Проверьте весь маршрут заявки от формы до CRM
После отправки формы персональные данные часто сразу уходят в CRM, email, телефонию, мессенджер или таблицу. Для 152‑ФЗ важна вся цепочка: кто получает данные, где они хранятся, кто имеет доступ и на каком основании участвует в обработке.
CRM нельзя оценивать отдельно от сайта. Поля формы, цели обработки, политика и договоры должны описывать один и тот же реальный процесс.
Составьте карту передачи данных после отправки формы
Одна заявка может копироваться сразу в несколько систем.
| Этап | Что зафиксировать | Что проверить |
|---|---|---|
| Форма | Поля, цель, текст согласия | Нужны ли все собираемые данные |
| Обработчик сайта | Где принимается POST-запрос, что логируется | Хостинг, журналы, резервные копии |
| CRM | Какие поля создаются в карточке | Роль поставщика CRM и место хранения |
| Email / телефония | Копии заявок и записи разговоров | Дополнительные получатели и сроки хранения |
| Маркетинг | Передача контакта в рассылку или рекламу | Отдельная цель и рекламное согласие |
Определите роль поставщика CRM
Если другой организации поручена обработка персональных данных, часть 3 статьи 6 устанавливает требования к такому поручению.
Цели определяет ваша компания
Вы определяете, зачем собирается заявка и какие данные нужны.
CRM выполняет операции
Сервис хранит, систематизирует, предоставляет доступ или выполняет другие операции по вашей настройке.
Проверяются договорные условия
Поручение должно охватывать данные, операции, цели, конфиденциальность и безопасность.
Ответственность сохраняется
Оператор отвечает перед субъектом за действия лица, которому поручена обработка, в предусмотренном законом порядке.
В договорной схеме проверьте обязательные элементы поручения
Часть 3 статьи 6 перечисляет содержание поручения обработки.
- Перечень персональных данных.
- Перечень действий и операций.
- Цели обработки.
- Обязанность соблюдать конфиденциальность.
- Требования локализации из части 5 статьи 18.
- Требования статьи 18.1.
- Обязанность подтвердить принятые меры по запросу оператора.
- Требования безопасности по статье 19.
- Порядок уведомления об инцидентах.
Проверьте место первичной базы и зарубежные компоненты CRM
При сборе данных граждан РФ через интернет действует требование локализации из части 5 статьи 18. Если CRM или связанная инфраструктура использует иностранные сервисы, отдельно оценивается трансграничная передача.
Нужно знать конкретный тариф, дата-центр, интеграции, резервные копии и дополнительные сервисы, которые участвуют в обработке.
Доступ сотрудников к CRM тоже входит в систему защиты
Проверьте роли, увольнения, выгрузки, экспорт и действия подрядчиков.
Чек-лист CRM и персональных данных
Пройдите путь одной тестовой заявки до всех конечных систем.
- Зафиксированы все поля формы и цели обработки.
- Понятно, куда заявка попадает первой.
- Определена роль поставщика CRM.
- Проверено поручение обработки.
- Проверено место хранения и локализация.
- Проверены иностранные компоненты и интеграции.
- Права пользователей CRM минимизированы.
- Настроено отключение доступов сотрудников.
- Учтены email, телефония и мессенджеры.
- Политика сайта соответствует фактической схеме.
Нормативная база
Для CRM особенно важны условия поручения обработки и обязанности оператора.
Частые вопросы
Проверяйте конкретную CRM и конкретный маршрут данных.
Если CRM российская, вопрос закрыт?
Нет. Нужно проверить договор, дата-центр, интеграции, доступы и фактический набор операций.
Можно отправлять заявку одновременно в CRM и email?
Можно только после оценки основания и необходимости каждой передачи. Обе системы входят в реальную схему обработки и должны быть учтены.
Нужно ли перечислять CRM в согласии?
Ответ зависит от правового основания, роли сервиса и содержания конкретного согласия. Для сайта важно, чтобы пользовательские документы и внутренняя договорная схема не противоречили фактической передаче.
Формы и согласия →Политика ПДн →Проверить сайт →
Что проверить дальше
Связанные требования и сценарии, которые обычно нужно сверять вместе.
Нужно передать исправления разработчику?
Зафиксируем URL, найденный риск, требуемое изменение и проверяемый критерий приёмки.
Получить ТЗ программисту
Конкретные задачи по формам, интеграциям, согласиям, cookie и другим найденным элементам.
Исправить под ключ
Подготовим согласованные тексты, внесём изменения на сайт и повторно проверим результат.
Регулярно контролировать
Повторные проверки после изменений сайта с историей результатов и новыми замечаниями.