Политика в отношении обработки персональных данных на платформе «КОТ Россия»

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее – Политика) определяет цели, правовые основания, состав, порядок и условия обработки персональных данных, меры по их защите, а также порядок реализации прав субъектов персональных данных Обществом с ограниченной ответственностью «Карьерно-образовательные треки» (ООО «КОТ»).

1.2. Политика разработана во исполнение Конституции Российской Федерации, Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ), постановления Правительства Российской Федерации от 01.11.2012 № 1119, постановления Правительства Российской Федерации от 15.09.2008 № 687, приказа ФСТЭК России от 18.02.2013 № 21, приказов Роскомнадзора и иных применимых нормативных правовых актов Российской Федерации.

1.3. Оператор персональных данных: Общество с ограниченной ответственностью «Карьерно-образовательные треки» (сокращённое наименование – ООО «КОТ»), ИНН 1655515066, КПП 165501001, ОГРН 1261600031285, адрес места нахождения: 420074, Республика Татарстан (Татарстан), г. Казань, ул. Петербургская, д. 52 (далее – Оператор).

1.4. Контакт Оператора по вопросам обработки персональных данных и реализации прав субъектов: ced@tech.ced-track.ru. Почтовые обращения направляются по адресу Оператора, указанному в пункте 1.3 Политики.

1.5. Политика применяется ко всем персональным данным, обрабатываемым Оператором при функционировании цифровой платформы «КОТ Россия», размещённой по адресу https://ced-track.ru, включая её поддомены, личные кабинеты, программные модули, формы обратной связи и связанные сервисы (далее – Сайт, Платформа).

1.6. Платформа предназначена для поиска стажировок, практик, карьерно-образовательных треков и вакансий преимущественно в нефтегазохимической отрасли, размещения профилей и резюме, прохождения тестирования, формирования рекомендаций, направления откликов и взаимодействия кандидатов с работодателями.

1.7. Политика является общедоступным документом и размещается по адресу https://ced-track.ru/privacy. Ссылка на Политику должна быть доступна на страницах Сайта, на которых осуществляется сбор персональных данных.

1.8. Политика не является согласием субъекта персональных данных и не заменяет отдельные согласия, необходимые по закону. Согласие на обработку персональных данных, согласие на обработку персональных данных, разрешённых для распространения, согласие на получение рекламы и согласие на необязательные аналитические cookie оформляются отдельно друг от друга и отдельно от пользовательских соглашений и иных документов.

1.9. Действие Политики не распространяется на сайты, приложения и сервисы третьих лиц, на которые пользователь может перейти по внешним ссылкам. Такие лица самостоятельно определяют порядок обработки данных на принадлежащих им ресурсах.

1.10. Оператор не проверяет достоверность всех сведений, предоставленных пользователем, и не оценивает его дееспособность, кроме случаев, когда проверка предусмотрена функционалом Платформы или необходима для исполнения закона, договора либо защиты пользователей. Оператор вправе подтверждать адрес электронной почты, номер телефона, принадлежность учётной записи, возрастное ограничение и полномочия представителя работодателя.

2. Термины и определения

2.1. Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

2.2. Блокирование персональных данных – временное прекращение обработки персональных данных, кроме случаев, когда обработка необходима для их уточнения.

2.3. Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

2.4. Конфиденциальность персональных данных – обязанность не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом.

2.5. Обезличивание персональных данных – действия, в результате которых без использования дополнительной информации невозможно определить принадлежность персональных данных конкретному субъекту.

2.6. Обработка персональных данных – любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение.

2.7. Обработка по поручению Оператора – обработка персональных данных другим лицом на основании договора с Оператором, содержащего обязательные условия, предусмотренные частью 3 статьи 6 Закона № 152-ФЗ.

2.8. Оператор персональных данных – лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных и совершаемые с ними действия.

2.9. Персональные данные – любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.

2.10. Персональные данные, разрешённые для распространения – персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом путём отдельного согласия в порядке статьи 10.1 Закона № 152-ФЗ.

2.11. Предоставление персональных данных – действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.

2.12. Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределённому кругу лиц.

2.13. Субъект персональных данных – физическое лицо, к которому относятся персональные данные.

2.14. Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу.

2.15. Удаление персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) уничтожаются материальные носители.

2.16. Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) уничтожаются материальные носители персональных данных.

