---
name: pdn-152fz-audit
description: Аудит защиты персональных данных Лидерры и соответствие 152-ФЗ. Режим 1 — техника (где лежат ПДн в схеме/коде, RLS, маскирование pg_anonymizer, утечки в логах/Sentry/CSV-экспортах, шифрование). Режим 2 — закон (хранение в РФ, согласия, сроки/удаление, реестр обработки, уведомление РКН, права субъекта pd_subject_request). Используй при «проверь ПДн», «утекают ли персональные данные», «соответствие 152-ФЗ», «где хранятся телефоны лидов», «маскируются ли данные в дампах». НЕ для денежной корректности (billing-audit), security-аудита кода (D3/Semgrep), юридического оформления договоров/политик (D2 право), generic-угроз (threat-model #72).
---

# ПДн 152-ФЗ Аудит — защита персональных данных Лидерры

Проектный скил раздела A8 карты «Информационная безопасность». Проверяет
**защиту персональных данных** и соответствие Федеральному закону №152-ФЗ
«О персональных данных» для SaaS-портала, обрабатывающего телефоны лидов
и данные клиентов-компаний перед выходом в продакшен.

## Когда использовать

- Вопрос «не утекают ли ПДн в логи / Sentry / CSV-экспорты?»
- Проверка технической защиты ПДн перед запуском (RLS, маскирование, шифрование).
- Оценка соответствия 152-ФЗ: хранение в РФ, согласия, права субъекта, реестр.
- Ревью кода, затрагивающего `deals`, `users`, `pd_subject_requests`,
  `pd_processing_log`, `supplier_leads` или CSV-импорт/экспорт лидов.

## Два режима

### Режим 1 — Технический аудит ПДн

Проверяет, что персональные данные физически защищены в коде и схеме БД.

Вопросы:

- Какие таблицы/колонки содержат ПДн? Под RLS ли они?
- Маскируются ли ПДн в дампах (pg_anonymizer)?
- Не утекают ли phone/email/ФИО в Laravel-логи, Sentry, `activity_log.context`,
  `auth_log`, `supplier_leads.raw_payload`?
- Зашифрованы ли чувствительные поля в покое (totp_secret)?
- Защищены ли CSV-экспорты лидов (signed URL + аудит в `pd_processing_log`)?

**Запустить:** пройти по чек-листу `references/checklist.md` → Раздел 1.

### Режим 2 — Соответствие 152-ФЗ

Проверяет правовую и процессную сторону обработки ПДн.

Вопросы:

- Хранятся ли ПДн на территории РФ?
- Зафиксированы ли согласия субъектов ПДн (`tenant_consents`)?
- Есть ли механизм обращений субъектов (`pd_subject_requests` + дедлайн 30 дней)?
- Ведётся ли журнал обработки ПДн (`pd_processing_log`)?
- Уведомлен ли РКН? Есть ли реестр обработки?
- Реализовано ли право на ограничение обработки (`processing_restricted`)?

**Запустить:** пройти по чек-листу `references/checklist.md` → Раздел 2.

## Границы

- ≠ `billing-audit` #62 — тот про *денежную корректность начислений*; pdn-152fz-audit про *персональные данные*.
- ≠ D3 «audit-security» (#39/#40 Trail of Bits / Semgrep) — те про *security-уязвимости кода*; pdn-152fz-audit про *данные субъектов ПДн*.
- ≠ D2 «Право / договоры» — там юридическое оформление (политика обработки, договор с оператором); pdn-152fz-audit про *технику и процедуры*.
- ≠ `threat-model` #72 — тот про *моделирование угроз*; pdn-152fz-audit про *конкретные ПДн в конкретных таблицах*.

## Связано

- Reuse: Boost #10 (SQL-запросы к схеме), Semgrep #25 (статанализ кода на утечки),
  Sentry MCP #34 (проверка runtime-маскирования), pg_anonymizer #29 (дампы).
- ADR-013 (infosec-tooling A8).
- Нормативная основа: ФЗ-152 ст.18 (уведомление РКН), ст.21 ч.5 (ограничение
  обработки), ст.22 (реестр операторов), ст.14 (права субъекта).
