Поручение на обработку персональных данных

Заказчик поручает Исполнителю обрабатывать персональные данные Кандидатов на условиях ниже. Поручение является неотъемлемой частью Договора и принимается вместе с Офертой (пункт 3.1 Оферты): отдельная подпись не требуется.

1. Термины и основания

1.1. Термины «Сервис», «Кабинет», «Заказчик», «Исполнитель», «Договор», «Пользователь», «Кандидат», «Комната», «Собеседование», «Отчёт» и «ИИ» используются в значении, указанном в публичной оферте MockRoom (далее — «Оферта»). «Закон» — Федеральный закон № 152-ФЗ «О персональных данных». «Политика» — Политика обработки персональных данных Исполнителя. «Согласие Кандидата» — согласие кандидата на обработку персональных данных, опубликованное на сайте Сервиса.

1.2. Заказчик является оператором персональных данных Кандидатов. Исполнитель является лицом, осуществляющим их обработку по поручению оператора (часть 3 статьи 6 Закона). Основанием поручения является Договор.

1.3. Поручение не распространяется на персональные данные Пользователей, представителей Заказчика и посетителей сайта. Их Исполнитель обрабатывает как оператор в соответствии с Политикой (пункт 10.4 Оферты).

1.4. Поручение уточняет раздел 10 Оферты. При противоречии между ними применяется Поручение (пункт 3.5 Оферты).

2. Предмет и цели обработки

2.1. Заказчик поручает, а Исполнитель обязуется обрабатывать персональные данные из раздела 3 способами из раздела 4 только для следующих целей:

• проведение Собеседования с ИИ, включая этап знакомства с Заказчиком и задачу на написание кода, если они включены в сценарий;
• отправка Кандидату приглашения, если Заказчик указал его email;
• формирование Отчёта и предоставление его Заказчику для рассмотрения кандидатуры;
• хранение результатов для повторного рассмотрения кандидатуры Заказчиком;
• техническая поддержка Сервиса: разбор обращений Заказчика и устранение сбоев.

2.2. Исполнитель не использует эти данные в собственных целях. В частности, он не использует их для обучения моделей ИИ и рекламы, не продаёт и не публикует их.

2.3. Исполнитель действует по указаниям Заказчика. Указаниями считаются Поручение, действия Пользователей в Кабинете и письма с email Заказчика (раздел 19 Оферты).

2.4. Если указание, по мнению Исполнителя, нарушает Закон, он сообщает об этом Заказчику и вправе приостановить его исполнение до получения уточнений.

3. Субъекты и перечень персональных данных

3.1. Субъекты — Кандидаты. Поручение распространяется также на данные третьих лиц, если Кандидат назвал их в ответе или вставил в поле ответа. Сервис такие данные не запрашивает.

3.2. Обрабатываются следующие данные:

Данные для Комнаты

имя; дата и время Собеседования; пол, если указан (только для грамматически правильного обращения); email, если указан (только для отправки приглашения, в базе данных Сервиса не сохраняется). Источник — Заказчик

Голос

запись речи с микрофона; передаётся на распознавание и после него не сохраняется. Источник — Кандидат

Содержание Собеседования

расшифровка ответов, вопросы и реплики ИИ, вопросы Кандидата о Заказчике, код, результаты его запуска и проверки, служебные копии запросов к языковой модели и её ответов (доступны только лицам из пункта 6.6). Источник — Кандидат, Сервис

Активность на странице

уходы с вкладки и из окна и их длительность; копирование, вырезание и вставка, включая сам текст (до 12 000 символов на одно событие); реплики, заблокированные как попытка обойти правила Собеседования. Источник — Сервис

Технические данные

IP-адрес, сведения о браузере и устройстве (User-Agent), дата и время. Заказчик видит только факт смены IP-адреса или браузера и количество смен. Источник — Сервис

Результаты

баллы, комментарии и выводы ИИ, темы вопросов Кандидата о Заказчике (на оценку не влияют). Источник — Сервис

Запись о согласии

идентификатор Комнаты и организации, вид и версия текста каждой отметки, дата, время, IP-адрес. Источник — Сервис

3.3. Камера не используется, видео и изображение Кандидата не обрабатываются. Голос не используется для установления личности, поэтому биометрические персональные данные (статья 11 Закона) не обрабатываются. Аудиозаписи Исполнитель не хранит.

