Сбор контактов в чат-боте и 152-ФЗ: что обязан сделать владелец сайта

Как только чат-бот на вашем сайте просит телефон или почту, вы становитесь оператором персональных данных — со всеми обязанностями, которые из этого следуют. Сервис, предоставивший бота, оператором не становится: он обрабатывает данные по вашему поручению.

Это не юридическая консультация, а разбор того, что мы сами построили, чтобы наши клиенты не оказались в неприятном положении. Проверьте по этому списку свой сервис — неважно, наш или чужой.

TL;DR

Собираете контакты через бота — оператор вы, а не сервис.
Нужны: политика обработки на вашем сайте, согласие в форме, понимание, где хранятся данные.
Сервис обязан спросить всё это до включения сбора, а не после.
Особая осторожность со специальными категориями — здоровье, судимость и подобное.
Полезная настройка — не хранить контакты у сервиса, только пересылать вам.

Кто здесь кто

Закон разделяет две роли, и путать их дорого.

Оператор — тот, кто определяет цели и состав обрабатываемых данных. Если вы поставили на свой сайт бота, чтобы собирать заявки от клиентов, цель определили вы. Оператор — вы.

Лицо, обрабатывающее по поручению оператора — сервис, чей бот технически принимает и передаёт данные. Он действует в рамках вашего поручения и не решает, что собирать.

Практический вывод: требования закона к оператору — уведомление в реестр, политика, ответы на обращения субъектов, реакция на запросы надзора — лежат на вас. Сервис отвечает за свою часть: техническую защиту, хранение там, где обещал, и исполнение вашего поручения.

Что должно быть на вашей стороне

1. Политика обработки персональных данных

Опубликованный на вашем сайте документ. В нём: какие данные вы собираете, зачем, сколько храните, кому передаёте (в том числе что для ответов используется сторонний AI-сервис), как человек может отозвать согласие.

Ссылка на этот документ должна стоять прямо в форме, где человек оставляет контакт, а не только в подвале сайта.

2. Согласие, которое человек даёт осознанно

Отдельная галка, не отмеченная заранее. Формулировка — под ваши данные и вашу цель. Общее «согласен со всем» не годится: согласие должно быть конкретным.

Текст стоит писать самому, а не брать чужой. Если ваш бот собирает только имя и телефон для перезвона, так и напишите — это честнее и безопаснее, чем универсальная простыня.

3. Понимание, где данные лежат

Персональные данные граждан России должны записываться в базы, расположенные в России. Спросите у сервиса прямо: где физически находятся серверы с базой. Ответ «в облаке» — не ответ.

Отдельный вопрос — что уходит к моделям. Текст переписки отправляется AI-провайдеру для генерации ответа, и это нужно отразить в своей политике. Хорошая практика — вообще не подавать модели лишнего: например, передавать адрес страницы без параметров запроса, потому что в хвостах ссылок часто оказываются токены и почты.

Специальные категории: где начинается настоящий риск

Данные о здоровье, интимной жизни, судимости, национальности, религии — это специальные категории, и требования к ним строже.

Медицинская клиника, чей бот спрашивает «что вас беспокоит?», рискует собрать именно такие данные, даже не планируя этого. Тут два пути: либо вы осознанно выстраиваете обработку по повышенным требованиям, либо инструктируете агента не запрашивать и не фиксировать такие сведения, а приглашать на консультацию.

Второй путь для большинства правильнее. В инструкции агента это выглядит как явное правило: диагнозы не ставим, о состоянии здоровья не расспрашиваем, предлагаем записаться к врачу.

Что спросить у сервиса до включения сбора

Хороший сервис ответит на все шесть вопросов без запинки:

Где физически хранятся данные?
Требуете ли вы указать мою политику обработки и подтвердить, что оператор — я? (Если нет — плохой знак: сервис даёт вам нарушить закон в один клик.)
Могу ли я задать свой текст согласия?
Могу ли я не хранить контакты у вас, а только получать их?
Что именно уходит AI-провайдеру и в каком виде?
Как удалить данные конкретного человека по его обращению?

Четвёртый пункт заслуживает пояснения. Режим «не хранить» означает, что карточка заявки не сохраняется у сервиса. Но сама переписка остаётся: если человек назвал телефон прямо в диалоге, он будет виден в истории. Сервис обязан об этом предупредить, а не делать вид, что настройка стирает всё.

Как это устроено у нас

Мы построили включение сбора контактов как гейт, который нельзя проскочить. Чтобы агент начал просить телефон, владелец должен:

указать ссылку на свою политику обработки персональных данных;
подтвердить, что оператор — он, а Lumen AI обрабатывает данные по его поручению;
подтвердить, что не собирает специальные категории через агента (а если собирает — обеспечивает согласие сам).

Пока эти три условия не выполнены, сбор контактов просто не включается. Текст согласия владелец может задать свой, ссылка на политику подставляется в форму автоматически.

Отдельно: агент, которому владелец не включил сбор заявок, не выпрашивает контакты даже в режиме активной продажи — он зовёт к следующему шагу и подсказывает, как связаться с компанией. Это сделано специально, чтобы функция «веди разговор к заявке» не обходила гейт согласия.

Данные хранятся на серверах в России.

Частые вопросы

Нужно ли подавать уведомление в Роскомнадзор? Обработка персональных данных как оператор в общем случае требует уведомления, и с 2025 года исключений стало заметно меньше. Конкретно ваш случай стоит проверить с юристом — но исходите из того, что уведомление нужно.

Можно ли собирать контакты без галки согласия? Нет. Молчание или предзаполненная галка согласием не считаются.

А если человек сам написал телефон в чате, без формы? Вы всё равно его обрабатываете. Поэтому в политике стоит описать и такой случай, а в инструкции агента — не провоцировать на это, если сбор у вас не включён.

Кто отвечает, если данные утекут у сервиса? Перед субъектом отвечает оператор, то есть вы, — потому что поручение давали вы. Поэтому и выбирать сервис стоит по ответам на шесть вопросов выше, а не по цене.

Что делать, если клиент просит удалить свои данные? Обязаны удалить и уметь это технически. Проверьте, есть ли в сервисе способ удалить заявку и переписку конкретного человека, — до того, как такой запрос придёт.

Материал носит справочный характер и не заменяет консультацию юриста: за состав документов и уведомлений отвечает оператор, то есть владелец сайта.

В Lumen AI сбор контактов включается только после того, как владелец указал свою политику и подтвердил статус оператора; текст согласия задаётся свой; есть режим «не хранить заявки у нас»; данные хранятся в России. Создание и публикация агента — бесплатны.