Данные кандидатов: где хранятся и кто их видит
Не пишем «соответствует 152-ФЗ» — показываем, как всё устроено: где лежат данные, как записываются согласия и кто открывал контакты
Что уже работает в продукте
Только механизмы, которые есть сегодня. Чего пока нет — ниже, отдельным списком
Данные в России
База кандидатов, контакты и переписка — в Яндекс Облаке, в дата‑центрах в России.
Журнал согласий
Каждое согласие кандидата записывается в журнал, который нельзя изменить задним числом.
Контакты закрыты
Контакты скрыты по умолчанию и хранятся отдельно. Кто их открыл — видно в журнале.
Шифрование
Контакты заказчиков и тексты сообщений хранятся в зашифрованном виде.
Журнал действий
Кто открыл контакт, сменил роль или раскрыл данные — с именем и датой.
Роли и доступ
Рекрутер, администратор и нанимающий менеджер видят каждый своё.
Сеансы и устройства
Видно, где открыт аккаунт; сеанс на другом устройстве можно завершить.
Данные отделены
Данные каждой компании изолированы от других клиентов на уровне базы.
Яндекс Облако и соответствие
Смузибокс работает в Яндекс Облаке, дата‑центры в России
Аттестаты и сертификаты инфраструктуры Яндекс Облака
- 152-ФЗУЗ-1Высший уровень защищённости персональных данных (ПП РФ № 1119, приказ ФСТЭК № 21)
- ГОСТ Р 57580УсиленныйУровень защиты информации для финансовых организаций
- ISO/IEC27001Управление информационной безопасностью
- ISO/IEC27017Безопасность облачных сервисов
- ISO/IEC27018Защита персональных данных в облаке
- Платёжные данныеPCI DSSСтандарт безопасности индустрии платёжных карт
- Регламент ЕСGDPRОбщий регламент по защите данных
- Cloud Security AllianceSTARРеестр безопасности облачных провайдеров
- Финансовый секторЦБ РФТребования Банка России к защите информации
- Закон о КИИ187-ФЗБезопасность критической информационной инфраструктуры
Инфраструктура облака аттестована на УЗ‑1 по 152‑ФЗ, сертифицирована по ISO/IEC 27001, 27017, 27018, PCI DSS, ГОСТ Р 57580 и CSA STAR и соответствует требованиям GDPR, Банка России и 187‑ФЗ. Это документы Яндекс Облака, а не Смузибокса; меры самого Смузибокса — в карточках выше.
Сертификаты Яндекс Облака (откроется в новой вкладке)Закрытый контур
Базы Смузибокса и нейросеть, которая делает выводы, работают внутри облака. Во внешние ИИ‑ассистенты через MCP уходят только обезличенные выводы.
Где хранятся данные
База кандидатов, контакты и переписка размещены в дата‑центрах Яндекс Облака в России; данные компаний изолированы друг от друга.
- Размещение
- Российская Федерация
- Облачный провайдер
- Яндекс Облако
- Шифрование
- Контакты заказчиков и тексты сообщений
- Контакты кандидатов
- В отдельном хранилище, закрыты по умолчанию
- Функции ИИ
- Нейросеть в закрытом контуре; наружу — только обезличенные выводы
- Подробнее
- ИИ‑ассистенты и MCP
Кто что видит
Права задаёт роль. Владелец или администратор меняет её на месте, и смена роли попадает в журнал действий. Решения о найме и отказе принимает человек, а не ИИ.
- Владелец и администратор
- Всё, что видит рекрутер, плюс настройки, роли и тариф
- Рекрутер
- Поиски, воронка проектов, запись на интервью и открытие контактов
- Нанимающий менеджер
- Только шортлист и решения по кандидатам
- Вход
- Почта и пароль, Яндекс или hh.ru
- Сеансы
- Список устройств; лишний сеанс можно завершить
Согласия и журнал
Согласие кандидат отмечает отдельной галочкой, и запись уходит в журнал, в который можно только добавлять. Имя кандидата с площадки показывается только при законном основании.
