Кому принадлежат данные клиентов клиники в SaaS
Кому принадлежат данные клиентов клиники в SaaS? Клинике — и только ей. Подключая чат-бот, CRM или любой другой облачный сервис для работы с клиентами, вы остаётесь оператором персональных данных, а сервис становится обработчиком, который действует по вашему поручению на основании ч. 3 ст. 6 152-ФЗ. Юридически это фиксируется в отдельном документе — DPA, договоре поручения обработки. Практически это означает три вещи. Первое: сервис не вправе использовать базу ваших клиентов для собственных целей — рассылок, аналитики, передачи третьим лицам. Второе: вы в любой момент можете запросить полный экспорт диалогов и контактов — у 24VetChat он занимает не больше 3 рабочих дней. Третье: при расторжении договора данные передаются вам и удаляются у сервиса. Если поставщик не готов подписать DPA или уклоняется от ответа, где физически хранятся данные, — это достаточный повод искать другой сервис, каким бы удобным ни был интерфейс.
Кто оператор, а кто обработчик?
Оператор — тот, кто определяет цели обработки. Клиника решает, зачем собирать телефоны и клички: запись на приём, напоминания, история визитов. SaaS-сервис целей не определяет — он выполняет поручение, и это принципиальная разница.
Из неё следует неприятный для клиники факт: ответственность перед клиентом и Роскомнадзором несёте вы, а не сервис. Поэтому выбирать обработчика нужно придирчиво:
- серверы в РФ — где физически хранятся данные, должно быть названо прямо;
- подписанный DPA, а не пункт мелким шрифтом в оферте;
- обезличивание данных по Приказу РКН № 140 — как это устроено;
- собственное уведомление сервиса в РКН.
Базовые обязанности самой клиники по закону разобрали в отдельной статье: 152-ФЗ для ветклиники.
Что обязан отдать SaaS по запросу?
Полный экспорт всего, что накопилось: диалоги, контакты, записи на приём. Срок должен быть зафиксирован в договоре цифрой, а не формулировкой «в разумный срок». У 24VetChat экспорт выполняется в течение 3 рабочих дней — и по ходу работы, и при расторжении. После передачи данных сервис обязан удалить их у себя.
Что проверить в договоре до подписания?
Пять пунктов, которые стоит проверить до подписания:
| № | Пункт договора | Хороший ответ |
|---|---|---|
| 1 | Есть ли DPA (поручение обработки)? | Да, отдельным документом |
| 2 | Где физически хранятся данные? | Серверы в РФ, назван хостинг |
| 3 | Срок экспорта по запросу | Конкретный: дни, не «разумный срок» |
| 4 | Судьба данных после расторжения | Передача клинике + удаление у сервиса |
| 5 | Кто отвечает при утечке на стороне сервиса | Ответственность обработчика прописана |
Если хотя бы на два вопроса договор не отвечает — запросите допсоглашение или ищите альтернативу. Это касается любого SaaS, не только чат-ботов.
У 24VetChat все пять пунктов закрыты по умолчанию: DPA с каждой клиникой, серверы в РФ, экспорт за 3 рабочих дня. Проверить на практике можно без риска — попробовать 7 дней бесплатно, без привязки карты.
Частые вопросы
Может ли SaaS-сервис использовать базу клиентов клиники для своих целей?
Нет. Если сервис работает как обработчик по поручению клиники (ч. 3 ст. 6 152-ФЗ), он вправе обрабатывать данные только для целей, которые клиника указала в договоре поручения обработки — DPA. Свои рассылки по вашей базе, передача контактов третьим лицам, любая «монетизация» данных — за рамками поручения и, по сути, нарушение закона. Если в договоре с сервисом нет DPA или там прописано право использовать данные «для улучшения сервиса» без ограничений — это красный флаг. Требуйте отдельный документ, где чётко перечислены цели, действия с данными и запрет на использование в интересах самого сервиса.
Что происходит с данными клиники после расторжения договора с SaaS?
Правильный сценарий: сервис отдаёт клинике полный экспорт (диалоги, контакты, записи) и удаляет данные со своих серверов, а срок и порядок этого прописаны в договоре заранее. У 24VetChat экспорт выполняется в течение 3 рабочих дней с момента запроса — и во время действия договора, и при расторжении. Если поставщик не может внятно ответить, что будет с вашей базой после ухода, вы рискуете остаться без истории клиентов или, хуже, оставить её в чужих руках. Проверяйте этот пункт до подписания, а не когда решили менять сервис.
Нужно ли клинике уведомлять РКН, если данные обрабатывает SaaS-сервис?
Да. Передача обработки на аутсорс не снимает с клиники статус оператора персональных данных: цели обработки определяете вы, значит, уведомление в Роскомнадзор по ст. 22 152-ФЗ подаёте тоже вы. За неуведомление предусмотрен штраф по ч. 10 ст. 13.11 КоАП: для ИП 30–50 тыс. ₽, для юрлиц 100–300 тыс. ₽. Сервис-обработчик при этом должен соблюдать закон на своей стороне — хранить данные в РФ и подписать с вами DPA.