Какие пункты включить в пользовательское соглашение и нужно ли отчитываться за собранные контакты?

Здравствуйте!

1. Что разместить на сайте

Для сайта с формами заявок, звонков, обратной связи и рекламой лучше разделить документы. Пользовательское соглашение не заменяет документы по персональным данным и рекламе.

На сайте желательно иметь.

1. Пользовательское соглашение. В нем укажите владельца сайта, статус пользователя, порядок использования сайта, запрет неправомерного использования материалов, условия направления заявок, порядок связи, ограничения ответственности, порядок изменения соглашения, применимое право и контакты владельца сайта.

2. Политику обработки персональных данных. По ч. 2 ст. 18.1 Закона № 152-ФЗ оператор обязан «опубликовать или иным образом обеспечить неограниченный доступ» к документу, определяющему политику обработки персональных данных. Это отдельный документ, а не просто пункт в соглашении.

3. Согласие на обработку персональных данных под каждой формой. По ч. 1 ст. 9 Закона № 152-ФЗ согласие должно быть «конкретным, предметным, информированным, сознательным и однозначным». Поэтому лучше не делать одну общую галочку на все цели. Отдельно укажите цель обработки, состав данных, действия с данными, срок согласия, порядок отзыва, передачу Яндексу или иным сервисам, если данные туда передаются.

4. Отдельное согласие на получение рекламы. Для звонков, email, SMS и мессенджеров с предложениями и акциями действует ст. 18 Закона № 38-ФЗ. Цитата нормы: «Распространение рекламы по сетям электросвязи ... допускается только при условии предварительного согласия абонента или адресата на получение рекламы». Там же указано, что реклама считается распространенной без согласия, если рекламораспространитель не докажет получение согласия.

5. Согласие или настройки по cookies, Яндекс Метрике и ретаргетингу. Если cookies, пиксели, Метрика или иные идентификаторы позволяют прямо или косвенно идентифицировать пользователя, их нужно описать в политике и получать согласие на соответствующую обработку.

6. Реквизиты и сведения о рекламодателе. Если запускается Яндекс Директ, в кабинете нужно корректно указать данные рекламодателя, поскольку Яндекс указывает, что рекламодатель должен внести сведения о себе, а Яндекс как ОРД выдает токен и добавляет пометку «Реклама» при размещении в Директе.

2. Нужно ли подавать отчеты о собранных контактах

Именно регулярные отчеты о собранных контактах с сайта в Роскомнадзор не сдаются. Но есть другая обязанность. При сборе телефонов, email, имен и иных контактов через сайт вы становитесь оператором персональных данных, и до начала обработки нужно подать уведомление в Роскомнадзор, если не применяется исключение. Роскомнадзор разъясняет, что операторы должны уведомлять о начале или осуществлении любой обработки персональных данных, кроме случаев ч. 2 ст. 22 Закона № 152-ФЗ, включая обработку исключительно без средств автоматизации. Для сайта с формами заявок исключение про обработку без автоматизации, как правило, не подходит, поскольку данные собираются через информационную систему.

3. Сценарий 1. Контакты используются только для продаж по телефону

Если человек оставил телефон для обратного звонка, консультации, оформления заказа или заявки, вы можете звонить в рамках этой цели при наличии согласия на обработку персональных данных и понятной формулировки цели. В согласии лучше писать не общее «маркетинг», а конкретно, например «обработка заявки, обратная связь, консультация, подготовка предложения по запросу пользователя».

Если звонок выходит за пределы заявки и превращается в рекламный обзвон с акциями, новыми предложениями или повторными продажами, нужно отдельное предварительное согласие на получение рекламы по ст. 18 Закона о рекламе. Доказательство такого согласия должно храниться у вас.

4. Сценарий 2. Рассылка по почте или в мессенджере информации, предложений и акций

Для email, мессенджеров и SMS с предложениями, скидками, акциями и информацией о компании лучше оформлять отдельную галочку. Текст согласия должен прямо разрешать получение рекламных и информационных сообщений по конкретным каналам связи.

Минимальная формулировка цели может быть такой.

«Даю согласие на получение рекламных и информационных сообщений о товарах, услугах, акциях и специальных предложениях по адресу электронной почты, номеру телефона и в мессенджерах. Согласие может быть отозвано путем направления обращения по указанным на сайте контактам».

Также нужен простой отказ от рассылки. Если адресат потребовал прекратить рекламу, рассылку нужно прекратить, иначе возникает риск ответственности по Закону о рекламе.

5. Сценарий 3. Контакты используются для таргетированной рекламы

Использование телефонов или email для создания аудиторий или загрузки списков в рекламный кабинет является отдельной целью обработки персональных данных. Это нужно прямо указать в согласии и политике. Если контакты передаются Яндексу или иному рекламному сервису, в документах нужно указать такую передачу или поручение обработки.

По ч. 3 ст. 6 Закона № 152-ФЗ оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта, если иное не предусмотрено законом. Поэтому в согласии лучше прямо указать, что данные могут передаваться рекламным и аналитическим сервисам для настройки, показа и оценки эффективности рекламы.

Отдельное согласие на персональные данные, разрешенные для распространения по ст. 10.1 Закона № 152-ФЗ обычно не требуется, если вы не публикуете контакты и не открываете их неограниченному кругу лиц. Эта норма нужна именно для персональных данных, разрешенных субъектом для распространения, и такое согласие оформляется отдельно.

6. Маркировка рекламы и Яндекс

Токен, который присваивает Яндекс, закрывает только часть обязанности по маркировке интернет-рекламы. Ст. 18.1 Закона о рекламе требует, чтобы интернет-реклама имела идентификатор, присвоенный оператором рекламных данных. Цитата нормы: распространение рекламы в интернете допускается при условии присвоения оператором рекламных данных соответствующей рекламе идентификатора рекламы.

