Аудит 146 сайтов застройщиков: где ломается работа с персональными данными

Мы проектируем сайты, которые должны продавать квартиры. На них нужны формы, обратный звонок, аналитика, коллтрекинг, CRM и рекламные пиксели. Но каждый новый сервис добавляет не только данные для маркетолога, но и обязательства для компании. И с 2025 года цена разрыва между интерфейсом, кодом и документами стала выше.

С 30 мая Федеральный закон № 420‑ФЗ ввёл отдельный штраф за неуведомление Роскомнадзора. С 1 июля Федеральный закон № 23‑ФЗ требует при сборе персональных данных граждан России выполнять первичную запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных в России — кроме предусмотренных законом случаев. С 1 сентября Федеральный закон № 156‑ФЗ требует оформлять согласие на обработку персональных данных отдельно от другой подтверждаемой пользователем информации, если компания использует именно согласие.

Для юридических лиц ближайшие к сайту диапазоны начинаются с 30–60 тысяч рублей за необеспеченный доступ к политике, составляют 100–300 тысяч за неуведомление Роскомнадзора и 150–300 тысяч за обработку без законного основания или не для заявленной цели. За нарушение требования локализации — от 1 до 6 миллионов рублей. Это общие диапазоны статьи 13.11 КоАП РФ, а не прогноз штрафа для компаний из исследования.

Но самая дорогая часть часто начинается раньше суда. Когда маркетинг, разработка, CRM и документы живут отдельно, компании приходится задним числом выяснять, что видел пользователь, какие счётчики стартовали, кому ушёл телефон и почему политика описывает не тот процесс, который работает на странице.

Вопрос звучал просто: как должен быть устроен сайт застройщика, чтобы собирать обращения, измерять рекламу и не создавать юридический долг?

Поэтому мы пошли смотреть на лидеров рынка. Ожидали увидеть один зрелый стандарт, который крупные компании уже отработали. Не увидели.

У одной компании сильнее документы. У другой понятнее форма. У третьей лучше сделан выбор cookies. Даже крупные застройщики реализуют одни и те же требования по-разному. А когда мы расширили выборку до 146 сайтов, связанных с 206 жилыми комплексами в Тюмени, Екатеринбурге, Уфе и Казани, стало понятно: речь не об отдельных неудачных галочках. Проблема системная.

Юрист пишет документы. Разработчик собирает форму. Маркетолог устанавливает счётчики. Интегратор передаёт заявку в CRM. Каждый делает свою часть — и никто не отвечает за всю цепочку.

Именно в стыках она чаще всего и ломается.

В августе 2026 года команда «Земляне Девелопмент» провела многоэтапное исследование. В выборку попали 206 ЖК, которым в сети соответствуют 146 уникальных сайтов. Мы проверили документы, формы, согласия, cookies, публичный код и обращения браузера к внешним сервисам. В течение августа мы также перепроверили две контрольные группы и семь сложных сайтов в чистой технической сессии и обычном пользовательском Chrome.

Сначала мы посмотрели на крупных застройщиков

В контрольную группу вошли десять федеральных и межрегиональных компаний: Самолёт, ПИК, DOGMA, ТОЧНО, ССК, Брусника, Setl Group, ФСК, ЮгСтройИнвест и Страна Девелопмент.

Это не рейтинг законности. Масштаб компании не даёт сертификата на каждую форму. Нам было важно понять, какие решения уже используют команды с большими сайтами, несколькими продуктами и сложным маркетингом.

В чистой технической сессии шесть главных сайтов удалось проверить содержательно, а Самолёт, ПИК, Setl Group и Страна вернули защитную или техническую страницу. Но обычный пользовательский Chrome дал другую картину: 31 августа все четыре главных сайта открылись. Значит, первоначальное ограничение относилось к конкретному браузерному сценарию, а не к публичной доступности сайтов.

