Обработка персональных данных

Оператор — организация, которая регистрируется в сервисе и вносит данные своих сотрудников. Именно она определяет, какие данные обрабатываются и с какой целью.

Сервис MyTab — обработчик: обрабатывает данные по поручению оператора и не использует их в собственных целях.

• адрес электронной почты и пароль (пароль хранится только в виде хеша) — учётная запись;
• фамилия, имя, отчество, должность и табельный номер сотрудников — табель;
• отметки о рабочем времени: коды и часы по дням месяца.

Специальные категории и биометрические данные не обрабатываются.

База данных размещена на сервере на территории Российской Федерации. Передача данных за пределы РФ не осуществляется.

• пароли хранятся в виде bcrypt-хеша, исходный пароль не сохраняется;
• в базе хранится хеш токена сессии, а не сам токен;
• cookie сессии недоступна из JavaScript и отправляется только по HTTPS;
• формы защищены CSRF-токеном, привязанным к сессии;
• вход ограничен по числу неудачных попыток;
• доступ к серверу возможен только по SSH-ключу.

• подать уведомление в Роскомнадзор до открытия публичного доступа;
• добавить в договор-оферту поручение на обработку персональных данных;
• утвердить политику обработки, приказ о назначении ответственного, перечень мер защиты;
• ограничить срок хранения данных и предусмотреть их удаление по запросу.