Резидентность данных: где физически хранятся ваши данные

Четверг, вторая половина дня. Менеджер по работе с клиентами в компании из десяти человек открывает вложение от крупного заказчика, с которым идёт шестую неделю: анкета по информационной безопасности поставщика, шестьдесят строк. В четырнадцатой строке один вопрос — в какой стране и в каком дата-центре хранятся персональные данные клиентов? Она спрашивает основателя, основатель пишет поставщику CRM, через три дня приходит ответ: название облачного провайдера. Это не ответ. Анкета лежит две недели, юристы заказчика ставят процесс на паузу, и шесть недель работы остывают не из-за технического пробела, а из-за одного вопроса, на который никто не смог ответить.

Резидентность данных в корпоративных продажах давно спрашивают раньше, чем про функции, но в небольших компаниях полного ответа обычно нет ни у кого. Разбираем по порядку: почему резидентность, суверенитет и локализация — не одно и то же; в скольких местах на самом деле копируются ваши данные; как устроена трансграничная передача в Турции; сколько информации несёт фраза «серверы у нас в стране»; какие вопросы задавать поставщику; как резидентность влияет на скорость работы; почему начинать надо с классификации; как функции искусственного интеллекта тихо ломают договорённость; где резервное копирование конфликтует с резидентностью и как быть готовым, когда вопрос прилетает посреди сделки.

1Запись2Сервер3Бэкап4Субпроцессор5Поддержка

Резидентность, суверенитет и локализация — три разные вещи

Эти три термина постоянно подменяют друг друга, и путаница обходится дорого. Резидентность данных — факт физический: в какой стране стоит диск, на который данные записаны. Суверенитет данных — факт юридический: чья юрисдикция может до этих данных дотянуться. Локализация — это обязанность: требование законодательства держать определённые категории данных внутри страны. Данные могут физически лежать в одной стране и при этом попадать под правовую досягаемость другой, если управляющая ими компания подчиняется её праву.

Различие принципиально, потому что заказчик, спрашивающий в анкете про резидентность, на самом деле хочет знать про суверенитет. Настоящее беспокойство звучит так: может ли кто-то получить доступ к этим данным без нашего ведома, по праву, стороной которого мы не являемся? Если ваш ответ — только название города, вы ответили на удобный вопрос, а не на заданный. Человек, заполняющий анкету, обычно это замечает, и документ уходит на очередной круг.

Ваши данные лежат не на одном сервере

Основная база — лишь первое место, где живут данные. Большинство компаний ни разу не считали, в скольких других местах карточка клиента оказывается в момент создания, и, посчитав, удивляются. Каждая строка ниже — отдельное решение о резидентности, и если хотя бы одна из них указывает на другую страну, ваш ответ меняется.

• Резервные копии: регион, где хранятся ежедневные бэкапы, не обязан совпадать с регионом рабочей системы и на практике часто не совпадает.
• Логи и мониторинг ошибок: записи об ошибках несут имена, адреса почты, иногда содержимое сообщений, и обычно уходят в отдельный сервис в отдельной стране.
• Отправка почты и SMS: каждое уведомление проводит адрес получателя через инфраструктуру провайдера рассылок.
• Аналитика и продуктовая телеметрия: инструменты, отслеживающие поведение пользователей, могут нести персональные данные; это стоит проверить, а не предположить.
• Консоль поддержки: если поддержка поставщика может смотреть боевые данные при разборе инцидента, страна, где сидит этот инженер, тоже часть цепочки.
• Функции на базе ИИ: любая функция, которая резюмирует, классифицирует или подсказывает, может отправлять содержимое записи внешнему провайдеру модели.
• Тестовые и демонстрационные копии: среды, заполненные боевыми данными, — самый забываемый двойник продакшена.

Список не пессимистичный, а точный, и работа из него следует несложная: напишите напротив каждой строки страну. Строка, которую заполнить не удалось, и есть реальный пробел в вашем ответе — именно на неё нажмёт служба безопасности заказчика. Эта таблица на одну страницу и есть самый полезный документ по соответствию, которого у большинства компаний нет.

