Шрифты, CDN и хостинг: трансграничная передача, которую никто не замечает

[dewil]

А почему изначально выбрали Vercel для сайта? Была конкретная техническая потребность или удобство разработки и деплоя? Российский сервер для обработки документов у вас уже был - интересно, что давало отдельное размещение сайта.

Для своего сервиса проработки резюме мы выбрали системные шрифты, без загрузки с внешних серверов. Сейчас перепроверил: при загрузке основных страниц браузер обращается только к нашему домену и Яндекс.Метрике. Согласен с вашей мыслью: проверять нужно фактические запросы, одной записи в политике недостаточно.

У документов есть похожая ловушка: если исходник сначала прочитал облачный агент, последующая маскировка уже опоздала. Для обработки текста сделал открытый локальный pii-mask: найденные персональные данные заменяются метками, соответствия остаются локально, после обработки можно восстановить оригиналы.

При этом маскировку тоже приходится проверять. Например, извлечение PDF по колонкам может разорвать ФИО и реквизиты, после чего распознавание их пропускает. Поэтому контролируем извлеченный текст и результат замены. Сетевые запросы сайта и содержимое документов требуют отдельных проверок.

[chronitel]

Честно - удобство и незнание. Vercel подключается к репозиторию за несколько минут: деплой по пушу, сертификат сам, ничего настраивать не надо. А про то, что это передача данных за рубеж, я тогда просто не думал. Сайт казался витриной, а всё серьёзное - договоры, вход, оплата - и так шло на свой сервер. Поэтому и проверял только сервис.

Системные шрифты - самый простой вариант, вообще без файлов. Про pii-mask интересно: а как он справляется, когда реквизиты лежат в таблице в PDF, а не в тексте?

[catherinei]

а вот у меня сайт-демо с гостевым входом (регистрации нет), но пользователю сайт предлагает вводить персональные данные третьих лиц в ходе работы над проектом. Такой демо-сайт тоже нужно регистрировать в РКН?

[chronitel]

Если то, что вводит пользователь, уходит на ваш сервер и там хранится или обрабатывается - скорее всего да, вы оператор и уведомление нужно. Регистрация пользователей тут ни при чём: закон смотрит на то, что происходит с данными, а не на то, знаете ли вы, кто их ввёл. После поправок 2022 года исключений почти не осталось, демо-сайт под них вряд ли попадает. Само уведомление подаётся онлайн и ничего не стоит.

Если же всё обрабатывается только в браузере и на сервер ничего не уходит - ситуация другая, данные вы фактически не получаете. Но это надо проверить по сетевым запросам, а не по тому, как задумано.

И раз это данные третьих лиц, я бы прямо написал в условиях, что пользователь отвечает за право их вводить. Я не юрист, так что в вашем случае лучше уточнить у специалиста.

[dewil]

Добавлю два уточнения. Если данные поступают на сервер, нужно определить роль владельца сервиса: оператор или лицо, обрабатывающее данные по поручению оператора (ч. 3 ст. 6 152-ФЗ).

И уведомление РКН по ст. 22 само по себе не дает основания обрабатывать ПД третьих лиц. Фраза в условиях «пользователь отвечает за право их вводить» тоже не заменяет такого основания.

[xokare]

Регистрируется не сайт, а оператор. И регистрироваться надо не если вы ПД обрабатываете, а если у вас есть автоматизированная обработка ПД. См. пункт 8 части 2 статьи 22 Закона о ПД.

Сам по себе факт обработки ПД на компьютере (сервере) НЕ свидетельствует о наличии автоматизированной обработки и необходимости включиться в реестр операторов ПД.

Если вы ведёте автоматизированную обработку ПД (без участия человека) - уведомление в реестр меньшая из макулатуры, которую вам надо составить, заполнить и принять. А помимо написания макулатуры приказ ФСТЭК 21 требует от вас соблюдать кучу требований по обеспечению безопасности ИСПД, соблюдать некоторые из которых стоит сильно больше 0 рублей.

Про согласия вам уже ниже сказали, уведомление не индульгенция на нарушения закона.

[Dzzzen]

1. к 152-ФЗ отношусь внимательнее многих.

2. Перенёс сайт на сервер в России

Требование об обязательном сборе персональных данных российских граждан на серверах, находящихся на территории РФ, действует с 1 сентября 2015 года. Вас не "Зоркий глаз" величают?