Учебный пример для статьи, стороны и сайт вымышленные. Студия «Кадр» снимает фото и видео для компаний. На сайте планируется форма заявки: имя, телефон, комментарий. Заявки видит менеджер, хранить их планируется в CRM. Поставщик CRM и место размещения серверов ещё не выбраны.
| Параметр | Как задано | Что из этого следует |
|---|---|---|
| Что за страница | Форма заявки на съёмку (учебный пример) | Данные собираются с сайта — значит, вопрос о политике и согласии у самой формы |
| Состав данных | имя, телефон, комментарий | Комментарий — свободное поле: заранее неизвестно, что туда напишут |
| Кто видит заявку | менеджер | Нужны правила доступа и обязательство о неразглашении |
| Где планируется хранить | в CRM | Провайдер станет обработчиком по поручению — его нужно назвать в документах |
| Поставщик CRM | не выбран | Неизвестно место хранения базы данных, а это ключевое условие |
| Хостинг сайта и его ЦОД | не указан | То же плюс технические меры и логи |
| Цель обработки и основание | не сформулированы | Формулирует владелец: цель определяет объём данных и срок хранения |
| Запись звонков, рассылки, аналитика, мессенджеры, виджеты | не заявлены; использование нужно уточнить | Это не факты, а вопросы — см. §4: если появятся, добавятся новые потоки данных |
| № | Шаг | Данные | Кто участвует | Где физически | Что нужно решить |
|---|---|---|---|---|---|
| 1 | Заполнение формы на сайте | имя, телефон, текст комментария | Оператор (студия); технически — сайт и его хостинг | Серверы хостинга — не определено | Выбрать хостинг; проверить, какие ещё скрипты работают на странице с формой |
| 2 | Передача заявки из формы | те же данные + дата и источник | Оператор; канал передачи | Почтовый ящик, сервис форм или CRM — не решено | Выбрать способ: он определяет, кто ещё получает данные и где они лежат в первые минуты |
| 3 | Хранение в CRM | те же данные + статус заявки | Оператор и CRM-провайдер по поручению (ч. 3 ст. 6) | База данных CRM — должна быть на территории РФ (ч. 5 ст. 18) | Выбрать провайдера, получить подтверждение размещения, заключить поручение |
| 4 | Просмотр и ведение заявки менеджером | данные заявки, история переписки | Сотрудники оператора с доступом | База CRM и рабочие устройства | Определить, кому нужен доступ и как он снимается |
| 5 | Ответ клиенту (звонок или письмо) | номер телефона, содержание разговора | Оператор; при IP-телефонии — провайдер связи | Среда, которой пользуется менеджер | Решить, каким каналом отвечают; ведётся ли запись — отдельный вопрос (§4) |
| 6 | Удаление данных | всё перечисленное, включая резервные копии | Оператор; в CRM — по поручению | База CRM и бэкапы | Определить срок и порядок, а также чем подтверждается удаление (ч. 4 ст. 21 — не более 30 дней с даты достижения цели или отзыва согласия) |
Это вопросы кандидатам до выбора — ответы потом переносятся в документы без догадок.
