Настоящее поручение является неотъемлемой частью Договора. Заказчик является оператором персональных данных и определяет цели и основания обработки. Индивидуальный предприниматель Иваненков Леонид Викторович, ИНН 350401103500, адрес: 161250, Россия, Вологодская обл, Вашкинский р-н, с Липин Бор, ул Комсомольская, д 29, далее — «Обработчик», действует исключительно по документированному поручению Заказчика.
1. Предмет, цель и инструкции
Обработчик выполняет автоматизированную обработку для предоставления Платформы: импорта откликов и резюме, ведения CRM, коммуникации, планирования, проведения и записи интервью, распознавания речи, формирования вспомогательного AI-отчёта, экспорта, резервного копирования, безопасности и поддержки. Настройки и действия авторизованных пользователей считаются документированными инструкциями Заказчика. При противоречии инструкции закону Обработчик вправе приостановить её выполнение и уведомить Заказчика.
2. Субъекты и категории данных
Субъекты: соискатели, кандидаты, представители и пользователи Заказчика. Данные кандидатов: ФИО, контакты, место нахождения, сведения отклика и резюме, образование, опыт, навыки, ожидания, переписка, этап подбора, ответы и расшифровка, аудиозапись, при отдельном согласии — видеозапись, оценки и отчёты. Данные пользователей: ФИО, рабочие контакты, роль, организация, события входа, действий и безопасности.
Биометрическая идентификация не выполняется. Заказчик не передаёт сведения о здоровье, политических, религиозных и иных специальных категориях, а также биометрические данные, если для этого нет отдельной необходимости и законного основания.
3. Перечень операций и способы
Получение, сбор, запись, систематизация, накопление, хранение, извлечение, уточнение, сопоставление, использование, предоставление доступа уполномоченным пользователям, передача привлечённым обработчикам в необходимом объёме, блокирование, обезличивание для технических журналов, удаление и уничтожение. Обработка автоматизированная, с передачей по внутренней сети и сети Интернет по защищённым каналам. Распространение неопределённому кругу лиц не поручается.
4. Законность и обязанности Заказчика
- определить конкретные, заранее заявленные и законные цели;
- обеспечить правовые основания, уведомления и отдельные согласия;
- соблюдать минимизацию, точность и сроки обработки;
- рассматривать обращения субъектов и давать Обработчику законные инструкции;
- ограничивать доступ работников и контролировать их действия;
- не использовать AI-отчёт как единственное основание решения;
- нести ответственность перед субъектами и Роскомнадзором как оператор.
5. Обязанности Обработчика
- обрабатывать данные только для целей и в пределах поручения;
- соблюдать конфиденциальность и обеспечивать её персоналом;
- выполнять требования статей 18.1 и 19 Федерального закона №152-ФЗ;
- по запросу подтверждать соблюдение требований документами и журналами;
- содействовать ответам субъектам, оценке инцидента, блокированию и удалению;
- не раскрывать данные, кроме инструкции Заказчика или требования закона;
- после прекращения поручения удалить или вернуть данные в установленном порядке.
6. Меры защиты
Применяются разграничение доступа по организациям и ролям, проверка полномочий, защищённые каналы HTTPS, шифрование чувствительного содержания и секретов, хэширование технических идентификаторов, журналирование, резервное копирование, обновление программного обеспечения, ограничение административного доступа, контроль сроков хранения и процедуры реагирования. Конкретный набор мер определяется с учётом актуальных угроз и требуемого уровня защищённости.
7. Привлечённые обработчики
Для исполнения поручения могут использоваться российский хостинг и объектное хранилище, поставщики распознавания и синтеза речи, языковой модели, электронной почты, платежей, календаря и интеграции HH. Обработчик поручает им только необходимый объём операций и возлагает обязанности по конфиденциальности, безопасности, ограничению целей и удалению. Заказчик даёт общее согласие на такое привлечение; актуальные категории поставщиков раскрываются в политике и по запросу. О существенном изменении категории привлечённого обработчика Заказчик уведомляется через Платформу или по электронной почте до начала регулярной передачи, кроме срочной замены для устранения угрозы безопасности; в таком случае уведомление направляется без неоправданной задержки.
8. Запрет обучения моделей
Обработчик не использует исходные, псевдонимизированные или обезличенные резюме, переписку, записи, расшифровки, ответы, оценки и иные материалы субъектов для обучения или дообучения AI-моделей. Передача поставщику модели допускается только для выполнения текущего запроса (инференса) в объёме, необходимом для услуги, без разрешения использовать материалы для обучения поставщика.
9. Локализация и трансграничная передача
Первичная запись персональных данных граждан РФ осуществляется в базе данных на территории Российской Федерации. Трансграничная передача данных кандидатов не входит в стандартное поручение и допускается только после отдельной письменной инструкции Заказчика, наличия правового основания и выполнения обязательных процедур.
10. Сроки хранения, возврат и уничтожение
Записи интервью, расшифровки и AI-отчёты хранятся не более 30 дней с завершения интервью, если Заказчик не установил меньший срок. Карточка кандидата хранится до достижения цели подбора, удаления Заказчиком или законного требования субъекта. После прекращения договора данные доступны для выгрузки в течение оплаченного периода и затем удаляются, кроме обязательных договорных и аудиторских записей. Факт удаления фиксируется хэшированной записью без удалённого содержания.
11. Обращения субъектов и проверки
Заказчик определяет ответ субъекту и направляет Обработчику запрос с достаточным идентификатором. Обработчик в разумный срок предоставляет доступные сведения, исправляет, блокирует, экспортирует или удаляет данные. Подтверждение мер предоставляется документально; проверка не должна раскрывать данные других заказчиков, коммерческую тайну или создавать угрозу безопасности.
12. Инциденты
Обработчик сообщает Заказчику без неоправданной задержки, но не позднее 12 часов после подтверждения инцидента, указывает известные категории данных, субъектов, последствия и принятые меры и предоставляет обновления по мере расследования. Заказчик как оператор принимает решение и выполняет обязательные уведомления Роскомнадзора и субъектов.
13. Ответственность и срок поручения
Стороны отвечают за собственные обязанности по закону и Договору. Заказчик отвечает за цели, основания, содержание инструкций и действия пользователей; Обработчик — за соблюдение поручения и принятых мер. Поручение действует с акцепта Договора до завершения удаления данных. Версия поручения и акцепт фиксируются в юридическом журнале Платформы. Контакт по вопросам обработки: leonid.ivanenkov@gmail.com.