Нужно проверить сайт перед запуском, привести в порядок персональные данные или разобраться в документах компании? Во всех этих случаях можно услышать предложение провести юридический аудит. Но под одним названием скрываются разные задачи, объём работы и результат.
Проверка персональных данных не заменяет анализ оферты и условий оплаты. Юридическая проверка сайта не охватывает автоматически кадровые процессы всей организации. А комплексный аудит бизнеса нужен, когда требуется разобраться сразу в нескольких связанных направлениях.
В этой статье объясняем, как выбрать подходящий формат и за какую работу имеет смысл платить. Юридическая практика «Софист» работает с бизнесом и НКО с 2016 года. Находимся в Казани, основную работу выполняем удалённо и сопровождаем проекты из других регионов России.
Какую юридическую проверку выбрать
Начать стоит с вопроса: что именно вы хотите понять или привести в порядок?
| Ваша задача | Подходящий формат | Куда перейти |
|---|---|---|
| Проверить сбор и использование данных через сайт или приложение | Аудит персональных данных сайта или приложения | Услуги по персональным данным |
| Разобраться с данными работников, клиентов, подрядчиками и внутренними процессами | Аудит персональных данных организации | Персональные данные для бизнеса и НКО |
| Проверить продажи, подписки, отношения с пользователями, данные и использование контента | Юридическая проверка сайта, приложения или цифрового проекта | Юридические услуги для IT-компаний и цифровых проектов |
| Проверить несколько связанных направлений: договоры, управление, права на продукт, данные | Юридический аудит бизнеса по индивидуальной программе | Объём определяем после знакомства с задачей |
| Подготовить недостающие документы по уже понятной задаче | Отдельная услуга или проект по подготовке документов | Профильная услуга по нужному направлению |
Последний вариант тоже важен. Если компании нужны документы для обычной формы заявки и понятного процесса работы с клиентами, самостоятельный большой аудит может оказаться лишним этапом. Необходимые сведения можно собрать в рамках подготовки документов.
Аудит персональных данных сайта или приложения
Этот формат подходит, когда основной вопрос — как цифровой продукт собирает, использует и передаёт персональные данные.
Например, на сайте есть регистрация, личный кабинет, несколько форм, аналитика и рассылка. Заявки передаются в CRM, а часть функций обеспечивают сторонние сервисы. Политика при этом могла остаться со времени первой версии сайта.
В согласованную проверку могут входить:
- формы, регистрация и другие способы получения данных;
- цели обработки, состав сведений и применимые правовые основания;
- политика, согласия и другие документы, связанные с обработкой;
- аналитика, внешние сервисы и передача сведений подрядчикам;
- дальнейшая работа с заявками и данными пользователей в пределах согласованных процессов;
- соответствие опубликованных документов фактической работе продукта.
Проверка должна учитывать путь данных после отправки формы. Если заявка поступает в CRM, затем используется для рассылки или передаётся исполнителю, эти действия могут иметь значение для правовой оценки.
Результат углублённого аудита — заключение с выявленными проблемами и рекомендациями. Клиент понимает, что изменить в документах, какие вопросы уточнить у команды и какие действия передать разработчикам.
Такая услуга посвящена персональным данным. Условия продажи, возврата денег, использования контента и права на программный код включаются только при отдельном согласовании соответствующих вопросов.
Аудит персональных данных организации
Проверка сайта отвечает лишь на часть вопросов организации. Данные могут обрабатываться также при найме сотрудников, оформлении договоров, оказании услуг, работе с благополучателями НКО, ведении бумажных архивов и взаимодействии с подрядчиками.
Аудит организации нужен, если требуется разобраться в работе с персональными данными внутри компании и во взаимодействии с другими участниками обработки.
Предмет проверки определяем с учётом деятельности. Например, выясняем:
- чьи данные используются и для каких задач;
- в каких системах и документах они находятся;
- кто имеет доступ и как распределены обязанности;
- какие функции переданы внешним исполнителям;
- как организованы хранение, удаление и работа с обращениями;
- соответствуют ли внутренние документы действующим процессам.
Сайт или приложение могут быть частью такой проверки, но перечень продуктов и глубину их анализа нужно оговорить. Даже аудит персональных данных организации не означает неограниченное исследование всех её систем.
Это профильная проверка одного направления — персональных данных. Корпоративные отношения, налоговые вопросы, условия всех коммерческих договоров и права на разработки автоматически в неё не входят.
