Добрый день. Я планирую запустить сайт, в связи с чем появилась необходимость подготовить документы по обработке перс...
Добрый день.
Я планирую запустить сайт, в связи с чем появилась необходимость подготовить документы по обработке персональных данных.
Сайт запускается от имени ИП.
Запуск и дальнейшее развитие сайта можно разделить на 3 этапа:
- облегчённая версия с минимумом функциональных возможностей
- расширение функциональных возможностей
- полноценная монетизация
Мне нужно понять, какие документы нужно подготовить к каждому из этапов.
На первом этапе (облегчённая версия) все инструменты, доступные пользователю, обрабатываются в браузере пользователя, серверной части (серверный код, база данных и т.п.) у сайта на этом этапе нет, нет авторизации, нет форм обратной связи. На сайте будет подключена Яндекс Метрика и Рекламная Сеть Яндекса (РСЯ).
На втором этапе планируется добавить часть инструментов с расчётом на серверной части сайта (передача исходных данных или файлов на сервер), добавить личный кабинет пользователя (авторизация), уведомления по различным каналам связи (email, мессенджеры), новостные рассылки.
На третьем этапе планируется подключить покупки и подписки на сервисы сайта.
Я понимаю, что уведомление о начале обработки ПДн в РКН я должен подать до запуска сайта.
Имеющиеся на данный момент вопросы:
1. Достаточно ли будет на первом этапе разместить на сайте политику обработки ПДн и баннер согласия пользователя с этой политикой, или сразу нужна оферта, правила использования и т.п.?
2. Правильно ли я понимаю, что подключать скрипты Яндекс Метрики и РСЯ до нажатия пользователем кнопки "Принимаю" на баннере согласия я не могу? Допускается ли хоть какой-то сбор статистики, данных об источниках переходов и другой подобной информации о поведении пользователя до получения согласия?
3. При выполнении запроса к сайту браузер пользователя уже передаёт некоторые данные (IP-адрес, данные о браузере и операционной системе пользователя и т.д.), которые в совокупности можно отнести к идентифицирующим пользователя (на сколько слышал, РКН относит их к ПДн). Как правильно обосновать получение таких данных, их хранение (например, в логах сервера)?
4. На сколько рискованно на первом этапе запускать сайт без баз данных, в контексте отсутствия мест явного хранения согласия пользователя на обработку ПДн?
5. Если указать в политике обработки ПДн возможность отзыва согласия путём отправки запроса по email, какие данные достаточно запросить у пользователя, если сайт не собирает его ФИО и т.п.? Требуется ли дублировать такой запрос в сторонние сервисы (Яндекс Метрика, РСЯ) при получении запроса от пользователя?
