В этой статье я дам информацию, которая сэкономит Вам до 1 500 000 рублей — именно столько Вы можете потерять, не правильно оформив свой бот.

Чтобы статья была понятней, предлагаю разобрать три реальные модели бота: Telegram-бот может просто отправлять пользователю бесплатный гайд, собирать заявки или полностью заменять сайт: принимать оплату и автоматически выдавать продукт. И в каждом случае юридическое оформление будет разным.

Ситуация № 1. Через бот просто выдаём бесплатный гайд

Например, человек увидел ваш Reels, написал кодовое слово или сам перешёл в бот и нажал: «Получить гайд». После этого бот автоматически отправляет ему PDF-файл. Вы не просите оставить ФИО, телефон или e-mail.

Кажется, что персональные данные здесь вообще не собираются. Но это не совсем так. Бот всё равно получает данные пользователя (имя пользователя и ID).

Нужно ли в таком случае получать отдельное согласие на обработку персональных данных? Не обязательно.

Более того, есть проблема: к тому моменту, когда бот сможет спросить пользователя «Даете ли вы согласие на обработку персональных данных?», он уже получил его Telegram ID и другие доступные данные.

Поэтому в такой ситуации обработку можно строить не на согласии, а на таком основании как необходимости обработки персональных данных для заключения и исполнения договора с пользователем. Такое основание прямо предусмотрено п. 5 ч. 1 ст. 6 Федерального закона № 152-ФЗ.

Для этого перед ссылкой на бот, можно разместить условия получения бесплатного материала.

Также, можно установить, что нажатием кнопки «Получить гайд» пользователь принимает условия соглашения со ссылкой на соглашение, в котором указано:

— какой материал получает пользователь;
— какие данные обрабатываются при взаимодействии с ботом;
— для какой цели они используются;
— что пользователь получает материал бесплатно;
— какое действие считается принятием условий.

При этом распечатывать документ, подписывать его от руки или обмениваться сканами не требуется. Договор может быть заключён посредством совершения пользователем действий, свидетельствующих о принятии его условий.

Важно: пользователь должен иметь возможность ознакомиться с условиями до совершения действия, которым он их принимает. Поэтому ссылку на соглашение лучше разместить до кнопки «Получить гайд» или непосредственно рядом с ней.

Если после выдачи гайда вы не делаете рассылки, не отправляете рекламу и не используете полученные данные для других целей, других документов вам не требуется.

А вот если после этого вы хотите начать отправлять пользователю рекламные сообщения, продавать через бота или дополнительно собирать телефон, e-mail и другие данные — требования к оформлению бота уже будут другими.

Ситуация № 2. Выдаём материалы и дополнительно собираем персональные данные

Теперь усложним схему. Человек приходит в бот за материалом, но перед его получением вы просите оставить, например: имя + e-mail + номер телефона - бот задаёт несколько вопросов, ответы сохраняются в CRM. Здесь уже появляется полноценная форма сбора персональных данных.

Имя + e-mail + номер телефона — это персональные данные.

Соответственно, собирая такие данные, вы становитесь оператором персональных данных и обязаны соблюдать Федеральный закон "О персональных данных", который обязывает вас:

Разработать политику обработки персональных данных

В ней указывают, какие данные собирают, зачем это делают, на каком основании, как используют и защищают.

Что будет, если не разместить: штраф

• для граждан: от 1 500 до 3 000 рублей.
• для ИП: от 10 000 до 20 000 рублей.
• для юридических лиц: от 30 000 до 60 000 рублей.

Где разместить: Политику нужно разместить в свободном доступе: так, чтобы любой желающий мог с ней ознакомиться. Вы можете разместить ее либо в самом боте, либо дать ссылку на нее, если она размещена на Вашем сайте или либо другой платформе (например, на Яндекс.Диске).

Самая частая ошибка в Политике: в 2022 года в Закон "О персональных данных" были внесены существенные изменения, в том числе были обновлены законодательные требования к политике, однако многие сайты до сих пор размещают старый вариант этого документа.

В политике недостаточно отдельно перечислить все цели обработки, а потом отдельно — все персональные данные.

Должна быть четкая связка: цель → какие данные обрабатываются → чьи данные → как обрабатываются → сколько хранятся → как уничтожаются.

Политика должна отражать реальные процессы обработки персональных данных именно в вашем бизнесе: от заполнения формы обратной связи до оформления заказа, онлайн-записи или работы с клиентами через мессенджеры.

