Почему выбор CRM касается 152‑ФЗ
Всё, что попадает в CRM — имена, телефоны, переписка, записи звонков, история заказов, — относится к персональным данным (ПДн). За них отвечает ваша компания как оператор. Облачная CRM обрабатывает данные по вашему поручению (ч. 3 ст. 6 152‑ФЗ), и за её действия перед клиентами отвечаете вы (ч. 5 ст. 6). Если CRM допустит утечку, уведомлять Роскомнадзор (РКН) и платить штраф будет оператор.
Отсюда три практических следствия. Сервис должен хранить базы в России: с 1 июля 2025 года ч. 5 ст. 18 прямо запрещает записывать, хранить и извлекать ПДн граждан России с использованием баз данных за рубежом. С поставщиком нужен договор или условие о поручении. А если вы собираете данные на основании согласия, в его тексте указывают лицо, которое обрабатывает данные по поручению (ч. 4 ст. 9): название CRM-провайдера стоит вписать в согласие и в политику обработки ПДн.
Что зафиксировать до выбора
Требования к CRM зависят от того, какие данные в неё попадут. Перед демонстрациями ответьте на вопросы:
- Чьи данные: клиенты, лиды с сайта, сотрудники, соискатели, контрагенты.
- Какие данные: контакты, адреса, паспорт, записи звонков, сведения о здоровье. Специальные категории (ст. 10) повышают требования к защите — это касается, например, медицинских клиник.
- Сколько записей: от объёма зависят требования к защите и размер штрафа при утечке.
- Откуда приходят данные: формы сайта, телефония, мессенджеры, маркетплейсы, 1С.
- Куда уходят: рассылки, службы доставки, рекламные кабинеты, ИИ-функции.
- Кто получит доступ: менеджеры, руководители, внешний интегратор, разработчики виджетов.
- Сколько хранить и когда удалять: срок связан с целью обработки.
Критерии выбора CRM с учётом ПДн
| Критерий | Зачем нужен | Как проверить |
|---|---|---|
| Хранение данных в России | Ч. 5 ст. 18 запрещает запись, хранение и извлечение ПДн граждан РФ с использованием баз за рубежом | Документы вендора, страница безопасности, письменный ответ с названием ЦОД |
| Поручение на обработку | Без поручения передача данных в CRM не оформлена | Пункт в лицензионном договоре или отдельный документ с условиями ч. 3 ст. 6 |
| Облако или своя установка | Определяет, кто отвечает за сервер, обновления и защиту | Наличие коробочной версии, требования к серверу |
| Права доступа | Менеджер должен видеть только свои сделки и нужные поля | Роли, права на воронки и поля, запрет выгрузки |
| Защита входа | Украденный пароль — частая причина утечек | Двухфакторная аутентификация, белый список IP, единый вход |
| Журнал действий | Нужен для расследования утечки и ответа РКН за 72 часа | Журнал входов, изменений, экспорта |
| Выгрузка и удаление | Ответ субъекту за 10 рабочих дней, уничтожение в пределах 30 дней | Экспорт карточки, удаление, срок хранения бэкапов |
| Интеграции и виджеты | Каждое приложение с доступом к базе — ещё один обработчик | Список подключений, где работают их серверы |
Где хранятся данные
С 1 июля 2025 года ч. 5 ст. 18 (в редакции ФЗ от 28.02.2025 № 23‑ФЗ) прямо запрещает запись, систематизацию, накопление, хранение, уточнение и извлечение ПДн граждан России с использованием баз данных за рубежом; исключения из ч. 1 ст. 6 к обычной CRM для продаж не относятся. Уточните не только основной ЦОД, но и резервные копии, файловое хранилище, сервис рассылок и телефонию. Зарубежная CRM, даже с копией базы в России, под этот запрет попадает, а передача данных за рубеж требует ещё и уведомления о трансграничной передаче.
Поручение на обработку
По ч. 3 ст. 6 в поручении должны быть перечень данных, перечень действий, цели обработки, обязанность соблюдать конфиденциальность и защищать данные по ст. 19, обязанность уведомлять оператора об инцидентах и подтверждать принятые меры по запросу. У облачных сервисов поручение обычно входит в лицензионный договор или оферту и принимается вместе с ней. Если такого раздела нет, запросите отдельное соглашение.
