WhatsApp в компании: быстро – и без рисков.

WhatsApp быстрый, ничего не стоит и понятен каждому. Поэтому им одинаково пользуются ремонтные бригады, выездные команды, клининговые компании, управляющие компании и службы ухода. Но как только мессенджер используется для работы, действует Общий регламент ЕС по защите данных (GDPR) – и отвечает за это компания, а не отдельный сотрудник. Хорошая новость: чёткое разделение, несколько настроек и письменные правила для команды заметно снижают главные риски.

Почему GDPR вообще применяется

GDPR защищает персональные данные – то есть всё, что можно отнести к конкретному человеку: имя, номер телефона, адрес, а также фото таблички на двери или голосовое сообщение с узнаваемым голосом. В личной переписке с друзьями это почти не играет роли. Но если ты используешь WhatsApp для бизнеса, компания становится «контролёром» данных и должна уметь объяснить, какие данные она обрабатывает, зачем, на каком правовом основании и как их защищает. Это касается и случаев, когда сотрудники пользуются своими телефонами.

Главная проблема: синхронизация контактов

Самое щекотливое место обычно не сам чат, а записная книжка. Если у WhatsApp есть доступ к контактам, номера из неё передаются провайдеру – в том числе номера людей, которые WhatsApp вообще не пользуются и никогда на это не соглашались. В рабочем контексте это сложно обосновать. Типичные решения:

• —Запретить WhatsApp доступ к контактам в настройках телефона и начинать чаты по номеру.
• —Хранить на рабочем телефоне только контакты тех, кто согласен на общение в WhatsApp.
• —Держать рабочие контакты в отдельной зоне, например в рабочем профиле, который есть на многих смартфонах, – при сомнениях спроси у своего IT-специалиста.

WhatsApp или WhatsApp Business?

Для общения с клиентами WhatsApp Business обычно лучше. Ты получаешь профиль компании с адресом и часами работы, можешь настроить автоответ об отсутствии и быстрые ответы, а чаты сортировать с помощью ярлыков. А главное – так ты чётко отделяешь работу от личного WhatsApp. Саму базовую проблему защиты данных бизнес-приложение не решает: доступ к контактам и здесь нужно проверить и установить понятные правила. Для больших команд с множеством обращений есть WhatsApp Business Platform, которую обычно подключают через специализированных провайдеров.

Рабочий телефон или личный?

Чище всего – рабочий телефон, который используется только для работы. Тогда контакты и чаты принадлежат компании, ты можешь задавать настройки, а при увольнении сотрудника устройство остаётся в компании. Если команда работает с личных телефонов («Bring your own device»), всё сложнее: ты почти не контролируешь, какие данные где оказываются, а личные и рабочие контакты смешиваются. Если без личных устройств не обойтись, хотя бы письменно зафиксируй, каким данным там не место и что происходит при увольнении.

Согласие и информирование

Если клиент сам пишет тебе в WhatsApp, это ясный знак, что ему удобен этот канал. И всё же будь прозрачен: упомяни WhatsApp в своей политике конфиденциальности, всегда предлагай альтернативу – телефон или почту – и не пиши никому в WhatsApp без спроса только потому, что его номер есть в базе. Для рекламных рассылок нужно явное согласие. Что касается сотрудников: никого не стоит заставлять устанавливать WhatsApp на личный телефон, чтобы быть на связи по работе.

Чему никогда не место в чате WhatsApp

Некоторые данные настолько чувствительны, что их в принципе не стоит отправлять через потребительский мессенджер. Это:

• —Данные о здоровье – диагнозы, больничные с указанием причины, лекарства, результаты обследований, фото травм
• —Банковские реквизиты, номера карт и доступы к счетам
• —Копии паспортов и удостоверений
• —Кадровые документы: зарплаты, взыскания, резюме кандидатов
• —Пароли, коды сигнализации и места, где клиенты прячут ключи

Особенно строг GDPR к данным о здоровье (ст. 9 GDPR). Поэтому тем, кто работает в уходе или во врачебной практике, для общения с пациентами и подопечными стоит использовать предназначенные для этого каналы – например, сертифицированный защищённый мессенджер национальной системы здравоохранения.