2.17. Кандидат (Соискатель) – достигшее 18 лет физическое лицо, использующее Платформу для поиска стажировки, практики, обучения, работы или иного карьерного развития.

2.18. Работодатель (Компания) – юридическое лицо или индивидуальный предприниматель, зарегистрированные на Платформе и использующие её для размещения Треков и Вакансий и (или) подбора кандидатов.

2.19. Представитель работодателя – физическое лицо, действующее от имени Работодателя и использующее кабинет Компании.

2.20. Профиль (Резюме) – совокупность предоставленных Кандидатом сведений об образовании, опыте, навыках, предпочтениях, контактах и иных данных, используемых для карьерного подбора.

2.21. Материалы – резюме, портфолио, документы, тексты, результаты тестирования и иные файлы или сведения, загруженные пользователем.

2.22. Карьерно-образовательный трек (Трек) – размещаемая Работодателем программа, включающая стажировку, практику, обучение и (или) возможность трудоустройства с определёнными требованиями к кандидатам.

2.23. Вакансия – размещённое Работодателем предложение о трудоустройстве или иной допустимой форме занятости.

2.24. Отклик – направленная Кандидатом посредством Платформы заявка на участие в конкретном Треке или на конкретную Вакансию.

2.25. Личный кабинет – персонализированный раздел Платформы, доступный после регистрации и аутентификации.

2.26. Модуль подбора – программный компонент, который сопоставляет сведения Профиля с требованиями Трека или Вакансии, формирует рекомендации и ранжированную выдачу.

2.27. Тест навыков – набор заданий для оценки профессиональных и надпрофессиональных компетенций Кандидата.

2.28. ИИ-ассистент – добровольно используемая функция Платформы, которая обрабатывает текстовые запросы пользователя и формирует ответы или вспомогательные материалы с применением технологий искусственного интеллекта.

2.29. Верифицированный работодатель – Работодатель, регистрационные данные и полномочия представителя которого проверены Оператором в объёме, установленном внутренними процедурами.

2.30. Открытый профиль – Профиль, доступ к выбранным Кандидатом данным которого предоставляется верифицированным работодателям только после отдельного волеизъявления Кандидата и при наличии необходимого отдельного согласия.

2.31. Если из контекста не следует иное, термин «Треки» в Политике охватывает Треки и Вакансии.

3. Принципы обработки

3.1. Оператор руководствуется следующими принципами:

законность и справедливость обработки;
ограничение обработки конкретными, заранее определёнными и законными целями;
недопустимость объединения баз данных, обрабатываемых в несовместимых целях;
обработка только тех данных, которые отвечают заявленным целям;
соответствие содержания и объёма данных целям обработки и недопустимость избыточности;
точность, достаточность и актуальность данных;
хранение данных не дольше, чем этого требуют цели обработки, закон или договор;
уничтожение либо обезличивание данных после достижения целей или утраты необходимости в обработке, если иное не предусмотрено законом;
конфиденциальность и обеспечение безопасности данных на всех этапах обработки;
контролируемость доступа работодателей и иных получателей к данным Кандидатов.

3.2. Оператор применяет принцип минимизации доступа: каждому пользователю и работнику предоставляется только тот объём доступа, который необходим для выполнения его функций.

3.3. Отказ от необязательной обработки, включая аналитику, рекламные сообщения, ИИ-функции либо открытие Профиля для общего доступа верифицированным работодателям, не должен лишать пользователя базового функционала, если соответствующая обработка объективно не требуется для предоставления выбранной функции.

4. Категории субъектов

4.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

посетители Сайта;
Кандидаты, включая обучающихся и выпускников образовательных организаций;
представители Работодателей, клиенты и потенциальные клиенты Оператора;
представители образовательных организаций и иных партнёров;
лица, направляющие обращения в службу поддержки или по вопросам персональных данных;
контрагенты – физические лица, индивидуальные предприниматели, представители и работники контрагентов в объёме, необходимом для заключения и исполнения договоров.

4.2. Регистрация Кандидатов младше 18 лет не предусмотрена. При выявлении учётной записи несовершеннолетнего Оператор блокирует её, проверяет наличие иных законных оснований и при их отсутствии уничтожает связанные данные в срок, установленный законодательством и внутренним регламентом, но не позднее 30 дней с момента подтверждения соответствующего обстоятельства.

5. Цели, данные и сроки

5.1. Для каждой цели Оператор определяет категории субъектов и данных, основания, операции, способы и сроки обработки. Детализация приведена ниже. В пределах каждой цели обрабатываются только фактически необходимые сведения.

