Какие документы нужны сайту, боту и приложению: политика, согласие, оферта

Какие документы нужны сайту или боту, зависит от того, что они делают. Бот, который только собирает заявки, обходится политикой обработки персональных данных, согласием и уведомлением Роскомнадзора. Если бот принимает оплату, к ним добавляются оферта и чеки. А у магазина с доставкой оферта обязательна по новым правилам продажи, которые действуют с 1 сентября 2026 года.

Ниже минимальный набор для трёх типовых случаев, что писать в каждом документе и как это выглядит в Telegram-боте, боте в MAX и мобильном приложении.

Какие документы нужны: три типовых случая

Политика обработки персональных данных

Политику обязан опубликовать каждый, кто собирает персональные данные через интернет (ч. 2 ст. 18.1 закона 152-ФЗ). Имя, телефон, e-mail и адрес доставки относятся к персональным данным, так что сайт с формой заявки уже подпадает под требование. Оператором закон считает не только компанию: ИП и самозанятый, который собирает данные клиентов, тоже оператор.

Закрытого списка разделов закон не даёт. Роскомнадзор в рекомендациях 2017 года предлагает такую структуру: общие положения, цели сбора, правовые основания, какие данные и чьи обрабатываются, порядок обработки (кому передаются, сколько хранятся, где стоит база) и то, как человек может уточнить или удалить свои данные. Рекомендации писались до поправок 2022–2025 годов, поэтому в политику стоит добавить то, что появилось позже: хранение в России и отдельное согласие.

За отсутствие опубликованной политики ИП платит 10 000–20 000 ₽, компания 30 000–60 000 ₽ (ч. 3 ст. 13.11 КоАП).

Где политика должна быть в боте

Закон требует опубликовать политику в той сети, через которую собираются данные, и дать к ней доступ. Для бота разумно положить её на страницу сайта и дать ссылку в стартовом сообщении и в меню. Отдельной команды вроде /privacy закон не требует, но с ней удобнее.

У Telegram своё правило. Каждый бот связан с политикой конфиденциальности, и если своей нет, действует стандартная политика Telegram для ботов. Она не описывает ваши цели, сроки хранения и реквизиты, а ответственность за соответствие местным законам Telegram оставляет разработчику. Поэтому свою политику настраивают в @BotFather. MAX по своим правилам тоже требует показать в боте политику обработки данных, условия использования и сведения о компании. Типовая политика MAX подходит, только если ваша обработка данных с ней полностью совпадает.

Cookies и Яндекс Метрика

Отдельной нормы о cookies в российском законе нет, общей позиции Роскомнадзора тоже. Но региональные управления Роскомнадзора называют отсутствие информирования о cookies типовым нарушением сайтов, а условия Яндекс Метрики обязывают владельца сайта сообщать посетителям об обработке их данных. Раздел о cookies и счётчиках в политике и короткое уведомление на сайте стоят недорого и снижают риск.

Согласие на обработку персональных данных

С 1 сентября 2025 года согласие оформляется отдельно от других документов, которые человек подтверждает (ч. 1 ст. 9 закона 152-ФЗ в редакции закона 156-ФЗ). Пункт «даю согласие» внутри оферты или пользовательского соглашения больше не годится. Нужен отдельный текст и отдельное действие.

Форму закон оставляет свободной, лишь бы факт согласия можно было подтвердить, и доказывать его придётся вам (ч. 3 ст. 9). На сайте это пустой чекбокс со ссылкой на текст согласия рядом с кнопкой отправки. В боте мы делаем так: перед тем как попросить телефон, бот присылает ссылку на согласие и кнопку «Согласен», а в базу записывает, кто нажал, когда и какую версию текста видел.

Галочку заранее ставить не стоит. Прямого запрета в 152-ФЗ нет, но согласие должно быть сознательным и однозначным. А для дополнительных платных услуг предзаполненные отметки прямо запрещены законом о защите прав потребителей.

Когда можно обойтись без согласия

Если данные нужны, чтобы исполнить договор с человеком или заключить его по просьбе самого человека, согласие не требуется (п. 5 ч. 1 ст. 6). Клиент оплатил доставку, и магазин передаёт адрес курьеру: это исполнение договора.

С формой заявки сложнее. Формально её можно считать шагом к договору по инициативе клиента, но региональная практика Роскомнадзора считает формы без механизма согласия нарушением, поэтому согласие на заявки мы всё равно берём. Для рассылок и рекламы согласие нужно всегда (ст. 15 закона 152-ФЗ).

Данные о здоровье относятся к особой категории. Клинике или психологу для их обработки нужно письменное согласие (ст. 10), и как оформить его через бота, лучше решить вместе с юристом.