Мы отдельно посмотрели открывшиеся страницы в пользовательском Chrome. У Самолёта доступны отдельные политика приватности, согласие на обработку данных, согласие на рассылку и cookie-документ. У ПИК — политика обработки данных и cookie-политика. У Setl Group виден однокнопочный сценарий «Принять», ссылки на защиту персональных данных и согласие; в публичном коде присутствуют Метрика и Mindbox. У Страны открылся основной московский маршрут; в публичном коде видны Roistat, Метрика и VK. Но этот проход сделан в существующем пользовательском профиле: старые cookies и прежние решения могли повлиять на видимость баннеров. Поэтому он подтверждает доступность, документы и публичный код, но не заменяет чистое сравнение «до выбора / после отказа / после принятия».

Единого шаблона не оказалось.

У DOGMA и ФСК рядом с формами видны отдельные элементы для обработки персональных данных и маркетинговых коммуникаций. Это сильнее, чем одно общее «согласен со всем», но один снимок не отвечает на вопросы об обязательности поля и серверной фиксации выбора. У Страны на партнёрской платформе сильная документарная матрица: согласие, политика обработки данных, cookie-политика и политика конфиденциальности разделены. Это хороший принцип архитектуры, но не доказательство работы главного сайта. У ТОЧНО документы визуально разделены, однако подпись одной ссылки и содержание открывшегося документа потребовали смысловой перепроверки. На региональном сайте Брусники moskva.brusnika.ru мы увидели информационное уведомление о cookies, но не подтвердили отдельный отказ и настройку. У ЮгСтройИнвест в исследованной форме обнаружился заранее выбранный обязательный элемент — такую механику стоит перепроверять в первую очередь.

Повторная проверка ССК дала полноценный кейс. Главная страница открылась; cookie-блок предлагал одно действие «Согласен». В формах обработка персональных данных и рекламная рассылка были вынесены в отдельные, заранее не отмеченные, но обязательные элементы. При этом обращения к Метрике, GA4 и Mindbox появились до выбора в cookie-блоке. Получается не «хорошо» или «плохо» одной оценкой, а сразу три разных решения на одном сайте: документы разделены, маркетинговый выбор обязателен, управление cookies остаётся однокнопочным.

На всех шести сайтах, которые удалось открыть для содержательного технического сценария, браузер начал обращаться к аналитическим или маркетинговым системам до действия пользователя с cookie-интерфейсом. На пяти был виден информационный блок о cookies. Полный набор действий «принять / отклонить / настроить» в начальном состоянии не подтвердился.

Здесь легко сделать слишком сильный вывод. Мы его делать не будем. Аналитический запрос до нажатия на баннер не равен автоматически нарушению: нужно знать состав данных и правовое основание. Но он точно доказывает другое — текст баннера и реальное поведение сайта необходимо проверять вместе.

Если маркетолог показывает юристу только макет, а разработчик — только код, компания видит две половины процесса. Целого по-прежнему нет.

Потом вышли за пределы девелопмента

Почему вообще смотреть на банки, ретейл или медиа? Потому что сайт ЖК не уникален. Он тоже собирает телефон, подписывает человека на коммуникации, запускает аналитику и передаёт данные между системами. В других отраслях встречаются решения, которые можно взять за ориентир.

Мы проверили Roistat, Divan.ru, М.Видео, Сбер, T‑Bank, Аэрофлот, FC Zenit, Fonbet, TNT Online и Dobry.

В чистой технической сессии семь главных сайтов удалось проверить содержательно, а М.Видео, Сбер и Аэрофлот ограничили сопоставимый маршрут. В обычном пользовательском Chrome все три сайта в итоге открылись полностью. У М.Видео в публичном коде видны Метрика и Google Tag Manager, у Сбера — Метрика и VK, у Аэрофлота — Метрика и ссылка на политику конфиденциальности. В зафиксированном пользовательском состоянии видимого cookie-интерфейса на этих страницах не было. Это не доказывает его отсутствия при первом визите, потому что существующий профиль уже мог хранить сделанный выбор. У Аэрофлота одновременно оставалась старая вкладка с защитной страницей и открылась новая вкладка полноценного пассажирского сайта — наглядный пример того, как один домен даёт разные результаты в зависимости от маршрута и состояния сессии. Итого все десять главных межотраслевых сайтов удалось открыть хотя бы в одном пользовательском браузерном сценарии.

