Сайт на конструкторе
Интернет-магазин на конструкторе Tilda, Wix или Shopify: что с локализацией и можно ли так работать после 2025 года?
Зависит от того, где конструктор хранит заявки и заказы, и это нужно проверить до запуска. С 01.07.2025 при сборе персональных данных граждан России их запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных за рубежом не допускаются (ч. 5 ст. 18 152-ФЗ в ред. 23-ФЗ от 28.02.2025). Раньше требовалось лишь, чтобы «первичная» база была в России, теперь закон прямо запрещает использовать зарубежную базу на этапе сбора. Исключения сохранены для обработки по п. 2, 3, 4, 8 ч. 1 ст. 6 (обязанность по закону, правосудие, госуслуги, журналистика), и обычный магазин под них не подпадает. Штраф для ИП и юрлиц 1–6 млн рублей, повторно 6–18 млн (ч. 8, 9 ст. 13.11 КоАП РФ; ИП отвечает как юрлицо по примечанию 1).
Wix и Shopify — иностранные сервисы; если их формы записывают имя, телефон и адрес покупателя в базу за рубежом в момент сбора, то по буквальному прочтению ч. 5 ст. 18 это нарушение, которое не исправить согласием покупателя или уведомлением о трансграничной передаче (Q09, Q22); где именно эти сервисы хранят заявки, нужно уточнять у поставщика письменно, в этом блоке их документация не проверялась. Tilda — сервис российского происхождения (юрисдикцию компании мы не проверяли); в её технической документации сказано, что хранение персональных данных обеспечивается «в соответствии с требованиями законодательства о локализации», но при этом серверы партнёров по хостингу распределены по миру, а данные заявок кешируются на европейском сервере до передачи в подключённые сервисы; срок кеша по умолчанию месяц, его можно сократить до одного дня или удалять данные сразу после отправки. Это означает, что даже на Tilda безопасная схема — передача заявки сразу в российскую CRM или почту с минимальным кешем, а не хранение заказов в «Заявках» конструктора. Официальной позиции Роскомнадзора по конкретным конструкторам при сверке не найдено.
Помимо локализации на сайте магазина нужны политика с описанием, какие сервисы получают данные (ч. 2 ст. 18.1), отдельное согласие на рассылки и на cookies-аналитику, если она собирает идентификаторы (Q08), и уведомление в РКН с указанием места нахождения базы данных (п. 10.1 ч. 3 ст. 22) — для конструктора это адрес дата-центра, который нужно спросить у поставщика.
Практические шаги: написать поставщику конструктора и получить письменный ответ, в какой стране хранятся заявки и заказы; на Wix и Shopify не собирать данные формами сайта, а вести заказы через российскую платформу или перенести магазин; на Tilda включить передачу заявок в российскую CRM и минимальный срок кеша; зарубежные платёжные и аналитические виджеты заменить российскими или описать трансграничную передачу по ст. 12 (Q22).
- Нормы
- 152-ФЗ, ст. 6 ч. 1 п. 2, 3, 4, 8; ст. 12; ст. 18 ч. 5 (в ред. 23-ФЗ от 28.02.2025); ст. 18.1 ч. 2; ст. 22 ч. 3 п. 10.1; КоАП РФ, ст. 13.11 ч. 8, 9, примечание 1
Ссылки сверены с текстом документов
Материалы носят справочный характер и не являются юридической консультацией. Нормы сверены по состоянию на 10.10.2026; перед применением проверьте действующую редакцию актов.
Смежные вопросы
- Какая политика обработки персональных данных нужна сайту? Политика должна описывать реальную обработку у конкретного оператора. Оператор — юридическое лицо обязан издать политику (п. 2 ч. 1 ст. 18.1).
- Всегда ли cookies относятся к персональным данным? Оценивать нужно содержание и назначение конкретного идентификатора, а также возможность связать его с человеком.
- Достаточно ли российского сервера для соблюдения локализации? Одного адреса основного сервера недостаточно для вывода о соблюдении требований.
- Можно ли передавать персональные данные иностранному сервису? Универсального ответа для любого иностранного сервиса нет. Сначала нужно установить, происходит ли трансграничная передача, кто получатель, где находится…
- Нужно ли ИП или самозанятому подавать уведомление в Роскомнадзор, если клиентов немного? Да, в подавляющем большинстве случаев. Уведомление подаёт любой оператор до начала обработки (ч. 1 ст. 22 152-ФЗ), а оператором становится и ИП, и самозанятый…
- ИП открывает онлайн-курсы: платформа GetCourse, Telegram-бот и рассрочка через банк. Кто оператор и где должны быть согласия? Оператор данных учеников — ИП, платформа работает по его поручению, банк — самостоятельный оператор, а согласия нужны в трёх местах: на рассылки, на передачу в…
Другие вопросы раздела «Малый бизнес и ИП»
- Запись к мастеру через YClients или Dikidi и переписка в мессенджере: кто оператор — я или сервис?
- Самозанятый репетитор или психолог: как хранить данные клиентов и детей и нужны ли согласия?
- Сдаю квартиру посуточно: можно ли требовать паспорт гостя, нужно ли ставить иностранцев на учёт и действует ли 115-ФЗ?
- Можно ли вести чаты с клиентами в WhatsApp и Telegram и хранить там их данные?
- Бумажный журнал посетителей и пропуска в бизнес-центре: это законно и нужно ли согласие?
- Что проверяющий Роскомнадзора смотрит у малого бизнеса, что такое профилактический визит и защищает ли мораторий на проверки?