Что рассказать в запросе
Чем подробнее описание, тем меньше в готовом тексте пустых скобок:
- кто вы как оператор: ИП, ООО, самозанятый или частное лицо, плюс название, ИНН и адрес;
- почта или форма обратной связи, куда человек напишет с вопросом о своих данных;
- адрес сайта и что на нём происходит: заявка, заказ, подписка, личный кабинет, запись на приём;
- какие данные вы собираете: имя, телефон, электронная почта, адрес доставки, cookie и идентификаторы аналитики;
- зачем: ответить на заявку, отправить заказ, вести рассылку, считать статистику;
- кому данные уходят: служба доставки, платёжный сервис, CRM, сервис рассылок, система аналитики;
- сколько храните данные и как человек может отозвать согласие.
Если половины этого под рукой нет — расскажите остальное. На месте пропуска останется [ИНН] или [срок хранения], и это правильно: пустая скобка видна сразу, а придуманный реквизит выглядит как проверенный.
Два документа, а не один
Их часто путают, хотя работают они по-разному и живут в разных местах.
| Что это | Кто читает | Где размещают |
|---|---|---|
| Политика обработки персональных данных | любой посетитель сайта | отдельная страница, ссылка в подвале |
| Согласие на обработку | тот, кто отправляет форму | текст у чекбокса, копия в архиве заявок |
| Короткая строка у кнопки | тот же посетитель | рядом с формой отправки, одна-две фразы |
Политика — это рассказ оператора о себе: кто обрабатывает данные, какие именно, с какой целью, кому передаёт, сколько хранит и куда писать с вопросом. Её читают редко, но открыта она должна быть всем — без регистрации и без входа в личный кабинет.
Согласие — действие конкретного человека. Оно адресное: этому оператору, на этот перечень данных, для этих целей. Поэтому политика согласие не заменяет, а согласие не заменяет политику: первый документ объясняет правила, второй фиксирует, что посетитель на них согласился. Карточка собирает оба и следит, чтобы перечень данных в них совпадал: если в согласии данных больше, чем в политике, документы начинают противоречить друг другу.
Третий текст — та самая строка у чекбокса. Её пишут в последнюю очередь и обычно наспех, хотя видит её каждый: именно она ведёт на страницу политики.
Какие разделы входят в политику
Состав примерно одинаковый у всех операторов, и карточка держит его целиком, даже если про часть разделов вы ничего не сказали — там останутся квадратные скобки.
- Кто оператор. Название или ФИО, ИНН, адрес, почта для обращений.
- Какие данные обрабатываются. По группам: контактные, платёжные, технические. Человека, чьи данные вы собираете, закон называет субъектом персональных данных — в документе это слово встретится.
- Цели обработки. По одной строке на цель: ответить на заявку, отправить заказ, посчитать статистику.
- Основание обработки. То, которое вы описали сами.
- Кому данные передаются. Служба доставки, платёжный сервис, CRM, сервис рассылок, аналитика.
- Сроки хранения и что происходит с данными потом.
- Как оператор данные защищает. Общими словами, без выдуманных сертификатов и названий средств защиты.
- Права человека и порядок обращения. Запросить, уточнить, удалить, отозвать согласие — с адресом, куда писать.
- Порядок изменения политики и дата редакции.
И одно замечание про название. Политику обработки персональных данных на сайтах сплошь называют политикой конфиденциальности, а иногда сводят оба слова в один заголовок. По смыслу это один документ: правила обращения с данными, открытые всем посетителям. Карточке всё равно, какое название вы предпочитаете, — скажите, и заголовок будет ваш.
Текст согласия и строка у чекбокса
Согласие на сайте почти никогда не бумажное. Человек ставит галочку, нажимает кнопку — и оператору важно, чтобы у этого действия был сохранённый текст. Поэтому карточка выдаёт формулировку, которую можно положить рядом с формой, и полную версию для отдельной страницы или для архива заявок.
Пара практических требований, которые легко упустить. Чекбокс не должен быть отмечен заранее: заранее проставленная галочка согласием не считается. Формулировка «согласен со всем» тоже не работает — человек соглашается на конкретный перечень данных и конкретную цель, иначе непонятно, на что он согласился. И текст согласия стоит хранить в той редакции, в которой его видел посетитель: если вы поменяли формулировку, старые заявки остались под старой.
Отзыв согласия — обратная сторона того же документа. Его спрашивают часто, и в нём должно быть написано, куда писать отзыв и что после этого произойдёт с данными. Карточка этот раздел ставит всегда, а адрес возьмёт ваш или оставит [адрес электронной почты для обращений].
Cookie, аналитика и сторонние сервисы
Про эту часть забывают чаще всего, а именно из-за неё сбор данных на сайте почти никогда не ограничивается формой. Счётчик аналитики ставит cookie и хранит идентификатор посетителя. Сервис рассылок получает электронную почту подписчика. CRM принимает заявку целиком. Платёжный шлюз видит имя и телефон. Всё это передача данных другим лицам, и в политике она должна быть названа.