Роскомнадзор разъясняет, что сведения об интернет-рекламе передаются через ОРД в ЕРИР, а до размещения нужно передавать сведения о контрагентах, договоре и образец рекламы, после размещения статистику и сведения об исполнении договора. Срок по общему правилу составляет 30 календарных дней после окончания месяца распространения рекламы.

Если вы сами запускаете рекламу в Яндекс Директе, Яндекс указывает, что нужно заполнить данные рекламодателя, а остальное Яндекс делает через ОРД. Но это не означает, что рекламодатель полностью свободен от контроля. Нужно проверить, что данные рекламодателя заполнены верно, объявление имеет пометку «Реклама», токен присвоен, объект рекламирования описан корректно, а сведения видны в ЕРИР. Яндекс также указывает, что все участники рекламной цепочки отвечают за передачу данных в ЕРИР.

7. Практический комплект перед запуском

Перед запуском Яндекс рекламы и сбора заявок я бы подготовил такой комплект.

1. Пользовательское соглашение.

2. Политику обработки персональных данных.

3. Согласие на обработку персональных данных под каждой формой.

4. Отдельное согласие на рекламные рассылки и звонки.

5. Cookie уведомление и описание Метрики, пикселей, ретаргетинга.

6. Уведомление в Роскомнадзор о начале обработки персональных данных.

7. Договор или оферту с Яндексом, корректно заполненную анкету рекламодателя.

8. Внутренний учет согласий. Дата, время, IP, форма, текст согласия, версия политики.

9. Механизм отзыва согласия и отписки от рекламы.

10. Проверку ЕРИР после запуска рекламы.

8. Вывод

Отчеты именно о собранных контактах сдавать не нужно, но уведомление в Роскомнадзор по персональным данным, как правило, нужно. Для продаж по заявке достаточно согласия на обработку персональных данных под соответствующую цель. Для рассылок, мессенджеров, рекламных звонков и таргетированной рекламы по базе контактов нужно отдельное согласие на рекламу и отдельная цель обработки персональных данных. Маркировку и передачу сведений по рекламе через ОРД во многом технически закрывает Яндекс, но рекламодатель должен корректно заполнить данные, проверить токен, пометку «Реклама» и отражение сведений в ЕРИР.

Здравствуйте.

1. Какие важные моменты должны содержаться в пользовательском соглашении на сайте?

Пользовательское соглашение (оферта) должно соответствовать требованиям Гражданского кодекса РФ (ст. 435, 438) и Федерального закона «Об информации, информационных технологиях и о защите информации» № 149-ФЗ. Обязательные пункты:

Предмет соглашения: четко укажите, что вы предоставляете доступ к сайту (информационным материалам, функционалу) или продаете товары/услуги. Пример: «Настоящее соглашение регулирует отношения между Владельцем сайта и Пользователем по использованию сервисов Сайта».

Порядок акцепта: опишите, что регистрация, оплата или проставление галочки является полным и безоговорочным принятием условий (ст. 438 ГК РФ).

Политика обработки персональных данных: отдельный документ или раздел, где указано, какие данные собираются (ФИО, телефон, email), цели сбора (например, «для исполнения договора» согласно ст. 6 ФЗ-152), сроки хранения и право на отзыв согласия.

Права и обязанности сторон: обязанность пользователя предоставлять достоверные данные, ваша обязанность не передавать данные третьим лицам (кроме случаев, предусмотренных законом).

Ответственность и ограничения: ограничение ответственности за перерывы в работе сайта (ст. 401 ГК РФ), за убытки от действий третьих лиц.

Реквизиты и контакты: указать полное наименование ИП/ООО, ИНН, адрес электронной почты, юрадрес (обязательно по ст. 10 Закона о защите прав потребителей, если есть продажи).

Срок действия и порядок изменения: оставляете за собой право менять соглашение, уведомляя пользователей (например, за 10 дней до вступления изменений) — ст. 310 ГК РФ.

Важно: на сайте должны быть ссылки на соглашение и политику обработки персональных данных перед любой формой сбора контактов (п. 2 ст. 18 ФЗ-152 «О персональных данных»). Иначе согласие может быть признано неполученным.

2. Должен ли я сдавать какие-то отчёты о собранных контактах с сайта?

Законодательство РФ (ФЗ-152 «О персональных данных») не требует сдавать регулярные отчёты о собранных контактах как таковые. Однако есть обязательное уведомление до начала сбора — подача уведомления в Роскомнадзор о намерении обрабатывать персональные данные (ст. 22 ФЗ-152). Если вы его не подали, вас могут оштрафовать (ст. 13.11 КоАП РФ — до 75 000 руб. на ИП/юрлицо).

Дополнительно: если вы используете контакты для рассылок или таргета, необходимо получать отдельное согласие на каждый способ обработки (реклама, информирование). Отчётность по рассылкам — это выполнение требований ФЗ-38 «О рекламе» (ст. 18) и правил мессенджеров (разовые уведомления о рассылке в антиспам-системы не требуются, но отправка без согласия — штраф до 500 000 руб. по КоАП РФ).

1. Только продажи по телефону (звонки).

Уведомление в РКН подать обязательно до начала сбора (если не исключение — например, если вы обрабатываете данные только для исполнения договора и не передаете их третьим лицам, уведомление не нужно, но лучше подать для подстраховки). Отчёты (отдельные) не сдаются. Но нужно сохранять записи согласий (галочку на сайте) и журналы звонков — по запросу Роскомнадзора вы обязаны предоставить информацию (ст. 23 ФЗ-152).

2. Рассылка по email/мессенджеру (информация, предложения, акции).

Обязательно отдельное согласие на получение рекламных рассылок (ст. 18 Закона о рекламе). Без этого — штраф. Сдавать «отчёты» не нужно, но вы должны вести реестр согласий (кто, когда, на что согласился) и предоставлять его по требованию РКН. Если используете email-сервис (например, Mailchimp), соблюдайте их правила — это уже не ваша отчётность, а техническая.

3. Таргетированная реклама с настройкой на контакты (хотя маркировку ставит Яндекс).