Самый понятный cookie-интерфейс в этой группе мы увидели у Dobry. На одном уровне человеку показывают три действия: настроить, отклонить всё необязательное или принять всё.

У T‑Bank полезен другой принцип: рекламное согласие отделено от основной операции, не обязательно и заранее не выбрано.

Roistat, T‑Bank и TNT использовали однокнопочное уведомление о cookies. На проверенных страницах Divan.ru и FC Zenit видимого cookie-центра мы не обнаружили, хотя в журнале запросов браузера были обращения к аналитическим системам. У Fonbet в измеренном окне не подтвердились известные нам адреса аналитики — но это не доказывает отсутствие собственной или отложенной аналитики. У FC Zenit документ возле email-формы выглядел связанным с другим продуктовым сценарием, поэтому здесь нужен ответ оператора, а не заочный приговор.

Вывод из этой группы довольно приземлённый. Не нужно копировать чужой баннер. У Dobry стоит взять видимый выбор, у T‑Bank — разделение основной операции и рекламы, у подробных политик Roistat и Divan.ru — связь целей, сервисов и сроков. А затем проверить, что эти элементы описывают именно ваш маршрут данных.

Массовая выборка показала уже не исключения, а систему

В основную выборку попали 206 жилых комплексов: 60 в Тюмени, 60 в Екатеринбурге, 49 в Уфе и 37 в Казани. Им соответствовали 37 сайтов в Тюмени, 42 в Екатеринбурге, 42 в Уфе и 31 в Казани. После объединения корпоративных доменов, работающих сразу в нескольких городах, осталось 146 уникальных сайтов.

Сайты проверяли в августе 2026 года. В первой версии исследования мы открывали формы и разбирали их публичную разметку. После публикации читатели справедливо заметили: увидеть галочку рядом с кнопкой недостаточно — нужно проверить, влияет ли она на действие формы. Поэтому мы провели дополнительный полный публичный проход всех 146 сайтов.

На каждом домене мы искали одну публичную форму и сравнивали два состояния: попытку действия без согласия и повторный сценарий после согласия на обработку персональных данных. В поля вводили синтетические данные: имя «ТЕСТ», номер +7 999 999‑99‑99 и технический комментарий. После нажатия кнопки исходящий запрос перехватывался в браузере до передачи на сервер. Так мы смогли увидеть поведение интерфейса и не создавать ложные обращения в CRM отделов продаж.

Всего выполнено 292 сценария и сохранено 706 скриншотов. На 105 сайтах форма была доступна в обоих сценариях. На 36 проверенных маршрутах форма не нашлась ни в одном сценарии, четыре сайта были недоступны, ещё один сайт дал смешанный результат: в первом сценарии форма не нашлась, а во втором сайт стал недоступен. «Не нашли форму» не означает «формы на сайте нет»: она могла находиться на другой странице, открываться внутри виджета или требовать дополнительного действия.

Поэтому слово «риск» дальше означает приоритет для ручной проверки. Это не решение суда и не список нарушителей. Мы отказались от одной общей оценки и разложили выборку по наблюдаемым сигналам. Группы пересекаются: один сайт может одновременно попасть в блок про форму, cookies и аналитику.

Чтобы увидеть картину целиком, мы дополнительно распределили все 146 сайтов по ведущему публичному сценарию. Это редакционная карта, а не юридическая классификация: если сигналов было несколько, сайт относили к первому по заранее установленному приоритету.

Сумма — 146 сайтов. Эта карта отвечает на вопрос «какой путь выбрал сайт», а следующая таблица — «какие конкретные сигналы мы на нём увидели».

Пятьдесят три сайта без подтверждённого отдельного механизма хотя бы в одной форме — это не история про забытую галочку согласия. Форма стоит на пересечении рекламы, сайта, CRM и юридического основания. Если на этом коротком участке нет единого владельца, дальше компания уже не сможет уверенно ответить, что именно подтвердил человек и какой текст он видел.