3.4. Специальные категории персональных данных (статья 10 Закона) не запрашиваются. Если они прозвучали или были вставлены, они попадают в расшифровку. По указанию Заказчика Исполнитель удаляет их в сроки раздела 8.

3.5. Заказчик не вносит в материалы Комнаты и сценария персональные данные Кандидата и третьих лиц: эти материалы передаются языковой модели.

4. Действия и способы обработки

4.1. Исполнитель совершает с данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) Заказчику и лицам из Приложения А, обезличивание, блокирование, удаление и уничтожение.

4.2. Обработка ведётся с использованием средств автоматизации и с передачей данных по сети Интернет.

4.3. Имя и email, указанные Заказчиком, IP-адрес и скопированный текст в запросы к языковой модели не включаются. Имя Кандидата попадёт к модели, только если он сам назовёт его в ответе.

4.4. Код Кандидата запускается в изолированной среде на серверах Сервиса и сторонним сервисам проверки кода не передаётся.

4.5. Баллы и комментарии в Отчёте формирует ИИ. Отчёт является вспомогательным материалом: Исполнитель не принимает решений о Кандидате, а решения о дальнейшем отборе и найме принимает Заказчик.

5. Обязанности Заказчика

5.1. Заказчик как оператор обеспечивает законные основания обработки и передачи данных Исполнителю. Он указывает только данные лиц, которые претендуют на работу у Заказчика или проходят у него оценку навыков.

5.2. Заказчик поручает Исполнителю получать от его имени Согласие Кандидата отдельной отметкой перед началом Собеседования, в том числе согласие на поручение обработки Исполнителю (часть 3 статьи 6 Закона). Исполнитель хранит запись о согласии вместе с данными Собеседования, уничтожает её вместе с ними и до этого передаёт Заказчику по запросу. Если нужны иные основания, их обеспечивает Заказчик (пункт 10.3 Оферты).

5.3. Заказчик сообщает Кандидату, что собеседование проводит ИИ и по его итогам формируется Отчёт (пункт 8.2 Оферты). Дополнительно Сервис перед началом Собеседования получает от Кандидата отдельную отметку о том, что он понимает: собеседник — ИИ, а его речь распознаётся и сохраняется в виде текста. Без этой отметки и Согласия Кандидата Собеседование не начинается. Название и ИНН Заказчика Сервис показывает Кандидату как сведения об операторе.

5.4. Заказчик не принимает решений, порождающих юридические последствия для Кандидата, исключительно на основании автоматизированной обработки (статья 16 Закона). Он рассматривает обращения Кандидатов о пересмотре результатов человеком.

5.5. Заказчик самостоятельно выполняет обязанности оператора: отвечает Кандидатам, уведомляет Роскомнадзор об обработке и об инцидентах, взаимодействует с ГосСОПКА (часть 12 статьи 19 Закона), если это требуется Законом.

5.6. Заказчик обеспечивает законные основания обработки, если приглашает несовершеннолетнего. За Отчёты, выгруженные из Сервиса, и их удаление отвечает Заказчик.

6. Обязанности Исполнителя и защита данных

6.1. Исполнитель соблюдает принципы и правила обработки, предусмотренные Законом, и принимает меры, направленные на выполнение его требований.

6.2. Конфиденциальность. Исполнитель не раскрывает данные третьим лицам и не распространяет их без согласия субъекта, если иное не предусмотрено федеральным законом. Передача лицам из Приложения А в объёме, указанном в нём, нарушением не является.

6.3. Место обработки. Запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан Российской Федерации ведутся с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона).

6.4. Организация обработки. Исполнитель выполняет требования статьи 18.1 Закона. Он лично отвечает за организацию обработки, публикует Политику, ведёт локальные акты и внутренний контроль, оценивает вред, который может быть причинён субъектам.

6.5. Безопасность. Исполнитель обеспечивает безопасность данных при обработке и принимает меры по статье 19 Закона против неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения. Требования к защите указаны в Приложении Б.

