Политика обработки персональных данных

1. Общие положения

Настоящая Политика обработки персональных данных (далее — «Политика») разработана [ПОЛНОЕ НАИМЕНОВАНИЕ КОМПАНИИ ВКЛЮЧАЯ ОПФ], ИНН [ИНН], ОГРН [ОГРН] (далее — «Оператор»), в соответствии с требованиями Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных».

Политика определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных в Оператора при использовании HR-информационной системы Avaltis HR, развёрнутой на собственной инфраструктуре Оператора.

(прим: Avaltis является разработчиком ПО и не имеет доступа к вашим данным в режиме self-hosted. Вы — оператор, со всеми обязанностями по 152-ФЗ.)

2. Основные понятия

• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПДн).
• Оператор — лицо, организующее и/или осуществляющее обработку ПДн, а также определяющее цели и состав обрабатываемых ПДн. В рамках настоящей Политики — [НАИМЕНОВАНИЕ КОМПАНИИ].
• Субъект ПДн — физическое лицо, чьи ПДн обрабатываются Оператором. В рамках Политики — работники Оператора, кандидаты на работу, посетители корпоративного сайта.
• Обработка ПДн — любое действие или совокупность действий с ПДн, совершаемых с использованием средств автоматизации или без таковых.

3. Правовые основания обработки

Оператор обрабатывает ПДн на следующих правовых основаниях (ст.6 ч.1 152-ФЗ):

• согласие субъекта ПДн (п.1);
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации, в том числе Трудовым кодексом РФ (п.2);
• исполнение договора, стороной которого является субъект ПДн (трудовой договор, гражданско-правовой договор) (п.5);
• достижение целей, предусмотренных законом, для осуществления и выполнения возложенных функций, полномочий и обязанностей (п.4).

4. Цели обработки

Оператор обрабатывает ПДн в следующих целях:

• оформление и исполнение трудовых отношений;
• ведение кадрового учёта;
• расчёт заработной платы (если применимо);
• организация рабочего процесса (учёт рабочего времени, отпусков, командировок);
• обеспечение безопасности труда;
• проведение аттестации, обучения и оценки персонала;
• ведение реестра кандидатов на работу;
• исполнение обязательств перед налоговыми органами и фондами;
• [ДОБАВИТЬ СПЕЦИФИЧНЫЕ ДЛЯ ВАШЕЙ КОМПАНИИ ЦЕЛИ].

5. Состав обрабатываемых ПДн

5.1. Работники Оператора

• фамилия, имя, отчество, дата рождения, пол;
• паспортные данные;
• СНИЛС, ИНН;
• сведения об образовании и квалификации;
• сведения о трудовой деятельности (должность, отдел, дата приёма, переводы, увольнение);
• контактная информация (адрес, телефон, email);
• сведения о семейном положении (если предусмотрено законодательством);
• сведения о результатах оценки (performance review), целях, KPI;
• сведения об обучении и повышении квалификации;
• электронные подписи на документах внутри платформы;
• [ДОПОЛНИТЬ ИЛИ СОКРАТИТЬ ПОД СВОЮ КОМПАНИЮ].

5.2. Кандидаты на работу

• ФИО, контактная информация;
• сведения, указанные в резюме (опыт работы, образование, навыки);
• результаты собеседований, отзывы рекрутеров.

5.3. Специальные категории ПДн (152-ФЗ ст.10)

Оператор не обрабатывает специальные категории ПДн (расовая, национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь) и биометрические ПДн без отдельного письменного согласия субъекта.

(прим: в Avaltis HR встроен механизм opt-in согласия — работник лично активирует чекбокс «Согласие на спец.категории» в личном кабинете. Без согласия система блокирует попытки сохранить тексты с health-keywords.)

6. Способы и сроки обработки

Обработка ПДн осуществляется как с использованием средств автоматизации (HR-система Avaltis HR), так и без таковых (бумажные документы).

Хранение ПДн осуществляется на серверах, расположенных на территории Российской Федерации, в соответствии с требованиями ст.18 ч.5 152-ФЗ.

Сроки хранения:

• активные работники — на весь период действия трудового договора;
• уволенные работники — в архиве Оператора в соответствии с требованиями архивного законодательства РФ (75 лет для трудовых документов);
• кандидаты на работу — 30 дней с момента отказа в приёме (если согласие не продлено субъектом);
• резервные копии — до 90 дней.

7. Передача данных третьим лицам

Оператор не передаёт ПДн третьим лицам, за исключением случаев, прямо предусмотренных законодательством или согласием субъекта.

Для оказания услуг Оператор может привлекать обработчиков (хостинг, провайдеры email-уведомлений, провайдеры LLM при включении AI-функций) на основании заключённых с ними договоров поручения обработки ПДн (ДПОПДн) в рамках требований 152-ФЗ.

[ПЕРЕЧИСЛИТЬ ВАШИХ ОБРАБОТЧИКОВ: например, «ООО „Селектел“ — хостинг», «ООО „Яндекс“ — облачные LLM (если используется YandexGPT)»]

8. Меры по обеспечению безопасности

Оператор принимает следующие технические и организационные меры для защиты ПДн в соответствии со ст.19 152-ФЗ и Постановлением Правительства РФ №1119:

• уровень защищённости ИСПДн: УЗ-[3 / 2 / 1 — указать];
• шифрование канала передачи данных (TLS 1.2+);
• шифрование чувствительных полей в базе данных (через встроенный механизм Avaltis HR — sodium AEAD per-tenant);
• разграничение прав доступа на основе ролей (RBAC: owner, head_hr, hr, user, viewer);
• регистрация действий пользователей (audit log) с фиксацией IP и timestamp;
• защита от brute-force атак на форму входа;
• регулярное резервное копирование с шифрованием в S3-совместимое хранилище в РФ;
• периодический аудит информационной безопасности;
• обучение работников правилам обработки ПДн;
• контроль физического доступа к серверам;
• [ЕСЛИ УЗ-2/УЗ-1: добавить сертифицированные СКЗИ — КриптоПро / ViPNet, FW Континент и т.п.].

9. Права субъектов персональных данных

Субъект ПДн имеет право:

• получать сведения о наличии ПДн, относящихся к нему, и об их составе;
• требовать уточнения, блокирования или уничтожения своих ПДн в случаях, предусмотренных законом;
• отозвать согласие на обработку ПДн;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде.

Запросы субъектов ПДн рассматриваются в течение 30 дней с момента получения. Обращаться: [EMAIL ОТВЕТСТВЕННОГО ЗА ОБРАБОТКУ ПДн].

10. Изменение Политики

Настоящая Политика может быть изменена Оператором в одностороннем порядке. Актуальная версия публикуется по постоянной URL [АДРЕС ВАШЕЙ ПУБЛИКАЦИИ ПОЛИТИКИ ПДн].

11. Контактные данные Оператора

Наименование: [ПОЛНОЕ НАИМЕНОВАНИЕ ВАШЕЙ КОМПАНИИ]

ИНН: [ИНН]

Адрес: [ЮРИДИЧЕСКИЙ АДРЕС]

Email: [EMAIL]

Телефон: [ТЕЛЕФОН]

Ответственный за организацию обработки ПДн (DPO): [ФИО, должность]

Реестровый номер оператора ПДн: [НОМЕР ИЗ РЕЕСТРА РКН ПОСЛЕ ПОДАЧИ УВЕДОМЛЕНИЯ]

В случае выявления нарушения безопасности обработки ПДн обращайтесь по адресу [EMAIL DPO]. Оператор уведомит Роскомнадзор в течение 24 часов в соответствии со ст.21 ч.2 152-ФЗ.