Промпт: политика персональных данных и согласие для сайта

Черновой вариант документов для сайта курсов английского языка

---

Политика обработки персональных данных

Обновлено: дата публикации документа

Оператор

Индивидуальный предприниматель Ермаков собирает персональные данные пользователей сайта курсов английского языка ermakoff.ru.

Цели сбора и обработки персональных данных

Персональные данные собираются исключительно для целей связи с клиентами, записи на занятия, отправки расписания занятий и информирования клиентов об услугах курсов.

Категории обрабатываемых персональных данных

Собираются следующие персональные данные: фамилия, имя, отчество, контактный номер телефона, адрес электронной почты, сведения об уровне владения английским языком.

Правовые основания обработки персональных данных

Правовым основанием является ваше добровольное согласие на обработку указанных данных, выраженное путём заполнения соответствующей формы на сайте. Обработка осуществляется в рамках исполнения договора оказания услуг (статья 6 п. 1 ч. 1 Федерального закона № 152-ФЗ).

Действия с персональными данными

Данные используются для осуществления следующих действий: запись на обучение, отправка информационных сообщений, обработка заявок и запросов, организация работы клиентской поддержки.

Сроки хранения персональных данных

Согласие действует до отзыва вами своего согласия либо прекращения договорных отношений между оператором и клиентом. Персональные данные хранятся не дольше срока достижения заявленных целей их обработки — после выполнения обязательств ваши данные будут удалены или обезличены [проверить норму].

Передача данных третьим лицам

Передача ваших данных возможна только следующим организациям: CRM-система amoCRM, сервис рассылок Unisender, мессенджеры Telegram для передачи сведений сотрудникам компании. Данные передаются исключительно для обеспечения функций обслуживания клиентов, ведения учётной системы и доставки уведомлений клиентам.

Ваши права как субъекта персональных данных

Вы имеете право требовать уточнения, блокирования или уничтожения ваших персональных данных в случае обнаружения недостоверности предоставленных данных или нарушения прав субъекта. Вы вправе подать жалобу в органы контроля и надзора РФ, включая Роскомнадзор.

Как отозвать своё согласие на обработку данных

Для отзыва вашего согласия на обработку персональных данных вы можете направить письменное заявление по адресу оператора, указанному ниже, либо воспользоваться специальной формой обратной связи на сайте. После получения заявления мы обязуемся прекратить обработку ваших данных и удалить их в течение разумного срока [проверить срок].

Контактная информация оператора

ИП Ермаков
Адрес регистрации: г. Москва, ул. Примерная, д. 1, кв. 1
Телефон: +7 (987) 654-32-10
Email: ermakoff@kursy.ru

---

Согласие на обработку персональных данных

Подавая заявку на нашем сайте, вы подтверждаете своё свободное, конкретное, осознанное и однозначное согласие на сбор, обработку и передачу указанных персональных данных согласно целям, указанным в политике обработки персональных данных данного ресурса.

Имя, телефон, email, уровень знания языка предоставляются добровольно для связи с вами, организации процесса обучения и направления уведомления о проведении занятий.

Вы согласны с обработкой указанных данных вышеуказанными способами и признаёте ознакомленными с условиями политики обработки персональных данных нашего сервиса.

---

Текст под формой заявки

Заполняя форму заявки, вы даёте согласие на обработку своих персональных данных. Ознакомьтесь с нашей Политикой конфиденциальности. Подтверждаю своё согласие ☑️

Ссылка должна вести непосредственно на страницу размещения текста политики обработки персональных данных.

---

Что еще нужно сделать оператору?

Чек-лист обязательных мероприятий для соблюдения требований законодательства РФ о персональных данных:

• Уведомить Роскомнадзор о факте начала обработки персональных данных ([форму уведомления](https://rkn.gov.ru/personal-data/notification/) взять на официальном сайте).
• Хранить персональные данные российских граждан на серверах, расположенных в пределах территории Российской Федерации (если используется облачная платформа типа Google Cloud, Amazon Web Services, потребуется дополнительно согласовать локализацию данных с провайдером).
• Установить на сайт cookie-баннер для посетителей сайта, если используете Яндекс.Метрику или другие инструменты аналитики. Баннер должен содержать уведомление о сборе cookies и возможность отказаться от отслеживания.
• Проверить соответствие используемого программного обеспечения требованиям российского законодательства по обработке персональных данных (amoCRM, Unisender и др.).
• Регулярно проводить аудит информационной безопасности для минимизации рисков утечки данных.
• Назначить ответственное лицо за организацию защиты персональных данных.
• Разработать внутренние регламенты и инструкции по обработке и защите ПДн сотрудников вашей компании.

Примечание: рекомендуемые меры требуют проверки с квалифицированным специалистом-юристом и специалистами по информационной безопасности.

Ниже — черновики документов для сайта ИП Ермакова, онлайн-курсы английского языка для взрослых. Тексты нужно адаптировать под фактические реквизиты ИП: ОГРНИП, ИНН, адрес для корреспонденции, email, телефон, домен сайта.

---

1. Политика обработки персональных данных

Политика обработки персональных данных ИП Ермакова

Дата публикации: «___» ________ 202__ г.
Редакция: № 1

1. Общие положения

Настоящая Политика обработки персональных данных определяет порядок обработки и защиты персональных данных, которые получает индивидуальный предприниматель Ермаков при использовании сайта, размещенного на платформе Tilda, а также при записи пользователей на пробный урок английского языка.

Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и иными применимыми нормативными актами Российской Федерации.

Используя сайт и направляя заявку через форму «Записаться на пробный урок», пользователь подтверждает, что ознакомился с настоящей Политикой.

