Политика конфиденциальности и обработки персональных данных экосистемы «SpecHelp™»

1. Термины, определения и правовой статус участников обработки

1.1. Экосистема «SpecHelp™» (Платформа) — совокупность программных модулей, веб-интерфейсов и баз данных, функционирующих на доменных именах spec.help (включая поддомены id.spec.help, vo.spec.help), администрируемых Оператором Платформы.

1.2. Оператор Платформы (Администрация) — лицо, организующее функционирование Платформы и выступающее:

• Первичным Оператором персональных данных — в отношении персональных данных Пользователей (Специалистов), регистрирующихся в системе «SpecID»;
• Лицом, осуществляющим обработку персональных данных по поручению Оператора (Обработчиком) — в соответствии с частью 3 статьи 6 Федерального закона № 152-ФЗ «О персональных данных» в отношении данных Работников и Подрядчиков работодателя, вносимых Пользователем в прикладные модули «SpecHelp™ Сервисы».

1.3. Пользователь (Специалист) — дееспособное физическое лицо (специалист по охране труда, руководитель службы, уполномоченное лицо работодателя, индивидуальный предприниматель), прошедшее процедуру регистрации в «SpecID» и использующее сервисы Платформы.

1.4. Работодатель (Первичный оператор данных работников) — юридическое лицо или индивидуальный предприниматель, являющийся работодателем по отношению к работникам, чьи сведения вносятся Пользователем на Платформу. Работодатель выступает самостоятельным первичным оператором персональных данных работников в смысле статей 3 и 6 Федерального закона № 152-ФЗ и статей 86–90 Трудового кодекса РФ.

1.5. Работник — физическое лицо, состоящее в трудовых отношениях с работодателем Пользователя, сведения о котором вносятся в локальные реестры сервисов исключительно во исполнение установленных законом государственных нормативных требований охраны труда.

1.6. Разграничение ответственности по частям 4 и 5 статьи 6 Федерального закона № 152-ФЗ:

• В соответствии с ч. 4 ст. 6 Федерального закона № 152-ФЗ Оператор Платформы, осуществляя обработку данных работников по поручению Работодателя (Пользователя), не обязан получать отдельное согласие субъектов персональных данных (работников) на обработку их персональных данных.
• В соответствии с ч. 5 ст. 6 Федерального закона № 152-ФЗ ответственность перед субъектом персональных данных (работником) за действия Оператора Платформы несёт исключительно первичный Оператор (Работодатель). Оператор Платформы несёт ответственность исключительно перед Работодателем в пределах условий договора (оферты).

2. Состав и категории обрабатываемых данных

2.1. Контур 1: Персональные данные Пользователя (Специалиста) в системе «SpecID»

При регистрации и ведении цифрового профиля в «SpecID» обрабатываются:

• Фамилия, имя, отчество (при наличии);
• Адрес электронной почты (e-mail);
• Номер контактного телефона;
• Должность, наименование и ИНН представляемого работодателя;
• Профессиональная специализация, стаж работы в области охраны труда;
• Аватар (фотографическое изображение профиля, загруженное добровольно);
• Ссылки на подтверждённые каналы профессиональной связи (Telegram, VK);
• Данные профессиональной активности (опубликованные вопросы, решения на форуме, история начисления баллов баунти-программы);
• Аутентификационные и технические данные: пароль в форме стойкого одностороннего криптографического хэша (bcrypt/argon2), сессионные токены, IP-адреса, логи входов.

2.2. Контур 2: Данные Работников и Подрядчиков (обработка по поручению Работодателя)

При формировании юридически значимых локальных реестров и документов в модулях «SpecHelp™ Сервисы» Пользователь вносит на Платформу следующие сведения:

1. Общие кадровые идентификаторы:

• Фамилия, имя, отчество;
• Табельный номер, структурное подразделение, должность (профессия) по штатному расписанию;
• Пол (необходим для корректного применения норм предельно допустимых нагрузок по Приказу Минтруда РФ № 629н и норм бесплатной выдачи спецодежды);

1. СНИЛС (Страховой номер индивидуального лицевого счёта):

• Обрабатывается исключительно во исполнение требований п. 118 Постановления Правительства РФ от 24.12.2021 № 2464 для формирования обязательных массивов экспорта (temp.xlsx, temp_FIO.xlsx, XML) и внесения сведений об обученных лицах в Реестр Минтруда России (ЕИСОТ);

1. Антропометрические параметры работника:

• Рост, размеры специальной одежды, специальной обуви, средств индивидуальной защиты головы (размер головного убора) и органов дыхания (размер полумаски/респиратора);
• *Правовой статус:* Указанные сведения собираются строго на основании п. 13 Приказа Минтруда РФ от 29.10.2021 № 766н для обязательного заполнения Личной карточки учёта выдачи СИЗ и автоматизированного подбора номенклатуры по ЕТН. Антропометрические размеры не являются биометрическими персональными данными по смыслу статьи 11 Федерального закона № 152-ФЗ, так как они не используются для установления личности субъекта;

