1. Общие положения
Настоящая Политика разработана Индивидуальным предпринимателем Грошевым Леонидом Петровичем (далее — «Оператор») в соответствии с требованиями Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных при использовании платформы Avaltis HR (далее — «Платформа»).
Оператор обеспечивает соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиту прав на неприкосновенность частной жизни, личную и семейную тайну.
Обработка персональных данных Оператором покрывается уведомлением, поданным в Роскомнадзор (регистрационный номер 100339195).
2. Основные понятия
- Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПДн).
- Оператор — лицо, организующее и/или осуществляющее обработку персональных данных, а также определяющее цели и состав обрабатываемых ПДн.
- Субъект ПДн — физическое лицо, которому принадлежат персональные данные.
- Обработка ПДн — любое действие с ПДн (сбор, запись, систематизация, хранение, уточнение, использование, передача, обезличивание, удаление).
- Заказчик — юридическое лицо или индивидуальный предприниматель, заключивший договор на использование Платформы.
3. Правовые основания обработки
Оператор обрабатывает персональные данные на следующих правовых основаниях:
- согласие субъекта ПДн на обработку его персональных данных;
- исполнение договора, стороной которого является субъект ПДн;
- исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации;
- обработка в рамках поручения от Заказчика, который выступает оператором персональных данных своих сотрудников.
4. Цели обработки
Оператор обрабатывает персональные данные в следующих целях:
- предоставление услуг доступа к Платформе на условиях Договора-оферты;
- обеспечение работы личного кабинета пользователя;
- исполнение обязательств перед Заказчиком по обработке ПДн его сотрудников в рамках HR-функционала Платформы;
- информирование пользователей о работе сервиса, изменениях, плановых работах;
- выполнение требований законодательства РФ.
5. Состав обрабатываемых данных
5.1. Данные пользователей Платформы (заказчиков)
- фамилия, имя, отчество;
- адрес электронной почты;
- номер телефона;
- наименование организации и должность;
- данные авторизации (логин, хэш пароля);
- IP-адрес, данные о браузере, активность в сервисе.
5.2. Данные сотрудников Заказчика
Состав ПДн сотрудников определяется Заказчиком и может включать: ФИО, должность, отдел, дату приёма, контакты, оценки в рамках performance-review, данные обучения, и иные сведения, размещённые Заказчиком в рамках HR-функционала. Оператор обрабатывает данные сотрудников Заказчика по поручению последнего на основании Договора поручения обработки персональных данных (ДПОПДн) — обязательного приложения к Договору-оферте при использовании платформы в режиме SaaS (ст. 6 ч. 3 152-ФЗ).
5.3. Данные кандидатов на трудоустройство
При использовании функционала подбора персонала Платформа обрабатывает ПДн кандидатов — лиц, не состоящих в трудовых отношениях с Заказчиком: ФИО, контактные данные, сведения об опыте работы, зарплатные ожидания, текст резюме и заметки рекрутёра. Кандидат является самостоятельной категорией субъектов ПДн, отличной от сотрудников Заказчика: трудовой договор с ним не заключён, поэтому основанием обработки выступает согласие субъекта (ст. 6 ч. 1 п. 1 152-ФЗ), а при наличии заключаемого договора — п. 5 той же части.
Получение согласия кандидата и определение срока его действия относятся к обязанностям Заказчика как оператора. Платформа предоставляет средство фиксации: в карточке кандидата отмечаются факт получения согласия, дата фиксации и способ получения; карточки без такой отметки помечаются предупреждением. Оператор обрабатывает данные кандидатов по поручению Заказчика на тех же основаниях, что и данные сотрудников (раздел 5.2).
Если функционал подбора использует ИИ-обработку резюме, текст резюме передаётся привлечённому обработчику в порядке раздела 7 настоящей Политики. Сведения, относящиеся к специальным категориям ПДн, к такой передаче не допускаются — см. раздел 5.4.
5.4. Специальные категории ПДн (152-ФЗ ст.10)
Оператор не обрабатывает специальные категории ПДн (расовая, национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь) и биометрические ПДн без отдельного согласия субъекта (ст.10 ч.2 152-ФЗ).
