Чи відповідає Telegram вимогам GDPR? Посібник для CRM-команд про дані, строки зберігання і право ЄС

Telegram сам по собі не є ні сумісним, ні несумісним із GDPR: регламент стосується того, як ним користується ваша команда. Якщо хоча б один клієнт, з яким ви спілкуєтеся в Telegram, живе в ЄС, ви є контролером даних. Ваше використання може відповідати вимогам, коли кожна операція з обробки має законну підставу, у вас є задокументований графік зберігання, укладено угоду про обробку даних (Data Processing Agreement) із постачальником CRM, ви можете відповісти на запит суб'єкта про доступ протягом одного місяця, а будь-яка передача даних за межі Європейської економічної зони має гарантії. Цей посібник розбирає кожен із цих пунктів для роботи в Telegram. Він написаний для засновників, керівників підтримки та revenue ops. Це операційні рекомендації, а не юридична консультація.

Кожне ім'я контакту, номер телефону, стенограма чату й тег, які ви зберігаєте, є персональними даними. Те, що Telegram є месенджером, а не CRM, цього не змінює.

Основні джерела, на які спирається текст: сам регламент є на GDPR.eu, офіційні роз'яснення Європейської ради із захисту даних охоплюють сірі зони, а NIST SP 800-53 є стандартом, яким більшість команд безпеки користуються для зіставлення засобів контролю. Коли аудитор просить послатися на джерело, посилайтеся на ці три.

GDPR вимагає, щоб кожна операція з обробки (збереження контакту, надсилання розсилки, позначення чату тегом) спиралася на одну з шести законних підстав. Для використання Telegram CRM важать три з них: згода, договір і законні інтереси.

Згода є найчистішою підставою для розсилок і маркетингу. Вона має бути «вільно наданою, конкретною, поінформованою та однозначною». Тобто кнопка /start у вашому боті не є згодою, а позначка згоди у формі реєстрації є. Тег на чаті, наприклад 'consent-marketing-YYYY-MM-DD', фіксує підставу разом із датою, тож під час аудиту ви зможете показати момент, коли людина дала згоду.

Договір охоплює розмови з наявними клієнтами про послугу, за яку вони платять. Чат підтримки щодо підписки не потребує окремої згоди. Ви виконуєте договір, і обробка для цього необхідна. Саме ця підстава покриває більшість процесів тікетів і customer success.

Законні інтереси є найбільш неправильно зрозумілою підставою. Вона охоплює пошук клієнтів, внутрішню аналітику й запобігання шахрайству, тобто те, що ви можете обґрунтувати як необхідне для ведення бізнесу, коли суб'єкт даних обґрунтовано очікував би такої обробки. Вам усе одно потрібно зважити свій інтерес проти прав суб'єкта, задокументувати цей тест балансу й поважати будь-яке заперечення. Позначити чат тегом 'outreach-lead-source-web' і зберігати його дев'яносто днів для відстеження воронки є класичним випадком законного інтересу. Зберігати той самий чат п'ять років, бо «може знадобитися», не є.

GDPR не встановлює фіксованого строку зберігання. Він вимагає не зберігати персональні дані довше, ніж потрібно для мети, з якою їх зібрали. В операційній мові це означає: визначте мету, визначте строк, запишіть це й видаляйте за графіком.

Робочі значення за замовчуванням, які добре проходять аудит для B2B Telegram CRM: активні чати з клієнтами зберігаються протягом дії договору плюс один рік (щоб покрити гарантійні й податкові зобов'язання), чати із закритими лідами дванадцять місяців, чати зі згодою на маркетинг доти, доки згода діє, чати зі спамом або зловживаннями тридцять днів. Це стартові точки. Ваш регулятор і ваша галузь можуть вимагати інших строків, особливо у фінансах, охороні здоров'я та освіті.

Практична вимога полягає в тому, що ви справді можете видаляти. Entergram пропонує експорт даних (за категоріями й за акаунтами або повний ZIP робочого простору) і остаточне видалення даних акаунта, а видалення робочого простору прибирає його тікети, журнали, поля, коментарі й файли. Entergram не зберігає історію повідомлень у своїй базі даних: розмови залишаються в Telegram, а Entergram тримає їх лише в короткочасних кешах, які спливають самі. Тож шар CRM, який ви видаляєте, складається з метаданих чатів, тегів, нотаток, тікетів і структурованих полів, і в Entergram немає архіву повідомлень, який треба «забути». Якщо ваш графік зберігання вимагає копії самих повідомлень, це окреме завдання, про яке йдеться в статті резервне копіювання чатів Telegram для бізнесу. Наша сторінка безпеки описує це докладно.

Згідно зі статтею 15 регламенту, будь-який суб'єкт даних може запитати, які персональні дані про нього ви зберігаєте. На відповідь у вас один місяць. Ігнорування запиту є одним із найдешевших способів заробити штраф. Щоб відповісти добре, треба знати, з яких систем збирати дані.