На сайте «Набережного квартала» в открывшейся форме элемент согласия на обработку персональных данных был визуально выбран заранее.

У «Дружного-3» в форме видна галочка, не отмеченная заранее, и отдельные ссылки на согласие и политику. При этом уведомление о cookies в зафиксированном состоянии показывало одну кнопку «Согласен». Один сайт — два разных уровня зрелости.

Мы проверили не наличие галочки, а её работу

На 105 сайтах с доступной формой мы получили четыре основных сценария.

Главная цифра здесь — не количество галочек. На 20 сайтах браузер зафиксировал попытку целевого запроса в обоих состояниях. Видимое согласие само по себе ещё не доказывает, что форма технически зависит от выбора пользователя.

И обратная сторона: отсутствие запроса не позволяет автоматически поставить сайту хорошую оценку. Форма могла ждать CAPTCHA, адрес объекта, выбор квартиры или завершение следующего шага. Поэтому такие результаты мы оставили в категории ручной перепроверки, а не превратили в юридические выводы.

Где согласие действительно влияло на действие

На сайтах «Первого Треста», ARSIB, BAZA Development, ЖК «Беринг» от ЭНКО, «Дома 7» от «Практики», «Доминанты» от «Форум‑групп», «Дружного‑3» от НКС и «Эфеса» мы увидели понятную для посетителя последовательность: без необходимого согласия действие останавливалось, после согласия сайт пытался продолжить отправку.

Это ещё не юридическая оценка всей системы. Мы не видим из браузера, какую версию документа сохраняет компания, связывает ли её с конкретной заявкой и может ли затем подтвердить получение согласия. Но для пользователя причинно‑следственная связь хотя бы понятна: сначала выбор, потом действие.

Другой сценарий мы зафиксировали, например, на сайтах проектов «Новый ВИЗ» от «Астра Девелопмент», «Есенин» от «Маркет Сервис», «Новоуфимский» от «КапиталЦентра», «Эдельвейс» от «Техностроя», «Феномен будущего» от TECTUM, Freedom от СТК, «Мириады» от ЭНКО, «Огни Исети 2.0» от «Уралкомплекта», «Притяжение» от НИКС и «Голос Девелопмент», «Центральный» от «Атомстройкомплекса» и на сайте «Унистроя». В этих примерах браузер фиксировал попытку запроса и без согласия, и после него.

Мы намеренно пишем «попытка запроса», а не «данные были переданы» и тем более не «компания нарушает закон». Запрос был остановлен до сервера. Но именно такое поведение стоит перепроверить владельцу сайта: какую роль играет галочка, если форма пытается продолжить действие независимо от её состояния?

Дополнительный этап закрыл важный пробел первой версии исследования: теперь мы проверяли не только вид формы, но и её поведение после нажатия кнопки. Граница проверки при этом остаётся. Мы исследовали клиентскую часть — то, что происходит в браузере посетителя. Мы не проверяли приём заявки сервером, появление лида в CRM, сохранение текста согласия, его версии, даты и источника.

Полную цепочку можно проверить только вместе с владельцем сайта. Иначе тестовая заявка становится ложным лидом, попадает в аналитику и отнимает время у отдела продаж. Для исследования чужих сайтов это уже не наблюдение, а вмешательство в рабочую систему.

В полной таблице мы оставили все 206 ЖК, застройщиков, сайты, наблюдения, результаты проверки форм и ссылки на доказательства. Таблица открыта: читатель должен иметь возможность проверить нас без заявки в Telegram и без обмена исследования на email.

Скачать расширенную таблицу в Excel.

Что именно мы искали в документах и формах

Одной рабочей ссылки на «Политику конфиденциальности» недостаточно. Мы смотрели содержание: совпадает ли указанный оператор с компанией, которая получает заявку; названы ли цели и категории данных; раскрыты ли сторонние сервисы и получатели; есть ли сроки хранения и удаления; описаны ли права человека и способ отозвать согласие.

