Меры защиты персональных данных

1.1.Опубликованы документы: Политика обработки персональных данных, Согласие на обработку персональных данных, Пользовательское соглашение, Поручение на обработку персональных данных, Политика в отношении файлов cookie.

1.2.Отношения с организациями-клиентами строятся на поручении обработки (часть 3 статьи 6 Закона): работодатель остаётся оператором данных работников, сервис действует в пределах поручения.

1.3.Принимаются и публикуются в сервисе новые редакции документов; пользователю предлагается ознакомиться с ними и подтвердить ознакомление в личном кабинете.

2.1.Определено лицо, ответственное за организацию обработки персональных данных (статья 18.1 Закона). Доступ к данным и инфраструктуре получают только те сотрудники и подрядчики, которым он необходим, при условии обязательства о неразглашении.

2.2.Права доступа внутри организации-клиента разграничены ролями: владелец организации, администратор и администратор платформы. Компании видит только тот пользователь, которому они открыты.

2.3.Обращения субъектов персональных данных принимаются через форму prim.progwebs.ru/legal/request; срок ответа — 10 рабочих дней (часть 3 статьи 14 Закона).

2.4.Об инцидентах с персональными данными оператор уведомляет Роскомнадзор в течение 24 часов, а результаты расследования направляет в течение 72 часов (часть 3.1 статьи 21 Закона).

2.5.Данные не используются для рекламы, не продаются и не передаются третьим лицам без законного основания.

3.1.Пароли хранятся только в виде криптографического хеша (bcrypt), открытый пароль в базе не сохраняется.

3.2.Вход защищён ограничением числа попыток; после серии неудач вход временно блокируется.

3.3.Для учётной записи можно включить второй фактор входа (одноразовые коды по стандарту TOTP); секрет второго фактора хранится в базе в зашифрованном виде. Одноразовый код нельзя использовать повторно.

3.4.Сессия хранится в защищённой cookie с флагом HttpOnly (недоступна скриптам страницы); в рабочей среде используется cookie с префиксом __Host-, передаваемая только по HTTPS. Смена или сброс пароля и отключение пользователя прекращают действие прежних сессий.

3.5.Права проверяются на сервере при каждом запросе: данные отбираются по организации и компании пользователя, а не по адресу страницы.

4.1.Данные передаются между браузером и сервером по защищённому каналу HTTPS.

4.2.Загруженные файлы и сформированные документы не публикуются по прямым ссылкам: они отдаются только через проверку прав пользователя. Ссылки на разделы кабинета не открываются без входа.

4.3.Формы защищены от подделки межсайтовых запросов: запрос принимается только с нашего сайта; формы заявок и обращений защищены ограничением частоты и скрытым полем-ловушкой для ботов.

4.4.Данные хранятся на сервере, расположенном в Российской Федерации (часть 5 статьи 18 Закона).

5.1.Ведётся журнал значимых действий: входы и неудачные попытки, смена пароля, включение и отключение второго фактора, создание и удаление организаций и пользователей, выгрузка пакетов документов. В журнале фиксируются время, пользователь и IP-адрес.

5.2.Администратор платформы видит предупреждение, если с одного адреса за короткое время поступает много неудачных попыток входа.

5.3.Журнал используется только для обеспечения безопасности и разбора инцидентов.

6.1.Организация-клиент отвечает за выбор пользователей и их ролей, своевременное отключение уволенных сотрудников, надёжность паролей и защиту рабочих мест.

6.2.Скачанные документы и выгрузки находятся вне сервиса и защищаются самой организацией.