Влад, добрый день.
Ваш проект согласия в целом соответствует новой редакции ст. 9 ч. 1 Закона № 152‑ФЗ, использование чекбокса допустимо, для Китая требуется подача двух уведомлений в Роскомнадзор без дополнительного «ожидания» из‑за адекватности защиты, а выделение маркетингового согласия отдельной галочкой и предусмотренный механизм отзыва корректны при небольших доработках формулировок.
Далее по вопросам и рекомендациям.
1. Требования ст. 9 ч. 1 № 152‑ФЗ (отдельность, конкретность, информированность)
С 01.09.2025 согласие на обработку ПДн должно оформляться отдельным документом, отделённым от иной информации (оферты, политики и т.п.), а также быть конкретным, предметным, информированным, сознательным и однозначным. В Вашем тексте прямо указано, что согласие «не является частью Лицензионного соглашения‑оферты или иного документа Оператора» и требуется исключительно для Profitree AI и трансграничной передачи, что соответствует требованию об отдельности и специфичности цели.
Конкретные цели: перечислены цели (персонализированные бизнес‑рекомендации, анализ запросов, трансграничная передача поставщикам нейросетей), что делает согласие предметным и конкретным по ст. 9.
Конкретный перечень данных: запросы, история диалогов, контекстные данные магазина (продажи, расходы, планы и т.д.): перечень достаточно детализирован, нет расплывчатых формулировок «и иные данные».
Информированность: указаны срок действия, сроки хранения, трансграничная передача, ссылка на политику, страна (Китай, как адекватная по Приказу № 128), порядок отзыва и последствия (отключение AI при сохранении остального функционала).
Рекомендуемые минимальные уточнения (для «подстраховки» под практику Роскомнадзора): Явно указать правовое основание обработки: «Обработка указанных персональных данных осуществляется на основании настоящего Согласия (часть 1 статьи 9, пункт 1 части 1 статьи 6 Закона № 152‑ФЗ)».
В пункте о трансграничной передаче добавить явное указание на DeepSeek / Китай: например, «в том числе на сервера поставщика нейросетевой модели DeepSeek (Китайская Народная Республика)»; сейчас в тексте ссылка на перечень в политике, что формально допустимо, но лучше зафиксировать ключевого контрагента прямо в согласии.
В остальном по вопросу (1) можно считать, что документ отвечает критериям новой редакции ст. 9 ч. 1: отдельный, конкретный, предметный, информированный, сознательный и однозначный.
2. Форма согласия: чекбокс vs «письменная форма» для трансграничной передачи.
Закон № 152‑ФЗ допускает получение согласия в любой форме, позволяющей подтвердить факт предоставления, если прямо не требуется «письменная форма». Электронная отметка (чекбокс) с фиксацией даты и связкой с учётной записью, как описано в п. 8 Вашего документа, отвечает критерию явного утвердительного действия и позволяет подтвердить факт согласия.
Особенность ст. 12 по трансграничной передаче:
Для передачи в страны с адекватной защитой (Китай включён в перечень Роскомнадзора по Приказу № 128) согласие субъекта ПДн не обязательно именно в письменной форме; достаточно надлежащего согласия, оформленного по ст. 9 (в том числе электронного).
Требование «письменного согласия» (с подписью, ФИО и т.п.) актуально, когда передача идёт в страну без адекватной защиты; тогда ст. 12 прямо говорит о необходимости письменного согласия с уведомлением об особенностях такой передачи.
У Вас страна назначения — Китай, который Роскомнадзор относит к государствам с адекватной защитой, поэтому:
Электронная форма через чекбокс (с логированием даты, IP/идентификатора аккаунта, версии согласия) достаточна, письменная форма с паспортными данными именно ради трансграничной передачи в Китай не требуется.
Имеет смысл в реальной реализации хранить: идентификатор пользователя, дату/время, версию согласия, лог‑запись о проставлении галочки, это позволит доказать факт согласия при проверке.
Если в будущем будут использоваться другие страны без адекватной защиты (например, США, ряд иных юрисдикций), тогда для этих стран действительно понадобится письменное согласие с расширенным информированием (страна, риск, назначение, отсутствие адекватности), либо запрет передачи без такого согласия.
3. Уведомления в Роскомнадзор: ст. 22 и ст. 12, срок ожидания.
По ст. 22 Закона № 152‑ФЗ оператор обязан до начала обработки ПДн направить уведомление о намерении осуществлять обработку персональных данных, за исключением ограниченных случаев, перечисленных в законе (которые к Вашему кейсу не относятся: ИП, сервис, регулярная обработка, трансграничная передача). В уведомлении по ст. 22 указывается, в том числе, факт трансграничной передачи и страны назначения.
