Политика конфиденциальности приложения «Adis»

1.Общие положения

1.1. Настоящая политика конфиденциальности (далее — «Политика») разработана во исполнение требований Закона Кыргызской Республики «Об информации персонального характера» и определяет порядок обработки персональных данных пользователей мобильного приложения «Adis» (далее — «Приложение», «Сервис»), осуществляемой ОсОО «Гранд Системс», ИНН 01601202510139, зарегистрированным по адресу: Кыргызская Республика, г. Бишкек, Первомайский район, пр. Манаса, 41а, 46 (далее — «Держатель», «Обработчик»).

1.2. Настоящая Политика направлена на обеспечение защиты прав и свобод субъекта персональных данных при обработке его персональных данных и распространяется на все операции с персональными данными, совершаемые Держателем/Обработчиком, как в автоматизированном режиме, так и без него.

1.3. Приложение «Adis» представляет собой мобильное программное обеспечение для поиска работы и подбора персонала. Для соискателей Приложение обеспечивает поиск вакансий с фильтрами, сохранение поисков и избранных вакансий, составление и публикацию резюме, отклик на вакансию с сопроводительным письмом и переписку с работодателем. Для работодателей Приложение обеспечивает ведение профиля компании, публикацию вакансий, работу с откликами, поиск специалистов по опубликованным резюме, приглашение кандидатов и совместную работу сотрудников компании с разграничением ролей администратора и менеджера.

1.4. Приложение взаимодействует с серверной инфраструктурой Держателя/Обработчика по защищённому протоколу HTTPS; доставка сообщений переписки в режиме реального времени осуществляется по защищённому протоколу WSS (WebSocket Secure).

2.Основные права и обязанности субъектов персональных данных

2.1. Субъекты персональных данных имеют право:

• на полную информацию об их персональных данных, обрабатываемых Держателем/Обработчиком;
• на доступ к их персональным данным, включая право на получение копии любой записи, содержащей их персональные данные, за исключением случаев, предусмотренных Законом Кыргызской Республики «Об информации персонального характера»;
• на уточнение их персональных данных, их блокирование или уничтожение в случаях, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• на удаление своей учётной записи и всех связанных персональных данных;
• на отзыв ранее данного согласия на обработку персональных данных;
• на принятие предусмотренных законом мер по защите своих прав, в том числе на обращение в уполномоченный государственный орган по персональным данным;
• на осуществление иных прав, предусмотренных законодательством Кыргызской Республики.

2.2. Субъекты персональных данных обязаны:

• предоставлять Держателю/Обработчику только достоверные данные о себе;
• предоставлять документы и сведения, содержащие персональные данные, в объёме, необходимом для целей обработки;
• своевременно сообщать Держателю/Обработчику об уточнении (обновлении, изменении) своих персональных данных;
• не размещать в резюме, вакансиях и переписке персональные данные третьих лиц без их согласия.

3.Основные права и обязанности Держателя/Обработчика

3.1. Держатель/Обработчик имеет право:

• получать от субъекта персональных данных достоверную информацию и/или документы, содержащие персональные данные;
• уточнять предоставленные субъектом персональные данные;
• ограничивать доступ к Сервису в случае нарушения субъектом условий Пользовательского соглашения или законодательства Кыргызской Республики;
• снимать с публикации вакансии и резюме, содержание которых нарушает законодательство Кыргызской Республики или условия Пользовательского соглашения.

3.2. Держатель/Обработчик обязан:

• обрабатывать персональные данные в порядке, установленном Законом Кыргызской Республики «Об информации персонального характера»;
• рассматривать обращения субъекта персональных данных по вопросам обработки персональных данных и давать ответы в срок, не превышающий 7 (семи) дней с момента подачи заявления;
• предоставлять субъекту персональных данных возможность безвозмездного доступа к его персональным данным;
• принимать меры по актуализации персональных данных в связи с обращением субъекта персональных данных;
• организовывать защиту персональных данных в соответствии с требованиями законодательства Кыргызской Республики.

3.3. Держатель/Обработчик собирает, использует и охраняет персональные данные, которые предоставляет субъект персональных данных при использовании Приложения и при коммуникации в любой форме, в соответствии с настоящей Политикой и законодательством Кыргызской Республики.

4.Объём и категории обрабатываемых персональных данных

4.1. Держатель/Обработчик обрабатывает персональные данные, предоставленные пользователем при регистрации и использовании Приложения. Все перечисленные ниже данные пользователь вводит самостоятельно; Приложение не осуществляет сбор данных в фоновом режиме.