Ситуация сложнее. Вы передаете контакты Яндексу (загрузка базы в рекламный кабинет) — это передача персональных данных третьему лицу (ст. 6, 7 ФЗ-152). Требуется:

Отдельное согласие пользователя на такую передачу (в явной форме: «Я соглашаюсь на передачу моих данных ООО “Яндекс” для показа рекламы»).

Маркировка рекламы (Яндекс ее делает) — это обязанность Яндекса, но ваша ответственность — внести в рекламный кабинет данные о себе (ИНН, номер договора и т.п.) — в соответствии с ФЗ-38 (ст. 18.1). От вас не требуется отдельный отчёт, но вы обязаны хранить информацию о рекламных кампаниях (кто, когда, с какими данными) 30 дней и предоставлять по требованию Роскомнадзора или ФАС.

Итог по отчётности:

Формальную отчётность (сдавать куда-то раз в месяц) — НЕТ.

Обязанность — Уведомление в РКН (одноразово) и хранение документов (согласий, логов, рекламных настроек) для возможных проверок.

С уважением Светлана Б

Здравствуйте!

Давайте разберем Ваш вопрос более предметно ниже.

1. Что включить в пользовательское соглашение

Пользовательное соглашение может быть гибким, но в нём следует прописать основные моменты, чтобы закрыть требования закона (в первую очередь 152-ФЗ «О персональных данных»).

Кто оператор. Укажите наименование компании, ИНН, адрес, контакты для связи.

Какие данные собираете. Перечислите конкретно: ФИО, email, телефон, IP-адрес, данные из форм обратной связи, cookie-файлы (если используете аналитику).

Цели обработки. Для каждой категории данных пропишите цель: обработка заявки, связь по заказу, улучшение сервиса, маркетинговые коммуникации (рассылки, обзвон).

Правовое основание. Укажите, на каком основании Вы обрабатываете данные. Например, может быть согласие пользователя (п. 1 ч. 1 ст. 6 152-ФЗ) либо иное основание из ст. 6 (например, исполнение договора, если данные нужны для его реализации п. 5 ч. 1 ст. 6).

Передача данных третьим лицам. Если передаёте контакты CRM, сервису рассылок или подрядчику для обзвона, пропишите это. Укажите, какие именно данные и для каких целей передаются.

Сроки хранения. Напишите, как долго Вы храните собранные данные и при каких условиях их удаляете.

Права пользователя. Точно пропишите право на доступ к данным, их исправление, удаление (отзыв согласия) и порядок реализации этого права (например, направить запрос на email).

Меры защиты. Кратко опишите, какие технические и организационные меры вы применяете для безопасности данных (SSL-сертификат, ограничение доступа).

Порядок изменения документа. Укажите, как и когда Вы можете внести правки в соглашение, и как пользователь будет об этом уведомлен.

Рядом с каждой формой сбора данных (чекбокс, кнопка) должна быть ссылка на это соглашение и явное указание, что заполнение формы означает согласие с условиями.

При этом чекбокс не должен быть предзаполнен, пользователь должен сам поставить галочку.

Отдельно рекомендую вынести в отдельный документ или сделать в соглашении чёткий раздел, Политику обработки персональных данных это требование ст. 18.1 152-ФЗ.

2. Нужно ли отчитываться за собранные контакты?

Здесь всё ответ зависит от того, как именно Вы используете данные, и от роли в цепочке рекламы.

Используете только для продаж по телефону. Сами по себе контакты отчитываться не требуют. Для законного обзвона нужно отдельное предварительное согласие абонента на получение рекламы (ч. 1 ст. 18 Закона «О рекламе» № 38-ФЗ). Без него звонки могут признать спамом, это риск штрафа по ст. 14.3 КоАП РФ.

Рассылаете по почте или в мессенджере. Аналогично: требуется отдельное согласие на получение информационных и рекламных материалов. Просто собрать контакты недостаточно, необходимо явное волеизъявление на рассылку.

Настраиваете таргетированную рекламу. Здесь основной момент: сами контакты как база для отчёта не сдаются. Отчётность в рамках маркировки рекламы касается рекламной кампании: вы передаёте в ОРД (оператор рекламных данных) статистику показов, кликов, расходов, данные о договоре и участниках цепочки. Токен (который действительно может сгенерировать Яндекс), это идентификатор конкретного креатива, а не отчёт по базе контактов.

Таким образом, в первых двух случаях необходимо согласие пользователя на конкретный вид обработки (обзвон, рассылка). В третьем случае на отчётности по рекламной активности в ОРД, а не по самой базе контактов.

Рекомендую периодически сверять документы с актуальной практикой Роскомнадзора и ФАС, требования иногда изменяться.

Правовое обоснование: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ст. 6, 18, 18.1, 19), Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе» (ст. 18, 18.1), ст. 14.3 КоАП РФ

Здравствуйте!

В рассматриваемом случае сама Политика обработки персональных данных (ПДн) с описанием целей сбора: для обратной связи, продаж, маркетинга, аналитики.- Согласие на обработку ПДн (чекбокс, отдельное действие).

- Согласие на получение рекламных материалов (для рассылок и таргета).- Согласие на передачу ПДн третьим лицам (в частности, Яндексу для таргетированной рекламы).- Перечень обрабатываемых данных, сроки хранения, порядок отзыва согласия.

В этой связи по общему правилу, до начала обработки ПДн оператор обязан уведомить Роскомнадзор (ст. 22 152-ФЗ). Исключения:- данные обрабатываются без использования средств автоматизации;- данные относятся к субъекту по одному договору;- данные общедоступны и т.д.

В вашем случае сбор контактов через сайт — автоматизированная обработка, исключение не применимо, поэтому уведомлять нужно.

И продажи по телефону требуется согласие на обработку ПДн для звонков. Уведомление РКН — обязательно. А поэтому уведомление РКН — обязательно, также следует отразить в уведомлении передачу данных.Если вы его не подали, вас могут оштрафовать (ст. 13.11 КоАП РФ — до 75 000 руб. на ИП/юрлицо).