Облако или своя установка
Облачная CRM снимает с вас администрирование: сервер, обновления и резервные копии обеспечивает вендор. Коробочная версия на вашем сервере в России даёт полный контроль над данными, но защиту, бэкапы и обновления берёт на себя ваша команда. Коробку выбирают при больших объёмах, специальных категориях данных и требованиях службы безопасности.
Доступы, журнал и выгрузка
Проверьте на пробном аккаунте: можно ли запретить менеджеру экспорт базы, скрыть отдельные поля, ограничить вход по IP, включить обязательную двухфакторную аутентификацию. В журнале должно быть видно, кто и когда входил, менял и выгружал данные. Для запросов клиентов нужна выгрузка одной карточки и окончательное удаление с понятным сроком хранения резервных копий.
Сравнение популярных CRM
Сведения в таблице — из договоров, оферт и страниц безопасности вендоров по состоянию на октябрь 2026 года. Если пункт в этих документах не описан, функция всё равно может быть: спросите о ней поставщика. Наличие компании в реестре операторов проверьте по ИНН на pd.rkn.gov.ru.
| CRM | Где хранятся данные | Поручение на обработку | Облако или установка у себя | Доступ и защита входа | Журнал | Выгрузка и удаление |
|---|---|---|---|---|---|---|
| amoCRM, АО «амоЦРМ», ИНН 7709477879 | Распределённая сеть серверов в России (страница «Безопасность») | В лицензионном соглашении и политике поручение не описано — запросите | Облако | Права пользователей, групп, воронок и полей; белый список IP; 2FA; единый вход на тарифах Enterprise | «Список событий» с событиями безопасности, лог авторизаций | Полный экспорт данных, экспорт сделок и контактов; удаление сделок и контактов |
| Битрикс24, ООО «1С‑Битрикс», ИНН 7717586110 | Серверы в России, в справке названы дата-центры в Москве | Поручение — часть лицензионного соглашения; базы на территории РФ (п. 3.6), редакция от 14.08.2026 | Облако и коробочная версия | Ролевая модель прав в CRM (не на всех тарифах), 2FA | История изменений элементов CRM | Экспорт в CSV и Excel; срок удаления после прекращения в поручении не указан |
| RetailCRM, ООО «РИТЕЙЛДРАЙВЕР», ИНН 7724941710 | Российские дата-центры Yandex Cloud и Selectel | Есть в п. 12 договора-оферты; об инциденте уведомляют за 24 часа, о расследовании — за 72 часа | Облако и коробочная версия | 2FA | Журнал доступа с действиями пользователей | Удаление аккаунта по заявлению; бэкапы хранятся не более 180 дней |
| Мегаплан, ООО «Мегаплан», ИНН 7725681416 | Резервные серверы в разных регионах России (страница «Безопасность») | В пользовательском соглашении поручение не описано — запросите | Облако и коробка | Изоляция аккаунтов, персональные пароли; 2FA на странице безопасности не указана | В открытых документах не описан | Массового удаления нет, объекты удаляют по одному |
Как читать таблицу
- Битрикс24 и RetailCRM публикуют поручение в составе договора — его можно сразу показать юристу и проверку упростить.
- RetailCRM прямо указывает сроки уведомления об инциденте, совпадающие со сроками для оператора: это помогает уложиться в 24 и 72 часа перед РКН.
- У amoCRM самый подробный набор настроек безопасности, а условия поручения нужно запросить.
- Если нужна установка на свой сервер, в списке остаются Битрикс24, RetailCRM и Мегаплан, а также CRM на платформе 1С.
Заполните реквизиты и отметьте цели — получите политику со всеми разделами за 2 минуты.
Вопросы поставщику до подписания
- В каких дата-центрах и в какой стране хранятся основная база, резервные копии и файлы?
- Где закреплено поручение на обработку ПДн и есть ли в нём условия ч. 3 ст. 6 152‑ФЗ?
- Каких субподрядчиков вы привлекаете (хостинг, рассылки, телефония, ИИ-функции) и где они обрабатывают данные?
- Через какое время вы сообщаете клиенту об инциденте и что входит в сообщение?
