---
title: "Соответствие SaaS"
url: "https://legal.ge/ru/service/korporativnoe-i-kommercheskoe-pravo-ru/sootvetstvie-saas-ru"
field: "Корпоративное и коммерческое право"
description: "Соответствие облачных платформ в Грузии: закон о данных, меры безопасности, учёт, правило 72 часов и офицер по защите данных. Legal.ge."
reviewed: "2026-07-09"
updated: "2026-11-04"
publisher: "legal.ge"
---

# Соответствие SaaS

> Source: legal.ge, https://legal.ge/ru/service/korporativnoe-i-kommercheskoe-pravo-ru/sootvetstvie-saas-ru

Облачные сервисные платформы, обрабатывающие данные клиентов, обычно осмысливают соответствие через международные сертификационные схемы. В грузинском праве такого сертификационного статута нет: соответствие означает выполнение — и способность подтвердить выполнение — конкретных обязанностей по закону о защите персональных данных. Именно этот закон создаёт аудируемый каркас, на котором стоит поставщик услуги: меры безопасности, учёт обработки, уведомление об инцидентах, оценка воздействия и, при достижении порогов, офицер по защите данных. На этой странице юристы Legal.ge разбирают каждый элемент этого каркаса по статьям закона применительно к платформенному бизнесу.

## Принципы и законные основания

Статья 4 закрепляет принципы: данные обрабатываются законно, справедливо и прозрачно; собираются для конкретных, чётко определённых целей; обрабатываются в необходимом объёме; остаются точными; хранятся не дольше нужного; защищаются техническими и организационными мерами. Оператор отвечает за соблюдение принципов и обязан уметь его обосновать.

Статья 5 перечисляет законные основания: согласие субъекта, исполнение договора или действия по его запросу, предписание закона, правовая обязанность, общедоступные данные, жизненные интересы, значимый публичный интерес и законные интересы. Для платформы это значит, что каждая функция — от создания аккаунта до аналитики — заранее привязывается к конкретному основанию, и эта привязка документируется, а не предполагается.

## Меры безопасности и учёт — аудируемое ядро

Статья 27 требует надлежащих технических и организационных мер и способности подтверждать соответствие: псевдонимизация, учёт доступа к данным, механизмы конфиденциальности, целостности и доступности, учёт всех операций над электронными данными и конфиденциальность сотрудников после увольнения.

Статья 28 добавляет документальный слой, делающий аудит осмысленным: оператор и его представитель письменно либо электронно учитывают сведения и контакты, цели обработки, категории субъектов и данных, получателей, передачи в другие государства, сроки хранения, меры безопасности и инциденты. По запросу Государственной службы аудита эта информация предоставляется незамедлительно, но не позднее 3 рабочих дней — срок, который без поддерживаемого в актуальном состоянии реестра практически невыполним. Поэтому подготовка реестра до первого запроса — не усердие, а базовое управление риском.

Полный текст доступен на legal.ge после входа: https://legal.ge/ru/service/korporativnoe-i-kommercheskoe-pravo-ru/sootvetstvie-saas-ru

### Как платформа подтверждает соответствие без сертификата?

Исполнением законом установленных мер и способностью это доказать: механизмы безопасности, учёт операций и реестр обработки, предоставляемый Государственной службе аудита не позднее 3 рабочих дней по запросу.

### Что происходит при инциденте с данными?

Инцидент фиксируется, и о нём уведомляется Государственная служба аудита не позднее 72 часов с обнаружения; при вероятности значительного ущерба информируются и субъекты данных — без неоправданной задержки.

### Когда обязательна оценка воздействия?

При обработке новыми технологиями с высоким риском для основных прав. Документ хранится весь период обработки и не менее 1 года после его прекращения.

### Обязательно ли назначать офицер по защите данных?

Для операторов, обрабатывающих большие объёмы данных или ведущих систематический мониторинг, — обязательно; для остальных добровольно, но это усиливает управление и отношения с регулятором.