Промпт: политика обработки персональных данных по 152-ФЗ

Политика обработки персональных данных

Общие положения

ООО «Лингво Плюс» осуществляет обработку персональных данных пользователей своего сайта и клиентов онлайн-школы английского языка. Настоящая политика разработана в целях соблюдения Федерального закона № 152-ФЗ от 27 июля 2006 года «О персональных данных».

Настоящий документ определяет политику организации в отношении обработки и обеспечения безопасности персональных данных физических лиц, являющихся пользователями услуг компании.

Категории субъектов и персональные данные

Субъектами являются пользователи сайта и клиенты школы («Пользователи»). Компания обрабатывает следующие виды персональных данных Пользователей:

• Имя,
• Телефон,
• E-mail,
• Данные платежей (опосредованно через платежную систему),
• Cookies и метрики посещений (Яндекс.Метрика),
• Записи онлайн-уроков с участием Пользователя.

Персональные данные несовершеннолетних собираются исключительно после получения письменного согласия родителей/законных представителей несовершеннолетнего лица.

Цели обработки персональных данных

Обработка осуществляется для следующих целей:

• Заключение договоров оферты и предоставление образовательных услуг;
• Организация консультаций и информирование о проводимых мероприятиях и акциях;
• Аналитические исследования деятельности ресурса и оптимизация качества обслуживания;
• Обеспечение корректной работы системы дистанционного обучения.

Правовые основания обработки персональных данных

Правовыми основаниями являются нормы Федерального закона № 152-ФЗ, согласие субъекта на обработку персональных данных, необходимость исполнения договорных обязательств между субъектом и организацией.

Порядок и сроки обработки персональных данных

Персональные данные используются строго в пределах заявленных целей. Хранение и обработка осуществляются до достижения указанных целей либо окончания отношений между сторонами. По истечении срока хранения персональные данные уничтожаются или обезличиваются.

При обработке применяются автоматизированные методы обработки (через веб-сайт), сбор происходит посредством форм обратной связи, авторизации и платежных сервисов.

Передача третьим лицам

Передача персональных данных осуществляется ограниченному кругу третьих лиц, необходимых для выполнения функций бизнеса:

• Платежная система ЮKassa — для проведения расчетов;
• Система аналитики Яндекс.Метрика — для анализа активности посетителей сайта;
• AmoCRM — для ведения клиентской базы и взаимодействия с клиентами;
• Преподаватели (самозанятые граждане) — получение имени и контакта клиента для осуществления занятий.

Все третьи лица обеспечивают конфиденциальность и безопасность полученных данных согласно требованиям законодательства РФ.

Права субъектов персональных данных

Пользователь вправе получать доступ к своим персональным данным, уточнять их, блокировать или удалять, требовать прекращения распространения и обработки, подавать жалобы в случае нарушения прав в уполномоченные органы власти.

Для реализации вышеуказанных прав Пользователь направляет заявление ответственному лицу оператора путем отправки письма на электронную почту или почтовым отправлением.

Меры защиты персональных данных

Организация принимает организационные и технические меры для защиты данных, включая использование шифрования передачи данных, ограничения доступа сотрудников к персональным данным, соблюдение правил внутреннего документооборота.

Контакты

По вопросам обработки персональных данных обращаться по адресу электронной почты: info@lingvoplus.ru или письменно по юридическому адресу компании.

---

Согласие на обработку персональных данных

Я даю свое согласие ООО «Лингво Плюс» (ИНН ..., ОГРН ...) на обработку моих персональных данных, предоставленных мной добровольно, с целью заключения договора оказания образовательных услуг и дальнейшего информационного сопровождения, включающего возможность направления мне информационных сообщений и уведомлений о продуктах и услугах компании.

Подтверждаю, что мои персональные данные будут использованы следующим образом:

• Персональные данные, указанные мною в заявке (имя, номер телефона, адрес электронной почты);
• Информация о проведенных оплатах (неполные реквизиты платежа);
• Сведения, получаемые системой аналитики Яндекс.Метрика и собранные cookies-файлы моего браузера;
• Видеозаписи уроков с моим участием.

Настоящее согласие предоставляется бессрочно и действует до момента отзыва мною данного согласия путем подачи заявления оператору любым доступным способом.

---

Чек-лист действий компании:

1. Уведомление Роскомнадзора: Подайте уведомление о намерении обрабатывать персональные данные в порядке, предусмотренном ст. 22 Закона № 152-ФЗ ([проверить]).

1. Cookie-баннер: Разместите на сайте баннер уведомления о сборе файлов cookies и получите согласие пользователей на их использование в рамках правового поля (например, Федеральный закон № 38-ФЗ «О рекламе»).

1. Локализация баз данных: Удостоверьтесь, что обработка персональных данных российских граждан производится на территории РФ (статья 18.1 Закона № 152-ФЗ).

1. Внутренние документы:
2. Регламент обработки персональных данных (локально-нормативный акт);
3. Приказ о назначении ответственного за организацию обработки персональных данных сотрудника;
4. Положение о работе с информацией ограниченного доступа;
5. Инструкция сотрудникам по соблюдению конфиденциальности.

1. Проведение оценки соответствия информационной безопасности:

Проверьте соответствие системы безопасности требованиям законодательства, проведите оценку рисков утечки персональных данных.

---

Возможные риски нарушений:

Нарушение порядка обработки персональных данных влечет ответственность вплоть до административной ответственности юридического лица и должностных лиц компании по статье 13.11 Кодекса РФ об административных правонарушениях (КоАП РФ):

• Нарушения сроков предоставления сведений о действиях с персональными данными [проверить];
• Непредоставление субъекту возможности ознакомления с его персональными данными [проверить];
• Необеспечение должного уровня защиты персональных данных [проверить];
• Отказ в предоставлении доступа к сведениям о себе или нарушение условий обработки данных несовершеннолетними лицами [проверить].

Также возможны санкции от государственных органов, включая наложение штрафа, временное ограничение деятельности и прочие последствия, предусмотренные законом.

Ниже — черновик документов для адаптации под сайт ООО «Лингво Плюс». Перед публикацией рекомендую проверить реквизиты компании, фактические процессы, договоры с подрядчиками и актуальные требования 152-ФЗ с учётом изменений 2025 года.

---

1. Политика обработки персональных данных

ООО «Лингво Плюс»

1. Общие положения

1.1. Настоящая Политика обработки персональных данных далее — Политика определяет порядок обработки и защиты персональных данных, осуществляемой Обществом с ограниченной ответственностью «Лингво Плюс», далее — Оператор.

1.2. Оператор осуществляет деятельность онлайн-школы английского языка, в том числе через сайт Оператора, Telegram-бот, онлайн-платформы для проведения занятий, CRM-систему и иные сервисы, используемые для организации обучения.

1.3. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», далее — 152-ФЗ, и иными применимыми нормативными актами Российской Федерации в области персональных данных.

1.4. Настоящая Политика применяется ко всем персональным данным, которые Оператор получает от пользователей сайта, клиентов, потенциальных клиентов, учеников, их законных представителей, преподавателей и иных лиц в связи с оказанием образовательных и консультационных услуг в сфере изучения английского языка.

1.5. Оператор обрабатывает персональные данные на законной и справедливой основе, ограничивается достижением конкретных, заранее определённых и законных целей, не допускает обработку персональных данных, несовместимую с целями их сбора.

1.6. Использование сайта Оператора, заполнение форм заявки, взаимодействие с Telegram-ботом, заключение договора-оферты, оплата услуг и участие в онлайн-уроках могут предполагать обработку персональных данных в соответствии с настоящей Политикой.

1.7. Если пользователь не согласен с условиями Политики, он должен воздержаться от использования соответствующих форм сайта, Telegram-бота и иных способов передачи персональных данных Оператору.

---

2. Категории субъектов персональных данных и обрабатываемых данных

2.1. Категории субъектов персональных данных

Оператор может обрабатывать персональные данные следующих категорий субъектов:

1. посетители сайта Оператора;
2. пользователи Telegram-бота;
3. лица, оставляющие заявку на пробный урок;
4. потенциальные клиенты;
5. клиенты и ученики онлайн-школы;
6. законные представители несовершеннолетних учеников;
7. лица, заключающие договор-оферту с Оператором;
8. лица, оплачивающие услуги Оператора;
9. участники онлайн-уроков, включая лиц, попадающих на видеозапись занятия;
10. преподаватели, исполнители и иные контрагенты — в части, не урегулированной отдельными документами Оператора.