Цель и субъекты	Состав данных	Основание и операции	Срок и прекращение
1. Работа Сайта, информационная безопасность, предотвращение злоупотреблений. Посетители и пользователи.	IP-адрес; дата и время; URL и referer; сведения о браузере, ОС и устройстве; идентификаторы сессии; журналы авторизации и безопасности; действия в интерфейсе.	Законные интересы Оператора и пользователей; исполнение договора. Сбор, запись, систематизация, накопление, хранение, извлечение, использование, блокирование, удаление, уничтожение. Автоматизированная обработка.	Технические журналы – до 1 года, если более длительный срок не требуется для расследования инцидента, исполнения закона или защиты прав. Затем уничтожение/обезличивание.
2. Регистрация, аутентификация, ведение учётной записи и исполнение пользовательского соглашения. Кандидаты и представители Работодателей.	Ф.И.О. или имя; дата рождения/подтверждение 18+ для Кандидата; email; телефон; идентификаторы мессенджеров; данные учётной записи; хэш пароля; роль; сведения о согласиях и версиях документов.	Заключение и исполнение договора по инициативе субъекта; согласие – для данных и действий, для которых оно необходимо. Полный перечень операций по п. 6.1. Смешанная обработка.	Срок действия учётной записи и до 30 дней после её удаления, если иное основание отсутствует. Сведения, необходимые для доказывания заключения договора/получения согласия, – в пределах применимых сроков исковой давности и обязательного хранения.
3. Создание Профиля, хранение Материалов, поиск Треков и персонализация сервисов. Кандидаты.	Ф.И.О.; пол; дата рождения; гражданство при указании; город; образование, вуз, направление, курс; опыт; навыки; профессия; географические и карьерные предпочтения; резюме, портфолио и иные разрешённые Материалы.	Исполнение пользовательского соглашения; согласие в применимых случаях. Смешанная обработка, включая автоматический разбор резюме и формирование рекомендаций.	До удаления соответствующих данных Кандидатом, удаления учётной записи либо прекращения договора; техническое удаление – не позднее 30 дней при отсутствии иного основания.
4. Предоставление доступа к Открытому профилю верифицированным работодателям. Кандидаты.	Только категории данных, прямо выбранные Кандидатом в отдельном согласии на распространение; контакты, документы, полная дата рождения и результаты тестов не раскрываются по умолчанию.	Отдельное согласие по ст. 10.1 Закона № 152-ФЗ. Предоставление доступа/распространение в пределах условий и запретов субъекта, журналирование доступа.	До истечения/отзыва отдельного согласия, отключения открытости или требования прекратить доступ. Распространение прекращается в срок, предусмотренный законом, в том числе не позднее 3 рабочих дней в случаях ст. 10.1.
5. Направление и рассмотрение Отклика, коммуникация с Работодателем. Кандидаты и представители Работодателей.	Данные Профиля и Материалы, включённые в Отклик; контакты; сведения о Треке; статусы; дата и содержание переписки; результаты тестов – только если предусмотрено сценарием и доведено до Кандидата.	Исполнение договора с Кандидатом и Работодателем; действия Кандидата по направлению Отклика; отдельное согласие – когда требуется. Предоставление конкретному Работодателю, хранение, использование, коммуникация.	На Платформе – 1 год после завершения рассмотрения Отклика. Доступ Работодателя к данным Отклика прекращается/ограничивается по истечении установленного периода; его самостоятельная обработка регулируется его политикой и законом.
6. Проведение Тестов навыков и формирование результатов. Кандидаты.	Ответы на задания; время и ход прохождения; рассчитанные показатели; итоговые результаты; сведения Профиля, необходимые для адаптации теста.	Исполнение договора; добровольное использование функции; согласие – в применимых случаях. Автоматизированная обработка и оценка, без исключительно автоматического кадрового решения.	До удаления результата Кандидатом или учётной записи. Работодателю по конкретному Отклику результат доступен только на срок рассмотрения Отклика, если Кандидат разрешил такой доступ.