Таким образом включите в пользовательское соглашение все необходимые пункты, в том числе согласия на обработку и передачу и уведомите Роскомнадзор о начале обработки ПДн (можно онлайн через портал). Для каждого сценария обеспечьте соответствующее согласие и соблюдайте требования 152-ФЗ.

Всего доброго!

Здравствуйте! Для запуска рекламы в Яндексе ваш сайт должен полностью соответствовать законам РФ «О персональных данных» (№ 152-ФЗ) и «О рекламе» (№ 38-ФЗ). Наличие правильных документов защитит вас от штрафов Роскомнадзора и ФАС (до 700 000 рублей). Ниже приведены требования к документам и правила отчетности для всех трех ваших сценариев.

1. Что должно содержаться в Пользовательском соглашении и Политике конфиденциальности. На сайте обязательно должны быть два разных документа (или один совмещенный):

Политику конфиденциальности (требует ст. 18.1 ФЗ № 152) и Пользовательское соглашение (правила работы с сайтом).В них необходимо четко прописать:

Данные владельца сайта: Полное наименование компании (ООО) или ФИО индивидуального предпринимателя (ИП), ИНН, ОГРН/ОГРНИП, юридический и почтовый адреса.

Цели сбора данных: Вы должны прямо указать, зачем берете контакты (например: «для обработки онлайн-заказов», «для информирования об акциях и скидках», «для настройки таргетированной рекламы»).

Перечень собираемых данных: Точный список (имя, номер телефона, email, куки-файлы (cookies), IP-адрес, данные о браузере) .Порядок обработки и хранения: Где и сколько хранятся данные (базы данных обязательно должны находиться на территории РФ).Передача третьим лицам: Вы обязаны прописать, что передаете данные рекламным системам (Яндексу) для показа рекламы.

Порядок отзыва согласия: Инструкция для пользователя, как он может удалить свои данные из вашей базы (например, написав на ваш email).Важно: Возле каждой формы сбора контактов (кнопки «Отправить», «Заказать», «Подписаться») должна стоять галочка (чек-боксы не должны быть предзаполнены): «Я даю согласие на обработку персональных данных и соглашаюсь с Политикой конфиденциальности».

2. Отчетность по собранным контактам в трех сценариях. Сбор контактов на сайте — это обработка персональных данных. По закону вы обязаны подать Уведомление об обработке персональных данных в Роскомнадзор до начала сбора (через Госуслуги или сайт РКН). Это делается один раз.

Что касается оперативной отчетности в Роскомнадзор (через ЕРИР) и ФАС по каждому вашему случаю:

Случай 1: Контакты используются только для продаж по телефону. Нужно ли сдавать отчеты по рекламе? Нет. Прямые звонки менеджера конкретному клиенту не являются интернет-рекламой. Маркировать и отчитываться в ЕРИР за это не нужно.

Главное условие: В форме сбора данных должно быть согласие на обработку ПД. При самом звонке клиент имеет право в любой момент запретить вам звонить — вы будете обязаны удалить его номер из базы обзвона.

Случай 2: Рассылка по email или в мессенджеры (акции, предложения). Нужно ли сдавать отчеты по рекламе? Нет. Email-рассылки, push-уведомления и сообщения в мессенджерах (Telegram, WhatsApp) по собственной базе клиентов выведены из-под закона о маркировке интернет-рекламы. Отчеты в ЕРИР сдавать не нужно.

Главное условие: Вы обязаны иметь отдельное согласие на получение рекламы (ст. 18 ФЗ «О рекламе»). Нельзя объединять согласие на обработку ПД и согласие на рекламу в одну галочку. Сделайте второй чек-бокс: «Я согласен на получение информационных и рекламных рассылок». Спам без согласия наказывается штрафом ФАС.

Случай 3: Настройка таргетированной рекламы в Яндексе по этой базе (Look-alike, Ретаргетинг). Нужно ли сдавать отчеты по рекламе? Да, но процесс автоматизирован. Загрузка базы телефонов/email в Яндекс. Директ для показа рекламы подпадает под закон о маркировке.

Как это работает: Так как токен присваивает сам Яндекс (через свой ОРД — Оператора рекламных данных), вам не нужно вручную размечать объявления. Однако вы обязаны передать Яндексу свои актуальные юридические данные.

Ваши действия для отчетности: В кабинете Яндекс. Директа полностью заполните раздел «Настройки пользователя» -> «Данные рекламодателя» (ИНН, название организации или ИП).Примите оферту Яндекса, в которой прописано, что Яндекс.

ОРД автоматически передает данные о ваших открученных объявлениях в ЕРИР (Единый реестр интернет-рекламы). Ежемесячно Яндекс будет формировать акты. Обязательно проверяйте в кабинете Директа, чтобы эти акты уходили в ОРД (Яндекс делает это сам, если ваши реквизиты заполнены верно).

Здравствуйте!

Разберу оба вопроса по порядку — так будет проще не запутаться.

1. Что прописать в пользовательском соглашении

Единой формы нет, но есть ключевые блоки, которые стоит включить, чтобы закрыть юридические риски и требования законов. Я подобрал главное:

Общие положения. Укажите название компании, правовой статус (ООО, ИП), определите термины («сайт», «пользователь», «акцепт»). Чётко пропишите, как пользователь принимает соглашение: например, регистрация, создание аккаунта или даже просто продолжение работы с сайтом.

Предмет соглашения. Кратко обозначьте, что регулирует документ — предоставление доступа к сайту, его функциям.

Права и обязанности. Разделите на две части: что вправе и обязан делать владелец сайта, и что — пользователь.

Цели сбора и обработки персональных данных. Это критически важно. Перечислите, какие данные вы собираете (имя, email, телефон), и для каких конкретных целей: обработка заявок, связь с клиентом, отправка новостей (если есть согласие), аналитика. Ссылка на политику обработки персональных данных тоже будет плюсом.

