П О Л И Т И К А

в отношении обработки и защиты персональных данных

1. Общие положения

1.1. Настоящая Политика (полная версия) является внутренним нормативным документом и разработана во исполнение требований п. 2 ч. 1 ст. 18.1 от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – № 152-ФЗ) в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Политика определяет принципы, цели, порядок и условия обработки персональных данных (далее – ПДн, персональные данные) в Обществе с ограниченной ответственностью «Лаборатория «Гуманитарные Технологии» (ООО «ЭйчТи Лаб», HT Lab) (далее – Оператор, Общество).

1.3. Политика действует в отношении всей информации, которую Оператор может получить о субъекте персональных данных во время использования им Сайта https://ht-lab.ru (далее – Сайт), платформы онлайн-тестирования https://maintest.ru (далее – Платформа), а также иных информационных систем Оператора. Настоящая Политика не регулирует вопросы организации пропускного режима и учёта посетителей на территории Общества, которые являются предметом внутренних локальных документов.

1.4. Во исполнение требований ч. 2 ст. 18.1 № 152-ФЗ (публичная) версия настоящей Политики опубликована в свободном доступе на Сайте Оператора по адресу https://ht-lab.ru/policy.

1.5. Основные понятия, используемые в Политике, применяются в значениях, определённых ст. 3 № 152-ФЗ (персональные данные, оператор, обработка ПДн, информационная система персональных данных (ИСПДн), конфиденциальность ПДн, трансграничная передача ПДн и др.).

2. Принципы обработки и защиты персональных данных

2.1. Оператор руководствуется следующими принципами обработки ПДн (ст. 5 № 152-ФЗ):

законность и справедливая основа обработки;
ограничение обработки конкретными, заранее определёнными и законными целями;
недопущение объединения баз данных, обрабатываемых в несовместимых целях;
соответствие содержания и объёма обрабатываемых ПДн заявленным целям;
обеспечение точности, достаточности и актуальности ПДн;
хранение ПДн в форме, позволяющей определить субъекта, не дольше, чем того требуют цели обработки;
уничтожение ПДн по достижении целей обработки или утрате необходимости в их достижении.

2.2. Принципы защиты информации в соответствии с приказом ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» (далее — Приказ ФСТЭК России № 21):

эшелонированность (многоуровневость) защиты;
непрерывность защиты во времени;
разграничение и минимизация полномочий доступа;
полнота и достоверность информации о системе защиты;
использование сертифицированных средств защиты информации;
контроль эффективности принимаемых мер.

3. Правовые основания обработки персональных данных

3.1. Обработка ПДн осуществляется при наличии хотя бы одного из следующих условий:

согласие субъекта ПДн на обработку его персональных данных (в электронной или письменной форме);
исполнение договора, стороной которого является субъект;
требования федеральных законов (в частности, трудового, налогового, пенсионного законодательства);
защита жизни, здоровья или иных жизненно важных интересов субъекта;
осуществление прав и законных интересов Оператора (при условии ненарушения прав субъекта);
обработка общедоступных ПДн (с согласия субъекта);
обработка ПДн, подлежащих опубликованию или обязательному раскрытию в соответствии с законом.

3.2. Обработка технических данных, собираемых автоматически (IP-адрес, тип и версия браузера, данные файлов cookie и др.), осуществляется Оператором следующим образом:

1) В целях обеспечения корректной работы и функционирования Сайта (технические cookie, сессионные данные, сведения, автоматически передаваемые устройством) правовым основанием для такой обработки является «законный интерес» Оператора (пункты 5 и 7 части 1 статьи 6 № 152-ФЗ). Отдельное согласие Пользователя на эту обработку не требуется.

2) В целях проведения статистических (аналитических) исследований (с использованием метрических программ «Яндекс.Метрика»), а также в маркетинговых целях (персонализация сервисов и показ релевантной рекламы на основе интересов Пользователя) обработка данных осуществляется только при наличии отдельного, информированного и однозначного согласия Пользователя, получаемого через cookie-баннер при первом посещении Сайта. Пользователь вправе в любой момент отозвать такое согласие изменив настройки cookie-файлов в интерфейсе браузера.

Все собираемые технические данные обезличиваются и не позволяют прямо идентифицировать Пользователя, если иное не установлено законодательством Российской Федерации или не вытекает из особенностей использования Сайта или Платформы (например, при авторизации в личном кабинете).

3.3. Трансграничная передача персональных данных Оператором не осуществляется. Все базы данных, содержащие ПДн граждан Российской Федерации, находятся на территории Российской Федерации.