7. ИИ-ассистент, генерация материалов и ИИ-подбор. Пользователи.	Текст запроса; предоставленный пользователем контекст; релевантные данные Профиля; результат обработки; технические метаданные. Пользователю запрещено вводить паспортные, медицинские, биометрические и иные избыточные данные.	Добровольное обращение к функции; исполнение договора; отдельное информированное действие/согласие в предусмотренных законом случаях. Автоматизированная обработка с привлечением ООО «ЯНДЕКС.ОБЛАКО».	Запросы и ответы – до 1 года для безопасности и контроля качества, если пользователь не удалил их ранее и иное не требуется законом. Обезличенные статистические результаты могут храниться без возможности идентификации.
8. Подтверждение статуса обучающегося. Кандидаты и представители образовательных организаций.	Ф.И.О.; образовательная организация; направление; курс; факт и период обучения; сведения о запросе и ответе.	Инициатива и согласие Кандидата; взаимодействие для исполнения выбранной функции.	До завершения проверки и в течение срока действия учётной записи в виде отметки о результате; первичные подтверждающие материалы – не более 1 года, если иной срок не обусловлен спором или законом.
9. Подтверждение трудоустройства и расчёт вознаграждения. Кандидаты, представители Работодателей.	Ф.И.О. Кандидата; идентификатор Отклика; Работодатель; факт и дата трудоустройства; сведения расчёта и первичных документов.	Исполнение договора с Работодателем; законные интересы Оператора; обязанности бухгалтерского и налогового учёта.	Сведения в первичных учётных и договорных документах – в сроки, установленные законодательством об учёте, налогах и архивном хранении; операционные данные – не более 5 лет, если иной срок не установлен законом.
10. Кабинет Работодателя, публикация Треков и обслуживание договора. Представители Работодателей.	Ф.И.О.; должность; рабочие контакты; организация; полномочия; данные учётной записи; размещённые сведения; действия в кабинете; переписка; договорная информация.	Заключение и исполнение договора; законные интересы сторон; обязанности по закону. Смешанная обработка.	Срок договора и далее в пределах обязательных сроков хранения документов и применимого срока исковой давности. Учётная запись – до 30 дней после прекращения доступа, если нет иного основания.
11. Обращения, поддержка и реализация прав субъектов. Все категории.	Ф.И.О.; email/телефон; сведения учётной записи; содержание обращения; приложенные материалы; история ответа; сведения для идентификации заявителя.	Исполнение обязанностей по закону; исполнение договора; законные интересы по урегулированию обращений.	Обращения по персональным данным – 3 года после завершения рассмотрения, если иной срок не установлен законом; обращения поддержки – до 1 года, если не связаны со спором.
12. Сервисные уведомления. Зарегистрированные пользователи.	Имя; email; телефон; идентификатор учётной записи; код подтверждения; сведения о статусе Отклика и событиях аккаунта.	Исполнение договора; обеспечение безопасности; законные интересы. Реклама не включается без отдельного согласия.	До доставки и в журналах доставки – до 1 года; настройки уведомлений – срок действия аккаунта.
13. Веб-аналитика и улучшение интерфейса. Посетители и пользователи.	Cookie и аналогичные идентификаторы; IP; устройство, браузер; посещённые страницы; события и длительность сессии; приблизительные технические данные.	Отдельное согласие на аналитические cookie. Автоматизированная обработка с использованием Яндекс.Метрики.	В сроки, указанные в Политике использования cookie-файлов и настройках соответствующего сервиса; до отзыва согласия в части дальнейшего сбора.
14. Формирование обезличенной аналитики для Оператора и партнёров. Пользователи.	Данные об использовании Платформы, направлениях подготовки, откликах, этапах воронки и трудоустройстве после необратимого обезличивания.	Законные интересы Оператора и партнёров; статистические цели при обеспечении невозможности определения лица.	Персональные данные обрабатываются до завершения обезличивания; корректно обезличенные сведения не являются персональными данными, пока исключена обратная идентификация.
15. Исполнение требований законодательства, защита прав и ответы государственным органам. Все применимые категории.	Данные, необходимые в конкретном случае, документы, журналы, история действий и коммуникаций.	Обязанности по закону; осуществление и защита прав и законных интересов.	В сроки, установленные применимым законодательством, судебным актом или необходимые для защиты прав в пределах срока исковой давности.