2.2. Категории обрабатываемых персональных данных

Оператор может обрабатывать следующие персональные данные:

1. имя;
2. номер телефона;
3. адрес электронной почты;
4. сведения, указанные пользователем в форме заявки или при общении с менеджером;
5. данные, необходимые для заключения и исполнения договора-оферты;
6. сведения об оплате, включая факт оплаты, сумму, дату, статус платежа, идентификатор платежа, иные технические данные, получаемые через платёжный сервис;
7. данные, передаваемые через Telegram-бот, включая имя пользователя, Telegram ID, username, содержание сообщений — если применимо;
8. cookie-файлы и аналогичные технические идентификаторы;
9. сведения о действиях пользователя на сайте, включая данные, собираемые с использованием Яндекс Метрики;
10. IP-адрес, данные о браузере, устройстве, операционной системе, источнике перехода на сайт, времени посещения сайта и просмотренных страницах;
11. аудио- и видеозаписи онлайн-уроков, включая изображение, голос, речь, иные сведения, которые могут быть зафиксированы во время занятия;
12. имя и контактные данные ученика, передаваемые преподавателю для проведения занятий.

2.3. Специальные категории и биометрические персональные данные

2.3.1. Оператор не ставит целью обработку специальных категорий персональных данных, касающихся расовой или национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни [проверить].

2.3.2. Оператор не осуществляет обработку биометрических персональных данных в целях установления личности субъекта персональных данных. При этом видеозаписи онлайн-уроков могут содержать изображение и голос ученика. Такие записи используются исключительно для организации и контроля качества обучения, если субъект персональных данных или его законный представитель дал соответствующее согласие либо если такая обработка необходима для исполнения договора и не противоречит применимому законодательству [проверить].

---

3. Цели обработки персональных данных

Оператор обрабатывает персональные данные в следующих целях:

1. приём и обработка заявки на пробный урок;
2. связь с пользователем по оставленной заявке;
3. подбор программы обучения и преподавателя;
4. организация и проведение пробного урока;
5. заключение, исполнение, изменение и прекращение договора-оферты;
6. идентификация клиента в рамках исполнения договора;
7. предоставление доступа к занятиям, учебным материалам, Telegram-боту и иным сервисам Оператора;
8. организация расписания занятий и коммуникации между учеником, менеджером и преподавателем;
9. приём оплаты за услуги и обработка информации о платеже;
10. направление сервисных сообщений, связанных с обучением, оплатой, расписанием, изменением условий оказания услуг;
11. направление информационных и рекламных рассылок о новых курсах, акциях, специальных предложениях и мероприятиях Оператора — при наличии согласия, если оно требуется;
12. проведение аналитики сайта и улучшение его работы;
13. анализ эффективности рекламных кампаний;
14. обеспечение безопасности сайта и предотвращение злоупотреблений;
15. запись онлайн-уроков для контроля качества обучения, разбора занятий, предоставления записи ученику и внутреннего обучения преподавателей — при наличии надлежащего основания;
16. выполнение требований законодательства Российской Федерации;
17. защита прав и законных интересов Оператора, клиентов и иных лиц.

---

4. Правовые основания обработки персональных данных

Оператор обрабатывает персональные данные на следующих правовых основаниях:

1. согласие субъекта персональных данных на обработку персональных данных;
2. необходимость обработки для заключения договора по инициативе субъекта персональных данных или исполнения договора, стороной которого является субъект персональных данных;
3. исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации;
4. осуществление прав и законных интересов Оператора или третьих лиц при условии, что при этом не нарушаются права и свободы субъекта персональных данных [проверить];
5. договоры с контрагентами, включая договоры с платёжными сервисами, CRM-системой, хостинг-провайдером и преподавателями;
6. иные основания, предусмотренные 152-ФЗ и применимым законодательством Российской Федерации.

---

5. Порядок и сроки обработки персональных данных

5.1. Способы обработки

Оператор осуществляет обработку персональных данных с использованием средств автоматизации и без использования таких средств, включая:

1. сбор;
2. запись;
3. систематизацию;
4. накопление;
5. хранение;
6. уточнение, обновление, изменение;
7. извлечение;
8. использование;
9. передачу, предоставление, доступ;
10. обезличивание;
11. блокирование;
12. удаление;
13. уничтожение персональных данных.

5.2. Источники получения данных

Персональные данные могут быть получены:

1. непосредственно от субъекта персональных данных при заполнении формы на сайте;
2. через Telegram-бот;
3. при заключении договора-оферты;
4. при оплате услуг через платёжный сервис;
5. при посещении сайта с использованием cookie-файлов и средств веб-аналитики;
6. при участии в онлайн-уроках;
7. от законного представителя несовершеннолетнего ученика;
8. от преподавателей и иных исполнителей, участвующих в оказании услуг.

5.3. Сроки обработки и хранения

5.3.1. Персональные данные обрабатываются не дольше, чем этого требуют цели обработки, если более длительный срок хранения не установлен законодательством Российской Федерации, договором или согласием субъекта персональных данных.

5.3.2. Ориентировочные сроки хранения:

5.3.3. При достижении целей обработки, отзыве согласия или выявлении неправомерной обработки персональные данные подлежат блокированию, удалению или уничтожению в порядке и сроки, предусмотренные законодательством Российской Федерации [проверить].

5.4. Обработка данных несовершеннолетних

5.4.1. Если обучение проходит несовершеннолетний ученик, необходимые персональные данные несовершеннолетнего могут предоставляться его родителем или иным законным представителем.

5.4.2. Согласие на обработку персональных данных несовершеннолетнего, если оно требуется, предоставляется его законным представителем [проверить].

5.4.3. Оператор вправе запросить подтверждение полномочий законного представителя в случаях, предусмотренных законом или если это необходимо для защиты прав несовершеннолетнего.

---

6. Передача персональных данных третьим лицам

6.1. Оператор может передавать персональные данные третьим лицам, если это необходимо для достижения целей обработки, исполнения договора, выполнения требований закона или при наличии согласия субъекта персональных данных.

6.2. Персональные данные могут передаваться следующим категориям получателей:

1. CRM-система amoCRM — для ведения заявок, коммуникаций с клиентами, фиксации этапов продаж и обслуживания;
2. платёжный сервис ЮKassa — для приёма и обработки платежей;
3. хостинг-провайдер с сервером на территории Российской Федерации — для размещения сайта, хранения данных и обеспечения его работоспособности;
4. преподаватели-самозанятые — для организации и проведения занятий; преподавателям передаются имя и контактные данные ученика, а также иные сведения, необходимые для проведения уроков;
5. сервисы веб-аналитики, включая Яндекс Метрику — для анализа посещаемости сайта и поведения пользователей;
6. сервисы связи и проведения онлайн-занятий — если используются Оператором;
7. государственные органы и иные уполномоченные лица — в случаях и порядке, предусмотренных законодательством Российской Федерации.

6.3. Оператор поручает обработку персональных данных третьим лицам на основании договора или иного правового основания. В таких случаях Оператор принимает меры для обеспечения конфиденциальности и безопасности персональных данных, а также определяет обязанность третьего лица соблюдать требования законодательства о персональных данных [проверить].

6.4. Преподаватели-самозанятые обязуются использовать персональные данные учеников только для проведения занятий и коммуникации по вопросам обучения, не раскрывать данные третьим лицам и не использовать их в собственных целях, не связанных с исполнением поручения Оператора.

6.5. Оператор хранит базы данных, содержащие персональные данные граждан Российской Федерации, на территории Российской Федерации в соответствии с требованиями о локализации персональных данных [проверить: ст. 18 152-ФЗ].

6.6. Если при использовании отдельных сервисов происходит трансграничная передача персональных данных, Оператор до начала такой передачи выполняет требования законодательства Российской Федерации о трансграничной передаче персональных данных [проверить]. На дату утверждения настоящей Политики Оператор исходит из того, что основные базы персональных данных размещаются на сервере в Российской Федерации.

---

7. Cookies, Яндекс Метрика и веб-аналитика

7.1. Сайт Оператора использует cookie-файлы и аналогичные технологии.

7.2. Cookie-файлы могут использоваться для:

1. обеспечения корректной работы сайта;
2. сохранения пользовательских настроек;
3. анализа посещаемости сайта;
4. оценки эффективности рекламных кампаний;
5. улучшения структуры и содержания сайта.