Порядок работы с данными. Пропишите, как вы обеспечиваете безопасность собранных сведений, кому можете их передать (например, подрядчикам для обработки), и как пользователь может запросить удаление своих данных.

Ограничение ответственности. Можно добавить пункт, что владелец сайта не несёт ответственности за действия пользователя, если они нарушают правила или законодательство.

Прочие условия. Порядок разрешения споров, применимое право, возможность внесения изменений в соглашение.

2. Отчётность по собранным контактам

Здесь важно разделить два аспекта: требования закона о персональных данных и правила маркировки интернет-рекламы.

Если используете контакты только для продаж по телефону. Сами по себе контакты вы не сдаёте в госорганы. Но если вы передаёте эти данные третьим лицам (например, колл-центру), нужно убедиться, что у вас есть законное основание (согласие пользователя) и вы соблюдаете требования ФЗ-152 «О персональных данных». Отдельной отчётности «за контакты» нет — главное, корректно оформить согласие и обеспечить безопасность.

Если рассылаете по почте или в мессенджере. Здесь тоже нет отдельной отчётности в госорганы за сам факт рассылки. Но ключевое условие: у пользователя должно быть явное согласие на получение таких рассылок (например, галочка при заполнении формы). Без согласия рассылка может нарушать закон о персональных данных и закон о рекламе.

Если используете для таргетированной рекламы. Вот тут вступает в силу закон о маркировке рекламы. Даже если Яндекс сам присваивает токен (ERID) вашему объявлению, вы как рекламодатель не освобождаетесь от обязанности отчитываться. Вам нужно ежемесячно передавать в ОРД (в том числе в ОРД Яндекса) статистику: сколько показов, кликов, какие креативы использовались, данные о рекламодателе. Яндекс помогает с технической частью (генерирует токен), но юридическая обязанность по подаче данных в Единый реестр интернет-рекламы (ЕРИР) лежит на вас.

Важное уточнение про токен: то, что площадка генерирует токен автоматически, не снимает с вас ответственности за полноту и достоверность остальных данных, которые вы указываете при регистрации креатива в ОРД (информация о товаре, рекламодателе).

Если будете запускать рекламу, советую на старте проконсультироваться с юристом, который специализируется на ФЗ-152 и законе о рекламе — он поможет грамотно составить текст соглашения под вашу специфику и проверить все процессы. Удачи с запуском!

И выбирайте сами лучший ответ!

Здравствуйте, Екатерина!

По первому вопросу. Пользовательское соглашение по своей правовой природе — это договор между владельцем сайта и посетителем, и строится он, как правило, по модели публичной оферты со ссылкой на ст. 435 и ст. 438 ГК РФ: пользователь акцептует условия самим фактом использования сайта либо проставлением отметки в специальном поле. В тексте нужно закрепить предмет соглашения, порядок акцепта, права и обязанности сторон, правила использования контента, ограничение ответственности владельца сайта, порядок изменения условий и применимое право. Отдельным документом оформите политику конфиденциальности (политику обработки персональных данных) — её наличие и публикация на сайте прямо требуются ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Поскольку Вы подключаете Яндекс.Метрику, пропишите также порядок работы с cookie и метрическими данными — Роскомнадзор относит их к персональным данным. Согласие на обработку персональных данных оформляйте отдельно от текста соглашения: оно должно быть конкретным, предметным, информированным и однозначным (ст. 9 Закона № 152-ФЗ), поэтому под сбор контактов через форму ставится отдельный чекбокс, а под рекламные рассылки — ещё один самостоятельный.

По второму вопросу. Никаких периодических отчётов о собранных контактах Вы не сдаёте ни в одном из трёх случаев. Единственная разовая обязанность — до начала обработки персональных данных направить в Роскомнадзор уведомление о намерении осуществлять такую обработку по ст. 22 Закона № 152-ФЗ, и это касается всех трёх сценариев одинаково. При продажах по телефону достаточно согласия на обработку данных. При рассылках по почте и в мессенджерах дополнительно требуется отдельное предварительное согласие адресата на получение рекламы — это требование ч. 1 ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе», иначе грозит штраф по ст. 14.3 КоАП РФ. При использовании контактов для таргетинга нужно, чтобы согласие охватывало передачу данных третьему лицу — Яндексу. Что касается маркировки интернет-рекламы по ст. 18.1 Закона № 38-ФЗ, то Яндекс как оператор рекламной системы сам присваивает токен и передаёт сведения в ЕРИР через оператора рекламных данных, поэтому при работе напрямую через Яндекс.Директ отдельной отчётности с Вашей стороны не требуется — проверьте лишь, что в договоре с Яндексом эта обязанность закреплена за ним.

Удачи Вам!

Здравствуйте!

Пользовательское соглашение — это публичная оферта, условия которой обязательны для всех пользователей сайта. Оно должно содержать как минимум:

- предмет соглашения — порядок использования сайта, его функционала и контента;

- права и обязанности сторон — правила регистрации, размещения материалов, порядок предоставления информации пользователем;

·-условия обработки персональных данных — согласие пользователя на сбор, хранение и обработку его данных в соответствии с политикой конфиденциальности;

-ответственность сторон — ограничение ответственности владельца сайта, порядок разрешения споров;

- порядок изменения соглашения — право владельца изменять условия без специального уведомления пользователей.

Акцептом (принятием) условий является любое использование функционала сайта, включая отправку форм.

По вопросу отчетности за собранные контакты.

Обязанность отчитываться о собранных контактах зависит от того, как вы их используете:

Случай 1. Использование контактов только для продаж по телефону

Если вы звоните клиентам для исполнения договора (например, подтверждения заказа) — специальное согласие на обработку персональных данных может не требоваться (обработка в рамках договора). Однако для любых иных целей (в том числе предложения новых товаров) необходимо получать отдельное согласие.

