Политика использования cookie

Сервис: Raffly — raffly.ru
Оператор: УТОЧНИТЬ: полное наименование оператора — ИП / ООО, ИНН, ОГРН(ИП), адрес
Редакция: 0.1 (черновик) · Дата подготовки: ноябрь 2026 · Вступает в силу: УТОЧНИТЬ: дата публикации
Связанные документы: Политика обработки персональных данных (01-privacy-policy.md), Согласие (02-consent.md)

Коротко. Необходимые cookie нужны, чтобы сайт работал: без них не получится войти, провести жеребьёвку и защититься от подделки запросов. Аналитические и маркетинговые cookie включаются только после вашего согласия. До согласия соответствующие скрипты не загружаются вообще. Отказаться так же просто, как согласиться: одна кнопка, одинаково заметная.

1. Что такое cookie и что мы относим к ним

1.1. Cookie — небольшие файлы, которые сайт сохраняет в браузере. Они позволяют, например, не вводить пароль при каждом переходе, запомнить выбранную тему и понять, какие страницы полезны.

1.2. В этой Политике под «cookie» понимаются также:

• localStorage и sessionStorage (хранение настроек и черновиков в браузере);
• идентификаторы сессии и токены защиты от CSRF;
• пиксели и маячки в письмах (если используются);
• аналогичные технологии, включая отпечатки устройства (fingerprinting) — мы их не используем; если появятся, они будут отнесены к аналитическим и включены только по согласию.

1.3. Мы используем только first-party cookie (устанавливаемые доменом Raffly), за исключением аналитических cookie, которые устанавливает выбранный нами сервис аналитики. Список — в разделе 4.

2. Правовая основа

2.1. Отдельного закона «о cookie» в России нет. Cookie, IP-адрес, идентификаторы устройства и данные о поведении на сайте рассматриваются как персональные данные, если позволяют прямо или косвенно определить человека (ст. 3 152-ФЗ; позиция Роскомнадзора). Поэтому к ним применяется 152-ФЗ, в первую очередь:

• п. 1 ч. 1 ст. 6 — обработка с согласия субъекта: аналитические и маркетинговые cookie;
• п. 5 ч. 1 ст. 6 — обработка, необходимая для исполнения договора: cookie сессии, корзина/черновик розыгрыша, запоминание факта входа;
• п. 7 ч. 1 ст. 6 — законные интересы оператора: защита от атак и мошенничества (CSRF-токен, ограничение частоты запросов);
• ст. 9 — требования к согласию: конкретное, предметное, информированное, сознательное, однозначное; с 01.09.2025 — отдельно от иных документов (ч. 1 ст. 9 в редакции 156-ФЗ);
• ст. 21 — удаление данных при отзыве согласия;
• ч. 5 ст. 18 — локализация: сбор данных не должен вестись в зарубежные базы (в редакции с 01.07.2025).

2.2. Если cookie используются для показа рекламы, дополнительно применяются ст. 18 и ст. 18.1 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе» (согласие адресата на рекламу; маркировка интернет-рекламы и передача данных в ОРД). Сейчас Raffly не показывает рекламу и не устанавливает маркетинговые cookie УТОЧНИТЬ: подтвердить; если появятся — обновить документ.

2.3. Ответственность за нарушения — ст. 13.11 КоАП РФ. Обработка данных без законного основания или с нарушением целей — ч. 1 ст. 13.11: для граждан 10–15 тыс. ₽, для должностных лиц 50–100 тыс. ₽, для организаций 50–300 тыс. ₽ (в редакции с 30.05.2025). Нарушение локализации — ч. 8–9 ст. 13.11: до 6 млн ₽ и до 18 млн ₽ соответственно.

2.4. Чего недостаточно. Недостаточно написать «используя сайт, вы соглашаетесь с cookie» или показывать баннер, который нельзя закрыть без согласия. Согласие должно быть активным действием, а отказ — реальной возможностью.

