В целях обеспечения выполнения требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», Постановления Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и Приказа Роскомнадзора от 27.10.2022 № 178 «Об утверждении Требований к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона "О персональных данных"» при эксплуатации облачной программной платформы (SaaS) «НОРМОГРАФ»,
ПРИКАЗЫВАЮ:
https://нормограф.рф/privacy.html.
normograf@yandex.com).
ENABLE + FORCE ROW LEVEL SECURITY), шифрования каналов связи HTTPS / TLS 1.2–1.3, криптографического хэширования секретов (SHA-256 / HMAC) и неизменяемого журнала аудита (audit_events, platform_audit). Трансграничную передачу персональных данных не осуществлять.
Настоящий Акт составлен Индивидуальным предпринимателем Поповым Владимиром Николаевичем (ИНН 540128769624, ОГРНИП 326547600182670), являющимся оператором персональных данных и лицом, ответственным за организацию обработки персональных данных в информационной системе персональных данных (ИСПДн) облачной платформы «НОРМОГРАФ», в соответствии со ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и Требованиями, утверждёнными Приказом Роскомнадзора от 27.10.2022 № 178.
В результате обследования процессов обработки персональных данных в ИСПДн «НОРМОГРАФ» по всем заявленным целям обработки установлено следующее:
| № | Цель обработки персональных данных | Категории обрабатываемых данных и особенности обработки | Установленная степень возможного вреда (по Приказу РКН № 178) |
|---|---|---|---|
| 1 | Оказание услуг SaaS-платформы «НОРМОГРАФ» для автоматизированного контроля нормативных обязанностей предприятий по поручению клиентов-работодателей (ч. 3 ст. 6 152-ФЗ) | Общие кадровые и производственные данные работников клиентов (ФИО, должность, подразделение, даты приёма/увольнения, СНИЛС, дата рождения, размеры СИЗ, отметки об аттестациях, инструктажах и допусках без медицинских диагнозов). | НИЗКАЯ степень вреда (критерии высокой и средней степени вреда по пп. 2.1, 2.2 Требований № 178 отсутствуют) |
| 2 | Подготовка, заключение и исполнение гражданско-правового договора (регистрация и аутентификация пользователей SaaS, договоры с клиентами и партнёрами, техподдержка) | Общие контактные и учётные данные представителей клиентов (ЮЛ/ИП) и контрагентов: ФИО, должность, телефон, e-mail, ИНН, хэш пароля/токена, Telegram ID при обращении в поддержку. | НИЗКАЯ степень вреда (данные относятся к деловому взаимодействию B2B) |
| 3 | Обеспечение информационной безопасности SaaS-платформы «НОРМОГРАФ», межтенантная изоляция и ведение неизменяемого журнала аудита | Технические сетевые и сессионные идентификаторы: IP-адрес / SHA-256 хэш, User-Agent, подписанные cookie сессии, CSRF-токен, запись в append-only журнале аудита. | НИЗКАЯ степень вреда (технические метаданные безопасности) |
Обоснование отсутствия высокой и средней степени вреда (п. 2 Требований Приказа РКН № 178):
биометрические (ст. 11 152-ФЗ) и специальные (ст. 10 152-ФЗ, включая сведения о диагнозах и состоянии здоровья) категории персональных данных в ИСПДн «НОРМОГРАФ» не обрабатываются; обработка данных несовершеннолетних в собственных целях не ведётся; трансграничная передача данных на территорию иностранных государств не осуществляется; обезличивание в целях профилирования и привлечение иностранных обработчиков отсутствуют; все базы данных на 100% локализованы в РФ (ЦОД АО «ТАЙМВЕБ») и изолированы между клиентами на уровне ядра СУБД PostgreSQL (FORCE ROW LEVEL SECURITY).
Заключение: соотношение указанной низкой степени вреда и принимаемых Оператором правовых, организационных и технических мер защиты (соответствующих 4-му уровню защищённости ПДн — УЗ-4 по Постановлению Правительства РФ от 01.11.2012 № 1119) признано достаточным и полностью обеспечивающим защиту прав и свобод субъектов персональных данных.