Заявление о конфиденциальности (Privacy Policy) — это юридически обязательный документ для любого ресурса‚ собирающего персональные данные пользователей. В России его требования регулируются Федеральным законом № 152-ФЗ «О персональных данных»‚ а для работы с гражданами ЕС — GDPR (Общим регламентом по защите данных). Ниже представлена подробная структура образца с пояснениями к каждому разделу.

Общие положения и определения

Раздел устанавливает правовую базу и терминологию. Он должен быть понятен не только юристам‚ но и обычным пользователям.

• Наименование оператора: Полное и сокращенное название организации или ФИО ИП (например‚ ООО «» / ИП ).
• Юридический адрес: ‚ г. ‚ ул. ‚ д. ‚ офис .
• Контактные данные для связи по вопросам данных: Email: @.ru‚ Телефон: +7 () —*.
• Ключевые определения: «Персональные данные»‚ «Обработка»‚ «Субъект персональных данных»‚ «Оператор»‚ «Сайт/Приложение»‚ «Cookie-файлы»‚ «IP-адрес».

Важно: Укажите ссылку на актуальную версию документа на сайте и дату последнего обновления.

Какие персональные данные собираются

Необходимо перечислить все категории данных‚ которые вы получаете. Скрытие фактов сбора данных является нарушением закона.

Данные‚ предоставляемые пользователем добровольно

1. При регистрации/авторизации: Логин‚ Email‚ Телефон‚ Пароль (в хешированном виде).
2. При оформлении заказа/заявки: ФИО‚ Адрес доставки (г. *‚ ул. ‚ д. ‚ кв. *)‚ Номер карты/реквизиты для оплаты (если платежи проходят через вас‚ а не через платежный шлюз — не рекомендуется хранить).
3. При обратной связи: Текст сообщения‚ прикрепленные файлы.
4. При подписке на рассылку: Email‚ Имя (для персонализации).

Данные‚ собираемые автоматически (технические)

• IP-адрес‚ тип браузера‚ ОС‚ язык интерфейса‚ разрешение экрана.
• Cookie-файлы (идентификаторы сессии‚ настройки предпочтений‚ трекинговые пиксели).
• Данные о поведении: посещенные страницы‚ время пребывания‚ клики‚ реферер (откуда пришел).
• Геолокация (при наличии согласия пользователя).
• Device ID / IDFA / GAID (для мобильных приложений).

Цели обработки персональных данных

Каждая цель должна иметь правовую основу (статью 6 GDPR или ст. 6‚ 11 152-ФЗ). Нельзя использовать данные для целей‚ не указанных здесь.

Передача данных третьим лицам

Полная прозрачность, залог доверия и законности. Перечислите категории получателей.

• Платежные шлюзы/банки: Для проведения оплат (передаются только сумма‚ номер заказа‚ маскированный номер карты). Примеры: * (ЮKassa‚ Тинькофф‚ Сбербанк).
• Службы доставки/логистика: ФИО‚ телефон‚ адрес доставки (СДЭК‚ Почта России‚ ).
• IT-подрядчики/Хостинг/CRM: Обработка данных от имени оператора (Договор о поручении обработки). Примеры: AmoCRM‚ Bitrix24‚ AWS/Selectel/.
• Аналитика и реклама: Яндекс.Метрика‚ Google Analytics‚ VK Реклама‚ myTarget (псевдонимизированные данные).
• Государственные органы: Только по основаниям‚ предусмотренным законом (судебные решения‚ запросы Роскомнадзора‚ ФНС‚ полиции).

Важно: При передаче данных за границу (cross-border transfer) необходимо указать страну-получателя и меры защиты (Стандартные договорные условия SCC‚ BCR‚ решение Адекватности ЕК).

Хранение и защита данных

Сроки хранения

• Данные учетной записи: до удаления аккаунтом пользователем или 3 года неактивности (согласно рекомендациям Роскомнадзора).
• Документы бухгалтерии (чеки‚ накладные с ФИО): 5 лет (Налоговый кодекс РФ).
• Логи доступа / IP-адреса: 6 месяцев – 1 год (для безопасности и расследования инцидентов).
• Маркетинговые согласия: до отзыва согласия.

Меры информационной безопасности (технические и организационные)

1. Шифрование каналов связи (TLS 1.2/1.3 — HTTPS на всем сайте).
2. Хеширование паролей (bcrypt‚ Argon2‚ PBKDF2).
3. Ограничение доступа к БД по принципу «минимальных привилегий» (RBAC).
4. Двухфакторная аутентификация (2FA) для админ-панелей.
5. Регулярное обновление ПО‚ сканирование уязвимостей‚ WAF (Web Application Firewall).
6. Резервное копирование с шифрованием бэкапов.
7. Договоры о неразглашении (NDA) с сотрудниками‚ имеющими доступ к ПДн.
8. Уведомление Роскомнадзора и субъектов данных в течение 24–72 часов при утечке (нарушении безопасности).

