Политика обработки персональных данных

ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Оператор: [Укажите ФИО индивидуального предпринимателя], ИНН [ИНН], ОГРНИП [ОГРНИП].
Контакт по вопросам персональных данных: salary.online@yandex.ru.
Адрес: [Адрес для юридически значимых сообщений].

1. Общие положения
Настоящая Политика определяет порядок обработки и защиты персональных данных при использовании сервиса KOVLEON. Оператор обрабатывает персональные данные только для заранее определённых и законных целей и применяет принцип минимизации.

2. Роли при обработке
В отношении данных, которые человек самостоятельно предоставляет для создания и использования собственной учётной записи KOVLEON, [Укажите ФИО индивидуального предпринимателя] определяет цели и состав обработки и выступает оператором персональных данных.
В отношении персональных данных работников, исполнителей и иных лиц, которые организация-клиент загружает в KOVLEON для своих внутренних процессов, организация-клиент самостоятельно определяет цели обработки и является оператором, а владелец KOVLEON осуществляет обработку по поручению клиента в пределах договора/поручения на обработку персональных данных.

3. Категории субъектов и данных
Пользователи учётных записей: ФИО, электронная почта, при добровольном указании телефон, организация, сведения учётной записи, история входов, IP-адрес, User-Agent и журнал значимых действий.
Лица, сведения о которых внесены организацией-клиентом: ФИО, должность, контактные и кадровые сведения, сведения об объектах, начислениях и выплатах и иные категории, прямо предусмотренные функционалом и поручением клиента. Специальные категории и биометрические персональные данные не должны загружаться без отдельной правовой и технической оценки.

4. Цели и правовые основания
Данные учётной записи обрабатываются для регистрации, предоставления функционала, аутентификации, разграничения доступа, связи по вопросам сервиса, информационной безопасности, исполнения запросов субъектов и договорных обязанностей. Основание определяется конкретной целью: согласие, договор либо иное основание, предусмотренное законодательством.
Данные, загруженные клиентом о третьих лицах, обрабатываются исключительно по документированному поручению клиента и только для целей, указанных клиентом.
Рекламные сообщения направляются только при наличии отдельного предварительного согласия.

5. Операции, сроки и уничтожение
Могут выполняться сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление уполномоченным пользователям, блокирование, удаление и уничтожение.
Учётная запись хранится в период её использования. После подтверждённого запроса на прекращение обработки сведения, для которых отсутствует иное законное основание, удаляются или блокируются для последующего уничтожения в применимый срок. Технические журналы безопасности хранятся в пределах установленного оператором retention-периода; резервные копии ротируются по отдельному сроку. Данные клиента после прекращения договора возвращаются/удаляются в порядке и сроки, закреплённые договором поручения, с учётом обязательных сроков хранения и legal hold.
Актуальные технические retention rules ведутся в KOVLEON и подлежат утверждению ответственным лицом до production-эксплуатации.

6. Локализация, получатели и трансграничная передача
При сборе персональных данных граждан РФ первоначальная запись, систематизация, накопление, хранение, уточнение и извлечение выполняются в базах данных на территории Российской Федерации. Размещение PostgreSQL, файлов, журналов и резервных копий должно быть подтверждено настройками и документами инфраструктурных поставщиков.
Доступ предоставляется только уполномоченным пользователям и привлечённым обработчикам в объёме, необходимом для соответствующей цели. Каждый внешний обработчик/интеграция должен быть внесён в реестр subprocessors и иметь оформленное договорное основание.
Трансграничная передача не осуществляется без предварительной отдельной правовой проверки и выполнения обязательных процедур.

7. Защита
Применяются организационные и технические меры, включая аутентификацию, управление доступом, tenant-изоляцию, серверную проверку полномочий, CSRF/origin-защиту, журналирование значимых событий, резервное копирование, контроль восстановления, защиту каналов связи и управление секретами. Конкретный состав мер определяется моделью угроз, установленным уровнем защищённости ИСПДн и результатами приёмочных проверок.

8. Права субъекта
Субъект вправе направлять запросы о наличии и обработке данных, получать предусмотренные законом сведения, требовать уточнения, блокирования или уничтожения в установленных случаях, а также отзывать согласие в отношении операций, основанных на согласии. Запрос можно направить через личный кабинет либо на salary.online@yandex.ru. До исполнения запроса оператор вправе выполнить разумную проверку личности заявителя.

9. Файлы cookie и технические идентификаторы
Сервис использует обязательный серверный cookie salary.sid для поддержания авторизованной сессии. Cookie имеет атрибуты Secure, HttpOnly и SameSite=Lax и не используется для рекламы или межсайтового профилирования. Срок серверной сессии ограничен настройками сервиса. Подключение аналитических, рекламных и иных необязательных cookie требует отдельной оценки до включения.

10. Актуальность
Актуальная версия Политики постоянно доступна в сервисе. Каждая опубликованная версия имеет дату, версию и SHA-256 контрольную сумму; публикация новой версии не изменяет доказательства ранее совершённых юридических действий.