Настоящая политика является проектом документа о конфиденциальности и обработке персональных данных при использовании сайта OFFSET.MOSCOW. Она описывает общие принципы, возможные категории данных, цели, права пользователей и обязанности оператора. Фактическая версия должна точно соответствовать формам сайта, CRM, почте, телефонии, аналитике, хостингу, облачным сервисам и работе с файлами заказчиков. Политика не должна включать процессы, которых нет, или скрывать реально используемые способы обработки. До публикации необходимо подставить реквизиты оператора, провести технический аудит и проверить документ по актуальному законодательству Российской Федерации. Отдельные согласия оформляются на странице или в форме, где пользователь передаёт данные, и не заменяются этой политикой.
Основные принципы:
Политика применяется к информации, которую пользователь передаёт через сайт, контактные формы, файлы, доступные каналы связи и иные интерфейсы, прямо связанные с OFFSET.MOSCOW. Она также должна описывать технические данные, если такие сведения фактически собираются средствами сайта.
Необходимо обеспечить совпадение реквизитов в:
Оператором является владелец и администратор сайта OFFSET.MOSCOW, определяющий цели и способы обработки. В опубликованной редакции должны быть указаны полное юридическое наименование, адрес и канал для обращений по персональным данным.
Политика может относиться к:
Каждая категория должна быть подтверждена реальным процессом. Если сайт не собирает сведения кандидатов или подписчиков, их не нужно включать в финальный документ.
Состав зависит от конкретного сценария.
Только если они реально собираются:
Финальная политика должна перечислять только фактические данные и объяснять их назначение.
Данные могут поступать:
Если заказчик передаёт данные третьих лиц, он должен иметь правовое основание и соблюдать ограничения по цели. Типография не должна использовать их вне производственного задания.
Для каждой цели определяется свой объём данных, основание и срок.
Маркетинговые сообщения являются отдельной целью. Их нельзя автоматически включать в обработку заявки без самостоятельного основания и понятной возможности отказаться.
В зависимости от цели используются:
Оператору требуется внутренний реестр соответствия процессов. Для каждой формы, файла, звонка, аналитического события и договорного документа в нём фиксируются цель, состав данных, правовое основание, срок, система хранения, получатели, порядок удаления и ответственное лицо. Публичная политика должна отражать итог этого реестра, но не заменять его общими формулировками.
Для электронного подтверждения фиксируются:
Когда основанием является согласие, пользователь должен получить отдельный понятный текст. Согласие должно быть конкретным, информированным, сознательным, предметным и однозначным.
С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от других документов и информации, которые пользователь подтверждает или подписывает. Реализация каждой формы требует самостоятельной проверки.
До публикации нужно инвентаризировать:
Cookie могут быть технически необходимыми или использоваться для аналитики и иных функций. Политика должна совпадать с фактической конфигурацией, а не содержать универсальный текст.
Если используются аналитические системы, нужно определить их правовое основание, настройки обезличивания, место хранения и состав передаваемых данных. Баннер согласия не должен заявлять выбор, которого технически нет.
В поручении или договоре следует фиксировать:
Макет может включать данные, собранные заказчиком для собственной цели. В таком случае необходимо определить роли сторон: кто является оператором, кто действует по поручению и какие действия допустимы.
Печатный подрядчик не должен самостоятельно использовать персонализированные файлы для маркетинга, портфолио или иных целей без отдельного основания.
Для каждого получателя проверяют:
Данные могут передаваться только в необходимом объёме и при наличии основания. Потенциальными получателями являются те, кто фактически участвует в процессе: хостинг, CRM, почта, телефония, производство, доставка, облачное хранение или техническая поддержка.
Публичная политика может описывать категории получателей, а конкретный перечень должен поддерживаться внутренним реестром.
Технический аудит должен проверить:
Если данные доступны сервису или получателю за пределами Российской Федерации, требуется отдельная правовая оценка и соблюдение действующего порядка. Нельзя считать передачу отсутствующей только потому, что интерфейс сервиса переведён на русский язык.
При сборе персональных данных граждан Российской Федерации через интернет оператор учитывает требования о первичной записи, систематизации, накоплении, хранении, уточнении и извлечении с использованием баз данных на территории Российской Федерации, кроме предусмотренных законом исключений. Проверке подлежат не только CRM, но и формы, почта, аналитика, резервные копии и промежуточные интеграции.
Примеры критериев, которые нужно подтвердить:
Данные хранятся не дольше, чем этого требуют цель, договор или закон. Для каждого процесса должен существовать критерий завершения.
Бессрочное хранение «на всякий случай» не соответствует принципу ограничения.
Порядок может включать:
Процесс должен охватывать рабочие системы, почту, облачные папки, локальные копии и резервные носители в разумных пределах технической архитектуры.
Меры выбираются по рискам и характеру обработки. Политика описывает общие принципы, а детальные настройки остаются во внутренних документах.
Организационные меры:
Технические меры:
Нельзя обещать абсолютную защищённость или перечислять меры, которые не реализованы.
Рабочий порядок:
Оператору нужен процесс выявления, оценки и документирования инцидента. Он должен учитывать требования к уведомлениям и взаимодействию с субъектами и уполномоченным органом.
Запрос может содержать:
Пользователь может получать предусмотренную законом информацию, требовать уточнения, блокирования или удаления данных, отзывать согласие и обжаловать обработку.
Оператор отвечает в порядке и сроки, установленные законом. В публичном тексте не следует указывать выдуманный внутренний срок.
Оператору необходимо вести учёт:
Канал для вопросов должен быть указан в контактах и продублирован в реквизитах политики. Запросы по персональным данным следует отделять от обычных заказов и передавать ответственному лицу.
Политика пересматривается при изменении закона, форм, целей, сервисов, обработчиков, систем хранения или бизнес-процессов. На странице публикуется актуальная версия с реальной датой вступления в силу. Существенные изменения должны доводиться до пользователей способом, соответствующим характеру отношений.
Документ остаётся проектом до юридической и технической проверки. Публикация общей формулировки без аудита фактических систем может создать ложное представление о процессах оператора.