5.2. Если одна и та же информация обрабатывается для нескольких целей, прекращение одной цели не влечёт уничтожения данных, пока сохраняется иное самостоятельное законное основание и необходимая цель. Объём дальнейшей обработки ограничивается соответствующим основанием.

5.3. Рекламные и маркетинговые сообщения направляются только при наличии отдельного предварительного согласия, если иное прямо не допускается законом. Отказ от рекламы не влияет на сервисные уведомления, необходимые для работы аккаунта и исполнения договора.

6. Действия и способы обработки

6.1. В зависимости от конкретной цели Оператор осуществляет: сбор, получение, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), сопоставление, извлечение, использование, передачу (предоставление, доступ; распространение – только при специальном основании), обезличивание, блокирование, удаление и уничтожение персональных данных.

6.2. Обработка осуществляется с использованием средств автоматизации, без использования таких средств либо смешанным способом. Передача данных по сетям связи осуществляется с применением необходимых мер защиты.

6.3. Оператор может получать данные: непосредственно от субъекта; из действий субъекта на Платформе; от Работодателя – сведения об Отклике и трудоустройстве; от образовательной организации – сведения для подтверждения обучения по инициативе Кандидата; от информационных систем и сервисов, законно используемых Оператором; из открытых государственных источников – для проверки Работодателя и полномочий его представителя.

6.4. Если персональные данные получены не от субъекта, Оператор до начала обработки предоставляет субъекту предусмотренную законом информацию, кроме случаев, когда такое информирование не требуется в силу закона либо субъект уже располагает соответствующими сведениями.

6.5. Факт предоставления согласий и принятия документов фиксируется в информационной системе с указанием идентификатора пользователя, версии документа, даты и времени, источника действия и иных данных, позволяющих подтвердить волеизъявление.

7. Профили и доступ работодателей

7.1. Настройки видимости Профиля должны позволять Кандидату контролировать доступ к его данным. Базовая модель предусматривает как минимум закрытый Профиль, доступ по конкретному Отклику и Открытый профиль для верифицированных работодателей при отдельном согласии.

7.2. По умолчанию контакты Кандидата, полная дата рождения, документы, переписка, результаты Тестов и иные чувствительные элементы не предоставляются всем Работодателям. Доступ к ним предоставляется только в связи с конкретным Откликом либо по отдельному явно выраженному выбору Кандидата, если это допускается законом и интерфейсом.

7.3. Направляя Отклик, Кандидат инициирует предоставление конкретному Работодателю состава данных, показанного перед отправкой. До отправки Оператор отображает наименование Работодателя, Трек/Вакансию, состав предоставляемых сведений и ссылку на информацию о получателе.

7.4. Работодатель, получивший данные Кандидата для собственного отбора и самостоятельно определяющий цели и способы последующей обработки, является самостоятельным оператором соответствующих персональных данных. Оператор Платформы не отвечает за самостоятельную обработку Работодателем вне контроля Платформы, но устанавливает договорные ограничения, ведёт журналирование и принимает разумные меры реагирования на нарушения.

7.5. Работодателям запрещается массовая выгрузка, парсинг, передача данных третьим лицам, использование для рекламы, исследований либо иных целей, не связанных с заявленным подбором, если отсутствует самостоятельное законное основание. При выявлении нарушения Оператор вправе ограничить доступ, сохранить доказательства, уведомить затронутых лиц и компетентные органы в случаях, предусмотренных законом.

7.6. В качестве организационно-технической меры Оператор может ограничивать срок отображения контактных данных в архивных Откликах, количество открытий профилей, возможности скачивания, объём выдачи, доступ неподтверждённых представителей и иные параметры, уменьшающие риск нецелевого использования.

8. Распространение данных

8.1. Размещение Профиля в режиме, предполагающем доступ неопределённого круга лиц либо круга лиц, который нельзя индивидуально определить заранее, осуществляется только на основании отдельного согласия на обработку персональных данных, разрешённых для распространения, оформленного по статье 10.1 Закона № 152-ФЗ и требованиям Роскомнадзора.

8.2. Кандидату обеспечивается возможность выбрать категории и конкретный перечень разрешённых данных, установить запреты и условия, определить информационные ресурсы и срок действия согласия. Молчание, бездействие, регистрация либо принятие пользовательского соглашения не считаются согласием на распространение.

8.3. Если отдельное согласие не содержит явного разрешения на распространение соответствующей категории данных, такие данные не распространяются. Спорные случаи толкуются в пользу отсутствия разрешения на распространение.

8.4. Кандидат вправе в любое время отключить открытость Профиля и направить требование о прекращении передачи, предоставления доступа и распространения. Оператор прекращает доступ в сроки, установленные статьёй 10.1 Закона № 152-ФЗ, и обеспечивает исполнение установленных субъектом условий и запретов.