2. Оператор персональных данных

Оператор персональных данных:

Индивидуальный предприниматель Ермаков
ОГРНИП: [указать]
ИНН: [указать]
Адрес для корреспонденции: [указать]
Email для обращений по вопросам персональных данных: [указать]
Телефон: [указать]
Сайт: [указать домен]

Далее по тексту — Оператор.

3. Какие персональные данные обрабатываются

Оператор может обрабатывать следующие персональные данные пользователей, которые оставляют заявку на сайте:

1. имя;
2. номер телефона;
3. адрес электронной почты;
4. уровень английского языка, указанный пользователем;
5. сведения, автоматически собираемые при посещении сайта с использованием сервисов аналитики, в том числе Яндекс Метрики: cookie-файлы, IP-адрес, сведения о браузере, устройстве, операционной системе, источнике перехода, действиях на сайте и иные технические данные.

Оператор не запрашивает специальные категории персональных данных, касающиеся расовой или национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также биометрические персональные данные.

4. Цели обработки персональных данных

Оператор обрабатывает персональные данные для следующих целей:

1. обработка заявки пользователя на пробный урок английского языка;
2. связь с пользователем по телефону, email или через мессенджеры для согласования даты и времени пробного урока;
3. определение примерного уровня английского языка для подбора подходящего урока или группы;
4. направление пользователю информации о расписании занятий;
5. ведение клиентской базы и истории коммуникаций в CRM-системе;
6. направление информационных сообщений, связанных с записью, расписанием и организацией занятий;
7. анализ работы сайта, улучшение его структуры, содержания и удобства использования с помощью сервисов веб-аналитики;
8. исполнение требований законодательства Российской Федерации.

Если Оператор планирует направлять рекламные или маркетинговые рассылки, не связанные напрямую с заявкой пользователя, для этого рекомендуется получать отдельное согласие на рекламную рассылку в соответствии с законодательством о рекламе и связи — [проверить норму].

5. Правовые основания обработки персональных данных

Оператор обрабатывает персональные данные на следующих правовых основаниях:

1. согласие субъекта персональных данных на обработку персональных данных;
2. обработка персональных данных, необходимая для заключения или исполнения договора с субъектом персональных данных либо по его инициативе до заключения договора — [проверить норму];
3. исполнение обязанностей, предусмотренных законодательством Российской Федерации;
4. законный интерес Оператора в обеспечении работы сайта, аналитике посещаемости и защите сайта от неправомерных действий — при условии соблюдения прав и свобод субъекта персональных данных [проверить применимость основания].

6. Какие действия совершаются с персональными данными

Оператор может совершать с персональными данными следующие действия:

1. сбор;
2. запись;
3. систематизация;
4. накопление;
5. хранение;
6. уточнение, обновление, изменение;
7. использование;
8. передача, предоставление, доступ;
9. обезличивание;
10. блокирование;
11. удаление;
12. уничтожение.

Обработка персональных данных может осуществляться как с использованием средств автоматизации, так и без использования таких средств.

7. Сроки хранения персональных данных

Персональные данные хранятся не дольше, чем этого требуют цели обработки, если более длительный срок хранения не установлен законодательством Российской Федерации.

Ориентировочные сроки хранения:

1. данные заявки на пробный урок — до достижения цели обработки, то есть до связи с пользователем и организации пробного урока, а также в течение периода дальнейшей коммуникации по вопросу обучения;
2. данные клиентов, которые начали обучение, — в течение срока оказания услуг и срока, необходимого для исполнения требований бухгалтерского, налогового и иного законодательства;
3. данные пользователей, которые не стали клиентами, — до отзыва согласия либо до утраты необходимости в дальнейшей коммуникации, но не более [указать срок, например 1 год] с даты последнего взаимодействия;
4. данные, обрабатываемые для рассылок через Unisender, — до отписки пользователя от рассылки или отзыва согласия;
5. данные веб-аналитики и cookie — в сроки, определяемые настройками Яндекс Метрики и браузера пользователя, а также настройками сайта [проверить фактические сроки].

При отзыве согласия Оператор прекращает обработку персональных данных и уничтожает их, если отсутствуют иные законные основания для продолжения обработки. Срок прекращения обработки и уничтожения персональных данных после отзыва согласия необходимо определить с учетом требований 152-ФЗ — [проверить норму и срок].

8. Передача персональных данных третьим лицам

Для достижения целей обработки Оператор может передавать персональные данные или предоставлять доступ к ним следующим лицам и сервисам:

1. Tilda Publishing — платформа для размещения сайта и обработки форм заявок;
2. amoCRM — CRM-система для учета заявок и коммуникации с пользователями;
3. Telegram — передача уведомлений о заявках менеджеру Оператора;
4. Unisender — сервис email-рассылок для направления расписания и информационных сообщений;
5. Яндекс Метрика — сервис веб-аналитики для анализа посещаемости сайта;
6. иные подрядчики Оператора, если это необходимо для работы сайта, обработки заявок, организации обучения, технической поддержки и исполнения законодательства.

Оператор поручает обработку персональных данных третьим лицам при условии, что такие лица обязуются соблюдать конфиденциальность и обеспечивать безопасность персональных данных в соответствии с требованиями законодательства Российской Федерации.

Передача персональных данных третьим лицам осуществляется только в объеме, необходимом для достижения соответствующих целей обработки.

Если персональные данные передаются или становятся доступными лицам, находящимся за пределами Российской Федерации, Оператор должен оценить наличие трансграничной передачи персональных данных и выполнить требования законодательства о трансграничной передаче — [проверить норму]. Отдельно рекомендуется проверить использование Telegram, Tilda, amoCRM и Unisender с точки зрения мест хранения данных и возможной трансграничной передачи.

