Локализация персональных данных и сервер Odoo

Коротко: По требованию о локализации персональных данных компания, которая обрабатывает персональные данные граждан Узбекистана с помощью информационных технологий, должна хранить их в базах на технических средствах, физически расположенных в Узбекистане и зарегистрированных в государственном реестре. Данные CRM, кадров и кассы в Odoo — это тоже персональные данные, поэтому место сервера решается в начале проекта. Deep Vision, Odoo Gold Partner из Ташкента, поднимает этот вопрос на этапе диагностики и помогает выбрать решение вместе с вашим юристом.

При внедрении Odoo руководители обычно думают о модулях, цене и сроках, но редко спрашивают: «А где физически будет лежать база клиентов?» Между тем локализация персональных данных в Узбекистане — требование закона. Команда из Дубая или любой другой страны по привычке может развернуть сервер в своей стране или на знакомом международном хостинге. В этой статье разберем, что говорит закон, какие данные в Odoo считаются персональными и как выбрать сервер для Odoo в Узбекистане.

Важно: статья не является юридической консультацией. По вашей ситуации проконсультируйтесь с юристом.

Что такое локализация персональных данных и что говорит закон?

Локализация персональных данных — это обязанность собирать, систематизировать и хранить персональные данные граждан Узбекистана на технических средствах, расположенных на территории Узбекистана.

Закон № ЗРУ-666 от 14 января 2021 года дополнил Закон «О персональных данных» статьей 27-1. Согласно ей, собственники и операторы, обрабатывающие персональные данные граждан Узбекистана с использованием информационных технологий, обязаны собирать, систематизировать и хранить их в базах данных на технических средствах, физически размещенных на территории Узбекистана и зарегистрированных в Государственном реестре баз персональных данных. Норма вступила в силу 15 апреля 2021 года (Mondaq). Суть изменений и комментарии ответственных лиц приведены в материале Kun.uz.

Какие данные в Odoo являются персональными?

Многие считают персональными данными только «копию паспорта». На практике в Odoo они есть почти в каждом модуле:

CRM и продажи: имена клиентов, телефоны, адреса, история переписки;
Касса (POS) и программы лояльности: телефон покупателя, история покупок, бонусная карта;
Кадры и зарплата: паспортные данные, ПИНФЛ, члены семьи, зарплата, отпуска и больничные;
Доставка и сервис: адреса доставки, гарантийные и сервисные обращения;
Звонки и сообщения: записи звонков и история SMS, если они подключены к системе.

То есть даже обычная торговая компания в день запуска Odoo начинает обрабатывать персональные данные тысяч граждан.

Где зарубежная команда разворачивает сервер и почему это риск?

Представьте: розничная сеть из 15 магазинов внедряет Odoo с командой, приглашенной из-за рубежа. По своей практике команда разворачивает сервер на зарубежном хостинге, которым всегда пользуется: так удобно, резервное копирование и мониторинг уже настроены. Проект успешно запускается, в программу лояльности записываются десятки тысяч покупателей с номерами телефонов.

Через год аудитор или юрист задает вопрос: «Где находится ваша база клиентов и зарегистрирована ли она в реестре?» И выясняется:

сервер в другой стране, и для переноса нужен новый проект;
в договоре не указано, где хранятся данные;
полный доступ к серверу есть только у зарубежной команды;
резервные копии тоже за рубежом.

Дело не в квалификации команды. Команда из другой деловой среды привыкла работать по правилам своей страны и может не знать об этом требовании Узбекистана. Местная команда сталкивается с этим вопросом в каждом проекте.

Где можно разместить сервер Odoo?

Odoo устанавливается разными способами, в том числе на собственный сервер компании (on-premise). Это дает несколько вариантов для соблюдения требования о локализации персональных данных:

Собственный сервер компании: сервер в офисе или на складе. Полный контроль, но ответственность за питание, охлаждение, резервные копии и безопасность лежит на вас.
Дата-центр в Узбекистане: арендованный физический или виртуальный сервер в местном дата-центре. Инфраструктура у провайдера, данные остаются в стране.
Смешанная схема: основная база с персональными данными в Узбекистане, а часть без персональных данных в другом месте. Такую схему нужно отдельно проверить с юристом.

О различиях Odoo Community и Enterprise мы писали в статье Odoo Community или Enterprise. Какой вариант подойдет вам, зависит от объема данных, ваших ИТ-специалистов и бюджета.

Как проверить локализацию персональных данных: чек-лист заказчика

Перед стартом проекта Odoo или для текущей системы выясните:

В какой стране и каком дата-центре физически находится база Odoo?
Где хранятся резервные копии и должны ли они тоже быть в Узбекистане, по мнению вашего юриста?
Зарегистрирована ли база персональных данных в Государственном реестре баз персональных данных?
Кто имеет административный доступ к серверу и закреплено ли это в договоре?
Есть ли в договоре пункты о месте хранения данных, их принадлежности и порядке передачи по окончании проекта?
Сможете ли вы сами управлять доступом к серверу и базе, если отношения с партнером прекратятся?
Где хранят данные внешние сервисы, подключенные к Odoo (SMS, телефония, почта)?

Если на какой-то вопрос ответ «не знаю», это первая тема для обсуждения с юристом и ИТ-партнером.

Как этот вопрос решает Deep Vision?

Deep Vision работает в Ташкенте и ведет проекты с клиентами в Узбекистане и в Центральной Азии. Наш подход к персональным данным:

работа начинается с диагностики: обсуждаем, в каких модулях будут персональные данные и где будет стоять сервер, затем даем поэтапную смету;
вариант размещения сервера выбираем вместе с клиентом и его юристом; юридических заключений мы не даем, но объясняем технические варианты;
команда в Ташкенте, поэтому если нужно работать на вашем собственном сервере, специалист приезжает в ваш офис (наш офис: улица Шахрисабз, 25, офис 401);
7 сертифицированных экспертов Odoo, статус Odoo Gold Partner (страница партнера на odoo.com).

По условиям Odoo уровень Gold требует 300 новых пользователей Enterprise в год, 6 сертифицированных специалистов и не менее 80% удержания клиентов; у Deep Vision этот показатель 89%. Смотрите также руководство из 12 вопросов по выбору партнера Odoo в Узбекистане, статью Odoo POS для розницы и услугу внедрение Odoo или заполните короткий бриф.

Частые вопросы

Касается ли это требование небольших компаний?

В тексте закона речь идет о собственниках и операторах, а не об исключениях по размеру компании. Свою ситуацию подтвердите у юриста.

Можно ли установить Odoo на сервер в Узбекистане?

Да, Odoo можно установить на собственный сервер компании или на сервер в местном дата-центре. Выбор зависит от объема данных и ИТ-ресурсов.

Что делать, если наша база Odoo сейчас за рубежом?

Сначала оцените ситуацию с юристом. Технически базу можно перенести на сервер в Узбекистане, делать это нужно по плану и с тестовым переносом.

Можно ли хранить резервные копии за рубежом?

Это юридический вопрос. Закон требует хранить данные на технических средствах в Узбекистане, поэтому схему резервного копирования согласуйте с юристом.

Кто регистрирует базу в государственном реестре?

Уточните это у юриста: кто подает заявление, какие документы нужны и в какие сроки. ИТ-партнер поможет подготовить технические сведения о сервере и базе.

Источники

Чтобы спланировать, где будут храниться сервер и данные Odoo, заполните бриф или позвоните: +998 77 093 00 07.

Назад в блог