8.5. Предоставление сведений конкретному Работодателю по Отклику не является распространением неопределённому кругу лиц, но осуществляется только в объёме и для целей, доведённых до сведения Кандидата.

9. Специальные и биометрические данные

9.1. Оператор не запрашивает и не осуществляет целенаправленную обработку специальных категорий персональных данных о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни, а также сведений о судимости, если иное прямо не предусмотрено законом и отдельным надлежащим основанием.

9.2. Оператор не использует изображения, голос или иные характеристики пользователей для установления личности на основе физиологических и биологических особенностей. Размещённая пользователем фотография не используется Оператором как биометрический идентификатор.

9.3. В Профиле, резюме, портфолио, переписке и запросах к ИИ запрещается размещать паспортные данные, СНИЛС, сведения о здоровье, инвалидности, судимости, банковские реквизиты, биометрические данные и иные сведения, избыточные для карьерного подбора.

9.4. При выявлении запрещённых или избыточных сведений Оператор вправе ограничить доступ к Материалу, предложить пользователю удалить или заменить его, исключить сведения из автоматизированного анализа и, если отсутствует законное основание, удалить их. Добровольное включение пользователем специальных или биометрических данных само по себе не создаёт у Оператора права на их обработку.

10. Автоматизированная обработка и ИИ

10.1. Модуль подбора может анализировать Профиль, Материалы и результаты Тестов, сопоставлять их с требованиями Трека и формировать рекомендации или ранжированный список. Результат носит вспомогательный и информационный характер.

10.2. Оператор не принимает исключительно на основании автоматизированной обработки решений, порождающих юридические последствия для Кандидата или иным образом затрагивающих его права и законные интересы. Автоматического окончательного отказа, приёма на работу или приглашения без участия уполномоченного представителя Работодателя не производится.

10.3. Итоговое решение по Отклику принимает Работодатель. Кандидат может запросить информацию об общем порядке формирования рекомендации и направить возражение на ced@tech.ced-track.ru. Если будет внедрён сценарий исключительно автоматизированного решения, он допускается только при наличии основания, предусмотренного статьёй 16 Закона № 152-ФЗ, с отдельным письменным согласием в требуемых случаях и механизмом оспаривания.

10.4. Использование ИИ-ассистента и генерации тестов добровольно. Пользователь до начала использования информируется о передаче запроса в инфраструктуру ООО «ЯНДЕКС.ОБЛАКО», целях, составе передаваемых данных и запрете вводить избыточные сведения.

10.5. Данные Кандидатов не используются Оператором для обучения общедоступных моделей третьих лиц. Использование обезличенных результатов для совершенствования собственных алгоритмов допускается только при обеспечении невозможности обратной идентификации либо при наличии отдельного надлежащего основания.

11. Получатели и обработчики

11.1. Доступ к персональным данным предоставляется только в объёме, необходимом для соответствующей цели:

Работодателям – по конкретному Отклику либо в пределах выбранной Кандидатом видимости Открытого профиля; с момента самостоятельного определения целей дальнейшего отбора Работодатель действует как самостоятельный оператор;
образовательным организациям – для подтверждения обучения по инициативе Кандидата; аналитические отчёты передаются в обезличенном агрегированном виде;
ООО «ЯНДЕКС.ОБЛАКО» – по поручению Оператора для предоставления облачной инфраструктуры, вычислительных ресурсов, хранения, резервного копирования, журналирования, обеспечения безопасности и функционирования применяемых ИИ-сервисов;
ООО «ЯНДЕКС» – при использовании Яндекс.Метрики для обработки технических данных при наличии отдельного согласия на аналитические cookie;
государственным органам, судам и иным уполномоченным лицам — только в случаях и объёме, предусмотренных законодательством;
иным подрядчикам – только при фактической необходимости, наличии законного основания и договора, содержащего требования к конфиденциальности и защите данных.

11.2. Основной обработчик облачной инфраструктуры: ООО «ЯНДЕКС.ОБЛАКО», ИНН 7704458262, ОГРН 1187746678580, адрес: 119021, г. Москва, ул. Льва Толстого, д. 16, помещ. 528. Обработка осуществляется на основании договора и поручения Оператора.

11.3. Провайдер веб-аналитики: ООО «ЯНДЕКС», ИНН 7736207543, ОГРН 1027700229193, адрес: 119021, г. Москва, ул. Льва Толстого, д. 16. Подробности о cookie, моменте загрузки Метрики и способах отказа содержатся в отдельной Политике использования cookie-файлов.

