Регламент обработки данных работников по поручению оператора (Data Processing Agreement — DPA)

1. Общие положения и порядок заключения

1.1. Настоящий Регламент (далее — «Поручение») определяет условия и порядок обработки персональных данных работников и контрагентов Работодателя Администрацией экосистемы «SpecHelp™» (далее — «Исполнитель / Обработчик») по поручению Пользователя, действующего в интересах и от имени юридического лица или индивидуального предпринимателя — работодателя (далее — «Оператор / Работодатель»).

1.2. В соответствии с частью 3 статьи 6 Федерального закона № 152-ФЗ Оператор поручает, а Исполнитель принимает на себя обязательства по обработке персональных данных исключительно в целях предоставления функционала программных модулей «SpecHelp™ Сервисы» для автоматизации процессов охраны труда.

1.3. Настоящее Поручение является неотъемлемой частью Пользовательского соглашения (публичной оферты). Акцепт Пользовательского соглашения признаётся надлежащим заключением сторонами настоящего Поручения в письменной форме в соответствии с частью 3 статьи 6 Федерального закона № 152-ФЗ и статьями 434, 438 Гражданского кодекса РФ.

2. Предмет поручения, перечень данных и действия с ними

2.1. Категории субъектов персональных данных:

Работники Оператора, состоящие с ним в трудовых отношениях, кандидаты на работу, а также персонал подрядных организаций, допускаемый на объекты Оператора.

2.2. Исчерпывающий перечень обрабатываемых персональных данных:

1. Фамилия, имя, отчество;
2. Должность (профессия) по штатному расписанию, табельный номер, структурное подразделение;
3. Пол (для применения дифференцированных норм подъёма тяжестей и выдачи спецодежды);
4. СНИЛС (строго для формирования файлов выгрузки в Реестр обученных лиц Минтруда России — ЕИСОТ по п. 118 Постановления Правительства РФ № 2464);
5. Антропометрические параметры: рост, размер специальной одежды, размер специальной обуви, размер головного убора, размер полумаски/респиратора (строго для формирования Личной карточки учёта выдачи СИЗ по Приказу Минтруда РФ № 766н);
6. Результаты прохождения проверки знаний требований охраны труда (программы, баллы, решения комиссии, номера протоколов);
7. Производственные статусы прохождения периодических медицинских осмотров и обязательных психиатрических освидетельствований (даты, категории факторов по Приказу Минздрава России № 29н, статус пригодности без фиксации медицинских диагнозов);
8. Сведения о квалификации, номерах удостоверений и допуске к работам повышенной опасности (наряды-допуски по Приказу Минтруда РФ № 656н);
9. Сведения об обстоятельствах микроповреждений (микротравм) по ст. 226.1 ТК РФ;
10. Фотоизображения рабочих мест и выявленных нарушений охраны труда (без идентификации лиц работников либо при наличии согласия по ст. 152.1 ГК РФ).

2.3. Перечень действий (операций) с персональными данными:

Сбор (получение от Оператора в веб-интерфейсе или путём импорта файлов XLSX/CSV), запись, систематизация, накопление, хранение в базах данных на территории РФ, уточнение (обновление, изменение), извлечение, использование (для генерации протоколов, личных карточек, направлений, отчётов), передача (в форме предоставления сгенерированных файлов для последующей отправки Оператором в государственные реестры), обезличивание, блокирование, удаление, уничтожение.

2.4. Цели обработки персональных данных:

Обеспечение исполнения Оператором возложенных на него законодательством РФ обязанностей работодателя по охране труда (статьи 76, 212, 214, 216.2, 221, 225, 226.1, 228.1 Трудового кодекса РФ, Постановление Правительства РФ № 2464, Приказ Минздрава России № 29н, Приказы Минтруда РФ № 766н, 767н, 772н, 776н, 656н).

3. Обязанности Исполнителя (Обработчика)

В соответствии с частями 3 статьи 6, частью 5 статьи 18, статьями 18.1 и 19 Федерального закона № 152-ФЗ Исполнитель обязуется:

1. Осуществлять обработку персональных данных строго в соответствии с целями и инструкциями, определёнными в настоящем Поручении и Пользовательском соглашении;
2. Обеспечивать конфиденциальность обрабатываемых персональных данных и не раскрывать их третьим лицам без предварительного письменного указания Оператора, за исключением случаев, прямо предусмотренных действующим законодательством РФ;
3. Обеспечивать запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных и серверных мощностей, находящихся исключительно в доверенном контуре Российской Федерации в ЦОД на территории РФ с уровнем надёжности Tier III (в соответствии с ч. 5 ст. 18 152-ФЗ, 149-ФЗ и Указом Президента РФ № 145);
4. Принимать все необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения в соответствии со статьёй 19 Федерального закона № 152-ФЗ;
5. Обеспечивать многопользовательскую программно-логическую изоляцию данных (Multi-Tenant Isolation) по идентификатору user_id, предотвращающую доступ других пользователей платформы к данным Оператора;
6. По обоснованному письменному запросу Оператора предоставлять информацию и документы, подтверждающие принятие мер по защите персональных данных;
7. В случае выявления факта неправомерной или случайной передачи (утечки) персональных данных (инцидента безопасности) незамедлительно уведомить об этом Оператора для исполнения обязанностей перед Роскомнадзором;
8. Прекратить обработку персональных данных и уничтожить (или обезличить) соответствующие базы данных Оператора по истечении срока действия договора либо при получении письменного требования Оператора в срок не более 30 дней.

4. Обязанности, гарантии и ответственность Оператора (Работодателя)

4.1. Гарантии правомерности и наличия согласий:

• В соответствии с частью 4 статьи 6 Федерального закона № 152-ФЗ Исполнитель не обязан получать согласие субъектов персональных данных на обработку их персональных данных по поручению.
• Оператор гарантирует, что обладает всеми необходимыми правовыми основаниями для передачи данных работников Исполнителю, включая наличие оформленных письменных согласий работников на обработку персональных данных и поручение обработки третьему лицу (при необходимости), либо обработка осуществляется строго в рамках трудовых отношений по статьям 6, 86–90 ТК РФ.

4.2. Разграничение ответственности по части 5 статьи 6 Федерального закона № 152-ФЗ:

• Ответственность перед субъектом персональных данных (работником) за действия Исполнителя несёт исключительно Оператор (Работодатель).
• Исполнитель несёт ответственность исключительно перед Оператором и только за нарушение принятых на себя в разделе 3 настоящего Поручения обязательств по обеспечению безопасности и конфиденциальности данных.

4.3. Возмещение потерь (Indemnity по ст. 406.1 ГК РФ):

В случае предъявления к Исполнителю претензий, исков или жалоб со стороны работников Оператора либо наложения на Исполнителя административных штрафов уполномоченными государственными органами (Роскомнадзором по ст. 13.11 КоАП РФ), вызванных неправомерным внесением Оператором данных работников без согласия, Оператор безоговорочно обязуется своими силами урегулировать спор и в полном объёме компенсировать Исполнителю все понесённые расходы, штрафы, издержки и судебные затраты.

5. Прекращение действия Поручения

5.1. Настоящее Поручение действует в течение всего срока действия Пользовательского соглашения между Оператором и Исполнителем.

5.2. При прекращении действия аккаунта Пользователя в системе SpecID или удалении учётной записи Исполнитель производит удаление баз данных работников Оператора в порядке, установленном Политикой конфиденциальности.