Политика в отношении обработки персональных данных

1. Общие положения

1.1 Политика является локальным документом Оператора, определяющим порядок обработки и защиты персональных данных Субъектов.

1.2 Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и иными нормативными правовыми актами Российской Федерации в области персональных данных.

1.3 Назначение Политики: обеспечение защиты прав и свобод Субъекта, в том числе неприкосновенности частной жизни; соблюдение требований законодательства Российской Федерации; предотвращение несанкционированных действий с персональными данными и угрозы их безопасности.

1.4 Субъект подтверждает, что ознакомился с условиями Политики при регистрации и использовании Сервиса, а также при направлении своих персональных данных Оператору.

1.5 Оператор размещает Политику в свободном доступе в сети Интернет на Сервисе по адресу https://workstaffer.ru/privacy.

1.6 Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её размещения. Продолжая использовать Сервис, Субъект выражает согласие с изменениями.

2. Цели обработки и состав данных

Оператор обрабатывает персональные данные в следующих целях:

2.1 Локализация. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Данные хранятся на серверах в центре обработки данных по адресу: 123060, г. Москва, ул. Берзарина, д. 36, стр. 3 (оператор инфраструктуры — АО «Селектел»).

2.2 Специальные категории персональных данных и биометрические персональные данные Оператором не обрабатываются.

2.3 Cookie-файлы и аналогичные технологии. Сервис использует cookie-файлы и локальное хранилище браузера:

Строго необходимый cookie (rt) обеспечивает работу авторизации и не требует отдельного согласия. Аналитические cookie Яндекс.Метрики устанавливаются только после согласия Субъекта в cookie-баннере; до получения согласия запросы к системе аналитики не отправляются. Сервис Яндекс.Метрики применяет технологию «Вебвизор» — запись действий пользователя на странице (перемещения курсора, клики, прокрутка); поля форм при этом маскируются. Субъект может отозвать согласие и отключить cookie через настройки браузера; строго необходимый cookie может сохраняться для работы авторизации.

3. Принципы обработки

Оператор обрабатывает персональные данные на основе следующих принципов (ст. 5 152-ФЗ):

3.1 Обработка осуществляется на законной и справедливой основе.

3.2 Обработка ограничивается достижением конкретных, заранее определённых и законных целей.

3.3 Не допускается объединение баз данных, обработка которых осуществляется в несовместимых между собой целях.

3.4 Содержание и объём обрабатываемых данных соответствуют заявленным целям; избыточность не допускается.

3.5 Обеспечиваются точность, достаточность и актуальность персональных данных.

3.6 Хранение персональных данных осуществляется не дольше, чем этого требуют цели обработки.

3.7 По достижении целей обработки либо в случае утраты необходимости в их достижении персональные данные подлежат уничтожению или обезличиванию.

4. Перечень обрабатываемых персональных данных

4.1 Данные, предоставляемые Субъектом: ФИО; адрес электронной почты; номер телефона; логин и пароль (хранится исключительно в виде криптографического хеша); идентификатор и имя пользователя в Telegram (опционально); для Владельца ПВЗ — наименование и ИНН организации; для Исполнителя (по желанию) — скан-копии паспорта и свидетельства о постановке на учёт в налоговом органе (ИНН) для верификации, а также ИНН для подтверждения статуса налогоплательщика налога на профессиональный доход (самозанятого); фотоизображение (аватар; метаданные EXIF/GPS удаляются автоматически); платёжные данные в ограниченном объёме (бренд, последние четыре цифры карты, токен банка). Полный номер банковской карты Оператором не принимается и не хранится.

4.2 Данные, формируемые при использовании Сервиса: история смен, откликов, отзывов, рейтингов, сообщений в чате, выплат и эскроу-операций; согласия (на маркетинг, на cookie) с датой; согласие на рекуррентные платежи с фиксацией даты, IP-адреса и сведений о браузере (для целей Федерального закона № 161-ФЗ «О национальной платёжной системе»).