3. Категории cookie

3.1. Строго необходимые

Без них сайт не работает. Устанавливаются всегда, не требуют согласия, потому что нужны для исполнения договора и безопасности (п. 5 и п. 7 ч. 1 ст. 6 152-ФЗ).

3.2. Функциональные

Делают сайт удобнее, но не обязательны. По умолчанию выключены; включаются по согласию (п. 1 ч. 1 ст. 6 152-ФЗ).

3.3. Аналитические

Помогают понять, какие страницы полезны. Включаются только после согласия. До согласия скрипт аналитики не загружается, сетевых запросов к сервису аналитики нет.

Запрещено на старте: Google Analytics, Facebook/Meta Pixel, TikTok Pixel, Hotjar и любые сервисы, передающие данные за границу. Это риск по ч. 5 ст. 18 и ст. 12 152-ФЗ, а также по ч. 8 ст. 13.11 КоАП (до 6 млн ₽) — подробнее в разделе.

3.4. Маркетинговые

Сейчас не используются. Если появятся (ретаргетинг, пиксели соцсетей), они будут включаться только после отдельного согласия, с перечислением в таблице и с возможностью отказа. Одного согласия «на аналитику» для маркетинга недостаточно.

4. Правила cookie-баннера (обязательные требования)

Эти правила — часть продукта, а не «юридическая формальность». Нарушение любого пункта делает согласие уязвимым.

4.1. Первый слой

1. Две равнозначные кнопки: «Принять все» и «Только необходимые». Одинаковый размер, одинаковый контраст, одинаковое расположение, одинаковое число кликов (одна). Нельзя делать «Только необходимые» серой, мелкой, ссылкой или прятать за «Настроить».
2. Третий вариант — «Настроить» — доступен с первого слоя.
3. Краткий текст: что мы используем cookie, зачем, ссылка на эту Политику и на Политику ПДн. Без юридической простыни на первом экране.
4. Никаких предзаполненных переключателей в настройках.
5. Закрытие баннера (крестик, Esc) = отказ от необязательных cookie. Не «согласие по умолчанию».
6. Баннер не блокирует контент: страница читается и прокручивается, баннер не занимает весь экран на мобильном, не перекрывает кнопку «Провести розыгрыш».
7. Никаких «cookie wall»: нельзя требовать согласие на аналитику как условие доступа к публичной странице розыгрыша.

4.2. Второй слой (настройки)

1. Список категорий с описанием: что делает, какие cookie, срок, кому передаются данные.
2. Переключатели по категориям; «Необходимые» — включены и неактивны, с пояснением.
3. Кнопки «Сохранить выбор» и «Принять все».
4. Ссылка «Как отозвать согласие» и «Подробнее о cookie».

4.3. Технические требования

1. До согласия не загружается ничего лишнего: ни скриптов аналитики, ни пикселей, ни внешних iframe, ни сторонних шрифтов и картинок с чужих доменов. Проверка — в DevTools → Network: на первом заходе нет запросов к analytics-доменам.
2. Согласие хранится вместе с версией документа, датой, временем и IP — в журнале согласий (см. 02-consent.md, раздел 6).
3. Повторный баннер показывается не чаще, чем раз в 12 месяцев, или при изменении состава cookie. Назойливость — плохо и для людей, и для доверия.
4. Доступность: баннер управляется с клавиатуры, фокус виден, кнопки не меньше 44×44 px, текст читается при 200% масштабе, есть role="dialog" и aria-modal="true", фокус не уходит на фон.
5. Производительность: баннер не вызывает сдвига макета (CLS), не грузит внешние библиотеки, весит меньше 10 КБ JS (цель — 0 КБ: обычный <dialog> + 2 КБ скрипта).
6. Серверная сторона: при отказе от аналитики сервер не должен продолжать собирать поведенческие события «на всякий случай». Отказ — это отказ.
7. Связь с сессией: отзыв согласия не должен разлогинивать пользователя и ломать гостевой розыгрыш. Необходимые cookie остаются.

