Политика конфиденциальности интернет-магазина: что включить и где разместить
Как подготовить политику обработки персональных данных под формы, CRM и подрядчиков магазина: таблица целей, структура документа и проверка публикации.
Политика конфиденциальности интернет-магазина должна объяснять фактическую обработку персональных данных: кто оператор, зачем и какие сведения собирает, как использует и защищает их, когда прекращает обработку и как человек может обратиться за реализацией своих прав. Копия чужого документа не решает задачу, если в ней нет вашей доставки, CRM и подписки или, наоборот, перечислены процессы, которых у вас нет.
По части 2 статьи 18.1 закона № 152-ФЗ оператор обязан обеспечить неограниченный доступ к документу, определяющему политику обработки персональных данных, и сведениям о реализуемых требованиях к их защите. При сборе через интернет их публикуют в соответствующей сети, в том числе на страницах, где происходит сбор, и обеспечивают доступ к ним. Ниже — порядок подготовки для российского магазина; нормы проверены на 2 ноября 2026 года.
Что объясняет политика и чего требует отдельное оформление
Документ можно назвать «Политика обработки персональных данных» — это точнее показывает его предмет. Привычное название «Политика конфиденциальности» не освобождает от описания реальных целей, оснований и действий с данными. Важно содержание и доступность, а не только заголовок в подвале сайта.
Политика информирует об устройстве обработки. Согласие выражает разрешение человека на определённую обработку, когда необходимо именно это основание. Оферта регулирует договор продажи. Поэтому ссылка на политику не заменяет согласия на рекламное использование контакта, а факт её публикации не отменяет обязанностей по защите и применимому уведомлению Роскомнадзора.
Часть 1 пункт 2 статьи 18.1 отдельно говорит об издании юридическим лицом документов, определяющих политику, и локальных актов по обработке. В них для каждой цели определяют соответствующие сведения и процедуры. Не путайте эту внутреннюю работу с публичной обязанностью по части 2, которая адресована оператору. ИП также нужно обеспечить требуемый доступ к политике и сведениям о защите; механически переносить на него все формулировки о документах юридического лица не следует.
Какие сведения собрать до написания
Откройте сайт как покупатель: корзину, личный кабинет, обратную связь, подписку, формы на мобильной версии. Затем проследите записи внутри магазина. Сайт может показывать только телефон, а интеграция дополнительно передавать email, комментарий и историю заказов в CRM. Политику составляют с учётом всей обработки, а не только видимых полей.
Для каждой формы выясните источник данных, цель, необходимые сведения, операции, системы, доступы и получателей. Владельцу магазина обычно понадобятся ответы администратора сайта, сотрудников, которые обрабатывают заказы, и подрядчиков. Не оставляйте «третьи лица» без разбора их функций: перевозчик, сервис рассылки и платёжный участник могут иметь разные роли и основания.
В учебном магазине товаров для дома «Полка» есть курьерская доставка, самовывоз и добровольная email-рассылка. Заказы хранятся в CRM, рекламные адреса — ещё и у сервиса рассылки. При проверке обнаружилось, что интеграция включает в рекламный список всех покупателей и сохраняет домашний адрес даже при самовывозе. Это сначала исправляют в настройках и процессе; переписывать политику так, будто покупатели добровольно подписались, нельзя.
Отдельно проверьте аналитику, файлы cookie и внешние элементы сайта. Определите, какие сведения действительно собираются и позволяют ли они прямо или косвенно относить их к человеку. Не добавляйте обещание «сайт не собирает технических данных», не изучив работающие инструменты. Основания и необходимые способы информирования или получения согласия оценивают для фактической схемы.
Как заполнить таблицу целей
Таблица помогает связать описание с действиями, но сама по себе не является обязательным установленным законом бланком. В основе — принципы статьи 5: определённые законные цели, соответствие состава данных этим целям и ограничение хранения. Не объединяйте всё формулировкой «для деятельности магазина».
| Цель | Данные и субъекты в учебном магазине | Основание, которое проверяют | Прекращение и хранение |
|---|---|---|---|
| Оформить и исполнить заказ с доставкой | Покупатель: имя, необходимые контакты, адрес доставки | Необходимость для договора при соблюдении пункта 5 части 1 статьи 6 | До выполнения соответствующей цели; дальнейшее хранение отдельных сведений — по самостоятельному основанию и сроку |
| Оформить заказ с самовывозом | Покупатель: имя и необходимые контакты; домашний адрес не собирается | Те же договорные условия, с проверкой фактически необходимого состава | Отдельно установить сроки рабочих записей и документов, которые необходимо сохранить |
| Отправлять рекламные письма | Подписчик: email | Предварительное согласие на обработку для прямого продвижения по статье 15; рекламное разрешение проверяют отдельно | При требовании немедленно прекращают продвижение; обоснованное хранение доказательств рассматривают отдельно |
Это заполненный пример различий, а не готовые строки для копирования в публичный документ. Для своей версии замените условные составы фактическими, укажите применимые основания и установленные сроки или условия прекращения. Если закон требует хранить определённые документы, выясните, какие именно сведения входят в них и какой срок действует. Это не разрешает сохранять всю CRM-карточку на тот же период.
Практический способ определить срок — пройти жизненный цикл цели. Установите, какое событие завершает операцию, какие обязательные или иные законные основания остаются после него и какие данные для них нужны. Зафиксируйте срок или критерий его определения и действие по окончании. Согласуйте его с настройками CRM, выгрузками и обработчиками: обещание в политике не сработает, если резервные копии и сервис продолжают хранить данные без установленного порядка.