1. Сведения о проверке знаний требований охраны труда:

• Результаты прохождения экзаменов по программам «А», «Б», «В», правилам применения СИЗ и оказания первой помощи, номера протоколов комиссии, даты проверки;

1. Данные медицинских осмотров и психосвидетельствований:

• Категории факторов вредности по Приказу Минздрава России № 29н, даты периодических осмотров, реквизиты заключений о пригодности к выполнению работ. *Платформа не обрабатывает специальные категории данных о состоянии здоровья (диагнозы, заболевания по ст. 10 152-ФЗ), фиксируя исключительно производственный статус: «годен» / «не годен» / «требуется направление»*;

1. Данные о микротравмах и несчастных случаях:

• Обстоятельства получения микроповреждений (ушибы, ссадины, порезы) по ст. 226.1 ТК РФ и Приказу Минтруда РФ № 226н, объяснительные записки пострадавших, сведения актов по форме Н-1;

1. Данные работников подрядных организаций:

• ФИО персонала подрядчика, реквизиты квалификационных удостоверений, отметки о прохождении вводного инструктажа и допуске к работам повышенной опасности по нарядам-допускам (Приказ Минтруда РФ № 656н);

1. Фотоматериалы производственного контроля:

• Фотографии рабочих мест и нарушений, загружаемые через модуль «Мобильный аудит & Ступенчатый контроль». Пользователь обязан загружать фотоматериалы без фиксации узнаваемых лиц работников либо при наличии письменного согласия по ст. 152.1 Гражданского кодекса РФ.

3. Цели и правовые основания обработки данных

3.1. Обработка персональных данных Пользователей и данных работников осуществляется строго в рамках законных полномочий на основании:

• Пунктов 1 и 5 части 1 статьи 6 Федерального закона № 152-ФЗ (заключение и исполнение договора оферты с Пользователем);
• Части 3 статьи 6 Федерального закона № 152-ФЗ (обработка по поручению работодателя);
• Статей 76, 212, 214, 216.2, 219, 220, 221, 222, 225, 226.1, 228.1 Трудового кодекса РФ;
• Постановления Правительства РФ № 2464;
• Приказов Минтруда РФ № 766н, 767н, 772н, 776н, 223н, 226н, 656н, 773н;
• Приказов Минздрава России № 29н, 342н.

3.2. Цели обработки:

• Обеспечение функционирования учётной записи SpecID и сквозной защищённой авторизации в сервисах;
• Автоматизация ведения локального документооборота предприятия по охране труда;
• Формирование бланков протоколов проверки знаний на 9 граф по форме п. 92 Постановления Правительства РФ № 2464;
• Валидация и подготовка реестров для выгрузки сведений в ЕИСОТ Минтруда России;
• Расчёт сроков обязательных периодических медосмотров, формирование направлений на медосмотр (п. 9 Приказа № 29н) и списков работников для территориальных органов Роспотребнадзора (п. 21 Приказа № 29н);
• Формирование нормативных личных карточек учёта выдачи СИЗ и расчёт норм обеспечения по ЕТН;
• Фиксация обстоятельств микроповреждений и ведение журнала учёта микротравм (Приказ № 226н);
• Оформление актов-допусков и нарядов-допусков на производство работ повышенной опасности;
• Подготовка макетов плакатов и информационных стендов по охране труда (Приказ № 773н);
• Начисление баллов активности и формирование экспертного рейтинга на площадке «SpecHelp™ Форум».

4. Обязанности и заверения Пользователя (Работодателя)

4.1. Внося данные работников и третьих лиц на Платформу, Пользователь (Работодатель) официально гарантирует и заверяет Администрацию в следующем:

1. Все персональные данные работников собраны, внесены и передаются на Платформу с соблюдением требований Федерального закона № 152-ФЗ и главы 14 Трудового кодекса РФ;
2. Работодатель получил надлежащие письменные согласия работников на обработку их персональных данных автоматизированным способом и поручение их обработки Оператору Платформы, либо обработка осуществляется строго на основаниях, не требующих согласия в силу закона (п. 2 ч. 1 ст. 6 152-ФЗ, ст. 86 ТК РФ);
3. Работодатель принял локальный нормативный акт (Положение об обработке ПДн работников) и ознакомил с ним работников под роспись;
4. Работодатель уведомил уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) об обработке персональных данных, либо имеет законные основания для освобождения от уведомления.

4.2. Освобождение Оператора Платформы от претензий субъектов (работников):

В случае поступления жалоб, запросов или претензий от работников относительно правомерности внесения их персональных данных в сервисы Платформы, Работодатель обязуется самостоятельно и за свой счёт урегулировать такие споры. Если вследствие нарушения Работодателем правил обработки ПДн на Оператора Платформы будет наложен административный штраф (ст. 13.11 КоАП РФ), Работодатель обязуется возместить сумму штрафа и судебных издержек в полном объёме по правилам ст. 406.1 Гражданского кодекса РФ.

