CRM и сайт уже стоят на «российском VPS», но заявки с формы уходят в зарубежный SaaS, бэкапы — в зарубежное объектное хранилище, а в договоре с хостером нет пункта про поручение обработки персональных данных. Руководитель видит десяток лендингов «облако по 152-ФЗ» и не отличает локализацию в российском дата-центре от аттестованного сегмента ФСТЭК. За один-два рабочих дня можно согласовать с юристом и IT shortlist из 2–3 провайдеров и чеклист перед оплатой.
Проблема: Персональные данные клиентов собираются в разных контурах: prod в России, аналитика за рубежом, резервные копии в чужом облаке. Маркетинговый бейдж «152-ФЗ» не заменяет договор поручения и не снимает ответственность за выбор региона, ролей доступа и шифрование внутри виртуальной машины.
Решение: Проведите инвентаризацию «где лежат prod и копии», оцените уровень защищённости с ИБ, сравните Yandex Cloud, VK Cloud, Selectel и Beget, выберите VPS или публичное облако по сценарию и проверьте договор по чеклисту из 12 пунктов до подписания.
Коротко от редактора. Не начинайте с самого дорогого тарифа: за полдня соберите карту «система → страна ЦОД → DPA → куда бэкапы». Сузьте выбор до двух-трёх провайдеров из таблицы ниже, передайте юристу DPA, а IT попросите подтвердить регион prod и копий в консоли. Нормы июля и сентября 2025 уже действуют — откладывать инвентаризацию рискованнее, чем отложить миграцию на Kubernetes.
С июля 2025 локализация персональных данных — проверяемое требование. Типичная ошибка: купить аттестат ФСТЭК, хотя достаточно перенести prod и копии в российский пул и оформить поручение у текущего хостера.
Маркетинг «облако 152-ФЗ» не снимает ответственность оператора: провайдер закрывает дата-центр и платформу, команда клиента — учётные записи, шифрование внутри ВМ и выбор региона. У Yandex Cloud отдельный договор на поручение не обязателен: DPA встроено в оферту, что контрастирует с ожиданием «трёхстороннего акта с ФСТЭК». В реальном проекте после письма от ИБ руководитель часто подписывает первый лендинг с аттестатом, хотя данные уже лежат в российском пуле и не хватает только строки про поручение в договоре.
Что на практике значит «облако по 152-ФЗ»
Три условия, не один продукт. Локализация: при сборе ПДн граждан РФ запись и хранение только в России (ч. 5 ст. 18 152-ФЗ). Договор поручения по ст. 6 ч. 3: кто обрабатывает данные от вашего имени. При повышенных требованиях — уровень защищённости (УЗ) и аттестованный сегмент по приказам ФСТЭК.
Простыми словами. Локализация — «физически в России», договор поручения — «юридически оформлено», аттестат — «государство проверило контур». Первые два пункта можно закрыть на VPS в российском Tier III без продукта «Облако 152-ФЗ», если ИБ не требует УЗ-1.
Смежные материалы — в разделе облака и инфраструктура; здесь выбор провайдера под ПДн без повторения чеклиста SaaS.
Требования локализации в 2026
С 1 июля 2025 запрещена первичная запись ПДн в базу за пределами РФ. Резервные копии с ПДн подчиняются тем же правилам. С 1 сентября 2025 по приказу Роскомнадзора №140 исходные данные и бэкапы хранят раздельно.
На практике ломается связка «сайт в России, лиды в зарубежной CRM» или «prod в Selectel, dump в AWS S3». Соберите за полдня таблицу: система → страна ЦОД → есть DPA → регион бэкапа.
Штрафы юрлицам по ст. 13.11 КоАП: 1–6 млн ₽ первично, до 18 млн ₽ повторно — отдельно от санкций за утечку. Оценку даёт юрист; статья не заменяет консультацию.
Простыми словами. Форма, которая пишет ФИО в сервис с серверами за рубежом, нарушает локализацию даже при российском VPS. Аналитику без записи ПДн согласуйте отдельно.
Сравните четыре провайдера по договору и ЦОД
Продукты-платформы, не абстрактное «облако». Запросите у финалистов адрес пула, DPA и аттестат при УЗ-1. Тарифы — на сайтах вендоров; у Yandex Cloud часть цен индексируется с 1 мая 2026.
| Провайдер | ЦОД в РФ | 152-ФЗ / аттестат | DPA | Лучше для | Слабее в |
|---|---|---|---|---|---|
| Yandex Cloud | ru-central1 | УЗ-1 в публичном сегменте | В оферте, отдельный акт не нужен | Масштаб, MDB, K8s, AI | Цена для «сайт + CRM» |
| VK Cloud | Москва | «Облако 152-ФЗ» УЗ-1–3 | Договор + compliance | VK Tech, посекундная оплата | Путаница с Mail-облаком |
| Selectel | Пулы ru-*, Tier III | Облако 152-ФЗ до УЗ-1 | Договор с АО «Селектел» | Bare metal + облако | Меньше AI/PaaS |
| Beget | Tier III СПб/Москва | Аттестованный сегмент | Договор с Beget | МСБ: сайт + VPS + БД | Узкий enterprise-каталог |
Итог: для роста и managed PostgreSQL — Yandex Cloud или VK Cloud; bare metal рядом с облаком — Selectel; простой контур «сайт + VPS» — Beget.
