Telegram có tuân thủ GDPR không? Hướng dẫn cho người vận hành CRM về dữ liệu, thời hạn lưu trữ và luật EU

Bản thân Telegram không tự động tuân thủ hay vi phạm GDPR. Quy định này áp dụng cho cách đội của bạn sử dụng nó, và nếu bất kỳ khách hàng nào bạn trò chuyện trên Telegram sống ở EU, bạn là bên kiểm soát dữ liệu (data controller). Cách bạn sử dụng có thể tuân thủ khi mọi hoạt động xử lý đều có cơ sở pháp lý, bạn có lịch lưu trữ được ghi thành văn bản, bạn có Thỏa thuận xử lý dữ liệu (DPA) với nhà cung cấp CRM, bạn trả lời được yêu cầu truy cập của chủ thể dữ liệu trong vòng một tháng, và mọi hoạt động chuyển dữ liệu ra ngoài Khu vực Kinh tế châu Âu (EEA) đều có biện pháp bảo vệ. Hướng dẫn này đi qua từng điểm đó trong một quy trình làm việc trên Telegram, viết cho nhà sáng lập, trưởng nhóm hỗ trợ và bộ phận revenue ops. Đây là hướng dẫn vận hành, không phải tư vấn pháp lý.

Mọi tên liên hệ, số điện thoại, bản ghi cuộc chat và thẻ bạn lưu trữ đều là dữ liệu cá nhân. Việc Telegram là một ứng dụng nhắn tin chứ không phải CRM không thay đổi điều đó.

Các nguồn tham khảo chính thức được dùng xuyên suốt bài: văn bản quy định nằm trên GDPR.eu, hướng dẫn chính thức của Ủy ban Bảo vệ Dữ liệu châu Âu (EDPB) giải đáp các vùng xám, và NIST SP 800-53 là tiêu chuẩn mà hầu hết đội bảo mật dùng để đối chiếu các biện pháp kiểm soát. Khi kiểm toán viên yêu cầu bạn dẫn nguồn, hãy dẫn ba nguồn đó.

GDPR yêu cầu mọi hoạt động xử lý (lưu một liên hệ, gửi tin nhắn hàng loạt, gắn thẻ cho cuộc chat) phải dựa trên một trong sáu cơ sở pháp lý. Với việc dùng Telegram làm CRM, ba cơ sở quan trọng nhất là: sự đồng ý, hợp đồng và lợi ích hợp pháp.

Sự đồng ý là cơ sở rõ ràng nhất cho tin nhắn hàng loạt và marketing. Sự đồng ý phải được đưa ra "tự nguyện, cụ thể, có hiểu biết và không mơ hồ". Điều đó có nghĩa là nút /start trên bot của bạn không phải là sự đồng ý, còn ô chọn đồng ý trên biểu mẫu đăng ký thì có. Một thẻ trên cuộc chat, ví dụ 'consent-marketing-YYYY-MM-DD', ghi lại cơ sở pháp lý kèm dấu thời gian, để khi bị kiểm toán bạn chỉ ra được thời điểm người đó đồng ý.

Hợp đồng bao gồm các cuộc trò chuyện với khách hàng hiện tại về dịch vụ họ đang trả tiền. Một cuộc chat hỗ trợ về gói đăng ký không cần sự đồng ý riêng. Bạn đang thực hiện hợp đồng, và việc xử lý là cần thiết cho hợp đồng đó. Đây là cơ sở bao trùm phần lớn các quy trình ticket và chăm sóc khách hàng.

Lợi ích hợp pháp là cơ sở bị hiểu sai nhiều nhất. Nó bao gồm việc tìm kiếm khách hàng tiềm năng, phân tích nội bộ và phòng chống gian lận, tức những việc bạn có thể chứng minh là cần thiết để vận hành doanh nghiệp và chủ thể dữ liệu có thể đoán trước một cách hợp lý. Bạn vẫn phải cân nhắc lợi ích của mình với quyền của chủ thể, ghi lại phép thử cân bằng đó và tôn trọng mọi phản đối. Gắn thẻ 'outreach-lead-source-web' cho một cuộc chat và lưu nó chín mươi ngày để theo dõi pipeline là ví dụ điển hình của lợi ích hợp pháp. Lưu cùng cuộc chat đó năm năm vì "biết đâu sẽ có ích" thì không.

GDPR không đặt ra thời hạn lưu trữ cố định. Quy định yêu cầu dữ liệu cá nhân không được giữ lâu hơn mức cần thiết cho mục đích đã thu thập. Chuyển thành việc vận hành thì là: xác định mục đích, xác định thời hạn, ghi lại thành văn bản và xóa đúng lịch.

