Образец
Договор обработки персональных данных (DPA): что в нём должно быть
Каждый раз, когда поставщик касается данных ваших клиентов — хостинг, email-рассылки, CRM, внешняя бухгалтерия — отношения должны быть закрыты договором обработки. Без него ответственность полностью остаётся на вас, а отсутствие договора — отдельное нарушение.
Обновлено: 2026-08-25
Кто оператор, а кто обработчик
Оператор решает, зачем и как обрабатываются данные: ваша компания. Обработчик выполняет указания оператора: хостинг-провайдер, email-платформа, агентство, которое ведёт кампании от вашего имени.
Если партнёр использует данные в своих целях (например, для обучения своих продуктов или собственного маркетинга), он уже не обработчик, а совместный или независимый оператор — отношения документируются иначе.
Обязательные условия DPA
- Предмет, срок, характер и цель обработки, категории данных и субъектов.
- Обязанность обработчика действовать только по документированным указаниям оператора.
- Конфиденциальность: персонал обработчика связан договором или законом.
- Конкретные технические и организационные меры (шифрование, контроль доступа, резервные копии).
- Режим субобработчиков: предварительное разрешение, список, эквивалентные обязанности.
- Помощь в ответах на запросы субъектов и в оценках воздействия.
- Уведомление оператора об инцидентах без неоправданной задержки.
- Удаление или возврат данных по окончании договора с письменным подтверждением.
- Право оператора на аудит или получение отчётов о соответствии.
- Место обработки и, для передач, применяемые гарантии (стандартные договорные условия).
С кем подписывать на практике
| Тип поставщика | Как обычно решается |
|---|---|
| Хостинг / облако | Стандартный DPA принимается онлайн в панели |
| Google (Analytics, Ads, Workspace) | Принятие условий обработки данных в консоли администратора |
| Meta (Pixel, Ads) | Условия обработки внутри Business-условий |
| Email / рассылки | DPA поставщика, принимается при регистрации или подписывается отдельно |
| CRM, чат, тикеты | DPA по запросу; проверьте регион серверов |
| Агентство, фрилансер, внешний бухгалтер | Договор подписывается вручную, с приложением об обработке |
Сигналы риска до подписания
- Поставщик с серверами или юрлицом в РФ либо Беларуси — нет адекватных гарантий для передачи.
- Ни слова о субобработчиках.
- Договор разрешает использовать данные «для улучшения сервисов» без ограничений.
- Нет срока уведомления об инцидентах.
- Нет обязанности удалить данные по окончании договора.
Частые вопросы
- Нужен ли DPA с Google, если используется только Analytics?
- Да. Analytics обрабатывает идентификаторы и IP-адреса ваших посетителей, поэтому нужны условия обработки, принятые в панели администратора, плюс согласие на категорию аналитики.
- Действителен ли DPA, принятый онлайн?
- Да, если поставщик предоставляет его как часть договора и вы можете подтвердить принятие. Сохраните PDF-копию с датой.
- Что делать, если поставщик отказывается подписывать?
- Считайте это риском: меняйте поставщика либо документируйте решение и ограничивайте доступные ему данные. Отказ обработчика не снимает с вас ответственность.
Узнайте, какие третьи лица получают данные с вашего сайта
Сканирование определяет внешние скрипты и сервисы на странице — это отправной список для подписания договоров.
Проверить сайт бесплатно