Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее - «Политика») определяет цели, правовые основания, порядок и условия обработки персональных данных, а также меры по их защите, принимаемые Обществом с ограниченной ответственностью «НьюХайр Групп» (далее - «Оператор») при эксплуатации сайта https://newhire.ru и размещенной на нем платформы NewHire (далее - «Платформа»).

1.2. Политика разработана во исполнение пункта 2 части 1 и части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - «Закон») и опубликована в свободном доступе по адресу https://newhire.ru/privacy. Ссылка на Политику размещена на всех страницах сайта и в формах, посредством которых осуществляется сбор персональных данных.

1.3. Политика не является согласием на обработку персональных данных и не заменяет его. Согласие на обработку персональных данных и согласие на обработку персональных данных, разрешенных субъектом для распространения, оформляются отдельными документами путем совершения субъектом самостоятельных действий. Ознакомление с Политикой, посещение сайта или использование Платформы не означают предоставления согласия.

1.4. Политика распространяется на все персональные данные, обрабатываемые Оператором в связи с работой Платформы. Обработка персональных данных работников Оператора регулируется отдельными локальными актами Оператора.

2. Основные понятия

2.1. Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка персональных данных - любое действие (операция) или совокупность действий, совершаемых с персональными данными с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

2.3. Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

2.4. Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

2.5. Пользователь - физическое лицо, достигшее 18 лет и зарегистрированное на Платформе. Пользователями являются Соискатели и Представители работодателей.

2.6. Соискатель - Пользователь, использующий Платформу для поиска работы, стажировки и профессионального взаимодействия.

2.7. Работодатель - юридическое лицо или индивидуальный предприниматель, прошедшие проверку Оператора и размещающие на Платформе сведения о себе и вакансии.

2.8. Представитель работодателя - Пользователь, действующий на Платформе от имени Работодателя, а также индивидуальный предприниматель, действующий от своего имени.

2.9. Профиль - страница Пользователя на Платформе, содержащая сведения, размещенные Пользователем. Учетная запись - совокупность данных Пользователя, используемых для его идентификации и авторизации на Платформе.

2.10. Иные понятия используются в значениях, установленных Законом.

3. Сведения об Операторе

полное наименование: Общество с ограниченной ответственностью «НьюХайр Групп»;
ОГРН 1267800073672; ИНН 7801755133;
адрес: 197198, г. Санкт-Петербург, вн. тер. г. муниципальный округ Кронверкское, ул. Ленина, д. 8, литера А, помещ. 16-Н;
сайт: https://newhire.ru;
адрес электронной почты для обращений по вопросам обработки персональных данных: info@newhire.ru;
лицо, ответственное за организацию обработки персональных данных: Карамзин Тимур Сергеевич, генеральный директор.

4. Принципы обработки

Оператор осуществляет обработку персональных данных на законной и справедливой основе; ограничивает обработку достижением конкретных, заранее определенных и законных целей; не допускает обработку, несовместимую с целями сбора, и объединение баз данных, содержащих персональные данные, обработка которых осуществляется в несовместимых между собой целях; обрабатывает только те персональные данные, которые отвечают целям обработки, и не допускает избыточности их содержания и объема; обеспечивает точность, достаточность и актуальность персональных данных; хранит персональные данные не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором (статья 5 Закона).

5. Цели обработки, категории субъектов, перечень персональных данных, правовые основания и сроки

5.1. Для каждой цели обработки Оператор определяет категории субъектов, перечень персональных данных, правовое основание и срок обработки:

