Здравствуйте, Антон! У меня свой сайт, потому знаю не понаслышке о том, что такое персональные данные.
Ну судя по тому, что Вы описали — Вы являетесь оператором персональных данных: сайт собирает как минимум имя, электронную почту, телефон, данные учетной записи, сведения о покупках, IP-адрес и технические идентификаторы.
Определение оператора закреплено в п. 2 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
normativ.kontur.ru/document?moduleId=1&documentId=507366#h200
Уведомление в Роскомнадзор требуется податьдо начала обработки персональных данных.
Исключения перечислены в ст. 22 Закона № 152-ФЗ, но для коммерческого сайта и мобильного приложения они обычно — неприменимы)
normativ.kontur.ru/document?moduleId=1&documentId=507366#h222
То, что проект работает четыре месяца, не препятствует подаче уведомления сейчас.
Само уведомление не заменяет выполнение остальных требований.
За непредставление уведомления и иные нарушения предусмотрена ответственность по ст. 13.11 КоАП РФ.
www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/
На сайте необходимо разместить политику обработки персональных данных с открытым доступом, что прямо предусмотрено ч. 2 ст. 18.1 Закона № 152-ФЗ.
издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений. Такие документы и локальные акты не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на операторов не предусмотренные законодательством Российской Федерации полномочия и обязанности; ..
normativ.kontur.ru/document?moduleId=1&documentId=507366#h325
Согласие следует оформлять отдельно от оферты и пользовательского соглашения, конкретно и однозначно, с возможностью подтвердить факт его получения, требования установлены ст. 9 Закона № 152-ФЗ.
Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе.
normativ.kontur.ru/document?moduleId=1&documentId=507366#h207
Для форм регистрации, обратной связи, рассылки и оформления заказа нужны самостоятельные основания обработки.
Рекламные сообщения требуют предварительного согласия по ст. 15 Закона № 152-ФЗ и ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе».
www.consultant.ru/document/cons_doc_LAW_58968/f892dec1383709792452f18d36e7043306e2be0a/
Публичная оферта должна описывать услугу, порядок оплаты, момент заключения договора, срок доступа, возвраты, технические требования, автопродление и прекращение подписки.
Применяются ст. 435, 437 и 438 ГК РФ, а также ст. 8, 10 и 16.1 Закона РФ от 07.02.1992 № 2300-1 «О защите прав потребителей».
www.consultant.ru/document/cons_doc_LAW_305/e96b1cbe2a0795305a08c97b1a7f34ddab4ae908/
Cookie и аналитические идентификаторы могут относиться к персональным данным, когда позволяют выделить пользователя.
Нужны понятное уведомление, настройка согласия на необязательную аналитику и отражение сервисов в политике.
Зарубежные аналитические, облачные и рекламные SDK требуют отдельной проверки трансграничной передачи по ст. 12 Закона № 152-ФЗ. Их я крайне не рекомендую, Вы можете пользоваться нашей российской Яндекс-метрикой, меньше проблем.
При сборе данных граждан РФ запись, систематизация, накопление и хранение должны первоначально осуществляться с использованием баз данных на территории России согласно ч. 5 ст. 18 Закона № 152-ФЗ.
5. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона.
www.consultant.ru/document/cons_doc_LAW_61801/cbf4e15b7c330f9372e876cdf2bc928bad7950ef/
До публикации приложения нужно провести аудит всех SDK, разрешений, push-уведомлений, авторизации, платежей и удаления аккаунта, подготовить мобильную редакцию политики и встроить механизм отзыва согласия.
Для подписки пользователь должен заранее видеть цену, периодичность списаний, порядок отмены и возврата.
Отдельное внимание требуется аккаунтам несовершеннолетних и данным родителей, если требуется для контента вешать плашку 16 + или 18+
Практически Вам работу разумно начать с обработки данных и аудита сайта, исправить формы и документы, проверить локализацию(база данных ЦОД в РФ :))?, подать уведомление в РКН.
С уважением, Дарья