2️⃣ Получить согласие на обработку персональных данных

Нет ничего хуже, чем на пустом месте получить штраф от 10 000 до 700 000 рублей. Причем на "пустом" в прямом смысле этого слова :)

Когда закон обзывает брать согласие: всегда, когда вы собираете данные человека (ФИО, номер телефона, e-mail и т.д.)

Важно: Согласие на обработку персональных данных должно быть оформлено отдельно от иных документов, в том числе отдельно от договоров.

Что будет, если не разместить: штраф

• для граждан: от 10 000 до 15 000 рублей;
• для ИП: от 100 000 до 300 000 рублей;
• для организаций: от 300 000 до 700 000 рублей.

при повторном нарушении — до 1,5 млн рублей.

Самая частая ошибка: Чтобы согласие работало, клиент должен с ним согласится. Закон гласит: "своими активными действиями". То есть, например: подписать, поставить галочку, написать в чат.

Согласится нужно именно на обработку данных, а не "с политикой".

Потому что согласен с политикой ≠ даю согласие на обработку своих данных

Так писать бесполезно, это приравнивается к тому, что согласие вам никто не давал:

1. не написано, что даю согласие на обработку данных
2. заранее проставлена галочка: нет активных действия со стороны субъекта.

В своем боте согласие вы можете оформить таким образом:

В текст согласия можно добавить кликабельную ссылку на политику обработки персональных данных.

Важно взять согласие до того, как пользователь направит в чат боту свои персональные данные.

Если пользователь нажимает "нет", можно ответить так: "Понимаем. Без согласия на обработку персональных данных продолжить работу с ботом не получится.
Если передумаете, вы сможете вернуться и дать согласие."

3️⃣ Получить согласие на получение рассылок

Если вы планируете далее осуществлять своим пользователями рассылки, то с них дополнительно нужно брать согласие на получение рассылок.

Когда закон обзывает брать согласие: Если вы собираете телефон или email не только для исполнения заказа, но и хотите отправлять человеку рекламу - информацию о новинках, скидках и т.д.

Что будет, если не разместить: штраф

• для граждан: от 10 000 до 20 000 рублей;
• для ИП: от 20 000 до 100 000 рублей;
• для организаций: от 300 000 до 1 000 000 рублей.

Штраф назначается за каждое письмо, отправленное без согласия - а сколько писем вы отправляете в одной рассылке? Вот и умножьте.

Правило оформления согласия:

1. Согласие на рассылку оформляется отдельным документом.

2. Согласие с рассылкой нужно брать отдельно от всех остальных согласий.

3. Человек должен иметь возможность не соглашаться на рассылку, иначе вам грозит штраф за понуждение к получению рассылке: иными словами галочка в графе с рассылками на сайте должна быть НЕобязательной для заполнения.

Как можно оформить согласие на рассылки через бот:

❗️Важно: если пользователь нажал "нет", нельзя запрещать ему дальше пользоваться ботом, если вы заранее предупредили, что материал даете именно за подписку на рассылки.

Если пользователь нажал "нет", нельзя слать ему рассылки.

Подать уведомление в Роскомнадзор

Что будет, если не подать: штраф

• для граждан: от 5 000 до 10 000 рублей;
• для ИП: от 100 000 до 300 000 рублей;
• для организаций: от 100 000 до 300 000 рублей.

Как подать: через сайт Роскомнадзора https://pd.rkn.gov.ru/operators-registry/notification/

Ситуация № 3. Вы что-то продаете через Telegram-бот

Теперь через бот человек: выбирает продукт → знакомится с условиями → оплачивает → получает доступ.

Здесь возможны две ситуации:

1. Вы собираете данные только для заключения и исполнения договора, то есть никаких рассылок, сохранение клиентов в базу данных, создание программы лояльности и т.п. у вас нет.

В таком случае вам достаточно взять разместить оферту и взять с ней согласие (подробнее ниже). Закон прямо предусматривает обработку персональных данных, необходимую для заключения договора по инициативе субъекта или исполнения договора, стороной которого он является.

Также, необходимо разработать политику и подать уведомление в Роскомнадзор.

2. Вы используете персональные данные для чего-то кроме оказания услуг.

В это случае вам необходимо всё то же самое, что мы разобрали в предыдущем пункте и дополнительно:

Разместить оферту и получить ее акцепт

Есть всего одна причина, почему у Вас должен быть этот документ:

Вы что-то продаете — при этом, неважно услуги или товары.

Оферта спасет вас в любой спорной ситуации, обезопасит от странных клиентов, возвратов и желании "злых" людей на вас нажиться.