9. Место хранения персональных данных

Оператор принимает меры для соблюдения требований законодательства Российской Федерации о локализации персональных данных граждан Российской Федерации.

Первичная запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации должны осуществляться с использованием баз данных, находящихся на территории Российской Федерации, если применимо — [проверить норму].

Оператору необходимо проверить фактическое место хранения данных в Tilda, amoCRM, Unisender, Яндекс Метрике и иных используемых сервисах.

10. Использование cookie и Яндекс Метрики

На сайте могут использоваться cookie-файлы и аналогичные технологии, в том числе сервис Яндекс Метрика.

Cookie-файлы помогают:

1. обеспечивать корректную работу сайта;
2. анализировать посещаемость сайта;
3. понимать, какие страницы и элементы сайта наиболее интересны пользователям;
4. улучшать структуру и содержание сайта.

Пользователь может ограничить или отключить использование cookie в настройках своего браузера. В этом случае отдельные функции сайта могут работать некорректно.

Если на сайте используются cookie, не являющиеся строго необходимыми для работы сайта, рекомендуется разместить cookie-баннер и получить согласие пользователя на использование аналитических cookie — [проверить норму и практику Роскомнадзора].

11. Права субъекта персональных данных

Пользователь как субъект персональных данных имеет право:

1. получать информацию об обработке своих персональных данных;
2. требовать уточнения персональных данных, если они являются неполными, устаревшими или неточными;
3. требовать блокирования или уничтожения персональных данных, если они обрабатываются незаконно или не нужны для заявленных целей;
4. отозвать согласие на обработку персональных данных;
5. обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в суд;
6. реализовывать иные права, предусмотренные законодательством Российской Федерации.

12. Как отозвать согласие на обработку персональных данных

Пользователь может отозвать согласие на обработку персональных данных, направив Оператору запрос:

• по email: [указать email];
• почтой по адресу: [указать адрес для корреспонденции].

В запросе рекомендуется указать:

1. ФИО или имя, указанное в заявке;
2. номер телефона и/или email, указанные в заявке;
3. суть требования: отзыв согласия, удаление данных, уточнение данных, прекращение рассылки и т.д.;
4. способ обратной связи.

Оператор вправе запросить дополнительную информацию, необходимую для идентификации заявителя, если это требуется для защиты персональных данных от неправомерного доступа.

После получения отзыва согласия Оператор прекращает обработку персональных данных, если отсутствуют иные законные основания для обработки. Сроки ответа на обращение и прекращения обработки определяются законодательством Российской Федерации — [проверить норму и срок].

13. Меры по защите персональных данных

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

В частности, Оператор:

1. ограничивает доступ к персональным данным;
2. использует пароли и иные средства контроля доступа к сервисам;
3. предоставляет доступ к заявкам только лицам, которым он необходим для работы;
4. применяет сервисы, используемые для обработки заявок, CRM, рассылок и аналитики;
5. организует учет и контроль обработки персональных данных;
6. при необходимости заключает договоры или соглашения с подрядчиками, обрабатывающими персональные данные по поручению Оператора.

14. Изменение Политики

Оператор вправе изменять настоящую Политику. Новая редакция Политики вступает в силу с момента ее публикации на сайте, если иное не указано в новой редакции.

Пользователям рекомендуется периодически проверять актуальную редакцию Политики на сайте.

15. Контакты Оператора

По вопросам обработки персональных данных можно обратиться:

ИП Ермаков
Email: [указать]
Телефон: [указать]
Адрес для корреспонденции: [указать]
Сайт: [указать]

---

2. Согласие на обработку персональных данных для формы заявки

Согласие на обработку персональных данных

Я, заполняя форму «Записаться на пробный урок» на сайте [указать домен], свободно, своей волей и в своем интересе даю согласие ИП Ермакову, ОГРНИП [указать], ИНН [указать], на обработку моих персональных данных:

• имя;
• номер телефона;
• адрес электронной почты;
• уровень английского языка.

Цели обработки:

1. связаться со мной по моей заявке;
2. согласовать дату и время пробного урока;
3. подобрать подходящий формат или уровень занятия;
4. направить мне информацию о расписании занятий.

Оператор вправе совершать с моими персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача лицам, привлекаемым для обработки заявки и организации коммуникации, блокирование, удаление и уничтожение.

Я согласен/согласна, что для обработки заявки Оператор может использовать следующие сервисы: Tilda, amoCRM, Telegram для уведомления менеджера, Unisender для направления расписания и информационных сообщений.

Согласие действует до достижения целей обработки либо до его отзыва.

Я могу отозвать согласие, направив запрос на email: [указать email]. В этом случае Оператор прекратит обработку моих персональных данных, если отсутствуют иные законные основания для обработки.

Мне известно, что подробная информация об обработке персональных данных указана в Политике обработки персональных данных: [ссылка на Политику].

---

3. Текст чекбокса и ссылки под формой

Вариант чекбокса для формы заявки

Рекомендуется сделать чекбокс непредустановленным, чтобы пользователь сам поставил галочку.

Текст рядом с чекбоксом:

> Я согласен/согласна на обработку персональных данных для связи со мной и записи на пробный урок. Ознакомлен/ознакомлена с [Политикой обработки персональных данных] и [Согласием на обработку персональных данных].

Где:

• «Политика обработки персональных данных» — ссылка на страницу с Политикой;
• «Согласие на обработку персональных данных» — ссылка на отдельную страницу или всплывающее окно с текстом согласия.

Короткий вариант

> Нажимая кнопку, я даю согласие на обработку персональных данных для записи на пробный урок и принимаю [Политику обработки персональных данных].

Лучше использовать первый вариант с отдельным чекбоксом, потому что он более явно фиксирует согласие пользователя.

