Соответствие 152 ФЗ: как мы проверяем сайты в Набережных Челнах
В этой статье
- Границы аудита: что входит в проверку
- Тендерные и дилерские формы: скрытые массивы данных
- Файлы и вложения в заявках
- Серверы, логи и сроки хранения
- Отчёт: список нарушений и их вес
- Что с B2B-заявками от юридических лиц
- Нужно ли согласие для формы «скачать прайс»
- Кто вносит правки: ваши программисты или наши
Автопром и производство комплектующих задают тон бизнесу в Набережных Челнах: сайты здесь чаще B2B, с тендерными формами, дилерскими анкетами и разделом вакансий. Кажется, что персональных данных мало, ведь клиенты – юридические лица. На практике в заявке всегда есть живой человек: контактное лицо, его должность, мобильный и рабочая почта. Именно с этим и работает аудит.
Границы аудита: что входит в проверку
Мы заранее договариваемся, что смотрим, чтобы отчёт не оказался неполным:
- основной домен и все поддомены с лендингами;
- формы, обработчики, файлы загрузки, личные кабинеты;
- сторонние скрипты и виджеты на страницах;
- хостинг, база, резервные копии, почтовый сервис;
- документы сайта и фактические доступы сотрудников.
Тендерные и дилерские формы: скрытые массивы данных
Промышленные сайты собирают данные там, где их не ждут. Анкета потенциального поставщика с ФИО директора, форма записи на завод с паспортными данными для пропуска, заявка на дилерство с контактами менеджеров. Такие формы редко попадают в политику, потому что делались отдельно и «для своих». В отчёте они идут первым блоком: объём данных большой, а согласия обычно нет.
Каждой цели – своё согласие: заявка на поставку, оформление пропуска и отправка резюме юридически разные истории.
Файлы и вложения в заявках
Отдельно проверяем загрузку документов. Куда складываются присланные файлы, доступны ли они по прямой ссылке без авторизации, попадают ли в поисковый индекс. Открытая папка с резюме и сканами документов – самая неприятная находка, которую мы встречаем, и закрывается она в первый же день работ.
Серверы, логи и сроки хранения
Смотрим, где размещён сайт и база, куда пишутся копии, что попадает в логи сервера. Хранение данных россиян на серверах в РФ распространяется и на бэкапы, и на архив писем. Дальше обсуждаем сроки: заявка, отработанная три года назад, обычно уже не нужна, а лежит вместе со всеми. В отчёте мы предлагаем регламент удаления и настраиваем автоматическую чистку старых записей.
Отчёт: список нарушений и их вес
Итоговый документ содержит адрес каждой находки, описание, уровень риска и оценку работ. План правок выстроен так:
- закрыть открытые файлы и формы без согласия;
- опубликовать корректную политику и указать в ней все каналы и сервисы;
- перенести базу и копии в РФ, разграничить доступы, включить журнал действий;
- убрать лишние поля и неиспользуемые скрипты, задать сроки хранения.
На сайт челнинского производителя с поддоменами проверка сайта на соответствие 152 ФЗ уходит три дня, правки занимают от недели. Дальше сайт удобно держать на технической поддержке: новые формы сразу выходят с согласием.
Что с B2B-заявками от юридических лиц
Название компании и её реквизиты персональными данными не являются, а ФИО, телефон и почта контактного лица – являются. Поэтому согласие в форме нужно и на корпоративном сайте.
Нужно ли согласие для формы «скачать прайс»
Если за файл просят почту или телефон, то да. Такие формы мы находим на промышленных сайтах чаще всего и почти всегда без чек-бокса и без упоминания в политике.
Кто вносит правки: ваши программисты или наши
Обычно наши: мы уже разобрались в коде во время аудита, поэтому работа идёт быстрее. Если у вас есть свой разработчик, отдаём ему отчёт с точными адресами файлов и формулировками для документов.
Начните с осмотра сайта, он бесплатный: +7 (917) 818-43-57. Посмотреть примеры наших промышленных проектов можно в разделе сайтов для заводов и в портфолио.