Поэтому в запросе полезно перечислить подключённые сервисы, даже если кажется, что они чисто технические. Карточка внесёт их в раздел о передаче и свяжет с целями, для которых они работают. Чего она не сделает — не решит за вас, законна ли передача в конкретный сервис и что делать, если его серверы стоят за пределами РФ. Это как раз вопрос к юристу.
Отдельный сюжет — баннер про cookie. Он живёт рядом с политикой, ссылается на неё и обычно оформлен как согласие на использование cookie. Формулировку для баннера карточка даст, если вы о ней попросите.
Реквизиты, сроки хранения и номера статей карточка не выдумывает
Главное ограничение, и оно жёстче, чем в остальных карточках каталога. Если вы не назвали ИНН, полное наименование, адрес и срок хранения, нейросеть не подставит правдоподобные — она оставит место: [ИНН], [адрес], [срок хранения], [перечень данных]. То же с номерами: ни статей, ни пунктов, ни приказов, ни постановлений в готовом документе не будет. Ссылка на закон даётся словами — «в соответствии с законодательством Российской Федерации о персональных данных», — и её всё равно нужно сверить.
Причина простая. Юридический документ читают буквально, и выдуманный номер пункта в нём хуже, чем его отсутствие: отсутствие видно, а неверная ссылка выглядит солидно ровно до первого юриста. Со сроками хранения та же история — «типовых» сроков не существует, они зависят от цели и вида данных, поэтому без вашего ответа это всегда [срок хранения].
Перечень данных карточка тоже не расширяет. Если вы собираете имя и телефон, в политике будут имя и телефон, а не полстраницы категорий на всякий случай. Лишняя строка в политике — это обещание, которое оператор потом не выполняет.
Чего карточка не делает
Здесь честный список, чтобы не было лишних ожиданий.
- Уведомление в Роскомнадзор не подаёт и не оформляет. Это отдельное действие в личном кабинете регулятора, документ на сайте его не заменяет.
- Не решает, нужно ли вам уведомлять регулятора. Ответ зависит от того, кто вы, какие данные собираете и на каком основании, и его определяют не по общей статье в интернете.
- Не выбирает основание обработки. Согласие, договор, требование закона — карточка оформляет то основание, которое вы описали сами, и не говорит, достаточно ли его.
- Не оценивает локализацию, трансграничную передачу, обезличивание, модель угроз и оценку вреда. Это профильная работа со специалистом.
- Не пишет внутренние документы оператора — приказы, положения, журналы учёта, назначение ответственного за обработку.
- Не даёт юридических консультаций и не отвечает на вопрос «законно ли это у меня».
Почему текст стоит показать юристу
Базовый документ здесь один — Федеральный закон № 152-ФЗ «О персональных данных», по которому в РФ работает любой оператор, от крупного магазина до репетитора с единственной формой заявки. Роскомнадзор проверяет и наличие политики, и её содержание. Штраф за отсутствующий или неверный документ — не страшилка: ответственность существует, и с 2025 года она стала заметнее. Конкретных сумм мы не приводим намеренно: они зависят от состава нарушения и от того, кто оператор, а выдуманная цифра в юридическом документе вреднее, чем её отсутствие.
Вывод из этого спокойный. Заготовка снимает самую долгую часть работы — собрать из вашего рассказа связный документ, где все разделы на своих местах и перечень данных совпадает в обоих документах. Дальше юрист смотрит на то, что машина решить не может: основание обработки, срок хранения, перечень получателей и нужно ли уведомление. Такая проверка занимает несравнимо меньше времени, чем составление с нуля, и стоит соответственно.
Где разместить политику и как на неё ссылаться
Политика живёт на отдельной странице сайта, и ссылка на неё должна открываться без регистрации, с любого устройства и из подвала каждой страницы, где есть форма. Скачиваемый файл вместо страницы — плохая идея: его не открывают.
Ссылку ставят в трёх местах: в подвале сайта, рядом с каждым чекбоксом согласия и в самом согласии. Дату редакции лучше указать прямо в документе — так видно, что он живой, и понятно, какую версию видел посетитель. Меняли данные, подключили аналитику или новый сервис рассылок — политику нужно обновить: информация в ней должна совпадать с тем, что происходит на сайте на самом деле.
Чем это отличается от соседних карточек
Текст для сайта пишет продающие страницы: главную, услугу, цены, раздел о компании. Юридическую страницу там писать нечем: в ней нельзя ни сокращать, ни украшать, а требования к содержанию заданы не редактором.
Правила для сотрудников — внутренний свод по смене для своих людей, наружу его не публикуют. Регламент работы описывает процесс с ответственными и сроками: он про то, кто внутри компании что делает с данными, а наша карточка — про то, что вы обещаете посетителю снаружи. Инструкция для пользователя ведёт по шагам от первого запуска продукта: это справка, а не обязательство оператора. Претензия и жалоба — документ по конкретному спору, и направляют его не посетителю сайта, а продавцу или организации.
Пользовательское соглашение и публичную оферту карточка тоже не подменяет: это другие документы, про условия сделки, а не про обращение с данными. Их часто выкладывают на ту же страницу, но писать их нужно отдельно.