Текст под кнопкой, если есть отдельная подписка на рассылку

Если планируются рекламные рассылки, лучше добавить отдельный чекбокс:

> Я согласен/согласна получать информационные и рекламные сообщения о курсах, расписании, акциях и специальных предложениях ИП Ермакова на указанные мной email и телефон. Согласие можно отозвать в любой момент по ссылке в письме или по email: [указать].

Этот чекбокс также должен быть непредустановленным. Для обязательной записи на пробный урок нельзя принуждать пользователя соглашаться на рекламную рассылку — [проверить норму].

---

4. Чек-лист для ИП Ермакова по 152-ФЗ и сайту

1. Разместить документы на сайте

Нужно разместить:

• Политику обработки персональных данных;
• согласие на обработку персональных данных для формы заявки;
• при необходимости — отдельное согласие на рекламную рассылку;
• при необходимости — уведомление/cookie-политику о cookie и Яндекс Метрике.

Проверить с юристом: достаточно ли одной Политики или нужна отдельная cookie-политика и отдельное согласие на рассылку.

---

2. Настроить форму на Tilda

Проверить, что:

• под формой есть чекбокс согласия на обработку персональных данных;
• чекбокс не проставлен заранее;
• без чекбокса форма не отправляется;
• рядом с чекбоксом есть ссылки на Политику и Согласие;
• в форме собираются только необходимые данные: имя, телефон, email, уровень английского;
• не запрашиваются лишние данные.

Проверить с юристом: формулировку чекбокса и согласия под конкретную механику формы.

---

3. Уведомление в Роскомнадзор

Операторам персональных данных, как правило, необходимо подать уведомление в Роскомнадзор о намерении осуществлять обработку персональных данных до начала такой обработки, если не применяется исключение — [проверить норму].

ИП Ермакову рекомендуется проверить обязанность подачи уведомления и, если требуется, подать уведомление через портал Роскомнадзора.

В уведомлении обычно указываются:

• сведения об операторе;
• цели обработки;
• категории персональных данных;
• категории субъектов;
• правовые основания;
• перечень действий с персональными данными;
• меры защиты;
• сведения о трансграничной передаче, если есть;
• сведения о месте нахождения баз данных граждан РФ.

Проверить с юристом: наличие исключений, корректность целей и перечня сервисов, необходимость указания трансграничной передачи.

---

4. Локализация персональных данных россиян

Если обрабатываются персональные данные граждан Российской Федерации, при сборе через интернет нужно обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение таких данных с использованием баз данных, находящихся на территории РФ — [проверить норму].

Нужно проверить:

• где Tilda хранит данные форм;
• где amoCRM хранит базу;
• где Unisender хранит базу подписчиков;
• как Яндекс Метрика обрабатывает данные;
• куда фактически попадают уведомления в Telegram;
• есть ли резервные копии за пределами РФ.

Проверить с юристом и провайдерами сервисов: соответствие требованиям локализации и наличие трансграничной передачи.

---

5. Проверить передачу данных в Telegram

Если заявки автоматически отправляются менеджеру в Telegram, это тоже передача персональных данных.

Рекомендуется:

• не отправлять в Telegram лишние данные;
• по возможности отправлять только минимум: имя и контакт либо ссылку на заявку в CRM;
• ограничить доступ к чату;
• использовать отдельный рабочий чат;
• удалить бывших сотрудников из чата;
• включить двухфакторную защиту аккаунтов;
• проверить, возникает ли трансграничная передача данных.

Проверить с юристом: допустимость текущей схемы передачи заявок в Telegram и необходимость отражения Telegram в Политике, уведомлении РКН и согласии.

---

6. Заключить договоры или принять условия сервисов

С используемыми сервисами желательно проверить наличие условий обработки персональных данных:

• Tilda;
• amoCRM;
• Unisender;
• Яндекс Метрика;
• иные подрядчики, если есть.

Нужно понять, кто является самостоятельным оператором, а кто обрабатывает данные по поручению ИП Ермакова.

Проверить с юристом: нужны ли отдельные договоры поручения обработки персональных данных или достаточно публичных оферт/условий сервисов.

---

7. Настроить Яндекс Метрику и cookie-баннер

Если на сайте используется Яндекс Метрика, сайт собирает cookie и технические данные пользователей.

Рекомендуется:

• разместить cookie-баннер;
• указать, что сайт использует cookie и Яндекс Метрику;
• дать ссылку на Политику;
• предоставить пользователю возможность принять cookie;
• проверить настройки Метрики, включая вебвизор, карты кликов, запись действий пользователя.

Если включен Вебвизор, нужно особенно внимательно оценить, не записываются ли персональные данные, вводимые в формы.

Проверить с юристом: требуется ли отдельное согласие на аналитические cookie, как оформить cookie-баннер и нужно ли отключать Вебвизор или маскировать поля формы.

---

8. Настроить Unisender и рассылки

Если через Unisender отправляется только расписание в рамках заявки, это можно включить в согласие на обработку данных.

Если отправляются рекламные письма, акции, прогревы, предложения купить курс, нужна отдельная механика согласия на рекламную рассылку — [проверить норму].

Рекомендуется:

• добавить отдельный чекбокс на рекламную рассылку;
• не делать его обязательным для записи на пробный урок;
• хранить факт согласия: дата, время, форма, IP, текст согласия;
• в каждом письме добавить возможность отписки;
• вести список отписавшихся.

Проверить с юристом: текст согласия на рекламу и порядок подтверждения согласия.

---

9. Хранить доказательства согласий

Нужно обеспечить возможность подтвердить, что пользователь дал согласие.

Желательно хранить:

• дату и время отправки формы;
• текст согласия, действовавший на дату отправки;
• версию Политики;
• IP-адрес пользователя — если собирается;
• источник заявки;
• отметку чекбокса;
• данные формы.