Случай 2. Рассылка по почте или в мессенджере информации об акциях и предложениях

Для этого требуется отдельное, явно выраженное согласие пользователя. Отсутствие согласия — нарушение сразу нескольких законов (152-ФЗ, 38-ФЗ «О рекламе» и др.), которое влечёт штрафы.

Случай 3. Использование контактов для таргетированной рекламы

Для настройки таргетинга на конкретных пользователей также необходимо их согласие. Если токен (маркировку) присваивает рекламная площадка, ответственность за получение согласия всё равно лежит на вас как на операторе персональных данных.

С 30 мая 2025 года все владельцы сайтов, собирающие персональные данные (включая телефоны и e-mail), обязаны подать уведомление в Роскомнадзор о начале обработки. Это касается и ИП, и самозанятых.

Если не уведомить: штрафы для ИП и юрлиц — от 100 000 до 300 000 рублей.

Подается через портал персональных данных Роскомнадзора.

Итог:

1. В пользовательское соглашение включите условия использования сайта, права и обязанности сторон, а также порядок обработки персональных данных.

2. Для любых действий, кроме исполнения прямого договора, требуется отдельное согласие пользователя на обработку его данных.

3. Обязательно подайте уведомление в Роскомнадзор о начале обработки персональных данных, иначе рискуете получить крупный штраф.

1. Содержание пользовательского соглашения и обязательных документов на сайте

С точки зрения российского законодательства (в частности, ФЗ-152 «О персональных данных» и закона «О рекламе»), взаимодействие с пользователем должно строиться на базе трех независимых блоков документации:

Пользовательское соглашение (оферта): Регулирует правила использования самого сайта, ответственность сторон, порядок разрешения споров и интеллектуальные права. В нем не должны содержаться положения об обработке личных данных.

Политика обработки персональных данных: Документ, который должен быть размещен в открытом доступе (обычно ссылка находится в футере сайта). В ней подробно раскрываются цели сбора данных, категории обрабатываемой информации, способы защиты, сроки хранения и порядок передачи третьим лицам.

Формы согласия пользователя: Это критически важный элемент интерфейса. Под каждой формой сбора контактов (заявка, обратный звонок, подписка) должна стоять активная галочка со ссылкой на Политику.

Согласно изменениям, вступающим в силу 1 сентября 2025 года, согласие на обработку персональных данных больше нельзя прятать внутри текста договора или Пользовательского соглашения. Оно должно оформляться как отдельный документ. Согласие признается законным только если оно конкретное, информированное, сознательное и однозначное.

В тексте отдельного согласия обязательно указываются: ФИО субъекта (и представителя при наличии), наименование и адрес вашей компании (оператора), цель обработки, полный перечень собираемых данных, сведения о третьих лицах (если планируется передача), описание действий с данными, срок действия и четкий механизм отзыва подписи.

Важный нюанс для вашего случая: Если вы планируете использовать контакты для таргетированной рекламы или передавать их рекламным платформам, вам необходимо получить от пользователя отдельное, явно выраженное согласие на передачу данных третьим лицам, где будут поименованы эти получатели.

2. Отчетность о собранных контактах

Понятие регулярной «сдачи отчетов о собранных контактах» в классическом смысле отсутствует, однако существуют строгие обязанности оператора перед регулятором (Роскомнадзором):

Уведомление Роскомнадзора: До начала любой обработки персональных данных (то есть сразу после запуска формы заявки на сайте) вы обязаны подать уведомление в Роскомнадзор для включения в реестр операторов персональных данных. За отсутствие уведомления предусмотрены крупные штрафы (до 300–700 тысяч рублей).

Обезличенные данные в ГИС: С 1 сентября 2025 года операторы, включенные в реестр, обязаны предоставлять обезличенную информацию в государственную информационную систему (ГИС).

Теперь рассмотрим ваши три сценария работы с контактами:

Сценарий 1: Использование контактов только для продаж по телефону

Это классическая обработка персональных данных в целях исполнения договора (оферты).

Отчетность: Специальные отчеты о каждом звонке никуда сдавать не нужно. Однако у вас должно быть подано базовое уведомление в Роскомнадзор. Кроме того, согласно новым правилам осени 2025 года, вам потребуется настроить функционал обезличивания данных для последующей загрузки в ГИС.

Документы: Достаточно одного основного согласия на обработку ПДн для связи по вопросу покупки.

Сценарий 2: Рассылка информации о компании, предложений и акций по почте или в мессенджерах

Здесь вступает в силу Федеральный закон № 38-ФЗ «О рекламе». Любая рассылка рекламных материалов требует предварительного согласия абонента.

Отчетность: Вы обязаны хранить доказательства получения этого согласия (логи, анкеты, записи чек-боксов) в течение всего срока рассылки плюс минимум один год после ее прекращения. По запросу ФАС или Роскомнадзора эти логи предоставляются в качестве отчета о легитимности базы. Также сохраняются обязательства по уведомлению РКН и передаче обезличенных данных в ГИС.

Документы: Требуется отдельное согласие на получение рекламной и информационной рассылки. Без него отправка любого коммерческого предложения незаконна.

Сценарий 3: Использование контактов для таргетированной рекламы (при условии, что маркировку делает Яндекс)

Этот сценарий регулируется законом о Едином реестре интернет-рекламы (ЕРИР).

Отчетность: Поскольку токен (erid) и автоматическую отчетность в ОРД (Оператор Рекламных Данных) берет на себя площадка Яндекс, ваша прямая обязанность подавать акты и статистику показов через ОРД снимается. Однако сбор самих контактов для создания аудиторий (Custom Audiences) — это первичная обработка персональных данных. Вам все так же необходимо иметь действующее уведомление в Роскомнадзоре и соблюдать требования к передаче данных третьим лицам (самому Яндексу), а также выполнять обязательство по передаче обезличенных сведений в ГИС.

Документы: На сайте должна быть реализована отдельная форма согласия именно на использование данных в рекламных целях и их передачу рекламным системам. Молчание пользователя или предзаполненные галочки недопустимы.