4.2. К персональным данным, обрабатываемым Держателем/Обработчиком, относятся:

Данные аутентификации и учётной записи

• адрес электронной почты, используемый в качестве логина;
• пароль (передаётся по защищённому каналу и хранится на сервере исключительно в виде криптографического хэша);
• маркеры доступа (JWT access token и refresh token);
• идентификатор пользователя и роль в Сервисе (соискатель либо работодатель);
• идентификатор компании и роль в ней (администратор либо менеджер) — для пользователей со стороны работодателя.

Контактные и профильные данные

• фамилия, имя, отчество;
• адрес электронной почты;
• номер мобильного телефона;
• дата рождения;
• город проживания (выбирается пользователем из справочника);
• фотография профиля (при загрузке пользователем);
• ссылки на внешние профили и ресурсы, указанные пользователем.

Данные резюме

• название резюме, желаемая должность, уровень квалификации, готовность приступить к работе;
• желаемый уровень оплаты и валюта, формат работы и тип занятости;
• опыт работы: организации, должности, периоды, обязанности и навыки;
• образование, курсы и сертификаты, проекты, владение языками;
• настройка видимости резюме, определяющая доступность резюме работодателям.

Данные работодателя и вакансий

• наименование, описание и контактные данные компании;
• содержание публикуемых вакансий, включая требования и условия;
• сведения о сотрудниках компании, приглашённых в Приложение, и их ролях.

Данные откликов и переписки

• сведения об отклике: вакансия, приложенное резюме, сопроводительное письмо, статус отклика;
• содержание сообщений в переписке между соискателем и работодателем;
• файлы и изображения, приложенные к сообщениям;
• служебные отметки: время отправки и отметки о прочтении.

Технические данные

• версия Приложения и выбранный язык интерфейса.

4.3. Держатель/Обработчик не собирает данные о местоположении устройства, идентификаторы устройства и рекламные идентификаторы, сведения о модели устройства, а также не обращается к контактам, календарю, файлам устройства и истории браузера пользователя.

4.4. Держатель обеспечивает соответствие содержания и объёма обрабатываемых персональных данных заявленным целям обработки и, в случае необходимости, принимает меры по устранению их избыточности по отношению к заявленным целям обработки.

4.5. Обработка специальных категорий персональных данных, раскрывающих расовое или этническое происхождение, национальную принадлежность, политические взгляды, религиозные или философские убеждения, а также касающихся состояния здоровья и интимной жизни, Держателем/Обработчиком не осуществляется. Пользователю не следует указывать такие сведения в резюме, вакансиях и переписке.

4.6. Перечни персональных данных и категории субъектов персональных данных могут быть пересмотрены Держателем с обязательным закреплением изменений в настоящей Политике и уведомлением субъектов персональных данных любым доступным способом (уведомление в Приложении, уведомление по электронной почте и т. п.).

5.Цели сбора персональных данных

5.1. Персональные данные обрабатываются в следующих заранее определённых и законных целях:

• идентификация и аутентификация пользователя в Приложении;
• создание и ведение учётной записи пользователя;
• составление, хранение и публикация резюме соискателя;
• показ опубликованных резюме работодателям в поиске специалистов;
• направление отклика на вакансию и передача выбранного резюме и сопроводительного письма работодателю, разместившему вакансию;
• обеспечение переписки между соискателем и работодателем в рамках отклика или приглашения;
• публикация вакансий, обработка откликов и приглашение кандидатов — для работодателей;
• отображение внутри Приложения уведомлений о событиях: новых откликах, приглашениях и сообщениях;
• техническая поддержка пользователей и устранение неисправностей;
• обеспечение безопасности Сервиса, выявление и пресечение неправомерных действий и злоупотреблений;
• исполнение обязанностей, возложенных на Держателя/Обработчика законодательством Кыргызской Республики.

6.Правовые основания обработки персональных данных

6.1. Правовыми основаниями обработки персональных данных являются:

• Конституция Кыргызской Республики;
• Гражданский кодекс Кыргызской Республики;
• Закон Кыргызской Республики «Об информации персонального характера»;
• Закон Кыргызской Республики «Об электронном управлении»;
• уставные документы Держателя/Обработчика;
• договоры, заключаемые между Держателем/Обработчиком и субъектами персональных данных;
• согласия субъектов персональных данных на обработку персональных данных.

7.Порядок и условия обработки персональных данных

7.1. Обработка персональных данных осуществляется следующими способами: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

7.2. Обработка персональных данных включает любые операции или набор операций, выполняемых независимо от способов, автоматическими средствами или без таковых, в целях сбора, записи, хранения, актуализации, группировки, блокирования, стирания и разрушения персональных данных.