4.3 Данные, получаемые автоматически: IP-адрес (в журналах безопасности хранится в виде усечённого хеша SHA-256), сведения об устройстве и браузере, cookie-файлы, данные веб-аналитики (см. раздел 2 настоящей Политики).

4.4 Субъект заверяет, что предоставленные им персональные данные достоверны и актуальны, а при передаче данных третьих лиц — что получил их согласие на обработку.

5. Правовые основания и способы обработки

5.1 Правовые основания обработки: согласие Субъекта на обработку персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ); заключаемый с Субъектом договор, в том числе лицензионный договор (договор-оферта) об использовании Сервиса, а также договоры и иные документы, заключаемые и подписываемые Субъектами в Сервисе простой электронной подписью при выполнении смен и проведении расчётов по ним (п. 5 ч. 1 ст. 6 152-ФЗ); а также необходимость исполнения возложенных на Оператора и привлекаемые им лица законодательством обязанностей, в том числе обязанностей налогового агента по налогу на доходы физических лиц, плательщика страховых взносов и хранения налоговых и платёжных документов (п. 2 ч. 1 ст. 6 152-ФЗ).

5.2 Обработка персональных данных для целей электронного документооборота и расчётов (в том числе паспортных данных, ИНН и реквизитов банковской карты в ограниченном объёме) осуществляется на основании исполнения договора и принятия Субъектом настоящей Политики; получение отдельного согласия на обработку таких данных не требуется (п. 5 ч. 1 ст. 6 152-ФЗ).

5.3 Способы сбора: при заполнении Субъектом форм на Сервисе; с помощью технологий cookie-файлов и веб-протоколов.

5.4 Хранение осуществляется на защищённых электронных носителях в базах данных на территории Российской Федерации — до достижения целей обработки либо до получения требования Субъекта о прекращении обработки или отзыва согласия. Сроки хранения по отдельным целям: документы по сделкам, подписанные простой электронной подписью, — не менее 3 (трёх) лет с момента прекращения отношений по соответствующей сделке; налоговые и платёжные документы — не менее 5 (пяти) лет. По истечении срока, основанного на исполнении обязанности, обработка прекращается, если иное основание не сохраняется.

5.5 Оператор уничтожает персональные данные при достижении целей обработки, по запросу Субъекта, при отзыве согласия либо при выявлении неправомерной обработки. Контрольные суммы (хэши) и метаданные подписанных документов могут сохраняться в течение установленных сроков хранения для подтверждения юридически значимых действий даже после обезличивания профиля Субъекта.

6. Передача персональных данных третьим лицам

6.1 Оператор привлекает к обработке персональных данных по поручению (ст. 6 152-ФЗ) лиц, перечень которых приведён в таблице:

6.2 Трансграничная передача (опционально, по выбору Субъекта). При самостоятельном подключении соответствующих функций персональные данные в ограниченном объёме могут передаваться: Telegram FZ-LLC (ОАЭ) — Telegram ID и текст уведомления (если Субъект связал аккаунт с Telegram); Apple Inc. / Google LLC (США) — push-endpoint и зашифрованный payload по протоколу Web Push/VAPID (если Субъект оформил подписку на push-уведомления). Передача осуществляется с соблюдением требований ст. 12 152-ФЗ. Указанные функции являются необязательными; Субъект самостоятельно решает, использовать ли их.

6.3 Оператор не передаёт персональные данные иным третьим лицам и не использует сторонних рекламных или маркетинговых трекеров, кроме указанных в настоящем разделе.

7. Права субъекта персональных данных

7.1 Субъект вправе направить Оператору запрос на получение информации об обработке, в том числе: подтверждение факта обработки; правовые основания и цели обработки; применяемые способы обработки; перечень обрабатываемых данных и источник их получения; сроки обработки и хранения; сведения о лицах, которым данные переданы или могут быть переданы; информацию об осуществляемой или предполагаемой трансграничной передаче; порядок осуществления прав.

