Политика конфиденциальности для сайта: как составить документ под свой бизнес
Хорошая политика позволяет посетителю понять, кто получит его данные, для чего они нужны и как прекратить обработку. Владельцу сайта она помогает связать формы, CRM, рассылки и работу сотрудников в понятную схему. Ниже — порядок подготовки документа и примеры для адаптации.
- Начните с реальных процессов: какие данные собираете, куда передаёте и когда удаляете.
- Политика описывает обработку; согласие и уведомление Роскомнадзора решают другие задачи.
- Ссылка должна быть доступна в местах сбора данных, а текст — совпадать с настройками сайта.
Когда сайту нужна политика обработки данных
Имя в заявке, телефон для звонка, email для отчёта, адрес доставки и сведения в личном кабинете могут относиться к персональным данным. При этом сбор не ограничивается видимыми полями: проверьте аналитические идентификаторы, чат, журнал обращений и интеграции. Небольшой лендинг тоже может участвовать в обработке.
Статья 18.1 предусматривает публикацию политики и доступ к ней при сборе данных через интернет, в том числе на страницах сайта, где происходит сбор. Практически это означает: документ открывается без регистрации, ссылки ведут на действующую версию, посетитель может прочитать его до передачи информации.
Чем политика отличается от согласия и оферты
Эти документы можно связать ссылками, но нельзя считать взаимозаменяемыми. Название «Политика конфиденциальности» привычно для посетителя; содержание должно раскрывать именно обработку персональных данных.
| Документ | На какой вопрос отвечает | Чего не заменяет |
|---|---|---|
| Политика обработки данных | Кто, зачем и как обрабатывает сведения о людях | Правового основания для каждой операции |
| Согласие на обработку | На какую конкретную обработку согласился человек | Политики и доказательств фактического выбора |
| Оферта или договор | На каких условиях продаётся товар или оказывается услуга | Отдельно оформляемого согласия, если оно требуется |
| Уведомление Роскомнадзора | Какие сведения оператор сообщил надзорному органу | Согласий посетителей и настройки сайта |
Что собрать до написания текста
Откройте сайт вместе с человеком, который обрабатывает заявки. Проследите хотя бы один путь от отправки формы до удаления записи. Часто оказывается, что заявка одновременно остаётся в почте, CRM, таблице и мессенджере.
- Данные оператора: полное наименование организации или ФИО предпринимателя, адрес и рабочий контакт по вопросам обработки.
- Список страниц и форм: заказ, обратный звонок, подписка, чат, регистрация, загрузка файлов.
- Для каждой формы — обязательные и необязательные поля, цель и основание обработки.
- Получатели: сотрудники, хостинг, CRM, почтовый сервис, подрядчики и другие участники цепочки.
- Где расположены базы данных; какие внешние сервисы получают сведения.
- Сроки и условия прекращения обработки, порядок удаления и ответственный за обращения.
Структура политики: рабочий каркас
Это план документа, а не универсальная готовая политика. Наполнение зависит от вашего бизнеса. Внутренние положения и меры защиты могут быть подробнее публичной страницы; пароли, ключи и технические секреты публиковать не нужно.
| Раздел | Что раскрыть | Как проверить |
|---|---|---|
| Оператор и область действия | Кто отвечает за данные и к каким сайтам/процессам относится текст | Сверить владельца бизнеса, домены и контакты |
| Цели и основания | Зачем нужна каждая группа данных и на каком основании она используется | Сопоставить с формами, договорами и согласиями |
| Люди и сведения | Категории субъектов и обрабатываемых данных по целям | Проверить обязательные поля и вложения |
| Действия и получатели | Сбор, хранение, использование, передача; роль подрядчиков | Проследить цепочку от формы до конечной системы |
| Сроки и удаление | Сколько или до какого события нужны данные; как прекращается обработка | Проверить реальное удаление и резервные копии |
| Права и обращения | Как запросить сведения, уточнить данные, отозвать согласие | Отправить тестовое обращение на указанный контакт |
| Защита и изменения | Общее описание мер и порядок обновления политики | Назначить владельца документа и вести версии |
Как описывать цели без формулировки «для всего»
Цель должна объяснять конкретную пользу и процесс. «Для работы сайта и любых иных задач» не помогает человеку понять дальнейшую судьбу телефона. Разделите обратную связь, выполнение заказа, поддержку аккаунта и продвижение товаров.
Не объявляйте согласие единственным основанием для всех процессов автоматически. Для конкретной операции может применяться договор или обязанность по закону. Выбор основания влияет и на текст формы, и на возможность продолжать обработку после отзыва согласия.
| Слишком широко | Понятнее для посетителя | Что уточнить владельцу |
|---|---|---|
| Улучшение качества услуг | Ответ на обращение о стоимости и условиях услуги | Какие поля действительно нужны для ответа |
| Взаимодействие с клиентами | Оформление, оплата и доставка заказа | Состав данных для продавца и перевозчика |
| Информационное обслуживание | Отправка выбранной пользователем рассылки | Согласие, канал, частота и отписка |
| Анализ поведения | Оценка посещаемости и использования разделов сайта | Сервис, идентификаторы, основание и настройки |
Сроки хранения, подрядчики и зарубежные сервисы
Укажите срок или понятный критерий его определения для каждой цели. Нельзя переносить один срок на все записи только потому, что его удобно настроить в CRM. У бухгалтерских документов, незавершённого заказа и заявки без сделки могут быть разные основания и периоды хранения.