11.4. Поручение обработки определяет перечень данных и операций, цели, требования к конфиденциальности и безопасности, локализации, уведомлению об инцидентах, подтверждению мер и прекращению обработки. Лицо, обрабатывающее данные по поручению, не вправе использовать их в самостоятельных целях, не предусмотренных поручением.

11.5. Актуальные сведения о существенных категориях получателей и обработчиков раскрываются в Политике либо отдельном публичном перечне, ссылка на который размещается рядом с Политикой. Замена обработчика не должна уменьшать гарантии прав субъектов.

11.6. Оператор не продаёт персональные данные и не предоставляет их третьим лицам для самостоятельного маркетинга без отдельного согласия субъекта.

12. Локализация и трансграничная передача

12.1. При сборе персональных данных граждан Российской Федерации, в том числе через Интернет, запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации.

12.2. Основная инфраструктура Платформы размещается в Yandex Cloud на территории Российской Федерации. Резервное копирование организуется на территории Российской Федерации.

12.3. На дату утверждения Политики Оператор не осуществляет трансграничную передачу персональных данных в рамках описанных процессов. До начала такой передачи Оператор обязан выполнить требования статьи 12 Закона № 152-ФЗ, включая оценку получателя, получение необходимых сведений, направление уведомления в Роскомнадзор и получение отдельного согласия в случаях, когда оно требуется.

13. Защита персональных данных

13.1. Оператор принимает необходимые и достаточные правовые, организационные и технические меры для выполнения требований законодательства и защиты данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

13.2. В частности, Оператор:

назначает лицо, ответственное за организацию обработки персональных данных;
утверждает локальные акты, регламенты доступа, уничтожения, реагирования на обращения и инциденты;
ведёт реестр информационных систем, мест хранения, целей, категорий данных, получателей и обработчиков;
оценивает вред, который может быть причинён субъектам, и соотносит его с принимаемыми мерами;
определяет угрозы безопасности и требуемый уровень защищённости информационных систем;
применяет разграничение полномочий, идентификацию и аутентификацию, управление доступом и принцип наименьших привилегий;
обеспечивает журналирование значимых действий и регулярный контроль доступа работодателей и работников;
использует защищённые каналы связи, резервное копирование, восстановление, обновление программного обеспечения, защиту от вредоносного кода и иные необходимые меры;
обучает работников и оформляет обязательства о конфиденциальности;
осуществляет внутренний контроль и аудит соответствия обработки законодательству, Политике и локальным актам;
оценивает обработчиков до предоставления им доступа и закрепляет требования безопасности в договорах;
проводит обнаружение, регистрацию, локализацию и расследование инцидентов.

13.3. Конкретные сведения о конфигурации средств защиты, ключах, уязвимостях и иных данных, раскрытие которых может снизить безопасность, являются информацией ограниченного доступа и в публичной Политике не приводятся.

13.4. При установлении факта неправомерной или случайной передачи, предоставления, распространения либо доступа, повлёкшего нарушение прав субъектов, Оператор уведомляет Роскомнадзор: в течение 24 часов – об инциденте, предполагаемых причинах и вреде, принятых мерах и контактном лице; в течение 72 часов – о результатах внутреннего расследования и виновных лицах, если они установлены.

14. Права субъектов

14.1. Субъект вправе:

получать подтверждение факта обработки и сведения, предусмотренные статьей 14 Закона № 152-ФЗ;
знать цели, основания, способы, сроки, источники получения, получателей и обработчиков его данных;
получать доступ к относящимся к нему данным в доступной форме без раскрытия данных других лиц;
требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или избыточных данных;
требовать прекращения обработки в предусмотренных законом случаях;
отозвать согласие; при наличии самостоятельного законного основания Оператор вправе продолжить обработку в объёме такого основания;
управлять видимостью Профиля и отозвать согласие на распространение;
возражать против результата автоматизированной обработки и получать разъяснение применяемого порядка;
обжаловать действия или бездействие Оператора в Роскомнадзор или суд и требовать защиты своих прав.

14.2. Обращение направляется на ced@tech.ced-track.ru либо по почтовому адресу Оператора. Оно должно позволять идентифицировать заявителя и его отношения с Оператором: Ф.И.О., email или иной идентификатор учётной записи, суть требования и сведения, подтверждающие полномочия представителя. Оператор не требует избыточных копий документов, если личность можно подтвердить менее рискованным способом.

