Генератор политики конфиденциальности

Ниже готовый текст политики. Места, которые нужно заполнить или проверить, помечены [уточнить]. После политики есть список рисков, которые стоит решить до публикации. Главные из них: Google Analytics для пользователей из РФ, Stripe и DHL.

Политика конфиденциальности ООО «Лавка Мастеров»

Редакция № [уточнить] Дата публикации: [уточнить] Дата вступления в силу: [уточнить] (не раньше чем через 10 календарных дней после публикации, если это новая редакция) Сайт: https://lavkamasterov.ru

Коротко о главном

• Мы собираем только те данные, которые нужны, чтобы принять, оплатить и доставить ваш заказ, помочь вам в поддержке и (с вашего согласия) рассказывать об акциях.
• Мы не храним полные номера банковских карт. Платежи обрабатывают ЮKassa и [уточнить: Stripe].
• Мы не продаём ваши персональные данные.
• Вы можете в любой момент узнать, какие данные о вас хранятся, исправить или удалить их и отказаться от рассылки. Для этого напишите на privacy@lavkamasterov.ru.

0. Кто мы и к кому применяется эта Политика

0.1. Оператор (контролёр) данных: ООО «Лавка Мастеров» ОГРН [уточнить], ИНН [уточнить] Юридический адрес: [уточнить] Регистрационный номер в реестре операторов персональных данных Роскомнадзора: [уточнить]

В этой Политике мы называем себя «мы» или «Компания», а вас — «вы» или «пользователь».

0.2. Что регулирует Политика. Она описывает, как мы обрабатываем персональные данные посетителей сайта https://lavkamasterov.ru, покупателей, получателей подарочных сертификатов, авторов отзывов и всех, кто обращается в поддержку.

0.3. Какие законы мы соблюдаем. В зависимости от того, где вы живёте, к вам применяются:

Если нормы разных стран расходятся, мы применяем ту, которая лучше защищает ваши права, если это не противоречит обязательным требованиям закона.

0.4. Эта Политика и согласие — разные документы. С 1 сентября 2025 года российский закон требует оформлять согласие на обработку персональных данных отдельно от других документов. Поэтому согласия, которые вы даёте на сайте, находятся в отдельных формах со своим чекбоксом и текстом:

• согласие на обработку персональных данных;
• согласие на получение рекламных рассылок;
• согласие на распространение данных в отзывах (ст. 10.1 152-ФЗ);
• согласие на аналитические и маркетинговые cookies.

Политика только объясняет, как устроена обработка. Сама по себе она согласием не является.

1. Какие данные мы собираем

1.1. Данные, которые вы передаёте нам сами

Про дату рождения. Она нужна только для проверки возраста при покупке товаров с ограничением 18+ (например, наборов для творчества с режущими инструментами) [уточнить перечень товаров и правовое основание ограничения]. Для других целей мы её не используем.

Про отзывы. Отзывы видны всем посетителям сайта. Не пишите в них телефон, адрес и другие данные, которые не хотите делать публичными. На фото не должно быть лиц других людей без их согласия.

1.2. Данные, которые собираются автоматически

• Технические данные: IP-адрес, тип и версия браузера, операционная система, разрешение экрана, идентификаторы устройства.
• Данные о поведении на сайте: какие страницы вы посещаете и сколько времени на них проводите, откуда пришли (UTM-метки). Эти данные собирают Яндекс Метрика и [уточнить: Google Analytics — см. примечание 1 в конце].
• Cookies и похожие технологии (подробнее в разделе 6).
• Приблизительное местоположение по IP (страна, регион, город). Оно нужно, чтобы показать доступные способы доставки и цены в вашей валюте. Точную геолокацию (GPS) мы не собираем.
• Данные о взаимодействии с рассылками: открыли ли вы письмо, переходили ли по ссылкам (через сервис UniSender).

