Почему эта строчка перестала быть формальностью
«Данные хранятся на серверах в России» - фраза, которая есть на сайте почти любого сервиса. Читают её обычно по диагонали: ну написано и написано.
Два обстоятельства сделали её предметной. Первое - требования 152-ФЗ и штрафы, которые перестали быть символическими: за повторную утечку они считаются от оборота компании. Второе - куда более житейское. В августе 2026 года в Новосибирске дата-центр экстренно переводили на резервное питание, и часть сервисов просто перестала открываться. Вопрос «где физически лежат наши данные» из юридического стал операционным.
Проверить это можно, и для этого не нужен безопасник в штате. Нужно пять вопросов и готовность не принимать ответ «конечно, всё в России».
Вопрос первый: где именно
Правильный ответ звучит конкретно: название дата-центра или площадки, город, уровень надёжности. Ответ «в российском облаке» - это не ответ.
Зачем такая дотошность. Во-первых, вы узнаете, есть ли у поставщика вообще понимание, где живёт его инфраструктура, - и иногда выясняется, что нет. Во-вторых, если весь сервис стоит в одной площадке в одном городе, вы теперь знаете, что произойдёт в день, когда этой площадке не повезёт.
Отдельно уточните, где лежат резервные копии. Бэкап, лежащий в том же зале, что и основной сервер, - это не бэкап, а вторая копия того же риска.
Вопрос второй: что считается «данными»
Здесь чаще всего и обнаруживается расхождение.
Компания честно хранит базу пользователей в России, а вот файлы из переписки - в зарубежном хранилище, потому что так дешевле. Или сам сервис российский, а сервис рассылки уведомлений, которому передаются телефоны и почты, - нет. Или аналитика, куда уходят обезличенные, как считается, данные.
Спросите прямо: какие сторонние сервисы задействованы и что именно им передаётся. Полный список обычно короткий, и его отсутствие - плохой знак сам по себе.
Про чужие облака и переписку у нас есть отдельный разбор - «152-ФЗ и рабочая переписка».
Вопрос третий: кто имеет доступ
Не «защищены ли данные», а кто конкретно из живых людей может их открыть.
У любого поставщика есть техподдержка, и у неё есть доступ - иначе она не смогла бы помогать. Вопрос в том, как этот доступ устроен: по запросу и с фиксацией или у всех сотрудников постоянно. Второе встречается чаще, чем хотелось бы.
И вторая половина вопроса - про вашу сторону. Кто из ваших сотрудников что видит и можно ли раздать права по ролям. Если в сервисе все видят всё, то ваша безопасность равна безопасности самого невнимательного менеджера. Про раздачу прав мы писали в статье «Кто что видит в рабочих чатах».
Вопрос четвёртый: что происходит при сбое
Тут нужен не рассказ про надёжность, а два числа: за какое время сервис восстанавливается и сколько данных при этом теряется.
Второе особенно важно, и его обычно не спрашивают. Если резервная копия делается раз в сутки, то при аварии вы потеряете всё, что произошло с последней копии. Для переписки это может означать день диалогов с клиентами.
Заодно спросите про самое скучное: что вы увидите в момент аварии. Есть ли страница со статусом, приходит ли уведомление, или вы узнаете о проблеме от собственных менеджеров. Ответ на этот вопрос говорит о поставщике больше, чем весь остальной разговор.
Вопрос пятый: как забрать своё
Проверка, которую стоит делать до подписания, а не после ссоры.
Можно ли выгрузить переписку, файлы и базу контактов, в каком формате и за какое время. Нормальный ответ - выгрузка доступна вам самим и в читаемом виде. Настораживающий - «напишите запрос, мы подготовим».
Смысл не в недоверии, а в свободе: пока данные можно забрать, вы выбираете поставщика. Когда нельзя - он выбирает вас. Про то, что стоит смотреть в самом договоре, разбирали в статье «Что смотреть в договоре подписки».
Как отвечаем на это мы
Честно назвать свои ответы - меньшее, что можно сделать, задав пять неудобных вопросов другим.
Данные наших клиентов лежат на серверах в России, работа построена по 152-ФЗ, доступ внутри компании клиента раздаётся по ролям. Корпоративный мессенджер стоит 5 990 рублей в месяц, запуск за 5 дней, настройка входит в подписку - тарифы на странице услуг.
Выбор между своим сервером и облаком - отдельный разговор, и он не всегда решается в пользу своего: подробности в статье «Свой сервер или облако для переписки».
Три ответа, после которых стоит насторожиться
Ответы поставщика бывают уклончивыми по-разному, и три формулировки встречаются особенно часто.
«У нас всё по закону». Это не ответ, а его отсутствие. Никакой проверяемой информации в этой фразе нет, и обычно за ней стоит человек, который просто не знает деталей и не хочет это показывать.
«Данные шифруются, поэтому неважно, где они лежат». Шифрование - хорошая вещь, но оно решает другую задачу. Требование о размещении баз данных на территории России от шифрования никуда не девается.
«Наш дата-центр в Европе, но это надёжнее». Может, и надёжнее по инженерным характеристикам. Только за последний год мы все видели, как быстро зарубежная инфраструктура становится недоступной по причинам, не имеющим отношения к технике.
Ни один из этих ответов не означает, что поставщик плохой. Он означает, что разговор надо продолжить и получить конкретику - или переходить к следующему кандидату. Полный список вопросов к поставщику мы собирали в статье «Что спросить у поставщика мессенджера».
Что делать дальше
Возьмите список сервисов, которыми пользуется компания, - обычно их больше, чем кажется, и половина всплывает только при составлении списка. Отметьте те, где лежат данные клиентов или сотрудников.
По каждому пройдите пять вопросов выше. На это уйдёт пара вечеров, и по итогам почти всегда обнаруживается один-два сервиса, про которые никто не знал, что там вообще что-то хранится. Начать удобно с карты данных - как её составить, разбирали в статье «Карта данных компании».