В «Софисте» полный аудит персональных данных предусматривает анализ документов и фактических процессов, рекомендации и исправление документов в согласованном объёме. Необходимость выезда и интервью с ответственными сотрудниками определяем по задаче.
Юридическая проверка сайта, приложения или цифрового проекта
Этот формат шире проверки персональных данных. Он нужен, когда требуется оценить юридическое оформление работы продукта и отношений с его пользователями.
Например, сервис принимает оплату по подписке. Важно понять не только то, как он получает данные пользователя, но и как заключается договор, что входит в подписку, как она продлевается и прекращается, как рассматриваются обращения и на каких условиях используется контент.
В зависимости от функций проекта согласуем проверку:
- оферты, пользовательского соглашения и других условий взаимодействия;
- регистрации, оформления заказа и принятия договорных условий;
- оплаты, подписок, отмены услуг и возвратов;
- информации о продавце или исполнителе и существенных условиях предложения;
- обработки персональных данных;
- условий использования материалов, пользовательского контента и результатов работы сервиса;
- документов с подрядчиками, если они непосредственно относятся к поставленному вопросу.
Сайт и приложение — объекты проверки, а не отдельные юридические темы. Для приложения с авторизацией без продаж и для сервиса с платной подпиской, пользовательскими публикациями и AI-функциями понадобятся разные программы работы.
Поэтому запрос «проверить приложение» сначала уточняем: нужны только документы по данным, анализ отношений с пользователями или также отдельная проверка прав на продукт? Исследование всей цепочки интеллектуальных прав может потребовать самостоятельной работы с договорами сотрудников и разработчиков.
Результат — выводы по согласованным сценариям и перечень необходимых изменений. Подготовку новых документов и сопровождение их внедрения включаем в состав проекта по договорённости.
Когда нужен комплексный юридический аудит бизнеса
Такой формат имеет смысл, если вопрос выходит за пределы одного сайта или одной юридической темы.
Например, компания развивает цифровой продукт, передаёт часть работ подрядчикам и привлекает партнёра. Собственнику нужно одновременно разобраться с правами на результат, договорными обязательствами и оформлением договорённостей участников.
В программу могут входить несколько направлений:
- коммерческие договоры, порядок приёмки, расчётов и прекращения отношений;
- устав, решения, полномочия и соглашения собственников;
- основания использования программ, дизайна, контента и других результатов;
- отдельные процессы обработки персональных данных;
- юридическое оформление продукта;
- внутренние правила согласования документов и распределения обязанностей.
Комплексность означает связь выбранных направлений, а не обещание проверить вообще всё. До начала работы определяем вопросы, период, материалы, глубину анализа и возможные ограничения. Полный профильный аудит отдельного направления при необходимости выделяем в самостоятельный этап.
Проверку перед покупкой компании или входом инвестора также согласуем отдельно. У неё другая цель: установить обстоятельства, которые способны повлиять на сделку и её условия. Может потребоваться участие финансовых, налоговых и других специалистов.
Для конкретной проблемы комплексный аудит заказывать необязательно. Проверку и подготовку договоров можно обсудить в рамках договорной работы, а вопросы управления и отношений собственников — в рамках корпоративного права.
Аудит или подготовка документов: за какой результат вы платите
До заключения договора важно определить не только предмет проверки, но и итог работы.
| Формат результата | Что получает клиент | Когда подходит |
|---|---|---|
| Проверка и заключение | Выводы, выявленные проблемы, приоритеты и рекомендации | Нужно независимое мнение или план для своей команды |
| Подготовка документов | Согласованный комплект документов и разъяснения по применению | Задача понятна, документы отсутствуют или требуют замены |
| Проверка с исправлениями | Анализ и согласованные изменения документов, рекомендации по дальнейшим действиям | Нужно разобраться в существующем положении и привести выбранные вопросы в порядок |
При подготовке документов юрист всё равно изучает деятельность клиента. Это необходимо, чтобы материалы соответствовали реальной работе. Но такой сбор сведений не равен отдельному углублённому аудиту всех процессов организации.
Самостоятельная проверка особенно полезна, если уже существует сложная система, документы готовились разными специалистами, есть сомнения в прежней работе или руководителю требуется независимая оценка.
Если же нужно оформить понятный процесс с нуля, можно сразу согласовать проект по документам с необходимым анализом исходных сведений.
