Политика обработки персональных данных Arbly

1. Назначение и принципы

1.1. Настоящая Политика описывает, как сервис Arbly (сайт arbly.online и панель panel.arbly.online), далее — Оператор, обрабатывает персональные данные посетителей сайта, зарегистрированных Пользователей, плательщиков и лиц, обращающихся в поддержку. Контакт Оператора по вопросам персональных данных — support@arbly.online.

1.2. Для данных кандидатов оператором в целях найма является Заказчик — лицо, использующее Arbly для профессиональной деятельности. Arbly обрабатывает данные кандидатов по поручению Заказчика в пределах функций Сервиса и его настроек (раздел 6).

1.3. Обработка ограничивается конкретной законной целью, не допускает объединения несовместимых наборов, использует минимально необходимый состав данных, поддерживает точность и прекращается после достижения цели, если дальнейшее хранение не требуется законом или для защиты требований.

1.4. Данные не используются для рекламы, продажи профилей или обучения публичных моделей без отдельной цели, информации и основания.

2. Категории субъектов и данных

Посетители сайта arbly.online

Обрабатываются сетевой адрес, дата и время запроса, запрошенная страница, user-agent, технические события безопасности и строго необходимые cookies. Необязательная аналитика Яндекс Метрика включается только после согласия посетителя (раздел 3).

Пользователи и приглашённые участники

Обрабатываются email, имя при его добровольном указании, хеш пароля, роль, принадлежность к рабочему пространству, состояние подтверждения email, настройки, сессии, доверенный IP, user-agent, история принятия документов и подтверждений рисков, действия аудита и обращения в поддержку.

Плательщики

Обрабатываются идентификатор покупки, тариф, сумма, валюта, время, статусы и идентификаторы платёжных событий, проводки Кошелька, возвраты и email для направления чека. Полные данные банковской карты Arbly не запрашивает и не хранит: их обрабатывает платёжный провайдер RollyPay на своей стороне.

Кандидаты

По поручению Заказчика могут обрабатываться имя, контакты, резюме и его содержимое, сведения об опыте и образовании, ответы на вопросы, вакансия, переписка, источник, статусы и технические метаданные доставки. Специальные категории, биометрические данные и документы, удостоверяющие личность, не предназначены для загрузки.

Поддержка и безопасность

Обрабатываются содержание обращения, вложения, correlation ID, связанные события, признаки злоупотребления, сведения об инциденте и принятых мерах.

3. Cookies и аналитика на сайте arbly.online

3.1. Строго необходимые cookies и равноценное локальное хранилище используются для защиты сессии и запросов, сохранения выбранных настроек и ограничения злоупотреблений. Без них сайт и панель не работают; отключить их средствами Сервиса нельзя, но их можно удалить в браузере.

3.2. На сайте arbly.online может использоваться сервис веб-аналитики Яндекс Метрика, предоставляемый ООО «ЯНДЕКС» (Россия). Скрипт Метрики не загружается, пока посетитель не нажмёт «Разрешить» в баннере о cookies. Отказ («Отказаться») не влияет на доступ к сайту и его функциям.

3.3. После согласия Метрика с помощью cookies и локального хранилища собирает обезличенные сведения о посещении: идентификатор браузера, сетевой адрес, страницы и переходы, источник перехода, устройство, браузер и его язык, разрешение экрана, время на странице, а также события интерфейса. В счётчике включены карта кликов и Вебвизор: они записывают клики, прокрутку, движения курсора и отображаемое содержимое посещённых страниц сайта. На страницах arbly.online нет форм для ввода персональных данных; регистрация и вход выполняются в панели panel.arbly.online, где Метрика не подключена. Данные Метрики обрабатываются ООО «ЯНДЕКС» на условиях Яндекса и используются Оператором только для анализа посещаемости и улучшения сайта.

3.4. Выбор посетителя хранится в локальном хранилище браузера один год, после чего вопрос задаётся снова. Отозвать согласие можно в любой момент: нажать «Настройки cookies» в подвале сайта и выбрать «Отказаться» — страница перезагрузится без счётчика — либо удалить cookies и данные сайта в браузере. Уже собранные Метрикой сведения удаляются по правилам Яндекса.

4. Цели и основания

5. Операции и автоматизация

5.1. Оператор может собирать, записывать, систематизировать, накапливать, хранить, уточнять, извлекать, использовать, передавать определённым получателям, блокировать, обезличивать, удалять и уничтожать данные с автоматизацией или без неё.

5.2. Arbly автоматически применяет заданные Заказчиком фильтры, статусы, режимы распределения и маршрутизацию. Сервис не принимает решений, создающих правовые последствия для кандидата, исключительно на основе автоматизированной обработки. Окончательное решение о найме принимает человек со стороны Заказчика.

6. Данные кандидатов: обработка по поручению Заказчика

6.1. Заказчик подключает к Arbly собственные аккаунты HeadHunter через авторизацию OAuth и определяет, какие отклики собирать, какие фильтры применять и в какие анкеты партнёров направлять данные. Arbly получает данные кандидатов из аккаунта HH Заказчика, показывает их Пользователям рабочего пространства Заказчика, передаёт их в выбранные Заказчиком анкеты партнёров и отправляет кандидатам ответы через HH по правилам Заказчика.