Если обработка поручается подрядчику, изучите условия поручения, состав данных и меры защиты. Если сведения передаются самостоятельному получателю, опишите его роль корректно. Выражение «мы никому не передаём данные» должно соответствовать работе CRM, рассылки, доставки и других сервисов.
Отдельно разберите локализацию и трансграничную передачу. Национальный домен сервиса, расположение офиса и география баз данных — разные вещи. Одной общей фразы в политике недостаточно: нужны сведения о фактической схеме и применимых требованиях статей 12 и 18.
Пример фрагмента: как выглядит конкретное описание
Квадратные скобки показывают сведения, которые нужно выяснить, а не опубликовать как есть. Дополните фрагмент основанием, операциями, порядком удаления и другими применимыми условиями. Не используйте его как законченную политику.
Проверьте и обратное соответствие: если в документе указаны только имя и телефон, форма не должна незаметно требовать дату рождения, домашний адрес или файл с паспортом для обычного звонка.
Где разместить политику и что проверить на телефоне
- Создайте постоянный адрес документа. Для чтения удобна HTML-страница; PDF можно дать дополнительно.
- Добавьте доступ к политике на страницах сбора и рядом с соответствующими формами. Ссылка в подвале помогает найти документ, но не решает все сценарии сама по себе.
- Проверьте всплывающие формы, мобильное меню, корзину, чат и формы во внешних iframe.
- Откройте ссылку без авторизации. Убедитесь, что текст не закрывает cookie-баннер и что масштаб не мешает чтению.
- Проверьте, что открытие документа не стирает уже введённую заявку.
- Укажите дату редакции и сохраните предыдущий текст для разбора обращений и доказательств.
Ошибки, которые не исправляет замена названия компании
| Проблема | Почему мешает | Как исправить |
|---|---|---|
| Скопирован текст конкурента | В нём чужие сервисы, цели и получатели | Составить собственную карту обработки |
| Все данные хранятся бессрочно | Срок не связан с необходимостью обработки | Определить сроки по целям и основаниям |
| В политике нет чата или рассылки | Реальные каналы не отражены в описании | Сверить документ с интеграциями |
| Контакт для обращений не работает | Посетитель не может воспользоваться указанным способом | Назначить ответственного и проверить доставку |
| Документ есть только в админке | Посетитель не получает к нему доступ | Опубликовать и проверить внешние ссылки |
Как поддерживать политику после запуска
Поводом для пересмотра может стать новая CRM, аналитика, форма, рассылка, цель использования данных или смена оператора. Назначьте сотрудника, который узнаёт об этих изменениях до публикации. Политика должна обновляться вместе с процессами, а не раз в год по календарю.
- Сохранить версию документа и дату начала применения.
- Проверить, нужны ли изменения согласий и повторное получение согласия для новой обработки.
- Обновить сведения в уведомлении Роскомнадзора, если изменились соответствующие данные.
- Проверить ссылки, формы и путь обращения после выпуска.
Вопросы и ответы
Можно ли использовать один документ для нескольких сайтов?
Возможность зависит от оператора и процессов. Если оператор один, в документе можно ясно определить область действия и различия сайтов. Если операторы разные, общий бренд не делает их одним лицом: роли и обработку нужно разграничить.
ИП тоже нужна политика?
Статус предпринимателя сам по себе не освобождает от обязанностей оператора. Если через сайт собираются персональные данные, определите применимые требования и подготовьте сведения о фактической обработке.
Можно ли взять шаблон и заменить реквизиты?
Шаблон полезен как список вопросов. Проверить придётся все цели, поля, основания, сроки, подрядчиков и способы обращения. Замена реквизитов не исправляет описания процессов, которых у вас нет.
Нужна ли отдельная галочка «с политикой ознакомлен»?
Доступ к политике и согласие на конкретную обработку — разные задачи. Дополнительная отметка об ознакомлении сама по себе не создаёт согласия и не заменяет основание обработки. Проектируйте форму по её реальной цели.
Политику обязательно размещать именно в HTML?
Закон устанавливает требования к публикации и доступу, а не универсальный обязательный формат HTML. Для сайта HTML обычно удобнее читать с телефона, связывать с формами и обновлять; доступность PDF тоже нужно проверить.
Нужно ли описывать Яндекс.Метрику?
Нужно разобраться, какие данные и с какой целью обрабатываются через фактически подключённую аналитику. Если она участвует в обработке персональных данных, описание процессов и настройки должны это учитывать.
Обязательно ли указывать все сроки в днях?
Используйте срок либо определимый критерий, связанный с целью и правовым основанием. Посетитель и сотрудник должны понимать, когда обработка прекращается. Неопределённое «пока считаем нужным» такой задачи не решает.
Можно ли написать, что данные никогда не передаются третьим лицам?
Только если это соответствует всем реальным операциям. Проверьте CRM, почту, доставку, хостинг и подрядчиков. Уточнение ролей обычно полезнее категоричного обещания.
Нужно ли заново получать согласие после каждой правки политики?
Редакционная правка и изменение целей или состава обработки — разные ситуации. Сопоставьте новый процесс с ранее полученным согласием и основанием; существенное расширение нельзя автоматически покрыть новой датой страницы.
Может ли сканер подтвердить юридическую правильность политики?
Нет. Himedia находит доступные документы и технические признаки. Соответствие фактическим процессам, достаточность формулировок и правовые основания требуют проверки человеком.
Источники и границы материала
Материал помогает подготовить документы и организовать проверку. Примеры требуют адаптации к вашему оператору и процессам. Для конкретного решения учитывайте применимые нормы и обстоятельства обработки.