7.3. На сайте может использоваться сервис Яндекс Метрика, который собирает обезличенные или псевдонимизированные статистические данные о посещении сайта, действиях пользователей, устройствах и источниках перехода.

7.4. Пользователь может ограничить или запретить использование cookie-файлов в настройках браузера. При этом отдельные функции сайта могут работать некорректно.

7.5. Если законодательство требует получения согласия на использование отдельных категорий cookie-файлов, Оператор обеспечивает получение такого согласия через cookie-баннер или иной механизм [проверить].

---

8. Права субъектов персональных данных

Субъект персональных данных имеет право:

1. получать информацию об обработке его персональных данных;
2. требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
3. отозвать согласие на обработку персональных данных;
4. отказаться от получения рекламных и информационных рассылок;
5. требовать прекращения обработки персональных данных в случаях, предусмотренных законодательством;
6. обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в суд;
7. реализовывать иные права, предусмотренные законодательством Российской Федерации.

---

9. Порядок обращения субъекта персональных данных

9.1. Для реализации своих прав субъект персональных данных может направить обращение Оператору:

• по электронной почте: [указать e-mail];
• по почтовому адресу: [указать юридический/почтовый адрес].

9.2. В обращении рекомендуется указать:

1. фамилию, имя, отчество — при наличии;
2. контактные данные для ответа;
3. суть обращения;
4. сведения, позволяющие Оператору идентифицировать заявителя;
5. подпись заявителя — если обращение направляется в письменной форме.

9.3. Оператор рассматривает обращения субъектов персональных данных в сроки, предусмотренные законодательством Российской Федерации [проверить актуальные сроки по 152-ФЗ].

9.4. Отзыв согласия на обработку персональных данных не влияет на законность обработки, осуществлённой до получения отзыва, а также не препятствует обработке данных, если у Оператора имеются иные законные основания для такой обработки.

---

10. Меры защиты персональных данных

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных, включая:

1. назначение лица, ответственного за организацию обработки персональных данных;
2. принятие локальных актов по вопросам обработки и защиты персональных данных;
3. ограничение доступа к персональным данным;
4. предоставление доступа к персональным данным только тем лицам, которым он необходим для выполнения служебных или договорных обязанностей;
5. использование логинов, паролей и иных средств разграничения доступа;
6. учёт лиц, имеющих доступ к персональным данным;
7. заключение соглашений о конфиденциальности с работниками, преподавателями и подрядчиками;
8. включение условий о персональных данных в договоры с подрядчиками;
9. резервное копирование и восстановление данных — при необходимости;
10. антивирусную защиту и обновление программного обеспечения — при необходимости;
11. контроль за мерами безопасности у подрядчиков в разумных пределах;
12. хранение баз данных граждан Российской Федерации на территории Российской Федерации;
13. удаление или обезличивание персональных данных после достижения целей обработки;
14. иные меры, необходимые для выполнения требований законодательства Российской Федерации.

---

11. Контакты Оператора

Оператор: Общество с ограниченной ответственностью «Лингво Плюс»
ОГРН: [указать]
ИНН: [указать]
Юридический адрес: [указать]
Почтовый адрес: [указать, если отличается]
Адрес электронной почты для обращений по персональным данным: [указать]
Сайт: [указать домен]
Telegram-бот: [указать ссылку/имя бота]

---

12. Заключительные положения

12.1. Оператор вправе изменять настоящую Политику. Новая редакция Политики вступает в силу с момента её размещения на сайте Оператора, если иное не указано в новой редакции.

12.2. Актуальная редакция Политики размещается в свободном доступе на сайте Оператора по адресу: [указать ссылку].

---

2. Согласие на обработку персональных данных для формы на сайте

Согласие на обработку персональных данных

Настоящим я, заполняя форму заявки на сайте ООО «Лингво Плюс» и нажимая кнопку отправки формы, свободно, своей волей и в своём интересе даю согласие Обществу с ограниченной ответственностью «Лингво Плюс», далее — Оператор, на обработку моих персональных данных на следующих условиях.

1. Оператор

Оператор: ООО «Лингво Плюс»
ОГРН: [указать]
ИНН: [указать]
Адрес: [указать]
E-mail для обращений: [указать]

2. Персональные данные, на обработку которых даётся согласие

Я даю согласие на обработку следующих персональных данных:

1. имя;
2. номер телефона;
3. адрес электронной почты;
4. сведения, которые я дополнительно укажу в форме заявки или сообщу Оператору при последующей коммуникации;
5. технические данные, связанные с отправкой формы, включая IP-адрес, дату и время отправки заявки, данные браузера и устройства — если такие данные собираются сайтом.

3. Цели обработки персональных данных

Согласие даётся на обработку персональных данных в следующих целях:

1. приём и обработка моей заявки на пробный урок;
2. связь со мной по телефону, e-mail, через мессенджеры или иные каналы связи;
3. консультирование по услугам онлайн-школы английского языка;
4. подбор программы обучения и преподавателя;
5. организация пробного урока;
6. заключение и исполнение договора-оферты, если я приму решение приобрести услуги;
7. направление сервисных сообщений, связанных с заявкой, пробным уроком, обучением, оплатой и расписанием;
8. направление информационных и рекламных сообщений о курсах, акциях, мероприятиях и специальных предложениях Оператора — при наличии отдельного согласия на рекламную рассылку, если оно требуется законодательством.

4. Действия с персональными данными

Я даю согласие на совершение Оператором следующих действий с моими персональными данными:

1. сбор;
2. запись;
3. систематизация;
4. накопление;
5. хранение;
6. уточнение, обновление, изменение;
7. извлечение;
8. использование;
9. передача, предоставление, доступ;
10. обезличивание;
11. блокирование;
12. удаление;
13. уничтожение.

Обработка может осуществляться как с использованием средств автоматизации, так и без использования таких средств.

5. Передача персональных данных третьим лицам

Я согласен/согласна, что для достижения указанных целей Оператор вправе передавать мои персональные данные следующим лицам и категориям лиц:

1. CRM-системе amoCRM — для обработки заявки и коммуникации;
2. платёжному сервису ЮKassa — если я перейду к оплате услуг;
3. хостинг-провайдеру, обеспечивающему работу сайта и хранение данных на сервере в Российской Федерации;
4. преподавателям-самозанятым — для организации и проведения пробного или оплаченного занятия;
5. сервисам связи и проведения онлайн-занятий — если они используются для организации урока;
6. иным подрядчикам Оператора, участвующим в обработке заявки, организации обучения, технической поддержке сайта и сервисов Оператора, при условии соблюдения ими требований конфиденциальности и законодательства о персональных данных;
7. государственным органам — в случаях, предусмотренных законодательством Российской Федерации.

6. Срок действия согласия

6.1. Настоящее согласие действует до достижения целей обработки персональных данных либо до момента его отзыва, в зависимости от того, что наступит раньше.

6.2. Если после обработки заявки между мной и Оператором будет заключён договор, персональные данные могут обрабатываться в течение срока действия договора и после его прекращения в течение срока, необходимого для исполнения обязанностей Оператора, ведения бухгалтерского и налогового учёта, защиты прав и законных интересов Оператора, если такая обработка допускается законодательством.

7. Отзыв согласия

7.1. Я вправе в любое время отозвать настоящее согласие, направив Оператору заявление:

• на e-mail: [указать];
• либо по адресу: [указать].

7.2. Отзыв согласия не влияет на законность обработки персональных данных, осуществлённой до получения Оператором такого отзыва.

7.3. После получения отзыва Оператор прекращает обработку персональных данных и уничтожает их, если отсутствуют иные законные основания для продолжения обработки [проверить актуальные сроки и исключения по 152-ФЗ].

8. Подтверждение

Нажимая кнопку «Отправить заявку», «Записаться на пробный урок» или аналогичную кнопку на сайте, я подтверждаю, что:

1. ознакомлен/ознакомлена с Политикой обработки персональных данных ООО «Лингво Плюс»;
2. понимаю содержание настоящего согласия;
3. даю согласие на обработку персональных данных на указанных условиях.

---

Рекомендация по форме на сайте

Под формой заявки лучше разместить два отдельных чекбокса:

Чекбокс 1 — обязательный для заявки

> Я согласен/согласна на обработку персональных данных в соответствии с Согласием на обработку персональных данных и подтверждаю ознакомление с Политикой обработки персональных данных.