1.3. Данные, которые мы получаем от третьих лиц

• ВКонтакте (VK ID). Если вы входите через ВКонтакте, мы получаем ваше публичное имя и аватар. Другие данные из вашего профиля мы не запрашиваем [уточнить фактический объём scope].
• Покупатели подарочных сертификатов. Когда вы дарите сертификат, вы указываете имя и email получателя. Вы подтверждаете, что вправе передать нам эти данные и что получатель ожидает подарок. Мы используем данные получателя только для отправки сертификата и обслуживания его погашения. Если получатель живёт в ЕС, мы сообщаем ему об источнике данных в письме с сертификатом (ст. 14 GDPR).
• Платёжные провайдеры и службы доставки передают нам статусы платежей и отправлений.

2. Цели и правовые основания обработки

Мы обрабатываем данные только для конкретных целей и на законном основании. Основания по российскому закону (152-ФЗ, ст. 6) и по GDPR (ст. 6) указаны в таблице.

Законный интерес. Если мы опираемся на законный интерес, мы заранее сопоставили его с вашими правами и выбрали наименее вмешивающийся способ обработки. Вы можете возразить против такой обработки (раздел 5).

Автоматизированные решения. Мы не принимаем решений, которые порождают для вас юридические последствия или так же существенно на вас влияют, исключительно на основе автоматической обработки (ст. 16 152-ФЗ, ст. 22 GDPR). Платёжные провайдеры могут автоматически проверять транзакции на мошенничество по своим правилам.

Специальные категории данных (о здоровье, убеждениях, биометрия и т. п.) мы не собираем.

3. Передача данных

3.1. Подрядчики и сервис-провайдеры

Мы передаём данные только тем, кто помогает нам оказывать услуги, и только в объёме, нужном для их задачи. С каждым из них заключён договор (поручение на обработку по ч. 3 ст. 6 152-ФЗ, соглашение об обработке данных по ст. 28 GDPR или договор с сервис-провайдером по CCPA). Такие договоры запрещают использовать ваши данные для собственных целей подрядчика.

Актуальный список подрядчиков можно получить по запросу на privacy@lavkamasterov.ru.

3.2. Где хранятся данные и трансграничная передача

Данные граждан РФ. Их первичная запись, систематизация, накопление, хранение, уточнение и извлечение выполняются в базах данных на территории России (ч. 5 ст. 18 152-ФЗ). Наш основной сервер находится в России [уточнить: провайдер, ЦОД].

Передача за рубеж. Она нужна, например, для доставки в ЕС или обработки международного платежа. Такую передачу мы осуществляем:

• после уведомления Роскомнадзора о намерении её осуществлять (ст. 12 152-ФЗ);
• в страны, обеспечивающие адекватную защиту: страны — участницы Конвенции 108 и страны из перечня Роскомнадзора. Например, страны ЕС [уточнить статус Казахстана и Беларуси по актуальному перечню];
• в страны без адекватной защиты (например, США) — только в случаях, разрешённых ст. 12 152-ФЗ, в том числе при исполнении договора с вами или с вашего письменного согласия [уточнить].

Для пользователей из ЕС. Мы — российская компания. Когда вы делаете заказ, данные поступают к нам в Россию, а для России у Европейской комиссии нет решения об адекватности. Уровень защиты данных в России может отличаться от европейского, включая возможности доступа госорганов к данным. Мы обрабатываем ваши данные в Россию в объёме, необходимом для исполнения вашего заказа (ст. 49(1)(b) GDPR). Кроме того, мы применяем меры безопасности из раздела 4. При передаче данных подрядчикам за пределы ЕЭЗ, в том числе в США, мы используем Стандартные договорные условия Еврокомиссии (SCC) или EU–US Data Privacy Framework, если получатель в нём сертифицирован. Копию применяемых гарантий можно запросить на privacy@lavkamasterov.ru.

Для пользователей из Казахстана и Беларуси. Мы передаём ваши данные службам доставки и платёжным провайдерам только для исполнения заказа. Мы соблюдаем требования законов этих стран о трансграничной передаче [уточнить требования РК о локализации — см. примечание 6].