3.4. Условия сбора персональных данных:

Сбор ПДн осуществляется, как правило, непосредственно у субъекта ПДн. В случаях, предусмотренных законом или договором, ПДн могут быть получены от третьих лиц (например, от работодателя субъекта при проведении тестирования сотрудников).
Если ПДн получены не от субъекта, Оператор до начала обработки уведомляет субъект о целях, составе данных, источнике и своих реквизитах, за исключением случаев, предусмотренных ч. 5 ст. 18 № 152-ФЗ.
При обязательности предоставления ПДн в силу закона Оператор разъясняет субъекту юридические последствия отказа.

3.5. Условия передачи персональных данных третьим лицам:

Оператор вправе передавать ПДн третьим лицам (поставщикам услуг, подрядчикам) только при наличии договора поручения, обязывающего таких лиц соблюдать конфиденциальность и требования № 152-ФЗ, а также с согласия субъекта, если иное не предусмотрено законом.
Состав третьих лиц включает: ООО «Яндекс.Облако» (хостинг), поставщиков CRM-систем и сервисов электронной почты, иных лиц, привлекаемых для обеспечения функционирования информационных систем Оператора.
Передача ПДн органам государственной власти осуществляется в порядке, установленном законодательством Российской Федерации.

3.6. Прекращение обработки и уничтожение персональных данных:

Основаниями для прекращения обработки и уничтожения ПДн являются: достижение целей обработки, истечение установленных сроков хранения, отзыв согласия субъектом, выявление неправомерной обработки, требование Роскомнадзора.
Уничтожение ПДн производится в порядке, установленном приказом Роскомнадзора от 28 октября 2022 г. № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных», с составлением акта об уничтожении. Способ уничтожения исключает возможность восстановления данных (шредирование для бумажных носителей, гарантированное затирание – для электронных).

4. Перечень целей и сроков обработки персональных данных

4.1. Обработка персональных данных Оператором осуществляется в следующих целях:

№ п/п	Цель обработки персональных данных	Категории субъектов	Сроки обработки и хранения персональных данных
1.	Предоставление доступа к онлайн-тестированиям и диагностикам	Клиенты (физические лица), участники тестирований	В течение срока действия договора на предоставление услуг и не более 30 дней после его исполнения (или до достижения целей обработки).
2.	Заключение и исполнение договоров с юридическими лицами	Представители (работники) контрагентов	5 лет со дня прекращения действия договора (в соответствии со ст. 206 Налогового кодекса Российской Федерации и правилами бухучёта).
3.	Обработка заявок через формы обратной связи на сайте	Посетители сайта	До момента завершения обработки запроса и предоставления ответа пользователю, но не более 1 года.
4.	Направление информационных и маркетинговых материалов	Подписчики	До отзыва согласия субъектом, но не более 1 года с даты направления Оператором последнего информационного письма (в зависимости от того, какое событие наступит раньше).
5.	Анализ поведения посетителей сайта	Посетители сайта	До 1 года с момента сбора или до момента отзыва согласия через изменение настроек cookie.
6.	Подбор персонала	Кандидаты на вакансии	До вынесения решения о приёме или отказе в приёме на работу, но не более 1 года со дня получения (при наличии согласия на включение в кадровый резерв).
7.	Ведение кадрового и бухгалтерского учёта Оператора	Работники (включая уволенных)	50 лет (для документов, законченных делопроизводством после 01 января 2003 г.) или 75 лет (для документов, законченных делопроизводством до 01 января 2003 г.) в соответствии с Приказом Росархива от 20 декабря 2019 г. № 236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения».

По истечении указанных сроков ПДн подлежат уничтожению или обезличиванию.

5. Права субъектов персональных данных

5.1. Субъект ПДн имеет право:

получать информацию, касающуюся обработки его ПДн (ст. 14 № 152-ФЗ);
требовать уточнения, блокирования или уничтожения своих персональных данных (ст. 21 № 152-ФЗ);
отозвать согласие на обработку ПДн путём направления уведомления в письменной форме по почтовому адресу Оператора, либо в форме электронного документа на адрес hotline@ht-lab.ru (ст. 9 № 152-ФЗ);
обжаловать действия Оператора в Роскомнадзор или суд.

5.2. Все запросы рассматриваются в установленные законом сроки и регистрируются в Журнале учёта обращений субъектов персональных данных, который хранится не менее 3 лет.