- Где даётся
- На странице записи на интервью
- Что записывается
- Документ, версия, время, IP-адрес и браузер
- Журнал действий
- Кто открыл контакт, сменил роль или раскрыл данные
- Удаление
- По запросу, вручную администратором, в течение 30 дней
Чего пока нет
- 2FA
Двухфакторной аутентификации пока нет — вход почтой, через Яндекс или hh.ru
- Удаление
Автоудаления по сроку нет: данные кандидата по запросу удаляет администратор вручную — карточку, резюме, файлы и переписку в течение 30 дней, в журнале остаётся только запись об удалении
- Аудит
Собственного внешнего аудита и сертификаций у Смузибокса пока нет; сертификаты выше — у инфраструктуры Яндекс Облака
- Реестр
Реестра российского ПО и ИТ-аккредитации пока нет
Штрафы за персональные данные
Резюме — персональные данные, и за нарушения отвечает компания-оператор. Суммы — по статье 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года; через дробь — повторное нарушение.
- Обработка без согласия
- Юрлица: 300–700 тыс. / 1–1,5 млн ₽ · ИП: 100–300 тыс. / 0,5–1 млн ₽ · граждане: 10–15 / 15–30 тыс. ₽
- Хранение данных не в России
- Юрлица и ИП: 1–6 / 6–18 млн ₽ · граждане: 30–50 / 50–100 тыс. ₽
- Нет уведомления Роскомнадзора об обработке
- Юрлица и ИП: 100–300 тыс. ₽ · граждане: 5–10 тыс. ₽
- Не сообщили об утечке
- Юрлица и ИП: 1–3 млн ₽ · граждане: 50–100 тыс. ₽
- Утечка
- Юрлица и ИП: от 3–5 млн ₽ до 10–15 млн ₽ — по числу людей в утечке · граждане: 100–400 тыс. ₽
- Повторная утечка
- Юрлица и ИП: 1–3 % выручки за прошлый год, от 20 до 500 млн ₽ · граждане: 400–600 тыс. ₽
- Утечка особых категорий и биометрии
- Юрлица и ИП: 10–20 млн ₽, повторно — 1–3 % выручки, от 25 до 500 млн ₽
- Текст статьи
- Статья 13.11 КоАП РФ на КонсультантПлюс
Скидки 50 % за оплату в первые 20 дней по этой статье нет. Малому бизнесу суд может снизить штраф или заменить его предупреждением. Это справка, а не юридическая консультация.
Документы и контакты
- Политика
- Политика конфиденциальности
- Кандидатам
- Вас нашли через Смузибокс
- Почта
- hello@smoothiebox.ru
- Обращения по данным
- Письмо с темой «Персональные данные»
Сведения актуальны на 28.09.2026. Страница открыта без регистрации и входа, соединение защищено HTTPS.
Вопросы юриста и безопасника
Уходят ли персональные данные во внешний ИИ?
Персональные данные кандидатов хранятся и разбираются в России: базы Смузибокса и нейросеть работают в закрытом контуре Яндекс Облака. Во внешние ассистенты — ChatGPT, Claude, Gemini — через MCP уходят только обезличенные выводы. ИИ‑ассистенты и MCP →
Кто видит контакты кандидатов?
Только те, кому их открыли, — с записью в журнал. По умолчанию контакты закрыты.
Что видит нанимающий менеджер?
Только шортлист и решения по кандидатам — без контактов и переписки.
ИИ решает, кого нанять?
Нет. Вердикты — только по требованиям, которые назвали вы, и только по тексту профиля. Решения о найме и отказе принимает человек.
Кто ещё видит данные нашей компании?
Никто из других клиентов: данные каждой компании отделены на уровне базы. Внутри компании доступ задают роли.
Как кандидату отозвать согласие?
Кнопкой «Отозвать согласие» на странице записи или письмом на hello@smoothiebox.ru с темой «Персональные данные»: удалим карточку, резюме, файлы и переписку вручную в течение 30 дней, в журнале останется только запись об удалении. Страница для кандидатов →
Будет ли договор и счёт?
Счёт и закрывающие документы для юрлиц. Договор — оферта на сайте, для тарифа «Бизнес» — договор по вашей форме.
Остались вопросы о данных?
Оставьте контакты — пришлём ответы о данных, договоре и работе ИИ и покажем, как это выглядит в продукте