Заявка с сайта ушла в amoCRM: что произошло с персональными данными по 152-ФЗ
Сценарий знакомый: на сайте форма «оставьте заявку», подрядчик за час связал её с amoCRM, лиды падают в воронку, менеджеры звонят. Юриста в этой цепочке не было ни разу. А amoCRM, персональные данные и 152-ФЗ пересеклись ровно в ту секунду, когда в воронке появилась первая карточка.
Что произошло юридически: имя, телефон и e-mail клиента — персональные данные. Вы их собрали и передали другому юридическому лицу, чтобы оно хранило и обрабатывало их на своих серверах. Это не «техническая настройка», а передача данных третьему лицу. У неё должно быть основание, и по 152-ФЗ оно одно — поручение обработки по части 3 статьи 6.
Дальше по порядку: кто за что отвечает, где физически лежат ваши лиды, какой документ должен быть с вендором и что написать в согласии. В конце — чек-лист на 20 минут.
Оператор и обработчик персональных данных: почему за данные в CRM отвечаете вы
Закон делит участников на две роли. Оператор — тот, кто определяет цели обработки: это вы, потому что вы решили собирать заявки и звонить по ним. Обработчик — тот, кто обрабатывает данные по поручению оператора: это CRM-сервис, он ничего не решает про ваших клиентов, он хранит данные и даёт интерфейс.
Дальше — норма, на которой держится вся тема, часть 5 статьи 6 152-ФЗ:
«В случае, если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несёт оператор. Лицо, осуществляющее обработку персональных данных по поручению оператора, несёт ответственность перед оператором».
У медали есть обратная сторона: у amoCRM не нужно спрашивать отдельное согласие клиента. Часть 4 статьи 6 прямо говорит, что обработчик получать согласие субъекта не обязан. Поэтому вся нагрузка по согласиям и документам ложится на вас — закон её больше никуда не распределяет.
Частое возражение: «amoCRM же есть в реестре операторов». Есть — АО «амоЦРМ», ИНН 7709477879, регистрационный номер 77-17-007205, внесено 21.08.2017 приказом № 226. Но это её собственная регистрация как оператора своих данных: ваших обязанностей она не заменяет и поручением обработки не является.
Что это значит на практике: жалобу клиента и протокол Роскомнадзора получите вы, а не сервис. Спрашивать с вендора вы будете потом и отдельно — ровно в тех пределах, которые записаны в вашем с ним договоре.
Где хранятся данные amoCRM: amocrm.ru или kommo.com
Где хранятся данные amoCRM — вопрос не философский: ответ видно в адресной строке аккаунта. amocrm.ru и kommo.com — разные юридические лица и разное применимое право. Международная версия продукта живёт под брендом Kommo: домен amocrm.com на 30 августа 2026 года отдаёт постоянный редирект на kommo.com.
| Что смотрим | amocrm.ru | kommo.com |
|---|---|---|
| Юридическое лицо | АО «амоЦРМ», Москва, ИНН 7709477879 | QSOFT LLC, США |
| Право и разрешение споров | российское, договор с российским АО | право штата Калифорния, арбитраж JAMS в Сан-Франциско |
| Заявленное место хранения | «сеть серверов, расположенная в Российской Федерации» — заявление вендора | «в любой точке мира, включая США» — политика сервиса |
| В реестре операторов ПДн РКН | да, № 77-17-007205 от 21.08.2017 | не применимо: иностранное юридическое лицо |
| Что включается по 152-ФЗ | поручение обработки, ч. 3 ст. 6 | плюс ч. 5 ст. 18 (локализация) и ч. 6 ст. 6 (отвечаете и вы, и обработчик) |
Про российскую версию нужна честная оговорка. На странице «Безопасность и надёжность» вендор пишет: «Используем географически распределённую сеть серверов, расположенную в Российской Федерации». Это маркетинговая страница: на ней нет ни даты актуализации, ни упоминания 152-ФЗ, ни аттестатов соответствия, ни названий ЦОД. Сослаться на неё перед проверяющим как на документ нельзя.
