Почти на каждом сайте есть формы, аналитика и разные “удобные штуки” — кнопки мессенджеров, онлайн-чат, коллтрекинг, виджеты.
И в какой-то момент у владельца бизнеса появляется правильный вопрос: “А что у нас с персональными данными? Всё нормально?”
Нормально — это когда человеку понятно, что и зачем вы собираете, куда это попадает и как он может отказаться.
И самое важное: всё, что написано в согласии и политике, соответствует тому, как сайт работает на самом деле.
В этой статье — практичная логика без воды: что нужно сделать на сайте, чтобы корректно объяснить пользователю обработку данных,
собрать согласие “по-человечески” и закрыть типовые риски. Про штрафы тоже скажем, но без запугивания: смысл не “пугать”, а навести порядок,
чтобы не иметь проблем.
Но перечисленные вещи действительно стоит сделать: они повышают доверие пользователей и снижают риск претензий и штрафов.
Содержание
- Зачем вообще нужны политика и согласие (простыми словами)
- Что пользователь должен понять перед тем, как поставить галочку
- Какие данные сайт обычно собирает (не только “имя и телефон”)
- Цели обработки: как формулировать правильно и понятно
- Виды обработки: что писать и зачем это нужно
- Формы и чекбоксы: как сделать согласие аккуратно и без потери конверсии
- Яндекс.Метрика и аналитика: почему это тоже “обработка”
- Кнопки, виджеты, CRM, облако: где чаще всего “утекает смысл”
- Трансграничная передача: когда это возникает и почему многие сейчас убирают зарубежные сервисы
- Порядок работ: что проверять в первую очередь
- Мини-чек-лист перед запуском рекламы и SEO
- Полезные ссылки
Зачем вообще нужны политика и согласие (простыми словами)
У пользователя есть простое ожидание: если он оставляет контакты на сайте, он понимает, что с ним свяжутся.
Но если сайт “втихую” собирает дополнительные данные (через аналитику, виджеты, пиксели) и передаёт их в сервисы,
человек этого не видит — и не понимает.
Поэтому на сайте обычно делают два документа:
Политика — объясняет правила и схему обработки данных.
Согласие — подтверждает, что пользователь с этим ознакомился и разрешил обработку в рамках заявленных целей.
Это нужно не ради “бумажки”, а чтобы:
1) пользователь понимал, что происходит;
2) вы могли доказать, что работали прозрачно;
3) у вас не возникали проблемы с претензиями и штрафами, если кто-то начнёт разбираться.
Что пользователь должен понять перед тем, как поставить галочку
Самая частая ошибка — перегрузить человека “юридическими словами” и надеяться, что галочку всё равно поставят.
Это плохой подход: он снижает доверие и иногда снижает конверсию сильнее, чем аккуратная честная формулировка.
Хороший чекбокс согласия должен отвечать на 4 вопроса:
- Какие данные вы получаете (например: имя, телефон, email, содержание обращения)
- Зачем (например: обработать заявку, ответить, проконсультировать, выполнить договор)
- Где это будет обрабатываться (например: на сайте, в CRM, в почте, в сервисе телефонии/чата)
- Где прочитать подробности (ссылка на политику) и как отозвать согласие (обычно это описано в политике)
Поэтому текст должен быть коротким, человеческим и соответствовать тому, что реально происходит.
Какие данные сайт обычно собирает (не только “имя и телефон”)
На практике персональные данные на сайте появляются из нескольких источников:
то, что пользователь вводит сам (формы), и то, что сайт “собирает автоматически” (cookies, аналитика, сервисы).
Формы и заявки
Имя, телефон, email, компания, комментарий, тема обращения, любые файлы, которые прикрепляют.
Коммуникации
Переписка в чате, сообщения в мессенджерах, письма на почту, записи звонков (если есть телефония/коллтрекинг).
Аналитика и cookies
Идентификаторы cookies, данные о действиях на сайте, устройстве, браузере, источнике перехода, события и цели.
Виджеты и внешние сервисы
Онлайн-чат, кнопки соцсетей и мессенджеров, карты, формы сторонних сервисов, CRM-виджеты, облачные платформы.
Смысл не в том, чтобы “запретить всё”. Смысл — понимать, что именно подключено, что именно собирается,
и объяснить это человеку простым языком в политике и в согласии.
Цели обработки: как формулировать правильно и понятно
“Цели” — это сердце согласия. Пользователь должен понимать, что его данные используются не “вообще”, а для конкретных задач.
