CRM и персональные данные клиентов: что проверить

После отправки формы данные часто автоматически попадают в CRM, а затем дополняются звонками, письмами, сделками и комментариями менеджеров. Поэтому проверка только сайта не показывает реальный объём обработки.

Нарисуйте карту интеграций

Отметьте источники: сайт, телефония, почта, мессенджеры, импорт таблиц и рекламные кабинеты. Затем укажите получателей: рассылки, аналитика, бухгалтерия, поддержка и подрядчики. Так становятся заметны лишние копии и неочевидные передачи.

Определите роль поставщика CRM

Изучите договор и документацию: где расположены серверы, какие субподрядчики участвуют, как выполняется удаление, доступны ли журналы и экспорт. Если поставщик обрабатывает данные по поручению, договорная конструкция должна учитывать требования части 3 статьи 6 закона № 152-ФЗ.

Настройте доступы

• выдавайте сотруднику только нужную роль;
• отключайте учётную запись сразу после ухода;
• используйте двухфакторную аутентификацию;
• ограничьте массовый экспорт;
• проверяйте интеграции и токены;
• не используйте общую учётную запись отдела.

Задайте жизненный цикл записи

Статус «сделка проиграна» не равен удалению. Определите, какие данные нужны для договора и учёта, какие — для претензий, а какие можно удалить после закрытия лида. Для маркетинга ведите отдельный признак действующего согласия.

Проверьте свободные комментарии

Менеджеры могут записывать в заметки лишние сведения, включая чувствительные оценки. Установите правила: что допустимо фиксировать, кто видит комментарии и как обрабатываются запросы клиента.

Контрольный тест

Создайте тестовую заявку, проследите все автоматизации, затем попробуйте выгрузить, исправить и удалить запись. Если вы не можете выполнить эти действия для теста, запрос реального клиента также станет проблемой.

Требования к поручению обработки описаны в части 3 статьи 6 закона № 152-ФЗ ↗.

Читайте также