Приведение сайта под 152-ФЗ — согласия, политика, куки, хранение данных

Любой сайт с формой заявки собирает данные людей: имя, телефон, почту. По закону человек должен знать, что и зачем вы собираете, дать на это согласие и иметь возможность его отозвать.

Как это выглядит в жизни

Форма на сайте стоит с позапрошлого редизайна. Галочки согласия под ней нет или она есть, но нигде не сохраняется. Политика конфиденциальности скопирована с чужого сайта и описывает данные, которых вы не собираете, — зато не описывает те, которые собираете.

Счётчики и виджеты грузятся сразу при открытии страницы, до того как посетитель что-то выбрал. Заявки уезжают в сервис рассылок или CRM, о котором в политике нет ни слова.

Так живёт большинство сайтов, и это не халатность: сайт делали одни, формы добавляли другие, документы брали третьи. Проблема всплывает в момент, когда кто-то приходит с вопросом — проверка, жалоба клиента или запрос «удалите мои данные».

Отдельно скажем сразу: размер штрафов и юридические последствия — не наша тема. Мы отвечаем за то, что делает сайт, а не за то, как это оценят.

Что мы делаем

Приводим сайт в соответствие с тем, что он на самом деле собирает: разбираемся, какие данные и куда уходят, добавляем нормальное согласие, приводим документы к фактам и переносим хранение туда, где ему положено быть.

Граница ответственности та же, что и в любой юридически чувствительной теме. Мы отвечаем за техническую часть: формы, согласия, куки, хранение, доступы. Юридическая часть — политика как документ, уведомление в Роскомнадзор, ответы на запросы и предписания — остаётся на вас и вашем юристе. Уведомление об обработке данных подаёт оператор, то есть вы, и мы этого за вас не делаем.

Знаем это не по статьям: сайт, который вы сейчас читаете, сделан по тем же правилам — согласие сохраняется вместе с заявкой, сторонние скрипты не грузятся до выбора посетителя, документы описывают то, что происходит на самом деле.

Форматы работ

• Аудит форм и документов. Смотрим, какие данные сайт собирает, куда они уходят и что об этом написано в политике. На выходе — список расхождений. Бесплатно, за день, без обязательств продолжать с нами.
• Согласие и журнал согласий. Отметка в каждой форме, где собираются данные, и сохранение самого факта: что человек согласился, когда и с какой версией документа. Галочка, которая нигде не сохранилась, в спорной ситуации ничего не доказывает.
• Куки-баннер, который работает. Не картинка «мы используем куки», а управление: сторонние счётчики и виджеты не загружаются, пока посетитель не согласился, а его выбор запоминается и его можно поменять.
• Хранение данных на сервере в РФ. Переносим базу с заявками туда, где она должна лежать, и настраиваем резервные копии. Если сайт сейчас отправляет данные в зарубежный сервис — показываем, куда именно, и предлагаем замену.
• Документы под то, что сайт делает. Собираем фактический состав данных, целей и получателей — то, из чего юрист соберёт политику и согласие. Мы описываем факты, юридические формулировки остаются за юристом.
• Форма отзыва согласия и удаления данных. Человек должен иметь возможность попросить убрать свои данные, а вы — выполнить это, не разыскивая их по трём сервисам.

Что входит в работу

• Аудит: какие формы есть на сайте, какие данные собираются и куда уходят
• Список расхождений между тем, что сайт делает, и тем, что написано в документах
• Согласия во всех формах и сохранение факта согласия вместе с заявкой
• Куки-баннер с реальным управлением сторонними скриптами и запоминанием выбора
• Перенос хранения заявок на сервер в РФ и резервные копии
• Порядок обработки запросов на удаление данных
• Инструкция: что нужно менять в документах, когда меняется сайт

Почему к нам

Мы сделали так у себя. Загляните в подвал этого сайта: куки-баннер с настройками, политика, отметка согласия в форме. Это не пересказ чужих статей — мы показываем то, чем пользуемся сами.

Согласие сохраняется, а не рисуется. Вместе с заявкой у нас пишется факт согласия и время. Именно это отличает работающую схему от галочки для вида.

Счётчики не грузятся до согласия. Это делается в коде, а не в тексте баннера: пока посетитель не выбрал, сторонние скрипты просто не подключаются.

Говорим прямо, где нужен юрист. Мы не пишем политику как документ, не подаём уведомление и не отвечаем на предписания. Зато честно скажем, что из найденного — к разработчику, а что к юристу.

Данные остаются у вас. База с заявками стоит на вашем сервере, доступы у вас, резервные копии — тоже.

Что вы получаете на выходе

• Список расхождений — ещё до начала работ и бесплатно
• Формы с согласием и сохранённым журналом согласий
• Куки-баннер, который действительно управляет сторонними скриптами
• Хранение заявок на сервере в РФ с резервными копиями
• Понятный порядок: что делать, когда просят удалить данные

Кому это не подходит

Если нужен юрист, а не разработчик. Уведомление в Роскомнадзор, политика как документ, ответы на предписания и споры — не наша работа, и мы не будем брать за неё деньги.

Если сайт не собирает вообще ничего. Визитка без форм, без счётчиков и без чатов — приводить в соответствие нечего. Так и скажем на аудите.

Если задача — повесить галочку для вида. Согласие, которое нигде не сохраняется, и баннер, который ничего не выключает, стоят дешевле и не решают ровным счётом ничего. Мы такое не делаем.

Если данные обязаны остаться в зарубежном сервисе. Иногда бизнес-процесс завязан на конкретную систему, и менять её нельзя. Тогда решение придётся искать не на стороне сайта, и это разговор с юристом, а не с нами.

Сроки

Аудит — один день. Доработка сайта — от недели: точный срок зависит от того, сколько форм и сторонних скриптов на сайте и как он устроен.

Перенос хранения данных на сервер в РФ считается отдельно: срок называем после аудита. Он зависит от того, где данные лежат сейчас и можно ли их оттуда нормально выгрузить, — разброс тут слишком большой, чтобы называть цифру заранее.

Как формируется цена

Считается по объёму найденного: одно дело — добавить согласие в две формы и починить баннер, другое — переносить хранение и разбираться, куда уходят данные из четырёх виджетов.

Аудит бесплатен и ни к чему не обязывает, поэтому смета появляется до начала работ. Если по итогам аудита окажется, что делать почти нечего, — так и скажем.

Для технических специалистов

Отметка согласия хранится не флагом в форме, а полем заявки вместе со временем и адресом отправителя — так факт согласия остаётся привязанным к конкретному обращению.

Сторонние скрипты подключаются через реестр: до согласия их нет в разметке вовсе, а не «загружены, но отключены». Выбор посетителя переживает перезагрузку, менять его можно из подвала в любой момент. Политика безопасности содержимого запрещает подгружать что-либо мимо реестра, поэтому случайно добавленный счётчик просто не заработает.

Данные заявок лежат в базе на сервере заказчика, дампы уходят по расписанию во внешнее хранилище. Доступ к админке ограничен ролями: редактор не видит коллекцию пользователей, заявки закрыты от инструментов автоматизации целиком.

Что на самом деле собирает ваш сайт?

Проверим бесплатно: пройдём по формам, счётчикам и виджетам, посмотрим, куда уходят данные, и пришлём список расхождений с вашей политикой. Без обязательств продолжать с нами — списком можно пользоваться самостоятельно.