Проверить с юристом: какие именно доказательства согласия хранить и сколько времени.

---

10. Ограничить доступ сотрудников и менеджеров

Даже если бизнес маленький, нужно определить, кто имеет доступ к персональным данным.

Рекомендуется:

• дать доступ к amoCRM только тем, кому он нужен;
• использовать индивидуальные аккаунты, а не один общий логин;
• включить двухфакторную аутентификацию;
• удалять доступы у бывших сотрудников;
• не пересылать заявки в личные чаты без необходимости;
• не скачивать базы на личные устройства.

Проверить с юристом: нужны ли локальные акты, инструкции для сотрудников или договоры о конфиденциальности с менеджерами.

---

11. Установить сроки хранения и удаления данных

Нужно фактически определить, как долго хранятся:

• заявки не ставших клиентами пользователей;
• данные учеников;
• данные для рассылки;
• история коммуникаций в amoCRM;
• данные в Telegram;
• выгрузки и резервные копии.

Рекомендуется установить внутренний срок, например:

• заявки без дальнейшей коммуникации — 12 месяцев;
• данные клиентов — срок оказания услуг плюс срок хранения документов по налоговому и бухгалтерскому законодательству;
• рассылка — до отписки или отзыва согласия.

Проверить с юристом: конкретные сроки хранения с учетом налоговых, договорных и потребительских требований.

---

12. Подготовить порядок ответа на запросы субъектов

Пользователь может запросить информацию о своих данных, попросить удалить или уточнить их, а также отозвать согласие.

Нужно определить:

• кто отвечает на такие запросы;
• на какой email принимать запросы;
• как идентифицировать заявителя;
• как удалять данные из Tilda, amoCRM, Unisender, Telegram;
• как фиксировать исполнение запроса.

Сроки ответа на запросы субъектов персональных данных установлены законом — [проверить норму и срок].

Проверить с юристом: шаблоны ответов и сроки обработки запросов.

---

13. Проверить трансграничную передачу персональных данных

Если данные передаются или становятся доступными за пределами РФ, может возникать трансграничная передача.

Особенно проверить:

• Tilda;
• amoCRM;
• Telegram;
• Unisender;
• зарубежные CDN, интеграции, почтовые сервисы;
• доступ иностранных подрядчиков.

При трансграничной передаче могут потребоваться дополнительные действия, включая уведомление Роскомнадзора — [проверить норму].

Проверить с юристом: есть ли трансграничная передача и как ее оформить.

---

14. Минимизировать данные

Собирать только то, что действительно нужно для записи на пробный урок.

Для текущей формы достаточно:

• имя;
• телефон;
• email;
• уровень английского.

Не стоит собирать:

• дату рождения;
• паспортные данные;
• адрес проживания;
• место работы;
• данные о здоровье;
• ссылки на соцсети,

если они не нужны для пробного урока.

---

15. Проверить безопасность аккаунтов

Минимальные меры:

• сложные пароли;
• двухфакторная аутентификация;
• отдельные аккаунты для сотрудников;
• запрет передачи паролей;
• ограничение прав доступа;
• резервное копирование там, где это нужно;
• регулярная проверка подключенных интеграций.

Проверить с юристом/IT-специалистом: достаточность технических и организационных мер защиты для текущей модели обработки данных.

Документы по 152-ФЗ для ИП Ермакова (курсы английского онлайн)

⚠️ Важно: это рабочий черновик для дальнейшей юридической проверки и адаптации под реальные договоры с сервисами (Tilda, amoCRM, Unisender). Перед публикацией рекомендуется согласовать с юристом формулировки, помеченные [проверить норму], а также актуальные редакции 152-ФЗ, поскольку закон периодически меняется.

---

1. Политика обработки персональных данных

Политика в отношении обработки персональных данных
Индивидуальный предприниматель Ермаков [ФИО полностью], ОГРНИП [номер], (далее — «Оператор»)

1. Общие положения

Настоящая Политика определяет порядок обработки персональных данных (далее — ПДн) пользователей сайта [адрес сайта] (далее — «Сайт») и разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ).

Оператор: ИП Ермаков [ФИО], ИНН [номер], ОГРНИП [номер], адрес регистрации: [адрес], email: [email], телефон: [телефон].

2. Цели обработки персональных данных

• связь с пользователем, оставившим заявку на пробный урок;
• запись пользователя на пробный урок и уточнение уровня английского языка для подбора преподавателя/группы;
• информирование пользователя о расписании занятий;
• (при отдельном согласии) направление информационных и рекламных рассылок о курсах и акциях.

Оператор не обрабатывает ПДн в иных целях, прямо не указанных в настоящей Политике и/или в согласии пользователя.

3. Категории обрабатываемых персональных данных

• имя;
• номер телефона;
• адрес электронной почты;
• указанный пользователем уровень владения английским языком;
• технические данные, собираемые Яндекс.Метрикой (обезличенная статистика посещений, cookie-идентификаторы) — обрабатываются в соответствии с условиями сервиса Яндекс.Метрика и отдельным уведомлением о cookie на Сайте.

Специальные категории ПДн (о здоровье, религии, политических взглядах и т.п.), биометрические данные Оператор не собирает и не обрабатывает.

4. Правовые основания обработки

• согласие субъекта персональных данных на обработку ПДн (п. 1 ч. 1 ст. 6 152-ФЗ);
• обработка необходима для исполнения договора (оказания образовательных услуг), стороной которого либо выгодоприобретателем является субъект ПДн [проверить норму — конкретный пункт ст. 6];
• для рекламных/информационных рассылок дополнительно учитываются требования ст. 18 Федерального закона «О рекламе» [проверить норму].