14.3. Информация предоставляется в течение 10 рабочих дней с даты обращения или запроса. Срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления.

14.4. Требование о прекращении обработки исполняется не позднее 10 рабочих дней, с возможным мотивированным продлением не более чем на 5 рабочих дней, кроме случаев, когда обработка может продолжаться на самостоятельном основании, предусмотренном законом.

14.5. Оператор вправе запросить дополнительные сведения, если имеются разумные сомнения в личности заявителя или полномочиях представителя, не используя такую проверку для необоснованного ограничения прав.

14.6. Удаление учётной записи доступно через предусмотренный функционал либо по обращению. Удаление аккаунта прекращает обработку Оператором в целях предоставления сервисов, но не отменяет обработку, необходимую для исполнения закона, разрешения спора или подтверждения совершённых юридически значимых действий.

14.7. Данные, ранее законно предоставленные Работодателю и обрабатываемые им как самостоятельным оператором, не могут быть удалены Оператором из систем такого Работодателя. По запросу Кандидата Оператор сообщает доступные сведения о получателях и содействует направлению требования в пределах своих полномочий.

15. Прекращение обработки и уничтожение

15.1. Обработка прекращается и данные уничтожаются либо обезличиваются при достижении цели, утрате необходимости, истечении срока хранения, отзыве согласия при отсутствии другого основания, выявлении неправомерной обработки, удовлетворении требования субъекта либо прекращении деятельности Оператора – в порядке и сроки, предусмотренные законом.

15.2. При выявлении неправомерной обработки Оператор прекращает её либо обеспечивает прекращение лицом, действующим по поручению, не позднее 3 рабочих дней. Если обеспечить правомерность невозможно, данные уничтожаются не позднее 10 рабочих дней с даты выявления нарушения.

15.3. При достижении цели либо отзыве согласия данные уничтожаются не позднее 30 дней, если отсутствует иное законное основание или иной срок не предусмотрен договором либо законом.

15.4. Уничтожение при автоматизированной и смешанной обработке подтверждается актом и выгрузкой из журнала регистрации событий; при неавтоматизированной обработке – актом. Подтверждающие документы хранятся 3 года с момента уничтожения.

15.5. Удаление из активной базы и окончательное удаление из резервных копий могут происходить в разные моменты в пределах технологического цикла ротации резервных копий. До окончательного удаления данные в резервной копии изолируются от штатного использования и восстанавливаются только для обеспечения целостности, безопасности или исполнения закона.

16. Cookie-файлы

16.1. Сайт использует необходимые cookie для аутентификации, поддержания сессии, безопасности, сохранения технических настроек и работы функционала. Их блокирование может привести к невозможности использования отдельных функций.

16.2. Аналитические cookie и Яндекс.Метрика активируются только после отдельного положительного выбора пользователя. Пользователю предоставляется сопоставимая по доступности возможность отклонить аналитику и впоследствии изменить выбор.

16.3. Подробный перечень категорий, целей, провайдеров и сроков хранения cookie, а также способы управления ими приведены в Политике использования cookie-файлов по адресу https://ced-track.ru/cookies.

17. Актуализация Политики

17.1. Оператор регулярно проверяет соответствие Политики фактическим процессам и законодательству. Новая редакция размещается по адресу https://ced-track.ru/privacy с указанием даты редакции.

17.2. Если изменение затрагивает цели, перечень данных, получателей или иные существенные условия обработки, основанной на согласии, Оператор получает новое согласие до начала соответствующей обработки, когда это требуется законом. Продолжение использования Сайта само по себе не заменяет такое согласие.

17.3. Предыдущие редакции Политики и доказательства их доведения до пользователей хранятся Оператором в течение срока, необходимого для подтверждения соблюдения законодательства.

18. Заключительные положения

18.1. К отношениям, связанным с обработкой персональных данных, применяется законодательство Российской Федерации.

18.2. Вопросы, обращения, отзывы согласий и требования субъектов направляются на ced@tech.ced-track.ru или по адресу: 420074, Республика Татарстан (Татарстан), г. Казань, ул. Петербургская, д. 52.

18.3. Настоящая редакция вводится в действие с даты, установленной приказом Оператора, и подлежит публикации до начала обработки по обновлённым правилам.