152-ФЗ для маленького SaaS: чек-лист без юриста за миллион
Когда я готовил свой сервис к публикации в маркетплейсе, выяснилось, что «соответствие 152-ФЗ» — это не одна бумажка, а десяток конкретных дел: половина юридических, половина технических. Вот что реально пришлось сделать.
Почему это касается даже микро-SaaS
Если ваш сервис хранит хотя бы email клиента — вы оператор персональных данных. Размер не имеет значения: закон одинаков для «Яндекса» и для ИП с одним продуктом. Разница только в том, что у «Яндекса» есть отдел комплаенса, а у вас — вечер пятницы и этот чек-лист.
Юридическая половина
- Политика обработки персональных данных. Не скопированная с чужого сайта, а описывающая ваши реальные процессы: какие данные, зачем, где хранятся, кто имеет доступ. Копипаста опаснее отсутствия — она фиксирует обязательства, которые вы не выполняете.
- Уведомление Роскомнадзора. Подаётся до начала обработки данных. Форма на сайте РКН, заполняется за вечер, если политика уже написана — поля почти совпадают.
- Согласие на обработку. Чекбокс при регистрации — с ссылкой на политику и без предустановленной галочки.
Техническая половина
- Self-hosted шрифты и скрипты. Google Fonts, подключённый с серверов Google, — это передача IP-адресов посетителей за рубеж. Скачайте woff2-файлы к себе. То же со счётчиками: вместо зарубежной аналитики — self-hosted Matomo.
- Хранение данных в РФ. Сервер — у российского хостера. Проверьте и бэкапы: реплика в европейском S3 — тоже трансграничная передача.
- CSP-заголовки. Content-Security-Policy как страховка: даже если в код случайно попадёт внешний скрипт, браузер его не загрузит. Бонус — защита от XSS.
- Rate limiting и подписи вебхуков. Формально это про «меры защиты» из статьи 19 закона, фактически — базовая гигиена: никто не должен уметь выкачать вашу базу перебором или подделать входящий вебхук.
Соответствие закону оказалось побочным эффектом нормальной инженерии: почти всё из списка стоило сделать и без всякого 152-ФЗ.
Сколько это заняло
Вся история — от «надо бы разобраться» до поданного уведомления — заняла несколько вечеров, потому что делалась параллельно с разработкой одним человеком: не было испорченного телефона между юристом, который не знает, где хранятся бэкапы, и программистом, который не читал закон.
Нужно привести ваш сервис в соответствие — или собрать новый сразу правильно? Напишите мне, я этот путь уже проходил.