6.6. Доступ. Доступ к данным Собеседований имеет Исполнитель и лица, которых он уполномочил письменно и обязал соблюдать конфиденциальность. Доступ предоставляется только для технической поддержки, разбора обращений Заказчика и устранения сбоев.

6.7. Подтверждение мер. По запросу Заказчика в течение срока действия Поручения, в том числе до начала обработки, Исполнитель предоставляет документы и иную информацию, подтверждающие принятие мер и соблюдение требований статьи 6 Закона. Срок — 10 рабочих дней с даты запроса.

7. Привлечённые лица и трансграничная передача

7.1. Заказчик согласен на привлечение лиц из Приложения А для указанных в нём функций. Исполнитель передаёт им только данные, необходимые для этих функций.

7.2. Исполнитель заключает с каждым привлечённым лицом договор с обязанностями по конфиденциальности и защите данных не ниже требований части 3 статьи 6 Закона. За действия привлечённых лиц с данными Исполнитель отвечает перед Заказчиком как за свои собственные.

7.3. О новом привлечённом лице или замене Исполнитель уведомляет Заказчика по email не позднее чем за 10 календарных дней и обновляет Приложение А. Если Заказчик не согласен, он вправе отказаться от Договора в порядке раздела 15 Оферты.

7.4. Для привлечённых лиц, обрабатывающих запросы к языковой модели, Исполнитель использует только модели, размещённые на территории Российской Федерации. Он запрещает передачу запросов за её пределы, в том числе через резервные каналы, и использование данных для обучения моделей.

7.5. Трансграничная передача данных не осуществляется. Она возможна только после изменения Поручения, выполнения требований статьи 12 Закона и получения необходимых оснований.

8. Обращения Кандидатов и инциденты

8.1. По обращениям Кандидатов Исполнитель действует по указаниям Заказчика. На существо таких обращений отвечает Заказчик. Исполнитель соблюдает следующие сроки:

Обращение или отзыв согласия поступили Исполнителю

передаёт их Заказчику в течение 5 рабочих дней

Заказчику нужны сведения для ответа на запрос Кандидата или Роскомнадзора

предоставляет сведения в течение 5 рабочих дней

Указание уточнить данные

уточняет данные в течение 6 рабочих дней

Указание прекратить неправомерную обработку или заблокировать данные

прекращает обработку или блокирует данные в течение 2 рабочих дней

Указание уничтожить данные

уничтожает данные в течение 6 рабочих дней и подтверждает это по пункту 9.4

8.2. Если Кандидат отозвал согласие, Исполнитель прекращает обработку и уничтожает данные в течение 30 дней с даты поступления отзыва. Это не применяется, если Заказчик в течение 10 рабочих дней сообщил об ином законном основании обработки. Если отзыв получил Заказчик, он сообщает об этом Исполнителю в течение 3 рабочих дней.

8.3. Инциденты. Инцидентом считается случай из части 3.1 статьи 21 Закона: неправомерная или случайная передача (предоставление, распространение, доступ) данных, повлёкшая нарушение прав субъектов.

8.4. Исполнитель уведомляет Заказчика об инциденте по email незамедлительно, но не позднее 12 часов с момента выявления. Он сообщает известные сведения: что произошло, предполагаемые причины, предполагаемый вред, принятые меры и контактное лицо.

8.5. Не позднее 48 часов с момента выявления Исполнитель сообщает Заказчику результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента, если они известны.

8.6. Роскомнадзор об инциденте с данными Кандидатов уведомляет Заказчик. Об инциденте с данными, которые Исполнитель обрабатывает как оператор (пункт 1.3), Роскомнадзор уведомляет Исполнитель.

8.7. Если государственный орган запросил данные Кандидатов, Исполнитель уведомляет об этом Заказчика, если закон этого не запрещает.

9. Сроки, уничтожение данных и проверка

9.1. Заказчик поручает хранить расшифровки, Отчёты и иные данные Собеседования, а если Кандидат не приступил к Собеседованию, указанные Заказчиком данные, в течение срока действия Договора.

9.2. Срок заканчивается раньше, если Заказчик потребовал удалить данные или Кандидат отозвал согласие.