5. Действия, совершаемые с персональными данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение — как с использованием средств автоматизации, так и без них, в объёме, необходимом для достижения целей обработки.

6. Сроки хранения персональных данных

• ПДн хранятся до момента достижения целей обработки или до отзыва согласия пользователем, в зависимости от того, что наступит раньше;
• после отзыва согласия или прекращения отношений с клиентом ПДн хранятся дополнительно в течение срока, необходимого для исполнения обязательств (в т.ч. бухгалтерских/налоговых), после чего уничтожаются или обезличиваются [конкретный срок хранения — проверить с юристом, с учётом требований бухгалтерского/налогового законодательства].

7. Передача персональных данных третьим лицам

Для достижения указанных целей Оператор передаёт ПДн следующим лицам, действующим по поручению Оператора либо оказывающим услуги Оператору:

• Tilda Publishing — конструктор сайта, приём заявок через форму;
• amoCRM — система учёта заявок и клиентов;
• мессенджер Telegram — уведомление менеджера о новой заявке;
• Unisender — сервис рассылок (при наличии отдельного согласия на рассылку).

Передача данных указанным лицам осуществляется в объёме, необходимом для оказания соответствующих услуг Оператору. Оператор принимает меры к тому, чтобы такие лица обеспечивали конфиденциальность и безопасность ПДн [необходимо наличие договора/условий обработки (поручения) с каждым сервисом — ст. 6 ч. 3 152-ФЗ, проверить с юристом фактическое оформление].

Трансграничная передача данных Оператором целенаправленно не осуществляется; при использовании зарубежных дата-центров сервисами-партнёрами применяются требования о локализации ПДн граждан РФ [проверить фактическое место хранения данных у Tilda/amoCRM/Unisender и норму — ст. 18 ч. 5 152-ФЗ].

Иным третьим лицам, включая для целей неограниченной рекламы или продажи баз данных, ПДн не передаются.

8. Права субъекта персональных данных

Субъект ПДн имеет право:

• получать информацию, касающуюся обработки его ПДн;
• требовать уточнения, блокирования или уничтожения ПДн в случае, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку ПДн;
• обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке [точные номера статей — 14, 20, 21 152-ФЗ — проверить с юристом].

9. Порядок отзыва согласия

Для отзыва согласия на обработку ПДн пользователь направляет письменное обращение на email [email] или почтовым отправлением по адресу [адрес]. Оператор прекращает обработку и уничтожает ПДн (кроме случаев, когда хранение требуется по иным основаниям — например, исполнение договора или требований закона) в течение [срок — уточнить, обычно указывают разумный срок, например 30 дней] [проверить норму/срок].

10. Меры по защите персональных данных

Оператор принимает организационные и технические меры для защиты ПДн от неправомерного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц.

11. Заключительные положения

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция всегда доступна на Сайте по адресу [ссылка].

12. Контакты Оператора

ИП Ермаков [ФИО]
ИНН/ОГРНИП: [данные]
Email: [email]
Телефон: [телефон]
Адрес: [адрес]

---

2. Текст согласия на обработку персональных данных (для формы заявки)

> Отправляя заявку, я даю согласие ИП Ермакову [ФИО], ИНН [номер], на обработку моих персональных данных — имени, телефона, адреса электронной почты и указанного мной уровня английского языка — с целью связи со мной, записи на пробный урок и информирования о расписании занятий.
>
> Обработка включает сбор, хранение, использование и передачу данных сервисам, обеспечивающим работу сайта и приём заявок (Tilda, amoCRM, Telegram), в объёме, необходимом для этих целей.
>
> Согласие действует до его отзыва. Отозвать согласие можно, направив письмо на [email]. Подробнее — в [Политике обработки персональных данных].

Отдельно, если планируется рассылка расписания/рекламы через Unisender сверх разового уведомления о записи — рекомендуется отдельное согласие на рассылку, не объединённое с согласием на обработку ПДн для записи на урок [проверить норму — требования к рекламным рассылкам по ст. 18 ФЗ «О рекламе», позиция РКН о недопустимости «одной галочки на всё»].

Пример отдельного согласия на рассылку:

> Я согласен(на) получать от ИП Ермакова [ФИО] информационные и рекламные сообщения о расписании и курсах на указанный email/телефон. Согласие можно отозвать в любой момент, написав на [email] или перейдя по ссылке «отписаться» в письме.

---

3. Текст чекбокса и ссылок под формой

Обязательный чекбокс (без галочки по умолчанию):

> ☐ Я согласен(на) с [Политикой обработки персональных данных] и даю [согласие на обработку персональных данных](ссылка на текст из п.2) для связи со мной и записи на пробный урок.

Дополнительный чекбокс (отдельно, необязательный):

> ☐ Хочу получать расписание и новости курсов на email/телефон. [Подробнее об отписке]

Под формой также стоит разместить короткую строку:

> Нажимая «Записаться», вы соглашаетесь с условиями обработки персональных данных.

---

4. Чек-лист дополнительных действий для ИП Ермакова

---

Напоминаю: наличие этих документов снижает юридические риски и приводит процессы в соответствие с 152-ФЗ, но не является гарантией отсутствия претензий или штрафов со стороны Роскомнадзора — многое зависит от фактического исполнения (реальных договоров с сервисами, организационных мер, актуальности уведомления в РКН и т.д.).

Черновик документов по 152-ФЗ для ИП Ермаков (курсы английского языка)

Важно: Данный черновик является основой и требует доработки и проверки квалифицированным юристом, специализирующимся на защите персональных данных, с учетом всех актуальных изменений законодательства и специфики деятельности ИП Ермаков.

