Политика обработки персональных данных Taskera Work

1. Оператор и область действия

1.1. Оператор ПДн — Общество с ограниченной ответственностью «Международные бизнес решения Раздоры», ИНН 5024258103, ОГРН 1255000108439, адрес 143082, Московская область, г.о. Красногорск, г. Красногорск, ул. Липовой Рощи, д. 1 к. 1, помещ. 234, директор Сидоров Антон Геннадьевич. Сайт/ИС: https://taskerapay.online. Обращения о ПДн: taskerapay@gmail.com или почтовым письмом по адресу Оператора. Политика доступна без входа на страницах сбора данных; основание публикации — ч. 2 ст. 18.1 152-ФЗ. ПД181

1.2. Политика охватывает посетителей сайта, пользователей кабинетов, представителей заказчиков, самозанятых и ИП-исполнителей, контактных лиц и представителей ИП. Обработка кадровых данных работников Оператора оформляется отдельными внутренними документами; настоящий проект не заменяет их и полный учёт всех целей ООО в уведомлении РКН.

1.3. Редакция определяет цели и порядок обработки. До публикации заполняются фактические поставщики/базы (R5) и подтверждённые меры (R6); заглушки не подтверждают эти факты. Объём ограничен необходимым для каждой цели, несовместимое использование исключается. ПД5

2. Цели, состав и основания

2.1. Категории ПДн — обычные, не специальные и не биометрические. ИС не собирает паспортные данные, сведения о здоровье, национальности, религии, судимости, биометрию для установления личности. Фотографии предназначены для отчёта о результате, а не распознавания лиц; попадание посторонних лиц и их документов должно исключаться. Запрашиваются только данные, перечисленные ниже. ПД5

ID / цель	Субъекты и данные	Основание по ст. 6 152-ФЗ
P1. Предоставление доступа к сайту/ИС, безопасность и подтверждение действий	Посетители: IP, user-agent, время/страница запроса, необходимые технические cookie; пользователи дополнительно: ФИО, российский телефон, идентификатор учётной записи, роль/организация, идентификаторы/хэш сессии, записи входов и подтверждений, времена, каналы и идентификаторы SMS/звонков	п. 5 ч. 1 — личное соглашение пользователя об ИС; для необходимых мер безопасности/доступности посетителей и защиты прав — п. 7 при соблюдении прав субъекта
P2. Заключение/исполнение договоров с заказчиками, проверка полномочий, заявки и ЭДО	Представители и контактные лица: ФИО, должность, организация, рабочие телефон/e-mail, основание/объём/срок полномочий, необходимые сведения доверенности, история действий, документов и подписи по Правилам; для заказчика-ИП также ИНН/ОГРНИП и адрес	для самого ИП п. 5; для представителей и контактных лиц — п. 7 ч. 1 (законный интерес при соблюдении прав субъекта), с уведомлением при получении не от субъекта
P3. Заключение/исполнение договоров с исполнителями, задания, приёмка и выплата	НПД/ИП: ФИО, телефон, e-mail для документов при предоставлении, ИНН, статус НПД и дата проверки, ОГРНИП/регистрационные сведения для ИП, специализация/город/район, адрес юридических сообщений, ТЗ/фото результата без посторонних ПДн, договоры/акты/подписи, реквизиты счёта и идентификатор провайдера, суммы и статусы собственных заданий, чек НПД	п. 5 для договора субъекта; п. 2 для установленных законом обязанностей; для представителей ИП — п. 7 ч. 1 при соблюдении прав субъекта и уведомлении
P4. Бухгалтерский/налоговый учёт и архив доказательств сделок	Стороны-физлица и представители: только необходимые данные договора/полномочий, первичных документов, чеков, расчётов и доказательств подписи	п. 2 для исполнения законных обязанностей, в частности 402-ФЗ; п. 7 для необходимой защиты прав при соблюдении прав субъекта
P5. Рассмотрение обращений и обратная связь	Посетители/пользователи: имя, выбранный контакт телефон или e-mail, текст обращения и ответ, время/идентификатор обращения; без приложений с лишними ПДн	для добровольного обращения посетителя — отдельное согласие п. 1 по документу 07; для поддержки стороны действующего личного договора — п. 5

2.2. Для представителей и контактных лиц заказчиков и ИП применяется законный интерес Оператора по п. 7 ч. 1 ст. 6: связь, допуск и исполнение собственных сделок, при соблюдении прав субъекта. Договор организации не делает её представителя стороной личного договора. Состав минимизируется; при получении не от субъекта применяется уведомление по п. 2.3. ПД6

2.3. Источники — субъект/его устройство, его организация с законным основанием, документы о полномочиях, открытые ЕГРЮЛ/ЕГРИП и проверка НПД. При получении не от субъекта Оператор до начала обработки предоставляет уведомление по ч. 3 ст. 18: оператор/адрес, цели/основание, состав, предполагаемые пользователи, права и источник; применимые исключения ч. 4 оцениваются отдельно. Приглашённый представитель видит уведомление при первом входе, что не заменяет обязанность уведомить до иной обработки. Социальные сети для обогащения профиля не используются. ПД18