Цель обработки	Субъекты	Персональные данные	Правовое основание	Срок обработки
1. Регистрация, авторизация и ведение учетной записи	Соискатели; Представители работодателей	фамилия, имя; адрес электронной почты (используется в качестве логина); пароль (хранится исключительно в виде хеш-значения); при входе через сервис Яндекс ID: идентификатор учетной записи Яндекс ID, а также имя, фамилия, адрес электронной почты, дата рождения, изображение профиля и номер телефона в объеме, разрешенном Пользователем в сервисе Яндекс ID	согласие (п. 1 ч. 1 ст. 6 Закона); исполнение договора - Пользовательского соглашения (п. 5 ч. 1 ст. 6 Закона)	до удаления учетной записи либо отзыва согласия
2. Подтверждение достижения возраста 18 лет	Соискатели; Представители работодателей	дата рождения	согласие (п. 1 ч. 1 ст. 6 Закона)	до удаления учетной записи либо отзыва согласия
3. Формирование Профиля и предоставление доступа к нему другим Пользователям Платформы	Соискатели; Представители работодателей	фотография (изображение профиля) и обложка Профиля; фамилия, имя, отчество; город; сведения «о себе»; сведения об образовании; сфера деятельности, специальность; сведения об опыте работы, навыках и достижениях; для Представителей работодателей: наименование Работодателя; тексты Профиля, публикации, комментарии; адрес электронной почты, номер телефона, имя пользователя в Telegram и ссылка на профиль LinkedIn: только если Пользователь указал их и открыл в настройках приватности	согласие (п. 1 ч. 1 ст. 6 Закона); в части доступа всех зарегистрированных Пользователей - согласие на обработку персональных данных, разрешенных для распространения (ст. 10.1 Закона)	до удаления учетной записи либо отзыва согласия; распространение прекращается в срок, указанный в разделе 7
4. Отклики на вакансии и установление взаимного интереса: предоставление персональных данных конкретному Работодателю или Соискателю	Соискатели; Представители работодателей	Соискателей: сведения Профиля, в том числе скрытые Соискателем от иных Пользователей, включая отчество, адрес электронной почты, номер телефона, имя пользователя в Telegram и ссылку на профиль LinkedIn; Представителей работодателей: фамилия, имя, отчество, адрес электронной почты, номер телефона, имя пользователя в Telegram и ссылка на профиль LinkedIn (если указаны)	согласие (п. 1 ч. 1 ст. 6 Закона); исполнение договора (п. 5 ч. 1 ст. 6 Закона)	до удаления учетной записи либо отзыва согласия
5. Проверка (верификация) Работодателей	Представители работодателей; индивидуальные предприниматели	фамилия, имя, отчество; должность; адрес электронной почты; номер телефона; для индивидуальных предпринимателей - ИНН, ОГРНИП; сведения документа, подтверждающего полномочия представителя (если такой документ запрашивается Оператором)	согласие (п. 1 ч. 1 ст. 6 Закона); исполнение договора (п. 5 ч. 1 ст. 6 Закона)	до удаления учетной записи Работодателя либо отзыва согласия
6. Заключение и исполнение договора с Работодателем, выставление счетов, бухгалтерский и налоговый учет	Представители работодателей; индивидуальные предприниматели	фамилия, имя, отчество; должность; адрес электронной почты; номер телефона; для индивидуальных предпринимателей - ИНН, ОГРНИП, адрес, банковские реквизиты	исполнение договора (п. 5 ч. 1 ст. 6 Закона); исполнение обязанностей, возложенных законодательством (п. 2 ч. 1 ст. 6 Закона)	5 лет после окончания отчетного года, к которому относятся документы, если более длительный срок не установлен законодательством (статья 29 Федерального закона от 06.12.2011 № 402-ФЗ, подпункт 8 пункта 1 статьи 23 Налогового кодекса РФ)
7. Рассмотрение обращений, в том числе запросов субъектов персональных данных	Пользователи; иные лица, направившие обращение	фамилия, имя, отчество; адрес электронной почты; содержание обращения и сведения, сообщенные заявителем; реквизиты документа, удостоверяющего личность, если они указаны в запросе субъекта персональных данных (часть 3 статьи 14 Закона)	для Пользователей: согласие (п. 1 ч. 1 ст. 6 Закона); для лиц, не являющихся Пользователями: осуществление законных интересов Оператора по рассмотрению поступивших обращений (п. 7 ч. 1 ст. 6 Закона); для запросов субъектов персональных данных: исполнение обязанностей, возложенных Законом (п. 2 ч. 1 ст. 6 Закона)	3 года с даты ответа на обращение; обращения Пользователей, не являющиеся запросами субъектов персональных данных, - до удаления учетной записи либо отзыва согласия, но не более 3 лет с даты ответа
8. Обеспечение работоспособности и безопасности Платформы, в том числе безопасности персональных данных	Пользователи; посетители сайта	IP-адрес; сведения о браузере и устройстве; дата и время обращений; журналы (логи) обращений к серверу и входа в учетную запись; технически необходимый файл cookie (идентификатор сессии)	исполнение обязанностей, возложенных Законом (п. 2 ч. 1 ст. 6, ст. 19 Закона); осуществление законных интересов Оператора (п. 7 ч. 1 ст. 6 Закона)	не более 12 месяцев с даты сбора
9. Подтверждение получения согласий и уничтожения персональных данных (журнал согласий, журнал уничтожения)	Пользователи, в том числе удалившие учетную запись	идентификатор учетной записи; роль; вид, редакция и статус согласия (дано, отозвано); перечень персональных данных, открытых для распространения; IP-адрес; дата и время; сведения об уничтожении (дата, категории уничтоженных персональных данных)	исполнение обязанностей, возложенных Законом (п. 2 ч. 1 ст. 6, ч. 3 ст. 9 Закона; приказ Роскомнадзора от 28.10.2022 № 179)	3 года с даты отзыва согласия либо уничтожения персональных данных

