Что должно быть в политике обработки персональных данных
Короткий ответ: универсальной политики, подходящей любому сайту, нет. Документ должен называть оператора и отражать реальные процессы: формы, категории посетителей и данных, цели, основания, сроки, действия с данными, внешние сервисы и порядок обращений.
Политику проверяют не по числу страниц. Если в тексте указана только форма обратной связи, а сайт передаёт заявки в CRM, использует Метрику, рассылку и платёжный сервис, документ расходится с фактической обработкой.
Практический состав политики
- наименование, реквизиты и контакт оператора;
- категории посетителей и состав данных;
- цели и основания по каждому процессу;
- действия, способы обработки и сроки;
- порядок прекращения обработки и обращений пользователя;
- CRM, аналитика, рассылки, платежи и другие внешние сервисы;
- cookie и видимые идентификаторы, если они используются;
- общие сведения о применяемых мерах защиты.
До подготовки текста
- перечислите все формы и страницы;
- запишите поля каждой формы;
- составьте список подключённых сервисов;
- уточните маршруты данных и сроки;
- разделите заявку, заказ, рассылку и личный кабинет.
После публикации
- проверьте постоянный адрес документа;
- поставьте доступные ссылки на сайте;
- сверьте политику с текстами у форм;
- обновляйте её после смены форм, CRM или подрядчиков;
- храните дату и версию опубликованного текста.
Что публичная политика не доказывает
Даже подробный текст не подтверждает, что CRM настроена правильно, данные удаляются в заявленный срок, а подрядчики исполняют договор. Сайт можно проверить снаружи, но внутренние процессы оператор подтверждает отдельно.
Вопросы и ответы
Можно взять готовую политику с другого сайта?
Чужой документ описывает другого оператора, формы, цели, сервисы и сроки. Его можно использовать только как ориентир по структуре, но не публиковать без полной сверки.
Нужна ли политика, если на сайте одна форма?
Количество форм не определяет обязанность само по себе. Если оператор собирает персональные данные через сайт, нужно обеспечить доступ к политике и описать фактическую обработку.
Как учесть реальные сервисы сайта?
Составьте реестр форм, аналитики, CRM, рассылок и платежей, затем внесите их в конструктор политики и проверьте настройки отдельно.