Политика конфиденциальности сервиса «Помощник мигранта»

ЧЕРНОВИК ДЛЯ ЮРИСТА. Редакция 1.0-черновик от 22 октября 2026 года. Текст описывает, как сервис устроен на самом деле (приложение для работников, кабинет работодателя, сервер). Перед публикацией юрист должен проверить правовые основания, сроки хранения, порядок трансграничной передачи (службы push-уведомлений браузеров, п. 4.6) и уведомление Роскомнадзора. Также нужно вписать реквизиты оператора.

1. Кто обрабатывает данные

Оператор: [будут указаны: полное наименование / ФИО ИП], ИНН 166014035164, ОГРН/ОГРНИП 326169000178635, адрес [будут указаны]. E-mail для обращений по персональным данным: [будут указаны]. Ответственный за организацию обработки персональных данных: [будут указаны]. Регистрационный номер в реестре операторов Роскомнадзора: [будут указаны].

Сервис состоит из трёх частей:

• Приложение «Помощник мигранта» для иностранных работников: веб-версия на нашем сайте (адрес /app/, работает в браузере без установки) и мини-приложение в MAX; Android-приложение в RuStore — после его публикации.
• Кабинет работодателя — веб-сайт для компаний.
• Сервер, к которому обращаются приложение и кабинет. Сервер и база данных размещены в Yandex Cloud, в центрах обработки данных на территории Российской Федерации (регион ru-central1).

Кто за что отвечает. Для данных пользователей приложения оператор — мы. Работник может подключиться к работодателю. Тогда сведения, которые работник передал или которые внёс кадровик, становятся кадровыми данными работодателя. Для этих данных оператор — работодатель. Мы обрабатываем их по его поручению (ч. 3 ст. 6 Федерального закона № 152-ФЗ) и только для работы кабинета.

2. Коротко: что, куда и зачем

3. Приложение без подключения к работодателю

1. Учётная запись не нужна. Имя, телефон и паспорт приложение не запрашивает. Если вы сами заполните «Мои данные» для бланков, данные хранятся только на телефоне, пока вы не подключитесь к работодателю (раздел 5).
2. Данные на телефоне. На телефоне хранятся: гражданство, регион, даты въезда и оплаты патента, отметки шагов, результаты тренажёра, язык и фото в «Моих документах». Оператор их не получает, пока вы сами не включите функцию из разделов 4–8.
3. Идентификатор устройства. Первое обращение к серверу (ИИ-помощник, переводчик, подключение к работодателю, резервная копия) создаёт случайный токен устройства. Сервер хранит только его хэш, язык и тип платформы. С вашей личностью токен не связан.
4. Озвучка. Тексты озвучиваются готовыми записями нейросетевого голоса из самого приложения. Если записи нет, работает синтезатор речи телефона. На сервер для озвучки ничего не отправляется (кроме переводчика, раздел 4.2).
5. Местоположение. Приложение спрашивает геопозицию, только когда вы нажимаете «Определить моё местоположение». Координаты один раз открывают карту (Яндекс Карты или 2ГИС) и не сохраняются. Картографический сервис получает их по своим правилам.
6. Камера и микрофон. Камера нужна, чтобы сфотографировать документ или отсканировать QR-код работодателя. Микрофон нужен только переводчику, пока вы держите кнопку записи.

4. Функции, которые передают данные на сервер

4.1. ИИ-помощник (YandexGPT)

Когда вы задаёте вопрос, на сервер уходят:

• текст вопроса (до 500 символов);
• язык;
• 3–4 фрагмента справочной базы приложения;
• ваши гражданство, регион, дата въезда и дата, до которой оплачен патент, — чтобы ответ учитывал ваши сроки.

Сервер передаёт эти данные модели YandexGPT в Yandex Cloud. Сохранение запросов на стороне Yandex для обучения отключено (заголовок x-data-logging-enabled: false).

Ответ хранится в кэше 7 дней. Ключ кэша — хэш вопроса. Если в вопросе учитывались ваши даты, хэш строится и от них. Сам текст вопроса сервер не сохраняет. Для лимита бесплатных вопросов учитывается только число вопросов за сутки.

4.2. Голосовой переводчик (Yandex SpeechKit и Translate)

Запись голоса или текст отправляются на сервер. Сервер передаёт их в SpeechKit для распознавания и синтеза речи, а в Translate — для перевода, и возвращает результат. Аудио и тексты не сохраняются. Для лимита учитывается только число символов.

4.3. Резервная копия

Копия шифруется на телефоне ключом из вашего кода восстановления. На сервер уходят зашифрованные данные и хэш кода. Сам код и ключ на сервер не передаются, поэтому прочитать копию сервер не может.

Копию с фото документов можно сохранить только в Премиуме. «Удалить мои данные» удаляет копию с сервера.