Это проверка публичного текста. Она не подтверждает, что внутри компании данные действительно хранятся именно столько и удаляются именно так.

Это не теоретическая придирка к подвалу сайта. В деле № А40‑342669/25‑145‑2654 суд отдельно рассматривал необеспечение доступа к политике; штраф составил 30 000 ₽. Факты того дела нельзя автоматически переносить на сайты из нашей таблицы, но они показывают, что доступность документа может быть самостоятельным предметом проверки.

Для формы логика проще, чем её часто делают. Человек должен понимать, кому, какие данные и зачем он передаёт. Если компания опирается на согласие, оно должно быть конкретным, отдельным, информированным, сознательным и доказуемым. С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от иных документов, которые человек подтверждает или подписывает; изменение внесено Федеральным законом № 156‑ФЗ.

Закон не требует именно квадратную галочку. Можно построить иной доказуемый механизм. Но заранее отмеченный элемент плохо подтверждает активный выбор. Для прямого продвижения товаров и услуг по телефону, SMS, email и другим каналам связи требуется предварительное согласие, которое оператор или рекламораспространитель должен уметь доказать (статья 15 Закона № 152‑ФЗ и часть 1 статьи 18 Закона № 38‑ФЗ). Практически безопасная модель — отдельный, добровольный, необязательный для основной заявки и заранее не отмеченный выбор.

Рабочая форма должна отвечать на пять вопросов: кто оператор, зачем нужны данные, какие именно данные собираются, куда ведут ссылки и как компания докажет выбор через полгода. Если команда не может ответить на пятый вопрос, первые четыре существуют только на экране.

В деле № А40‑342668/25‑94‑2898 предметом разбирательства стали формы и аналитические счётчики без подтверждённого правового основания; штраф составил 75 000 ₽. Решение не вводит универсальный запрет на аналитику до cookie-баннера. Оно показывает, почему форму и реальную загрузку сервисов нельзя проверять раздельно.

Google Analytics: код, локализация и передача за границу — не одно и то же

В исходном коде сайта ЖК «9 Космонавтов» мы увидели загрузку gtag.js и идентификатор GA4. Это наблюдаемый технический факт.

Код GA4 в публичном HTML не доказывает, что данные поступили в кабинет, были переданы за границу или хранились с нарушением требований локализации.

Однозначный сигнал Google Analytics мы зафиксировали на 10 сайтах: ЖК «Мечта» — ТСИ; «Библиотечная 41» — «Первостроитель»; «Астон. Движение» — ASTON; «Зелёная долина» — «Зелёная Долина»; «Зелёные аллеи» — «Навигатор.Девелопмент»; «9 Космонавтов» — «Высоцкий Девелопмент»; «Космос» — ПСК № 6; «Гринвуд» — «Мегаполис»; «Мирлеон» — «Виктория Сити»; «Архитектон» и «Таунхаусы на Ежевичной» — девелоперы проектов «Дом» и «Гольф Парк» на одном домене. Ещё на 22 сайтах остался неоднозначный технический сигнал, который нельзя честно считать подтверждённой установкой.

На части сайтов в публичном коде также встречались verification‑теги Яндекс Вебмастера и Google Search Console. Например, такой сигнал был зафиксирован у «9 Космонавтов». Он показывает, что на странице размещён код подтверждения, но не доказывает, что доступ к кабинету сохранился, данные актуальны или сервисом действительно пользуются. Поэтому в таблице мы называем это «публичным поисковым подтверждением», а не «подключённым Вебмастером» или «работающей Search Console».

Дальше начинаются три разных вопроса.

Первый: что реально отправляет браузер? Код на странице показывает намерение загрузить сервис. Чтобы увидеть фактическое обращение, нужен журнал сетевых запросов браузера: адрес получателя, момент запуска, параметры и поведение до выбора, после отказа и после принятия cookies. Но даже этот журнал не раскрывает всю серверную обработку.