3.3. Раскрытие по требованию закона

Мы можем раскрыть данные государственным органам (суду, органам следствия, налоговой службе и т. д.), если этого требует закон и запрос оформлен надлежащим образом. Мы проверяем законность каждого запроса и раскрываем минимально необходимый объём данных. Если закон не запрещает, мы уведомим вас о запросе.

3.4. Реорганизация бизнеса

При реорганизации, слиянии, продаже бизнеса или его части данные могут перейти правопреемнику. Он обязан соблюдать эту Политику или условия, не менее защищающие ваши данные. Мы заранее сообщим вам о таком переходе по email или на сайте.

3.5. Чего мы не делаем

• Мы не продаём ваши персональные данные.
• Мы не передаём данные третьим лицам для их собственного маркетинга.
• Вопрос «sharing» по CCPA (передача для кросс-контекстной поведенческой рекламы) рассматривается в разделе 5.4.

4. Сроки хранения и меры безопасности

4.1. Как мы определяем срок хранения

Мы храним данные, пока они нужны для цели, ради которой были собраны, или пока этого требует закон. Когда срок истекает или цель достигнута, данные уничтожаются или обезличиваются. По российскому закону это делается в течение 30 дней (ст. 21 152-ФЗ).

4.2. Как мы защищаем данные

Мы принимаем правовые, организационные и технические меры по ст. 18.1 и 19 152-ФЗ, Постановлению Правительства РФ № 1119, Приказу ФСТЭК № 21 и ст. 32 GDPR:

• Шифрование при передаче: весь трафик сайта идёт по HTTPS (TLS 1.2 и выше).
• Шифрование при хранении: базы данных и резервные копии шифруются [уточнить алгоритм, например AES-256].
• Пароли хранятся только в виде хешей с «солью» по стойкому алгоритму [уточнить: bcrypt / Argon2].
• Платёжные данные обрабатывают сертифицированные по PCI DSS провайдеры. Полные данные карт к нам не попадают.
• Контроль доступа: сотрудники получают доступ только к тем данным, которые нужны для их работы (принцип минимальных привилегий). В административные системы вход только с двухфакторной аутентификацией, все действия записываются в журналы.
• Сотрудники подписывают обязательство о конфиденциальности и проходят обучение.
• Регулярные проверки: оценка угроз, обновление ПО, резервное копирование, тесты восстановления [уточнить периодичность].
• Внутренние документы: назначен ответственный за организацию обработки персональных данных, утверждены локальные акты по обработке и защите данных.

4.3. Если произойдёт утечка

• Россия: уведомляем Роскомнадзор в течение 24 часов с момента выявления инцидента и направляем результаты внутреннего расследования в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ).
• ЕС: уведомляем надзорный орган в течение 72 часов (ст. 33 GDPR). Если утечка создаёт высокий риск для вас, сообщаем и вам без неоправданной задержки (ст. 34 GDPR).
• Калифорния: уведомляем затронутых лиц в соответствии с Cal. Civ. Code § 1798.82.
• Казахстан, Беларусь: уведомляем уполномоченные органы в сроки, установленные местным законом [уточнить].

5. Ваши права и как их реализовать

5.1. Права всех пользователей

Независимо от страны проживания вы можете:

1. Узнать, обрабатываем ли мы ваши данные, и получить их копию и сведения об обработке (право на доступ).
2. Исправить неточные или неполные данные. Многое можно поправить самостоятельно в личном кабинете.
3. Удалить данные, если они больше не нужны, обрабатываются незаконно или вы отозвали согласие. Исключение — данные, которые мы обязаны хранить по закону, например бухгалтерские документы.
4. Отозвать согласие в любой момент, так же легко, как вы его дали. Это не делает незаконной обработку, проведённую до отзыва.
5. Отказаться от рассылки: по ссылке «Отписаться» в любом письме, в настройках профиля или по запросу. Push-уведомления отключаются в настройках браузера.
6. Возразить против обработки на основе законного интереса. Против прямого маркетинга — всегда и без объяснения причин.
7. Ограничить обработку на время проверки ваших требований.
8. Получить данные в машиночитаемом формате (JSON или CSV) и передать их другому сервису (право на переносимость, GDPR ст. 20; CCPA).
9. Подать жалобу в надзорный орган (таблица в п. 0.3) или обратиться в суд.

