Условия поручения обработки персональных данных работников

Редакция от 25 октября 2026 года.

Документ определяет порученную обработку в сервисе migraportal.ru по части 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ. Поручение становится обязательным после заключения с конкретным Клиентом и заполнения применимых сведений приложений.

Обработчик — ООО «ЦЕНТР МИГРАЦИОННЫХ РЕШЕНИЙ». ИНН 9729421388, ОГРН 1267700213417. Адрес: 119607, г. Москва, вн. тер. г. муниципальный округ Раменки, пр-кт Мичуринский, д. 25, к. 1, кв. 142. Электронная почта: info@migraportal.ru.

Клиент — организация или ИП, указанные в карточке присоединения к поручению. Клиент выступает оператором данных своих работников, кандидатов и исполнителей, для которых он самостоятельно определяет законные цели обработки.

1. Заключение и пределы поручения

1.1. Клиент поручает, а Обработчик обязуется выполнять только предусмотренную документом обработку и документированные законные указания Клиента. Поручение не дает права использовать данные для самостоятельных коммерческих целей, обучения моделей, рекламы или создания межклиентской базы.

1.2. Поручение принимается руководителем, ИП или представителем с проверенными полномочиями по правилам электронной подписи пользовательского соглашения либо подписывается на бумаге или надлежащей электронной подписью. Карточка присоединения, текст редакции и согласованный перечень привлеченных лиц сохраняются вместе.

1.3. До активации поручения запрещаются не только просмотр, но и загрузка, импорт, распознавание, прием документов по ссылке работника и автоматическая обработка его данных. Тестирование производится на вымышленных данных.

1.4. Клиент до передачи данных подтверждает основания их обработки и поручения. Для передачи данных работников стороннему облачному сервису Клиент получает письменное согласие по статье 88 ТК РФ и части 3 статьи 6 Закона № 152-ФЗ, если не применимо конкретное исключение федерального закона. Ссылка лишь на обязанности работодателя в целом такого исключения не подтверждает. Для кандидатов и исполнителей выбирается соответствующее их отношениям основание.

1.5. Обработчик не обязан самостоятельно получать согласие каждого субъекта на исполнение поручения, но проверяет достаточность договорных оснований, содействует выполнению прав субъектов и при обоснованном сомнении запрашивает подтверждение. Отсутствие подтверждения является основанием остановить соответствующую операцию до устранения нарушения.

2. Субъекты и цели

2.1. Субъекты: иностранные граждане и лица без гражданства, работающие у Клиента, исполняющие для него гражданско-правовые договоры либо рассматриваемые им на конкретную работу. Данные представителей Клиента и пользователей для организации доступа регулируются политикой Общества как оператора.

2.2. Цели: учет необходимого кадрового и миграционного статуса; контроль сроков документов и обязанностей Клиента; подготовка установленных форм из данных Клиента; хранение подтверждений самостоятельной подачи Клиентом; предоставление Клиенту доступа и выгрузки. Для кандидатов обрабатывается только необходимое для конкретного подбора и проверки возможности заключить договор; бессрочный кадровый резерв в поручение не входит.

3. Закрытый перечень данных

3.1. Идентификационные сведения: фамилия, имя, отчество при наличии, их написание латиницей, пол, дата и место рождения, гражданство либо отсутствие гражданства. Гражданство не означает сбор сведений об этнической или национальной принадлежности.

3.2. Документ, удостоверяющий личность: вид, серия при наличии, номер, дата выдачи, орган выдачи, срок действия; изображение необходимых страниц документа и перевода, если без них нельзя выполнить конкретную задачу Клиента. Лишние страницы и сведения о третьих лицах не загружаются.