6.2. Получателями данных кандидатов являются партнёры, чьи анкеты выбрал Заказчик, и HH как источник данных и канал ответов. Оператор не выбирает получателей самостоятельно. Законность обработки данных кандидатов, их информирование, получение согласий и законность передачи каждому партнёру обеспечивает Заказчик как оператор этих данных. Условия поручения приведены в Приложении 1 к Условиям использования сервиса Arbly.

6.3. Кандидат может направить запрос о своих данных Оператору по адресу support@arbly.online или Заказчику. Запрос, направленный Оператору, передаётся Заказчику как стороне, определившей цель обработки; Оператор помогает выполнить запрос и контролирует результат.

7. Получатели и поставщики

7.1. Доступ к данным получают только уполномоченные Пользователи соответствующего рабочего пространства и ограниченный персонал поддержки Оператора по заявке или инциденту.

7.2. Для работы Сервиса Оператор привлекает технических поставщиков в объёме, необходимом для конкретной операции:

• хостинг, базы данных и резервное копирование — хранение и обработка всех рабочих категорий данных;
• платёжный провайдер RollyPay — приём платежей, возвраты и формирование фискальных чеков; получает email плательщика, сумму, назначение платежа и идентификаторы покупки, обрабатывает данные карты на своей стороне;
• поставщик доставки электронной почты Mailgun — отправка сервисных писем: подтверждение email, восстановление доступа, приглашения, уведомления; получает адрес получателя, тему и содержимое служебного письма;
• почтовый сервис Яндекс 360 — почтовый ящик support@arbly.online и переписка с обращающимися лицами;
• ООО «ЯНДЕКС» (Яндекс Метрика) — аналитика сайта после согласия посетителя;
• HeadHunter, партнёры и Telegram — внешние Площадки и интеграции, подключённые Заказчиком; получают данные в объёме, определённом настройками Заказчика.

7.3. Новый поставщик подключается после проверки условий доступа, журналирования, удаления и передачи данных. Оператор не продаёт и не передаёт данные третьим лицам для их собственных целей.

8. Локализация и передача за пределы России

8.1. При сборе данных граждан России первичная запись, систематизация, накопление, хранение, уточнение и извлечение выполняются с использованием баз данных на территории Российской Федерации в требуемом законом объёме.

8.2. Для доставки сервисных писем используется поставщик Mailgun, инфраструктура которого может находиться за пределами Российской Федерации, включая США. В этом случае за пределы России передаются адрес электронной почты получателя, его имя, если оно указано, а также тема и содержимое служебного письма. Передача выполняется только для доставки письма и на основании отдельного согласия субъекта, данного при регистрации, с соблюдением требований статьи 12 Федерального закона «О персональных данных» о трансграничной передаче. Иные данные Пользователей и данные кандидатов Оператор за пределы России не передаёт.

8.3. Если выбранный Заказчиком партнёр или его анкета находятся за пределами Российской Федерации, передачу данных кандидата такому партнёру инициирует Заказчик своими настройками, и законность такой передачи обеспечивает Заказчик.

9. Сроки хранения

Применяется более короткий срок, если цель достигнута раньше, Заказчик дал законное указание удалить данные или субъект отозвал согласие и отсутствует другое основание. Активное разбирательство или обязательный запрет уничтожения может временно приостановить удаление только затронутых категорий с фиксацией причины и срока.

10. Защита

Используются разграничение ролей, изоляция рабочих пространств, хеширование паролей и одноразовых ссылок, шифрование транспортного соединения, управление секретами вне репозитория, журналирование критических действий, ограничение частоты запросов, резервное копирование, проверка восстановления, обновление зависимостей и реагирование на инциденты.

Доступ поддержки не является постоянным и имеет основание, минимальный объём, срок и аудит. Секреты, пароли, полные токены и содержимое лидов не помещаются в обычные журналы.

11. Права субъекта и порядок обращения

11.1. Субъект вправе запросить сведения об обработке, доступ к своим данным, их уточнение, блокирование, прекращение обработки или уничтожение, отозвать согласие и обжаловать действия Оператора в уполномоченный орган по защите прав субъектов персональных данных или в суд.

11.2. Запрос направляется на support@arbly.online с адреса электронной почты, указанного при регистрации, либо с указанием сведений, позволяющих найти данные. Для защиты других лиц Оператор проверяет личность и полномочия заявителя. Ответ направляется в течение 10 рабочих дней с даты получения запроса; при необходимости срок продлевается не более чем на 5 рабочих дней с уведомлением заявителя.

11.3. Отзыв согласия не отменяет обработку, которая необходима на другом законном основании, но такая обработка ограничивается соответствующей целью. Отзыв согласия Пользователя может сделать дальнейшее использование аккаунта невозможным.

11.4. Запрос кандидата рассматривается по пункту 6.3.

12. Изменения и контроль версии

Утверждённая Политика публикуется с идентификатором privacy, версией, датой начала действия и SHA-256 хешем точных байтов. Существенное изменение целей, получателей или передачи данных требует новой версии и, когда необходимо, нового согласия.

Предыдущие версии и доказательства их принятия сохраняются в пределах срока, необходимого для подтверждения отношений и рассмотрения требований.

13. Контакты

Оператор: сервис Arbly, сайт arbly.online, панель panel.arbly.online. Обращения по персональным данным, отзыв согласия и запросы субъектов: support@arbly.online.