Слова «Согласием» и «Политикой» должны быть активными ссылками.

Чекбокс 2 — отдельный для рекламной рассылки

> Я согласен/согласна получать информационные и рекламные сообщения о курсах, акциях и специальных предложениях ООО «Лингво Плюс» по e-mail, телефону, SMS и в мессенджерах. Я могу отказаться от рассылки в любое время.

Рекламное согласие желательно делать отдельным от согласия на обработку персональных данных, особенно с учётом изменений регулирования рекламы и согласий [проверить актуальные требования 2025 года].

---

3. Чек-лист: что ещё нужно сделать ООО «Лингво Плюс»

1. Проверить обязанность уведомления Роскомнадзора

Нужно проверить, подаёт ли ООО «Лингво Плюс» уведомление об обработке персональных данных в Роскомнадзор.

Сейчас большинство операторов обязаны уведомлять Роскомнадзор до начала обработки персональных данных, за исключением ограниченных случаев [проверить актуальные исключения по 152-ФЗ].

Что сделать:

• проверить наличие ООО «Лингво Плюс» в реестре операторов персональных данных;
• если уведомление не подано — подготовить и подать уведомление;
• включить в уведомление сайт, Telegram-бот, CRM, цели обработки, категории данных, поручение обработки третьим лицам, место хранения баз данных;
• при изменениях процессов — обновлять сведения в Роскомнадзоре.

2. Обеспечить локализацию баз данных в России

Для персональных данных граждан РФ нужно обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся на территории РФ [проверить точную формулировку требования].

Что сделать:

• подтвердить, что сайт и база заявок хранятся на сервере в РФ;
• проверить, где хранятся данные в amoCRM;
• проверить, где хранятся данные Telegram-бота и его backend;
• проверить онлайн-платформы для уроков;
• проверить сервисы рассылок, телефонии, мессенджеров;
• зафиксировать локализацию в договоре с хостинг-провайдером.

3. Настроить cookie-баннер

Сайт использует cookies и Яндекс Метрику, поэтому нужен понятный механизм уведомления и, при необходимости, получения согласия.

Что сделать:

• разместить cookie-баннер при первом посещении сайта;
• указать, какие cookie используются: необходимые, аналитические, рекламные;
• дать ссылку на Политику;
• предусмотреть возможность согласиться, отказаться или настроить cookie — если применимо;
• проверить настройки Яндекс Метрики, включая Вебвизор, карту кликов, передачу параметров пользователей;
• не собирать избыточные данные через аналитику.

4. Разделить согласия

Желательно иметь отдельные согласия:

1. согласие на обработку персональных данных для заявки;
2. согласие на рекламную рассылку;
3. согласие на запись онлайн-уроков с видео и голосом ученика;
4. согласие законного представителя на обработку данных несовершеннолетнего — если обучение проходят дети;
5. согласие на распространение персональных данных — только если компания публикует отзывы, фото, видео, кейсы учеников, скриншоты переписок и т.п. Это отдельная категория согласия [проверить актуальные требования].

5. Подготовить согласие на запись онлайн-уроков

Так как записываются уроки с видео учеников, нужно отдельное регулирование.

Что указать:

• зачем ведётся запись;
• какие данные фиксируются: изображение, голос, речь, имя, материалы занятия;
• кто имеет доступ к записи;
• срок хранения записи;
• можно ли скачать запись;
• можно ли использовать запись для внутреннего обучения преподавателей;
• исключить публикацию без отдельного согласия;
• для несовершеннолетних — получать согласие законного представителя.

6. Обновить договор-оферту

В оферту стоит включить разделы:

• порядок оказания онлайн-услуг;
• обработка персональных данных;
• использование Telegram-бота;
• порядок оплаты через ЮKassa;
• запись занятий;
• правила коммуникации с преподавателем;
• условия отмены и переноса занятий;
• ограничения по распространению учебных материалов и записей;
• порядок направления сервисных сообщений.

7. Заключить или обновить договоры с подрядчиками

Нужно проверить договоры с:

1. amoCRM;
2. ЮKassa;
3. хостинг-провайдером;
4. преподавателями-самозанятыми;
5. сервисами телефонии;
6. сервисами рассылок;
7. разработчиком сайта;
8. администратором Telegram-бота;
9. сервисами онлайн-занятий.

В договорах должны быть положения о:

• поручении обработки персональных данных;
• целях и объёме обработки;
• конфиденциальности;
• мерах защиты;
• запрете использования данных в собственных целях;
• удалении или возврате данных после прекращения договора;
• уведомлении об инцидентах;
• локализации данных в РФ — если применимо.

8. Назначить ответственного за обработку персональных данных

Нужно назначить лицо, ответственное за организацию обработки персональных данных [проверить статью 152-ФЗ].

Что оформить:

• приказ о назначении ответственного;
• должностную инструкцию или положение;
• обязанности по контролю за обработкой данных;
• порядок взаимодействия с Роскомнадзором и субъектами персональных данных.

9. Подготовить внутренние документы

Минимальный комплект:

1. Политика обработки персональных данных;
2. Положение об обработке и защите персональных данных;
3. Приказ о назначении ответственного;
4. Перечень информационных систем персональных данных;
5. Модель угроз или иной документ по оценке угроз — если требуется [проверить];
6. Перечень лиц, имеющих доступ к персональным данным;
7. Журнал/реестр обращений субъектов персональных данных;
8. Журнал учёта инцидентов;
9. Инструкции для менеджеров и преподавателей;
10. Соглашения о конфиденциальности с работниками и подрядчиками;
11. Регламент удаления и уничтожения персональных данных;
12. Регламент обработки запросов субъектов персональных данных;
13. Регламент реагирования на утечки персональных данных.

10. Настроить процессы по утечкам персональных данных

С учётом изменений законодательства нужно иметь порядок реагирования на инциденты.

Что сделать:

• определить, что считается инцидентом;
• назначить ответственных;
• настроить внутреннее уведомление об инцидентах;
• определить порядок уведомления Роскомнадзора и иных лиц;
• фиксировать обстоятельства инцидента;
• хранить доказательства принятых мер;
• проверить актуальные сроки уведомления об инцидентах [проверить].

11. Проверить Telegram-бот

Для Telegram-бота нужно:

• разместить ссылку на Политику;
• получать согласие до сбора данных, если бот собирает персональные данные;
• указать, какие данные бот получает: Telegram ID, username, имя, сообщения;
• проверить, где хранится backend бота;
• ограничить доступ администраторов;
• предусмотреть команду или инструкцию для отзыва согласия/удаления данных.

12. Проверить Яндекс Метрику

Нужно:

• проверить, включён ли Вебвизор;
• не передаются ли в Метрику e-mail, телефон, имя в URL или параметрах;
• настроить маскирование полей форм;
• обновить Политику и cookie-баннер;
• проверить договорные и пользовательские условия Яндекса.

13. Организовать отказы от рассылки

Для e-mail и мессенджеров:

• хранить доказательство согласия на рассылку;
• фиксировать дату, источник, текст согласия;
• предусмотреть простой отказ от рассылки;
• своевременно исключать отказавшихся из базы;
• не смешивать сервисные сообщения и рекламу.

14. Проверить несовершеннолетних учеников

Если школа обучает детей:

• получать данные родителя/законного представителя;
• фиксировать согласие законного представителя;
• отдельно регулировать запись уроков;
• ограничить публичное использование фото, видео, отзывов детей;
• настроить коммуникацию через родителя, если это необходимо.

---

4. Риски компании при нарушениях

Ниже — основные риски без указания сумм штрафов. Размеры санкций необходимо проверить по актуальной редакции КоАП РФ с учётом изменений 2025 года.

1. Обработка персональных данных без законного основания

Если компания собирает имя, телефон, e-mail, видео, cookies или иные данные без надлежащего согласия, договора или иного основания, возможны:

• административная ответственность [проверить по КоАП РФ];
• предписание Роскомнадзора;
• требование прекратить обработку;
• необходимость удалить данные;
• жалобы субъектов персональных данных;
• судебные споры.

2. Отсутствие уведомления Роскомнадзора

Если уведомление об обработке персональных данных должно быть подано, но не подано, возможны:

• административная ответственность [проверить по КоАП РФ];
• предписание подать уведомление;
• повышенное внимание Роскомнадзора к процессам обработки данных.

