Безопасность данных в 2026 при выборе платформы лояльности

Современные программы лояльности представляют собой сложные экосистемы с десятками функций. Чем шире функционал, тем больше информации система собирает и обрабатывает. И чем больше информации, тем серьезнее риски утечек.

В 2026 году требования к безопасности заметно ужесточились. Штрафы за потерю данных выросли. Клиенты стали разборчивее и они хотят понимать, кому доверять. Регуляторы тоже внимательно следят за тем, как бизнес обращается с персональными данными.

При выборе платформы лояльности компании обычно смотрят на уникальность решения и примеряют его под свои задачи. Про безопасность вспоминают либо на этапе подписания договора, либо когда что-то уже пошло не так. Чтобы не попадать в такую ситуацию, мы собрали ключевые вопросы, которые стоит задать вендору до старта проекта — до того, как случится инцидент.

1. Где хранятся данные и кто к ним имеет доступ?

Вопрос кажется простым, но ответ часто удивляет. Уточните у потенциального партнера:

• В какой стране расположены серверы?
• Клиентские данные лежат в отдельной базе или на общем сервере с другими проектами?
• Есть ли разграничение прав доступа внутри команды вендора?
• Кто из сотрудников может видеть персональные данные ваших клиентов?

Почему это важно. Хранение данных за пределами России может противоречить 152-ФЗ. Общая база с другими проектами всегда несет риск утечки через соседнего клиента. А отсутствие ролевой модели создает предпосылки для инсайдерских угроз.

2. Есть ли сертификаты и независимые аудиты?

Словам верить не стоит, требуйте документальных подтверждений. Вот что имеет смысл спросить:

• Есть ли аттестат ФСТЭК?
• Проводился ли аудит информационной безопасности сторонней организацией?
• Имеется ли сертификат соответствия 152-ФЗ?
• Проводятся ли тесты на проникновение и с какой периодичностью?

Почему это важно. Без внешних проверок вы полагаетесь только на обещания вендора. А практика показывает, что доверять на слово не всегда разумно. Если компания регулярно проходит независимые пентесты, это надежный сигнал, ведь с безопасностью у них действительно порядок.

3. Как передаются данные между системами?

Платформа лояльности редко существует в вакууме, она подключается к CRM, кассам, сайту, мобильному приложению. Уточните детали:

• Какое шифрование применяется при передаче данных?
• Сохраняются ли логи передачи?
• Как аутентифицируются запросы между системами?
• Есть ли инструкция по безопасной интеграции?

Почему это важно. Шифрование при передаче является базовой и обязательной вещью. Без него данные можно перехватить на лету. А если нет внятной документации, вам придется настраивать интеграцию наугад, что само по себе рискованно. Хороший тон про наличие четких требований к безопасности в документации.

4. Как защищены пользователи от мошенничества?

Программа лояльности напрямую завязана на баллы, а баллы на деньги. А там, где деньги, всегда находятся желающие получить их нечестным путем: накрутить регистрации, выиграть призы и перепродать их. Вот что стоит выяснить:

• Как система обнаруживает накрутку баллов?
• Есть ли лимиты на число регистраций с одного IP или устройства?
• Как защищены реферальные механики?
• Фиксируются ли подозрительные действия и приходят ли автоматические оповещения?

Почему это важно. Наличие антифрод-модуля с модерацией позволяет отсеивать подозрительные операции до того, как они нанесут ущерб.

5. Как обрабатываются запросы на удаление данных?

По 152-ФЗ пользователь вправе потребовать удалить свои персональные данные. Вендор должен исполнять такие запросы быстро и без последствий. Уточните:

• Сколько времени занимает удаление данных по запросу?
• Данные стираются из бэкапов?
• Можно удалить информацию выборочно (например, историю действий, но оставить электронную почту)?
• Есть ли в личном кабинете кнопка, чтобы удалить аккаунт?

Почему это важно. По закону удаление должно происходить немедленно или в разумный срок. Если данные не стираются из бэкапов, полноценного удаления не происходит.

6. Что происходит с данными после расторжения договора?

Вы прекратили сотрудничество с вендором, но ваши данные остались у него. Спросите:

• Как долго вендор хранит данные после окончания договора?
• Можно ли выгрузить все данные в понятном формате?
• Удаляются ли данные после выгрузки?
• Прописаны ли эти условия в договоре?

Почему это важно. Без четких договоренностей вендор может хранить ваши данные сколько угодно и использовать их в своих интересах.

7. Как вы реагируете на инциденты?

Полностью исключить взломы и утечки невозможно. Ключевой фактор здесь скорость вашей  реакции. Узнайте:

• Есть ли утвержденный план реагирования на инциденты?
• В течение какого времени вы уведомляете клиента об утечке?
• Предусмотрена ли компенсация клиенту в случае утечки?
• Есть ли у вас киберстраховка?

Почему это важно. Закон обязывает сообщить регулятору об утечке в течение 24 часов. Если вендор узнал о проблеме только через неделю, вы уже нарушили закон. Компенсации и страховка это вопрос финансовой ответственности.

Где взять все эти ответы?

Надежный вендор не станет дожидаться, пока вы начнете задавать вопросы. Он сам расскажет о безопасности на старте, потому что это сильное конкурентное преимущество.

Что еще почитать по теме

• Федеральный закон № 152-ФЗ «О персональных данных»
• Приказ ФСТЭК № 21 об аттестации объектов информатизации
• Разъяснения Роскомнадзора по уведомлению об утечках