2.4. Cookie используются только для сессии, защиты запросов и необходимых функций. Рекламных идентификаторов, трекеров и сторонней аналитики в MVP нет. Посетителю доступно сообщение о технических cookie со ссылкой на Политику. Фактические имена, назначения и сроки: tw_session — сессия входа в кабинет, недоступна скриптам страницы (HttpOnly), действует до выхода или 30 дней; в браузере хранится отметка taskera.cookie-notice о том, что сообщение о cookie прочитано. Логи — один год, рабочие копии — до 30 дней, по §4.

3. Обработка, получатели и размещение

3.1. Обработка смешанная: автоматизированная ИС и неавтоматизированная работа с договорами/обращениями. Действия — сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление определённым получателям, блокирование, удаление и уничтожение; обезличивание — только при установленной цели и процедуре. Публичное распространение в эти действия не включено.

3.2. Основные и резервные базы, файлы и журналы размещаются в РФ: Yandex Cloud, регион ru-central1 (центры обработки данных в Российской Федерации). Трансграничная передача в Taskera Work не предусмотрена; реальные маршруты и доступ поставщиков подтверждаются до обработки (R5). При сборе ПДн граждан РФ соблюдается ч. 5 ст. 18; иностранные сервисы и мессенджеры для ПДн не используются, Telegram в первый релиз не входит. ПД18

3.3. Доступ сотрудников — в пределах необходимости роли. Заказчик видит свою сделку; исполнитель — собственные задания и выплаты. Контакты/реквизиты/цена исполнителя не передаются Заказчику, цена/документы Заказчика — Исполнителю. Минимальные отображаемое имя и специализация специалиста в закрытом кабинете Заказчика используются для необходимой организации работ по законному интересу с соблюдением прав и уведомлением; полного протокола чужой сделки нет.

Получатель (фактические сведения R5 до подключения)	Только необходимые данные и цель	Условия подключения
ООО «Яндекс.Облако» (платформа Yandex Cloud)	Данные ИС/файлы/резервные копии для размещения и сохранности	Подтверждённые адреса баз РФ, доступы и договор обработки
ООО «Яндекс.Облако» (сервис Yandex Cloud Postbox)	Предоставленный e-mail, сервисное уведомление/документ или ответ на обращение	Российские базы и маршрут; договор, необходимый состав передачи
ООО «СМС.РУ» (сервис SMS.RU)	Телефон, код SMS или звонка и ID доставки/вызова	Российское размещение/маршрут; договор; содержание сделки не отправляется
ООО «Дейта Кью» (сервис DaData)	ИНН организации/ИП и регистрационный запрос для проверки реквизитов	Не отправляются телефон, паспорт, подписанные договоры; проверить условия хранения запросов
[уточняется]	Данные исполнителя, реквизиты, сумма/назначение, документы только его сделки для выплаты/чека и при отдельном соглашении внешней подписи	Фактический договор, правовое основание передачи и роль каждого получателя; подключение не подразумевается уже выполненным

3.4. Получатели до подключения указываются по фактическим договорам: полное наименование, адрес, роль и основание доступа. Обработка по условиям Оператора оформляется договором по ч. 3 ст. 6; для самостоятельного оператора проверяется его законное основание. Реальные поставщики, базы и ответственный подтверждаются по R5; неизвестный поставщик не считается подключённым. ПД6

3.5. Открытая страница проверки позволяет установить идентификатор документа, состояние подписания и совпадение контрольной суммы представленного пользователем исходного PDF с контрольной суммой, сохранённой Оператором. Полный документ, идентифицируемые персональные данные физических лиц, сведения о стоимости и реквизиты доступа публично не раскрываются. Доступ к расширенному протоколу предоставляется уполномоченным участникам соответствующей сделки. Наименования ИП/НПД, ФИО, должности и телефоны физлиц не показываются даже маскированными; вместо них — роль. Наименования юридических лиц и метаданные не предоставляют доступ к документу. Согласие P5 не разрешает публичное распространение ПДн. ПД101

4. Сроки и прекращение

Данные	Срок / условие
Рабочий профиль, актуальные роли, контакты и специализация	Пока нужен доступ или исполнение сделки; после прекращения — деперсонализация избыточных данных, законный архив отдельно
Обращение P5, текст, контакт и доказательство отдельного согласия	До 90 календарных дней после завершения рассмотрения; отзыв или иное требование прекращения обрабатывается в законный срок, самостоятельное основание архива оценивается отдельно
Журналы безопасности и технические логи	Один год с события; необходимое доказательство инцидента/спора — отдельное дело на законный срок
Договоры, акты, чеки, полномочия, исходные PDF, хэши и доказательства подписи	Не менее пяти лет; первичка — не менее пяти лет после отчётного года, средства воспроизведения/проверки подписи — после года последнего использования в отчётности; более длительные обязательные сроки сохраняются
Рабочие резервные копии	До 30 дней; восстановление не возвращает ранее удалённые данные в обработку