Для подробной карты движения информации используйте разбор персональных данных в интернет-магазине. В политике нужен понятный результат этой работы, а не внутренние технические инструкции администратора.
Структура документа для адаптации
Когда таблица проверена, соберите связный документ. Следующая заготовка показывает, какие ответы подготовить. Она не становится готовой политикой от замены названия магазина: содержательные поля нужно заполнить сведениями из ваших процессов.
Политика обработки персональных данных
Версия: [номер]; дата: [дата утверждения/публикации].
1. Оператор и область действия
[Полное наименование, адрес, контакты; сайт и процессы,
на которые распространяется документ.]
2. Цели, субъекты и данные
[Для каждой цели: категории людей, конкретный состав данных,
источник, применимое основание и выполняемые операции.]
3. Условия обработки и получатели
[Способы обработки, системы и роли участников в понятном
читателю объёме; поручение и передачи по реальной схеме.]
4. Хранение, прекращение и уничтожение
[По каждой цели — срок/условие его определения, прекращение,
основания дальнейшего хранения и применяемый порядок.]
5. Права и обращения
[Как получить сведения об обработке, потребовать исправления,
блокирования или уничтожения при наличии оснований,
отозвать согласие; рабочий контакт и порядок обращения.]
6. Защита данных
[Сведения о реально реализуемых требованиях и мерах защиты
в объёме, пригодном для открытой публикации.]
7. Изменения документа
[Как определяется актуальная версия и где она опубликована.]
Оператор и цели
Укажите реального оператора, а не только торговое название. Если сайт принадлежит одному лицу, а определённый процесс ведёт другое, разберите их роли и объясните относящуюся к посетителю схему. Не объявляйте владельца конструктора единственным оператором только потому, что он предоставляет техническую платформу.
Перенесите проверенные цели из таблицы. Для заказа с самовывозом не включайте адрес «на всякий случай». Для подписки не добавляйте день рождения, если он не используется для заявленной задачи. Если цель существует только в тексте политики, удалите её; если существует только в CRM, выясните законность и затем отразите корректную практику.
Получатели и основания
Часть 3 статьи 6 регулирует поручение обработки другому лицу. Установите его условия, обязанности и необходимость согласия, если федеральным законом не предусмотрено иное. Наличие договорного основания для заказа не освобождает автоматически от согласия на любое поручение подрядчику. Самостоятельного оператора также нельзя без проверки назвать просто техническим обработчиком.
В магазине «Полка» фраза «данные никому не передаются» неверна: сведения получает курьер, а рекламные адреса — сервис рассылки. Исправление состоит в разборе действительных участников, состава и оснований, а затем в согласовании политики с этой схемой. Если новые условия означают новую обработку, одного обновления публичного текста недостаточно для её разрешения.
Не заявляйте об отсутствии зарубежной передачи по стране регистрации магазина. Для иностранных сервисов или доступов требуется отдельная проверка реального потока и действующих требований статьи 12. Политика должна описывать установленный результат проверки, а не предположение по названию платформы.
Права, хранение и защита
Объясните, куда обратиться и какие сведения помогут найти запись. Способ проверки заявителя должен учитывать обращение и не требовать избыточных данных. Не обещайте безусловное удаление всех сведений по одному письму: для части данных может оставаться самостоятельное законное основание. И не представляйте это как возможность игнорировать отзыв — соответствующую обработку прекращают по применимым правилам, а прямое продвижение по требованию останавливают немедленно.
Пишите о действующих мерах защиты: разграничении доступа, организационных правилах, защите систем и контроле, если они действительно реализованы. Публичное описание не должно раскрывать пароли, секреты или подробности, облегчающие обход защиты. Формулировка «обеспечиваем абсолютную безопасность» не даёт полезных сведений и обещает недостижимый результат.
Где разместить политику
Сделайте устойчивую страницу, которая открывается без регистрации. Ссылка в подвале помогает найти документ с любой страницы, но отдельно проверьте доступ на страницах сбора: в корзине, подписке, обратной связи и других формах. Документ должен быть доступен в момент передачи данных, включая мобильную версию.
Рядом с необязательным рекламным выбором остаётся отдельная ссылка на соответствующее согласие. Не направляйте все юридические ссылки на одну политику: покупатель должен понимать, какой документ он читает и какое действие совершает.
Сохраняйте предыдущие версии и дату начала применения новой. Для доказательства согласия нужна версия показанного согласия, а для проверки информирования полезна история политики. При изменении CRM, доставки, формы или цели назначьте проверку фактической схемы, документа и других обязанностей. Новая дата публикации сама по себе не легализует ранее неразрешённую обработку.
Проверка перед публикацией на учебном примере
В «Полке» сначала исправляют два несоответствия: отключают автоматическую подписку покупателей и обязательный домашний адрес при самовывозе. Затем заполняют отдельные строки заказа и продвижения, устанавливают фактические условия хранения, проверяют роли курьера и сервиса. Только после этого публикуют соответствующую им политику.
Пройдите тестовый заказ с доставкой и второй — с самовывозом. Сопоставьте поля формы, карточку CRM и таблицу целей. Откажитесь от подписки и проверьте рекламную базу. Откройте документ со страницы каждой формы на телефоне и компьютере, без авторизации. Если данные уходят участнику, которого не учли, вернитесь к схеме обработки и исправьте её описание и условия до запуска.
Это учебная проверка согласованности. Она позволяет найти расхождения между документом и процессом, но не подтверждает сама по себе безопасность инфраструктуры или законность каждого договора.