Обычно цели на коммерческом сайте можно сформулировать так, чтобы они звучали нормально и не пугали:
- Предоставление услуг и консультаций (обработка заявки, подготовка ответа)
- Обратная связь и взаимодействие (уточняющие вопросы, звонок менеджера)
- Выполнение обязательств по договору (если пользователь становится клиентом)
- Информационные сообщения (если у вас есть рассылки/уведомления и пользователь отдельно согласился)
- Улучшение качества сайта и сервиса (аналитика посещаемости и поведения, если это описано)
Важно: если вы используете данные для маркетинга (рассылки, акции, предложения), это лучше отделить отдельным согласием.
Тогда пользователь понимает разницу: “ответить на заявку” — это одно, “получать предложения” — другое.
Лучше 4–6 нормальных целей, которые реально отражают вашу работу.
Виды обработки: что писать и зачем это нужно
“Виды обработки” звучит по-юридически, но смысл простой: что вы делаете с данными после того, как их получили.
Обычно на сайте указывают стандартный набор действий (он универсальный и подходит большинству бизнесов).
- Сбор и запись (пользователь отправляет форму, сайт принимает данные)
- Систематизация и хранение (данные попадают в CRM/почту/базу)
- Уточнение и использование (менеджер уточняет детали, готовит ответ)
- Передача сервисам, которые участвуют в обработке (например: CRM, сервис телефонии, чат)
- Обезличивание и анализ (если вы используете аналитику и не храните это как “паспортные данные”)
- Блокирование и удаление (когда данные больше не нужны или поступил запрос)
Это не про “страшный список”, а про честное описание процессов.
Если у вас заявки падают в CRM и дублируются на почту — это лучше назвать прямо.
Если вы используете аналитику — лучше указать, что вы анализируете поведение и посещаемость для улучшения сайта.
Гораздо лучше: “передача операторам сервисов, участвующих в обработке (CRM, телефония, чат, аналитика)”.
Формы и чекбоксы: как сделать согласие аккуратно и без потери конверсии
Здесь всё решают детали. Плохой вариант — мелкий текст в три строки и чекбокс, который уже отмечен.
Хороший вариант — короткая формулировка, чекбокс не отмечен заранее, одна ссылка на политику.
Базовая механика для любой формы
- Чекбокс согласия всегда “пустой” по умолчанию
- Текст не перегружен и соответствует цели формы
- Ссылка на политику рядом, открывается и читается
- Нет скрытых форм “без согласия” (например, попапы, быстрые лид-формы)
Пример короткого текста (универсальный)
Нажимая кнопку «Отправить», я даю согласие на обработку персональных данных
для обработки обращения и обратной связи и подтверждаю, что ознакомился(лась)
с Политикой обработки персональных данных.Если есть рассылки или маркетинг
Если вы хотите отправлять акции, предложения или полезные письма — не смешивайте это с заявкой.
Вынесите отдельный чекбокс (опционально): тогда база будет чище, а согласие — понятнее.
Хочу получать новости и предложения (email/мессенджеры).Яндекс.Метрика и аналитика: почему это тоже “обработка”
На большинстве сайтов стоит Яндекс.Метрика. Это нормально: бизнесу нужно понимать, откуда приходят люди и что работает.
Но важно помнить: аналитика тоже собирает данные (как минимум идентификаторы cookies и поведение на сайте), а значит попадает в общую схему обработки.
Что нужно сделать по-человечески:
- Указать в политике, что вы используете аналитику для улучшения сайта и сервиса
- Описать, что могут использоваться cookies/идентификаторы
- Если есть “тяжёлые” функции (например, запись поведения, вебвизор, отслеживание событий), убедиться, что это отражено логически и не противоречит текстам
- Проверить, чтобы на сайте не было дублей аналитики и старых тегов
Кнопки, виджеты, CRM, облако: где чаще всего “утекает смысл”
Если на сайте стоят виджеты и внешние сервисы, данные часто “перетекают” дальше: из формы — в CRM, из чата — в сервис поддержки,
из кнопки мессенджера — в переписку, из коллтрекинга — в кабинет телефонии. Всё это нужно учитывать.