Независимо от выбранного сценария, до запуска трафика убедитесь, что:

Подано уведомление в Роскомнадзор.

Подготовлена актуальная Политика конфиденциальности.

Настроены раздельные чек-боксы: один — на обработку данных для звонка/договора, второй (опционально) — на рекламные рассылки, третий — на передачу данных рекламным площадкам.

Продуманы процессы для выполнения новой обязанности по передаче обезличенных данных в ГИС с сентября 2025 года.

Здравствуйте Екатерина

1. Содержание Пользовательского соглашения должно включать:

- Условия использования сайта (права и обязанности сторон, порядок отказа от услуг).

- Политика обработки персональных данных (ПДн) с описанием целей сбора: для обратной связи, продаж, маркетинга, аналитики.

- Согласие на обработку ПДн (чекбокс, отдельное действие).

- Согласие на получение рекламных материалов (для рассылок и таргета).

- Согласие на передачу ПДн третьим лицам (По ч. 1 ст. 9 Закона № 152-ФЗ согласие должно быть "конкретным, предметным, информированным, сознательным и однозначным")

Яндексу для таргетированной рекламы).

- Перечень обрабатываемых данных, сроки хранения, порядок отзыва согласия.

- Обработка файлов cookie.

По ч. 2 ст. 18.1 Закона № 152-ФЗ оператор обязан «опубликовать или иным образом обеспечить неограниченный доступ» к документу, определяющему политику обработки персональных данных

-

Включите в пользовательское соглашение все необходимые пункты, в том числе согласия на обработку и передачу.

- Уведомите Роскомнадзор о начале обработки ПДн (можно онлайн через портал).

- Для каждого сценария обеспечьте соответствующее согласие и соблюдайте требования 152-ФЗ.

- При использовании контактов для таргета — заключите договор с Яндексом как с обработчиком

2. Отчётность (уведомление Роскомнадзора):

По общему правилу, до начала обработки ПДн оператор обязан уведомить Роскомнадзор (ст. 22 152-ФЗ). Исключения:

- данные обрабатываются без использования средств автоматизации;

- данные относятся к субъекту по одному договору;

- данные общедоступны и т.д.

В вашем случае сбор контактов через сайт — автоматизированная обработка, исключение не применимо, поэтому уведомлять нужно. (ч. 2 ст. 22 Закона № 152-ФЗ, включая обработку исключительно без средств автоматизации)

По порядку

1. Продажи по телефону: требуется согласие на обработку ПДн для звонков. Уведомление РКН — обязательно.

2. Рассылка по почте/мессенджерам: дополнительно нужно согласие на получение рекламы. Уведомление — обязательно.

3. Таргетированная реклама через Яндекс: передача данных Яндексу (например, список email) требует отдельного согласия на передачу третьим лицам. Яндeкс выступает как обработчик. Уведомление РКН — обязательно, также следует отразить в уведомлении передачу данных.

___

С уважением юрист Марьяна Николаевна А

Здравствуйте.

Работа сайта и реклама регулируются двумя законами: ФЗ № 152‑ФЗ «О персональных данных» (требует согласия на сбор и обработку данных) и ФЗ № 38‑ФЗ «О рекламе» (в т. ч. правила маркировки и передачи данных в ЕРИР). При этом при размещении рекламы через Яндекс площадка берёт на себя передачу сведений в ОРД, но рекламодатель обязан обеспечить законность сбора данных и отразить цели их использования в пользовательском соглашении.

1. Что важно в пользовательском соглашении?

Единой формы нет, но обычно включают основые разделы, чтобы закрыть юридические риски. Обязательно пропишите:

Предмет соглашения — что регулирует документ (доступ к сайту, функционал).

Как происходит акцепт — например, регистрация, создание аккаунта или даже просто продолжение использования сайта после появления уведомления.

Какие данные вы собираете (ФИО, email, телефон, IP-адрес, данные из форм) и для каких целей (обработка заказа, обратная связь, аналитика, маркетинг). Здесь важно честно и конкретно описать цели — это требование 152-ФЗ «О персональных данных».

Как вы защищаете данные — кратко о мерах безопасности.

Права пользователя — например, возможность запросить удаление данных.

Ограничение ответственности — в каких случаях вы не несете ответственности (например, за действия третьих лиц).

Правила поведения — что запрещено пользователю (спам, вредоносный код и т.п.).

Порядок изменения соглашения — как и когда вносятся правки.

Отдельно можно вынести Политику конфиденциальности в виде ссылки — часто её выносят в отдельный документ, но в соглашении должна быть отсылка к ней.

2. Отчётность по контактам.

Здесь важно разделить два разных закона: о персональных данных и о рекламе.

Если используете контакты только для продаж по телефону — вы обрабатываете персональные данные. Отдельного отчёта «о собранных контактах» в госорганы сдавать не нужно, но вы обязаны иметь письменное согласие пользователя на такую обработку (и хранить его). Нарушение 152-ФЗ — это риск проверки Роскомнадзором, а не штраф за «неподачу отчёта».

При рассылке по почте или в мессенджере — аналогично: нужно предварительное согласие на обработку и на получение рекламных сообщений. Отдельного отчёта в госорганы нет, но при проверке вы должны подтвердить наличие согласия.

При таргетированной рекламе — тут вступает в силу закон о рекламе. Сам факт сбора контактов не требует отдельного отчёта, но если вы передаёте эти данные в сервис для настройки рекламы (например, через Яндекс Аудитории), важно, чтобы в соглашении было чётко прописано: сбор данных именно для этой цели.

А вот отчётность в ЕРИР (Единый реестр интернет-рекламы) касается не ваших контактов, а самих рекламных показов. Если вы запускаете рекламу через Яндекс, и площадка сама генерирует токены и передаёт данные в ОРД (Оператор рекламных данных), то вам, как рекламодателю, дополнительно отчитываться за сами показы не нужно — Яндекс делает это за вас. Ваша задача — обеспечить законность сбора данных и корректность целей в соглашении.

