Где безопасно хранить клиентскую базу и что будет с данными, если CRM закроется или вы уйдёте?

Что требует закон

Первое требование — локализация. По ч. 5 ст. 18 закона № 152-ФЗ в редакции закона от 28.02.2025 № 23-ФЗ, действующей с 1 июля 2025 года, при сборе персональных данных граждан России их запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных за пределами России не допускаются. Исключения узкие — например, обработка для правосудия, государственных услуг или работы журналиста (пп. 2, 3, 4, 8 ч. 1 ст. 6). Отделу продаж они не подходят.

Второе — защита. Оператор обязан принимать правовые, организационные и технические меры против неправомерного доступа, уничтожения, изменения, копирования и распространения данных (ч. 1 ст. 19). Ответственность при этом не перекладывается: если базу ведёт поставщик CRM по вашему поручению, перед клиентами за его действия отвечаете вы (ч. 5 ст. 6).

Третье — скорость при утечке. Если данные попали к посторонним, оператор уведомляет Роскомнадзор в два этапа.

Если данные утекли

1. 0 чИнцидент выявленВами, Роскомнадзором или кем-то ещё — например, клиентом, которому позвонили мошенники
2. 24 чПервое уведомлениеЧто случилось, предполагаемые причины и вред, принятые меры, кто на связи (п. 1 ч. 3.1 ст. 21)
3. 72 чИтоги расследованияРезультаты внутреннего расследования и кто стал причиной, если известно (п. 2 ч. 3.1 ст. 21)

Практический вывод: поставщик CRM должен сообщить вам об инциденте сразу, иначе в сутки не уложиться. Закон прямо требует включать такую обязанность в поручение на обработку (ч. 3 ст. 6), так что проверьте, есть ли она в вашем договоре. За базу граждан России на зарубежных серверах ч. 8 ст. 13.11 КоАП предусматривает для компаний и ИП штраф от 1 до 6 млн рублей.

Облако, свой сервер или таблица

Варианты хранения отличаются не только ценой, но и тем, кто отвечает за резервные копии и за то, кто видит данные.

Отдельно о реестре российского ПО, который часто путают с требованиями закона о данных. Реестр ведёт Минцифры, и он нужен прежде всего тем, кто закупает программы по правилам госзакупок. Закон о персональных данных требует другого — чтобы база лежала в России; сама по себе запись программы в реестре на этот вопрос не отвечает.

Что спросить у поставщика CRM до переезда

Хорошая CRM отвечает на эти вопросы спокойно и конкретно. Ответы просите письменно — в договоре или хотя бы в переписке.

Десять вопросов поставщику

• Где физически стоят серверы — страна и дата-центр?
• Как часто делают резервные копии, шифруют ли их и сколько займёт восстановление?
• Кто у поставщика имеет доступ к вашим данным и как это фиксируется?
• Есть ли в договоре поручение на обработку: цели, действия, конфиденциальность, локализация, защита (ч. 3 ст. 6)?
• Как быстро вам сообщат об утечке — успеете ли вы уведомить Роскомнадзор за сутки?
• Что будет при неоплате: доступ закроют или данные останутся видны и выгружаемы?
• Продолжат ли приходить заявки и звонки, пока подписка не продлена?
• Что можно выгрузить: клиенты, сделки, свои поля, файлы, записи звонков — и в каком формате?
• Что происходит с данными после удаления аккаунта и в какой срок их уничтожают?
• Зарегистрирован ли поставщик в реестре операторов персональных данных?

Если на вопрос о резервных копиях или выгрузке отвечают общими словами, спросите ещё раз. Именно эти два ответа решают, что будет с базой в плохой день.

План выхода: если CRM закроется или вы решите уйти

О плане выхода обычно вспоминают, когда уже поздно — например, когда поставщик предупредил о закрытии за месяц. Подготовить его проще заранее, пока всё работает.

1. 1
   Выгружайте базу регулярно

   Раз в месяц или квартал — клиенты, компании, сделки со всеми полями. Храните файл внутри компании, с доступом только у руководителя.

2. 2
   Проверьте, что файл читается

   Откройте выгрузку и сверьте число строк с CRM. Выгрузка, которую ни разу не открывали, — не страховка.

3. 3
   Записи и файлы — отдельно

   Записи звонков, договоры и вложения в табличную выгрузку обычно не попадают. Узнайте заранее, как их забрать.

4. 4
   Срок на выгрузку — в договоре

   Пусть после окончания договора у вас остаётся время и доступ, чтобы забрать данные.

5. 5
   При переезде — по порядку

   Выгрузить, загрузить в новую систему, сверить числа — и только потом удалить аккаунт в старой и запросить подтверждение удаления.

6. 6
   Обновите уведомление

   Сменилось место базы — сообщите Роскомнадзору до 15-го числа следующего месяца (ч. 7 ст. 22).

