Трансграничная передача персональных данных - это любая передача данных за пределы России: физическая пересылка, хранение на зарубежном сервере или предоставление доступа к данным иностранной компании, даже без физического перемещения файлов. Сюда попадает подключение практически любого зарубежного сервиса - от email-рассылок и аналитики до чата на сайте и CRM-системы.
Значение имеет не то, где формально зарегистрирована компания-поставщик сервиса, а где физически находятся или обрабатываются данные. Если письма клиентам уходят через сервер рассылок за рубежом, это трансграничная передача, даже если у сервиса есть представитель или партнер в России.
Здесь действует правило локализации: сбор и первичное хранение персональных данных граждан России должны идти на серверах внутри страны, и только потом при необходимости данные можно передавать дальше. Факт трансграничной передачи и страну получателя нужно отразить в уведомлении об обработке персональных данных, которое подается в Роскомнадзор до начала обработки.
На практике проще всего провести инвентаризацию используемых сервисов: если среди них есть зарубежная аналитика, чат-виджет или рассылки, это тоже трансграничная передача, и ее стоит отразить в документах, а не только держать в голове.