Юридическая сторона бота в MAX для бизнеса: без воды и страшилок

«А нам не штраф ли прилетит за этого бота?» — частая тревога владельца. Юридическая сторона действительно есть, но её часто демонизируют. На самом деле для большинства бизнесов набор требований конечный, выполнимый и не очень дорогой. Ниже — без формулы «проконсультируйтесь со специалистом», по делу.

Что бот собирает и почему это важно

Любое имя, телефон, email, фото или геолокация, которые клиент вводит в бот, — это персональные данные. Их обработка регулируется 152-ФЗ. Закон требует две главные вещи:

• Уведомить клиента о том, что и зачем вы собираете, и получить согласие.
• Хранить данные на территории России.

Первое решается через текст согласия и отдельную страницу политики конфиденциальности. Второе — выбором правильного хостинга и систем учёта.

Если вы просто принимаете заявки с именем и телефоном, заморачиваться нужно не сильно. Если работаете с медициной, финансами, биометрией или несовершеннолетними — требования жёстче, и подрядчика выбирать с опытом в этой нише.

Согласие на обработку данных в боте

Главный артефакт — это согласие, которое пользователь подтверждает в боте. Минимум, который должен быть:

1. Кто оператор (название компании или ФИО ИП, ОГРН/ИНН, адрес).
2. Какие данные собираете (ФИО, телефон, email, история заказов).
3. Зачем (приём заявок, доставка, маркетинг — если есть).
4. Кому передаются (если передаются — например, курьерской службе).
5. Срок хранения и порядок отзыва согласия.

Технически в боте это обычно выглядит как:

«Нажимая «Записаться», вы соглашаетесь с обработкой персональных данных и принимаете условия Политики конфиденциальности».

Кнопка «Записаться» = согласие. Юристы спорят, считается ли это «явным» согласием — на сегодняшний день в подавляющем большинстве случаев да, если перед нажатием пользователь видит ссылку на политику и описание целей.

В чувствительных случаях (медицина, финансы) добавляют отдельный шаг с галочкой «Я ознакомлен и согласен» — это устраняет спорность.

Политика конфиденциальности и оферта

Два документа, которые должны быть доступны из бота и с сайта:

• Политика конфиденциальности. Описывает обработку персональных данных. Ссылается на 152-ФЗ. Упоминает оператора, цели, сроки, права субъекта.
• Оферта (или Пользовательское соглашение). Описывает условия услуги: что вы продаёте, на каких условиях, как возвращать деньги, как разрешать споры.

Эти документы пишет юрист или, как минимум, адаптирует под ваш бизнес типовой шаблон. Бесплатные шаблоны в интернете — стартовая точка, но не финальный документ. Стоимость нормальной адаптации — 15–40 тыс. рублей разово.

Не пытайтесь обойтись «согласием в боте» без политики конфиденциальности на сайте. РКН периодически проводит проверки, и отсутствие политики — типовое нарушение со штрафом 30–60 тыс. рублей для юрлица.

Уведомление в РКН

С 2025 года в России действует обязательное уведомление РКН об обработке персональных данных для всех операторов (включая ИП). Уведомление подаётся через Госуслуги, бесплатно, за 10 минут. Срок обработки — обычно 30 дней.

Если у вашего бизнеса есть сайт, и на нём собирается хоть одна форма с персональными данными — уведомление вы должны были подать ещё до бота. Если ещё не подавали — подайте сейчас, ничего страшного, штрафа за «забыли» обычно нет.

Отдельно по боту уведомление подавать не нужно, если он использует те же данные и для тех же целей, что и сайт.

Маркировка рекламы в боте

Вторая зона внимания — маркировка интернет-рекламы (закон о рекламе и поправки от 2022–2023 годов). Если бот рассылает рекламные сообщения — формально это попадает под маркировку.

Что считается «рекламой»:

• любые сообщения, которые продвигают товары/услуги;
• акции, скидки, промокоды;
• партнёрский контент.

Что НЕ считается рекламой:

• сервисные сообщения (статус заказа, подтверждение записи);
• ответы на конкретные вопросы клиента;
• ваши собственные «полезные посты» в канале без призыва купить;
• собственная информация о компании (сведения об организации).

