1. Общие положения
Настоящая Политика разработана Индивидуальным предпринимателем Грошевым Леонидом Петровичем (далее — «Оператор») в соответствии с требованиями Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных при использовании платформы Avaltis HR (далее — «Платформа»).
Оператор обеспечивает соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиту прав на неприкосновенность частной жизни, личную и семейную тайну.
Обработка персональных данных Оператором покрывается уведомлением, поданным в Роскомнадзор (регистрационный номер 100339195).
2. Основные понятия
- Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПДн).
- Оператор — лицо, организующее и/или осуществляющее обработку персональных данных, а также определяющее цели и состав обрабатываемых ПДн.
- Субъект ПДн — физическое лицо, которому принадлежат персональные данные.
- Обработка ПДн — любое действие с ПДн (сбор, запись, систематизация, хранение, уточнение, использование, передача, обезличивание, удаление).
- Заказчик — юридическое лицо или индивидуальный предприниматель, заключивший договор на использование Платформы.
3. Правовые основания обработки
Оператор обрабатывает персональные данные на следующих правовых основаниях:
- согласие субъекта ПДн на обработку его персональных данных;
- исполнение договора, стороной которого является субъект ПДн;
- исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации;
- обработка в рамках поручения от Заказчика, который выступает оператором персональных данных своих сотрудников.
4. Цели обработки
Оператор обрабатывает персональные данные в следующих целях:
- предоставление услуг доступа к Платформе на условиях Договора-оферты;
- обеспечение работы личного кабинета пользователя;
- исполнение обязательств перед Заказчиком по обработке ПДн его сотрудников в рамках HR-функционала Платформы;
- информирование пользователей о работе сервиса, изменениях, плановых работах;
- выполнение требований законодательства РФ.
5. Состав обрабатываемых данных
5.1. Данные пользователей Платформы (заказчиков)
- фамилия, имя, отчество;
- адрес электронной почты;
- номер телефона;
- наименование организации и должность;
- данные авторизации (логин, хэш пароля);
- IP-адрес, данные о браузере, активность в сервисе.
5.2. Данные сотрудников Заказчика
Состав ПДн сотрудников определяется Заказчиком и может включать: ФИО, должность, отдел, дату приёма, контакты, оценки в рамках performance-review, данные обучения, и иные сведения, размещённые Заказчиком в рамках HR-функционала. Оператор обрабатывает данные сотрудников Заказчика по поручению последнего на основании Договора поручения обработки персональных данных (ДПОПДн) — обязательного приложения к Договору-оферте при использовании платформы в режиме SaaS (ст. 6 ч. 3 152-ФЗ).
5.3. Специальные категории ПДн (152-ФЗ ст.10)
Оператор не обрабатывает специальные категории ПДн (расовая, национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь) и биометрические ПДн без отдельного согласия субъекта (ст.10 ч.2 152-ФЗ).
В Платформе Avaltis HR реализован механизм явного согласия каждого сотрудника на обработку специальных категорий ПДн: сотрудник лично включает соответствующий чекбокс в личном кабинете («Профиль → Конфиденциальность»). Без активного согласия Платформа автоматически отклоняет попытки сохранить тексты, содержащие сведения о здоровье (например, диагноз в комментарии к больничному), копии медицинских документов и т.п.
Согласие фиксируется с указанием даты и времени и может быть отозвано субъектом ПДн в любой момент.
6. Способы и сроки обработки
Обработка ПДн осуществляется как с использованием средств автоматизации, так и без таковых. Хранение данных осуществляется на серверах, расположенных на территории Российской Федерации.
Сроки хранения:
- учётные записи активных пользователей — на весь период действия договора;
- данные неактивных пользователей — 30 дней с момента прекращения действия договора, после чего удаляются;
- резервные копии — до 90 дней;
- данные, требующие хранения по закону (бухгалтерия, налоги) — в соответствии с законодательством РФ.
7. Передача данных третьим лицам
Оператор не передаёт персональные данные третьим лицам, за исключением случаев, прямо предусмотренных законодательством или согласием субъекта ПДн.
Для оказания услуг Оператор может привлекать обработчиков (хостинг, платёжные системы, провайдеры email-уведомлений) на основании заключённых с ними соглашений о конфиденциальности и в рамках требований 152-ФЗ. Перечень привлечённых обработчиков предоставляется по запросу.
В случае использования AI-функций Платформы данные могут передаваться российским LLM-провайдерам (Yandex, Сбер) на основании их лицензионных условий. При работе в режиме self-hosted с локальной LLM передача данных вовне отсутствует.
8. Меры по обеспечению безопасности
Оператор принимает следующие меры для защиты персональных данных:
- шифрование канала передачи данных (TLS 1.2+);
- шифрование чувствительных данных в базе данных;
- разграничение прав доступа на основе ролей (RBAC);
- регулярное резервное копирование с шифрованием;
- журналирование действий пользователей (audit log);
- периодический аудит информационной безопасности;
- обучение сотрудников Оператора правилам работы с ПДн.
9. Права субъектов персональных данных
Субъект ПДн имеет право:
- получать информацию о факте, целях, способах и сроках обработки своих ПДн;
- требовать уточнения, блокировки или удаления своих ПДн при их неполноте, неточности или незаконности обработки;
- отозвать своё согласие на обработку ПДн в любой момент;
- обжаловать действия Оператора в Роскомнадзоре или в судебном порядке.
Запросы и обращения по вопросам обработки персональных данных направляются на электронный адрес: privacy@avaltis.ru. Срок ответа — не более 30 (тридцати) календарных дней.
10. Изменение Политики
Оператор имеет право вносить изменения в настоящую Политику. Актуальная редакция всегда доступна по адресу avaltis.ru/legal/pdn. О существенных изменениях пользователи уведомляются через личный кабинет или по электронной почте за 14 (четырнадцать) календарных дней до вступления изменений в силу.
11. Контактные данные Оператора
Наименование: Индивидуальный предприниматель Грошев Леонид Петрович
ИНН: 772706039381
ОГРНИП: 321774600430607
Адрес регистрации: 117452, г. Москва, ул. Азовская, дом 24, корпус 1, квартира 41
Email: privacy@avaltis.ru · Телефон: +7 999 969 91 10
Ответственный за организацию обработки ПДн: Грошев Леонид Петрович (Индивидуальный предприниматель)
В случае выявления нарушения безопасности обработки ПДн (утечка, несанкционированный доступ, иное) обращайтесь по адресу privacy@avaltis.ru. Регламент реакции на инциденты соответствует требованиям ст.21 ч.2 152-ФЗ: уведомление Роскомнадзора в течение 24 часов с момента выявления, полный отчёт о результатах внутренней проверки — в течение 72 часов.