# Как выбрать CRM для малого бизнеса: облачная, коробочная или встроенная

Три варианта CRM для малого бизнеса, что требует закон о персональных данных с 1 июля 2025 года, какие условия проверить у поставщика и кому какой вариант подойдёт.

URL: https://bizves.ru/guides/kak-vybrat-crm
Обновлено: 2026-10-02

---

CRM для малого бизнеса выбирают по удобству воронки и цене, но есть вопрос, который решает закон: где будут храниться данные клиентов. Если клиенты - люди, их имена и телефоны в CRM - персональные данные, а компания, которая ведёт базу, - их оператор. Ниже - три варианта CRM, что требует закон о персональных данных при каждом из них и кому какой вариант подойдёт.

## Три варианта CRM

**Главное**

- Облачная CRM работает на серверах поставщика, коробочная - на сервере компании, встроенная - внутри другого сервиса, например бухгалтерии или конструктора сайтов.
- За данные клиентов при любом варианте отвечает компания, которая ведёт базу.

| Вариант | Где лежат данные | Кто обрабатывает данные | Что нужно проверить |
| --- | --- | --- | --- |
| Облачная (SaaS) | на серверах поставщика | поставщик - по поручению компании | страна и адрес базы данных, договор поручения |
| Коробочная | на сервере компании | сама компания | защита сервера и доступов |
| Встроенная в другой сервис | на серверах этого сервиса | сервис - по поручению компании | те же условия, что у облачной |

## Что требует закон о персональных данных

**Главное**

- С 1 июля 2025 года хранить и обновлять данные граждан России в базах данных за рубежом нельзя.
- Облачный поставщик работает по поручению компании, но перед клиентами за нарушения отвечает сама компания.

**Клиентская база - персональные данные.** Закон 152-ФЗ называет персональными данными любую информацию, которая относится к прямо или косвенно определённому человеку. Имя и телефон клиента в карточке CRM - именно такая информация. Компания, которая решает, зачем ей эти данные, и обрабатывает их, - оператор.

**Локализация.** С 1 июля 2025 года часть 5 статьи 18 закона звучит так: запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России с использованием баз данных за пределами России не допускаются. Исключения - узкие случаи вроде исполнения закона, правосудия, госуслуг и журналистики. Согласие клиента и исполнение договора с ним в число исключений не входят. Минцифры в письме от 12.05.2025 № П25-44929 уточнило: хранение и обновление данных, в том числе их копий, должны идти в базах данных в России.

**Поручение обработки.** Облачная CRM и сервис со встроенной CRM обрабатывают данные по поручению компании. Поручить обработку другому лицу закон разрешает с согласия клиента, если иное не предусмотрено федеральным законом. В поручении закон требует прописать перечень данных и действий с ними, обязанность соблюдать конфиденциальность и требования части 5 статьи 18. Ответственность перед клиентом за действия поставщика несёт оператор, то есть компания, а поставщик отвечает перед компанией. Если поставщик иностранный, перед клиентом отвечают и компания, и поставщик.

**Уведомление Роскомнадзора.** До начала обработки оператор обязан уведомить Роскомнадзор. Исключения с 1 сентября 2022 года почти все отменены. Для обычного бизнеса осталось одно: обработка исключительно без средств автоматизации, а CRM - это автоматизация. В уведомлении указывают, где находится база данных: страну и адрес. Подача уведомления бесплатна, об изменениях сведений сообщают не позднее 15-го числа следующего месяца.

**Защита.** Оператор обязан принимать правовые, организационные и технические меры, чтобы защитить данные от неправомерного доступа, уничтожения, изменения и распространения.

**Штрафы.** За нарушение локализации компании грозит от 1 до 6 млн рублей, за повторное - от 6 до 18 млн рублей. ИП по этим нарушениям отвечает как юридическое лицо. За неподанное уведомление - от 100 до 300 тыс. рублей для юрлица.

## Критерии выбора

**Главное**

- Первым делом узнайте у поставщика страну и адрес базы данных.
- Дальше - договор поручения, защита доступов и возможность выгрузить базу.