5.2. Как подать запрос

• Email: privacy@lavkamasterov.ru с темой «Запрос о персональных данных».
• Почтой: [уточнить адрес], с пометкой «Ответственному за обработку ПДн».
• В личном кабинете: раздел «Настройки конфиденциальности» [уточнить наличие].

Для российских пользователей запрос должен содержать сведения, требуемые ч. 3 ст. 14 152-ФЗ. Можно воспользоваться нашей формой [уточнить ссылку].

Подтверждение личности. Чтобы не выдать ваши данные постороннему, мы попросим подтвердить личность. Обычно для этого достаточно написать с email, привязанного к аккаунту, или ввести код из SMS. Лишних документов мы не запрашиваем. Данные, полученные для подтверждения, используем только для этой цели.

Сроки ответа:

Стоимость. Запросы бесплатны. Если запросы явно необоснованные или чрезмерные, мы вправе отказать или, если это допускает закон, взять разумную плату. Отказ всегда объясняем.

5.3. Пользователям из ЕС

• Вы можете пожаловаться в надзорный орган своей страны:
  • Германия — орган по защите данных вашей земли или BfDI;
  • Франция — CNIL (cnil.fr);
  • Италия — Garante per la protezione dei dati personali (garanteprivacy.it).
• Наш представитель в ЕС (ст. 27 GDPR): [уточнить: наименование, адрес, email].
• Отказ предоставить данные, которые нужны для заказа (имя, адрес доставки), делает невозможным исполнение договора. Все остальные данные вы предоставляете добровольно.

5.4. Жителям Калифорнии (CCPA/CPRA)

[уточнить, подпадает ли Компания под CCPA — см. примечание 5]

Категории данных, собранных за последние 12 месяцев:

• Цели обработки и сроки хранения описаны в разделах 2 и 4.
• Чувствительные данные мы используем только для целей, разрешённых § 7027(m) регламента CCPA (обеспечение работы аккаунта и безопасности). Поэтому право ограничить их использование («Limit the Use of My Sensitive Personal Information») не применяется.
• Продажа (sale). Мы не продаём персональные данные.
• Sharing. Если на сайте включены рекламные или ремаркетинговые cookies третьих лиц, это может считаться «sharing» для кросс-контекстной поведенческой рекламы [уточнить]. Отказаться можно по ссылке «Do Not Sell or Share My Personal Information» в подвале сайта. Мы также учитываем браузерный сигнал Global Privacy Control (GPC) как отказ от sharing.
• Данные лиц младше 16 лет мы заведомо не продаём и не передаём (sale/sharing).
• Ваши права: узнать, какие данные собраны; удалить их; исправить; отказаться от sale/sharing.
• Уполномоченный представитель. Вы можете действовать через него. Мы попросим подписанную доверенность и подтверждение вашей личности.
• Отсутствие дискриминации. Мы не отказываем в обслуживании, не меняем цены и качество услуг из-за того, что вы воспользовались своими правами.
• Если мы отказали в выполнении запроса, вы можете обжаловать отказ, ответив на наше письмо. Результат пересмотра сообщим в течение 45 дней. Также можно обратиться к Генеральному прокурору Калифорнии или в CPPA.

5.5. Пользователям из Казахстана и Беларуси

Вы пользуетесь правами, которые предоставляют законы РК № 94-V и РБ № 99-З: знать о наличии данных, получать информацию об обработке, требовать изменения, блокирования и удаления, отзывать согласие, обжаловать действия оператора в уполномоченном органе или суде. Запросы направляйте на privacy@lavkamasterov.ru.