Второй: где происходит первичная запись данных? С 1 июля 2025 года при сборе персональных данных граждан России запись, систематизация, накопление, хранение, уточнение и извлечение по общему правилу должны выполняться с использованием баз данных в России. Требование закреплено Федеральным законом от 28 февраля 2025 года № 23‑ФЗ. Ответ ищут не в названии счётчика, а в архитектуре: какая система принимает данные первой, где находится база и какие операции в ней выполняются.

Третий: происходит ли затем передача иностранному получателю? Это отдельная проверка по статье 12 Закона № 152‑ФЗ: кому уходят данные, в какую страну, на каком основании и направлено ли отдельное уведомление Роскомнадзору до начала трансграничной передачи, если такая передача фактически осуществляется.

Поэтому фраза «на сайте есть Google Analytics — значит, закон нарушен» неверна. Как неверна и обратная фраза: «мы поставили российскую CRM — значит, всё локализовано». Для вывода нужны фактические запросы браузера, схема хранения, договоры, настройки сервисов и уведомления.

Для руководителя это не отвлечённая юридическая тонкость. Если просто удалить счётчик, маркетинг потеряет измерение кампаний. Если оставить всё как есть и не знать маршрут данных, компания сохраняет риск, который не умеет оценить. Нормальное решение начинается с инвентаризации: какие события действительно нужны бизнесу, какие идентификаторы уходят в каждую систему и можно ли получить ту же управленческую информацию более понятным способом.

Проверка сайта, которую можно провести до следующего релиза

Не начинайте с нового cookie-баннера. Начните с маршрута данных.

1. Соберите все точки сбора. Формы, чаты, обратный звонок, счётчики, пиксели, коллтрекинг и CRM — на одной схеме.
2. Разделите четыре цели. Заявка, аналитика, реклама и рассылка не должны автоматически превращаться в одно согласие.
3. Сверьте экран с документами. Название оператора, текст возле кнопки и открывающиеся ссылки должны описывать реальный процесс.
4. Проверьте чистый браузер. Сохраните журнал сетевых запросов до выбора, после отказа и после принятия cookies. В разрешённом тестовом контуре убедитесь, что CRM хранит факт и версию выбора.
5. Назначьте одного владельца цепочки. После каждого релиза он повторяет проверку и сохраняет доказательства.

Отдельно проверьте уведомление Роскомнадзора: снаружи сайта его наличие надёжно не определить. В деле № А40‑342666/25‑93‑2864 неуведомление стало самостоятельным эпизодом; штраф составил 50 000 ₽ с учётом обстоятельств дела.

Юрист не сделает это один. Маркетолог тоже. Нужны владелец сайта, разработчик, CRM или аналитика и профильный юрист за одним столом. Не ради совещания — ради одного ответа на вопрос: можем ли мы восстановить полный путь конкретной заявки и доказать, на каких условиях её получили?

Через месяц проверим ещё раз

Сайт — не статичный документ. Релиз может исправить форму и одновременно вернуть старый счётчик. Подрядчик может заменить виджет. Юрист — обновить политику, не заметив, что возле формы осталась ссылка на предыдущую версию.

Поэтому мы повторим контрольный срез через месяц и отметим изменения.

Полную таблицу мы оставляем открытой — без формы, подписки и просьбы поделиться email или Telegram. Нам не нужны ваши контакты в обмен на исследование: мы сделали его из профессионального любопытства, по любви к хорошо сделанной работе и ради пользы для рынка. Смотрите, скачивайте и используйте. А если заметите ошибку, захотите дополнить данные или просто поделиться обратной связью, напишите Анастасии Кондрашовой в Telegram.

Не копируйте баннер. Соберите процесс

Наш исходный вопрос был про правильную форму и правильный cookie-баннер. После двадцати контрольных сайтов и массовой выборки он звучит иначе.

Кто в компании отвечает за то, чтобы документ, интерфейс, код, CRM и реклама описывали один и тот же процесс?