4.4. Премиум

Подписка оформляется через RuStore. Сервер хранит идентификатор покупки и срок действия Премиума. Платёжные данные обрабатывает RuStore, мы их не получаем. На сайте (веб-версия) Премиум оплачивается разовым платежом через ЮKassa. Сервер хранит номер платежа ЮKassa, сумму, статус и срок Премиума, привязанные к идентификатору устройства. Данные карты вводятся на странице ЮKassa, мы их не получаем. E-mail запрашивается, только если нужен для кассового чека (54-ФЗ), и передаётся ЮKassa для отправки чека.

4.5. Веб-версия и мини-приложение MAX

Веб-версия открывается на нашем сайте (адрес /app/) и в мессенджере MAX (адрес /max/) без установки. Даты, отметки и фото хранятся в памяти браузера на вашем устройстве. Очистка данных сайта в браузере их удаляет.

Чтобы сайт открывался быстрее и без интернета, браузер сохраняет файлы приложения (служебный кэш). Ответы сервера с вашими данными в этот кэш не попадают.

В MAX мини-приложение получает от MAX данные запуска, в том числе ваш идентификатор пользователя MAX. Сервер проверяет подпись этих данных и хранит только хэш идентификатора — чтобы одна учётная запись MAX засчитывалась одному пригласившему один раз.

4.6. Напоминания в браузере

Уведомления включаются только по вашему нажатию и с разрешения браузера. Тогда сервер получает подписку браузера (адрес службы уведомлений и ключи шифрования) и список напоминаний: название срока, текст и время. Сами даты сроков приложение считает у вас на устройстве.

Сообщение шифруется на сервере ключом вашего браузера и уходит через службу уведомлений, которую выбрал браузер (например, Google FCM в Chrome, Mozilla в Firefox, Apple в Safari). Служба видит только зашифрованное сообщение. Серверы службы могут находиться за пределами России; передаётся только адрес подписки и зашифрованный текст напоминания (требует оценки юристом как трансграничная передача). Ключи подписи (VAPID) создаёт и хранит наш сервер (в зашифрованном виде).

Выключение уведомлений, «Удалить мои данные» или отзыв подписки браузером удаляют подписку и список с сервера. Прошедшие напоминания удаляются через 2 суток.

Без уведомлений можно скачать файл календаря (.ics): он создаётся на устройстве и на сервер не отправляется.

4.7. Код пригласившего (амбассадора)

Если вы открыли ссылку или ввели код пригласившего, сервер связывает ваше устройство с этим кодом. Хранятся: способ привязки (код, ссылка, сайт, MAX), дата и, для защиты от накруток, только хэши: адреса сети (HMAC с секретной солью сервера — исходный адрес из него не восстановить; стирается через 2 суток), идентификатора телефона (Android ID, если приложение его передало), пользователя MAX и номера телефона из анкеты, если вы подключились к работодателю.

Пригласивший видит только общие числа: сколько установок, регистраций, активных пользователей и оплат по его коду. Ваше имя, телефон и другие данные ему не передаются.

Привязка хранится не дольше 24 месяцев, затем удаляется.

4.8. Партнёры

В разделе «Партнёры» показываются организации, с которыми у сервиса договор; карточки помечены «Реклама». Сервис считает показы и переходы по каждой карточке за месяц, без привязки к пользователю, и передаёт эти общие числа в единый реестр интернет-рекламы через оператора рекламных данных (ст. 18.1 закона «О рекламе»). Ваши данные партнёрам не передаются; если вы сами переходите на сайт партнёра или звоните ему, дальше действует политика партнёра.

5. Подключение к работодателю

1. Как подключиться. Вы вводите код или сканируете QR-код работодателя, либо показываете свой QR кадровику. Затем видите название компании и отдельно соглашаетесь на передачу данных. Без согласия ничего не передаётся.

2. Что получает работодатель:

   • ФИО (в том числе по частям), пол, дата и место рождения, гражданство, телефон, адрес на родине;
   • паспорт: номер, дата выдачи, кем выдан, срок действия;
   • миграционная карта, дата въезда, адрес и срок миграционного учёта;
   • патент: серия, номер, регион, дата выдачи, кем выдан, до какой даты оплачен;
   • срок полиса ДМС, дата медицинского заключения, дата сертификата экзамена;
   • должность, адрес работы, дата и срок договора, второй регион работы;
   • фото и PDF документов и чеков, которые вы сами отправили.

   Эти сведения нужны работодателю для обязательных уведомлений МВД (приказ МВД России № 290) и контроля сроков. Должность, адрес работы и договор из вашей анкеты подставляются, только если кадровик ещё не заполнил их сам.

3. Что работодатель не получает: переписку, контакты, фото из галереи (кроме отправленных вами), местоположение, вопросы помощнику, результаты тренажёра.

4. Хранение документов. Сканы на сервере зашифрованы (AES-256-GCM, ключ хранится только на сервере). Фото медицинского заключения не хранится — сохраняется только отметка, что оно есть. Доступ к сканам есть только у сотрудников работодателя с правом «Видеть паспортные данные и сканы» (у бухгалтера — только к чекам). Каждое открытие скана записывается в журнал.