Когда закон обзывает размещать оферту: при дистанционной продаже товаров, то есть для всех интернет-магазинов, продающих товары онлайн, наличие публичной оферты с чёткими условиями (описание товара, цена, порядок оплаты, доставки и возврата) является обязательным требованием. Продавец обязан заключить договор розничной купли-продажи с любым покупателем, который оформил заказ на условиях этой оферты. При этом оферта должна быть доступна покупателю до момента оплаты.

Что будет, если не разместить: штраф

• для ИП: 3 000—4 000 рублей;
• для организаций: 30 000—40 000 рублей.

Если вы оказываете услуги, оферта необязательна, но очень рекомендуется для того, что избежать дальнейших споров и защитить, прежде всего, вас самих.

Что это за документ: Оферта - это, по сути, договор. По сравнению с договором она удобна тем, что не нужно распечатывать и ставить физическую печать, достаточно выполнить ряд условий. НО важно правильно взять согласие клиента с офертой для того, чтобы она начала действовать.

Вот так можно оформить согласие клиента с офертой:

И после согласия направить ссылку на оплату. Если клиент нажал "нет", тогда можно ответить ему: "Вы отказались от согласия с условиями оферты. Без согласия с условиями оферты перейти к оплате и оформлению заказа не получится. Если вы передумаете, вы можете вернуться и ознакомиться с офертой повторно."

Еще один важный момент

Проверьте, на каком сервере будут храниться собираемые персональные данные.

По общему правилу персональные данные граждан РФ, которые вы собираете через сайт, бот или другие онлайн-сервисы, должны обрабатываться с использованием баз данных, расположенных на территории России. Это требование о локализации персональных данных установлено ч. 5 ст. 18 Федерального закона № 152-ФЗ.

Поэтому перед подключением CRM, конструктора бота, формы сбора данных или другого сервиса важно проверить, где физически расположены его серверы и базы данных. Если данные изначально записываются и хранятся только на зарубежных серверах, это будет нарушать требования о локализации. В таком случае рекомендуется выбрать другой сервис.

Итого: что меняется в зависимости от бота?

Если просто выдаём гайд, проверяем обработку Telegram-данных, Политику, Роскомнадзор, техническую цепочку и отдельно решаем вопрос рекламной рассылки.

Если собираем дополнительные персональные данные, добавляем корректное основание обработки, при необходимости отдельное согласие, проверяем объём собираемых данных, CRM, подрядчиков и все системы, куда эти данные передаются.

Если продаём через бот, дополнительно оформляем договорные отношения: оферту, условия оплаты, предоставления продукта, возврата, информацию о продавце или исполнителе, а также проверяем платёжную систему и кассовые вопросы.

И во всех трёх случаях нельзя просто взять универсальный шаблон и разместить две ссылки в начале бота.

Сначала необходимо понять:

что делает бот → какие данные получает → куда они попадают → для чего используются → какие отношения возникают с пользователем.

У каждого проекта есть свои нюансы. Эта статья — обобщение информации по наиболее часто встречающимся ситуациям. Внимательно изучив ее, вы сможете разобраться, какие документы необходимы именно вашему бизнесу.

Но важно не только иметь нужные документы, но и правильно их составить. В каждом случае содержание документов зависит от того, какие данные вы собираете, для каких целей их обрабатываете, какие сервисы используете, и как в целом устроен ваш бизнес. Уместить все эти нюансы в одну статью невозможно — и именно здесь чаще всего возникают ошибки.

Если не хотите разбираться во всем самостоятельно, можете делегировать мне разработку документов и оформление сайта.

Я регулярно повышаю квалификацию в сфере законодательства о персональных данных и не просто изучаю требования Роскомнадзора, а знаю, как они работают на практике: в том числе участвовала в исправлении сайтов после проверок и требований РКН.

Поэтому моя задача — не просто подготовить комплект документов «для галочки», а сделать так, чтобы документы соответствовали реальной работе вашего бизнеса и вашему сайту.

Контакты для связи: https://t.me/e_katerina_spiridonova

Еще больше отзывов вы можете найти в Telegram-канале по ссылке: https://t.me/ekalawss.

Если у Вас остались вопросы, напишите мне в личные сообщение: https://t.me/e_katerina_spiridonova

Если Вам хочется изучить еще больше информации, почитайте подборку постов в моем Telegram-канале https://t.me/ekalaws/646

Автор статьи:

Екатерина Спиридонова - юрист по интеллектуальной собственность, договорам и персональным данным

Автор Telegram-канала "в кабинете IP-юриста": https://t.me/ekalaws