Если ответ — «юристы», вы потеряли код. Если «маркетинг» — документы. Если «разработчик» — цель обработки и доказательства согласия. Нужен один владелец всей цепочки и понятный регламент изменений.

Крупные компании не дали нам готового стандарта. Зато выборка показала, где его нужно строить: не в подвале сайта и не в очередной галочке, а между командами.

Пока никто не может восстановить путь заявки от нажатия кнопки до CRM и назвать основание каждого действия с данными, проблема остаётся управленческой. Штраф — лишь один из её возможных итогов.

Команда «Земляне Девелопмент» может провести совместный технический аудит сайта: собрать карту форм, cookies, аналитики и передачи обращений в CRM, зафиксировать разрывы и приоритеты исправления. Юридическую квалификацию компания должна подтвердить со своим профильным специалистом.

Читайте также: аудит маркетинга застройщика, интернет-продвижение и CRM для застройщика.

Короткие ответы на частые вопросы

Каждому сайту нужен cookie-баннер?

Нет универсального требования показывать баннер на любом сайте. Нужно знать, какие cookies и идентификаторы используются, для каких целей и на каком основании. Если для необязательной аналитики выбрано согласие, консервативная модель — не запускать её до активного выбора и дать человеку принять, отклонить или настроить категории.

Ссылка на политику в подвале закрывает вопрос?

Нет, если документ не относится к конкретной форме, оператору и сервисам. Политика информирует человека, но не заменяет отдельное согласие там, где компания выбрала согласие как основание.

Код Google Analytics доказывает нарушение?

Нет. Код показывает наличие технического элемента. Для вывода нужны фактические запросы, состав данных, место первичной записи, дальнейший маршрут, договоры и уведомления.

Отправляли ли вы тестовые заявки застройщикам?

Нет. Мы заполняли формы синтетическими данными и нажимали кнопку, но останавливали исходящий запрос до передачи на сервер. Поэтому исследование показывает поведение публичного интерфейса, а не сохранение заявки в CRM.

Сколько сайтов и форм вошло в дополнительную проверку?

В реестре 146 сайтов, связанных с 206 ЖК. На 105 сайтах форма была доступна в обоих сценариях; на 36 маршрутах не найдена ни в одном; четыре сайта были недоступны; один дал смешанный результат. Всего выполнено 292 сценария и сохранено 706 скриншотов.

Что означает «интерфейс остановил действие»?

До активного согласия браузер не зафиксировал попытку целевого запроса, а интерфейс показал ограничение или сообщение. Это подтверждает клиентское поведение формы, но не раскрывает серверную обработку и CRM.

Доказывает ли блокировка формы соблюдение закона?

Нет. Для полного вывода нужны тексты документов, правовое основание, состав передаваемых данных, серверные журналы, CRM и доказательство сохранения версии согласия.

Можно ли считать это полным юридическим аудитом?

Нет. Это расширенный публичный аудит интерфейсов, документов и поведения браузера. Он показывает сигналы для проверки, но не заменяет внутренний технический и юридический аудит оператора.

Дисклеймер и границы исследования

Основная выборка, контрольные группы, дополнительная проверка форм и актуальное на тот момент законодательство исследовались в августе 2026 года. На 146 сайтах было выполнено 292 сценария и собрано 706 скриншотов. На каждом домене проверялась одна найденная публичная форма с синтетическими данными.

Все потенциальные исходящие запросы останавливались до передачи на сервер. Исследование показывает наблюдаемое поведение сайта в браузере, но не подтверждает приём заявки сервером, создание лида в CRM, состав фактически сохранённых данных или способ хранения согласия.

Исследование не проводилось от имени Роскомнадзора, не устанавливает состав правонарушения и не является индивидуальным юридическим заключением. Элемент, не найденный на проверенном публичном маршруте, мог существовать на другой странице или во внутренней системе. Наблюдения не заменяют технический и юридический аудит конкретной системы. Сайты и документы меняются. Судебные решения приведены как примеры квалификации обстоятельств в других делах; факты на исследованных сайтах могут отличаться.