Как проверить поставщика перехвата клиентов: документы, которые он обязан вам предоставить

1. Уведомление Роскомнадзора о начале обработки персональных данных

Любая компания, обрабатывающая персональные данные, обязана направить уведомление в Роскомнадзор до начала этой деятельности. Это подтверждение того, что деятельность поставщика находится в правовом поле.

Что проверять:

• Убедитесь, что у компании есть действующее уведомление в реестре операторов РКН.
  
• Проверьте форму – с 2022 года действуют обновлённые бланки, утвержденные приказом №180.
  
• Обратите внимание: отсутствие регистрации даже при обработке минимального объема данных теперь карается штрафом до 300 тысяч рублей.
  

2. Политика обработки персональных данных

Публичный документ, который должен быть размещён на сайте компании-поставщика. Он раскрывает:

• Кто является оператором и какие данные собирает.
  
• С какой целью и на каких основаниях.
  
• Кому передаются данные и как обеспечивается их защита.
  

Роскомнадзор при проверках смотрит не только на наличие документа, но и на соответствие его содержания реальным формам сбора данных на сайте. Противоречия между политикой и реальностью – верный путь к штрафу.

3. Согласие на обработку персональных данных

Гарантия того, что субъект (пользователь) добровольно разрешил сбор и передачу своих данных.

Согласие должно быть:

• Предметным – привязано к конкретной цели обработки.
  
• Конкретным – указан состав собираемых данных и срок обработки.
  
• Информированным – субъект понимает, что происходит с его данными.
  

Если поставщик не может подтвердить наличие таких согласий – отказывайтесь от сделки, так как юридическая схема с самого начала нарушает закон.

4. Внутренние организационные документы по защите персональных данных

Компания-оператор обязана разработать внутренний регламент обработки ПД и назначить ответственное лицо.

Ищите у поставщика:

• Приказ о назначении ответственного за обработку персональных данных.
  
• Локальные акты, регламентирующие порядок доступа к ПД.
  
• Журналы учета операций с ПД.
  
• Документы, подтверждающие контроль над обработкой.
  

Наличие этих документов – показатель зрелости и сознательности компании.

5. Юридически грамотный договор лидогенерации

Главный инструмент распределения ответственности между вами и поставщиком. В договор должны входить:

• Источник трафика – подрядчик обязан указать, какие каналы используются для сбора лидов.
  
• Тип лидов – четко зафиксировать, что это перехваченные, а не «холодные» или «тестовые».
  
• Критерии качества – корректный номер, валидность контакта, соответствие целевой аудитории.
  
• Метрики и KPI – CPL, объем лидов, сроки передачи, базовая конверсия.
  
• Фрод-контроль – механизмы проверки на дубли, ботов и несуществующие контакты.
  
• Ответственность сторон – штрафы, замены некачественных лидов и перерасчет.
  
• Отчетность – формат, сроки и доступ к данным.
  

Особое внимание – разделу ответственности. Если поставщик не проконтролировал правомерность сбора контакта, а инспекция пришла к вам – пострадаете вы оба.

6. Соглашение о конфиденциальности (NDA)

Важно не только безопасно собрать данные, но и не допустить их утечку или передачу третьим лицам. Отсутствие NDA – повод немедленно усомниться в серьезности партнёра.

NDA должна регулировать:

• Какую информацию стороны считают конфиденциальной.
  
• На какие цели и на какой срок она передается.
  
• Какую ответственность несет поставщик за разглашение.
  

Соглашение – дополнительный, но очень весомый аргумент для суда в случае инцидента.

7. Документы, доказывающие юридический статус и благонадёжность

Базовый набор, который запрашивайте у любого серьёзного контрагента:

• Выписка из ЕГРЮЛ (подтверждает факт существования компании).
  
• Свидетельство о постановке на налоговый учет (ИНН/КПП).
  
• Устав и решение о назначении генерального директора.
  
• Бухгалтерская отчетность за последние периоды (подтверждает финансовую состоятельность).
  

Проверьте компанию по базам арбитражных дел, налоговых задолженностей и на наличие судебных исков в сфере защиты ПД. Если поставщик отказывается предоставить эти документы – это уже полноценный красный флаг.

Шаг 1. Запрашиваем пакет

Составьте письменный запрос. Легальный поставщик никак не откажет в предоставлении этих бумаг. Отказ – достаточное основание для прекращения переговоров.

Шаг 2. Проверяем ЕГРЮЛ на сайте ФНС

Убедитесь, что компания реально существует, не находится в процессе ликвидации и имеет действующий юридический адрес. Срок существования компании тоже важен – проверенные игроки на рынке работают годами.

Шаг 3. Сверяемся с реестром операторов РКН

Откройте портал Роскомнадзора и убедитесь, что поставщик числится в реестре операторов персональных данных или подавал уведомление. Если его там нет, а обработка персданных ведётся – это прямое нарушение.

Шаг 4. Проверяем сайт компании на соответствие заявленным документам

Скачайте политику обработки персональных данных с сайта поставщика. Проследите, нет ли в ней противоречий с формами сбора и целями обработки. Роскомнадзор при проверках в первую очередь смотрит именно на внешние проявления хаотичности.

Шаг 5. Анализируем договор лидогенерации

Поручите этот этап юристу. Ключевые моменты, которые должны насторожить:

• Нет чёткого перечня источников трафика.
  
• Прописана передача прав на данные без ответственности за качество.
  
• Отсутствуют механизмы замены бракованных лидов.
  

Шаг 6. Оцениваем цифровую гигиену поставщика

Это дополнительная, но очень полезная опция: современные компании заказывают независимую оценку ИБ-зрелости контрагента.

Основные риски, которые можно выявить:

• Утечки учётных данных сотрудников контрагента.
  
• Наличие корпоративной почты с фактами компрометации.
  
• Отсутствие двухфакторной аутентификации.
  
• Просроченный домен или утеря контроля над веб-активом.
  

Риски работы с «серыми» поставщиками

• Штрафы Роскомнадзора: отсутствие уведомления об обработке ПД грозит до 300 000 рублей. За утечку персональных данных – оборотные штрафы от 1 до 3 процентов годовой выручки (минимум 20 млн, максимум 500 млн рублей).
  
• Уголовная ответственность: за незаконный сбор и распространение ПД предусмотрены штрафы до 2 млн рублей и лишение свободы до 6 лет.
  
• Репутационные потери: даже если выиграете суд, потеря доверия клиентов на годы вперед будет стоить многократно дороже любого штрафа.
  
• Потеря контроля над данными: если поставщик собирал контакты с нарушениями, вы даже не узнаете, откуда пришли лиды, и не сможете проверить их легальность.