3. Нарушение требований к согласию

Риски возникают, если согласие:

• не конкретное;
• не информированное;
• не сознательное;
• не отдельное от иных документов там, где требуется;
• заранее проставлено галочкой;
• не позволяет подтвердить факт получения;
• не содержит необходимых сведений;
• не позволяет отказаться от рассылки;
• объединяет обработку данных и рекламную рассылку без возможности выбора.

Возможные последствия:

• признание обработки незаконной;
• административная ответственность [проверить по КоАП РФ];
• предписание прекратить обработку;
• риск претензий со стороны пользователей.

4. Нарушение требований к рекламным рассылкам

Если компания направляет рекламные сообщения без согласия или после отказа пользователя, возможны:

• ответственность за нарушение законодательства о рекламе [проверить по КоАП РФ];
• жалобы в ФАС;
• блокировки почтовых доменов и аккаунтов рассылки;
• репутационные риски.

5. Нарушение локализации персональных данных

Если базы данных граждан РФ фактически хранятся или первично обрабатываются за пределами РФ с нарушением требований локализации, возможны:

• административная ответственность [проверить по КоАП РФ];
• предписание устранить нарушение;
• риск ограничения доступа к сайту или сервису [проверить];
• невозможность использовать отдельные зарубежные сервисы без перестройки процесса.

6. Незаконная передача данных третьим лицам

Риски возникают, если данные передаются amoCRM, ЮKassa, преподавателям, сервисам рассылок, разработчикам или иным лицам без договора, поручения обработки, согласия или иного основания.

Последствия:

• административная ответственность [проверить по КоАП РФ];
• претензии субъектов;
• обязанность прекратить передачу;
• риск утечки данных;
• споры с клиентами.

7. Нарушения при записи онлайн-уроков

Особенно чувствительная зона — видео и голос учеников.

Риски:

• претензии учеников и родителей;
• требование удалить записи;
• запрет на использование записей;
• ответственность за незаконную обработку персональных данных [проверить по КоАП РФ];
• риск нарушения права на изображение гражданина [проверить ГК РФ];
• отдельные риски при записи несовершеннолетних.

8. Публикация отзывов, фото, видео и кейсов без отдельного согласия

Если школа публикует видеофрагменты уроков, отзывы с именами, фото учеников, скриншоты переписок, результаты обучения, возможны:

• нарушение требований к согласию на распространение персональных данных;
• требование удалить публикацию;
• административная ответственность [проверить по КоАП РФ];
• репутационные потери.

9. Отсутствие внутренних документов и ответственного

Если у компании нет локальных актов, ответственного, перечня доступов и регламентов, возможны:

• претензии Роскомнадзора при проверке;
• административная ответственность [проверить по КоАП РФ];
• невозможность доказать принятие мер по защите данных;
• повышенные риски при утечке.

10. Утечка персональных данных

При утечке заявок, телефонов, e-mail, записей занятий, платёжной информации или переписок возможны:

• обязанность уведомить уполномоченные органы [проверить актуальные сроки и порядок];
• административная ответственность [проверить по КоАП РФ];
• претензии клиентов;
• судебные иски;
• репутационный ущерб;
• потеря доверия учеников и родителей;
• дополнительные проверки и предписания.

11. Ненадлежащее реагирование на запросы субъектов

Если компания игнорирует запросы на доступ, удаление, уточнение или отзыв согласия, возможны:

• жалобы в Роскомнадзор;
• административная ответственность [проверить по КоАП РФ];
• обязанность исполнить требование субъекта;
• споры и репутационные риски.

---

Ключевые практические рекомендации

1. Разместить Политику в футере сайта и в Telegram-боте.
2. Сделать отдельное согласие под формой заявки.
3. Сделать отдельный чекбокс на рекламную рассылку.
4. Подготовить отдельное согласие на запись онлайн-уроков.
5. Проверить уведомление Роскомнадзора.
6. Проверить локализацию amoCRM, Telegram-бота, сайта и всех сервисов.
7. Заключить документы с преподавателями-самозанятыми о конфиденциальности и обработке данных.
8. Назначить ответственного за персональные данные.
9. Подготовить внутренний комплект документов.
10. Проверить актуальные штрафы и требования к согласию по состоянию на 2025 год.

Дисклеймер

Ниже — рабочий черновик документов по 152-ФЗ для ООО «Лингво Плюс». Это не готовая к публикации редакция: в тексте оставлены поля [уточнить] для реквизитов компании и сроков, которые должен определить сам оператор (бухгалтер/юрист внутри компании), и пометки [проверить] там, где я не уверен в точной формулировке нормы или где требования менялись в 2025 году. Перед публикацией рекомендую финальную вычитку юристом, т.к. регулирование ПДн сейчас меняется быстро (ужесточение ответственности за утечки, требования к локализации, практика Роскомнадзора).

---

1. ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

ООО «Лингво Плюс»

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и иными нормативными правовыми актами РФ в области защиты персональных данных.

1.2. Оператор персональных данных: ООО «Лингво Плюс», ОГРН [уточнить], ИНН [уточнить], юридический адрес: [уточнить] (далее — Оператор).

1.3. Политика определяет порядок обработки персональных данных пользователей сайта [домен] и Telegram-бота [@username] (далее совместно — Сервисы), а также меры по обеспечению их безопасности.

1.4. Использование Сервисов и/или направление заявки означает ознакомление пользователя с настоящей Политикой.

2. Категории субъектов и персональных данных

Субъекты персональных данных:

• посетители сайта и пользователи Telegram-бота;
• лица, оставившие заявку на пробный урок;
• ученики, заключившие договор-оферту;
• законные представители несовершеннолетних учеников (если ученику менее 18 лет / до 14 лет — [уточнить порядок получения согласия, см. раздел 3 чек-листа]);
• плательщики, если оплату вносит лицо, отличное от ученика.

Обрабатываемые данные:

• Ф.И.О.;
• номер телефона, e-mail;
• сведения об оплате, поступающие от платёжного сервиса ЮKassa (статус и сумма платежа; полные реквизиты карт Оператору не передаются и не хранятся);
• технические данные: IP-адрес, данные cookie-файлов, идентификаторы Яндекс Метрики, сведения о поведении на сайте;
• видеозаписи онлайн-уроков (изображение и голос ученика).

Специальные категории персональных данных (о здоровье, расовой/национальной принадлежности, политических взглядах и пр.) и биометрические персональные данные (в значении ст. 11 152-ФЗ) Оператором не обрабатываются; видеозапись урока используется исключительно в организационных целях, а не для идентификации личности по биологическим признакам.

3. Цели обработки персональных данных

• запись на бесплатный пробный урок, обратная связь с заявителем;
• заключение и исполнение договора-оферты на оказание образовательных услуг;
• организация и проведение онлайн-уроков, включая видеозапись в целях контроля качества обучения и разрешения спорных ситуаций;
• проведение расчётов за услуги через платёжный сервис;
• направление информационной и рекламной рассылки о новых курсах и акциях — только при наличии отдельного согласия;
• анализ посещаемости и поведения пользователей на сайте (веб-аналитика);
• исполнение требований законодательства РФ.

4. Правовые основания обработки

• п. 1 ч. 1 ст. 6 152-ФЗ — согласие субъекта персональных данных;
• п. 5 ч. 1 ст. 6 152-ФЗ — обработка необходима для исполнения договора, стороной которого является субъект ПДн;
• ст. 9 152-ФЗ — требования к форме и содержанию согласия;
• нормы гражданского законодательства РФ (регулирование договора оферты);
• законодательство о налоге на профессиональный доход — в части взаимодействия с преподавателями-самозанятыми;
• иные применимые нормы [проверить отраслевые требования к образовательным онлайн-услугам, если применимо].

5. Порядок и сроки обработки персональных данных

5.1. Обработка осуществляется с использованием средств автоматизации и без таковых и включает сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу, блокирование, удаление и уничтожение персональных данных.

5.2. Сроки хранения (конкретные значения должны быть закреплены внутренним регламентом Оператора):

• данные по заявке на пробный урок — до [6–12 месяцев] с даты последнего контакта, если договор не заключён;
• данные учеников по заключённым договорам — в течение срока действия договора и [срок, обычно 3 года] после его окончания (для целей учёта и возможных претензий);
• видеозаписи уроков — не более [срок, напр. 3–6 месяцев], далее — удаление, если запись не требуется для разрешения спора;
• cookie / данные Яндекс Метрики — согласно техническим настройкам счётчика [проверить фактический срок жизни cookie в используемом тарифе Метрики].