Права субъектов персональных данных

Пользователь имеет право (ст. 18 152-ФЗ‚ ст. 15–22 GDPR):

• Право на доступ: Получить копию своих данных в машиночитаемом формате (JSON‚ CSV‚ PDF).
• Право на исправление: Требовать обновления неверных данных.
• Право на удаление («Право на забвение»): Удаление данных‚ если они больше не нужны для целей сбора‚ отозвано согласие или обработка незаконна (исключения: исполнение закона‚ защита прав в суде).
• Право на ограничение обработки: «Заморозка» данных при споре о их точности или законности.
• Право на переносимость данных: Получение данных в структурированном виде для передачи другому оператору.
• Право на возражение: Против обработки в целях прямого маркетинга — безусловно; против обработки по законному интересу — с обоснованием.
• Право отозвать согласие: В любой момент (не затрагивает законность обработки до отзыва).
• Право на жалобу в надзорный орган: В РФ — Роскомнадзор (адрес: 109012‚ г. Москва‚ ул. Китагородский проезд‚ д. 7‚ сайт: rkn.gov.ru).

Способ реализации прав: Через личный кабинет‚ по email privacy@*.ru или письменным запросом на юридический адрес. Срок ответа — 30 дней (GDPR) / 10–30 дней (152-ФЗ)‚ продлевается до 2 месяцев при сложности.

Использование Cookie и похожих технологий

Требуется отдельная Cookie Policy или раздел с детализацией. Необходимо реализовать Cookie-баннер с возможностью отказа от необязательных категорий.

Категории Cookie:

1. Строго необходимые (Essential): Сессия‚ авторизация‚ корзина‚ безопасность (CSRF-токены). Не требуют согласия‚ но требуют информирования.
2. Функциональные (Preferences): Язык‚ валюта‚ регион‚ настройки плеера.
3. Статистические/Аналитические (Analytics): Яндекс.Метрика (_ym_uid)‚ Google Analytics (_ga)‚ Amplitude. Требуют согласия (GDPR/ePrivacy) или опции Opt-out (152-ФЗ).
4. Маркетинговые/Таргетинговые (Marketing/Advertising): Facebook Pixel‚ VK Pixel‚ myTarget‚ Criteo. Строго требуют явного согласия (Opt-in).

Укажите ссылки на политики конфиденциальности сторонних сервисов аналитики/рекламы.

Особенности обработки данных детей

Если сервис не предназначен для детей (14 лет в РФ‚ 16/13 лет в ЕС)‚ укажите это прямо: «Сайт не предназначен для лиц младше 14 лет. Мы не собираем данные детей осознанно».

Если есть риск сбора — опишите механизм верификации возраста и получения согласия родителей/опекунов.

Международная передача данных

Если используются серверы за рубежом (AWS Frankfurt‚ Google Cloud‚ Cloudflare CDN) или подключены зарубежные скрипты (Google Fonts‚ reCAPTCHA‚ YouTube embed):

• Перечислите страны-получатели.
• Укажите гарантии: Решение ЕК об адекватности‚ Стандартные договорные условия (SCC)‚ Binding Corporate Rules (BCR).
• Для РФ: уведомление Роскомнадзора о трансграничной передаче (если требуется по ст. 12 152-ФЗ).

Изменения в Политике конфиденциальности

• Оператор оставляет за собой право вносить изменения.
• Новая версия вступает в силу с момента публикации на сайте (если не указано иное).
• О существенных изменениях (новые цели‚ новые получатели‚ изменение сроков) пользователей уведомляют по email или пуш-уведомлением за не менее 7–14 дней.
• История версий доступна по ссылке: https://*.ru/privacy/history.

Контактные данные DPO (Data Protection Officer)

Наличие DPO обязательно для госорганов‚ операторов‚ осуществляющих обработку биометрии/спецкатегорий в промышленных масштабах‚ и рекомендуется для всех остальных (GDPR Art. 37).

Пример краткого текста для футера сайта (Micro-copy)

Мы уважаем вашу приватность. Используя этот сайт‚ вы соглашаетесь с нашей Политикой конфиденциальности и использованием Cookie. Вы можете настроить сбор данных в Настройках приватности.

Чек-лист перед публикацией (Self-Audit)

• [ ] Текст написан простым языком (прозрачность).
• [ ] Указаны все цели и правовые основания.
• [ ] Есть контакты DPO / ответственного лица.
• [ ] Описаны права пользователей и простой способ их реализации (кнопка в ЛК‚ ссылка mailto).
• [ ] Указаны конкретные получатели данных (категории или названия компаний).
• [ ] Есть информация о Cookie и баннер согласия работает корректно (блокирует скрипты до согласия).
• [ ] Сроки хранения обоснованы и не являются «вечными».
• [ ] Документ доступен по прямой ссылке с любой страницы сайта (футер‚ форма регистрации‚ чекаут).
• [ ] Версия на английском/другом языке (если работаете с зарубежными пользователями).
• [ ] Проведена Оценка воздействия на защиту данных (DPIA / ОЗЗД) для высокорисковых обработок.

Грамотно составленное Заявление о конфиденциальности, это не просто формальность для избежания штрафов (до 15 млн руб. по 152-ФЗ‚ до 20 млн евро или 4% оборота по GDPR)‚ но и инструмент построения доверия к бренду. Регулярно аудируйте документ (минимум раз в год или при изменении бизнес-процессов)‚ вовлекайте юристов и ИБ-специалистов. Помните: «Скопировал у конкурента», не работает‚ так как набор данных и процессы у каждого бизнеса уникальны.

Дисклеймер: Данная статья носит информационный характер и не является юридической консультацией. Для подготовки правово значимого документа обратитесь к квалифицированному юристу‚ специализирующемуся на IT-законодательстве и защите персональных данных.