4.1. Основания сроков — ст. 5/21 152-ФЗ и ст. 29 402-ФЗ. ПД5 ПД21 БУ29 При достижении цели или отзыве согласия без другого основания уничтожение обеспечивается в срок не более 30 дней; более короткие специальные сроки устранения нарушений по ст. 20/21 сохраняются. ПД20 ПД21 Резервные копии учитываются в процедуре прекращения; возврат удалённых данных в рабочую ИС не допускается.

4.2. После прекращения использования информационной системы Оператор удаляет либо обезличивает персональные данные, необходимость обработки которых отпала. Данные, необходимые для исполнения незавершённых обязательств, бухгалтерского и налогового учёта, подтверждения электронных подписей и защиты прав, сохраняются в отдельном архиве при наличии самостоятельных правовых оснований. Доступ к такому архиву ограничивается. По завершении законного срока соответствующие данные уничтожаются или обезличиваются так, чтобы исключить идентификацию субъекта. ФИО, ИНН, идентификатор пользователя в журнале аудита и подписанные документы в архиве остаются персональными данными; события журнала не изменяются и не удаляются. Уничтожение/деперсонализация данных отдельного профиля и архива выполняются по регламенту, без перезаписи подписанных версий. По прекращении всех оснований архив уничтожается в законном порядке.

5. Права субъектов и обращения

5.1. Субъект вправе получить сведения об обработке и доступ к своим данным, требовать уточнения, блокирования или уничтожения в установленных случаях, отозвать согласие и обжаловать действия Оператора в РКН или суд. ПД14 ПД17 Отзыв не прекращает обработку, для которой сохраняется самостоятельное основание закона/договора; Оператор сообщает такое основание. ПД9

5.2. Обычное обращение или отзыв согласия можно направить на taskerapay@gmail.com, через кабинет или письмом по адресу Оператора. Формальный запрос по ч. 3 ст. 14 принимается вне ИС: подписанным бумажным письмом по почтовому адресу Оператора либо электронным документом с электронной подписью на taskerapay@gmail.com. Он содержит предусмотренные законом сведения удостоверяющего документа, связь с Оператором/фактом обработки и подпись заявителя; они не загружаются в Taskera Work и обрабатываются отдельно по регламенту запросов. Данные других лиц в ответ не включаются. ПД14 5.3. Доступ/ответ по запросу — в течение 10 рабочих дней, с мотивированным продлением не более чем на 5 рабочих дней; исправление подтверждённой неточности — в течение 7 рабочих дней, с уведомлением о принятых мерах. ПД20 Требование прекратить обработку рассматривается по ч. 5.1 ст. 21: 10 рабочих дней с возможным мотивированным продлением на 5, при сохранении законных исключений. ПД21

5.4. Оператор регистрирует формальный запрос и проверяет заявителя вне ИС в пределах ч. 3 ст. 14, без передачи паспортных данных в кабинет, хранилище или журнал Taskera Work. Копия документа, удостоверяющего личность, автоматически не создаётся. Формальные запросы субъектов персональных данных, приложения к ним, документы об установлении полномочий заявителя и ответы Оператора хранятся в отдельном защищённом архиве в течение 5 лет, исчисляемых с 1 января года, следующего за годом завершения рассмотрения обращения, если применимый обязательный срок не больше. После завершения срока проводится предусмотренная правилами архивного хранения экспертиза ценности и уничтожение документов, не подлежащих дальнейшему хранению, с оформлением акта. Порядок приёма и доступа закреплён отдельным регламентом; интерфейс ИС принимает обычные обращения без паспортных полей. ПД14

6. Защита и актуализация

6.1. Ответственный за организацию обработки: [уточняется]. Подтверждённые организационные и технические меры: [уточняется]. Сведения об угрозах, уровне защищённости, средствах и криптографии: [уточняется]. До утверждения и подтверждения специалистом R6 эти сведения не заявляются выполненными. Требования ст. 18.1/19 сохраняются. ПД181 ПД19

6.2. При инциденте, указанном в ч. 3.1 ст. 21, Оператор уведомляет РКН в течение 24 часов, а о результатах расследования — в течение 72 часов с выявления, принимает меры по ограничению последствий. ПД21 Уведомление об обработке направляется до её начала по ст. 22, с оценкой законных исключений; ИС не рассчитана на них. ПД22

6.3. Новая редакция публикуется с датой и доступной историей. Изменение Политики само по себе не расширяет ранее данное согласие или цели обработки: при необходимости новое отдельное согласие получают до такой обработки. ПД5 ПД9