5.3. По истечении сроков хранения персональные данные подлежат обезличиванию либо уничтожению.

6. Передача персональных данных третьим лицам

Оператор передаёт персональные данные следующим лицам в объёме, необходимом для достижения целей обработки:

• amoCRM ([уточнить наименование разработчика/оператора сервиса]) — для ведения базы заявок и коммуникации с учениками;
• ЮKassa ([уточнить полное юридическое наименование]) — для проведения расчётов;
• хостинг-провайдер [наименование], сервер расположен на территории Российской Федерации;
• преподаватели, зарегистрированные в качестве самозанятых (плательщиков НПД), — получают имя и контактные данные ученика строго в объёме, необходимом для проведения занятий, на основании договора с Оператором, содержащего условие о конфиденциальности;
• государственные органы РФ — по законным основаниям.

Трансграничная передача персональных данных Оператором не осуществляется. В случае изменения состава контрагентов, влекущего трансграничную передачу, Оператор обязуется выполнить требования ст. 12 152-ФЗ, включая уведомление Роскомнадзора до начала передачи [проверить актуальную редакцию и порядок на момент внедрения].

7. Права субъектов персональных данных

Субъект персональных данных вправе:

• получать информацию об обработке своих персональных данных (ст. 14 152-ФЗ);
• требовать уточнения, блокирования или уничтожения персональных данных в случае, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора в Роскомнадзор либо в судебном порядке;
• требовать возмещения убытков и/или компенсации морального вреда в судебном порядке.

Запросы направляются по контактам, указанным в разделе 9.

8. Меры по обеспечению безопасности персональных данных

Оператор принимает правовые, организационные и технические меры, в том числе:

• назначение ответственного за организацию обработки персональных данных;
• ограничение доступа сотрудников и преподавателей к персональным данным по принципу «необходимого минимума»;
• использование средств защиты информации, шифрование каналов передачи данных;
• заключение соглашений о конфиденциальности с сотрудниками и контрагентами, включая преподавателей-самозанятых;
• оценку угроз безопасности персональных данных (модель угроз) и периодический пересмотр мер защиты.

9. Контакты Оператора

ООО «Лингво Плюс»
Адрес: [уточнить]
ИНН/ОГРН: [уточнить]
Ответственный за организацию обработки персональных данных: [ФИО, должность]
E-mail для обращений субъектов ПДн: [уточнить]
Телефон: [уточнить]

---

2. СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

(документ для формы заявки на сайте и для Telegram-бота)

Я, заполняя форму заявки на сайте [домен] / в Telegram-боте [@username], даю ООО «Лингво Плюс» (ОГРН [уточнить], адрес: [уточнить]), далее — Оператор, согласие на обработку моих персональных данных на следующих условиях:

1. Перечень персональных данных, на обработку которых дается согласие: Ф.И.О., номер телефона, адрес электронной почты, а также технические данные (IP-адрес, cookie-файлы), получаемые при использовании Сервисов.

2. Цель обработки: запись на пробный урок, связь с заявителем, заключение и исполнение договора-оферты на образовательные услуги, информирование о статусе заявки, проведение расчётов, веб-аналитика сайта, улучшение качества сервиса.

3. Перечень действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача (предоставление, доступ) указанным в Политике третьим лицам (amoCRM, ЮKassa, хостинг-провайдер, преподаватели-самозанятые — в объёме контактных данных), блокирование, удаление, уничтожение.

4. Срок действия согласия: до достижения целей обработки либо до момента отзыва согласия субъектом персональных данных.

5. Порядок отзыва согласия: путём направления письменного заявления на e-mail [уточнить] или по почтовому адресу Оператора, указанному в Политике.

6. Я ознакомлен(а) с Политикой обработки персональных данных ООО «Лингво Плюс», размещённой по адресу [ссылка].

☐ Согласен(на) на обработку персональных данных на указанных условиях (обязательный чекбокс, без него форма не отправляется)

---

Отдельный блок — согласие на видеозапись урока (показывается при записи на урок/перед первым занятием)

Я согласен(а) с тем, что в ходе онлайн-урока может вестись видеозапись, содержащая моё изображение и голос, в целях контроля качества преподавания и разрешения возможных споров. Срок хранения записи — не более [срок] с момента её создания.

☐ Согласен(на)

---

Отдельный блок — согласие на рекламную рассылку (отдельный чекбокс, НЕ объединённый с основным согласием)

Я согласен(а) получать от ООО «Лингво Плюс» информационные и рекламные сообщения о новых курсах, акциях и специальных предложениях на указанный e-mail и/или номер телефона.

☐ Согласен(на) получать рассылку

---

Блок для несовершеннолетних учеников (если применимо — проверить, с какого возраста ученик вправе давать согласие самостоятельно)

Я, [Ф.И.О. законного представителя], являясь родителем/законным представителем несовершеннолетнего [Ф.И.О. ученика], действуя на основании [свидетельство о рождении / паспорт], даю согласие на обработку персональных данных несовершеннолетнего на условиях, указанных выше.

---

3. ЧЕК-ЛИСТ: ЧТО ЕЩЁ СДЕЛАТЬ КОМПАНИИ

1. Уведомление Роскомнадзора о начале обработки персональных данных / проверка актуальности записи в реестре операторов (ст. 22 152-ФЗ) — если ещё не подавалось или данные о деятельности изменились.
2. Назначение ответственного за организацию обработки ПДн приказом по организации (ст. 18.1 152-ФЗ).
3. Комплект внутренних документов:
4. Положение о порядке обработки и защите персональных данных (внутренний, непубличный документ);
5. перечень обрабатываемых ПДн и информационных систем, в которых они обрабатываются;
6. регламент рассмотрения запросов субъектов ПДн;
7. модель угроз / оценка вреда субъектам ПДн (ст. 18.1 152-ФЗ);
8. приказ о назначении ответственного;
9. журнал учёта обращений субъектов персональных данных;
10. соглашения о конфиденциальности с сотрудниками и договоры с преподавателями-самозанятыми, включающие условие об обработке ПДн строго в целях проведения занятий.
11. Договоры с контрагентами (amoCRM, ЮKassa, хостинг-провайдер) — проверить наличие условий об обработке ПДн по поручению оператора, обязательств по защите и локализации данных.
12. Проверка локализации баз данных (ч. 5 ст. 18 152-ФЗ): убедиться, что amoCRM хранит данные российских пользователей на серверах в РФ (многие облачные CRM используют зарубежные дата-центры — это частая точка риска, нужно отдельно запросить у вендора подтверждение).
13. Cookie-баннер на сайте — информирование до начала сбора данных, с возможностью отказа от необязательных cookie/Яндекс Метрики.
14. Разделение чекбоксов согласия: отдельно — на обработку ПДн для заявки/договора, отдельно — на рекламную рассылку, отдельно — на видеозапись урока (не допускать "одного чекбокса на всё").
15. Процедура получения согласия от законных представителей для несовершеннолетних учеников (если школа работает с детьми).
16. Настройка Telegram-бота: показ текста согласия/ссылки на Политику при первом обращении, фиксация факта согласия (лог/дата).
17. Включение раздела об обработке ПДн в договор-оферту на образовательные услуги.
18. Технические меры защиты: SSL/TLS, разграничение прав доступа в CRM и к записям уроков, резервное копирование, антивирусная защита, журналирование доступа.
19. Регулярный пересмотр Политики и форм согласия при изменениях законодательства (2025 год — особое внимание к новеллам об ответственности за утечки и локализации).
20. Определить ответственного за реагирование на инциденты (утечки) и порядок уведомления Роскомнадзора об инцидентах в установленные законом сроки [проверить актуальные сроки уведомления после изменений 2025 года].