Как устроена трансграничная передача в Турции

Обработка персональных данных на сервере за рубежом по турецкому закону о защите персональных данных не свободный выбор, а передача, обусловленная рядом требований. Механика примерно такая: у передачи должно быть правовое основание. В зависимости от ситуации им становится явное согласие субъекта данных, подписанный сторонами типовой договор или обязательство, либо обязательные корпоративные правила внутри группы компаний. На практике явное согласие — плохая операционная опора: его можно отозвать в любой момент, а на том, что может исчезнуть, постоянную инфраструктуру не строят.

Практический вывод договорный. В соглашении должны быть перечислены субпроцессоры поставщика, закреплена обязанность уведомлять вас об изменениях этого перечня и указан регион обработки. Без этих трёх пунктов ваше обещание о резидентности остаётся устным. Как именно нормы применяются в вашем случае, зависит от характера бизнеса и категорий данных, поэтому перед тем как давать обязательства корпоративному заказчику, посоветуйтесь с юристом или финансовым консультантом. Более широкую рамку по работе с персональными данными в CRM мы собрали в материале о CRM и требованиях к персональным данным.

Оператор или обработчик?

Это место в анкетах заполняют неверно чаще всего. Данные собираете и цель обработки определяете вы; поставщик CRM обрабатывает их по вашему поручению. Ответственность перед вашим клиентом остаётся на вас и поставщику не передаётся. Кого касается обязанность регистрации в реестре и как она работает в Турции, мы разбираем в материале о регистрации в реестре VERBİS.

Сколько информации в словах «серверы у нас в стране»?

Принято считать, что размещение серверов внутри страны закрывает вопрос. В большинстве случаев это не так — и обратное тоже неверно. Система в отечественном дата-центре, к боевым данным которой имеет неограниченный доступ инженер поддержки за рубежом, не получает от своего физического адреса никакой защиты. И наоборот: система, размещённая в другой стране, но с доступом по запросу, ограниченным по времени и логируемым, выглядит куда убедительнее.

То, в какой стране лежат данные, значит меньше, чем то, кто и по какому праву может до них добраться.

Поэтому серьёзный ответ на вопрос о резидентности состоит из трёх частей: расположение, доступ и след. Расположение — где лежит. Доступ — кто и на каких условиях может открыть; стандартом здесь стал временный доступ, выдаваемый по запросу и закрывающийся автоматически, а не постоянные права. След — журнал, который остаётся после каждого обращения. Когда есть все три, ваш ответ превращается из фразы в таблицу. Как сужать доступ по ролям, разбираем в материале о ролях и правах доступа.

Какие вопросы задавать поставщику

Когда анкета по безопасности приходит к вам, уже поздно: по-настоящему важна та анкета, которую вы сами заполняете при выборе поставщика. Пять вопросов закрывают большинство ситуаций, и понятно, как выглядит хороший ответ на каждый.

Вопрос	Как выглядит хороший ответ	Слабый ответ
Где обрабатываются основные данные?	Страна и регион, названные в договоре	Данные в облаке
Где лежат резервные копии?	Названный регион и срок хранения	Всё копируется автоматически
Видит ли поддержка боевые данные?	Доступ по запросу, на срок, с журналом	Только если понадобится
Опубликован ли список субпроцессоров?	Открытый список и уведомление об изменениях	Пришлём по запросу
Можно ли сменить регион позже?	Описанная процедура и ожидаемый простой	Технически возможно

Письменная форма ответов важна едва ли не больше их содержания. Устное обещание про регион ничего не стоит в тот день, когда поставщик переносит инфраструктуру. Общую логику моделей размещения и отличия от локальной установки мы разбираем в материале о облачной CRM.

Задержки и скорость: техническая сторона резидентности

Резидентность — решение не только юридическое, оно формирует ежедневный опыт работы. Физическое расстояние между данными и пользователем добавляется к каждому клику как время отклика. В пределах одного континента этого не замечают. Между континентами разница проявляется на открытии списков, поиске и сохранении. Для команды, работающей в поле с телефона, это ровно тот порог, за которым форму перестают заполнять.

Менее известно другое: выбор региона липкий. На большинстве платформ регион фиксируется при создании аккаунта, а смена позже означает миграцию: простой, повторная верификация, переподключение интеграций. То есть резидентность — решение момента внедрения, а не настройка, которую подкрутят потом. И чем старше аккаунт, тем дороже обходится смена региона, к которой вас подталкивает крупный клиент.