4.4. Готовые тексты

Первый слой:

Мы используем cookie

Необходимые cookie нужны, чтобы сайт работал: вход,
защита от подделки запросов, гостевой розыгрыш.
Аналитические — только с вашего согласия и только
для статистики. Подробнее — Cookie-политика.

[Только необходимые] [Настроить] [Принять все]

Настройки:

Необходимые [включены всегда]
Нужны для входа, безопасности и работы гостевого
розыгрыша. Без них сайт не работает.

Функциональные [ ] 
Тема, язык, звук, последний открытый розыгрыш.

Аналитика [ ]
Обезличенная статистика посещений. Помогает понять,
какие страницы полезны. Можно отключить.

Маркетинг [ ]
Сейчас не используется.

[Сохранить выбор] [Принять все]

Футер: «Настройки cookie» — ссылка, которая открывает баннер повторно и работает без JS (fallback — отдельная страница /legal/cookies/settings УТОЧНИТЬ).

5. Что происходит после согласия и после отказа

5.1. При отзыве согласия аналитические cookie удаляются, скрипт выгружается, дальнейшие события не отправляются. Уже собранная агрегированная статистика не удаляется, но новые данные не собираются; персональные идентификаторы удаляются.

5.2. Отказ от аналитики не влияет ни на одну функцию Сервиса. Если функция перестаёт работать без аналитики — это ошибка реализации, а не «необходимость».

6. Cookie в письмах и на других ресурсах

6.1. Если в письмах используются пиксели открытия и трекинговые ссылки, это указывается в согласии на рассылку (02-consent.md, раздел 5) и в этой Политике. Без согласия трекинг не включается.

6.2. Ссылки на соцсети в подвале сайта ведут на сторонние ресурсы. После перехода действуют правила этих ресурсов, а не наши. Мы не устанавливаем их cookie до перехода.

6.3. Превью ссылок в мессенджерах (Telegram, WhatsApp, VK) формируются серверами этих сервисов, которые запрашивают нашу страницу. Это не пользовательские cookie и не аналитика; мы не получаем от этого персональные данные конкретного человека.

6.4. Платёжный провайдер и другие подрядчики могут устанавливать свои cookie на своих страницах (например, на странице оплаты). Их политика действует на их страницах; мы выбираем подрядчиков, которые соблюдают 152-ФЗ.

7. Управление cookie в браузере

7.1. Вы можете запретить или удалить cookie в настройках браузера. Инструкции: Chrome, Safari, Firefox, Edge — УТОЧНИТЬ: добавить ссылки на актуальные справки, без внешних трекеров.

7.2. Если отключить необходимые cookie, вход и гостевой розыгрыш могут не работать. Это ограничение технологии, а не наше решение.

7.3. Сигнал Do Not Track мы не используем как согласие или отказ: он не имеет юридической силы в РФ и по-разному реализован в браузерах. Отказ выражается через наш баннер.

8. Срок хранения выбора

8.1. Выбор хранится 12 месяцев с даты последнего изменения УТОЧНИТЬ: срок. После этого мы спрашиваем снова.

8.2. При изменении состава cookie (например, подключили новую аналитику) баннер показывается повторно, а старое согласие не распространяется на новую категорию.

8.3. Журнал согласий хранится 3 года после отзыва УТОЧНИТЬ как доказательство (ч. 3 ст. 9 152-ФЗ).

9. Ответственность и контроль

9.1. За нарушение правил обработки данных — ст. 13.11 КоАП РФ. За рекламу без согласия — ст. 14.3 КоАП РФ.

9.2. Внутренний контроль: раз в квартал — проверка, что до согласия не грузятся сторонние скрипты; раз в год — ревизия списка cookie и подрядчиков.

9.3. Если вы обнаружили, что сайт загружает что-то до согласия, напишите на УТОЧНИТЬ: e-mail — это баг, и мы его исправим.