Как перенести базу между системами и сверить, что ничего не потерялось, — в статье перенос базы клиентов в CRM. А что указать про CRM в самом уведомлении — в ответе нужно ли подавать уведомление в Роскомнадзор.

Откуда на самом деле утекает база

Взлом сервера — не самый частый сценарий. Гораздо чаще база уходит через обычные рабочие привычки, и закрываются они настройками, а не дорогой защитой.

Так теряютКак база уходит

• Выгрузка «на всякий случай» есть у каждого менеджера
• Один пароль на весь отдел
• Уволенный сотрудник ещё неделю входит в CRM
• Файл с клиентами пересылают в личную почту и мессенджер
• Переписка с клиентами живёт в личных телефонах

Так защищаютКак это закрыть

• Выгрузка — только у руководителя, и каждая записывается в журнал
• Своя учётная запись у каждого
• Доступ отключают в день увольнения
• Файлы клиентов не покидают CRM
• Рабочие номера и общий ящик вместо личных

Подробнее о том, как не отдать клиентов вместе с уходящим сотрудником, — в ответе как не потерять клиентов, когда уходит менеджер.

Это не юридическая консультация

Мы описали требования в редакции на октябрь 2026 года. Договор с поставщиком CRM и порядок хранения данных стоит показать юристу — особенно если вы храните документы клиентов или сведения о здоровье.

Как это устроено в Итогии

Итогия устроена так, чтобы база оставалась вашей при любом раскладе — в том числе если подписку не продлили вовремя.

• Основная база — в России. Итогия работает на серверах в России. Резервная копия базы делается каждый час и перед каждым обновлением CRM.
• Если не оплатили. CRM переходит в режим просмотра: данные видны и выгружаются, менять их нельзя, а заявки, звонки и сообщения клиентов продолжают приходить. Оплатили — работа продолжается с того же места.
• Выгрузка. Клиенты, компании, сделки и заявки выгружаются в файл, который открывается в Excel, — со всеми полями, включая ваши собственные. Перед выгрузкой выбирается период; в один файл попадает до 50 000 строк, больше — по частям за разные периоды. Такой файл загружается обратно в Итогию без дублей.
• Кто выгружает. По умолчанию — директор и руководитель отдела продаж; менеджеру выгрузка закрыта. Каждая выгрузка записывается на экране «Доступ к персональным данным».
• Корзина. Удалённая сделка 30 дней лежит в корзине и возвращается вместе с делами, платежами и коммерческими предложениями.
• Вход. Подбор пароля блокируется, а «Выйти на всех устройствах» закрывает все сессии разом. Файлы с пометкой «Это личные документы клиента» хранятся зашифрованными.
• Если вы уходите. Кабинет удаляет владелец в профиле — с паролем и отдельным подтверждением; если в команде остались люди, сначала нужно передать права владельца. Когда свою учётную запись удаляет сотрудник, его сделки и заявки переходят владельцу кабинета.

Подробнее об оплате — на странице тарифов, о переносе базы из других систем — на странице переезда.

Срок оплаты закончилсярежим просмотра

→Заявка с сайтапришла в CRMприходят

↓Выгрузить сделкифайл за выбранный периоддоступно

✎Изменить сделкупосле продления подпискинедоступно

Ещё вопросы по теме

Есть ли Итогия в реестре российского ПО?

Нет, пока Итогия в реестр российского ПО не включена. Реестр нужен прежде всего тем, кто закупает программы по правилам госзакупок. Закон о персональных данных требует другого — чтобы база граждан России велась на серверах в России, а основная база Итогии работает на серверах в России.

Можно ли хранить базу клиентов в Excel или в облачной таблице?

Файл на компьютере в России требованию локализации не противоречит, но резервные копии, доступ и журнал действий в этом случае целиком на вас, а файл копируется за секунду. Облачные таблицы зарубежных сервисов обычно хранят данные за пределами России — это противоречит ч. 5 ст. 18 закона № 152-ФЗ.

Что будет с данными, если перестать платить за CRM?

У разных поставщиков по-разному, поэтому спросите об этом до покупки и проверьте условия договора. В Итогии кабинет переходит в режим просмотра: данные видны и выгружаются, а заявки и звонки клиентов продолжают приходить. Подробнее — на странице тарифов.

Источники

• Федеральный закон № 152-ФЗ «О персональных данных», ст. 18 — КонсультантПлюс
• Федеральный закон от 28.02.2025 № 23-ФЗ (новая редакция ч. 5 ст. 18, вступил в силу 01.07.2025) — «Российская газета»
• КоАП РФ, ст. 13.11 — КонсультантПлюс

Дальше по теме: данные и безопасность в Итогии, переезд в Итогию, как устроена оплата и все вопросы и ответы.