Здравствуйте. По описанию проекта Вам действительно нужен комплексный юридический аудит сайта и отдельная подготовка к запуску приложения. Поскольку сайт собирает данные пользователей при регистрации, оплате, обратной связи или оформлении доступа к курсам, Вы, вероятнее всего, являетесь оператором персональных данных и должны подать уведомление в Роскомнадзор по статье 22 Федерального закона № 152-ФЗ. То, что сайт работает уже четыре месяца, не препятствует подаче уведомления сейчас: предельного срока для исправления этой ситуации Роскомнадзор не устанавливает, однако откладывать подачу не следует. Одновременно необходимо привести фактическую обработку данных и документы проекта в соответствие с указанными в уведомлении целями, категориями данных, способами обработки и используемыми сервисами.
По сайту необходимо проверить не только политику конфиденциальности, согласие на обработку данных, пользовательское соглашение и публичную оферту, но и фактическую техническую схему: какие формы собирают данные, где расположены серверы и базы, какие сведения передаются платёжным сервисам, CRM, рассылкам и аналитике, используются ли иностранные сервисы и осуществляется ли трансграничная передача. Отдельно проверяются локализация баз данных российских пользователей, назначение ответственного за обработку персональных данных, внутренние документы, порядок ответа на обращения пользователей и меры защиты информации по статьям 18.1 и 19 Федерального закона № 152-ФЗ.
Cookie и сервисы аналитики также нельзя оформлять одной общей формальной фразой. Нужно определить, какие идентификаторы и сведения фактически собираются, на каком основании они обрабатываются, передаются ли третьим лицам и требуется ли отдельное согласие пользователя. Публичную оферту необходимо согласовать с реальной моделью продаж: разовая покупка курса, лицензия на доступ к тренажёру, подписка, автоматическое продление, возвраты, начало оказания цифровой услуги и порядок прекращения доступа.
Для мобильного приложения документы сайта обычно нельзя просто скопировать без изменений. Необходимо подготовить отдельную политику для приложения, тексты согласий и разрешений внутри интерфейса, правила аккаунта, удаления профиля, подписки и возврата платежей, а также проверить состав данных, которые собирают SDK аналитики, уведомлений, авторизации и рекламных сервисов. Условия внешней оплаты необходимо оценивать отдельно для iOS и Android с учётом страны распространения и актуальных правил магазинов. Apple и Google регулярно изменяют требования к ссылкам на внешние покупки и подписки; при этом Google Play по-прежнему не обрабатывает покупки цифрового контента и подписки пользователей в России, а допустимость внешней страницы зависит от конкретной модели приложения и региона распространения.
Могу провести консультацию и комплексно проверить текущую структуру проекта: определить необходимость и содержание уведомления в Роскомнадзор, выявить риски по уже работающему сайту, проверить существующие документы и составить перечень того, что необходимо доработать до публикации приложения. Для начала потребуется ссылка на сайт, сведения об ИП или ООО, действующие документы, перечень подключённых сервисов, схема оплаты и краткое описание функционала будущего приложения.