Проверка сайта по 152-ФЗ

Что смотрим на сайте

• Хостинг и геолокация

  Где физически расположен сервер. По ч.5 ст.18 152-ФЗ оператор обрабатывает данные граждан РФ на серверах в РФ.

• SSL / TLS

  Издатель сертификата, дни до истечения, версия TLS. Просроченный сертификат создаёт риск компрометации данных.

• Security Headers

  HSTS, CSP, X-Frame-Options, Permissions-Policy. Оценка A–F. Защита от XSS, clickjacking, утечки рефереров.

• Политика обработки персональных данных

  Скачиваем файл в PDF или HTML и читаем содержание: реквизиты оператора, цели, правовые основания, права субъекта, сроки хранения, трекеры, трансграничную передачу, контакты.

• Согласия субъектов в формах

  Каждую форму разбираем отдельно: чекбокс, активная фраза («нажимая…»), содержание согласия на обработку.

• Формы приёма персональных данных

  Распознаём явные формы, попапы по триггер-кнопкам, виджеты, iframe, интеграцию с CRM (Bitrix24, amoCRM, YClients).

• 75 сторонних сервисов

  Аналитика, реклама, чаты, CDN, шрифты, видео, карты, капча, платежи. С метаданными: страна, риск, ТГП.

• Cookies

  Реальный список cookies с типами (1st/3rd-party, session/persistent, HttpOnly, Secure, SameSite).

• Cookie и трекеры в политике

  Определяем аналитические и рекламные cookie и трекеры, проверяем, раскрыл ли их оператор в политике как получателей персональных данных (третьи лица, ч.7 ст.18.1 152-ФЗ).

• WHOIS / домен

  Регистратор, страна, возраст домена, дата окончания регистрации, NS-серверы.

• Маркетинговые рассылки

  Подписки требуют отдельного согласия по 38-ФЗ. Штраф до 1 млн ₽ за рассылку без согласия.

• Трансграничная передача

  При использовании иностранных сервисов (Google Analytics, Stripe, Hotjar и других) оператор подаёт уведомление в Роскомнадзор по ч.3 ст.12 152-ФЗ.

• Персональные данные работников и третьих лиц

  Карточки «ФИО + личный мобильный + фото» на страницах «Команда» и «Контакты». Публиковать их оператор вправе только при согласии субъекта на распространение (ст. 10.1 152-ФЗ, ст. 152.1 ГК).

• Отзывы и кейсы с ФИО

  Блоки отзывов и клиентских историй с реальными именами, фотографиями и должностями. Для публикации оператор берёт согласие субъекта на распространение.

• Вебвизор и запись форм

  Яндекс.Вебвизор записывает ввод в формы, включая персональные данные. Оператор маскирует поля и фиксирует правовое основание. Отдельный сигнал риска.

• Внешние формы приёма данных

  Формы через Google Forms, Я.Формы, Typeform, Tilda. Персональные данные уходят стороннему сервису: нужно поручение на обработку (ч. 3 ст. 6 152-ФЗ), а для иностранных сервисов ещё и уведомление Роскомнадзора о трансграничной передаче до её начала (ч. 3 ст. 12 152-ФЗ).

• Коммерческие веб-шрифты

  Определяем платные фирменные шрифты по каталогу. Наличие лицензии по сайту установить нельзя, поэтому даём сигнал «проверьте лицензионные документы», а не вердикт.