В реальной жизни 95% сообщений нормального бота — сервисные и не требуют маркировки. Маркировка нужна для тех 5%, которые именно «рекламные» — и она довольно простая: токен ОРД и пометка «Реклама», «РКН-токен» в сообщении.

Если бот не делает массовых рассылок «в стиле спам», эта тема обычно не вызывает проблем.

Cookie-баннер и Mini App

Если у бота есть Mini App (полноценный WebView с сайтом внутри), он формально считается сайтом и должен иметь cookie-баннер с возможностью отказаться от аналитических куки. Тут всё как с обычным сайтом: показать баннер, дать выбор, не ставить аналитику до согласия.

Большинство фреймворков для Mini App позволяют сделать это в две строчки. Подрядчик должен заложить это в первоначальной разработке.

Эквайринг и платежи

Если в боте есть оплата, к юридике добавляется ещё блок:

• Договор с эквайером (банк, который проводит платежи). Обычная процедура, делается за 2–4 недели.
• Чеки. По 54-ФЗ при онлайн-оплате надо выдавать кассовые чеки. Решается интеграцией с онлайн-кассой или сервисами вроде «Атол Онлайн».
• Возвраты. В оферте должен быть прозрачный порядок возврата: сроки, условия, через какие каналы.
• Защита данных карты. Никогда не храните данные карт у себя; принимайте через PCI-DSS совместимые платёжные шлюзы (CloudPayments, ЮKassa, Тинькофф).

Это не «юридическая магия», а стандартная практика любого интернет-магазина. Если у вас уже работает оплата на сайте — для бота используется тот же эквайринг, без дополнительных согласований.

Особые отрасли — особые требования

Несколько ниш, в которых бот юридически сложнее обычного:

• Медицина. Помимо 152-ФЗ — медицинская тайна, особый режим хранения. Подрядчик должен иметь опыт.
• Финансы и микрофинансы. Лицензия ЦБ, требования к маркировке предложений, отдельные согласия на BKI.
• Алкоголь и табак. Реклама запрещена; формально продажа через мессенджер тоже под вопросом. Лучше отдельная консультация.
• Несовершеннолетние. Сбор данных только с согласия родителей; в боте — отдельный процесс верификации возраста.
• Биометрия (фото, голос). Усиленные требования к согласию и хранению.

Если ваш бизнес попадает в любую из этих категорий — закладывайте +20–40% к юридическому бюджету и выбирайте подрядчика с опытом в нише.

Ответственность за бот: подрядчик или вы

Ключевое: ответственность перед законом — на операторе данных, то есть на вашей компании. Подрядчик — исполнитель, он несёт ответственность только перед вами по договору.

Это значит:

• штраф РКН придёт вам, не подрядчику;
• иск от клиента — к вам, не к подрядчику;
• если подрядчик нарушил требования по хранению, и из-за этого случилась утечка, — вы обязаны уведомить РКН и клиентов в течение 24 часов.

Защита от этого риска — через договор с подрядчиком: пункт об ответственности за нарушение требований 152-ФЗ, обязанность по обеспечению ИБ, штрафы за инциденты. Хороший подрядчик не возражает против таких пунктов; плохой — пытается уйти от ответственности и оставить вас одних.

Минимальный план юридической готовности

Что должно быть до публичного запуска бота:

1. Уведомление в РКН подано (через Госуслуги).
2. Политика конфиденциальности написана юристом и опубликована на сайте.
3. Оферта (для платных услуг) — то же самое.
4. В боте — экран с согласием на обработку данных и ссылкой на политику.
5. Если есть Mini App — cookie-баннер.
6. Если есть платежи — договор с эквайером, интеграция чеков.
7. Если есть рассылки — понятный план, что считается рекламой и как маркируется.
8. Договор с подрядчиком включает пункты об ответственности за 152-ФЗ.

Это занимает 2–4 недели подготовки и 30–80 тыс. рублей юридического бюджета. Без этого бот лучше не запускать публично — вы либо нарвётесь на штрафы, либо не сможете защититься от первой жалобы.