Сделал сайт — а закон?

01Кто ты по закону

Любые деньги с сайта — это предпринимательство. Статус нужен до первой оплаты.

Статус	Подходит, если	Не подходит, если
Самозанятый	продаёшь сам, доход до 2,4 млн ₽/год, нет сотрудников	нужны работники, перепродажа чужого, доход больше
ИП на УСН	продукты + услуги, сотрудники, рост. Самый частый вариант	нужны партнёры-совладельцы
ООО	несколько владельцев, инвестиции	ты один и только начинаешь — лишние расходы

Коды ОКВЭД покрывают то, чем занимаешься: разработка ПО (62.01), веб-порталы (63.11), издание ПО (58.29), консультации (62.02). Добавить код — бесплатно через Госуслуги.
Работник помогает? В трудовом договоре должно быть прописано, что права на созданное переходят работодателю (ст. 1295 ГК). Иначе код и дизайн юридически принадлежат ему.
Продаёшь программу или доступ к ней — это лицензия, а не «товар». Нужен лицензионный договор (см. раздел 04).

Консультации и разовые разборы — не образование, лицензия не нужна. Лицензия по 273-ФЗ (ст. 91) нужна, если ты ведёшь программу обучения с итоговой аттестацией и выдаёшь документ.

02Персональные данные — 152-ФЗ

Собираешь хотя бы e-mail или телефон — ты уже «оператор персональных данных». Со всеми обязанностями.

Политика обработки опубликована на сайте, ссылка — в подвале и рядом с каждой формой. ст. 18.1
Собираешь только нужное. Для оплаты хватает e-mail; телефон, адрес, дата рождения — только если без них нельзя. ст. 5
Данные лежат в России. Сервер и база — на хостинге в РФ. Запись, хранение, обновление ПД россиян за рубежом запрещены. ст. 18 ч. 5
Все, кому передаёшь данные, названы поимённо в политике: хостинг, почтовый сервис, платёжка, сервис рассылок. ст. 6 ч. 3
Сроки хранения прописаны: пока действует договор/лицензия, дальше — уничтожение. По запросу человека удаляешь за 10 рабочих дней. ст. 21 ч. 3
Ответ на запрос человека «что вы обо мне храните» — в течение 10 рабочих дней; повторный запрос он может подать не раньше чем через 30 дней. ст. 14, 20
Cookie и метрика. Баннер с текстом «мы используем cookie» и ссылкой на политику. Фраза «продолжая пользоваться сайтом, вы соглашаетесь» — плохая практика, используй кнопку.
Пароли хранятся только в виде хеша, доступ к базе — только по ключу, .env не в репозитории.

Telegram-бот собирает заявки? Серверы Telegram — в ОАЭ, этой страны нет в перечне «адекватных» стран РКН (приказ № 128 от 05.08.2022). Значит, это трансграничная передача: отдельное уведомление в РКН и ожидание 10 рабочих дней (ст. 12). Проще — не собирать ПД через бота, а давать ссылку на канал.

03Роскомнадзор — уведомление

Подать нужно до начала обработки. Это не разрешение, а регистрация: подал — можно работать.

Где: pd.rkn.gov.ru → Реестр операторов → Электронные формы → «Подать уведомление (через ЕСИА)». Нужна подтверждённая учётка Госуслуг ИП или организации. ст. 22
Что понадобится: цели обработки (заключение договора, рассылка, аналитика), категории данных (e-mail, имя, cookie), категории людей (клиенты, посетители сайта), сроки хранения, меры защиты, адрес сервера, ответственный за ПД.
Поле «трансграничная передача» — «не осуществляется», если ничего не уходит за рубеж. Бот в Telegram, зарубежная почта или CRM — уже «осуществляется».
РКН вносит в реестр в течение 30 дней. Бумажная копия при подаче через Госуслуги не нужна.
Ответственный за ПД назначен приказом (для ИП — ты сам). ст. 22.1

Штраф за обработку без уведомления или без политики — до 300 000 ₽ для ИП и организаций; за нарушения по согласиям — выше (КоАП ст. 13.11). Дешевле сделать сразу.