---

1. Политика обработки персональных данных

Политика обработки персональных данных ИП Ермаков

Настоящая Политика обработки персональных данных (далее – Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – ФЗ-152) и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, предпринимаемые Индивидуальным предпринимателем Ермаковым (далее – Оператор).

1. Оператор персональных данных

• Наименование: Индивидуальный предприниматель Ермаков
• ОГРНИП: [Указать ОГРНИП]
• ИНН: [Указать ИНН]
• Адрес: [Указать юридический адрес ИП]
• Контактный телефон: [Указать телефон]
• Адрес электронной почты: [Указать email]

2. Цели обработки персональных данных

Оператор осуществляет обработку персональных данных в следующих целях:

• Обеспечение функционирования сайта и предоставление доступа к его сервисам.
• Обработка заявок на пробный урок, связь с субъектом персональных данных для согласования времени и деталей урока.
• Информирование субъекта персональных данных о расписании занятий, акциях, специальных предложениях и новостях Оператора (при наличии отдельного согласия на получение рассылок).
• Улучшение качества предоставляемых услуг, анализ пользовательского опыта и эффективности рекламных кампаний с использованием обезличенных данных (Яндекс Метрика).
• Исполнение требований законодательства Российской Федерации.

3. Категории обрабатываемых персональных данных

Оператор может обрабатывать следующие категории персональных данных:

• Фамилия, имя, отчество: для идентификации субъекта персональных данных и персонализации общения.
• Контактный телефон: для связи с субъектом персональных данных по вопросам записи на пробный урок и информирования.
• Адрес электронной почты (email): для связи с субъектом персональных данных, отправки подтверждений, расписания и информационных рассылок.
• Уровень английского языка: для предварительной оценки и подбора соответствующей группы/программы.
• Данные, автоматически передаваемые при посещении сайта: IP-адрес, информация о браузере, время доступа, реферер (адрес предыдущей страницы), данные о местоположении (при наличии соответствующего разрешения пользователя), данные файлов cookie. Эти данные используются для анализа поведения пользователей и улучшения работы сайта, но не используются для идентификации конкретного пользователя.

4. Правовые основания обработки персональных данных

Обработка персональных данных осуществляется на следующих правовых основаниях:

• Согласие субъекта персональных данных на обработку его персональных данных (п. 1 ч. 1 ст. 6 ФЗ-152). Согласие выражается путем проставления отметки в соответствующем чекбоксе на сайте перед отправкой формы.
• Исполнение договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем (п. 5 ч. 1 ст. 6 ФЗ-152) – при записи на пробный урок и дальнейшем заключении договора на обучение.
• Осуществление прав и законных интересов Оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных (п. 7 ч. 1 ст. 6 ФЗ-152) – в части использования данных Яндекс Метрики для улучшения работы сайта.
• Исполнение требований законодательства Российской Федерации (п. 2 ч. 1 ст. 6 ФЗ-152).

5. Действия с персональными данными

Оператор осуществляет следующие действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

6. Сроки хранения персональных данных

Персональные данные хранятся не дольше, чем этого требуют цели их обработки, если иные сроки не установлены федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.

• Персональные данные, полученные при заполнении формы заявки на пробный урок, хранятся до момента достижения цели обработки (запись на урок, проведение урока) или до отзыва согласия субъектом персональных данных, но не более [3 лет] с момента последнего взаимодействия, если иное не предусмотрено законодательством.
• Данные для рассылок хранятся до отзыва согласия на рассылку или до момента прекращения деятельности Оператора.
• Обезличенные данные, собираемые Яндекс Метрикой, хранятся в соответствии с политикой конфиденциальности сервиса Яндекс Метрика.

По истечении указанных сроков или при достижении целей обработки персональные данные уничтожаются или обезличиваются.

7. Передача персональных данных третьим лицам

Оператор вправе передавать персональные данные третьим лицам в следующих случаях:

• С согласия субъекта персональных данных.
• Для исполнения договора, стороной которого является субъект персональных данных.
• По требованию уполномоченных государственных органов в случаях, предусмотренных законодательством Российской Федерации.
• Для обеспечения функционирования информационных систем и сервисов, используемых Оператором для обработки персональных данных, на основании заключенных договоров, содержащих поручение на обработку персональных данных и требования по их защите:
• Tilda Publishing (ООО «Тильда Паблишинг»): для хостинга сайта и обработки данных, вводимых в формы на сайте.
• amoCRM (ООО «АМО СРМ»): для хранения и обработки заявок, управления клиентской базой.
• Telegram (Telegram Messenger LLP): для оперативной передачи заявок менеджеру.
• Unisender (ООО «Юнисендер»): для осуществления email-рассылок.

Оператор гарантирует, что все третьи лица, которым передаются персональные данные, обязуются соблюдать конфиденциальность и обеспечивать безопасность персональных данных в соответствии с требованиями ФЗ-152.

8. Права субъекта персональных данных

Субъект персональных данных имеет право:

• Получать информацию, касающуюся обработки его персональных данных, в том числе содержащую:
• подтверждение факта обработки персональных данных Оператором;
• правовые основания и цели обработки персональных данных;
• способы обработки персональных данных;
• наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
• обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
• сроки обработки персональных данных, в том числе сроки их хранения;
• порядок осуществления субъектом персональных данных прав, предусмотренных ФЗ-152;
• информацию об осуществленной или о предполагаемой трансграничной передаче данных;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу.
• Требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
• Отозвать согласие на обработку персональных данных.
• Обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.
• Получать информацию о передаче своих персональных данных третьим лицам.

9. Порядок отзыва согласия на обработку персональных данных

Субъект персональных данных вправе в любой момент отозвать свое согласие на обработку персональных данных, направив соответствующее уведомление Оператору одним из следующих способов:

• По электронной почте: [Указать email Оператора] с темой письма «Отзыв согласия на обработку персональных данных».
• Почтовым отправлением: на юридический адрес Оператора: [Указать юридический адрес ИП].

