LGPD и GDPR на практике: журнал аудита каждого действия, экспорт данных компании и сотрудника, анонимизация вместо удаления и закрытое хранилище файлов.
Что фиксируется
Каждое действие, которое создаёт, изменяет или удаляет данные, попадает в журнал аудита: кто это сделал, когда, откуда и что изменилось (прежние и новые значения, если они есть). Его может просматривать в разделе «Журнал аудита» любой пользователь с соответствующим правом, а хранится он по умолчанию 365 дней.
Права субъектов данных
Компания экспортирует собственные данные в разделе «Настройки», а данные каждого сотрудника можно экспортировать из его карточки полным пакетом (персональные данные, договор, расчёты). Запрос на удаление выполняется анонимизацией: имя, документ и контакты заменяются, а итоги расчётов остаются, потому что трудовая и налоговая обязанность хранить данные о зарплате не прекращается с запросом.
Где и как хранятся данные
Данные находятся в базе Postgres с доступом только для приложения; документы и квитанции лежат в закрытом хранилище и выдаются только по подписанной ссылке с ограниченным сроком действия после проверки прав. Публичных ссылок на файлы нет. Список третьих лиц, обрабатывающих данные по нашему поручению, находится на странице «Субпроцессоры», а правовое основание каждой обработки указано в Политике конфиденциальности.