5.2. Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные. Фотографии Пользователей не используются Оператором для установления личности.

5.3. Оператор не запрашивает и не собирает паспортные данные, СНИЛС, сведения документов об образовании (серия, номер) и иные данные документов, удостоверяющих личность, за исключением реквизитов документа, удостоверяющего личность, которые субъект указывает в запросе в соответствии с частью 3 статьи 14 Закона. Пользователям запрещено размещать на Платформе изображения таких документов, а также персональные данные третьих лиц без их согласия. Такие сведения при обнаружении удаляются Оператором.

5.4. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных (статья 16 Закона).

6. Порядок и условия обработки

6.1. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, распространение, доступ), блокирование, удаление, уничтожение. Обработка осуществляется с использованием средств автоматизации с передачей по информационно-телекоммуникационной сети «Интернет».

6.2. Персональные данные получаются непосредственно от субъекта, а в случае входа через сервис Яндекс ID также от оператора этого сервиса в объеме, разрешенном Пользователем. Сведения о поле Пользователя Оператором не запрашиваются и не сохраняются. Сведения о Работодателях при проверке сверяются с общедоступными сведениями ЕГРЮЛ и ЕГРИП.

6.3. Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона). Трансграничная передача персональных данных не осуществляется.

6.4. Оператор поручает обработку персональных данных следующим лицам на основании договоров, содержащих требования части 3 статьи 6 Закона:

Общество с ограниченной ответственностью «Яндекс.Облако» (ИНН 7704458262, ОГРН 1187746678580, адрес: 119021, г. Москва, ул. Льва Толстого, д. 16, помещ. 528) - предоставление облачной инфраструктуры (виртуальные серверы, хранение данных и резервных копий) на территории Российской Федерации, отправка сервисных электронных писем через сервис Yandex Cloud Postbox (подтверждение адреса электронной почты, восстановление доступа, уведомления);
Общество с ограниченной ответственностью «ВК Цифровые Технологии» (ИНН 7714415613, ОГРН 5177746017158, адрес: 125167, г. Москва, Ленинградский проспект, д. 39, стр. 79) - корпоративная электронная почта (VK WorkSpace), используемая для переписки с Пользователями.

6.5. Персональные данные Соискателя, скрытые им от иных Пользователей, предоставляются конкретному Работодателю только при отклике Соискателя на вакансию этого Работодателя либо при установлении взаимного интереса между ними. Контактные данные Представителя работодателя предоставляются Соискателю при установлении взаимного интереса. Работодатель, получивший персональные данные, обрабатывает их в качестве самостоятельного оператора исключительно в целях подбора персонала и несет ответственность за соблюдение Закона.

6.6. Персональные данные предоставляются государственным органам в случаях и порядке, предусмотренных законодательством Российской Федерации.

6.7. Оператор не продает персональные данные, не передает их третьим лицам в рекламных или маркетинговых целях и не осуществляет рассылку рекламы. Сервисные уведомления, связанные с использованием Платформы (подтверждение адреса электронной почты, восстановление доступа, статус отклика, изменение документов, безопасность учетной записи), рекламой не являются.