9.3. По окончании срока Исполнитель уничтожает или обезличивает данные в течение 30 дней, если их хранение не требуется по закону. Если сделать это в такой срок невозможно, он блокирует данные и уничтожает их в срок не более 6 месяцев. До прекращения Договора Заказчик вправе выгрузить Отчёты.

9.4. Уничтожение подтверждается документами по требованиям Приказа Роскомнадзора от 28.10.2022 № 179. Для этого Исполнитель ведёт журнал уничтожения: имя Кандидата, идентификатор Комнаты, название и ИНН организации, основание уничтожения, перечень удалённых данных, дата и время, уполномоченное лицо. Журнал хранится 3 года с даты уничтожения. Подтверждающие документы Исполнитель передаёт Заказчику по запросу.

9.5. Резервные копии с уничтоженными данными перезаписываются в течение 30 дней и до перезаписи не используются для иных целей.

9.6. Заказчик вправе проверять выполнение Поручения по документам в порядке пункта 6.7. Выездная проверка проводится по отдельному соглашению сторон, если иное не требуется по закону.

10. Ответственность, срок и реквизиты

10.1. Перед Кандидатом за обработку его данных отвечает Заказчик, а Исполнитель отвечает перед Заказчиком (часть 5 статьи 6 Закона).

10.2. Ответственность сторон за нарушение Поручения определяется разделом 13 Оферты. Пункт 13.5 Оферты применяется также к нарушению Заказчиком раздела 5 Поручения.

10.3. Поручение действует с момента акцепта Оферты. После прекращения Договора оно действует до уничтожения или обезличивания всех данных Кандидатов Заказчика.

10.4. Поручение изменяется в порядке пункта 17.2 Оферты, а Приложение А — в порядке пункта 7.3.

10.5. Реквизиты Заказчика указаны в Кабинете и счёте. Реквизиты Исполнителя:

Исполнитель

Слепов Данил Олегович

Статус

плательщик налога на профессиональный доход (самозанятый)

ИНН

616810907175

Город

г. Санкт-Петербург

Адрес для корреспонденции

будет указан до начала приёма оплат

Email

info@mockroom.ru

Приложение А. Привлечённые лица

Все привлечённые лица обрабатывают данные на территории Российской Федерации.

Хостинг-провайдер Selectel реквизиты будут указаны

размещение серверов и базы данных: все данные из пункта 3.2; запись речи проходит через серверы транзитом и на них не сохраняется

Yandex SpeechKit, ООО «Яндекс.Облако» реквизиты будут указаны

распознавание и синтез речи: запись речи Кандидата, текст реплик ИИ

RouterAI (ООО «Интер», ИНН 7017351722, г. Томск) и провайдер модели GigaChat Cloud.ru (Россия)

работа языковой модели, диалог и оценка: текст диалога, код и условия задачи, результаты проверки кода, параметры сценария, материалы Заказчика, пол Кандидата, сводные сведения об активности (количество и длительность событий, факт и количество смен IP-адреса или браузера)

Яндекс 360 реквизиты будут указаны

отправка приглашений: email и имя Кандидата, текст письма

Приложение Б. Требования к защите данных

Исполнитель выполняет требования статьи 19 Закона и Постановления Правительства РФ от 01.11.2012 № 1119 и применяет следующие меры:

• определение угроз безопасности и уровня защищённости данных: уровень будет указан;
• передача данных между браузером и Сервисом по протоколу HTTPS;
• хранение паролей только в виде хэша bcrypt, одноразовых ссылок — в виде хэша;
• разграничение доступа по ролям и организациям, ограничение круга лиц с доступом к данным;
• ограничение частоты запросов и попыток входа;
• размещение серверов и базы данных в России, хранение ключей доступа отдельно от исходного кода;
• изоляция запуска кода Кандидатов;
• регистрация доступа к данным и действий с ними будет подтверждено;
• резервное копирование и восстановление данных будет подтверждено;
• обнаружение несанкционированного доступа и реагирование на компьютерные инциденты будет подтверждено;
• уведомление Заказчика о случаях из части 3.1 статьи 21 Закона в сроки пунктов 8.4 и 8.5.