VPS в России или public cloud: выберите по сценарию
Tar на том же диске, что prod, при сбое уничтожает и данные, и копию. Провайдер отвечает за ЦОД и гипервизор; команда — firewall ВМ, роли доступа, шифрование и регион в консоли.
| Сценарий | Хватит VPS в РФ | Нужен cloud / 152-ФЗ |
|---|---|---|
| Сайт-визитка, малый CRM | VPS + DPA | — |
| Интернет-магазин, УЗ до 2 | VPS + чеклист ИБ | Managed DB + S3 |
| УЗ-1 по оценке ИБ | — | Аттестованный сегмент |
| K8s, несколько сред | — | Yandex / VK / Selectel cloud |
Простыми словами. VPS — виртуальный сервер в дата-центре; public cloud — каталог сервисов с managed-базами. Для учёта на одном сервере аттестованное облако часто лишнее; для роста без простоя — наоборот.
Чеклист из 12 пунктов перед оплатой
Передайте юристу DPA, не маркетинговый PDF. Проверьте каждый пункт:
- Категории ПДн и цели обработки.
- Адрес ЦОД для prod и для бэкапов — отдельные строки.
- Срок хранения и уничтожение при расторжении.
- Технические и организационные меры защиты.
- Субподрядчики и трансграничная передача.
- Уведомление о запросах правоохранителей.
- SLA и порядок при инцидентах.
- Модель разделённой ответственности.
- Аттестат ФСТЭК — только при УЗ-1.
- Ответственный и дата пересмотра через 12 месяцев.
- Для IT: регион, приватная сеть, MFA, шифрование.
- Уведомление РКН и политика ПДн на сайте.
Результат для руководителя: заполненный чеклист, DPA в оферте или подписан, регион prod и бэкапов в РФ, таблица «провайдер × критерий» согласована с юристом и IT. Тогда можно оплачивать. Ответственный и дата пересмотра через 12 месяцев — в календаре. Если форма на сайте до сих пор пишет лиды в зарубежный сервис, исправьте сбор раньше миграции сервера: иначе локализация не закроется сменой хостера.
Beget и другие провайдеры для МСБ
Для сайта, почты и CRM на одном VPS Beget даёт единую панель и аттестованный сегмент при УЗ-1 без освоения полного IaaS-каталога. При росте до K8s смотрите Yandex Cloud или VK Cloud; bare metal — Selectel. Разборы рисков — в безопасность и ПДн.
Быстрый старт на российском хостинге: перейти на Beget и запросить типовой договор поручения у продаж. Параллельно зафиксируйте, в каком пуле будут prod и ночные копии — для проверки Роскомнадзора важны оба адреса.
Термины
| Термин | Значение |
|---|---|
| ПДн | Персональные данные: ФИО, телефон, e-mail в заявке. |
| DPA | Договор поручения обработки по 152-ФЗ. |
| УЗ | Уровень защищённости (1–3); нужен ли аттестат. |
| IaaS | Аренда серверов в облаке вместо железа в офисе. |
Коротко от редактора
Не покупайте аттестат, пока VPS в российском ЦОД не исключён по оценке ИБ. Карта данных, shortlist, договор — в таком порядке. Если prod уже в РФ, а бэкапы нет, исправьте копии раньше, чем меняйте платформу.
Частые вопросы
Какие штрафы за нарушение локализации?
По ст. 13.11 КоАП для юрлиц: 1–6 млн ₽ первично, 6–18 млн ₽ повторно. Квалификацию даёт юрист.
Можно ли хранить ПДн в AWS?
Для первичного сбора и бэкапов с ПДн — нет с июля 2025. Исключения после уведомления РКН — отдельная юридическая ветка.
Что проверить в договоре с облаком?
DPA, адрес ЦОД prod и бэкапов, меры защиты, уничтожение данных, субподрядчики, SLA. У Yandex Cloud — оферта с cloud_dpa.
Нужен ли отдельный договор 152-ФЗ с Yandex Cloud?
Нет: DPA — часть оферты. Бумажный акт — по требованию ИБ, юридически поручение действует при размещении ПДн на ресурсах.
Чем VPS у Beget отличается от Yandex Cloud для CRM?
VPS — фиксированный сервер и простая панель, CRM ставите сами. Yandex Cloud — managed-сервисы и масштаб, выше порог для команды без DevOps.
Обязательно ли аттестованное облако для формы на сайте?
Нет. Нужны локализация, DPA и меры по модели угроз. Аттестат — когда так решила оценка ИБ.
Информация и ответственность
Материал носит информационный характер и не заменяет консультацию юриста или аудитора по 152-ФЗ. Уровень защищённости и необходимость аттестата определяются по документам вашей организации.