- Можно ли запретить экспорт базы отдельным ролям и включить обязательную 2FA?
- Что фиксирует журнал действий и сколько он хранится?
- Как выгрузить все данные при расторжении и через сколько удаляются база и бэкапы?
- Включена ли компания в реестр операторов ПДн и какой у неё ИНН?
Образец запроса
«Просим подтвердить письменно: место хранения базы и резервных копий нашего аккаунта; документ, в котором закреплено поручение на обработку персональных данных по ч. 3 ст. 6 152‑ФЗ; перечень субподрядчиков с доступом к данным; срок уведомления об инцидентах; срок удаления данных и бэкапов после расторжения договора». Ответ сохраните вместе с договором: он пригодится при проверке.
Альтернативы облачной CRM
| Вариант | Плюсы | Что берёте на себя | Кому подходит |
|---|---|---|---|
| Облачная CRM российского вендора | Быстрый запуск, защита и бэкапы на стороне вендора | Проверку поручения, настройку прав и интеграций | Малому и среднему бизнесу |
| Коробочная версия на своём сервере в России | Полный контроль над данными и доступами | Администрирование, обновления, защиту, резервное копирование | Компаниям со специальными категориями данных и своей ИТ-службой |
| Таблицы и общие документы | Бесплатно и привычно | Нет журнала и разграничения прав; Google Таблицы хранят данные за рубежом | Только на старте, без данных клиентов в зарубежных сервисах |
| Зарубежная CRM | Широкие функции | Нарушение локализации и трансграничную передачу | Не подходит для данных граждан России |
Встроенные CRM конструкторов сайтов и маркетплейсов проверяйте по тем же критериям: где хранятся заявки, есть ли поручение, можно ли выгрузить и удалить данные.
После выбора: что настроить
- сохраните текст поручения или подпишите отдельное соглашение;
- впишите CRM-провайдера в политику и в текст согласия в формах;
- обновите уведомление в РКН, если изменилось место хранения баз — сведения меняют до 15-го числа следующего месяца (как подать уведомление);
- настройте роли, запрет экспорта и обязательную 2FA;
- отключите неиспользуемые интеграции и проверьте, где работают оставшиеся;
- заключите договор поручения с интегратором, если у него будет доступ к базе;
- задайте сроки хранения сделок и порядок удаления по запросу клиента;
- перенесите старые базы из Excel и почты, а копии удалите.
Проверить, что формы сайта корректно передают данные и не подключают лишних сервисов, поможет бесплатная проверка сайта. Общий список обязанностей оператора — в чек-листе требований 152‑ФЗ.
Частые вопросы
Нужно ли отдельное согласие клиента на передачу данных в CRM?
Отдельного согласия на сам факт передачи обычно не требуется, если CRM обрабатывает данные по вашему поручению. Но если обработка идёт на основании согласия, в его тексте нужно указать, кто обрабатывает данные по поручению оператора.
Вендор пишет «соответствуем 152‑ФЗ». Этого достаточно?
Нет. Это заявление о мерах самого вендора. Вам нужны документы: где хранится база, какие условия поручения, кто субподрядчики и как вас уведомят об инциденте.
Можно ли пользоваться зарубежной CRM, если делать копию базы в России?
Нет. С 1 июля 2025 года ч. 5 ст. 18 запрещает запись, накопление, хранение и извлечение ПДн граждан России с использованием баз данных за рубежом, за узкими исключениями. Копия в России и уведомление о трансграничной передаче этого не исправляют.
Кто платит штраф, если утечка произошла у CRM-провайдера?
Перед клиентами и РКН отвечает оператор, то есть ваша компания. Провайдер отвечает перед вами по договору, поэтому условия об инцидентах и ответственности в поручении важны.
Нужен ли договор с интегратором, который настраивает CRM?
Да, если у него есть доступ к рабочей базе. Включите в договор условие о поручении: перечень данных, действия, цели, конфиденциальность и меры защиты. Тестовые работы лучше вести на обезличенных данных.
Как быть с записями звонков в CRM?
Записи содержат голос и разговор клиента, поэтому это ПДн. Предупреждайте о записи в начале звонка, описывайте цель и срок хранения в политике и проверяйте, где хранит записи телефония.