Сколько стоит юридическая проверка
Цена зависит от задачи, глубины анализа и результата. Одинаковое количество страниц не означает одинаковую трудоёмкость: важны связи между документами, функции продукта и число участвующих лиц и систем.
| Услуга | Стоимость | Основной результат |
|---|---|---|
| Базовый проект по персональным данным | 35 000 руб. | Основные документы, работа с уведомлением Роскомнадзора и необходимая правовая проверка сайта |
| Универсальный проект по персональным данным | 50 000 руб. | Расширенный комплект, включая внутренние процедуры, и рекомендации по применению |
| Углублённый аудит персональных данных сайта или цифрового продукта | От 50 000 руб. | Заключение и рекомендации по обработке данных в согласованных сценариях |
| Полный аудит персональных данных организации | От 95 000 руб. | Проверка документов и процессов, рекомендации и исправления документов в согласованном объёме |
| Юридическая проверка сайта или приложения по нескольким темам | По согласованной программе | Выводы по выбранным вопросам; состав документов и исправлений определяем отдельно |
| Юридический аудит бизнеса по нескольким направлениям | От 70 000 руб. | Письменные выводы, приоритеты и план действий по согласованной программе |
Подробный состав проектов по данным приведён на профильной странице. Подготовка отдельных документов и проверка конкретного вопроса также возможны без заказа большого проекта.
Почему аудит бизнеса начинается от 70 000 руб., а полный аудит персональных данных — от 95 000 руб.? Это разные программы, а не ступени одного пакета. Проверка нескольких согласованных вопросов бизнеса не включает автоматически полный профильный аудит обработки данных. Во втором случае работа может глубоко охватывать процессы организации и включать исправление документов. Сравнивать предложения нужно по конкретному составу и результату.
Отдельно различаем необходимую проверку сайта при подготовке документов и углублённый анализ действующего цифрового продукта. Во втором случае самостоятельная задача — исследовать сценарии, взаимосвязи и существующее оформление, а не только подготовить основные материалы.
До начала работы фиксируем стоимость, сроки и границы. Подготовка новых договоров, регистрационные действия, расширение проверки и другие дополнительные задачи оплачиваются отдельно, если они не включены в согласованный состав услуги.
Количество сайтов, юридических лиц, процессов и особенности обработки учитываем при определении объёма проекта. Цена одного формата не означает, что в неё включено любое количество объектов проверки.
Что потребуется от клиента и как проходит работа
Для первого обсуждения достаточно ссылки на сайт или приложение, краткого описания деятельности и вопроса, который нужно решить. Если задача относится к организации в целом, расскажите о её основных процессах и известных проблемах.
Далее работа строится последовательно.
- Определяем задачу. Уточняем предмет, границы и нужный результат. Если достаточно отдельной услуги, предлагаем её.
- Согласуем состав и стоимость. Фиксируем материалы, глубину проверки, сроки, документы на выходе и включённые исправления.
- Собираем сведения и проводим анализ. Изучаем документы и фактические процессы, при необходимости задаём вопросы ответственным сотрудникам и разработчикам.
- Передаём и обсуждаем результат. Объясняем выводы, приоритеты и дальнейшие действия. Документы и исправления выполняем в предусмотренном договором объёме.
Не нужно заранее передавать весь архив или выгружать базы клиентов. Сначала определяем необходимые материалы и согласуем порядок доступа. Часть вопросов можно установить по описанию процессов, образцам документов и демонстрации функций.
Основную работу выполняем удалённо. Если для задачи необходимо изучить организацию работы на месте, условия выезда обсуждаем отдельно.
Юридическая проверка не заменяет технический аудит информационной безопасности: тестирование уязвимостей, исследование кода и настройку средств защиты согласуют с профильными специалистами. Изменения на сайте и в системах внедряет техническая команда клиента, внутренние процедуры — ответственные сотрудники. Мы готовим юридические требования и разъяснения в рамках поручения.
Бухгалтерскую и налоговую проверку также определяют как самостоятельные задачи с участием соответствующих специалистов.
Для разового анализа постоянное обслуживание не требуется. Если после проекта компании регулярно нужна работа с договорами, продуктом, персональными данными и другими юридическими вопросами, можно обсудить постоянное юридическое сопровождение бизнеса.
Опыт «Софиста»: анализ, связанный с работой проекта
Работаем с бизнесом и НКО с 2016 года. Василий Кустов занимается юридической работой с 2012 года. Приоритетные сферы практики — IT, цифровые сервисы, образование, услуги и торговля.
Персональные данные в AI-проекте
Для стартапа, использовавшего внешний AI-сервис, изучили обработку сведений и риски их передачи. Для конкретного проекта подготовили правовую и документальную модель предварительного обезличивания, внутренние материалы и рекомендации по внедрению. Правовой анализ был связан с фактической архитектурой продукта.