Các mặc định thực tế, dễ qua kiểm toán cho một CRM Telegram B2B: cuộc chat với khách hàng đang hoạt động giữ trong suốt thời hạn hợp đồng cộng thêm một năm (để đáp ứng nghĩa vụ bảo hành và thuế), cuộc chat với lead đã đóng giữ mười hai tháng, cuộc chat có đồng ý marketing giữ chừng nào sự đồng ý còn hiệu lực, cuộc chat spam hoặc lạm dụng giữ ba mươi ngày. Đây chỉ là điểm khởi đầu. Cơ quan quản lý và ngành của bạn có thể yêu cầu thời hạn khác, đặc biệt trong tài chính, y tế và giáo dục.

Yêu cầu thực tế là bạn phải thật sự xóa được. Entergram cho phép xuất dữ liệu (theo từng danh mục và từng tài khoản, hoặc toàn bộ không gian làm việc dưới dạng file ZIP) và xóa vĩnh viễn dữ liệu tài khoản. Xóa một không gian làm việc sẽ xóa các ticket, nhật ký, trường dữ liệu, bình luận và tệp của nó. Entergram không lưu lịch sử tin nhắn trong cơ sở dữ liệu của mình: các cuộc trò chuyện ở lại trên Telegram, và Entergram chỉ giữ chúng trong bộ nhớ đệm ngắn hạn tự hết hạn. Vì vậy lớp CRM bạn xóa gồm siêu dữ liệu cuộc chat, thẻ, ghi chú, ticket và các trường có cấu trúc, và không có kho lưu trữ tin nhắn nào trong Entergram cần xóa. Nếu lịch lưu trữ của bạn yêu cầu giữ bản sao của chính các tin nhắn, đó là một việc riêng, được trình bày trong bài sao lưu chat Telegram cho doanh nghiệp. Trang bảo mật của chúng tôi trình bày chi tiết điều này.

Theo Điều 15 của quy định, bất kỳ chủ thể dữ liệu nào cũng có thể hỏi bạn đang giữ dữ liệu cá nhân nào về họ. Bạn có một tháng để trả lời. Phớt lờ yêu cầu là một trong những cách dễ nhất để bị phạt. Trả lời tốt chỉ là chuyện biết mình cần lấy dữ liệu từ những hệ thống nào.

Với một CRM Telegram, điều đó gồm: siêu dữ liệu cuộc chat của liên hệ, mọi thẻ đã gắn, mọi giá trị cột tùy chỉnh, mọi bình luận nội bộ, toàn bộ lịch sử ticket, mọi tin nhắn hàng loạt họ đã nhận và mọi sự kiện phân tích gắn với cuộc chat của họ. Tính năng xuất dữ liệu của Entergram bao phủ phía CRM: ticket, cuộc chat, liên hệ, nhóm và phân tích, theo từng tài khoản hoặc toàn bộ không gian làm việc dưới dạng file ZIP. Thu hẹp bản xuất về cuộc chat của chủ thể, rà soát xem có gì làm lộ thông tin của bên thứ ba không, rồi gửi đi. Bản thân nội dung tin nhắn nằm trên Telegram, không nằm trong bản xuất.

Với yêu cầu tương ứng về xóa (Điều 17, quyền được xóa), hãy xóa dữ liệu CRM bạn giữ về người đó trong Entergram (giá trị trường tùy chỉnh, bình luận, ghi chú và ticket), và thêm cuộc chat vào Excluded chats (cuộc chat bị loại trừ) nếu nó cần nằm ngoài giao diện CRM của bạn. Lịch sử tin nhắn Telegram trên chính thiết bị là chuyện riêng, chịu sự điều chỉnh của chính sách quyền riêng tư của Telegram, và chủ thể có thể tự xóa phía của họ trong ứng dụng Telegram. Đừng hứa xóa những gì bạn không kiểm soát.

Nếu đội bạn dùng Entergram để quản lý hội thoại khách hàng, bạn là bên kiểm soát và Entergram là bên xử lý. Theo Điều 28, mối quan hệ này phải được điều chỉnh bằng một thỏa thuận xử lý dữ liệu, và bạn nên có thỏa thuận đó với mọi bên xử lý trước khi lưu dù chỉ một liên hệ ở EU. Hãy yêu cầu từng nhà cung cấp trong bộ công cụ Telegram của bạn gửi điều khoản và đọc kỹ trước khi ký.

Điều 28 liệt kê những gì thỏa thuận đó phải bao gồm: chỉ xử lý theo chỉ dẫn bằng văn bản của bạn, bảo mật, các biện pháp kỹ thuật và tổ chức phù hợp, hỗ trợ thực hiện nghĩa vụ về truy cập của chủ thể và thông báo vi phạm, và minh bạch về các bên xử lý phụ. Về mặt kỹ thuật, các biện pháp của Entergram bạn có thể dẫn ra đều được ghi trong trung tâm trợ giúp: thông tin đăng nhập do ứng dụng lưu được mã hóa khi lưu trữ bằng AES-256-GCM, mỗi tài khoản kết nối chạy qua proxy riêng của nó, khóa API chỉ được lưu dưới dạng hash, và nhật ký kiểm toán của không gian làm việc (Log history) ghi lại ai đã làm gì.