---

4. РИСКИ ПРИ НАРУШЕНИЯХ (без конкретных сумм)

• Административная ответственность по ст. 13.11 КоАП РФ за обработку ПДн без законных оснований/согласия, нарушение требований к хранению, уничтожению, локализации баз данных и т.д. — составы и размеры штрафов для юрлиц менялись, с 2025 года введены в том числе оборотные штрафы за утечки персональных данных [проверить по КоАП РФ].
• Повышенная ответственность за утечки персональных данных — отдельный состав/ужесточение с 2025 года, включая возможную уголовную ответственность должностных лиц за незаконное использование или передачу данных, полученных в результате утечки [проверить по УК РФ].
• Предписания и проверки Роскомнадзора — внеплановая проверка по жалобе ученика/родителя, обязательное устранение нарушений в установленный срок.
• Гражданско-правовые риски: иски учеников или их законных представителей о компенсации морального вреда и возмещении убытков, особенно при утечке видеозаписей уроков с участием несовершеннолетних.
• Риски, связанные с локализацией: при обработке данных граждан РФ вне территории РФ (например, через зарубежное облако CRM) — требования об устранении нарушения вплоть до блокировки доступа к ресурсу.
• Репутационные риски: публичная огласка инцидента, потеря доверия родителей и учеников, отток клиентов онлайн-школы.
• Договорные риски: расторжение договоров с ЮKassa/amoCRM при выявлении нарушений оператором требований о защите данных, предусмотренных договором.
• Риски при работе с преподавателями-самозанятыми: при отсутствии надлежащего договора о конфиденциальности — ответственность Оператора за неправомерную передачу персональных данных третьему лицу.

Отлично, приступаем к разработке документов для ООО «Лингво Плюс».

---

1. Политика обработки персональных данных ООО «Лингво Плюс»

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее – Политика) ООО «Лингво Плюс» (далее – Оператор) определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных с целью защиты прав и свобод человека и гражданина при обработке его персональных данных.
1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – ФЗ-152) и иными нормативно-правовыми актами Российской Федерации в области защиты и обработки персональных данных.
1.3. Действие настоящей Политики распространяется на все персональные данные, обрабатываемые Оператором, как с использованием средств автоматизации, так и без использования таких средств.
1.4. Использование сайта https://[адрес_сайта] (далее – Сайт) и Telegram-бота Оператора означает безоговорочное согласие Пользователя с настоящей Политикой и указанными в ней условиями обработки его персональных данных. В случае несогласия с этими условиями Пользователь должен воздержаться от использования Сайта и Telegram-бота.
1.5. Настоящая Политика является общедоступным документом и подлежит размещению на Сайте Оператора.

2. Категории субъектов персональных данных и перечень обрабатываемых персональных данных

2.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• Потенциальные клиенты (пользователи Сайта и Telegram-бота): лица, оставившие заявку на Сайте или в Telegram-боте.
• Клиенты (ученики): лица, заключившие договор-оферту с Оператором на оказание образовательных услуг.
• Посетители Сайта: лица, использующие Сайт без оставления заявки.

2.2. Перечень обрабатываемых персональных данных:

• Для потенциальных клиентов и клиентов:
• Фамилия, имя, отчество (при наличии);
• Номер телефона;
• Адрес электронной почты (e-mail);
• Данные об оплате (через платежный сервис, Оператор не получает полные данные банковских карт);
• Записи онлайн-уроков (включая видеоизображение и голос ученика).
• Для посетителей Сайта:
• Данные, которые автоматически передаются в процессе использования Сайта с помощью установленного на устройстве пользователя программного обеспечения, в том числе IP-адрес, информация из cookies, информация о браузере пользователя (или иной программе, с помощью которой осуществляется доступ к сервисам), время доступа, адрес запрашиваемой страницы, реферер (адрес предыдущей страницы).

3. Цели обработки персональных данных

3.1. Оператор обрабатывает персональные данные в следующих целях:

• Запись на пробный урок: обеспечение возможности для потенциальных клиентов записаться на пробный урок английского языка.
• Заключение и исполнение договора-оферты: предоставление образовательных услуг, обработка платежей, взаимодействие с клиентами по вопросам обучения.
• Информирование о новых курсах и специальных предложениях: осуществление рассылки информационных и рекламных материалов (при наличии согласия субъекта).
• Аналитика работы Сайта и Telegram-бота: улучшение качества работы Сайта, Telegram-бота и предоставляемых услуг, анализ пользовательской активности, оптимизация рекламных кампаний (с использованием обезличенных данных и агрегированной статистики).
• Исполнение требований законодательства РФ: соблюдение норм законодательства, в том числе в области бухгалтерского и налогового учета.

4. Правовые основания обработки персональных данных

4.1. Правовыми основаниями обработки персональных данных являются:

• Согласие субъекта персональных данных на обработку его персональных данных (ст. 9 ФЗ-152).
• Исполнение договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем (п. 5 ч. 1 ст. 6 ФЗ-152).
• Осуществление прав и законных интересов Оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных (п. 7 ч. 1 ст. 6 ФЗ-152).
• Исполнение Оператором обязанностей, предусмотренных законодательством Российской Федерации (п. 2 ч. 1 ст. 6 ФЗ-152).

5. Порядок и сроки обработки персональных данных

5.1. Обработка персональных данных осуществляется Оператором следующими способами:

• Сбор;
• Запись;
• Систематизация;
• Накопление;
• Хранение;
• Уточнение (обновление, изменение);
• Извлечение;
• Использование;
• Передача (распространение, предоставление, доступ);
• Обезличивание;
• Блокирование;
• Удаление;
• Уничтожение.

5.2. Обработка персональных данных осуществляется как с использованием средств автоматизации, так и без использования таких средств.
5.3. Сроки обработки персональных данных:

• Персональные данные потенциальных клиентов хранятся до момента отзыва согласия на обработку персональных данных или до достижения целей обработки.
• Персональные данные клиентов хранятся в течение срока действия договора-оферты и в течение [проверить по законодательству, например, 5 лет для бухгалтерских документов] лет после его прекращения для целей исполнения требований законодательства РФ.
• Данные, собираемые через cookies и Яндекс Метрику, хранятся в соответствии со сроками, установленными соответствующими сервисами, и могут быть удалены пользователем в настройках браузера.
• По истечении указанных сроков персональные данные уничтожаются или обезличиваются.

6. Передача персональных данных третьим лицам

6.1. Оператор вправе передавать персональные данные субъектов следующим третьим лицам:

• CRM-система amoCRM: для автоматизации процессов взаимодействия с клиентами и потенциальными клиентами (хранение имени, телефона, e-mail).
• Платежный сервис ЮKassa: для обработки платежей за образовательные услуги. Оператор не получает и не хранит полные данные банковских карт.
• Хостинг-провайдер (сервер в России): для хранения данных Сайта и Telegram-бота, включая персональные данные.
• Преподаватели-самозанятые: для целей проведения онлайн-уроков и взаимодействия с учениками (передается имя и контакт ученика – телефон или e-mail).
• Яндекс Метрика: для целей аналитики Сайта (передаются обезличенные данные, информация о cookies, IP-адрес).

6.2. Передача персональных данных третьим лицам осуществляется на основании заключенных с ними договоров, содержащих условия о конфиденциальности и обеспечении безопасности персональных данных, в соответствии с требованиями ФЗ-152.
6.3. Оператор осуществляет трансграничную передачу персональных данных [проверить, если amoCRM или ЮKassa имеют сервера за пределами РФ, то указать, иначе удалить].

7. Права субъектов персональных данных

7.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в соответствии с ч. 7 ст. 14 ФЗ-152, а именно:

• Подтверждение факта обработки персональных данных Оператором;
• Правовые основания и цели обработки персональных данных;
• Применяемые Оператором способы обработки персональных данных;
• Наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
• Обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
• Сроки обработки персональных данных, в том числе сроки их хранения;
• Порядок осуществления субъектом персональных данных прав, предусмотренных ФЗ-152;
• Информацию об осуществленной или о предполагаемой трансграничной передаче персональных данных;
• Наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
• Иные сведения, предусмотренные ФЗ-152 или другими федеральными законами.

7.2. Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
7.3. Субъект персональных данных вправе отозвать свое согласие на обработку персональных данных путем направления соответствующего письменного заявления Оператору. В случае отзыва согласия Оператор прекращает обработку персональных данных и уничтожает их в срок, не превышающий 30 дней с даты поступления отзыва, если иное не предусмотрено договором или законодательством РФ.
7.4. Для реализации своих прав субъект персональных данных может обратиться к Оператору по контактам, указанным в разделе 9 настоящей Политики.

8. Меры по обеспечению безопасности персональных данных

8.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
8.2. К таким мерам, в частности, относятся:

• Назначение ответственного за организацию обработки персональных данных.
• Издание локальных актов по вопросам обработки персональных данных.
• Ознакомление работников Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства РФ о персональных данных, в том числе требованиями к защите персональных данных, локальными актами по вопросам обработки персональных данных.
• Применение правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии со ст. 19 ФЗ-152.
• Осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных ФЗ-152 и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, локальным актам Оператора.
• Оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения ФЗ-152.
• Определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных.
• Применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных.
• Учет машинных носителей персональных данных.
• Обнаружение фактов несанкционированного доступа к персональным данным и принятие мер.
• Восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
• Установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных.
• Контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.