6. Cookies и трекинг

6.1. Что это

Cookies — небольшие файлы, которые сайт сохраняет в вашем браузере. Похожим образом работают пиксели в письмах, локальное хранилище браузера и push-токены.

6.2. Какие cookies мы используем

Полный перечень cookies со сроками их жизни: [уточнить: ссылка на таблицу cookies].

6.3. Как управлять согласием

• При первом визите вы видите баннер с кнопками «Принять все», «Отклонить все» и «Настроить». Отклонить так же просто, как принять. Необязательные cookies не устанавливаются, пока вы не дадите согласие.
• Изменить выбор можно в любой момент по ссылке «Настройки cookies» в подвале сайта.
• Cookies можно удалить или заблокировать в настройках браузера. Некоторые функции сайта при этом могут перестать работать.
• Сигнал Global Privacy Control мы учитываем как отказ от маркетинговых cookies.
• Дополнительные способы отказаться: блокировщик Google Analytics (tools.google.com/dlpage/gaoptout), инструкции Яндекса по отключению Метрики [уточнить ссылку].

6.4. Вебвизор

Если на сайте включён Вебвизор Яндекс Метрики, он записывает действия на странице (движения мыши, клики). Поля с паролями и платёжными данными маскируются и не записываются [уточнить, включён ли Вебвизор и настроено ли маскирование].

7. Несовершеннолетние, обновления Политики и контакты

7.1. Данные несовершеннолетних

• Сайт предназначен для лиц старше [уточнить: 16] лет. Для жителей ЕС минимальный возраст самостоятельного согласия зависит от страны: Германия — 16 лет, Франция — 15, Италия — 14.
• Товары с отметкой 18+ продаются только совершеннолетним. Возраст проверяется по дате рождения [уточнить способ проверки при получении, например по документу у курьера].
• Мы не собираем целенаправленно данные детей. Если мы узнаем, что получили данные ребёнка без согласия родителя или законного представителя, мы удалим их в течение 10 рабочих дней с момента выявления.
• Если вы родитель и считаете, что ваш ребёнок передал нам данные, напишите на privacy@lavkamasterov.ru.

7.2. Обновления Политики

• Мы пересматриваем Политику не реже раза в год, а также при изменении законов или процессов обработки.
• Существенные изменения (новые цели, новые категории получателей, трансграничная передача в новые страны) вступают в силу не раньше чем через 10 календарных дней после публикации [уточнить: для ЕС рекомендуется 30 дней]. Мы сообщаем о них:
  • по email зарегистрированным пользователям;
  • баннером на сайте.
• Незначительные изменения (правки текста, обновление контактов) вступают в силу с момента публикации.
• Если для новой цели нужно согласие, мы запросим его отдельно. Продолжение пользования сайтом согласием не считается.
• Предыдущие редакции Политики хранятся в архиве: [уточнить ссылку].

7.3. Контакты

По вопросам конфиденциальности: privacy@lavkamasterov.ru

Оператор: ООО «Лавка Мастеров», [уточнить: адрес, ОГРН, ИНН, телефон]

Ответственный за организацию обработки персональных данных (ст. 22.1 152-ФЗ) / Data Protection Officer: [уточнить: ФИО или должность], privacy@lavkamasterov.ru. Назначение DPO по ст. 37 GDPR может быть необязательным для компании вашего масштаба [уточнить].

Представитель в ЕС (ст. 27 GDPR): [уточнить]

Служба поддержки по заказам: support@lavkamasterov.ru

Надзорные органы:

• Роскомнадзор — rkn.gov.ru
• CNIL — cnil.fr
• Garante — garanteprivacy.it
• Органы по защите данных Германии — [уточнить по земле]
• CPPA — cppa.ca.gov
• НЦЗПД Беларуси — cpd.by
• Уполномоченный орган Республики Казахстан — [уточнить]

Если текст Политики на разных языках расходится, приоритет имеет русская версия, если закон страны вашего проживания не требует иного [уточнить: нужны ли версии на EN/DE/FR/IT].