3.3. Миграционные документы: виза, миграционная карта, патент, разрешение на работу, РВП, РВПО, ВНЖ, документ о временном убежище или статусе беженца, уведомление о прибытии и отрывная часть. Обрабатываются только применимые к субъекту вид и реквизиты документа, даты выдачи и действия, орган выдачи, цель и дата въезда, разрешенные регион и профессия, адрес и срок учета по месту пребывания или жительства, реквизиты подтверждения учета. Причины предоставления убежища и сведения о преследовании не собираются.

3.4. Трудовые и договорные сведения: вид, номер, даты заключения, начала, прекращения и срок трудового или гражданско-правового договора; должность, профессия, выполняемая работа, место работы и подразделение; необходимые сведения об изменении или прекращении отношений; идентификатор работника в системе Клиента. Полные кадровые документы принимаются только в части, необходимой для целей пункта 2.2.

3.5. ИНН иностранного гражданина — для учета платежей по патенту и заполнения применимых документов; СНИЛС — только если он прямо необходим для конкретной применяемой формы или согласованной функции учета. Банковские реквизиты, данные банковской карты, семейное положение и сведения о родственниках в этот перечень не входят.

3.6. Контактный телефон и, если используется адресная электронная загрузка или уведомление самому субъекту, email. Передача уведомлений работнику допускается только по указанию Клиента и на надлежащем основании. Сообщения не содержат копий документов и избыточных идентификаторов.

3.7. Платежи по патенту: дата, сумма, оплаченный период, статус и необходимые реквизиты платежа; изображения подтверждений с исключением не относящихся к цели платежных сведений. Миграционные уведомления: вид, дата, адресат, статус, реквизиты и копии подтверждений подачи или получения; задачи и сроки, непосредственно связанные с указанными данными.

3.8. Медицинские документы, сведения о диагнозах, обследованиях, допусках и иных характеристиках здоровья, а также медицинские отметки «факт и срок» в базовое поручение не входят. Не допускаются данные о расовой и национальной принадлежности, убеждениях, интимной жизни, судимости и биометрическая обработка для установления личности. Расширение возможно лишь после отдельной правовой оценки, согласования нового перечня и оснований и внедрения требуемой защиты.

3.9. Фото на копии документа используются только как часть необходимой документальной копии. Обработчик не сопоставляет лицо с фотографией для установления личности, не строит биометрические шаблоны, не распознает лицо и не получает отпечатки пальцев. OCR ограничено извлечением разрешенных текстовых реквизитов. Если фактический сценарий меняется, применимость статьи 11 Закона № 152-ФЗ оценивается до его запуска.

3.10. Свободные поля, имена файлов и вложения также ограничены данным перечнем. Случайно поступившие избыточные или запрещенные сведения изолируются; Обработчик сообщает Клиенту и прекращает неправомерную обработку с уничтожением в применимый законный срок.

4. Операции и способы

4.1. Разрешены получение от Клиента, его уполномоченных лиц или по адресной ссылке от субъекта, запись, упорядочение, накопление, хранение, обновление, извлечение, использование для согласованных функций, формирование бланков и напоминаний, предоставление доступа конкретным уполномоченным лицам, выгрузка Клиенту, блокирование и уничтожение. Передача привлеченным лицам допускается только по разделу 6. Общедоступное размещение не допускается.

4.2. Обработка преимущественно автоматизированная; ограниченный доступ персонала возможен при сопровождении, поддержке и расследовании инцидентов при необходимости и с фиксацией действий. Создание бумажных или локальных копий работниками Обработчика без согласованной необходимости запрещено.

4.3. Перед сбором по ссылке работника отображаются наименование и контакты Клиента как оператора, цели, перечень данных, получатели, сведения об Обработчике и способ обращения по правам субъекта. Ссылка адресная, ограниченная по сроку, не раскрывает данные других лиц. Получение документа по ссылке не означает получения письменного согласия работника, если требуемая форма отдельно не обеспечена.

5. Обязанности по защите и контролю

5.1. Обработчик соблюдает принципы и правила Закона № 152-ФЗ, конфиденциальность, требования части 5 статьи 18, статьи 18.1 и статьи 19. Все данные по поручению, их копии, файлы и рабочие журналы обрабатываются в РФ. Трансграничная передача и доступ иностранных получателей вне согласованной модели запрещены.