Таким образом, в соглашении опишите сбор и цели данных. Отдельных отчётов «о контактах» нет, но при проверках нужно подтверждать согласие. А за маркировку и передачу данных о рекламе в реестр отвечает площадка, если вы делегировали ей эту функцию.

С уважением.

Здравствуйте!

Важно понимать, что обычно нужно несколько документов, а не один.

Первое - Политика конфиденциальности (обязательный документ по 152-ФЗ). Это ключевой документ при сборе персональных данных. Должна содержать: Наименование и контакты оператора (кто обрабатывает данные -вы/ваша компания, ИНН, адрес); Цели обработки персональных данных; Правовые основания обработки; Категории собираемых данных; Способы обработки и сроки хранения;Порядок передачи данных третьим лицам (если передаёте); Права субъекта персональных данных и как их реализовать: Порядок обращения для отзыва согласия.

Второе - Согласие на обработку персональных данных. Отдельная галочка (чекбокс) возле форм, где собираете контакты . Согласие должно быть не проставлено по умолчанию - пользователь ставит его сам. Ссылка на политику конфиденциальности рядом с формой

Третье - Пользовательское соглашение. Правила использования сайта. Права и обязанности сторон. Ответственность, интеллектуальная собственность

Четвертое - Согласие на использование cookie. Отдельное уведомление/баннер, особенно если используете аналитику и рекламные пиксели

—————

Касательно отчетов и обязанностей при сборе контактов. Здесь важно разделить два разных требования. (1)Регистрация как оператора персональных данных (Роскомнадзор). Во всех трёх ваших случаях вы обрабатываете персональные данные, а значит необходимо уведомить Роскомнадзор о намерении осуществлять обработку персональных данных практически в любом случае обработки (исключения сильно сузили). Уведомление подаётся до начала обработки. Это не «отчёт», а однократное уведомление (с обновлением при изменении данных).

Подать можно через сайт Роскомнадзора (есть электронная форма).

(2) Ваши три случая подробнее.

Случай 1 - контакты только для звонков по продажам: Нужно согласие на обработку ПД + уведомление РКН; Отдельной маркировки/отчётности по рекламе нет

Случай 2 - рассылки на почту/в мессенджеры: Это уже реклама по 38-ФЗ «О рекламе». Нужно отдельное согласие на получение рекламных рассылок (ст. 18 закона о рекламе) - без него рассылка незаконна. Плюс всё то же согласие на ПД и уведомление РКН

Случай 3 - таргетированная реклама через Яндекс. Здесь появляется тема маркировки интернет-рекламы(ЕРИР, с сентября 2022). Вы правы: если токен присваивает сама площадка (Яндекс) и она же выступает оператором рекламных данных, то значительную часть обязанностей по передаче данных в ЕРИР площадка берёт на себя

Но полностью с рекламодателя ответственность не снимается: важно, кто по договору является рекламодателем и кто подаёт данные в ОРД. По стандартным продуктам Яндекс.Директа Яндекс, как правило, выступает оператором и передаёт данные, но условия зависят от конкретного договора/продукта

Смотрите, по пользовательскому соглашению. На сайте Вам обязательно нужны два документа: Пользовательское соглашение и Политика конфиденциальности (ст. 18.1 ФЗ «О персональных данных»).

В самом Соглашении пропишите предмет — правила использования сайта, статус сторон (оферта), порядок регистрации, права на контент площадки, ограничения ответственности владельца ресурса за сбои или информацию пользователей, а также досудебный порядок урегулирования споров со ссылкой на ст. 428 ГК РФ.

В Политике раскройте всё про данные согласно закону № 152-ФЗ: какие именно контакты Вы собираете (ФИО, телефон, e-mail), зачем они нужны конкретно в Вашем случае, как долго хранятся, кому передаются (например, CRM-системе) и главное — способы получения согласия пользователя (галочка под формой). Без этого Роскомнадзор может выписать штраф до 700 тысяч рублей .

Теперь к отчетности о собранных контактах. Тут нужно четко разделить закон о рекламе (№ 38-ФЗ) и закон о персональных данных (№ 152-ФЗ).

Случай 1. Только продажи по телефону

Отчеты никуда сдавать не надо. Сбор контактов для прямой связи с целью заключения договора купли-продажи попадает под исключение п. 5 ч. 1 ст. 6 закона № 152-ФЗ. Это обработка данных для исполнения договора, стороной которого является субъект. Уведомлять Роскомнадзор об обработке тоже не требуется (п. 2 ч. 2 ст. 22 того же закона). Главное — чтобы человек сам оставил номер при заказе звонка или товара.

Случай 2. Рассылки информации, предложений и акций

Здесь вступает в силу ст. 18 закона № 152-ФЗ. Для рекламных рассылок почтой или в мессенджерах нужно отдельное предварительное согласие человека. Если база собрана через сайт правильно (с галочкой на маркетинговые коммуникации), то отчеты государству отправлять не нужно. Но если клиент нажал кнопку «отписаться», у Вас есть сутки, чтобы удалить его из базы. Иначе это нарушение КоАП РФ.

Случай 3. Таргетированная реклама

А вот здесь начинается самое интересное. Поскольку Яндекс сам присваивает токен (ERID), он выступает Вашим оператором рекламных данных (ОРД). Согласно поправкам в ст. 18.1 закона «О рекламе» от сентября 2023 года, всю статистику показов креативов площадка передает в Единый реестр интернет-рекламы (ЕРИР) сама. Вам вручную ничего загружать туда не нужно.

Но нюанс такой: когда Вы настраиваете рекламу на свою базу телефонов или почт (ретаргетинг), рекламная система технически обрабатывает эти персональные данные. По закону № 152-ФЗ передача этих баз в рекламные кабинеты Яндекса должна быть прямо прописана в Вашей Политике конфиденциальности на сайте. Если там нет фразы «данные могут передаваться партнерам для настройки таргетинга», использование своей базы для рекламы становится незаконным.