Интернет-магазины
Чекаут, платёжные модули, программы лояльности, ремаркетинг и рассылки создают сложную цепочку получателей данных, которую нужно задокументировать.
~/danube-gdpr/service-website-audit · SRV-01
Аудит сайтов и интернет-магазинов на соответствие GDPR/DSGVO
Техническая и юридическая проверка того, что на самом деле происходит на страницах вашего сайта: какие cookie устанавливаются, куда уходят данные посетителей и соответствует ли это требованиям GDPR и TKG 2021.
> 01 / audience
Для кого подходит
Аудит нужен не только крупным интернет-магазинам. Любой сайт, который собирает контакты, измеряет посещаемость или показывает встроенные карты и видео, обрабатывает персональные данные — и может стать предметом жалобы в Datenschutzbehörde.
Сайты услуг и практик
Формы записи, онлайн-консультации и чаты собирают данные, иногда чувствительные. Важно проверить правовое основание и защиту форм.
Компании перед редизайном
Новый сайт — лучший момент встроить privacy by design, а не исправлять недочёты после запуска и жалоб пользователей.
Получившие претензию или запрос
Если вам пришло письмо от пользователя, конкурента или DSB, аудит помогает быстро понять реальное состояние сайта и подготовить ответ.
> 02 / requirements
Требования и документы
Для аудита нам не требуется исходный код: большую часть проверки мы проводим снаружи, как это сделал бы посетитель или надзорный орган. Но чем больше сведений о внутренних процессах вы предоставите, тем точнее будет юридическая часть.
Мы также просим указать, на какую аудиторию рассчитан сайт: Австрия, страны ЕС, русскоязычные пользователи. Это влияет на языки документов и на то, какие национальные особенности нужно учитывать.
$ ls ./required-docs
- Адрес сайта, а для интернет-магазина — тестовый доступ к чекауту или демо-заказ
- Перечень используемых сервисов: аналитика, реклама, CRM, рассылки, платёжные провайдеры, чаты
- Действующие Datenschutzerklärung, Impressum, условия продажи и текст cookie-баннера
- Скриншоты или выгрузка настроек менеджера согласий (CMP), если он подключён
- Договоры или условия обработки с ключевыми поставщиками (по наличию)
- Информация о том, кто отвечает за сайт внутри компании и у внешних подрядчиков
> 03 / stages
Этапы работы
- 01
Шаг 1
Первичное обсуждение и объём
Определяем масштаб проекта: число страниц, наличие личного кабинета и чекаута, используемые сервисы. По итогам согласуем письменный объём работ и ориентиры по срокам.
- 02
Шаг 2
Техническое сканирование
Загружаем сайт в разных состояниях — до баннера, после отказа и после согласия — и фиксируем cookie, локальное хранилище, пиксели и запросы к сторонним доменам.
- 03
Шаг 3
Проверка форм и пользовательских сценариев
Проходим регистрацию, подписку, оформление заказа, обращение в поддержку. Оцениваем, какие данные запрашиваются, на каком основании и как сообщается об этом пользователю.
- 04
Шаг 4
Юридическая оценка
Сопоставляем найденное с Art. 5–7, 12–14 GDPR, § 165 TKG 2021, требованиями ECG и MedienG к обязательным сведениям и с позицией Datenschutzbehörde.
- 05
Шаг 5
Отчёт и разбор результатов
Передаём отчёт с приоритетами «критично / важно / желательно» и проводим созвон с вашей командой и разработчиками, чтобы обсудить, как исправлять найденное.
// схема этапов: от первичного обсуждения до итогового результата
> 04 / timing
Сроки
Сроки зависят от размера сайта и количества интеграций. Для небольшого сайта аудит обычно занимает порядка нескольких рабочих дней; для интернет-магазина с множеством сервисов и языковых версий потребуется больше времени. Точный график мы называем после первичного обсуждения. Если вы хотите вносить исправления самостоятельно, мы можем разбить работу на этапы и провести повторную проверку после изменений.
// сроки ориентировочные; точный график согласуется письменно после первичного обсуждения
> 05 / mistakes
Типичные ошибки
$ cat common-mistakes.log
5 entries- [WARN] cmp
Баннер без реального блокирования. Cookie-баннер подключён, но скрипты аналитики и рекламы запускаются независимо от выбора пользователя. Формально «согласие» собирается, фактически оно ничего не меняет.
- [WARN] design
Тёмные паттерны в интерфейсе. Кнопка «принять» яркая и крупная, а отказаться можно только через несколько кликов. Надзорные органы ЕС неоднократно критиковали такие решения.
- [WARN] embeds
Незамеченные встраивания. Карты, видео, шрифты и виджеты соцсетей загружаются с серверов третьих лиц и передают IP-адрес посетителя ещё до любого взаимодействия.
- [WARN] forms
Лишние поля в формах. Телефон, дата рождения и адрес запрашиваются там, где достаточно email. Нарушается принцип минимизации данных (Art. 5 GDPR).
- [WARN] texts
Тексты не соответствуют реальности. Политика конфиденциальности не упоминает используемые сервисы или обещает сроки хранения, которые на деле не соблюдаются.
> 06 / included
Что входит в работу
Результат аудита — не абстрактный перечень замечаний, а рабочий документ для вас и вашего разработчика. Мы формулируем рекомендации так, чтобы их можно было превратить в задачи без дополнительной юридической расшифровки.
- Многоступенчатое сканирование cookie, localStorage, пикселей и сторонних запросов
- Проверка баннера согласия и логики блокирования скриптов
- Анализ форм, чекаута, рассылок и пользовательских аккаунтов
- Оценка Datenschutzerklärung, Impressum и условий продажи
- Карта получателей данных и оценка передач в третьи страны
- Отчёт на русском языке с приоритетами и ссылками на нормы
- Созвон по результатам с командой и разработчиками
- Повторная проверка после внесения исправлений (по договорённости)
> 07 / faq
Частые вопросы по услуге
Нужно ли предоставлять доступ к админ-панели?
Обычно нет. Основной анализ проводится «снаружи». Доступ может понадобиться, если нужно проверить логику CMP или письма-уведомления; в этом случае мы согласуем минимально необходимый уровень доступа и подпишем NDA.
Сколько стоит аудит?
Стоимость определяется индивидуально и зависит от размера сайта, числа интеграций и языковых версий. После короткого обсуждения проекта мы направляем письменное предложение с описанием объёма.
Вы исправляете найденные проблемы?
Юридические документы и формулировки мы готовим сами. Технические изменения вносит ваш разработчик по нашим рекомендациям; при необходимости мы подключаемся к совместной настройке и проверяем результат.
Что будет, если аудит найдёт серьёзные нарушения?
Мы предложим порядок исправления по приоритетам и объясним возможные последствия. Результат любой проверки регулятором зависит от обстоятельств, поэтому мы не обещаем гарантированного исхода — но поможем снизить риски.
Обсудим вашу задачу?
Опишите проект в двух-трёх предложениях: мы подскажем объём работ и ориентиры по срокам.
> more / services
Другие услуги
Документы: политика, Impressum, DPA
Datenschutzerklärung, Impressum, договоры с обработчиками (Art. 28) и реестр обработки (Art. 30) под реальные процессы.
подробнееDPO как сервис, DPIA и третьи страны
Внешний уполномоченный по защите данных, оценка воздействия (DPIA), SCC и оценка передачи данных в третьи страны.
подробнееУтечки, запросы субъектов и работа с DSB
План на 72 часа, запросы субъектов данных и подготовка ответов Datenschutzbehörde.
подробнее