5.2. Обработчик определяет угрозы и необходимый уровень защищенности, реализует применимые требования постановления Правительства РФ № 1119, приказа ФСТЭК России № 21 и иных обязательных актов, с учетом применяемых средств защиты. Размещение в российском облаке само по себе не подтверждает исполнение этих обязанностей.

5.3. Минимальные договорные меры: изоляция организаций и проверка прав на сервере; индивидуальные учетные записи; многофакторная защита привилегированного доступа; закрытое файловое хранение; ограниченные по сроку ссылки; защита сетевой передачи; контроль полномочий персонала и его обучение; фиксация событий и защита журналов от неправомерного изменения; резервирование и проверка восстановления; обновление и устранение уязвимостей; порядок реагирования и уничтожения, включая копии.

5.4. Доступ персонала предоставляется по служебной необходимости с обязательством конфиденциальности, контролируется и прекращается при утрате основания. Поддержка не вправе просматривать все кабинеты без конкретной задачи. При выгрузке и восстановлении проверяются полномочия получателя.

5.5. По запросу Клиента, в том числе до начала обработки, Обработчик предоставляет документы и информацию о соблюдении поручения и принятых мерах в течение пяти рабочих дней, а при запросе, связанном с более коротким обязательным сроком, — в срок, позволяющий его соблюсти. Доступ к данным других Клиентов и секретам защиты не предоставляется; используются выписки и иные достаточные подтверждения.

5.6. Клиент вправе согласовать проверку соблюдения поручения без нарушения работы и прав других лиц. Обработчик устраняет подтвержденные недостатки в согласованный срок, а при угрозе правам субъектов принимает немедленные меры.

6. Привлеченные лица агентства и облачные функции

6.1. Передача привлеченному лицу, включая хостинг, резервное хранение, OCR, email или SMS, разрешается только после его поименного согласования Клиентом в приложении 2. Указываются полное наименование, адрес, роль, конкретные данные и операции, территория, срок и порядок прекращения. Это договорное согласование не заменяет согласия субъекта либо иного требуемого основания.

6.2. Обработчик обеспечивает письменные договорные обязательства привлеченного лица не ниже требований этого поручения в применимой части, проверяет условия дальнейшего привлечения лиц, доступа, инцидентов, возврата и уничтожения. Перед Клиентом Обработчик отвечает за привлеченных им исполнителей по закону и договору. Конфиденциальность действует и после прекращения отношений.

6.3. Новое лицо или расширение состава передаваемых данных вводятся после уведомления и явного согласования уполномоченным представителем Клиента. Молчание не является согласием. До передачи Клиент проверяет необходимость новых согласий субъектов. Если согласования нет, соответствующая дополнительная функция остается выключенной; при невозможности основной услуги стороны обеспечивают выгрузку и прекращение по разделу 9.

6.4. OCR включается по отдельному зафиксированному указанию Клиента только после выполнения пунктов 6.1–6.3. Передаются необходимые изображения и разрешенные реквизиты; проверяются сроки технического хранения и отсутствие использования документов для обучения. Обработчик не утверждает отсутствие журналирования поставщика без документального и технического подтверждения.

6.5. Общему ИИ-помощнику, включая YandexGPT, не передаются данные работников, их карточки, документы и результаты OCR. Указание Клиента включить OCR не разрешает передачу этих сведений в ИИ-помощник.

6.6. Агентство, которому Клиент сам предоставляет доступ, не становится автоматически подрядчиком Обработчика. Клиент определяет его роль и заключает нужный договор или поручение, обеспечивает основания передачи и устанавливает круг пользователей, цели, объем и срок доступа. Если агентство самостоятельно определяет цели обработки, оно несет обязанности оператора для таких целей. Отзыв доступа немедленно прекращает последующие операции через портал; судьбу ранее полученных копий Клиент регулирует с агентством.

