Соответствие 152-ФЗ в Твери: список людей, которые видят ваши заявки
В этой статье
- Инвентаризация доступов
- Права ролей вместо одного общего логина
- Удалённые исполнители и передача данных наружу
- Сервисы, которые получают данные без участия людей
- Что мы делаем и в какие сроки
- Нужно ли соглашение с подрядчиком о конфиденциальности?
- Можно ли давать фрилансеру доступ к базе заявок?
- Сайт ведёт агентство, нам самим что-то нужно?
Про хранение данных обычно спрашивают «на каком сервере», и это правильный вопрос. Но есть второй, не менее важный: кто из живых людей может открыть список обращений. У сайта с одной формой контактов такой список нередко насчитывает восемь человек, из которых половина в компании уже не работает.
Тверские компании часто работают с московскими подрядчиками и удалёнными специалистами: близость к столице делает это нормой. Каждый такой исполнитель когда-то получал доступ в админку, и почти никогда его не забирали обратно.
Инвентаризация доступов
Мы выписываем всех, кто технически может увидеть персональные данные:
- администраторы сайта и контент-менеджеры;
- подрядчики по разработке и по рекламе;
- сотрудники, которым письма с заявками приходят копией;
- владельцы аккаунтов в CRM и в сервисе рассылок;
- тот, у кого лежит доступ к панели хостинга и резервным копиям.
Обычно после такой ревизии список сокращается вдвое. Это самая дешёвая часть приведения в соответствие с ФЗ № 152 и одновременно самая результативная.
Права ролей вместо одного общего логина
Частая схема: один пароль администратора на всех, потому что «так удобнее». Тогда невозможно понять, кто выгрузил базу и когда. Мы разводим права по ролям: редактор правит тексты, но не видит заявки; менеджер видит заявки, но не меняет шаблоны; полный доступ остаётся у одного ответственного. Плюс включаем журнал действий, чтобы у любой выгрузки был автор и время.
Удалённые исполнители и передача данных наружу
Когда рекламное агентство настраивает кампании, ему нужны обращения для оценки эффективности. Часто их просто выгружают таблицей и отправляют в мессенджере. Так данные покидают компанию без всякого следа. Рабочий вариант – передавать агентству обезличенные показатели или давать ограниченный доступ к отчётам, а не к персональным полям. Как это устроено в рекламе, разбираем в разделе контекстной рекламы.
Сервисы, которые получают данные без участия людей
Кроме сотрудников есть автоматические получатели:
- аналитика, получающая идентификаторы посетителя;
- коллтрекинг, связывающий звонок с рекламным каналом;
- чат-виджет, хранящий переписку на своей стороне;
- сервис писем и CRM, куда заявка попадает целиком.
Они работают круглосуточно и получают данные при каждой отправке формы. Мы составляем их перечень с целями и вносим в политику: посетитель должен видеть, кому именно уходит его телефон. У сайтов машиностроительных предприятий и туристических компаний Твери этот перечень редко бывает короче четырёх пунктов.
Что мы делаем и в какие сроки
От трёх до семи рабочих дней: проверяем страну размещения хостинга, почты и резервных копий, переносим хранение в Россию при необходимости, чистим доступы и роли, включаем журнал, ставим в формах отдельную галочку согласия со ссылкой на политику, добавляем уведомление о cookie, готовим сведения для уведомления оператора в Роскомнадзор. Дальше следим за схемой в рамках поддержки сайта.
Нужно ли соглашение с подрядчиком о конфиденциальности?
Да, если подрядчик получает доступ к данным. Отношения с исполнителем должны быть оформлены документом, где сказано, что он делает с данными и чего не делает. Без бумаги любой доступ выглядит бесконтрольным.
Можно ли давать фрилансеру доступ к базе заявок?
Лучше не давать вовсе. Для доработки сайта хватает тестовой копии без реальных контактов: мы делаем такую копию с обезличенными записями, и разработчик работает на ней.
Сайт ведёт агентство, нам самим что-то нужно?
Оператором остаётесь вы, поэтому знать схему хранения и держать у себя актуальную политику нужно вам. Агентство помогает технически, но ответственность перед регулятором не переносится вместе с логином.
Составим список тех, кто видит ваши данные, и оставим в нём только нужных: +7 (901) 417-22-12. Условия и стоимость – в разделе цен.