5. Отключение. Кнопка «Отключиться» прекращает передачу новых данных. Работодатель увидит статус «Работник отключил приложение». Карточка у работодателя остаётся: это его кадровый учёт и обязанность перед МВД (ст. 13 и 13.3 Федерального закона № 115-ФЗ). Основание — п. 2 ч. 1 ст. 6 152-ФЗ. Удалить её может только работодатель.

6. «Удалить мои данные». Удаляет данные на телефоне, отменяет напоминания, отключает вас от работодателя и стирает на сервере:

   • токен устройства;
   • push-токен;
   • резервную копию;
   • сообщения от работодателя;
   • отправленные вами документы, которые работодатель ещё не принял (на проверке или отклонённые).

   Документы, которые работодатель уже принял, остаются у него по основанию из п. 5. Если кадровик ещё не подтвердил, что вы его сотрудник, карточка удаляется целиком.

7. Увольнение. Когда работодатель отмечает увольнение, связь с приложением разрывается. Новые данные больше не передаются.

6. Уведомления

1. Локальные напоминания о ваших сроках создаёт сам телефон. Сервер о них не знает.
2. Push через RuStore. Если вы подключены к работодателю, сервер хранит push-токен устройства. Через сервис RuStore Push (VK) сервер отправляет запросы и напоминания работодателя: вид документа, срок, название компании.

7. Кабинет работодателя

1. Пользователи кабинета. О сотрудниках компании, которые работают в кабинете, хранятся:

   • имя, e-mail и роль;
   • пароль — только в виде хэша scrypt;
   • сессии входа — 30 дней;
   • настройки сводок и даты отпуска.

   В журнал записываются действия: кто, когда, что изменил (было → стало). Журнал нужен работодателю при проверке МВД.

2. Сводки задач. Сводки приходят на e-mail через Yandex Cloud Postbox и, если сотрудник включил уведомления на телефон, push-уведомлением в кабинет (службы уведомлений браузера, см. п. 4.6).

3. Сведения о компании. Хранятся реквизиты компании и данные представителя для уведомлений МВД.

4. Бесплатная проверка рисков без регистрации. Загруженная таблица обрабатывается в памяти сервера и не сохраняется.

5. Технические уведомления. Об ошибках сервера владельцу сервиса приходит короткое письмо (Yandex Cloud Postbox) и push-уведомление в кабинет: адрес запроса и текст ошибки, без анкет и документов.

7а. Программа амбассадоров

Амбассадор (бригадир, лидер диаспоры, администратор канала, блогер) регистрируется сам на странице /amb/ и даёт отдельное согласие на обработку персональных данных. Его текст показывается перед отметкой.

Обрабатываются: имя или название канала (его видят приглашённые на странице приглашения), телефон, город, ссылка на канал, язык, пароль (только в виде хэша scrypt), код своего приложения (если указан), время входа и согласия, статистика установок по коду.

Цели: вход в кабинет, учёт установок, регистраций и оплат по коду, связь по программе и для заключения договора о вознаграждении. Выплаты сервис сам не производит — только по отдельному договору.

Срок: пока амбассадор участвует в программе. Кнопка «Удалить кабинет и отозвать согласие» сразу удаляет имя, телефон, город, канал и пароль, код перестаёт работать. Остаётся обезличенный учёт начислений (суммы и даты, без имени и телефона) — для сверки по договору о вознаграждении.

8. Как мы защищаем данные

• Соединения с сервером защищены TLS (HTTPS).
• Сканы документов в базе зашифрованы (AES-256-GCM).
• Пароли хранятся в виде хэшей scrypt, токены сессий и устройств — в виде хэшей SHA-256.
• Права в кабинете разграничены по ролям. Паспортные данные скрыты от ролей без права «Видеть паспортные данные и сканы».
• Число попыток ввода кодов подключения и входа ограничено.
• База данных сервера находится в Российской Федерации (Yandex Cloud, ru-central1).

9. Сроки хранения

10. Ваши права

Вы вправе (ст. 14–17, 21 Федерального закона № 152-ФЗ):

• узнать, какие ваши данные мы обрабатываем;
• потребовать уточнить, заблокировать или удалить их;
• отозвать согласие;
• обжаловать наши действия в Роскомнадзоре или в суде.

Ответ на запрос даётся в течение 10 рабочих дней. Срок можно продлить на 5 рабочих дней с объяснением причин. Запрос направляется на e-mail оператора: [будут указаны].

Данные в карточке у работодателя исправляет и удаляет работодатель как оператор. Мы передадим ему ваш запрос.

Согласие на передачу данных работодателю отзывается кнопкой «Отключиться» в приложении. Последствия описаны в п. 5.5.

11. Прочее

• Мы не продаём данные и не используем их для рекламы.
• Третьи лица, которые обрабатывают данные по нашему поручению:
  • ООО «Яндекс.Облако»: серверы, YandexGPT, SpeechKit, Translate, Postbox;
  • RuStore (VK): push-уведомления и покупки;
• Информация в приложении и кабинете справочная и не является юридической консультацией.
• Мы сообщаем об изменениях политики в приложении и кабинете до того, как они вступят в силу.