7. Запросы субъектов и указания Клиента

7.1. Обработчик передает обращение субъекта Клиенту, как правило, не позднее одного рабочего дня с получения; в срочном случае — незамедлительно. Обработчик предоставляет нужные сведения для ответа в течение трех рабочих дней либо в более короткий срок, необходимый по закону. Клиент не перекладывает на Обработчика решение о собственной цели и основании обработки.

7.2. Обоснованное указание о блокировании или прекращении неправомерной обработки исполняется без неоправданной задержки, при необходимости немедленно. Уточнение и уничтожение осуществляются в срок, позволяющий Клиенту соблюсти статьи 20 и 21 Закона № 152-ФЗ; договорные сроки не продлевают законные.

7.3. Обработчик не выполняет заведомо незаконное указание, незамедлительно объясняет причину Клиенту и ограничивает спорную обработку. При прямой обязанности по закону или законному требованию органа он действует самостоятельно в необходимых пределах, сообщая Клиенту, если это не запрещено.

8. Инциденты

8.1. При выявлении неправомерной или случайной передачи либо доступа, повлекших нарушение прав субъектов, Обработчик незамедлительно сообщает Клиенту, но не позднее шести часов с выявления. О достоверных признаках возможного инцидента он направляет предварительное сообщение, не ожидая завершения расследования.

8.2. Первичное сообщение содержит известные обстоятельства, время обнаружения, категории затронутых данных и субъектов, примерный масштаб, предполагаемые причины и последствия, принятые меры и контакт ответственного лица. Отсутствие части сведений не задерживает сообщение. Оно направляется на указанные в карточке присоединения контакты; при отсутствии подтверждения применяется дополнительный согласованный канал.

8.3. Обработчик сохраняет необходимые доказательства, локализует нарушение и содействует Клиенту. Промежуточная информация предоставляется по мере появления, не позднее 24 часов, результаты внутреннего расследования в имеющемся объеме — не позднее 48 часов после выявления Обработчиком, затем дополняются. Если законный срок Клиента истекает раньше, сведения передаются незамедлительно в доступном объеме.

8.4. Клиент обеспечивает свои уведомления Роскомнадзора в пределах 24 и 72 часов от момента, предусмотренного частью 3.1 статьи 21 Закона № 152-ФЗ. Срок не переносится на момент окончания расследования или получения полного отчета. Договор не исключает самостоятельных публично-правовых обязанностей Обработчика.

9. Хранение прекращение и уничтожение

9.1. Поручение действует с момента заключения на период законной обработки для согласованных целей. Клиент устанавливает сроки по конкретным категориям и своевременно сообщает об утрате основания, отзыве согласия, прекращении подбора и необходимости уничтожения. Прекращение трудового договора само по себе не отменяет обязательного хранения работодателем, но не дает Обработчику права хранить весь архив бессрочно.

9.2. После прекращения поручения новые операции прекращаются; до уничтожения допускаются только необходимая защита, возврат и уничтожение. Данные и файлы передаются Клиенту защищенным способом либо доступны уполномоченному лицу для выгрузки. По запросу передача выполняется не позднее пяти рабочих дней; при наступлении более раннего законного срока стороны действуют без задержки.

9.3. Если иное законное основание не требует более раннего действия, уничтожение завершается не позднее 30 календарных дней с прекращения поручения. Выгрузка и ожидание ее получения не начинают этот срок заново. Более ранние сроки по статьям 20 и 21 Закона № 152-ФЗ имеют приоритет, в том числе при незаконном получении данных или отпадении основания до прекращения договора.

9.4. Уничтожение распространяется на рабочие базы, файлы, временные копии, результаты OCR и резервные копии, включая согласованных исполнителей. До удаления резервные копии изолируются от обычного использования; восстановление не должно возвращать подлежащие уничтожению данные в работу.

