Політика конфіденційності, умови використання та обробка персональних даних
Нижче — структура трьох обов'язкових документів із переліком розділів, які має містити кожен із них.
Чинні документи ОП СИСТЕМИ
Умови користування платформою — у Публічній оферті, обробка персональних даних — у Політиці конфіденційності. Нижче — рекомендації для внутрішніх документів вашого підприємства.
Це шаблон для вашого підприємства, а не готовий юридичний текст
Розділи нижче показують структуру документів і те, які саме питання в них розкриваються. Остаточні формулювання має підготувати або погодити юрист підприємства — вони залежать від того, які дані ви обробляєте, де їх розміщено і хто до них має доступ. Не публікуйте ці сторінки без такого погодження.
Документ 1
Політика конфіденційності
Пояснює відвідувачу сайту та користувачу системи, які дані про нього збираються і що з ними відбувається.
Повна юридична назва підприємства, код ЄДРПОУ, адреса, контакти відповідальної особи з питань захисту персональних даних. Якщо система розгорнута для компанії-замовника — володільцем є саме вона, а розробник виступає розпорядником.
Для системи охорони праці це щонайменше: прізвище, ім'я та по батькові, професія й посада, табельний номер, підрозділ, вік, дані про інструктажі, навчання, стажування, видані ЗІЗ, а також відомості про медичні огляди в обсязі висновку про придатність. Окремо перелічуються технічні дані: час входу, ідентифікатор пристрою, мережева адреса.
Виконання вимог законодавства про охорону праці та трудових відносин: ведення журналів інструктажів, обліку навчання, медоглядів і забезпечення засобами захисту. Зазначається, що обробка не здійснюється з рекламною метою.
Строки зберігання журналів і документів з охорони праці визначаються номенклатурою справ підприємства та вимогами законодавства. Тут вказуються конкретні строки для кожної категорії документів.
Перелік третіх осіб: медичний заклад, який проводить огляди; навчальний заклад; органи державного нагляду за запитом; постачальник хмарної інфраструктури. Для кожного зазначається підстава передачі.
Право знати про джерела збирання й місцезнаходження своїх даних, отримувати доступ до них, вимагати виправлення неточних даних, звертатися зі скаргою. Зазначається порядок і строк відповіді на звернення.
Розмежування доступу за ролями, журнал дій користувачів, шифрування каналу, резервне копіювання, порядок дій при інциденті.
Які cookie використовуються, для чого, як довго зберігаються і як користувач може ними керувати. Для внутрішньої системи це переважно технічні cookie сесії.
Документ 2
Умови використання
Визначає правила роботи в системі та межі відповідальності сторін.
Що саме надається користувачу: доступ до внутрішньої системи обліку документів з охорони праці. Хто є користувачем: працівники підприємства та уповноважені особи.
Порядок видачі первинного пароля, обов'язок користувача не передавати доступ іншим особам, порядок дій при компрометації облікового запису.
Який режим підпису застосовується на підприємстві — внутрішній підпис із фіксацією часу чи кваліфікований електронний підпис — і яку юридичну силу сторони йому надають. Це ключовий розділ: його формулювання погоджує юридична служба.
Своєчасно ознайомлюватися з призначеними документами, добросовісно складати тести, не передавати проходження іншій особі, повідомляти про технічні збої.
Регламент планових робіт, порядок повідомлення про перерви, дії у разі недоступності системи — зокрема тимчасове ведення обліку в паперовій формі.
Розмежування: відповідальність роботодавця за організацію охорони праці залишається за ним і не переходить до постачальника системи. Відповідальність постачальника обмежується працездатністю системи та коректністю наданих шаблонів у межах договору.
Кому належить програмна платформа, а кому — розроблені для підприємства інструкції, програми стажування та інші документи.
Порядок повідомлення про зміни, застосовне право та порядок вирішення спорів.
Документ 3
Обробка персональних даних працівників
Внутрішній документ підприємства — окремо від публічної політики конфіденційності, бо стосується даних працівників, а не відвідувачів сайту.
Працівника повідомляють про володільця, склад і мету обробки його даних, а також про його права. Факт повідомлення фіксується — у системі це окреме ознайомлення під підпис.
Це особлива категорія даних. У системі зберігається лише висновок про придатність до роботи та перелік шкідливих чинників — без діагнозів і медичних деталей. Доступ до цього блоку обмежується окремо.
Хто з посадових осіб має доступ до яких даних; працівник бачить лише власні документи, керівник підрозділу — лише свій підрозділ.
Якщо система розміщена в хмарі або обслуговується сторонньою компанією, укладається окрема угода про обробку даних із визначенням обов'язків розпорядника.
Обліковий запис блокується, але записи журналів залишаються — вони мають зберігатися встановлений строк і можуть знадобитися при розслідуванні.
Хто й у які строки повідомляється про витік або несанкціонований доступ, які заходи вживаються.
Потрібна допомога з документами?
Під час впровадження ми готуємо структуру цих документів разом із вашою юридичною службою.