Уведомление Роскомнадзора

До начала обработки данных оператор обязан уведомить Роскомнадзор (ст. 22 закона 152-ФЗ). С сентября 2022 года исключений почти не осталось, и для бизнеса подходит только одно: обработка без средств автоматизации, то есть в бумажном журнале. Сайт, бот и CRM относятся к автоматизации, значит, уведомление нужно.

Подать его можно на pd.rkn.gov.ru через Госуслуги или с электронной подписью, плату за рассмотрение не берут. В уведомлении указывают цели, категории данных, меры защиты, ответственного и место нахождения базы. Сведения вносят в реестр операторов в течение 30 дней, а об изменениях сообщают до 15-го числа следующего месяца.

Штраф за неподачу с 30 мая 2025 года составляет 100 000–300 000 ₽, и для ИП он такой же, как для компании (ч. 10 ст. 13.11 КоАП).

Где хранить данные клиентов

С 1 июля 2025 года при сборе данных россиян их запрещено записывать и хранить в базах за границей (ч. 5 ст. 18 закона 152-ФЗ в редакции закона 23-ФЗ). Для бота это значит, что база, куда он записывает имя и телефон, и CRM, куда уходит заявка, должны стоять в России. Штраф за нарушение 1–6 млн ₽, за повторное 6–18 млн ₽.

Передать данные за границу потом можно только как трансграничную передачу, с отдельным уведомлением Роскомнадзора. С 26 июля 2026 года (закон 265-ФЗ) допустимость такой передачи зависит от перечня стран, который утверждает Роскомнадзор. Как мы храним базы ботов и делаем резервные копии, рассказали в статье о персональных данных в Telegram-боте.

Согласие на рассылку

Реклама по сетям связи допускается только с предварительного согласия получателя, и доказывать его должен отправитель (ч. 1 ст. 18 закона «О рекламе»). Закон говорит о сетях электросвязи в целом, поэтому рассылку через бота разумно считать той же рекламой. Форма согласия свободная, но оно должно быть получено от конкретного человека на рекламу от конкретной компании. Согласие, встроенное в оферту, Московское УФАС признало ненадлежащим.

Сервисные сообщения рекламой не считаются: статус заказа, подтверждение оплаты, напоминание о записи. Но стоит добавить в такое сообщение акцию, и оно становится рекламой. Штраф за рекламу без согласия для ИП 4 000–20 000 ₽, для компании 100 000–500 000 ₽ (ч. 1 ст. 14.3 КоАП).

У мессенджеров свои условия. ФАС с марта 2026 года видит признаки нарушения в рекламе на ресурсах с ограниченным доступом, включая Telegram, но до конца 2026 года санкции не применяет. Правила MAX запрещают массовые и рекламные рассылки через API без договора с площадкой. Как устроены рассылки технически, разобрали в статье рассылка в Telegram-боте.

Сведения о компании на сайте и в боте

Владелец сайта обязан указать своё наименование, место нахождения, адрес и e-mail (ч. 2 ст. 10 закона 149-ФЗ «Об информации»). Продавец и исполнитель по закону о защите прав потребителей сообщают фирменное наименование, адрес и режим работы, а ИП ещё и сведения о госрегистрации (ст. 9).

При дистанционной продаже товаров с 1 сентября 2026 года реквизиты размещают и на сайте, и в программе продавца. Компания указывает полное наименование, ОГРН, адрес и контакт, ИП свои ФИО, ОГРНИП и контакт (п. 22 Правил продажи, постановление правительства № 657). В боте их удобно вынести в раздел «О компании» в меню. В MAX сведения о правообладателе и контакт поддержки требуют и правила площадки.

Пользовательское соглашение

Закона, который требует пользовательское соглашение, нет. Оно полезно, когда у сервиса есть личный кабинет, бесплатные функции, лицензия на программу или пользовательский контент: отзывы, фото, сообщения других людей. MAX требует доводить до пользователей условия использования бота, а если своих нет, применяет своё типовое соглашение.

Мобильное приложение: что требуют сторы

Сторы требуют политику конфиденциальности даже от приложений, которые почти ничего не собирают. Apple просит ссылку на политику в карточке App Store и внутри приложения, а если в приложении можно создать аккаунт, удалить его тоже должно быть можно прямо в приложении. Google Play требует ссылку на политику от всех приложений. RuStore в требованиях к приложениям пишет, что разработчик, который работает с персональными данными, должен быть оператором персональных данных и получать согласие пользователя.

Штрафы

Штрафы за нарушения по персональным данным нельзя оплатить со скидкой 50%, как многие другие: статья 13.11 из этого правила исключена.

Чек-лист перед запуском бота

Как составить оферту и оформить её принятие в боте, разобрали в отдельной статье публичная оферта для сайта и бота. Когда мы делаем бота, ссылку на политику, отдельную кнопку согласия, журнал согласий и базу в России закладываем в смету с самого начала. Обсудить своего бота можно в брифе.