Передавая клиентскую базу на аутсорсинговый контакт-центр, заказчик передаёт и ответственность за персональные данные — но штрафы за нарушения в итоге прилетают именно ему. Многие подписывают договор с КЦ не глядя, а потом при проверке или утечке выясняется, что защиты у них нет. Грамотный договор обработки персональных данных — это страховка от серьёзных штрафов. Разберём, какие пункты обязательно должны быть в таком договоре, чтобы заказчик не остался крайним.
Мы в Wilstream работаем с клиентскими коммуникациями и знаем требования к обработке данных не понаслышке. Документы и лицензии, которые подтверждают серьёзный подход к ПДн, можно посмотреть в разделе документы и лицензии Wilstream. Сразу оговоримся: статья носит общий характер, а конкретный договор стоит проверять с юристом.
Почему отвечает именно заказчик
Когда вы отдаёте базу клиентов на обзвон или обслуживание, по закону вы остаётесь оператором персональных данных, а контакт-центр выступает тем, кто обрабатывает данные по вашему поручению. Ответственность перед клиентами и регулятором во многом лежит именно на вас как на операторе данных.
Это значит, что при утечке или нарушении со стороны подрядчика спрашивать могут с заказчика. Поэтому договор должен чётко распределять обязанности и защищать вас, а не быть формальной бумагой на пару страниц. Дальше разберём по пунктам, что в нём обязательно прописать, чтобы документ реально защищал заказчика, а не лежал в папке для вида и для галочки при проверке.
Поручение на обработку данных
Ключевой документ — поручение на обработку персональных данных, которое оформляют отдельно или внутри договора. В нём фиксируют, что заказчик поручает контакт-центру обработку, и описывают её рамки. Без такого поручения сама передача базы становится уязвимой с точки зрения закона.
В поручении прописывают перечень действий с данными, их состав и цели обработки. Это основа, на которой строится вся законность работы с базой. Если этого пункта нет или он размыт, остальные договорённости теряют опору, ведь именно поручение делает обработку данных подрядчиком законной.
Цели и перечень обрабатываемых данных
Договор должен чётко определять, какие именно данные передаются и для каких целей. Например, имя и телефон клиента для обзвона по конкретной маркетинговой кампании, и не более того. Обработка не должна выходить за рамки заявленных целей, и это важно зафиксировать.
Размытые формулировки вроде «обработка в любых целях» — плохой знак: они и незаконны, и опасны. Чёткий перечень данных и целей защищает заказчика, потому что ограничивает то, что подрядчик вправе делать с базой. Это рамка, за которую подрядчик не вправе выходить без вашего согласия.
Требования к конфиденциальности и безопасности
Отдельный блок — обязательства контакт-центра по защите данных. В договоре прописывают конфиденциальность, меры безопасности, ограничение доступа сотрудников к базе, запрет передачи данных третьим лицам без согласования.
Важно, чтобы подрядчик подтверждал наличие технических и организационных мер защиты. Серьёзный контакт-центр готов показать свои документы и подход к безопасности данных. Так снижается риск утечки, а значит, и риск штрафа для заказчика.
Согласия клиентов и законность базы
В договоре стоит зафиксировать, кто отвечает за наличие согласий клиентов на обработку данных и на звонки. Обычно за законность самой базы и согласий отвечает заказчик, и это нужно понимать. Подрядчик не должен звонить по базе без оснований.
Отдельно проговаривают, что контакт-центр не использует посторонние или сомнительные источники данных. Чистота базы и наличие согласий — критичный момент, потому что именно за обзвон без согласия чаще всего и наказывают штрафами. Этот вопрос решают до старта кампании, а не после жалобы.
Хранение и удаление записей
Звонки записываются, и эти записи — тоже персональные данные. В договоре прописывают, как и сколько хранятся записи разговоров, где, и как они удаляются по завершении работы или по требованию. Бесконтрольное хранение записей без чётких сроков и правил — отдельный источник риска утечки.
Важно, чтобы по окончании договора данные и записи возвращались или уничтожались, а не оставались у подрядчика навсегда. Этот пункт часто упускают, а зря: именно зависшие у бывшего подрядчика базы потом всплывают в утечках. Порядок и сроки хранения и удаления записей фиксируют письменно в договоре.
Ответственность сторон при нарушении
Договор должен распределять ответственность: что будет, если утечка или нарушение произошли по вине контакт-центра. Прописывают обязанность подрядчика возместить убытки, оперативно уведомить заказчика об инциденте и содействовать в разбирательстве с регулятором.