9.5. При объективной невозможности уничтожить данные в применимый срок Обработчик немедленно сообщает причины Клиенту, блокирует данные и согласует фактический порядок в пределах части 6 статьи 21 Закона № 152-ФЗ. Шестимесячный предел этой нормы не является обычным сроком хранения резервных копий и не применяется автоматически.

9.6. Обработчик подтверждает уничтожение актом и необходимой выгрузкой журнала по приказу Роскомнадзора № 179, передает подтверждение Клиенту в течение трех рабочих дней после завершения. Эти подтверждения хранятся три года. Минимальные сведения, которые должны сохраняться по закону или для конкретного законного требования, отделяются от рабочего массива; Обработчик сообщает Клиенту состав, основание, срок и ограничения доступа.

10. Ответственность и приоритет

10.1. Распределение гражданско-правовой ответственности перед субъектами и между сторонами определяется частями 4 и 5 статьи 6 Закона № 152-ФЗ и другими применимыми нормами. Перед субъектом за порученную обработку отвечает Клиент; Обработчик отвечает перед Клиентом. Это не освобождает Обработчика от собственных обязанностей, административной или иной установленной законом ответственности.

10.2. Условия пользовательского соглашения о справочном характере сервиса не исключают ответственность за нарушение поручения. Ограничения прав субъектов и ответственности за умышленное нарушение недействительны в пределах закона. Изменение перечня данных, целей и привлеченных лиц требует согласования до новой обработки.

Приложение 1 Карточка присоединения

Клиент: [полное наименование или ФИО ИП]. ИНН: [значение]. ОГРН или ОГРНИП: [значение]. Адрес: [адрес]. Представитель: [ФИО, должность]. Основание полномочий и результат проверки: [документ и реквизиты].

Учетная запись подписанта: [идентификатор]. Версия поручения: [номер и дата]. Дата и способ подписания: [значение]. Идентификатор электронной записи или подпись на бумаге: [значение].

Ответственный за персональные данные у Клиента: [ФИО, email, телефон]. Срочный канал инцидентов и резервный канал: [значения]. Контакты Обработчика для инцидентов: info@migraportal.ru и [согласованный резервный канал].

Сроки хранения по категориям и применяемые функции: [зафиксированные указания Клиента]. OCR: [выключено или отдельно согласовано]. Агентства: [отсутствуют либо конкретный перечень с правами и основаниями].

Приложение 2 Согласованные привлеченные лица

Для каждого привлеченного лица до передачи данных заполняется отдельная запись: полное наименование; ИНН или иной регистрационный идентификатор; адрес; услуга; конкретные данные и категории субъектов; операции; местонахождение обработки; срок хранения и уничтожения; сведения о договоре и дальнейших исполнителях; дата и доказательство согласования Клиентом.

В первую очередь заполняются фактические лица, обеспечивающие хостинг, резервирование и необходимые средства доставки. Для распознавания составляется отдельная запись до включения функции. Торговые названия «Рег.облако» и «Yandex Cloud» без определения контрагента недостаточны. Пустое приложение не разрешает передачу каким-либо неназванным лицам.

Приложение 2 к поручению: согласованные привлечённые лица

Хостинг и резервное хранение: ООО «РЕГ.РУ Домены Хостинг», ИНН 6312068502, 141402, Московская обл., г.о. Химки, г. Химки, Ленинградская ул., стр. 25. Договор: Публичная оферта ООО «РЕГ.РУ Домены Хостинг» (редакция, введённая 13.07.2026). Данные: все данные кабинета Клиента, включая файлы документов. Операции: запись, хранение, резервное копирование, уничтожение. Место обработки: Российская Федерация. Срок хранения и уничтожения: в течение срока, установленного оператором портала; удаление и уничтожение выполняет оператор в сроки Политики обработки персональных данных и условий поручения.

См. также: Пользовательское соглашение · Политика обработки персональных данных