общий регламент по защите данных (GDPR).
Материал обновлён 3 октября 2026