Сторонний виджет может начать обмен данными сразу после открытия страницы
Онлайн-чат, callback, карта, видео, форма записи, календарь, CAPTCHA, отзыв или кнопка мессенджера часто подключаются внешним JavaScript, iframe или API. Пользователь ещё ничего не нажал, а браузер уже обращается к стороннему домену.
Для проверки нужен технический факт: какой код загружен, кому отправляются данные, что сохраняется и как сервис связан с CRM.
Составьте реестр сторонних компонентов сайта
Не ограничивайтесь теми сервисами, которые видны пользователю.
| Компонент | Какие данные возможны | Что проверить |
|---|---|---|
| Онлайн-чат | IP, идентификатор сессии, сообщения, контакты | Загрузка до действия, история, CRM |
| Callback | Телефон, источник визита, URL, идентификаторы | Форма согласия, телефония, подрядчик |
| Карты | IP, браузер, технические идентификаторы | iframe/script, сторонний домен, момент загрузки |
| Видео | IP, cookie, история просмотра | Внешний плеер и запросы при загрузке |
| CAPTCHA | IP, поведенческие и технические сигналы | Поставщик сервиса, условия, момент запроса |
| Форма записи / календарь | Имя, телефон, email, время записи | Кому уходят данные и где хранятся |
| Отзывы | Имя, фото, текст, внешние идентификаторы | Источник, публикация, распространение ПДн |
Проверьте страницу до любого действия пользователя
Часть интеграций обнаруживается только в Network, cookies и исходном коде.
- Откройте приватное окно.Начните с чистой сессии.
- Откройте DevTools → Network.Зафиксируйте сторонние домены до клика.
- Проверьте cookies и storage.Посмотрите, какие идентификаторы создаются.
- Взаимодействуйте с каждым виджетом.Сравните сетевые запросы до и после действия.
- Отправьте тестовые данные.Проверьте CRM, email, webhooks и кабинеты подрядчиков.
Определите роль каждого поставщика
Если внешний сервис обрабатывает данные по вашему поручению, договорная схема должна отвечать требованиям части 3 статьи 6 152‑ФЗ.
Иностранный компонент проверьте отдельно
Определите страну и юридическое лицо-получателя, место хранения и фактический маршрут данных. Для трансграничной передачи действуют требования статьи 12 152‑ФЗ.
Проверяйте договор, условия сервиса, технические домены и конкретную инфраструктуру, которую использует ваш тариф.
После технической инвентаризации обновите документы
Политика и другие документы должны описывать реальную обработку. Список интеграций полезно вести как внутренний реестр и проверять после каждого релиза сайта.
- Название сервиса и поставщик.
- Назначение компонента.
- Категории данных.
- Момент начала передачи.
- Получатели и подрядчики.
- Страны и дата-центры.
- Сроки хранения.
- Основание обработки.
- Связанные документы.
- Ответственный за проверку после обновления.
Чек-лист сторонних виджетов
Проверьте каждую интеграцию отдельно.
- Известны все сторонние домены.
- Проверены запросы до взаимодействия пользователя.
- Проверены cookie и localStorage.
- Определён поставщик и его роль.
- Договорная схема проверена.
- Проверена локализация.
- Проверена трансграничная передача.
- Учтены CRM и webhooks.
- Политика соответствует технической схеме.
- После замены виджета выполняется повторная проверка.
Нормативная база
Для сторонних сервисов важны условия обработки, поручение, локализация и трансграничная передача.
Мессенджеры и ПДн →Cookie и аналитика →Проверить сайт →
Что проверить дальше
Связанные требования и сценарии, которые обычно нужно сверять вместе.
Нужно передать исправления разработчику?
Зафиксируем URL, найденный риск, требуемое изменение и проверяемый критерий приёмки.
Получить ТЗ программисту
Конкретные задачи по формам, интеграциям, согласиям, cookie и другим найденным элементам.
Исправить под ключ
Подготовим согласованные тексты, внесём изменения на сайт и повторно проверим результат.
Регулярно контролировать
Повторные проверки после изменений сайта с историей результатов и новыми замечаниями.