Как мы обращаемся с данными ваших клиентов: чат-боты, нейросети и 152-ФЗ

Чат-бот на сайте принимает заявку. Голосовой ассистент напоминает клиенту о записи. Система аналитики разбирает воронку продаж. Все три инструмента работают с именами и телефонами ваших клиентов, поэтому перед внедрением собственник почти всегда спрашивает: куда уходят эти данные и не будет ли проблем с законом.

Вопрос правильный: за персональные данные клиентов отвечает компания, а не подрядчик, который настроил бота. Рассказываем, по каким правилам работаем мы и что нужно сделать с вашей стороны.

Какие данные мы берём

Только имя и телефон. Голосовому ассистенту для поздравлений — ещё дату рождения из вашей CRM, и только на время звонка.

Чат-бот берёт имя, телефон и суть вопроса и сразу передаёт заявку в CRM. Голосовой ассистент на входящих звонках — то же плюс запись и расшифровку разговора. Аналитика продаж обходится вовсе без контактов: этапы воронки, даты, суммы и ответственный менеджер. Чтобы увидеть, где теряются сделки, имена клиентов не нужны.

Паспорта, СНИЛС, данные банковских карт, диагнозы и биометрию мы не собираем ни в одном проекте. Если клиент сам называет такие сведения в разговоре, ассистент не переносит их в CRM.

Где хранятся данные

Только в России — этого требует часть 5 статьи 18 закона 152-ФЗ. Ваша CRM (amoCRM, Битрикс24 и другие), российские облака и дата-центры, речь — Яндекс SpeechKit, телефония — российские операторы, уведомления менеджерам — MAX или почта на российском сервисе. Зарубежные хранилища не используем.

Как мы работаем с нейросетями

Самый частый страх — «нейросеть запомнит наших клиентов и отправит их за границу». Вот как это устроено.

Разговор — на российских моделях. Голос и живой диалог с клиентом обрабатываются моделями в России: YandexGPT, GigaChat.

Маскирование. Если для задачи нужна зарубежная модель, до отправки имя и телефон заменяются метками вида [КЛИЕНТ_1] и [ТЕЛ_1]. Модель видит смысл, но не контакты; настоящие значения подставляются обратно на нашем сервере.

Контакт — мимо нейросети. В чат-боте имя и телефон собираются отдельным шагом и уходят прямо в CRM, модель в этом не участвует.

Минимум в запросе. В модель передаётся только то, что нужно для ответа, а не вся карточка клиента.

Как защищены данные

Соединения — только по HTTPS, резервные копии зашифрованы. У каждого сотрудника личная учётная запись с двухфакторным входом и доступ только к тому, что нужно для работы. Ключи и пароли хранятся отдельно от кода. Технические журналы ведутся без имён и телефонов и очищаются автоматически. Записи звонков и переписка хранятся согласованный с заказчиком срок и удаляются безвозвратно.

При подозрении на утечку мы сообщаем заказчику в течение нескольких часов. Это важно: по закону оператор обязан уведомить Роскомнадзор в течение 24 часов, а результаты расследования сообщить в течение 72 часов (часть 3.1 статьи 21 152-ФЗ).

Что нужно сделать со стороны компании

По закону оператор персональных данных — ваша компания, подрядчик обрабатывает их по вашему поручению (часть 3 статьи 6 152-ФЗ). Поэтому часть обязанностей остаётся за вами, и никакой бот их не снимет.

Уведомление в Роскомнадзор об обработке персональных данных — онлайн на pd.rkn.gov.ru. Если оно уже подано, проверьте, что в нём указаны чат-бот, звонки и CRM.
Политика обработки персональных данных на сайте, со ссылкой рядом с чат-ботом и формами.
Согласие на обработку — отдельным документом. С 1 сентября 2025 года его нельзя прятать в оферту. В чат-боте это отдельный шаг с галочкой до того, как клиент введёт телефон.
Договор поручения на обработку данных с подрядчиком: цели, перечень данных, меры защиты, обязанность сообщать об инцидентах.
Ответственный за персональные данные, назначенный приказом.

Дополнительно рекомендуем соглашение о конфиденциальности и режим коммерческой тайны по закону 98-ФЗ — они защищают уже экономику компании: выручку, воронку, планы.

Отдельно — про исходящие звонки

Статья 18 закона «О рекламе» требует предварительного согласия абонента на рекламу по телефону. Поэтому звонки ассистента делятся на два вида. Сервисные — подтверждение записи, напоминание о визите, сбор отзыва — можно запускать автоматически. Звонки с предложением — акция, скидка ко дню рождения — это реклама, и они идут только клиентам, давшим на неё согласие.

Для медицинских организаций строже: сам факт обращения пациента — врачебная тайна (статья 13 закона № 323-ФЗ). Ассистент не обсуждает по телефону процедуры и результаты и в начале разговора уточняет, что говорит с самим клиентом.

Защита данных — не повод откладывать автоматизацию. Это набор понятных правил, которые один раз выстраиваются вместе с подрядчиком.

Каждую пятницу мы проводим бесплатный ИИ-аудит: разбираем 3–5 процессов вашего бизнеса и показываем, что можно автоматизировать и как сделать это безопасно для данных клиентов. Конфиденциально, без продаж. Записаться можно на сайте аи-студио.рф или по телефону +7 (900) 368-31-55.

Материал описывает правила работы с данными, принятые в AI-СТУДИО, и не является юридическим заключением. Требования приведены по состоянию законодательства на октябрь 2026 года.