04Документы на сайте

Минимальный набор — четыре документа и подвал. Не копируй чужие: они написаны под чужой продукт.

Документ	Зачем	Что обязательно внутри
Оферта	Заменяет подписанный договор: оплатил — принял условия	что продаёшь, цена, порядок оплаты и доступа, срок проверки, возврат, ответственность «в пределах Закона о защите прав потребителей» ГК 435–438, ЗоЗПП 26.1
Лицензионный договор (или раздел в оферте)	Для программ, шаблонов, паков, курсов	способы использования (установить, запустить, изменять для себя), территория, срок — «на весь срок действия исключительного права», запрет перепродажи. Упрощённый порядок — п. 5 ст. 1286 ГК; ст. 1235
Пользовательское соглашение	Правила пользования сайтом и кабинетом	возраст 18+, что можно и нельзя, ваши права на контент, ограничение ответственности за сбои
Политика ПДн	Требование 152-ФЗ	см. раздел 02: цели, данные, сроки, процессоры поимённо, права человека и как ими воспользоваться

Подвал сайта (обязательные реквизиты)

Полное наименование (ИП Фамилия И. О.), ИНН, ОГРНИП, адрес, наименование регистрирующего органа (из выписки ЕГРИП), режим работы, e-mail и телефон для обращений. ЗоЗПП ст. 9, 26.1

Что в оферте часто пишут неправильно

«Лицензия бессрочно» → «на срок действия исключительного права».
«Претензия обязательна» → потребитель вправе, но не обязан.
Суд «по месту нахождения продавца» → у потребителя выбор, в т. ч. по своему месту жительства. ЗоЗПП 17

Штрафы «300 000 ₽ за нарушение» → суд снизит (ст. 333 ГК). Пиши соразмерно: например, 20-кратная стоимость.
«Неявка на консультацию — услуга считается оказанной» → удерживаются только фактические расходы. ЗоЗПП 32
Ссылка на ст. 1252 п. 3 → утратила силу, теперь ст. 1252.1 (компенсация до 10 млн ₽).

05Галочки, кабинет, рассылка

Форма оплаты или регистрации — три галочки. Больше не надо, меньше нельзя.

№	Галочка	Состояние	Основание
1	Принимаю условия оферты (ссылка)	обязательная, снята по умолчанию	ГК 438
2	Ознакомлен(а) с политикой и даю согласие на обработку данных для кабинета	обязательная	152-ФЗ ст. 9; для исполнения договора согласие не нужно — п. 5 ч. 1 ст. 6
3	Хочу получать письма о новых материалах	необязательная, снята	38-ФЗ ст. 18; 152-ФЗ ст. 15

Рассылка только по согласию, в каждом письме — отписка в один клик. Согласие храни (дата, e-mail, IP) — это твоё доказательство.
Возраст 18+. Проще, чем возиться с согласиями родителей для 14–18.
Срок проверки продукта (например, 7 дней, возврат без вопросов) — сам по себе снимает большинство споров по ст. 32 ЗоЗПП.
Согласие не «продлевается автоматически» и не «подтверждается использованием сайта» — только явным действием.

06Деньги, чеки, налоги

Чек на каждую оплату (54-ФЗ). Для старта проще всего платёжный сервис, который сам выбивает чеки (ЮKassa, Robokassa, CloudPayments и т. п.) — своя касса не нужна.
Ставка УСН «доходы» 6 % (в регионах бывает ниже). Налог платишь с поступлений на счёт, комиссию платёжки тоже включая.
НДС на УСН. С 2025 года при выручке выше порога появляется НДС; порог обсуждается и меняется — перед запуском проверь актуальную цифру на nalog.gov.ru. До порога — освобождение (ст. 145 НК), в оферте так и пиши: «НДС не облагается».
Отдельный расчётный счёт ИП, а не личная карта: платёжки работают только с ним.
Домен на своё ИП. С 1 сентября 2026 года домены .ru регистрируются только с подтверждением через Госуслуги — оформляй на предпринимателя, не на друга.

