Проверка смотрит продукт внутри кабинета?

Нет. Мы сканируем только публичные страницы без входа в аккаунт. Закрытую часть продукта нужно проверять отдельно.

Что если наша инфраструктура в зарубежном облаке?

Это главный риск для сервисов с пользователями из России. Если данные граждан РФ первично записываются за границей, это может не отвечать требованию о локализации. Что менять, зависит от архитектуры: поможет юрист вместе с техническим директором.

Мы работаем для бизнеса (B2B). 152-ФЗ нас касается?

Да. Имена, e-mail и телефоны сотрудников клиентов тоже персональные данные. Закон применяется, даже если вы не работаете с физлицами напрямую.

Проверка заменит оценку архитектуры и безопасности сервиса?

Нет. Мы смотрим только признаки на публичной части сайта. Архитектуру, договоры с подрядчиками и защиту данных внутри продукта оценивают технический директор и юрист.

Проверка SaaS-сервиса на соответствие 152-ФЗ

Бесплатная проверка SaaS-сервиса на 152-ФЗ покажет, что видно снаружи. Пользователи регистрируются, входят в кабинет и передают данные в продукт. Инфраструктура часто собрана из облачных и зарубежных сервисов, и вопрос локализации данных встаёт сразу.

Это автоматическое сканирование публичных страниц, а не юридическое заключение. 16 проверок, около минуты, без регистрации и доступа к сайту.

Какие данные собирает сайт

E-mail и пароль при регистрации
Имя, компания и телефон в заявке на демо
Данные, которые пользователи загружают в продукт
События и поведение внутри сервиса
Cookie, аналитика и рекламные пиксели

Где чаще всего находят нарушения

Политика обработки персональных данных

Для сервиса политика должна описывать, какие данные собираются при регистрации и в процессе работы, зачем и как долго хранятся.

ч. 2 ст. 18.1, ст. 3 152-ФЗ

Согласие на обработку ПДн в формах

Регистрация, заявка на демо, подписка и форма обратной связи: у каждой нужна отметка согласия. Частая ошибка: согласие есть только в форме регистрации.

ст. 6, 9 152-ФЗ

Пользовательское соглашение

Сервису обычно нужно пользовательское соглашение или правила использования: они определяют, что можно делать в продукте.

не обязательно; ст. 437 ГК РФ

Зарубежные сервисы и трансграничная передача

Облака, почтовые рассылки, аналитика, чаты поддержки и платёжные виджеты нередко зарубежные. Каждый такой сервис может получать данные пользователей.

ст. 12 152-ФЗ

Хранение баз ПДн на серверах в России

Первичная запись и хранение данных граждан РФ должны быть на серверах в России. Для SaaS это главный вопрос к выбору хостинга и облака.

ч. 5 ст. 18 152-ФЗ

Cookie-баннер с согласием

Продуктовая аналитика и реклама ставят cookie. Необязательные cookie лучше включать только после согласия.

ст. 6, ст. 9 152-ФЗ (позиция РКН 2023–2025)

Меры защиты от утечек и уведомление РКН об инциденте

Для сервиса важны HTTPS, контакты для сообщений о безопасности и порядок реагирования на инцидент. Мы смотрим признаки таких мер на публичной части сайта.

ч. 3.1 ст. 21 152-ФЗ

Уведомление РКН об обработке ПДн

Сервис обрабатывает данные пользователей, поэтому обязан уведомить Роскомнадзор. Проверим по ИНН, есть ли он в реестре операторов ПДн.

ст. 22 152-ФЗ

Нашли нарушение? Отдайте ТЗ разработчику

По каждому пункту: что исправить и как принять работу. После исправлений проверьте сайт снова и убедитесь, что замечаний стало меньше.

Получить ТЗ, 1 990 ₽

❌ Аналитика подключена до согласия на cookie

Что исправить

Подключать скрипты продуктовой аналитики и рекламных систем только после того, как посетитель принял cookie в баннере. До выбора загружать только необходимые скрипты.

Как проверить

Откройте сайт в режиме инкогнито. До выбора в баннере в сетевых запросах не должно быть обращений к аналитике и рекламным системам.

Частые вопросы

Полезные статьи

Проверка для других сайтов