152‑ФЗ · Руководство
Поименный перечень сервисов в политике конфиденциальности
Фраза «данные могут передаваться третьим лицам» без перечня не отвечает требованиям прозрачности. Регулятор и пользователь должны понимать, кому именно уходят контакты, метрики и файлы с сайта.
Что не так с шаблонными формулировками
Абстрактное согласие не раскрывает: кому передаются данные — наименование, ИНН, адрес; зачем — конкретная цель; на каком основании — договор, согласие или иное правовое основание по ст. 6.
«Партнёрам и подрядчикам» без списка — типичный красный флаг при автоматической и ручной проверке.
Кого указать поименно
Даже если вы не продаёте базы, сайт автоматически отправляет данные через код. Каждый получатель с доступом к ПДн должен быть отражён в политике и, где нужно, в договоре поручения.
- Веб-аналитика — Яндекс.Метрика, Top.Mail.Ru и аналоги
- CRM и формы — amoCRM, Битрикс24, конструкторы с вебхуками
- Чаты и коллтрекинг — JivoSite, Calltouch, Carrot quest
- Доставка — СДЭК, Boxberry при передаче ФИО и адреса
- Платёжные и email-сервисы при обработке заказов
Таблица для политики и согласия
Практичный формат — таблица: сервис, юридическое лицо, ИНН, цель обработки. Тот же перечень должен быть согласован с текстами согласия на формах — пользователь видит, куда уйдут данные, до отправки.
Скрытые интеграции
Частая проблема — «теневые» скрипты: старый пиксель, тестовый чат, виджет в A/B-тесте. В политике их нет, в коде — есть. Именно такие расхождения находят автоматические проверки и аудит SiteComply.
- Network в DevTools — все внешние домены с данными
- Новый виджет от маркетинга = обновление политики
- Сверка кода и документов — не разовая, а при каждом релизе
Что входит в автоматическую проверку
- Каждый внешний сервис с ПДн есть в политике с ИНН и целью
- Текст согласия на формах согласован с перечнем
- Заключены договоры поручения с CRM, чатами, рассылками
- Нет забытых пикселей и скриптов «на тест»
- Перечень обновляется при подключении новых интеграций
Частые вопросы
Нужен ли ИНН зарубежного сервиса?+
Для иностранных получателей указывают наименование и страну, при наличии — идентификаторы; плюс оценивают трансграничную передачу и локализацию.
Достаточно ли ссылки «см. политику» в форме?+
Нужно активное согласие и понятность: пользователь должен иметь возможность узнать получателей до отправки — через политику или краткий перечень рядом с формой.
Как не пропустить новый скрипт?+
Регламент: любая новая интеграция проходит чеклист — код, политика, договор, cookie-документ. Периодический скан домена ловит забытые виджеты.
Читайте также