Как выбрать CRM для малого бизнеса: облачная, коробочная или встроенная

CRM для малого бизнеса выбирают по удобству воронки и цене, но есть вопрос, который решает закон: где будут храниться данные клиентов. Если клиенты - люди, их имена и телефоны в CRM - персональные данные, а компания, которая ведёт базу, - их оператор. Ниже - три варианта CRM, что требует закон о персональных данных при каждом из них и кому какой вариант подойдёт.

Три варианта CRM

Что требует закон о персональных данных

Клиентская база - персональные данные. Закон 152-ФЗ называет персональными данными любую информацию, которая относится к прямо или косвенно определённому человеку. Имя и телефон клиента в карточке CRM - именно такая информация. Компания, которая решает, зачем ей эти данные, и обрабатывает их, - оператор.

Локализация. С 1 июля 2025 года часть 5 статьи 18 закона звучит так: запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России с использованием баз данных за пределами России не допускаются. Исключения - узкие случаи вроде исполнения закона, правосудия, госуслуг и журналистики. Согласие клиента и исполнение договора с ним в число исключений не входят. Минцифры в письме от 12.05.2025 № П25-44929 уточнило: хранение и обновление данных, в том числе их копий, должны идти в базах данных в России.

Поручение обработки. Облачная CRM и сервис со встроенной CRM обрабатывают данные по поручению компании. Поручить обработку другому лицу закон разрешает с согласия клиента, если иное не предусмотрено федеральным законом. В поручении закон требует прописать перечень данных и действий с ними, обязанность соблюдать конфиденциальность и требования части 5 статьи 18. Ответственность перед клиентом за действия поставщика несёт оператор, то есть компания, а поставщик отвечает перед компанией. Если поставщик иностранный, перед клиентом отвечают и компания, и поставщик.

Уведомление Роскомнадзора. До начала обработки оператор обязан уведомить Роскомнадзор. Исключения с 1 сентября 2022 года почти все отменены. Для обычного бизнеса осталось одно: обработка исключительно без средств автоматизации, а CRM - это автоматизация. В уведомлении указывают, где находится база данных: страну и адрес. Подача уведомления бесплатна, об изменениях сведений сообщают не позднее 15-го числа следующего месяца.

Защита. Оператор обязан принимать правовые, организационные и технические меры, чтобы защитить данные от неправомерного доступа, уничтожения, изменения и распространения.

Штрафы. За нарушение локализации компании грозит от 1 до 6 млн рублей, за повторное - от 6 до 18 млн рублей. ИП по этим нарушениям отвечает как юридическое лицо. За неподанное уведомление - от 100 до 300 тыс. рублей для юрлица.

Критерии выбора

1. Где база данных. Страна и адрес нужны для уведомления Роскомнадзора. Если поставщик не может их назвать, это повод искать другого.
2. Договор поручения. В договоре или условиях сервиса должна быть обязанность поставщика соблюдать конфиденциальность и хранить данные граждан России в базах в России.
3. Доступы. Кто из сотрудников что видит, можно ли ограничить выгрузку базы и есть ли журнал действий. Это часть мер защиты, которые закон возлагает на оператора.
4. Выгрузка и уход. Можно ли забрать базу целиком в открытом формате, если вы смените CRM.
5. Связь с другими сервисами. Какие сервисы получают данные из CRM: каждый из них - ещё одно место, где лежат персональные данные.

Кому какой вариант подойдёт

Частые ошибки

• «Клиент дал согласие - значит, можно». Согласие не входит в исключения из локализации.
• «Отвечает облако». Перед клиентом отвечает компания-оператор; поставщик отвечает перед компанией. У иностранного поставщика ответственность перед клиентом общая с компанией, но компанию она не снимает.
• Не подать уведомление. Для CRM исключений из обязанности уведомить Роскомнадзор практически не осталось.

Это обзор норм, а не юридическая консультация: для договора с поставщиком CRM полезно показать его юристу. Другие разборы - в разделах «Продажи и маркетинг», «Учёт и документы» и «IT и связь». Как мы проверяем факты - в методике.

Как мы составляем материалы →