9. Контакты Оператора

9.1. ООО «Лингво Плюс»
9.2. ОГРН: [указать ОГРН]
9.3. ИНН: [указать ИНН]
9.4. Адрес: [указать юридический адрес]
9.5. E-mail: [указать контактный e-mail]
9.6. Телефон: [указать контактный телефон]

---

2. Согласие на обработку персональных данных (для формы на сайте)

Согласие на обработку персональных данных

Настоящим я, [ФИО], свободно, своей волей и в своем интересе даю свое согласие ООО «Лингво Плюс» (ОГРН: [указать ОГРН], ИНН: [указать ИНН], адрес: [указать юридический адрес], далее – Оператор) на обработку моих персональных данных на следующих условиях:

1. Перечень персональных данных, на обработку которых дается согласие:
2. Фамилия, имя, отчество (при наличии);
3. Номер телефона;
4. Адрес электронной почты (e-mail);
5. Данные об оплате (через платежный сервис, Оператор не получает полные данные банковских карт);
6. Записи онлайн-уроков (включая видеоизображение и голос).

1. Цели обработки персональных данных:
2. Запись на пробный урок английского языка;
3. Заключение и исполнение договора-оферты на оказание образовательных услуг;
4. Информирование о новых курсах, специальных предложениях и акциях Оператора (путем рассылки на указанный e-mail и/или телефон);
5. Обеспечение функционирования Сайта и Telegram-бота, улучшение качества предоставляемых услуг.

1. Перечень действий с персональными данными, на совершение которых дается согласие: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Обработка может осуществляться как с использованием средств автоматизации, так и без использования таких средств.

1. Передача персональных данных третьим лицам:

Я согласен(на) на передачу моих персональных данных следующим третьим лицам для достижения указанных целей:

• CRM-система amoCRM;
• Платежный сервис ЮKassa;
• Хостинг-провайдер (сервер в России);
• Преподаватели-самозанятые, сотрудничающие с Оператором (для целей проведения уроков и взаимодействия).

1. Срок действия согласия:

Согласие действует с момента его предоставления и до момента отзыва, либо до достижения целей обработки персональных данных.

1. Порядок отзыва согласия:

Настоящее согласие может быть отозвано мной в любое время путем направления письменного заявления Оператору на электронный адрес [указать контактный e-mail] или по адресу: [указать юридический адрес]. В случае отзыва согласия Оператор прекращает обработку персональных данных и уничтожает их в срок, не превышающий 30 дней с даты поступления отзыва, если иное не предусмотрено договором или законодательством РФ.

1. Ознакомление с Политикой:

Я подтверждаю, что ознакомлен(а) с Политикой обработки персональных данных ООО «Лингво Плюс», размещенной на сайте https://[адрес_сайта], и принимаю ее условия.

[ ] Я согласен(на) на обработку моих персональных данных в соответствии с Политикой обработки персональных данных.
[ ] Я согласен(на) получать информационные и рекламные рассылки от ООО «Лингво Плюс».

Дата: [Автоматически подставляется дата]
IP-адрес: [Автоматически подставляется IP-адрес]

---

3. Чек-лист: что ещё нужно сделать компании

1. Уведомление Роскомнадзора:
2. Подать уведомление об обработке персональных данных в Роскомнадзор до начала обработки. Это обязательное требование для большинства операторов.
3. В случае изменения сведений, указанных в уведомлении, подать информационное письмо в Роскомнадзор.

1. Локализация баз данных:
2. Убедиться, что все базы данных, содержащие персональные данные граждан РФ, физически расположены на территории Российской Федерации. Это касается и данных, хранящихся у хостинг-провайдера, и данных в CRM (если amoCRM или другие сервисы хранят данные за пределами РФ, это будет нарушением).

1. Cookie-баннер:
2. Разместить на сайте баннер или всплывающее окно, информирующее пользователей об использовании файлов cookie и других технологий отслеживания (Яндекс Метрика).
3. Предоставить пользователям возможность принять или отклонить использование cookie, особенно тех, которые не являются строго необходимыми для функционирования сайта.

1. Внутренние документы:
2. Приказ о назначении ответственного за организацию обработки персональных данных: Должностное лицо, ответственное за контроль соблюдения требований ФЗ-152.
3. Приказ об утверждении Политики обработки персональных данных.
4. Положение о порядке обработки персональных данных: Более детализированный внутренний документ, описывающий процессы обработки, доступа, хранения, уничтожения ПДн для сотрудников.
5. Инструкции для сотрудников, имеющих доступ к ПДн: Обязанности, правила работы с ПДн, меры безопасности.
6. Обязательства о неразглашении персональных данных: Для всех сотрудников, имеющих доступ к ПДн.
7. Соглашения о конфиденциальности (NDA) или соответствующие пункты в договорах с третьими лицами: С amoCRM, ЮKassa, хостинг-провайдером, преподавателями-самозанятыми. Эти соглашения должны содержать поручение на обработку персональных данных и требования по обеспечению их безопасности.
8. Акты уничтожения персональных данных: Документирование фактов уничтожения ПДн по истечении срока хранения или по требованию субъекта.
9. Модель угроз безопасности персональных данных и Акт определения уровня защищенности: Для информационных систем персональных данных.

1. Назначение ответственного:
2. Официально назначить ответственного за организацию обработки персональных данных приказом по организации.

1. Обучение сотрудников:
2. Провести обучение сотрудников, имеющих доступ к персональным данным, по вопросам соблюдения требований ФЗ-152 и внутренних регламентов.

1. Регулярный аудит:
2. Периодически проводить внутренний аудит процессов обработки персональных данных на соответствие законодательству и внутренним документам.

---

4. Чем рискует компания при нарушениях (без сумм штрафов)

Нарушение законодательства Российской Федерации в области персональных данных может повлечь за собой серьезные последствия для ООО «Лингво Плюс», включая:

1. Административная ответственность:
2. Невыполнение требований по защите персональных данных: Например, отсутствие необходимых мер защиты, несоблюдение требований к локализации баз данных. [проверить по КоАП РФ]
3. Обработка персональных данных без согласия субъекта или с нарушением требований к согласию: Например, отсутствие согласия, согласие не соответствует требованиям (неконкретное, неинформированное, нецелевое). [проверить по КоАП РФ]
4. Невыполнение требований об уничтожении персональных данных: Например, несвоевременное уничтожение данных по истечении срока обработки или по требованию субъекта. [проверить по КоАП РФ]
5. Непредоставление информации субъекту персональных данных: Отказ в предоставлении информации о его данных или нарушение сроков предоставления. [проверить по КоАП РФ]
6. Невыполнение требований Роскомнадзора: Например, непредставление уведомления или отчетов, невыполнение предписаний. [проверить по КоАП РФ]
7. Повторные нарушения: За повторные нарушения предусмотрены значительно более высокие штрафы. [проверить по КоАП РФ]

1. Гражданско-правовая ответственность:
2. Возмещение морального вреда и убытков: Субъект персональных данных вправе требовать возмещения морального вреда и убытков, причиненных незаконной обработкой его данных.

1. Уголовная ответственность:
2. В случае серьезных нарушений, повлекших за собой тяжкие последствия (например, незаконный сбор или распространение сведений о частной жизни лица без его согласия, если это причинило вред правам и законным интересам граждан), должностные лица компании могут быть привлечены к уголовной ответственности. [проверить по УК РФ]

1. Репутационные риски:
2. Нарушения в области защиты персональных данных могут привести к значительному ущербу деловой репутации компании, потере доверия клиентов и партнеров, что в свою очередь может негативно сказаться на бизнесе.

1. Блокировка ресурсов:
2. По решению суда или Роскомнадзора может быть осуществлена блокировка сайта или Telegram-бота компании до устранения нарушений.

1. Приостановление деятельности:
2. В некоторых случаях, при грубых или систематических нарушениях, деятельность компании может быть приостановлена на определенный срок.

Важно: Суммы штрафов за нарушения законодательства о персональных данных постоянно пересматриваются и увеличиваются. Необходимо регулярно сверяться с актуальной редакцией КоАП РФ для получения точной информации о размерах штрафов.