Где хранить персональные данные?

По 152-ФЗ (с изменениями закона 242-ФЗ, действует с 2015 года) персональные данные граждан России при первичном сборе — записи, накоплении, систематизации — должны храниться на серверах, физически расположенных в России. Это касается и сайтов, и CRM, и почтовых сервисов, куда попадают имя, телефон или email из формы на сайте; требование называют локализацией данных, за его нарушение Роскомнадзор блокирует сайты.

Формулировка «при сборе» важна: закон разрешает после этого передавать данные за границу, например партнеру или в зарубежную аналитику, но первая запись обязана произойти на сервере в РФ. На практике это значит, что база самого сайта и основная CRM должны стоять на российском хостинге или у сервиса с дата-центром в России — многие зарубежные CRM этому требованию не соответствуют, даже если у них формально есть российское юрлицо.

Проверить свою CRM просто: спросить у поддержки, где физически расположены сервера, на которых создается запись о новом клиенте, и попросить подтверждение — обычно это указано в оферте или отдельной справке о соответствии 152-ФЗ.

Если CRM зарубежная и переезд на российский аналог пока не планируется, стоит хотя бы завести локальную копию заявок с сайта — письмом на почту или в таблицу на сервере в РФ — и обсудить риски с юристом отдельно от технической стороны.