Sau phán quyết Schrems II, việc chuyển dữ liệu cá nhân ra ngoài Khu vực Kinh tế châu Âu cần thêm biện pháp bảo vệ, thường là Điều khoản hợp đồng tiêu chuẩn (SCC) cùng một bản đánh giá tác động chuyển dữ liệu. Với việc dùng Telegram làm CRM, câu hỏi thực tế là: dữ liệu không gian làm việc và các file phiên đăng nhập của bạn được lưu trữ ở đâu?

Hãy hỏi mọi nhà cung cấp xem dữ liệu không gian làm việc và phiên đăng nhập được lưu ở đâu, áp dụng cơ chế chuyển dữ liệu nào, rồi ghi lại câu trả lời. Với Entergram, phiên Telegram được giữ ở backend của Entergram (không nằm trong trình duyệt của bạn), và thông tin đăng nhập do ứng dụng lưu được mã hóa khi lưu trữ bằng AES-256-GCM. Về vị trí lưu trữ và điều khoản chuyển dữ liệu, hãy hỏi trực tiếp đội ngũ qua hello@entergram.com. Nếu bạn cần toàn quyền kiểm soát nơi sản phẩm chạy, gói Enterprise có thêm tùy chọn tự lưu trữ (self-hosting). Hướng dẫn về chuyển dữ liệu của EDPB là tài liệu tham khảo chính nếu đội bảo mật của bạn hỏi.

Khi kiểm toán viên đến kiểm tra mức sẵn sàng cho ISO 27001 hoặc SOC 2, các câu hỏi về CRM Telegram luôn là năm câu giống nhau. Ai xem được một cuộc chat cụ thể? Thông tin đăng nhập phiên được bảo vệ thế nào? Mật khẩu được lưu ra sao? Chuyện gì xảy ra khi một thành viên rời đội? Bạn phát hiện truy cập trái phép bằng cách nào?

Câu trả lời ngắn gọn với Entergram: tin nhắn ở lại với tài khoản, còn dữ liệu CRM ở lại với cuộc chat. Mỗi tài khoản kết nối hoặc được chia sẻ với không gian làm việc (đăng nhập vào nhiều chỗ ngồi, phù hợp với đội hỗ trợ trả lời từ một tài khoản), hoặc được giữ riêng cho một người dùng. Một thành viên chưa đăng nhập vào tài khoản thì không đọc được tin nhắn của tài khoản đó, trong khi dữ liệu CRM trên một cuộc chat (trường dữ liệu, ticket, ghi chú, bình luận) hiển thị với bất kỳ ai truy cập được cuộc chat đó. Thông tin đăng nhập do ứng dụng lưu được mã hóa khi lưu trữ bằng AES-256-GCM. Đăng nhập dùng mã email một lần hoặc Google, nên không có mật khẩu Entergram nào cần lưu. Khi một thành viên nghỉ việc, bạn chỉ cần gỡ người đó khỏi không gian làm việc, và mọi phiên Telegram đã kết nối cũng có thể được kết thúc từ Settings → Devices của Telegram. Nhật ký kiểm toán của không gian làm việc (Log history) ghi lại các thao tác Telegram, CRM, ticket và thành viên, bao gồm cả tin nhắn hàng loạt và xuất dữ liệu, kèm khả năng xuất CSV cho chủ sở hữu và quản trị viên.

Nếu kiểm toán viên muốn có bảng đối chiếu biện pháp kiểm soát, các trang trong trung tâm trợ giúp về cách Entergram bảo vệ dữ liệu của bạn, những gì thành viên trong đội xem được, và Log history là tài liệu gốc để đối chiếu.

"Cách bạn dùng Telegram có tuân thủ GDPR không?" Có, khi bạn có cơ sở pháp lý cho từng hoạt động xử lý, một lịch lưu trữ được ghi thành văn bản, một thỏa thuận xử lý dữ liệu với nhà cung cấp CRM, một quy trình truy cập của chủ thể mà bạn thực hiện được trong vòng chưa đầy một tháng, biện pháp bảo vệ cho mọi hoạt động chuyển dữ liệu ra ngoài EEA, và một kiến trúc không gian làm việc thực thi ranh giới truy cập. Đó là câu trả lời thật. Entergram đảm nhận các phần phía CRM mà bạn kiểm soát trong sản phẩm: ranh giới truy cập theo từng tài khoản, xuất dữ liệu, xóa dữ liệu và nhật ký kiểm toán. Cơ sở pháp lý, lịch lưu trữ và các hợp đồng vẫn là việc của bạn.