7. Персональные данные, разрешенные субъектом для распространения

7.1. Распространение персональных данных осуществляется исключительно при наличии отдельного согласия субъекта на обработку персональных данных, разрешенных субъектом для распространения (статья 10.1 Закона). Размещение Профиля, доступного иным зарегистрированным Пользователям, составляет существо услуги Платформы, поэтому такое согласие предоставляется при регистрации отдельной непредустановленной отметкой, отдельно от согласия на обработку персональных данных, и регистрация без него не осуществляется.

7.2. Доступ к Профилям предоставляется только зарегистрированным Пользователям после авторизации. Страницы Профилей недоступны без авторизации и не индексируются поисковыми системами.

7.3. Отчество, адрес электронной почты, номер телефона, имя пользователя в Telegram и ссылка на профиль LinkedIn по умолчанию скрыты и становятся доступными иным Пользователям только после их открытия Пользователем в настройках приватности Профиля. Дата рождения не распространяется.

7.4. Во исполнение части 10 статьи 10.1 Закона Оператор сообщает об условиях обработки персональных данных, разрешенных для распространения: Пользователи вправе просматривать такие персональные данные на Платформе исключительно в целях трудоустройства, подбора персонала и профессионального взаимодействия; Пользователям запрещено копировать, собирать (в том числе автоматизированными средствами), сохранять вне Платформы, передавать третьим лицам и иным образом использовать такие персональные данные вне Платформы и в иных целях. Условия и запреты, установленные конкретным субъектом, соблюдаются Оператором и доводятся до сведения Пользователей средствами Платформы.

7.5. Передача (распространение, предоставление, доступ) персональных данных, разрешенных для распространения, прекращается в любое время по требованию субъекта. Требование должно содержать фамилию, имя, отчество (при наличии), контактную информацию субъекта и перечень персональных данных, обработка которых подлежит прекращению. Действие согласия в соответствующей части прекращается с момента поступления требования Оператору (часть 13 статьи 10.1 Закона); Оператор прекращает распространение незамедлительно, но не позднее трех рабочих дней с момента получения требования. Изменение настроек приватности прекращает доступ к соответствующим сведениям с момента сохранения настроек. При отзыве согласия на распространение в целом Профиль перестает быть доступным иным Пользователям в тот же срок.

8. Возрастное ограничение

8.1. Платформа предназначена исключительно для лиц, достигших 18 лет. Если при регистрации указана дата рождения, соответствующая возрасту менее 18 лет, регистрация не осуществляется.

8.2. Оператор не осуществляет обработку персональных данных несовершеннолетних. При выявлении факта регистрации лица, не достигшего 18 лет, Оператор прекращает обработку его персональных данных в срок, не превышающий трех рабочих дней, и уничтожает их в срок, не превышающий десяти рабочих дней с даты выявления.

9. Прекращение обработки и уничтожение персональных данных

9.1. Оператор прекращает обработку и уничтожает персональные данные в следующие сроки (статья 21 Закона), если иное не предусмотрено федеральным законом или договором, стороной которого является субъект:

при достижении цели обработки либо утрате необходимости в ее достижении, в том числе при удалении учетной записи, - в срок, не превышающий 30 дней;
при отзыве согласия - в срок, не превышающий 30 дней с даты поступления отзыва;
при поступлении требования субъекта о прекращении обработки - в срок, не превышающий 10 рабочих дней с даты получения требования, с возможностью продления не более чем на 5 рабочих дней при направлении субъекту мотивированного уведомления;
при выявлении неправомерной обработки - прекращение в срок, не превышающий трех рабочих дней, и уничтожение в срок, не превышающий десяти рабочих дней с даты выявления, если обеспечить правомерность обработки невозможно.

9.2. При невозможности уничтожения персональных данных в указанные сроки Оператор блокирует их и обеспечивает уничтожение в срок не более шести месяцев, если иной срок не установлен федеральными законами. Резервные копии баз данных хранятся не более 14 дней и обновляются в порядке плановой ротации, в результате которой удаленные персональные данные уничтожаются и в резервных копиях.

9.3. После отзыва согласия Оператор вправе продолжить обработку персональных данных без согласия субъекта при наличии оснований, указанных в пунктах 2-11 части 1 статьи 6 Закона (в частности, для исполнения обязанностей в сфере бухгалтерского и налогового учета).