5.3. В целях получения согласия на обработку персональных данных, собираемых через Сайт или Платформу, используется отдельный чекбокс, который не является предустановленным. Пользователь самостоятельно проставляет отметку, подтверждая своё информированное и сознательное согласие (акцепт). Для обработки персональных данных в иных целях (кадровый учёт и др.) оформляется отдельный письменный документ в соответствии с требованиями законодательства.

6. Меры по обеспечению безопасности персональных данных

6.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты ПДн в соответствии с постановлением Правительства Российской Федерации от 01 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и Приказом ФСТЭК России № 21, включая:

назначение лиц, Ответственного за организацию обработки персональных данных и Ответственного за обеспечение безопасности информации, в том числе персональных данных;
издание локальных документов (Правила об обработке ПДн, Положение по обеспечению информационной безопасности, инструкции);
идентификацию и аутентификацию пользователей, управление доступом;
регистрацию событий безопасности (сбор, анализ, хранение) с использованием централизованной системы сбора и анализа (SIEM в случае применения);
антивирусную защиту, межсетевое экранирование, обнаружение вторжений;
анализ уязвимостей (сканирование – не реже 1 раза в квартал);
резервное копирование ПДн (ежедневно);
защиту каналов связи при передаче ПДн по открытым каналам (СКЗИ);
контроль съёмных носителей информации, пропускной режим.

Детальное описание мер защиты, организационной структуры и распределения обязанностей содержится в «Положении по обеспечению информационной безопасности» и иных локальных нормативных документах Общества.

6.2. Обработка ПДн без использования средств автоматизации (на бумажных носителях) осуществляется в соответствии с постановлением Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» с обеспечением учёта носителей, хранения в сейфах и уничтожения с составлением акта.

7. Обработка файлов Cookie

7.1. Сайт Оператора использует файлы cookie для обеспечения работы и анализа поведения посетителей.

7.2. Типы cookie, используемые на Сайте и Платформе:

Тип cookie	Цель	Ресурс	Срок хранения	Согласие
Технические (обязательные)	Обеспечение базовой функциональности, сессий и безопасности	Сайт и Платформа	Сессионные (удаляются после закрытия браузера)	Не требуется, так как являются технически необходимыми для работы сайта (п. 5, 7 ч. 1 ст. 6 № 152-ФЗ).
Аналитические	Сбор агрегированной статистики использования веб-ресурса (Яндекс.Метрика)	Сайт	До 1 года	Требуется. Получается через cookie-баннер, посредством нажатия кнопки подтверждения на интерактивном баннере.
Маркетинговые	Отслеживание интересов для рекламы	Сайт	До 1 года	Требуется. Получается через cookie-баннер, посредством нажатия кнопки подтверждения на интерактивном баннере.
Функциональные	Работа онлайн-чата поддержки (JivoSite): идентификация сессии чата, сохранение истории переписки, восстановление сеанса тестирования после сбоя	Сайт и Платформа	Платформа до 30 дней. Сайт до 1 года	Требуется. Получается через cookie-баннер при первом посещении Сайта (нажатие кнопки подтверждения). Пользователь может отозвать согласие в настройках.

7.3. При первом посещении Сайта пользователю показывается баннер для настройки cookie. Пользователь может в любое время изменить настройки через виджет на Сайте или в браузере. Полная версия Политики обработки cookie-файлов доступна по адресам:

для Сайта: https://ht-lab.ru/cookie-policy;
для Платформы: https://maintest.ru/cookie-policy.

8. Ответственность

8.1. Лица, виновные в нарушении требований законодательства о ПДн, несут административную (ст. 13.11 КоАП Российской Федерации), гражданскую, дисциплинарную или уголовную ответственность.

9. Заключительные положения

9.1. Настоящая Политика вступает в силу с момента её утверждения и действует бессрочно.

9.2. Изменения в Политику вносятся приказом руководителя Оператора. Новая редакция Политики публикуется на Сайте не позднее чем за 10 дней до вступления в силу, если иное не вызвано экстренными требованиями законодательства.

Контактная информация Оператора:

Полное наименование: Общество с ограниченной ответственностью «Лаборатория «Гуманитарные Технологии»
Сокращённое наименование: ООО «ЭЙЧТИ ЛАБ» (HT Lab)
ОГРН: 1077763957545
ИНН: 7730574089
КПП: 771501001
Юридический и фактический адрес: ул. Сущёвский Вал, д.16, стр. 38, Москва, Россия, 127018
Телефон: +7 (499) 703-39-19
Электронная почта для запросов субъектов: hotline@ht-lab.ru
Электронная почта для общих вопросов: info@ht-lab.ru
Сайт: https://ht-lab.ru