7.3. Обработка персональных данных осуществляется при условии получения согласия субъекта персональных данных, за исключением установленных законодательством случаев, когда обработка может осуществляться без такого согласия.

7.4. Субъект персональных данных принимает решение о предоставлении своих персональных данных и выражает согласие в форме электронного действия — путём регистрации и использования Приложения, подтверждая ознакомление и принятие условий Пользовательского соглашения и настоящей Политики.

7.5. Условиями прекращения обработки персональных данных являются: достижение целей обработки, отзыв согласия субъекта персональных данных, удаление учётной записи пользователем, выявление неправомерной обработки персональных данных, истечение установленных сроков хранения.

7.6. Существо Сервиса состоит в обмене сведениями между соискателем и работодателем. В связи с этим часть персональных данных становится доступна другим пользователям Сервиса в объёме, необходимом для достижения целей обработки:

• работодателю — резюме, приложенное соискателем к отклику, сопроводительное письмо, а также содержание переписки с соискателем; опубликованное резюме доступно работодателям в поиске специалистов в соответствии с выбранной пользователем настройкой видимости;
• соискателю — сведения о компании и вакансии, а также содержание переписки со стороны компании. Со стороны компании переписку может вести любой её сотрудник, имеющий доступ к Приложению; для соискателя все они выступают как компания.

7.7. Держатель/Обработчик вправе передавать персональные данные третьим лицам при условии, что на получателя данных возлагается обязанность соблюдения режима конфиденциальности. Передача осуществляется исключительно в следующих случаях:

• поставщику услуг размещения серверной инфраструктуры — в объёме, необходимом для функционирования Сервиса, на основании договора, предусматривающего обязанность соблюдения конфиденциальности;
• уполномоченным государственным органам — в случаях и порядке, предусмотренных законодательством Кыргызской Республики.

7.8. Персональные данные не передаются рекламным сетям, системам веб-аналитики и иным третьим лицам в целях рекламы, профилирования или отслеживания. Держатель/Обработчик не продаёт и не сдаёт персональные данные в аренду.

7.9. Держатель/Обработчик при обработке персональных данных принимает или обеспечивает принятие необходимых правовых, организационных и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

7.10. Персональные данные не должны храниться дольше, чем это необходимо для выполнения целей их сбора. Сроки хранения могут продлеваться только в интересах субъекта персональных данных или если это предусмотрено законодательством Кыргызской Республики.

8.Использование функций устройства и запрашиваемые разрешения

8.1. Приложение запрашивает доступ к функциям устройства только в момент, когда он действительно необходим, и продолжает работать при отказе, теряя лишь соответствующую возможность.

Камера

• используется для съёмки фотографии профиля и изображений, прикладываемых к сообщениям;
• доступ запрашивается только в момент обращения пользователя к соответствующей функции;
• изображения передаются на сервер исключительно по действию пользователя.

Фотографии (галерея)

• используется для выбора фотографии профиля и вложений в переписке;
• Приложение получает доступ только к тем файлам, которые пользователь выбрал самостоятельно; доступ к остальному содержимому галереи не предоставляется.

Биометрическая аутентификация (Face ID / Touch ID)

• используется исключительно для быстрой разблокировки входа в Приложение;
• биометрические данные обрабатываются операционной системой устройства, не покидают устройство и Держателю/Обработчику не передаются;
• Приложение получает от операционной системы только результат проверки — подтверждена личность или нет.

Сетевое соединение

• необходимо для обмена данными с сервером, загрузки вакансий и резюме, доставки сообщений переписки;
• все данные передаются по защищённым протоколам HTTPS и WSS.

8.2. Приложение не запрашивает доступ к микрофону, геолокации, контактам, календарю, файловой системе устройства и не осуществляет работу в фоновом режиме.

8.3. Пользователь может в любой момент отозвать ранее предоставленные разрешения через настройки операционной системы. Отзыв отдельных разрешений может привести к частичной невозможности использования соответствующих функций Приложения.

9.Хранение данных

9.1. Локальное хранение на устройстве пользователя:

• маркеры аутентификации (access token и refresh token) хранятся в защищённом хранилище операционной системы: Keychain на iOS и EncryptedSharedPreferences (Android Keystore) на Android;
• настройки Приложения и справочные данные кэшируются в локальном хранилище для обеспечения его работы;
• при выходе из учётной записи или её удалении локальные данные удаляются с устройства.