1. **Где база данных.** Страна и адрес нужны для уведомления Роскомнадзора. Если поставщик не может их назвать, это повод искать другого.
2. **Договор поручения.** В договоре или условиях сервиса должна быть обязанность поставщика соблюдать конфиденциальность и хранить данные граждан России в базах в России.
3. **Доступы.** Кто из сотрудников что видит, можно ли ограничить выгрузку базы и есть ли журнал действий. Это часть мер защиты, которые закон возлагает на оператора.
4. **Выгрузка и уход.** Можно ли забрать базу целиком в открытом формате, если вы смените CRM.
5. **Связь с другими сервисами.** Какие сервисы получают данные из CRM: каждый из них - ещё одно место, где лежат персональные данные.

## Кому какой вариант подойдёт

**Главное**

- Облачная - малому бизнесу без своего IT, если база данных в России и договор в порядке.
- Коробочная - тем, у кого есть свой сервер и специалист.

**Нет своего IT, нужна CRM на завтра**

Облачная CRM. Проверьте, что база данных в России, и что условия сервиса содержат поручение на обработку персональных данных.

**Есть свой сервер и специалист**

Коробочная CRM. Данные у вас под контролем, но и вся защита сервера, резервные копии и обновления - тоже на вас.

**Нужна простая база клиентов**

CRM, встроенная в сервис, которым вы уже пользуетесь. Условия те же, что у облачной: где база и что сказано в договоре.

## Частые ошибки

**Главное**

- Считать, что согласие клиента разрешает хранить данные где угодно.
- Думать, что за утечку в облаке отвечает поставщик.

- **«Клиент дал согласие - значит, можно».** Согласие не входит в исключения из локализации.
- **«Отвечает облако».** Перед клиентом отвечает компания-оператор; поставщик отвечает перед компанией. У иностранного поставщика ответственность перед клиентом общая с компанией, но компанию она не снимает.
- **Не подать уведомление.** Для CRM исключений из обязанности уведомить Роскомнадзор практически не осталось.

### Частые вопросы

**Если клиенты - компании, это персональные данные?**

Имя и телефон контактного лица компании - информация о человеке. По определению закона это тоже персональные данные.

**Можно ли пользоваться зарубежной CRM?**

Первичная запись и хранение данных граждан России в базах за рубежом с 1 июля 2025 года не допускаются. Если зарубежная CRM не хранит данные в базе в России, для клиентской базы россиян она не подходит.

**Что будет, если сменится адрес базы данных?**

Об изменении сведений из уведомления сообщают Роскомнадзору не позднее 15-го числа месяца, следующего за месяцем изменения.

Это обзор норм, а не юридическая консультация: для договора с поставщиком CRM полезно показать его юристу. Другие разборы - в разделах [«Продажи и маркетинг»](/guides/topic/prodazhi-i-marketing), [«Учёт и документы»](/guides/topic/uchet-i-dokumenty) и [«IT и связь»](/guides/topic/it-i-svyaz). Как мы проверяем факты - в [методике](/metodika).

### Источники

- [Федеральный закон № 152-ФЗ «О персональных данных», ст. 3](https://www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/) - понятия персональных данных, оператора и обработки. Проверено 30.09.2026.
- [152-ФЗ, ч. 5 ст. 18 (в ред. Федерального закона № 23-ФЗ, с 01.07.2025)](https://www.consultant.ru/document/cons_doc_LAW_61801/cbf4e15b7c330f9372e876cdf2bc928bad7950ef/) - локализация. Проверено 30.09.2026.
- [152-ФЗ, ст. 6](https://www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/) - исключения и поручение обработки. Проверено 30.09.2026.
- [152-ФЗ, ст. 22](https://www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/) и [ст. 19](https://www.consultant.ru/document/cons_doc_LAW_61801/ca9e5658710519f09ab2fdb8196fcb3eb024a051/) - уведомление Роскомнадзора и меры защиты. Проверено 30.09.2026.
- [Письмо Минцифры России от 12.05.2025 № П25-44929](https://www.consultant.ru/document/cons_doc_LAW_511584/) - разъяснение новой ч. 5 ст. 18. Проверено 30.09.2026.
- [КоАП РФ, ст. 13.11](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/) - штрафы. Проверено 30.09.2026.