#Передача персональных данных во внешнюю CRM

Статус: Планируется. Подключение внешней CRM, журнал раскрытий и журнал выдач не реализованы: сегодня журнала передач нет. Страница описывает порядок, принятый в проекте. Это техническое описание, а не юридическая консультация и не гарантия соответствия законодательству. Условия обработки ПДн определяются вашим договором с нами и законами вашей страны; за юридической оценкой обращайтесь к своему юристу.

Лиды и контакты содержат персональные данные (ПДн): имя, почту, телефон, историю обращений. Подключая внешнюю CRM, вы разрешаете передавать эти данные за пределы платформы. Страница объясняет роли сторон, что фиксируется при подключении, как устроены выдачи данных и чем отличается тонкая нагрузка событий от полной.

Доступ: области, дающие ПДн, — leads:read, conversations:read и другие из описания ключей. Платно: нет. ПДн: да. Ячейки: данные лежат в базе той ячейки, где работает ваш ключ, см. Ячейки и данные.

#Роли сторон

Роль	Кто	Что означает
Оператор ПДн	Вы (арендатор)	Определяете цели и способы обработки данных ваших клиентов
Обработчик	Формула ИИ	Обрабатывает данные по вашему поручению
Получатель	Ваша внешняя CRM и её поставщик	Принимает данные от вашего имени

Передача данных в вашу CRM — это ваше решение как оператора. Мы фиксируем факт подключения, страну размещения и основание, которое вы назвали.

#Что вы указываете при подключении

При подключении внешней CRM как интеграции потребуются:

Сведение	Зачем
Страна размещения CRM	На ячейке RU определяет, будут ли выданы области ПДн и `include_pii`: допускается только РФ
Основание передачи	Ваше подтверждение права передавать данные получателю
Перечень передаваемых полей	Фиксируется в журнале раскрытий
Флаг `include_pii` у подписки на вебхуки	Включает ПДн прямо в события (по умолчанию выключен), см. ниже

Эти сведения записываются в журнал раскрытий: интеграция, поля, основание, страна, время.

#Ячейка RU: обязательные условия

Точки с ПДн (conversations:*, leads:*) открыты на всех трёх ячейках. Данные клиентов ячейки RU хранятся в России; ключ ячейки сам по себе не гарантирует, что данные останутся в России, — их можно забрать с российского адреса и переслать дальше. Поэтому для ключей с областями ПДн в ячейке RU действуют условия:

Условие	Что это
Список IP интеграции	Обязателен: ключ с такими областями без списка не выпускается
Страна размещения принимающей системы	Указывается при подключении; допускается только РФ
Основание передачи	Указывается при подключении: ваше подтверждение права передавать данные получателю
Журнал раскрытий и журнал выдач	Ведутся на каждую интеграцию (см. ниже)

На ячейке RU ПДн передаются только получателям, размещённым в РФ. Если при подключении интеграции указана страна размещения, отличная от РФ:

области conversations:*, leads:* и флаг include_pii для этой интеграции не выдаются;
запрос на их выдачу завершается ошибкой pii_transfer_not_allowed (HTTP 403, каталог ошибок);
чтобы получать ПДн, разместите принимающую систему в РФ либо не запрашивайте области с ПДн и include_pii: тонкие события и запросы без ПДн остаются доступны;
страна размещения записывается в журнал раскрытий.

#Журнал выдач

Каждая выдача ПДн записывается в журнал без самих значений: кто (интеграция и ключ), что (тип данных), сколько записей, когда. Выдачей считаются:

ответ API, содержащий контакт (например, GET /leads);
событие вебхука с include_pii: true.

Журнал помогает ответить на вопрос «какие данные и когда ушли во внешнюю систему», не создавая второй копии самих данных. Арендатор видит журнал в кабинете и запросом GET /disclosures. Записи хранятся 3 года.

#Нагрузка событий: тонкая и полная

События вебхуков по умолчанию «тонкие»: тип, идентификаторы и версия, без ПДн. Например, lead.created содержит lead_id, но не имя и телефон. Чтобы получить содержимое, получатель сам делает запрос GET /leads/{id} со своим ключом. Так ПДн не уходят на адрес, который не доказал владение ключом.

Нагрузка	Что в событии	Когда подходит
Тонкая (`include_pii: false`, по умолчанию)	Тип события, идентификаторы, версия	Получатель умеет запрашивать детали сам
Полная (`include_pii: true`)	Событие вместе с данными лида и контакта	CRM, которой вы доверили ПДн и которая не должна делать дополнительных запросов

Флаг include_pii задаётся у подписки (Вебхуки) и допустим только для событий lead.*, contact.*, conversation.*. У интеграции должны быть leads:read и/или conversations:read. Включение отмечается в журнале раскрытий, каждая такая отправка — в журнале выдач. Событие message.created текст сообщения не содержит никогда: он запрашивается отдельно (с правом conversations:read). Вебхуки старого формата передавали в событиях текст сообщений клиента; в новой схеме этого нет.

#Что маскируется до моделей

Когда лид оценивает модель или с ним работает ИИ-продажник, из текста переписки перед отправкой модели удаляются телефоны, почта, номера карт, аккаунты мессенджеров, паспортные данные, СНИЛС, ИНН, имена и адреса — они заменяются заглушками. Это защита на стороне ИИ; она не касается данных, которые вы получаете через API. Подробнее — Оценка лидов.

Стратег ПДн не видит по построению: ему доступны только агрегаты.

#Как ограничить, кому уходят данные

Выпускайте ключи с минимальным набором областей: если интеграции не нужны лиды, не давайте leads:read.
Для интеграции на RU список разрешённых IP-адресов обязателен для областей ПДн; на остальных ячейках его тоже стоит задать.
Разделяйте ключи: один ключ для чтения лидов во внешней CRM, другой — для публикации статей.
Отзывайте ключи при смене подрядчика: отзыв действует не позже чем через минуту.

#Удаление данных

Порядок удаления и правки ПДн во внешней CRM по запросу субъекта (клиента), включая передачу запроса получателю, в проекте не описан.

#Открытые вопросы

Удаление и исправление ПДн по запросу клиента: механизм и срок (к владельцу).
Область и параметры GET /disclosures (техническое; уточнится в OpenAPI и на странице Аутентификация).
Распространяется ли описание на ячейки EN и ID одинаково: ID продаётся через партнёра-реселлера, юрлицо отличается (к владельцу).