9.2. Серверное хранение:

• персональные данные пользователей, резюме, вакансии, отклики и переписка хранятся на серверах Держателя/Обработчика, расположенных в защищённой инфраструктуре;
• передача данных между Приложением и сервером осуществляется исключительно по защищённому каналу (HTTPS / WSS);
• доступ к серверам ограничен кругом уполномоченных сотрудников и контролируется техническими средствами.

10.Меры безопасности

10.1. Держатель/Обработчик применяет следующие меры для защиты персональных данных:

• использование JWT-маркеров для аутентификации и автоматическое обновление маркеров при истечении срока их действия;
• хранение паролей пользователей исключительно в виде криптографических хэшей на стороне сервера;
• хранение маркеров доступа на устройстве в защищённых системных хранилищах (Keychain / Android Keystore), а не в обычных файлах Приложения;
• передача данных по защищённому протоколу HTTPS, доставка сообщений переписки — по защищённому каналу WSS;
• исключение маркеров доступа и паролей из журналов Приложения;
• автоматическое завершение сессии при отказе сервера в обновлении маркера доступа;
• разграничение прав сотрудников компании-работодателя на уровне ролей администратора и менеджера;
• регулярное резервное копирование данных, контроль доступа к серверам и журналирование действий.

11.Удаление учётной записи и данных

11.1. Пользователь вправе в любой момент удалить свою учётную запись непосредственно в Приложении: Профиль → Настройки → Удалить аккаунт, либо путём направления письменного обращения по контактным данным, указанным в разделе 13 настоящей Политики.

11.2. При удалении учётной записи:

• персональные данные пользователя, не подлежащие обязательному хранению в силу законодательства Кыргызской Республики, удаляются с серверов Держателя/Обработчика;
• резюме пользователя снимаются с публикации и перестают быть доступны работодателям;
• все локальные данные удаляются с устройства пользователя;
• указанное действие является необратимым.

11.3. Сведения об откликах и переписке, участником которых являлся пользователь, могут сохраняться у второй стороны либо в обезличенном виде в течение сроков, установленных законодательством Кыргызской Республики, для целей обеспечения работоспособности Сервиса и в случаях, прямо предусмотренных законом.

11.4. Пользователь вправе, не удаляя учётную запись, снять резюме с публикации — в этом случае резюме перестаёт быть доступным работодателям в поиске специалистов.

12.Актуализация и доступ к персональным данным

12.1. В случае подтверждения факта недостоверности персональных данных или неправомерности их обработки персональные данные подлежат актуализации, блокированию либо уничтожению в зависимости от законности их сбора, хранения и обработки Держателем/Обработчиком, или их обработка должна быть прекращена соответственно.

12.2. По фактам недостоверности персональных данных или неправомерности их обработки субъект персональных данных вправе обратиться непосредственно к Держателю по электронной почте, указанной в разделе 13 настоящей Политики, либо в уполномоченный государственный орган по защите персональных данных Кыргызской Республики.

12.3. По письменному запросу субъекта персональных данных Держатель/Обработчик обязан сообщить информацию об осуществляемой им обработке персональных данных.

12.4. Если субъект не обладает правами доступа к запрашиваемой информации, ему направляется мотивированный отказ.

12.5. По истечении сроков хранения и достижении целей сбора персональных данных они подлежат уничтожению в течение двух недель. Уничтожение подтверждается актом, копия которого может быть вручена субъекту персональных данных по его письменному запросу.

13.Контактная информация

13.1. По всем вопросам, связанным с обработкой персональных данных, субъект персональных данных может обратиться по следующим контактам:

Электронная почта: docxkg@gmail.com
Почтовый адрес: Кыргызская Республика, г. Бишкек, Первомайский район, пр. Манаса, 41а, 46
Получатель: ОсОО «Гранд Системс», ИНН 01601202510139

14.Заключительные положения

14.1. Все отношения, касающиеся обработки персональных данных, не получившие отражения в настоящей Политике, регулируются согласно положениям Закона Кыргызской Республики «Об информации персонального характера» и иных нормативных правовых актов Кыргызской Республики.

14.2. Держатель/Обработчик имеет право вносить изменения в настоящую Политику. При внесении изменений в актуальной редакции указывается дата последнего обновления. Новая редакция Политики вступает в силу с момента её размещения в свободном доступе с условием обязательного предварительного объявления о планируемых изменениях не менее чем за 14 (четырнадцать) рабочих дней до даты опубликования новой редакции Политики.

14.3. Настоящая Политика вступает в силу с момента её утверждения и действует бессрочно до замены новой редакцией.

ОсОО «Гранд Системс»