Отдельно ст. 12 предусматривает:
До начала трансграничной передачи ПДн оператор обязан направить уведомление о намерении осуществлять трансграничную передачу (отдельное от уведомления по ст. 22).
В уведомлении по ст. 12 указываются сведения, перечисленные в ч. 4 ст. 12: данные об операторе, целях, категориях ПДн, государствах назначения, наличии/отсутствии адекватной защиты, мерах по обеспечению безопасности.
Таким образом, для Вашего кейса Вы обязаны подать:
— уведомление об обработке ПДн по ст. 22 (если ещё не подавали);
— отдельное уведомление о трансграничной передаче по ст. 12.
Факт того, что Китай — адекватная страна, не отменяет ни уведомление по ст. 22, ни уведомление по ст. 12; это влияет лишь на условия передачи (не нужно письменное согласие с особыми предупреждениями).
Относительно «срока ожидания рассмотрения» для адекватной страны: Роскомнадзор разъяснял, что уведомление о трансграничной передаче подаётся до начала деятельности, но ч. 3 ст. 12 не предполагает уведомления по каждому факту передачи и не вводит специального «моратория» на передачу именно из‑за статуса страны.
Практически считается, что после направления корректного уведомления и отсутствия запрета со стороны Роскомнадзора оператор вправе осуществлять передачу; отдельный более длинный срок ожидания для адекватной страны (Китая) не устанавливается.
Рекомендации по содержанию уведомлений: В уведомлении по ст. 22: указать сервис, категории ПДн (ПДн пользователей — предпринимателей, их контактные, учётные, а также данные о магазине), цели (аналитика, рекомендации, AI‑ассистент), факт трансграничной передачи и страны (Китай), наличие адекватной защиты.
В уведомлении по ст. 12: подробно описать трансграничную передачу именно в Китай и поставщика DeepSeek, указать технические и организационные меры защиты, режим хранения и удаления данных.
4. Маркетинговое согласие: отдельная галочка и отзыв.
Поскольку новая редакция ст. 9 ч. 1 требует отдельного согласия на разные цели, разделение согласия на обработку ПДн для AI и согласия на получение информационных и рекламных сообщений отдельной галочкой соответствует как букве, так и духу закона. В Вашем тексте маркетинговое согласие оформлено отдельным блоком с самостоятельной формулировкой, без привязки к основному согласию на ПДн, и предусматривает независимый отзыв.
С точки зрения законодательства рассылка информационных и рекламных сообщений (email, Telegram) требует отдельного согласия, не связанного с условием использования сервиса (недопустимо делать маркетинговое согласие «обязательным» для доступа к основной услуге). Ваш текст прямо говорит о добровольности и независимом отзыве, это корректно.
Возможность отзыва через Telegram, email и ссылку отписки соответствует требованиям о простоте и доступности отзыва согласия; дополнительных форм (бумажное заявление и т.п.) не требуется.
Для основного согласия Вы указали прекращение обработки в течение 30 рабочих дней после получения отзыва; формально закон говорит о прекращении по достижении цели и/или по истечении срока, либо по отзыву, но не конкретизирует «срок прекращения».
30 рабочих дней — допустимый, но довольно длительный срок; для маркетинговых рассылок в практике (и требованиях о рекламе/СПАМ) чаще встречается более короткий период (1-3 рабочих дня / немедленно технически). Тем не менее, с точки зрения 152‑ФЗ именно по ПДн такой срок не запрещён, если он прямо и честно сообщён субъекту.
Рекомендованные улучшения по вопросу (4):
Для маркетингового согласия можно сформулировать более быстрый срок прекращения рассылки (например, «не позднее 3 рабочих дней»).
Добавить короткое указание, что после отзыва маркетингового согласия ПДн, использовавшиеся исключительно для рассылки, подлежат удалению или обезличиванию, за исключением данных, обрабатываемых по иным основаниям (договор, закон). Это усилит информированность и прозрачность в понимании субъекта.
Если вы будете дорабатывать документы комплексно (политику, уведомления, согласия), имеет смысл выстроить единый «реестр целей» и ссылок: основное согласие для AI, отдельное маркетинговое, плюс явно прописать, где основание обработки — договор, а где — согласие.
Работаю с такими кейсами постоянно. Если нужна будет помощь в подготовке/аудите документов (включая весь пакет по ПДн и договорной «обвязке» бизнеса), готов помочь.