07Чужой код, шрифты, бренды

Открытые библиотеки и скилы. MIT / Apache 2.0 — можно использовать и продавать, но клади копию лицензии с именем автора и годом рядом с кодом. Apache — ещё и файл NOTICE, если он был.
Нет файла LICENSE = нет разрешения. Такой код нельзя класть в свой продукт. Варианты: не включать (пусть пользователь скачает сам), переписать своими словами, спросить автора.
Шрифты и картинки. Google Fonts (OFL) — свободно. Шрифт с торрента, картинка из поиска — нет. Сгенерированные нейросетью — по правилам сервиса (у большинства — можно коммерчески).
Чужие бренды. Не называй продукт «Claude-пак», «ChatGPT-курс», не используй чужие логотипы как свои. Упоминать «работает с Claude» — можно.
Свои права. На сайте укажи «© ИП Фамилия, 2026»; исходники храни в закрытом репозитории.

08Порядок действий

Один раз, по списку. Обычно укладывается в 2–3 недели, из них большая часть — ожидание.

Шаг	Что делаешь	Сколько ждать
1	Регистрируешь ИП (Госуслуги или nalog.gov.ru), выбираешь УСН, добавляешь ОКВЭД. Открываешь расчётный счёт.	3 раб. дня + счёт 1–2 дня
2	Подтверждаешь учётку Госуслуг как ИП («Добавить организацию → ИП»).	сразу
3	Покупаешь домен на ИП, берёшь хостинг в России, включаешь HTTPS.	1 день
4	Пишешь 4 документа под свой продукт, публикуешь их на сайте, делаешь подвал с реквизитами.	1–2 дня
5	Подаёшь уведомление в РКН через Госуслуги. Если есть передача за рубеж — второе уведомление и 10 рабочих дней.	подал — можно работать
6	Формы: три галочки, cookie-баннер, пароли хешем, база на сервере в РФ.	1 день
7	Подключаешь платёжный сервис с чеками (подписание договора идёт по документам с шага 4).	2–5 дней
8	Ставишь метрику, проверяешь на телефоне, что все ссылки на документы открываются. Запуск.	—

09Восемь ошибок, которые дорого стоят

Принимать деньги на личную карту «пока так».
Скопировать политику и оферту с чужого сайта, не меняя названий и сроков.
Хранить базу клиентов в зарубежном сервисе (Notion, Google Sheets, Airtable).
Собирать телефон и дату рождения «на всякий случай».

Одна галочка «согласен со всем» вместо трёх.
Рассылка по всем, кто когда-то оплатил, без согласия.
Пароли в базе открытым текстом, ключи API в коде.
Продавать чужие скилы/шаблоны без лицензии или с «непередаваемой» лицензией.

Первоисточники, чтобы проверить самому

152-ФЗ «О персональных данных» (ст. 5, 6, 9, 12, 14, 18, 18.1, 20, 21, 22) · ЗоЗПП (ст. 9, 16, 17, 26.1, 29, 32) · ГК РФ (ст. 333, 428, 435–438, 1235, 1252.1, 1286, 1295) · 38-ФЗ «О рекламе» ст. 18 · 54-ФЗ ст. 1.2 · 273-ФЗ ст. 91 · КоАП ст. 13.11 · Приказ РКН № 128 от 05.08.2022 (перечень стран) · Все тексты — consultant.ru, garant.ru; портал ПД — pd.rkn.gov.ru.

10Что обязательно внутри каждого документа

Проверь свои документы по этим спискам. Пункта нет — документ не защищает.

Политика обработки персональных данных 152-ФЗ ст. 6, 9, 14, 18.1, 21

Оператор: ИП Фамилия И. О., ИНН, ОГРНИП, адрес, e-mail для запросов по данным.
Правовые основания по каждой цели: договор, согласие или закон (пункт ч. 1 ст. 6).
Цели — каждая отдельно: договор и доступ, кабинет, рассылка, аналитика, ответы на обращения.
Какие данные под каждую цель: e-mail, имя, телефон (если нужен), cookie/IP/устройство. Номер карты — не у тебя, а у платёжки.
Категории людей: покупатели, посетители, подписчики.
Действия с данными: сбор, хранение, использование, передача, уничтожение.
Кому передаёшь — поимённо: хостинг, почта, платёжный сервис, рассылки, метрика. Не «третьим лицам».