В уведомлении необходимо указать фамилию, имя, отчество, контактный телефон и адрес электронной почты, указанные при заполнении формы, а также четко выразить намерение отозвать согласие.

В случае отзыва согласия на обработку персональных данных Оператор прекращает их обработку и уничтожает персональные данные в срок, не превышающий [30 дней] с даты поступления отзыва, если иное не предусмотрено законодательством Российской Федерации. Отзыв согласия на обработку персональных данных не влияет на законность обработки, осуществляемой до его отзыва.

10. Контактная информация

По всем вопросам, касающимся обработки персональных данных, субъекты персональных данных могут обращаться к Оператору:

• По электронной почте: [Указать email Оператора]
• По телефону: [Указать телефон Оператора]
• Почтовым отправлением: [Указать юридический адрес ИП]

Дата последнего обновления: [Указать текущую дату]

---

2. Отдельный текст согласия на обработку данных для формы заявки

Согласие на обработку персональных данных

Нажимая кнопку «Записаться на пробный урок» (или аналогичную), я даю свое согласие ИП Ермаков (ОГРНИП [Указать ОГРНИП]) на обработку моих персональных данных: имя, телефон, адрес электронной почты, уровень английского языка.

Цель обработки: связаться со мной для записи на пробный урок и отправлять расписание занятий.

Я ознакомлен(а) с Политикой обработки персональных данных и условиями отзыва согласия.

---

3. Текст чекбокса и ссылки под формой

Текст чекбокса:

☐ Я даю согласие на обработку персональных данных и принимаю условия [Политики конфиденциальности](#)

Текст ссылки под формой:

[Политика обработки персональных данных](#)

(#) – Здесь должна быть ссылка на страницу с полной Политикой обработки персональных данных.

---

4. Чек-лист: что ещё нужно сделать оператору

Чек-лист для ИП Ермаков по 152-ФЗ:

1. Уведомление в Роскомнадзор:
2. Что сделать: Подать уведомление в Роскомнадзор о начале обработки персональных данных. Это обязательное требование для большинства операторов.
3. Что проверить с юристом: Правильность заполнения формы уведомления, категории обрабатываемых данных, цели обработки, правовые основания. Убедиться, что все данные, указанные в Политике, соответствуют уведомлению.

1. Хранение данных россиян в России (Локализация):
2. Что сделать: Убедиться, что базы данных, содержащие персональные данные граждан РФ, находятся на территории Российской Федерации.
3. Что проверить с юристом:
4. Tilda: Уточнить у Tilda, где физически расположены их серверы, на которых хранятся данные форм. Если они за пределами РФ, необходимо либо найти альтернативное решение, либо получить от Tilda подтверждение соответствия требованиям локализации (что маловероятно для зарубежных сервисов).
5. amoCRM: Уточнить у amoCRM, где физически расположены их серверы для российских клиентов. Как правило, крупные CRM-системы имеют серверы в РФ для российских пользователей.
6. Unisender: Уточнить у Unisender, где физически расположены их серверы для хранения баз данных рассылок российских пользователей.
7. Общее: Если какие-либо из используемых сервисов хранят данные за пределами РФ, это может потребовать либо смены сервиса, либо проведения оценки рисков и разработки дополнительных мер защиты, что является сложной задачей и требует экспертного юридического заключения.

1. Cookie-баннер:
2. Что сделать: Разместить на сайте баннер или всплывающее окно, информирующее пользователей об использовании файлов cookie и других технологий отслеживания (например, Яндекс Метрики) и запрашивающее их согласие на это.
3. Что проверить с юристом:
4. Соответствие текста баннера требованиям законодательства (информация о целях использования cookie, типах cookie, возможности отказаться).
5. Правильность технической реализации (блокировка cookie до получения согласия, возможность управления согласием).
6. Особое внимание уделить Яндекс Метрике – она использует cookie для сбора данных.

1. Внутренние документы:
2. Что сделать: Разработать и утвердить внутренние документы, регламентирующие процессы обработки и защиты персональных данных в ИП Ермаков.
3. Что проверить с юристом:
4. Приказ о назначении ответственного за обработку ПДн.
5. Перечень обрабатываемых персональных данных.
6. Перечень информационных систем персональных данных.
7. Акт определения уровня защищенности персональных данных.
8. Модель угроз безопасности персональных данных.
9. Регламент реагирования на инциденты.
10. Инструкции для сотрудников, имеющих доступ к ПДн.
11. Обязательства о неразглашении конфиденциальной информации для сотрудников.

1. Обеспечение безопасности ПДн:
2. Что сделать: Принять организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий.
3. Что проверить с юристом/специалистом по ИБ:
4. Наличие антивирусной защиты, межсетевых экранов.
5. Использование защищенных каналов связи (SSL/TLS) для сайта.
6. Разграничение прав доступа к информационным системам.
7. Регулярное резервное копирование данных.
8. Обеспечение физической безопасности мест хранения данных (если есть).

1. Договоры с третьими лицами:
2. Что сделать: Проверить договоры с Tilda, amoCRM, Telegram, Unisender на предмет наличия положений о поручении обработки персональных данных, требований к конфиденциальности и безопасности.
3. Что проверить с юристом: Убедиться, что эти договоры соответствуют требованиям ч. 3 ст. 6 ФЗ-152, содержат все необходимые условия и ответственность сторон.

---

Напоминание: Это черновик. Обязательно обратитесь к юристу для финальной доработки и проверки всех документов и процедур. Несоблюдение требований ФЗ-152 может повлечь административную ответственность.