Подробнее о работе с данными AI-стартапа.
Несколько направлений в работе IT-компании
При сопровождении IT-компании работали с интеллектуальными правами, персональными данными, инвестиционным соглашением и оформлением цифрового продукта. Это пример взаимосвязанных юридических задач, возникающих в развивающемся бизнесе.
Подробнее о сопровождении IT-компании.
Благодарственные письма
АО «ПОЗИС»
отмечает помощь по вопросам обработки персональных данных, консультации и обучающий семинар для сотрудников.
ООО «МАНТЛ КОД»
благодарит за регистрацию программы для ЭВМ, подготовку лицензионного договора, помощь с уведомлением Роскомнадзора и внутренними документами.
Наши гарантии и преимущества
Личное участие Василия Кустова. Вы знаете, кто отвечает за юридическую работу. Василий анализирует ключевые материалы и обсуждает выводы с клиентом.
Понятный объём и стоимость. В договоре определяем вопросы, глубину, результат, сроки и стоимость. Расширение задания и дополнительные расходы согласуем до выполнения соответствующей работы.
Выводы, которые можно использовать. По итогам аудита объясняем выявленные проблемы и необходимые действия. Отделяем подтверждённые обстоятельства от вопросов, по которым не хватает сведений, а обязательные требования — от рекомендаций по организации работы.
Связь документов с процессами. Проверяем, как применяются условия и правила: что происходит при регистрации, покупке, передаче задания, получении данных или работе подрядчика. Одного наличия документа недостаточно для вывода о корректности процесса.
Конфиденциальность и самостоятельный выбор дальнейших действий. Закрепляем условия работы с материалами клиента. Заключение можно использовать внутри организации или передать выбранным специалистам. Обязанности заказывать постоянное сопровождение нет.
Гарантии относятся к выполнению согласованной работы и передаче предусмотренного результата. Обещать отсутствие любых будущих претензий нельзя: значение имеют полнота исходных сведений, фактическое внедрение решений и последующие изменения проекта.
Частые вопросы
У меня небольшой сайт. Обязательно ли заказывать отдельный аудит?
Не всегда. Если процессы понятны и нужны основные документы по персональным данным, может подойти проект по их подготовке с необходимой проверкой сайта. Если требуется разобраться в сложных интеграциях, существующих документах и нескольких сценариях использования, обсудим углублённый анализ. Выбираем формат по задаче, а не только по размеру сайта.
Проверка сайта по персональным данным означает, что весь сайт юридически оформлен?
Она охватывает согласованные вопросы обработки данных. Оферта, платные подписки, возвраты, отношения с пользователями и использование контента требуют включения соответствующих тем. Если цель — проверить юридическое оформление продукта в целом, определим более широкую программу и её границы.
Документов почти нет. Мне сначала нужно оплатить аудит, а потом их подготовку?
Не обязательно. Если задача и процессы позволяют определить нужный комплект, можно согласовать подготовку документов с необходимым анализом исходных сведений. Отдельный аудит нужен, когда самостоятельную ценность имеет исследование существующей системы или независимая оценка её состояния.
После проверки придётся ещё платить за исправления?
Это зависит от выбранной услуги. Проверка с заключением и работа с исправлениями имеют разный состав. Например, полный аудит персональных данных предусматривает исправление документов в согласованном объёме. До начала работы фиксируем, какие изменения входят в цену, а какие потребуют отдельного заказа.
У нас есть свой юрист. Можно проверить только один сложный участок?
Да. Можно согласовать проверку продукта, обработки данных или определённого комплекта документов. Внутренний юрист помогает восстановить обстоятельства и использовать результат. Передавать нам всю юридическую работу компании не требуется.
Вы только находите нарушения или помогаете понять, что делать дальше?
Результат аудита включает рекомендации и приоритеты по рассмотренным вопросам. Объясняем, какие документы изменить, какие сведения уточнить и какие задачи передать сотрудникам или разработчикам. Подготовка документов и сопровождение исправлений выполняются в согласованном объёме. Остальные рекомендации можно реализовать своей командой.
Можно провести проверку удалённо, без передачи доступа ко всем системам?
Во многих задачах можно работать по документам, описанию процессов и демонстрации функций. Доступы не запрашиваем без определения необходимости. Если для обоснованного вывода информации недостаточно, сообщим, что нужно уточнить, и обозначим ограничения проверки. Необходимость выезда согласуем отдельно.