Трансграничная передача: «не осуществляется» или список стран.
Сроки хранения по каждой цели и что потом (уничтожение). Рассылка — до отзыва, обращения — 3 года.
Права человека и порядок: доступ, уточнение, удаление, отзыв согласия; куда писать; ответ 10 рабочих дней; повторный запрос — не чаще раза в 30 дней; право жаловаться в РКН.
Меры защиты: HTTPS, пароли хешем, ограничение доступа, сервер в РФ, назначен ответственный за ПД.
Cookie: какие используются и как отключить в браузере.
Дата, версия и где смотреть новую редакцию.

Оферта и лицензионный договор ГК 435–438, 1235, 1286; ЗоЗПП 10, 26.1, 32

Продавец с полными реквизитами и контактами.
Предмет: лицензия на программу / пак, консультация. Не «товар».
Для лицензии обязательно (иначе договор не заключён): способы использования (установить, запустить, изменять для себя; запрет копий и перепродажи), территория, срок «на срок действия исключительного права», простая неисключительная.
Цена в рублях, «НДС не облагается (ст. 145 НК)», через какой сервис, момент заключения = оплата.
Как приходит доступ: ссылка на e-mail в течение N часов, повторная выдача ссылки.
Требования к технике: ОС, отдельная подписка на нейросеть, VPN в РФ. Защита от «не работает — верните».

Проверка и возврат: 7 дней без вопросов; дальше — ст. 32 ЗоЗПП (минус фактические расходы). Консультация: перенос, при неявке удержание расходов.
Обновления и поддержка: что входит (12 мес, ответы по e-mail), что нет.
Ответственность «в пределах закона о защите прав потребителей»; штраф за нарушение лицензии соразмерный (например, 20-кратная стоимость, не менее 20 000 ₽).
Что не гарантируешь: результат в бизнесе, работу сторонних сервисов.
Открытые компоненты под MIT/Apache, копии лицензий внутри.
18+, претензия «вправе», суд по выбору потребителя, порядок изменения оферты, дата редакции.

Пользовательское соглашение

Владелец сайта и реквизиты. Кабинет: регистрация по e-mail, ответственность за пароль.
Что можно и нельзя: не ломать, не копировать контент, не передавать аккаунт. Право заблокировать нарушителя.
Права на контент (© ИП); можно ли цитировать бесплатные материалы (лучше да, со ссылкой). Ответственность за сбои и плановые работы. Ссылка на политику, 18+, дата редакции.

Согласия — тексты у галочек 152-ФЗ ст. 9, 15; 38-ФЗ ст. 18

Согласие на ПД для кабинета: оператор, цели, перечень данных, действия, срок, как отозвать. Галочка снята по умолчанию.
Согласие на рассылку: что присылаешь, как часто, отписка в один клик в каждом письме. Отдельная галочка, снята.
Cookie-баннер: «Используем cookie и метрику», кнопка «Понятно», ссылка на политику.
Храни факт согласия: дата, время, e-mail, IP, версия документа — твоё доказательство при проверке.

Подвал сайта ЗоЗПП ст. 9, 26.1

Наименование ИП, ИНН, ОГРНИП, адрес, регистрирующий орган и дата регистрации (из выписки ЕГРИП), режим работы, e-mail, телефон, ссылки на все документы, © год.

Что РКН смотрит первым делом: политика открыта без регистрации и ссылка на неё стоит у каждой формы; цели и данные в политике = в уведомлении РКН = галочкам на сайте (расхождение — самое частое замечание); процессоры названы конкретно; указан ответственный за ПД и e-mail для запросов.

Хочешь готовые документы под свой продукт и чтобы нейросеть сама проверяла сайт по этому чеклисту — заходи в канал t.me/alex_aicontent. Там же — паки для Claude Code и Codex.

Сделал сайтили CRM — а закон?