Персональные данные

Короткая формулировка, из которой всё следует: оператор персональных данных ваших покупателей — вы. КАПЭ обрабатывает их по вашему поручению. Отвечать перед покупателем и перед Роскомнадзором будете вы, и переложить это на платформу договором нельзя.

Что сделать до запуска сайта

Подать уведомление в Роскомнадзор

Обязанность каждого, кто ведёт базу контактов, — даже если это одна форма заявки. Подаётся один раз, до начала обработки, через портал персональных данных. Штраф за неподанное уведомление — до 300 000 ₽ для юридического лица.

Что пригодится при заполнении: базы данных и файловое хранилище КАПЭ находятся на территории России, трансграничная передача не осуществляется.

Об изменениях — новый обработчик, новая цель, смена адреса — уведомляют в течение 15 рабочих дней.

Заполнить реквизиты

Раздел «Оплата» → «Реквизиты». Нужны полное наименование, ИНН, ОГРН, адрес, телефон и почта для обращений по персональным данным.

Это не только про счёт. Из этих же полей собирается политика на сайте посёлка: политика обязана называть оператора. Пока реквизиты не заполнены, политика на сайте не показывается вовсе — ни текстом, ни ссылкой в подвале. Так сделано намеренно: документ, не называющий оператора, хуже отсутствующего, потому что создаёт впечатление, будто всё в порядке.

Выбрать политику

«Домен и SEO» → «Политика конфиденциальности». Два варианта:

• типовой текст — подставляется с вашими реквизитами. Он описывает то, что происходит на стороне сайта: формы, счётчик, передачу нам как обработчику. Ваши собственные процессы — что вы делаете с контактом после звонка, кому ещё передаёте, сколько храните — он не знает. Прочитайте и сверьте;
• своя ссылка — если политика у вас уже есть и утверждена.

Утвердить внутренние документы

Публичная политика — не единственное, что спросят на проверке. Нужны приказ о назначении ответственного за обработку, положение об обработке, перечень допущенных лиц, порядок ответа на обращения, акт оценки вреда.

Согласия покупателей

В форме на сайте два флажка, и это разные вещи.

Согласие на обработку данных — обязательное, без него форма не отправляется. Не отмечено заранее: галочка, проставленная за человека, согласием не является.

Согласие на рекламу — отдельное и необязательное. Обусловливать ответ на обращение согласием на рассылку запрещено: человек оставил заявку по конкретному участку и вправе получить ответ, ни на что не подписываясь.

Когда нужно второе согласие

• Перезвонить по оставленной заявке и ответить на вопрос — можно и без него.
• Позвонить с предложением другого объекта, акцией, «мы снизили цену» — это уже реклама, нужен второй флажок.
• Купленные и арендованные базы контактов — прямой путь к штрафу: доказать согласие по ним невозможно.

С 1 сентября 2025 года доказывать наличие согласия обязаны вы, а не проверяющий. Штраф за рекламу без согласия — до 500 000 ₽, и считается он по каждому получателю.

Что хранит КАПЭ

По каждой заявке из формы сохраняются дата и время отправки, IP-адрес, страница, отмеченные флажки и редакция текста согласия. Это и есть доказательство: сама отметка ничего не подтверждает, подтверждает запись о ней.

Если покупатель отказался

Откройте карточку покупателя в разделе «Покупатели» и отметьте «Отказался от рекламных сообщений». Дата проставится автоматически, и по этому человеку рассылки и звонки с предложениями прекращаются. Ответить на его текущее обращение по-прежнему можно.

Обращения покупателей

Покупатель вправе узнать, что вы о нём знаете, потребовать исправить или удалить данные, отозвать согласие.

• Ответ — 10 рабочих дней, продление не более чем на 5 рабочих дней.
• После отзыва согласия обработка прекращается, данные уничтожаются в срок не более 30 дней.
• Если обращение придёт в поддержку КАПЭ, мы передадим его вам и ответим заявителю, что оператор — вы. Отвечать по существу за вас мы не вправе.

Чего нельзя вносить в КАПЭ

• Данные о здоровье, судимости, политических и религиозных взглядах.
• Биометрию: фотографии для идентификации, сканы лица, отпечатки.
• Сканы паспортов в общедоступных полях.
• Персональные данные в описаниях объектов и маркетинговых текстах: эти поля уходят во внешние сервисы подготовки текстов, там персональным данным не место.

Если произошла утечка

Сроки считаются в часах.

1. 24 часа с момента, когда узнали, — уведомление в Роскомнадзор: что произошло, какие данные и сколько людей затронуто, предполагаемая причина, принятые меры.
2. 72 часа с момента инцидента — второе уведомление с результатами внутреннего расследования.
3. Пропуск срока — отдельное нарушение, до 3 000 000 ₽. Повторная утечка — оборотный штраф от 1 % до 3 % годовой выручки.

Если инцидент случился на нашей стороне, мы уведомим вас в течение 12 часов — так, чтобы вы успели в свои 24. Уведомляет Роскомнадзор оператор, то есть вы: сделать это за вас мы не вправе.

Утечкой считается и то, что случилось внутри компании: выгрузка базы уволенным менеджером, переписка с контактами покупателей в личном мессенджере, скриншот таблицы в открытом чате.

Сроки хранения

Хранить контакты «на всякий случай» бессрочно — нарушение. Определите срок, запишите его в политику и удаляйте.