Самые частые источники неожиданной обработки
- Онлайн-чат (собирает сообщения, контакты, иногда историю посещений)
- Коллтрекинг (подмена номеров, cookies, источник звонка, записи разговоров)
- CRM-формы (данные отправляются сразу в CRM или через сторонний сервис)
- Кнопки мессенджеров и соцсетей (переходы, события, иногда идентификаторы)
- Облачные платформы и конструкторы (сайт и формы могут храниться “где-то в облаке”, важно понимать где именно)
- Плагины и виджеты “в один клик” (иногда тянут лишние скрипты и передают больше данных, чем вы думаете)
Здесь главное — не пытаться сделать “универсальный текст на все случаи”. Всё индивидуально:
у одного сайта заявки падают в почту, у другого — в CRM, у третьего — в мессенджер, у четвёртого — в облачный сервис.
Поэтому сначала фиксируем реальную схему, потом приводим тексты и согласия к этой схеме.
Если ответ длинный и неочевидный — это сигнал, что надо упорядочить процесс и доступы.
Трансграничная передача: когда это возникает и почему многие сейчас убирают зарубежные сервисы
Трансграничная передача — это ситуация, когда персональные данные передаются на территорию иностранного государства.
На сайте это чаще всего происходит через зарубежные сервисы: аналитика, рекламные пиксели, виджеты, CDN или формы,
которые отправляют данные на серверы за пределами РФ.
Простой пример: если на сайте стоит Google Analytics или другие зарубежные инструменты, вместе с событиями и идентификаторами
может происходить передача данных в другие страны. Для бизнеса это значит: появляются дополнительные обязательства и риски.
Почему в последнее время многие от этого уходят
- Проще держать обработку и хранение в понятной зоне (меньше юридических и технических сложностей)
- Меньше риск претензий по “куда уходят данные”
- Меньше зависимость от внешних ограничений и блокировок
- Легче поддерживать документы в актуальном состоянии
Как действовать правильно
- Проверить, какие зарубежные сервисы реально стоят на сайте (по коду и внешним запросам, а не “по памяти”)
- Решить: удаляем, заменяем или оформляем как положено
- Если оставляем — отражаем в документах и выстраиваем корректную схему согласий
- Если убираем — делаем это аккуратно, чтобы не сломать аналитику и цели
Порядок работ: что проверять в первую очередь
Чтобы не утонуть в деталях, идите в понятном порядке. Он помогает быстро увидеть “дыры” и не переписывать документы по три раза.
Шаг 1. Инвентаризация
- Все формы и поля
- Все виджеты и внешние сервисы
- Куда уходят заявки и где они хранятся
- Кто имеет доступ
- Какие счётчики стоят (Метрика, другие)
Шаг 2. Приводим политику к реальности
- Описываем данные, цели и сервисы, которые реально участвуют
- Пишем понятно, без “для любых целей”
- Добавляем понятный способ связи для вопросов и отзыва согласия
Шаг 3. Формы и согласия
- Чекбокс не отмечен заранее
- Текст короткий, рядом с кнопкой
- Ссылка на политику работает
- Маркетинг отделяем отдельным согласием (если он вообще есть)
Шаг 4. Cookies и аналитика
- Баннер соответствует реальности
- Нет дублей счётчиков и старых тегов
- Проверены события/цели, чтобы не “ослепить” отчёты
Мини-чек-лист перед запуском рекламы и SEO
- Вы знаете, какие формы и какие данные собираете
- Вы понимаете, куда уходят заявки (почта/CRM/мессенджер) и где они хранятся
- Политика соответствует реальным сервисам (виджеты, CRM, аналитика)
- На всех формах есть согласие: чекбокс не отмечен заранее, текст короткий, ссылка на политику рядом
- Если есть рассылки/маркетинг — отдельное согласие
- На сайте стоит Яндекс.Метрика (или другая аналитика) и это отражено в логике документов
- Проверены внешние виджеты: чат, коллтрекинг, кнопки, карты, CRM-формы
- Проверены зарубежные сервисы: есть ли риск трансграничной передачи, принято решение (убрать/заменить/оформлять)
- После правок проверены формы, цели, звонки и заявки (чтобы не сломать маркетинг)
Полезные ссылки
- Согласие на обработку персональных данных
- Политика обработки (конфиденциальности)
- Реестр операторов персональных данных (проверка по ИНН)
Если коротко: пользователю надо честно объяснить, что вы собираете и зачем, а бизнесу — понимать, где данные живут и какие сервисы участвуют.
Тогда согласие не выглядит “вынужденной галочкой”, а становится понятной частью нормального сервиса.