Не всем данным нужна одинаковая защита

Разговор о резидентности обычно начинается с того, что все данные считают единой массой, — и именно поэтому заканчивается дороже, чем нужно. Чувствительность того, что лежит в CRM, неоднородна. Идентификационные сведения, контакты, финансовые записи, поведенческие данные и текстовые заметки несут разный риск. Самая чувствительная категория обычно неожиданная — свободные текстовые заметки. Никто не проверяет, что туда пишут, а на практике именно там копятся сведения о здоровье, долгах и личных обстоятельствах.

После классификации большинство компаний обнаруживает, что жёсткое требование к резидентности относится к части записей, а не ко всему массиву, и решение сразу дешевеет. Второй способ удешевить — удаление: данные, которые вы не везёте, не нужно и защищать. Как заранее решить, что и сколько хранится, мы описываем в материале о политике хранения и удаления данных.

Функции ИИ тихо ломают договорённость

Прикрученная к CRM функция резюмирования, анализа звонков или автоматической классификации вынуждена отправлять содержимое записи провайдеру модели. Эта отправка часто пересекает границу, а в интерфейсе об этом может не быть ни строчки. Обязательство по резидентности, которое аккуратно держали месяцами, отменяется одним включённым переключателем.

Здесь три шага. Первый — записать в реестр обработки, какая функция ИИ какие данные и куда отправляет. Второй — убедиться, что эти функции отключаются по типам записей: вариант «всё или ничего» большинству компаний не подходит. Третий — сделать видимыми инструменты, которые команда нашла сама: в тот момент, когда кто-то без спроса вставил список клиентов в чат-сервис, ваше решение о резидентности уже нарушено. Риски и практические границы разбираем в материале об искусственном интеллекте и клиентских данных.

Где резервное копирование спорит с резидентностью

Логика резервного копирования и логика резидентности тянут в разные стороны. Хороший план восстановления хочет держать копию географически далеко от основной системы, а жёсткое требование резидентности — внутри границы. В странах с единственным регионом дата-центров это настоящее противоречие, и решают его обычно вторым регионом внутри той же страны или отдельной площадкой внутри того же региона.

Перед спором определите два числа: какой объём потерянных данных вы переживёте и за какое время обязаны подняться. Пока эти пороги не названы, разговор о резидентности не к чему привязать. Полную рамку по копиям и восстановлению мы даём в материале о резервном копировании и аварийном восстановлении, а базовые шаги, посильные небольшой команде, — в материале о кибербезопасности для малого бизнеса.

Как быть готовым, когда вопрос прилетает посреди сделки

Анкета безопасности от корпоративного заказчика — самый предсказуемый сюрприз в продажах: она приходит всегда и всегда не вовремя. Вся подготовка умещается на одну страницу — карта данных, показывающая, где что лежит, у кого есть доступ, какие субпроцессоры задействованы и сколько хранятся записи. Если страница готова, анкета возвращается за день; если нет, уходит две недели.

Скорость сама по себе сигнал. Служба безопасности покупателя делает выводы не столько из содержания ответа, сколько из срока: медленный ответ читается как отсутствие описанного процесса внутри компании. Как отвечать на такие документы и какие формулировки ускоряют проверку, разбираем в материале о анкетах по безопасности и соответствию.

План выхода и с чего начать

В конце любого разговора о резидентности стоит вопрос выхода: если придётся уйти от этого поставщика, как и в каком формате я заберу свои данные? Ответом должны быть закреплённое в договоре право на выгрузку и машиночитаемый формат. Скриншоты и постраничный PDF выгрузкой не считаются. Как уменьшить эту зависимость, разбираем в материале о привязке к поставщику и переносимости данных.

На старт хватит недели. В первый день заведите таблицу с пятью колонками: тип данных, система, страна, кто имеет доступ, срок хранения. Во второй день впишите CRM, в третий — почту и сервисы рассылок, в четвёртый — аналитику и надстройки с ИИ. В пятый отправьте пустые ячейки поставщикам в виде вопросов. К концу недели у вас окажется документ, которого нет у большинства конкурентов, а следующая анкета займёт полчаса вместо двух недель.

Понимание того, где лежат ваши данные, начинается с того, чтобы держать их в одном месте: у клиентской информации, размазанной по таблицам и личным почтовым ящикам, резидентности нет вовсе. В Rocketly карточки клиентов, история переписки, документы и права доступа собраны в одной конфигурации; создайте бесплатный аккаунт и начните составлять собственную карту данных.