Что проверить до публикации (для юриста)

Этот раздел не публикуется. Здесь риски, которые я увидел во вводных данных.

1. Google Analytics и локализация данных. С 1 июля 2025 года ужесточены требования к локализации (ч. 5 ст. 18 152-ФЗ): все действия с данными граждан РФ должны происходить в России, данные должны сначала записываться на российских серверах. Многие разборы трактуют это как невозможность использовать Google Analytics на российских сайтах. Штрафы — до 18 млн руб. (Skillbox Media, Robokassa, Хабр, vc.ru). Рекомендация: убрать GA полностью или загружать его только для пользователей из-за пределов РФ. Решение должен принять юрист.
2. Stripe. Насколько мне известно, Stripe не обслуживает российские юрлица. Нужно выяснить, через какое юрлицо принимаются международные платежи. Если через иностранного партнёра или аффилированную компанию, то это отдельный оператор или контролёр, и схему нужно описать в Политике.
3. DHL. В 2022 году DHL Express существенно сократил работу в России. Нужно проверить, кто фактически везёт посылки в ЕС (агент или консолидатор) и где он обрабатывает данные.
4. Отдельное согласие. С 1 сентября 2025 года согласие на обработку ПДн оформляется отдельным документом. Включать его в другие документы (договор, пользовательское соглашение) нельзя. Штраф для юрлиц — до 700 тыс. руб. (Гарант, 1С:ИТС, Контур). Нужно подготовить отдельные формы согласий, включая согласие на распространение данных в отзывах по ст. 10.1.
5. CCPA. Закон применяется, только если выполнен хотя бы один порог. Годовая выручка должна превышать $26 625 000 (порог с учётом инфляции), либо компания покупает, продаёт или передаёт данные 100 000+ жителей Калифорнии, либо получает от этого 50%+ выручки (CPPA, Clym). Если компания не подпадает, раздел 5.4 можно сократить до добровольных обязательств.
6. Уведомления в Роскомнадзор. Проверить, что поданы уведомления об обработке ПДн (ст. 22) и о трансграничной передаче (ст. 12) и что в них актуальный перечень стран и целей.
7. Представитель в ЕС. Компания целенаправленно продаёт товары в ЕС, поэтому, скорее всего, нужен представитель по ст. 27 GDPR. Исключение — только для эпизодической обработки с низким риском.
8. Казахстан. Проверить, распространяется ли на трансграничную онлайн-торговлю требование закона № 94-V о хранении данных в Казахстане, и уточнить действующее наименование уполномоченного органа.
9. Вход через соцсети. По 406-ФЗ российские сайты могут авторизовать пользователей только через российские сервисы. VK ID подходит. Если захотите добавить вход через Google или Apple, сначала нужно проверить это ограничение.
10. Подарочные сертификаты. Выбрать правовое основание для обработки данных получателя и решить, нужно ли уведомлять его по ч. 3 ст. 18 152-ФЗ.

Это шаблон, а не юридическая консультация. Перед публикацией его должен проверить квалифицированный юрист и адаптировать под ваши реальные процессы, договоры с подрядчиками и уведомления в Роскомнадзор.

Источники:

• Skillbox Media — запрет Google Analytics с 1 июля 2025
• Robokassa — запрет Google Analytics
• Хабр — передача ПДн за рубеж и Google Analytics
• vc.ru — запрет Google Analytics в России
• Гарант.ру — согласие на обработку ПДн с 1 сентября 2025
• 1С:ИТС — согласие отдельным документом
• Контур — изменения в согласии с 1 сентября 2025
• CPPA — Updated Monetary Thresholds in CCPA
• Clym — CCPA Applicability 2026