Если бизнес фактически работает в Kommo, включаются две нормы сразу: часть 5 статьи 18 запрещает при сборе записывать и хранить данные граждан РФ в базах за пределами страны, а часть 6 статьи 6 делает ответственными двоих — и иностранного обработчика, и вас. Почему зарубежный сервис ломает локализацию, разбирали в статье про иностранные CRM и рассылки.
Проверьте, куда на самом деле уходят заявки с вашего сайта: бесплатный аудит покажет, какие сторонние сервисы, формы и виджеты подключены к вашим страницам.Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтamoCRM и поручение обработки: какой документ должен быть у вас
Поручение — не обязательно отдельный подписанный договор. Подойдёт раздел действующего договора, приложение или пункт оферты. Важно не название, а содержание: часть 3 статьи 6 152-ФЗ перечисляет условия, которые в документе обязаны быть.
- перечень персональных данных и перечень действий с ними;
- цели обработки;
- обязанность соблюдать конфиденциальность;
- требования части 5 статьи 18 и статьи 18.1;
- обязанность обеспечивать безопасность данных и требования статьи 19;
- обязанность по запросу оператора предоставлять подтверждающие документы;
- уведомление оператора об инцидентах (ч. 3.1 ст. 21).
Полный разбор условий и чек-лист для договора — в отдельной статье про поручение обработки персональных данных третьим лицам. Здесь важнее другое: что из этого есть конкретно у вас.
Мы посмотрели публичные документы amocrm.ru 30 августа 2026 года: лицензионное соглашение, политику обработки, согласие на обработку персональных данных, страницы о безопасности и о компании. Отдельного документа уровня «поручение на обработку персональных данных» среди них нет. В лицензионном соглашении слова «поручение» и «обработчик» не встречаются вообще, а про содержимое аккаунта сказано так (п. 13.3):
«За содержание Аккаунта (копии Программы), создаваемых и поддерживаемых Лицензиатом данных, несёт ответственность непосредственно сам Лицензиат».
Документ «Согласие на обработку персональных данных» на сайте вендора — это согласие, которое даёте вы как клиент amoCRM в её пользу. К данным ваших лидов оно отношения не имеет, хотя их постоянно путают.
Это не значит, что amoCRM нарушает закон: поручение может быть оформлено непублично — в корпоративном договоре или в условиях внутри аккаунта. Для сравнения, Битрикс24 публикует «Поручение на обработку персональных данных» отдельным документом. Ваша задача — открыть свой договор или оферту и найти там условия из списка выше. Не нашли — письменно запросите поручение у вендора или у интегратора.
Важно: при утечке оператор обязан сообщить в Роскомнадзор в течение 24 часов, а результаты внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ). Но узнать об инциденте на стороне CRM вы сможете, только если обязанность уведомить вас записана в поручении. Нет условия — сроки всё равно ваши, и пропущены они будут тоже вами.
amoCRM и согласие клиента: что должно быть в тексте и в форме
Второй документ, который у вас точно есть, но обычно написан «в общем», — текст согласия на сайте. amoCRM и согласие клиента связаны напрямую: пункт 6 части 4 статьи 9 152-ФЗ называет среди сведений согласия «наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу».
Оговорка, которую пропускают почти все: формально часть 4 статьи 9 описывает письменное согласие, а для веб-формы закон допускает любую форму, позволяющую подтвердить факт его получения (ч. 1 ст. 9). Буквальной обязанности вписать «АО амоЦРМ» в чекбокс нет — но этот перечень используют как эталон содержания. Если обработчик не назван вообще, а данные уезжают в облако, вы обещали клиенту одно, а делаете другое.
Вторая типовая дыра — техническая: код формы или чата отправляет данные в CRM до отметки чекбокса. Прямой нормы «нельзя отправлять до клика» в законе нет, но согласие должно быть конкретным, информированным и однозначным, а факт его получения оператор обязан уметь подтвердить. Если карточка создаётся раньше галочки, подтверждать нечего.
Проверка за минуту: отправьте с сайта тестовую заявку, не ставя галочку согласия. Появилась карточка в воронке — данные уходят раньше согласия, и это первое, что нужно чинить.
Третье место, куда смотрят при проверке, — политика конфиденциальности. В ней должно быть названо, кому передаются данные: хотя бы категорией «CRM-сервис для обработки обращений». Типовая политика без единого получателя данных прямо противоречит тому, что происходит на сайте.