Правила для команды, которые работают

Большинство утечек данных случается не по злому умыслу, а из-за удобства: фото повреждения быстро уходит в общий чат команды, код от двери попадает в переписку, потому что срочно. Короткие понятные правила помогают больше, чем двадцатистраничный документ, который никто не читает. Хорошо себя зарекомендовали:

1. 01Один рабочий номер для клиентов, отдельно от личного.
2. 02Группы только того размера, который нужен, – по объекту, маршруту или заказу, а не одна группа на всех.
3. 03Фото и документы вовремя переносить в карточку заказа и удалять из чата.
4. 04Никаких чувствительных данных в чате – лучше позвонить или использовать защищённый канал.
5. 05Проверить автоматические облачные резервные копии чатов и осознанно решить, нужны ли они.
6. 06Блокировка экрана и, где возможно, удалённое стирание на всех рабочих телефонах.
7. 07При увольнении: выйти из групп, передать рабочие чаты, вернуть рабочий телефон.

Минимизация данных: меньше – значит безопаснее

Один из базовых принципов GDPR – минимизация данных: обрабатывай только то, что действительно нужно для цели, и удаляй то, что больше не нужно. Для WhatsApp это значит очень практичное: не каждое голосовое должно месяцами лежать в чате. Важное переносится в твою основную систему – папку заказа, клиентскую базу, отраслевую программу, – а чат потом можно чистить. Кто регулярно чистит чаты, тот и теряет меньше, если телефон пропадёт.

Сервисы вокруг WhatsApp: не забудь про DPA

Если ты используешь дополнительные сервисы, которые обрабатывают содержимое чатов – например, для расшифровки, тикет-систем или платформ клиентской поддержки, – эти провайдеры обрабатывают персональные данные по твоему поручению. Для этого, как правило, нужен договор об обработке данных (DPA) по ст. 28 GDPR. Также обрати внимание, где обрабатываются данные, сохраняются ли они и как долго. Серьёзный провайдер ответит на эти вопросы без увёрток.

Пример – Summarize.One: голосовые сообщения и краткие пересказы только обрабатываются и сразу удаляются, то, что нужно для работы сервиса, хранится на серверах в ЕС, а в тарифе Business ты получаешь DPA. Важно: экономный в отношении данных сервис не делает твоё использование WhatsApp автоматически соответствующим GDPR. Правила выше всё равно нужны.

Коротко

Шаблон: правила работы с мессенджерами для команды

Этот шаблон можно скопировать, адаптировать под свою компанию и дать команде на подпись. Он намеренно короткий, чтобы его действительно прочитали. При сомнениях попроси ответственного за защиту данных его проверить.

Правила работы с мессенджерами в [название компании]
Редакция от: [дата]

1. Устройства
По работе мы общаемся через [рабочие телефоны / WhatsApp Business на рабочем номере]. Общение с клиентами с личных номеров не предусмотрено.

2. Контакты
На рабочих телефонах у WhatsApp [нет доступа к записной книжке / есть доступ только к контактам, давшим согласие].

3. Группы
Группы создаются только по [заказу / маршруту / объекту]. Кто больше не участвует, выходит из группы.

4. Чему не место в чате
Данные о здоровье, банковские реквизиты и доступы, копии документов, кадровые документы, коды от дверей и места хранения ключей. Такую информацию мы передаём по телефону или через [защищённый канал].

5. Хранение и удаление
Фото, замеры и договорённости в течение [X дней] переносятся в [систему / папку заказа] и затем удаляются из чата.

6. Безопасность
На всех устройствах включена блокировка экрана. О потере или краже сразу сообщается [ответственному].

7. Дополнительные сервисы
Новые приложения или боты, которые обрабатывают содержимое чатов, используются только с разрешения [ответственного].

8. Увольнение
При увольнении рабочие чаты передаются, из групп нужно выйти, рабочие устройства – вернуть.

Вопросы: [имя, контакт]

Прочитал(а) и понял(а): ____________________

Что это значит для твоей отрасли

• —Ремонт и строительство: собирать заявки клиентов в WhatsApp Business, фото повреждений вовремя переносить в папку заказа.
• —Выездной сервис и продажи: не оставлять отчёты о визитах в чате, а переносить их в CRM.
• —Клининг и управление недвижимостью: никаких мест хранения ключей и кодов сигнализации в сообщениях, группы по объектам.
• —Уход и врачебная практика: максимум – организационные вопросы без персональных данных. Данные пациентов и подопечных – только в сертифицированный защищённый мессенджер национальной системы здравоохранения или другие предназначенные для этого системы.