В Платформе Avaltis HR реализован механизм явного согласия каждого сотрудника на обработку специальных категорий ПДн: сотрудник лично включает соответствующий чекбокс в личном кабинете («Профиль → Конфиденциальность»). Без активного согласия Платформа автоматически отклоняет попытки сохранить тексты, содержащие сведения о здоровье (например, диагноз в комментарии к больничному), копии медицинских документов и т.п.
Согласие фиксируется с указанием даты и времени и может быть отозвано субъектом ПДн в любой момент.
Для кандидатов на трудоустройство механизм согласия на специальные категории ПДн не предусмотрен: Платформа блокирует сохранение и передачу таких сведений в карточке кандидата безусловно.
6. Способы и сроки обработки
Обработка ПДн осуществляется как с использованием средств автоматизации, так и без таковых. Хранение данных осуществляется на серверах, расположенных на территории Российской Федерации.
Сроки хранения:
- учётные записи активных пользователей — на весь период действия договора;
- данные неактивных пользователей — 30 дней с момента прекращения действия договора, после чего удаляются;
- резервные копии — до 90 дней;
- данные, требующие хранения по закону (бухгалтерия, налоги) — в соответствии с законодательством РФ.
7. Передача данных третьим лицам
Оператор не передаёт персональные данные третьим лицам, за исключением случаев, прямо предусмотренных законодательством или согласием субъекта ПДн.
Для оказания услуг Оператор может привлекать обработчиков (хостинг, платёжные системы, провайдеры email-уведомлений) на основании заключённых с ними соглашений о конфиденциальности и в рамках требований 152-ФЗ. Перечень привлечённых обработчиков предоставляется по запросу.
В случае использования AI-функций Платформы данные могут передаваться российским LLM-провайдерам (Yandex, Сбер) на основании их лицензионных условий. При работе в режиме self-hosted с локальной LLM передача данных вовне отсутствует.
8. Меры по обеспечению безопасности
Оператор принимает следующие меры для защиты персональных данных:
- шифрование канала передачи данных (TLS 1.2+);
- шифрование чувствительных данных в базе данных;
- разграничение прав доступа на основе ролей (RBAC);
- регулярное резервное копирование с шифрованием;
- журналирование действий пользователей (audit log);
- периодический аудит информационной безопасности;
- обучение сотрудников Оператора правилам работы с ПДн.
9. Права субъектов персональных данных
Субъект ПДн имеет право:
- получать информацию о факте, целях, способах и сроках обработки своих ПДн;
- требовать уточнения, блокировки или удаления своих ПДн при их неполноте, неточности или незаконности обработки;
- отозвать своё согласие на обработку ПДн в любой момент;
- обжаловать действия Оператора в Роскомнадзоре или в судебном порядке.
Запросы и обращения по вопросам обработки персональных данных направляются на электронный адрес: privacy@avaltis.ru. Срок ответа — не более 10 (десяти) рабочих дней со дня получения обращения; этот срок может быть продлён не более чем на 5 (пять) рабочих дней с уведомлением субъекта ПДн о причинах продления (ст. 20 ч. 1, ст. 21 ч. 1 152-ФЗ в редакции, действующей с 01.03.2023).
10. Изменение Политики
Оператор имеет право вносить изменения в настоящую Политику. Актуальная редакция всегда доступна по адресу avaltis.ru/legal/pdn. О существенных изменениях пользователи уведомляются через личный кабинет или по электронной почте за 14 (четырнадцать) календарных дней до вступления изменений в силу.
11. Контактные данные Оператора
Наименование: Индивидуальный предприниматель Грошев Леонид Петрович
ИНН: 772706039381
ОГРНИП: 321774600430607
Адрес регистрации: 117452, г. Москва, ул. Азовская, дом 24, корпус 1, квартира 41
Email: privacy@avaltis.ru · Телефон: +7 999 969 91 10
Ответственный за организацию обработки ПДн: Грошев Леонид Петрович (Индивидуальный предприниматель)
В случае выявления нарушения безопасности обработки ПДн (утечка, несанкционированный доступ, иное) обращайтесь по адресу privacy@avaltis.ru. Регламент реакции на инциденты соответствует требованиям ст.21 ч.2 152-ФЗ: уведомление Роскомнадзора в течение 24 часов с момента выявления, полный отчёт о результатах внутренней проверки — в течение 72 часов.