Интеграции, виджеты и телефония: цепочка, за которую отвечаете вы
Периметр почти всегда шире, чем кажется. К аккаунту докручены телефония, коннекторы мессенджеров, боты, сквозная аналитика, виджеты из маркетплейса, формы и онлайн-чат самой CRM, встроенные прямо в страницы сайта. Каждая такая интеграция получает доступ к данным аккаунта — то есть к именам и телефонам ваших клиентов.
Правовая логика не меняется: перед клиентом за всю цепочку отвечает оператор (ч. 5 ст. 6), а пункт 4 части 1 статьи 18.1 называет внутренний контроль и аудит обработки мерой самого оператора. Проверять подрядчиков — требование закона, а не инициатива дотошного юриста. Отдельная история — коннекторы к иностранным площадкам: как только данные уходят к иностранному лицу, включаются часть 6 статьи 6 и часть 5 статьи 18.
Публичного списка субобработчиков у amoCRM мы не нашли, а у виджетов маркетплейса свои оферты, которые никто не читает. Инвентаризацию придётся делать руками: выписать установленные интеграции и по каждой ответить на два вопроса — кто это юридически и есть ли с ним поручение.
Не знаете, куда уходят заявки с вашего сайта и какие сервисы читают их по дороге? Посмотрите на свои страницы глазами проверяющего.Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтЧек-лист «проверьте за 20 минут» — и что будет, если ничего не оформлено
Соберём всё в один проход. Понадобятся четыре вкладки: аккаунт CRM, договор с вендором, сайт и ваше уведомление в реестр операторов.
| Что проверить | Где смотреть | Если этого нет |
|---|---|---|
| Российская версия или международная | адресная строка аккаунта: amocrm.ru или kommo.com | если kommo.com — разбираться с локализацией по ч. 5 ст. 18 |
| Поручение обработки | договор, приложение к нему или текст оферты | письменно запросить документ у вендора или интегратора |
| Обработчик назван в тексте согласия | страница или попап согласия на сайте | дополнить текст согласия |
| Категории получателей данных | политика конфиденциальности | добавить, что заявки передаются в CRM-сервис |
| Данные уходят только после галочки | тестовая заявка без отметки чекбокса | поправить код формы или виджета |
| Трансграничная передача и место нахождения базы данных | ваше уведомление в реестр операторов ПДн | актуализировать до 15-го числа следующего месяца |
| Список интеграций и виджетов | настройки аккаунта CRM | по каждой выяснить юрлицо и наличие поручения |
Миф, который стоит денег: «подключили CRM — срочно впишите её в уведомление в Роскомнадзор». В форме уведомления (приложение № 1 к приказу РКН от 28.10.2022 № 180) слова «поручение» нет вообще, а близкое по смыслу поле касается только государственных и муниципальных информационных систем. Зато при переезде данных в облако меняются сведения о трансграничной передаче (п. 10 ч. 3 ст. 22) и о месте нахождения базы данных (п. 10.1) — тогда уведомление актуализируют не позднее 15-го числа следующего месяца (ч. 7 ст. 22).
Про цену вопроса — коротко, потому что тема не про санкции. Отдельного состава «нет договора поручения» в КоАП не существует; на практике передачу данных третьему лицу без надлежаще оформленного поручения относят к части 1 статьи 13.11: для юридических лиц 150 000–300 000 ₽, для должностных лиц 50 000–100 000 ₽, а ИП по этой части отвечает как должностное лицо, а не как организация. Это интерпретация юристов, а не буква закона.
Неприятнее другой сценарий — данные из CRM утекли. Тогда вопрос «мы или подрядчик» становится очень конкретным, а ответ по части 5 статьи 6 вы уже знаете. Как распределяется ответственность и что делать в первые сутки — в статье кто отвечает за утечку персональных данных.
Итог: amoCRM — легальный российский инструмент, и вопрос не в сервисе. Вопрос в четырёх бумагах на вашей стороне: поручение, текст согласия, политика и актуальное уведомление. Делаются один раз и закрывают тему целиком. Материал носит информационный характер и не является юридической консультацией; нормы и документы вендора проверены 30 августа 2026 года.