7.2 Субъект вправе требовать уточнения, блокирования или уничтожения своих персональных данных, отозвать согласие на обработку, а также реализовать иные права, предусмотренные ст. 14 152-ФЗ.

7.3 Механизмы реализации прав в Сервисе: доступ и переносимость — экспорт всех своих данных в машиночитаемом виде; изменение — редактирование данных в профиле; удаление — удаление аккаунта с льготным периодом восстановления и последующим обезличиванием; отзыв согласия на маркетинг — переключатель в настройках; отзыв согласия на обработку — обращением на privacy@workstaffer.ru.

8. Обязанности Оператора

При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав Субъектов, Оператор уведомляет Роскомнадзор (ст. 21 152-ФЗ):

8.1 в течение 24 часов — о произошедшем инциденте, предполагаемых причинах и мерах по устранению последствий, а также о лице, уполномоченном на взаимодействие с Роскомнадзором;

8.2 в течение 72 часов — о результатах внутреннего расследования инцидента и о лицах, действия которых стали причиной инцидента (при наличии).

8.3 Оператор предоставляет Субъекту информацию, касающуюся обработки его персональных данных, по запросу — в порядке и сроки, предусмотренные разделом 11 настоящей Политики.

8.4 При выявлении неправомерной обработки персональных данных Оператор прекращает такую обработку в срок, не превышающий 3 (трёх) рабочих дней; в случае невозможности обеспечить правомерность обработки — уничтожает персональные данные в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки.

8.5 При достижении целей обработки, а также при отзыве Субъектом согласия Оператор прекращает обработку и уничтожает (обезличивает) персональные данные в срок, не превышающий 30 (тридцати) дней, за исключением случаев, когда обработка может быть продолжена в соответствии с законодательством Российской Федерации.

8.6 При подтверждении факта неточности персональных данных Оператор уточняет (актуализирует) их в срок, не превышающий 7 (семи) рабочих дней с даты поступления соответствующих сведений.

9. Меры по обеспечению защиты персональных данных

Оператор реализует правовые, организационные и технические меры защиты (ст. 18.1, 19 152-ФЗ):

9.1 правовые — настоящая Политика и иные локальные документы Оператора, их публикация на Сервисе;

9.2 организационные — назначение лица, ответственного за обработку персональных данных; ограничение и разграничение доступа; ведение журналов операций (audit-log); регламенты реагирования на инциденты;

9.3 технические — шифрование канала связи (TLS 1.3); хранение паролей в виде криптографического хеша (bcrypt); хеширование IP-адресов в журналах; ролевое разграничение доступа и версионирование токенов сессий; защита от перебора паролей и атак (ограничение частоты запросов); защита cookie (httpOnly, Secure, SameSite); автоматическое удаление метаданных EXIF из загружаемых изображений; маскирование чувствительных полей в журналах.

10. Изменение Политики

10.1 Оператор вправе вносить изменения в настоящую Политику.

10.2 Актуальная редакция Политики размещается на Сервисе по адресу https://workstaffer.ru/privacy и вступает в силу с момента размещения.

10.3 Каждой редакции Политики присваивается номер версии и дата. Оператор сохраняет сведения о редакции Политики, с которой согласился Субъект, а также дату и факт такого согласия. При вступлении в силу новой версии Политики Субъекту может быть предложено повторно подтвердить ознакомление с ней при очередном использовании Сервиса.

11. Обратная связь

11.1 По вопросам обработки персональных данных, реализации прав и отзыва согласия Субъект обращается к Оператору по адресу электронной почты: privacy@workstaffer.ru.

11.2 Оператор обязуется рассмотреть и направить ответ на поступившее обращение в течение 10 (десяти) рабочих дней с момента поступления обращения. Указанный срок может быть продлён в случаях, предусмотренных законодательством Российской Федерации.

11.3 В случае несогласия с условиями настоящей Политики Субъект вправе прекратить использование Сервиса.