9.4. Уничтожение персональных данных подтверждается в соответствии с требованиями, утвержденными приказом Роскомнадзора от 28.10.2022 № 179.

9.5. Пользователь вправе удалить учетную запись в настройках учетной записи на Платформе либо путем направления обращения Оператору.

10. Права субъекта персональных данных и порядок обращения

10.1. Субъект персональных данных вправе:

получать информацию, касающуюся обработки его персональных данных, в объеме, предусмотренном частью 7 статьи 14 Закона;
требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
отозвать согласие на обработку персональных данных и согласие на обработку персональных данных, разрешенных для распространения;
требовать прекращения обработки своих персональных данных;
обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке.

10.2. Обращения и запросы направляются на адрес электронной почты info@newhire.ru либо почтовым отправлением по адресу Оператора. Запрос должен содержать сведения, предусмотренные частью 3 статьи 14 Закона, в том числе сведения, подтверждающие участие субъекта в отношениях с Оператором (например, адрес электронной почты, указанный в учетной записи). Запрос может быть направлен в форме электронного документа, подписанного электронной подписью. Обращения, направленные с адреса электронной почты, указанного в учетной записи, рассматриваются Оператором как направленные субъектом.

10.3. Оператор предоставляет ответ в срок, не превышающий 10 рабочих дней с даты получения запроса. Срок может быть продлен не более чем на 5 рабочих дней при направлении субъекту мотивированного уведомления с указанием причин продления.

11. Меры по обеспечению безопасности персональных данных

11.1. Оператор принимает правовые, организационные и технические меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом, и защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также иных неправомерных действий (статьи 18.1 и 19 Закона), в том числе:

назначает лицо, ответственное за организацию обработки персональных данных;
издает локальные акты по вопросам обработки и защиты персональных данных и знакомит с ними лиц, допущенных к обработке;
осуществляет внутренний контроль соответствия обработки персональных данных требованиям Закона и проводит оценку вреда, который может быть причинен субъектам, в соответствии с приказом Роскомнадзора от 27.10.2022 № 178;
определяет угрозы безопасности персональных данных и уровень их защищенности в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119 и применяет меры, предусмотренные приказом ФСТЭК России от 18.02.2013 № 21;
ограничивает и разграничивает доступ к персональным данным, ведет учет лиц, имеющих доступ;
применяет шифрование при передаче данных (HTTPS/TLS) и хранит пароли исключительно в виде хеш-значений;
осуществляет резервное копирование баз данных средствами облачной инфраструктуры;
обеспечивает обнаружение фактов несанкционированного доступа и реагирование на компьютерные инциденты.

11.2. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов - о результатах внутреннего расследования (часть 3.1 статьи 21 Закона), а также взаимодействует с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА).

12. Файлы cookie

12.1. Сайт использует только технически необходимый файл cookie «session», который содержит подписанный идентификатор сессии, защитный токен форм и, на время входа через сервис Яндекс ID, временные данные для завершения входа. Файл cookie действует до закрытия браузера, недоступен для скриптов страницы и передается только по защищенному соединению (HTTPS). Он необходим для оказания услуги, запрошенной Пользователем, и не используется для аналитики, рекламы или отслеживания.

12.2. Сайт также сохраняет в браузере (localStorage) отметку «nh_cookie_ok» о закрытии уведомления о файлах cookie; она не содержит персональных данных. Сервисы веб-аналитики, рекламные сервисы, внешние шрифты и сторонние скрипты на сайте не подключены. При входе через сервис Яндекс ID на стороне Яндекса применяются файлы cookie этого сервиса в соответствии с его правилами. Пользователь вправе удалить или заблокировать файлы cookie в настройках браузера; в этом случае вход в учетную запись будет невозможен. Подробнее - в Политике в отношении файлов cookie, размещенной по адресу https://newhire.ru/cookies.

13. Заключительные положения

13.1. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента ее размещения на сайте, если иное не предусмотрено новой редакцией. Предыдущие редакции хранятся Оператором.

13.2. Вопросы, связанные с применением Политики, направляются на адрес info@newhire.ru.