Комплаенс
Чеклист внедрения документов
Метаданные документа
document: "Чек-лист внедрения юридического пакета и требований безопасности" version: 0.1-draft effective_date: "[ЗАПОЛНИТЬ: дата публикации после юридической вычитки]" owner: "ИП Старцев Михаил Владимирович (Оператор Sphaera / Iustitia)" scope: "Задачи разработки после подготовки юридического пакета Sphaera / Iustitia" related_documents: - legal/privacy-policy.md - legal/personal-data-consent-contact.md - legal/personal-data-consent-account.md - legal/user-agreement.md - legal/offer-digital-products.md - legal/offer-legal-services.md - legal/offer-veritas-pretii.md - legal/cookie-policy.md - legal/refund-policy.md - legal/data-retention-policy.md - legal/third-parties.md - legal/operator-internal-regulation.md - legal/pdn-register.yaml status: "Черновик для юридической вычитки. Не является финальной юридически значимой версией."
1. Вопросы владельцу проекта перед финальной редакцией документов
1. Точные реквизиты ИП, адрес, email для ПДн-запросов. 2. Используется ли Яндекс.Метрика, VK Pixel, CDN, внешние шрифты. 3. Где физически размещён сервер и база данных. 4. Будет ли обработка биометрии, паспортов, СНИЛС, судебных документов с ПДн третьих лиц. 5. Какие файлы принимает Veritas и срок их хранения. 6. Будут ли договоры/акты формироваться автоматически. 7. Какой эквайринг выбран: Т-Банк, ЮKassa, Сбер, CloudPayments РФ или другой. 8. Какой SMS-провайдер выбран. 9. Нужна ли рассылка и маркетинговые сообщения. 10. Нужен ли B2B-кабинет для юрлиц.
2. Задачи безопасности (закрытие рисков аудита)
| # | Риск | Действие | Статус |
|---|---|---|---|
| 1 | Парольная авторизация пользователей | Убрать email+password, оставить Yandex ID / VK ID / Mail.ru / телефон | Не начато |
| 2 | Админка только по паролю | Добавить 2FA/OTP, ограничение по IP/VPN, rate limit, session hardening | Не начато |
| 3 | Legacy JSON-заявки | Архивировать/удалить data/requests.json после проверки | Не начато |
| 4 | Telegram-уведомления | Проверить историю чата/бота, обезличить уведомления | Не начато |
| 5 | Версии согласий | Добавить consent_version, privacy_version, offer_version, accepted_at, source_url | Не начато |
| 6 | Retention policy | Зафиксировать сроки хранения и автоудаление | Черновик подготовлен (data-retention-policy.md) |
| 7 | Webhooks эквайринга | Реализовать success/fail/webhook с подписью и идемпотентностью | Не начато |
| 8 | Трансграничные передачи | Описать и минимизировать (Telegram, OAuth, аналитика/CDN) | Черновик подготовлен (third-parties.md) |
| 9 | Rate limiting форм | Throttling по IP hash/session/provider для login/admin/contacts | Не начато |
| 10 | Cookie-сессии | Secure, HttpOnly, SameSite до session_start() | Не начато |
3. Задачи разработки (после юридического пакета)
1. Убрать password login/registration для пользователей. 2. Добавить таблицу auth_identities. 3. Реализовать вход через Yandex ID. 4. Реализовать вход через VK ID. 5. Реализовать вход через Mail.ru/VK ID Connect. 6. Реализовать вход по телефону через SMS-провайдера. 7. Архивировать или удалить legacy data/requests.json после проверки старых записей. 8. Проверить историю Telegram-уведомлений и доступы к боту/чату. 9. Добавить consent/version ledger. 10. Настроить secure session cookies. 11. Добавить rate limiting. 12. Подключить российский эквайринг с webhook.
4. Проверка НПА перед публикацией
- Федеральный закон № 152-ФЗ «О персональных данных».
- Постановление Правительства РФ № 1119.
- Приказ ФСТЭК России № 21.
- Требования Роскомнадзора к политике обработки ПДн.
- Нормы о дистанционной продаже цифровых продуктов, оферте, возвратах, электронных чеках и эквайринге.
Проверочные ссылки: https://pravo.gov.ru/, https://pd.rkn.gov.ru/, https://fstec.ru/, https://yandex.ru/dev/id/, https://id.vk.com/, https://help.mail.ru/developers/oauth/.
5. Итоговый список файлов пакета
1. legal/privacy-policy.md 2. legal/personal-data-consent-contact.md 3. legal/personal-data-consent-account.md 4. legal/user-agreement.md 5. legal/offer-digital-products.md 6. legal/offer-legal-services.md 7. legal/offer-veritas-pretii.md 8. legal/cookie-policy.md 9. legal/refund-policy.md 10. legal/data-retention-policy.md 11. legal/third-parties.md 12. legal/operator-internal-regulation.md 13. legal/pdn-register.yaml 14. legal/implementation-checklist.md