Для Telegram CRM це означає: метадані чату контакту, усі застосовані теги, усі значення користувацьких колонок, усі внутрішні коментарі, уся історія тікетів, усі розсилки, які людина отримала, і всі аналітичні події, пов'язані з її чатом. Експорт даних Entergram охоплює бік CRM: тікети, чати, контакти, групи й аналітику, за акаунтом або як повний ZIP робочого простору. Звузьте експорт до чату суб'єкта, перевірте, чи не розкриває він даних третіх осіб, і надсилайте. Самі тексти повідомлень зберігаються в Telegram, а не в експорті.

Для протилежного запиту (стаття 17, право на стирання) видаліть дані CRM, які ви зберігаєте про цю людину в Entergram (значення користувацьких полів, коментарі, нотатки й тікети), і додайте чат до Excluded chats (виключені чати), якщо він має залишатися поза вашим поданням CRM. Історія повідомлень Telegram на самому пристрої є окремою справою, її регулює власна політика конфіденційності Telegram, і суб'єкт може видалити свою частину листування в застосунку Telegram. Не обіцяйте видалити те, чим ви не керуєте.

Якщо ваша команда користується Entergram для керування розмовами з клієнтами, ви є контролером, а Entergram є обробником. Згідно зі статтею 28, такі відносини мають регулюватися угодою про обробку даних, і вона має бути укладена з кожним обробником до того, як ви збережете хоча б один контакт з ЄС. Попросіть у кожного постачальника у вашому стеку Telegram його умови й прочитайте їх перед підписанням.

Стаття 28 перелічує, що має охоплювати така угода: обробку лише за вашими задокументованими інструкціями, конфіденційність, належні технічні та організаційні заходи, допомогу з обов'язками щодо запитів суб'єктів і повідомлень про порушення, а також прозорість щодо субобробників. З технічного боку заходи Entergram, на які можна послатися, задокументовані в довідковому центрі: облікові дані, які зберігає застосунок, зашифровані у стані спокою за допомогою AES-256-GCM, кожен підключений акаунт працює через власний унікальний проксі, API-ключі зберігаються лише у вигляді хешів, а журнал робочого простору (Log history) фіксує, хто що зробив.

Після рішення Schrems II передача персональних даних за межі Європейської економічної зони потребує додаткових гарантій, зазвичай стандартних договірних положень (Standard Contractual Clauses) разом з оцінкою впливу передачі. Для використання Telegram CRM практичне питання таке: де розміщені дані вашого робочого простору й файли сесій?

Запитайте кожного постачальника, де розміщені дані робочого простору й сесії та який механізм передачі застосовується, і запишіть відповідь. В Entergram сесія Telegram зберігається на бекенді Entergram (а не у вашому браузері), а облікові дані, які зберігає застосунок, зашифровані у стані спокою за допомогою AES-256-GCM. Щодо місця розміщення й умов передачі звертайтеся безпосередньо до команди на hello@entergram.com. Якщо вам потрібен повний контроль над тим, де працює продукт, тариф Enterprise додає самостійне розгортання (self-hosting). Рекомендації EDPB щодо передачі даних є основним джерелом, якщо про це запитає ваша команда безпеки.

Коли аудитор приходить на перевірку готовності до ISO 27001 або SOC 2, питання про Telegram CRM завжди ті самі п'ять. Хто може бачити конкретний чат? Як захищені облікові дані сесій? Як зберігаються паролі? Що відбувається, коли колега звільняється? Як ви виявляєте несанкціонований доступ?

Короткі відповіді для Entergram: повідомлення залишаються з акаунтом, а дані CRM залишаються з чатом. Кожен підключений акаунт або спільний для робочого простору (у нього виконано вхід на кількох місцях, що зручно для команди підтримки, яка відповідає з одного акаунта), або приватний для одного користувача. Колега, який не входив в акаунт, не може читати його повідомлення, а дані CRM у чаті (поля, тікети, нотатки, коментарі) бачить кожен, хто має доступ до цього чату. Облікові дані, які зберігає застосунок, зашифровані у стані спокою за допомогою AES-256-GCM. Вхід відбувається через одноразові коди електронною поштою або через Google, тож паролів Entergram, які треба зберігати, немає. Звільнення співробітника означає видалення учасника з робочого простору, а будь-яку підключену сесію Telegram також можна завершити в Telegram через Settings → Devices. Журнал робочого простору (Log history) фіксує дії в Telegram, у CRM, із тікетами й учасниками, зокрема розсилки й експорт даних, з експортом у CSV для власників і адміністраторів.

Якщо аудитор хоче зіставлення засобів контролю, вихідним матеріалом слугують сторінки довідкового центру про те, як Entergram захищає ваші дані, що бачать колеги, і про Log history.

«Чи відповідає ваше використання Telegram вимогам GDPR?» Так, якщо у вас є законна підстава для кожної операції з обробки, задокументований графік зберігання, угода про обробку даних із постачальником CRM, процес відповіді на запити суб'єктів, який ви можете виконати менш ніж за місяць, гарантії для будь-якої передачі за межі ЄЕЗ і архітектура робочого простору, яка забезпечує межі доступу. Це і є справжня відповідь. Entergram покриває ті частини на боці CRM, якими ви керуєте в продукті: межі доступу для кожного акаунта, експорт даних, видалення й журнал аудиту. Законна підстава, графік зберігання й договори залишаються вашою відповідальністю.