Как сервис защищает данные работников
Короткий и понятный ответ на вопрос, который задаёт каждый работодатель: что происходит с данными его работников и кто за них отвечает. Формальные формулировки - в Политике обработки персональных данных.
Данные видит только их владелец
Каждая запись привязана к учётной записи. Другой пользователь сервиса не может открыть чужую организацию, работника или аудит: права проверяются при каждом запросе, а не только в меню.
Файлы защищены отдельно
Фотографии, отчёты и пакеты документов не лежат в открытом доступе. Ссылка на файл каждый раз проверяет, чей это файл, поэтому прямой адрес не откроется у постороннего.
Серверы в России
Базы данных с персональными данными граждан России размещены на территории Российской Федерации, как требует часть 5 статьи 18 Закона № 152-ФЗ. Трансграничной передачи нет.
Работодатель остаётся оператором
Данные работников принадлежат работодателю. Сервис обрабатывает их по поручению в понимании части 3 статьи 6 Закона № 152-ФЗ: только для учёта по охране труда, без рекламы, продажи и передачи третьим лицам.
Данные не хранятся вечно
У каждой категории есть срок. Записи работников удаляются в течение 30 дней после прекращения поручения, фотографии без привязки к записи удаляет ежесуточная процедура, учётная запись стирается по требованию.
Если что-то случится
При инциденте оператор уведомляет Роскомнадзор в течение 24 часов и сообщает о результатах расследования в течение 72 часов, как требует часть 3.1 статьи 21 Закона № 152-ФЗ. Затронутые пользователи получают письмо.
Что ответить работодателю
Готовые фразы для разговора с заказчиком, который боится штрафов
- «Кто отвечает за данные моих работников?» Вы как работодатель остаётесь оператором. Сервис - обработчик по поручению, он действует только по вашему указанию. Условия описаны в документе «Поручение на обработку персональных данных», он опубликован и его можно распечатать.
- «Где хранятся данные?» На серверах в России. Это прямое требование закона к базам данных граждан Российской Федерации, и его нарушение - отдельный состав для штрафа.
- «А если утечка? Штрафы ведь огромные» Штрафы действительно выросли: с 30 мая 2025 года за утечку предусмотрены суммы в миллионах рублей, а за повторную - оборотный штраф. Поэтому в сервисе минимизирован состав данных, доступ разграничен по учётным записям, файлы отдаются с проверкой прав, а о любом инциденте оператор обязан уведомить Роскомнадзор в течение 24 часов.
- «Нужно ли мне подавать уведомление в Роскомнадзор?» Да, уведомление об обработке персональных данных подают практически все работодатели, включая ИП. Использование сервиса эту обязанность не отменяет, но и не добавляет новых: состав данных тот же, что в кадровом учёте.
- «А согласие работника нужно?» Для ведения обязательного учёта по охране труда согласие обычно не требуется: обработка идёт во исполнение обязанностей работодателя по Трудовому кодексу. Согласие нужно там, где данные используются сверх обязательных целей, и с 1 сентября 2025 года оно оформляется отдельным документом, а не пунктом в договоре.
Полный перечень мер, которые применяет оператор, оформлен отдельным документом и доступен для печати.
Меры защиты персональных данных