| Вопрос | Зачем он нужен |
|---|---|
| Где физически размещены серверы и базы данных: страна, город, ЦОД? | Условие о базах данных на территории РФ (ч. 5 ст. 18) проверяется только по факту размещения |
| Есть ли документ или справка, подтверждающая это размещение? | Подтверждение для документов, а не со слов менеджера по продажам |
| Готов ли провайдер подписать поручение на обработку персональных данных? Есть ли типовой договор? | Основание, по которому обработчик действует от имени оператора (ч. 3 ст. 6) |
| Кто администратор аккаунта и можно ли выдавать роли отдельным сотрудникам? | Разграничение доступа — фактическое, а не на бумаге |
| Ведётся ли журнал доступа и можно ли его получить? | Внутренний контроль за обработкой (п. 4 ч. 1 ст. 18.1) |
| Можно ли выгрузить и удалить данные по требованию? В какой срок? | Исполнение требования об уничтожении (ст. 21) и обращений субъектов (ст. 20) |
| Сколько живут резервные копии и удаляются ли данные из них? | Данные в бэкапе — тоже персональные данные |
| Что происходит с данными при расторжении договора и как это подтверждается? | Завершение обработки без «остатков» у бывшего провайдера |
| Есть ли доступ к данным из-за рубежа: поддержка, подрядчики, сотрудники за границей? | Признак трансграничной передачи — отдельные обязанности |
| Хостинг: где ЦОД, есть ли журналы обращений к сайту и сроки их хранения, как выдаётся HTTPS-сертификат, кто владелец аккаунта и домена? | Техническая часть описания обработки и мер защиты |
| Куда именно попадает заявка из формы в первые минуты: почта, сервис форм, CRM? | Определяет ещё одного участника и место хранения данных |
| № | Решение | Почему догадка опасна |
|---|---|---|
| 1 | Кто оператор и его реквизиты | От этого зависят все документы и обязанности, включая ответственного за организацию обработки у юридического лица (п. 1 ч. 1 ст. 18.1) |
| 2 | Цели обработки | Цель определяет, какие данные допустимы и сколько они живут; «для улучшения сервиса» целью не является |
| 3 | Правовое основание | Согласие и договор дают разные режимы и разные последствия при отзыве |
| 4 | Сроки хранения и порядок удаления | Догадка превращается в хранение «на всякий случай», а вместе с бэкапами — в данные, которые никто не удалял |
| 5 | CRM-провайдер и место нахождения базы данных | Условие о размещении баз на территории РФ выполняется или нет только по факту |
| 6 | Трансграничная передача | Зарубежная аналитика, мессенджер или поддержка делают обработку трансграничной — это отдельные обязанности и отдельная формулировка |
| 7 | Состав данных и текст комментария | В свободное поле может попасть что угодно, включая сведения о третьих лицах |
| 8 | Уровень защищённости и набор мер | Определяется по категории данных, типу угроз и числу субъектов (ст. 19, ПП РФ № 1119), а не «поставим пароль» |
| 9 | Нужно ли уведомление в Роскомнадзор и попадает ли студия под исключения | Перечень случаев, когда уведомление не требуется, закрытый (ч. 2 ст. 22), и решается это юридической проверкой, а не поиском в интернете |
Разделы — по рекомендациям Роскомнадзора от 31.07.2017 (структурные компоненты 3.1–3.6). Документ публикуется на сайте, доступ к нему — неограниченный, в том числе там, где стоит форма (ч. 2 ст. 18.1).
| Раздел | Чем наполнять | Откуда данные |
|---|---|---|
| 1. Общие положения | Понятия, права и обязанности оператора и субъекта, реквизиты оператора | Реквизиты владельца |
| 2. Цели сбора | Конкретные, заранее определённые цели формы — формулировки владельца, дословно | вопросы §3 |
| 3. Правовые основания | Согласие субъекта, договоры с клиентом; закон о персональных данных сам по себе основанием не является | владелец + юрист |
| 4. Объём данных и категории субъектов | Перечень данных по каждой цели: имя, телефон, комментарий; субъекты — посетители сайта и клиенты студии | карта §2 |
| 5. Порядок и условия обработки | Действия и способы обработки, сроки, передача третьим лицам и обработчикам по поручению, хранение баз на территории РФ, меры по ст. 18.1 и 19, условия прекращения обработки | ответы CRM и хостинга (§3) |
| 6. Актуализация, удаление, уничтожение, ответы на запросы | Порядок исправления неточных данных, уничтожения при достижении цели или отзыве согласия, ответы на обращения субъектов (ст. 20 и 21) | процедура + ответственные |
Проверка 16.09.2026. проверено — страница открылась и я читал её содержимое (для редакций законов — читал текст нормы); не открылось — адрес официальный, но с этой машины он не отвечает.