За номер клиента в ChatGPT прилетит штраф

Владелец студии копирует переписку с клиентом — с именем, телефоном и адресом доставки — и вставляет в ChatGPT: «составь вежливый ответ». Ответ выходит отличный. А вот номер и адрес чужого человека только что уехали на сервер, к которому у владельца нет никакого доступа. И согласия клиент на это не давал. Ситуация бытовая, а по закону — уже нарушение. Давайте разберём, как пользоваться нейросетями и чат-ботами, не подставляя ни клиентов, ни себя.

Что вообще считается персональными данными

Многие думают, что персональные данные — это паспорт и прописка. На деле планка гораздо ниже. Имя вместе с телефоном, e-mail, адрес доставки, номер заказа, привязанный к человеку, — всё это данные, за которые бизнес отвечает. Как только вы собираете такое у клиента (через форму на сайте, бота в мессенджере, анкету), вы становитесь оператором персональных данных со всеми обязанностями.

Практический ориентир: если по строчке можно понять, о ком речь, и связаться с этим человеком, — это персональные данные. «Заказ №308, доставка на Ленина, 12, получатель Ирина, +7 916…» — да. «Клиент хочет синюю кружку» — нет.

Согласие — не галочка для вида, а ваша защита

Клиент оставляет телефон в форме — рядом должна быть понятная галочка про согласие на обработку данных и ссылка на политику конфиденциальности. Это не бюрократия ради бюрократии: именно согласие превращает сбор номера из нарушения в законное действие. Нет согласия — нет права хранить и использовать контакт.

Что стоит проверить у себя:

• на каждой форме сбора контактов есть галочка согласия — не проставленная заранее, а которую человек ставит сам;
• на сайте лежит политика обработки персональных данных, и на неё ведёт ссылка из формы;
• вы собираете ровно то, что нужно для дела: для записи на стрижку не нужен паспорт, хватит имени и телефона;
• клиент понимает, зачем вы берёте данные и что с ними будет.

Почему нельзя вставлять данные клиентов в публичный чат

Самая частая тихая ошибка малого бизнеса. Менеджер загружает в ChatGPT, Gemini или другой публичный сервис таблицу с клиентской базой — «отсортируй», «напиши каждому». Удобно. Но данные ушли за пределы компании, на чужие серверы, и вы уже не контролируете, где они и кто их увидит. Согласия клиентов на такую передачу у вас нет.

Простое правило: нейросеть — отличный помощник по тексту, но кормить её реальными персональными данными не нужно. Обезличивайте. Вместо «Напиши Ирине Петровой, +7 916…, что заказ №308 задержался» просите: «Напиши клиенту вежливое сообщение о задержке заказа». Шаблон вы получите тот же, а имя и номер останутся у вас. Подставите их вручную.

Было → стало: три рабочие сцены

Так это выглядит на практике, без теории.

• Рассылка. Было: владелец вставляет список из 200 клиентов с телефонами в чат нейросети и просит написать каждому. Стало: он просит один шаблон поздравления, а рассылку делает в своём сервисе, где база и хранится.
• Ответ на отзыв. Было: копирует отзыв целиком с именем и городом человека. Стало: убирает имя, оставляет суть претензии — «клиент жалуется на долгую доставку» — и получает такой же вежливый ответ.
• Договор. Было: загружает подписанный договор с паспортными данными, чтобы «вытащить условия». Стало: удаляет страницу с реквизитами сторон, оставляет только предмет и условия — этого хватает.

Где данные должны жить

Для российского бизнеса есть отдельное требование: персональные данные граждан РФ должны храниться и обрабатываться на серверах в России. Отечественные сервисы вроде GigaChat и Алисы изначально работают в этом контуре, и это стоит держать в голове, когда выбираете инструменты для сбора заявок и общения с клиентами. Публичный зарубежный чат для «причесать текст» — можно, но без реальных данных клиентов внутри.

Отдельно — про сотрудников. База контактов не должна лежать в личном мессенджере или в чужой заметке. Чем меньше людей и сервисов видят клиентскую базу, тем спокойнее вы спите.

Типичные ошибки, из-за которых прилетает

• Форма без галочки согласия и без политики конфиденциальности — самый частый повод для претензии.
• Сбор лишнего «на всякий случай»: паспорт, дата рождения, которые для услуги не нужны.
• Клиентская база гуляет по личным чатам сотрудников и их домашним ноутбукам.
• Реальные имена и телефоны — прямо в публичную нейросеть.
• Забыли удалить данные, когда клиент об этом попросил, или хранят их годами без причины.

С чего начать

Не нужно поднимать юридический отдел. Сегодня достаточно трёх шагов: поставьте на все формы сбора контактов галочку согласия и ссылку на политику; договоритесь с командой, что реальные данные клиентов в публичные чаты не летят — только обезличенные запросы; уберите базу из личных переписок в один защищённый инструмент. Дальше нейросети останутся тем, чем и должны быть, — быстрым помощником по тексту, а не источником штрафа. А когда бизнес дорастает до чат-ботов и ИИ-агентов, которые сами общаются с клиентами и работают с их данными, юридическую сторону лучше закладывать сразу — этим, среди прочего, и занимается МАВИИ, когда помогает компаниям внедрять ИИ по-белому.