5. Режим многопользовательской изоляции данных (Multi-Tenant Isolation)

5.1. Платформа построена на принципах строгой аппаратно-программной и логической многопользовательской изоляции (Multi-Tenant Isolation):

• Каждая запись реестра работников, результат проверки знаний, протокол, список медосмотра или карточка СИЗ в базе данных жёстко привязана к системному идентификатору владельца (user_id).
• Архитектура запросов и ORM-фильтров исключает пересечение данных: Пользователь видит исключительно записи своего работодателя.
• Сессии онлайн-тестирования работников по ссылкам с кодом доступа (share_code) изолированы и доступны для проверки результатов только экзаменационной комиссии конкретного работодателя.

5.2. Персональные данные работников никогда не публикуются в открытом доступе, не размещаются на форуме, не индексируются поисковыми системами (Яндекс, Google и др.) и не передаются третьим лицам в маркетинговых или коммерческих целях.

6. Локализация баз данных в РФ, доверенный контур и меры безопасности

6.1. Доверенный суверенный контур и локализация данных (ч. 5 ст. 18 152-ФЗ, 149-ФЗ, Указ Президента РФ № 145):

• 🇷🇺 Обработка всей информации и персональных данных осуществляется строго в доверенном контуре Российской Федерации.
• Все информационные системы и программные сервисы экосистемы «SpecHelp™» соответствуют требованиям Федерального закона № 152-ФЗ «О персональных данных», Федерального закона № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и Национальной стратегии развития искусственного интеллекта на период до 2030 года (Указ Президента РФ № 145).
• Инфраструктура размещения: серверные мощности и базы данных физически расположены в специализированных центрах обработки данных (ЦОД) на территории Российской Федерации с уровнем надёжности Tier III (в строгом соответствии с требованиями ч. 5 ст. 18 Федерального закона № 152-ФЗ). Трансграничная передача персональных данных работников категорически исключена.

6.2. Организационные и технические меры защиты (ст. 19 Федерального закона № 152-ФЗ):

• Передача всего сетевого трафика осуществляется исключительно по зашифрованному протоколу HTTPS с применением криптографических протоколов TLS 1.3;
• Сессионные токены авторизации защищены атрибутами HttpOnly, SameSite=Lax, Secure, предотвращающими хищение сессий через XSS и CSRF атаки;
• Пароли пользователей хранятся исключительно в виде стойких односторонних хэш-сумм;
• Использование межсетевых экранов (WAF, Firewall) и систем защиты от подбора паролей (fail2ban);
• Регулярное создание шифрованных резервных копий (бэкапов) баз данных с хранением в изолированном защищённом контуре;
• Строгое разделение контура разработки и тестирования (Stage) и продуктивного боевого контура (Prod).

7. Сроки обработки и уничтожение персональных данных

7.1. Персональные данные Пользователя хранятся в течение всего срока действия учётной записи SpecID.

7.2. Данные работников, внесённые в локальные модули работодателя, хранятся на Платформе до момента их удаления Пользователем либо прекращения действия договора (аккаунта).

7.3. При получении требования Пользователя об отзыве согласия или удалении учётной записи:

• Профиль Пользователя в SpecID деактивируется;
• Персональные данные Пользователя подлежат уничтожению или обезличиванию в срок, не превышающий 30 (тридцати) календарных дней;
• Данные работников в локальных базах работодателя подлежат безвозвратному удалению, если более длительный срок хранения протоколов и документов по личному составу не обусловлен архивными обязательствами работодателя по действующему законодательству РФ.

8. Права субъектов персональных данных

8.1. Субъект персональных данных (Пользователь) имеет право на:

1. Получение полной информации, касающейся обработки его персональных данных;
2. Требование уточнения, блокирования или уничтожения своих персональных данных в случае их неполноты, устаревания или неточности;
3. Отзыв ранее предоставленного согласия через личный кабинет SpecID либо по заявлению на privacy@spec.help.

8.2. Порядок обращения работников:

Поскольку Оператор Платформы обрабатывает данные работников по поручению Работодателя, работники предприятий направляют запросы относительно доступа, уточнения или удаления своих персональных данных непосредственно своему Работодателю. В случае поступления такого запроса напрямую Оператору Платформы, запрос перенаправляется Работодателю для исполнения.

9. Изменение настоящей Политики

9.1. Настоящая Политика может быть в одностороннем порядке обновлена Оператором в связи с внедрением новых сервисов или изменением законодательства РФ.

9.2. Действующая редакция Политики постоянно доступна для ознакомления неограниченного круга лиц в сети Интернет по постоянному адресу [https://vo.spec.help/p/privacy](https://vo.spec.help/p/privacy).