Без отдельного пункта об ответственности заказчик рискует в одиночку отвечать за чужую ошибку и оплачивать чужие промахи. Поэтому важно, чтобы договор предусматривал регресс к подрядчику и его обязанности при инциденте. Это не значит, что заказчик снимает с себя всё, но баланс ответственности должен быть честным.
Что проверить перед подписанием
Перед заключением договора стоит убедиться, что в нём есть поручение на обработку, чёткие цели и перечень данных, обязательства по безопасности и конфиденциальности, порядок хранения и удаления записей и распределение ответственности. И что подрядчик в принципе серьёзно относится к данным.
Хороший признак — готовность контакт-центра показать свои документы, лицензии и подход к защите данных, как это сделано в разделе документы и лицензии. Если же подрядчик уходит от темы безопасности — это повод насторожиться и проверить договор особенно тщательно с юристом.
Чем грозит отсутствие нормального договора
Формальный договор на пару страниц или работа вовсе без поручения на обработку данных оставляет заказчика беззащитным. При проверке регулятора или жалобе клиента отвечать придётся именно ему, и сослаться на подрядчика без закреплённой ответственности не выйдет.
Особенно болезненны последствия утечки: если база клиентов утекла у подрядчика, а в договоре нет ни его обязательств, ни регресса, все претензии и штрафы лягут на заказчика. Поэтому экономия на проработке договора оборачивается куда большими суммами при первом же инциденте. Это та область, где лучше потратиться на юриста заранее.
Как выстроить работу безопасно с самого начала
Безопасная схема начинается до передачи базы. Сначала согласуют договор и поручение на обработку, проверяют документы подрядчика, фиксируют меры защиты и только потом передают данные. Передавать базу до подписания всех бумаг — частая и опасная ошибка, после которой что-то менять уже поздно.
Полезно также ограничить объём передаваемых данных только тем, что реально нужно для задачи, и заранее договориться о порядке возврата или удаления по итогам. Чем меньше лишних данных у подрядчика и чем чётче правила, тем ниже риск. Надёжный контакт-центр сам заинтересован в такой прозрачности и помогает выстроить её корректно.
Главное
За персональные данные клиентов перед законом отвечает заказчик, даже если их обрабатывает аутсорсинговый контакт-центр, поэтому договор должен его защищать. Обязательные пункты: поручение на обработку, чёткие цели и перечень данных, обязательства по конфиденциальности и безопасности, вопрос согласий и законности базы, порядок хранения и удаления записей и распределение ответственности при нарушении. Перед подписанием договор стоит проверить с юристом, а подрядчика — на готовность показать документы.
Планируете передать обзвон или обслуживание на аутсорс и не хотите рисковать штрафами — обратитесь в Wilstream, и специалисты предложат прозрачный договор и подтвердят подход к защите данных.
Рассчитайте стоимость для вашего бизнеса
Wilstream работает с персональными данными по закону: прозрачный договор, меры безопасности, документы и лицензии. Рассчитаем контакт-центр под ваш проект.
Частые вопросы
Кто отвечает за персональные данные при работе с аутсорсинговым КЦ?
По закону заказчик остаётся оператором персональных данных, а контакт-центр обрабатывает их по поручению. Поэтому ответственность перед клиентами и регулятором во многом лежит на заказчике, и договор должен его защищать.
Что обязательно должно быть в договоре с контакт-центром?
Поручение на обработку данных, чёткие цели и перечень данных, обязательства по конфиденциальности и безопасности, вопрос согласий клиентов, порядок хранения и удаления записей и распределение ответственности при нарушении.
Что такое поручение на обработку персональных данных?
Это документ, которым заказчик поручает контакт-центру обработку данных и описывает её рамки: перечень действий, состав данных и цели. Без него передача базы становится уязвимой с точки зрения закона.
Кто отвечает за согласия клиентов на звонки?
Обычно за законность базы и наличие согласий отвечает заказчик. Это важно зафиксировать в договоре, потому что именно за обзвон без согласия чаще всего наказывают. Вопрос решают до старта кампании.
Что делать с записями звонков после окончания договора?
В договоре прописывают, что данные и записи возвращаются заказчику или уничтожаются, а не остаются у подрядчика навсегда. Этот пункт часто упускают, а именно зависшие базы потом всплывают в утечках.
Как проверить надёжность контакт-центра по данным?
Хороший признак — готовность показать документы, лицензии и подход к защите данных. Если подрядчик уходит от темы безопасности — это повод насторожиться и проверить договор особенно тщательно с юристом.
